ANALYSEN
Salesloft Drift, 700 Organisationen: Kumul über eine SaaS-Integration
Zwischen dem 8. und 18. August 2025 gaben Token, die dem Drift-Assistenten von Salesloft gestohlen wurden, Zugriff auf die Salesforce-Daten von mehr als 700 Organisationen, darunter viele Sicherheitsanbieter. Die Analyse: OAuth-Autorisierungen, Geheimnisse im CRM, Kumul, Haftung des Anbieters und Fragen für die Vertragsverlängerung.
Archiv: Rekonstruktion, geschrieben im November 2026
Thema des Monats August 2025 · von cybercoverinsurance
Zwischen dem 8. und 18. August 2025 nutzte eine von Google als UNC6395 bezeichnete Gruppe Autorisierungstoken, die Drift, einem Vertriebs-Chatassistenten von Salesloft, gestohlen worden waren, um in die Salesforce-Umgebungen von Kunden einzudringen und deren Daten zu kopieren. Google schätzte mehr als 700 möglicherweise betroffene Organisationen. Zu den Unternehmen, die eine Betroffenheit bestätigten, gehören Cloudflare, Palo Alto Networks, Zscaler, Proofpoint und weitere Sicherheitsanbieter. Ursprung war ein Monate zuvor kompromittiertes GitHub-Konto von Salesloft.
Für Cyber-Risikoträger ist der Fall ein Beispiel für Kumul über eine SaaS-Integration. Die Angreifer überwanden weder die Zugangskontrollen der Opfer noch nutzten sie einen Fehler von Salesforce: Eine autorisierte Verbindung zwischen zwei Cloud-Diensten genügte. Der Fall wirft drei Fragen auf: Was sind die Daten in einem CRM wert? Wer haftet, wenn der Anbieter der Integration kompromittiert wird? Und wie zählt man ein Ereignis, das binnen zehn Tagen Hunderte Versicherte berührt?
Was bekannt ist
Der Angriff. Laut Google Threat Intelligence lief die Kampagne mindestens vom 8. bis 18. August 2025. Die Angreifer stahlen OAuth-Token von Drift und nutzten sie, um mit einem automatisierten Werkzeug auf Kundendaten in Salesforce zuzugreifen und sie zu exportieren. In den Daten suchten sie nach Klartext-Zugangsdaten, AWS-Zugriffsschlüsseln sowie VPN- und Snowflake-Zugangsdaten, um weitere Systeme der Opfer zu erreichen. Google riet Kunden, die Daten als kompromittiert zu behandeln, Salesforce-Instanzen nach Geheimnissen zu durchsuchen und Zugangsdaten zu rotieren. Salesforce stellte klar, dass es sich nicht um einen Fehler seiner Plattform handelte (CyberScoop).
Das Ausmaß. Google nannte mehr als 700 möglicherweise betroffene Organisationen. Salesforce deaktivierte vorsorglich alle Salesloft-Integrationen, und Salesloft nahm Drift vom Netz. Zu den Unternehmen, die eine Betroffenheit bestätigten, gehören BeyondTrust, Cloudflare, CyberArk, Elastic, Palo Alto Networks, Proofpoint, Qualys, Rubrik, Tenable, Workday und Zscaler. Cloudflare erklärte, das Ziel sei vermutlich gewesen, Zugangsdaten und Informationen für spätere Angriffe auf die Kunden der Opfer zu sammeln (The Hacker News).
Der Ursprung. Nach der von Salesloft mitgeteilten Untersuchung von Mandiant hatte der Angreifer zwischen März und Juni 2025 Zugriff auf das GitHub-Konto von Salesloft. Er lud Inhalte aus mehreren Repositories herunter, legte Workflows an und betrieb Aufklärung in den Umgebungen von Salesloft und Drift. Danach drang er in die AWS-Umgebung von Drift ein und erlangte die OAuth-Token der Kundenintegrationen. Anfang September wurde die Integration von Salesloft mit Salesforce wiederhergestellt, Drift blieb deaktiviert (Cybersecurity Dive).
Was nicht bekannt ist. Wie viele Organisationen tatsächlich Daten exportiert bekamen und ob die gesammelten Zugangsdaten genutzt wurden, ist nicht öffentlich. Mandiant sagte, in laufenden Untersuchungen keine weitere Nutzung gesehen zu haben (CyberScoop). Die Gesamtkosten sind nicht bekannt.
