Broadcast Defense 5: Fehlende Zugriffskontrolle

Sicherheitsvorfall des Monats: Eine Lücke führt zum Generalschlüssel

Organisation: Betreiber einer internationalen Streaming- und Akkreditierungsplattform für ein Sportgroßereignis (anonymisiert)
Land: International
Datum: Juni 2026

Wie schnell aus einer harmlos wirkenden Anmeldefunktion ein Generalschlüssel werden kann, wenn im Hintergrund niemand die Berechtigungen prüft, zeigt ein Fall aus dem Vorfeld eines der größten Sportgroßereignisse des Jahres. Gerade bei Broadcast-Infrastrukturen mit vielen angebundenen Drittplattformen wächst die Angriffsfläche mit jeder zusätzlichen Anmeldemöglichkeit, eine kontinuierliche Überwachung öffentlich erreichbarer Systeme hätte die folgende Lücke früh erkennen können, ein klar erreichbarer Meldeweg für Sicherheitsforscher die Reaktionszeit zusätzlich verkürzt.

Aufgedeckt wurde die Schwachstelle von einer Sicherheitsforscherin, die sich über eine öffentlich zugängliche Anmeldeseite für Berater und Vermittler beim Betreiber registrierte. Für die Anmeldung genügten ein Ausweisdokument und ein Foto, danach wurde automatisch ein Konto angelegt, mit dem sie Zugriff auf sämtlichen internen Systemen des Betreibers erhielt.

Der Vorfall zeigt, wie leicht es sein kann, bei Broadcastern in senderelevante Bereiche einzudringen und Live-Programme zu kapern.

Die eigentliche Schwachstelle lag darin, dass die Berechtigungen nur auf den ersten Blick geprüft wurden, nämlich sichtbar in der Anwendung selbst. Im Hintergrund, wo die eigentliche Entscheidung fallen sollte, fand aber gar keine echte Prüfung statt. Wer diese oberflächliche Kontrolle umging, gelangte direkt in die zentrale Steuerung für die Live-Übertragungen, mit vollem Zugriff auf alle technischen Zugangsdaten und Verbindungen, die für die Ausstrahlung nötig sind. Theoretisch wäre es damit möglich gewesen, Übertragungen einzelner oder aller gleichzeitig laufenden Spiele zu unterbrechen, zu manipulieren oder den Kommentatoren falsche Spielstände und Statistiken anzuzeigen.

Die Meldung des Fehlers gestaltete sich zusätzlich schwierig: Die offizielle Hotline des Betreibers war nicht erreichbar, mehrere angeschlossene Streaming-Plattformen wussten nicht, wie sie mit dem Hinweis umgehen sollten. Erst der Umweg über eine Bundesbehörde führte dazu, dass die Lücke über Nacht geschlossen wurde. Eine öffentliche Rückmeldung an die Forscherin blieb aus.

Seite 1: Basiswissen Angreifer
Seite 2: Sicherheitsvorfall des Monats: Durch die Lücke zum Generalschlüssel
Seite 3: Angriffstyp des Monats: Endpoint, Netzwerk, Cloud  – Verlosung Schwachstellen-Scan