Azure Cosmos DB: Masterkey für Vollzugriff entdeckt — was Administratoren jetzt prüfen sollten

Wenn Sicherheitsforscher eine Schwachstelle in einem Cloud-Dienst melden, denken viele zunächst an eine isolierte Lücke, die einzelne Kundenkonten betrifft. Der aktuelle Fund liegt strukturell anders: Nach einem Bericht von Golem.de haben Forscher einen Schlüssel identifiziert, der potenziell vollständigen Lese- und Schreibzugriff auf alle Datenbanken von Microsofts Azure Cosmos DB ermöglicht hätte — einschließlich der Datenbanken von Microsoft selbst. Das ist kein typischer Patch-Fall.

Azure Cosmos DB ist Microsofts global verfügbarer, vollständig verwalteter NoSQL-Datenbankdienst. Unternehmen weltweit setzen ihn für geschäftskritische Anwendungen ein: von E-Commerce-Katalogen über IoT-Datenströme bis zu Echtzeit-Analysen. Die tiefe Integration in das Azure-Ökosystem macht den Dienst attraktiv — und zu einem lohnenden Angriffsziel.

Was ist passiert?

Forscher haben nach Golem-Angaben einen sogenannten Masterkey identifiziert, der Angreifern umfassenden Zugriff auf den Dienst verschafft hätte. Ein solcher Schlüssel auf Dienstebene würde die Mandantentrennung unterlaufen — also genau das Sicherheitsversprechen, auf das Cloud-Nutzer vertrauen: dass ihre Daten von denen anderer Kunden isoliert sind. Dass potenziell auch Microsofts eigene Datenbanken erreichbar gewesen wären, unterstreicht die Tragweite.

Was ist belegt — und was bleibt offen?

Der Bericht von Golem.de beschreibt die Existenz des Masterkeys und den Zugriff, den er ermöglicht hätte. Öffentlich nicht bestätigt ist zum jetzigen Zeitpunkt, ob der Schlüssel aktiv ausgenutzt wurde, welche Datenbanken konkret erreichbar waren und ob Microsoft eine vollständige Schließung der Lücke bereits abgeschlossen hat. Details zur genauen Angriffsmethode wurden nach bisherigen Berichten ebenfalls noch nicht vollständig offengelegt.

Das ist kein Makel in der Berichterstattung — das ist der typische Stand bei frisch publizierten Schwachstellenberichten. Unternehmenskunden sollten Microsoft direkt nach dem aktuellen Status befragen und auf offizielle Security Advisorys warten.

Einordnung: Warum das ernster ist als eine klassische CVE

Bei einer Softwareschwachstelle in der eigenen Infrastruktur patcht der Administrator sein System selbst. Bei einer Lücke auf Dienstebene in der Cloud ist er abhängig — er kann nicht selbst handeln, sondern muss vertrauen, dass der Anbieter reagiert und transparent kommuniziert. Aus dem Betrieb unserer Systeme im Maincubes-Rechenzentrum in Frankfurt heraus kennen wir diese Abwägung gut: Es gibt gute Gründe für verwaltete Datenbankdienste in der Cloud. Die Entscheidung sollte aber immer informiert sein — und ein Teil des Sicherheitsperimeters liegt beim Anbieter, nicht beim eigenen IT-Team. Das ist keine Kritik an Cloud-Diensten, aber ein Strukturfakt, der in die Risikobewertung gehört.

Was Sie jetzt prüfen sollten

Falls Ihr Unternehmen Azure Cosmos DB einsetzt:

Microsoft-Kommunikation verfolgen: Hat Microsoft ein offizielles Security Advisory zu diesem Fund veröffentlicht? Falls ja, was empfiehlt Microsoft konkret als Maßnahme?

Zugriffsprotokolle sichten: Azure Cosmos DB protokolliert Datenbankzugriffe über Azure Monitor und Diagnostic Logs. Ungewöhnliche Zugriffe — aus unbekannten Quellen oder zu unüblichen Zeiten — sollten Sie manuell prüfen.

Netzwerkzugriff einschränken: Wenn Ihre Cosmos-DB-Instanz öffentlich erreichbar ist, können Sie den Zugriff auf bekannte IP-Bereiche oder Virtual Networks begrenzen. Das reduziert die Angriffsfläche.

Account Keys rotieren: Azure Cosmos DB erlaubt die Rotation von Account Keys. Als Vorsichtsmaßnahme ist das vertretbar — und kostet wenig Aufwand.

Datensensitivität bewerten: Welche Informationen liegen in Ihren Cosmos-DB-Instanzen? Je kritischer die Daten, desto dringender die Überprüfung.

Verwaltete Cloud-Dienste bieten in aller Regel durchdachte Sicherheitsarchitekturen — solche Funde erinnern aber daran, dass der Sicherheitsperimeter in der Cloud breiter ist und ein Teil davon außerhalb der direkten Kontrolle des eigenen Teams liegt.

Quellen: Golem.de — „Microsoft: Forscher finden Masterkey für Vollzugriff auf Azure-Datenbanken“ (https://www.golem.de/news/microsoft-forscher-finden-masterkey-fuer-vollzugriff-auf-azure-datenbanken-2607-211473.html)