Ein Unbefugter hat am 9. und 10. November in internen Systemen der Datenplattform Apify Konto-, Rechnungs- und Anmeldedaten von Kunden eingesehen, darunter Wiederherstellungscodes der Zwei-Faktor-Anmeldung. Apify hat alle API-Token ersetzt und die Zwei-Faktor-Anmeldung zurückgesetzt, Passwörter sind laut Anbieter nicht lesbar.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Apify hat betroffenen Kunden per E-Mail bestätigt, dass ein unbefugter Dritter am 9. und 10. November Informationen zu deren Konten eingesehen hat.[2] Die Plattform für Web-Scraping entdeckte die Aktivität am 11. November um 13:13 Uhr MEZ, sperrte den Zugang und untersucht weiter (Stand: Donnerstag, 12. November 2026).[1]
Das Wichtigste in Kürze
- Ein unbefugter Dritter nutzte laut Apify am 9. und 10. November einen kompromittierten Zugang und sah Konto-, Nutzungs-, Rechnungs- und Anmeldedaten ein.
- Offen lagen auch Einstellungen der Zwei-Faktor-Anmeldung mit Wiederherstellungscodes und Telefonnummern. Passwörter liegen nur als Hash vor, volle Kartennummern und Sicherheitscodes waren nicht betroffen.
- Apify hat alle API-Token und Proxy-Passwörter ersetzt, angemeldete Sitzungen beendet und die Zwei-Faktor-Anmeldung zurückgesetzt.
- Dass Actors (die Web-Scraping-Programme der Kunden), Läufe oder Datensätze betroffen sind, belegt Apify bisher nicht.
Was hat der Angreifer eingesehen?
Zu den Anmeldedaten zählen laut Apify Wiederherstellungscodes und Telefonnummern der Zwei-Faktor-Anmeldung sowie Anmelde-Token für Google und GitHub, dazu kommen Konto-, Nutzungs- und Rechnungsdaten (Übersicht unten).[2] Ein Wiederherstellungscode ersetzt den Code der Authenticator-App. Ein Angreifer mit diesem Code umgeht den zweiten Faktor, braucht aber in der Regel weiter das Passwort. Das liegt laut Apify nur als Hash mit Salt vor, aus dem sich das Passwort nicht zurückrechnen lässt.
Aus Namen, Adresse, Steuer-ID und letzten Kartenziffern lassen sich Nachrichten bauen, die echt wirken. Apify warnt selbst vor täuschend echten Phishing-Mails.[2] Denkbar ist eine Nachricht, die sich auf eine echte Rechnung beruft oder die Bitte nachahmt, die Apify tatsächlich verschickt: die Zwei-Faktor-Anmeldung neu einzurichten.
Wie reiht sich der Vorfall in die Serie ein?
Apify beschreibt den Weg knapp: Ein Unbefugter nutzte einen kompromittierten Zugang, kam an weitere Kontozugänge und griff auf zugehörige Konten zu.[1] Wessen Zugang das war, nennt die Statusseite nicht. Schon im März hatte Apify einen Vorfall gemeldet, bei dem über das GitHub-Konto eines Mitarbeiters schädliche Änderungen in mehrere Branches, also Entwicklungszweige im Code, gelangten. Kundendaten waren nach Apify nicht betroffen.[3]
Ähnliche Einbrüche meldeten zuletzt GitBook, wo nach dem Angriff vom 2. November alle API-Token der Kunden für ungültig erklärt wurden, und Northflank, dessen Kunden alle gespeicherten Zugangsdaten austauschen sollen. Gemeinsam ist den Fällen, dass die Anbieter Schlüssel zu fremden Diensten verwahren. Ein Einbruch öffnet dann nicht nur ein Konto, sondern die Dienste dahinter. Apify hat deshalb vorsorglich OAuth-Verbindungen zu externen Diensten widerrufen, darunter GitHub.[1]
Eine Plattform, die Schlüssel für fremde Dienste verwahrt, ist für Angreifer ein Hebel: Ein Einbruch trifft viele Kunden zugleich.
