Framework-Datenleck 2026: Komplette Kundendatenbank durch Metabase-Zero-Day kompromittiert

Am 6. August 2026 verschickte Framework Computer – das Unternehmen, das für seine modularen, reparierbaren Laptops bekannt ist – eine Hiobsbotschaft an alle seine Kunden: Persönliche Daten wurden gestohlen. Der Einbruch erfolgte nicht in Frameworks eigenen Systemen, sondern bei einem externen Analyse-Dienstleister namens Metabase. Angreifer nutzten eine bis dahin unbekannte Sicherheitslücke der höchsten Schwere aus. Nachfolgend eine vollständige Aufschlüsselung dessen, was Framework offengelegt hat, was gestohlen wurde, wie der Angriff ablief und was Kunden jetzt tun sollten.

Welche persönlichen Daten wurden gestohlen

Framework bestätigte, dass Angreifer auf einen breiten Satz personenbezogener Daten (PII) der gesamten Kundenbasis zugegriffen haben . Die gestohlenen Daten umfassen:

• Vollständige Namen
• E-Mail-Adressen
• Telefonnummern
• Physische/Lieferadressen
• Login-IP-Adressen

Bei Geschäftskunden können auch Firmenname, Berufsbezeichnung und geschäftliche Telefonnummern betroffen sein .

Was NICHT gestohlen wurde

Framework betonte ausdrücklich, dass keine Zahlungs- oder Bestelldaten abgegriffen wurden. Kreditkartennummern, Kontodaten und der Bestellverlauf sind nicht betroffen . Das ist eine wichtige Unterscheidung: Der Vorfall ist zwar schwerwiegend und setzt Kunden Phishing- und Social-Engineering-Risiken aus, die finanziellen Kontodaten bleiben jedoch sicher.

Wie viele Kunden sind betroffen

Framework teilte mit, dass „alle Kunden" benachrichtigt wurden – der Vorfall betrifft also den gesamten Kundenstamm . Eine genaue Zahl nannte das Unternehmen nicht. Eric Schumacher, Sprecher von Framework, bestätigte gegenüber TechCrunch, dass der Vorfall „alle Kunden" betrifft, machte aber keine Angaben zur genauen Größenordnung . Ein Bericht schätzte rund 18.000 betroffene Kunden basierend auf der bekannten Nutzerbasis – dies ist jedoch keine offizielle Zahl und könnte deutlich zu niedrig gegriffen sein .

Der vorgelagerte Dienstleister: Metabase

Framework macht für den Vorfall Metabase verantwortlich, die Open-Source-Business-Intelligence-Plattform (BI), die Framework für seine Analyse-Daten nutzte . Es handelt sich um einen klassischen Supply-Chain-Angriff: Frameworks eigene Systeme wurden nicht direkt angegriffen, aber ein vertrauenswürdiger Drittanbieter war das Einfallstor.

Die Sicherheitslücke: CVE-2026-72898

Der Angriffsvektor war eine kritische, nicht authentifizierte SQL-Injection-Zero-Day-Lücke in der Metabase-Software . Die wichtigsten Merkmale:

• CVSS-Score: 10.0 (höchste Schwere) – die maximal mögliche Bewertung
• CVE-ID: CVE-2026-72898
• Betroffene Versionen: Metabase Versionen 1.58 bis 1.63
• Angriffsmethode: Der Exploit erlaubte einem entfernten Angreifer, beliebige SQL-Befehle in die Metabase-Anwendungsdatenbank über den Endpunkt /reset_password einzuschleusen – und so vollständige Administratorrechte ohne jegliche Anmeldedaten zu erlangen
• Auswirkung: Sobald ein Angreifer Admin-Zugriff hatte, konnte er gespeicherte Datenbank-Anmeldedaten und alle zugänglichen Daten stehlen, einschließlich der Kunden-PII

Die Offenlegung durch Metabase selbst

Metabase veröffentlichte die Informationen zu dem Vorfall am 6. August 2026 und gab bekannt, dass die eigene Metabase Cloud SaaS-Plattform über diese bis dahin unbekannte Schwachstelle kompromittiert worden war . Wichtige Daten und Details:

