1. Das WordPress-Ökosystem als Angriffsfläche

Seit Dienstag, 15. September 2026 · zuletzt aktualisiert Mittwoch, 16. September 2026 · Score 88

Zwei voneinander unabhängige Vorfälle treffen binnen 24 Stunden denselben Bereich: einen Lieferkettenangriff über die Update-Infrastruktur eines kommerziellen Plugins und eine massenhaft ausgenutzte Upload-Lücke in einem WooCommerce-Zusatzmodul. Gemeinsam ist beiden, dass der Angriffsweg nicht über den WordPress-Kern läuft, sondern über Erweiterungen, deren Herausgeber weder Signaturprüfung noch koordinierte Offenlegung betreiben.

Letzte Entwicklung: Bei „Admin Menu Editor Pro“ wurde die Entwicklerseite selbst kompromittiert und sieben Tage lang eine hintertürversehene Fassung ausgeliefert; bei „WooCommerce Wholesale Lead Capture“ zählte Wordfence über 100.000 blockierte Ausnutzungsversuche gegen eine mit 9,8 bewertete Upload-Lücke, die seit Juni angegriffen wird.

2. Hosting- und Verwaltungsinfrastruktur unter Druck

Seit Dienstag, 15. September 2026 · zuletzt aktualisiert Mittwoch, 16. September 2026 · Score 80

Innerhalb von zwei Tagen sind drei Produkte betroffen, die Hoster und Dienstleister mandantenübergreifend betreiben: ein Webserver im Shared Hosting, ein Backup-Plugin für cPanel und ein API-Verwaltungssystem. In allen drei Fällen genügt ein niedrig privilegierter Zugang oder ein gefälschtes Token, um an Rechte zu kommen, die für viele Kunden gleichzeitig gelten.

Letzte Entwicklung: Acronis bestätigt begrenzte, gezielte Angriffe auf CVE-2026-87886 im Backup-Plugin für cPanel und WHM; watchTowr beobachtet seit dem 13. September Angriffe gegen die WSO2-Lücke CVE-2026-5430, bei denen Admin-Token mit einem nicht unterstützten Signaturalgorithmus gefälscht werden.

1.1 CenterPoint Energy: 7,49 Millionen Kundendatensätze über eine offene Schnittstelle

15.09.2026 · BleepingComputer

Zusammenfassung: Der US-Versorger CenterPoint Energy hat am 15. September den Diebstahl von 7,49 Millionen Kundendatensätzen bestätigt. Betroffen sind Namen, Telefonnummern, Liefer- und Rechnungsanschriften, Kontonummern, Rechnungsbeträge und Teile von Sozialversicherungsnummern. Der Zugriff lief vom 17. August bis zum 1. September 2026. Das Einfallstor war keine Schwachstelle im klassischen Sinn, sondern eine öffentliche Programmierschnittstelle des Unternehmens, der nach eigener Darstellung Ratenbegrenzung, Web Application Firewall und jeder sonstige Schutz gegen automatisierten Zugriff fehlten; der Täter iterierte über Millionen Kunden-IDs. Das Unternehmen versorgt rund sieben Millionen Kunden in Indiana, Minnesota, Ohio und Texas. Mehrere Sammelklagen sind bereits anhängig.

Hintergrund & Einordnung: Der Fall gehört zu einer Klasse, die in Meldestatistiken regelmäßig unter „Hackerangriff“ verbucht wird und in Wahrheit ein Entwurfsfehler ist. Wer eine Schnittstelle veröffentlicht, die Datensätze über eine fortlaufende Kennung ausliefert, hat den gesamten Bestand veröffentlicht — die Frage ist nur, wann jemand anfängt zu zählen. Bemerkenswert ist die Selbstdarstellung des Täters, der unter einem Pseudonym auftritt und angibt, das Unternehmen habe seine Hinweise ignoriert; ob das zutrifft, ist offen, das Muster ist aus anderen Fällen aber bekannt. Für die europäische Bewertung wäre das Fehlen jeder Zugriffsbegrenzung ein klarer Verstoß gegen Art. 32 DSGVO — „Stand der Technik“ umfasst bei einer öffentlich erreichbaren Schnittstelle seit Jahren eine Ratenbegrenzung.

Praxisfolgen / Handlungsempfehlung: Erstellen Sie eine Liste aller öffentlich erreichbaren Schnittstellen und prüfen Sie für jede drei Punkte: Lassen sich Datensätze über fortlaufende oder ratbare Kennungen abrufen, gibt es eine Begrenzung der Abfragen je Zeiteinheit und Quelle, und schlägt jemand Alarm, wenn dieselbe Quelle in kurzer Zeit Tausende Abfragen stellt. Der dritte Punkt ist der wichtigste: Zwei Wochen ungestörter Massenabfragen sind kein Erkennungsproblem der Technik, sondern eines der Auswertung. Für die Dokumentation nach Art. 32 DSGVO empfiehlt sich, die Antworten je Schnittstelle schriftlich festzuhalten — im Ernstfall ist genau das der Nachweis, auf den es ankommt.

1.2 Hamburger Staatsanwaltschaft: 17.000 Schreiben nach Software-Update liegen geblieben

15.09.2026 · LTO

Zusammenfassung: Nach einem Update des Fachverfahrens MESTA am 9. Juli 2026 hat die Hamburger Staatsanwaltschaft rund 17.000 Schreiben knapp zwei Monate lang nicht versandt. Betroffen waren Aufforderungen zur Stellungnahme, Einstellungsnachrichten und Mitteilungen über die Möglichkeit der Akteneinsicht. Der Fehler fiel erst Anfang September auf; inzwischen sind alle offenen Schreiben herausgegangen. MESTA ist ein Fachverfahren zur Automation der Staatsanwaltschaften, das in mehreren Bundesländern eingesetzt wird. Ein Oberstaatsanwalt erklärte, man bedauere den Umstand sehr und prüfe, wie sich solche unvorhergesehenen Folgen von Software-Updates künftig erkennen ließen.

