SafePay trifft CPU AG (Bayern) · Cisco SD-WAN CVSS 9,9 · LoadMaster aktiv ausgenutzt · BGH VI ZR 400/24 · Screening Serpens
1. SafePay-Ransomware trifft deutsches Software-Unternehmen CPU AG
Die in Friedberg (Bayern) ansässige CPU AG — Softwareentwickler seit 1981 — wurde am 3. August 2026 vom Ransomware-Akteur SafePay auf dessen Leak-Seite veröffentlicht. Die Gruppe droht mit der Veröffentlichung sensibler Unternehmensdaten. SafePay hat 2026 systematisch deutsche Firmen verschiedener Branchen angegriffen. Unternehmen sollten aktuelle Offline-Backups prüfen, Zugangsdaten rotieren und Dark-Web-Monitoring aktivieren.
2. Progress LoadMaster: Patch jetzt einspielen
CISA hat am 7. August CVE-2026-8037 (CVSS 9,6, Unauthenticated Command Injection) in den KEV-Katalog aufgenommen — aktive Exploitation bestätigt, 792 Angriffe in 41 Tagen dokumentiert. Wer LoadMaster-Appliances betreibt, muss auf GA 7.2.63.2 / LTSF 7.2.54.18 updaten. Keine Workarounds verfügbar.
3. Cisco Catalyst SD-WAN: drei Lücken mit CVSS 9,9
Cisco hat am 5. August ein SD-WAN-Hardening-Release veröffentlicht. Drei CVEs erreichen CVSS 9,9 — keine aktive Ausnutzung bekannt, aber keine Workarounds: Update zwingend. Besonders kritisch für Unternehmen mit dezentralen Zweigstellen-Netzwerken.
4. BGH: Keine Geldentschädigung für Helene Fischer trotz rechtswidriger Babyfotos
Der BGH (VI ZR 400/24, 21.07.2026) hat klargestellt: Mehrere für sich genommen weniger schwere Persönlichkeitsrechtsverletzungen summieren sich nur dann zu einem Geldentschädigungsanspruch, wenn der Verletzer hartnäckig und nach Kenntniserlangung vom Verbot weiter veröffentlicht. Die Entscheidung hat Bedeutung für alle Unternehmen, die Bildmaterial über Personen verarbeiten oder Medien betreiben.
5. Iranische APT Screening Serpens: neue RAT-Varianten im Umlauf
Unit 42 (Palo Alto Networks) hat sechs neue RAT-Varianten der Iran-nexus-Gruppe Screening Serpens dokumentiert. Die Gruppe nutzt AppDomainManager-Hijacking und schwere Code-Verschleierung, um EDR-Systeme zu umgehen. Ziele: USA, Israel, VAE. Organisationen im westlichen Sicherheitsumfeld sollten Spear-Phishing-Lures über Recruiting-Plattformen verstärkt monitoren.
Im heutigen Tagesfenster keine neu verifizierten Massenphishing-Wellen mit unmittelbarem Handlungsbedarf für deutsche Verbraucher. Das Verbraucherzentrale Phishing-Radar empfiehlt grundsätzlich, bei E-Mails, die Paketzustellungen, Kontoaktivierungen oder Zahlungsaufforderungen thematisieren, keine enthaltenen Links zu öffnen und Absender-Domains sorgfältig zu prüfen.
Der SafePay-Angriff auf CPU AG erhöht das Risiko sekundärer Phishing-Kampagnen gegen Kunden und Partner des Unternehmens. Wer geschäftliche Verbindungen zur CPU AG unterhält, sollte bei unerwarteten E-Mails mit Dateianhängen besondere Vorsicht walten lassen.
Diese Woche dominierten zwei Muster: aktiv ausgenutzte Schwachstellen in Netzwerk-Appliances (LoadMaster) und systematische Ransomware-Angriffe auf deutsche Mittelstandsunternehmen durch SafePay. Auf der Rechtsseite lieferte der BGH eine wichtige Klarstellung zum Persönlichkeitsschutz bei Medienberichterstattung. Die iranische Hackergruppe Screening Serpens operiert mit zunehmend ausgefeilten Umgehungstechniken und bleibt eine ernste Bedrohung für westliche Organisationen mit Israel- oder USA-Bezug.
