Apify Datenleck: Was passiert ist und was Ihr Unternehmen tun sollte

Das Apify Datenleck betrifft eine Plattform, die viele Unternehmen nutzen, ohne es zu wissen: Hinter einem n8n-, Make- oder Zapier-Workflow, der Leads, Wettbewerberpreise oder Bewertungen sammelt, steckt oft ein Actor von Apify. Am 9. und 10. November 2026 drang ein Angreifer in Teile der internen Systeme von Apify ein. Das Prager Unternehmen bemerkte den Zugriff am 11. November und hat seitdem sämtliche API-Tokens seiner Kunden rotiert. Wenn Ihr Unternehmen Apify nutzt, direkt oder über einen Dienstleister, sollten Sie heute noch einige Dinge erledigen.

Wir schreiben diesen Artikel auch als Kunden. Selli nutzt Apify, um die Daten von zwei CRM-Systemen anzureichern, und am 12. November haben wir sowohl die E-Mail zur Token-Rotation erhalten, die an alle Kunden ging, als auch die zu den eingesehenen Kontodaten, die nur an die betroffenen Nutzer ging. Am Morgen des 13. brach unser automatischer Job beim ersten Aufruf mit einem 401-Fehler ab: Der gespeicherte Token existierte nicht mehr.

Was bei Apify passiert ist

Apify ist eine Plattform für Web Scraping und Browser-Automatisierung: Nutzer starten sogenannte Actors, kleine fertige oder selbst geschriebene Programme, die Websites, Suchmaschinen und soziale Netzwerke auslesen und strukturierte Daten zurückliefern. Laut eigener Unternehmensseite hat Apify weltweit 91.000 Kunden.

Der Ablauf, wie ihn die Statusseite von Apify schildert:

• 9. und 10. November 2026: Ein unbefugter Dritter verschafft sich Zugang zu Teilen der internen Systeme;
• 11. November, 12:13 UTC: Apify erkennt die Aktivität, unterbindet den Zugriff und leitet eine Untersuchung ein;
• 11. November abends: erste öffentliche Meldung und vorsorglicher Widerruf einiger OAuth-Verbindungen, darunter GitHub;
• 12. November: Apify erklärt, der Angreifer habe mit einer kompromittierten Zugangsberechtigung weitere Konto-Zugangsdaten erlangt und damit auf verknüpfte Konten zugegriffen. Dieser Weg sei inzwischen geschlossen, die zuständigen Behörden seien informiert;
• 12. November nachmittags: E-Mail an die Kunden, deren Daten eingesehen wurden. Wer keine erhalten hat, gilt derzeit als nicht betroffen.

Die Untersuchung läuft noch, Apify hat einen Post-Mortem-Bericht angekündigt. Die folgenden Angaben stützen sich auf die bis zum 13. November veröffentlichten offiziellen Mitteilungen und auf die Berichterstattung von BleepingComputer. Einzelheiten können sich also noch ändern.

Welche Daten offengelegt wurden

In der E-Mail an die betroffenen Nutzer teilt Apify die Daten, die der Angreifer einsehen konnte, in vier Gruppen ein:

Nach Angaben von Apify wurden weder vollständige Kartennummern noch Sicherheitscodes, geheime Umgebungsvariablen oder geheime Actor-Eingaben offengelegt. Das Unternehmen hat nach eigener Aussage auch keine Hinweise auf Zugriffe auf Actors, Ausführungen und Datasets gefunden, also auf die Daten, die Kunden mit der Plattform sammeln.

Heikel sind vor allem die Wiederherstellungscodes der Zwei-Faktor-Authentifizierung. Ein Angreifer, der das Passwort kennt, kann damit den zweiten Faktor umgehen. Deshalb hat Apify die 2FA-Einstellungen der betroffenen Konten zurückgesetzt und bittet darum, sie neu einzurichten.

Apify API-Token: Warum die Automatisierungen stillstehen

Viele mittelständische Unternehmen haben die Apify-Konsole nie geöffnet. Sie nutzen den Dienst über einen Marketingberater, der in Make ein Szenario gebaut hat, um Leads aus LinkedIn oder Google Maps zu ziehen, über eine Agentur, die Preise auf Amazon beobachtet, oder über eine Integration, die ein externer Entwickler eingerichtet hat. In all diesen Fällen ist der Apify-Token irgendwo gespeichert: in einem n8n-Knoten, in einer Zapier-Variable, in einer .env-Datei auf einem Server oder in einer Tabelle mit „den Schlüsseln“, die mit dem Dienstleister geteilt wird.