Hintergrund & Einordnung: Der datenschutzrechtliche Kern liegt nicht im Versand, sondern in den Betroffenenrechten, die an diesen Schreiben hängen. Wer nicht erfährt, dass ein Verfahren gegen ihn eingestellt wurde, kann keine Löschung oder Berichtigung geltend machen; wer die Mitteilung über Akteneinsicht nicht erhält, kann sein Verteidigungsrecht nicht ausüben. Verfahrensrechtlich stellt sich die Frage nach Fristen, die möglicherweise unbemerkt gelaufen sind. Technisch ist der Fall ein Lehrstück über fehlende Ausgangskontrolle: Ein Verfahren, das Schreiben erzeugt, muss zählen können, wie viele es erzeugt und wie viele davon tatsächlich das Haus verlassen haben. Dass die Differenz zwei Monate lang niemandem auffiel, ist kein Programmierfehler, sondern eine Lücke im Betriebskonzept.

Praxisfolgen / Handlungsempfehlung: Für jede Organisation, die Fachverfahren mit automatisiertem Schriftverkehr betreibt, lohnt die Frage nach der Abgleichskennzahl: Gibt es eine tägliche oder wöchentliche Gegenüberstellung von erzeugten und versandten Dokumenten, und wer sieht sie an. In Testplänen für Updates gehört der komplette Ausgangsweg abgedeckt, nicht nur die Erzeugung im System. Und wer als Betroffener in einem Hamburger Ermittlungsverfahren steht und im Sommer keine erwartete Nachricht erhalten hat, sollte den Verfahrensstand aktiv erfragen — Fristen laufen nicht schon deshalb nicht, weil die Behörde ein Softwareproblem hatte.

1.3 FBI, NCSC und AIVD warnen vor iranischer Spionagesoftware gegen Journalisten

15.09.2026 · The Hacker News

Zusammenfassung: Das FBI, das britische National Cyber Security Centre und der niederländische Nachrichtendienst AIVD haben am 15. September gemeinsam vor einer Spionagesoftware gewarnt, die dem iranischen Geheimdienstministerium zugerechnet wird. Das FBI nennt sie HEAVYGRAM, das NCSC CHOSEN BRICK. Sie kopiert E-Mails und Chat-Nachrichten, macht Bildschirmfotos und kann das Mikrofon zur Tonaufzeichnung aktivieren. Gesteuert wird sie über Telegram-Bots, über die auch die Daten abfließen; sie startet bei jedem Windows-Start neu und trägt Ausnahmen für bestimmte Verzeichnisse in Microsoft Defender ein. Verbreitet wird sie per Phishing mit gefälschten Installationspaketen für Pictory, KeePass, Telegram, Norton Antivirus und Adobe Flash Player, wobei dem Opfer ein täuschend echter Installationsbildschirm gezeigt wird. Ziele sind iranische Dissidenten, Journalisten und Aktivisten weltweit; dokumentierte Fälle gibt es seit mindestens 2025 in Großbritannien, den USA und den Niederlanden, die Kampagne läuft seit Herbst 2023.

Hintergrund & Einordnung: Auffällig ist die Werkzeugwahl. Telegram-Bots als Steuerkanal, Object-Storage-Dienste wie vultrobjects.com und storjshare.io als Ablage, gefälschte Installer als Einstieg — das ist das Repertoire finanziell motivierter Kriminalität, nicht das eines klassischen Nachrichtendienstes. Der Vorteil für den Angreifer liegt in der Tarnung im Rauschen: Verbindungen zu api.telegram.org sind in fast jedem Netz unauffällig, und die Infrastruktur lässt sich nicht abschalten, ohne einen legitimen Dienst zu treffen. Die betroffene Zielgruppe steht typischerweise ohne organisatorische IT-Unterstützung da — Exiljournalisten und Aktivisten arbeiten auf privaten Geräten ohne zentrale Verwaltung, ohne Endpunktschutz mit Auswertung und ohne jemanden, der Registry-Auffälligkeiten bemerkt.

Praxisfolgen / Handlungsempfehlung: Die genannten Indikatoren gehören in die Erkennung: die Registry-Schlüssel SMQDService und winappx, Dateiablagen unter C:\Windows\SysWOW64 und Verbindungen zu api.telegram.org, vultrobjects.com und storjshare.io von Systemen, die dafür keinen Anlass haben. In Redaktionen und Organisationen mit exponierten Mitarbeitenden sollte die Warnung samt Erkennungsmerkmalen weitergegeben und die Regel geschärft werden, Software ausschließlich über die Herstellerseite zu beziehen. Für besonders gefährdete Personen ist der erweiterte Schutzmodus der Plattformen — Advanced Protection bei Google, Lockdown-Modus bei Apple — der wirksamste einzelne Schritt, weil er genau diese Klasse von Nachladeketten unterbindet.

2.1 Lieferkettenangriff auf ein kommerzielles WordPress-Plugin

15.09.2026 · BleepingComputer

Zusammenfassung: Angreifer haben die Website adminmenueditor.com des Entwicklers kompromittiert und dort am 6. September 2026 die Version 2.35 als Update für die Pro-Fassung des Plugins „Admin Menu Editor Pro“ hochgeladen. Die manipulierte Fassung legt die Datei includes/wp-user-consent.php an, die als Web-Shell arbeitet, und richtet ein verstecktes Benutzerkonto ein. Sie blieb bis zum 13. September verfügbar. Mindestens 1.500 Seiten bei rund 230 Kunden wurden infiziert. Entwickler Janis Elsts bemerkte den Einbruch am Montag und verteilte am selben Abend die bereinigte Version 2.36. Als Indikatoren nennt der Bericht neben der genannten Datei das Verzeichnis /wp-content/object-cache/, zusätzliche Einträge in der Benutzertabelle und Optionen mit dem Muster wp_ocache*.

Hintergrund & Einordnung: Der Fall trifft eine Lücke im Sicherheitsmodell des WordPress-Ökosystems, die seit Jahren bekannt und nicht geschlossen ist: Kommerzielle Plugins werden nicht über das offizielle Verzeichnis verteilt, sondern über die Infrastruktur des jeweiligen Herstellers, und WordPress prüft weder Signaturen noch Prüfsummen. Wer die Update-Adresse kontrolliert, kontrolliert jede Installation, die auf automatische Updates eingestellt ist — und genau diese Einstellung wird seit Jahren als Sicherheitsmaßnahme empfohlen. Bemerkenswert ist die Reaktionszeit: Sieben Tage lag die manipulierte Fassung im Auslieferungskanal, und entdeckt hat es der Entwickler selbst, nicht ein Schutzmechanismus der Plattform. Die am 14. September gemeldete Einführung automatisierter Plugin-Prüfungen im offiziellen Verzeichnis ändert an dieser Konstellation nichts, weil kommerzielle Plugins dort gar nicht erst durchlaufen.