Der BGH hat mit VI ZR 400/24 präzisiert, unter welchen Voraussetzungen wiederholte Persönlichkeitsrechtsverletzungen zu Geldentschädigungsansprüchen führen. Das entscheidende Kriterium ist nicht die Häufigkeit der Verletzungen, sondern das Timing: Publikationen vor Zustellung einer Einstweiligen Verfügung begründen keine Hartnäckigkeit im Rechtssinne. Medienunternehmen und Bildagenturen erhalten damit Planungssicherheit; Betroffene müssen wissen, dass Unterlassung und Gegendarstellung oft das einzig durchsetzbare Mittel bleiben, wenn rechtswidrige Publikationen vor einem Gerichtsverbot erfolgten.
Nachfolgend finden Sie die sechs Fachkapitel sowie den KI-/LLM-Überblick für technische und rechtliche Fachleute.
Cisco-Infrastruktur unter Beschuss · Seit: 05.08.2026 · Zuletzt aktualisiert: 11.08.2026 · Score 9/10
Letzte Entwicklung: Nach dem IOS-XE-Hardening-Release (CVE-2026-20272, CVSS 9,8, gestern berichtet) folgt heute das SD-WAN-Pendant mit drei CVEs auf CVSS 9,9-Niveau. Cisco schließt damit in einem einzigen August-Zyklus ein Dutzend kritischer Lücken — ein Hinweis auf intensive interne Sicherheitsreviews mit KI-Unterstützung.
Ransomware-Systematik gegen Deutschland · Seit: 03.08.2026 · Zuletzt aktualisiert: 11.08.2026 · Score 8/10
Letzte Entwicklung: SafePay hat CPU AG (Friedberg/Bayern) auf seine Leak-Seite gesetzt. Der Akteur hat 2026 nachweislich weitere deutsche Unternehmen getroffen (RTN GmbH, Stroebel Gruppe, WDK, MBK GmbH). Die Konzentration auf den deutschen Mittelstand ist statistisch signifikant.
Technisch prägen dieser Tage zwei Muster das Lagebild. Erstens erweisen sich netzwerknahe Appliances und Load Balancer als besonders kritische Angriffsfläche: Progress LoadMaster wird mit CVE-2026-8037 (CVSS 9,6) aktiv und großflächig angegriffen — 792 dokumentierte Exploit-Versuche in 41 Tagen, 65 unique Angreifer-IPs. Cisco schließt parallel zwölf weitere Lücken in SD-WAN (drei auf CVSS 9,9) und IOS XE (bereits gestern berichtet). Gemeinsamer Nenner: Die Management- und Steuerungsebene von Netzwerkinfrastruktur ist ein Primärziel, weil ein erfolgreicher Angriff Sichtbarkeit auf die gesamte nachgelagerte Infrastruktur bietet.
Zweitens zieht sich der SafePay-Ransomware-Akteur mit CPU AG (Bayern) systematisch durch den deutschen Mittelstand. Diese Gruppe kombiniert Datendiebstahl- und verschlüsselungsbasierte Erpressung und hat 2026 bereits mindestens fünf deutsche Unternehmen verschiedener Branchen getroffen. Auf der Threat-Intelligence-Seite liefert Unit 42 eine detaillierte Analyse von Screening Serpens (Iran-nexus), die zwischen Februar und April 2026 sechs neue RAT-Varianten einsetzt — darunter MiniJunk V2 mit massiver Code-Verschleierung gegen AV-Scanner und MiniUpdate mit AppDomainManager-Hijacking.
Der gestrige Briefing-Schwerpunkt Datenschutz (uniVersa-Vorfall, DSGVO-Reform) läuft als Dauerthema weiter; materiell neu sind heute das BGH-Urteil (Kapitel 4) und der SafePay-Angriff auf CPU AG (Kapitel 2). Für das Datenschutz-Fachkapitel gilt: Ransomware-Vorfälle sind regelmäßig meldepflichtige Datenschutzverletzungen nach Art. 33 DSGVO, wenn personenbezogene Daten exfiltriert wurden — SafePay bestätigte beim CPU-AG-Angriff Datendiebstahl.
1.1 SafePay und Art. 33 DSGVO: Meldepflicht nach Ransomware-Angriff · 11.08.2026 · DeXpose-Bericht
Zusammenfassung: Der SafePay-Angriff auf CPU AG (03.08.2026) ist ein exemplarischer Fall für die DSGVO-Meldepflicht nach Ransomware: Die Gruppe praktiziert Double-Extortion, d. h. sie exfiltriert Daten vor der Forderungsstellung. Sobald ein Verantwortlicher Kenntnis von einem solchen Vorfall erlangt, beginnt die 72-Stunden-Meldefrist nach Art. 33 DSGVO.
