Zero-Day-Schwachstelle in internen Tools: Was der Metabase-Vorfall auslöst

Was ist eine Zero-Day-Schwachstelle?

Eine Zero-Day-Schwachstelle ist eine Sicherheitslücke, die Angreifer bereits nutzen, während der Hersteller noch keinen Patch ausgeliefert hat. Unternehmen haben buchstäblich null Tage Vorbereitungszeit. Besonders brisant wird das, wenn das betroffene Werkzeug intern betrieben wird und den Umfang seines Datenbankzugriffs nie dokumentiert hat.

Was beim Metabase-Vorfall am 03.08.2026 geschah

Metabase identifizierte am 03.08.2026 aktive Angriffe auf Cloud- und selbst gehostete Installationen. Die Ursache war eine unauthentifizierte SQL-Injection, bewertet mit CVSS Base 10.0 und Temporal Score 9,5 (CERT-Bund WID-SEC-2026-2715, keine CVE-ID vergeben). Angreifer injizierten über den Passwort-Reset-Endpunkt SQL-Befehle und erlangten Zugriff auf gespeicherte Zugangsdaten aller verbundenen Datenbanken.

Beim Laptop-Hersteller Framework flossen Name, E-Mail-Adresse, Telefonnummer, Anmelde-IP sowie Rechnungs- und Lieferanschrift inklusive Firmenname ab. Bestell- und Zahlungsdaten wurden nicht eingesehen. Ob für Geschäftskunden zusätzlich Steuer-IDs betroffen sind, wird noch untersucht. Beim Formular-Dienst Tally waren E-Mail-Adresse und Passwort-Hash betroffen; Formulare und Antworten blieben durch getrennte Speicherung unberührt.

Indicator of Compromise: POST /api/session/reset_password mit HTTP-Status 400, direkt gefolgt von GET /api/user/current mit HTTP-Status 200. Diese Kombination in den Application- und Ingress-Logs des Metabase-Servers identifiziert den Angriff.

Betroffen sind Versionen der Familien 0.58 bis 0.63. Die Quellen notieren das unterschiedlich (heise: "58 bis 63"; CERT-Bund: < x.58.24), meinen aber dieselbe Versionsfamilie. Gesicherte Mindestversionen: 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9, 0.63.5.

Warum interne Analysewerkzeuge eine unterschätzte Angriffsfläche sind

Nach einem erfolgreichen Angriff sind Konfiguration, gespeicherte Datenbankzugangsdaten und alle darüber erreichbaren Daten zugänglich. Framework musste nach dem Vorfall prüfen, welche Daten externe Analyseplattformen erhalten. Das Unternehmen plant, deren Zugriff auf die tatsächlich benötigten Datenbankspalten zu reduzieren.

Selbst gehostete BI- und Monitoring-Werkzeuge mit breitem Datenbankzugriff geraten leicht aus dem Blick regulärer Sicherheitszyklen. Ohne Eintrag im Asset-Inventar werden sie nicht in Patch-Management-Prozesse einbezogen. Der Metabase-Vorfall war in dieser Woche kein Einzelfall. CISA nahm am 07.08.2026 CVE-2026-8037 in den Known-Exploited-Vulnerabilities-Katalog auf: eine unauthentifizierte Command Injection im Progress Kemp LoadMaster (CVSS 9,6). 792 Exploit-Versuche aus 65 IP-Adressen in 41 Tagen belegen, wie systematisch solche Lücken abgearbeitet werden.

Sofortmaßnahmen für Metabase-Betreiber

1. Auf eine gesicherte Mindestversion aktualisieren: 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 oder 0.63.5.
2. Ist ein sofortiges Update nicht möglich: Zugriff auf /api/session/reset_password am Reverse-Proxy oder in der Firewall blockieren.
3. Alle aktiven Nutzersitzungen widerrufen.
4. API-Keys und Administratorkonten auf unbefugte Änderungen prüfen.
5. Zugangsdaten aller verbundenen Datenbanken rotieren.
6. Application- und Ingress-Logs auf die IoC-Statusmuster durchsehen.

Ein Schwachstellenscan macht intern betriebene Dienste dieser Art sichtbar, bevor ein Angreifer sie findet.

Meldepflicht und DSGVO-Nachweis

Für Unternehmen, die Metabase selbst betreiben und dabei personenbezogene Daten verarbeiten, greifen zwei Pflichtrahmen direkt.

Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen. Ein Werkzeug, das im Asset-Inventar fehlt, fällt aus diesem Verfahren heraus. Wer diesen Nachweis mit einer Sicherheitsberatung strukturiert aufbaut, hat gegenüber Aufsichtsbehörden und internen Audits eine belastbare Grundlage.

Art. 33 DSGVO: Fließen personenbezogene Daten ab, gilt in der Regel eine Meldefrist von 72 Stunden gegenüber der zuständigen Aufsichtsbehörde. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Die Frist beginnt mit Bekanntwerden, nicht mit Abschluss der Untersuchung. Framework hat Aufsichtsbehörden informiert und eine IT-Forensik beauftragt.

Einordnung

Der Metabase-Zero-Day zeigt ein strukturelles Muster: unauthentifizierter Zugriff auf ein intern betriebenes Werkzeug mit breitem Datenbankzugriff, das nicht im regulären Sicherheitszyklus erfasst war. Framework hat mit der Einschaltung von Forensik und Aufsichtsbehörden den Pflichtrahmen eingelöst. Wer diesen Prozess vorbereiten will, findet im Praxisleitfaden Schwachstellenmanagement den methodischen Einstieg.