Praxisfolgen / Handlungsempfehlung: Prüfen Sie jede Installation, in der das Plugin läuft, auf die genannten Indikatoren — und behandeln Sie einen Fund als vollständige Kompromittierung: Web-Shell und Zweitkonto bedeuten, dass der Angreifer beliebige weitere Änderungen vornehmen konnte. Ein Update auf 2.36 genügt deshalb nicht; erforderlich ist die Rücksicherung auf einen Stand vor dem 14. September, gefolgt von der Erneuerung aller Zugangsdaten, Salts und API-Schlüssel. Grundsätzlich lohnt die Inventur, welche kommerziellen Plugins im Bestand automatisch von Herstellerservern aktualisiert werden, und die Überlegung, bei besonders kritischen Installationen auf gestaffelte Updates mit Prüfphase umzustellen — das kostet Aktualität, schließt aber genau dieses Fenster.

2.2 WooCommerce Wholesale Lead Capture: unauthentifizierter Datei-Upload seit Juni ausgenutzt

16.09.2026 · The Hacker News

Zusammenfassung: In dem WordPress-Erweiterungsmodul „WooCommerce Wholesale Lead Capture“ erlaubt CVE-2026-27540 mit CVSS 9,8 den Upload beliebiger Dateien ohne jede Anmeldung. Ursache ist die fehlende Typprüfung in der AJAX-Aktion wwlc_file_upload_handler. Betroffen sind alle Fassungen bis einschließlich 2.0.3.1 bei über 6.000 aktiven Installationen; die Korrektur steckt in 2.0.3.2. Wordfence hat über 100.000 Ausnutzungsversuche blockiert, davon 99 in den 24 Stunden vor der Meldung; die Ausnutzung läuft seit Juni 2026. Die Angreifer senden präparierte Anfragen mit gefälschten file_settings-Parametern und laden PHP-Dateien hoch — im beobachteten Fall eine shell.php, die als Web-Shell für Erkundung und das Nachladen weiterer Schadsoftware dient. Zehn Angreifer-Adressen sind benannt, darunter 92.241.13.213, 31.59.129.150 und 104.194.9.138.

Hintergrund & Einordnung: Die Größenordnung ist bemerkenswert: 6.000 Installationen sind für das WordPress-Ökosystem eine kleine Zahl, über 100.000 Angriffsversuche gegen so wenige Ziele deuten auf flächendeckendes, automatisiertes Absuchen hin — die Angreifer wissen nicht, wo das Plugin läuft, und probieren es überall. Das ist die Ökonomie hinter der Massenausnutzung: Der Aufwand pro Versuch liegt nahe null, also lohnt sich jede Lücke unabhängig von der Verbreitung. Drei Monate zwischen Beginn der Ausnutzung und breiter Berichterstattung sind dabei die eigentlich schlechte Nachricht — in dieser Zeit sind Web-Shells abgelegt worden, die ein Update nicht entfernt.

Praxisfolgen / Handlungsempfehlung: Auf 2.0.3.2 aktualisieren und anschließend die Upload-Verzeichnisse auf PHP-Dateien durchsuchen — dort gehört keine hin. Prüfen Sie die Zugriffsprotokolle rückwirkend bis Juni auf POST-Anfragen an admin-ajax.php mit der Aktion wwlc_file_upload_handler und blockieren Sie die genannten Adressen. Grundsätzlich gehört in jede WordPress-Installation eine Serverregel, die die Ausführung von PHP im Upload-Verzeichnis unterbindet; sie hätte diesen Angriff unabhängig vom Patchstand ins Leere laufen lassen.

2.3 Acronis: Rechteausweitung im Backup-Plugin für cPanel und WHM wird ausgenutzt

15.09.2026 · BleepingComputer

Zusammenfassung: Acronis warnt vor CVE-2026-87886, einer lokalen Rechteausweitung unter Linux mit CVSS 7,8 im Backup-Plugin für cPanel und WHM. Ein Angreifer mit geringen Rechten kann ohne Nutzerinteraktion höhere Rechte erlangen und damit auf sensible Daten zugreifen, sie verändern und Systeme stören. Betroffen sind Fassungen vor 1.9.3.1021, behoben ist es in 1.9.3 HF3; die entsprechende Erweiterung für Plesk ist ab 1.8.11.638 abgesichert. Die Ausnutzung wurde nach Herstellerangaben in begrenzten, gezielten Angriffen beobachtet — die Einschätzung stützt sich auf die Meldung eines einzelnen möglicherweise betroffenen Kunden. Technische Details hält Acronis bewusst zurück, um Administratoren Zeit zum Patchen zu geben; Indikatoren wurden nicht veröffentlicht.

Hintergrund & Einordnung: Die Kombination ist unangenehm. Backup-Software läuft mit weitreichenden Rechten und hat Zugriff auf genau die Daten, die ein Angreifer sucht; ein Plugin in einer Verwaltungsoberfläche wie cPanel läuft zudem auf Systemen, die viele Kundenumgebungen zugleich bedienen. Zusammen mit der LiteSpeed-Lücke vom Vortag — ebenfalls eine Rechteausweitung zu root im Shared Hosting — ergibt sich innerhalb von 48 Stunden ein Muster, das Hoster ernst nehmen sollten: Zwei unabhängige Wege, von einem Kundenkonto zu vollen Systemrechten zu kommen. Dass Acronis die Details zurückhält, ist verantwortungsvoll, erschwert aber die Suche nach Spuren; ohne Indikatoren bleibt nur der Blick auf ungewöhnliche Rechteänderungen und neu angelegte Konten.

Praxisfolgen / Handlungsempfehlung: Betroffene Installationen sofort auf 1.9.3 HF3 beziehungsweise 1.8.11 heben. Da keine Indikatoren vorliegen, sollten Hoster ersatzweise prüfen: neu angelegte Systemkonten, Änderungen an sudoers und an Dateien mit gesetztem SUID-Bit seit Anfang September, sowie Backup-Jobs, die zu ungewöhnlichen Zeiten oder auf ungewöhnliche Ziele gelaufen sind. Und unabhängig von diesem Fall: Backup-Infrastruktur gehört in ein eigenes Rechte- und Netzsegment; wer sie als Plugin in der Kundenverwaltungsoberfläche betreibt, verbindet zwei Systeme mit sehr unterschiedlichem Schutzbedarf.

