GitBook hat nach einem Angriff die API-Token aller Kunden für ungültig erklärt. Ein Angreifer erreichte am Abend des 2. November Zugangsdaten der Plattform und konnte laut GitBook womöglich Schlüssel zu verbundenen Diensten lesen. Den Austausch dieser Schlüssel bei Drittdiensten überlässt der Anbieter den Kunden.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
GitBook, ein Anbieter von Dokumentationsplattformen, hat am 3. November 2026 bestätigt, dass ein Angreifer am 2. November um 19 Uhr MEZ an Zugangsdaten seiner Infrastruktur gelangt ist.[1] Der Anbieter nahm die App und alle Dokumentationen mit Zugriffsschutz vom Netz, öffentliche Seiten blieben aus dem Cache erreichbar. Nach der letzten Mitteilung vom 3. November, 16:21 Uhr MEZ, läuft der Dienst wieder, einzelne Funktionen sind noch eingeschränkt.[1]
Das Wichtigste in Kürze
- Ein Angreifer kam am 2. November um 19 Uhr MEZ an Zugangsdaten der GitBook-Infrastruktur.
- Möglicherweise eingesehen: Integrations-Token, Zugangsdaten der Git-Synchronisierung, API-Token und Fragen, die Besucher dem GitBook Assistant gestellt haben.
- GitBook hat alle API-Token seiner Kunden widerrufen, bei Drittdiensten tauschen die Kunden selbst.
- Veränderte Inhalte hat GitBook nach eigenen Angaben bisher nicht gefunden.
Was hat GitBook über den Angriff mitgeteilt?
GitBook spricht von einem gezielten Angriff unter Einsatz von KI-Agenten. Einen Beleg dafür hat der Anbieter bisher nicht veröffentlicht, auch wie der Angreifer an die Zugangsdaten kam, ist offen. Ein ausführlicher Nachbericht soll folgen.[1]
Die Anweisung an die Kunden änderte sich im Tagesverlauf. Um 13:15 Uhr MEZ hieß es noch, vorerst sei nichts zu tun. Um 16:21 Uhr folgte die Maßnahmenliste: API-Token erneuern, Schlüssel für Drittdienste und veröffentlichte Integrationen austauschen, den GitBook-MCP-Server (Schnittstelle für KI-Agenten) neu anmelden.[1]
Warum trifft ein gestohlener Token mehr als die Dokumentation?
Ein API-Token ersetzt Benutzername, Passwort und zweiten Faktor, der Besitzer handelt damit im Namen des Kontos. Eine Dokumentationsplattform sammelt viele davon, weil sie mit Repositories, Hilfeportalen und KI-Agenten verbunden ist. Gelangen diese Schlüssel an Fremde, tritt der Schaden bei den verbundenen Diensten ein, nicht in der Dokumentation.
Solche Fälle gab es schon. Bei CircleCI entwendete ein Angreifer im Dezember 2022 gespeicherte Token und Schlüssel von Kunden, der Anbieter riet allen, sämtliche Zugangsdaten auszutauschen.[2] Nach dem Angriff auf Salesloft Drift empfahl die Google Threat Intelligence Group im August 2025, alle mit der Plattform verbundenen Token als kompromittiert zu behandeln.[3] Im Oktober meldeten Railway und Northflank Einbrüche, die Zugangsdaten ihrer Kunden betrafen. Die Kampagne von ShinyHunters gegen Salesforce kam ganz ohne Sicherheitslücke aus, die Täter nutzten gültige Freigaben.
Je mehr Dienste an einer Plattform hängen, desto mehr Schlüssel erbeutet ein Angreifer, sobald sie kompromittiert ist.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt prüfen?
Zuerst klären Sie, wo GitBook im Einsatz ist: Hilfeportale und API-Beschreibungen liegen oft bei Agenturen oder Fachabteilungen, nicht in der IT. Dann tauschen Sie die Zugangsdaten aus, nämlich API-Token, Schlüssel verbundener Repositories und die Anmeldung des MCP-Servers. Danach prüfen Sie in den Repositories die Zugriffsprotokolle seit dem 2. November, 19 Uhr MEZ, auf fremde Zugriffe. Wie sich Schlüssel dauerhaft sicher verwalten lassen, zeigt der Ratgeber 1Password für Webentwickler.
Fragen, die Besucher dem GitBook Assistant stellen, können personenbezogene Daten enthalten. In der Regel ist GitBook dabei Auftragsverarbeiter und muss Sie als Verantwortlichen nach Artikel 33 Absatz 2 DSGVO unverzüglich informieren.[4] Ab Ihrer Kenntnis läuft die 72-Stunden-Frist für die Meldung an die Aufsichtsbehörde, sofern ein Risiko für die Betroffenen besteht. Notieren Sie deshalb, wann Sie vom Vorfall erfahren haben. Einen Überblick zu den Pflichten gibt der Beitrag Cybersecurity Grundlagen 2026.
Quellen
4 Quellen anzeigenQuellen ausblenden
- GitBookSecurity incident (Mitteilungen vom 3. November 2026, 13:15 und 16:21 Uhr MEZ)
- CircleCICircleCI incident report for January 4, 2023 security incident
- Google Threat Intelligence GroupWidespread Data Theft Targets Salesforce Instances via Salesloft Drift (26. August 2025, Update vom 28. August)
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Artikel 33
Mehr Newshunger?
- Einbruch bei Northflank: Kunden sollen alle gespeicherten Zugangsdaten austauschen
- Railway: Angreifer lasen entschlüsselte Umgebungsvariablen von Kunden aus
- Kein einziger Bug: Wie ShinyHunters ein Jahr lang Salesforce-Daten stahl
- Claude-Code-Erweiterung: Manipulierte Version 2.1.313 versuchte, eine SSH-Hintertür einzurichten
- Kritische Cisco-Sicherheitslücke: Schadsoftware liest die Schlüssel zwischen Firmenstandorten mit
