Ein Passwort lag in einem Google Doc, bis Googles Autovervollständigung es herumzureichen begann
So hat der QR-Code-Dienst Pageloot herausgefunden, dass er ein Problem hatte. Ein Entwickler war gerade dabei, etwas zu debuggen, tippte die eigene Firmendomain bei Google ein und sah zu, wie das Autovervollständigungs-Dropdown eine der Adressen des Staging-Servers vorschlug, gefolgt von etwas, das eindeutig nach einem Passwort aussah. Es war eines. Ein externer Auftragnehmer hatte die Zugangsdaten in einem Google Doc abgelegt, das auf "Jeder mit dem Link kann ansehen" gestellt war, weil das der einfachste Weg war, von mehreren Geräten aus darauf zuzugreifen. Google hatte das Dokument indexiert. Dann begann es, es vorzuschlagen.
Das Unternehmen reagierte schnell, sobald es davon wusste - sperrte den Zugang des Auftragnehmers, tauschte jedes betroffene Zugangsdatum aus und verbot fortan, Passwörter in Google Docs, Slack, Notion oder Ähnlichem zu speichern. Wie Malwarebytes bei der Aufarbeitung des Vorfalls am 18. August anmerkte, gab es keine dieser Regeln, bevor die Autovervollständigung die Sache zufällig ans Licht gebracht hatte. Hätte niemand danach gesucht, würde das Passwort dort noch immer liegen.
Das ist keine Angewohnheit, die nur Unternehmen betrifft. Viele Haushalte führen ein gemeinsames Dokument mit dem WLAN-Passwort darin, einem eingescannten Reisepass für eine Buchung, Versicherungsunterlagen, den Zugangsdaten für das Streaming-Konto, das alle nutzen. "Jeder mit dem Link" fühlt sich privat an, weil es keine offensichtliche Eingangstür gibt. Ein Schloss ist es trotzdem nicht - es ist eher eine nicht gelistete Adresse, und Links werden weitergeleitet, in Gruppenchats eingefügt und gelegentlich durchsucht. Eine Untersuchung der Firma Metomic an rund 6,5 Millionen Google-Drive-Dateien ergab, dass 40,2 Prozent sensible Informationen enthielten und 0,5 Prozent vollständig öffentlich einsehbar waren. Ein halbes Prozent von 6,5 Millionen sind immer noch Tausende Dokumente.
Zehn Minuten in Google Drive zu investieren, nach Freigegeben sortiert, zu prüfen, was die Freigabeeinstellung jedes einzelnen Eintrags tatsächlich besagt, ist gut angelegte Zeit. Alles, was ein Passwort enthält, gehört stattdessen in einen Passwort-Manager.
Und wenn diese Dokumente in einem Cloud-Ordner liegen, weil es die einzige Kopie ist, die Sie haben: Tendvanes Ein-Klick-Backup legt Ihre Dokumente, Bilder und den Desktop auf ein Laufwerk, das Sie physisch selbst kontrollieren.