Lovable-Apps legen Pässe und Zahlungsdaten offen, so eine Studie

Das haben die Forscher gefunden

Crissy Field analysierte rund 159.041 mit Lovable erstellte Projekte. 34.545 davon nutzten den Datenbankdienst Supabase, der häufig mit der Plattform kombiniert wird. Bei 24.664 Websites wurden Datenbankeinträge schon beim Laden der Seite ausgeliefert, ohne dass eine Anmeldung verlangt wurde.

Das heißt nicht zwingend, dass alle diese Seiten private Daten preisgaben, denn manche Datenbanken enthalten ohnehin öffentliche Inhalte. Zusätzliche, rein lesende Abfragen förderten aber auf 7.403 Websites Datensätze mit E-Mail-Adressen zutage.

In einem der gravierendsten Fälle legte ein Dienst über 1.000 Ausweisdatensätze mit Passnummern, Staatsangehörigkeiten und Ablaufdaten offen. Andere Apps ließen Zahlungsdaten von Kunden, Telefonnummern, Postadressen und Ticketcodes ungeschützt. Auch Verträge, Rechnungen, private Fotoalben und interne WhatsApp-Korrespondenz waren einsehbar. Solche Daten könnten für Phishing, Identitätsdiebstahl oder Ticketbetrug genutzt werden; einen tatsächlichen Missbrauch konnte die Untersuchung allerdings nicht belegen.

Reaktionen und Einschränkungen

Lovable erklärte gegenüber dem Handelsblatt, das Problem betreffe nicht nur die eigene Plattform, sondern die gesamte Branche. Laut Nutzungsbedingungen sind Kunden für die von ihnen erstellten Apps und deren Umgang mit Daten selbst verantwortlich.

Crissy Field warnt davor, die Ergebnisse als gesicherte Leckrate für alle Lovable-Apps zu verstehen. Die Stichprobe stammt aus Common Crawl und deckt nicht alle Apps der Plattform ab; zudem luden die Forscher nicht in jedem Fall komplette Datenbanken herunter.

Die Ergebnisse verstärken die Sorgen um KI-gestützte Programmierwerkzeuge: Sie senken die Hürde für den Softwarebau, doch die Absicherung von Datenbanken und die Vergabe von Zugriffsrechten erfordern weiterhin sorgfältige Arbeit.