3.1 Google schließt ausgenutzten Zero-Day im Mobilfunk-Subsystem der Pixel-Geräte

16.09.2026 · BleepingComputer

Zusammenfassung: Google hat am 16. September das September-Sicherheitsbulletin für die Pixel-Geräte veröffentlicht und darin 110 Schwachstellen geschlossen — darunter zwölf zur Codeausführung aus der Ferne und 89 Rechteausweitungen mit kritischer oder hoher Einstufung. CVE-2026-58704 wird nach Angaben des Herstellers in gezielten Angriffen ausgenutzt: eine fehlerhafte Berechtigungsprüfung und ein Versagen des Schutzmechanismus im Modem-Subsystem, eingestuft als hoch. Ein Angreifer mit benachbartem Netzzugang und einfachen Geräterechten kann über einen Logikfehler höhere Rechte erlangen; zusätzliche Ausführungsrechte oder eine Nutzerinteraktion sind nicht erforderlich. Betroffen sind alle unterstützten Pixel-Geräte. Das Update trägt den Patch-Level 2026-09-05 und wird über Einstellungen, Sicherheit und Datenschutz, System und Updates, Sicherheitsupdate eingespielt.

Hintergrund & Einordnung: Lücken im Modem-Subsystem sind eine eigene Kategorie. Das Modem läuft als weitgehend eigenständiger Prozessor mit eigenem Betriebssystem neben dem Anwendungsprozessor; was dort passiert, entzieht sich den üblichen Schutzmechanismen von Android. Dass der Angriff benachbarten Netzzugang voraussetzt, klingt nach einer Einschränkung, ist aber in der Praxis keine große: Die Voraussetzung erfüllt jede Funkzelle, auch eine vom Angreifer betriebene. Die Formulierung „gezielte Angriffe“ bei einer Modem-Lücke deutet auf den Einsatz gegen ausgewählte Personen hin — dasselbe Muster, das die Meldung 1.3 aus anderer Richtung beschreibt.

Praxisfolgen / Handlungsempfehlung: In verwalteten Geräteflotten das Update erzwingen und den Neustart mit einplanen — ein heruntergeladener, nicht aktivierter Patch schützt nicht. Bei Geräten anderer Hersteller auf die jeweiligen September-Auslieferungen achten; der Patch-Level 2026-09-05 ist der Maßstab, nicht das Erscheinungsdatum der Aktualisierung. Für exponierte Personen gilt zusätzlich, was oben steht: Der erweiterte Schutzmodus von Android schränkt die Angriffsfläche über den einzelnen Patch hinaus ein.

3.2 WSO2: JWT-Prüfung über nicht unterstützten Signaturalgorithmus umgehbar

16.09.2026 · The Hacker News

Zusammenfassung: In mehreren WSO2-Produkten lässt sich die JWT-Authentifizierung umgehen, wenn ein Token mit einem nicht unterstützten Algorithmus signiert ist. CVE-2026-5430 ist mit CVSS 9,8 bewertet. Betroffen sind WSO2 API Manager 4.1.0 bis 4.6.0 sowie API Control Plane, Traffic Manager und Universal Gateway in den Fassungen 4.5.0 und 4.6.0. watchTowr hat seit dem 13. September 2026 im eigenen Honeypot-Netz Token mit Administratorrechten erfasst, die auf diesem Weg gefälscht wurden. Wer die Lücke ausnutzt, erreicht die dahinterliegenden API-Backends, die dort hinterlegten Zugangsdaten und die Consumer Keys. Korrekturen stehen für Kunden mit Supportvertrag als Update-Level bereit; für die Community-Fassung liegen sie als Pull Requests #13752 und #14167 auf GitHub.

Hintergrund & Einordnung: Der Fehlertyp ist alt und immer noch verbreitet: Eine Bibliothek prüft die Signatur eines Tokens, kennt den angegebenen Algorithmus aber nicht — und behandelt das Ergebnis als gültig statt als Fehler. Was den Fall besonders macht, ist die Position des Produkts. Ein API-Gateway steht bewusst am Netzrand und bündelt die Zugänge zu allem, was dahinter liegt; wer dort Administratorrechte erlangt, erhält nicht Zugriff auf ein System, sondern auf einen Katalog. Dass die Community-Fassung nur über Pull Requests versorgt wird, während Supportkunden fertige Update-Level bekommen, ist ein bekanntes, aber in dieser Lage unglückliches Modell: Genau die Betreiber ohne Vertrag müssen selbst bauen und ausrollen.

Praxisfolgen / Handlungsempfehlung: Betroffene Installationen patchen und bis dahin den Zugriff auf die Verwaltungsschnittstellen netzseitig einschränken. Prüfen Sie die Protokolle auf Token, deren Signaturalgorithmus vom erwarteten abweicht — das ist das eindeutigste Erkennungsmerkmal. War das System aus dem Internet erreichbar, sind alle hinterlegten Zugangsdaten und Consumer Keys als kompromittiert zu behandeln und zu erneuern; ein gefälschtes Admin-Token hinterlässt in der Anwendung selbst keine Spur, die sich später von legitimer Nutzung unterscheiden ließe.

3.3 VMware vCenter: die Juli-Lücke wird jetzt von Ransomware-Gruppen genutzt

15.09.2026 · BleepingComputer

Zusammenfassung: Die CISA hat ihren Katalogeintrag zu CVE-2026-59310 im VMware vCenter Server aktualisiert und vermerkt die Lücke nun als von Ransomware-Gruppen genutzt. Es handelt sich um eine Pfadmanipulation im Syslog-Server von vCenter, die unauthentifizierte Codeausführung erlaubt. Broadcom hatte am 29. Juli 2026 gepatcht; die CISA nahm die Lücke am 18. August in den Katalog aktiv ausgenutzter Schwachstellen auf und setzte US-Bundesbehörden eine Frist von drei Tagen. Mitte August hatte QUIRSO 361 kompromittierte Adressen in 47 Ländern gezählt. Zu den konkreten Ransomware-Angriffen hat die CISA keine Details veröffentlicht. Shadowserver zählt weiterhin über 450 aus dem Internet erreichbare vCenter-Server, deren Patchstand unbekannt ist.

