1. Der Mensch als Einfallstor: ClickFix und In-Browser-Malware statt Exploits

Seit Samstag, 25. Juli 2026 · zuletzt aktualisiert Montag, 27. Juli 2026 · Score 79

Zwei frische Kampagnen setzen auf Täuschung statt auf Schwachstellen: In Steam-Foren verleitet eine „ClickFix“-Masche Nutzer dazu, per PowerShell den Cryptominer XMRig mit SYSTEM-Rechten selbst zu installieren. Parallel baut die Kampagne „SourTrade“ über gefälschte Trading-/Krypto-Seiten Schadsoftware direkt im Browser-Speicher zusammen, ohne die Payload je vollständig über das Netz zu übertragen.

Letzte Entwicklung: Beide Techniken umgehen netzwerk- und signaturbasierte Erkennung, weil der schädliche Schritt entweder manuell ausgelöst oder lokal im Browser assembliert wird. Awareness und Anwendungskontrolle (Application-Control, PowerShell-Constrained-Language) werden zur zentralen Verteidigung.

2. Ransomware trifft das Gesundheitswesen; SharePoint bleibt unter Beschuss

Seit Dienstag, 21. Juli 2026 · zuletzt aktualisiert Montag, 27. Juli 2026 · Score 76

Die Ransomware-Gruppe Qilin listete am 21. Juli das deutsche Hilfsmittel-Versorgungsnetz RehaVital (über 130 Mitgliedsunternehmen, ~700 Standorte) auf ihrer Leak-Seite. Parallel wurde mit CVE-2026-55040 ein weiterer SharePoint-Authentifizierungs-Bypass (JWT-Token-Fälschung, Pwn2Own Berlin) bekannt, der Teil einer RCE-Kette ist.

Letzte Entwicklung: Bei RehaVital liegt bislang nur die Täterbehauptung vor (keine Unternehmensbestätigung); die DSGVO-72-Stunden-Meldefrist läuft. Die SharePoint-JWT-Details unterliegen bis Mitte August einem Embargo — nach dessen Ablauf steigt das Ausnutzungsrisiko.

1.1 EDPB und AMLA kündigen gemeinsame Leitlinien zur Informationsweitergabe an

01.07.2026 · EDPB

Zusammenfassung: Der Europäische Datenschutzausschuss (EDPB) und die neue EU-Behörde zur Geldwäschebekämpfung (AMLA) haben am 1. Juli 2026 angekündigt, gemeinsame Leitlinien zur datenschutzkonformen Weitergabe von Informationen zwischen Verpflichteten (Banken, Krypto-Dienstleister u. a.) und Behörden zu erarbeiten. Rechtsgrundlage ist Art. 75 der EU-Geldwäscheverordnung (AMLR), der ab dem 10. Juli 2027 erstmals einen solchen Informationsaustausch zu Präventionszwecken erlaubt. Die Leitlinien sollen klären, wie diese Übermittlung mit der DSGVO in Einklang zu bringen ist; eine öffentliche Konsultation ist für die erste Jahreshälfte 2027 geplant. Der Vorstoß fügt sich in die auf der EDPB-Plenarsitzung in Dublin (Mitte Juli) bekräftigte Linie ein, den behördenübergreifenden Datenaustausch auf eine klare Rechtsgrundlage zu stellen.

Hintergrund & Einordnung: Die AMLR verschiebt die Balance zwischen Geldwäscheprävention und Datenschutz spürbar: Verpflichtete dürfen künftig sensible Kundendaten teilen, was ohne klare Leitplanken erhebliche DSGVO-Risiken birgt (Zweckbindung, Datenminimierung, Betroffenenrechte). Die frühzeitige Ankündigung gibt Compliance- und Datenschutzfunktionen Zeit, sich vorzubereiten — verbindlich wird das operative Rahmenwerk aber erst nach der Konsultation 2027.

Praxisfolgen / Handlungsempfehlung: Banken, Krypto- und Fintech-Unternehmen sollten die Entwicklung der Leitlinien verfolgen und ihre künftigen Informationsaustausch-Prozesse von Beginn an datenschutzkonform konzipieren (Rechtsgrundlage, DSFA, Protokollierung, Rollen). Bis 2027 besteht kein unmittelbarer Handlungszwang, aber Architektur-Entscheidungen für AML-Datenplattformen sollten die kommenden Vorgaben antizipieren.

