1. Aktiv ausgenutzte Enterprise-Lücken: FortiSandbox und SharePoint im Fadenkreuz

Seit Dienstag, 14. Juli 2026 · zuletzt aktualisiert Montag, 20. Juli 2026 · Score 86

Die Ausnutzungswelle gegen geschäftskritische Software läuft weiter. Die am 26. Juni gepatchten FortiSandbox-Lücken CVE-2026-39808 und CVE-2026-25089 (je CVSS 9,1, unauthentifizierte OS-Command-Injection) werden nun aktiv angegriffen; CISA nahm sie am 15. Juli in den KEV-Katalog auf und setzte US-Bundesbehörden eine Frist bis 19. Juli. Parallel bestätigte Microsoft, dass die SharePoint-Deserialisierungslücke CVE-2026-58644 (CVSS 9,8) bereits vor Patch-Verfügbarkeit als Zero-Day ausgenutzt wurde.

Letzte Entwicklung: Angreifer verketten mehrere SharePoint-Schwachstellen, stehlen IIS-Machine-Keys und etablieren Persistenz; die zugehörige AD-FS-Lücke aus dem Juli-Patchday wird für Rechteausweitung in Ransomware-Angriffen genutzt. Wer FortiSandbox oder On-Premises-SharePoint betreibt, muss sofort patchen und auf Kompromittierung prüfen.

2. EU und Großbritannien verhängen erstes gemeinsames Cyber-Sanktionspaket gegen Russland

Seit Montag, 13. Juli 2026 · zuletzt aktualisiert Montag, 20. Juli 2026 · Score 74

EU und UK haben am 13. Juli erstmals koordiniert Cyber-Sanktionen gegen Russland erlassen. Im Zentrum steht das „Zentrum 16″ des FSB (u. a. als Turla/Static Tundra geführt), dem seit 2010 Kompromittierungen von Regierungsnetzen und kritischer Infrastruktur in neun EU-Staaten — darunter Deutschland — zugerechnet werden. Mitsanktioniert wurden die GRU-Einheit 29155 sowie Entwickler von Trickbot, Conti und Lumma Stealer.

Letzte Entwicklung: Die EU belegte 9 Personen und 4 Entitäten mit Einreiseverboten und Vermögenssperren, die UK sanktionierte 24 Ziele. Konkreter Anlass war u. a. der DynoWiper-Angriff auf das polnische Energienetz (Dezember 2025); Berlin bestellte den russischen Botschafter ein.

1.1 EDPB (Dublin): Forderung nach EU-Rechtsgrundlage für behördenübergreifenden Informationsaustausch

17.07.2026 · EDPB

Zusammenfassung: Auf seiner Plenarsitzung am 16./17. Juli 2026 in Dublin hat der Europäische Datenschutzausschuss (EDPB) die EU-Kommission aufgefordert, eine eigenständige Rechtsgrundlage zu schaffen, die Datenschutzbehörden den Austausch vertraulicher Informationen mit Behörden anderer Regulierungsbereiche — Wettbewerb, Verbraucherschutz, digitale Märkte, Cybersicherheit — erlaubt. EDPB-Vorsitzende Anu Talus begründete den Schritt mit einem signifikanten Anstieg KI-bezogener Beschwerden, der die Kapazitäten der nationalen Behörden übersteige. Parallel beschloss der Ausschuss Maßnahmen zum Ressourcen-Pooling zwischen federführenden und betroffenen Aufsichtsbehörden in grenzüberschreitenden Verfahren. Der Schritt knüpft an das Helsinki-Statement 2025 an und ergänzt die angekündigte Zusammenarbeit mit der Geldwäsche-Aufsicht AMLA.

Hintergrund & Einordnung: Die Forderung ist ein Symptom der zunehmenden Verschränkung von Datenschutz, Wettbewerbs- und Plattformregulierung: KI-Systeme werfen gleichzeitig DSGVO-, DMA/DSA- und Verbraucherschutzfragen auf, doch die Behörden dürfen sich vertrauliche Erkenntnisse bislang nur eingeschränkt weitergeben. Eine gemeinsame Rechtsgrundlage würde koordinierte Verfahren gegen große KI- und Plattformanbieter erleichtern — und die Durchsetzung beschleunigen.

