Tokenbasierte Lieferketten-Sackgasse: Das Risiko vernetzter Cloud-Dienste

Die Verknüpfung von SaaS-Tools über OAuth-Token hebelt Firewalls aus. Studien belegen Angriffe über vertrauenswürdige Drittanbieter-Schnittstellen.

Die Strukturierung moderner Unternehmens-IT basiert im Bereich der Softwarebereitstellung fast vollständig auf dem Paradigma von Software-as-a-Service. Unternehmen nutzen durchschnittlich dutzende, oft hunderte isolierte Cloud-Anwendungen parallel, um Prozesse im Marketing, Vertrieb, Personalwesen und in der Produktentwicklung digital abzubilden. Um den manuellen Datentransfer zwischen diesen Plattformen zu minimieren, werden die einzelnen Dienste über automatisierte Schnittstellen direkt miteinander verknüpft. Es entsteht ein dichtes, unübersichtliches Beziehungsgeflecht, das in der Fachliteratur als SaaS-Mesh bezeichnet wird.

Aus Sicht des IT-Sicherheitsmanagements schafft diese Interkonnektivität ein gravierendes Kontrollproblem. Während die primären Zugänge zu den Hauptsystemen meist streng über Single-Sign-On und Multi-Faktor-Authentifizierung geschützt sind, erfolgt die Kommunikation zwischen den Anwendungen im Hintergrund über langlebige Autorisierungs-Token. Mitarbeiter in den Fachabteilungen können mit wenigen Klicks weitreichende Datenfreigaben erteilen, indem sie externen Add-ons oder Produktivitätswerkzeugen den Zugriff erlauben. Diese verdeckten Datenpfade umgehen die klassischen Netzwerkschutzwälle und Überwachungssysteme der IT-Abteilung vollständig.

Identitäts- und Token-Schwächen bei fast 90 Prozent involviert

Das Ausmaß dieser Bedrohung wird durch empirische Sicherheitsberichte aus dem Jahr 2026 verdeutlicht. Der Unit 42 Global Incident Response Report von Palo Alto Networks legt offen, dass sich das Software-Lieferkettenrisiko fundamental erweitert hat. Es betrifft nicht mehr primär offene Schwachstellen im eigentlichen Programmcode, sondern maßgeblich den Missbrauch bereits etablierter, vertrauenswürdiger Konnektivität. Laut den statistischen Auswertungen der Ermittler spielten Identitäts- und Token-Schwächen bei fast 90 Prozent aller untersuchten Sicherheitsvorfälle eine materielle Rolle. Angreifer brechen immer seltener über technische Exploits in Systeme ein. Sie nutzen stattdessen gestohlene Sitzungsschlüssel und gültige OAuth-Token, um sich als legitime Systemkomponenten innerhalb der Cloud-Infrastruktur zu bewegen.

Branchenanalysen zur Softwarelieferkette insgesamt zeigen zudem eine deutliche Eskalation: Laut einer vielzitierten Untersuchung sind Software-Lieferkettenangriffe – von kompromittierten Open-Source-Paketen über CI/CD-Pipelines bis hin zu missbrauchten Drittanbieter-Integrationen – innerhalb von drei Jahren um über 1300 Prozent gestiegen. Andere Erhebungen beziffern den Anteil der Unternehmen, die in den letzten zwei Jahren von irgendeiner Form von Software-Lieferkettenangriffen betroffen waren, auf über 60 Prozent. SaaS-zu-SaaS-Integrationen und OAuth-Token-Missbrauch gelten dabei als ein zunehmend bedeutsamer, aber nicht der einzige Treiber dieser Entwicklung. Die Beschleunigung der Angriffszyklen durch automatisierte Werkzeuge führt zusätzlich dazu, dass die Exfiltrationsgeschwindigkeit von Unternehmensdaten nach einer erfolgreichen Token-Kompromittierung erheblich gestiegen ist.

Salesloft-Drift-Vorfall als reales Warnsignal

Wie diese Angriffe in der operativen Praxis ablaufen, zeigt ein dokumentierter Sicherheitsvorfall, der die Verwundbarkeit vernetzter Systeme demonstriert. Bei der koordinierten Salesloft- und Drift-Attacke gelang es Angreifern, über die initiale Kompromittierung einer Marketing-SaaS-Plattform gültige OAuth-Token zu entwenden. Mit diesen legitimen Schlüsseln konnten die Akteure die Netzwerkgrenzen nachgelagerter Partner und Kunden umgehen, ohne dass traditionelle Erkennungssysteme oder Anomalie-Filter im Netzwerk anschlugen.

Betroffen waren unter anderem namhafte Cybersicherheits-Anbieter, deren interne Kommunikationskanäle und Kundendaten dadurch temporär exponiert waren. Das Muster dieses Angriffs verdeutlicht das strukturelle Risiko moderner IT-Landschaften: Die Angreifer attackieren gezielt das schwächste Glied in der Kette der externen SaaS-Verbindungen. Ist ein kleineres, weniger geschütztes Tool einer Fachabteilung erst einmal kompromittiert, nutzen die Täter die bestehenden, vom Unternehmen autorisierten Vertrauensbeziehungen und Token-Berechtigungen, um sich horizontal in die geschäftskritischen Hauptsysteme vorzuarbeiten. Der Angreifer muss keine Sicherheitslücke in der Firewall des Hauptunternehmens finden, da er über einen vollkommen legalen, digitalen Seiteneingang eintrifft.

