Ehrlich gesagt, wir wurden angegriffen — Aber Ihre Daten sind sicher

Alles begann mit "Kostenlos"

Vor zwei Wochen trafen wir eine Entscheidung: Kostenlose KI-Modelle starten, damit mehr Nutzer Reverie erleben können.

An diesem Abend stieß das Team mit Pepsi an. (Ja, speziell Pepsi.)

Wir ließen unsere Dosen klirren und beobachteten, wie die Nutzerzahlen in Echtzeit stiegen. Jemand zog ein Wachstumsprojektionsdiagramm hervor. Die Stimmung war gut.

72 Stunden später verstanden wir, warum erfahrene Gründer immer etwas müde aussehen.

Was folgte, war eine vierwellige Angriffssequenz, die sich wie ein Boss-Rush anfühlte — nur dass wir die Mechaniken lernten, während wir getroffen wurden.

Aber zuerst das Wichtigste: Ihre Kontodaten, Gespräche und persönlichen Informationen wurden nie kompromittiert. Sie sind jetzt sicher und werden es bleiben. Wir haben ein dediziertes Sicherheitsteam, das rund um die Uhr überwacht, und diese Angriffe zielten auf unsere Ressourcen und Geldbeutel, nicht auf Ihre Daten. Die Angreifer wollten unsere Bandbreite und unser Geld — Ihre Gespräche mit Ihren KI-Begleitern waren nie in Gefahr.

Nun, lassen Sie uns durchgehen, was passiert ist.

---

Welle 1: Die Crawler-Armee

Was geschah

Tag zwei nach dem Gratis-Start. Morgen-Standup. Der Ingenieur erwähnt beiläufig: "Hey, unsere Charakter-API hat gestern ein paar hundert Mal mehr Anfragen erhalten."

Wir: "Wow, der kostenlose Launch hebt wirklich ab!"

Ingenieur: "...aber der DAU hat sich kaum bewegt."

Unangenehme Stille.

Wir tauchten in die Logs ein und entdeckten Crawler, die systematisch unsere öffentlichen Charakterdaten ernteten. Namen, Bios, Avatare — die öffentlich sichtbaren Informationen. Von Bots aufgesaugt.

Um es klar zu sagen: Die Kern-Charakterbeschreibungen, Persönlichkeitseinstellungen und andere private Creator-Inhalte wurden nie exponiert — nur Creator können diese sehen. Aber selbst das Scrapen öffentlicher Infos im industriellen Maßstab ist frustrierend, wenn man versucht, eine gesunde Plattform aufzubauen.

Wie wir reagierten

• Paginierungslimits für die Charakterentdeckung implementiert (Sie können browsen, aber Sie können nicht die gesamte Bibliothek herunterladen)
• Intelligente Ratenbegrenzung eingesetzt, die "enthusiastischen Nutzer" von "definitiv ein Bot" unterscheidet
• Verhaltensanalyse aufgebaut, um Crawler-Muster zu erkennen und zu blockieren
• Einige... nennen wir sie "kreative Antworten" für bestätigte böswillige Akteure hinzugefügt

Was wir lernten

"Offene Plattform" bedeutet nicht "All-you-can-eat-Buffet." Auch öffentlich sichtbarer Inhalt verdient vernünftige Zugriffsgrenzen. Wir wollen, dass Nutzer Charaktere entdecken — nicht über Nacht eine konkurrierende Datenbank aufbauen.

---

Welle 2: Die Bandbreiten-Assassinen

Was geschah

Wir hatten gerade die Crawler-Löcher gepatcht, als Welle zwei kam. Und diese zielte direkt auf den Geldbeutel.

Jemand fand unsere Medien-URLs heraus und begann, jedes Bild und Video auf der Plattform massenhaft herunterzuladen. Charakterporträts. Generierte Videos. Alles mit Dateiendung wurde mit Höchstgeschwindigkeit heruntergeladen.

Wir nutzten den OSS-Dienst eines großen Cloud-Anbieters. Bezahlung nach Bandbreite. Schien damals vernünftig.

Montagmorgen. Finanzen öffnet die Cloud-Konsole. Das Abrechnungs-Dashboard lädt.

