Formatierungs-Tools werden zur Sicherheitsfalle

Wer Code aufhübscht, riskiert den Datengau. Sicherheitsforscher haben eine massive Datenpanne aufgedeckt – verursacht durch simple Online-Tools, die Entwickler täglich nutzen. Die Entdeckung zeigt: Was praktisch erscheint, kann zum digitalen Alptraum werden.

Über 80.000 Dateien mit hochsensiblen Zugangsdaten lagen offen im Netz. Cloud-Zugänge, Passwörter, Banking-Informationen – alles einsehbar für jeden, der wusste, wo er suchen musste. Die Quelle? Kostenlose Websites, auf denen Programmierer ihren Code verschönern wollten.

Die Cybersecurity-Firma watchTowr Labs veröffentlichte am Dienstag die brisanten Ergebnisse ihrer Recherche. Im Fokus standen zwei populäre Plattformen: JSONFormatter und CodeBeautify. Millionen Entwickler weltweit nutzen solche Dienste, um unleserlichen Code in eine strukturierte Form zu bringen – ein Klick, fertig.

Viele Firmen übersehen genau das Problem, das dieser Bericht beschreibt: Über 80.000 sensible Dateien landeten öffentlich im Netz – und gefälschte AWS‑Schlüssel wurden binnen 48 Stunden missbraucht. Ein kostenloser Leitfaden für IT‑Verantwortliche erklärt Schritt für Schritt, wie Sie Clipboard‑Risiken erkennen, automatische Erkennungsregeln im Browser einführen und Mitarbeiterschulungen wirksam gestalten. Mit Checklisten und Sofortmaßnahmen, die Sie noch heute umsetzen können. Jetzt kostenlosen Cyber‑Security‑Report herunterladen

Doch dieser Komfort hatte seinen Preis.

Das Sicherheitsloch war erschreckend simpel konstruiert. Nutzer kopierten ihren Code in die Tools, klickten auf “Speichern” oder “Teilen”, um einen Link für Kollegen zu generieren. Was viele nicht realisierten: Ihre Daten landeten dauerhaft auf öffentlichen Servern.

Die watchTowr-Forscher entdeckten dabei zwei gravierende Schwachstellen: Die generierten URLs folgten vorhersehbaren Mustern, was systematisches Abgrasen ermöglichte. Noch schlimmer: Beide Seiten zeigten “Kürzlich gespeicherte Links” prominent an – eine Art öffentliches Schwarzes Brett für vertrauliche Informationen.

“Offenbar reichte das Wort ‘SPEICHERN’ und ein teilbarer Link nicht aus, um Nutzern klarzumachen, dass ihre Inhalte tatsächlich gespeichert und öffentlich zugänglich sind”, stellten die Sicherheitsexperten nüchtern fest.

Welche Daten lagen offen? Die Liste liest sich wie ein Albtraum für jeden IT-Sicherheitsbeauftragten:

• Cloud-Zugänge: AWS- und Azure-Credentials mit Vollzugriff auf Unternehmensumgebungen
• Interna: Benutzernamen, Passwörter, Active-Directory-Anmeldedaten
• Bankdaten: KYC-Informationen von Finanzinstituten und private Nachrichten

“Wir brauchen keine weiteren KI-gesteuerten Plattformen. Wir brauchen weniger kritische Organisationen, die ihre Zugangsdaten auf irgendwelchen Websites einfügen”, kommentierte Jake Knott, Sicherheitsforscher bei watchTowr, am Dienstag trocken.

Am Mittwochmorgen reagierten beide Plattformen: Die Speicherfunktion wurde vorübergehend deaktiviert. Man arbeite an Verbesserungen, hieß es knapp.

Das Clipboard-Problem wächst

Die Entdeckung ist kein Einzelfall. Sie offenbart ein fundamentales Problem moderner Arbeitswelten: das “Clipboard-Risiko”.

