Die Tür neben der Eingangstür

TL;DR: Eine öffentliche Hochschule mit Single-Sign-on-Gateway, einem Consent-Banner, das Tracker wirklich blockiert, und einer Lernplattform auf dem aktuellen Sicherheits-Release. Ein Flottenlauf über vier Wellen (48 Units, 445 Befunde) fand die eigentliche Exposition neben der Eingangstür: Das Mail-Backend beantwortete anonyme Anfragen außerhalb von SSO und MFA, ein Listen-Host lief mit Software aus 2010 samt live reproduzierbaren Übernahme-Klassen, eine Dokumenten-Appliance lag in einem 9,8er-Auth-Bypass-Bereich, und öffentliche Zertifikate veröffentlichten bequem 103 interne Hostnamen. Über zwei volle Prüfwellen hat nichts — kein Rate-Limit, keine Challenge, keine Sperre — den Verkehr je gebremst.

Die Ausgangslage

Das Estate wirkte von außen diszipliniert. Ein Single-Sign-on-Gateway vor dem Portal. Ein Consent-Setup, das Tracker tatsächlich stoppt. Eine aktuelle Lernplattform, saubere Hygiene auf der Hauptseite, keine Dotfiles, keine herumliegenden Backups. Das ist das Profil einer Organisation, die tatsächlich Sicherheitspraxis hat.

Eine Flotte aus 48 Agenten-Units lief in vier Wellen dagegen: eine Oberflächen-Welle, eine gezielte Welle, eine Tiefenwelle auf den großen Systemen und eine Verifikationswelle, die jeden Hoch-Befund auf frischen Belegen erneut ausführte. Das Ergebnis ist eine Erinnerung daran, dass ein Estate nicht nach seiner Eingangstür beurteilt wird.

Ich habe alle identifizierenden Informationen entfernt. Das Ziel wird nur über Branche und Technologieklasse beschrieben, damit das Muster wiederverwendbar bleibt.

Das Muster

Die SSO-Eingangstür ist nicht der Perimeter

Das Identitäts-Gateway machte seinen Job: unbekannte Hosts abgewiesen, Sitzungen verwaltet, kein Cookie vor der Authentifizierung. Daneben trug die Edge jedoch eine Pfad-Präfix-Ausnahme — der komplette Mail-Web-Präfix war vom Gateway ausgenommen, damit Mail-Clients direkt mit ihm sprechen konnten.

Diese Ausnahme ist die Architektur der ganzen Geschichte. Sie bedeutete, dass die Mailbox-Endpunkte, die Basic/NTLM-Challenges im offenen Internet beantworteten, nie versehentlich anonym waren: Jemand hatte jede URL unter diesem Präfix so konfiguriert, dass sie die Eingangstür umgeht. Die Ausnahme war ein Wildcard, keine Liste — und Wildcards wachsen. Die Build-Nummer war aus den Antwort-Headern aller acht Front-End-Knoten lesbar, und sie lag zwei Security-Updates zurück, mit einer Sieben-CVE-Lücke, darunter eine nicht authentisierte, per E-Mail auslösbare Code-Ausführung.

Die Lehre: Zähle auf, was dein Identitäts-Layer ausnimmt, und behandle das Ausnahme-Präfix als deine echte Angriffsfläche. Dann teste es von außen, so wie ein Angreifer es täte.

Patch-Rückstand versteckt sich offen

Zwei Hosts trugen die schwerste Exposition, und keiner war versteckt:

• Die Mail-Farm antwortete mit ihrer eigenen Versionsnummer und den fehlenden Updates — in Sekunden lesbar.
• Der öffentliche Listen-Host lief mit einer Release, die 2010 eingestellt wurde, auf einem Web-Stack von 2008, der sich auf jeder Antwort selbst ankündigte. Sechzehn versions-anwendbare CVEs, acht ohne Login erreichbar, kein einziges CSRF-Token in irgendeinem Formular, und ein Listen-Erstellungs-CGI, offen für die ganze Welt.

Niemand hatte etwas versteckt. Der Listen-Host war einfach aus der Update-Geschichte gefallen — ein Dienst, der „einfach funktioniert", ist der am leichtesten vergessene. Und genau dieser vergessene Host trug die live reproduzierbaren Schwächen: ein präparierter Listenname und ein injizierter E-Mail-String, beide reflektiert auf der Vertrauens-Origin. Ein präparierter Link an einen eingeloggten Listen-Administrator bedeutete Listenübernahme — und von dort Massenmail unter der echten Marke der Hochschule.

Das Estate kartiert sich selbst, kostenlos

Certificate-Transparency-Logs sind ein Geschenk für Verteidiger wie Angreifer. Jedes jemals ausgestellte Zertifikat ist öffentlich — einschließlich 103 aktuell gültiger interner Hostnamen in Zertifikaten, die sich alle 60–90 Tage erneuern: das CI/CD-System, Identity-Server, NAC-Appliances, das interne Wiki, Asset-Management, Studierenden-System-Farmen. Niemand muss dieses Estate scannen; es veröffentlicht in festem Takt eine frische Landkarte seiner selbst. Dazu löste ein Hostname öffentlich auf eine private RFC1918-Adresse auf, und die öffentlichen SAML-Metadaten leckten interne CA- und Endpoint-Referenzen.

Die Lehre ist nicht „hört auf, Zertifikate zu benutzen". Sondern: Deine internen Namen sind öffentlich — plane damit, und prüfe deinen eigenen Zertifikats-Fußabdruck bei jedem Audit, bevor es jemand anderes tut.