Praxisfolgen / Handlungsempfehlung: Unternehmen, insbesondere KI- und Plattformanbieter, sollten sich auf eine engere Verzahnung der Aufsichten einstellen: Erkenntnisse aus einem Verfahren (z. B. Wettbewerb) können künftig einfacher in Datenschutzverfahren einfließen. Compliance sollte ressortübergreifend gedacht werden (Datenschutz, Kartellrecht, Verbraucherschutz), da eine getrennte Verteidigung an Wirksamkeit verliert.

1.2 AEPD und APD: erste gemeinsame DSGVO-Leitlinien für die Videospiel-Industrie

18.06.2026 · AEPD

Zusammenfassung: Die spanische Datenschutzbehörde AEPD und die belgische APD veröffentlichten am 18. Juni 2026 ein 104-seitiges gemeinsames Empfehlungsdokument zum Datenschutz in Videospielen — die ersten sektorspezifischen DSGVO-Leitlinien europäischer Aufsichtsbehörden für die Spielebranche (hier nachgetragen, da im Enforcement-/Leitlinien-Fokus dieser Woche). Adressiert werden Entwickler, Publisher, Cloud-Anbieter, Analytics-Plattformen und Anti-Cheat-Systeme über den gesamten Lebenszyklus (Account-Anlage, Telemetrie, Profiling, KI-Elemente). Neu ist die Empfehlung eines wiederkehrenden „GDPR-Role-Gate“ am Ende jeder Produktionsphase; besondere Schutzpflichten gelten für Kinder. Zur Mod-Frage stellen die Behörden klar, dass Publisher, die Mods aktiv fördern oder technisch einbinden, gemeinsam Verantwortliche werden können.

Hintergrund & Einordnung: Der Spielesektor verarbeitet in großem Umfang Verhaltens-, Zahlungs- und teils biometrische Daten, oft von Minderjährigen — ein Bereich, der bislang wenig behördliche Detailberatung erfahren hat. Die Leitlinien setzen einen praktischen Prüfmaßstab (Datenminimierung bei Telemetrie, Transparenz bei In-Game-Profiling, Einwilligungsfragen bei Kindern), der über die Spielebranche hinaus für datenintensive Consumer-Apps Signalwirkung hat.

Praxisfolgen / Handlungsempfehlung: Studios und Publisher sollten Telemetrie- und Profiling-Prozesse gegen die Leitlinien abgleichen, Rollen (Verantwortlicher/Auftragsverarbeiter) je Datenfluss dokumentieren und Kinderschutz-Vorgaben (Altersverifikation, datensparsame Voreinstellungen) umsetzen. Wer Mods aktiv einbindet, muss die eigene Verantwortlichkeit prüfen.

2.1 Accenture bestätigt Breach: Quellcode, Schlüssel und Azure-Tokens aus DevOps-Repository abgeflossen

07.07.2026 · BleepingComputer

Zusammenfassung: Der IT- und Beratungskonzern Accenture hat einen Sicherheitsvorfall bestätigt, nachdem ein Bedrohungsakteur am 7. Juli 2026 Material aus einem Azure-DevOps-Repository zum Verkauf anbot (hier nachgetragen; bestätigter Vorfall). Der Verkäufer nennt rund 35 GB Quellcode sowie RSA- und SSH-Schlüssel, Azure Personal Access Tokens, Azure-Storage-Zugangsschlüssel und Konfigurationsdateien. Accenture erklärte, man sei sich „dieser isolierten Angelegenheit bewusst“ und habe „deren Quelle behoben“; es gebe keine Auswirkungen auf Betrieb und Servicebereitstellung. Angaben zu betroffenen Kundendaten, zum Zugriffsvektor und zur tatsächlich exfiltrierten Datenmenge machte das Unternehmen nicht; der vollständige Umfang ist unabhängig nicht verifiziert.

