KI-Notiztool tl;dv: 181.874 Meetings in einer ungeschützten Datenbank

Дата публикации: 10-08-2026 16:59:57

Beim KI-Notiztool tl;dv lagen 181.874 Meeting-Datensätze in einer Datenbank, die jedes kostenlose Konto abfragen konnte. Zu jedem Eintrag gehörte die Konferenz-ID, also der Beitrittslink...

Основное содержимое страницы с новостью.

Beim KI-Notiztool tl;dv lagen 181.874 Meeting-Datensätze in einer Datenbank, die jedes kostenlose Konto abfragen konnte. Zu jedem Eintrag gehörte die Konferenz-ID, also der Beitrittslink in den laufenden Google-Meet- oder Teams-Raum. Hinter dem Dienst steht eine GmbH aus Aachen. Für die Aufarbeitung gilt damit deutsches Datenschutzrecht.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Rund 1.000 Meetings standen im Verzeichnis des KI-Notiztools jederzeit auf „recording“, jedes mit gültiger Konferenz-ID. Der Sicherheitsforscher bobdahacker schildert, wie er darüber in zwei laufende Videokonferenzen gelangte, darunter eine Schulung des malaysischen Bildungsministeriums.^[1] tl;dv widerspricht dieser Darstellung teilweise und erklärt die Lücke für geschlossen.^[2]

Das Wichtigste in Kürze

• Eine fehlende Zugriffsregel in der Firestore-Datenbank öffnete jedem angemeldeten Konto die Meeting-Sammlung aller Kunden.
• Jeder Datensatz enthielt die Konferenz-ID, über die sich ein laufender Google-Meet- oder Teams-Raum betreten lässt.
• Anbieter ist die tldx Solutions GmbH in Aachen, zuständig ist damit die Aufsicht in Nordrhein-Westfalen.

Wie kommt ein Fremder in eine laufende Videokonferenz? App tauscht Anmeldedaten gegen Firebase-Token und fragt Firestore-Datenbank ab. Sicherheitsregeln für Meetings fehlte Zugriffsbeschränkung

Eine fehlende Regel genügte. Nach der Anmeldung tauscht die Anwendung ihr Zugangstoken gegen ein Firebase-Token und fragt damit die Firestore-Datenbank direkt ab. Für Konten, Transkripte und Aufzeichnungen wiesen die Regeln jedes fremde Konto ab, für die Sammlung der Meetings fehlte genau diese Trennung.

Konferenz-ID heißt der entscheidende Eintrag. Jeder Datensatz nannte die E-Mail-Adresse des Erstellers, den Anbieter, den Aufnahmestatus, Zeitstempel und jene Kennung, über die sich ein Meet- oder Teams-Raum betreten lässt. Eine solche Kennung beschreibt das Meeting nicht, sie öffnet die Tür dorthin.

Die Fehlerklasse kehrt regelmäßig wieder. Bei Backend-as-a-Service-Architekturen spricht die Anwendung im Browser direkt mit der Datenbank, die Rechteprüfung steckt allein in deklarativen Regeln auf dem Server. Fehlt dort ein Eintrag, entfällt die Mandantentrennung vollständig, ohne dass im Programmcode ein Fehler sichtbar wird. Denselben Bautyp zeigte zuletzt die Lücke in IBMs KI-Baukasten Langflow.

Wie weit reichte der Zugriff wirklich?

Regierungsdomains aus 23 Ländern standen in der Sammlung, dazu Universitäten wie Berkeley und die Universität Tokio.^[1] Erneut traf der Zugriff eine Nebenschicht, ganz wie beim Datenabfluss über die Analyse-Plattform Metabase.

tl;dv widerspricht der Deutung. CTO Allan Bettarel erklärte am 5. August 2026, erreichbar gewesen seien ausschließlich Metadaten. Aufzeichnungen, Transkripte, KI-Notizen und Abrechnungsdaten hätten in diesem Teil der Infrastruktur gar nicht gelegen, Transkripte seien nur über zuvor bewusst öffentlich geteilte Meeting-IDs erreichbar gewesen.^[2]

Sechs Monate trennen die erste Meldung vom 28. Januar 2026 und den Bericht. Bettarel nennt zwei getrennte Angriffswege statt einer offen gebliebenen Lücke: Den ersten habe der Prüfdienstleister Abicom als behoben bestätigt, den zweiten habe sein Team binnen 24 Stunden geschlossen. Ein Versäumnis räumt der CTO ein: Den Forscher habe er danach nicht mehr informiert.^[2]

Sechs Monate zwischen Hinweis und Antwort sind bei tl;dv das eigentliche Ereignis, nicht die fehlende Datenbankregel. Eine Meldekette, die an einer LinkedIn-Nachricht hängt, reicht für 84.312 Nutzerkonten nicht aus.

