Beim Laptop-Hersteller Framework ist es zu einem Datenleck gekommen. Angreifer konnten auf persönliche Informationen von Kunden zugreifen. Der Angriff erfolgte allerdings nicht direkt auf die Systeme von Framework. Ausgangspunkt war die Business-Intelligence-Plattform Metabase, die Framework zur Analyse eigener Daten nutzt.
Am 6. August 2026 bestätigte Metabase einen Angriff auf seine Cloud-Infrastruktur. Dabei wurde eine bis dahin unbekannte Zero-Day-Schwachstelle ausgenutzt. Zu den Kunden, deren Metabase-Instanz tatsächlich von den Angreifern erreicht wurde, gehörte Framework.
Welche Daten von Framework-Kunden sind betroffen?
Framework hat eigenen Angaben zufolge die von Metabase bereitgestellten Protokolle untersucht und dabei bestätigt, dass Angreifer Zugriff auf verschiedene Kategorien personenbezogener Daten hatten.
Betroffen sind demnach:
- vollständiger Name
- E-Mail-Adresse
- für Logins verwendete IP-Adressen
- Rechnungs- und Lieferanschriften
- Land, Stadt, Bundesstaat beziehungsweise Region und Postleitzahl
- Telefonnummer
- gegebenenfalls Unternehmensname
Bei Kunden von „Framework for Business” wird außerdem geprüft, ob Umsatzsteuerinformationen, EIN-Daten und separate Rechnungs-E-Mail-Adressen betroffen sein könnten.
Nach dem derzeitigen Ermittlungsstand sind Bestellinformationen und Zahlungsdaten nicht betroffen. Auch Passwörter werden von Framework nicht als kompromittiert aufgeführt.
Allerdings gibt es eine wichtige Einschränkung: Framework und Metabase sprechen davon, dass die Daten durch die Angreifer „accessed”, also abgerufen bzw. eingesehen werden konnten. Ob sämtliche betroffenen Informationen tatsächlich heruntergeladen und dauerhaft kopiert wurden, ist bislang nicht abschließend geklärt.
Kritische Zero-Day-Lücke in Metabase ausgenutzt
Hinter dem Vorfall steckt eine schwerwiegende Sicherheitslücke in Metabase. Laut dem Hersteller haben Angreifer eine zuvor unbekannte Schwachstelle in aktuellen Metabase-Versionen ausgenutzt. Nach Entdeckung des Angriffs wurden die betroffenen Schnittstellen zunächst blockiert und anschließend gepatcht.
Das zugehörige GitHub-Sicherheitsadvisory stuft die Schwachstelle mit dem maximalen CVSS-Wert von 10,0 als „Critical” ein. Besonders problematisch ist, dass für einen erfolgreichen Angriff weder ein bestehendes Benutzerkonto noch eine Interaktion des Opfers erforderlich ist.
Die Sicherheitslücke ermöglicht es einem nicht authentifizierten Angreifer technisch, eine SQL-Injection gegen die interne Metabase-Anwendungsdatenbank durchzuführen. So kann der Angreifer Administratorrechte innerhalb der Metabase-Instanz erlangen.
Von dort aus sind weitere, weitreichende Angriffe möglich. Laut Metabase können Angreifer beispielsweise die Anwendungskonfiguration verändern, gespeicherte Zugangsdaten verbundener Datenbanken auslesen und auf über diese Datenbankverbindungen erreichbare Daten zugreifen. Auch ein Export dieser Informationen wäre möglich. Metabase bestätigt ausdrücklich, dass die Schwachstelle aktiv ausgenutzt wurde.
Framework reagiert auf den Angriff
Framework wurde eigenen Angaben zufolge am 6. August um 9 Uhr US-Pazifikzeit von Metabase über den Vorfall informiert. Anschließend untersuchte das Unternehmen die bereitgestellten Protokolle und bestätigte den Zugriff auf seine Instanz.
Daraufhin hat Framework die Zugangsdaten aller mit Metabase verbundenen Datenbanken ausgetauscht. Gleichzeitig wurden die Administratorzugänge überprüft. Dabei wurden keine Hinweise darauf gefunden, dass Admin-Konten verändert wurden oder die Angreifer über Metabase hinaus weitere Framework-Systeme kompromittierten.
