Die Kurzfassung
Laut Fireworks AI haben Angreifer Abrechnungsdaten seiner Kunden und bei einem Teil von ihnen gespeicherte Datensätze und unfertige Modellgewichte erreicht. Der Inferenz- und Fine-Tuning-Anbieter hat seine Meldung zum Oktober-Vorfall am 9. November 2026 erweitert, nachdem er einen zweiten Einbruch über einen externen Cloud-Anbieter entdeckt hatte. Wer Trainingsdaten für das LLM-Fine-Tuning auf eine gehostete Plattform hochlädt, muss diese Daten und die daraus trainierten Gewichte so absichern wie die eigenen Datenbanken.
Was hat Fireworks AI offengelegt?
Mit dem Update vom 9. November weitete sich der Vorfall auf Kundendaten aus. Nach Angaben von Fireworks erlitt ein externer Cloud-Anbieter, der die Forschungs- und Entwicklungsrechner des Unternehmens hostete, am 23. Oktober einen eigenen Sicherheitsvorfall. Am nächsten Tag nutzte der Angreifer diesen Zugang, um auf Entwicklungsrechner von Fireworks zu gelangen und dort einen nicht autorisierten Workload zu starten. Fireworks erkannte die Aktivität nach eigener Aussage noch am selben Tag und hat seit dem 25. Oktober keinen weiteren erfolgreichen Zugriff auf die Kundenplattform festgestellt.
Damit kehrt sich die erste Meldung vom 9. Oktober um, die einen eng begrenzten Vorfall beschrieb. Am 6. Oktober hatte ein Außenstehender interne Zugangsdaten von Fireworks genutzt, um Umgebungsvariablen in Evaluierungsjobs auszulesen. Dabei wurden API-Schlüssel und Tokens erfasst, die eine begrenzte Zahl von Kunden als Secrets hinterlegt hatte. Damals erklärte Fireworks, es gebe keine Hinweise auf Zugriffe auf Kundenmodelle, Datensätze, Trainingsdaten oder Inferenz-Traffic.
| Datum (2026) | Ereignis |
|---|---|
| 6. Oktober | Unbefugte Nutzung interner Zugangsdaten erkannt; Eindämmung beginnt |
| 9. Oktober | Erste Meldung: Secrets in Evaluierungsjobs bei einer begrenzten Zahl von Konten erfasst |
| 23. Oktober | Externer Cloud-Anbieter, der die F&E-Rechner von Fireworks hostet, wird kompromittiert |
| 24. Oktober | Angreifer erreicht Entwicklungsrechner von Fireworks und startet einen nicht autorisierten Workload |
| 9. November | Update: Abrechnungsdaten sowie einige Datensätze und unfertige Modellgewichte betroffen |
Welche Daten waren betroffen?
Die interne Anwendung, auf die der Angreifer zugriff, öffnete drei Gruppen von Informationen:
- Ressourcen-Metadaten: Kennungen, Anzeigenamen, Beschreibungen und Erstellungszeitpunkte von Kundenressourcen.
- Abrechnungsdaten: Rechnungs- und Lieferadressen, Rechnungs- und Zahlungshistorie, Kontostand und Guthabennutzung. Kartennummern speichert Fireworks nach eigener Aussage nicht.
- Modellgewichte und Datensätze: bei bestimmten Kunden ein Teil der unfertigen Modellgewichte und Datensätze.
Fireworks hat die Strafverfolgungsbehörden eingeschaltet, Palo Alto Networks Unit 42 mit der Forensik beauftragt und während der Untersuchung Self-Service-Uploads und -Downloads von Datensätzen für Batch Inference und datensatzbasiertes Training abgeschaltet. Bloomberg berichtete unter Berufung auf eine mit der Sache vertraute Person, dass Zehntausende Dateien betroffen waren.
Warum ist das über Fireworks hinaus relevant?