Hintergrund & Einordnung: Der Fall reiht sich in eine Serie von Vorfällen ein, bei denen nicht der eigentliche Angriff, sondern die Anhäufung von Zugangsdaten und Schlüsseln in Entwicklungsumgebungen den Schaden verursacht. Exponierte PATs und Storage-Keys erlauben oft direkten Zugriff auf Cloud-Ressourcen und ermöglichen laterale Bewegung — der Quellcode ist dabei häufig das geringere Problem gegenüber den mitgelieferten Secrets. Für einen Dienstleister mit Zugriff auf viele Kundenumgebungen ist das besonders heikel.

Praxisfolgen / Handlungsempfehlung: Secrets aus Code-Repositories fernhalten (Secret-Scanning in CI/CD, dedizierte Vaults), Tokens kurzlebig und eng berechtigt vergeben, exponierte Schlüssel sofort rotieren. Zugriff auf DevOps-Repositories mit MFA und Least Privilege absichern und regelmäßig auf versehentlich eingecheckte Zugangsdaten prüfen.

3.1 WordPress-Kern: unauthentifizierte RCE-Kette „wp2shell“ (CVE-2026-63030 + CVE-2026-60137)

17.07.2026 · The Hacker News · Rapid7

Zusammenfassung: Am 17. Juli 2026 wurde eine zweistufige Remote-Code-Execution-Kette in der WordPress-Kernsoftware offengelegt (entdeckt von Adam Kues, Assetnote/Searchlight Cyber). CVE-2026-63030 (CVSS 7,5) ist eine Route-Confusion in der REST-API-Batch-Verarbeitung (WP_REST_Server::serve_batch_request_v1(), Endpunkt /wp-json/batch/v1, vorhanden seit WordPress 5.6); CVE-2026-60137 (CVSS über 9,1) ist eine SQL-Injection im author__not_in-Parameter der internen WP_Query-Klasse. Erst die Verkettung beider Fehler macht den Angriff unauthentifiziert und führt zu vollständiger Code-Ausführung ohne Zugangsdaten oder Plugins. Betroffen sind WordPress 6.9.0–6.9.4 und 7.0.0–7.0.1 (komplette Kette) sowie 6.8.0–6.8.5 (nur SQL-Injection). Die Patches (6.9.5, 7.0.2, 6.8.6) erschienen am 17. Juli mit erzwungenem Auto-Update; ein funktionierender PoC war am 18. Juli öffentlich, Cloudflare rollte WAF-Schutz aus.

Hintergrund & Einordnung: WordPress betreibt einen Großteil des Webs; eine unauthentifizierte RCE im Kern (nicht in einem Plugin) betrifft potenziell Millionen Seiten gleichzeitig und ist ideal für automatisierte Massenausnutzung. Dass die Lücke ohne Plugins und ohne Login funktioniert, macht sie besonders gefährlich. Das erzwungene Auto-Update begrenzt den Schaden, erreicht aber nicht Installationen mit deaktivierten automatischen Updates oder eingefrorenen Versionen.

Praxisfolgen / Handlungsempfehlung: Umgehend auf 6.9.5, 7.0.2 bzw. 6.8.6 aktualisieren und den erfolgten Auto-Update-Stand verifizieren. Bei verwalteten Fuhrparks zentral prüfen; exponierte Seiten auf verdächtige Batch-API-Aufrufe untersuchen und WAF-Regeln aktivieren. Managed-Hosting-Kunden sollten den Patch-Stand ihres Providers bestätigen.