Ihr Gesicht: 😐

Dashboard fertig geladen: 😮

Sieht die tatsächliche Zahl: 😱

"Hey, also... unsere Bandbreitenrechnung ist derzeit höher als drei Monate Runway."

Der Slack-Kanal wurde sehr still. Jemand schlug nervös vor, einfach das CDN auszuschalten. Jemand anderes wies darauf hin, dass das auch die gesamte Plattform abschalten würde.

Wie wir reagierten

Notfallmigration. Ziel: Cloudflare R2 und Cloudflare Stream.

Hier müssen wir uns offiziell bei Cloudflare bedanken — die Null-Egress-Gebühren-Richtlinie von R2 hat uns gerettet. Wenn Sie zusehen, wie Ihre Rechnung um Hunderte von Dollar pro Stunde steigt, wird "keine Egress-Gebühren" sehr, sehr relevant.

Die Migration dauerte 30 Stunden. Schlafen wurde optional. Code-Reviews um 3 Uhr morgens haben eine gewisse meditative Qualität.

Hat es sich gelohnt? Absolut. Unsere Bandbreitenkosten sanken um über 90%, und die Massendownloads der Angreifer kosten uns jetzt praktisch nichts.

Was wir lernten

Bei der Auswahl der Infrastruktur fragen Sie nicht nur "wie schnell ist sie?" Fragen Sie auch: "Wenn mich morgen jemand angreift, kann ich dann noch die Miete zahlen?"

Diese Dimension der Infrastrukturplanung erscheint in den meisten Tutorials nicht. Sie sollte es.

---

Welle 3: DDoS kommt

Was geschah

Wir hatten endlich die Bandbreitensituation stabilisiert. Die Teammoral erholte sich. Jemand machte sogar einen Witz beim Standup. Die Dinge sahen besser aus.

Dann kam der DDoS.

Stellen Sie sich vor, einen Feuerwehrschlauch zu öffnen und auf einen Pappbecher zu richten. Das erlebte unser Datenbankverbindungspool. Tausende Anfragen pro Sekunde, alle verlangten frische Daten, alle weigerten sich, Cache zu nutzen, alle trafen Endpoints, die Datenbankabfragen erforderten.

Unser Monitoring-Dashboard sah aus wie ein Herzinfarkt-EKG. Antwortzeiten gingen von 200ms auf 20 Sekunden. Dann zu Timeouts. Nutzer begannen, Fehler zu melden. Unsere AWS-Rechnung begann diese Sache, wo sie alle paar Minuten mit einer größeren Zahl aktualisiert wird.

Der Datenbankverbindungspool erreichte sein Limit. Abfragen begannen sich aufzustauen. Die Warteschlange begann sich zu stauen. Klassischer Kaskadenausfall, in Echtzeit.

Wie wir reagierten

Wir warfen jede Caching-Technik, die wir kannten, auf das Problem:

• ISR (Incremental Static Regeneration) — Beliebte Seiten werden jetzt vorgerendert und von Edge-Knoten ausgeliefert. Die Datenbank weiß nicht einmal, dass diese Anfragen existieren.
• Mehrschichtiges Caching — Response-Cache, Query-Cache, Verbindungspool-Optimierung. Wenn Daten nicht unbedingt frisch sein müssen, werden sie gecacht.
• Datenbankabfrage-Optimierung — Einige Abfragen, die früher 500ms brauchten, brauchen jetzt 50ms. Weniger Zeit, Verbindungen zu halten = mehr verfügbare Verbindungen.
• Cloudflares DDoS-Schutz — Endlich alle Sicherheitsfunktionen aktiviert, die wir "irgendwann" konfigurieren wollten
• Intelligente Ratenbegrenzung — Legitime Nutzer kommen durch; Angriffsverkehr wird abgewiesen

Die Philosophie: Wenn eine Anfrage beantwortet werden kann, ohne die Datenbank zu berühren, sollte sie es tun.

