Veröffentlicht am 13.08.2026
Ein Angreifer braucht keinen Benutzernamen, kein Passwort und keine gestohlenen Zugangsdaten – ein einziger präparierter Aufruf der Passwort-Zurücksetzen-Funktion genügt, um die volle administrative Kontrolle über eine Metabase-Instanz zu übernehmen. Genau das ist mit CVE-2026-72898 passiert: Eine kritische Sicherheitslücke im beliebten Analyse- und Dashboard-Werkzeug Metabase wurde bereits als sogenannter Zero-Day ausgenutzt – also als Schwachstelle, die Angreifer verwendeten, bevor überhaupt ein Patch existierte. Der Hersteller bestätigt aktive Angriffe, die US-Behörde CISA hat die Lücke am 11. August 2026 in ihren Katalog der aktiv ausgenutzten Schwachstellen aufgenommen, und das BSI bewertet den Fehler mit dem höchstmöglichen CVSS-Wert von 10.0.
Wenn Sie oder ein Dienstleister eine selbst gehostete Metabase-Instanz betreiben, ist dieser Artikel für Sie unmittelbar handlungsrelevant. Wir erklären, was passiert ist, wie Sie prüfen, ob Sie betroffen sind, und was Sie jetzt konkret tun müssen.
Metabase ist ein weit verbreitetes Werkzeug, mit dem Unternehmen ihre Geschäftsdaten auswerten und in übersichtlichen Dashboards darstellen – etwa Umsätze aus dem Shop, Kundendaten aus dem CRM oder Support-Tickets. Dazu verbindet sich Metabase mit den dahinterliegenden Datenbanken und speichert dafür deren Zugangsdaten.
Genau hier setzt die Gefahr an. Am 6. August 2026 veröffentlichte der Hersteller Metabase eine Sicherheitsmitteilung, in der er erklärte, dass die eigene Cloud-Plattform über eine bis dahin unbekannte Lücke angegriffen worden war. In der offiziellen Warnung heißt es:
„We recently identified that Metabase Cloud was attacked by someone utilizing an unknown (‚0-day‘) security vulnerability in versions 1.58 and above. We immediately blocked the endpoints used for the attack, then quickly identified and patched the vulnerability.“ (Metabase, Sicherheitswarnung vom 6. August 2026)
Auf Deutsch: Metabase Cloud wurde über einen unbekannten Zero-Day angegriffen. Der Hersteller blockierte die missbrauchten Zugriffspunkte sofort, identifizierte die Lücke und schloss sie. Metabase Cloud ist bereits aktualisiert – hier müssen Kunden nichts weiter tun. Das eigentliche Problem betrifft nun alle selbst gehosteten Instanzen, die Unternehmen auf eigenen Servern, in Docker-Containern oder bei einem Hoster betreiben. Diese müssen einzeln geprüft und gepatcht werden.
Bei der Lücke handelt es sich um eine sogenannte SQL-Injection (Fachklassifikation CWE-89). Das bedeutet: Ein Angreifer schleust eigene Datenbankbefehle in eine Abfrage ein, die eigentlich nur harmlose Werte verarbeiten sollte. Die Datenbank führt diese untergeschobenen Befehle dann aus, als kämen sie von der Anwendung selbst.
Der Angriffsweg ist der Endpunkt /api/session/reset_password – also die Funktion, über die man normalerweise ein vergessenes Passwort zurücksetzt. Nach der technischen Rekonstruktion des Sicherheitsanbieters Wiz blieb in einem fehlerhaften Ablauf ein zusätzlich mitgeschickter Wert („user-id“) erhalten und wurde von der eingesetzten SQL-Bibliothek als roher Datenbankbefehl interpretiert. Genau dieser Wert konnte in eine Abfrage der Metabase-Anwendungsdatenbank gelangen. Der Patch behebt das, indem er für diese Abfrage nur noch positive ganze Zahlen als Benutzer-ID akzeptiert.
Entscheidend ist die Kombination, die diese Lücke so gefährlich macht: Der Angriff ist über das Netzwerk möglich, erfordert keine Anmeldung und keine Interaktion eines Nutzers. Die GitHub-Sicherheitswarnung des Herstellers fasst die Folgen so zusammen:
„This is a CRITICAL vulnerability that allows an unauthenticated remote attacker to inject arbitrary SQL into the Metabase application database, which can give them administrator access to the instance.“ (Metabase, GHSA-vwf4-m7j8-wcjf)
Ein erfolgreicher Angreifer kann laut Hersteller:
Wichtig zur Einordnung: Es handelt sich nicht um eine Lücke in den angebundenen Datenbanken selbst. Aber weil Metabase deren Zugangsdaten speichert und Exportfunktionen bietet, kann ein reines Reporting-System zum Einfallstor für kunden- und geschäftskritische Daten werden – abhängig davon, welche Rechte die hinterlegten Datenbankverbindungen besitzen.
Öffentliche Angriffswerkzeuge waren nach Beobachtung von Wiz spätestens am 10. August 2026 gegen Mittag (UTC) frei verfügbar:
„As of noon UTC on August 10th, we have observed public proof-of-concept exploits open-sourced.“ (Rami McCarthy, Wiz Research)
Aus Schutzgründen enthält dieser Artikel keine Exploit-Details oder reproduzierbaren Angriffsschritte.
Betroffen sind selbst gehostete Metabase-Instanzen ab Version 1.58 (bzw. 0.58), die noch nicht auf eine der korrigierten Versionen aktualisiert wurden. Versionen unter 0.58 sind laut Hersteller nicht betroffen. Metabase Cloud wurde bereits vom Anbieter aktualisiert.