• 3. August 2026: Der Angriff erfolgte – drei Tage bevor der Patch bereitstand
• 6. August 2026: Metabase benachrichtigte betroffene Cloud-Kunden, darunter Framework und den Formular-Anbieter Tally
• 7. August 2026: Der Vorfall wurde öffentlich
• Notfall-Patch: Metabase veröffentlichte Fixes für Versionen ab 1.58. Auch selbst gehostete Instanzen mit den Versionen 1.58 bis 1.63 waren verwundbar und mussten sofort aktualisiert werden

Metabase warnte, dass der Exploit über die Kundendaten hinaus auch gespeicherte Datenbank-Anmeldedaten, Tokens, API-Schlüssel und andere sensible Konfigurationsdaten aus betroffenen Instanzen offenlegen könnte . Das bedeutet, dass der Schaden weit über die von Framework gemeldeten Daten hinausgeht – Angreifer könnten von Metabase aus in angeschlossene Systeme weiterwandern.

Supply-Chain-Kontext: Eine breitere Angriffswelle

Framework war nicht das einzige betroffene Unternehmen. Im Zuge der Ermittlungen bestätigten mindestens fünf Unternehmen öffentlich, dass sie kompromittiert wurden :

• Framework (7. August) – Kunden-PII gestohlen
• Tally (7. August) – Formular-Baukasten; E-Mail-Adressen und Passwort-Hashes offengelegt
• n8n (8. August) – Workflow-Automatisierungsplattform
• Kilo Code / Anaconda (9. August) – KI-Codierungsplattform
• ChecklyHQ (10. August) – Monitoring-Plattform

Dieses Muster zeigt, dass die Metabase-Zero-Day als allgemeiner Angriff gegen mehrere Cloud-Mandanten genutzt wurde und nicht als gezielter Angriff speziell auf Framework.

Was Framework-Kunden jetzt tun sollten

Die offizielle Benachrichtigung von Framework enthielt, wie von mehreren Medien berichtet, Handlungsempfehlungen. Basierend auf der Art der gestohlenen Daten und üblichen Sicherheitsvorkehrungen sollten betroffene Kunden:

1. Auf Phishing-Versuche achten: Angreifer haben jetzt Namen, E-Mail-Adressen, Telefonnummern und Privatadressen – alles, was für hochgradig zielgerichtete Phishing-Mails, SMS oder sogar Briefe nötig ist
2. Konten auf verdächtige Aktivitäten prüfen: Login-IP-Adressen wurden gestohlen; wer Passwörter auf anderen Diensten wiederverwendet, sollte sie ändern
3. Keine Links in unerwarteten E-Mails zum Vorfall anklicken: Angreifer werden sich vermutlich als Framework oder Sicherheitsdienste ausgeben, um weitere Daten zu erbeuten oder Schadsoftware zu installieren
4. Nur offizielle Framework-Kommunikation beachten: Das Unternehmen teilte mit, dass es seine Methoden zur Datenspeicherung überprüft und verbessert. Updates gibt es über die offiziellen Kanäle

Wie Framework-Sprecher Schumacher gegenüber TechCrunch sagte, sei das Unternehmen „zutiefst betroffen von diesem Datenschutzvorfall" und werde „seine Methodik für die Datenspeicherung überprüfen und verbessern" .

Die wichtigsten Fakten auf einen Blick

• Frameworks gesamte Kundendatenbank wurde durch einen Supply-Chain-Angriff auf Metabase kompromittiert – kein direkter Einbruch in Frameworks eigene Infrastruktur
• Gestohlen wurden personenbezogene Daten (Namen, Adressen, Telefonnummern, E-Mails), aber keine Zahlungs- oder Bestellinformationen
• Die ausgenutzte Schwachstelle ist CVE-2026-72898, eine CVSS 10.0 Pre-Authentication SQL-Injection in Metabase Versionen 1.58-1.63
• Framework hat keine genauen Kundenzahlen genannt, versicherte aber, alle Kunden benachrichtigt zu haben
• Mindestens fünf Unternehmen waren von derselben Metabase-Zero-Day-Kampagne betroffen
• Alle selbst gehosteten Metabase-Instanzen mit den betroffenen Versionen mussten Anfang August 2026 umgehend gepatcht werden