Fallstudie

3 Zertifikate gestohlen. 94 Millionen Entwickler in Gefahr. Was uns der GitHub-Datenskandal über Codesignierung lehrt.

Im Dezember 2022 nutzten Angreifer ein kompromittiertes persönliches Zugriffstoken, um drei verschlüsselte Codesignaturzertifikate von GitHub zu stehlen. Hier erfahren Sie, was schiefgelaufen ist und wie CodeSign Secure das Problem behebt.

Drei Zertifikate gestohlen. 94 Millionen Entwickler gefährdet. Was der GitHub-Datenskandal über Codesignierung lehrt.

Firma

GitHub, die weltweit größte Code-Hosting-Plattform, gehört zu Microsoft. Sie hostet über 100 Millionen Repositories und unterstützt (Stand 2023) über 94 Millionen Entwickler weltweit in Open-Source- und Unternehmensprojekten.

Branche

Softwareentwicklung, Code-Hosting & DevOps

Vorfalltyp

Diebstahl von Code-Signaturzertifikaten durch kompromittiertes persönliches Zugriffstoken

Download

Ergebnis auf einen Blick

Gestohlene verschlüsselte Codesignaturzertifikate

94M+

Entwickler, deren Vertrauen auf dem Spiel stand

~1 Tag

Ungefähre Verweildauer des Angreifers vor der Erkennung

742%

Berichten zufolge steigt die Zahl der Angriffe auf Lieferketten (Branchenforschung)

Das Unternehmen

Challenges

Der Vorfall legte Sicherheitslücken in der Art und Weise offen, wie GitHub seine Codesignaturzertifikate speicherte und schützte. Eine Entschlüsselung oder missbräuchliche Verwendung konnte zwar nicht bestätigt werden, doch die Zertifikate hätten zur Signierung von Schadsoftware missbraucht werden können, die über eine der vertrauenswürdigsten Softwareplattformen verbreitet worden wäre.

Unzureichende rollenbasierte Zugriffskontrolle für sensible Repositories

Das kompromittierte Benutzerkonto hatte weitergehende Zugriffsrechte, als für seine Aufgabe erforderlich waren – ein klassischer Verstoß gegen das Prinzip der minimalen Berechtigungen. Eine strengere rollenbasierte Zugriffskontrolle (RBAC) hätte den Zugriff auf die Zertifikatsspeicher verhindert.

01 GOVERNANCE

Zertifikate, die über einen einzigen kompromittierten PAT zugänglich sind

Wie die PAT-Sicherheitslücke ausgenutzt wurde, wurde nie offengelegt. Die CI/CD-Maschinenkonten verfügten über unzureichende Sicherheitsvorkehrungen, sodass ein einziges Benutzerkonto ausreichte, um auf Repositories mit Codesignaturzertifikaten zuzugreifen.

02 ZUGANGSKONTROLLE

Zertifikate werden in Repositories gespeichert, nicht in HSMs.

Alle drei Zertifikate befanden sich in Repositories, nicht auf Hardware-Sicherheitsmodulen: eine Apple Developer ID (gültig bis 2027) und zwei DigiCert-Zertifikate (Ablaufdatum: 4. Januar bzw. 1. Februar 2023). Verschlüsselung und Passwörter bieten kaum Schutz, sobald ein Angreifer Zugriff auf das Repository hat.

03 SCHLÜSSELAUFBEWAHRUNG

Unternehmen verlieren das Vertrauen nicht, wenn ein Zertifikat gestohlen wird, sondern wenn sie nicht beweisen können, dass der gestohlene Schlüssel nie verwendbar war. HSM-gestützte Signaturverfahren ermöglichen diesen Nachweis.

Verschlüsselungsberatung, CodeSign Secure Team

Sichere Code-Signatur · Verschlüsselungsberatung · Sicherheit bei der Code-Signatur

Wie CodeSign sicher ist

Wird es angesprochen?

CodeSign Secure behebt dieselben Schwachstellen wie GitHub: HSM-gestützte Schlüsselspeicherung mit einem benutzerdefinierten KSP, automatisierte CI/CD-Signierung mit Audit-Trails, granulare Zugriffskontrollen in Kombination mit Echtzeit-SIEM-Überwachung und Compliance mit automatisiertem Widerruf. Jede dieser Funktionen schließt eine der oben genannten Lücken.

Fähigkeit 01

HSM-basierter Schlüsselspeicher mit benutzerdefiniertem KSP

Private Schlüssel werden innerhalb von FIPS 140-2 Level 3 HSMs generiert und verlassen das Gerät niemals. Der KSP von Encryption Consulting hasht den Code lokal und sendet den Hash zur Signierung an das HSM. Selbst wenn Zertifikate gestohlen werden, sind die Schlüssel somit nicht verfügbar.

Fähigkeit 02

Automatisierte Signierung und Audit-Trails in CI/CD

Die Signierung erfolgt innerhalb von CI/CD-Pipelines, sodass nur autorisierter Code signiert wird. Jeder Vorgang erzeugt ein manipulationssicheres Audit-Log, das Echtzeit-Erkennung und eine vollständige Dokumentation für die Reaktion auf Sicherheitsvorfälle ermöglicht.

Fähigkeit 03

Fein abgestufte Zugriffskontrollen und Echtzeitüberwachung

RBAC, MFA und M-von-N-Quorum-Genehmigungen verhindern, dass ein einzelnes kompromittiertes PAT auf kryptografische Assets zugreift. SIEM-Integrationen wie Splunk erkennen anomale PAT- und Repository-Zugriffe sofort, sodass kein eintägiges Erkennungsfenster entsteht.

