Der Vorfall bei Virtualizor: Warum Root-Passwörter niemals gespeichert werden dürfen
Ein Sicherheitsvorfall im Februar 2026 rund um ein Supportsystem von Virtualizor hat eines der ältesten Sicherheitsprobleme der Hosting-Branche ins Licht gerückt: Supportplattformen, die unbeabsichtigt zum Aufbewahrungsort für Kundenzugangsdaten werden.
Nach dem eigenen Sicherheitsbericht von Virtualizor wurden durch einen unbefugten Zugriff auf das Ticketsystem rund 1.500 historische Supporttickets offengelegt. Virtualizor teilte mit, einige dieser Tickets hätten sensible Informationen enthalten, darunter Root-Zugangsdaten im Klartext, die Kunden zuvor bei Hilfeanfragen geteilt hatten. Das Unternehmen betonte, der Vorfall habe das Supportsystem betroffen und sei nicht durch eine Schwachstelle in der Virtualizor-Software selbst verursacht worden. 1
Die wichtige Lehre beschränkt sich nicht auf eine Plattform oder einen Anbieter.
Das Problem ist, dass Supportsysteme oft jahrelange Kundendaten enthalten, die nie als dauerhafte Sicherheitsablage gedacht waren.
Supportsysteme sind übersehene Sicherheitssysteme
Bei vielen Hosting-Anbietern sammelt sich mit der Zeit dieselbe Art von Informationen an.
Root-Passwörter, die bei der Fehlersuche eingefügt wurden. SSH-Schlüssel, die bei einer Migration angehängt wurden. API-Token in Fehlermeldungen. Datenbank-Exporte, hochgeladen, um ein Problem nachzustellen.
Das Ticket wird geschlossen. Das Problem ist gelöst. Die Kundin geht weiter ihrer Arbeit nach.
Die Daten aber bleiben häufig in Ticketdatenbanken, Backups, Anhängen und internen Archiven liegen.
Wie viel bei einem Supportsystem auf dem Spiel steht, hängt unmittelbar an jedem Geheimnis, das Kunden je darüber geteilt haben. Bei vielen Anbietern enthält diese Historie mehr Sensibles, als ihnen bewusst ist.
Schicken Sie dem Support niemals dauerhafte Zugangsdaten
Kundinnen und Kunden sollten Zugangsdaten, die sie über ein Ticket übermittelt haben, als potenziell kompromittiert betrachten.
Dazu zählen:
- Root-Passwörter
- Administratorpasswörter
- API-Schlüssel
- private Schlüssel
- Datenbank-Zugangsdaten
- Passwörter für Control Panels
- temporäre Passwörter, die zur Fehlersuche angelegt wurden
Wurde eine Zugangsinformation bereits geteilt, wechseln Sie sie.
Sicherer ist ein temporärer Zugang:
- ein temporäres Supportkonto anlegen
- eingeschränkte Rechte vergeben
- den Zugang danach wieder entziehen
- Konsolenzugriff nutzen, wenn SSH nicht verfügbar ist
Ein Anbieter sollte Ihren Dienst untersuchen können, ohne Ihre dauerhaften Anmeldedaten zu brauchen.
Was Hosting-Anbieter ändern sollten
Die Verantwortung liegt nicht allein bei den Kunden.
Anbieter sollten davon ausgehen, dass in alten Tickets sensible Informationen stecken, und die Folgen begrenzen.
Zu den guten Praktiken gehören:
- alte Tickets auf zugangsdatenähnliche Inhalte durchsuchen
- unnötige Anhänge nach Ablauf der Aufbewahrungsfrist löschen
- Supportsysteme mit starker Authentifizierung schützen
- den Zugriff von Mitarbeitenden auf Kundendaten begrenzen
- den Umgang mit Zugangsdaten schriftlich festhalten
Eine Supportplattform sollte wie ein produktives Sicherheitssystem behandelt werden. Sie enthält Kundendaten, Betriebsdetails und womöglich Authentifizierungsmaterial.
Zugriff ohne Zugangsdaten
Bei AVS ISP bitten wir niemanden, uns Root-Passwörter zu schicken.
