Einbruch über die Hintertür: Was der Vercel-Hack uns über digitales Vertrauen lehrt

Wer heute eine Website betreibt, vertraut nicht nur seinem Hoster – sondern automatisch auch allen Tools, die dieser nutzt. Was der Vercel-Hack im April 2026 zeigt: Diese Kette ist nur so stark wie ihr schwächstes Glied.

Die bittere Lektion: Man muss nicht selbst gehackt werden, um die Kontrolle über seine Daten zu verlieren. Es reicht, wenn jemand am anderen Ende der Lieferkette einen Fehler macht.

Was ist Vercel eigentlich?

Bevor wir über den Vorfall sprechen, lohnt sich ein kurzer Blick auf die Frage: Was macht Vercel überhaupt? Stell dir Vercel wie einen Hochleistungs-Butler für das moderne Internet vor.

Wenn bei Vercel etwas passiert, ist das so, als gäbe es ein Problem beim größten Stromanbieter der Stadt – potenziell sind sehr viele Websites und Apps gleichzeitig betroffen. Genau deshalb hat der Vorfall im April 2026 die Fachwelt aufgeschreckt.

Was ist passiert?

Stell dir vor, du hast dein Haus perfekt abgesichert: Alarmanlage, Sicherheitsschlösser, Kameras. Doch dann gibst du einem externen Reinigungsdienst einen Zweitschlüssel – und genau dieser Schlüssel wird gestohlen. Der Einbrecher steht im Wohnzimmer, ohne ein einziges Fenster eingeschlagen zu haben.

Genau das ist im April 2026 bei Vercel passiert. Die Plattform gilt als das modernste, einfachste und sicherste Tool seiner Art. Doch der Angriff kam nicht durch einen Fehler in Vercels eigener Software. Er kam durch ein kleines KI-Tool, das ein einziger Mitarbeiter benutzt hat.

Die Angriffskette sah so aus:

1. Ein Mitarbeiter des KI-Tools Context.ai lud privat auf seinem Arbeitsrechner eine manipulierte Software bzw. ein Script aus dem Gaming-Umfeld herunter – ein klassischer Verbreitungsweg für sogenannte Infostealer, also Schadsoftware, die still im Hintergrund Zugangsdaten abgreift.
2. Die gestohlenen Daten landeten bei den Angreifern – darunter ein OAuth-Token, eine digitale Zugriffsberechtigung, die Context.ai von einem Vercel-Mitarbeiter erhalten hatte.
3. Mit diesem Token verschafften sich die Angreifer Zugriff auf bestimmte interne Systeme und zu Konfigurationsdaten von Kunden – sogenannten Environment Variables, in denen Entwickler oft API-Keys, Datenbankzugänge und Tokens speichern.

Was wurde kompromittiert?

Entwarnung (bisher): Laut Vercel wurden keine als sensibel markierten Daten kompromittiert. Next.js, Turbopack und alle Open-Source-Projekte blieben unberührt. Das befürchtete Worst-Case-Szenario – ein ökosystemweiter Angriff über npm – ist ausgeblieben. Betroffene Kunden wurden informiert und zur Rotation ihrer Zugangsdaten aufgefordert.

Warum uns das alle betrifft: Supply Chain 2.0

Früher bedeutete ein sogenannter Supply-Chain-Angriff – zu Deutsch: Lieferkettenangriff – meistens, daß jemand direkt ein Bauteil oder ein Stück Code manipuliert hat. Heute läuft es subtiler ab: Ein Einbruch bei einer kleinen, spezialisierten Software-Firma kann weitreichende Folgen für riesige Plattformen haben, mit denen sie vernetzt ist.

Vielleicht nutzt du Vercel selbst – oder eine Agentur, der du deine Website anvertraut hast, tut es. Vielleicht weißt du es gar nicht. Und genau das ist der Punkt.

Wir alle verknüpfen täglich unbedarft Tools mit unseren Konten: Zoom für Meetings, Notion für Notizen, ChatGPT für Texte, Calendly für Termine. Und unsere Anbieter tun es auch. Jedes Mal, wenn wir eine App mit unserem Hauptkonto verknüpfen und alle Rechte bestätigen, verlängern wir diese Kette. Reißt ein Glied, wackelt das ganze System.

Du musst nicht selbst gehackt werden. Es reicht, wenn ein Tool, dem du vertraust, kompromittiert wird.

Die graue Zone: Das unterschätzte Problem

Ein Detail aus dem Vercel-Vorfall verdient besondere Aufmerksamkeit: Die Angreifer konnten auf Daten zugreifen, die schlicht nicht als sensibel eingestuft waren.

In vielen Systemen gibt es zwei Kategorien: Geheim (verschlüsselt, streng geschützt) und Normal (zugänglich, weniger Aufwand). Das Problem ist menschlicher Natur: Im Alltag wandern wichtige Zugangsdaten oft in die Normal-Schublade, weil es schneller geht. Weil der Sprint gerade läuft. Weil man es später noch ändern wollte.

Kein Einzelfall: Diese graue Zone ist kein technisches Versagen – es ist ein strukturelles. Und sie existiert in fast jedem Unternehmen. Wer beim Thema Sicherheit den Weg des geringsten Widerstands geht, zahlt später oft den höchsten Preis.

Was kannst du jetzt tun?

1. Freigaben aufräumen
   Schau in die Sicherheitseinstellungen deines Google- oder Microsoft-Kontos. Unter myaccount.google.com/permissions siehst du, welche Apps Zugriff auf dein Konto haben – und kannst diesen entziehen. Das Tool von vor drei Jahren, das du nie wieder genutzt hast: weg damit.
2. Minimale Berechtigungen vergeben
   Wenn eine App alle Rechte fordert, obwohl sie eigentlich nur deinen Kalender braucht, ist das ein Warnsignal. Minimale Berechtigungen sind kein Mißtrauen – sie sind gute Praxis.
3. Privates und Berufliches trennen
   Der Ursprung des Vercel-Hacks war ein privater Download auf einem Arbeitsrechner. Diese eine Entscheidung löste eine Kette aus, die ein Unternehmen mit Milliardenbewertung erschütterte. Private Downloads gehören nicht auf Geschäftsgeräte.
4. Deine Agentur fragen
   Falls du deine Website oder eingesetzte Apps nicht selbst betreibst: Frag deine Agentur, auf welcher Plattform sie hostet und welche Tools sie einsetzt.