Der KI-Protokollant in Ihren Besprechungen hatte kein Schloss an der Tür: 181.874 Meetings von 84.312 Nutzern waren für jeden mit Konto lesbar

Ein Sicherheitsforscher veröffentlichte am Montag eine Offenlegung, wonach tl;dv, ein KI-Besprechungsrekorder mit mehr als zwei Millionen Nutzern, seine Datenbank für jeden angemeldeten Kunden offen ließ. Der Fehler war eine fehlende Firestore-Sicherheitsregel: Beim Anmelden gab tl;dv einem ein Firebase-Token, mit dem sich die gesamte Sammlung «meetings» auflisten ließ, ohne jede Trennung zwischen den Daten verschiedener Unternehmen. Der Forscher zählte 181.874 Besprechungsdatensätze zu 84.312 eindeutigen Nutzern über 35.003 E-Mail-Domänen hinweg, darunter Regierungsbesprechungen aus 23 Ländern sowie zahlreiche Schulen und Hochschulen. Das meiste Offengelegte waren Metadaten — E-Mail-Adressen der Ersteller, Zeitstempel, Aufnahmestatus —, es umfasste aber auch Konferenz-IDs, was für rund tausend Gespräche, die gerade liefen, bedeutete, dass Außenstehende schlicht beitreten konnten. Über tausend Besprechungen hatten vollständig öffentliches Video und Transkript. Eine separate interne WM-Tippanwendung besaß gar keine Authentifizierung und legte 43 Teilnehmer offen, davon 19 namentlich genannte Mitarbeitende. Am schlimmsten ist der zeitliche Ablauf: Der Forscher meldete es am 28. Januar 2026 dem Geschäftsführer und dem Technikchef von tl;dv, hakte bis in den März hinein mehrfach nach, und sechs Monate später stand das Loch immer noch offen. Der Technikchef des Unternehmens antwortete nie.

✓ Verifiziert · 3 Quellen

Verwandte Meldungen