Seit dem 12. November funktionieren diese Tokens und die Passwörter für den Apify Proxy nicht mehr. Das hat zwei praktische Folgen.

Die erste betrifft den Betrieb: Die Workflows stehen still. Das Problem ist, dass das nicht immer jemand merkt. Ein Szenario, das nachts läuft und ins CRM schreibt, kann tagelang unbemerkt fehlschlagen, und als Erstes fällt es dem Vertriebsmitarbeiter auf, bei dem am Montag keine Leads ankommen. Wenn Ihre Automatisierung keine Warnung verschickt, sobald ein Aufruf mit 401 beantwortet wird, ist heute der richtige Tag, sie von Hand zu prüfen.

Die zweite betrifft Phishing. Wer Name, Rechnungsadresse, USt-IdNr., die letzten Kartenziffern und den gebuchten Tarif gesehen hat, kann sehr glaubwürdige E-Mails schreiben: eine gefälschte Apify-Rechnung mit den richtigen Daten, eine Meldung „Verlängerung fehlgeschlagen“ mit den korrekten letzten vier Ziffern, einen Link, um „den Token wieder zu aktivieren“. Apify stellt klar, dass es niemals nach dem Passwort fragen wird. Informieren Sie Ihre Buchhaltung: Mit diesen Daten lässt sich leicht eine gefälschte Rechnung erstellen, die echt aussieht.

Was Sie jetzt tun sollten: die Checkliste

Wenn Sie Apify nutzen oder ein Dienstleister es in Ihrem Auftrag nutzt:

1. Klären Sie, wer Apify wo einsetzt. Fragen Sie kurz bei Marketing, Vertrieb und externen Dienstleistern nach. Oft läuft das Konto auf einen Berater und nicht auf das Unternehmen: Dann muss er die folgenden Schritte erledigen, aber Sie sollten es überprüfen.
2. Holen Sie den neuen Token und das neue Proxy-Passwort aus der Apify-Konsole und ersetzen Sie beide überall: in Skripten, CI/CD-Pipelines, den Zugangsdaten von n8n, Make und Zapier und in den Umgebungsvariablen Ihrer Server. Wenn der Token an mehreren Stellen hinterlegt war, ist jetzt der Moment, ihn an einer einzigen Stelle zu verwalten.
3. Wenn Sie die E-Mail zu den eingesehenen Daten erhalten haben, richten Sie die Zwei-Faktor-Authentifizierung gemäß den Anweisungen von Apify neu ein und bewahren Sie die neuen Wiederherstellungscodes außerhalb Ihres Postfachs und außerhalb geteilter Dokumente auf.
4. Verbinden Sie GitHub neu, wenn Sie Actors aus privaten Repositories bauen: im Actor „Change provider“, dann GitHub wählen und autorisieren, einmal für jedes Konto und jede Organisation. Prüfen Sie außerdem, wie von Apify empfohlen, die letzten Aktivitäten auf GitHub.
5. Verbinden Sie die Integrationen neu, zu denen Apify Ihnen eine separate E-Mail geschickt hat.
6. Starten Sie die seit dem 12. November ausgefallenen Jobs (seit dem 11., wenn sie von GitHub abhängen) von Hand neu, sofern Sie die Daten noch brauchen (Leads, Preislisten, Berichte).
7. Weisen Sie die Personen, die Rechnungen bezahlen, darauf hin, bei „Apify“-E-Mails mit Zahlungsaufforderungen, Fragen nach Zugangsdaten oder dringenden Handlungsaufforderungen misstrauisch zu sein und immer den Absender zu prüfen.

Für weitere Neuigkeiten ist die Statusseite maßgeblich. Dort wird Apify auch den Post-Mortem-Bericht veröffentlichen.

Datenpanne beim Dienstleister und DSGVO: Wann der Vorfall auch Ihr Vorfall wird

Die Daten, die der Angreifer einsehen konnte, sind die Daten Ihres Kontos bei Apify. Dafür ist Apify der Verantwortliche im Sinne der DSGVO und hat nach eigener Aussage die Behörden bereits informiert. Anders sieht es bei den Daten aus, die Ihr Unternehmen mit der Plattform sammelt, zum Beispiel Kontaktdaten natürlicher Personen aus öffentlichen Profilen: Dafür sind in der Regel Sie der Verantwortliche, und Apify handelt als Ihr Auftragsverarbeiter, gemäß dem Auftragsverarbeitungsvertrag (AVV, englisch DPA), den Sie mit dem Dienst akzeptieren.

