DigiCert: Datenleck legt Ausweisdokumente von Kunden offen

Die Zertifizierungsstelle DigiCert hat einen Datenabfluss gemeldet. Ursache war eine Servermigration im Februar 2025, bei der ein internes Geschäftssystem versehentlich aus dem Internet erreichbar wurde. Zuvor war es nur über VPN zugänglich. Ein Unbefugter hatte darüber Zugriff auf einen kleinen Teil archivierter Kundendaten. Betroffen sind Namen, geschäftliche E-Mail-Adressen, Telefonnummern und Geschäftsadressen. Bei einigen Kunden enthielten die Datensätze zudem Ausweisdokumente, die sie für die Validierung von Zertifikaten eingereicht hatten, etwa Führerscheine, Reisepässe oder Nebenkostenabrechnungen. Wie viele Personen betroffen sind, hat DigiCert nicht mitgeteilt.

Selbstregistrierung und Berechtigungsfehler

Laut einem Vorfallsbericht auf der Plattform Bugzilla von Mozilla enthielt das offengelegte System eine Funktion zur Selbstregistrierung, die eigentlich für andere Anwendungen gedacht war. Externe Nutzer konnten damit Konten anlegen. Diese waren keiner Anwendung zugeordnet, über einen Fehler in der Berechtigungsprüfung konnten sie aber lesend auf archivierte Kundendaten zugreifen.

Erste unberechtigte Konten entdeckte DigiCert im Juni 2026. Das Unternehmen ging zunächst davon aus, dass sie keinen Zugriff auf Kundendaten hatten. Nach einem Hinweis aus seinem Programm für Sicherheitsforscher schränkte DigiCert den Zugang ein und behob den Fehler, bemerkte aber nicht, dass bereits Daten abgerufen worden waren. Erst am 19. Oktober bestätigte eine weitere Untersuchung, dass ein unbefugtes Konto zwischen dem 27. Juni und dem 2. Juli 2026 auf Kundendaten zugegriffen hatte.

„Der Vorfall wurde zunächst als Problem bei der Kontoerstellung behandelt und nicht als Datenzugriff.”
DigiCert

Zertifikate nicht betroffen

Das unbefugte Konto hatte laut DigiCert nur Lesezugriff. Es konnte keine Datensätze ändern, keine Validierungen von Zertifikaten freigeben und keine Zertifikate ausstellen. Die Dienste der Zertifizierungsstelle sowie die Plattformen CertCentral und DigiCert ONE waren nicht betroffen, Zugangsdaten von Kunden und ausgestellte Zertifikate bleiben laut DigiCert sicher. Das Unternehmen hat die Selbstregistrierung abgeschaltet und zusätzliche Zugangskontrollen eingeführt.

DigiCert hat begonnen, Betroffene zu benachrichtigen. Den Kreis der Personen, deren Ausweisdokumente betroffen sind, prüft das Unternehmen noch. Mit Kopien von Ausweisen lassen sich Identitätsdiebstahl und gezielte Betrugsversuche vorbereiten. Betroffene sollten bei Anfragen, die sich auf DigiCert oder ihre Zertifikate beziehen, besonders vorsichtig sein.

(red)