Was uns der Lovable-Vorfall über Shared Responsibility lehrt.
Key Take-aways
„Unsere Daten liegen doch bei einem großen Cloud-Anbieter. Die kümmern sich um Sicherheit.“ Das stimmt – und stimmt eben auch nicht. Cloud-Anbieter schützen ihre Plattform. Doch wie du sie nutzt, welche Zugänge du vergibst und ob wichtige Einstellungen dauerhaft stimmen, bleibt deine Verantwortung.
Das ist das Prinzip Shared Responsibility: Sicherheit wird geteilt.
Wie gering das Bewusstsein dafür ist – und wie auch Plattformbetreiber nicht gerade offensiv damit umgehen – machte eine Untersuchung der Plattform Lovable nun auf erschrecke Weise deutlich.
Mit Lovable lassen sich per KI ohne technische Vorkenntnisse sehr schnell komplexe Webprojekte umsetzen, ganz einfach per Prompt. Was im Marketing der Plattform untergeht: Auch ohne technischen Background ist man für die technische Sicherheit seiner Anwendung verantwortlich.
Eine Untersuchung von Crissy Field machte das Prinzip nun greifbar. Das Team analysierte 159.041 Lovable-Projekte aus dem Zeitraum Dezember 2025 bis September 2026. Bei 24.664 Projekten wurden beim Laden Daten aus Supabase übertragen.
Eine solche Übertragung ist nicht automatisch ein Sicherheitsproblem – manche Daten sollen öffentlich sein. Bei genauerer Prüfung fanden die Forschenden jedoch bei 7.403 dieser Websites, also rund 30 Prozent, E-Mail-Adressen in Datenbankinhalten. Insgesamt waren in 10.560 Tabellen Datensätze mit E-Mail-Adressen zu finden.
Im LinkedIn-Beitrag von Dr. Thomas Jansen werden weitere Beispiele aus der Untersuchung genannt: darunter ein deutsches Forum mit mehr als 80.000 Profilen und über 200.000 privaten Chatnachrichten sowie Anwendungen mit offengelegten Zahlungsinformationen, Ausweisdaten, Verträgen und privaten Fotos.
Die Untersuchung zeigt: Eine Plattform kann das Erstellen einer Anwendung vereinfachen, aber sie kann nicht automatisch wissen, welche Daten öffentlich sein dürfen, wer Zugriff braucht oder ob jede konkrete Anwendung korrekt abgesichert ist.
Beim Cloud-Dienstleister liegen typischerweise die Sicherheit und Verfügbarkeit der zugrunde liegenden Plattform: Rechenzentren, physische Infrastruktur und der Betrieb der Cloud-Dienste.
Beim Kunden liegen unter anderem die Verantwortung für eigene Daten, Identitäten, Berechtigungen und die passende Konfiguration. Die genaue Aufteilung hängt vom jeweiligen Cloud-Angebot ab.
Ein einfacher Merksatz hilft:
Der Anbieter sichert den Dienst.
Du sicherst, wie dein Unternehmen ihn verwendet.
Das ist bewusst vereinfacht – welche Aufgabe bei wem liegt, hängt vom Dienst und dessen Betriebsmodell ab. Aber als Startpunkt für die Praxis taugt der Satz.
Denk an ein Bürogebäude: Der Vermieter sorgt für tragende Wände, Gebäudetechnik und eine funktionierende Eingangstür. Dein Unternehmen entscheidet, wer Schlüssel bekommt, welche Räume abgeschlossen sind und ob der Schlüssel einer ausgeschiedenen Kollegin noch im Umlauf ist.
Die Gebäudeversicherung ersetzt nicht die Schlüsselverwaltung. Und der Cloud-Anbieter kann nicht erraten, dass ein externer Projektpartner nach Projektende keinen Zugriff mehr braucht.
Microsoft betreibt die Cloud-Dienste, auf denen Microsoft 365 basiert. Dein Unternehmen verwaltet aber den eigenen Tenant – also seine Microsoft-365-Umgebung – und muss unter anderem festlegen, wie Identitäten, Zugriffsrechte und Einstellungen genutzt werden.
Ein paar typische Situationen:
Das alles heißt nicht, dass IT-Verantwortliche jede technische Option persönlich konfigurieren müssen. Es heißt, dass jemand im Unternehmen dafür zuständig sein muss, Anforderungen festzulegen, Kontrollen einzurichten und Abweichungen nachzuverfolgen.