Fähigkeit 04

Compliance & automatisierter Widerruf

CodeSign Secure erfüllt die Anforderungen des CA/Browser Forums und der DSGVO. Die automatisierte Widerrufsfunktion macht den manuellen Austausch mit Zertifizierungsstellen wie DigiCert und Apple überflüssig, wodurch schnellere Reaktionszeiten ermöglicht und die Betriebsunterbrechungen, mit denen GitHub konfrontiert war, weitgehend vermieden werden.

Der GitHub-Datendiebstahl zeigt, dass Verschlüsselung allein keinen Schutz bietet. Zertifikate, die außerhalb eines HSM gespeichert sind, sind immer nur einen gestohlenen Zugangsdatensatz von einer Kompromittierung entfernt, egal wie sicher das Passwort dafür ist.

Verschlüsselungsberatung, CodeSign Secure Team

Sichere Code-Signatur · Verschlüsselungsberatung · Sicherheit bei der Code-Signatur

Das Gesamte

Geschäftsergebnis

CodeSign Secure beseitigt die Speicher- und Zugriffskontrolllücken, die den GitHub-Datendiebstahl ermöglichten, und bietet Sicherheitsteams die nötige Transparenz, um Bedrohungen zu erkennen, bevor Zertifikate kompromittiert werden. Die Sicherung der Software-Lieferkette ist keine Aufgabe einzelner Plattformen; sie erfordert eine gemeinsame Anstrengung der gesamten Branche.

Private Schlüssel geschützt, Widerruf automatisiert

HSM-Speicher und der benutzerdefinierte KSP speichern private Schlüssel lokal auf dem Gerät, sodass ein gestohlenes Zertifikat allein nicht zum Signieren ausreicht. Die automatische Zertifikatssperrung ersetzt die langsame Koordination mehrerer Zertifizierungsstellen, die GitHub verzögert hat.

Unbefugter Zugriff in Echtzeit erkannt

Die SIEM-Integration und die Audit-Trails schließen die eintägige Überwachungslücke, die der Angreifer bei GitHub ausgenutzt hat. Verdächtige PAT-Aktivitäten werden sofort gemeldet, sodass das Team sie eindämmen kann, bevor etwas signiert wird.

Das Vertrauen in die Lieferkette wird in großem Umfang aufrechterhalten

Für 94 Millionen Entwickler untergräbt Zertifikatsdiebstahl das Vertrauen, auf dem die Zusammenarbeit beruht. CodeSign Secure begegnet diesem Risiko auf der Infrastrukturebene – ein kritischer Punkt angesichts der um 742 % gestiegenen Angriffe auf die Lieferkette.

Entdecken Sie unsere

Neueste Infos

Zertifikatslebenszyklusmanagement

Der CertSecure MCP Server: Agentenbasierte KI für CLM mit integrierter Governance

Lernen Sie den CertSecure Manager MCP Server kennen: Agentenbasierte KI für das Zertifikatslebenszyklusmanagement mit RBAC-gesteuerten Zugriffs- und Genehmigungsworkflows, die Ihnen die Kontrolle bewahren.

Alle Blogs anzeigen

NIST-PQC-Standards-Erläuterung: FIPS-203, 204 und 205 für Unternehmensteams

Erläuterung der NIST PQC-Standards: FIPS 203, 204 und 205 für Enterprise-Teams

Agentic-AI-Security: Identitätszentrierte Kontrollen für autonome Agenten

Agentenbasierte KI-Sicherheit: Identitätszentrierte Kontrollen für autonome Agenten

Lebenszyklus der Identität eines KI-Agenten: Entstehung, Betrieb, Rotation und Ruhestand

Lebenszyklus der KI-Agentenidentität: Entstehung, Betrieb, Rotation und Ruhestand

White Paper (ENG)

Der steigenden Nachfrage nach kryptografischer Ermittlung und CBOM begegnen

Erfahren Sie, wie kryptografische Erkennung und CBOM die Post-Quanten-Bereitschaft durch Transparenz, Risikopriorisierung, Compliance und umsetzbare PQC-Migration ermöglichen.

Alle Whitepaper ansehen

Das 47-Tage-Zertifikat und der Leitfaden zur Vorbereitung auf die Zeit nach der Quantenexplosion

Das 47-Tage-Zertifikat und der Leitfaden zur Vorbereitung auf die Zeit nach der Quantenbestrahlung

Der PQC-Kontrollleitfaden 2026

Lösungen für kryptografische Stücklisten (CBOM)

Video

Apples Post-Quanten-Webstrategie: Merkle-Baum-Zertifikate und zusammengesetzte Signaturen

Entdecken Sie Experteneinblicke in Cybersicherheit, PKI und Post-Quanten-Bereitschaft sowie praktische Anleitungen zur Stärkung der Sicherheit und Zukunftsfähigkeit der Kryptographie.

Jetzt ansehen

Alle Videos ansehen

CBOM und Compliance: Was das Gesetz tatsächlich besagt

Alles, was Ihrer PKI widerfährt und nicht der 47-Tage-Regel entspricht

Alles, was Ihrer PKI widerfährt und nicht unter die 47-Tage-Regel fällt.

Google Clouds Roadmap für die Zeit nach der Quantenkryptographie: Lehren für jedes Unternehmen

Google Clouds Roadmap für Post-Quanten-Kryptographie: Lehren für jedes Unternehmen