Hintergrund & Einordnung: Diese Meldung ist ein Verlaufshinweis, kein neuer Fall — die Lücke lief hier bereits im August. Neu ist der Ransomware-Vermerk, und der ist für die Priorisierung bedeutsam: Virtualisierungsinfrastruktur ist für Erpressergruppen das attraktivste Ziel überhaupt, weil sich über den Hypervisor sämtliche Gastsysteme auf einmal verschlüsseln lassen, ohne dass auf einem einzigen davon ein Endpunktschutz anschlägt. Der Abstand ist typisch: Patch Ende Juli, Katalogaufnahme Mitte August, Ransomware im September. Wer nach der Dreitagesfrist im August nicht gehandelt hat, hatte sieben Wochen Zeit und hat sie verstreichen lassen.

Praxisfolgen / Handlungsempfehlung: Patchstand prüfen und, unabhängig davon, die Verwaltungsoberfläche aus dem Internet nehmen. Es gibt keinen Betriebsgrund, vCenter öffentlich erreichbar zu betreiben; ein VPN oder ein Zugriffsproxy mit eigener Authentifizierung davor schließt diese und künftige Lücken derselben Klasse. Wer nicht ausschließen kann, dass die Instanz zwischen Ende Juli und heute erreichbar war, sollte gezielt nach angelegten Konten, veränderten Rollen und unbekannten Aufgaben im Scheduler suchen — und die Sicherungen daraufhin prüfen, ob sie vom kompromittierten System aus erreichbar waren.

4.1 OLG Brandenburg: Unterlassung, Löschung und 2.000 Euro wegen der Meta Business Tools

Brandenburgisches Oberlandesgericht · 05.08.2026 · 4 U 24/26 · Aufbereitung auf cyber-security.academy · Volltext bei juris

Sachverhalt: Eine Instagram-Nutzerin wandte sich gegen die Erhebung ihrer Daten auf Dritt-Webseiten und in Dritt-Apps über die Meta Business Tools — jene Schnittstellen, die Meta Betreibern zur Reichweiten- und Werbeerfolgsmessung bereitstellt und die dabei Daten an Metas Server übertragen. Sie verlangte die Feststellung, dass der Nutzungsvertrag diese Verarbeitung nicht gestattet, Unterlassung, Löschung beziehungsweise Anonymisierung aller seit dem 25. Mai 2018 gespeicherten Daten und 5.000 Euro Schadensersatz. Das Landgericht Neuruppin sprach ihr 500 Euro zu und wies die übrigen Anträge ab; beide Seiten legten Berufung ein.

Entscheidung: Der 4. Zivilsenat verurteilt Meta zur Unterlassung, bewehrt mit Ordnungsgeld bis 250.000 Euro, und zählt die betroffenen Datenarten im Tenor einzeln auf — von E-Mail, Telefonnummer, Name, Geburtsdatum, Geschlecht und Ort über IP-Adresse, User-Agent und Metas interne Klick- und Browser-IDs bis zur Android-Werbe-ID, dazu besuchte URLs, Zeitpunkte, Referrer, angeklickte Schaltflächen und Interaktionsdaten. Die seit dem 25. Mai 2018 gespeicherten Daten sind binnen eines Monats nach Rechtskraft zu löschen, mit Bestätigung an die Klägerin; die webseiten- und appbezogenen Daten sind zu anonymisieren oder nach Wahl der Beklagten zu löschen. Der Schadensersatz wird von 500 auf 2.000 Euro angehoben. Der Zwischenfeststellungsantrag und die vorgerichtlichen Anwaltskosten bleiben erfolglos. Revision nicht zugelassen.

Begründungs-Kernpunkte: Der Unterlassungsanspruch folgt nicht aus Art. 17 DSGVO — die Vorschrift gibt ein Recht auf Löschung, kein Recht auf Unterlassung —, wohl aber aus §§ 280 Abs. 1, 241 Abs. 2, 823, 1004 BGB wegen Verletzung des allgemeinen Persönlichkeitsrechts; die Verordnung steht nationalen Unterlassungsansprüchen nicht entgegen. Die Darlegungs- und Beweislast für einen Rechtfertigungsgrund trifft allein den Verantwortlichen, und zwar umfassend. Meta hat weder eine Einwilligung dargelegt noch, welche Daten es zu welchem Zweck verarbeitet; die Berufung auf Cybersicherheit weist der Senat zurück, weil die Business Tools ausweislich Metas eigener Produktbeschreibung der Steigerung von Reichweite und Werbeerfolg dienen und eine Datenbevorratung ohne Vorabfestlegung des Zwecks gegen den Grundsatz der Zweckbindung verstößt. Die Vertragserfüllung scheitert am Maßstab des Gerichtshofs aus dem Verfahren gegen das Bundeskartellamt. Beim Verschulden wird der Senat deutlich: Seit dem Beschluss des Bundeskartellamts vom Februar 2019 und spätestens seit dem Schrems-II-Urteil vom 16. Juli 2020 habe Meta vorsätzlich gehandelt, wenigstens mit bedingtem Vorsatz. Den Schaden bemisst der Senat nach den Kriterien des Bundesgerichtshofs aus dem Scraping-Urteil und ordnet 2.000 Euro ausdrücklich in die obergerichtliche Bandbreite ein — die 750 Euro des OLG München und die 500 Euro des OLG Stuttgart hält er für zu niedrig.

Praxisfolgen: Für die laufende Klagewelle ist das die bislang weitgehendste Entscheidung, und zwar wegen des Unterlassungstitels, nicht wegen des Betrags. Ein Schadensersatzurteil ist eine Rechnungsposition; ein mit Ordnungsgeld bewehrtes, im Tenor datenartengenau ausformuliertes Unterlassungsgebot samt Löschungs- und Bestätigungspflicht ist es nicht. Für Websitebetreiber ist die Entscheidung mittelbar relevant: Die Rechtswidrigkeit wird hier nicht am Einwilligungsbanner festgemacht, sondern an der Verarbeitung in Metas Sphäre — die eigene Mitverantwortlichkeit nach Art. 26 DSGVO bleibt davon unberührt und wird durch solche Urteile eher riskanter. Praktisch am folgenreichsten ist die Beweislastverteilung: Der Verantwortliche muss offenlegen, welche Daten er zu welchem Zweck verarbeitet, und kann sich nicht darauf zurückziehen, die klagende Partei habe ihre Betroffenheit nicht dargelegt. Der festgestellte Vorsatz ab 2020 ist zudem ein Argument, das in aufsichtsbehördlichen Verfahren nach Art. 83 Abs. 2 Buchst. b DSGVO zitiert werden wird.

