Sicherheitslücke bei Google OAuth: Millionen von Nutzerdaten gefährdet

SAN FRANCISCO / MÜNCHEN (IT BOLTWISE) – Eine kürzlich entdeckte Schwachstelle im Google OAuth-Authentifizierungsprozess könnte Millionen von Nutzerdaten gefährden. Diese Sicherheitslücke ermöglicht es Angreifern, durch den Kauf von Domains gescheiterter Startups auf sensible Daten zuzugreifen.

Eine neue Sicherheitslücke im Google OAuth-Authentifizierungsprozess hat das Potenzial, Millionen von Nutzerdaten zu gefährden. Diese Schwachstelle nutzt eine Besonderheit im Domainbesitz aus, um auf sensible Informationen zuzugreifen. Laut Dylan Ayrey, Mitbegründer und CEO von Truffle Security, schützt der Google OAuth-Login nicht davor, dass jemand die Domain eines gescheiterten Startups kauft und damit E-Mail-Konten ehemaliger Mitarbeiter wiederherstellt. Während alte E-Mail-Daten nicht zugänglich sind, können diese Konten genutzt werden, um sich bei verschiedenen SaaS-Produkten anzumelden.

Die Sicherheitslücke betrifft eine Vielzahl von Anwendungen wie OpenAI ChatGPT, Slack, Notion, Zoom und sogar HR-Systeme. Besonders kritisch sind Konten, die Zugang zu HR-Systemen haben, da sie Steuerdokumente, Gehaltsabrechnungen, Versicherungsinformationen und Sozialversicherungsnummern enthalten können. Auch Interviewplattformen, die sensible Informationen über Bewerberfeedback, Angebote und Ablehnungen enthalten, sind betroffen.

OAuth, kurz für Open Authorization, ist ein offener Standard für Zugriffsdelegation, der es Nutzern ermöglicht, Websites oder Anwendungen Zugriff auf ihre Informationen auf anderen Websites zu gewähren, ohne ihre Passwörter preiszugeben. Dies geschieht durch die Verwendung eines Zugriffstokens, um die Identität des Nutzers zu verifizieren und dem Dienst den Zugriff auf die Ressource zu ermöglichen, für die das Token bestimmt ist.

Truffle Security weist darauf hin, dass das OAuth-ID-Token von Google einen einzigartigen Benutzeridentifikator, den sogenannten Sub-Claim, enthält, der theoretisch das Problem verhindern könnte. Allerdings wurde festgestellt, dass dieser nicht zuverlässig ist. Im Gegensatz dazu enthalten die Entra-ID-Tokens von Microsoft die Sub- oder OID-Claims, um einen unveränderlichen Wert pro Benutzer zu speichern.

Google hat auf die Offenlegung der Sicherheitslücke zunächst mit der Aussage reagiert, dass es sich um ein beabsichtigtes Verhalten handelt. Am 19. Dezember 2024 wurde der Fehlerbericht jedoch erneut geöffnet, und Ayrey erhielt eine Prämie von 1.337 US-Dollar. Google hat das Problem als eine “missbrauchsbezogene Methode mit hoher Auswirkung” eingestuft.

In einer Stellungnahme empfahl Google den Kunden, Sicherheitsbest Practices zu befolgen und alle Benutzerdaten zu löschen, wenn ein Konto geschlossen wird, um sicherzustellen, dass die Daten nicht zugänglich sind. Softwareanbieter können sich auch gegen die Schwachstelle in der OAuth-Implementierung von Google schützen, indem sie das Sub-Feld innerhalb ihrer Anwendung als eindeutigen Identifikationsschlüssel für den Benutzer verwenden.

Google betonte, dass eine Korrektur nicht notwendig sei, da bereits ein starker und angemessener Schutz in Form des Sub-Feldes vorhanden sei. Es gebe keine Hinweise darauf, dass dieses nicht unveränderlich und einzigartig sei. Ab dem 15. Januar hat das Unternehmen seine Dokumentation mit der Warnung aktualisiert: “Wenn Sie Ihr Kontoverwaltungssystem implementieren, sollten Sie das E-Mail-Feld im ID-Token nicht als eindeutigen Identifikator für einen Benutzer verwenden. Verwenden Sie immer das Sub-Feld, da es für ein Google-Konto einzigartig ist, selbst wenn der Benutzer seine E-Mail-Adresse ändert.”

Ayrey betonte, dass Einzelpersonen, sobald sie von einem Startup abgemeldet wurden, ihre Fähigkeit verlieren, ihre Daten in diesen Konten zu schützen, und dem Schicksal des Startups und der Domain ausgeliefert sind. Ohne unveränderliche Identifikatoren für Benutzer und Arbeitsbereiche werden Domainbesitzwechsel weiterhin Konten gefährden.