Aktive Exploits, KI-Risiken und Lieferkettenangriffe prägen die Woche

Die Cybersicherheitslandschaft war in dieser Woche geprägt von schnell für Angriffe eingesetzten Schwachstellen, Angriffen auf veraltete und Drittanbietersysteme, Sicherheitsrisiken im Zusammenhang mit KI sowie Sicherheitsverletzungen, bei denen Zugangsdaten, Ausweisdokumente und Finanzdaten offengelegt wurden. Die aktive Ausnutzung einer SonicWall-Schwachstelle zeigte die Dringlichkeit von Patches, während Vorfälle bei Maersk, Railway, DigiCert, Chainalysis und Crédit Mutuel Arkéa die Folgen von Risiken durch Drittanbieter und übersehene Infrastrukturen verdeutlichten.

Wichtige Bedrohungen und Schwachstellen

Aktive Ausnutzung und sich beschleunigende Angriffszeiträume

Umgehung der SonicWall-SSLVPN-Authentifizierung: CISA bestätigte die aktive Ausnutzung von CVE-2026-19868 durch die Aufnahme der Schwachstelle in den Katalog der bekannten ausgenutzten Schwachstellen. Angreifer mit gültigen alternativen Zugangsdaten können die Schwachstelle ausnutzen, um die SAML- und die Multifaktor-Authentifizierung zu umgehen und dadurch möglicherweise Zugriff auf interne Netzwerke zu erhalten. Unternehmen sollten betroffene Appliances identifizieren, verfügbare Abhilfemaßnahmen umgehend umsetzen, Authentifizierungsprotokolle prüfen, möglicherweise offengelegte Zugangsdaten ändern und verdächtige VPN-Sitzungen untersuchen.

Öffentliche Exploits werden innerhalb von Minuten für Angriffe eingesetzt: CrowdStrike beobachtete, dass Angreifer eine Schwachstelle bereits 35 Minuten nach dem Erscheinen von öffentlich verfügbarem Proof-of-Concept-Code ausnutzten. Außerdem wurden 91 % der beobachteten Schwachstellen mit öffentlichen PoCs innerhalb von 48 Stunden angegriffen. Sicherheitsteams sollten die Veröffentlichung von Proofs of Concept überwachen, internetexponierte Systeme priorisieren, Notfall-Patching beschleunigen und kompensierende Kontrollen einsetzen, wenn sich Updates nicht schnell bereitstellen lassen.

Kritische Schwachstellen in Unternehmen und Anwendungen

SAP schließt Schwachstellen mit maximalem Schweregrad: SAP behob vier Schwachstellen mit einem CVSS-Score von 10,0. Die Schwachstellen betrafen Codeausführung, Authentifizierung, Identitätsvortäuschung und nicht autorisierte Aktionen. Zum Zeitpunkt der Veröffentlichung war keine Ausnutzung gemeldet worden, doch ihr maximaler Schweregrad erfordert eine schnelle Bereitstellung der Patches, deren Überprüfung, eine Bewertung der Angriffsfläche und die Überwachung auf verdächtige Aktivitäten.

Schwachstellen in Zoom Workplace für Windows: Zwei Windows-Schwachstellen in Zoom könnten nicht authentifizierten Netzwerkangreifern eine Rechteausweitung ermöglichen. Für beide ist eine Benutzerinteraktion erforderlich, und es war keine Ausnutzung gemeldet worden. Administratoren sollten das Update auf allen verwalteten Endpunkten bereitstellen und überprüfen, bestätigen, dass verwundbare Versionen entfernt wurden, und Systeme auf ungewöhnliche Änderungen von Berechtigungen überwachen.

