Der Vorfall: Was geschah bei Cal AI

Am 9. März 2026 veröffentlichte ein Threat Actor einen Datendump auf BreachForums und behauptete, Cal AI kompromittiert zu haben – die KI-basierte Kalorienzähler-App, die kürzlich durch die Übernahme von MyFitnessPal für Schlagzeilen sorgte. Der Dump umfasste 14,59 GB in acht Dateien und soll mehr als 3,2 Millionen Nutzerdatensätze enthalten.

Wichtige Erkenntnisse

1. Ein Hacker mit dem Alias „vibecodelegend“ behauptet, Cal AI – die virale KI-basierte Kalorienzähler-App, die kürzlich MyFitnessPal übernommen hat – kompromittiert zu haben und veröffentlichte 14,59 GB an Daten, die angeblich über 3,2 Millionen Nutzerdatensätze auf BreachForums enthalten. Die offengelegten Daten umfassen Berichten zufolge Geburtsdaten, vollständige Namen, Geschlechter, E-Mail-Adressen, Social-Media-Profile, PIN-Codes, Abonnementdetails, physische Merkmale wie Größe und Gewicht, Essensprotokolle mit Zeitstempeln sowie Trainingsziele.
2. Als Angriffsvektor diente offenbar ein nicht authentifiziertes Google Firebase-Backend – der Angreifer gab an, dass die gesamte Abonnementtabelle ohne Zugangsdaten lesbar war. Die App setzte zudem auf 4-stellige numerische PINs ohne Rate Limiting oder CAPTCHA am Login-Endpunkt, was Brute-Force-Angriffe trivial einfach machte.
3. Cybernews-Forscher prüften die geleakten Daten und bestätigten deren Echtheit. Der Datensatz enthielt rund 2,8 Millionen eindeutige E-Mail-Adressen, von denen fast 1,2 Millionen den privaten Relay-Service von Apple nutzten – das bedeutet, dass auch Daten von Nutzern kompromittiert wurden, die bewusst Schutzmaßnahmen ergriffen hatten.
4. Mindestens ein Datensatz gehörte Berichten zufolge einem Kind, das 2014 geboren wurde, was erhebliche Bedenken hinsichtlich des Kinderdatenschutzes gemäß COPPA und DSGVO aufwirft. Die hochsensiblen Gesundheits- und Verhaltensdaten – Essgewohnheiten, Körpermaße, Fitnessziele – ermöglichen Lifestyle-Profile, die für gezielte Social-Engineering-Angriffe, Erpressung oder Versicherungsbetrug missbraucht werden können.
5. Cal AI übernahm MyFitnessPal offenbar ohne eine Sicherheitsintegration, obwohl MyFitnessPal bereits 2018 von einem Datenleck betroffen war, das 150 Millionen Konten unter Under Armour betraf. Dieses Versäumnis bei der M&A-Sicherheitsprüfung verstärkt ein Muster von systemischen Sicherheitslücken in KI-gestützten Apps, bei denen zwischen Januar 2025 und Anfang 2026 mindestens 20 dokumentierte Vorfälle zehntausende Nutzerdatensätze durch dieselben vermeidbaren Ursachen offenlegten.

Das ist kein Tippfehler. Die App, die verspricht, „Ihre persönlichen Informationen immer vertraulich und sicher zu halten“, ließ offenbar ihre gesamte Abonnementdatenbank ohne Authentifizierung lesbar zurück.

Cal AI ist als kamerabasierte Food-Tracking-Lösung rasant gewachsen. Nutzer fotografieren ihre Mahlzeiten, und die KI schätzt Kalorien und Makronährstoffe. Die App wird von Prominenten und Influencern empfohlen, und die Übernahme von MyFitnessPal machte Cal AI zu einem wichtigen Akteur im Bereich Health- und Wellness-Tracking. Cal AI hatte zum Zeitpunkt der Veröffentlichung nicht auf Presseanfragen reagiert.