Michael Dobler, Herausgeber Dr. Web
Die Datengruppen im Überblick
| Gruppe | Offengelegt | Laut Apify nicht betroffen |
|---|---|---|
| Konto | Foto, E-Mail-Adresse, Name, Benutzername, Social-Media-Profile | keine Angabe |
| Nutzung | Tarif, Rechnungsverlauf, interne Nutzungswerte, Browser- und Geräteangaben, IP-Adressen jüngster Anmeldungen | keine Angabe |
| Rechnung | Name, Adresse, Steuer-ID, Rechnungs-E-Mail, bei Karten letzte vier Ziffern, Ablaufdatum, Karteninhaber | volle Kartennummern, Sicherheitscodes |
| Anmeldung | Einstellungen der Zwei-Faktor-Anmeldung mit Wiederherstellungscodes und Telefonnummern, Anmelde-Token für Google und GitHub, Passwort-Hashes | lesbare Passwörter (nur Hash mit Salt, laut Apify nicht lesbar) |
| Gespeichertes | keine Belege für Zugriffe auf Actors, Läufe, Datensätze | geheime Umgebungsvariablen, geheime Actor-Eingaben |
Die Untersuchung läuft noch. Apify will betroffene Kunden einzeln informieren und nach der Behebung einen Nachbericht veröffentlichen.
Was sollten Apify-Kunden jetzt tun?
- Neue Token eintragen: Apify hat alle API-Token ersetzt. Workflows in n8n, Make oder eigenen Skripten melden Fehler, bis ein neuer Token hinterlegt ist.[2]
- Zwei-Faktor neu einrichten: Öffnen Sie die Apify Console direkt, nicht über einen Link aus einer E-Mail.
- Forderungen prüfen: Gleichen Sie Zahlungsaufforderungen im Namen von Apify mit Ihrem Rechnungsverlauf ab. Apify fragt nie nach dem Passwort.[2]
- GitHub prüfen: Apify hat die Verbindung am 11. November getrennt. Prüfen Sie dort die jüngste Aktivität und verbinden Sie private Repositories neu („Change provider“).[1][2]
Für personenbezogene Daten, die Kunden über die Plattform verarbeiten, ist Apify Technologies s.r.o. aus Prag Auftragsverarbeiter.[4] Als solcher muss Apify den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich über eine Verletzung informieren.[5] Prüfen Sie, ob Ihre Actors personenbezogene Daten speichern, und sprechen Sie mit Ihrem Datenschutzbeauftragten. Zur Meldepflicht bei hohem Risiko hat Dr. Web berichtet.
Token und Wiederherstellungscodes gehören in einen Passwortmanager, nicht in eine Textdatei neben dem Skript. Das nächste Update kündigt Apify binnen sechs Stunden an, ein Nachbericht folgt.[1] Grundregeln fasst der Ratgeber zu den Cybersecurity-Grundlagen zusammen.
FAQ: Sicherheitsvorfall bei Apify
Was hat der Angreifer bei Apify eingesehen?
Laut Apify sah ein Unbefugter am 9. und 10. November Konto-, Nutzungs-, Rechnungs- und Anmeldedaten, darunter E-Mail-Adresse, Steuer-ID, die letzten vier Kartenziffern und die Einstellungen der Zwei-Faktor-Anmeldung. Passwörter sind nur als Hash gespeichert, volle Kartennummern waren nicht betroffen.
Muss ich bei Apify mein Passwort ändern?
Apify nennt das Passwort nicht als Pflicht, weil es nur als Hash mit Salt gespeichert ist. Apify empfiehlt dringend, die zurückgesetzte Zwei-Faktor-Anmeldung neu einzurichten. Wir raten zu einem neuen Passwort, wenn Sie es auch bei anderen Diensten nutzen.
Sind meine Actors und Datensätze betroffen?
Apify nennt bisher keine Belege dafür, dass Actors, Läufe oder Datensätze eingesehen wurden. Geheime Umgebungsvariablen und geheime Actor-Eingaben lassen sich laut Apify nicht auslesen. Die Untersuchung läuft noch (Stand: 12. November 2026).
Quellen
5 Quellen anzeigenQuellen ausblenden
- ApifyStatusseite „Security incident“ (Meldungen vom 11. November 2026, 20:46 Uhr MEZ, und 12. November 2026, 12:08 Uhr MEZ), abgerufen am 12. November 2026
- Apify Security Team: E-Mail an Kunden zum Sicherheitsvorfall (Folgemitteilung), nicht öffentlich, Stand 12. November 2026
- ApifyStatusseite „Security Incident Notification“ (Vorfall vom 6. März 2026), abgerufen am 12. November 2026
- ApifyDatenschutzerklärung, abgerufen am 12. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Einbruch bei GitBook: Angreifer könnten API-Token und Zugangsdaten erbeutet haben
- Einbruch bei Northflank: Kunden sollen alle gespeicherten Zugangsdaten austauschen
- Fireworks AI meldet den zweiten Hackerangriff binnen Wochen
- Revolut bestätigt Datenleck durch gefälschte Behördenanfragen
- Datenleck bei Netze BW: Wie Kriminelle über einen Zähler-Dienstleister an Stromkundendaten kamen
- 86 Prozent KI-Phishing: Wie sich Mittelständler 2026 wirklich schützen
