Supabase ist 10 Milliarden Dollar wert – Forscher zählen 16.326 gehostete Datenbanken, offen für jeden

Sechzehntausend Türen, ein Vermieter

Auf den Philippinen lief eine SIM-Karten-Farm zum Abfangen von Einmalpasswörtern auf einer Supabase-Datenbank, die jeder abfragen konnte. Sie enthielt mehr als 100.000 SMS, 95 Prozent davon Einmalpasswörter, dazu ein paar tausend ganz normale Chats zwischen Fahrern und Fahrgästen eines Fahrdienstes, die mit der Masche nichts zu tun hatten ². Dieses Projekt gehört zu den 16.326 von Supabase gehosteten Datenbanken, in denen UpGuard im öffentlichen Web lesbare Tabellen fand; das Unternehmen nennt die Untersuchung die größte ihrer Art↗ ^{1 2}.

Mit der Runde kamen die Lecks

Die Zählung erschien drei Monate, nachdem Supabase eine Series-F-Runde über 500 Millionen Dollar↗ zu einer Pre-Money-Bewertung von 10 Milliarden Dollar abgeschlossen hatte, angeführt von GIC ^{3 4}. Der Motor der Runde und der Motor des Lecks sind ein und dieselbe Maschine: Die Zahl der Datenbank-Starts stieg binnen eines Jahres um 600 Prozent, und mehr als 60 Prozent der neuen Datenbanken werden von irgendeinem KI-Tool gestartet ³. Inzwischen bauen fast 10 Millionen Entwickler auf der Plattform ³.

„Secure by default“ – die Rechnung geht an andere

Sicherheitschef Bil Harmer sagt, Projekte bei Supabase seien „secure by default“, und die Kunden kontrollierten, wie ihre eigenen Projekte konfiguriert seien ¹. Die Sicherheitsseite↗ des Unternehmens vertritt dieselbe Linie: Supabase sichert die Infrastruktur, die Kunden sichern die Row-Level-Security-Richtlinien, die API-Schlüssel und die Zugriffskontrollen ⁵. Der Haken steckt in der eigenen Dokumentation↗ von Supabase: Dort heißt es, eine Tabelle ohne RLS sei „von jeder Rolle mit einer Berechtigung lesbar und schreibbar“, und neue öffentliche Tabellen in bestehenden Projekten starteten mit sämtlichen Privilegien für alle drei Rollen, einschließlich der anonymen ⁶. Laut der Studie gilt der RLS-Standard für Tabellen, die im Table Editor angelegt werden, nicht aber für Tabellen, die über die API erzeugt werden – und genau so legen Coding-Agenten sie an ². Die Bewertung bepreist das Tempo; nichts in den Unterlagen bepreist die Lecks.

Was in den Tabellen stand

Mehr als die Hälfte der offengelegten Datenbanken wies Anzeichen personenbezogener Daten auf: Namen, Adressen und Telefonnummern, dazu in geringerer Zahl Passwörter und Authentifizierungstokens ^{1 2}. Ein Valet-Parkservice in den USA legte die Kennzeichen von rund 78.000 Kunden offen; ein Coach für Migranten auf dem Weg nach Kanada hinterließ unter knapp 5.000 Datensätzen 884 Passwörter im Klartext; die Datenbank eines afrikanischen Konsulats enthielt 25.000 Personen, mit einem Feld für den jeweiligen Unterbringungsort ². Frühere, kleinere Scans fanden stets dasselbe – in stetig wachsendem Maßstab ².

Zwei Lager, eine offene Rechnung

Supabase kann zu Recht einwenden, dass es fehlkonfigurierte Datenbanken schon vor der KI gab, dass das Unternehmen betroffene Kunden informiert, sobald Probleme auftauchen, und dass sein Sicherheitskonzept nach SOC 2, HIPAA und ISO 27001 zertifiziert ist ^{1 5}. UpGuard hat die Betreiber der Anwendungen informiert; die Menschen in den Tabellen bleiben außen vor, und keine Zahl in den Unterlagen bepreist, was ihnen die Offenlegung ihrer Daten kostet ². Die Rechnung, die UpGuard selbst aufmacht, rahmt das Risiko ein: Lecks sind das Produkt aus der leichten Fehlkonfigurierbarkeit einer Technologie und der Größe ihrer Nutzerbasis ². Behalten Sie den nächsten Scan im Auge, denn er entscheidet, ob 16.326 ein Höchststand war oder eine Basislinie.