Klaviyo-Sicherheitsfehler führte zum Leak von Nutzerpasswörtern

Klaviyo, ein großes Unternehmen für Marketingtechnologie, hat aufgrund eines Konfigurationsfehlers in seinem Anmeldeformular versehentlich vertrauliche Daten neuer Kunden, darunter Passwörter und E-Mail-Adressen, an Drittanbieter-Werbetreibende weitergegeben. Laut einem von TechCrunch veröffentlichten Bericht erregte die Schwachstelle die Aufmerksamkeit von Medien und Experten und rückte damit erneut schwerwiegende Probleme der digitalen Sicherheit in den Fokus. TechCrunch.com berichtet .

Sam Jadali, Forscher und Mitgründer des Cybersicherheits-Start-ups Melurna, stellte fest, dass das Anmeldeformular auf der Klaviyo-Website mindestens von Februar 2024 bis November 2025 und möglicherweise noch länger falsch konfiguriert war. In diesem Zeitraum wurden Daten von Nutzern, die sich auf der Website registrierten, an verschiedene auf der Website eingebettete Drittanbieter-Tracker und große Werbeplattformen übertragen.

Über Tracker durchgesickerte Daten

Forschern zufolge wurden durch die Sicherheitslücke nicht nur die E-Mail-Adressen und Passwörter der Nutzer offengelegt, sondern auch wertvolle Informationen wie Firmennamen, Website-Adressen und Telefonnummern. Laut ixbt.com und TechCrunch gelangten diese vertraulichen Daten an große Technologie- und Marketingplattformen wie Facebook, Google, Microsoft und dessen Tochterunternehmen LinkedIn sowie HubSpot und das soziale Netzwerk X.

Der in Boston ansässige Marketingriese Klaviyo unterstützt mehr als 205.000 zahlende Kunden bei der Verwaltung von Werbekampagnen per E-Mail, Textnachrichten und anderen Kanälen. Nach Angaben auf der offiziellen Website des Unternehmens verwaltet das System mehr als sieben Milliarden Kundenprofile. Diese Größenordnung zeigt, wie enorm das Risiko eines Datenlecks sein könnte.

Offizielle Reaktion des Unternehmens und Sicherheitsmaßnahmen

Vertreter des Start-ups Melurna teilten ihre Erkenntnisse mit TechCrunch, bevor sie diese auf der Sicherheitskonferenz Def Con in Las Vegas vorstellten. Anschließend bestätigte die Klaviyo-Führung, dass der Fehler auf der Website behoben worden war. Ungeklärt bleibt jedoch, wie viele Nutzer im Laufe der Jahre betroffen waren und wie lange Sicherungs-Logs aufbewahrt werden.

Klaviyo-Sprecherin Danielle Zanatta erklärte gegenüber TechCrunch, die Schwachstelle sei durch ein „Problem bei der Anwendungskonfiguration“ verursacht worden. Ihren Angaben zufolge wurden anhand der verfügbaren aktiven Logs weniger als 200 betroffene Personen identifiziert. Das Unternehmen lehnte es jedoch ab, offenzulegen, wie lange die Logs gespeichert werden oder wann der Fehler tatsächlich aktiv wurde.

Experten weisen darauf hin, dass der Vorfall erneut gezeigt hat, welche Risiken von Drittanbieter-Trackern namens „Pixel“ ausgehen können, wenn Schutzmaßnahmen wie Ad-Blocker nicht eingesetzt werden. In den vergangenen Jahren mussten zahlreiche Unternehmen aufgrund falsch konfigurierter Tracker Datenlecks melden, woraufhin Regulierungsbehörden ernsthafte Maßnahmen ergriffen.