Warnung aus der Führungsebene der Finanzindustrie

Die strategische Tragweite dieser Sicherheitslücke beschäftigt zunehmend die Führungsebene globaler Konzerne und regulierter Branchen. Patrick Opet, der Chief Information Security Officer von JPMorgan Chase, veröffentlichte eine detaillierte Warnung, in der er explizit vor den inhärenten Risiken vernetzter Cloud-Strukturen warnte. Das moderne SaaS-Ökosystem erzeuge erhebliche Gefahren, da es Drittanbietern den Zugriff auf ein Unternehmen durch ein komplexes Labyrinth der SaaS-zu-SaaS-Integrationen erlaube.

Diese Besorgnis spiegelt die Realität in vielen Großunternehmen wider, in denen das Prinzip der Schatten-IT eine neue Dimension erreicht hat. Fachabteilungen erwerben Softwarelizenzen dezentral über eigene Budgets und verknüpfen diese eigenständig mit den zentralen Plattformen des Unternehmens, wie Kundendatenbanken oder kollaborativen Arbeitsbereichen. Die zentrale IT-Sicherheitsleitung besitzt in der Praxis oft keinerlei Sichtbarkeit über diese Verbindungen, da sie im Zuge manueller Audits selten erfasst werden. Einmal autorisierte Verbindungen verbleiben über Monate oder Jahre im System, wodurch die Angriffsfläche des Unternehmens kontinuierlich und unbemerkt anwächst.

Defizit herkömmlicher Identity Provider beim Offboarding

Ein weit verbreiteter Irrtum im IT-Management ist die Annahme, dass die Deaktivierung eines Benutzerkontos im zentralen Identity Provider alle Zugriffsrechte des ausgeschiedenen Mitarbeiters im gesamten System sicher beendet. Analysen im Umfeld der Cloud Security Alliance zur SaaS-Datensicherheit zeigen hier ein tiefgreifendes administratives Defizit. Wenn ein Mitarbeiter das Unternehmen verlässt und sein primäres Konto im Active Directory oder einem vergleichbaren Identity-System gesperrt wird, bleiben die von ihm in der Vergangenheit autorisierten SaaS-zu-SaaS-Verknüpfungen auf Anwendungsebene oft unberührt aktiv.

Dateien, Ordner und Datenbankzugriffe, die über automatisierte Verknüpfungen oder Freigabelinks mit externen Dienstleistern geteilt wurden, behalten ihre Gültigkeit auf unbestimmte Zeit bei, sofern die Berechtigungen nicht manuell und direkt auf der jeweiligen SaaS-Plattform entfernt werden. Herkömmliche Lösungen zur Data Loss Prevention scheitern häufig daran, diese tief in den Cloud-Applikationen verborgenen Datenflüsse und Freigabestrukturen zu analysieren. Persönliche Daten und vertrauliche Geschäftsdokumente verbleiben so in öffentlich zugänglichen oder unvollständig geschützten Cloud-Bereichen, was ein permanentes Risiko für Datenexfiltration und Compliance-Verstöße darstellt.

Technische und organisatorische Lösungswege für IT-Leiter

Die Bewältigung dieses Sicherheitsrisikos erfordert eine grundlegende Erweiterung der IT-Governance-Strukturen. Unternehmen müssen das Management von Drittanbieter-Integrationen als eigenständigen Teilbereich ihrer Sicherheitsstrategie etablieren. Hierzu setzen IT-Sicherheitsmanager verstärkt auf spezialisierte Werkzeuge im Bereich des SaaS Security Posture Management. Diese Systeme sind in der Lage, die gesamte Infrastruktur kontinuierlich und automatisiert nach aktiven OAuth-Token und SaaS-Verknüpfungen zu scannen, um das tatsächliche Ausmaß des SaaS-Mesh visuell darzustellen.

Jede einzelne Integration muss restriktiv nach den Prinzipien einer Zero-Trust-Architektur konfiguriert werden. Anstatt externen Schnittstellen pauschale Lese- und Schreibrechte auf gesamte Datenbanken oder Filesharing-Systeme zu gewähren, müssen die Berechtigungsumfänge der Token feingranular auf die zwingend benötigten Datenfelder begrenzt werden. Darüber hinaus müssen IT-Führungskräfte feste Lebenszyklen für alle maschinellen Integrationen definieren. Dies beinhaltet eine automatisierte Deaktivierung von Token nach einem definierten Zeitraum der Inaktivität sowie die Verpflichtung zu einer regelmäßigen, dokumentierten Re-Zertifizierung aller Schnittstellen durch die jeweiligen Fachabteilungen. Nur durch diese lückenlose Transparenz und die konsequente, regelbasierte Überwachung der unsichtbaren Datenpfade lässt sich die tokenbasierte Lieferketten-Sackgasse in modernen Unternehmen effektiv auflösen.