Sicherheit · 8. November 2026
DigiCert bestätigt Datenleck nach fehlerhafter Servermigration
Der Zertifikatanbieter DigiCert hat einen Sicherheitsvorfall bestätigt, bei dem Kundendaten und Identitätsdokumente unautorisiert zugänglich wurden. Der Vorfall resultierte aus einer fehlerhaften Servermigration im Februar 2025, die ein internes Geschäftssystem versehentlich für das Internet freischaltete. Ursprünglich war dieses System nur über ein virtuelles privates Netzwerk erreichbar. Die unautorisierte Zugriffszeit erstreckte sich vom 27. Juni bis zum 2. Juli 2026.
Das betroffene System verfügte über eine Selbstregistrierungsfunktion, die externe Nutzer zur Erstellung von Konten erlaubte. Ein Fehler in der Berechtigungsverwaltung ermöglichte es diesen Konten, auf archivierten Kundendaten in nur-lesendem Modus zuzugreifen. DigiCert entdeckte die unautorisierten Konten im Juni 2026, ging jedoch zunächst davon aus, dass keine Kundendaten abgerufen werden konnten, da die Konten keiner bestimmten Anwendung zugeordnet waren. Erst nach einem Hinweis über das verwaltete Sicherheitsforschungsprogramm der Firma wurde die Schwachstelle erkannt. Die Sicherheitskorrekturen zur Einschränkung des Zugangs und zur Behebung des Berechtigungsfehlers wurden implementiert, ohne dass die Firma zu diesem Zeitpunkt erkannte, dass bereits Daten abgerufen worden waren.
Erst am 19. Oktober bestätigte eine weitere Untersuchung, dass ein unautorisiertes Konto zwischen dem 27. Juni und dem 2. Juli 2026 auf Kundendaten zugegriffen hatte. DigiCert räumte ein, dass der Vorfall zunächst als Kontenerstellungsproblem statt als Datenzugriffsvorfall behandelt wurde. Das unautorisierte Konto hatte nur Lesezugriff und konnte Datensätze nicht ändern, Zertifikatsprüfungen nicht genehmigen oder Zertifikate nicht ausstellen. Die Firma hat den Zugang zum betroffenen System eingeschränkt, die Selbstregistrierung deaktiviert und zusätzliche Zugriffssteuerungen hinzugefügt.
Die betroffenen Daten umfassen Namen, geschäftliche E-Mail-Adressen, Telefonnummern und geschäftliche Adressen. Für einige Personen enthielten die freigelegten Aufzeichnungen auch persönliche Identitätsdokumente wie Führerscheine, Pässe oder Stromrechnungen. DigiCert hat begonnen, die betroffenen Kunden über den Vorfall zu informieren. In der Benachrichtigung heißt es, dass die Firma noch die Identitätsdokumente prüft, um festzustellen, welche Personen betroffen sind, und diese nach Abschluss der Prüfung informieren wird. Die Zertifikatsdienstleistungen, die Plattform CertCentral und die Plattform DigiCert ONE wurden nicht kompromittiert. Kundenanmeldeinformationen und ausgestellte Zertifikate bleiben sicher. Die genaue Anzahl der betroffenen Personen ist derzeit nicht bekannt.