Verantwortung lässt sich delegieren – etwa an ein qualifiziertes Team oder einen Dienstleister. Sie verschwindet dadurch nicht einfach aus dem Organigramm.
Ein Microsoft-365-Backup für Inhalte und eine Sicherung der Tenant-Konfiguration sind zwei unterschiedliche Dinge. Das eine kann etwa Postfächer, Dateien oder andere Inhalte abdecken. Das andere betrifft die Einstellungen, die beeinflussen, wie die Umgebung arbeitet und wer auf was zugreifen kann.
Wenn eine wichtige Konfiguration verändert oder gelöscht wird, ist es deshalb sinnvoll zu wissen: Was hat sich geändert? Entspricht der aktuelle Zustand noch dem gewünschten Soll? Gibt es einen gesicherten Konfigurationsstand, auf den man zurückgreifen kann? Ein Daten-Backup bleibt wichtig – aber es beantwortet nicht automatisch diese Fragen zur Konfiguration.
Shared Responsibility wird im Alltag schwierig, wenn niemand einen verlässlichen Überblick über den Zustand der Umgebung hat.
Hier setzt aixpedIT Flow an: Die Plattform sichert und versioniert Microsoft-365-Tenant-Konfigurationen, vergleicht sie regelmäßig mit definierten Soll-Zuständen beziehungsweise Blueprints und macht Abweichungen sichtbar.
Gesicherte Konfigurationsstände lassen sich für Wiederherstellungsprozesse nutzen; außerdem können komplette Tenants als Test-, Staging- oder Standby-Umgebung geklont werden.
Praktisch heißt das: Wenn sich eine Einstellung unerwartet ändert, muss das Team nicht erst aus dem Gedächtnis rekonstruieren, wie es gestern aussah.
Der regelmäßige Vergleich hilft, Abweichungen früher zu erkennen. Versionierte Konfigurationen schaffen eine bessere Grundlage, Änderungen nachzuvollziehen und bei Bedarf geordneter wiederherzustellen.
Flow ergänzt bestehende Daten-Backups um die Konfigurationsebene.
So wird aus einem abstrakten Verantwortungsmodell ein handhabbarer Betriebsprozess: Soll-Zustand festlegen, Konfiguration beobachten, Abweichungen erkennen und Wiederherstellung vorbereiten.
Kläre intern und mit Dienstleistern, wer Identitäten, Freigaben, Sicherheitskonfiguration und Wiederherstellung betreut.
Ohne definierte Anforderungen ist „Abweichung“ nur ein anderes Wort für „Überraschung“. Legt fest, welche Einstellungen für euch gelten sollen.
Prüft, ob relevante Konfigurationsänderungen nachvollziehbar sind und ob jemand auf Abweichungen reagiert.
Unterscheidet zwischen dem Wiederherstellen von Inhalten und dem Wiederherstellen von Konfigurationen. Testet die Abläufe, statt sie nur in einem Dokument gut aussehen zu lassen.
Besonders externe Konten, privilegierte Berechtigungen und alte Projektfreigaben verdienen einen festen Prüfprozess.
Du musst nicht mit einer vollständigen Neuordnung starten. Beginne mit den Bereichen, deren Ausfall oder Fehlkonfiguration den größten Schaden anrichten könnte. Wichtig ist, dass die Prüfung nicht einmalig im Audit stattfindet und dann wieder in der Schublade verschwindet.
Die Lovable-Untersuchung erinnert daran, dass einfache Werkzeuge nicht automatisch sichere Ergebnisse garantieren.
Microsoft 365 folgt demselben Grundgedanken der geteilten Verantwortung: Microsoft schützt und betreibt seine Cloud-Dienste; dein Unternehmen bleibt für den Schutz und die passende Verwaltung seiner Daten und Umgebung verantwortlich.
Für IT-Entscheider heißt das, Zuständigkeiten, Soll-Zustände und Kontrollen so aufzustellen, dass Sicherheit im Tagesgeschäft sichtbar und nachvollziehbar wird.
aixpedIT Flow unterstützt diesen Teil für die Microsoft-365-Tenant-Konfiguration – mit regelmäßigem Abgleich, Versionsständen und Möglichkeiten zur Wiederherstellung.
In der Cloud ist Verantwortung geteilt. Die Arbeit, sie wahrzunehmen, sollte es auch sein.