Warum dieser Vorfall besonders schwer wiegt

Essensprotokolle mit Zeitstempeln zeigen, wann und was Nutzer essen. Trainingsziele und Makronährstoffvorgaben offenbaren persönliche Gesundheitsziele. Größe, Gewicht und Körpermaße ergeben physische Profile. Diese Daten zeichnen ein detailliertes Bild des Alltags – und ermöglichen gezielte Social-Engineering-Angriffe, Versicherungsbetrug, Erpressung und Identitätsdiebstahl.

Und dann sind da noch die Kinderdaten. Mindestens ein Datensatz gehörte einem Nutzer, der 2014 geboren wurde. Gesundheitsdaten von Minderjährigen in den Händen von Threat Actors sind ein regulatorisches und ethisches Desaster. Gemäß COPPA und DSGVO zieht die Offenlegung von Kinderdaten deutlich strengere Strafen nach sich als bei Erwachsenen.

Ursachenanalyse: Vier Fehler, die niemals passieren dürfen

Dieser Vorfall war nicht das Ergebnis einer ausgeklügelten, staatlich gesteuerten Operation oder eines raffinierten Zero-Day-Exploits. Er entstand durch grundlegende Sicherheitsversäumnisse, die jede kompetente Sicherheitsprüfung in wenigen Stunden entdeckt hätte.

Nicht authentifiziertes Firebase-Backend. Der Einstiegspunkt des Angreifers war ein Google Firebase-Backend ohne Authentifizierungsanforderungen. Firebase-Datenbanken sind standardmäßig sicher – Entwickler müssen sie aktiv falsch konfigurieren, damit Daten öffentlich lesbar sind. Ein Cybernews-Audit von über 38.000 Android-KI-Apps fand Hunderte Firebase-Instanzen ohne Authentifizierung, die zusammen Milliarden von Datensätzen offenlegten. Cal AI tappte in eine bekannte Falle.

4-stellige PIN-Authentifizierung ohne Rate Limiting. Cal AI setzte Berichten zufolge auf eine 4-stellige numerische PIN als primären Authentifizierungsmechanismus – 10.000 mögliche Kombinationen. Ohne Rate Limiting, Account-Lockouts oder CAPTCHA kann ein Angreifer jedes Konto in Minuten per Brute-Force übernehmen. Eine 4-stellige PIN bietet weniger Schutz als ein Kofferschloss und würde bei keinem Authentifizierungsstandard der letzten 20 Jahre bestehen.

Keine Erkennung von Datenabfluss bei 14,59 GB. Das Abziehen von fast 15 Gigabyte Daten hätte Alarme auslösen müssen. Massenhafte Datenabfragen in diesem Umfang erzeugen eindeutige Traffic-Muster. Das Fehlen einer Erkennung deutet darauf hin, dass Cal AI weder Anomalie-Monitoring, noch Data Loss Prevention oder Intrusion Detection implementiert hatte. Die Daten wurden ohne sinnvolle Verschlüsselung gespeichert – wären sie mit kundengesteuerten Schlüsseln verschlüsselt gewesen, wäre der Dump unlesbar geblieben.

Lücke bei der M&A-Sicherheitsprüfung. Cal AI übernahm MyFitnessPal – eine Plattform, die bereits unter früherer Führung einen massiven Datenschutzverstoß erlitt. Diese Übernahme hätte eine umfassende Sicherheitsprüfung auslösen müssen. Entweder fand sie nicht statt, oder die Ergebnisse wurden ignoriert. Beides ist nicht zu rechtfertigen.

Das große Ganze: KI-Apps stecken in einer Sicherheitskrise

Cal AI ist kein Einzelfall. Zwischen Januar 2025 und Anfang 2026 wurden mindestens 20 dokumentierte Sicherheitsvorfälle bekannt, bei denen persönliche Daten von zig Millionen Nutzern in KI-gestützten Anwendungen offengelegt wurden. Die Ursachen sind auffallend ähnlich: falsch konfigurierte Firebase-Datenbanken, fehlende Authentifizierung im Cloud-Backend, fest codierte API-Schlüssel und kein Rate Limiting.

Das „Vibe Coding“-Phänomen – bei dem KI-Tools funktionale Anwendungen ohne Sicherheitsprüfung generieren – hat diese Krise beschleunigt. Apps werden in Rekordzeit veröffentlicht, entwickelt von Teams, die Nutzerwachstum über Sicherheitsarchitektur stellen. Das Ergebnis sind Anwendungen, die hochsensible Daten verarbeiten, aber Backend-Sicherheit auf dem Niveau eines Wochenend-Hackathons bieten.