4.2 VG Hannover: Verwarnung und Bußgeld dürfen nebeneinanderstehen

Verwaltungsgericht Hannover · 07.08.2026 · 10 A 5144/23 · Aufbereitung auf cyber-security.academy · Referat der Stiftung Datenschutz

Sachverhalt: Eine Datenschutzaufsichtsbehörde hatte gegen einen Lebensmittelbetrieb wegen umfangreicher Videoüberwachung zwei Maßnahmen zugleich ergriffen: eine Verwarnung nach Art. 58 Abs. 2 Buchst. b DSGVO und eine Geldbuße. Der Betrieb hielt das für eine unzulässige doppelte Sanktionierung desselben Verstoßes und klagte.

Entscheidung: Das Verwaltungsgericht Hannover wies die Klage in diesem Punkt ab. Das Verbot der Doppelbestrafung steht der Kombination aus datenschutzrechtlicher Verwarnung und Geldbuße nicht entgegen.

Begründungs-Kernpunkte: Beide Maßnahmen verfolgen unterschiedliche rechtliche Zwecke. Die Verwarnung dient der verbindlichen Feststellung, dass ein Datenschutzverstoß vorliegt — sie ist damit ein feststellender Verwaltungsakt und keine Sanktion im Sinne des Doppelbestrafungsverbots; die Geldbuße ahndet den Verstoß. Die 10. Kammer knüpft damit an ihre frühere Rechtsprechung an, in der sie die Verwarnung als „kleine Schwester der Geldbuße“ beschrieben hatte: eine Abhilfemaßnahme für Fälle unterhalb der Bußgeldschwelle oder aus Verhältnismäßigkeitsgründen „anstelle einer Geldbuße“, wie es Erwägungsgrund 148 Satz 2 der Verordnung formuliert. Zugleich hatte die Kammer betont, dass Art. 58 Abs. 2 DSGVO kein abgestuftes System vorgibt, nach dem zwingend zuerst zu verwarnen wäre.

Praxisfolgen: Für die Bescheidpraxis der Aufsichtsbehörden ist das eine Absicherung — die Kombination beider Maßnahmen in einem Vorgang ist verbreitet und war bislang nicht obergerichtlich abgestützt. Für Verantwortliche folgt daraus vor allem eine prozessuale Warnung: Gegen die Verwarnung als Verwaltungsakt ist der Verwaltungsrechtsweg eröffnet, gegen den Bußgeldbescheid der Einspruch zum Amtsgericht. Wer beides zusammen erhält, muss zwei getrennte Rechtsbehelfe führen und zwei Fristen wahren; der Einwand der Doppelbestrafung trägt nach dieser Entscheidung nicht. Angreifbar bleiben die Maßnahmen jeweils für sich — etwa in der Verhältnismäßigkeit oder in der Bußgeldbemessung. Einschränkend ist anzumerken, dass der Volltext am 16.09.2026 in keiner frei zugänglichen Datenbank vorlag; die Aufbereitung stützt sich auf das Referat der Stiftung Datenschutz und ist entsprechend als Kurzfassung gekennzeichnet.

4.3 VG Köln: Scheinzitate begründen den Anscheinsbeweis für unerlaubten KI-Einsatz

Verwaltungsgericht Köln · 16.06.2026 · 6 K 6485/25 · Aufbereitung auf cyber-security.academy

Sachverhalt: In einer Prüfungsarbeit fanden sich Literaturnachweise, die es nicht gibt — Titel, Autoren und Fundstellen, die plausibel aussehen und sich nicht verifizieren lassen. Die Prüfungsbehörde wertete das als Täuschung durch nicht offengelegten Einsatz eines Sprachmodells; die geprüfte Person bestritt das.

Entscheidung: Das Verwaltungsgericht Köln bestätigt den Täuschungsvorwurf. Nicht existierende Zitate in einer Prüfungsarbeit begründen den Anscheinsbeweis dafür, dass ein generatives Sprachmodell ohne Offenlegung eingesetzt wurde.

Begründungs-Kernpunkte: Der Anscheinsbeweis knüpft an einen typischen Geschehensablauf an: Das Erfinden formal korrekter, inhaltlich nicht existierender Nachweise ist ein bekanntes und gut dokumentiertes Verhalten generativer Sprachmodelle, während es sich durch eigenständige Recherche kaum erklären lässt. Die geprüfte Person kann den Anschein erschüttern, muss dafür aber einen abweichenden Geschehensablauf konkret darlegen — der pauschale Verweis auf ein Versehen genügt nicht.

Praxisfolgen: Die Entscheidung ist über das Prüfungsrecht hinaus interessant, weil sie ein Beweisproblem löst, das in vielen Zusammenhängen auftritt: Der Einsatz eines Sprachmodells lässt sich forensisch praktisch nicht nachweisen, wohl aber sein charakteristischer Fehler. Wer Prüfungs-, Bewerbungs- oder Gutachtenverfahren ausgestaltet, sollte die Konsequenz mitdenken: Eine ausdrückliche Erklärungspflicht zum KI-Einsatz und eine stichprobenartige Prüfung der Quellenangaben sind der wirksamste und zugleich billigste Kontrollmechanismus. Für Bildungseinrichtungen empfiehlt sich, den Umgang mit Sprachmodellen positiv zu regeln statt ihn pauschal zu verbieten — geahndet wird nach dieser Linie nicht der Einsatz, sondern die fehlende Offenlegung. Zur Einordnung: Die Entscheidung stammt vom Juni 2026 und wurde am 3. September über den INFOLAW-Verteiler verbreitet; sie ist hier nachgetragen, weil sie damals als außerhalb des Themenzuschnitts eingestuft worden war.

