GitHub erweitert Secret Scanning auf die gesamte öffentliche GitHub-Oberfläche für Enterprise-Nutzer

GitHub hat am 1. Juli 2026 eine bedeutende Erweiterung seines Secret-Scanning-Systems für Enterprise-Nutzer angekündigt: Public Monitoring, das die gesamte öffentliche Oberfläche von github.com überwacht und gefundene geleakte Secrets in Echtzeit Organisationen zuordnet. Die Funktion ist ohne Aufpreis für Nutzer mit GitHub Secret Protection-Abonnement verfügbar.

Welches Problem wird damit gelöst?

Das herkömmliche GitHub Secret Scanning schützte Repositories, die eine Organisation direkt besitzt. Doch Secrets (API-Schlüssel, Tokens, Passwörter) gelangen oft in Kontexten aus, die außerhalb dieses Perimeters liegen: persönliche Forks von Mitarbeitern, Open-Source-Projekte, an denen Mitarbeiter als Privatpersonen teilnehmen, oder sogar Kommentare in Issues und Pull Requests auf völlig fremden Repositories.

Genau hier entsteht ein blinder Fleck: Eine Organisation weiß nicht, dass ein Arbeits-API-Schlüssel in einem öffentlichen Kommentar irgendwo auf GitHub gelandet ist — bis jemand Böswilliges das vor ihr bemerkt.

Wie Public Monitoring funktioniert

Die neue Funktion scannt Git-Inhalte, Pull-Request-Kommentare und GitHub Issues — also alles, was auf der Plattform öffentlich sichtbar ist, nicht nur eigene Repositories der Organisation. Wenn das System ein Secret erkennt, muss es einer Organisation zugeordnet werden. Dafür werden zwei Methoden verwendet.

Ist member-based Attribution ausreichend zuverlässig?

Member-based Attribution funktioniert so, dass das System prüft, ob das GitHub-Konto, das den Inhalt committet hat, ein registriertes Mitglied der Enterprise-Organisation ist. Dies deckt „verwaltete Konten und bekannte Mitglieder” ab, wie GitHub angibt. Die Methode ist präzise, hat aber eine Einschränkung: Sie erfasst keine Mitarbeiter, die auf GitHub mit privaten Konten ohne Verbindung zur Organisation auftreten.

Hier kommt die zweite Methode ins Spiel: Verified-Domain-Matching. Das System vergleicht die E-Mail-Adresse des Committers mit Domains, die die Organisation in den GitHub-Einstellungen verifiziert hat. Wenn ein Mitarbeiter mit einer Arbeits-E-Mail-Adresse von seinem privaten GitHub-Konto committet, wird der Fund der Organisation zugeordnet — auch ohne formalen Mitgliedschaftslink. Jeder gefundene Fund zeigt an, welche der beiden Methoden verwendet wurde, den Secret-Typ, den öffentlichen Speicherort und die Committer-Daten.

Ohne Konfiguration, ohne Wartezeit

Die Einrichtung ist minimalistisch: Enterprise-Owner und Security Manager aktivieren die Funktion über den Security-Tab in den Organisationseinstellungen. Es ist keine zusätzliche Konfiguration erforderlich — unmittelbar nach der Aktivierung sind kürzlich geleakte Funde sichtbar und die kontinuierliche Überwachung beginnt. GitHub erfordert keine Installation zusätzlicher Tools oder Integration mit externen Systemen.

Kein Aufpreis

Dies ist ein wichtiger Punkt: Public Monitoring ist in der bestehenden GitHub Secret Protection-Abonnement ohne Zuzahlung enthalten. Für Organisationen, die Secret Protection bereits nutzen, ist dies ein Upgrade, das die Abdeckung ohne Kostenänderung erweitert.

Bedeutung für Sicherheitsteams

Für Security- und DevSecOps-Teams schließt diese Änderung eine konkrete Sichtbarkeitslücke. Statt reaktiver Entdeckung — wenn ein Nutzer oder externer Forscher ein Problem meldet — erhalten Organisationen proaktives Monitoring, das die öffentliche Oberfläche der gesamten Plattform überwacht.

Besonders wertvoll ist der Aspekt der Attribution, die auch für informell verknüpfte Konten funktioniert. Ein Mitarbeiter, der vergisst, dass er eine Arbeits-E-Mail auf seinem privaten GitHub-Profil verwendet, und versehentlich einen geheimen Schlüssel in einem persönlichen Projekt committet, bleibt nicht mehr unter dem Radar. Die Organisation erhält einen Fund in Echtzeit, mit klar gekennzeichneter Erkennungsmethode und allen Metadaten, die für eine schnelle Reaktion benötigt werden.

Für Organisationen, die in regulierten Branchen tätig sind oder sensible Kundendaten verarbeiten, wird dieses Maß an Abdeckung zunehmend weniger zu einem „Nice to have” und mehr zum Standardminimum.