Northflank: Sicherheitsvorfall, alle Secrets sollen rotiert werden

Die Cloud-Plattform Northflank meldet einen Sicherheitsvorfall und fordert alle Kunden auf, sämtliche Umgebungsvariablen als entschlüsselt zu betrachten. Secrets in Workloads, Secret Groups und globalen Secrets sollen sofort rotiert werden. Mehrere Nutzer bestätigen laut Statusseite, dass ihre KI-API-Schlüssel bereits missbraucht wurden. Eine Ursache hat Northflank bislang nicht veröffentlicht.

Betroffen ist jedes Team, das Anwendungen, Datenbanken oder Jobs auf Northflank betreibt und dort Zugangsdaten hinterlegt hat. Wer die Plattform nicht nutzt, muss nichts tun. Für Kunden gilt: nicht auf ein Wartungsfenster warten, sondern heute rotieren und die Abrechnungen der KI-Anbieter prüfen.

Was ist passiert?

Nach dem Zeitstrahl der Statusseite ging am 30. Oktober 2026 um 11:43 UTC ein Bedrohungsalarm des Sicherheitsanbieters Wiz ein. Northflank spielte ab 12:02 UTC mehrere Patches an Netzwerkrichtlinien ein und holte um 13:00 UTC das Incident-Response-Team von Wiz hinzu. Um 13:40 UTC folgte die erste Meldung „Rotate environment variables immediately“, um 13:58 UTC die Einstufung „Identified“ mit dem Hinweis, alle Umgebungsvariablen seien als entschlüsselt anzusehen.

Um 15:12 UTC schaltete Northflank die Rotation von Secrets für Postgres und MongoDB für alle Nutzer frei und empfahl, die öffentliche Erreichbarkeit von Addons abzuschalten. Am Abend meldeten Nutzer die unbefugte Verwendung von KI-API-Schlüsseln. Northflank verweist dazu auf den Bericht „Black October“ von Wiz, der ähnliche IP-Adressen enthalte. Seit dem 31. Oktober, 1:04 UTC, sind Audit-Logs für alle Kunden aktiv, auch im kostenlosen Tarif.

Wer ist betroffen?

Northflank richtet die Empfehlung an alle Nutzer. Die Statusseite führt Networking, Certificates, Services, Addons, Jobs, Builds sowie Logs and Metrics als größere Störung, App und API als verfügbar. Offen ist, ob Kunden mit Bring Your Own Cloud gleichermaßen betroffen sind; darauf weist auch der Mitbewerber Qovery hin. Eine Liste betroffener Kunden gibt es nicht.

Wie kritisch ist das?

Sehr kritisch. Umgebungsvariablen enthalten typischerweise Datenbankpasswörter, Cloud-Schlüssel, Zahlungs- und KI-Tokens. Die gemeldete Nutzung von KI-Schlüsseln zeigt, dass Daten bereits verwertet werden. Wiz zählt im Oktober neun Vorfälle bei KI-Entwicklerplattformen, darunter Railway und Northflank, und beschreibt als gemeinsames Ziel gespeicherte Umgebungsvariablen mit KI-Zugängen. Eine einzelne gemeinsame Lücke nennt Wiz nicht.

Was sollten Admins jetzt tun?

• Inventar prüfen: Welche Projekte, Secret Groups und globalen Secrets liegen auf Northflank, und welche Schlüssel stecken darin?
• Zugangsdaten beim jeweiligen Aussteller widerrufen, neu erzeugen und in Northflank aktualisieren. Ein bloßes Überschreiben in der Plattform reicht nicht, solange der alte Schlüssel gültig bleibt.
• Passwörter von Postgres- und MongoDB-Addons über die neue Rotationsfunktion tauschen und öffentlichen Zugriff auf Addons deaktivieren.
• Nutzungs- und Abrechnungsdaten der KI-Anbieter und Cloud-Konten auf ungewöhnliche Aktivität prüfen, Verdachtsfälle an Northflank und den Anbieter melden.
• Die jetzt freigeschalteten Audit-Logs auswerten und Zugriffe aus den von Wiz genannten Adressen, etwa 23.106.46.239 oder 38.246.114.118, in den Logs der Anbieter suchen. Wiz stellt diese Adressen ausdrücklich nicht direkt in Verbindung mit den Plattformvorfällen.

Einordnung für Unternehmen

Plattformen, die Secrets vieler Kunden zentral speichern, sind ein lohnendes Ziel: Ein Einbruch liefert Zugänge zu vielen Umgebungen. Unternehmen sollten Schlüssel mit möglichst engen Rechten und Budgetgrenzen ausstellen, Nutzungsalarme bei KI-Anbietern aktivieren und die Rotation regelmäßig üben. Ein eigener Secret-Store, aus dem Anwendungen Werte zur Laufzeit beziehen, verkleinert die Angriffsfläche, ersetzt aber keine schnelle Rotation.

Passende Anleitungen auf S-EDV

• Infisical mit Docker: Secrets zentral verwalten
• OpenBao als Secrets-Store im Docker-Container
• Gitleaks im Docker-Container: Secrets in Repositories finden

Quellen

• Northflank Status: Security incident
• Wiz: „Black October“ for AI Developer Platforms
• Qovery: Northflank Security Incident (October 30, 2026)
• Hacker News: Diskussion „Northflank Breached“