Token-Exfiltration

Token-Exfiltration bezeichnet den Diebstahl oder das unbefugte Abziehen von Authentifizierungsdaten wie API-Schlüsseln, OAuth-Zugriffstokens, JWTs oder CI/CD-Secrets. Einmal gestohlen, verleihen diese Tokens einem Angreifer dieselben Berechtigungen wie dem legitimen Inhaber, ohne dass er ein Passwort braucht.

In CI/CD-Umgebungen sind GITHUB_TOKEN oder ähnliche Pipeline-Secrets lohnende Ziele. Ein Angreifer, der Code in einem Workflow-Runner ausführen kann, kann Umgebungsvariablen oder den Token-Speicher auslesen und die Zugangsdaten an einen externen Server exfiltrieren.

Zu den Vorbeugemaßnahmen gehört es, Tokens auf die mindestens erforderlichen Berechtigungen zu beschränken, kurze Ablauffristen zu setzen, ungewöhnliche API-Nutzung zu überwachen und Netzwerk-Egress-Kontrollen auf CI-Runnern anzuwenden, um ausgehende Datenexfiltration zu blockieren.