Am 30. Oktober um 11:43 UTC schickte ein Cloud-Sicherheitsteam eine Warnung an Northflank. Eine Minute später hatten die Northflank-Ingenieure sie geöffnet. Bis 13:05 UTC waren zwei weitere Patches draußen.
Die öffentliche Botschaft der Plattform an ihre Kunden an diesem Tag bestand aus elf Wörtern und ist einer der ehrlichsten Sätze der modernen Incident Response: "Geht davon aus, dass alle Umgebungsvariablen entschlüsselt wurden. Deaktiviert und rotiert alle Schlüssel."
Northflank ist eine Hosting-Plattform für Entwickler. Du schiebst Container, Datenbanken und KI-Anwendungen hoch, und sie betreibt sie. Das heißt: Sie hielt designgemäß eine Kopie von fast allem, worüber du nachts wach liegen würdest: Datenbankpasswörter, Cloud-Zugangsdaten, Zahlungsdienstleister-Keys, private Schlüssel und die API-Schlüssel der KI-Anbieter, die jeden Agenten, Chatbot und Copiloten antreiben, den du dieses Jahr ausgeliefert hast.
Kunden meldeten fast sofort unautorisierte Nutzung dieser KI-Schlüssel.
Das ist keine Geschichte über eine schlechte Woche eines Unternehmens. Es ist die Geschichte einer ganzen Kategorie, die gerade schnell lernt, dass ihr wertvollster Vermögenswert eine Zeichenkette in einer Umgebungsvariablen ist.
Was Northflank tatsächlich sagte
Die Zeitleiste ist ungewöhnlich detailliert und es lohnt sich, sie genau zu lesen.
- 30. Okt, 11:43 UTC – Wiz alarmiert Northflank wegen verdächtiger Aktivität.
- 11:44 UTC – die Ingenieure prüfen sie.
- 12:50 und 13:05 UTC – weitere Patches an den Netzwerkrichtlinien.
- Kurz danach – Kunden werden aufgefordert, entschlüsselte Variablen anzunehmen und alles zu rotieren.
In seinen Incident-Updates schreibt Northflank, der Angriffsvektor sei innerhalb einer Stunde nach dem ersten Alarm eingedämmt worden, laufende Workloads seien nicht betroffen gewesen, es sei nicht auf Workload-Daten zugegriffen worden, und die Aktivität habe sich auf Secrets in der Control Plane konzentriert. Kunden mit vor Ort betriebenen oder dedizierten Control Planes waren nicht betroffen. Das Unternehmen hat außerdem CVE-2026-98432 flottenweit gepatcht, eigene Schlüssel rotiert und Access-Tokens, Sessions, VCS-Integrationen sowie Cross-Account-IAM-Rollen widerrufen, wo es im Namen der Kunden möglich war.
Was es nicht gesagt hat: wie die Angreifer hineinkamen, wie viele Kunden betroffen sind und ob neben KI-Schlüsseln noch etwas missbraucht wurde. Eine Root-Cause-Analyse ist angekündigt.
Genau in dieser Lücke lebt der Rest der Geschichte.
Neun Plattformen, ein Muster
Wiz hat die Offenlegungen des Monats unter einem bewusst düsteren Titel gesammelt: "Black October for AI Developer Platforms". Mindestens neun Plattformen meldeten im Oktober Vorfälle – Fireworks AI, Andromeda, Zeabur, Lightning AI, OpenCode, Railway, Warp, CommandCode und Northflank. Tage später wuchs die Liste um Brev (NVIDIA), Trigger.dev und Chainstack.
Die Ursachen unterscheiden sich: Railway verweist auf eine Rechteausweitung in der Build-Infrastruktur, Warp auf eine Abhängigkeit von einem Drittanbieter, OpenCode auf ein Altsystem. Fireworks, Zeabur und Lightning führen ihre Vorfälle auf Credential Access zurück.
Aber ein Detail wiederholt sich in fast jedem Bericht: Die Angreifer jagten gespeicherte Umgebungsvariablen, und zwar genau jene, die Zugriff auf KI-Modelle geben.
Die Analyse von Zeabur war so detailliert, dass das Unternehmen sein Ende ankündigte. Railway hat einen vorläufigen Bericht veröffentlicht. Bei allen anderen stehen die technischen Details noch aus, und ein großer Teil der Kommentare behandelt jeden Vorfall als isolierten schlechten Tag.
Sie sind nicht isoliert. Sie sind ein Markt.
Die Ökonomie eines gestohlenen KI-Schlüssels
Hier kommt der Teil, den die meisten Incident-Reports überspringen, und der dich beunruhigen sollte.
Ein gestohlenes Datenbankpasswort muss man vorsichtig benutzen, drinnen, wo es leise bleibt. Ein gestohlener KI-API-Schlüssel lässt sich von überall in unbegrenztem Volumen ausgeben, und der Zähler läuft auf deinen Namen.
Wiz verfolgte zwei Enterprise-Schlüssel, die aus kompromittierter Anbieter-Infrastruktur heraus verwendet wurden. Beide wurden innerhalb von 30 Minuten nach dem gemeldeten Credential Access erstmals getestet: eine einzelne Modell-Anfrage von einer Privat-IP, die in einer Minute die Schlüssel mehrerer Organisationen durchprobierte.
Dann ging der Hahn auf.
- Fall A: rund 800.000 Amazon-Bedrock-Aufrufe in dreißig Stunden, etwa 90% erfolgreich, zuerst von einer Privatadresse, dann über Nacht von einem Hosting-Anbieter.
- Fall B: rund 1,7 Millionen Bedrock-Aufrufe in dreizehn Stunden von einer einzigen Hosting-Adresse, über eine Million davon erfolgreich.
Zu Listenpreisen haben allein diese zwei Schlüssel mehr als 100.000 US-Dollar verbraucht. Das Token-Profil sah aus wie weiterverkaufter Coding-Agent-Traffic: kleine ungecachte Inputs, ein paar hundert Output-Tokens und ein langer Schwanz riesiger Prompts, wie man ihn von vielen Endnutzern hinter einem Reseller kennt.
Und damit sind wir bei der Frage, warum das weiter passiert. Wiz fand Infrastruktur, die mit offenen LLM-Wiederverkaufsbetrieben verbunden ist, die Rabattzugang zu Frontier-Modellen mit USDT-Zahlung bewerben. Ein Schlüssel, der montags gestohlen wird, kann freitags ein Produkt sein. Es gibt Nachfrage, es gibt Preise, es gibt einen Kanal. Der Diebstahl ist monetarisierbar, also geht er weiter.
Warum das für KI-Bauer schlimmer ist, als es aussieht
Drei Dinge unterscheiden diese Kategorie vom normalen Hosting-Risiko.
1. Der Blast Radius ist nicht der Server. Es sind Rechnung, Daten und Ruf. Ein gestohlener Schlüssel kann an einem Wochenende sechsstellige Beträge verbrennen, alles exfiltrieren, was deine Prompts erreichen, und Output in deinem Namen erzeugen, für den deine Marke geradestehen muss.
2. Schlüssel sind synthetische Identitäten, und die meisten Inventare zählen sie nicht. Seit zwanzig Jahren bauen wir Prozesse, um menschliche Konten zu prüfen. Ein API-Schlüssel, der Geld ausgeben und Produktionsdaten erreichen kann, lebt meist in einem Dashboard, das niemand auditiert, angelegt von einem Entwickler, der inzwischen im anderen Team sitzt.
3. Rotation ist kein Klick, sondern ein Graph. "Alle Secrets rotieren" ist eine Zeile Anweisung, die sich in Integration-Secrets, Projekt-Secrets, globale Secrets, Workloads, Webhooks, CI-Runner, Drittanbieter-Connectoren und die lokale .env jedes Teammitglieds auffächert. Die meisten Teams entdecken die wahre Form ihres Credential-Graphen während eines Incidents, zum schlechtesten möglichen Zeitpunkt.
Was diese Woche zu tun ist
Warte nicht auf die Root-Cause-Analyse eines Anbieters, von dem du noch nie gehört hast. Mach das jetzt.
- Inventarisiere jeden KI-Anbieter-Schlüssel, den du besitzt. OpenAI, Anthropic, Bedrock, Google, Cohere, auch die kleinen. Halte fest, wer ihn angelegt hat, was er erreichen kann, wer ihn bezahlt und wann er zuletzt rotiert wurde.
- Gib jedem Schlüssel eine Obergrenze. Getrennte Schlüssel pro Umgebung, pro Anwendung, pro Team. Setze harte Ausgabenlimits beim Anbieter und Alarme bei 50% des Budgets. Eine Ausreißer-Rechnung ist ein Erkennungssignal, und bei den meisten Teams ist es derzeit ausgeschaltet.
- Mach Widerruf langweilig. Ein Rotations-Runbook, das einen Tag dauert, ist ein Runbook, das nie geübt wird. Automatisiere den Tausch und teste ihn an einem Dienstagnachmittag, nicht während eines Incidents.
- Beobachte die Form der Nutzung, nicht nur das Volumen. Plötzliche Modellaufrufe in anderen Regionen, abgefragte Modellkataloge oder ein Schwall ungecachter Prompts von einem unbekannten ASN sehen sehr nach jemand anderem aus, der dein Konto benutzt.
- Behandle die Control Plane deines Hosters als Vertrauensgrenze. Was dein PaaS- oder Hosting-Anbieter hält, kann er verlieren. Frag, ob er Secrets im Klartext speichert, ob er externe Secret-Manager unterstützt und ob er deine Integrationen für dich widerrufen kann.
Die Lehre für unsere Kunden
Bei aratech bauen wir auf Managed Infrastructure, weil sie kleinen Teams erlaubt, sich wie große zu bewegen. Dieser Tausch lohnt sich weiterhin. Aber er ist nicht kostenlos, und der Oktober hat uns gerade die Rechnung geschickt.
Die Lehre ist nicht "hört auf, Plattformen zu nutzen". Sie lautet: In einem KI-nativen Stack sind deine API-Schlüssel der Perimeter. Sie sind keine Konfiguration. Sie sind das, was ein Angreifer wirklich will, sie sind billig zu stehlen, und es gibt längst einen Markt, der Preise dafür quotiert.
Die Teams, die hier gut herauskommen, können eine Frage beantworten, ohne eine Tabelle zu öffnen: Wenn unser Hosting-Anbieter mittags anriefe und sagte "geht davon aus, dass alles entschlüsselt wurde" – was genau müssten wir rotieren, und wie lange würde es dauern?
Lautet die Antwort "Stunden, und wir haben es geübt", bist du fein. Lautet sie "ich müsste drei Leute fragen", ist heute ein guter Tag, das zu ändern.