Cloud-Speicherdienste sind aus dem digitalen Alltag nicht mehr wegzudenken. Microsofts OneDrive gehört zu den populärsten Lösungen weltweit und dient Millionen Anwendern als Speicherort für persönliche und geschäftliche Daten. Doch obwohl solche Dienste Komfort und Flexibilität bieten, bringen sie auch Risiken für die Privatsphäre und Datensicherheit mit sich. Eine kürzlich entdeckte Sicherheitslücke in OneDrive wirft ein beunruhigendes Licht auf die Art und Weise, wie der Dienst Dateien für Webanwendungen zugänglich macht. Diese Schwachstelle ermöglicht es, dass Webanwendungen nicht nur auf gezielt freigegebene Dateien, sondern auf das komplette Nutzer-Storage zugreifen können – oft ohne dass es die Nutzer vollständig nachvollziehen oder kontrollieren können.
Forscher des Sicherheitsunternehmens Oasis Security haben das Problem detailliert analysiert und zeigen, dass die sogenannte OneDrive File Picker-Komponente der Ursprung dieses Problems ist. Der File Picker ist ein Werkzeug, das Webanwendungen verwenden, um Dateiauswahl und Upload bequem in ihre Benutzeroberflächen einzubinden. Seine Funktion ist, den Nutzern die Auswahl von Dateien aus ihrem OneDrive zur Verfügung zu stellen, die dann hochgeladen oder weiterverarbeitet werden können. Das grundlegende Problem ist, dass der File Picker über OAuth-Token authentifiziert wird, denen übermäßig weitreichende Berechtigungen zugewiesen werden, und zwar nicht nur auf ausgewählte Dateien, sondern auf das gesamte OneDrive-Verzeichnis. OAuth ist ein gängiges Protokoll, das vielen Webanwendungen ermöglicht, Ressourcen eines Nutzers bei Drittanbietern sicher anzufordern.
In diesem Fall aber sind die angeforderten Rechte zu breit gewählt, was Drittanbietern Zugang zu einer viel umfassenderen Auswahl von Nutzerdaten als notwendig gestattet. Eine besonders kritische Schwäche ist der Umstand, dass die OAuth-Zustimmung, die der Nutzer erteilt, wenn er eine Datei über den File Picker auswählt, in Dialogfenstern erfolgt, die nur unzureichend darüber informieren, dass die Berechtigungen den Zugriff auf das komplette OneDrive umfassen. Die Nutzer glauben meist, sie geben nur Zugriff auf eine einzelne Datei oder einen kleinen Teil ihrer Daten, während in Wahrheit der gesamte Speicher freigegeben wird. Diese irreführende Gestaltung der Zugriffsaufforderung untergräbt effektiv das Prinzip der informierten Zustimmung, welche für Datenschutz und Datensicherheit essenziell ist. Überdies bleiben die erteilten Zugriffsrechte oft auch nach Abschluss des Uploads erhalten.
Das bedeutet, dass die Webanwendung für einen unbestimmten Zeitraum oder sogar dauerhaft auf den gesamten OneDrive-Speicher zugreifen kann. Die Forscher weisen darauf hin, dass OAuth-Tokens teils ungeschützt in Browser-Sitzungen gespeichert werden, was weiteren Missbrauch begünstigen kann. Ein weiterer zu hinterfragender Aspekt betrifft die sogenannten Refresh-Tokens, die das erneute Einloggen überflüssig machen. Diese Token gewähren Anwendungen die Möglichkeit, dauerhaft Zugriff auf die Daten des Nutzers zu behalten, indem sie bei Ablauf der regulären Zugriffs-Token automatisch neue generieren. Das verstärkt das Sicherheitsrisiko, da ein einmal erlangter Zugriff nicht einfach widerrufen werden kann und potenziell permanent bleibt.
