Anfang dieses Jahres wurde im Rahmen eines routinemäßigen Penetrationstests durch einen unabhängigen Anbieter eine Sicherheitslücke entdeckt, die den Zugriff auf bestimmte Metadaten von Besprechungen betraf. Im gleichen Zeitraum wandte sich auch ein unabhängiger Sicherheitsforscher an uns, um Erkenntnisse zu diesem gleichen Angriffsvektor offenzulegen. Auf Grundlage dieser Berichte haben wir eine Abhilfemaßnahme umgesetzt, die später von unserem externen Penetrationstest-Unternehmen offiziell validiert wurde, wodurch bestätigt wurde, dass die Sicherheitslücke erfolgreich geschlossen wurde.

Vor kurzem wurde uns jedoch ein neu entdeckter, alternativer Angriffsweg bekannt, der denselben Teil unseres Tech-Stacks betrifft. Entgegen der Behauptung, dass eine einzelne Sicherheitslücke sechs Monate lang unbehoben geblieben sei, hat unser unabhängiger Anbieter für Penetrationstests offiziell bestätigt, dass es sich um zwei unterschiedliche Angriffsvektoren handelte. Die ursprüngliche Sicherheitslücke wurde bereits vor Monaten vollständig geschlossen und validiert. Bei diesem jüngsten Vorfall handelte es sich um eine bisher unbekannte, sekundäre Angriffsmethode.

Im Einklang mit unserem üblichen Sicherheitsansatz, bei dem wir bei Feststellung eines Problems unverzüglich handeln, haben wir innerhalb von 24 Stunden nach der Entdeckung eine zweite Korrekturmaßnahme implementiert und diesen neuen Angriffsvektor vollständig geschlossen.

Da der gemeinsame Nenner dieser beiden unterschiedlichen Vorfälle „Firebase“ war, gehen wir einen Schritt weiter und entfernen es unverzüglich vollständig aus unserem Tech-Stack, um das Risiko ähnlicher Sicherheitslücken in Zukunft endgültig auszuschließen.

Im Sinne vollständiger Transparenz steht Kunden und Interessenten auf Anfrage unter [email protected] eine unterzeichnete Bescheinigung unseres Anbieters für Penetrationstests zur Verfügung, in der unser Vorgehen sowie die sofortige Behebung der Probleme bei beiden Vorfällen bestätigt werden.


Was zugänglich war und was nicht

Die gefährdeten Daten beschränkten sich ausschließlich auf Metadaten: Besprechungskennungen, Konferenz-IDs (die Links, über die man an Anrufen unter Google Meet oder Microsoft Teams teilnehmen kann) sowie E-Mail-Adressen und Domains der Teilnehmer.

Entscheidend ist, dass weder Passwörter, Aufzeichnungen, Transkripte, KI-generierte Notizen noch Konto- und Abrechnungsdaten zugänglich waren. Auf keine dieser Informationen konnte über diese Sicherheitslücke zugegriffen werden, und sie werden ohnehin gar nicht in diesem Teil unserer Infrastruktur gespeichert. Wir nehmen den Schutz aller personenbezogenen Daten zwar äußerst ernst, doch zu den offengelegten Daten gehörten weder hochsensible personenbezogene Daten noch die tatsächlichen Inhalte von Gesprächen.

Was die praktischen Auswirkungen betrifft, gab es zwei unterschiedliche Aspekte, die sich in ihrer Schwere unterscheiden:

Erstens könnte eine Person anhand der offengelegten Besprechungs-IDs die Mitschrift oder die KI-Notizen ausschließlich für jene Besprechungen einsehen, die die Nutzer ausdrücklich als öffentlich markiert haben. Die öffentliche Freigabe auf tl;dv ist eine Opt-in-Einstellung, die standardmäßig deaktiviert ist und von einem Kunden, der eine Besprechung außerhalb seines Teams sichtbar machen möchte, bewusst aktiviert werden muss.