3.2 Fortinet FortiSandbox: CVE-2026-39808 und CVE-2026-25089 jetzt aktiv ausgenutzt (CISA-KEV)

15.–17.07.2026 · BleepingComputer · Cybersecurity News

Zusammenfassung: Die beiden im Juni gepatchten OS-Command-Injection-Lücken in FortiSandbox — CVE-2026-39808 und CVE-2026-25089 (je CVSS 9,1) — werden nun aktiv angegriffen. Beide erlauben unauthentifizierten Angreifern die Ausführung von Betriebssystemkommandos (bei CVE-2026-39808 als Root über den API-Parameter jid); für CVE-2026-39808 ist seit April ein PoC auf GitHub verfügbar. CISA nahm die Schwachstellen am 15. Juli in den Known-Exploited-Vulnerabilities-Katalog auf und setzte US-Bundesbehörden unter BOD 26-04 eine Patch-Frist bis 19. Juli; ein Threat-Intelligence-Dienst meldete am 16. Juli aktive Angriffe. Fortinet stellt die Fixes in FortiSandbox 4.4.9 und 5.0.6 bereit; betroffen sind u. a. die Zweige 4.2, 4.4.0–4.4.8 und 5.0.0–5.0.5 sowie Cloud/PaaS-Varianten.

Hintergrund & Einordnung: Dies ist ein Verlaufshinweis zu einer bereits im Juni behandelten Schwachstelle — neu ist die aktive Ausnutzung. FortiSandbox ist eine Sicherheitskomponente (Malware-Analyse); ihre Übernahme durch Angreifer ist besonders kritisch, weil sie tief in die Erkennungskette eingebunden ist und Root-Zugriff weitreichende Folgen hat. Die kurze Zeitspanne zwischen Patch (Juni) und Ausnutzung (Juli) folgt dem bekannten Muster des Patch-Diffings.

Praxisfolgen / Handlungsempfehlung: Sofort auf 4.4.9 bzw. 5.0.6 aktualisieren. Internet-exponierte FortiSandbox-Management-Schnittstellen hinter zusätzliche Zugangskontrollen legen oder vom Netz nehmen und die Systeme auf Kompromittierung (ungewöhnliche API-Aufrufe, Root-Prozesse) prüfen.

3.3 Windows-Zero-Day „LegacyHive“: Rechteausweitung ohne Patch

14.07.2026 · BleepingComputer

Zusammenfassung: Der Forscher „Nightmare Eclipse“ veröffentlichte am 14. Juli 2026 — unmittelbar nach dem Juli-Patchday — einen Zero-Day-Exploit zur lokalen Rechteausweitung namens „LegacyHive“ für den Windows User Profile Service. Es existiert kein CVE, kein Patch und keine offizielle Mitigation. Die Lücke liegt im Hive-Lademechanismus: Ein Standardbenutzer kann den mit SYSTEM-Rechten laufenden Dienst dazu bringen, eine angreifer-kontrollierte Registry-Hive zu laden und darüber die Classes-Hive eines Administrators zu manipulieren. Betroffen sind alle unterstützten Windows-Versionen (10, 11, Server 2016/2019/2022), auch vollständig gepatchte. Der veröffentlichte PoC ist bewusst beschränkt und allein nicht waffenfähig; Microsoft untersucht die Meldung und schließt ein Out-of-Band-Update nicht aus.

Hintergrund & Einordnung: LegacyHive ist eine Local-Privilege-Escalation — sie setzt bereits einen Fuß auf dem System voraus und ist damit kein Fernangriff, aber ein wertvoller zweiter Schritt in Angriffsketten (etwa nach Phishing oder einer Erst-Kompromittierung). Warnend ist der Track Record des Forschers: Ransomware-Gruppen haben frühere „Nightmare-Eclipse“-Tools binnen weniger Tage nach Veröffentlichung eingesetzt.

Praxisfolgen / Handlungsempfehlung: Bis zu einem Patch die lokale Angriffsfläche verkleinern: Least Privilege durchsetzen, Application-Control/Allowlisting aktivieren, verdächtige Rechteausweitungen und Hive-Ladevorgänge überwachen. Ein mögliches Out-of-Band-Update einplanen und Endpoint-Detection auf die bekannten Verhaltensmuster schärfen.