Hintergrund & Einordnung: Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) ist für bayerische Unternehmen wie CPU AG die zuständige Aufsichtsbehörde. Eine Meldung ist unverzüglich, spätestens binnen 72 Stunden, erforderlich. Verspätete Meldungen sind zulässig, wenn die Gründe mitgeteilt werden; die Meldepflicht selbst entfällt nicht. Auch eine Lösegeldzahlung löscht den Meldetatbestand nicht.
Praxisfolgen / Handlungsempfehlung: Incident-Response-Pläne müssen die DSGVO-Meldefrist von 72 Stunden explizit berücksichtigen. Eine vorläufige Meldung mit Ergänzungsvorbehalt ist zulässig und besser als Schweigen.
2.1 SafePay-Ransomware: Angriff auf CPU AG (Friedberg/Bayern) · 03.08.2026 · DeXpose · Ransomware.live
Zusammenfassung: Am 3. August 2026 veröffentlichte die Ransomware-Gruppe SafePay die CPU AG, ein seit 1981 in Friedberg (Bayern) ansässiges Softwareentwicklungsunternehmen, auf ihrer Dark-Web-Leak-Seite. Die Gruppe droht mit der Veröffentlichung exfiltrierter Unternehmensdaten. Eine offizielle Stellungnahme der CPU AG liegt noch nicht vor.
Hintergrund & Einordnung: SafePay ist seit Dezember 2025 wieder verstärkt aktiv und hat seinen Fokus auf Deutschland ausgeweitet. Im bisherigen Jahr 2026 sind neben CPU AG mindestens vier weitere deutsche Unternehmen betroffen — Bau, Metall, Verbandswesen und Healthcare. Die Gruppe arbeitet nach dem Ransomware-as-a-Service-Modell mit Double-Extortion; Infrastruktur-Überschneidungen mit Akira, BlackSuit und Qilin wurden dokumentiert.
Praxisfolgen / Handlungsempfehlung: Unternehmen mit Geschäftsbeziehungen zu CPU AG sollten prüfen, ob geteilte Daten betroffen sein könnten. Unabhängig davon: Offline-Backups prüfen, Zugangsdaten für alle Cloud-Dienste rotieren, MFA durchgängig erzwingen.
3.1 Progress LoadMaster: CVE-2026-8037 aktiv ausgenutzt — CISA KEV (CVSS 9,6) · 07.08.2026 · CISA Alert · The Hacker News · BleepingComputer
Zusammenfassung: CISA hat am 7. August 2026 CVE-2026-8037 in den KEV-Katalog aufgenommen und US-Bundesbehörden eine Drei-Tage-Frist zur Remediation gesetzt (Deadline 10.08.2026). Die Schwachstelle ist eine unauthentifizierte Command Injection in der Progress Kemp LoadMaster-Appliance (CVSS 9,6), die Angreifern beliebige OS-Befehlsausführung mit root-Rechten ohne Anmeldedaten ermöglicht. Seit Veröffentlichung eines technischen PoC durch watchTowr Labs am 29. Juni wurden 792 Exploit-Versuche aus 65 Angreifer-IPs (18 Länder) dokumentiert; letzte Aktivität: 4. August 2026.
Hintergrund & Einordnung: Progress hatte die Lücke bereits am 4. Juni 2026 gepatcht. LoadMaster ist in über 100.000 Installationen weltweit im Einsatz — darunter Amazon und das US-amerikanische Luftwaffenministerium. Die Appliance sitzt am Netzwerkrand; ein kompromittierter Load Balancer ist ein hochwertiger Initial-Access-Punkt für Ransomware-Akteure und APT-Gruppen.
Praxisfolgen / Handlungsempfehlung: Sofortiger Update auf LoadMaster GA 7.2.63.2 oder LTSF 7.2.54.18. API- und Management-Interface hinter VPN oder Allowlist. Forensische Überprüfung aller LoadMaster-Systeme auf Indicators of Compromise — ein Patch nach erfolgter Kompromittierung entfernt keinen bereits eingenisteten Angreifer.
3.2 Cisco Catalyst SD-WAN: Hardening-Release mit drei CVEs auf CVSS 9,9 · 05.08.2026 · The Hacker News · Cisco Advisory
Zusammenfassung: Cisco hat am 5. August ein SD-WAN-Hardening-Release veröffentlicht, das fünf intern entdeckte Schwachstellen schließt. Drei erreichen CVSS 9,9: CVE-2026-20303 (Improper Input Validation), CVE-2026-20304 (Improper Access Control), CVE-2026-20310 (Improper Link Resolution). CVE-2026-20312 (CVSS 8,8) und CVE-2026-20313 (CVSS 7,7) runden das Release ab. Keine Workarounds vorhanden, keine aktive Ausnutzung bekannt.
