Datenleck bei der Republik: 69 Tage lang lag das Update bereit

Ich beziehe von der Republik nur einen Newsletter. Das reicht, um betroffen zu sein. Am 15. Oktober machte das Zürcher Magazin öffentlich¹, dass Unbekannte seit August die Daten aller Konten abgerufen haben: E-Mail-Adresse, Name, Telefonnummer (sofern hinterlegt), Geburtsjahr und Geschlecht.

Die Lücke steckte in Metabase, einem Auswertungswerkzeug. Ein Update gab es seit dem 6. August. Ich bin betroffen, weil ich etwas abonniert habe, die Republik, weil sie die Sicherheitswarnungen des Herstellers nicht abonniert hatte.

Metabase-Lücke: wer wann was wusste#

Beim Hersteller begann es am 3. August, als ein Kunde von Metabase Cloud einen API-Schlüssel meldete, der außerhalb der Arbeitszeit angelegt worden war. Drei Tage später kam das Update. Laut Bericht vom 27. August² konnten Angreifer ohne Passwort eine Sitzung als Administrator anlegen. Dafür waren nach Einschätzung des Herstellers erhebliche Fähigkeiten eines Sprachmodells nötig, ähnlich wie bei der Fehlerkette bei OpenAI³ im September.

In der Cloud des Herstellers waren laut Metabase unter 3 % der Kunden kompromittiert, dazu eine ungenannte Zahl selbst betriebener Installationen, die offen im Internet standen. Auch der Laptophersteller Framework und der Formulardienst Tally waren betroffen.

Wer Metabase selbst betreibt wie die Republik, muss das Update in der Regel selbst einspielen⁴ und erst einmal davon erfahren. Laut Republik gab es am 9. August erste Angriffsversuche, einen Tag später lag Code zum Ausnutzen der Lücke frei im Netz. Am 11. August flossen die ersten Daten ab, der größte Teil am 5. September.

Die Republik bemerkte das am 14. Oktober, weil ein Analysewerkzeug ausfiel und die Fehlermeldung E-Mail-Adressen und Zugangsdaten statt einer Serveradresse zeigte. Da lag das Update seit 69 Tagen bereit. Weltweit bleiben Angriffe im Median 14 Tage unbemerkt⁵. Die Republik schreibt, es sei „kein raffinierter Angriff“ gewesen. Metabase hält die Lücke für anspruchsvoll.

Sicherheitswarnung ohne Empfänger#

Im Mai hatte die Republik Metabase zu einem anderen Hosting-Anbieter umgezogen, von einer Version aus 2023 auf eine aktuelle. Sie schreibt: „Nach dem Umzug begingen wir zwei weitere Fehler: Wir hatten die Sicherheitswarnungen des Herstellers nicht abonniert. Und es gab keine automatischen Prüfungen, die uns melden, wenn eine Software, die wir einsetzen, eine bekannte Lücke hat.“

Das klingt nach Nachlässigkeit. Ich halte es für weit verbreitet. Viele Unternehmen haben keine Software-Stückliste⁶, wie die EU sie ab Ende 2027 verlangt, und kennen ihre Schatten-IT erst recht nicht. Wer nicht weiß, was er betreibt, kann keine Warnung abonnieren. Ein Umzug gilt als Projekt, danach fühlt sich nach meiner Erfahrung oft niemand mehr zuständig. Laut Reuters fehlte im September auch beim Bewerbungsportal des FBI ein Update⁷, dort beim Dienstleister.

Sicherheitslücken melden: die andere Seite#

Im Frühjahr prüfte ich für die ZEIT Websites mit dem Datenbankdienst Supabase⁸ und schrieb 255 Domains an. 386 Mails blieben ohne Antwort. Supabase selbst antwortete auf meine Meldung nach fünf Stunden mit Substanz und hat nachgebessert. In Entwicklerforen wurde das Problem aber schon lange diskutiert, Bewegung kam nach meinem Eindruck erst mit öffentlicher Aufmerksamkeit. Die Datenbanken standen wegen ihrer Einrichtung offen, nicht wegen eines Fehlers, und dafür gibt es in der Regel keine offizielle Warnung. Datenschutzbeauftragte, angeschrieben, weil eine security.txt⁹ mit Sicherheitskontakt fehlte, antworteten oft mit einer Ticketnummer und schlossen das Ticket nach Tagen.

Für das Schweigen vermute ich zwei Gründe. Manche wissen nicht, wie man mit so einem Hinweis umgeht. Andere spielen Versteck, weil es ihnen nichts einbringt, einen Fehler zuzugeben. Der Hinweis wird zur heißen Kartoffel¹⁰, die man weiterreicht. Bei Metabase lief es umgekehrt: Der Hinweis eines Kunden auf einen Schlüssel zur falschen Uhrzeit genügte, drei Tage später war das Update da.

Welche Daten offenlagen#

Eine Lesekopie der ganzen Datenbank ist im Alltag praktisch, nur liest ein Angreifer dann mit. Die Republik spielt mit offenen Karten: Zwei Schreibversuche scheiterten an der Nur-Lese-Kopie, gelesen wurde nach ihrer Darstellung alles. Kreditkarten liegen beim Zahlungsanbieter Stripe, Passwörter gibt es nicht, man meldet sich per E-Mail-Link an.

