TEAM Atlassian Corporation - Class A Common Stock

Atlassian [ətˈlæsiən] ist ein Anbieter von Softwarelösungen für Softwareentwickler mit Sitz in San Francisco und operativer Hauptzentrale in Sydney.

Unternehmen

Mike Cannon-Brookes und Scott Farquhar, die sich aus Studienzeiten an der Universität von New South Wales kannten, gründeten Atlassian im Jahr 2002 in Sydney. Das Unternehmen hat rund 250.000 Kunden weltweit und Niederlassungen in 15 Ländern.

Die Unternehmensgründung finanzierten sie selbst mit einem Kreditkartenrahmen von 10.000 US-Dollar. Im Juli 2010 erhielt es 60 Millionen US-Dollar Risikokapital von Accel Partners. Im Dezember 2015 erfolgte der Börsengang an der Nasdaq unter dem Kürzel TEAM, 2013 wurde in dem Zusammenhang der Sitz nach Großbritannien verlegt.

Anfang 2017 kaufte Atlassian den Hersteller der Kanban-Software Trello.

Ende August 2022 kam es zum wiederholten Mal zu Protesten vor Atlassians Hauptsitz in Sydney: Die Demonstranten werfen dem Unternehmen vor, nach dem Angriff Russlands auf die Ukraine weiterhin Geschäfte mit Russland zu machen. Auf den Plakaten der Menschen waren Schilder wie „Blut an euren Händen?“ oder „Atlassian unterstützt Terrorismus“ zu lesen. Ende September 2022 gab Atlassian dem Druck nach und verkündete das Ende der Geschäftsbeziehungen zu Russland und Belarus.

Zum Oktober 2022 wurde der Firmensitz von Atlassian aus dem Vereinigten Königreich in die USA verlagert. Damit verbunden ist die Umwandlung in eine Corporation.

Ende August 2024 trat Farquhar als Co-CEO zurück und überließ Cannon-Brookes die alleinige Leitung des Unternehmens. Farquhar verblieb im Vorstand und als Sonderberater.

Produkte

Die Atlassian-Produkte und -Dienste (beispielsweise Bamboo, Crucible, SourceTree, Bitbucket) richten sich an Softwareentwickler. Zudem sind aber auch Tools wie das Wiki Confluence und die Aufgabenmanagementsoftware Jira in ihrer Produktpalette, die auf einen Anwenderkreis über Softwareentwickler hinaus abzielen. Das Unternehmen ist unter anderem dafür bekannt, sich sowohl auf agile Softwareentwicklung zu konzentrieren als auch diese selber zu praktizieren.

Zudem ist die Firma ein Anbieter von Enterprise-2.0-Software; die Produkte sind zum größten Teil keine Open-Source-Software, werden aber unter einer Softwarelizenz angeboten, die es Kunden erlaubt, den Quellcode zu sichten und zu modifizieren. Es ist ihnen aber nicht erlaubt, den modifizierten Quellcode zu veröffentlichen oder zu verkaufen.

Sicherheitsprobleme

Um den Schweregrad einer Sicherheitslücke anzugeben, nutzt Atlassian den CVSS-Score, einen Industriestandard, der versucht, die Gefahr als Zahlenwert zwischen 0 (kein Risiko) und 10 (hohes Risiko) anzugeben. Das Unternehmen gibt zusätzlich ein eigens entwickeltes „Severity Level“ an, welches die vergleichsweise sensitive CVSS-V3-Skala auf die vier Stufen Niedrig, Mittel, Hoch und Kritisch reduziert.