Hintergrund & Einordnung: Cisco gibt an, die Schwachstellen im Rahmen eines internen Security-Reviews unter Einsatz von Frontier-AI-Modellen entdeckt zu haben. Der CVSS-9,9-Wert ist selten und markiert nahezu maximales Risiko; das Advisory betrifft alle Deployment-Typen (On-Premises, Cloud-Pro, Government). Ein kompromittierter SD-WAN-Orchestrator bietet dem Angreifer Sichtbarkeit auf das gesamte WAN.
Praxisfolgen / Handlungsempfehlung: Update auf gehärtete Releases (20.9–26.1 je nach Versionsstand). Kein Workaround verfügbar. Management-Interface vom öffentlichen Internet trennen. Priorität für Unternehmen mit verteilten Zweigstellen-Netzwerken.
4.1 BGH VI ZR 400/24 (21.07.2026) — Helene Fischer: Artikelserie mit Babyfotos, keine Geldentschädigung mangels Hartnäckigkeit · LTO · BGH-Volltext (PDF)
Sachverhalt: Ein Verlag veröffentlichte 2022 binnen weniger Wochen sechs Artikel in fünf Zeitschriften (Closer u. a.) mit heimlich aufgenommenen Paparazzi-Fotos von Sängerin Helene Fischer beim Stadtbummel in München mit ihrer damals fünf Monate alten Tochter. Fischer klagte auf mindestens 20.000 Euro Geldentschädigung wegen wiederholter Verletzung des Rechts am eigenen Bild (§§ 22, 23 KUG).
Entscheidung: Der BGH wies die Revision zurück. Die Veröffentlichungen waren rechtswidrig; ein Geldentschädigungsanspruch wurde verneint. Vollständige Aufbereitung: ur-569.
Begründungs-Kernpunkte: Eine Geldentschädigung wegen schwerer Persönlichkeitsrechtsverletzung setzt Hartnäckigkeit voraus: Der Verletzer muss nach Kenntnis eines gerichtlichen Verbots oder einer Unterlassungsverpflichtung weiter in gleichartiger Weise verstoßen. Im vorliegenden Fall waren alle sechs Artikel erschienen, bevor die erste Einstweilige Verfügung am 15. Juli 2022 zugestellt worden war. Ohne Kenntnis des Verbots fehlt das Hartnäckigkeitselement — trotz Rechtswidrigkeit kein Geldentschädigungsanspruch. Die Bilder zeigten zudem keine intimen Momente, sondern alltägliche Situationen im öffentlichen Stadtraum; die Berichterstattung war wohlmeinend.
Praxisfolgen: Verlage haften finanziell erst dann, wenn sie nach Kenntnis eines Verbots gleichartig weiterhandeln. Für Betroffene: Einstweilige Verfügung so früh wie möglich beantragen und zustellen — damit beginnt die Hartnäckigkeitsfrist. Das Urteil betrifft alle, die Bildmaterial über Personen des öffentlichen Lebens verwenden. Hinweis: keine Rechtsberatung im Einzelfall.
Im heutigen Tagesfenster liegen keine neuen, unabhängig belegten und noch nicht behandelten Bußgeldbescheide vor. Der Enforcement-Überblick (Garante/Wind Tre, AEPD/FC Barcelona) war Gegenstand der Ausgabe vom 7. August. Für den SafePay-Angriff auf CPU AG (Bayern) gilt: Das BayLDA ist die zuständige Aufsichtsbehörde; etwaige Bußgeldbescheide sind kurzfristig nicht zu erwarten, da aufsichtsbehördliche Verfahren regelmäßig mehrere Monate dauern.
6.1 Iranische APT Screening Serpens: sechs neue RAT-Varianten, AppDomainManager-Hijacking · Unit 42, 22.05.2026 · Unit 42 Report
Zusammenfassung: Unit 42 (Palo Alto Networks) hat die 2026er Espionage-Kampagnen der Iran-nexus-Gruppe Screening Serpens dokumentiert. Zwischen Februar und April 2026 setzte die Gruppe sechs neue RAT-Varianten ein: MiniUpdate (vier Varianten, März–April) und MiniJunk V2 (zwei Varianten, Februar/März). Ziele: USA, Israel, VAE. Kampagnenbeginn zeitgleich mit dem Ausbruch des Nahost-Konflikts (28.02.2026).