3.4 Linux-Kernel „GhostLock“ (CVE-2026-43499): 15 Jahre alter Futex-Bug mit öffentlichem Root-Exploit

Mitte Juli 2026 · The Hacker News

Zusammenfassung: Forscher von Nebula Security deckten mit einem KI-gestützten Analysewerkzeug einen Use-after-free-Bug im Futex-Priority-Inheritance-Code des Linux-Kernels auf, der seit rund 2011 in nahezu jeder Mainstream-Distribution steckt. CVE-2026-43499 (CVSS 7,8) benötigt weder Netzwerkzugang noch Sonderrechte — ein einfacher lokaler Benutzeraccount genügt. Der veröffentlichte Exploit erlangt mit rund 97 Prozent Zuverlässigkeit in etwa fünf Sekunden Root-Rechte und ermöglicht zusätzlich einen Container-Escape. Der ursprüngliche Kernel-Patch vom April 2026 führte selbst einen Folgefehler ein (CVE-2026-53166); die Distributionen rollen Korrekturen mit uneinheitlichem Zeitplan aus. Aktive Ausnutzung in freier Wildbahn ist bislang nicht bekannt.

Hintergrund & Einordnung: Ein lokaler Root-Exploit mit hoher Zuverlässigkeit und Container-Escape ist vor allem für Mehrbenutzer- und Container-Umgebungen brisant, in denen sich viele Workloads denselben Kernel teilen — eine kompromittierte Anwendung kann so aus ihrem Container ausbrechen und den Host übernehmen. Dass ein KI-Werkzeug einen 15 Jahre alten Bug fand, verweist auf die wachsende Rolle automatisierter Schwachstellensuche.

Praxisfolgen / Handlungsempfehlung: Kernel-Updates der Distributionen einspielen, sobald verfügbar, und dabei auf die Korrektur des Folgefehlers CVE-2026-53166 achten. Priorität auf Container-Hosts und Mehrbenutzersysteme legen; wo kein Patch verfügbar ist, Container-Isolation härten (seccomp, reduzierte Capabilities) und lokale Zugänge einschränken.

4.1 EuGH (C-421/24): Video-Plattform verliert das Hosting-Privileg bei aktiver Geschäftspartnerschaft mit Content-Erstellern

EuGH, Zweite Kammer · 16.07.2026 · C-421/24 · PM Nr. 109/26

Sachverhalt: Die italienische Kommunikationsregulierungsbehörde AGCOM verhängte 2022 ein Bußgeld von 750.000 Euro gegen Google und ordnete die Löschung von YouTube-Videos des Content-Erstellers „Spike“ an, der für Online-Glücksspiele geworben hatte. Das erstinstanzliche Verwaltungsgericht (TAR Lazio) hob den Bescheid auf und stufte YouTube als bloßen, haftungsfreien Hostingdienst ein. Der Consiglio di Stato legte dem EuGH zwei Fragen zur Auslegung der E-Commerce-Richtlinie vor.

Entscheidung: Der EuGH (Zweite Kammer, Urteil vom 16.07.2026 – C-421/24) entschied: (1) Das Hosting von Werbeinhalten für Online-Gewinnspiele fällt nicht unter den Anwendungsbereichs-Ausschluss des Art. 1 Abs. 5 lit. d RL 2000/31, weil die neutrale Speicherung fremder Inhalte nicht untrennbar mit dem Glücksspiel verbunden ist; es bleibt im Anwendungsbereich der E-Commerce-Richtlinie. (2) Ein Betreiber kann sich nicht auf die Haftungsbefreiung nach Art. 14 Abs. 1 RL 2000/31 berufen, wenn er im Hinblick auf eine Geschäftspartnerschaft das Hauptthema eines Kanals, dessen meistgesehene oder neueste Videos und die zugehörigen Metadaten prüft — er erlangt damit konkrete Kenntnis vom wesentlichen Inhalt und handelt nicht mehr als passiver Vermittler.

