SECURITY ADVISORY · SA-2026-BOSCH-001 · 22. Oktober 2026
Bosch Sicherheitslücke: 87 Schwachstellen in 21 Apps — Datenleck, Hack-Risiko & Full Disclosure
Hartcodierte Zugangsdaten. Firebase Admin Keys im Klartext. Über 120 HR-API-Endpunkte mit Zugriff auf Gehaltsabrechnungen. Und ein GitHub-Token in der App, das die gesamte Software-Lieferkette gefährdet.
87 Befunde
21 Android-Apps
7 Critical
14 High
Behebungsquote nach 90 Tagen: 1 von 6 gemeldeten Befunden behoben. 4 unverändert. 1 durch Bosch-Update verschlechtert (FileProvider-Regression).
Was wurde gefunden?
- Hartcodierte CI/CD-Zugangsdaten in öffentlich herunterladbaren APKs — Build-Pipeline-Kompromittierung möglich
- 120+ HR-API-Endpunkte der Mitarbeiter-Kommunikationsplattform — Gehaltsabrechnungen, Schichtpläne, Abwesenheiten. Die Plattform wird von 500+ Unternehmen weltweit eingesetzt.
- GitHub Personal Access Token im App-Binary — Supply-Chain-Risiko für alle Kunden des Plattformanbieters
- Firebase Admin SDK Private Keys für Fahrzeug- und IoT-Infrastruktur
- Push-Notification-Schlüssel im Klartext — massenhafte Benachrichtigungsmanipulation möglich
- FileProvider-Regression durch Bosch-Update — Zugriff auf gesamtes Geräte-Dateisystem ermöglicht
90-Tage-Chronologie
- 3. Juli 2026 — Analysebeginn. Erste Befunde in „My Bosch" und verbundenen Apps.
- 20. Juli 2026 — Kontaktaufnahme mit Bosch PSIRT. Schriftliche Bestätigung: „Wir sichern Ihnen unsere vollständige Zusammenarbeit und eine offizielle Bestätigung zum Abschluss des Verfahrens zu."
- 22. Juli 2026 — Detaillierte Befunde an Bosch PSIRT übermittelt.
- August–September 2026 — Vereinbarte Fristen nicht eingehalten. Safe-Harbor-Zusicherung 3 Monate lang nicht geliefert. Geschäftsführung informiert — ein HR-Mitarbeiter entfernte daraufhin alle Vorstandsmitglieder aus dem E-Mail-Verteiler.
- Oktober 2026 — 90-Tage-Frist abgelaufen. Reassessment: 1/6 behoben, 4 offen, 1 verschlechtert. Behörden informiert. Full Disclosure.
Wer ist betroffen?
- Bosch-Mitarbeiter weltweit — HR-Daten (Gehalt, Arbeitszeiten, Abwesenheiten) potenziell exponiert
- 500+ Unternehmen — Nutzer der gemeinsamen Mitarbeiter-Kommunikationsplattform (Drittanbieter-Supply-Chain)
- IoT-/Fahrzeugnutzer — Firebase Admin Keys ermöglichen Zugriff auf Geräteinfrastruktur
- Alle App-Nutzer — Push-Manipulation, Dateisystemzugriff durch FileProvider-Regression
Regulatorische Meldungen
Folgende Behörden wurden über die Befunde informiert:
- 🇩🇪 BSI CERT-Bund (Bundesamt für Sicherheit in der Informationstechnik)
- 🇪🇺 ENISA (NIS2 Art. 12 — Koordinierte Schwachstellenoffenlegung)
- 🇩🇪 LfDI Baden-Württemberg (Landesbeauftragter für den Datenschutz)
- 🇩🇪 KBA (Kraftfahrt-Bundesamt)
Methodik
Statische Analyse öffentlich verfügbarer APKs aus dem Google Play Store. Kein Zugriff auf produktive Systeme. Keine Zugangsdaten getestet. Keine Nutzerdaten extrahiert. Verantwortungsvolle Offenlegung gemäß ISO 29147.
Alle Klassifizierungen sind forschungsseitige Einschätzungen und stellen keine unabhängig verifizierten Exploits dar. Unabhängige Prüfung durch den Hersteller bleibt maßgeblich.