Railway-Einbruch: Gestohlene KI-Schlüssel kosten 740.000 Dollar

Wer einen KI-Schlüssel stiehlt, kann ihn sofort zu Geld machen. Das zeigt der Abschlussbericht, den der Hosting-Anbieter Railway am 10. November 2026 zu seinem Sicherheitsvorfall vom Oktober veröffentlicht hat. Die Angreifer hatten es vor allem auf die Zugangsschlüssel zu KI-Anbietern abgesehen, die Kunden in ihren Projekten hinterlegt hatten. Der Schaden durch unberechtigte Nutzung liegt nach Railways Schätzung bei rund 740.000 Dollar. Für Unternehmen, die Anwendungen mit KI-Anbindung in der Cloud betreiben, ist der Fall eine deutliche Warnung.

Vom Build-Server bis zum Schlüsseltresor

Railway ist eine Plattform, auf der Entwickler Web-Anwendungen, Datenbanken und Hintergrunddienste mit wenigen Klicks betreiben. Laut dem Bericht begann der eigentliche Angriff am 20. Oktober um 07:28 Uhr UTC in der Build-Infrastruktur. Die Angreifer brachen teilweise aus der Dateisystem-Isolation aus und erbeuteten einen Zugangsschlüssel des Build-Systems. Die interne Workflow-Software Temporal akzeptierte diesen Schlüssel als vertrauenswürdig und gab gespeicherte Verläufe anderer Builds preis.

Über einen Cache-Schnappschuss kamen die Angreifer an eine Kopie von Railways internem Quellcode. Eine fehlerhafte OIDC-Verknüpfung verschaffte ihnen danach kurzlebigen Zugriff auf die Cloud-Umgebung. Über interne Zugangsdaten und SSH erreichten sie schließlich einen ServerHostingDer Speicherplatz auf einem Server, auf dem Ihre Website läuft.Im Glossar ansehen → mit einem langlebigen Entschlüsselungsschlüssel. Damit fragten sie die Datenbank mit den Umgebungsvariablen ab und entschlüsselten einen Teil davon. Am 21. Oktober um 09:24 Uhr UTC waren die Angreifer laut Railway vollständig ausgesperrt.

Bemerkenswert ist das Tempo. Railway beschreibt die Abwehr als Wettlauf gegen Angreifer, die selbst mit automatisierten Werkzeugen arbeiteten:

„The escalating situation became a contest of agent speed.“

Gezielt auf KI-Schlüssel

Laut Bericht konzentrierte sich die Entschlüsselung auf die Schlüssel von KI-Anbietern, daneben fanden sich auch Zugangsdaten zu Cloud-Diensten, Datenbanken und Zahlungsanbietern. Betroffen sein können höchstens 1,85 Prozent der Workspaces, rund 100.000. Railway betont, dass es sich um eine Obergrenze aus den Protokollen handelt, nicht um eine bestätigte Opferzahl. Zusätzlich wurden die gespeicherten Verläufe von 353 Builds gelesen, und für 1.852 Nutzer setzte Railway verknüpfte TokenTokenKleinste Texteinheit, in der KI-Modelle rechnen und abgerechnet werden.Im Glossar ansehen → zurück, darunter GitHub-Zugänge und eigene Agenten-Schlüssel.

Hinweise darauf, dass die Angreifer Repositories oder Datenbanken von Kunden abgerufen haben, gibt es laut Railway nicht. Auch das Online-Magazin BleepingComputer, das über den Bericht berichtet, stellt den Kostenschaden in den Mittelpunkt.

Wer die 740.000 Dollar bezahlt

Besonders aufschlussreich ist, wie die KI-Anbieter mit den Betrugskosten umgehen. Railway listet das für jeden Anbieter einzeln auf:

• AWS Bedrock und Google GeminiGeminiGoogles KI-Modell- und Assistenten-Familie.Im Glossar ansehen →: Die bestehenden Erstattungsregeln für Betrug greifen, die Rückzahlungen laufen.
• OpenAI: Kunden eröffnen einen Supportfall, Erstattungen werden einzeln geprüft.
• SpaceXSI: Prüfung im Einzelfall über den Railway-Support.
• Anthropic: Die Gespräche laufen noch, bis dahin übernimmt Railway die Kosten.
• OpenRouter: Bleibt bei seiner Regel, nichts zu erstatten. Railway trägt die Kosten selbst.

Dass Railway einspringt, ist kulant. Selbstverständlich ist es nicht: Ohne einen solchen Plattformbetreiber bliebe der Kunde im Zweifel auf der Rechnung sitzen, denn der Schlüssel läuft auf seinen Namen.

Was Railway geändert hat

Jeder Build läuft jetzt auf einer eigenen, kurzlebigen virtuellen Maschine mit einem Schlüssel, der nur ein bestimmtes Image hochladen darf. Alle Ver- und Entschlüsselungen werden zentral protokolliert, jeder Dienst kann nur noch die Zugangsdaten entschlüsseln, die er selbst braucht. Railway hat alle relevanten Schlüssel getauscht, eine neue Zertifizierungsstelle aufgesetzt und betroffene Maschinen neu aufgebaut. Neuanmeldungen waren vom 22. Oktober bis 2. November gesperrt.

Was das für Ihr Unternehmen heißt

• Ausgabenlimits setzen: Legen Sie bei jedem KI-Anbieter harte Monats- und Tageslimits je Schlüssel fest. Ein gestohlener Schlüssel ohne Limit ist ein offenes Konto.
• Ein Schlüssel pro Anwendung: Getrennte, eng berechtigte Schlüssel lassen sich schneller sperren und zeigen sofort, wo der Missbrauch herkommt.
• Erstattungsregeln kennen: Prüfen Sie vorab, wie Ihr Anbieter oder Gateway mit Betrugskosten umgeht. Die Spanne reicht laut Railway von automatischer Erstattung bis zu gar keiner.
• Verbrauch überwachen: Alarme bei ungewöhnlichem Tokenverbrauch fallen oft schneller auf als jede Sicherheitsmeldung. Wie teuer das werden kann, zeigt unser Beitrag zu LLMJacking.
• Schlüssel tauschen können: Spielen Sie einmal durch, wie lange der Austausch aller Secrets dauert. Railway-Kunden mussten genau das unter Zeitdruck tun, ähnlich wie zuvor die Betroffenen des LiteLLM-Angriffs.

Fazit

Der Railway-Fall reiht sich ein in eine Serie von Angriffen auf die Infrastruktur rund um KIKünstliche Intelligenz (KI)Software, die Aufgaben löst, die sonst menschliche Intelligenz erfordern.Im Glossar ansehen →, vom KI-Zulieferer Fireworks bis zu Entwicklerwerkzeugen. Das Muster ist klar: KI-Schlüssel sind für Kriminelle bares Geld, und sie liegen oft dort, wo viele Kunden ihre Geheimnisse zentral ablegen. Wer Limits, Überwachung und einen geübten Notfallablauf hat, verliert im Ernstfall Stunden statt Zehntausende Euro. Wenn Sie Ihre KI-Anbindungen daraufhin prüfen lassen möchten, sprechen Sie mich gern an.