Notion Datenleck: Fireworks-AI-Hack legte KI-Chats offen

Wurde Notion gehackt?

Nicht direkt: Notion erklärt, der Vorfall sei „kein Einbruch in unsere Systeme“ gewesen, sondern ein Datenleck bei Fireworks AI, einem externen KI-Anbieter, bei dem Notion-AI-Chatprotokolle von weniger als 1 % der Workspaces offengelegt wurden ^[1].

Notion nutzte Fireworks für zwei Zwecke: für Klassifizierungsaufgaben hinter Insights, einer Funktion, die Kunden hilft, ihre eigene KI-Nutzung zu verstehen, und als allgemeinen Inferenzanbieter, um Open-Weight-KI-Modelle innerhalb von Notion auszuführen ^[1]. BleepingComputer erklärt, dass Insights Workspace-Administratoren Einblick gibt, wie ihre Teams KI nutzen ^[4].

Notion erklärt, andere Funktionen seien nicht betroffen gewesen ^[1]. Es hat Insights während der Untersuchung deaktiviert und stellt keine Open-Weight-Modelle mehr über Fireworks bereit ^[1]. TechCrunch berichtet, laut Notion habe Fireworks später bestätigt, dass einige Notion-Kundendaten gestohlen wurden ^[3].

Welche Daten wurden beim Notion-Datenleck offengelegt?

Der gestohlene Datensatz enthielt Notion-AI-Chatprotokolle, die für Insights verwendet wurden und laut TechCrunch, das Notion zitiert, „jede Eingabe in das Modell oder Ausgabe des Modells, die in den Chat geschrieben wurde“ enthalten ^[3]. Für die meisten betroffenen Workspaces seien die Protokolle laut Notion nicht zuordenbar gewesen ^[1].

Notion definiert „nicht zuordenbar“ als Chats, die weder mit dem Verfasser noch mit dem Workspace, aus dem sie stammten, gekennzeichnet waren und keine Ergebnisse von Tool-Aufrufen enthielten ^[1]. „Über das hinaus, was im Chatprotokoll selbst steht, gibt es keine Informationen, die den Chat mit Workspaces, Nutzern oder Unternehmen verknüpfen“, heißt es dort ^[1][5].

Der Haken ist der Inhalt selbst. Alles, was jemand in Notion AI eingegeben hat, etwa ein Passwort, ein API-Schlüssel oder vertraulicher Text, könnte in einem Protokoll stehen ^[1]. Notion erklärt, solche Schlüssel in betroffenen Nachrichten gefunden zu haben: Am 11. November widerrief es offengelegte Notion-API-Schlüssel, und am 12. November meldete es offengelegte API-Schlüssel von Drittanbietern den Anbietern, die sie ausgestellt hatten ^[1].

Bei Fireworks selbst betraf das weiter gefasste Datenleck Ressourcen-Metadaten, Abrechnungsinformationen (Adressen, Rechnungen, Salden und Guthabennutzung) und bei einigen Kunden unvollständige Modellgewichte und Datensätze ^[2]. Fireworks erklärt, Zahlungskartennummern nicht zu speichern; sie seien nicht betroffen gewesen ^[2].

Wann ereignete sich das Notion-Datenleck?

Der Angreifer gelangte Ende Oktober 2026 zu Fireworks; Notion erfuhr Anfang November, dass Kundendaten betroffen waren, und kontaktierte die betroffenen Kunden am 9. November ^[1][2].

• 23. Oktober: Bei einem externen Cloud-Anbieter, der die F&E-Rechner von Fireworks hostete, gab es einen Sicherheitsvorfall ^[2].
• 24. Oktober: Der Angreifer nutzte ihn, um an Entwicklungsrechner von Fireworks zu gelangen, und führte eine nicht autorisierte Workload aus; Fireworks erklärt, dies noch am selben Tag bemerkt zu haben ^[2].
• 2. November: Fireworks teilte Notion mit, auf einen kleinen Datensatz sei zugegriffen worden; Notion fand zunächst nur synthetische Testdaten ^[1].
• 3.-4. November: Bis zum Morgen des 3. November hatte Notion seine Systeme von Fireworks getrennt, und am 4. November löschte es alle seine Daten im Fireworks-System ^[1].
• 6. November: Fireworks erklärte, es sei möglicherweise auf Kundendaten zugegriffen worden ^[1].
• 8. November: Fireworks bestätigte den endgültigen betroffenen Datensatz; Notion stellte später fest, dass er Notion-AI-Chatprotokolle enthielt, die für Insights genutzt wurden ^[1].
• 9. November: Notion nahm Kontakt zu den betroffenen Kunden auf ^[1].
• 11.-13. November: Der auf den 12. November datierte Hinweis von Notion enthält Aktualisierungsvermerke: Am 11. November widerrief es offengelegte Notion-API-Schlüssel, und am 12. November meldete es offengelegte API-Schlüssel von Drittanbietern den Anbietern, die sie ausgestellt hatten ^[1].

