Sicherheitsforscher decken auf:
DeepSeek-Datenbank war frei im Netz

Eine gravierende Sicherheitslücke beim chinesischen KI-Unternehmen DeepSeek sorgt für Aufsehen: Sensible Nutzerdaten und interne Informationen waren frei zugänglich. Der Vorfall zeigt, dass man mit einer großen Portion Skepsis gegenüber DeepSeek gut beraten ist.

Datenschutz-Fauxpas bei KI-Startup

Das aufstrebende chinesische KI-Unternehmen DeepSeek hat sich einen gravierenden Sicherheitsvorfall "erlaubt". Sicherheitsforscher von Wiz Research haben nämlich entdeckt, dass eine Datenbank von DeepSeek völlig ungeschützt im Internet zugänglich war. Die Experten konnten ohne jegliche Authentifizierung auf hochsensible Informationen zugreifen.

Die exponierte ClickHouse-Datenbank enthielt über eine Million Datensätze mit äußerst sensiblen Informationen. Darunter befanden sich:


Besonders brisant: Die Datenbank erlaubte sogar volle Kontrolle über Datenbankoperationen, was potenziell weitere Angriffe ermöglicht hätte.

Entdeckung der Sicherheitslücke

Wie ein Blogbeitrag von Wiz Research ausführt, entdeckten die Sicherheitsforscher die ungeschützte Datenbank innerhalb weniger Minuten bei einer Überprüfung der externen Sicherheitslage von DeepSeek. Die Datenbank war unter den Adressen oauth2callback.deepseek.com:9000 und dev.deepseek.com:9000 frei zugänglich. Über eine HTTP-Schnittstelle konnten beliebige SQL-Abfragen ausgeführt werden. Laut Wiz Research sind Pannen alles andere als ungewöhnlich, die Dimensionen machen diesen Vorfall aber zu etwas Besonderem, wie Ami Luttwak, Chief Technology Officer von Wiz, gegenüber Wired sagte.

Die Tatsache, dass Fehler passieren, ist korrekt. Aber das ist ein dramatischer Fehler, denn der Aufwand ist sehr gering und das Zugangsniveau, das wir erhalten haben, ist sehr hoch.

Luttwak folgert daraus, dass der Dienst "nicht ausgereift genug ist, um mit sensiblen Daten verwendet zu werden". DeepSeek hatte erst kürzlich mit seinem KI-Modell DeepSeek-R1 für Aufsehen gesorgt, das in puncto Leistung und Kosteneffizienz mit führenden Systemen wie OpenAIs GPT-4 konkurrieren kann. Der Erfolg des chinesischen Startups löste sogar Kurseinbrüche bei US-Tech-Aktien aus.

Wiz ieht in diesem Datenleck ein Warnsignal für die gesamte KI-Branche. Der Hacker und Wiz-Sicherheitsexperte Gal Nagli betont: "Während sich viele Diskussionen um KI-Sicherheit auf futuristische Bedrohungen konzentrieren, kommen die echten Gefahren oft von grundlegenden Risiken - wie der versehentlichen externen Exposition von Datenbanken."

Reaktion von DeepSeek

DeepSeek reagierte prompt auf die Meldung der Sicherheitsforscher und schloss die Lücke innerhalb einer Stunde. Dennoch bleibt unklar, ob in der Zwischenzeit unbefugte Dritte auf die Daten zugreifen konnten. Der Vorfall dürfte das Vertrauen in den aufstrebenden KI-Anbieter weiter angeknackst haben, denn bereits zuvor wurde bekannt, dass DeepSeek im Hinblick auf Datenschutz mit einer gehörigen Portion Vorsicht genutzt werden sollte.

Was denkt ihr über diesen Sicherheitsvorfall? Würdet ihr nach so einem Datenleck noch KI-Dienste wie DeepSeek nutzen? Teilt eure Meinungen und Erfahrungen in den Kommentaren mit uns!

Siehe auch: