DigiCert meldet Datenleck durch fehlerhafte Systemmigration

Der Zertifikataussteller DigiCert hat seine Kunden über eine Sicherheitsverletzung informiert, bei der sensible Kundendaten ungeschützt im Internet zugänglich waren. Das Unternehmen bestätigte den Vorfall nach einer internen Untersuchung, die auf eine Konfigurationsfehler bei der Migration einer internen Systemarchitektur zurückführte.

Die Ursache lag in einer internen Datenbank für Archivdaten, die denselben Authentifizierungsmechanismus nutzte wie die öffentlichen Kundendienste. Im Februar 2025 wurde diese Datenbank aus einem isolierten Netzwerksegment, das nur über ein virtuelles privates Netzwerk erreichbar war, in einen anderen Bereich verschoben. Dabei wurde versehentlich ein direkter Zugriff aus dem öffentlichen Internet ermöglicht. Dieser Fehler blieb über sechzehn Monate unentdeckt, da die Systeme scheinbar normal funktionierten.

Ein wesentlicher Aspekt des Fehlers war die aktive Funktion zur Selbstregistrierung, die für andere Anwendungen vorgesehen war. Diese erlaubte es, Konten ohne mehrstufige Authentifizierung zu erstellen. Aufgrund eines Fehlers in den Berechtigungsregeln erhielten diese neu angelegten Konten unbefugten Zugriff auf die Archivdaten. Die betroffenen Konten verfügten ausschließlich über Lesezugriff und konnten keine Daten ändern, keine Prüfungen genehmigen oder Zertifikate ausstellen.

Die ersten fremden Konten wurden am 18. Juni 2026 von den Sicherheitsexperten des Unternehmens entdeckt. Zunächst wurde davon ausgegangen, dass diese Konten keinen Zugriff auf Kundendaten hatten, da sie nicht mit einer Anwendung verknüpft waren. Drei Tage später meldete ein externer Forscher die Möglichkeit, solche Konten zu erstellen. Am 2. Juli wurde der Zugriff schließlich blockiert. Spätere Analysen zeigten, dass ein Angreifer zwischen dem 27. Juni und dem 2. Juli bereits auf einen Teil des Archivs zugegriffen hatte.

Erst am 12. Oktober vermutete das Unternehmen, dass ein externer Zugriff stattgefunden haben könnte, und bestätigte die Datenlecks am 19. Oktober offiziell. In den kompromittierten Datensätzen waren Namen, geschäftliche E-Mail-Adressen, Telefonnummern und Firmensitze enthalten. In einigen Fällen waren auch Führerscheine, Pässe und Rechnungen für öffentliche Dienstleistungen mit Namen und Adressen abrufbar.

DigiCert betonte, dass nur ein kleiner Teil des Archivs betroffen war, ohne die genaue Anzahl der betroffenen Unternehmen oder Personen offenzulegen. Die zentrale Infrastruktur, die Plattformen CertCentral und DigiCert ONE sowie die Kundenzugangsdaten und bereits ausgestellten Zertifikate blieben laut Unternehmensangaben unbeeinträchtigt. Als Gegenmaßnahmen wurden die Selbstregistrierung deaktiviert, die Passwörter der internen Systeme zurückgesetzt, der Netzwerkzugriff verschärft und zusätzliche Überwachungssysteme sowie Alarmfunktionen implementiert.