Einige Berichte verkürzen diesen Zeitablauf; der eigene Hinweis von Notion ist die detaillierteste datierte Darstellung ^[1].

Was sollten Notion-Nutzer jetzt tun?

Notion erklärt, dass Ihr Workspace nicht als betroffen identifiziert wurde und derzeit keine Maßnahme nötig ist, wenn Sie nichts von dem Unternehmen gehört haben ^[1]. Betroffenen Kunden empfiehlt es ^[1][4]:

1. Die offengelegten Daten prüfen. Betroffene Kunden können sie anhand per E-Mail zugesandter Anweisungen sicher in ihrem Workspace abrufen ^[1]. BleepingComputer berichtet, dass Workspace-Eigentümer in der Desktop-Weboberfläche von Notion die Funktion „Security incident review“ nutzen und einen Download-Link an Mitglieder weitergeben können ^[4].
2. Die Daten als offengelegt betrachten, auch wenn die meisten Protokolle nicht zuordenbar sind ^[1].
3. Zugangsdaten erneuern. Wenn Sie während des Vorfallzeitraums sensible Informationen, Passwörter, API-Schlüssel oder andere Zugangsdaten in Notion AI eingefügt haben, ändern Sie sie ^[1][5].
4. Schlüssel für andere Dienste einbeziehen. Notion erklärt, gefundene offengelegte API-Schlüssel von Drittanbietern den Anbietern gemeldet zu haben, die sie ausgestellt hatten; sein Rat an Kunden lautet, alle in Notion AI eingefügten API-Schlüssel zu erneuern ^[1].
5. Für allgemeine Datenleck-Prüfungen beschreibt Was My Data Leaked? How to Check and What to Do After a Data Breach, worauf Sie nach jedem Datenleck achten sollten (allgemeiner Rat, nicht Teil der Mitteilung von Notion).

Eine allgemeine Vorsichtsmaßnahme, nicht Teil des Rates von Notion: Halten Sie aktive Geheimnisse aus KI-Chats heraus. Password Managers Explained: How They Work and Whether They Are Safe erklärt sicherere Wege, Zugangsdaten zu speichern und zu teilen, und Is ChatGPT Safe for Your Privacy? What AI Chatbots Do With the Data You Share beleuchtet, was KI-Chat-Werkzeuge mit Ihren Daten tun.

Was ist Fireworks AI und wie wurde es gehackt?

Fireworks AI ist eine Plattform, über die Entwickler offene KI-Modelle nutzen und ausführen; Notion beschreibt sie als eine der meistgenutzten globalen Plattformen für KI-Infrastruktur, die Zehntausende Kunden antreibt ^[1][3].

Fireworks erklärt, bei einem Cloud-Anbieter, der seine F&E-Rechner hostete, habe es am 23. Oktober einen Vorfall gegeben, den eine unbefugte Partei am nächsten Tag nutzte, um an Entwicklungsrechner von Fireworks zu gelangen ^[2]. SecurityWeek nennt den 24. Oktober als Datum, an dem Kundendaten kompromittiert wurden ^[5]. Fireworks erklärt, bis zum 25. Oktober keine weiteren Hinweise auf einen erfolgreichen unbefugten Zugriff auf die von seinen Kunden genutzte Plattform festgestellt zu haben ^[2].

TechCrunch nennt dies das zweite Datenleck bei Fireworks innerhalb ebenso vieler Monate ^[3]. Ein früherer Vorfall, bekannt gegeben in einer Mitteilung vom 9. Oktober, betraf gespeicherte Geheimnisse; BleepingComputer berichtet, Hacker hätten bei einer begrenzten Zahl von Konten auf Umgebungsvariablen mit API-Schlüsseln und Tokens zugegriffen ^[2][4].

Fireworks erklärt, die Strafverfolgungsbehörden informiert zu haben und bei der Forensik mit Palo Alto Networks Unit 42 zusammenzuarbeiten ^[2]. Zu den Maßnahmen gehörten der Widerruf und Austausch von Zugangsdaten, die Isolierung betroffener Systeme und die vorübergehende Deaktivierung von Self-Service-Uploads und -Downloads von Datensätzen für Batch-Inferenz und datensatzbasiertes Training ^[2].