2.1 „SourTrade“: Malware-Assemblierung direkt im Browser-Speicher

25.07.2026 · BleepingComputer / Confiant

Zusammenfassung: Sicherheitsforscher von Confiant veröffentlichten am 25. Juli 2026 eine Analyse der seit Ende 2024 aktiven Malvertising-Kampagne „SourTrade“. Gefälschte Webseiten bekannter Dienste (u. a. Solana, Luno, TradingView) enthalten bösartiges JavaScript, das über Service Workers und Shared Workers eine ausführbare Datei lokal im Browser-Speicher zusammensetzt — ohne die vollständige Payload je über das Netzwerk zu übertragen, wodurch netzwerkbasierte Erkennung blind bleibt. Das Ergebnis ist ein Info-Stealer mit Proxy-Fähigkeiten: Abfangen von Netzwerkverkehr, Diebstahl von Cookies, Passwörtern und Wallet-Daten sowie Screenshots. Die Kampagne ist in 25 Sprachen für rund 12 Länder (Schwerpunkt APAC und Lateinamerika) lokalisiert und nutzt ein Filtersystem, das nur echte Zielgruppen (Retail-Trader, Krypto-Investoren) durchlässt, während Forscher und Scanner leere Seiten sehen.

Hintergrund & Einordnung: Die In-Browser-Assemblierung ist ein Ausweichmanöver gegen netzwerk- und dateibasierte Schutzsysteme: Da die fertige Binärdatei nie als Ganzes übertragen wird, greifen klassische Download-Scanner und Perimeter-Filter nicht. In Kombination mit Zielgruppen-Filterung und Mehrsprachigkeit zeigt SourTrade den zunehmenden Professionalisierungsgrad von Malvertising. Eine Schwachstelle im Browser wird nicht ausgenutzt — der Angriff beruht auf Täuschung und legitimen Web-APIs.

Praxisfolgen / Handlungsempfehlung: Software ausschließlich über offizielle Anbieter-Seiten beziehen und digitale Signaturen prüfen; Werbeblocker und Reputationsfilter reduzieren die Exposition gegenüber Malvertising. Endpoint-Detection sollte auf verdächtige Service-Worker-Aktivität, In-Memory-Assembly und ungewöhnliche Proxy-/Exfiltrationsmuster ausgerichtet werden. Awareness für gefälschte Trading-/Krypto-Portale (auch über Suchanzeigen) schärfen.

3.1 Azure DNS: Missing-Authorization-Lücke mit CVSS 10 (CVE-2026-58275)

24.07.2026 · Microsoft MSRC

Zusammenfassung: Microsoft veröffentlichte am 24. Juli 2026 CVE-2026-58275, eine kritische Schwachstelle in Azure DNS mit CVSS 10,0 (Vektor AV:N/AC:L/PR:N/UI:N mit Scope-Change). Ursache ist eine fehlende Autorisierungsprüfung (CWE-862): Ein nicht authentifizierter Angreifer könnte über das Netzwerk Privilegien im Azure-DNS-Dienst eskalieren und DNS-Konfigurationen verändern. Da Azure DNS die Namensauflösung für Mandanten, APIs und hybride Workloads steuert, könnte ein manipulierter Eintrag Datenverkehr umleiten, Authentifizierungs-Flows unterlaufen oder Dienste stören. Microsoft behebt die Lücke server-seitig als Cloud-Dienst; ein Kundenpatch ist nicht erforderlich. Aktive Ausnutzung ist bislang nicht bestätigt, der EPSS-Wert ist niedrig.

Hintergrund & Einordnung: Eine CVSS-10-Wertung bei einem zentralen Cloud-Namensdienst ist bemerkenswert, weil DNS die Vertrauensbasis für nahezu alle nachgelagerten Verbindungen bildet. Dass Microsoft die Behebung ohne Kundenaktion vornimmt, senkt die unmittelbare Dringlichkeit; gleichwohl sollten Kunden ihre eigenen Berechtigungs- und Überwachungseinstellungen prüfen, da Fehlkonfigurationen unabhängig von der Lücke ein Risiko bleiben.

Praxisfolgen / Handlungsempfehlung: Azure-RBAC-Berechtigungen auf DNS-Zonen restriktiv setzen und regelmäßig überprüfen; Änderungen an DNS-Konfigurationen über Azure Monitor/Activity Logs alarmieren. Kritische Zonen mit Ressourcen-Sperren und Change-Control absichern.

3.2 Verlaufshinweis — SharePoint: JWT-Authentifizierungs-Bypass CVE-2026-55040

14.–18.07.2026 · Rapid7 · Resecurity

Zusammenfassung: Ergänzend zu den bereits behandelten SharePoint-Lücken wurde mit CVE-2026-55040 (CVSS 9,1, Patch vom 14. Juli) ein JWT-Token-Authentifizierungs-Bypass in SharePoint Server 2016/2019/Subscription Edition bekannt, entdeckt von einem Rapid7-Forscher auf der Pwn2Own Berlin. Ein nicht authentifizierter Angreifer kann JWT-Tokens fälschen und als Site-Administrator agieren; in Kombination mit einer erst im August zu patchenden Komponente entsteht eine vollständige unauthentifizierte RCE-Kette. Die technischen Details unterliegen bis Mitte August einem 30-Tage-Embargo. SharePoint Online ist nicht betroffen.

