OAuth-Token-Leck: Weckruf für Supply Chain-Risikomanagement

Cloud-Dienste und SaaS-Anwendungen sind aus dem Unternehmensalltag nicht mehr wegzudenken. Sie steigern Effizienz, vereinfachen Prozesse und ermöglichen flexible Zusammenarbeit. Gleichzeitig entstehen jedoch immer komplexere Integrationen zwischen verschiedenen Plattformen – und genau diese Schnittstellen entwickeln sich zunehmend zu einem kritischen Einfallstor für Angriffe. Wer die Vorteile der Cloud nutzt, muss daher auch die wachsenden Sicherheitsrisiken im Blick behalten.

Kommentar von Patrick Lehnis, Marketing Manager bei Outpost24

Der Vorfall rund um Salesloft und das vorübergehend offline genommene Drift-System verdeutlichen eindrücklich, wie anfällig solche Integrationen sein können. Angreifern gelang es, OAuth- und Refresh-Tokens zu entwenden, die seit August 2025 für unbefugte Zugriffe missbraucht wurden. Brisant daran ist, dass diese Tokens nicht an klassische Zugangsdaten gebunden sind und im Hintergrund mit weitreichenden Berechtigungen eröffnen. Besonders betroffen waren Verbindungen zwischen Drift und Salesforce – prinzipiell konnten aber auch andere Integrationen ausgenutzt werden.

Der Fall ist ein Paradebeispiel für Supply-Chain-Risiken: Eine einzige Schwachstelle in einem Drittanbieterdienst kann sich unmittelbar auf Hunderte Unternehmen auswirken. Salesloft reagierte mit der Abschaltung von Drift, Salesforce deaktivierte Integrationen, und externe Forensiker unterstützen bei der Aufarbeitung. Die Maßnahmen zeigen, dass schnelle Reaktion und Transparenz im Ernstfall entscheidend sind – dennoch stellt sich die Frage, wie solche Vorfälle künftig besser verhindert werden können.

Wie sich Unternehmen besser absichern können

Solche Angriffe lassen sich nicht vollständig ausschließen, wohl aber durch geeignete Prozesse und Werkzeuge deutlich erschweren. Ein kontinuierliches Monitoring der gesamten externen Angriffsfläche, einschließlich aller Integrationen und Schnittstellen, schafft Transparenz darüber, welche Systeme aktiv sind und wie sie genutzt werden. Werden unautorisierte Endpunkte oder ungewöhnliche Token-Aktivitäten frühzeitig erkannt, kann schneller reagiert werden. Ergänzend helfen eine risikobasierte Priorisierung von Schwachstellen, eine regelmäßige Token-Rotation mit kurzen Lebenszyklen und die konsequente Umsetzung von Least-Privilege-Prinzipien. Moderne Security-Lösungen, die diese Funktionen kombinieren, ermöglichen es Unternehmen, Vorfälle wie den aktuellen früher aufzuspüren und den Schaden zu begrenzen.