![\"Sicherheit](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" "\\"Sicherheit")
Aufregung um die schwedische Vibe-Coding Plattform Lovable, denen ein Datenschutzvorfall vorgeworfen wird. Ein Benutzer hatte sich ein neues Konto bei der Plattform zugelegt und staunte nicht schlecht, als er auf Daten anderer Benutzer zugreifen konnte. Lovable bestreitet aber nach meinen Information einen Datenschutzvorfall.<\/p>\n
<\/p>\n
Das Konzept von Lovable basiert auf einer auf KI basierenden Vibe Coding Plattform. Mit Lovable AI sollen sich, so der Anbieter, leistungsstarke KI-Funktionen ganz einfach und schnell in ein App integrieren lassen. So sollen Entwickler sofort damit beginnen k\u00f6nnen, intelligentere und ansprechendere Apps zu entwickeln.<\/p>\n Mir ist die Tage nachfolgender Tweet<\/a> untergekommen, der Lovable ein Datenschutzproblem mit seinem KI-App-Baukasten vorgeworfen wird. Millionen von Nutzern seien von einer massiven Datenpanne betroffen, die alle Projekte betrifft, die vor dem Patch im November 2025 erstellt wurden.<\/p>\n Das Problem: Jedes kostenlose Konto bei Lovable kann \u00fcber f\u00fcnf nicht authentifizierte API-Aufrufe auf den Quellcode anderer Nutzer, Datenbank-Zugangsdaten, KI-Chat-Verl\u00e4ufe und echte Kundendaten zugreifen. Der Fehler sei vor 48 Tagen auf HackerOne gemeldet worden, hei\u00dft es und sei nach wie vor offen.<\/p>\n Die Sicherheitsl\u00fccke betrifft laut Tweet die Autorisierung auf Objektebene. Die API von Lovable \u00fcberpr\u00fcfe zwar Firebase-Authentifizierungstoken, kontrolliere jedoch nicht, ob der anfragende Nutzer tats\u00e4chlich Eigent\u00fcmer des Projekts ist. Jeder authentifizierte Nutzer kann jedes beliebige Projekt abfragen.<\/p>\n Der Nutzer mit dem X-Handle @weezerOsint hat ein kostenloses Konto erstellt und auf den vollst\u00e4ndigen Quellcode-Baum eines anderen Nutzers zugreifen k\u00f6nnen. Dies habe auch ein Admin-Panel von \"Connected Women in AI<\/em>\" umfasst. Dieses wurde von einer d\u00e4nischen, gemeinn\u00fctzige Organisation, erstellt. Das Projekt sei zuletzt vor 10 Tagen bearbeitet worden und verzeichnete in 2026 insgesamt 3.703 Bearbeitungen hei\u00dft es. Es handelt sich also um ein aktives Projekt.<\/p>\n Der Quellcode habe fest codierte Supabase-Anmeldedaten (SUPABASE_URL, SUPABASE_PUBLISHABLE_KEY, SUPABASE_SERVICE_ROLE_KEY) enthalten. Der fremde Entwickler konnte anhand dieser Daten eine Abfrage in der Datenbank durchf\u00fchren und erhielt echte Namen, echte Unternehmensinformationen und echte LinkedIn-Profile als Ergebnis. Darunter waren auch Referenten von Accenture D\u00e4nemark und der Copenhagen Business School, also keine eine Testdaten, hei\u00dft es im Tweet.<\/p>\n Zu den betroffenen Endpunkten geh\u00f6ren \/projects\/{id}\/*, \/git\/files, \/git\/file und \/documents. Bei Projekten, die vor dem Patch erstellt wurden, geben alle den Status 200 OK zur\u00fcck.<\/p>\n Jede KI-Konversation wird gespeichert und ist \u00fcber denselben Fehlerzugang einsehbar. Entwickler besprechen Datenbankschemata, f\u00fcgen Fehlerprotokolle ein, geben Zugangsdaten weiter und gehen mit der KI die Gesch\u00e4ftslogik durch. All dies sei lesbar, hei\u00dft es im Tweet. Mitarbeiter von Nvidia, Microsoft, Uber und Spotify haben alle Lovable-Konten. Die Sicherheitsl\u00fccke beschr\u00e4nkt sich nicht auf Hobbyprojekte.