Stell dir vor, Du kannst auf jede Microsoft Azure Cosmos DB in der Cloud zugreifen, weil Du den Masterkey kennst? Klingt irre, aber Sicherheitsforschern von Wiz ist genau dieser Masterkey in die Finger gefallen, wie ich ich heute gelernt habe. Das Ganze hat den Namen CosmosEscape bekommen. Heißt aber, dass jede Microsoft Azure Cosmos DB von Microsoft (und möglicherweise von Dritten) gelesen und durchforstet werden kann.
Vorbemerkungen: Insidern ist klar, dass da ein solcher Masterkey existiert, weil Microsoft (wie auch andere US-Anbieter) nach dem US-Cloud Act auf Anforderung Daten von Kunden, die auf seinen Servern gespeichert sind, an die US-Regierung herausgeben muss.
Ein Leserhinweis im Diskussionsbereich
Blog-Leser Tomas Jakobs hat im Diskussionsbereich des Blogs zum 31. Juli 2026 den Kommentar: "Benutzt jemand Microsoft Azure? Hat seine Datenbanken drin?
Ein Master-Key für alle Datenbanken cross-tenant, cross-zone, cross-everything. Ich würde sagen eine absichtlich eingebaute Backdoor… die oppps… jetzt public ist."
Tomas Jakobs hat auf den obigen Tweet des WIZ-Sicherheitsforschers Juval Avrahami verwiesen, der das Thema zum 30. Juli 2026 öffentlich machte.
Herumprobieren mit API liefert Geheimnisse
Beim Herumprobieren mit den APIs von Cosmos DB haben die Sicherheitsforscher Gremlin – die Graphdatenbank-API – ausprobiert und dabei eine verdächtige .NET-Ausnahme erhalten, schrieb der Sicherheitsforscher.
Es stellte sich heraus, dass Azure Gremlin-Abfragen als .NET-Code in einer Sandbox ausführte. Microsoft hatte zwar Einschränkungen definiert, um die Ausführung von beliebigem Code zu verhindern. Laut Juval Avrahami berücksichtigte die Sandbox jedoch die .NET-Reflexion nicht vollständig. Es gelang den Sicherheitsforschern mit Code aus der Sandbox zu entkommen, so dass sie beliebigen Code auf dem Service-Backend ausführen konnten.
Zugriff per Masterkey auf alles
Im Backend von Azure haben die Sicherheitsforscher von Wiz sich dann weiter vorgearbeitet. Letztendlich stießen sie auf das, was sie als "den Heiligen Gral" bezeichnen. Der Schlüssel (Masterkey), der jede Datenbank auf der Azure-Plattform von Microsoft freischaltet. Das heißt, die Sicherheitsforscher hatten laut Mitteilung Zugriff auf :
- Jede Art von Datenbank auf Azure
- Für jede Region
- Sowohl öffentliche als auch private Datenbanken
Und um das Ganze noch zu krönen, konnten die Sicherheitsforscher die Datenbankzugriffe über das öffentliche Internet freischalten. Der Schlüssel ermöglichte zudem die Suche über alle Konten in CosmosDB hinweg, was bedeutet, dass ein Angreifer bestimmte Organisationen anhand der Mandanten-ID oder der Domain ins Visier hätte nehmen können:
Die Auswirkungen beschränkten sich jedoch nicht nur auf externe Kunden. Microsoft selbst nutzt CosmosDB für Kernservices wie Teams, Copilot und Entra ID. Durch CosmosEscape hätten auch deren Datenbanken offengelegt werden können.
Das ist quasi der GAU für Microsoft, und in Europa müssten meiner Meinung nach jetzt Azure-, Teams-, Copilot-, Entra ID- oder M365-Kunden eine vorsorgliche DSGVO-Meldung bei der Landesdatenschutzaufsicht einreichen, sofern persönliche Daten von Personen dort gespeichert waren. Denn es ist ja potentiell ein DSGVO-Vorfall.
Die Sicherheitsforscher haben das Ganze im Rahmen eines Responsible Disclosure an Microsoft gemeldet. Redmond hat daraufhin innerhalb von weniger als 48 Stunden einen Hotfix bereitgestellt. Außerdem haben die Micrsooft-Entwickler den Hauptschlüssel entfernt und die Authentifizierungsarchitektur des Dienstes abgesichert. Es ist jetzt also nicht mehr möglich, den obigen Zugriffsweg zu nutzen.