Metabase hat eigenen Angaben zufolge die Sicherheitslücke geschlossen, die Strafverfolgungsbehörden eingeschaltet und ein externes Forensik-Unternehmen mit weiteren Untersuchungen beauftragt.
Die Analyse ist allerdings noch nicht vollständig abgeschlossen. Framework weist deshalb darauf hin, dass sich der bisher bekannte Umfang des Vorfalls noch ändern kann.
Warum hatte Metabase überhaupt Zugriff auf diese Kundendaten?
Gleichzeitig wirft der Vorfall eine grundsätzliche Datenschutzfrage auf. Metabase ist keine klassische Kundendatenbank, sondern eine Business-Intelligence-Plattform. Sie wertet Daten aus verbundenen Datenbanken aus und bereitet sie beispielsweise für Dashboards, Berichte und Analysen auf.
Nach dem Vorfall räumt das Framework ein, überprüfen zu wollen, welche Daten zukünftig an solche BI-Systeme weitergegeben werden. Der Zugriff soll auf die für die jeweilige Analyse tatsächlich erforderlichen Spalten beschränkt werden.
Betroffene Kunden sollten mit Phishing-Versuchen rechnen
Die Tatsache, dass keine Kreditkartendaten oder Passwörter betroffen sind, macht den Vorfall weniger unmittelbar gefährlich. Die offengelegten Informationen sind dennoch nicht harmlos.
Diese Kombination aus vollständigem Namen, E-Mail-Adresse, Telefonnummer, Anschrift und weiteren persönlichen Angaben eignet sich beispielsweise sehr gut für glaubwürdig gestaltete Phishing- und Social-Engineering-Angriffe.
Kriminelle könnten sich beispielsweise als Framework, Paketdienst oder Zahlungsanbieter ausgeben und dabei echte persönliche Daten des Empfängers verwenden. Dadurch wirken betrügerische Nachrichten deutlich glaubwürdiger als herkömmliche Massen-Phishing-Mails.
Personen, die eine Benachrichtigung von Framework erhalten haben, sollten insbesondere bei unerwarteten Nachrichten zu Bestellungen, Lieferungen, angeblichen Rückerstattungen oder Zahlungsproblemen vorsichtig sein. Nach dem aktuellen Kenntnisstand gibt es dagegen keinen zwingenden Grund, wegen dieses Vorfalls sämtliche Passwörter zu ändern, da Passwörter nicht zu den von Framework als betroffen gemeldeten Daten gehören.
Auch Betreiber eigener Metabase-Instanzen müssen handeln
Der Vorfall betrifft nicht nur das Framework. Metabase fordert alle Betreiber selbst gehosteter Installationen dazu auf, ihre Systeme umgehend zu aktualisieren.
Je nach verwendetem Versionszweig stehen die abgesicherten Versionen 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 und 0.63.5 zur Verfügung. Wer nicht sofort aktualisieren kann, sollte als vorübergehende Schutzmaßnahme die Endpoint-Adresse /api/session/reset_password blockieren.
Nach einem potenziellen Angriff empfiehlt Metabase außerdem, aktive Sessions zu widerrufen, API-Schlüssel und Administratorenkonten zu kontrollieren sowie die Zugangsdaten verbundener Datenbanken auszutauschen. Darüber hinaus sollten sowohl die Datenbank- als auch die Metabase-Logs auf verdächtige Aktivitäten geprüft werden.
Nicht das erste Datenleck über einen Framework-Dienstleister
Für Framework ist es nicht der erste Sicherheitsvorfall, bei dem ein externer Partner eine Rolle spielt. Bereits Anfang 2024 waren Kundendaten betroffen, nachdem ein Mitarbeiter des damaligen Buchhaltungsdienstleisters Keating Consulting Opfer einer Phishing-Attacke geworden war.
Ein Angreifer gab sich damals als Framework-CEO aus und erhielt so eine Tabelle mit Namen, E-Mail-Adressen sowie Informationen zu offenen Forderungen bzw. Bestellungen.
Der aktuelle Vorfall hat eine technisch völlig andere Ursache. Er zeigt jedoch erneut, dass die Sicherheit von Kundendaten nicht an der Grenze der eigenen Infrastruktur endet. Jeder externe Dienstleister, der Zugriff auf personenbezogene Daten erhält, erweitert die Angriffsfläche.