Keine Detektion ist ein Befund

Über zwei volle Wellen und tausende Requests ist eines nie passiert: ein Rate-Limit, eine Challenge, ein Tarpit, eine IP-Sperre. Null Events. Der komplette externe Kern — DNS, Web, Identity, VPN, Load-Balancer — teilt sich ein /24, ohne eigenes Routing-Präfix.

„Detection fängt das schon" ist ein häufiger Satz in Risiko-Diskussionen. Auf diesem Estate war er nachweislich eine Annahme, keine Kontrolle — weil nichts an der Edge zwei komplette, methodische Prüfwellen unterbrochen hat. Für einen geduldigen Angreifer bedeutet dieselbe Abwesenheit: Credential-Stuffing, Listen-Manipulation und Auskundschaftung laufen wochenlang ungebremst.

Befunde

Der Angriffspfad

Reproduktion im Labor

Das Interessante an diesem Auftrag: Ausnutzung war nicht nötig — die Exposition war architektonisch. Alles wurde read-only gezeigt, und die einzigen Live-Beweise waren nicht-destruktiv:

• Anonyme Mailbox-Oberfläche — ein Identitäts-Gateway mit Präfix-Ausnahme im Labor nachbauen und dann von außen bestätigen, dass die ausgenommenen Pfade anonyme Challenges beantworten, während die Gateway-Pfade es nicht tun. Die Landkarte der Ausnahmen ist die Angriffsfläche.
• Listen-Host-Übernahme — ein Container mit der eingestellten Listen-Software, eine eingeloggte Administrator-Sitzung und eine Seite, die ein Admin-Formular cross-site abschickt. Kein Payload nötig: Die Abwesenheit eines CSRF-Tokens ist die Schwachstelle.
• Appliance-Bereichschecks — bei der Dokumenten-Appliance reichte der Build-Stamp im statischen Pfad, um sie in den Advisory-Bereich einzuordnen; das Labor verifizierte, welche Advisory-Pfade gar keine Authentisierung brauchen.
• Monitoring-Metriken — ein einziger curl gegen /metrics reproduzierte das komplette Leck; die Labormessung war: „Welcher Anteil der Benutzernamen des Estates steht in dieser Datei?"

Erkennung im eigenen Estate

• Inventarisiere deine Identitäts-Ausnahmen. Welche Pfade schützt dein SSO-Gateway nicht? Teste jedes Präfix von außen. Wenn eine ganze URL-Familie „für Clients" ausgenommen ist, ist diese Familie dein Perimeter.
• Beobachte deinen Zertifikats-Fußabdruck. Filtere Certificate Transparency nach aktuell gültigen Zertifikaten mit intern klingenden Namen. Wenn dabei eine bequeme Liste herausfällt, haben Angreifer sie auch.
• Behandle „einfach funktioniert"-Dienste als Risiko. Der älteste, leiseste Host — der Listen-Server, die Kalender-Brücke, die Appliance, an der sich seit dem Onboarding niemand angemeldet hat — trug die live reproduzierbaren Schwächen.
• Prüfe DMARC so, wie Empfänger es tun. p=none ist keine Policy, sondern ein Wunsch. Wenn gespoofte Marken-Mail zustellbar ist und nie ein Report ankommt, ist die Mail-Authentifizierung Dekoration.
• Beweise deine Detektion, nimm sie nicht an. Wenn du aus einem autorisierten Test kein einziges Rate-Limit- oder Alarm-Event zeigen kannst, hast du auch keinen Beleg, dass ein unautorisierter gesehen würde.

Behebung

• Mail: Die Farm auf das aktuelle Security-Update bringen und die anonyme Fläche begrenzen — die Ausnahme sollte eine kurze, prüfbare Liste benötigter Endpunkte sein; idealerweise erreichen Mail-Clients den Dienst ganz ohne Basic/NTLM über das offene Internet.
• Listen-Host: Das ist ein Abkündigungsprojekt, kein Patch-Projekt. Aktuelle Listen-Software, CSRF-Schutz standardmäßig, abgesicherte Web-Oberfläche — oder Migration des Dienstes.
• Mail-Authentisierung: DMARC auf p=reject mit Reporting, DKIM auf beiden Domains, Alignment geprüft.
• Appliances: Dokumentenportal und Monitoring-Stack brauchen aktuelle Builds; /metrics gehört auf einen internen Listener. Ein Gateway, das nur Basic-Authentifizierung anbietet, sollte abgekündigt oder hinter den Identity-Provider gelegt werden.
• Zertifikate: Ablauf-Monitoring, das einen Menschen alarmiert, und eine Namens-Policy, die davon ausgeht, dass jeder Name von Fremden gelesen wird.
• Detektions-Baseline: Der erste Alarm sollte aus deinem autorisierten Test kommen. Kommt er nicht, ist das der nächste zu behebende Befund.

Fazit

1. Die Eingangstür ist nicht der Perimeter — die Ausnahmen sind es. Zähle sie auf, teste sie von außen, schrumpfe die Wildcards.
2. Zwei Produkte erzählten die ganze Geschichte über ihre eigenen Header. Patch-Rückstand ist nicht versteckt; er ist ungelesen.
3. Der leiseste Host trug die lebendigen Schwachstellen. „Einfach funktioniert" ist ein Wartungs-Geruch.
4. Dein Estate veröffentlicht eine Landkarte seiner selbst. Zertifikate und DNS sind dein Inventar — prüfe, was sie über dich erzählen.
5. Null Detektions-Events in zwei vollen Wellen sind ein Befund, kein Trost: Es heißt, dass jede andere Lehre hier kein Sicherheitsnetz hat.