Atlassian Rovo zieht Jira-Tickets und Confluence-Seiten auf den Server eines Angreifers, sobald ein hochgeladenes Dokument die passende Anweisung enthält. Das Sicherheitsunternehmen PromptArmor dokumentierte den Ablauf am 5. August 2026.[1] Ein Klick des angemeldeten Anwenders ist dafür nicht nötig.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Rovo gehört zu jedem bezahlten Cloud-Abo von Jira, Confluence und Jira Service Management. Atlassian aktiviert die Funktion in Standard-, Premium- und Enterprise-Plänen automatisch.[2] Betroffen ist damit die Grundausstattung vieler Firmen, kein Experiment einzelner Teams.
Das Wichtigste in Kürze
- PromptArmor demonstriert den Datenabfluss ohne Klick des angemeldeten Anwenders.
- Der Angriff gelingt laut PromptArmor selbst bei organisationsweit abgeschalteter Websuche.
- Atlassian vergab am 25. Mai 2026 eine Fallnummer, eine inhaltliche Rückmeldung blieb laut PromptArmor aus.
- Die 72-Stunden-Frist aus Artikel 33 DSGVO läuft beim Kunden, nicht beim Hersteller.
Wie kommt eine fremde Anweisung an die Jira-Daten?
Zwei Schritte genügen. Rovo durchsucht auf Zuruf Jira, Confluence sowie angebundene Dienste wie Google Drive und Slack. Der Angreifer versteckt seine Anweisung in einer Datei, die ohnehin hochgeladen wird. Rovo liest die Datei als Teil des Auftrags und trennt die fremde Anweisung nicht von der eigentlichen Frage.
Nach draußen gelangen die Daten über das Werkzeug für den URL-Abruf. Nach PromptArmors Darstellung prüft Rovo nicht, ob eine Adresse aus dem Auftrag stammt oder erst im Verlauf entstanden ist. Die gefundenen Inhalte hängen als Parameter an einer vom Angreifer vorgegebenen Adresse, der Abruf protokolliert sie im fremden Server-Log.[1] Beim erneuten Öffnen des Chats bleibt davon nichts sichtbar. Denselben Weg nahm schon der Gedächtnis-Raub bei Claude.
Warum wiederholt sich dasselbe Muster seit zwei Jahren?
Die Kombination ist bekannt. Simon Willison hat im Juni 2025 die riskante Dreierkombination benannt: private Daten, fremde Inhalte und ein Kanal nach draußen.[3] Ein Assistent mit Konnektoren bringt alle drei Stücke von Haus aus mit.
Atlassian bekam diese Warnung schon einmal. Im Juni 2025 zeigte Cato Networks, wie ein präpariertes Support-Ticket über Atlassians MCP-Anbindung mit den Rechten eines internen Bearbeiters ausgeführt wird.[4] Dasselbe Muster traf Microsoft, als sich KI-Würmer in Word-Dokumenten über Copilot verbreiteten. Das BSI führt Indirect Prompt Injections seit Juli 2023 als eigene Schwachstellenklasse.[5]
Zwei Stellschrauben für Admins
Begrenzen Sie die Konnektoren zu Google Drive und Slack auf das Nötige. Protokollieren Sie ausgehende Verbindungen des Assistenten und sichten Sie Dateien aus externen Tickets, bevor sie in einen Rovo-Auftrag gehen.
Rovo steckt in jedem bezahlten Atlassian-Abo. Die Verantwortung für einen Datenabfluss bleibt trotzdem beim Kunden; eine Fallnummer beim Hersteller verkürzt keine einzige Meldefrist.
— Michael Dobler, Herausgeber Dr. Web
Was müssen Betreiber in der EU jetzt tun?
Artikel 32 DSGVO nimmt den Verantwortlichen in die Pflicht, also das Unternehmen, das Jira und Confluence betreibt. Atlassian handelt dabei als Auftragsverarbeiter. Fließen personenbezogene Daten aus Tickets ab, läuft die 72-Stunden-Frist aus Artikel 33 beim Kunden. Wie eng diese Frist wird, zeigten die 36 Tage bis zur Meldung bei Analog Devices.
Im Admin-Bereich steht, welche Konnektoren Rovo erreicht. Ausgehende Verbindungen des Assistenten gehören ins Monitoring, sonst bleibt ein Abfluss unsichtbar. Behandeln Sie Dateien aus externen Tickets wie fremden Code: Ein Dokument aus dem Support gehört nicht ungeprüft in den Kontext eines Assistenten mit Leserechten auf das ganze Firmen-Wiki. Brüchig ist auch die Infrastruktur für Agenten: Jeder vierzehnte MCP-Server fällt durch.
Solange Atlassian nicht nachbessert, hilft am zuverlässigsten die schlichte Kürzung der Rechte, wie der Überblick zu Cybersecurity als Chefsache nahelegt.
Quellen
[1] PromptArmor: „Atlassian Rovo Exfiltrates Data, Bypassing Controls“
[2] Atlassian: „Rovo Plans and Trial“
[3] Simon Willison: „The lethal trifecta for AI agents“
[4] Cato Networks: „PoC Attack Targeting Atlassian’s MCP“
[5] BSI: „Indirect Prompt Injections. Intrinsische Schwachstelle in anwendungsintegrierten KI-Sprachmodellen“
Mehr Newshunger?
- Langflow-Lücke: IBMs KI-Baukasten vergibt Superuser-Token an jeden Aufrufer
- Adform kompromittiert: Ein manipuliertes Tracking-Skript ersetzte Krypto-Adressen
- Kein einziger Bug: Wie ShinyHunters ein Jahr lang Salesforce-Daten stahl
- Okta kauft Permiso: Auf einen Menschen kommen 109 Maschinenkonten
- Cybersecurity-Glossar 2026: 99 Begriffe von BSI bis Zero Trust
