Klue-Lieferkettenleck: OAuth-Tokens gestohlen, Salesforce-Daten von fast 200 Unternehmen durchgesickert

Ereignisübersicht

Im Juni 2026 traf ein Lieferkettenangriff auf den SaaS-Anbieter Klue fast 200 nachgelagerte Organisationen, darunter mehrere Cybersicherheitsfirmen wie Huntress, Recorded Future, Tanium und Jamf. Die Angreifer nutzten veraltete Anmeldedaten in der Integrationsinfrastruktur von Klue, stahlen erfolgreich OAuth-Token und verschafften sich so Zugang zu den verbundenen Salesforce-Umgebungen der Kunden, um Geschäftskontaktdaten und Verkaufsdaten zu stehlen. Die Bedrohungsgruppe Icarus erpresste die Opfer über eine Tor-Website, wurde jedoch anschließend selbst kompromittiert, sodass die gestohlenen Daten ein zweites Mal in die Hände einer unbefugten Partei fielen.

Technische und Risikoanalyse

Angriffskette

Die Angreifer entdeckten und nutzten zunächst einen langfristig nicht mehr genutzten, aber noch gültigen Account in der Integrationsinfrastruktur von Klue (MITRE ATT&CK T1078: Gültige Konten). Über diesen Account wurden bösartige Codeänderungen eingespielt, die speziell darauf abzielten, OAuth-Token zu stehlen, die Kunden zur Autorisierung der Verbindung von Klue mit ihren Systemen verwendet hatten (T1528: Anwendungszugriffstoken stehlen). Mit diesen Token gaben sich die Angreifer als Klue aus und fragten über legitime APIs die Salesforce-Umgebungen der Kunden ab (T1550: Verwendung alternativer Authentifizierungsmaterialien), um daraus Geschäftskontaktdaten und Verkaufsdaten zu extrahieren (T1213: Daten aus Informationsspeichern sammeln) und diese über Webdienste zu exfiltrieren (T1567.002: Exfiltration über Webdienste).

Betroffene Organisationen

Die betroffenen Organisationen umfassen nicht nur Cybersicherheitsunternehmen, sondern auch Versicherungsanbieter, Social-Media-Analyseplattformen und andere SaaS-Kunden. Glücklicherweise waren die kundenseitigen Produkte, die Infrastruktur und sensible technische Daten nicht betroffen; auch Passwörter und Zahlungskarteninformationen waren nicht involviert. Die offengelegten Daten reichten jedoch aus, um gezielte Phishing-Angriffe zu unterstützen.

Zweite Offenlegung

Nach der ersten Erpressung durch Icarus behauptete eine andere unbefugte Partei, dieselben Daten zu besitzen, und leitete eine neue Erpressungswelle ein. Dies deutet darauf hin, dass die Systeme der ursprünglichen Angreifer selbst kompromittiert wurden. Dies erhöht das Risiko einer weiteren Datenweitergabe und verkompliziert die Incident-Response.

Auswirkungen auf Unternehmen

Betriebliche Risiken

Die betroffenen Salesforce-Integrationen wurden vorübergehend deaktiviert, was die Effizienz von Teams beeinträchtigte, die auf Klue für Marktinformationsanalysen angewiesen sind. Kunden mussten alle zugehörigen OAuth-Token manuell überprüfen und rotieren, was einen zusätzlichen Betriebsaufwand darstellt.

Finanzielle Risiken

Zahlungen von Lösegeldern können zu direkten finanziellen Verlusten führen. Gleichzeitig können Datenschutzverletzungen Vertragsstrafen auslösen, insbesondere bei Kunden mit Service-Level-Agreements (SLAs).

Compliance-Risiken

Die offengelegten CRM-Daten können personenbezogene Daten (PII) enthalten, was unter Vorschriften wie der DSGVO und dem CCPA regulatorische Untersuchungen und Geldstrafen nach sich ziehen kann. Betroffene Unternehmen müssen die Datenkategorien bewerten und die zuständigen Aufsichtsbehörden rechtzeitig informieren.

Markenrisiko

Bei Sicherheitsanbietern wie Huntress kann das Kundenvertrauen aufgrund des eigenen Lieferketten-Sicherheitsvorfalls Schaden nehmen.### Markenrisiko

Für Sicherheitsanbieter wie Huntress könnte das Vertrauen der Kunden aufgrund eigener Lieferketten-Sicherheitsvorfälle geschädigt werden.

Datenrisiko

Die offengelegten Geschäftskontaktinformationen können für Social-Engineering-Angriffe genutzt werden, das Risiko von Phishing-E-Mails gegen Führungskräfte oder Vertriebsteams steigt erheblich.