Die italienische Datenschutzbehörde Garante Privacy fasst die Regeln der DSGVO zusammen, die in der gesamten EU gelten: Der Auftragsverarbeiter, der eine Verletzung feststellt, muss den Verantwortlichen unverzüglich informieren. Der Verantwortliche muss sie der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden melden, es sei denn, ein Risiko für die betroffenen Personen ist unwahrscheinlich. Jede Verletzung muss in jedem Fall intern dokumentiert werden, auch wenn keine Meldung nötig ist.

Stand heute hat Apify nach eigenen Angaben keine Zugriffe auf die Datasets festgestellt. Sofern Sie keine anderslautende Mitteilung erhalten haben, gibt es für die mit der Plattform gesammelten Daten wahrscheinlich nichts zu melden. Halten Sie trotzdem intern fest, was passiert ist, was der Dienstleister Ihnen wann mitgeteilt hat und was Sie unternommen haben: Sollte die Untersuchung von Apify zu einem anderen Ergebnis kommen, haben Sie alles beisammen. In Zweifelsfällen sollten Sie die Entscheidung mit Ihrem Datenschutzbeauftragten oder Datenschutzberater treffen, nicht anhand eines Blogartikels.

Die Lehre für alle, die Automatisierungen bauen

Der Token eines externen Dienstes ist ein Haustürschlüssel. In vielen mittelständischen Unternehmen liegt dieser Schlüssel an fünf Stellen, ein Berater kennt ihn, der inzwischen den Job gewechselt hat, und niemand kann sagen, welche Workflows stehen bleiben würden, wenn man ihn austauscht. Der Vorfall bei Apify hat das vielen an einem einzigen Tag vor Augen geführt.

Die Regeln, die wir in unseren Projekten zur Systemintegration anwenden, sind wenige und unspektakulär:

• Jeder externe Dienst hat ein Konto, das auf das Unternehmen läuft und nicht auf eine Person;
• jeder Schlüssel liegt an genau einer Stelle (in einem Vault oder in den Umgebungsvariablen des Servers), und der Code liest ihn von dort;
• es gibt eine aktuelle Liste, welche Schlüssel existieren, wer sie sehen darf und welche Workflows sie nutzen;
• jede Automatisierung, die eine externe API aufruft, verschickt eine Warnung, wenn sie einen 401- oder 403-Fehler erhält, statt unbemerkt fehlzuschlagen;
• ein Schlüssel lässt sich in wenigen Minuten austauschen, ohne dass alles stillsteht, und das wird mindestens einmal geübt, bevor es wirklich nötig ist.

Das sind dieselben Anforderungen, die ein Managementsystem für Informationssicherheit stellt, wie wir es in unserem Leitfaden zur ISO 27001 beschreiben: wissen, welche Assets Sie haben, wer sie kontrolliert und wie Sie reagieren, wenn ein Dienstleister ein Problem hat. Für einen breiteren Überblick haben wir außerdem einen Leitfaden zur IT-Sicherheit für KMU geschrieben und eine einfache Erklärung, wie APIs funktionieren.

In unserem Fall hat das eigene Log den angehaltenen Job schon bei der ersten Ausführung gemeldet. Nicht alle Automatisierungen, die schnell mit No-Code-Tools zusammengebaut wurden, sind so gut überwacht. Genau deshalb lohnt es sich, sie jetzt zu überprüfen, solange das Thema noch frisch ist.

Sprechen wir darüber

Wenn Sie nach dem Vorfall bei Apify Automatisierungen entdeckt haben, bei denen Sie nicht genau wissen, wer sie gebaut hat, wo die Schlüssel liegen oder was passiert, wenn sie ausfallen, helfen wir Ihnen, sie zu erfassen und in Ordnung zu bringen. Selli arbeitet nach ISO 27001 zertifiziert und entwickelt Integrationen mit zentral verwalteten Schlüsseln, Warnmeldungen und fertigen Rotationsverfahren. Schreiben Sie uns, und wir vereinbaren einen halbstündigen Call, um uns Ihre Workflows gemeinsam anzusehen.