<\/p>\n Lovable hat neue Projekte laut Tweet gepatcht, bestehende Projekte jedoch ungesch\u00fctzt gelassen. Ein im April 2026 erstelltes Projekt gibt 403 Forbidden zur\u00fcck. Das \u00e4ltere Projekt desselben Entwicklers \u2013 gleiche API, gleicher Endpunkt, gleiches kostenloses Konto, gleiche Sitzung \u2013 gibt 200 OK mit dem vollst\u00e4ndigen Quellcode-Baum zur\u00fcck.<\/p>\n Der erste HackerOne-Bericht (#3583821) sei am 3. M\u00e4rz 2026 eingereicht worden. Lovable habe diesen gepr\u00fcft, Eigentumspr\u00fcfungen f\u00fcr neue Projekte eingef\u00fchrt und alle bestehenden Projekte weit offen gelassen.<\/p>\n In nachfolgendem Tweet<\/a> auf X bestreitet Lovable einen Datenschutzvorfall auf seiner Plattform. Man sei auf Bedenken hinsichtlich der Sichtbarkeit von Chat-Nachrichten und Code in Lovable-Projekten mit \u00f6ffentlichen Sichtbarkeitseinstellungen aufmerksam gemacht worden. \"Um es klar zu sagen: Es gab keinen Datenleck.\" hei\u00dft es, lediglich die\u00a0Dokumentation dar\u00fcber, was \"\u00f6ffentlich\" bedeutet, sei unklar gewesen, was als Vers\u00e4umnis einger\u00e4umt wurde.<\/p>\n Insbesondere bei \u00f6ffentlichen Projekten seien Chat-Nachrichten fr\u00fcher sichtbar gewesen, das sei nun nicht mehr m\u00f6glich.\u00a0Was den Code \u00f6ffentlicher Projekte betrifft: Dies sei beabsichtigt. Lovable habe mit verschiedenen Benutzeroberfl\u00e4chen experimentiert, um die Build-Historie in \u00f6ffentlichen Projekten darzustellen, aber das Kernverhalten sei konsistent und beabsichtigt.\u00a0Wichtig f\u00fcr Unternehmenskunden sei, dass die M\u00f6glichkeit, die Sichtbarkeit f\u00fcr neue Projekte auf \"\u00f6ffentlich\" zu setzen, seit dem 25. Mai 2025 deaktiviert ist.<\/p>\n In einem zweiten Statement auf X<\/a> musste Lovable aber zur\u00fcck rudern. Das Problem seien \u00f6ffentliche Projekte, und Benutzer, die nicht wissen, was das sei. Die \u00f6ffentlichen Projekte wurden eingerichtet, damit die Leute st\u00f6bern und sehen k\u00f6nnten, was m\u00f6glich ist. Wenn man ein Projekt auf GitHub erstellt, kann man es privat oder \u00f6ffentlich machen. Bei Lovable sei dies genau so – was aber den Benutzern wohl nicht klar war. Uns so kommt es, dass eine Menge \"Vibe-Coding-Projekte\" (wo die Nutzer keine Ahnung haben, was sie eigentlich treiben), mit allen privaten Daten, Zugangsdaten etc. \u00f6ffentlich einsehbar sind – was soll schon gro\u00df passieren, wenn alle Welt Vibe-Coding betreibt – ist ja schlie\u00dflich cool und kann jeder probieren.<\/p>\n Mit der Zeit wurde den Betreibern von Lovable aber klar, dass dies verwirrend war und was sie angerichtet hatten. Laut Tweet dachten viele Nutzer, dass \"\u00f6ffentlich\" lediglich bedeute, dass andere ihre ver\u00f6ffentlichte App sehen k\u00f6nnten, nicht aber den Chat eines unver\u00f6ffentlichten Projekts. Hinzu kommt das Eingest\u00e4ndnis, dass Nutzer in der kostenlosen Stufe urspr\u00fcnglich keine privaten Projekte erstellen konnten. Dazu mussten sie auf einen kostenpflichtigen Tarif upgraden.<\/p>\n Im Mai 2025 wurde dies ge\u00e4ndert und Nutzer der kostenlosen Stufe konnten ihre Projekte nun privat machen. F\u00fcr Unternehmenskunden wurde die Einstellung f\u00fcr die \u00f6ffentliche Sichtbarkeit komplett deaktiviert. Und im Dezember 2025 stellten die Betreiber die Projektsichtbarkeit in allen Tarifen standardm\u00e4\u00dfig auf \"privat\" um.