Fireworks ist einer der großen unabhängigen Inferenz-Anbieter. Laut Forbes hat das Unternehmen rund 10.000 Unternehmenskunden, darunter Uber, Shopify, Upwork und DoorDash, und wird mit 17,5 Milliarden US-Dollar bewertet. Zwei Kunden sagten Forbes, sie hätten den Großteil ihres Geschäfts von der Plattform abgezogen.
Den Angreifern ging es nach Darstellung von Fireworks nicht um die Daten selbst. Die Spuren führen zu einer Gruppe, die gestohlenen Zugang zu großen Sprachmodellen über illegale Routing-Gateways weiterverkauft – ein Vorgehen, das als LLMjacking bezeichnet wird. Die Google Threat Intelligence Group und Mandiant beschrieben denselben Trend am 2. November. Damit wird jede KI-Plattform, die API-Schlüssel, Cloud-Zugangsdaten und GPU-Kapazität ihrer Kunden verwaltet, zum attraktiven Ziel – und die Kundendaten drumherum zum Kollateralschaden.
Was bedeutet das für Softwareteams in den USA und der EU?
Eine gehostete Trainingsplattform ist ein Auftragsverarbeiter, nicht nur ein Anbieter von Rechenleistung. Für das Fine-Tuning hochgeladene Datensätze enthalten oft Support-Tickets, Verträge oder Kundendatensätze, und darauf trainierte Modelle können Fragmente dieser Daten behalten.
Befanden sich personenbezogene Daten in einem betroffenen Datensatz, muss der Verantwortliche (in der Regel Sie, nicht der Anbieter) eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde melden. Diese Frist hängt davon ab, wie schnell Ihr Anbieter Sie informiert – prüfen Sie daher die Meldefristen in Ihrem Auftragsverarbeitungsvertrag (AVV).
Auch der Angriffsweg zählt. Fireworks wurde über einen Dienstleister eine Stufe tiefer in der eigenen Lieferkette erreicht. Die Liste der Unterauftragsverarbeiter Ihres Anbieters gehört zu Ihrer Risikofläche.
Und schließlich: In einer KI-Plattform hinterlegte Secrets, etwa Schlüssel für Ihre Datenbanken, Vektorspeicher oder andere Modellanbieter, sind ein direkter Weg in Ihre eigenen Systeme. Sie sollten eng berechtigt, kurzlebig und ohne Code-Release rotierbar sein.
Was bedeutet das für den DACH-Markt?
Im DACH-Raum laufen viele KI-Projekte mit US-Anbietern für Inferenz und Fine-Tuning, während Datenschutz- und Einkaufsabteilungen auf DSGVO-Konformität und Hosting-Nachweise achten. Der Fall Fireworks zeigt, dass ein Rechenzentrumsstandort allein wenig aussagt: Entscheidend ist, wo Trainings- und F&E-Workloads tatsächlich laufen und welche Subdienstleister daran beteiligt sind. Als Prüfmaßstab für Cloud-Anbieter hat sich in Deutschland der Kriterienkatalog C5 des BSI etabliert; ein C5-Testat deckt aber nur die geprüften Dienste ab, nicht jede Hilfsinfrastruktur dahinter.
Für Schweizer Unternehmen gilt nach dem revidierten Datenschutzgesetz (DSG) eine Meldung an den EDÖB „so rasch als möglich“, wenn eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Betroffenen führt; in Österreich ist die Datenschutzbehörde (DSB) die Anlaufstelle nach DSGVO. Praktisch heißt das für DACH-Teams: Fine-Tuning-Datensätze vor dem Upload pseudonymisieren, Unterauftragsverarbeiter im AVV namentlich festhalten und KI-Anbieter derselben Lieferantenprüfung unterziehen wie jeden anderen Cloud-Dienst.
Was sollten Teams auf gehosteten KI-Plattformen jetzt tun?
- Auf jede Benachrichtigung reagieren. Fireworks-Kunden sollten widerrufene Schlüssel ersetzen und Zugangsdaten von Drittanbietern bei den ausstellenden Anbietern rotieren; das Löschen eines gespeicherten Secrets macht es nicht ungültig.
