Was der Scan gefunden hat
Eine Hausverwaltung ließ sich von einem KI-Werkzeug eine App bauen, die ihr Postfach zusammenfasst, und die App veröffentlichte diese Zusammenfassungen samt Mieterdaten für jeden, der die richtige Adresse aufrief. Die Firma ist einer der Fälle, die das deutsche Sicherheitsunternehmen Crissy Field diese Woche beschrieben hat. Es zog 159.041 Projekte der Stockholmer Vibe-Coding-Plattform Lovable aus dem Archiv Common Crawl und fragte jede Datenbank, was sie einem Fremden aushändigen würde.
| Befund | Zahl |
|---|---|
| Geprüfte Lovable-Projekte | 159.041 |
| Davon auf Supabase | 34.545 |
| Gaben Datensätze ohne Login heraus | 24.664 |
| Seiten mit lesbaren E-Mail-Adressen | 7.403, verteilt auf mehr als 10.500 Tabellen |
| Chatnachrichten eines Lifestyle-Forums | Mehr als 200.000, dazu 80.000 Profile |
| Passdatensätze eines Dienstleisters | Mehr als 1.000 |
Veranstalter und Restaurants legten Bestellungen und Tickets mit Telefonnummern, Postanschriften, Zahlungsdaten und Ticketcodes offen. Andere Tabellen enthielten Verträge, Rechnungen, Fotoalben und interne WhatsApp-Nachrichten. Zuerst erschienen die Ergebnisse im Handelsblatt, mit dem die Forscher zusammengearbeitet haben.
Niemand ist eingebrochen
Für nichts davon war ein Angriff nötig, denn die Apps gaben die Daten jedem Besucher von sich aus. Die Forscher nutzten nur lesende Abfragen und denselben öffentlichen Schlüssel, den jede Seite an den Browser übergibt. Es fehlte die Row Level Security, also die Supabase-Einstellung, die festlegt, welche Zeilen ein Besucher lesen darf. Ohne sie öffnet der öffentliche Schlüssel die ganze Tabelle.
Lovable erklärte den Forschern, es handle sich um ein bekanntes, branchenweites Konfigurationsproblem bei der Nutzung von Supabase, und die Zahlen stützen diesen Teil. Im September prüfte UpGuard rund 300.000 Domains mit Anzeichen für Supabase und fand 16.326 Datenbanken mit lesbaren Tabellen, mehr als die Hälfte mit Hinweisen auf personenbezogene Daten. Laut UpGuard war der gemeinsame Nenner, dass KI-Programmieragenten die Seiten gebaut hatten und ihre Betreiber die Konfiguration nicht kannten.
Aus unserer Sicht hat sich die Sicherheitsentscheidung verlagert. Früher traf sie ein Entwickler, der die Datenbankregeln festlegte. Heute trifft sie, wer den Prompt tippt, und beide Anbieter sagen, die Konfiguration sei Sache des Kunden. Lovable meldet mehr als 50 Millionen gebaute Projekte und 1,2 Millionen neue pro Woche. Sehr viele Menschen tragen also eine Entscheidung, von der sie nicht wissen, dass sie sie getroffen haben.
Warum das nach der DSGVO zählt
Wer eine App veröffentlicht, entscheidet über Zweck und Mittel der Datenverarbeitung und ist damit Verantwortlicher im Sinne der DSGVO, egal wer den Code geschrieben hat. Lovable und Supabase liefern nur die Werkzeuge. Ein Vertriebsteam mit einem selbst gebauten Leadformular oder eine Büroleitung mit einem eigenen Buchungstool hat den Namen des Unternehmens auf die Datenbank dahinter gesetzt.
Eine offene Tabelle mit Personendaten ist eine Verletzung der Vertraulichkeit, die der Verantwortliche bewerten muss. Ist ein Risiko für die Betroffenen wahrscheinlich, bleiben nach Artikel 33 ab Kenntnis 72 Stunden für die Meldung an die zuständige Landesdatenschutzbehörde. Die Forscher haben nur gelesen, was ihnen angeboten wurde. Ob es sonst jemand getan hat, können nur Ihre eigenen Protokolle beantworten, und viele schnell gebaute Apps führen keine, die diesen Namen verdienen.
Was diese Woche zu tun ist
Beginnen Sie mit einer Bestandsaufnahme, denn am gefährdetsten sind die Apps, die die IT nie freigegeben hat. Fragen Sie jedes Team, welche Tools es mit Lovable, Bolt, Replit oder ähnlichen Diensten gebaut hat und welche davon Kunden- oder Mitarbeiterdaten erfassen.
Prüfen Sie bei jedem Projekt auf Supabase, ob Row Level Security für jede Tabelle mit Personendaten aktiv ist und eine Richtlinie jede Zeile auf die Personen beschränkt, die sie sehen sollen. Der Sicherheitsberater von Supabase markiert Tabellen ohne diesen Schutz. Den öffentlichen Schlüssel zu verstecken bringt nichts, denn er ist absichtlich öffentlich. Der Schutz muss aus den Richtlinien kommen.
Machen Sie danach eine Prüfung zur Bedingung für den Livegang, sobald eine App Kundendaten berührt. Crissy Field formuliert es klar: Eine einfache Entwicklungsplattform ersetzt nicht die fachkundige Prüfung der Zugriffsrechte, bevor eine Anwendung vertrauliche Daten verarbeitet.
Weiterlesen: Eine echte Behörden-E-Mail hat Revoluts Daten geleakt | Dein Führerscheinfoto Lag Ein Jahr Auf Ihrem Server
