Datenleck bei Tiroler AI-Startup Localmind
Ein anonymer Sicherheitsforscher konnte sich nach eigenen Angaben Zugang zu den Systemen des österreichischen KI-Anbieters Localmind verschaffen. Über 150 Unternehmen und Behörden sind potenziell betroffen. Das Tiroler Startup rund um Ivan Dukic und Jerry Fuchs hat den Sicherheitsvorfall bereits adressiert und potenziell betroffene Kunden informiert.
Das österreichische Unternehmen Localmind bietet nach eigener Darstellung eine „lokale & sichere KI-Plattform für Unternehmen“ an, die maximale Datensicherheit und Unabhängigkeit von Cloud-Anbietern verspricht. Nun wurde bekannt, dass grundlegende Sicherheitsstandards bei der Infrastruktur des Anbieters offenbar nicht eingehalten wurden.
„Unsere bisherigen Analysen zeigen, dass der Zugriff auf eine begrenzte Anzahl von Kundensystemen erfolgte. Wir informieren alle betroffenen Kundinnen und Kunden individuell, sobald die jeweiligen Prüfprotokolle abgeschlossen sind. Es wird überprüft, ob der Zugriff tatsächlich erfolgt ist oder lediglich potenziell möglich gewesen wäre und nicht tatsächlich erfolgte“, heißt es seitens Localmind. Die die österreichische Datenschutzbehörde sei gemäß DSGVO informiert worden.
Wie der Zugriff erfolgte
Nach Angaben eines anonymen Datenforschers, der sich an mehrere Medien wandte, genügte es, sich auf einem öffentlich zugänglichen Localmind-System zu registrieren, um Admin-Rechte zu erhalten. Localmind bestätigt, dass es sich dabei um „eine extern erreichbare Beta-Testinstanz“ handelte.
Von dieser Testumgebung aus verschaffte sich der Forscher nach eigenen Angaben lesenden Zugriff auf die interne Wissensdatenbank des Unternehmens. Localmind räumt ein, dass diese Datenbank „Informationen zu unserer Infrastruktur sowie Zugangsdaten“ enthielt, die „nicht durchgehend nach heutigen Best Practices geschützt waren“. Dazu gehörten laut vorliegenden Informationen auch Klartext-Passwörter für Root-Zugänge auf Servern.
Der Sicherheitsforscher dokumentierte seinen Zugriff mit Screenshots und präsentierte verschiedene abgegriffene Daten, darunter Chats, Rechnungen, Verträge, Account-Daten und teilweise Passwörter.
Betroffene Organisationen
Die Dokumente sollen über 150 Entitäten als potenziell betroffen aufführen, berichtet heise, vornehmlich in Österreich und Deutschland. Darunter befinden sich mehrere Banken, Behörden auf kommunaler und Landesebene, Energieversorger, ein Bistum, Hotels sowie der Kreis Steinfurt.
Allerdings zeigen erste Recherchen unterschiedliche Betroffenheitsgrade. Ein kontaktiertes Unternehmen gab an, lediglich einen vierstündigen Workshop mit Test-System absolviert und dabei nur unkritische Daten verwendet zu haben. Die Landeshauptstadt Kiel erklärte, ausschließlich Test-Systeme ohne personenbezogene oder vertrauliche Daten genutzt zu haben.
Localmind betont, dass es keine Hinweise darauf gebe, dass on-premise – also bei Kunden selbst gehostete – LLM-Systeme von dem Vorfall betroffen seien. Das Tiroler Unternehmen ist angetreten, um Unternehmen eine „umfassende KI-Automatisierungslösung aus einer Hand, mit individuell anpassbaren KI-Assistenten“ anzubieten, wobei diese auch auf „eigenen KI-Servern laufen können“.