Hintergrund & Einordnung: MiniUpdate nutzt AppDomainManager-Hijacking: .NET-Sicherheitsmechanismen werden über eine legitime Konfigurationsdatei deaktiviert — noch bevor sie greifen. MiniJunk V2 setzt auf massive Code-Verschleierung und künstliche Dateigrößenaufblähung, um AV-Scanning-Limits zu überschreiten. C2-Kommunikation läuft über Azure-Domänen, die legitime Windows-Service-Namen imitieren. Screening Serpens (auch UNC1549, Smoke Sandstorm) ist seit 2022 aktiv und zeigt laut Unit 42 keine Verlangsamungsanzeichen.
Praxisfolgen / Handlungsempfehlung: Alerts auf DLL-Sideloading und unerwartete .NET-AppDomain-Aktivitäten setzen. Recruiting-Lures über LinkedIn und gefälschte Videokonferenz-Einladungen sind bevorzugter Initial-Access-Vektor. IOCs aus dem Unit-42-Report in SIEM und Endpoint-Protection laden.
6.2 STARDUST CHOLLIMA (Nordkorea): Mastra AI npm Supply Chain kompromittiert · CrowdStrike Threat Hunting Report, 03.08.2026 · CrowdStrike Report · SecurityWeek
Zusammenfassung: CrowdStrike hat im 2026 Threat Hunting Report (03.08.2026, Black Hat) dokumentiert, dass DPRK-nexus-Akteur STARDUST CHOLLIMA am 17. Juni 2026 binnen 45 Minuten 141 Mastra-npm-Pakete mit einer schadcode-enthaltenden Abhängigkeit infizierte. Die kompromittierten Pakete haben zusammen rund 8 Millionen wöchentliche Downloads. Angriffsziel: kryptowährungsbezogene Browser-Extensions auf Windows, macOS und Linux.
Hintergrund & Einordnung: Der Angreifer übernahm den npm-Maintainer-Account „ehindero" und injizierte „easy-day-js" — ein Typosquat der legitimen Datums-Bibliothek „dayjs" — als Abhängigkeit in 141 Mastra-Pakete. Der postinstall-Dropper lud einen Zweit-Stage-Payload nach und führte ihn auf jedem betroffenen Entwickler-Arbeitsplatz aus. Laut CrowdStrike waren 87 % der H1-2026-Bedrohungen in Software-Registries auf npm-Pakete zurückzuführen.
Praxisfolgen / Handlungsempfehlung: Entwicklungsumgebungen, die zwischen 12:00 und 12:45 UTC am 17. Juni 2026 Mastra-Pakete installiert haben, als kompromittiert behandeln. Credentials und Krypto-Wallets rotieren. npm-Pakete mit Lock-Files pinnen und signaturbasierte Integritätsprüfungen in CI/CD einführen.
Cisco (KI im Security-Kontext): Cisco gibt explizit an, dass die im SD-WAN-Hardening-Release geschlossenen Schwachstellen durch interne Security-Reviews unter Einsatz von „Frontier AI Models" entdeckt wurden — Hersteller integrieren KI-gestützte Codeanalyse verstärkt in Vulnerability-Disclosure-Prozesse.
CrowdStrike: Der 2026 Threat Hunting Report (03.08., Black Hat) betont: Das KI-Ökosystem ist das nächste Supply-Chain-Schlachtfeld. STARDUST CHOLLIMA kompromittierte Mastra-AI-Framework-Pakete mit 8 Mio. wöchentlichen Downloads — AI-Bibliotheken werden als vertrauenswürdige Angriffsfläche ausgenutzt.
Anthropic / OpenAI / Google: Im heutigen Tagesfenster keine verifizierten, substanziellen Modell-Updates mit Sicherheitsrelevanz. Modell-Releases werden in den nächsten Tagen erwartet; KI-Act-Pflichten sind seit 2. August 2026 für bestimmte Kategorien anwendbar.
Stichtag dieses Briefings ist der 11. August 2026. Bevorzugt werden Primär- und Behördenquellen (CISA-Alert-URLs, Hersteller-Advisories, Gerichte mit Aktenzeichen, Aufsichtsbehörden) sowie etablierte Fachmedien (heise Security, BleepingComputer, The Hacker News, SecurityWeek, LTO). Jede Meldung ist über einen konkreten Deep-Link belegt; Übersichtsseiten werden nicht verwendet. Englischsprachige Quellen werden ins Deutsche übersetzt, der Originallink bleibt erhalten. Wettbewerber-Statistiken werden nicht verwendet. Das BGH-Urteil VI ZR 400/24 wurde über LTO, beck-aktuell sowie den BGH-Volltext (PDF) verifiziert und nach dem Urteils-Recherche-Pattern aufbereitet (ur-569). Das Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.