tl;dv, ein KI-gestützter Meeting-Assistent für Videokonferenzen, ließ monatelang Metadaten zu 181.874 Besprechungen offen zugänglich. Ein Sicherheitsforscher meldete die Lücke im Januar 2026, das Unternehmen reagierte laut seiner Darstellung ein halbes Jahr lang nicht. Betroffen waren Konten von mehr als 84.000 Nutzern aus über 35.000 E-Mail-Domains.
Firestore-Datenbank verrät fremde Konferenzdaten weltweit
Der Sicherheitsforscher, der unter dem Namen BobDaHacker veröffentlicht, fand die Ursache in der Cloud-Firestore-Datenbank von tl;dv: Ihr fehlte eine Mandantentrennung zwischen den Konten. Jeder angemeldete Nutzer konnte demnach über ein reguläres Zugriffstoken die komplette Sammlung aller Meeting-Datensätze der Plattform abfragen – unabhängig vom eigenen Account. Jeder Datensatz enthielt die E-Mail-Adresse der meetingerstellenden Person, den genutzten Videodienst und den Aufzeichnungsstatus. Dazu kam eine Konferenz-ID, über die sich der zugehörige Google-Meet- oder Microsoft-Teams-Raum direkt erreichen ließ. Nach Angaben des Forschers standen zu jedem Zeitpunkt rund 1.000 Meetings mit aktivem Aufzeichnungsstatus in der Datenbank, ihre Konferenz-IDs waren live nutzbar. Er habe darüber unter anderem einer Sitzung des malaysischen Bildungsministeriums sowie einer Besprechung mit mehr als 150 Teilnehmenden beitreten können.
Unter den mehr als 35.000 betroffenen E-Mail-Domains identifizierte der Forscher Regierungsstellen aus 23 Ländern, darunter Brasilien, die Ukraine, die Philippinen und die USA. Hinzu kamen Hochschulen wie die University of California, Berkeley und die Universität Tokio sowie Unternehmen wie HubSpot. Auf einer intern genutzten, ebenfalls ungeschützten tl;dv-Subdomain für eine Fußball-Tippgemeinschaft fand er zudem Namen und Firmen-E-Mail-Adressen von 19 eigenen Beschäftigten des Unternehmens. Die Gesamtzahl von mehr als 181.000 dokumentierten Meetings stammt allein aus der Auswertung des Forschers und ist unabhängig nicht verifiziert. Er habe tl;dv erstmals am 28. Januar 2026 über einen Kontakt bei LinkedIn informiert. Rückmeldungen des zuständigen Chief Technology Officer seien trotz mehrfacher Nachfragen bis Ende Juli ausgeblieben. Erst mit der Veröffentlichung seines Berichts am 4. August geriet der Fall in die Öffentlichkeit.
tl;dv schließt zweite, bis dahin unbekannte Lücke
tl;dv erklärt in einer eigenen Stellungnahme, eine erste Variante der Schwachstelle sei bereits Monate vor der Veröffentlichung behoben und von einem externen Penetrationstest-Dienstleister bestätigt worden. Eine zweite, dem Unternehmen zuvor nicht bekannte Zugriffsmethode habe man innerhalb von 24 Stunden nach Bekanntwerden geschlossen. Zugänglich gewesen seien ausschließlich Metadaten wie Meeting- und Konferenz-IDs sowie E-Mail-Adressen, so das Unternehmen. Passwörter, Aufzeichnungen, Transkripte, KI-generierte Notizen und Abrechnungsdaten seien zu keinem Zeitpunkt erreichbar gewesen. CTO Allan Bettarel räumte zugleich ein, den Forscher nach dessen erster Meldung nicht ausreichend informiert zu haben, und übernahm dafür die Verantwortung. Als zusätzliche Konsequenz habe tl;dv Firebase vollständig aus der eigenen Infrastruktur entfernt.
Der Fall reiht sich in eine wachsende Liste von Sicherheitslücken bei KI-Werkzeugen ein, die Beschäftigte oft ohne Prüfung durch die IT-Abteilung einsetzen. Ähnliche Fälle betrafen zuletzt Atlassians Assistenten Rovo und eine KI-gestützt aufgedeckte SharePoint-Lücke. Offen bleibt, ob Zertifizierungen wie SOC 2 oder eine DSGVO-Konformitätserklärung, die tl;dv nach eigenen Angaben besitzt, bei der Auswahl solcher Werkzeuge künftig stärker hinterfragt werden. Im aktuellen Fall verhinderten sie die monatelang offene Lücke jedenfalls nicht.
