Ein Designfehler im Azure API Management Portal ermöglicht Cross-Tenant-Accounts. Erfahren Sie, warum versteckte Buttons keine echte Autorisierung ersetzen.

In der Welt der Cloud-Infrastruktur gibt es einen gefährlichen Trugschluss: Die Annahme, dass eine Funktion sicher ist, nur weil sie im Administrationsmenü auf Aus gestellt wurde. Ein aktueller Fall im Zusammenhang mit dem Microsoft Azure API Management (APIM) Developer Portal führt diese Problematik drastisch vor Augen. Ein Designfehler ermöglicht es Angreifern, Konten in Tenants zu erstellen, in denen Administratoren die Registrierung visuell deaktiviert haben. Dies öffnet Tür und Tor für Cross-Tenant-Accounts und gefährdet potenziell Abonnement-Schlüssel sowie den API-Zugriff.

Die Illusion der Sicherheit durch visuelle Sperren

Das Azure API Management Portal dient Unternehmen als zentrale Schnittstelle, um API-Dokumentationen zu veröffentlichen und Entwickler an Bord zu holen. Um den Zugang zu kontrollieren, bietet Microsoft eine Option, die Registrierung neuer Nutzer zu deaktivieren. Für viele Administratoren bedeutet das Klicken dieses Schalters, dass der Zugang zum Portal nun geschlossen ist. Die Realität sieht jedoch anders aus.

Die Sicherheitslücke basiert auf einer Diskrepanz zwischen der Benutzeroberfläche (UI) und den Backend-Schnittstellen. Während die Option Disable Sign-up die Registrierungs-Widgets aus dem Portal entfernt, bleiben die zugrunde liegenden REST-Endpunkte für die Registrierung aktiv. Wer weiß, wo diese Endpunkte liegen, kann sie direkt ansteuern. Wenn die Basic-Authentifizierung aktiviert ist, akzeptiert das Backend weiterhin Anfragen zur Benutzererstellung, völlig ungeachtet dessen, ob der Button auf der Webseite sichtbar ist oder nicht.

Wenn UX-Design mit Autorisierung verwechselt wird

Dieser Vorfall ist ein Paradebeispiel für ein fundamentales Missverständnis in der Softwareentwicklung: den Unterschied zwischen User Experience und Sicherheit. Das Ausblenden eines Buttons ist eine reine Höflichkeit gegenüber dem Nutzer. Es verhindert, dass ein User auf eine Funktion klickt, die er nicht nutzen darf, und dadurch eine Fehlermeldung provoziert. Es ist jedoch keine Sicherheitsmaßnahme.

Wie in Analysen zu Permission-Based UI dargelegt wird, ist jeder Code, der im Browser des Clients ausgeführt wird, manipulierbar. Ein Angreifer benötigt keine grafische Oberfläche; er nutzt Tools wie curl oder die Browser-Entwicklertools, um Anfragen direkt an den Server zu senden. Die einzige Autorisierung, die zählt, ist die, die der Server bei jeder einzelnen Anfrage durchführt, ohne blind auf die Angaben des Clients zu vertrauen.

Die technische Anatomie des Cross-Tenant-Risikos

Das Problem im Azure APIM Portal wird von Experten eher als Designlimitierung der Management-Ebene denn als klassischer Bug eingestuft. Die Architektur erlaubt es, dass bestimmte Backend-Endpunkte nicht vollständig aus dem verwalteten Portal entfernt werden können. Dies führt zu einer gefährlichen Situation, wenn Unternehmen auf der Basic-Authentifizierung (Nutzername/Passwort, verwaltet durch APIM) beharren.

