Notion-AI-Chats beim Fireworks-Angriff erbeutet

Notion hat am 09.11.2026 Kunden angeschrieben, deren Notion-AI-Chats beim Angriff auf den Inferenz-Dienstleister Fireworks AI in fremde Hände geraten sind. Betroffen sind laut Notion weniger als 1 Prozent der Workspaces. Unangenehmer als die Zahl ist ein Satz auf der Hilfeseite: Fireworks hatte Notion vertraglich zugesichert, keine Daten aufzubewahren. "Unfortunately, during our investigation we learned that data was retained from the Fireworks endpoints that we used."

Was passiert ist

Fireworks AI betreibt Inferenz für Open-Weight-Modelle und ist einer der Plattformen, die laut Wiz im Oktober Opfer einer Angriffswelle auf KI-Entwicklungsplattformen wurden. Das Update von Fireworks beschreibt einen zweiten Vorfall: Ein Cloud-Anbieter, der Entwicklungsrechner von Fireworks betrieb, wurde am 23.10.2026 angegriffen. Am 24.10. erreichte der Angreifer darüber die Fireworks-Rechner und kam bei einem Teil der Kunden an Secrets, Datasets und unvollständige Modellgewichte. Fireworks bringt den Angriff mit einer finanziell motivierten Gruppe in Verbindung, die gestohlenen Zugang zu Sprachmodellen weiterverkauft.

Die Zeitleiste aus Notions Security Advisory:

Welche Daten betroffen sind

Es geht um Chat-Transkripte aus Notion AI, also alles, was Nutzer in den Chat geschrieben und was das Modell geantwortet hat. Notion hat diese Chats gespeichert, um sie für die Funktion Insights auszuwerten, mit der Admins sehen, wie ihr Team KI nutzt. Die Auswertung lief über Fireworks.

Notion betont, die Transkripte seien für die meisten betroffenen Workspaces "unattributable" gewesen: ohne Angabe, wer sie geschrieben hat oder aus welchem Workspace sie stammen, und ohne Ergebnisse von Tool-Aufrufen. Das hilft nur bedingt. Wer im Chat einen Kundennamen, einen Vertragsentwurf oder ein Passwort stehen hat, dem nützt die fehlende Zuordnung wenig.

Meeting-Notizen (Audio, Transkripte, Zusammenfassungen) sind nur betroffen, wenn sie im Chat als Eingabe verwendet wurden. Außerdem betroffen sind Daten aus Notions Learning and Early Access Program, die Kunden freiwillig für Trainingsexperimente bereitgestellt hatten.

Notion hat Insights vorerst abgeschaltet, liefert keine Open-Weight-Modelle mehr über Fireworks aus und kündigt ein Audit seiner kritischen Dienstleister an.

Was ihr jetzt tun solltet

Wer keine Nachricht von Notion bekommen hat, gilt laut Notion derzeit nicht als betroffen. Die Untersuchung läuft aber noch.

1. Workspace-Owner prüfen den Workspace. In der Seitenleiste über ? den Punkt "Security incident review" öffnen, im Desktop-Browser, nicht in der App am Handy. Dort gibt es eine CSV mit allen betroffenen Mitgliedern und der Zahl betroffener Einträge je Person.
2. Inhalte sichten. Mit verifizierter Domain stehen zusätzlich die betroffenen Inhalte als CSV bereit, eine Fassung davon markiert mögliche sensible Stellen wie Zugangsdaten. Ohne verifizierte Domain können Owner einen Link an die Mitglieder schicken, über den jeder seine eigenen Daten sieht. Laut Kommentaren auf Hacker News wurden Mitglieder nicht automatisch informiert, das muss also der Owner anstoßen.
3. Zugangsdaten rotieren. Notion rät, die Daten zu behandeln, als wären sie offengelegt. Wer Passwörter, API-Keys oder Tokens in Notion AI eingefügt hat, sollte sie sofort austauschen.
4. Meldepflicht prüfen. Stehen in den betroffenen Chats personenbezogene Daten, ist das eine Datenschutzverletzung, die ihr als Verantwortliche bewerten müsst. Die Frist für eine Meldung an die Aufsichtsbehörde beträgt nach Art. 33 DSGVO 72 Stunden ab Kenntnis. Notion sagt auf beiden Seiten nichts zu Behördenmeldungen.

Eine Zusage ist keine Garantie

Zero Data Retention ist ein Vertragsversprechen, keine technische Sperre. Notions ZDR-Zusage an Enterprise-Kunden deckt laut eigener Hilfeseite ohnehin nur Anfragen an Modellanbieter ab, nicht Funktionen wie Chat-Verlauf oder Insights, für die Notion Daten speichern muss. Und selbst die Zusage, die Notion von Fireworks bekommen hatte, hielt nicht. Fireworks selbst äußert sich in seinem Update nicht zu Notion. Dort heißt es nur, Inferenz, Training SDK und Nexus seien standardmäßig ohne Datenaufbewahrung und nicht betroffen.

Die Kette hinter einer Chat-Box in einem SaaS-Werkzeug ist oft länger, als der Anbieter auf seiner Produktseite zeigt. In die Auftragsverarbeitung gehört deshalb die Liste der Unterauftragsverarbeiter, und in den Chat gehören keine Zugangsdaten, egal wie bequem es gerade ist.