Chrome behebt 213 Schwachstellen: Das aktuelle Chrome-Sicherheitsupdate von Google behob 213 Schwachstellen, darunter sieben kritische und 77 schwerwiegende Schwachstellen. Einige davon könnten die Ausführung von Schadcode ermöglichen, allerdings wurde keine aktive Ausnutzung gemeldet. Unternehmen sollten Browser-Updates erzwingen, die Einhaltung der Versionen überprüfen und Systeme priorisieren, die für den Zugriff auf sensible Anwendungen verwendet werden.

Samsung behebt Schwachstellen in Android und Galaxy: Die November-Updates behoben mehrere Android- und Samsung-Galaxy-Schwachstellen, darunter ein kritisches Android-Problem, das eine Ausführung von Code aus der Ferne ohne Benutzerinteraktion ermöglichen könnte. Verfügbarkeit und Betroffenheit unterscheiden sich je nach Gerätemodell und Region. Administratoren sollten mobile Geräte inventarisieren, die Verfügbarkeit von Patches prüfen und die erfolgreiche Installation bestätigen.

Umgehung der iOS-Sandbox bedroht Kryptowährungsdaten: Forscher entdeckten eine iOS-Schwachstelle, durch die Anwendungsdateien und Geheimnisse von Kryptowährungs-Wallets offengelegt werden könnten und zwar gegenüber schädlichen Anwendungen. Ein Proof of Concept ist verfügbar, eine Ausnutzung in freier Wildbahn war jedoch nicht bestätigt. Nutzer sollten Installationen auf vertrauenswürdige Anwendungen beschränken, Geräte aktuell halten, das Verhalten von Anwendungen überprüfen und ungeschützte Wallet-Geheimnisse nicht auf möglicherweise exponierten Geräten speichern.

GhostMap kann Android-Geräte in Absturzschleifen zwingen: Die GhostMap-Schwachstelle in Android ermöglicht es einer schädlichen Anwendung, ein Gerät wiederholt zum Absturz zu bringen, ohne Berechtigungen oder Codeausführung zu benötigen. Zur Wiederherstellung könnte ein Zurücksetzen auf die Werkseinstellungen erforderlich sein, was möglicherweise zu Datenverlust führt; Google hat sich bislang nicht zu einer Behebung verpflichtet. Nutzer sollten nicht vertrauenswürdige Anwendungen meiden, wiederherstellbare Backups pflegen und künftige Plattform- oder Hersteller-Updates installieren, sobald diese verfügbar sind.

Systemische Software- und KI-Sicherheitsrisiken

Code der britischen Regierung enthielt mehr als 100 Schwachstellen: Ein Forscher entdeckte mehr als 100 Schwachstellen in Software der britischen Regierung, außerdem ein offengelegtes Microsoft-Entra-ID-Zugangstoken sowie übermäßige Zugriffsrechte auf SharePoint und OneDrive. Die gemeldeten Probleme wurden behoben. Die Erkenntnisse unterstreichen die Notwendigkeit von Scans auf Zugangsdaten, Zugriffen nach dem Prinzip der geringsten Rechte, Code-Reviews, Abhängigkeitsanalysen und kontinuierlichen Tests von Software des öffentlichen Sektors.

Kritische Schwachstellen sind bei KI-Anbietern weiterhin weit verbreitet: Black Kite stellte fest, dass 34,2 % der KI-Unternehmen kritische, ungepatchte Schwachstellen aufwiesen. Weitere 9,8 % hatten Schwachstellen, die im Katalog der bekannten ausgenutzten Schwachstellen von CISA aufgeführt sind. Unternehmen sollten KI-Anbieter vor der Integration bewerten, ihre Sicherheitslage kontinuierlich überwachen und Verfahren zur Behebung sowie zum Entzug von Zugriffsrechten einrichten.