Was ist LLMjacking?

LLMjacking ist der Diebstahl des Zugangs zu großen Sprachmodellen, um ihn weiterzuverkaufen; Fireworks erklärt, die Hinweise deuteten auf Verbindungen zu einer finanziell motivierten Cyberkriminellengruppe hin, die sich damit befasst ^[2].

Laut Fireworks zielt die Gruppe darauf ab, „Tokens aus unbefugtem Zugriff auf Large Language Models (LLMs) an illegale Routing-Gateways zu verkaufen“ ^[2]. TechCrunch, das den Begriff nicht verwendet, berichtet, Fireworks halte die Angreifer für finanziell motiviert, und die Käufer seien unbefugte Dritte, die den gestohlenen Zugang nutzen, ohne für ihre eigene Rechenleistung zu zahlen ^[3]. SecurityWeek wiederum bringt den zweiten Fireworks-Vorfall mit einem jüngsten Anstieg der LLMjacking-Aktivität in Verbindung ^[5].

Notion selbst spricht nur von „böswilligen Akteuren“ und sagt nichts darüber, wer sie waren oder was sie wollten ^[1]. Es berichtet jedoch, dass in betroffenen Nachrichten offengelegte API-Schlüssel gefunden wurden und dass es die Notion-Schlüssel widerrief und die Schlüssel von Drittanbietern deren Ausstellern meldete ^[1]. Fireworks weist darauf hin, dass die Google Threat Intelligence Group und Mandiant am 2. November Forschungsergebnisse zu LLMjacking veröffentlicht haben ^[2].

Ist es sicher, Notion AI weiter zu nutzen?

Notion erklärt, die Verbindung zum Anbieter sei gekappt, die Daten bei Fireworks seien gelöscht und die betroffene Funktion deaktiviert, doch die Untersuchung dauere an ^[1].

• Beruhigend: Andere Notion-Funktionen waren nicht betroffen; die meisten Protokolle lassen sich keinem Nutzer zuordnen; betroffene Kunden wurden kontaktiert ^[1].
• Beruhigend: Fireworks erklärt, sein Inferenzdienst, das Training SDK und Nexus seien standardmäßig auf Zero Data Retention ausgelegt und zeigten keine Auswirkungen ^[2].
• Offene Frage: BleepingComputer berichtet, laut der FAQ von Notion habe sich Fireworks vertraglich zu Zero Data Retention für Notion-Daten verpflichtet ^[4]; keine der geprüften Quellen erklärt, wie der Insights-Datensatz zugänglich werden konnte.
• Besorgniserregend: Notion nennt einen Anteil (weniger als 1 % der Workspaces), hat aber laut SecurityWeek nicht offengelegt, wie viele Kunden betroffen waren ^[5].

Notion erklärt, es werde den Standard für den Schutz von Kundendaten „anheben“ ^[1]. TechCrunch argumentiert, der Vorfall zeige, wie sehr Technologieunternehmen für ihre eigenen Angebote auf andere Anbieter angewiesen sind ^[3].

Wie geht es weiter?

Beide Unternehmen erklären, ihre Untersuchungen dauerten an; Notion will seinen Hinweis aktualisieren, und Fireworks will bei Bedarf weitere Updates liefern ^[1][2]. Fireworks warnt, seine Untersuchung könne „weitere Informationen zutage fördern“ ^[2].

Zu beobachten ist, ob Fireworks weitere betroffene Kunden nennt, ob Notion die Angabe „weniger als 1 %“ korrigiert und ob Insights, derzeit deaktiviert, zurückkehrt ^[1][2]. Bis dahin ist die Hinweisseite von Notion die Stelle, an der sich offizielle Updates finden ^[1].

Die umfassendere Lehre für Unternehmen betrifft Anbieterketten. TechCrunch merkt an, das Datenleck zeige, wie sehr Technologieunternehmen für ihre eigenen Produkte auf andere Anbieter angewiesen sind, sodass ein Angriff auf einen davon auf dessen Kunden übergreifen kann ^[3]. Fireworks erklärt, inzwischen den Zugriff auf Datenspeicher- und Analysesysteme verschärft, Netzwerkpfade eingeschränkt und Protokollierung und Überwachung gemeinsam mit Unit 42 verbessert zu haben ^[2]. Als allgemeine Vorsichtsmaßnahme (nicht von einem der beiden Unternehmen) können Teams, die Daten an KI-Anbieter senden, nachfragen, was gespeichert wird, wie lange und wie schnell sie über einen Vorfall informiert würden.