Auf Railway laufen Apps, Datenbanken und Bots — und in den Umgebungsvariablen liegen die Schlüssel zu allem anderen. Genau dort hat sich laut Plattform am 21. Oktober 2026 jemand umgesehen. Railway spricht von „anomaler Aktivität“ in Systemen, die Kunden-Variablen speichern.
DAS IST PASSIERT
Ein Unbefugter hat laut Railway möglicherweise auf verschlüsselte Umgebungsvariablen zugegriffen, in manchen Fällen auch auf entschlüsselte Inhalte. Betroffen sei eine Teilmenge der Nutzer. Eine konkrete Zahl nennt Railway nicht. Wie der Zugriff gelang, geht aus der Berichterstattung nicht hervor.
Railway ordnet den Vorfall als Teil einer Serie von Angriffen auf Plattform-Firmen ein. Das eigentliche Ziel seien KI-Inferenz-Anbieter. Das ist die Einschätzung des Unternehmens, belegt ist sie nicht.
ERSTE SCHÄDEN: Krypto-Wallets leer
Die Sicherheitsforscherin Taylor Monahan berichtet, dass Angreifer Krypto-Wallets geleert haben, deren private Schlüssel auf Railway lagen. Der erste bekannte Diebstahl soll um 19:36 Uhr stattgefunden haben, mindestens zwei Stunden vor der öffentlichen Meldung. Die Zeitzone nennt der Bericht nicht.
Die Symantec-Forscher beobachten parallel eine Welle von LLMjacking: Dabei nutzen Angreifer gestohlene KI-Zugänge, und das Opfer zahlt die Rechenzeit. Einen Zusammenhang mit Railway gibt es laut Symantec-Experte Dick O’Brien nicht. Er weist aber darauf hin, dass Schlüssel aus Umgebungsvariablen genauso missbraucht werden könnten. Ob das bei Railway geschehen ist, hat die Plattform bisher nicht gesagt.
DAS TUT RAILWAY
- Upstream-Anbieter wurden informiert, damit sie Schlüssel vorsorglich widerrufen können.
- Alle Bucket-Zugänge wurden rotiert, die API-Tokens ungültig gemacht.
- Builds laufen wieder für Pro- und Enterprise-Workspaces, damit Kunden neue Zugangsdaten ausrollen können. Hobby, Free und Trial sollen folgen.
Rechne mit Verzögerungen: Manche Builds scheitern häufiger als üblich, viele Deployments stehen in der Warteschlange.
SO REAGIERST DU
- Alles rotieren: Railway empfiehlt, alle Umgebungsvariablen zu erneuern — API-Schlüssel, Datenbank-Passwörter, Tokens — und die Zugänge zu privaten Registries.
- Erst neu, dann alt: Prüfe, dass der neue Schlüssel funktioniert, bevor du den alten widerrufst.
- Logs lesen: Schau bei den Diensten, deren Schlüssel auf Railway lagen, nach ungewöhnlicher Aktivität — Nutzungsspitzen bei KI-APIs, unbekannte Logins, Abbuchungen.
- Wallet-Schlüssel: Wer private Krypto-Schlüssel in Variablen hielt, sollte Guthaben sofort auf neue Adressen verschieben.
DIE LEHRE FÜR DEIN HOMELAB
Egal ob Railway, Hetzner Cloud oder dein eigener Server: Ein Secret-Speicher ist ein Klumpenrisiko. Gib Schlüsseln nur die Rechte, die sie brauchen. Setze Ausgabelimits bei KI-APIs. Und halte einen Plan bereit, wie du in einer Stunde alles rotierst — bevor du ihn brauchst.