Gitea- und n8n-Exposition: Warum die Konfiguration wichtiger ist als die Anzahl der Assets

Aktuelle Internetscans haben Hunderttausende öffentlich zugängliche Instanzen von Gitea und n8n identifiziert, zwei beliebten selbst gehosteten Tools für Code-Management und Workflow-Automatisierung. Während die schiere Menge der exponierten Assets sofortige Bedenken aufwirft, betonen Sicherheitsexperten, dass die bloße Präsenz dieser Dienste im Internet nicht automatisch einem Datenleck gleichkommt. Der entscheidende Faktor ist nicht nur die Sichtbarkeit, sondern wie diese Plattformen konfiguriert sind, um die sensiblen Zugangsdaten zu handhaben, die sie im Auftrag der Benutzer speichern.

Was passiert ist

Am 28. Oktober 2026 zeigten Messungen, die über die ZoomEye-Plattform gesammelt wurden, erhebliche Zahlen indexierter Assets, die sich als spezifische selbst gehostete Anwendungen ausgaben. Der Scan fand 117.523 Assets, die dem Signaturprofil von Gitea, einem leichten Git-Dienst, entsprachen. Für n8n, ein Tool zur Workflow-Automatisierung, war die Zahl mit 420.452 Assets, die seiner Anwendungssignatur entsprachen, deutlich höher, zusätzlich gab es 401.268 Übereinstimmungen basierend auf Seitentiteln. Diese Zahlen repräsentieren die Anzahl der Systeme, die auf Identifikationsproben reagierten, und nicht unbedingt die Anzahl der kompromittierten oder falsch konfigurierten Server.

Die Analyse hebt hervor, dass sowohl Gitea als auch n8n als zentrale Speicherorte für Geheimnisse (Secrets) dienen. Gitea speichert Deploy-Keys, Webhook-Secrets, Access-Tokens und oft SSH-Schlüssel, die für Code-Pushes verwendet werden. Ähnlich enthalten n8n-Workflows API-Zugangsdaten für verschiedene externe Dienste, die in automatisierte Prozesse integriert sind. Da diese Plattformen hochwertige Authentifizierungsdaten konzentrieren, erfordert jede Instanz, die dem öffentlichen Internet offensteht, strenge Überprüfung. Das Risiko besteht nicht nur in unbefugtem Zugriff auf die Plattform selbst, sondern auch im potenziellen Diebstahl der darin gespeicherten Drittanbieter-Zugangsdaten.

Wichtige Details

• ZoomEye verzeichnete am 28. Oktober 2026 117.523 Gitea-Instanzen und 420.452 n8n-Instanzen.
• Gitea speichert sensible Elemente wie Deploy-Keys, Webhook-Secrets und SSH-Schlüssel neben Code-Repositories.
• n8n-Workflows betten API-Zugangsdaten für verbundene externe Dienste ein, was sie zu Zielen mit hohem Wert macht.
• Zu den Standard-Gitea-Einstellungen gehören INSTALL_LOCK zum Schutz der Setup-Seite und DISABLE_REGISTRATION, um unbefugte Registrierungen zu verhindern.
• n8n-Instanzen erfordern oft öffentliche Erreichbarkeit für Webhooks, was ihre Exposition im Vergleich zu reinen VPN-basierten Gitea-Setups erhöht.
• Asset-Anzahlen weisen nicht auf Verwundbarkeiten hin; viele indexierte Instanzen können ordnungsgemäß mit Single Sign-On und eingeschränktem Zugriff gehärtet sein.

Hintergrund

Selbst gehostete Software gibt Organisationen die Kontrolle über ihre Daten und Infrastruktur, verschiebt aber auch die Verantwortung für die Sicherheit vollständig auf den Betreiber. Im Gegensatz zu verwalteten Cloud-Diensten, bei denen der Anbieter Patches und Zugriffskontrollen übernimmt, verlassen sich selbst gehostete Instanzen darauf, dass der Administrator die Sicherheitseinstellungen vom ersten Tag an korrekt konfiguriert. Tools wie Gitea und n8n sind so designed, dass sie tiefgreifend mit anderen Systemen integrieren, was die lokale Speicherung von Authentifizierungstokens und Schlüsseln erfordert. Diese architektonische Entscheidung erzeugt einen „Credential Vault“-Effekt, bei dem die Kompromittierung des Hosts Zugriff auf mehrere externe Dienste gewährt.

