AKTUELL
Railway-Sicherheitsvorfall: Kunden sollen API-Schlüssel austauschen
Beim Railway-Sicherheitsvorfall könnten Zugangsdaten offengelegt worden sein, mit denen Anwendungen auf Datenbanken und andere Dienste zugreifen. Der Cloudanbieter hat am 21. Oktober ungewöhnliche Aktivitäten in den Systemen für gespeicherte Umgebungsvariablen gemeldet und empfiehlt allen Kunden, dort hinterlegte geheime Zugangsdaten auszutauschen. Die Bereitstellung von Anwendungen läuft inzwischen wieder, die Untersuchung ist jedoch noch nicht abgeschlossen.
Für Betreiber von Websites, Apps und KI-Anwendungen geht es damit um mehr als die Erreichbarkeit ihrer Projekte. Ein möglicherweise kopierter Schlüssel kann auch außerhalb von Railway weiterverwendet werden, solange er beim zugehörigen Dienst gültig bleibt.
Was zum Railway-Sicherheitsvorfall bekannt ist
Nach der offiziellen Sicherheitsmitteilung könnte ein unbefugter Dritter auf verschlüsselte Umgebungsvariablen zugegriffen und bei einem Teil davon auch die entschlüsselten Inhalte erhalten haben. Solche Variablen liefern einer Anwendung ihre Konfiguration. Darin können etwa Datenbankpasswörter, API-Schlüssel oder Zugangsdaten für private Softwareverzeichnisse liegen.
Railway hält es nach seiner bisherigen Analyse für möglich, dass nur ein Teil der Kunden betroffen ist. Die vorsorgliche Handlungsempfehlung richtet sich trotzdem an alle Nutzer. Wie viele Konten tatsächlich erreicht wurden und über welchen Weg der Zugriff erfolgte, geht aus der ersten Mitteilung nicht hervor.
Neue Schlüssel müssen beim jeweiligen Dienst entstehen
Für den Austausch ist entscheidend, wo ein Zugang seine Berechtigung erhält. Einen neuen Wert lediglich in Railway einzutragen, entzieht dem alten Schlüssel noch keine Rechte beim ursprünglichen Anbieter. Betroffene Zugangsdaten müssen deshalb dort widerrufen oder deaktiviert und anschließend durch neue ersetzt werden.
Die Railway-Anleitung für AWS-Zugänge beschreibt diese Reihenfolge ausdrücklich: möglicherweise offengelegte Schlüssel deaktivieren, Ersatz hinterlegen und die Anwendungen damit neu bereitstellen. Anschließend sollen Betreiber die Zugriffsprotokolle und Abrechnungen auf unbekannte Aktivitäten prüfen. Dazu gehören auch unerwartete Ressourcen oder Änderungen an Berechtigungen.
Für deutsche Betreiber betrifft die Warnung auch externe Dienste, deren Zugangsdaten in Railway liegen. Den Austausch sollten die zuständigen Administratoren durchführen.
Bei Datenbanken reicht das Ändern einer Variablen nicht
Für PostgreSQL nennt Railway einen unterstützten Weg über die Datenbankverwaltung. Die Funktion „Regenerate“ ändert das Passwort in der Datenbank und aktualisiert die zugehörigen Variablen gemeinsam. Der Anbieter warnt davor, nur eine Passwortvariable von Hand zu überschreiben: Dann können gespeicherte Konfiguration und tatsächlich gültiges Datenbankpasswort auseinanderlaufen.
Nach der PostgreSQL-Anleitung müssen anschließend sämtliche Dienste, die diesen Zugang verwenden, erneut bereitgestellt werden. Laufende Container lesen ihre Umgebungsvariablen erst beim Start ein. Ein bereits geänderter Eintrag bedeutet deshalb noch nicht, dass jede Anwendung den neuen Wert verwendet.
Auch externe Werkzeuge und automatisierte Aufgaben können noch alte Verbindungsdaten enthalten. Nach der Umstellung sollten Betreiber erfolgreiche Verbindungen kontrollieren und nach unbekannten Sitzungen oder Datenänderungen suchen. Ein neues Passwort klärt nicht, was vorher mit dem alten geschehen ist.