Indirekte Prompt-Injection wird zu einem kommerziellen kriminellen Dienst: Bedrohungsakteure bieten Tools für indirekte Prompt-Injection für etwa 150 US-Dollar pro Monat an. Diese Dienste betten schädliche Anweisungen in scheinbar gewöhnliche Inhalte ein und können dadurch KI-Agenten dazu bringen, Daten offenzulegen oder nicht autorisierte Aktionen auszuführen, bevor ein Nutzer das Material überhaupt gelesen hat. Abwehrmaßnahmen sollten externe Inhalte als nicht vertrauenswürdig behandeln, die Berechtigungen von Agenten beschränken, für sensible Aktionen eine menschliche Genehmigung verlangen und die Autorisierung außerhalb des KI-Modells durchsetzen.

GPT-6 Cyber identifiziert zahlreiche Schwachstellen: Das sicherheitsorientierte GPT-6-Cyber-Modell von OpenAI fand 81 zuvor unbekannte, schwerwiegende Firefox-Schwachstellen und entwickelte Exploits für Schwachstellen im Linux-Kernel. Die Ergebnisse zeigen, wie KI die defensive Suche beschleunigen kann, zugleich aber den Druck auf das Schwachstellenmanagement und koordinierte Offenlegungsprozesse erhöht.

Betrug und verbraucherorientierte Bedrohungen

Weihnachtsbetrug nimmt Händler und Käufer ins Visier: Forscher berichteten von einer Zunahme von Rückerstattungsbetrug, Geschenkkartenbetrug, der Vortäuschung einer Händleridentität und kompromittierten E-Commerce-Zugängen. Diese Machenschaften können zu direkten finanziellen Verlusten und zum Diebstahl von Kundendaten führen. Händler sollten Kontoänderungen und ungewöhnliche Rückerstattungen überwachen. Verbraucher sollten Angebote und Zahlungsaufforderungen unabhängig überprüfen, sichere Zahlungsmethoden nutzen und verdächtige Links meiden.

Branchennachrichten

Wichtige Datenschutzverletzungen und Erpressungsvorfälle

Maersk-Einbruch auf geerbte Technologie zurückgeführt: Angreifer kompromittierten ein geerbtes veraltetes IT-System von Maersk und stahlen Daten. WhiteArmor gibt an, etwa 100 GB erbeutet zu haben, und fordert 5 Millionen US-Dollar. Unternehmen sollten geerbte Systeme inventarisieren, mit älterer Infrastruktur verbundene Zugangsdaten überprüfen, die Segmentierung testen und sicherstellen, dass Legacy-Ressourcen angemessen überwacht werden und klare Zuständigkeiten für ihre Sicherheit bestehen.

Vanderbilt untersucht mutmaßlichen Ransomware-Diebstahl: Die BYOD-Ransomware-Gruppe behauptet, mehr als eine Million Sozialversicherungsnummern der Vanderbilt University gestohlen zu haben, zusammen mit weiteren sensiblen Informationen. Vanderbilt hat die Behauptung nicht bestätigt, und mehrere Dienste bleiben während der Untersuchung eingeschränkt. Potenziell betroffene Organisationen und Nutzer sollten auf Identitätsbetrug, verdächtige Kontoaktivitäten und nachfolgende Phishing-Versuche achten.

Vorfall bei SEGA-Dienstleister legt Abonnentendaten offen: Ein Sicherheitsvorfall beim Newsletter-Anbieter ARARA legte etwa 2,2 Millionen mit SEGA verknüpfte E-Mail-Adressen offen. Der größere Vorfall betraf mehr als 81 Millionen Adressen, während über 92.000 SEGA-Datensätze zusätzliche Abonnenteninformationen enthielten. Der Vorfall zeigt, wie Marketing- und Kommunikationsdienstleister zu wichtigen Quellen für die Offenlegung von Daten durch Dritte werden können.

Philippinische Steuerbehörde untersucht mutmaßliches Datenleck: Das Bureau of Internal Revenue untersucht Vorwürfe, wonach etwa 10 Millionen Datensätze philippinischer Steuerzahler offengelegt wurden. Die Informationen könnten Kriminellen dabei helfen, überzeugende gefälschte Steuerbescheide zu erstellen, die sich an Buchhalter und Finanzteams richten. Unternehmen sollten steuerbezogene Anfragen unabhängig überprüfen und Mitarbeiter vor gezieltem Phishing und Zahlungsbetrug warnen.

