Ein Forum mit mehr als 80.000 Profilen und über 200.000 Chatnachrichten ließ sich ohne Anmeldung auslesen, dazu fanden Sicherheitsforscher mehr als 1.000 Datensätze mit Ausweisdaten und Passnummern. Alle Funde stammen von Websites, die mit dem KI-Dienst Lovable entstanden sind. Verantwortlich ist laut Nutzungsbedingungen nicht Lovable, sondern der Kunde, der die Website betreibt.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Die Hamburger Sicherheitsfirma Crissy Field hat 159.041 mit Lovable gebaute Projekte aus dem Webarchiv Common Crawl ausgewertet.[1] 34.545 davon nutzen eine Supabase-Datenbank, bei 24.664 Websites kamen schon beim Laden der Seite Datensätze an, ohne dass sich ein Besucher anmelden musste.[1] Auf 7.403 dieser Websites fanden die Forscher E-Mail-Adressen, das sind rund 30 %.[1]
Das Wichtigste in Kürze
- E-Mail-Adressen fanden sich in 10.560 Tabellen auf 7.403 Websites, eine bestätigte Leckquote sind die 30 % laut Crissy Field nicht.[1]
- Zu den Funden zählen ein Forum mit über 80.000 Profilen und 200.000 Chatnachrichten sowie mehr als 1.000 Datensätze mit Ausweisdaten.[1]
- Ursache sind Fehler bei der Zugriffskontrolle, Supabase verlangt dafür Row Level Security auf jeder Tabelle.[1][2]
- Verantwortlich ist, wer die Website betreibt: Die DSGVO verlangt Schutz und bei einer Panne die Meldung binnen 72 Stunden.[4]
Wie kommt ein Besucher ohne Anmeldung an die Daten?
Lovable erzeugt aus einer Textbeschreibung komplette Web-Anwendungen und wirbt laut Crissy Field damit, dass keine Technikkenntnisse nötig seien.[1] Als Datenbank nutzen viele Projekte Supabase. Deren öffentlicher Schlüssel steht bewusst im Code, den jeder Browser lädt. Schützen sollen die Daten erst die Zugriffsregeln der Datenbank, die Row Level Security heißen.[2]
Fehlen diese Regeln, lassen sich Tabellen laut Supabase-Dokumentation über die Schnittstelle lesen und beschreiben, sofern Rechte für die Rolle anon bestehen, die der öffentliche Schlüssel nutzt.[2] Weil die Datenbankanbindungen bei Lovable immer ähnlich aufgebaut sind, lassen sich solche Fehlkonfigurationen laut Crissy Field über viele Anwendungen hinweg leicht finden.[1]
Ist das ein Einzelfall?
Nein, der Fehler hat Vorgänger. Der Sicherheitsforscher Matt Palmer wies 2025 bei 170 von 1.645 geprüften Lovable-Projekten abrufbare Datenbanken nach, rund 10,3 %. Am 29. Mai 2025 machte er die Sicherheitslücke als CVE-2025-48757 öffentlich.[3] Lovables später eingeführter Sicherheitsscan prüft laut diesem Statement nur, ob eine Zugriffsregel existiert, nicht ob sie stimmt.[3]
Dieselbe Frage stellt sich bei Werkzeugen, die Apps aus dem Chat erzeugen, etwa beim KI App & Site Builder von IONOS oder bei Spacefast von Automattic. Betreiber, die die Zugriffsregeln nicht selbst kontrollieren, kennen den Zustand ihrer Daten nicht.
Wer haftet, wenn die Daten offen liegen?
Lovables Nutzungsbedingungen legen die Verantwortung für Anwendungen und Datenverarbeitung laut Crissy Field bei den Kunden.[1] Das deckt sich mit der DSGVO: Verantwortlicher ist, wer die Website betreibt. Artikel 32 verlangt ein angemessenes Schutzniveau, bei einer Verletzung gilt nach Artikel 33 eine Meldefrist von 72 Stunden, außerdem reichen Bußgelder bis 10 Millionen Euro oder 2 % des Jahresumsatzes.[4]
Ein Dienst, der Technikkenntnisse für überflüssig erklärt, überlässt dem Kunden trotzdem die Haftung.
Markus Seyfferth, Chefredakteur Dr. Web
Prüfen Sie bei jeder Lovable-Website mit Supabase, ob Row Level Security auf allen Tabellen aktiv ist. Entziehen Sie außerdem der Rolle anon Rechte, die nicht gebraucht werden.[2] Fragen Sie die Datenbank danach ohne Anmeldung ab: Die Antwort darf keine Zeilen enthalten. Der Schlüssel service_role gehört nur auf den Server.[2] Ausweisdaten und Chats haben in einem Prototyp nichts verloren, vor dem Livegang empfiehlt Crissy Field eine Prüfung durch Fachleute.[1] Wie sich eigene Unternehmens-Apps mit KI entwickeln und was der Eigenbau statt SaaS-Abo kostet, steht bei uns.
Quellen
4 Quellen anzeigenQuellen ausblenden
- Crissy FieldLovable: Viele Apps legen sensible Daten offen, Forschungsbericht
- SupabaseRow Level Security, Dokumentation
- Matt PalmerStatement on CVE-2025-48757
- Europäische UnionDatenschutz-Grundverordnung (EU) 2016/679, Artikel 32, 33 und 83
Mehr Newshunger?
- Uber meldet gestohlene Führerscheindaten von Fahrern
- Einbruch bei Apify: Unbefugte sahen Konto- und Rechnungsdaten
- Expedia bestätigt Cyberangriff über einen Dienstleister
- Schwere Sicherheitslücke im Kern von PostgreSQL
- Schwere Sicherheitslücke bei OpenSSH wird bereits ausgenutzt
- Ladezeit ist eine Designentscheidung, auch wenn die KI die Website baut
