Der CISO-Leitfaden zu DevOps-Bedrohungen

Bitbucket verzeichnete 2024 einen Rückgang der Vorfälle: 38 gemeldete Fälle standen 48 im Jahr 2023 gegenüber – ein Rückgang von 21 %. Die Gesamtausfallzeit betrug dennoch über 207 Stunden, wobei Atlassian rund die Hälfte der Vorfälle als schwerwiegend oder kritisch einstufte. Das erste Quartal war das störungsreichste, mit 14 Vorfällen und einer Gesamtdauer von 132 Stunden. Der Februar stach als aktivster Monat mit insgesamt 10 Vorfällen hervor.

Im vergangenen Jahr blieb die Sicherheit ein zentrales Thema: 20 hochgradige Schwachstellen wurden geschlossen, alle mit einem CVSS-Score über 7,4. Bedrohungsakteure nutzten verschiedene Angriffsmethoden, darunter Ransomware sowie Malware-Varianten wie BeaverTail und OtterCookie, um Daten zu stehlen. Zudem nutzten Hacker im Klartext gespeicherte AWS-Authentifizierungsgeheimnisse, die in Atlassian Bitbucket-Artefaktobjekten offenlagen, um Konten zu kompromittieren.

Mit einem Anstieg von fast 30 % bei der Gesamtzahl der Vorfälle in Jira Software, Jira Work Management und Jira Service Management verzeichnete Atlassian im Jahr 2024 insgesamt 132 gemeldete Probleme – gegenüber 91 Vorfällen im Jahr 2023. Das vierte Quartal war mit 44 Vorfällen die turbulenteste Periode, während im dritten Quartal die meisten kritischen Probleme auftraten und Jira-Dienste zeitweise vollständig ausfielen.

Sicherheitsbedrohungen blieben ein zentrales Thema: Im Laufe des Jahres wurden 45 Schwachstellen behoben – 77 % davon allein in der zweiten Jahreshälfte. Zu den schwerwiegendsten zählte eine kritische SQL-Injection-Lücke mit einem CVSS-Score von 9,8, die es Angreifern unter bestimmten Bedingungen ermöglicht hätte, SQL-Befehle einzuschleusen. Zudem griffen Hacker Jira-Nutzer wiederholt an, um Unternehmensdaten zu stehlen.

Im Jahr 2024 verzeichnete GitLab einen Anstieg der gemeldeten Vorfälle um fast 21 % – 96 Vorfälle gegenüber 76 im Jahr 2023. Kritische Probleme machten etwa 7 % der Gesamtvorfälle aus (7 Vorfälle) mit einer kombinierten Ausfallzeit von über 798 Stunden – fast 100 Arbeitstage. Der September war der turbulenteste Monat mit 17 gemeldeten Vorfällen, die Git-Operationen, API, CI/CD und weitere Bereiche betrafen – von Serviceunterbrechungen bis hin zu eingeschränkter Performance.

Sicherheit stand klar im Fokus: Im gesamten Jahr wurden 153 Schwachstellen entdeckt und behoben. Mehr als die Hälfte – 83 Lücken – wurden allein in der ersten Jahreshälfte 2024 geschlossen. Zu den kritischsten Bedrohungen zählte eine Authentifizierungsumgehung mit einem CVSS-Score von 10, die Angreifern ermöglicht hätte, sich als beliebige Nutzer anzumelden.

Die Zahl der Vorfälle, die Azure DevOps im Jahr 2024 betrafen, überstieg 110 dokumentierte Fälle – bei einer Gesamtausfallzeit von mehr als 826 Stunden. Das entspricht über 103 Arbeitstagen. Das zweite Quartal verzeichnete die meisten Vorfälle, während das dritte Quartal mit über 555 Stunden die längste Beeinträchtigungsphase aufwies. Im August führte eine Fehlkonfiguration in einem internen Dienst mit Azure Front Door zu einem schwerwiegenden Ausfall, der Nutzer in Latein- und Nordamerika betraf.

Auch Sicherheitsprobleme rückten in den Vordergrund: Eine kritische Sicherheitslücke ermöglichte es Angreifern, serverseitige Anfragen zu manipulieren, vertrauenswürdige Azure-Dienste zu imitieren und Netzwerkkontrollen auf Basis von Service-Tags zu umgehen. Diese Schwachstelle gefährdete interne Ressourcen, sensible Daten und Dienste und setzte sie dem Risiko eines unbefugten Zugriffs aus.