DigiCert-Archiv legte Ausweisdokumente offen: Angreifer erlangten über DigiCert-Kundendaten, Reisepässe und Führerscheine Zugriff auf ein internes Archiv, das nach einer Infrastrukturmigration im Jahr 2025 mehr als 16 Monate lang öffentlich zugänglich blieb. Der Vorfall unterstreicht die Bedeutung von Tests auf nach einer Migration bestehende Angriffsflächen, von Kontrollen zur Datenaufbewahrung, der Erkennung von Ressourcen und der Überprüfung, dass stillgelegte Repositories nicht mehr zugänglich sind.

Chainalysis-Einbruch schafft Risiken für Konten und Compliance: Zu den offengelegten Chainalysis-Daten gehörten Passwort-Hashes und aktive Tokens, wodurch ein unbefugter Kontozugriff möglich wurde. Die daraus resultierende Abschaltung beeinträchtigte zudem Dienste zur Überprüfung von Kryptowährungen und könnte Compliance-Lücken schaffen. Betroffene Organisationen sollten Tokens widerrufen, Zugangsdaten zurücksetzen, Zugriffsprotokolle prüfen und Kontinuitätsverfahren für Compliance-Prüfungen aktivieren.

Kompromittierungen von APIs, Anbietern und Lieferketten

Gestohlene Railway-Zugangsdaten verursachen Gebühren in Höhe von 740.000 US-Dollar: Angreifer stahlen Kunden-API-Zugangsdaten von Railway und verursachten betrügerische KI-Gebühren in Höhe von etwa 740.000 US-Dollar. Bis zu 100.000 Workspaces könnten betroffen sein. API-Schlüssel sollten wie privilegierte Zugangsdaten verwaltet, sicher gespeichert, bei Offenlegung ausgetauscht und durch Nutzungsüberwachung, Ausgabenlimits und Warnmeldungen bei ungewöhnlichem Verbrauch geschützt werden.

Crédit Mutuel Arkéa verliert 118 Millionen Euro: Angreifer nutzten eine Lieferantenplattform aus, um etwa 118 Millionen Euro vom eigenen Konto der französischen Bank zu stehlen. Kundenkonten waren nicht betroffen, doch der Diebstahl verdeutlicht die finanziellen Gefahren kompromittierter Zugriffe durch Dritte. Banken und andere Unternehmen sollten Lieferantenberechtigungen beschränken, starke Authentifizierung verlangen, Transaktionen überwachen und in der Lage sein, den Zugriff von Anbietern schnell zu entziehen.

Kühlanlagen von Blutbanken manipuliert: Angreifer kompromittierten einen Drittanbieter für Kühltechnik und änderten Temperatur- und Abtaueinstellungen in drei französischen Blutbankeinrichtungen. Die Überwachung erkannte die Änderungen, bevor Plasma beschädigt wurde. Der Vorfall zeigt, warum Umgebungen der Betriebstechnologie segmentierten Anbieterzugriff, Konfigurationsüberwachung, Alarmierung und getestete Verfahren für den Wechsel zu manuellen oder alternativen Abläufen benötigen.

Entwicklungen bei Führung und Regierung

Nvidia-CEO tritt zurück: Nvidia-Mitgründer Jensen Huang trat zurück während einer Prüfung seines persönlichen Verhaltens und angesichts von Vorwürfen im Zusammenhang mit einem mutmaßlichen chinesischen Geheimdienstmitarbeiter. Die Entwicklung unterstreicht die Notwendigkeit von Regeln für den Informationsaustausch durch Führungskräfte, Zugriffsbeschränkungen, Schulungen zu Bedrohungen durch ausländische Nachrichtendienste sowie klaren Verfahren zur Meldung und Untersuchung sensibler Kontakte.

