---
adresse: "https://qvestcon.com/dora-update-markus-junge/offengelegte-zugangsdaten-bleiben-jahrelang-gueltig_e34a493a/"
titel: "Offengelegte Zugangsdaten bleiben…"
beschreibung: "Truffle Security hat Zugangsdaten aus öffentlichen GitHub-Repositories geprüft. Der Datenbestand umfasst 224…"
sprache: "de-DE"
stand: "2026-11-02"
---

Qvestcon News

# Offengelegte Zugangsdaten bleiben jahrelang gültig

Truffle Security hat Zugangsdaten aus öffentlichen GitHub-Repositories geprüft. Der Datenbestand umfasst 224 Millionen Repositories und reicht bis zum 7. August 2025. Bei der Prüfung am 27. und 28. Juli 2026 funk­tio­nier­ten noch 543.699 einzigartige Zugangsdaten. Im Median waren sie 784 Tage öffentlich zugänglich. Bei Google-Cloud-Dienstkonten waren 69.041 von 126.963 gefundenen Zugangsdaten gültig, also rund 54 Prozent. Von 101.886 npm-Tokens galt nur noch eines. Die Funktion Push Protection von GitHub senkte die Rate offengelegter Zugangsdaten in den unterstützten Kategorien um 53 Prozent. 51,8 Prozent der gültigen Funde gehörten jedoch zu Kategorien, die sie standardmäßig nicht blockiert, etwa Datenbank-Ver­bin­dungs­zei­chen­fol­gen und Google-API-Schlüssel. Die Untersuchung belegt keine tatsächliche Nutzung durch Angreifer. Praktische Einordnung von Qvestcon für CISO und IT: Offengelegte Schlüssel zuerst beim Dienst widerrufen oder ersetzen. Das Löschen aus der aktuellen Dateiversion genügt nicht, weil Git-Historie, Forks und Kopien die Daten behalten. Danach folgen die Prüfung der Repositories samt Historie, kurzlebige Zugangsdaten mit Ablaufzeit, Secret-Scans in CI/CD-Prozessen und die Auswertung der Zugriffs­pro­to­kolle. Umgesetzt ist das Verfahren, wenn ein Widerruf nachweisbar zeitnah nach jedem Fund erfolgt.

[Weitere](https://qvestcon.com/news/weitere/)28.10.2026

Truffle Security hat Zugangsdaten aus öffentlichen GitHub-Repositories geprüft. Der Datenbestand umfasst 224 Millionen Repositories und reicht bis zum 7. August 2025. Bei der Prüfung am 27. und 28. Juli 2026 funk­tio­nier­ten noch 543.699 einzigartige Zugangsdaten. Im Median waren sie 784 Tage öffentlich zugänglich. Bei Google-Cloud-Dienstkonten waren 69.041 von 126.963 gefundenen Zugangsdaten gültig, also rund 54 Prozent. Von 101.886 npm-Tokens galt nur noch eines. Die Funktion Push Protection von GitHub senkte die Rate offengelegter Zugangsdaten in den unterstützten Kategorien um 53 Prozent. 51,8 Prozent der gültigen Funde gehörten jedoch zu Kategorien, die sie standardmäßig nicht blockiert, etwa Datenbank-Ver­bin­dungs­zei­chen­fol­gen und Google-API-Schlüssel. Die Untersuchung belegt keine tatsächliche Nutzung durch Angreifer. Praktische Einordnung von Qvestcon für CISO und IT: Offengelegte Schlüssel zuerst beim Dienst widerrufen oder ersetzen. Das Löschen aus der aktuellen Dateiversion genügt nicht, weil Git-Historie, Forks und Kopien die Daten behalten. Danach folgen die Prüfung der Repositories samt Historie, kurzlebige Zugangsdaten mit Ablaufzeit, Secret-Scans in CI/CD-Prozessen und die Auswertung der Zugriffs­pro­to­kolle. Umgesetzt ist das Verfahren, wenn ein Widerruf nachweisbar zeitnah nach jedem Fund erfolgt.

- [#Banken](https://qvestcon.com/stichwoerter/b/#banken)
- [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer)
- [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister)
- [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/m-p/#pruefungsplanung)
- [#Qvestcon](https://qvestcon.com/stichwoerter/q-s/#qvestcon)
- [#MarkusJunge](https://qvestcon.com/stichwoerter/m-p/#markusjunge)
- [#ITSicherheit](https://qvestcon.com/stichwoerter/i-j/#itsicherheit)
- [#Secret­Ma­nage­ment](https://qvestcon.com/stichwoerter/q-s/#secretmanagement)

[Ori­gi­nal­quelle: Security-Insider →](https://www.security-insider.de/gueltige-zugangsdaten-oeffentliche-github-repositories-truffle-security-a-a993995a1f06592b8c2192376196aed5/?cmp=nl-1ee4fad4-1104-402c-b7af-718b657df63f&uuid=A3B680B6-862E-4C0F-9B9B-F6448A5D7486)

Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall.

[Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20Offengelegte%20Zugangsdaten%20bleiben%20jahrelang%20g%C3%BCltig#erstgespraech)

[Weitere Meldungen in Weitere](https://qvestcon.com/news/weitere/) · [alle Qvestcon-News](https://qvestcon.com/news/)