- Erfassen, was hochgeladen wurde. Listen Sie die Datensätze und feingetunten Modelle bei jedem KI-Anbieter auf und vermerken Sie, ob sie personenbezogene oder regulierte Daten enthalten.
- Gespeicherte Daten minimieren. Bevorzugen Sie Zero-Data-Retention-Modi, löschen Sie abgeschlossene Trainingssets und entfernen oder pseudonymisieren Sie personenbezogene Daten vor dem Upload.
- Ausgaben deckeln und überwachen. Setzen Sie harte Nutzungslimits und Alarme pro Schlüssel; plötzliche Token-Spitzen sind ein typisches Zeichen für LLMjacking.
- Die Liste der Unterauftragsverarbeiter lesen. Klären Sie, wo die Trainings- und F&E-Workloads Ihres Anbieters laufen und wie schnell er Sie benachrichtigen muss.
Häufig gestellte Fragen
Was ist bei Fireworks AI passiert?
Am 6. Oktober 2026 entdeckte Fireworks AI die unbefugte Nutzung interner Zugangsdaten, wodurch in Evaluierungsjobs gespeicherte Secrets einer begrenzten Zahl von Kundenkonten offengelegt wurden. In einem Update vom 9. November erklärte das Unternehmen, dass ein zweiter Einbruch am 24. Oktober, ausgehend von einem kompromittierten externen Cloud-Anbieter, der seine F&E-Rechner hostete, auch Konto- und Abrechnungsdaten sowie bei einigen Kunden Datensätze und unfertige Modellgewichte betraf.
Welche Daten waren betroffen?
Fireworks nennt Ressourcen-Metadaten wie Kennungen, Namen und Beschreibungen; Abrechnungsdaten wie Adressen, Rechnungen, Zahlungshistorie, Kontostand und Guthabennutzung; sowie bei bestimmten Kunden einen Teil der unfertigen Modellgewichte und Datensätze. Kreditkartennummern speichert das Unternehmen nach eigener Aussage nicht, sie waren nicht betroffen.
Waren Prompts und Ausgaben der Inferenz betroffen?
Laut Fireworks gibt es keine erkennbaren Auswirkungen auf die Produkte Inference, Training SDK und Nexus, die standardmäßig mit Zero Data Retention laufen. Das Unternehmen betont zugleich, dass die Untersuchung andauert und weitere Erkenntnisse bringen kann.
Was ist LLMjacking?
LLMjacking bezeichnet den Diebstahl von Zugang zu großen Sprachmodellen, meist über gestohlene API-Schlüssel oder Cloud-Zugangsdaten, damit Kriminelle die Modellkapazität über illegale Routing-Gateways weiterverkaufen können, während das Opfer die Rechnung zahlt. Fireworks ordnet die Angreifer hinter seinem Vorfall einer finanziell motivierten Gruppe dieser Art zu.
Was sollten Fireworks-Kunden tun?
Den Anweisungen in einer Benachrichtigung von Fireworks folgen, widerrufene API-Schlüssel ersetzen, als Fireworks-Secrets hinterlegte Zugangsdaten von Drittanbietern bei den ausstellenden Anbietern rotieren und deren Logs auf unbefugte Lese-, Download- oder Änderungsvorgänge prüfen. Self-Service-Uploads und -Downloads von Datensätzen für Batch Inference und datensatzbasiertes Training bleiben während der Untersuchung deaktiviert.
Quellen
Fireworks AI — Update zum Sicherheitsvorfall vom Oktober 2026 (Primärquelle, 9. November 2026)
Fireworks AI — Sicherheitsvorfall vom Oktober 2026 (erste Meldung, 9. Oktober 2026)
Bloomberg — Nvidia-backed Fireworks AI notifies customers of its second hack in weeks (9. November 2026)
Forbes — Fireworks cyberattack exposes customer data and AI models as fallout widens (9. November 2026)
BleepingComputer — Fireworks AI discloses new breach after cloud provider hack (November 2026)