Die Diskrepanz in der öffentlichen Sichtbarkeit zwischen Gitea und n8n ergibt sich aus ihren typischen Bereitstellungsmustern. Gitea wird oft von Entwicklungsteams genutzt, die über ein Unternehmens-VPN darauf zugreifen können, sodass es für das öffentliche Internet unsichtbar bleibt. Im Gegensatz dazu verlässt sich n8n auf Webhooks, um Trigger von externen Anbietern wie Zahlungs-Gateways oder CRM-Systemen zu empfangen. Diese funktionale Anforderung zwingt n8n-Instanzen oft dazu, öffentlich erreichbar zu sein, was sie wahrscheinlicher in Internet-weiten Scans erscheinen lässt. Das Verständnis dieser Unterscheidung hilft, den Kontext dafür zu liefern, warum n8n häufiger in öffentlichen Indizes auftaucht, obwohl beide Tools weit verbreitet sind.

Warum es wichtig ist

Für Teams, die ihre eigene Software betreiben, unterstreichen diese Erkenntnisse die Gefahr von „Set-and-forget“-Bereitstellungen. Es ist üblich, dass Administratoren ein Tool zur Evaluation oder initialen Einrichtung installieren und es mit Standardkonfigurationen laufen lassen. In Gitea bleibt die initiale Konfigurationsseite zugänglich, wenn INSTALL_LOCK nicht aktiviert ist, was Angreifern möglicherweise erlaubt, administrative Einstellungen zurückzusetzen. Ebenso können unbefugte Benutzer Konten erstellen und potenziell auf interne Repositories oder Workflow-Definitionen zugreifen, wenn die Registrierung nicht deaktiviert ist. Diese Nachlässigkeiten sind keine komplexen Exploits, sondern einfache Konfigurationslücken, die Tür und Tor offen stehen.

Die Anhäufung veralteter Zugangsdaten stellt eine weitere stille Bedrohung dar. Automatisierungsplattformen wie n8n neigen dazu, organisch zu wachsen, wobei neue Integrationen im Laufe der Zeit hinzugefügt werden. Alte Workflows, die mit eingestellten Diensten verbunden sind oder Zugangsdaten ehemaliger Mitarbeiter verwenden, bleiben oft aktiv, weil deren Entfernung riskant erscheint. Wenn eine Instanz exponiert ist, können Angreifer diese längst vergessenen Tokens ernten. Regelmäßige Audits sowohl der Zugriffskontrollen der Plattform als auch der spezifischen Secrets innerhalb der Workflows sind unerlässlich, um eine sichere Haltung beizubehalten. Die hohe Anzahl indexierter Assets deutet darauf hin, dass viele Organisationen diese routinemäßigen Prüfungen möglicherweise nicht durchführen.

Was Sie tun können

• Stellen Sie sicher, dass INSTALL_LOCK in Ihrer Gitea-Konfiguration auf true gesetzt ist, um den Zugriff auf den Setup-Assistenten zu blockieren.
• Aktivieren Sie DISABLE_REGISTRATION in Gitea, es sei denn, Sie beabsichtigen ausdrücklich, öffentliche Registrierungen zu ermöglichen.
• Überprüfen Sie die Benutzerverwaltungseinstellungen von n8n, um sicherzustellen, dass nur autorisiertes Personal Konten erstellen oder Workflows ändern kann.
• Auditieren Sie alle Deploy-Keys und Webhook-Secrets in Gitea und entfernen Sie jene, die zu ausgeschiedenen Mitarbeitern oder ungenutzten Projekten gehören.
• Prüfen Sie n8n-Workflows auf veraltete API-Zugangsdaten und rotieren Sie Schlüssel für alle Dienste, die noch aktiv genutzt werden.
• Erwägen Sie, selbst gehostete Instanzen hinter einem Reverse Proxy oder VPN zu platzieren, um die öffentliche Exposition auf nur notwendige Endpunkte zu beschränken.