GitHub-Leak: 543.699 Zugangsdaten sind noch immer gültig

GitHub-Leak mit 543.699 gültigen Zugangsdaten: Untersuchung zeigt, wie lange geleakte Credentials öffentlich bleiben und weiter funktionieren

224 Millionen öffentliche GitHub-Repositories untersucht

Alte Zugangsdaten, neues Risiko

Push Protection hat Grenzen

Mehr als die Hälfte fällt durch das Raster

GitHub-Leak: Das eigentliche Problem heißt Widerruf

GitHub-Leak: Code gelöscht, Zugang noch aktiv

Ein GitHub-Leak kann selbst noch Jahre nach seiner Veröffentlichung noch zum Sicherheitsproblem werden. Eine Untersuchung von Truffle Security legt nun das eigentliche Ausmaß des Problems offen. Die Sicherheitsforscher fanden 543.699 eindeutige Zugangsdaten in öffentlichen GitHub-Repositories, die im Juli 2026 noch immer funktionierten. Einige davon waren bereits seit Jahren öffentlich einsehbar.

GitHub hat eine Schutzfunktion, die verhindern soll, dass Entwickler sensible Daten wie API-Schlüssel, Tokens oder Datenbank-Zugangsdaten überhaupt erst in ein öffentliches Repository hochladen. Diese Funktion heißt „Push Protection“. 199.843 der später noch gültigen Zugangsschlüssel wurden allerdings erst veröffentlicht, nachdem GitHub die Funktion standardmäßig aktiviert hatte. Offenbar kann „Push Protection“ dabei nicht alle veröffentlichten Zugangsschlüssel erkennen.

224 Millionen öffentliche GitHub-Repositories untersucht

Truffle Security ist ein auf Anwendungssicherheit spezialisiertes Unternehmen aus den USA. Es entwickelt Lösungen zum Schutz von Zugangsdaten und weiteren sensiblen Informationen in Quellcode. Bekannt ist Truffle Security besonders für TruffleHog, ein Werkzeug, das Codebestände nach offengelegten Zugangsdaten durchsucht.

Im Rahmen einer Analyse nahm Truffle Security einen Datensatz mit 224.553.295 öffentlichen GitHub-Repositories unter die Lupe. Darin befanden sich über 58,4 Milliarden Dateien. Die Daten stammen aus „The Stack v3“, einem Datensatz, der auch zum Training großer KI-Modelle zusammengestellt wurde. Der zugrunde liegende Crawl wurde am 7. August 2025 abgeschlossen.

Die Sicherheitsforscher durchsuchten im Anschluss das Material nach möglichen Zugangsdaten. Zwischen dem 27. und 28. Juli 2026 überprüften sie verdächtige Kandidaten beim jeweils zuständigen Dienst. Sie wollten feststellen, ob die Daten noch funktionierten. Im Ergebnis waren 543.699 eindeutige Zugangsdaten weiterhin aktiv. Das war fast ein Jahr nach Abschluss des Crawls und bei vielen Funden sogar Jahre nach ihrer ursprünglichen Veröffentlichung. Insgesamt stammten die Treffer aus mehr als 1,1 Millionen einzelnen Fundstellen. Ein und derselbe Zugangsschlüssel kann dabei auch in mehreren Dateien oder Forks eines Repositorys auftauchen.

Auch die Zahl der noch funktionierenden Zugangsdaten pro Million Dateien stieg erkennbar. 2014 kamen auf eine Million untersuchte Dateien noch 3,72 aktive Zugangsdaten. 2025 waren es bereits 11,62, als höchster Wert im........

© Tarnkappe