Begründungs-Kernpunkte: Die Haftungsbefreiung setzt eine rein technische, automatische und passive Rolle voraus. Kenntnis und Kontrolle sind alternative Merkmale — bereits eines schließt die Befreiung aus. Auch eine algorithmische Vorab-Festlegung der Verbreitung (Art und Rangfolge der Anzeige) begründet Kontrolle; reine Erkennungs- und Moderationswerkzeuge gegen rechtswidrige Inhalte dagegen nicht. Die abschließende Prüfung, ob Google vernünftigerweise in Unkenntnis des Glücksspiel-Schwerpunkts sein konnte, obliegt dem Consiglio di Stato. (Die Aufbereitung stützt sich auf die Curia-Pressemitteilung Nr. 109/26; der Urteils-Volltext war zum Redaktionszeitpunkt noch nicht veröffentlicht. Ein in der INFOLAW-Kurzfassung genannter Zusatz zum Herkunftslandprinzip ist in der amtlichen PM nicht enthalten und hier daher nicht als Entscheidungsaussage geführt.)

Praxisfolgen: Da Art. 14 RL 2000/31 inhaltlich Art. 6 des Digital Services Act entspricht, gelten die Grundsätze fort. Betreiber mit Partner- und Monetarisierungsprogrammen (Partnerprogramme, Creator-Deals, Affiliate-Kanäle) müssen die Inhalte geschäftlich verbundener Partner auf Rechtsverstöße prüfen und können sich nicht mehr pauschal auf die Hosting-Freistellung berufen; geboten sind dokumentierte Compliance-Prüfungen, vertragliche Zusicherungen und Reaktionsprozesse. Rein technische Moderationswerkzeuge bleiben unschädlich. Die vollständige Aufbereitung liegt als CSA-Beitrag vor: ur-485.

5.1 Vereinigtes Königreich: 300.000 £ (ICO) gegen KRA Consultancy wegen 5,5 Millionen unrechtmäßiger Marketing-SMS

23.06.2026 · ICO

Behörde: Information Commissioner’s Office (ICO, UK) · Adressat: KRA Consultancy Ltd (Manchester) · Höhe: 300.000 £ (rund 348.000 €)

Verstoß / Rechtsgrundlage: Privacy and Electronic Communications Regulations (PECR), Regulations 22 und 23 — Versand von Direktmarketing ohne gültige Einwilligung und ohne bestehende Kundenbeziehung.

Begründung: Das ICO verhängte das Bußgeld am 23. Juni 2026 (hier im Enforcement-Fokus nachgetragen). KRA Consultancy versandte zwischen April 2022 und Mai 2025 insgesamt 5.575.715 unaufgeforderte Marketing-SMS — gezielt an Personen in finanziellen Schwierigkeiten, die zuvor bei der Kreditvergabe abgelehnt worden waren. Erschwerend wertete das ICO, dass ein Teil der Nachrichten unter der Absender-ID „DEMAND“ verschickt wurde und fingierte Gerichtsvollzieher-Drohungen mit 48-Stunden-Fristen enthielt; interne Chat-Nachrichten belegten ein systematisches „Coaching“ dieser Praxis, und das Unternehmen versuchte über einen ausländischen Telekom-Dienst die Rückverfolgbarkeit zu verschleiern. Das Vorgehen löste über 60.000 Beschwerden aus. Neben dem Bußgeld erging eine Enforcement Notice mit 30-Tage-Frist zur Einstellung aller nicht einwilligungsbasierten Marketingaktivitäten.

Praxisfolgen: Der Fall ist eine Warnung für alle, die SMS-/E-Mail-Direktmarketing betreiben: Ohne nachweisbare, gültige Einwilligung (oder eng gefasste bestehende Kundenbeziehung) ist Werbekommunikation unzulässig — unabhängig vom vermeintlichen Geschäftsinteresse. Besonders sanktionswürdig sind irreführende Absenderkennungen und Drohkulissen. Wer Dienstleister für Kampagnen einsetzt, haftet für deren Praxis mit; Einwilligungsnachweise, Absenderkennzeichnung und Opt-out-Mechanismen müssen dokumentiert und geprüft sein.