Was wir lernten

Caching ist nicht nur eine Leistungsoptimierung — es ist eine Sicherheitsarchitektur. Wenn Angriffe kommen, absorbieren gecachte Antworten den Schlag. Die Datenbank bleibt geschützt. Die Site bleibt online.

Auch gelernt: "Wir konfigurieren die Sicherheit später richtig" ist eine Philosophie, die schlecht altert.

---

Welle 4: Die API-Missbraucher

Was geschah

Diese Welle bedrohte unsere Infrastruktur nicht direkt. Sie bedrohte unser Budget.

Wir hatten all diese wunderbaren kostenlosen KI-Funktionen gebaut:

• KI-Charaktererstellung — Beschreiben Sie Ihren Charakter, die KI generiert das vollständige Profil
• KI-Moment-Generierung — Erstellen Sie dynamische Story-Momente mit KI-Unterstützung
• KI-Plugin-Erstellung — Bauen Sie Charakter-Plugins mit natürlicher Sprache

Unsere Vision war schön: Die Barrieren zur Kreativität senken. Jedem ermöglichen, die Magie der KI-unterstützten Erstellung zu erleben. Die Plattform zugänglicher machen.

Die Vision von jemand anderem war anders: "Kostenloses API? Lass mich ein Skript schreiben, das es 10.000 Mal aufruft."

Wir sahen zu, wie unser KI-Token-Verbrauchs-Dashboard stieg. Und stieg. Und stieg. Das Diagramm sah aus wie ein Hockeyschläger, außer dass der Hockeyschläger aus Geld bestand, das unser Bankkonto verließ.

Jede KI-Generierung kostet uns echtes Geld — API-Aufrufe an Sprachmodelle sind nicht kostenlos. Tausende von automatisierten Anfragen zu beobachten, die unser KI-Budget verbrannten, fühlte sich an, als würde man das Taximeter in einem Auto beobachten, das im Kreis fährt. Man weiß, dass es teuer wird, und es wird nie aufhören.

Das Schlimmste? Das waren nicht einmal echte Nutzer, die echte Inhalte erstellten. Es war nur... jemand, der testete, wie viel kostenloses Zeug er extrahieren konnte. Die generierten Charaktere waren Kauderwelsch. Die Momente ergaben keinen Sinn. Reine Verschwendung.

Wie wir reagierten

Schweren Herzens fügten wir Kreditanforderungen zu diesen KI-Funktionen hinzu.

Diese Entscheidung tat wirklich weh. Wir verbrachten Wochen damit, diese Tools speziell zu bauen, um die Erstellung zugänglicher zu machen. Jetzt mussten wir sie bepreisen — nicht weil wir wollten, sondern weil unbegrenzter kostenloser Zugang als Waffe gegen uns eingesetzt wurde.

Wir versuchten, fair zu sein:

• Kreditkosten sind minimal für normale Nutzung
• Neue Nutzer erhalten kostenlose Credits
• Das Kern-Chat-Erlebnis bleibt kostenlos
• Nur ressourcenintensive KI-Generierung erfordert Credits

Aber trotzdem. Es fühlte sich an, als würde man ein Schloss auf etwas setzen, das man offen halten wollte.

Was wir lernten

"Kostenlos" ist ein Geschäftsmodell, keine moralische Position.

Wir glauben immer noch an Zugänglichkeit. Wir wollen immer noch Barrieren senken. Aber "unbegrenzt kostenlos für alle" funktioniert nur, wenn alle in gutem Glauben handeln. Wenn böswillige Akteure Großzügigkeit ausnutzen, wird das großzügige System unhaltbar — und dann bekommt niemand etwas.

Vernünftige Grenzen sind kein Misstrauen gegenüber Nutzern. Sie sind Schutz des Ökosystems, das allen Nutzern dient. Die Alternative — Funktionen komplett abzuschalten — wäre für alle schlimmer.

Manchmal bedeutet der Schutz der Allmende, einige Zäune zu bauen.

