90.000 Dollar für Google-Lücke: Was Betriebe in Baden lernen

Ein 22-jähriger Feldkircher hat eine schwere Sicherheitslücke bei Google gefunden und dafür 90.000 US-Dollar bekommen. Der Fehler steckte nicht in einem raffinierten Trick, sondern in ein paar Programmierentscheidungen, die zusammen gefährlich wurden. Genau deshalb lohnt sich der Fall auch für Betriebe im Bezirk Baden: als Anlass, die eigene Website und die eigenen Zugänge einmal durchzugehen.

Österreicher findet kritische Google-Lücke

Simon Köck aus Feldkirch bezeichnet sich als ethischer Hacker. Er sucht Sicherheitslücken, um sie den Betroffenen zu melden, nicht um sie auszunutzen. Laut ORF Vorarlberg programmiert er seit seinem 13. Lebensjahr, bei der Stadt Wien hat er bereits 15 kritische Lücken gemeldet. Der Fund bei Google ist sein bisher lukrativster. Warum gerade er ihn gemacht hat? „Es gehört viel Glück dazu“, sagt Köck dem ORF.

Betroffen war DevSite, die Plattform hinter Googles Seiten für Entwicklerinnen und Entwickler, etwa developers.google.com und firebase.google.com. Köck meldete den Fehler am 6. August, Google bestätigte ihn am Tag darauf. Am 27. August stand die Belohnung fest: 90.000 Dollar, ein Grundbetrag von 75.000 Dollar plus einem Aufschlag für die besonders gute Qualität seines Berichts. Laut „Standard“ stufte Google die Lücke als „S0“ ein, die Zeitung übersetzt das mit „Alarmstufe Rot“.

Wann war die Lücke zu?

Im ORF sagt Köck: „Innerhalb von 24 bis 48 Stunden haben sie die Lücke geschlossen, also sehr schnell gehandelt.“ In seinem eigenen technischen Bericht steht als Datum der endgültigen Behebung aber der 7. Oktober. Beides passt zusammen: Laut der Zeitleiste im Bericht spielte Google binnen rund 24 Stunden nach der Bestätigung eine Sofortkorrektur ein. Als vollständig behoben markiert wurde der Fall erst zwei Monate später. Veröffentlicht hat Köck die Details am 12. Oktober, also danach.

Was war bei Google unsicher?

Wenn du dich auf einer Website anmeldest, merkt sie sich das in einem Sitzungs-Cookie, einer kleinen Datei in deinem Browser. Das Programmiergerüst Flask, auf dem der betroffene Teil lief, unterschreibt dieses Cookie digital, damit niemand es verändern kann. Lesen kann man es trotzdem.

Und genau da lag das Problem: Im Cookie stand das Geheimnis, mit dem sich DevSite bei Googles Anmeldedienst (OAuth) ausweist. Dasselbe Geheimnis diente zugleich als Schlüssel für die Unterschrift. Das ist ungefähr so, als würde man den Generalschlüssel auf die Rückseite der Eintrittskarte drucken. Wer ihn kannte, konnte sich selbst gültige Cookies ausstellen. Dazu kam, dass der Server Daten aus dem Cookie mit einem Python-Werkzeug (pickle) einlas, das dabei auch Befehle ausführen kann. Zusammen ergab das eine sogenannte Remote Code Execution: Fremder Code hätte auf Googles Servern laufen können, ohne Passwort.

Köck hat das nur mit einem harmlosen Test bewiesen. Er ließ den Server ein paar Sekunden warten und maß die Antwortzeit. Ob jemand anderer die Lücke vorher ausgenutzt hat, ist nicht bekannt. Mit Gmail oder den Google-Konten der Nutzerinnen und Nutzer hatte der Fehler direkt nichts zu tun.

Warum das auch Betriebe in Baden angeht

Der Google-Fehler betrifft keinen Heurigen, keinen Friseur und keinen Installateur im Bezirk. Das Muster dahinter aber schon: Ein Zugang, der an der falschen Stelle liegt, ein Schlüssel, der für zwei Dinge verwendet wird, eine Software, die niemand mehr aktualisiert. Websites mit Tischreservierung, Online-Shops, Terminbuchung oder ein Kundenkonto beim Lieferdienst sind heute auch bei kleinen Betrieben normal. Jedes davon ist ein Zugang, der geschützt werden muss.

Die Wirtschaftskammer beschreibt eine Masche, die gerade kleine Firmen und Vereine trifft: das sogenannte Website-Kidnapping. Kriminelle nutzen eine Lücke, verändern die Seite unbemerkt und leiten Besucher auf einen Fake-Shop weiter. Die echte Seite rutscht dabei oft aus den Suchergebnissen. Wie schnell eine bekannte Lücke zum Problem wird, zeigt auch unser Beitrag zu den PHP-Sicherheitsupdates im Oktober.