Da diese Nutzer die öffentliche Freigabe von Links bewusst aktiviert hatten, waren diese Inhalte bereits von vornherein für jeden zugänglich, der über den Link verfügte. Selbst bei diesen öffentlichen Sitzungen wurden die Inhalte nicht über die normale Navigation oder Suche auf tl;dvangezeigt: Um darauf zuzugreifen, waren spezifische programmiertechnische Maßnahmen eines technisch versierten Hackers erforderlich.

Zweitens gelang es in einigen wenigen Fällen, die URLs für Besprechungen zu erhalten und die Live-Räume zu betreten, indem ein unbekannter Name verwendet wurde und der Teilnehmer vom Organisator manuell zugelassen wurde. Im Rahmen unserer Sofortmaßnahme haben wir diesen Zugangspunkt vollständig gesichert, um sicherzustellen, dass die URLs für Besprechungen auf diese Weise nicht mehr abgerufen werden können.


Der weitere Kontext

Die Einstellungen für die öffentliche Freigabe bei KI- und SaaS-Produkten haben in den letzten Monaten zu ähnlichen Ergebnissen geführt. Anthropic Wir haben uns mit öffentlich zugänglichen Artefakten in Claude und seinem MCP-Ökosystem befasst, die über die Google-Suche auffindbar waren. Lovable und Zoom haben beide Fälle bearbeitet, in denen von Nutzern konfigurierte öffentliche Einstellungen zu einer größeren Sichtbarkeit führten, als die Nutzer erwartet hatten. Es handelt sich um eine Kategorie von UX-Problemen, für die die Branche insgesamt zunehmend sensibler wird.

Der rote Faden: Der Begriff „öffentlich“ kann für verschiedene Nutzer unterschiedliche Bedeutungen haben, und die Benutzererfahrung rund um die Entscheidung für die öffentliche Sichtbarkeit muss die Konsequenzen eindeutig machen. Wir prüfen derzeit erneut, wie wir diese Auswahlmöglichkeiten in unserem eigenen Produkt noch besser darstellen können, und gehen davon aus, dass wir die Änderungen bald umsetzen werden.


Was wir in Zukunft tun werden

Sicherheit ist für keine Plattform ein einmal erreichtes Ziel. Wir investieren weiterhin in unabhängige Tests, in die schnelle Behebung aller auftretenden Probleme und in die kontinuierliche Weiterentwicklung unserer Maßnahmen zum Schutz von Kundendaten.

Wir sind uns auch der Rolle bewusst, die die breitere Cybersicherheits-Community auf diesem Weg spielt. Der Forscher, der diesen alternativen Angriffsvektor aufgedeckt hat, ist ein hochqualifizierter Experte, der bereits in der Vergangenheit Schwachstellen bei großen Organisationen aufgedeckt hat. Die kritische Prüfung durch Spitzenkräfte ist nicht nur ein unvermeidlicher Teil des Ausbaus einer Softwareplattform, sondern auch eine notwendige Triebkraft, die unsere Abwehrmechanismen dazu antreibt, stärker und widerstandsfähiger zu werden.

Persönlich bin ich mir bewusst, dass ich den Forscher nach seiner ersten Kontaktaufnahme Anfang dieses Jahres auf dem Laufenden hätte halten sollen, und ich übernehme die volle Verantwortung für diese Kommunikationslücke. Für die Zukunft werden wir unsere Prozesse zur Offenlegung und Bearbeitung von Sicherheitslücken optimieren, um sicherzustellen, dass alle externen Sicherheitsmeldungen die sofortige Aufmerksamkeit, den Respekt und die klare Nachverfolgung erhalten, die sie verdienen.


So erreichen Sie uns

Bei Fragen zu Ihrem Konto senden Sie bitte eine E-Mail an [email protected].


Allan Bettarel, CTO v
, tl;dv

P.S. Ja, unser Team hat Anfang des Jahres auch eine kleine interne App zur WM-Prognose entwickelt, die von Kollegen aus nicht-technischen Bereichen aus Spaß programmiert und auf einer Subdomain gehostet wurde. Sie hatte keinerlei Verbindung zu Kundendaten oder Produktionssystemen, und wir haben den Zugriff darauf inzwischen eingeschränkt.