Branchentrends beobachten

Lieferkettenangriffe nehmen weiter zu

Dieser Vorfall ist kein Einzelfall. In den letzten Jahren hat die Zahl der Lieferkettenangriffe über SaaS-Integrationen von Drittanbietern zugenommen, wie zum Beispiel der MoveIt-Transferangriff im Jahr 2023. Angreifer setzen zunehmend auf legitime OAuth-Tokens und APIs, um bösartige Aktivitäten zu verbergen.

OAuth-Sicherheit im Fokus

OAuth-Tokens, als Kern der modernen Identitätsautorisierung, stellen aufgrund schlechter Verwaltung ein erhebliches Risiko dar. Unternehmen müssen eine Token-Management-Strategie über den gesamten Lebenszyklus entwickeln, einschließlich der Einschränkung von Token-Berechtigungen, regelmäßigem Wechsel und Überwachung anormaler Nutzung.

Angreifer greifen sich gegenseitig an

Die sekundäre Kompromittierung von Icarus selbst offenbart Wettbewerb und Verrat in der Untergrundkriminalökologie. Unternehmen sollten vorhersehen, dass Daten zwischen mehreren Angreifern zirkulieren können, und der Erpressungsdruck endet nicht mit dem ersten Vorfall.

Verteidigungs- und Reaktionsempfehlungen

Auf Unternehmensebene

• Identitätssicherheit: Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA) für alle Integrationen von Drittanbietern und erzwingen Sie die Verwendung von kurzlebigen Tokens anstelle von langfristigen Anmeldeinformationen.
• Zero Trust: Implementieren Sie das Prinzip der geringsten Berechtigungen und beschränken Sie den Zugriff der Integrationsanwendungen auf die erforderlichen Datenbereiche.
• Schwachstellenmanagement: Überprüfen und entfernen Sie regelmäßig veraltete oder ungenutzte Anmeldeinformationen und Integrationen.

Auf technischer Ebene

• SIEM/SOAR: Integrieren Sie OAuth-Token-Nutzungsprotokolle und konfigurieren Sie Alarmierungsregeln zur Erkennung anormaler Token-Aktivitäten, z. B. Anfragen von untypischen IPs oder zu untypischen Zeiten.
• EDR/XDR: Überwachen Sie anomale Prozesse und Netzwerkverbindungen auf Endpunkten, insbesondere laterale Bewegungen für den Zugriff auf Anmeldeinformationen.
• Bedrohungsinformationen: Abonnieren Sie relevante IoC-Quellen und blockieren Sie bekannte bösartige IPs rechtzeitig (z. B. 138.226.246[.]94 usw.).

Auf Managementebene

• Vorfallreaktion: Entwickeln Sie einen speziellen Plan für Datenlecks von Drittanbietern, der die Kontaktaufnahme mit der Rechtsabteilung des Unternehmens, der Versicherung und den Strafverfolgungsbehörden (z. B. FBI) klar definiert.
• Risikomanagement von Drittanbietern: Führen Sie Sicherheitsbewertungen für wichtige SaaS-Anbieter durch und fordern Sie deren Offenlegung von Sicherheitsvorfällen und Notfallpläne an.

SecurityPost Insight

Der Klue-Datenleck hat erneut Alarm geschlagen: Die Sicherheitsverantwortung von Unternehmen kann nicht mehr auf die eigene Firewall beschränkt werden. Die Flut von OAuth-Tokens durch Integrationen von Drittanbietern macht jeden Verbindungspunkt zu einem möglichen Einfallstor. Bei diesem Angriff nutzten die Angreifer „veraltete“ Anmeldeinformationen – viele Unternehmen verfügen über keine wirksamen Mechanismen zur Bereinigung.Besonders besorgniserregend ist das Phänomen der sekundären Datenlecks: Der ursprüngliche Angreifer selbst wurde gehackt, was zeigt, dass das Ökosystem von Ransomware-as-a-Service (RaaS) interne Schwachstellen aufweist. Unternehmen sollten auf die Möglichkeit achten, dass Daten mehrfach weiterverkauft werden. In Zukunft werden OAuth-basierte Supply-Chain-Angriffsmethoden noch automatisierter ablaufen. Unternehmen müssen die Governance von Identitäten Dritter in die Zero-Trust-Architektur integrieren und die Sicherheit von SaaS-Integrationen genauso prüfen wie interne Systeme.

CISOs wird empfohlen, „Integrationsrisiken“ als Schwerpunkt für die Überprüfung im zweiten Halbjahr 2026 zu setzen, insbesondere im Hinblick auf Anbieter, die OAuth-Tokens verwalten.