Tools / Neuigkeiten / Eine Million Passscans lagen offen in einem öffentlichen Cloud-Speicher. Browserbasierte Verarbeitung umgeht diesen Fehlertyp vollständig.
Presse

Eine Million Passscans lagen offen in einem öffentlichen Cloud-Speicher. Browserbasierte Verarbeitung umgeht diesen Fehlertyp vollständig.

· VaultTools

Am 15. Mai 2026 berichtete TechCrunch, dass der japanische Hotel-Check-in-Anbieter Tabiq über einen öffentlich zugänglichen Amazon-S3-Speicher mehr als eine Million Passscans, Führerscheine und Selfie-Verifizierungsfotos offengelegt hat. Die Lehre für Datei-Tools ist struktureller Natur.

VaultTools · 23. Mai 2026

Ein Reisepass auf einem Holztisch, stellvertretend für die Art von Ausweisdokument, die im Tabiq-Vorfall offengelegt wurde. Foto von Henry Be auf Unsplash

Inhaltsverzeichnis

Was Geschah

Am 15. Mai 2026 berichtete TechCrunch, dass Tabiq, ein in mehreren japanischen Hotels eingesetztes Check-in-System, mehr als eine Million Kundendokumente offen im Internet liegen ließ. Die offengelegten Dateien umfassten Passscans, Führerscheine und Selfie-Verifizierungsfotos. Die Datensätze reichten von Anfang 2020 bis Mai 2026.

Tabiq wird vom japanischen Tech-Startup Reqrea betrieben. Das Produkt fordert Hotelgäste auf, beim Einchecken Ausweisdokumente hochzuladen, und gleicht diese per Gesichtserkennung mit einem Selfie ab. Die Daten lagen in einem Amazon-S3-Speicher namens „tabiq”, der auf öffentlichen Zugriff konfiguriert war und für jeden einsehbar war, der den Namen kannte. Der Speicher war zudem von GrayHatWarfare indiziert, einer öffentlichen Suchmaschine für offenliegende Cloud-Speicher.

Der unabhängige Sicherheitsforscher Anurag Sen entdeckte den Vorfall und meldete ihn. Reqrea sperrte den Speicher, nachdem TechCrunch das Unternehmen sowie das japanische Cybersicherheits-Koordinationsteam JPCERT kontaktiert hatte. Direktor Masataka Hashimoto erklärte, das Unternehmen führe „eine gründliche Überprüfung mit Unterstützung externer Rechtsberatung” durch und plane, betroffene Personen zu benachrichtigen. Reqrea fügte hinzu, dass derzeit noch unklar sei, wie der Speicher öffentlich wurde.

Wie der Speicher Offengelegt Wurde

Der Mechanismus ist die häufigste Ursache für Cloud-Datenlecks: ein Speichercontainer ohne Authentifizierungspflicht, hinterlegt unter einem erratbaren Namen. Es gab keinen Zero-Day. Es gab keine Angreifer-Toolchain. Ein Webbrowser, der die richtige URL ansteuert, reichte aus. Unabhängige Indexierer wie GrayHatWarfare scannen kontinuierlich nach diesem Muster, sodass die Zeit zwischen „auffindbar” und „aufgefunden” praktisch auf null sinkt, sobald ein Speicher falsch konfiguriert ist.

Reqrea hat noch keinen Zeitplan veröffentlicht, wann der Speicher erstmals öffentlich wurde, und prüft weiterhin Protokolle, um festzustellen, ob außer dem Forscher noch jemand auf die Daten zugegriffen hat.

Warum Cloud-Dateidienste Immer Wieder so Versagen

Jeder Cloud-Dateidienst erbt dasselbe Bedrohungsmodell. Ein Dokument wird beim Nutzer erfasst, an einen Server übertragen, in einen Speicher geschrieben und für eine bestimmte Dauer vorgehalten. Jeder Schritt hängt von einer Konfiguration ab, die Menschen einrichten und pflegen. Der Tabiq-Vorfall ist der jüngste Eintrag in einem langen Muster: Allein 2026 dokumentierten öffentliche Berichte falsch konfigurierte Objektspeicher, die französische Identitätsportale, Hotelplattformen und Patientenakten freilegten.

Die wöchentliche Datenschutzpannen-Übersicht von Privacy Guides für den 15. bis 21. Mai führte Tabiq neben einer separaten Offenlegung von 1,8 Millionen medizinischen Datensätzen und biometrischen Daten bei NYC Health + Hospitals auf. Das gemeinsame Element ist nicht der Angreifer, sondern die Architektur. Wenn ein Dienst Ihre Datei hält, hängt Ihre Privatsphäre vom schlechtesten Konfigurationstag dieses Dienstes ab.

Die Strukturelle Alternative

Ein browserbasiertes Datei-Tool verarbeitet das Dokument innerhalb des Browser-Tabs. Die Bytes erreichen nie einen Server. Es gibt keinen Speicher, der falsch konfiguriert werden könnte, keine Aufbewahrungsrichtlinie zu prüfen, keine Nutzungsbedingungen zu interpretieren und keinen Indexierer, der die Datei später finden könnte. Moderne WebAssembly-Laufzeiten führen Rust-, C- und C++-Code nahezu in nativer Geschwindigkeit aus, was ausreicht, um PDF-Zusammenführung, Bildkomprimierung, EXIF-Entfernung, Metadatenbearbeitung und Dokumentkonvertierung vollständig auf dem Gerät zu erledigen.

Sicherheitsforscher nennen das inzwischen strukturelle Privatsphäre. Es ist kein Versprechen, das in einer Richtlinie steht. Es ist eine Eigenschaft der Architektur. Ein Server, der eine Datei nicht empfängt, kann sie nicht offenlegen.

Was Daraus Mitzunehmen Ist

Wenn Ihr Arbeitsablauf das Hochladen eines Reisepasses, eines Vertrags, eines medizinischen Scans, einer Steuererklärung oder irgendeines Dokuments umfasst, das Sie nicht von einem öffentlichen Scanner indizieren lassen möchten, lautet die richtige Frage nicht „hat dieser Anbieter eine gute Sicherheit”. Die richtige Frage lautet „muss dieser Anbieter meine Datei überhaupt empfangen”. Für Routineoperationen wie Komprimierung, Konvertierung, Metadatenentfernung und Formatwechsel lautet die Antwort zunehmend nein.

Das Tabiq-Leck wird geschlossen, die betroffenen Nutzer werden benachrichtigt, und der Nachrichtenzyklus zieht weiter. Die Architektur, die es hervorgebracht hat, wird sich nicht ändern. Tools zu wählen, die die Datei gar nicht erst erfassen, ist die einzige dauerhafte Antwort.

Quellen

← Zurück zu den Neuigkeiten