— Michael Dobler, Herausgeber Dr. Web

Was müssen deutsche Anwender jetzt tun?

Aachen nennt das Impressum als Sitz: Hinter tl;dv steht die tldx Solutions GmbH, eingetragen beim Amtsgericht Aachen unter HRB 23730.^[3] Zuständig ist damit die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. Als Auftragsverarbeiter muss der Anbieter jede Verletzung des Schutzes personenbezogener Daten nach Artikel 33 Absatz 2 der Datenschutz-Grundverordnung unverzüglich an seine Kunden melden.

Verantwortlich bleibt jedoch das anwendende Unternehmen. Ab eigener Kenntnis bleiben 72 Stunden für die Anzeige bei der Aufsichtsbehörde, bei hohem Risiko kommt die Benachrichtigung der Betroffenen nach Artikel 34 hinzu. Personalgespräche wiegen dabei am schwersten: tl;dv wirbt mit Coaching-Auswertungen und Leistungs-Scorecards für Vertriebsteams, weshalb der Betriebsrat nach Paragraf 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz mitbestimmt. Bei Bewerbungsgesprächen greift zusätzlich Paragraf 26 Bundesdatenschutzgesetz.

Nur 24 Prozent der gewarnten Betreiber handeln. Das Team von env.fail fand rund 900 Websites mit falsch konfigurierten Firebase-Instanzen und 124,6 Millionen offenliegenden Datensätzen.^[4] Die tl;dv-Lücke beschreibt damit den Normalfall dieser Architektur, keinen Ausreißer. Alternativen setzen dort an: Granola verzichtet auf den Meeting-Bot, Trace hält die Mitschrift auf dem eigenen Rechner. Cybersecurity bleibt Chefsache: Prüfen Sie bei jedem KI-Werkzeug zuerst, welche fremden Konten die dort liegenden Daten abfragen können.

Quellen

[1] bobdahacker: „tl;dv (Too Lazy; Didn’t Validate): 181,874 Meetings Left Wide Open“

[2] tl;dv, Allan Bettarel: „Our thoughts on the darkreading.com article“

[3] tldx Solutions GmbH: Impressum nach Paragraf 5 TMG

[4] env.fail: „900 Sites, 125 million accounts, 1 vulnerability“

Mehr Newshunger?

• Metabase-Sicherheitslücke: Angreifer stehlen Kundendaten über die Analyse-Plattform
• Langflow-Lücke: IBMs KI-Baukasten vergibt Superuser-Token an jeden Aufrufer
• Atlassian Rovo: Eine versteckte Anweisung genügt für den Datenabfluss aus Jira und Confluence
• Granola: Der KI-Notizblock ohne Meeting-Bot und sein Rechtsproblem in Deutschland
• CSS-Keylogger im Postfach: Wie eine E-Mail Passwörter mitschreibt
• Fastmail eröffnet eine EU-Datenregion in Amsterdam

Схожие новости

#	Наименование новости	Тональность	Информативность	Дата публикации
1	Как мы сократили объем данных в 10 раз, не повредив пользовательскому опыту, или переезд Postgres → ClickHouse	0	9.09	25-01-2026
2	Нейропоисковик на 17 миллионов картинок: OpenCLIP, Qdrant и ZeroTier вместо облаков	0	12.45	01-01-2026
3	Госдеп раскрыл, сколько иностранцев лишились виз за время второго срока Трампа	0	15.26	10-08-2026
4	Мечтают ли папки с заметками об отдельном бэкенде? От ресерча к MVP	0	11.04	21-03-2026
5	Извлечение и обработка требований из документов с помощью NLP-инструментов	0	7.9	15-05-2026
6	KI-Update kompakt: KI-Investitionen, Forschungssoftware, iCloud+, GEMA vs. Suno	0	28.03	03-08-2026
7	KI-Update kompakt: KI-Kennzeichnungspflicht, Nudifyer, AlphaFold, Granola	0	29.91	31-07-2026
8	Более 100 тыс. школьников Москвы записались на онлайн-диагностику знаний с середины марта	0	0	09-06-2020
9	Нотариат сообщил о росте количества заложенных машин	0	8.34	23-07-2026

Классификация: Общество. Схожих патентов: 0. Схожих новостей: 9. Тональность: 0. Информативность: 20.75. Источник: www.drweb.de.