6.1 EU und Großbritannien: erstes gemeinsames Cyber-Sanktionspaket gegen Russland

13.07.2026 · BleepingComputer · OCCRP

Zusammenfassung: Am 13. Juli 2026 erließen die EU und das Vereinigte Königreich ihr erstes koordiniertes Cyber-Sanktionspaket gegen Russland. Die EU belegte 9 Personen und 4 Entitäten mit Einreiseverboten und Vermögenssperren, die UK sanktionierte 24 Ziele. Im Zentrum steht das „Zentrum 16″ des russischen Inlandsgeheimdienstes FSB (u. a. als Turla/Static Tundra geführt), dem seit 2010 Kompromittierungen von Regierungsnetzen und kritischer Infrastruktur in neun EU-Staaten zugerechnet werden — darunter Deutschland, Frankreich, Polen, die Niederlande und Österreich. Mitsanktioniert wurden die GRU-Einheit 29155 samt Tarnfirma sowie Entwickler der Schadsoftware Trickbot, Conti und Lumma Stealer und Betreiber eines Bulletproof-Hosters. Konkreter Anlass war unter anderem der DynoWiper-Angriff auf rund 30 Anlagen des polnischen Energienetzes im Dezember 2025.

Hintergrund & Einordnung: Das Paket ist bemerkenswert, weil EU und UK erstmals gemeinsam und namentlich staatliche Cyber-Akteure adressieren und die Grenze zwischen Spionage, Sabotage und kriminellem Ransomware-Ökosystem bewusst überschreiten (Trickbot/Conti-Entwickler neben FSB/GRU). Für deutsche Betreiber kritischer Infrastruktur unterstreicht die explizite Nennung Deutschlands die reale Bedrohungslage; Sanktionen allein stoppen die Angriffe nicht, erhöhen aber Kosten und Zurechenbarkeit.

Praxisfolgen / Handlungsempfehlung: Betreiber kritischer Infrastruktur sollten die veröffentlichten Indikatoren der genannten Gruppen (Turla/Static Tundra, Sandworm-Umfeld) in Detektion und Threat Hunting aufnehmen, Netzwerksegmentierung und OT-Absicherung prüfen und Notfallpläne für Sabotage-Szenarien (Wiper) aktuell halten. Sanktions-Compliance beachten: Geschäftsbeziehungen gegen die neuen Listungen abgleichen.

6.2 Play-Ransomware setzt EU-Angriffswelle fort

17.07.2026 · DeXpose

Zusammenfassung: Die seit 2022 aktive Play-Ransomware-Gruppe (auch PlayCrypt) listete am 17. Juli 2026 mehrere europäische Opfer zeitgleich auf ihrer Leak-Site, darunter einen niederländischen Fleischgroßhändler sowie Ziele in Andorra und Schweden. Play arbeitet nach dem Double-Extortion-Modell: Daten werden vor der Verschlüsselung exfiltriert und als Druckmittel für die Lösegeldverhandlung genutzt. Zu Verschlüsselungsumfang und Lösegeldforderungen liegen keine bestätigten Angaben vor; offizielle Stellungnahmen der Opfer stehen aus.

Hintergrund & Einordnung: Play zählt zu den aktivsten Ransomware-Gruppen und war 2023 bereits Gegenstand eines gemeinsamen Advisories von FBI, CISA und der australischen ASD. Die Häufung europäischer Mittelständler binnen 24 Stunden zeigt die anhaltende Ausrichtung auf Fertigung, Handel und Kommunen. Leak-Site-Einträge sind Ankündigungen der Täter und keine bestätigten Schadensbilanzen — sie signalisieren aber laufende Kampagnenaktivität.

Praxisfolgen / Handlungsempfehlung: Gegen das Play-Muster helfen abgesicherte, extern exponierte Zugänge (VPN/RDP mit MFA), zügiges Patchen internetseitiger Dienste, Netzwerksegmentierung sowie offline gehaltene, getestete Backups. Mittelständler sollten Incident-Response- und Kommunikationspläne bereithalten, da Double-Extortion auch bei vorhandenen Backups Datenveröffentlichung androht.