Die WIZ-Sicherheitsforscher haben ihre Erkenntnisse zum 30. Juli 2026 im Blog-Beitrag CosmosEscape: Taking Over Every Database in Azure Cosmos DB dokumentiert und planen das Ganze auf der BlackHat USA 2026 im Talk "One Key to Rule Them All: Taking Over a Flagship Cloud Service" zu präsentieren. Ergänzung: heise hat die Interna in diesem deutschsprachigen Beitrag noch etwas detaillierter beschrieben.
Noch ein Leserhinweis und mein Fazit
Der Sachverhalt wurde mir zudem von Blog-Leser Stephan bereits heute Vormittag per E-Mail mit dem Begleittext "CLOUD Act und PATRIOT Act lassen grüßen" präsentiert. Stephan hatte mir einen Link auf diesen Golem-Beitrag geschickt, die das Thema dort aufgegriffen haben.
Der Vorfall bestätigt das, was Insider immer schon wussten oder zumindest postuliert haben, aber teilweise als Aluhut-Träger abgestempelt wurden. Unternehmen speichern ihre Geschäftsgeheimnisse in Datenbanken in der US-Cloud – und die Anbieter (sowie weitere Stellen) haben über einen Masterkey Zugriff auf alle Daten. Ich hatte gestern noch den Beitrag Backdoor (CVE-2026-20316) in Cisco Firewall wird ausgenutzt hier im Blog. Dort war ein Konto mit festen Zugangsdaten in einer Cisco Firewall-Verwaltungssoftware aufgeflogen, weil Cyberangreifer sich damit Zugriff verschafft hatten.
Und damit sind wir beim Kernthema. Immer wenn staatliche Stellen einen "Aufbruch einer Verschlüsselung" oder einen Masterkey fordern, um im Falle eines Falles als Strafverfolger aktiv werden zu können, weisen Sicherheitsexperten auf folgendes hin: Wenn es einen Masterkey gibt, wird dieser früher oder später öffentlich und dann haben auch andere Akteure (Cyberkriminell, Spione, staatliche Hackergruppen) Zugriff auf die Inhalte.
Und jetzt überlegen wir nochmals: Firmen stellen bereitwillig ihre Daten, ihr Wissen, ihre vertraulichen Informationen und Geheimnisse in Azure- (oder andere) Datenbanken. Aber es gibt einen Masterkey, über den jeder auf diese Informationen zugreifen kann. Für staatlich gelenkte Wirtschaftsspionage oder Cyberangriffe ein gefundenes Fressen. Aber ich höre immer wieder "das ist alternativlos". Was habe ich nicht verstanden, bzw. wo bin ich falsch abgebogen?
MVP: 2013 – 2016
Ohne Worte -.-
Diese Firma ist eine einzige Zumutung. Und damit verdienen die auch noch Kohle :(
Ein "Key" von vielen und sicher bald nicht mehr funktionsfähig, solange die nicht den "WilliamHenry3GoldKey" finden ist alles gut. Haha!
Das MS für Ihre Produkte Masterkeys hat wird schon seit Jahrzehnten gemunkelt, bisher fehlten halt nur die Beweise ;-P nicht wirklich überraschend…
Man munkelt auch das das für jede US Softwarefirma zutrifft… nicht dein Blech nicht mehr deins! Alte Binsenweisheit. Der Mensch ist numal nur ein begrenzt soziales Wesen.
Hören will das halt keiner…
"Das MS für Ihre Produkte Masterkeys hat wird schon seit Jahrzehnten gemunkelt, bisher fehlten halt nur die Beweise "
Also spätestens mit dem Storm-0558 Hack vor ein paar Jahren war das doch bekannt, da ist MS doch schon mal ein Masterkey für ihre Azure Cloud bzw. Exchange Online "abhanden" gekommen. Und wenn ich das richtig im Kopf habe können die bis heute nicht sagen, ob die Hacker nicht noch in den Systemen drin sind.
Bei jeder anderen "normalen" Firma hätte es geheißen: "System kompromittiert, alles wegschmeißen und komplett von 0 neu aufsetzen", aber Microsoft ist halt "Too big to fail".
Das ist auch eine der beliebtesten Datenbanken für Gesundheitsdaten. 😅
https://learn.microsoft.com/en-us/azure/healthcare-apis/azure-api-for-fhir/fhir-features-supported
Wer erinnert sich noch: wer der elektronischen Patientenakte aus Datenschutzgründen widersprochen hat, war ein Schwurbler.