5.1 Kalifornien: erste Sanktion gegen einen Datenhändler nach CCPA und Delete Act

11.08.2026 · CalPrivacy · datenschutzticker

Behörde: California Privacy Protection Agency (CalPrivacy) · Adressat: LocateSmarter LLC, Iowa · Höhe: 116.490 US-Dollar

Verstoß / Rechtsgrundlage: California Consumer Privacy Act und California Delete Act. Beanstandet wurden drei Punkte: die verspätete Registrierung als Datenhändler, das Verlangen der letzten vier Ziffern der Sozialversicherungsnummer, bevor Verbraucher ihr Widerspruchsrecht ausüben durften, sowie die Erhebung und Weitergabe personenbezogener Daten ohne Kenntnis der Betroffenen — darunter Namen, Geburtsdaten, Sozialversicherungsnummern, Telefonnummern, E-Mail-Adressen, Beschäftigungs- und Führerscheindaten. Hinzu kommt die Verbreitung von Schlussfolgerungen über Verbrauchereigenschaften ohne hinreichende Transparenz.

Begründung: Es ist die erste Maßnahme gegen einen Datenhändler zugleich nach beiden Gesetzen. Der Leiter der Durchsetzung betonte, die Behörde bewerte Verhalten durch die Linse mehrerer Gesetze zugleich; der Geschäftsführer hob hervor, dass das Bußgeld erheblich sei, obwohl nur wenige Verbraucher überhaupt Widerspruch eingelegt hätten. Der Hintergrund ist das Anfang 2026 gestartete DROP-System — eine zentrale Plattform, über die Verbraucher mit einer einzigen Anfrage die Löschung ihrer Daten bei allen registrierten Datenhändlern verlangen können. Der Delete Act verpflichtet Datenhändler zur jährlichen Registrierung im Januar; wer sich nicht registriert, entzieht sich damit auch dem zentralen Löschmechanismus. Neben der Zahlung wurden Änderungen der Geschäftspraxis und die Erfüllung der Registrierungspflichten angeordnet.

Praxisfolgen: Für europäische Unternehmen mit Datengeschäft in Kalifornien ist der Fall eine Vorschau darauf, wie der Delete Act durchgesetzt wird: Angegriffen wurde nicht die Datenerhebung als solche, sondern die Verhinderung der Rechtsausübung — eine Hürde vor dem Widerspruch, aufgebaut aus einer zusätzlichen Identifizierungsanforderung. Dieselbe Konstruktion findet sich in europäischen Verfahren regelmäßig bei Auskunfts- und Löschprozessen: Wer zur Identifizierung mehr Daten verlangt, als er zur Zuordnung braucht, verstößt gegen die Datenminimierung und macht aus einem Betroffenenrecht eine Abschreckung. Prüfen Sie Ihre eigenen Prozesse daraufhin, welche Angaben Sie vor einem Widerspruch oder einer Löschung verlangen — und ob Sie diese Angaben tatsächlich benötigen oder nur gewohnheitsmäßig abfragen. Zur Einordnung: Der Bescheid datiert vom 11. August 2026 und wurde in der deutschsprachigen Fachpresse am 10. September aufgegriffen; er wird hier erstmals behandelt.

6.1 KREMLIN: Banking-Schadsoftware kapert Chrome und Edge über eine eigene Erweiterung

15.09.2026 · The Hacker News

Zusammenfassung: Elastic Security Labs hat unter der Kennung REF9334 ein brasilianisches Banking-Schadsoftware-Ökosystem namens KREMLIN beschrieben. Der Einstieg erfolgt über mehrstufige JavaScript-Ladeprogramme, die als Bank-, Rechnungs- oder Firmendokumente auftreten und vom Opfer selbst gestartet werden müssen. Danach folgen eigene C++-Installer und schließlich eine bösartige Browser-Erweiterung mit dem Namen „AVSync System Inc“ und der Kennung ndpbidppejfanjbhfgjlohfanbfbklff. Um sie zu installieren, manipuliert die Schadsoftware die Secure-Preferences-Dateien von Chrome und Edge und umgeht damit deren Integritätsprüfung. Die Erweiterung liest Cookies, sessionStorage, localStorage und den Verlauf aus, macht Bildschirmfotos und erfasst vollständige HTML-Seiteninhalte. Die Steuerung läuft über WebSocket-Verbindungen und als CSS getarnte HTTP-Anfragen, seit dem 19. Mai 2026 teilweise auch über Ethereum-Smart-Contracts. Erfasst wurden 1.515 infizierte Systeme, über 98 Prozent davon in Brasilien; imitiert wird rund ein Dutzend brasilianischer Banken. Aktiv ist die Familie seit mindestens Mai 2025. Elastic hat die Prüfdomäne registriert, mit der die Schadsoftware Analyseumgebungen erkennt, und deren Ausweichmechanismus damit gestört.

Hintergrund & Einordnung: Der interessante Teil ist nicht der Diebstahl von Zugangsdaten, sondern der Ort des Zugriffs. Eine Browser-Erweiterung sitzt hinter der Authentifizierung: Zwei-Faktor-Anmeldung, Passkeys und Gerätebindung schützen den Anmeldevorgang, nicht die Sitzung danach. Wer den Seiteninhalt nach erfolgreicher Anmeldung vollständig mitliest und Sitzungsdaten abgreift, braucht keine Zugangsdaten mehr. Die Manipulation der Secure-Preferences-Dateien ist dabei der entscheidende technische Schritt — Chrome und Edge signieren diese Datei gerade, um das nachträgliche Einschleusen von Erweiterungen zu verhindern. Die Verlagerung der Steuerung auf Smart Contracts folgt einem Muster, das sich in diesem Jahr häuft: Eine Adresse in einer öffentlichen Blockchain lässt sich nicht abschalten und nicht beschlagnahmen.

Praxisfolgen / Handlungsempfehlung: Erweiterungen per Richtlinie auf eine Freigabeliste beschränken — das ist die einzige Maßnahme, die diese Klasse zuverlässig unterbindet, und sie wirkt auch gegen den Twitch-Fall der Vorwoche. Ergänzend die Ausführung von Skriptdateien aus Mailanhängen unterbinden: .js, .vbs, .hta und .wsf gehören per Gruppenrichtlinie dem Editor zugeordnet, nicht dem Windows Script Host. In der Erkennung lohnt der Blick auf Schreibzugriffe auf die Secure-Preferences-Dateien der Browserprofile durch andere Prozesse als den Browser selbst. Für Anwenderinnen und Anwender bleibt die einfache Regel: Rechnungen kommen als PDF, nicht als Skript.

