24.664 von KI erstellte Apps leaken über 80.000 Datensätze via Supabase

Ein auf DEV Community veröffentlichter Bericht beschreibt eine „$0-Sicherheitsverletzung“, bei der 24.664 von KI erstellte Apps angeblich mehr als 80.000 Nutzerdatensätze, darunter Passnummern, über Supabase-Datenbanken preisgegeben haben. Dieser Fall des Datenlecks bei von KI erstellten Apps mit Supabase ist eine nützliche Erinnerung daran, dass Entwicklungsgeschwindigkeit und die Sicherheit von Nutzerdaten nicht dasselbe sind.

Ein Hinweis zur Quellenlage: Das uns verfügbare Quellmaterial beschränkt sich auf die Schlagzeile des Berichts und eine kurze Zusammenfassung. Es sagt uns nicht, wer die Exposition identifiziert hat, wie die Apps gefunden wurden oder welche konkreten Apps betroffen waren. Dieser Artikel hält sich an das, was der Bericht aussagt, und kennzeichnet allgemeine Hintergrundinformationen klar als solche.

Wie falsch konfigurierte Datenbanken Nutzerdatensätze preisgegeben haben

Laut dem Titel des Berichts stammten die exponierten Datensätze aus Apps, die mit KI-Tools erstellt wurden und Supabase als Backend nutzten. Die Schlagzeile rahmt den Vorfall zudem als einen ein, der nichts kostete durchzuführen, was darauf hindeutet, dass kein ausgeklügeltes Hacking im Spiel war. Die Quelle beschreibt die Mechanismen nicht im Detail.

Als allgemeiner Hintergrund (nicht aus dem Bericht entnommen): Supabase ist ein gehosteter Datenbankdienst, und der Zugriff auf seine Daten wird typischerweise durch Regeln kontrolliert, die von denjenigen festgelegt werden, die die App erstellen, etwa Row Level Security. Fehlen diese Regeln oder sind sie zu permissiv, können Daten für Personen lesbar sein, die sie nicht sehen sollten. Das ist ein Konfigurationsproblem und keine Schwachstelle, die ein Eindringen erfordert.

Warum Vibe Coding diese Sicherheitslücke schafft

„Vibe Coding“ bezeichnet das Erstellen von Software, indem man einem KI-Tool beschreibt, was man möchte, und den generierten Code mit wenig manueller Prüfung akzeptiert. So kann aus einer Idee in Stunden eine funktionierende App werden. Der Trade-off ist, dass Sicherheitseinstellungen leicht übersehen werden, wenn die App zu funktionieren scheint.

Eine App kann perfekt aussehen und sich perfekt verhalten, während ihr Backend für jeden offen ist, der weiß, wo er suchen muss. Nichts auf dem Bildschirm sagt einem Nutzer – oder oft auch dem Entwickler –, dass etwas nicht stimmt. Deshalb ist eine polierte Oberfläche ein schlechter Indikator dafür, wie sorgfältig Daten geschützt werden.

Dies passt auch zu einem breiteren Muster, bei dem KI-Tools das Risikobild verändern. Unsere Berichterstattung darüber, wie die Aurora-Ransomware-Gang einen KI-Coding-Agenten in Angriffen einsetzt und wie Qilin KI-Tools nutzt, während Ransomware-Angriffe in Japan zunehmen, zeigt, dass KI auch auf der Angreiferseite die Arbeit beschleunigt.

Welche Daten exponiert wurden und wer gefährdet ist

Dem Bericht zufolge belaufen sich die exponierten Datensätze auf mehr als 80.000 und umfassen Passnummern. Passdaten gehören zu den sensibelsten Identifikatoren, die eine Person preisgeben kann, weil sie schwer zu ersetzen sind und in Kombination mit einem Namen, einer E-Mail-Adresse oder einem Geburtsdatum Identitätsbetrug ermöglichen können.

Die Quelle gibt nicht an, welche anderen Felder exponiert wurden oder in welchen Ländern sich die betroffenen Nutzer befinden. Wer sich bei einer neueren App angemeldet und Ausweisdokumente oder persönliche Daten hochgeladen hat, gehört potenziell zu der Gruppe, die Aufmerksamkeit verdient, insbesondere wenn die App von einem kleinen oder unbekannten Entwickler stammt.

Was das für Sie bedeutet

Sie können normalerweise nicht sehen, wie eine App ihre Datenbank schützt, daher besteht die praktische Verteidigung darin, zu kontrollieren, was Sie preisgeben.

• Stellen Sie den Bedarf infrage. Wenn eine App nach einer Passnummer oder einem ID-Scan fragt, fragen Sie, ob der Dienst dies wirklich benötigt.
• Prüfen Sie den Entwickler. Achten Sie auf ein genanntes Unternehmen, eine Datenschutzerklärung und eine Möglichkeit, den Support zu kontaktieren. Seien Sie vorsichtig bei brandneuen Apps, die nichts davon bieten.
• Verwenden Sie einzigartige Zugangsdaten. Ein separates Passwort und ein E-Mail-Alias für jeden neuen Dienst begrenzen den Schaden, wenn ein Datensatz exponiert wird.
• Lassen Sie optionale Felder aus. Lassen Sie Telefonnummern, Adressen und Dokument-Uploads weg, sofern sie nicht erforderlich sind.
• Achten Sie auf Folgebetrug. Exponierte Datensätze werden oft für Phishing und Betrug wiederverwendet, wie man sah, als Paidwork-Nutzerdatensätze zu HIBP hinzugefügt wurden.

Wie man Apps prüft und begrenzt, was man teilt

Bevor Sie ein Konto bei einer neuen App erstellen, nehmen Sie sich eine Minute Zeit, um sie zu prüfen. Bevorzugen Sie Dienste, die erklären, wie sie Daten speichern, und die eine etablierte Erfolgsbilanz haben. Wenn eine App Ausweisdokumente verlangt, überlegen Sie, ob eine etabliertere Alternative existiert.

Wenn Sie selbst Apps erstellen, lautet der allgemeine Rat, die Datenbankzugriffsregeln vor dem Start zu prüfen, statt generiertem Code zu vertrauen, und Ihre App als nicht authentifizierter Besucher zu testen, um zu sehen, welche Daten erreichbar sind.

Fazit

Der gemeldete Vorfall des Datenlecks bei von KI erstellten Apps mit Supabase zeigt, dass eine funktionierende App nicht unbedingt eine sichere ist. Prüfen Sie zunächst, ob Ihre E-Mail-Adresse in bekannten Datenlecks auftaucht, indem Sie einen Dienst wie Have I Been Pwned nutzen, und ändern Sie Passwörter für jedes Konto, bei dem dies der Fall ist. Geben Sie dann jeder neuen App nur die minimalen personenbezogenen Daten, die sie benötigt. Um zu sehen, wie exponierte Datensätze genutzt werden, lesen Sie unsere Berichterstattung über die Paidwork-Datenpanne, bei der 23 Mio. E-Mails und Bankdaten geleakt wurden.