Wohl bekomms.
Könnte man jetzt noch auf andere Bereiche ausweiten, aber das wollen manche ja nicht hören 😅
Hau ruhig raus, Selina. 😅
ZEISS: https://blogs.zeiss.com/digital-innovation/en/digital-health-solutions-with-azure-healthcare-apis/
Philips: https://www.philips.com/a-w/about/news/archive/standard/news/press/2019/20190224-philips-showcases-unique-augmented-reality-concept-for-image-guided-minimally-invasive-therapies-developed-with-microsoft.html
European Health Data Space: https://pulse.microsoft.com/en/transform-en/healthcare-en/fa2-european-health-data-space-aims-to-unleash-the-full-potential-of-health-data/
…
Kevin Beaumont schrieb auf Mastodon: "Fun fact – all the customer Microsoft Defender for Endpoint telemetry is in CosmoDB." als Antwort auf einen Post von Will Dormann (@wdormann@infosec.exchange): "Wiz found a master key that could access every database in Azure's Cosmos DB. #cosmosescape".
Whoops.
"Whoops" gilt seit spätestens Snowden für jeden, der US-Software produktiv einsetzt. Die Augen werden nur weiter fest verschlossen, man will es einfach nicht wahrhaben, dass "die transatlantischen Freunde" keine sind.. Und unsere Politik ist fest darin verstrickt, das will auch kaum jemand wissen, ganz im Gegenteil, Hinweise darauf werden gar nicht gerne gesehen.
Wieder mal ein Beitrag der mich bestärkt, mit weg von Microsoft, weg von US- und Big Tech auf dem richtigen Weg zu sein. Letztes Jahr das Management-System gewechselt, dieses Jahr weg von MS-Exchange, nächstes Jahr … wir werden sehen, Stück für Stück. Diversifizieren und vermehrt auf kleinere und möglichst Europäische Firmen setzen. In unserer Firma ist dies glücklicherweise noch möglich.
Im Grundsatz stimme ich dir zu, jedoch bringt dieser Ansatz auch gewisse Risiken mit sich. Wenn man sich auf mehrere Anbieter verteilt, steigt automatisch die Angriffsfläche für potenzielle Sicherheitslücken. Das bedeutet, dass man nicht nur mehr Zeit für die Verwaltung und Wartung aufwenden muss, sondern auch zusätzliche Ressourcen für die Absicherung der verschiedenen Systeme benötigt.
Ob diese Diversifizierung im Endeffekt tatsächlich einen Vorteil bringt, ist daher aus meiner Sicht durchaus fraglich und hängt stark davon ab, wie gut die einzelnen Angebote abgesichert und betreut werden können.
Naja, eigene Verantwortung halt.
Aber mal andersherum: Du nutzt Fremde Infrastruktur und verlässt dich darauf das die das soweit sicher betreiben damit du damit arbeiten kannst. Und dieser jemand macht es nicht gut oder schlampig. Absichtlich (Backdoor) oder unbewusst (Fehler) oder nicht ist erstmal egal. Es betrifft dich ggf. trotzdem. Deine Daten, du musst deine Kunden informieren, DSGVO Vorfall etc. pp. Also immer noch deine Verantwortung.
Haftung des Anbieters? Gemäß AGB die du Akzeptiert hast begrenzt oder nicht vorhanden.
Das wir hier in der Ausbildung nicht mehr das Beibringen wie die IT Sachen funktionieren (E-Mail, Dateiablage, Was macht eine Datenbank etc. ) und wir nur noch Leute ausbilden die Produkte „Administrieren" (oder soll ich besser sagen bedienen?) führt in die Situation das wir von diesen Unternehmen abhängig geworden sind.
Und mir würden noch massig andere Sachen einfallen:
Z.B Schulungsunterlagen (Ne, guck ein Video an und bekomme Erfolgspunkte).
Firewalls mit IDS / IPS SSL Decryption, WAF etc. Aber im welchem Moment greift welcher Filter? So etwas Simples wie ein Ablaufplan wie die Filter zusammenarbeiten wäre doch mal schön.
Selbst wenn man sich hier richtig fortbilden möchte bekommt wird einem das nicht leicht gemacht.
