180.000 Meetings. Geht man von durchschnittlich fünf Personen pro Gespräch aus, entspricht dies den Diskussionen von 900.000 Menschen: Verkaufsverhandlungen, Vorstellungsgespräche, Mitarbeitergespräche, Unternehmensstrategien und Arbeitsgruppensitzungen von Regierungsbehörden. Sie wurden von einem KI-Meeting-Assistenten in einer Cloud-Datenbank gespeichert – und die Tür zu dieser Datenbank war nicht abgeschlossen. Jeder, der ein kostenloses Konto registrierte, konnte die Aufzeichnungen von 180.000 Meetings durchsuchen und sogar Links zu laufenden Besprechungen abrufen, um uneingeladen beizutreten. Der Sicherheitsforscher Bob Diachenko tat genau das: Er betrat eine Online-Sitzung des Bildungsministeriums von Malaysia mit 157 Teilnehmern. Niemand hatte ihn eingeladen, und das Meeting wurde gerade aufgezeichnet.
Ein Unternehmen, das vom Schutz fremder Geheimnisse lebt
Das Unternehmen heißt tl;dv (eine Abkürzung für „Too Long; Didn’t View“, frei übersetzt: „Zu lang, nicht angeschaut“). Es handelt sich um ein KI-Tool für Meeting-Notizen: Ein Bot tritt Ihren Zoom-, Google Meet- oder Teams-Besprechungen bei, zeichnet das Gespräch auf, erstellt ein Transkript und fasst die wichtigsten Punkte per KI zusammen. Mit über zwei Millionen Nutzern, Risikokapital im Rücken und Empfehlungen im gesamten Vertriebsnetzwerk auf LinkedIn erfreut sich das Tool großer Beliebtheit.
Verkaufsgespräche, Bewerbungsinterviews, Leistungsbeurteilungen, interne Strategierunden – die Nutzer vertrauten dem System alles an. Es waren genau jene Gespräche, die beginnen, nachdem der Hinweis „Dieses Meeting wird aufgezeichnet“ ertönt, alle Beteiligten kurz verlegen lächeln und anschließend 45 Minuten lang über Geschäftsgeheimnisse sprechen.
Wie die Schwachstelle entstand: Keine Hacker, nur eine unverschlossene Tür
Um es klarzustellen: Es handelte sich nicht um einen ausgeklügelten Cyberangriff. Es wurden keine Passwörter geknackt und keine komplexen Zero-Day-Lücken ausgenutzt. Der Angreifer musste gar nichts „hacken“.
Das Problem lag in der Zugriffskontrolle der Datenbank. Cloud-Datenbanken wie Googles Firestore folgen einer Grundregel: Jeder Benutzer darf nur auf seine eigenen Daten zugreifen (in der Fachsprache als Mandantentrennung bezeichnet). Die Datenbank von tl;dv wies diese Trennungsschicht überhaupt nicht auf. Man kann sich das wie ein Apartmentgebäude vorstellen, in dem jede Wohnung einzeln abgeschlossen sein sollte. Stattdessen gab es nur eine einzige Hauptlobby, in der ein zentrales Buch lag: mit allen Wohnungsnummern, E-Mail-Adressen der Bewohner und der Information, in welchem Raum gerade ein Meeting stattfand. Jeder Bewohner mit einem kostenlosen Konto konnte dieses Buch durchblättern und an jede beliebige Tür klopfen.
Abb.: Liste von Meeting-Einträgen, die von Forschern gefunden wurden. Jeder angemeldete Benutzer konnte alle Datensätze durchsuchen. Quelle: bobdahacker.com
Die Forscher zählten den Inhalt der Datenbank nach: 181.874 Meeting-Aufzeichnungen von 84.312 Benutzern aus 35.003 Unternehmensdomänen. Darunter befanden sich Meetings von Regierungsbehörden aus 23 Ländern, renommierten Universitäten wie UC Berkeley und der Universität Tokio sowie Großunternehmen wie Mitsui und HubSpot. Der Spitzenmonat war der vergangene Juli mit 43.209 neu erfassten Meetings in nur einem Monat.
Noch dramatischer war das Echtzeit-Ausmaß: Zu jedem beliebigen Zeitpunkt wurden rund 1.000 Meetings aktiv aufgezeichnet. Die Teilnahme-Links lagen offen in den Daten, sodass automatisierte Skripte sich massenhaft in Besprechungen „einklinken“ konnten. Der Sicherheitsforscher demonstrierte dies live: Als er das Meeting des malaysischen Bildungsministeriums mit 157 Teilnehmern betrat, lief gerade eine Präsentation, und der Bot von tl;dv war ebenfalls in der Teilnehmerliste aufgeführt.