Sieben Dinge, die du für deinen Betrieb prüfen kannst

1. Updates einspielen. Website-System, Erweiterungen und Plugins aktuell halten. Die WKO zählt zeitnahe Updates zu ihren 13 Basismaßnahmen.
2. Für jedes Konto ein eigenes Passwort. Das empfiehlt das Bundeskriminalamt. Ein Passwortmanager nimmt dir das Merken ab.
3. Zwei-Faktor-Anmeldung oder Passkeys einschalten, wo es geht: beim Website-Zugang, beim E-Mail-Konto, beim Google-Unternehmensprofil, bei Social Media.
4. Backups machen und das Zurückspielen ausprobieren. Eine Sicherung, die sich nie wiederherstellen ließ, ist nur eine Hoffnung.
5. Zugänge aufräumen. Wer hat heute noch Admin-Rechte auf der Website? Ehemalige Mitarbeiter, die alte Agentur, der Neffe, der die Seite vor Jahren gebaut hat? Jeder nur so viel, wie er braucht.
6. Formulare und Buchungssysteme warten lassen. Reservierung, Shop und Kontaktformular sind die Stellen, an denen Fremde Daten auf deine Seite schicken. Die gehören in die regelmäßige Wartung.
7. Bei Verdacht nicht allein herumprobieren. Den Website-Betreuer oder Hoster einschalten und Passwörter ändern, mehr dazu unten.

Wer im Bezirk Unterstützung sucht, findet IT-Betriebe und Webagenturen unter IT und Digitales in Baden.

Was Website-Entwickler aus dem Fall mitnehmen

Köck selbst nennt in seinem Bericht, was die Kette verhindert hätte. Für alle, die Websites bauen:

• Keine Geheimnisse und Zugangsschlüssel in Cookies, die der Browser lesen kann. Signiert heißt nicht verschlüsselt.
• Für jede Aufgabe ein eigener Schlüssel. Ein Geheimnis, das zwei Dinge schützt, öffnet im Ernstfall beide.
• Keine Daten von außen mit Formaten einlesen, die dabei Code ausführen können.
• Sitzungsdaten lieber auf dem Server speichern und dem Browser nur eine Kennung geben.

Das sind Lehren aus diesem Fall, kein Befund über irgendeine Website im Bezirk.

Wenn deine Website betroffen sein könnte

Fremde Inhalte, Weiterleitungen, die du nicht eingerichtet hast, neue Admin-Konten oder eine Warnung von Google in der Suche sind Alarmzeichen. Dann zuerst den Website-Betreuer oder den Hoster anrufen. Lösch nicht auf eigene Faust Dateien und spiel nicht sofort ein altes Backup ein: Dabei gehen Spuren verloren, und die Lücke bleibt offen. Mach Bildschirmfotos und notier, wann dir was aufgefallen ist. Die WKO rät, den Zeitpunkt des Angriffs zu ermitteln, Hintertüren zu schließen und Fachleute beizuziehen.

Mitglieder der Wirtschaftskammer erreichen die Cyber-Security-Hotline rund um die Uhr unter 0800 888 133. Die erste Auskunft und eine Erstberatung durch eine zugeteilte IT-Firma sind kostenlos, weitere Arbeit zahlt der Betrieb. Wie Betrüger auch über gefälschte Absender vorgehen, zeigt die Warnung der Gemeinde Schönau vor einer falschen Amts-Mail.

Häufige Fragen

Sind normale Google-Konten durch diesen Fall gefährdet?

Betroffen war die Plattform für Googles Entwicklerseiten, nicht Gmail oder die Anmeldung der Nutzer. Köck sagt dem ORF, die Lücke hätte womöglich Zugriff auf interne Systeme und sensible Daten ermöglicht. Dass das passiert ist, ist nicht bekannt, und die Lücke ist geschlossen.

Muss ich als Google-Nutzer mein Passwort ändern?

Wegen dieses Falls nicht. Ein eigenes, starkes Passwort und die Zwei-Faktor-Anmeldung sind für dein Google-Konto aber ohnehin eine gute Idee.

Können auch kleine Firmenwebsites Lücken haben?

Ja. Meist sind es keine exotischen Fehler, sondern veraltete Plugins, schwache Passwörter oder vergessene Zugänge. Die WKO warnt ausdrücklich, dass kleine Unternehmen und Vereine mit wenig IT-Ressourcen oft Ziel sind.

Wie erkenne ich, ob meine Website ausreichend geschützt ist?

Von außen gar nicht sicher. Frag deinen Betreuer, wann das letzte Update war, wer Admin-Zugang hat und wann zuletzt ein Backup zurückgespielt wurde. Kann er alle drei Fragen beantworten, ist das ein gutes Zeichen. Die WKO hat ihre 13 Basismaßnahmen als Checkliste online.

Mehr Baden für dich.

Dein nächster Lieblingsplatz wartet.

Neue Lokale entdecken, Ausflüge planen und wissen, was in Baden los ist – direkt in dein Postfach.

Deine E-Mail-Adresse

Ja, ich bin dabei!

Kostenlos. Jederzeit abmeldbar. Bitte bestätige deine Anmeldung per E-Mail. Es gilt unsere Datenschutzerklärung.

Baden entdecken. Jeden Tag.

Echte Einblicke, lokale Lieblingsplätze und Ideen für deine Freizeit.

@badenliefert

Auf Instagram entdecken

← Zurück zu Aktuelles aus Baden · Alle Meldungen