Was Kiteworks-Kunden wissen sollten

Jedes Versäumnis im Cal AI-Vorfall steht im direkten Gegensatz zu den Funktionen, die das Private Data Network von Kiteworks architektonisch absichert.

Zero-trust-Zugriff und Enterprise-Authentifizierung. Kiteworks erzwingt Zero-trust-Zugriffskontrollen mit attributbasierten Richtlinien für jede Datenanfrage. Multi-Faktor-Authentifizierung über RADIUS, PIV/CAC, OTP und Drittanbieter-Zwei-Faktor-Authentifizierung (2FA) sowie SSO via SAML, OAuth, LDAP und Azure AD eliminieren schwache Authentifizierungsmechanismen vollständig. Eine 4-stellige PIN wäre niemals ein gültiger Zugangsmechanismus.

Defense-in-Depth-Architektur. Kiteworks wird als gehärtete virtuelle Appliance mit integriertem Web Application Firewall, Netzwerk-Firewall und Intrusion Detection bereitgestellt – und blockiert unautorisierte API-Aufrufe, bevor sie Daten erreichen. Selbst wenn eine Schicht kompromittiert wird, verhindern gestaffelte Komponenten laterale Bewegungen durch ein Assume-Breach-Design.

Doppelte Verschlüsselung mit kundengesteuerten Schlüsseln. Daten werden sowohl auf Datei- als auch auf Festplattenebene mit AES-256 und separaten Schlüsseln verschlüsselt, sodass sie selbst bei Backend-Zugriff unlesbar bleiben. Kundengesteuerte Schlüssel stellen sicher, dass selbst der Plattformanbieter keinen Zugriff auf Kundendaten hat. Eine Data Loss Prevention Engine blockiert oder isoliert Transfers, die gegen Richtlinien verstoßen, automatisch.

Umfassende Audit-Protokollierung und Anomalie-Erkennung. Jede Dateninteraktion wird in einem einzigen, unveränderlichen Audit-Trail mit Echtzeit-SIEM-Feeds und ohne Drosselung protokolliert. KI-basierte Anomalie-Erkennung identifiziert ungewöhnliche Zugriffsmuster – wie Massenabfragen beim Datenabfluss – und hätte den Cal AI-Dump lange vor dem Abzug von 14,59 GB erkannt und gestoppt.

KI-Daten-Governance für den nächsten Angriffsvektor. Da KI-basierte Gesundheits-Apps zunehmend KI-Agents für personalisierte Empfehlungen einsetzen, benötigen diese Agents Zugriff auf sensible Gesundheitsdaten. Der Kiteworks Secure MCP Server und das AI Data Gateway stellen sicher, dass KI-Agents denselben Zero-trust-Prüfungen unterliegen wie menschliche Nutzer – jede Anfrage wird authentifiziert, autorisiert und protokolliert.

Die Vertrauensgleichung hat sich verändert

Der Cal AI-Vorfall ist ein Musterbeispiel: Ein offenes Backend. Ein lächerlicher Authentifizierungsmechanismus. Keine Erkennung von Datenabfluss. Keine Verschlüsselung. Und die intimsten Gesundheitsdaten von 3,2 Millionen Menschen auf einem Hackerforum frei verfügbar.

Das passiert, wenn Sicherheit zur Nebensache wird – wenn Apps schnell skalieren, bevor die Infrastruktur zum Schutz der Nutzer aufgebaut ist. Unternehmen, die sensible Daten verarbeiten, müssen Sicherheitsarchitektur als Produkt betrachten, nicht als nachträgliches Feature. Ein Private Data Network, das Authentifizierung auf jeder Ebene erzwingt, Daten selbst vor der Plattform verschlüsselt und jede Interaktion in Echtzeit überwacht, ist kein Luxus. Es ist die Grundlage. Die Frage für jedes Unternehmen, das sensible Daten verarbeitet, ist nicht, ob ein Vorfall passiert. Sondern ob die eigene Architektur standhält, wenn es passiert.