\u00a0Au\u00dferdem wurde die API r\u00fcckwirkend angepasst, sodass auf Chats \u00f6ffentlicher Projekte unter keinen Umst\u00e4nden mehr zugegriffen werden konnte. Leider haben die Betreiber im Februar 2026 bei der Vereinheitlichung der Berechtigungen im Backend versehentlich den Zugriff wieder aktiviert. Also: Works as designed und we are sorry, dass wir offen wie ein Scheunentor waren, wer ist auch so naiv, da seine privaten Sachen rein zu nageln … das komplette Statement ist nachfolgend zu lesen.<\/p>\n We're sorry our initial statement didn't properly address our mistake. Here's what a public project on Lovable means, and how we got to where we are today: In the early days, people didn't know what Lovable was capable of. So we wanted to make it easy to explore what others were building, as a way to spark ideas and lower the barrier to getting started. Like scrolling GitHub or Dribbble: you browse projects to see what's possible, then go build your own. When you create a project on GitHub, you can make it private or public. Lovable worked the same. Users had a \"Public\" or \"Private\" option right in the chatbox. A public project meant the entire project was public, both chat and code. \"Just like a public project on GitHub,\" we thought. Over time, we realized this was confusing. Many users thought \"public\" just meant others could see their published app, not the chat of an unpublished project. That's reasonable. On the free tier, users originally couldn't create private projects. They had to upgrade to a paid plan to do so. In May 2025, we changed this: users on the free tier could choose to make their projects private. For enterprise customers, the public visibility setting was disabled altogether. And in December 2025, we switched to private by default across all tiers. We also retroactively patched our API so public project chats couldn't be accessed, no matter what. Unfortunately, in February, while unifying permissions in our backend, we accidentally re-enabled access to chats on public projects. This was reported through our vulnerability disclosure program (via HackerOne). Unfortunately, the reports were closed without escalation because our HackerOne partners thought that seeing public projects' chats was the intended behaviour. Upon learning this, we immediately reverted the change to make all public projects' chats private again. We appreciate the researchers who uncovered this. We understand that pointing to documentation issues alone was not enough here. We'll do better.<\/p><\/blockquote>\n Erg\u00e4nzung: The Register hat den Sachverhalt ebenfalls in diesem Artikel<\/a> aufgegriffen.<\/p>\n","protected":false},"excerpt":{"rendered":" Aufregung um die schwedische Vibe-Coding Plattform Lovable, denen ein Datenschutzvorfall vorgeworfen wird. Ein Benutzer hatte sich ein neues Konto bei der Plattform zugelegt und staunte nicht schlecht, als er auf Daten anderer Benutzer zugreifen konnte. Lovable bestreitet aber nach meinen … Weiterlesen Lovable<\/a> ist ein schwedisches Startup\u00a0im Bereich k\u00fcnstliche Intelligenz, das die Softwareentwicklung optimiert. Es ist Europas neuestes Einhorn, ich habe Bewertungen von 1,8 Milliarden US-Dollar gesehen.<\/p>\n
![\"Lovable](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/04\/Lovable.jpg\")
<\/a><\/p>\nEine Meldung \u00fcber einen Sicherheitsvorfall<\/h2>\n
![\"Lovable](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/04\/Lovable01.jpg\")
<\/a><\/p>\nDas sagt Lovable dazu<\/h2>\n
![\"Lovable](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/04\/Lovable02.jpg\")
<\/a><\/p>\n