Abb.: Ein Online-Meeting mit 157 Teilnehmern, dem ein Sicherheitsforscher uneingeladen beitrat, während die Aufzeichnung lief. Quelle: bobdahacker.com
Für potenzielle Angreifer geht der Wert dieser Daten weit über schriftliche Zusammenfassungen hinaus – es geht um die Stimmen selbst. Experten für die Abwehr von Stimmfälschung (Voice Phishing) wiesen in den Kommentaren darauf hin: Mit echten Sprachproben von Mitarbeitern kann KI die Stimme perfekt klonen, um die Finanzabteilung anzurufen und Überweisungen zu veranlassen. Dieser Datenleak entsprach der weltweiten Veröffentlichung der „Stimmabdrücke“ von zehntausenden Menschen.
Was sich in den Meeting-Protokollen befand
Was bespricht man in Meetings? Gehaltsverhandlungen, Entlassungslisten, M&A-Pläne, Rechtsstreitigkeiten und Schmerzgrenzen bei Kundenpreisen. Meetings von Regierungsbehörden können die nationale Sicherheit berühren – Transkripte des ukrainischen Ministeriums für digitale Transformation befanden sich in den geleakten Daten, woraufhin in Kommentaren gefragt wurde, ob die Ukraine wisse, dass Russland zuschauen könnte. In einem weiteren aufgedeckten Meeting teilte ein studentisches Startup-Team einer US-Universität seinen Bildschirm und demonstrierte einen Prototyp. Als es um die Implementierung von E-Mail-Validierung ging, dachte der Forscher im Stillen: „Bitte konfiguriert auch eure Datenbankberechtigungen richtig.“
Abb.: Ein weiteres Meeting, bei dem ein studentisches Team seinen Bildschirminhalt für eine Projekt-Demo teilte. Quelle: bobdahacker.com
Darüber hinaus waren über 1.000 Meetings von Benutzern als „öffentlich“ markiert worden, sodass Audioaufnahmen und Transkripte direkt einsehbar waren. Darunter befand sich eine Sitzung der brasilianischen Regierung zum Umweltschutz (an der der WWF und The Nature Conservancy teilnahmen) sowie ein Verkaufsgespräch von HubSpot. Zudem wurden 715 E-Mail-Adressen von Teilnehmern aus 228 Domänen offengelegt – eine fertige Liste für Phishing-Angriffe.
Die Reaktion des Unternehmens: Monatelanges Schweigen und die Behauptung öffentlicher Daten
Am meisten erzürnte die Tech-Community der Umgang mit dem Vorfall nach seiner Entdeckung. Der Forscher kontaktierte tl;dv am 28. Januar über LinkedIn. Innerhalb weniger Minuten antwortete das Unternehmen: „Danke! Bitte senden Sie das an unseren CTO.“ Danach antwortete der CTO nie wieder. Auch auf erneute Nachfragen im Februar, März und Juli reagierte niemand, während die Datenbank weiterhin offen stand. Erst Anfang August, als der Untersuchungsbericht veröffentlicht wurde und Medien zu berichten begannen, behob das Unternehmen die Lücke innerhalb weniger Tage und gab eine offizielle Stellungnahme ab.
Der umstrittenste Satz in der Stellungnahme lautete: Die exponierten Daten seien „strikt auf Metadaten beschränkt“ gewesen, Aufzeichnungen und Transkripte seien „niemals geleakt“ worden. Einsehbar seien nur Meetings gewesen, die „Benutzer aktiv als öffentlich markiert“ hatten, was sie zu „öffentlichen Daten“ mache. In den Foren löste dies Empörung aus: Der Forscher hatte die vollständigen Inhalte von über 1.000 öffentlichen Meetings abrufen können, und Benutzer, die ein Häkchen bei „öffentlich teilen“ setzten, wussten sicherlich nicht, dass sie ihre Gespräche für die ganze Welt durchsuchbar machten. Ironischerweise hatte der CEO des Unternehmens noch wenige Monate zuvor in einem Interview betont, dass europäische Unternehmen „Daten, Sicherheit und Datenschutz mehr schätzen“ und „Compliance vom ersten Tag an in das Produkt einbauen“ – ein Zitat, das nun in den Diskussionen aufgetaucht ist.
