Es ist verlockend einfach geworden. Ein Server für ein paar Franken im Monat, ein Befehl, zwanzig Minuten — und der Betrieb hat sein eigenes KI-Werkzeug. Keine Daten bei einem Anbieter, alles im Haus, volle Kontrolle. Genau so wird es beworben, und genau so wird es gemacht.
Seit Ende August zeigt sich, was daran übersehen wird.
Was gerade passiert
Betroffen ist Langflow, eine verbreitete Software zum Zusammenbauen von KI-Abläufen. Die Lücke trägt die Kennung CVE-2026-0768 und ist mit 9,8 von 10 Punkten so kritisch bewertet, wie es geht: Ein Fremder kann ohne jede Anmeldung eigenen Programmcode auf dem Server ausführen — mit vollen Rechten.
Der Sicherheitsanbieter VulnCheck beobachtet die Angriffe seit dem letzten Augustwochenende. Bis zur ersten Meldung waren es rund 360 Versuche, ausgehend von etwa zwanzig Adressen aus mehr als sechs Ländern.
Die Zahl ist nicht das Bemerkenswerte. Das hier ist es: Es ist die zwölfte Langflow-Lücke, die in diesem Jahr aktiv ausgenutzt wird. In allen Jahren davor zusammen war es genau eine.
Was die Angreifer mitnehmen
Hier wird es für jeden interessant, der so ein Werkzeug betreibt — egal welches.
Die Angreifer durchsuchen nicht die Anwendung nach Kundendaten. Sie lesen die Umgebungsvariablen aus. Also genau die Stelle, an der solche Werkzeuge ihre Zugangsdaten aufbewahren:
OpenAI- oder Anthropic-Schlüssel
AWS-Zugänge
SSH-Schlüssel zu anderen Servern
den Verlauf der Kommandozeile
Danach folgt der Versuch, sich seitwärts weiterzubewegen — mit den Schlüsseln, die sie gerade gefunden haben.
Das ist der Punkt, an dem die übliche Denkweise nicht mehr passt. Wer sich fragt «welche Daten liegen da eigentlich, wie schlimm wäre ein Verlust?», stellt die falsche Frage. Ein KI-Werkzeug ist selten ein Datenspeicher. Es ist ein Schlüsselbund. Und ein Schlüsselbund ist immer so wertvoll wie die Türen, die er öffnet — nicht wie das Metall, aus dem er besteht.
Der Schaden ist eine Rechnung
Bei einem gestohlenen API-Schlüssel gibt es keine Erpressermail und keine Verschlüsselung. Es gibt eine Abrechnung.
Wer den Schlüssel hat, kann auf Ihre Kosten rechnen lassen, so viel er will, bis es jemandem auffällt. Das dauert erfahrungsgemäss bis zur nächsten Kreditkartenabrechnung. In dieser Zeit läuft der Zähler — bei KI-Diensten in einer Grössenordnung, die sich von normalen Serverkosten deutlich unterscheidet.
Und es ist die Sorte Schaden, gegen die keine Datensicherung hilft. Ein Backup stellt Dateien wieder her, keine verbrauchten Guthaben.
Vier Dinge, die den Unterschied machen
Ausgabenlimit setzen. Das ist die wichtigste Massnahme und die, die praktisch niemand ergreift. Jeder grosse KI-Anbieter lässt eine monatliche Obergrenze festlegen. Sie wirkt auch dann noch, wenn alles andere schiefgegangen ist — sie ist die einzige Bremse, die nicht davon abhängt, dass Sie den Einbruch bemerken. Zehn Minuten Arbeit, einmalig.
Nicht ins offene Netz stellen. Die weitaus meisten dieser Werkzeuge brauchen keine öffentliche Adresse. Sie gehören hinter ein VPN oder zumindest hinter eine Zugriffsbeschränkung auf die eigenen IP-Adressen. Wer sie nur intern nutzt, sollte sie auch nur intern erreichbar machen — das schliesst die ganze Kategorie solcher Angriffe auf einen Schlag aus.
Schlüssel trennen. Ein eigener API-Schlüssel je Werkzeug, nicht derselbe überall. Dann lässt sich einer sperren, ohne alles stillzulegen — und man sieht an der Abrechnung, welcher es war.
Aktualisierungen einplanen, bevor man anfängt. Bei zwölf ausgenutzten Lücken in einem Jahr ist «einmal aufsetzen und laufen lassen» keine Betriebsart. Wer ein solches Werkzeug nicht regelmässig aktualisieren will oder kann, sollte es nicht selbst betreiben.
Ist Langflow ein Sonderfall?
Wahrscheinlich nicht, und das ist die unbequeme Antwort.
Diese Werkzeuge sind jung. Sie werden schnell gebaut, weil das Feld sich schnell bewegt, und sie führen naturgemäss Code aus, den jemand anders hineingeschrieben hat — das ist ihr Zweck. Diese Kombination erzeugt Schwachstellen, und die Zahl zwölf ist eher ein Hinweis auf den Reifegrad einer ganzen Gattung als auf ein einzelnes schlechtes Produkt.
Gestern haben wir hier beschrieben, wie KI selbst Schwachstellen sucht und dabei mehr Rauschen erzeugt als Nutzen. Dies ist die Gegenrichtung derselben Entwicklung: KI-Software, die selbst welche hat — und bei der die Angreifer keine Werkzeuge brauchen, weil die Lücke seit Wochen öffentlich beschrieben ist.
Was das für einen normalen Betrieb heisst
Wenn Sie kein KI-Werkzeug selbst betreiben: nichts. Diese Meldung geht an Ihnen vorbei, und das ist der Normalfall.
Wenn doch — oder wenn jemand im Betrieb «etwas aufgesetzt hat», ohne dass es jemals dokumentiert wurde: Es lohnt sich, einmal nachzusehen, was auf den eigenen Servern eigentlich läuft und welche Zugangsdaten dort hinterlegt sind. Erfahrungsgemäss ist die Antwort in kleinen Betrieben häufiger «mehr als gedacht» als «nichts».