---

Ihre Daten sind sicher (Lassen Sie uns absolut klar sein)

Wir wollen unmissverständlich sein:

Diese Angriffe zielten auf Ressourcen, nicht auf Daten. Die Angreifer wollten:

• ✅ Unsere Bandbreite (um Inhalte herunterzuladen)
• ✅ Unsere Rechenleistung (um unsere Server zu überlasten)
• ✅ Unser Geld (um unser KI-Budget zu erschöpfen)

Sie haben NICHT zugegriffen auf:

• ❌ Nutzerkonten
• ❌ Gesprächsverläufe
• ❌ Persönliche Informationen
• ❌ Zahlungsdetails
• ❌ Irgendwelche privaten Daten überhaupt

Wir haben ein dediziertes Sicherheitsteam, das echte Sicherheitsbedrohungen rund um die Uhr überwacht. Nutzerdaten sind im Ruhezustand und bei der Übertragung verschlüsselt. Zugriffskontrollen sind streng. Authentifizierung ist robust. Die langweilige, wichtige Sicherheitsarbeit, die keine aufregenden Blogposts macht — wir machen alles davon.

Null Nutzerdaten wurden kompromittiert. Wir können dies mit Zuversicht sagen, weil wir alles geloggt, alles analysiert und alles verifiziert haben. Die Angreifer bekamen Bandbreitenrechnungen und Kopfschmerzen von uns. Sie bekamen nichts von Ihnen.

Ihre Charaktere, Ihre Gespräche, Ihre kreative Arbeit — alles sicher, alles intakt, alles genau dort, wo es sein sollte.

---

Warum wir Ihnen das erzählen

Sie könnten sich fragen: Warum das öffentlich teilen? Lässt uns das nicht verletzlich aussehen?

Wir haben sorgfältig darüber nachgedacht.

Transparenz baut Vertrauen auf

Wir bitten Nutzer, uns etwas Bedeutungsvolles anzuvertrauen — ihre kreative Arbeit, ihre emotionalen Verbindungen zu KI-Charakteren, ihre Gespräche. Dieses Vertrauen erfordert Ehrlichkeit über die Herausforderungen, denen wir gegenüberstehen.

Das alte Drehbuch ist, Probleme zu verstecken, bis sie explodieren, dann eine vage Erklärung "wir hatten technische Schwierigkeiten" abzugeben. Wir sind lieber direkt: Das ist passiert, so haben wir es gehandhabt, das haben wir gelernt.

Andere Entwickler können lernen

Wir sind nicht das erste kleine Team, das nach dem Start kostenloser Funktionen angegriffen wird, und wir werden nicht das letzte sein. Wenn unsere teure Ausbildung jemand anderem hilft, sich besser vorzubereiten, ist das ein Gewinn für das gesamte Ökosystem.

Betrachten Sie dies als unseren Beitrag zum Lehrplan "Dinge, die sie Ihnen in der Startup-Schule nicht beibringen."

Sie verdienten es zu wissen

Einige Nutzer bemerkten langsamere Antwortzeiten während dieser Wochen. Einige bemerkten, dass Funktionen jetzt Credits erfordern. Sie verdienten eine Erklärung — kein Unternehmens-PR-Sprech, sondern die tatsächliche Geschichte.

Wir kämpften darum, die Plattform am Laufen zu halten. Wir trafen unter Druck schwierige Entscheidungen. Einige dieser Entscheidungen beeinflussten Ihre Erfahrung. Sie sollten wissen, warum.

---

Was kommt als Nächstes

Wir stopfen nicht nur Löcher — wir bauen eine widerstandsfähigere Plattform:

Bereits implementiert:

• Mehrschichtiges Caching mit Edge-First-Architektur (Ihre Anfragen sind schneller UND wir sind schwerer anzugreifen)
• Intelligente Ratenbegrenzung mit Verhaltensanalyse (Bots werden blockiert, Menschen merken nichts)
• Cloudflares vollständige Sicherheitssuite (endlich richtig konfiguriert, nicht "irgendwann")
• Kreditbasierter Zugang für ressourcenintensive KI-Funktionen (nachhaltige Großzügigkeit)

Kommt bald:

• Verbesserte Anomalieerkennung (Angriffe früher erkennen)
• Geografische Optimierung (schneller für alle, überall)
• Anspruchsvollere Missbrauchsprävention (den böswilligen Akteuren voraus sein)