Was prüfen Sicherheitszertifizierungen der Branche tatsächlich?
Dies führt zurück zur Frage aus dem Titel: Zertifizierungen. Auf der Sicherheitsseite des Unternehmens prangte eine Reihe von Siegeln: SOC 2-Zertifizierung, DSGVO-Konformität, AES-256-Verschlüsselung – wie eine Pokalvitrine. Nach dem Vorfall war der lauteste Tenor in den Entwicklerforen: Diese Zertifizierungen bedeuten absolut gar nichts.
Was prüft eine Zertifizierung tatsächlich? Kurz gesagt: Ob man Sicherheitsrichtlinien schriftlich fixiert hat und ob man nachweisen kann, dass man sich an die selbst geschriebenen Regeln hält. Was prüft sie nicht? Ob die Richtlinien sinnvoll sind, ob die Datenbank verschlossen ist oder ob die Software tatsächlich sicher ist. Ein Vergleich: Es ist wie eine Prüfung, die nur kontrolliert, ob man gemäß seinen eigenen angegebenen Rechenwegen geantwortet hat, nicht aber, ob das Ergebnis stimmt – wer „1+1=3“ schreibt und belegt, dass er stets so rechnet, besteht die Prüfung. Oder wie ein Lebensmittelinspektor, der nur prüft, ob eine „Hygieneverordnung“ aushängt und befolgt wird, ohne zu bewerten, ob darin „täglich wischen“ oder „einmal vor der Eröffnung wischen“ steht, und ohne die Sauberkeit der Küche selbst zu kontrollieren.
Ein Brancheninsider teilte eine Geschichte, die dieses System auf den Punkt bringt: Um eine Zertifizierung zu bestehen, verlangte sein Arbeitgeber, dass er eine „Compliance-Überwachungssoftware“ auf seinem Laptop installierte. Er tat dies, legte das Gerät zur Seite und arbeitete auf seinem privaten Laptop weiter – „die Zertifizierung blieb völlig intakt“. Ein anderer Nutzer berichtete von einem ebenfalls zertifizierten Produkt, bei dem Chat-Protokolle erzwungen auf Herstellerserver hochgeladen wurden und mit einem Klick öffentlich gemacht werden konnten. Zertifizierungssysteme beweisen, dass ein Unternehmen „tut, was es sagt“. Das Problem war jedoch schon immer: Ob das, was gesagt wurde, überhaupt einen Wert hat.
Weiterführende Überlegungen zu Vertrauen und Compliance
Bei diesem Vorfall sind die technischen Details nicht kompliziert; kompliziert ist der Zusammenbruch des Vertrauens. Nutzer vertrauten einem Tool ihre intimsten Besprechungen an, und das Tool legte sie in einen unverschlossenen Schrank. Nutzer hielten Zertifizierungssiegel für ein Sicherheitsversprechen, während das Zertifizierungssystem lediglich lückenlose Prozesse bescheinigte. Lücken in einer Datenbank können geschlossen und Firebase-Regeln angepasst werden, aber der Riss im Vertrauen in das Wort „Zertifizierung“ lässt sich nur schwer wieder kitten.
Es liegt nicht in der Absicht dieses Beitrags, ein abschließendes Urteil über eine der Parteien zu fällen: Das Unternehmen argumentiert, es habe sich um „zwei unabhängige Schwachstellen gehandelt, von denen die erste längst behoben war“, während der Forscher dokumentiert, dass „sechs Monate lang keine Antwort erfolgte und die Datenbank weiterhin offen stand“. Leser können beide Schilderungen vergleichen und sich ein eigenes Bild machen. Doch ein Gedanke ist für jeden Einzelnen einen Moment Überlegung wert – wenn der Host beim nächsten Meeting ankündigt: „Diese Besprechung wird aufgezeichnet“, lohnt es sich vielleicht nachzufragen: Ist das Tool, das sie aufzeichnet, Ihrer Stimme würdig?
Referenz-Links:
- Bob Diachenko: Tl;dv Leak-Untersuchungsbericht
- Hacker News Diskussions-Thread (HN)
- tl;dv Offizielle Stellungnahme: “Our thoughts on the darkreading.com article”
- Dark Reading Bericht: “AI Notetaker Exposes Government, Corporate Video Calls”
- SourceFeed Analyse: “One Missing Firestore Rule Exposed 181,874 Meetings”
