Hack bei KI-Zulieferer legt Notion-Chats offen
Angreifer drangen beim KI-Anbieter Fireworks ein, der für Notion und andere Firmen Modelle betreibt. Betroffen sind Abrechnungsdaten, Datensätze und Chats aus Notion AI. Was der Fall über KI-Unterauftragnehmer lehrt.
Die Daten liegen bei Notion, verarbeitet werden sie aber teilweise bei einem Dienstleister, den kaum ein Kunde kennt. Genau dort haben Angreifer zugeschlagen. Der KI-Anbieter Fireworks AI, der Sprachmodelle für andere Firmen betreibt und trainiert, hat am 9. November 2026 seine Kunden über einen zweiten Sicherheitsvorfall innerhalb weniger Wochen informiert. Notion bestätigt, dass dabei auch Chatverläufe aus Notion AI offengelegt worden sein können. Für Unternehmen ist das ein Lehrstück über die Lieferkette hinter KI-Funktionen.
Zwei Angriffe in wenigen Wochen
Laut dem Sicherheitsbulletin von Fireworks, über das GBHackers berichtet, bemerkte das Unternehmen schon am 6. Oktober, dass interne Zugangsdaten missbraucht wurden. Es folgten Kundenbenachrichtigungen und der Austausch von Schlüsseln und Token. Am 23. Oktober wurde dann ein externer Cloud-Anbieter angegriffen, der die Forschungs- und Entwicklungsrechner von Fireworks betreibt. Am 24. Oktober ließen die Angreifer dort eine eigene Rechenlast laufen. Fireworks erkannte das nach eigenen Angaben noch am selben Tag. Seit dem 25. Oktober sei kein weiterer erfolgreicher Zugriff auf die Kundenplattform festgestellt worden.
Fireworks ordnet die Täter einer finanziell motivierten Gruppe zu, die Zugänge zu Sprachmodellen stiehlt und die Rechenleistung weiterverkauft. Diese Masche heißt LLMJacking, wir haben sie vor wenigen Tagen ausführlich beschrieben. Die forensische Untersuchung führt Unit 42 von Palo Alto Networks, die Strafverfolgungsbehörden sind informiert.
Welche Daten betroffen sind
Nach Angaben von Fireworks konnten die Angreifer unter anderem auf diese Daten zugreifen:
- Ressourcen-IDs, Namen und Beschreibungen in den Kundenkonten
- Abrechnungsdaten: Rechnungs- und Lieferadressen, Rechnungen, Zahlungshistorie, Guthaben
- bei einigen Kunden Teile von Datensätzen und unvollständige Modellgewichte, außerdem gespeicherte Geheimnisse wie API-Schlüssel
Kartennummern waren laut Fireworks nicht betroffen, weil das Unternehmen sie nicht speichert. Auswirkungen auf den eigentlichen Modellbetrieb habe man nicht festgestellt. Die Angaben gelten als vorläufig, die Untersuchung läuft noch.
Notion: Chats aus der Insights-Funktion
Notion nutzte Fireworks, um offene Sprachmodelle zu betreiben und Spezialmodelle zu trainieren. Laut Notions Hilfeseite zum Vorfall hatte das Unternehmen bereits am 3. November alle Verbindungen zu Fireworks getrennt und seine Daten dort löschen lassen. Am 6. November meldete Fireworks dann, dass Angreifer möglicherweise auf Kundendaten zugegriffen hatten, am 8. November bestätigte Fireworks den betroffenen Datensatz.
Betroffen sind Chatverläufe aus Notion AI, die für die Funktion „Insights“ gespeichert waren. Die Chats sind nach Notions Angaben keinem Nutzer, Workspace oder Unternehmen zugeordnet und enthalten keine Seiteninhalte aus Werkzeugaufrufen. Es geht um weniger als 1 Prozent der Workspaces, deren Eigentümer Notion direkt angeschrieben hat. Insights ist vorerst abgeschaltet, offene Modelle laufen nicht mehr über Fireworks.
Trotzdem ist Notion bei der Einschätzung deutlich:
„We recommend that you treat this data as if it were exposed.“
Wer in einen Chat mit Notion AI Passwörter, API-Schlüssel oder andere Zugangsdaten eingefügt hat, soll sie laut Notion sofort austauschen. Betroffene Workspace-Eigentümer finden die Daten in der Desktop-Version unter ? und „Security incident review“, Enterprise-Kunden bekommen eine CSV-Datei.
Was das für Ihr Unternehmen heißt
- Notion prüfen: Wenn Sie Notion nutzen, schauen Sie, ob der Workspace-Eigentümer eine Nachricht erhalten hat und ob der Bereich „Security incident review“ Daten zeigt.
- Datenschutz einordnen: Enthalten die Chats personenbezogene Daten, bewerten Sie mit Ihrem Datenschutzbeauftragten, ob eine Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO nötig ist. Die 72-Stunden-Frist läuft ab Kenntnis.
- Fireworks-Kunden: Wer Fireworks direkt nutzt, sollte alle dort hinterlegten Schlüssel für Drittdienste beim jeweiligen Anbieter austauschen. Fireworks betont: Gelöschte Geheimnisse sind damit noch nicht ungültig.
- Unterauftragnehmer kennen: Lassen Sie sich von Ihren SaaS-Anbietern die Liste der KI-Unterauftragnehmer geben und prüfen Sie, ob Ihre Daten für Training oder Auswertungen weitergegeben werden. Wie wichtig saubere Verträge sind, zeigt auch die neue Meldeklausel im Microsoft-DPA.
- Keine Geheimnisse in KI-Chats: Zugangsdaten gehören in einen Passwort-Manager, nicht in einen Chat. Ähnlich gelagert war zuletzt der Fall, in dem Claude Code Passwörter auf GitHub ablegte.
Fazit
Der Fall zeigt, dass Datenschutz bei KI-Funktionen nicht beim sichtbaren Anbieter endet. Hinter vielen KI-Werkzeugen stehen spezialisierte Dienstleister für Modellbetrieb und Training, und genau die sind für Angreifer attraktiv, weil dort Rechenleistung und Daten vieler Kunden zusammenkommen. Wer seine KI-Lieferkette kennt und klare Regeln für Eingaben hat, ist im Ernstfall schneller handlungsfähig. Wenn Sie Ihre KI-Werkzeuge und Verträge daraufhin prüfen möchten, sprechen Sie mich gern an.