Mal so die Frage in die Runde: Wer der hier virtuell Anwesenden macht jetzt für seine eigene Umgebung eine DSGVO-Meldung? Denn zu behaupten, man habe in einem produktiv genutzten Entra- oder MS365-Tenant keine personenbezogenen Daten, ist ja wohl reichlich realitätsfern.
Muss ich nicht… alles Onprem! Cloud; KI & Co sind ein NoGo… gibts hier nicht!
Dafür wird man als Schwurbler; Aluhutträger" beschimpft" … tja da bin ich eben Schwurbler, dafür sind meine Daten safe! Sollten die mir doch mal abhanden kommen bin ich selbst Schuld… abder das Risiko kann ich handeln!
Nicht dein Blech nicht mehr deins, verantwortlich bleibst du aber ;-P
Du warst damit dann auch nicht angesprochen. Dein überbordender Geltungsdrang ließ dich dann aber doch wie so oft völlig daneben kommentieren.
Ein Masterkey? Nein! Doch! Oooh!
Das ist kein Masterkey. Das ist nur ein Schlüssel, der in alle Schlösser passt.
Ein Schlüssel, der in alle Schlösser passt, ist ein normaler Türschlüssel, der für jedes Schloss verwendet wird. Er ist nicht speziell für das Öffnen mehrerer Schlösser konzipiert und erfordert für jedes Schloss einen eigenen Schlüssel. (sagt die Künstliche Inkompetenz).
Daher klingt Masterkey oder Generalschlüssel richtig für mich.
Ernsthafte Frage: Ist es nach aktueller Rechtslage bereits ein meldepflichtiger DSGVO-Fall für jeden Kunden, der dort eine Datenbank hat, wenn lediglich die Tür offensteht, oder kommt das erst dann, wenn einer reinging und was mitgenommen hat?
M.E. müsste man angesichts der US-Gesetze sofort eine DSGVO-Meldung machen, wenn man Daten bei US-Firmen speichert, da man sie ja in dem Augenblick quasi als "abgeflossen" oder "kompromittiert" ansehen kann.
"Außerdem haben die Micrsooft-Entwickler den Hauptschlüssel entfernt und die Authentifizierungsarchitektur des Dienstes abgesichert. Es ist jetzt also nicht mehr möglich, den obigen Zugriffsweg zu nutzen."
Ok, Backdoor 1 von ???? verbrannt.
Nach dem HotFix können die Kunden jetzt wieder daran glauben, dass ihre Daten in der Cloud ABSOLUT sicher sind… fast so blöd wie "In God we trust"
@Günter:
"Was habe ich nicht verstanden, bzw. wo bin ich falsch abgebogen?"
Keine Sorge, Du hast alles kapiert – die breite Masse lässt eben gern andere Entscheiden, was gut für sie ist, und obendrauf noch nicht mal lernfähig…
This!
Du brauchst den Leuten (erst recht Konzernen) heute nur noch schön rechnen dass irgendwas billiger wird, dann glauben die alles…
Finde ich jetzt ehrlich gesagt auch nicht überraschend, bei Microsoft finde ich sozusagen nichts mehr besonders Überraschend!
Moment: Dieses Thema hatten wir doch schon einmal und wurde angeregt diskutiert!? Uuupppsss…
Was soll man zu diesem Totalversagen überhaupt noch sagen?
[Gestohlener Azure-Master-Key: Microsofts Sicherheitsversagen ist jetzt amtlich]
Quelle: Heise online – 03.04.2024, 18:57 Uhr
https://www.heise.de/news/Klatsche-fuer-Microsoft-US-Behoerde-wirft-MS-Sicherheitsversagen-vor-9674431.html
Zumindest meine Worte immer und immer wieder, hat aber tatsächlich keinen interessiert: Lasst die Finger von Clouds bzw. die Zentralisierung der IT über Dienstleister.
Aber nöööö… die Geschäftsführung (nicht IT) weiß es ja immer besser. Na dann…
Kann man bei Firmen und Behörden per DSGVO-Auskunft nachfragen, ob die eigenen persönlichen Daten mit Software oder Online-Diensten von US-Unternehmen verarbeitet werden?
Nur bei Microsoft? Ihr könnt sicher sein, dass alle anderen US-Konzerne und ihre Töchter das gleiche machen und eine Backdoor a la PATRIOT-Act und CLOUD-Act einbauen (müssen).
Manche sind so ungeschickt und lassen sich erwischen und manche nicht.