Das Token ist ein Schlüssel, auf den niemand schaut
Eine autorisierte Verbindung, kein Eindringen. Jeder Kunde hatte Drift erlaubt, Salesforce-Daten zu lesen. Die Angreifer mussten weder Multi-Faktor-Authentifizierung noch Zugangskontrollen überwinden: Sie nutzten eine bereits erteilte Autorisierung. Für die Opfer sah der Zugriff wie normaler Verkehr einer Anwendung aus.
Ein CRM enthält mehr als Geschäftskontakte. Die Angreifer suchten in Salesforce-Daten nach Zugangsdaten und Schlüsseln. Support-Tickets können Passwörter, Schlüssel und Konfigurationen enthalten, die Kunden und Techniker eingefügt haben. Ein CRM mit Supportdaten ist damit auch ein Speicher von Geheimnissen, und eine Verletzung kann weitere Systeme öffnen.
Der kompromittierte Anbieter lag vor einem Anbieter. Salesloft war Monate zuvor auf GitHub kompromittiert worden, danach in der AWS-Umgebung von Drift. Für Kunden kam das Risiko vom Anbieter einer Anwendung, die mit einem anderen Anbieter verbunden war. Diese Kette taucht in den meisten Lieferantenbewertungen nicht auf.
Kumul über eine Integration
Siebenhundert Organisationen in zehn Tagen. Dasselbe Ereignis berührte Hunderte Unternehmen, viele davon groß und mit Cyberpolicen. Es ist das Muster von MOVEit und Cleo, übertragen auf SaaS: eine gemeinsame Komponente, viele Opfer, Daten in kurzer Zeit entwendet.
Der typische Schaden ist klein, die Summe nicht. Für viele Opfer bestanden die exportierten Daten aus Geschäftskontakten und Support-Tickets. Typische Kosten sind Untersuchung, Rotation von Zugangsdaten, Datenprüfung und, wo personenbezogene Daten betroffen sind, Benachrichtigungen. Jeder Schaden kann unter dem Selbstbehalt bleiben, doch Hunderte gleichzeitige Untersuchungen belasten ein Portfolio und die Kapazität der Incident-Response-Dienstleister.
Sicherheitsanbieter als Multiplikatoren. Viele bestätigte Opfer waren Sicherheitsunternehmen. Nutzen die Angreifer die gesammelten Daten gegen deren Kunden, wie Cloudflare befürchtete, kann sich der Kumul auf eine zweite Ebene ausweiten. Für Risikoträger ist die Verletzung eines Sicherheitsanbieters ein Ereignis, das verfolgt werden sollte, auch wenn der Anbieter nicht versichert ist.
Wer haftet
Die Haftung des Integrationsanbieters. Salesloft war der kompromittierte Anbieter. Kunden können nach ihren Verträgen Regress bei Salesloft nehmen, doch die Haftungsobergrenzen in SaaS-Verträgen sind im Verhältnis zu Hunderten Forderungen meist niedrig. Für Versicherer, die Kunden entschädigt haben, stößt der Regress gegen Salesloft an dieselben Grenzen.
Die Definition des Computersystems zählt. Viele Policen decken die Systeme des Versicherten und die von Dienstleistern in seinem Auftrag betriebenen. Eine Salesforce-Umgebung fällt in der Regel in die zweite Kategorie. Die Umgebung von Drift, ein Anbieter des Anbieters, ist unsicherer. Der Unterschied entscheidet, welche Schadenpositionen als eigene Verletzung gedeckt sind.
Was in die Vertragsverlängerung gehört
Auswirkung für VersichererHoch
Token, die einer mit Salesforce verbundenen Chat-Anwendung gestohlen wurden, gaben binnen zehn Tagen Zugriff auf die Daten von mehr als 700 Organisationen, ohne Fehler von Salesforce auszunutzen oder die Zugangskontrollen der Opfer zu überwinden.
Auf Portfolioebene legt der Fall nahe, die verbreitetsten SaaS-Integrationen als Kumulpunkte zu behandeln, gleichrangig mit den großen Cloud-Anbietern. Ein Szenario mit Hunderten gleichzeitigen Untersuchungen und niedrigen Stückkosten eignet sich zur Prüfung von Reaktionskapazität, Jahreshöchstleistungen und Klauseln zum Einzelereignis.