Firebase: Millionen Nutzerdaten erneut ungeschützt im Netz
Das System des Versagens
Hunderte populäre Apps lecken sensible Nutzerdaten durch falsch konfigurierte Google Firebase-Dienste. Eine neue Sicherheitswarnung diese Woche offenbart das Ausmaß eines anhaltenden Problems: Entwickler lassen Cloud-Datenbanken schutzlos offen – und gefährden damit persönliche und finanzielle Informationen von Millionen Nutzern.
Am 16. September veröffentlichte Recherchen zeigten, dass rund 150 Firebase-Endpunkte in beliebten Apps ohne jede Authentifizierung zugänglich waren. Die preisgegeben Daten reichen von Nutzerdaten und privaten Nachrichten bis zu hochsensiblen API-Tokens. Kein Einzelfall – sondern Teil eines alarmierenden Trends der Entwickler-Nachlässigkeit.
Der Kern des Problems liegt nicht bei Google Firebase selbst, sondern bei dessen Konfiguration durch App-Entwickler. Firebase funktioniert nach dem Prinzip geteilter Verantwortung: Google sichert die Infrastruktur, Entwickler müssen jedoch selbst Sicherheitsregeln implementieren.
Versagen sie dabei, werden Datenbanken öffentlich les- und schreibbar. Angreifer können dann mit simplen URL-Befehlen komplette Datensätze im JSON-Format herunterladen – ohne Passwort oder Authentifizierung. So simpel ist diese Schwachstelle, dass automatisierte Tools mittlerweile millionenfach Datensätze aus offenen Instanzen abernten.
Anzeige: Apropos Datenlecks in mobilen Apps: Schützen Sie Ihr Android-Smartphone jetzt mit den 5 wichtigsten Maßnahmen. Ein kostenloser Ratgeber führt Sie Schritt für Schritt durch sichere Einstellungen für WhatsApp, Online‑Banking und Shopping – ohne teure Zusatz‑Apps. So machen Sie Ihr Gerät in wenigen Minuten spürbar sicherer. Jetzt kostenloses Android‑Sicherheitspaket anfordern
125 Millionen kompromittierte Datensätze
Die aktuellen Enthüllungen reihen sich in eine Serie dramatischer Datenlecks ein. Im März deckten Sicherheitsforscher einen der größten Fälle auf: Über 900 Websites mit falsch konfigurierten Firebase-Instanzen legten mehr als 125 Millionen Nutzerdatensätze offen.
Die Bilanz ist erschreckend:
– 84 Millionen Namen
– 106 Millionen E-Mail-Adressen
– 33 Millionen Telefonnummern
– Über 20 Millionen Passwörter – größtenteils unverschlüsselt
Besonders brisant: Ein Lernmanagementsystem mit 27 Millionen Nutzerdaten und ein Business-Tool mit 22 Millionen Datensätzen waren betroffen. Von 842 benachrichtigten Websites reagierte nur etwa ein Viertel und schloss die Sicherheitslücke.
1,8 Millionen weitere Opfer
Im Mai folgte der nächste Paukenschlag: Ein separates Datenleck betraf über 1,8 Millionen Nutzer in mehr als 900 mobilen Apps. Preisgegeben wurden Nutzernamen, E-Mail-Adressen, Rechnungsdaten und – besonders fatal – unverschlüsselte Passwörter.
Cybersicherheitsexperten sprechen von „vermeidbaren Katastrophen“. Nicht ausgeklügelte Hacker-Angriffe sind das Problem, sondern grundlegende Nachlässigkeit. Klartext-Passwörter in offenen Cloud-Datenbanken zu speichern sei „rücksichtslose Praxis“.
Ein Problem seit Jahren
Firebase-Datenlecks sind kein neues Phänomen. Bereits 2018 fand die Sicherheitsfirma Appthority über 3.000 mobile Apps, die 113 Gigabyte Daten aus 2.300 ungesicherten Firebase-Datenbanken preisgaben. Über 100 Millionen Datensätze aus Apps mit mehr als 620 Millionen Android-Downloads waren betroffen.
2021 bestätigte eine Avast-Untersuchung das Ausmaß: Mehr als 10 Prozent von 180.000 getesteten Firebase-Datenbanken standen offen. Trotz jahrelanger Warnungen ignorieren viele Entwickler fundamentale Sicherheitsmaßnahmen.
Die Folgen für Nutzer sind verheerend. Chat-Verläufe, Standortdaten, Finanzinformationen – all das wird zur Goldgrube für Kriminelle. Identitätsdiebstahl, Phishing-Kampagnen und Credential-Stuffing-Angriffe sind die Konsequenz.
Anzeige: Für alle, die ihre privaten Nachrichten, Kontakte und Konten besser absichern wollen: Der Gratis‑Leitfaden „5 Schutzmaßnahmen für Ihr Android‑Smartphone“ zeigt praxistaugliche Schritte gegen Datenklau, Schadsoftware und Phishing. Mit Checklisten und klaren Anleitungen – ideal für den Alltag. Kostenlosen Sicherheits‑Guide per E‑Mail sichern
Sicherheit als Nachgedanke
Experten fordern einen grundlegenden Wandel: Entwickler müssen „Security-by-Default“ vom ersten Tag an mitdenken. Schlüsselmaßnahmen sind Nutzerauthentifizierung für jeden Datenbankzugriff, minimale Zugriffsrechte und regelmäßige Sicherheitsaudits.
Google versucht zu helfen: E-Mail-Warnungen bei unsicheren Setups, automatisches Ablaufen von Test-Konfigurationen nach 30 Tagen. Tools wie der Firestore Rules Simulator sollen Entwicklern beim Testen helfen.
Doch die Verantwortung liegt bei den App-Entwicklern. Solange Sicherheit als optionales Extra behandelt wird, werden Millionen weitere Nutzer in einer zunehmend vernetzten Welt verwundbar bleiben.
