Zugriff auf Kundendaten: Sicherheitslücke in Amazon-Cloud entdeckt

Deutsche Forscher haben gravierende Sicherheitsmängel in Amazons Cloud-Angeboten aufgedeckt. Sie konnten auf Daten beliebiger Kunden zugreifen, hätten deren Daten manipulieren oder löschen können. Amazon reagierte sofort, mittlerweile sind die Sicherheitslücken gestopft.

Amazon-Chef Bezos vor dem Foto eines Rechenzentrums: Wachstumsmarkt Cloud-Computing

Foto: Justin Lane/ dpa

Bochum/Berlin - Wissenschaftler an der Ruhr-Universität Bochum haben schwere Sicherheitslücken in den Cloud-Angeboten von Amazon entdeckt. Mit verschiedenen Methoden seien Forscher in das System eingedrungen und hätten Daten manipulieren können, berichtete Jörg Schwenk vom Lehrstuhl für Netz- und Datensicherheit. Die Schwachstellen seien aber inzwischen behoben. "Anhand unserer Forschungsergebnisse bestätigte Amazon die Sicherheitslücke und schloss sie umgehend", sagte Schwenk. Das Unternehmen war zunächst für eine Stellungnahme nicht zu erreichen.

Sogenannte Cloud-Dienste wie die Amazon Web Services (AWS) bieten Speicherplatz, Rechenleistung oder auch Software übers Netz an, so dass Firmen die Kapazitäten nicht mehr auf eigenen Rechnern vorhalten müssen. Amazon ist einer der Pioniere unter den Anbietern solcher Internet-Dienste. Zu den Kunden des weltgrößten Online-Einzelhändlers und Internet-Dienstleisters zählen unter anderem Webangebote wie Twitter, Second Life und Foursquare.

Den Forschern an der Ruhr-Universität war es gelungen, die Behandlung von Signaturen in der Programmiersprache XML so zu manipulieren, dass sie sich administrativen Zugriff auf die Daten eines beliebigen Kunden verschaffen konnten. "Somit konnten wir etwa in der Cloud des Opfers neue Instanzen anlegen, Images erstellen oder auch löschen", sagte Juraj Somorovsky aus dem Forscherteam der Ruhr-Universität.

Sicherheitslücken fanden die Forscher auch in Amazons Online-Shop. Es wäre ihnen möglich gewesen, ausführbaren Skriptcode auf Amazons Seiten einzuschleusen, der für so genannte Cross Site Scripting-Angriffe hätte genutzt werden können. Zudem hätten sie ungehinderten Zugang zu allen Daten der Kunden, darunter Authentifizierungsdaten, Tokens und selbst Passwörtern im Klartext, gehabt.

Ähnliche Lücken seien auch in der weit verbreiteten Software-Lösung Eucalyptus, die von vielen Firmen zum Aufbau interner Cloud-Angebote genutzt wird, gefunden und nach Meldung durch die Forscher abgestellt worden. "Kritische Services und Infrastrukturen greifen immer häufiger auf Cloud Computing zurück", sagte Somorovsky. Der Umsatz mit Cloud-Diensten werde allein in Europa bis 2012 auf rund 148 Milliarden Euro steigen. "Deswegen ist es dringend notwendig, die Sicherheitslücken zu erkennen und dauerhaft zu vermeiden."

mak/dpa