Ein Angreifer kann Registrierungsanfragen gezielt an geschützte Tenants senden. Sobald ein Account erstellt wurde, erhält der Angreifer einen Fuß in der Tür. In einer Umgebung, in der APIs sensible Unternehmensdaten steuern, kann dies zur Offenlegung von Subscription-Keys führen. Die Gefahr wird durch eine breitere Tendenz verstärkt, die in Berichten über Cross-Tenant Data Exposure beschrieben wird: Backend-APIs liefern oft weit mehr Daten zurück, als die UI anzeigt, was es Angreifern ermöglicht, Informationen anderer Kunden oder Organisationen zu extrahieren.

Strategien zur Härtung der API-Infrastruktur

Da Microsoft die Verantwortung für die Härtung der Konfiguration weitgehend bei den Tenant-Besitzern lässt, ist ein proaktives Handeln unerlässlich. Die Lösung liegt nicht darin, auf ein Update der UI zu warten, sondern die Identitätsmodelle grundlegend zu ändern. Microsoft empfiehlt für Produktionsszenarien explizit den Verzicht auf die integrierte Basic-Authentifizierung.

Stattdessen sollten Unternehmen auf robustere Identitätsanbieter setzen. Die Migration zu Entra ID (früher Azure AD), Azure AD B2C oder anderen benutzerdefinierten Identity Providern eliminiert die Angriffsfläche der unsicheren Basic-Auth-Endpunkte. Nur so kann sichergestellt werden, dass die Identitätsprüfung auf einer Ebene stattfindet, die nicht durch einfache API-Aufrufe an versteckte Endpunkte umgangen werden kann.

Die Sicherheit einer Anwendung darf niemals auf der Annahme basieren, dass ein Angreifer nur die Wege nutzt, die man ihm über die Benutzeroberfläche weist.

Prävention durch Zero-Trust-Architektur

Um solche Lücken in Zukunft zu vermeiden, müssen Unternehmen den Zero-Trust-Ansatz konsequent auf ihre API-Strategie anwenden. Das bedeutet, dass jede Anfrage, unabhängig davon, woher sie kommt, validiert werden muss. Die Trennung von Authentifizierung (Wer bist du?) und Autorisierung (Was darfst du?) ist hierbei entscheidend. Im Fall des APIM-Portals wurde die Authentifizierung zwar formal angeboten, die Autorisierung der Registrierungsfunktion war jedoch mangelhaft implementiert, da sie nur auf der UI-Ebene existierte.

Unternehmen sollten ihre API-Gateways regelmäßig auf Sign-up-Bypasses und ähnliche Schwachstellen prüfen. Ein effektives Monitoring des Netzwerkverkehrs kann dabei helfen, ungewöhnliche Registrierungsmuster zu erkennen, die nicht über die offiziellen UI-Pfade laufen.

Bedeutung für Unternehmen in Deutschland und der DACH-Region

Für den deutschen Mittelstand und die Industrie 4.0 hat diese Meldung eine besondere Relevanz. In einer Region, in der Datensicherheit und Compliance durch die DSGVO sowie den kommenden EU AI Act extrem hoch gewichtet werden, ist eine solche Schwachstelle mehr als nur ein technisches Detail. Wenn deutsche Unternehmen ihre Industrieprozesse über APIs steuern oder KI-Modelle über Azure-Schnittstellen bereitstellen, kann ein unbefugter Zugriff auf die API-Management-Ebene katastrophale Folgen haben.

Besonders für Unternehmen, die im Rahmen der digitalen Transformation ihre Legacy-Systeme öffnen, besteht die Gefahr, dass Sicherheit als Feature der Software betrachtet wird und nicht als Teil der Architektur. Die Abhängigkeit von Cloud-Providern wie Microsoft erfordert eine kritische Prüfung der Standardkonfigurationen. Es reicht nicht aus, die Standardeinstellungen zu übernehmen; eine explizite Härtung der Identitätsprüfung ist notwendig, um die strengen Anforderungen an die Informationssicherheit in der DACH-Region zu erfüllen und die Integrität der Lieferketten in der Industrie 4.0 zu gewährleisten.

Häufige Fragen

---

Quellen: Windowsforum, Nazarboyko, Esentry ·