Was sich nicht ändern wird:

• Wir werden unser Bestes tun, um kostenlosen Zugang zu erhalten — obwohl er instabil sein oder sich ohne Vorankündigung ändern könnte
• Datenschutz und Sicherheit der Nutzerdaten — immer unsere höchste Priorität
• Transparente Kommunikation — wenn etwas schief geht, werden Sie es erfahren

---

Ein Wort an andere Entwickler

Wenn Sie eine offene Plattform bauen, hier sind Lektionen, für die wir mit echtem Geld (und echtem Stress) bezahlt haben:

1. Ratenbegrenzung ist nicht optional — implementieren Sie sie ab Tag eins, nicht am Tag "wir werden angegriffen"
2. Wählen Sie angriffsresistente Infrastruktur — Cloudflare ist wirklich ausgezeichnet; Egress-Gebühren werden Sie zerstören
3. Cachen Sie aggressiv — es ist Ihr doppelter Schild für Leistung und Sicherheit
4. Kostenlose Funktionen brauchen Grenzen — unbegrenzter guter Wille wird von unbegrenzten böswilligen Akteuren ausgenutzt
5. Überwachen Sie alles — je früher Sie Anomalien erkennen, desto kleiner der Schaden
6. Halten Sie ein Notfallbudget bereit — Sie wissen nie, wann die nächste Welle kommt

Und vielleicht am wichtigsten:

7. Seien Sie nicht zu stolz, um Hilfe zu bitten — die Indie-Entwickler-Community ist unterstützender als Sie denken

Wir hoffen, Sie müssen diese Lektionen nicht auf die teure Art lernen. Aber wenn doch, wissen Sie, dass Sie nicht allein sind.

---

An unsere Nutzer

Angegriffen zu werden ist eine seltsame Erfahrung.

Es ist, als hätten Sie Monate damit verbracht, ein gemütliches Wohnzimmer zu dekorieren, die Möbel genau richtig anzuordnen, Snacks bereitzustellen und Einladungen an alle Ihre Freunde zu schicken. Die Eröffnungsnacht kommt. Ihre Freunde kommen — wunderbar!

Aber auch: Eine Gruppe von Menschen, die Sie nie getroffen haben, taucht mit Umzugswagen auf, versucht Ihr Sofa zu demontieren, jeden Winkel Ihres Hauses zu fotografieren und irgendwie auch kleine Feuer in der Küche zu legen.

Wir hatten Optionen. Wir hätten die Tür zuschweißen können. Nur auf Einladung umstellen. Jeden beweisen lassen, dass er kein Bot ist, bevor er irgendetwas sehen kann.

Das taten wir nicht.

Stattdessen installierten wir bessere Schlösser. Stellten klügere Sicherheit ein. Bauten vernünftige Hausregeln. Weil die große Mehrheit der Menschen, die zu Reverie kommen, hier sind, um zu erschaffen, sich zu verbinden und Spaß zu haben. Wir werden nicht die Vielen für die Sünden der Wenigen bestrafen.

Die Party geht weiter. Die Tür bleibt offen. Wir wurden nur besser darin, die Leute zu erkennen, die mit Umzugswagen kommen.

---

Danke

An jeden Nutzer, der durch langsamere Ladezeiten und Kreditanforderungen bei uns geblieben ist: Danke.

An alle, die Probleme gemeldet haben, anstatt einfach zu gehen: Danke.

An die Indie-Entwickler-Community, die Ratschläge und Kriegsgeschichten geteilt hat: Danke.

An Cloudflare: Danke. 🙏

Wir sind jetzt stärker. Widerstandsfähiger. Kampferprobt. Die Plattform, die aus diesen Angriffen hervorgegangen ist, ist besser als die, die hineingegangen ist.

Das nächste Mal, wenn wir Ihnen schreiben, hoffen wir, eine aufregende neue Funktion anzukündigen.

Nicht noch einen Boss, den wir besiegt haben.

Aber hey — wenn ein anderer Boss auftaucht, werden wir auch das handhaben.

Bis zum nächsten Update. 💙

---

Das Reverie Team

Dezember 2025