Confluence

Erweiterung umgeht Benutzerauthentifizierung

In der Erweiterung Questions for Confluence gab Atlassian am 20. Juli 2022 eine Sicherheitslücke bekannt: Bei der Installation erzeugt das Addon automatisch ein Benutzerkonto namens disabledsystemuser mit einem Passwort, das überall identisch ist. Dieses Kennwort lässt sich mit wenig Aufwand aus der Erweiterung auslesen. Das unzureichend geschützte Konto ist laut Hersteller für die Cloud-Migration vorgesehen. Die Umsetzung erfüllt jedoch alle Merkmale einer Hintertür (Backdoor). Mit dem Account haben Unbefugte Zugriff auf alle Seiten, die ansonsten nur angemeldete Nutzer sehen dürfen. Vom Nutzer bewusst gesetzte Einschränkungen werden umgangen. Der Hersteller hat dieses Sicherheitsproblem in der höchsten Kategorie „kritisch“ eingestuft. Betroffen sind nicht alle Confluence-Anwender, da es sich bei Questions for Confluence um eine Erweiterung handelt. Der Hersteller hat eine Seite erstellt, die häufig gestellte Fragen umfasst.

Zero-Day-Schwachstelle Juni 2022

Ende Mai 2022 entdeckte ein Sicherheitsunternehmen eine Zero-Day-Schwachstelle, über die der Hersteller Anfang Juni informierte. Angreifer können dadurch eigenen Programmcode auf dem Server ausführen. Die Lücke wurde von Atlassian selbst mit der höchsten Stufe „kritisch“ eingestuft. Zunächst wurde den Kunden kein Workaround zur Verfügung gestellt. Atlassian empfahl lediglich, sich mit den eigenen Sicherheitsteams des Kunden über mögliche Maßnahmen zu beraten, und gab dazu verschiedene konkrete Vorschläge. Später wurden Aktualisierungen für alle Confluence-Versionen veröffentlicht.

Bitbucket

Am 21. August 2022 veröffentlichte Atlassian ein Sicherheitsupdate, das die Lücke CVE-2022-36804 schloss. Die Aktualisierung erschien für die drei LTS-Zweige 7.6, 7.17 und 7.21 sowie Version 8. Sowohl die Server- als auch Data-Center-Produkte waren betroffen. Durch die Sicherheitslücke war es Angreifern möglich, eigenen Code über eine manipulierte HTTP-Anfrage auf dem Server auszuführen. Der Hersteller veröffentlichte am 24. August 2022 ein Security Advisory mit Informationen über die Schwachstelle. Atlassian empfahl daraufhin allen Betreibern von Bitbucket, entsprechend dem Security Advisory auf eine Version zu aktualisieren, in der dieser Fehler korrigiert wurde. Ein offizieller Workaround wurde nicht angeboten. Das IT-Nachrichtenportal heise online verwies auf eine kurzzeitige Übergangslösung, bis zur Veröffentlichung eines umfänglichen Updates.

Eingestellte Produkte

Das 2010 eingeführte Tool zur Echtzeit-Kollaboration HipChat wurde im Februar 2019 eingestellt.

Im Oktober 2020 hat Atlassian angekündigt, den Vertrieb der Server-Produkte zum 2. Februar 2021 einzustellen, diese jedoch noch für drei weitere Jahre zu unterstützen. Die Produkte „Data Center“ sollten darüber hinaus weiterhin angeboten werden, jedoch zu deutlich teureren Preisen. Das Unternehmen hat dadurch das Geschäft mit seinen Cloud-Diensten verstärkt.

2025 wurde von Atlassian auch das Ende der Unterstützung für „Data Center“-Produkte angekündigt. Atlassian verschiebt damit sein Geschäft vollständig in die firmeneigene Cloud und bietet ab 2029 keine vom Kunden selbst oder durch Dritte gehosteten Lösungen mehr an.

Datenschutz

2026 berichteten Medien, dass Atlassian seine KI mit Kundendaten trainiere, die auch sensible Projektdaten und Mitarbeiterdaten umfassten. Bei sogenannten In-App-Daten hätten die betroffenen Firmen die Möglichkeit, der Nutzung zu widersprechen; Metadaten hingegen würden immer genutzt, es sei denn, die Firma zahle einen bestimmten Tarif. Kritiker sehen darin eine unzulässige Datenverwendung, insbesondere bezüglich der Daten von Arbeitnehmern: Insbesondere stelle ein Arbeitsvertrag nicht eine Einwilligung zu einer solchen Datenverwendung dar. Kritiker merken außerdem an, dass die Firmen sich – im Sinne eines Lock-in-Effekts – von der Nutzung der KI von Atlassian abhängig machen würden.