Unsere VPS- und VDS-Dienste bringen im Kundenbereich einen Konsolenzugang über noVNC im Browser mit. Ist SSH wegen eines Firewallfehlers, einer kaputten Konfiguration, eines fehlgeschlagenen Updates oder eines anderen Problems nicht erreichbar, kommen Kunden direkt auf die Maschine, ohne dauerhafte Zugangsdaten herauszugeben.
Wenn Unterstützung nötig ist, geht es darum, bei der Diagnose zu helfen – nicht darum, eine weitere Kopie Ihrer Geheimnisse anzulegen.
Unsere VPS-Infrastruktur nutzt KVM-Virtualisierung und damit hardwaregestützte Virtualisierungsgrenzen, die der Hypervisor durchsetzt, statt sich allein auf Isolation auf Betriebssystemebene zu verlassen.
In Supportgesprächen gehören Informationen zur Fehlersuche – keine Passwörter.
Wenn Sie je Zugangsdaten an irgendeinen Hosting-Anbieter geschickt haben, uns eingeschlossen, ist die sicherste Maßnahme immer dieselbe: wechseln Sie sie.
Ransomware macht aus schwachem Backup-Design einen endgültigen Verlust
Das Schädlichste an Ransomware-Vorfällen ist oft nicht der ursprüngliche Einbruch.
Es ist der Verlust der Wiederherstellungsmöglichkeiten.
Erreichen Angreifer sowohl die Produktivsysteme als auch die von dort erreichbaren Backups, kann aus einem Ausfall ein endgültiger Datenverlust werden.
Eine echte Backup-Strategie verlangt Trennung:
- getrennte Zugangsdaten
- getrennte Systeme
- getrennte Fehlerdomänen
- am besten getrennte physische Standorte
Ein Backup, das in derselben Umgebung liegt und durch dieselben Zugangsdaten geschützt ist wie die Produktion, ist keine unabhängige Wiederherstellungskopie.
AVS ISP betreibt Infrastruktur an mehreren Standorten und bietet zusätzliche VPS-Standorte für alle, die geografische Trennung wollen. Das Prinzip gilt aber überall: Halten Sie Backups, die Sie selbst kontrollieren – nicht nur Kopien, die innerhalb der Umgebung Ihres Hosting-Anbieters liegen.
Die größere Lehre fürs Hosting
Was solche Vorfälle lehren, ist einfach:
Sicherheit besteht nicht nur aus Firewalls, Hypervisoren und Netzwerkschutz.
Sie besteht auch aus ganz gewöhnlichen Gewohnheiten im Betrieb.
Ein Passwort, das heute in ein Supportticket kopiert wird, kann Jahre später zum Sicherheitsvorfall werden.
Hosting-Anbieter sollten ihre Systeme so bauen, dass sie mit Fehlern ihrer Kunden rechnen. Und Kunden sollten Anbieter wählen, bei denen diese Fehler weniger gefährlich sind.
Das beste Supportticket ist eines, das das Problem löst, ohne je ein Geheimnis zu enthalten.
Häufige Fragen
Soll ich meinem VPS-Anbieter mein Root-Passwort geben?
Nein. Ein Hosting-Anbieter sollte keine dauerhaften Zugangsdaten verlangen. Temporäre Zugänge, Konsolenzugriff oder eingeschränkte Konten sind sicherer.
Sind Supporttickets ein Sicherheitsrisiko?
Ja. Supporttickets enthalten häufig Logs, Konfigurationsdetails, Zugangsdaten und Kundeninformationen, die jahrelang gespeichert bleiben können.
Was tun, wenn ich dem Support mein Passwort geschickt habe?
Ändern Sie es sofort. Wechseln Sie außerdem alle zugehörigen Schlüssel, Token oder Zugangsdaten, die dabei gewesen sein könnten.
Quellen
- Security Update: Transparency Regarding a Recent Support Ticket Incident, Virtualizor (3. Februar 2026) – Primärquelle
- Mass VPS Provider Ransomware Attack Linked to Stolen Credentials from Virtualizor Support Breach, Cyber Kendra (Februar 2026) – unabhängige Berichterstattung