Ein separater Bericht der Browser-Sicherheitsfirma LayerX vom 18. November zeichnet ein beunruhigendes Bild: 77 Prozent der Beschäftigten haben bereits sensible Firmendaten in KI-Tools wie ChatGPT kopiert. 46 Prozent fügen vertrauliche Informationen in Cloud-Speicher oder Filesharing-Plattformen ein.

“Uploads sind nicht mehr das Hauptrisiko – die Zwischenablage ist es”, erklärte LayerX-CEO Or Eshed Mitte November. Diese Entwicklung stellt Sicherheitsteams vor enorme Herausforderungen. Traditionelle Data-Loss-Prevention-Systeme überwachen zwar Datei-Uploads, inspizieren aber nicht den Inhalt der Zwischenablage, bevor Text in ein Browser-Fenster eingefügt wird.

Warum passiert das immer wieder?

Die Antwort liegt in einem klassischen Konflikt: Komfort gegen Sicherheit. Entwickler greifen zu diesen kostenlosen Web-Tools, weil firmeninterne Lösungen umständlich, langsam oder schlicht nicht vorhanden sind.

“Ein JSON-Formatter löst ein Fünf-Sekunden-Problem”, erklärt Sarah Jenkins, Senior-Analystin bei CyberDefend Europe. “Aber wenn dieses Tool auf einem öffentlichen Server statt auf dem lokalen Rechner läuft, ändert sich das Risikoprofil schlagartig. Mitarbeiter sind nicht böswillig – sie wollen effizient arbeiten. Sie begreifen nur nicht, dass das Einfügen einer Datenbankverbindung in eine ‘kostenlose’ Website gleichbedeutend damit ist, sie an ein öffentliches Schwarzes Brett zu heften.”

Die Datenpanne betraf Behörden, Telekommunikationsriesen und große Finanzbörsen. Besonders brisant: Die watchTowr-Forscher platzierten zu Testzwecken gefälschte AWS-Schlüssel auf den Plattformen. Innerhalb von 48 Stunden versuchten kriminelle Akteure, diese zu verwenden. Die Bots laufen bereits – automatisiert, rund um die Uhr.

Was jetzt passieren muss

IT-Abteilungen werden umgehend reagieren müssen. Die ersten Schritte zeichnen sich bereits ab:

Sofortmaßnahmen: Domains wie JSONFormatter und CodeBeautify dürften auf Blacklists landen. Unternehmen müssen sichere, lokale Alternativen bereitstellen – etwa Plugins für Entwicklungsumgebungen wie VS Code oder Notepad++.

Browser-Sicherheit neu gedacht: Experten erwarten einen Aufschwung bei Enterprise-Browser-Lösungen, die das Einfügen von Credentials oder kryptographischen Schlüsseln in Web-Formulare erkennen und blockieren können.

Die Zeitachse ist kritisch. Zwischen einem Fehler und einer Sicherheitsverletzung vergehen mittlerweile nur noch Stunden statt Tage. 2026 wird das Schlachtfeld der Datensicherheit vom Netzwerkperimeter ins Browser-Fenster verlagert – genauer gesagt: in die Strg+V-Tastenkombination.

Kann eine Funktion, die wir täglich hundertfach nutzen, wirklich zur größten Schwachstelle werden? Die Antwort lautet: Sie ist es bereits.

PS: Wenn Ihre IT-Abteilung jetzt handelt, lassen sich viele der beschriebenen Schäden verhindern. Der Gratis-Report zeigt praxisnahe Abwehrstrategien gegen automatisierte Bots, sichere Umgangsregeln für externe Web‑Tools und fertige Vorlagen für eine unternehmensweite Clipboard-Policy. Enthalten sind Checklisten, Priorisierungspläne und eine 30‑Tage‑Umsetzungsroute, die Sie sofort per E‑Mail erhalten. Kostenlose, praxisorientierte Maßnahmen – speziell für Organisationen mit hohem Schutzbedarf. Gratis‑Leitfaden zur Cyber‑Security herunterladen