Ihr Cloud-Anbieter gehört zur Angriffsfläche – mit oder ohne Datenpanne

Wer ist eigentlich für die Sicherheit des Servers verantwortlich, den man mietet? Die meisten Teams würden antworten: „Wir, größtenteils“ – und stillschweigend davon ausgehen, dass das Unternehmen, dem Hardware, Hypervisor und Verwaltungsoberfläche gehören, seine eigenen Hausaufgaben gemacht hat. Diese stille Annahme ist die eigentliche Geschichte hinter den jüngsten Sicherheitshinweisen von Linode.

Zur Genauigkeit, denn die Schlagzeilen-Deutung kann in die Irre führen: Die uns vorliegende Dokumentation beschreibt keine bestätigte Datenpanne bei Linode, das zu Akamai gehört. Sie zeigt zwei Sicherheitshinweise für Kunden auf der Statusseite. Der erste, zu Schwachstellen für Remote-Code-Ausführung in PHP, begann am 21. Oktober 2026. Der zweite, zu kritischen außerplanmäßig veröffentlichten F5/NGINX-Lücken, folgte am 22. Oktober. Darin erklärte Akamai, seine Teams untersuchten „aktiv“ die möglichen Auswirkungen von drei CVEs auf Plattform und Infrastruktur.

Vertrauen als Voreinstellung ist die eigentliche Schwachstelle

Das ist kein Skandal. Hinweise zu veröffentlichen ist genau das, was ein Anbieter tun sollte. Doch man beachte die Formulierung: Das Unternehmen selbst klärte noch, wie stark die eigene Plattform betroffen war. Wenn schon diejenigen, die die Hardware betreiben, Zeit brauchen, um das herauszufinden, sollte auch der Kunde, der einen Teil davon mietet, Fragen stellen.

Die meisten von uns prüfen einen Hoster nur einmal, bei der Anmeldung: nach Preis, Region und Verfügbarkeit. Danach wird er zum Inventar. Wir patchen die eigene Anwendung, rotieren die eigenen Schlüssel und betrachten alles darunter als das Problem anderer. Aus unserer Sicht ist das verkehrt herum. Die Webserver des Anbieters, seine Management-API, seine Support-Werkzeuge und der Zugriff seiner Mitarbeiter sind allesamt Wege in Ihre Workloads – und keinen davon kontrollieren Sie.

Das Muster ist nicht auf Hosting beschränkt. Coinbase erklärte, die Gelder seiner Kunden seien nach einem Vorfall bei einem Analysedienstleister, der Kontaktdaten betraf, sicher gewesen – so jedenfalls die Überschrift des entsprechenden Berichts. Andere Ebene, gleiche Lehre: Zu Ihrer Angriffsfläche gehört jeder Zulieferer, dem Sie Daten oder Berechtigungen anvertraut haben, ob Sie sich an die Anmeldung erinnern oder nicht.

Transparenz ist das Produkt, nach dem Sie suchen sollten

Wenn ein Vorfall eintritt, zählt die Qualität der Kommunikation des Anbieters fast so viel wie die Behebung. Man vergleiche zwei Verhaltensweisen. Der Hinweis zu F5/NGINX nennt die konkreten CVEs und sagt, was untersucht wird. Dem steht Applebee's gegenüber: Dort fand ein Forscher laut Bericht von TechCrunch keine Möglichkeit, ein Sicherheitsproblem zu melden, und das Unternehmen wollte nicht sagen, ob es Protokolle besitzt, um unbefugte Zugriffe zu prüfen. Applebee's ist kein Hosting-Anbieter, doch der Kontrast ist lehrreich: Die eine Organisation sagt, was sie weiß, die andere lässt Sie im Ungewissen.

Stellen Sie Ihrem Anbieter also die langweiligen Fragen, bevor Sie die Antworten brauchen:

• Gibt es einen öffentlichen Sicherheitskontakt und einen Meldeprozess für Schwachstellen?
• Wie schnell werden Hinweise veröffentlicht, und nennen sie die konkreten Schwachstellen?
• Worauf kann der Anbieter in Ihrer Umgebung zugreifen, und wird dieser Zugriff protokolliert?
• Werden Sie informiert, wenn ein interner Vorfall Ihre Daten berührt, und bis wann?

Sind die Antworten vage, ist auch das eine Information. Wir würden sie mindestens so stark gewichten wie den Monatspreis.

Gehen Sie davon aus, dass der Anbieter kompromittiert werden kann – und planen Sie entsprechend

Unsere Empfehlung lautet nicht, die Cloud zu verlassen. Selbst-Hosting hat eigene Ausfallrisiken, und die meisten kleinen Teams würden es wohl schlechter machen. Es geht um eine Haltung: davon auszugehen, dass die Ebene unter Ihnen ausfallen kann, und die Kosten eines solchen Ausfalls zu begrenzen.

In der Praxis heißt das: Daten mit Schlüsseln verschlüsseln, die der Anbieter nie besitzt, Backups an einem anderen Ort aufbewahren und API-Tokens sowie SSH-Schlüssel so behandeln, dass sie sich an einem Nachmittag austauschen lassen. Es heißt auch, die Status- und Sicherheitsmeldungen des Anbieters so zu beobachten wie die eigenen Abhängigkeiten. Eine Lücke in NGINX oder PHP betrifft nicht nur Ihre Instanzen, sondern möglicherweise auch die Infrastruktur, auf der sie laufen. Nichts davon erfordert Paranoia. Es erfordert, den Anbieter von „vertrauenswürdig“ auf „vertrauenswürdig, überprüft und ersetzbar“ umzustufen.

Unser Fazit: Die Hinweise von Linode sind kein Grund zur Panik oder zum Anbieterwechsel. Man sollte sie als kostenlose Feuerwehrübung verstehen. Wenn eine solche Meldung Ihnen bewusst gemacht hat, dass Sie nicht wissen, was Ihr Hoster sehen kann, wen Sie kontaktieren würden oder wie Sie anderswo neu aufbauen könnten, dann ist diese Lücke das Ergebnis. Schließen Sie sie in diesem Quartal, solange sie ein Punkt auf der To-do-Liste ist und kein Vorfallbericht.