In der Kopie steht aber, wer welchen anonymen Beitrag im „Dialog“ geschrieben hat. Im schlimmsten Fall lassen sich rund 2300 Personen ihren Wortmeldungen zuordnen, die politische Ansichten enthalten können und nach Schweizer Recht besonders schützenswert sind. Belegt ist das nur durch Stichproben. Brisant ist es wahrscheinlich eher für Insider. Die Republik nennt diese Daten für ihre Auswertungen „sowieso unerheblich“. Dann hätten sie nach meiner Meinung auch nicht in der Kopie liegen müssen.

Phishing: was Betroffene jetzt tun#

Laut persoenlich.com persoenlich.com ↗ steht in der Mail an die Abonnenten, auch Postadressen und Angaben zu Abos und Käufen seien von allen nachweislich abgerufen worden. Der öffentliche Bericht spricht hier nur von Stichproben. Welche Angabe stimmt, hat die Republik bisher nicht aufgelöst.

Das naheliegende Risiko sind gefälschte Zahlungsaufforderungen im Namen der Republik, denn Name, E-Mail-Adresse und Bezug zur Republik liegen jetzt vor. Die Republik schreibt, sie frage nie per E-Mail, SMS oder Telefon nach Zahlungsdaten, bezahlt werde nur auf shop.republik.ch, ihre Kontoverbindung habe sich nicht geändert. Zu diesem Vorfall schreibe sie nur per E-Mail und rufe nicht an. Verdächtige Nachrichten nimmt sie unter kontakt@republik.ch entgegen.

Quellen

• Republik, Olivier Baumann: „Hacker erbeuten Republik-Nutzerdaten“, 15.10.2026, republik.ch/2026/10/15/hacker-erbeuten-republik-nutzerdaten. Notiz: Umzug am 6.5. von Heroku zu Scalingo; Stichproben auch bei Abstimmungen und Wahlen der Genossenschaft; Entdeckung 14.10., 8.30 Uhr; Meldung an den Edöb 15.10., 7.32 Uhr, also binnen eines Tages; Strafanzeige wird geprüft; Metabase läuft erst wieder, wenn aktualisiert und nicht offen im Internet.
• Metabase, Sameer Al-Sakran: „August 2026 Security Vulnerability: What happened?“, 27.08.2026, metabase.com/blog/vulnerability-what-happened. Notiz: Kette über vier Schichten des Codes; betroffen alle Versionen ab 0.58; KI auf beiden Seiten: Metabase härtet alle Schichten „given the extremely rapid increase in capabilities in LLM code scanning“ und dankt Ophion Security und dem Red Team von Anthropic; externe Forensiker beauftragt.
• persoenlich.com: „Hacker erbeuten Daten aller Nutzenden“, 15.10.2026, persoenlich.com/digital/hacker-erbeuten-daten-aller-nutzenden
• BleepingComputer zu Framework und Tally, 07.08.2026, bleepingcomputer.com/news/security/framework-tally-disclose-metabase-data-theft-attacks
• Reuters zum FBI-Portal, 06.10.2026 (das FBI nennt einen Dienstleister, Quellen von Reuters nennen Accenture), zitiert im Update meines Beitrags vom 23.09.2026, in dem ich das fehlende Update vorab vermutet hatte, christopher-helm.com/shinyhunters-hackt-fbi-fehlte-ein-update/
• Schweizer Datenschutzgesetz, Art. 5 Bst. c (besonders schützenswerte Personendaten) und Art. 24 Abs. 1 DSG (Meldung an den Edöb „so rasch als möglich“, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Betroffenen führt), fedlex.admin.ch/eli/cc/2022/491/de
• DSGVO Art. 33 (Meldung möglichst binnen 72 Stunden), dsgvo-gesetz.de/art-33-dsgvo
• Eigene Beiträge zum Melden von Lücken: Supabase-Auswertung (rund 670 deutschsprachige Websites, fast die Hälfte der geprüften Datenbanken offen; 464 Mails an 255 Domains; unsichere Voreinstellungen bekommen keine CVE-Nummer; drei Landesdatenschutzbehörden beteiligt, kein Prozess für eine Meldung über hunderte Firmen), christopher-helm.com/sicherheit-vibe-coding-und-die-cybernation/; „Der Hinweis auf eine Sicherheitslücke ist in Deutschland eine heiße Kartoffel“, christopher-helm.com/der-hinweis-auf-eine-sicherheitsluecke-ist-in-deutschland-eine-heisse-kartoffel/; security.txt bei Bund, Krankenhäusern und Netzbetreibern (September 2026: 1.285 von 1.333 erreichbaren Krankenhaus-Domains ohne security.txt), christopher-helm.com/security-txt-bund-krankenhaeuser-netzbetreiber/; Prüfung von 886 Domains von Freelancern und Agenturen (Juli 2026), christopher-helm.com/cybervorsorge-vs-cyberversicherung/
• Cyber Resilience Act, Verordnung (EU) 2024/2847, Art. 14 (Meldepflicht für Hersteller bei aktiv ausgenutzten Lücken, seit 11.09.2026) und Art. 71 (Software-Stückliste, SBOM, ab Dezember 2027), eur-lex.europa.eu; dazu mein Beitrag vom Juni 2026, christopher-helm.com/welcome-to-the-jungle-wer-die-cybernation-wirklich-baut/
• Zur Dauer bis zur Entdeckung: weltweit 2025 im Median 14 Tage (Mandiant M-Trends 2026); beim Angriff auf Anthropic mindestens sechs Monate, christopher-helm.com/anthropic-hackerangriff-unbemerkt-erkennung/