Zwei Bit pro Minute schaffte der erste Spectre-Angriff auf Cloudflare Workers im Jahr 2021. Fünf Jahre später liegt die Marke bei 12 Bit pro Sekunde, dem 360-Fachen. Das erste ausgelesene Byte war der Buchstabe e aus dem JSON Web Token eines fremden Kunden. Cloudflare hat den Angriff am 19. August 2026 selbst offengelegt, samt der Abwehr, die ihn in der Produktion inzwischen stoppt.[1]
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- Auf Cloudflare Workers laufen die Programme vieler Kunden als getrennte V8-Isolate in einem einzigen Betriebssystem-Prozess.
- Fünf Forscher holten daraus in der Produktivumgebung ein JSON Web Token heraus, mit 12 Bit pro Sekunde und über 99 Prozent Trefferquote.
- Die Erkennung DyPrIs versagte nicht an einem Programmierfehler, sondern an der Grenze ihres eigenen Messsignals.
- Gehärtet hat Cloudflare seither mit dem V8-Sandkasten und mit Memory Protection Keys, also mit Hardware statt Heuristik.
Warum teilen sich fremde Kunden einen Prozess?
Cloudflare Workers führt den Code vieler Kunden als getrennte V8-Isolate im selben Betriebssystem-Prozess aus, weil ein eigener Prozess je Kunde den Kaltstart um Größenordnungen verlangsamen würde. Die Trennung leistet damit die Programmiersprache, nicht das Betriebssystem.[1]
Spekulative Ausführung hebelt genau diese Sprachgrenze aus. Der Prozessor rechnet Sprünge vorab durch, verwirft das Ergebnis bei einer Fehlvorhersage und hinterlässt trotzdem Spuren im Cache. Vor dem V8-Sandkasten lagen in den Speicherbereichen von TypedArrays rohe 64-Bit-Zeiger. Über eine spekulative Typverwechslung führte der Weg von dort zu beliebigen Leseoperationen.
Auf derselben Hardware-Ebene liegt der Fehler bei LoongLeak in Chinas heimischer CPU. Die Isolationsgrenze brach zuvor auch im Linux-Kernel, als Januscape den Weg vom Gast zum Host öffnete.
Wie kam der Angriff an der Abwehr vorbei?
Cloudflares Erkennung DyPrIs zählt Fehlvorhersagen bei Sprüngen und schiebt auffällige Isolate in einen eigenen Prozess. Der Angriff drückte dieses Signal unter die Schwelle, statt die Erkennung zu umgehen.[1]
Zwei Kniffe genügten dafür. Ein Durable Object mit dauerhafter WebSocket-Verbindung hielt die Sitzung über Stunden offen. Jede Keep-alive-Nachricht setzte die Grenzen von 30 Sekunden Rechenzeit und 1.000 Unteranfragen zurück. Dieselbe Verbindung diente als Uhr aus der Ferne und erzeugte so viel Ein- und Ausgabelast, dass die Fehlvorhersagen im Rauschen untergingen. Eine Nachbildung der Durable Objects für eigene Server liefert das Projekt celld.
Kein Programmierfehler steckt dahinter. Das Forscherteam um Albert Pedersen und Martin Schwarzl nennt beide Punkte grundsätzliche Grenzen des Erkennungsansatzes, nicht Versäumnisse in der Umsetzung.[1] Eine Heuristik, die Auffälligkeiten zählt, taugt damit nicht als Sicherheitsgrenze. Cloudflare wägt Tempo gegen Trennung auch anderswo ab und gibt KI-Agenten nur noch selten einen eigenen Container.
Ein Anbieter, der seinen eigenen Angriff veröffentlicht, verdient Vertrauen. Für Einkäufer zählt trotzdem die härtere Frage, ob die Mandantentrennung an Hardware hängt oder an einem Schwellwert.
— Markus Seyfferth, Chefredakteur Dr. Web
Der erste öffentliche Spectre-Angriff auf Workers las Daten im Schneckentempo aus. Cloudflare antwortete mit der Erkennung DyPrIs, die Fehlvorhersagen bei Sprüngen zählt und auffällige Isolate in einen eigenen Prozess schiebt.
Ein Durable Object mit Keep-alive hielt die Sitzung stundenlang offen. Die WebSocket-Last drückte das Messsignal der Abwehr unter die Schwelle.
Was heißt das für Betreiber im DACH-Raum?
Die Verantwortung für die Vertraulichkeit bleibt beim Auftraggeber, auch bei einem gehärteten Anbieter. Artikel 32 der Datenschutz-Grundverordnung verlangt Maßnahmen nach dem Stand der Technik. Die gewählte Mandantentrennung gehört genau dorthin.
Der BSI-Kriterienkatalog C5 liegt seit dem 7. April 2026 in einer neuen Fassung vor und greift Mandantentrennung sowie Confidential Computing gezielter auf als die Vorgänger.[2] Ein C5-Testat lässt sich an dieser Stelle konkret gegenlesen, statt nur im Angebot zu stehen.
Vier Punkte gehören auf die Prüfliste. Halten Sie langlebige Zugangstoken nicht dauerhaft im Speicher eines Workers, sondern holen Sie kurzlebige Tokens je Anfrage. Fragen Sie nach, ob die Isolation Ihres Anbieters an Hardware hängt. Prüfen Sie für besonders schutzbedürftige Daten eine dedizierte Ausführungsumgebung. Und lesen Sie im Testat den Abschnitt zur Mandantentrennung, bevor Sie unterschreiben. Einen Überblick über die Alternativen gibt der Webhosting-Vergleich.
Quellen
[1] Cloudflare: „A revisit of remote Spectre attacks on Cloudflare Workers“
[2] BSI: „Sicheres Cloud-Computing: BSI veröffentlicht C5:2026“
Mehr Newshunger?
- Offener Gastzugang: 17 Monate las ein Fremder in Salesforce- und ServiceNow-Portalen
- GitLab schließt die Lücke, die öffentliche Projekte ohne Anmeldung löscht
- SAP Commerce Cloud: Angreifer nutzen die kritische Lücke drei Tage nach dem Patch
- SAP verschlüsselt die Datenleitung zwischen seinen Rechenzentren
- MicroVMs: AWS Lambda startet Sandboxen für KI-Agenten
- Munich Re übernimmt At-Bay: 500 Millionen Euro für die Cyber-Abwehr