Diese Schwachstelle betrifft nicht nur kleine oder unbekannte Webdienste. Unter den betroffenen Anwendungen befinden sich namhafte Tools und Plattformen wie ChatGPT, Slack, Trello, Zoom und ClickUp, die in ihrer Funktion auf die Integration mit Microsoft-Clouddiensten angewiesen sind. Für Millionen Nutzer dieser populären Dienste bedeutet dies ein erhöhtes Risiko der unentdeckten Datenauswertung und möglichen Datenlecks. Microsoft hat zwar die Problematik bestätigt, sieht die Sicherheit jedoch als nicht sofort kritisch an, da der Zugriff stets erst nach Nutzereinwilligung gewährt wird. Dies ist allerdings eine unzureichende Einschätzung, da die Nutzer durch die unklare Darstellung der Zugriffsrechte nicht ausreichend geschützt sind und oft nicht nachzuvollziehen vermögen, welche Folgen ihre Zustimmung hat.
Die Situation verdeutlicht die Notwendigkeit besserer technischer Lösungen und klarerer Nutzeroberflächen, um den weitreichenden Zugriff einzudämmen. Die fehlende Möglichkeit, kleinere und gezieltere Zugriffsrechte speziell für den File Picker festzulegen, zeigt eine nachlässige Umsetzung von Prinzipien der Datenminimierung, die für den Schutz sensibler Informationen erforderlich sind. Nutzern wird empfohlen, temporär auf die Nutzung von File-Picker-basierten Datei-Uploads zu verzichten, sofern dies möglich ist, bis Microsoft sichere Alternativen bereitstellt und die zugrundeliegenden Probleme behebt. Zudem sollte man gegebenenfalls autorisierte Anwendungen überprüfen, gespeicherte Tokens löschen und wachsam gegenüber verdächtigen Aktivitäten bleiben. Auch für IT-Administratoren ist die Lage eine Herausforderung.
Unternehmen, die Microsoft-Clouddienste einsetzen, müssen ein Bewusstsein für diese Sicherheitslücke entwickeln und Richtlinien zum Umgang mit Benutzerrechten und Anwendungsintegrationen schaffen. Zugriffsrechte sollten regelmäßig geprüft und im Zweifel eingeschränkt werden. Dieser Fall unterstreicht einmal mehr, wie wichtig es ist, sensible Cloud-Dienste nicht nur aus funktionaler Perspektive zu betrachten, sondern auch Sicherheits- und Datenschutzaspekte systematisch zu evaluieren. Die zunehmende Vernetzung und Integration von Webdiensten erleichtert nicht nur die Arbeit, sondern öffnet auch neue Angriffsflächen, die sich in komplexen Berechtigungsmechanismen verbergen. In einer Zeit, in der Datenlecks und Cyberangriffe immer häufiger werden, dürfen Sicherheitsüberlegungen nicht hinter Benutzerfreundlichkeit zurückstehen.
Vertrauenswürdige Anbieter müssen klare und transparente Informationswege schaffen, damit Nutzer fundiert Entscheidungen über den Schutz ihrer Daten treffen können. Dies beinhaltet auch die Entwicklung granulärer Berechtigungseinstellungen, die unnötige Zugriffsrechte verhindern. Zusammenfassend zeigt der OneDrive-Fall exemplarisch, wie technologische Implementierungen von Authentifizierungsverfahren wie OAuth mitunter wichtige Sicherheitsprinzipien verletzen können, wenn nicht sorgfältig umgesetzt. Die Verbindung aus zu breit gefassten Zugriffsanfragen und undurchsichtigen Nutzerdialogen führt zu einer Schwachstelle, die das ursprüngliche Ziel – eine sichere und komfortable Handhabung von Cloud-Daten – konterkariert. Verbraucher sollten sich der damit verbundenen Risiken bewusst sein und von Anbietern verlangen, dass Datenschutz und Sicherheit höchste Priorität erhalten.
Nur durch gemeinsame Anstrengungen von Entwicklern, Unternehmen und Nutzern lassen sich Risiken minimieren und Cloud-Dienste so gestalten, dass sie echte Vertrauen schaffen.