6.2 BambooToken steuert Windows- und Linux-Systeme über MQTT

15.09.2026 · BleepingComputer

Zusammenfassung: Lumens Black Lotus Labs haben eine Schadsoftware namens BambooToken dokumentiert, die Windows- und Linux-Systeme über das Protokoll MQTT steuert. Statt sich direkt mit einem Angreiferserver zu verbinden, abonniert das infizierte System Themen unter einer eindeutigen Kennung; die Betreiber veröffentlichen ihre Befehle über einen zentralen Vermittler, und die Systeme melden Status und Systeminformationen über denselben Kanal zurück. Verbreitet wird sie über Side-Loading in der digital signierten USB-Token-Software Tendyron OnKey sowie über gefälschte Pakete der Büroanwendung Kingsoft Office. Bestätigt sind Funktionen zur Erkennung installierter Virenschutzprogramme und zum Sammeln von Systeminformationen; im Code finden sich zusätzlich ruhende Module für Tastaturmitschnitt, Zwischenablage-Diebstahl, Tonaufzeichnung, Webcam-Zugriff und Bildschirmfotos, deren aktiver Einsatz nicht belegt ist. Betroffen sind rund ein Dutzend Organisationen in Asien und Südamerika — Hotels, Biomedizinunternehmen, Anwaltskanzleien, Finanzorganisationen und Kryptowährungsplattformen; am häufigsten getroffen wurde die Backend-Infrastruktur mobiler Anwendungen. Ein GitLab-Server in Hongkong hätte einen Lieferkettenangriff ermöglicht. Die Software ist seit mindestens 2023 aktiv, Varianten wurden bis Dezember 2025 beobachtet; eine belastbare Zuordnung gibt es nicht, das Zielbild ist mit chinesisch ausgerichteten Operationen vereinbar.

Hintergrund & Einordnung: MQTT ist ein Protokoll für das Internet der Dinge — Sensoren, Gebäudetechnik, Fahrzeugtelemetrie — und in vielen Unternehmensnetzen legitim unterwegs. Genau darin liegt der Nutzen für den Angreifer: Erkennungsregeln, die auf Verbindungen zu bekannten Steuerservern abstellen, laufen ins Leere, weil es keine solche Verbindung gibt; das infizierte System spricht nur mit einem Vermittler. Der zweite Vorteil ist die Asynchronität: Fällt das Netz zeitweise aus, geht kein Befehl verloren, weil der Vermittler ihn vorhält. Das Side-Loading über digital signierte Sicherheits-Software ist die zweite Bosheit — eine signierte, legitime Anwendung lädt eine untergeschobene Bibliothek, und der Signaturprüfung entgeht das.

Praxisfolgen / Handlungsempfehlung: Prüfen Sie, ob MQTT-Verkehr in Ihrem Netz überhaupt vorkommen sollte, und wenn ja, wohin. Ausgehende Verbindungen zu fremden MQTT-Vermittlern gehören auf eine Freigabeliste; alles andere sollte auffallen. Für das Side-Loading gilt die bekannte Gegenmaßnahme: Anwendungsverzeichnisse schreibgeschützt halten und Bibliotheken nur aus definierten Pfaden laden. Und da die Backend-Infrastruktur mobiler Anwendungen das häufigste Ziel war, lohnt der Abgleich mit Meldung 6.1 des gestrigen Briefings: Dieselbe Infrastruktur ist es, in der fest eingebaute Zugangsdaten aus Apps münden.

6.3 Fünf mutmaßliche Black-Axe-Anführer an die USA ausgeliefert

15.09.2026 · BleepingComputer

Zusammenfassung: Fünf mutmaßliche Anführer des nigerianischen Black-Axe-Syndikats — Perry Osagiede, Franklyn Osagiede, Osariemen Clement, Collins Otughwor und Musa Mudashiru — wurden am 11. September 2026 aus Südafrika an die Vereinigten Staaten ausgeliefert. Sie waren dort 2021 auf Ersuchen der USA festgenommen worden. Die Anklage wirft ihnen vor, zwischen 2011 und 2021 Internetbetrug im großen Stil koordiniert zu haben, darunter Vorschussbetrug und Romance Scam. Sie nutzten mehrere Aliasnamen, soziale Netzwerke, Partnerbörsen und Internet-Telefonnummern, um US-Opfer zu schädigen, und setzten sie unter Druck, indem sie mit der Veröffentlichung intimer Aufnahmen drohten, wenn Zahlungen ausblieben. Black Axe wurde 1977 in Nigeria gegründet und soll rund 30.000 eingetragene Mitglieder haben. Der Strafrahmen liegt bei bis zu 20 Jahren für Überweisungsbetrug und ebenso für Geldwäsche, zuzüglich zwei Jahren für schweren Identitätsdiebstahl. Ermittelt haben das FBI Newark und Partnerbehörden.

Hintergrund & Einordnung: Fünf Jahre zwischen Festnahme und Auslieferung sind der eigentliche Befund dieser Meldung. Wo die Angriffsseite in Stunden agiert — bei WooCommerce zwischen Offenlegung und Massenausnutzung, bei Gitea zwischen Patch und Kampagne —, arbeitet die Strafverfolgung in Jahren, und das liegt nicht an den Ermittlern, sondern an Auslieferungsverfahren und Rechtshilfe. Für die Prävention folgt daraus, dass Strafverfolgung als Abschreckung in diesem Feld weitgehend wirkungslos bleibt: Die Wahrscheinlichkeit, belangt zu werden, ist gering, der zeitliche Abstand groß. Bemerkenswert ist zudem die Struktur — Black Axe ist keine Hackergruppe, sondern eine Organisation mit fünfstelliger Mitgliederzahl, in der Internetbetrug ein Geschäftszweig unter mehreren ist.

Praxisfolgen / Handlungsempfehlung: Für Unternehmen ist der relevante Teil die Erpressungskomponente: Die Drohung mit der Veröffentlichung intimer Aufnahmen trifft Beschäftigte privat und wird zum Unternehmensrisiko, sobald die Betroffenen sich daraufhin erpressbar machen lassen. In Sicherheitsunterweisungen gehört deshalb der Hinweis, dass eine solche Erpressung meldbar sein muss, ohne dass die betroffene Person mit Konsequenzen rechnen muss — eine Sperre, die in der Praxis mehr Schaden verhindert als jede technische Maßnahme. Für die Vorfallbearbeitung gilt: Romance Scam und Vorschussbetrug hinterlassen Spuren in der Zahlungsabwicklung; wer ungewöhnliche private Zahlungsvorgänge von Firmenkonten sieht, sollte nachfragen, statt nur zu blockieren.