Speicherzugänge und GitHub benötigen weitere Schritte
Railway hat die Zugangsschlüssel seiner Speicher-Buckets bereits selbst zurückgesetzt. Anwendungen, die diese Speicher verwenden, müssen die neuen Werte jedoch noch übernehmen. Dafür verlangt der Anbieter ebenfalls eine erneute Bereitstellung; außerhalb von Railway hinterlegte Kopien der alten Zugangsdaten müssen gesondert ersetzt werden.
Bei GitHub ist eine wichtige Unterscheidung nötig. Railway hat die Tokens für Kontoverbindungen ungültig gemacht und gespeicherte Tokens für private Containerverzeichnisse aus seiner Plattform entfernt. Die zweite Gruppe kann laut Wiederherstellungsanleitung bei GitHub weiterhin gültig sein. Solche Tokens müssen Kunden daher zusätzlich direkt bei GitHub widerrufen.
Außerdem kann es erforderlich sein, die GitHub-Verbindung neu einzurichten. Die Rückkehr des normalen Plattformbetriebs stellt diese projektbezogenen Zugänge nicht automatisch wieder her.
Anwendungen lassen sich wieder bereitstellen
Die Statusseite zum Vorfall meldet am 23. Oktober wieder reguläre Builds und Bereitstellungen für Enterprise, Pro, Hobby, Trial und Free. Neue Registrierungen bleiben laut dem zuletzt veröffentlichten Stand vorübergehend pausiert. Frühere Railway-API- und Projekt-Tokens wurden ungültig gemacht und müssen bei weiterer Verwendung ersetzt werden.
Railway hat Kunden benachrichtigt, die mit sehr hoher Wahrscheinlichkeit betroffen sind, und untersucht weitere Kundengruppen. Ein angekündigter vorläufiger Untersuchungsbericht war zum Recherchezeitpunkt noch nicht veröffentlicht. Aus einer bislang ausgebliebenen Nachricht lässt sich deshalb keine sichere Entwarnung für ein bestimmtes Projekt ableiten.
Warnungen sollten über selbst aufgerufene Anbieterseiten geprüft werden. Wie glaubwürdig betrügerische Aufforderungen zum Austausch von API-Schlüsseln wirken können, zeigte bereits Phishing über echte Mailkanäle bei Brevo. Für Railway-Kunden bleiben jetzt die offiziellen Hinweise, der vollständige Austausch der betroffenen Zugänge und die Kontrolle ihrer tatsächlichen Verwendung maßgeblich.
Stand der Recherche: 23. Oktober 2026, 17:30 Uhr MESZ.
Hauptquellen
- Railway: Sicherheitsmitteilung vom 21. Oktober
- Railway: Verlauf und aktueller Betriebsstatus des Vorfalls
- Railway: Austausch von PostgreSQL-Zugangsdaten
- Railway: Neue Speicherzugänge und Wiederherstellung der GitHub-Verbindungen
- Railway: AWS-Schlüssel austauschen und Zugriffe prüfen
Transparenzhinweis: Der Beitrag beruht auf Railways Sicherheitsmitteilung, Statusmeldungen und technischen Hilfen. Angaben zum möglichen Datenzugriff, zur Betroffenheit und zur Wiederherstellung stammen vom Anbieter. gadgetChecks hat den Vorfall und die beschriebenen Maßnahmen nicht selbst technisch untersucht.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
gadgetChecks Technik
Tests, Kaufberatung, Technik-News, Ratgeber, Streaming und aktuelle Angebote.
Technikmagazin öffnenWas sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnenPflege, Kosmetik und Geräte
Produkte und Wissen für Frauen und Männer – ehrlich getestet und verständlich eingeordnet.
Gepflegt öffnenTraining, Ernährung und Supplements
Sport, Ausrüstung und Nahrungsergänzung – verständlich erklärt und kritisch eingeordnet.
Sport & Supplements öffnen