Japan stellt Mittel für KI-orientierte Cybersicherheit bereit: Japan kündigte einen Plan über 63 Millionen US-Dollar zur Abwehr KI-gestützter Cyberangriffe an. Die Initiative umfasst ein KI-Team für Schwachstellentests und Angriffssimulationen sowie erweiterte Bedrohungsaufklärung, Reaktion auf Vorfälle und Unterstützung für betroffene Organisationen.

Sicherheitstipps und bewährte Verfahren

Schutz vor Deepfake-Imitationen

Unternehmen können das Risiko von Deepfake-Imitationen verringern, indem sie Verifizierungsverfahren, Identitätskontrollen, Überwachung und die Sensibilisierung von Mitarbeitern kombinieren.

• Sensible Anfragen über vertrauenswürdige Kanäle überprüfen.
• Unabhängige Genehmigungen und phishingresistente Multifaktor-Authentifizierung verlangen.
• Erkennungstools einsetzen und Versuche überwachen, Führungskräfte zu imitieren.
• Mitarbeiter darin schulen, mutmaßliche Deepfakes zu erkennen und zu melden.
• Vorfälle, fehlgeschlagene Verifizierungen und Reaktionszeiten nachverfolgen.

Von Menschen und KI generierten Code absichern

Entwicklungsteams sollten auf von Menschen und Maschinen erzeugte Ergebnisse dieselben strengen Kontrollen anwenden, da von KI generierter Code weiterhin schwerwiegende Sicherheitslücken enthalten kann.

• DevSecOps-Tools einsetzen, um Code zu scannen und unsichere Abhängigkeiten von Drittanbietern zu identifizieren.
• Anwendungseingaben validieren, Zugangsdaten in sicheren Tresoren speichern und das Prinzip der geringsten Privilegien durchsetzen.
• Sicherheitsorientierte Code-Reviews und automatisierte Tests vor der Bereitstellung verlangen.
• Sicherheitsquoten vor der Bereitstellung und die Behebungszeiten kritischer Schwachstellen nachverfolgen.

Unbefugte KI-Aktivitäten kontrollieren

Da KI-Agenten Zugriff auf Unternehmensdaten und -aktionen erhalten, sollten Unternehmen ihre Governance und Abwehrmaßnahmen gegen unbefugte KI-Aktivitäten stärken.

• Eine klare KI-Governance und Zuständigkeiten etablieren.
• Berechtigungen und genehmigte Ziele für Agenten beschränken.
• Für sensible Aktionen die Genehmigung durch einen Menschen verlangen.
• Externe Inhalte als nicht vertrauenswürdige Daten behandeln und die Autorisierung außerhalb des KI-Modells durchsetzen.
• Agentenaktivitäten überwachen und Abwehrmaßnahmen gegen Prompt-Injection testen.
• Berechtigungen, Ziele und Genehmigungen für sensible KI-Workflows überprüfen.

Käufer und Einzelhandelsabläufe schützen

Verbraucher und Unternehmen können ihre Anfälligkeit für Betrug beim Weihnachtseinkauf verringern , indem sie für mehr Kontosicherheit und eine unabhängige Verifizierung sorgen.

• Auf vertrauenswürdigen Websites einkaufen, verdächtige Angebote überprüfen und Multifaktor-Authentifizierung aktivieren.
• Sichere Zahlungsmethoden verwenden, Transaktionsbenachrichtigungen aktivieren und Geschenkkarten aus seriösen Quellen kaufen.
• Verdächtige Links meiden und auf Phishing, Imitation und Deepfake-Werbung achten.
• Unerwartete Zahlungsaufforderungen, Kontoänderungen und Benachrichtigungen über Rückerstattungen unabhängig überprüfen.

