Zeabur stellt Betrieb nach zwei Datenlecks ein

Die in Taiwan gegründete Entwicklerplattform Zeabur stellt ihren Betrieb ein. Ab dem 1. Dezember 2026 sollen erste Dienste abgeschaltet werden, bis zum 31. Dezember alle Dedicated Server und Shared Cluster. Zeabur ist bei Entwicklern beliebt, die Anwendungen mit KI-Unterstützung erstellen und bereitstellen, beim sogenannten Vibe Coding. Grund für die Schließung ist ein zweiter Sicherheitsvorfall innerhalb von zwei Monaten.

„Am 14. und 15. Oktober 2026 nutzte ein Angreifer geleakte interne Zugangsdaten von Zeabur, um in den Shared Cluster, einige Dedicated Server und interne Systeme von Zeabur einzudringen und schließlich die Plattformdatenbank zu lesen.”
Zeabur

3,2 Millionen Umgebungsvariablen

Der Angreifer las rund 3,2 Millionen Datensätze mit Umgebungsvariablen und Daten von 321.810 Konten. In Umgebungsvariablen speichern Entwickler häufig Zugangsdaten zu Datenbanken, API-Schlüssel und andere Secrets. Betroffen waren Shared Cluster in neun Regionen. Zudem meldete sich der Angreifer mit Root-Rechten auf 101 Servern in der Google Cloud an, die Zeabur für Kunden verwaltet. Er hinterlegte eigene SSH-Schlüssel und band Kopien von Kundenfestplatten an eigene virtuelle Maschinen an. Zeabur hat diese Kopien nach eigenen Angaben inzwischen gelöscht.

Zugangsdaten nicht ausgetauscht

Laut Zeabur stammten die verwendeten Zugangsdaten vermutlich aus einem früheren Vorfall im August 2026. Interne AWS-Schlüssel, Tokens für die Cluster-Verwaltung und Schlüssel für die Google Cloud lagen im Klartext in einem Konfigurations-Repository. Zeabur hatte nach dem ersten Vorfall zwar einen Schlüssel ausgetauscht, die Zugangsdaten im Repository aber nicht geändert. Administrator-Tokens waren seit Januar 2024 unverändert, die Verwaltungsoberfläche des Clusters war aus dem Internet erreichbar.

Zeabur begründet die Schließung zudem damit, dass das Wachstum der vergangenen dreieinhalb Jahre den Betrieb zunehmend komplex und schwer beherrschbar gemacht habe. Die Sicherheitsvorfälle hätten diese Probleme offengelegt. Einen Termin für die Löschung von Kundendaten oder eine Frist für den Export hat das Unternehmen nicht genannt.

Alle Secrets austauschen

Sicherheitsfachleute raten Nutzern, sämtliche Zugangsdaten auszutauschen, die jemals in Umgebungsvariablen bei Zeabur gespeichert waren, auch solche, die bereits nach dem Vorfall im August geändert wurden. Kunden müssen zudem bis Ende des Jahres zu einem anderen Anbieter wechseln. In derselben Woche hatte auch die Hosting-Plattform Railway einen Diebstahl geheimer Schlüssel von Kunden gemeldet.

(red)