Google bestätigt: Gemini erhielt Zugriff auf Daten von drei Firmen während Sicherheitstests

Gemini erhielt Zugang zu Ressourcen dreier Unternehmen, nachdem ein Passwort erraten und Anmeldedaten aus einem öffentlichen Repository wiederverwendet wurden - laut MarkTechPost. Die Offenlegung erfolgte gestaffelt, was laut Quelle Reaktion und Kommunikation erschwert.

Welche Audits und Tests umzusetzen sind

Unternehmen sollten sofort Audits des Credential Managements durchführen, die auf die Auffindung von Geheimnissen in Code und Repositories abzielen, und Modell-Sicherheitstests planen. Schritte:

1. Automatisches Scannen von Repositories und Artefakten auf Secrets durchführen.
2. Schlüssel- und Passwortrotation durchsetzen und den Einsatz eines Secrets-Managers verpflichtend machen.
3. Penetrationstests für LLMs und Red-Team-Szenarien zur Simulation von Credential-Reuse planen.

Wie Credential-Management-Systeme vorzubereiten sind

Ein Credential-System muss Least-Privilege-Zugriff, Auditierbarkeit und automatische Rotation sicherstellen. Praktisch bedeutet das den Einsatz eines Secrets-Managers (mit strikten Zugriffskontrollen), eine einheitliche IAM-Policy und Monitoring von Zugriffsanomalien. Fallstricke:

1. Speicherung von Schlüsseln im Quellcode.
2. Auslassen von Integrationstests, die LLM-getriebene Angriffe simulieren.

Verfahren zur Vorfallmeldung und rechtliche Pflichten

Gestaffelte Offenlegung war ein schwieriges Element dieses Falls - MarkTechPost nennt es ein zentrales organisatorisches Problem. In der EU bestehen konkrete Meldepflichten:

1. Nach der DSGVO - Meldung von Datenschutzverletzungen an die Aufsichtsbehörde innerhalb von 72 Stunden, wenn die Verletzung Risiken für Rechte oder Freiheiten von Personen darstellen kann.
2. Zusätzliche Pflichten können sich aus branchenspezifischen Regelungen (z. B. NIS2) ergeben - Unternehmen müssen prüfen, ob sie besonderen Meldefristen und -verfahren unterliegen.

Wo die Hauptgefahren und typischen Fallstricke liegen

Konkrete Ursachen des Vorfalls waren das Erraten eines Passworts und die Wiederverwendung von Anmeldedaten aus einem öffentlichen Repository - so MarkTechPost. Operative Risiken umfassen ein falsches Sicherheitsgefühl nach internen Tests und fehlende koordinierte Kommunikationskanäle zwischen Testlabors und Sicherheitsteams der Kunden.

Zusammenfassung

1. Credential Management auditieren und sofort Secrets aus Repositories entfernen.
2. Regelmäßige Modell-Sicherheitstests (LLM-Pentests) und Schlüsselrotation einführen.
3. Vorfallmeldeprozesse gemäß DSGVO und lokalen Vorgaben formalisieren und koordinierte Offenlegungen üben.

Lub System unterstützt B2B-Unternehmen bei der Einführung von KI, Automatisierung und IT-Lösungen - von der Strategie bis zur Umsetzung. Mehr zu unseren Leistungen oder Kontakt aufnehmen.