Risiken durch Drittanbieter kontinuierlich bewerten

Vorfälle in der Lieferkette zeigen in dieser Woche, dass die Überwachung von Dienstleistern nicht nach dem Onboarding enden darf.

• Tools für das Risikomanagement von Drittanbietern einsetzen, um die Sicherheit von Dienstleistern zu bewerten und veränderte Risiken kontinuierlich zu überwachen.
• Zugriff nach dem Prinzip der geringsten Privilegien und Multifaktor-Authentifizierung für Dienstleister durchsetzen.
• Kritische Systeme segmentieren, um die Gefährdung durch kompromittierte Lieferanten zu verringern.
• Die Aktivitäten von Dienstleistern auf verdächtige Änderungen überwachen.
• Verfahren zur Entziehung von Zugriffen schaffen und den Betrieb während eines Sicherheitsvorfalls bei einem Dienstleister aufrechterhalten.
• Risikowerte von Dienstleistern, Zugriffsverletzungen und Behebungszeiten nachverfolgen.

Tools und Ressourcen

Compliance vereinfachen – erhalten Sie sofort einsatzbereite Sicherheitsrichtlinien, die Ihr Unternehmen ohne die Kosten oder Komplexität einer Enterprise-Lösung schützen, alles für unter 100 US-Dollar.

KI-gestützte Sicherheitstests

Die Entdeckung von 81 zuvor unbekannten, schwerwiegenden Firefox-Schwachstellen durch GPT-6 Cyber und die Entwicklung von Exploits für 948 Linux-Kernel-Schwachstellen zeigen die wachsende Bedeutung der KI-gestützten Schwachstellenforschung. Sicherheitsteams, die diese Fähigkeiten bewerten, sollten automatisierte Entdeckungen mit menschlicher Validierung, kontrollierten Tests, koordinierter Offenlegung und starken Schutzmaßnahmen bei der Exploit-Erstellung kombinieren.

Sichere Entwicklung und Zugangsdatenverwaltung

DevSecOps-Scanner, automatisierte Tests, Plattformen zur Abhängigkeitsanalyse und sichere Tresore für Zugangsdaten bleiben zentrale Ressourcen, um Fehler in sowohl von Menschen als auch von KI generierter Software zu reduzieren. Diese Kontrollen sollten in Bereitstellungspipelines integriert und anhand von Sicherheitsquoten und Behebungszeiten gemessen werden.

Ressourcen für die Governance von Drittanbietern und KI

Plattformen für das Risikomanagement von Drittanbietern können Unternehmen dabei helfen, Lieferanten kontinuierlich zu bewerten, Risikowerte zu überwachen, Zugriffsverletzungen zu identifizieren und die Behebung nachzuverfolgen. Für KI-Systeme bieten Berechtigungsüberprüfungen, Allowlisten für Ziele, Tests auf Prompt-Injection, externe Autorisierungskontrollen und Workflows zur Genehmigung durch Menschen einen praxisnahen Rahmen zur Begrenzung des Verhaltens von Agenten.

Kontrollen für Erkennung, Überwachung und Betriebskontinuität

Tools zur Deepfake-Erkennung, die Überwachung von Imitationsversuchen gegenüber Führungskräften, Analysen der API-Nutzung, Ausgabenwarnungen, die Überwachung von Tokens und Zugangsdaten sowie Warnungen zu Konfigurationsänderungen in der Betriebstechnik standen diese Woche besonders im Fokus. Diese Ressourcen sind am wirksamsten, wenn sie mit eingeübten Reaktionsverfahren, dem schnellen Entzug von Zugriffen, segmentierter Infrastruktur, zuverlässigen Backups und Plänen zur Aufrechterhaltung des wesentlichen Betriebs während Ausfällen oder Sicherheitsvorfällen bei Lieferanten kombiniert werden.

Wenn Sie mehr aus unserem Newsletter-Archiv sehen möchten, klicken Sie hier.