Railway-Hack: 740.000 $ KI-Rechnung. Dein API-Key ist eine Kreditkarte

Kennst du das? Jemand im Marketing baut übers Wochenende einen kleinen Workflow: Produkttexte per API, ein Agent, der Leads anreichert, ein Skript für Social Posts. Läuft super. Der API-Schlüssel steckt irgendwo in einer Umgebungsvariable bei einem Hoster. Niemand denkt mehr dran. Genau diese Schlüssel waren das Ziel.

Was passiert ist

• Der Angriff: Ab dem 20.10.2026 nutzten Angreifer laut BleepingComputer eine Lücke in Railways Build-Infrastruktur, kamen an interne Zugangsdaten und Quellcode und später an Schlüssel, mit denen sich Umgebungsvariablen von Kunden entschlüsseln lassen. Am 21.10. waren sie laut Railway draußen, am 22.10. bat Railway alle Kunden, ihre Secrets zu rotieren.
• Das Ausmaß: Entschlüsselt wurden Variablen in höchstens 1,85 % der Workspaces, rund 100.000. Railway nennt das eine Obergrenze, keine bestätigte Zahl.
• Das Ziel: Die Angreifer suchten gezielt nach Zugangsschlüsseln von KI-Anbietern. Damit wurden rund 740.000 Dollar unberechtigte KI-Nutzung verbraucht. Welche Anbieter betroffen sind, steht nicht im Bericht.
• Die Folgen: Railway klärt Erstattungen mit den KI-Anbietern und übernimmt, was diese ablehnen. Tokens von 1.852 Nutzern, darunter GitHub-Zugänge und Keys von KI-Agenten, wurden zurückgesetzt.

KI-Schlüssel sind die neue Beute

Früher wollten Angreifer Kundendaten oder Kreditkarten. Hier wollten sie Rechenleistung. Railway vermutet Weiterverkauf oder Modell-Destillation, also das Abschöpfen von Antworten, um eigene Modelle zu trainieren. Und es ist kein Einzelfall: Das Sicherheitsunternehmen Wiz ordnet den Fall einer Kampagne zu, die es „Black October“ nennt und die auch andere Entwickler-Plattformen getroffen hat.

Heißt: Ein KI-Schlüssel ist heute eine Kreditkarte ohne Limit, die in einer Textdatei liegt. Und die meisten Marketing-Teams haben nie eine Spending-Policy dafür geschrieben, weil es „nur ein Test“ war.

Der Haken liegt nicht bei Railway, sondern im Fundament

Klar, hier wurde ein Hoster gehackt. Aber aus meiner Sicht zeigt der Fall etwas Grundsätzliches: KI repariert keine kaputten Arbeitsweisen, sie vergrößert die Risse. Wer KI-Workflows baut, ohne zu wissen, welcher Schlüssel wo liegt, wem er gehört und was er maximal kosten darf, hat kein Tool-Problem. Er hat ein Prozess-Problem, das jetzt eine Rechnung schickt.

Ich baue meine eigene Website, Funnels und Kampagnen mit Claude. Genau deshalb gehört für mich die unspektakuläre Arbeit dazu: Schlüssel liegen nicht in Dropbox, sondern in einem Passwort-Manager oder geschützter Konfiguration. Das ist kein Sicherheitsrat vom Profi, sondern Hygiene, die jedes Team selbst festlegen kann.

Was ich jetzt tun würde

• → Inventur: Liste alle KI-Schlüssel eures Teams auf. Wer hat ihn erstellt, wo liegt er, welches Projekt nutzt ihn? Alles ohne Besitzer wird gelöscht.
• → Limits setzen: In den Konsolen der KI-Anbieter Ausgaben-Obergrenzen und Benachrichtigungen pro Projekt einrichten, wo der Anbieter das anbietet. Ein Limit von 50 Euro tut niemandem weh, 740.000 Dollar schon.
• → Wer Railway nutzt: Railways Hinweise im Vorfallbericht prüfen, Schlüssel beim KI-Anbieter widerrufen und neu anlegen, dann die Nutzung pro Schlüssel kontrollieren.

Bottom Line: Jeder KI-Schlüssel ohne Besitzer und ohne Limit ist eine offene Rechnung, die gerade jemand anderes bezahlt.