Für kleine und mittlere Unternehmen bedeutet das: Nicht der normale Besuch Ihrer Website ist gefährdet, sondern jede eigene oder von einem Dienstleister betriebene Metabase-Umgebung – besonders, wenn sie aus dem Internet erreichbar ist. Wiz beobachtete in seinen Daten, dass rund 13 % der Cloud-Umgebungen selbst gehostetes Metabase einsetzten und davon etwa 25 % vollständig aus dem Internet erreichbar waren. Über den Suchdienst Shodan wurden rund 2.500 Metabase-Instanzen im Internet inventarisiert. Wichtig: Diese Zahl beschreibt nur erreichbare Systeme – nicht bestätigt verwundbare oder kompromittierte Instanzen. Eine verifizierte Gesamtzahl kompromittierter Organisationen oder abgeflossener Datensätze hat weder Metabase noch CISA noch das BSI veröffentlicht.
Dass die Angriffe real sind, zeigen erste öffentlich gewordene Vorfälle: Der Dienst n8n meldete am 11. August 2026 forensisch bestätigt 7 Datensätze mit Cloud-Benutzernamen und E-Mail-Adressen sowie 5 Datensätze mit Name, Cloud-Benutzername, E-Mail-Adresse und einem bcrypt-Passwort-Hash; weitere 62 Datensätze mit Namen und E-Mail-Adressen könnten betroffen sein. Kilo Code/Anaconda berichtete von einem Vorfall am 2. August 2026, der etwa vier Stunden dauerte und bei dem unter anderem Prompts, Name, E-Mail, Rechnungsadresse, Standort und bei einer Teilgruppe Slack-Zugangstoken betroffen gewesen sein könnten.
Ein Hinweis zur Vorsicht: Eine reine Versionsprüfung oder das Ausbleiben des genannten Logmusters schließt andere Angriffsspuren nicht zwingend aus. Bei Verdacht behandeln Sie den Fall als Sicherheitsvorfall.
Hinweis: Dies ist eine allgemeine Einordnung und keine Rechtsberatung.
Ein erfolgreicher oder hinreichend konkret vermuteter Zugriff auf personenbezogene Daten über Metabase kann eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO sein. In diesem Fall müssen Verantwortliche nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden ab Kenntnis an die zuständige Aufsichtsbehörde melden – es sei denn, die Verletzung führt voraussichtlich zu keinem oder nur geringem Risiko für die Rechte und Freiheiten der Betroffenen. Meldet man später, ist die Verzögerung zu begründen. Selbst wenn keine Meldung erfolgt, besteht eine Dokumentationspflicht (Art. 33 Abs. 5). Auftragsverarbeiter müssen den Verantwortlichen unverzüglich informieren. Besteht voraussichtlich ein hohes Risiko für Betroffene, ist zusätzlich eine Benachrichtigung nach Art. 34 DSGVO zu prüfen.
Je nach angebundenen Datenquellen können hier Kontakt-, Kunden-, Nutzungs-, Adress- oder Analysedaten sowie Zugangsdaten betroffen sein. Deshalb sind Datenkategorien, Umfang, tatsächlicher Zugriff, Schutzmaßnahmen und Folgerisiken einzelfallbezogen zu bewerten. Eine Meldepflicht entsteht nicht allein wegen einer ungepatchten Version, sondern aufgrund einer tatsächlichen Datenschutzverletzung und der Risikobewertung. Das Beispiel n8n zeigt, dass ein Unternehmen nach forensischer Analyse sowohl Betroffene kontaktierte als auch die Berliner Datenschutzaufsicht informierte.
Bußgelder lassen sich nicht pauschal prognostizieren: Art. 83 DSGVO verlangt eine einzelfallbezogene, wirksame, verhältnismäßige und abschreckende Bemessung. Der Rahmen reicht für Verstöße gegen die Sicherheit der Verarbeitung (Art. 32) bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, für bestimmte Grundsatzverstöße bis zu 20 Mio. EUR oder 4 %. Als – nicht unmittelbar vergleichbarer – Referenzfall dokumentiert der amtliche British-Airways-Bescheid aus 2020 ein Bußgeld von 20 Mio. GBP wegen unzureichender Sicherheit; maßgeblich waren dort unter anderem Art, Schwere, Dauer, Zahl der Betroffenen, Schutzmaßnahmen, Abhilfe und Kooperation.
CVE-2026-72898 ist ein Ernstfall: höchste Kritikalität (CVSS 10.0), Angriff ohne Anmeldung und ohne Nutzerinteraktion, bestätigte aktive Ausnutzung, Aufnahme in den CISA-KEV-Katalog, BSI-Warnung und öffentlich verfügbare Exploit-Werkzeuge. Wer eine selbst gehostete Metabase-Instanz betreibt, sollte jetzt nicht abwarten.
Die gute Nachricht: Es gibt Patches für alle unterstützten Versionszweige, und Metabase Cloud ist bereits aktualisiert. Handeln Sie in dieser Reihenfolge: Instanzen finden, Version prüfen, sofort patchen, Erreichbarkeit des Reset-Endpunkts kontrollieren, Logs auf den 400/200-Indikator durchsuchen, Sitzungen widerrufen, API-Schlüssel bereinigen, Datenbank-Zugangsdaten rotieren – und bei Verdacht auf einen Datenzugriff die DSGVO-Pflichten prüfen. Und selbst wenn Sie kein Metabase betreiben: Klären Sie mit Ihren Web-, Shop-, Hosting-, Agentur- oder Analyse-Dienstleistern ausdrücklich, ob dort in Ihrem Auftrag eine Metabase-Instanz läuft. Ein zügiges Update kostet Sie heute wenige Minuten – ein übersehener Zugangspfad kann Sie später weit mehr kosten.