Datenleck bei jeder zehnten KI-App, doch geprüft wurde die Startseite

Was antwortet die Datenbank einer frisch gebauten App, wenn man sie einfach fragt? Bei 170 von 1.645 mit einem KI-Werkzeug gebauten Projekten antwortete sie mit Zeilen: Namen, Mailadressen, was die App eben speichert. Ein Datenleck sieht von innen genauso aus wie der Normalbetrieb, und so quittierte die Software es auch: 200 OK, kein Fehler, keine Warnung.

Die Journalistin Eva Wolfangel beschrieb solche Fälle am 28. April 2026 in der ZEIT: Websites, die ein KI-Werkzeug aus einem Satz zusammensetzt, geben private Daten preis, und niemand sieht hin, weil nichts von selbst hinsähe.

Ein Datenleck sieht aus wie ein grüner Haken#

Ein grünes Dashboard meldet, dass kein Fehler auflief, nicht dass kein Schaden entsteht. Eine Berechtigungsprüfung, die Zeilen zurückgibt, ist aus Sicht der Datenbank eine erfolgreiche Abfrage. Weder Fehlerrate noch Antwortzeit noch Ausfalldauer bewegt sich, wenn ein Fremder eine Tabelle liest, die geschlossen sein sollte. Um das Leck zu sehen, muss jemand die Anfrage eines Angreifers selbst schicken und nachsehen, was zurückkommt. Die Sperre, um die es dabei geht, heißt Row Level Security: eine Regel in der Datenbank, die jede Zeile an eine Bedingung bindet, etwa daran, wem sie gehört. Fehlt die Regel, gibt die Tabelle jedem Zeilen zurück, der über die offene Schnittstelle fragt. Von selbst führt diese Prüfung keines der gängigen Überwachungswerkzeuge aus, und wer eine KI-Baukasten-App ohne dieses Wissen betreibt¹, ahnt nicht, dass sie fehlt. An dieser einen Regel hängt die Statik einer ganzen Cybernation². Dass ein Einbruch mindestens drei Monate unbemerkt laufen kann³, zeigte sich im Juli 2026 an drei Organisationen, die Anthropic auf Zugriffe über die eigenen Cyber-Evaluationen hinweisen musste.

Der Scan der 1.645 KI-Apps endete vor der Anmeldung#

Aus dem Statement des Sicherheitsforschers Matt Palmer⁴ stammen 303 offene Endpunkte in 170 Projekten, rund 10,3 Prozent der 1.645 untersuchten. Die Projekte zog er aus der Schaufensterliste der Plattform, und sein Skript rief jeweils nur die Startseite auf, keine angemeldeten Bereiche, kein tieferes Auslesen. Was hinter einer Anmeldung liegt, ist damit ungeprüft, nicht sauber. Koordiniert offengelegt wurde der Fall als CVE-2025-48757⁵, Schweregrad 9,3 von 10.

Weiter griff Escape.tech am 29. Oktober 2025⁶: mehr als 5.600 öffentlich erreichbare Anwendungen, zusammengetragen aus den Startverzeichnissen der Plattformen, aus Shodan-Treffern, Reddit-Gruppen und manueller Suche. Der Bericht benennt seine eigene Verzerrung, „sampling bias“, und bezeichnet sein Ergebnis als vorsichtige Untergrenze. Bewertungen und virale Starts melden die Firmen selbst; eine stillgelegte App mit offener Datenbank hat niemanden, der sie meldet. Über die wahrgenommene Größe des Problems entscheidet damit, wer publiziert. Eine im Juni 2026 veröffentlichte Untersuchung von Deng, Fan, Meng und Kollegen (arXiv:2606.23130) prüfte ein großes Korpus real existierender KI-gebauter Anwendungen und beschreibt die Schwachstellenklassen; einen Anteil oder eine Grundgesamtheit nennt auch sie nicht.

Drei Parteien könnten das Datenleck zählen, keine muss es#

Die Plattform sieht Anfragen, aber nicht, welche davon unbefugt sind. Der Bauende weiß oft nicht, dass unter seiner App überhaupt eine Datenbank läuft. Der Mensch, dessen Daten austreten, hat die Plattform nie gewählt und hört von der Firma dahinter nie. Wie die Zuständigkeit verteilt wird, steht im NVD-Eintrag selbst: Der Anbieter widerspricht der Einstufung, weil jeder einzelne Kunde der Plattform die Verantwortung für die Daten seiner Anwendung übernehme. Auch der Sicherheitsrückblick von Supabase⁷, veröffentlicht am 7. Januar 2026, führt Schutzmaßnahmen auf, ohne die betroffenen Projekte zu beziffern.

Bei meldepflichtigen Datenpannen zählt jemand mit#

Wo eine Meldepflicht greift, entsteht eine Statistik. Nach Artikel 33 DSGVO⁸ meldet ein Verantwortlicher eine Datenpanne binnen 72 Stunden an die Aufsichtsbehörde, gerechnet ab dem Zeitpunkt, an dem sie ihm bekannt wurde. Aus den Meldungen der europäischen Aufsichtsbehörden bildet die Kanzlei DLA Piper einen Tagesdurchschnitt: 443 Meldungen am Tag dlapiper.com ↗ zwischen dem 28. Januar 2025 und dem 27. Januar 2026, 22 Prozent mehr als die 363 des Vorjahres. Derselbe Artikel verlangt außerdem, jede Verletzung zu dokumentieren, auch die nicht gemeldete; diese Dokumentation bleibt im Haus und geht in keinen Tagesdurchschnitt ein. Die Frist knüpft am Bekanntwerden an, und sie gilt nur in bestimmten Rechtsräumen. Ein Leck, das niemandem auffällt, erreicht sie nie; die 443 zählen Gemeldetes.

Für neue Projekte hat Supabase die Voreinstellung am 30. Mai 2026 umgestellt⁹, für bestehende folgt sie am 30. Oktober 2026; bis dahin behalten heutige Tabellen ihre Rechte und sind weiter erreichbar. Die Reparatur wirkt nach vorn. Ob dahinter ein paar hundert Projekte mit offenen Tabellen stehen oder jedes zehnte im Netz, entscheidet, ob am 30. Oktober ein Restposten aufgeräumt wird oder ein Bestand.

Anlass: Eva Wolfangels Reportage in der ZEIT (28. April 2026). Die Zahlen 1.645/170/10,3 Prozent und ihre Messvorschrift aus dem Statement von Matt Palmer; die Stichprobe von mehr als 5.600 Anwendungen samt eingeräumter Verzerrung bei escape.tech; die Offenlegung als CVE-2025-48757 und der Widerspruch des Anbieters bei nvd.nist.gov; 443 Meldungen am Tag aus der Auswertung von DLA Piper; Meldefrist und Dokumentationspflicht nach Artikel 33 DSGVO bei gdpr-info.eu; Fahrplan und Sicherheitsrückblick bei supabase.com; die akademische Untersuchung als Preprint arXiv:2606.23130. Alle genannten Erhebungen sind Stichproben ihrer jeweiligen Quelle, keine Vollzählung.