Sicherheit endet nicht an der Grenze der unternehmensinternen Systeme. Moderne Unternehmen verbinden ein immer größeres Netzwerk von Anwendungen von Drittanbietern mit ihren Kernplattformen, um Vertrieb, Service und Zusammenarbeit zu unterstützen. Jede dieser Verbindungen schafft einen Mehrwert. Jede einzelne birgt jedoch auch Risiken, die das Unternehmen nicht vollständig kontrollieren kann.
Dieses Risiko ist keineswegs hypothetisch. Im Juni 2026 gelang es einem Angreifer, OAuth-Token zu kompromittieren, die mit Klue verknüpft waren – einer Plattform zur Wettbewerbsanalyse, die zur Synchronisierung von Vertriebs- und Marketingdaten mit Salesforce genutzt wird. Der Angreifer nutzte diese Token, um Zugriff auf die Salesforce-Umgebungen zahlreicher Unternehmen zu erlangen, die die Integration autorisiert hatten, darunter auch Commvault.
Sobald wir über mögliche Auswirkungen informiert wurden, hat unser Sicherheitsteam unseren Prozess zur Reaktion auf Vorfälle aktiviert, um festzustellen, was geschehen war, den Schaden einzudämmen und zu prüfen, ob Kundendaten oder Commvault-Dienste betroffen waren. Unsere Untersuchung ergab, dass sich der Vorfall auf bestimmte Geschäftsbeziehungs- und Vertriebsdaten beschränkte, die in unserer Salesforce-Umgebung gespeichert waren. Die Untersuchung ergab keine Hinweise darauf, dass Kundensicherungsdaten, Produktdaten, Produktmetadaten, Betriebsprotokolle oder Commvault-Dienste betroffen waren.
Schnell handeln, wenn es darauf ankommt
Unsere Reaktion erfolgte gemäß den festgelegten Verfahren zur Bewältigung von Sicherheitsvorfällen, die darauf ausgelegt sind, Risiken schnell einzudämmen und gleichzeitig eine gründliche Untersuchung zu ermöglichen. Sobald wir über den Vorfall informiert wurden, haben wir die Klue-Integration deaktiviert, die entsprechenden Zugriffsrechte widerrufen und gemeinsam mit den zuständigen Stellen eine umfassende Analyse des Vorfalls durchgeführt. Während der gesamten Untersuchung arbeiteten unsere Teams daran, festzustellen, auf welche Informationen zugegriffen worden war, die Integrität unserer Umgebung zu überprüfen und sicherzustellen, dass der Vorfall innerhalb des bereits eingedämmten Umfangs blieb.
Ein bemerkenswertes Muster
Dieser Vorfall ist ein aktuelles Beispiel für einen Trend, den Sicherheitsteams seit mehreren Jahren beobachten: Angreifer zielen auf Anwendungen von Drittanbietern ab, die mit zentralen Geschäftssystemen verbunden sind, anstatt diese Systeme direkt anzugreifen. Eine einzige kompromittierte Integration kann gleichzeitig vertrauenswürdigen Zugriff auf die Umgebungen vieler nachgelagerter Organisationen ermöglichen – oft mit weniger Widerstand als ein direkter Angriff auf eine einzelne dieser Organisationen.
Dadurch verlagert sich der Schwerpunkt der Verteidigungsmaßnahmen eines Unternehmens. Strenge interne Kontrollen sind nach wie vor notwendig, reichen aber allein nicht mehr aus. Sie müssen mit einer aktiven Überwachung jeder Anwendung, die ein Unternehmen nutzt, sowie mit Reaktionskapazitäten einhergehen, die bereits vor einem Vorfall bereitstehen und nicht erst währenddessen aufgebaut werden.
Resilienz über unsere eigene Umgebung hinaus stärken
Bei Commvault umfasst unser Sicherheitsprogramm eine kontinuierliche Überprüfung der mit unserer Umgebung verbundenen Anwendungen von Drittanbietern. Wir überprüfen die verbundenen Anwendungen regelmäßig, bewerten die jeweiligen Zugriffsrechte, überwachen neu auftretende Risiken und überprüfen diese Integrationen erneut, sobald sich die geschäftlichen Anforderungen und die Bedrohungslage ändern. Wenn es die Umstände erfordern, ergreifen wir Maßnahmen, um Risiken zu minimieren und unsere Sicherheitslage zu stärken, einschließlich der Trennung von Integrationen, die unseren Standards nicht mehr entsprechen.
Unser Bekenntnis zur Transparenz
Vertrauen entsteht durch Offenheit und Verantwortungsbewusstsein. Wenn ein Vorfall unsere Stakeholder betrifft, halten wir es für wichtig, unsere Erkenntnisse mitzuteilen, unsere Maßnahmen zu erläutern und die Ergebnisse unserer Untersuchung offenzulegen – auch dann, wenn der Vorfall seinen Ursprung außerhalb unserer eigenen Systeme hatte. Im Rahmen unseres umfassenden Engagements für den Schutz unserer Kunden und Partner werden wir unsere Sicherheitsmaßnahmen weiterhin überprüfen, unsere Prozesse zur Reaktion auf Vorfälle optimieren und unseren Ansatz im Umgang mit Risiken durch Dritte weiter ausbauen.
Die offiziellen Einzelheiten zu diesem Vorfall, einschließlich des Umfangs der Untersuchung und der Hinweise für Kunden, finden Sie in den aktuellen Meldungen in unserem Trust Center. Will Galway ist stellvertretender CISO bei Commvault.