Hintergrund & Einordnung: Dies ist ein Verlaufshinweis zur anhaltenden SharePoint-Angriffsserie — neu ist die konkrete JWT-Bypass-Lücke. Mit Ablauf des Embargos ist mit steigendem Ausnutzungsdruck zu rechnen, da die Angriffskette dann breiter bekannt wird.

Praxisfolgen / Handlungsempfehlung: Den Juli-Patch einspielen, IIS-Machine-Keys rotieren (siehe frühere SharePoint-Wellen) und On-Premise-Farmen vorsorglich auf Kompromittierung prüfen; Management-/Trust-Endpunkte vom offenen Internet trennen.

4.1 OLG Hamburg (15 W 13/26 Kart): Keine deutsche Zuständigkeit für Entsperrung gewerblicher Instagram-Accounts

OLG Hamburg · 05.06.2026 · 15 W 13/26 Kart · Volltext (landesrecht-hamburg.de)

Sachverhalt: Ein überwiegend beruflich/gewerblich handelnder Instagram-Nutzer beantragte im einstweiligen Rechtsschutz vor einem deutschen Gericht die Entsperrung seines gesperrten Accounts und stützte sich dabei auch auf deliktische und kartellrechtliche Ansprüche. Die Instagram-Nutzungsbedingungen sehen für geschäftliche/gewerbliche Nutzer die ausschließliche Zuständigkeit irischer Gerichte vor.

Entscheidung: Das OLG Hamburg (Beschluss vom 05.06.2026 – 15 W 13/26 Kart) verneinte die internationale Zuständigkeit deutscher Gerichte. Die AGB-Gerichtsstandsklausel erfasst nicht nur vertragliche, sondern auch deliktische und kartellrechtliche Ansprüche und gilt ebenso im einstweiligen Rechtsschutz; der Nutzer muss den Rechtsschutz vor den vereinbarten irischen Gerichten suchen.

Begründungs-Kernpunkte: Die Klausel ist weit auszulegen und lässt sich nicht durch die Wahl der Anspruchsgrundlage oder der Verfahrensart (Eilverfahren) umgehen. Tragend war die Einstufung des Accounts als überwiegend beruflich/gewerblich genutzt; für Verbraucher gelten dagegen die besonderen Schutzgerichtsstände, die eine solche Prorogation regelmäßig verdrängen. (Aufbereitung auf Basis des INFOLAW-Leitsatzes; Volltext über landesrecht-hamburg.de verfügbar, hier nicht reproduziert.)

Praxisfolgen: Für Creator, Influencer, Selbstständige und Unternehmen bedeutet die Entscheidung, dass bei Sperrung eines geschäftlich genutzten Social-Media-Accounts der schnelle deutsche Eilrechtsschutz regelmäßig ausscheidet und im Ausland (hier: Irland) prozessiert werden muss — mit entsprechendem Zeit- und Kostenaufwand. Wer beruflich auf solche Konten angewiesen ist, sollte Gerichtsstands- und Rechtswahlklauseln der Plattform kennen und die Kontonutzung absichern (Backup-Kanäle, Zwei-Konten-Strategien, dokumentierte Nutzungshistorie). Die vollständige Aufbereitung liegt als CSA-Beitrag vor: ur-500.

5.1 Einordnung

Im Berichtsfenster liegen keine neuen, mit Aktenzeichen belegten und noch nicht behandelten Bußgeldbescheide vor. Ein kolportiertes AEPD-Bußgeld gegen einen Telekommunikationsanbieter (rund 1,05 Mio. Euro, Art. 6/32 DSGVO, unzureichende Identitätsprüfung am Telefon) ließ sich nicht mit Aktenzeichen und gesichertem Datum verifizieren und wird daher nicht als Meldung geführt; der Fall wird bei belastbarer Quellenlage nachgetragen. Der Rechtsschwerpunkt des Tages liegt auf der OLG-Hamburg-Entscheidung (Kapitel 4).

6.1 Steam-Foren-„ClickFix“: XMRig-Cryptominer per PowerShell

25.07.2026 · BleepingComputer

Zusammenfassung: Seit dem 25. Juli 2026 läuft in den Steam-Diskussionsforen eine „ClickFix“-Kampagne. Angreifer erstellen Wegwerf-Steam-Konten und antworten auf Support-Threads mit gefälschten Reparaturanleitungen: Nutzer sollen die PowerShell als Administrator öffnen und einen Befehl ausführen, der eine als „PC-Optimierung“ getarnte XMRig-Executable von einer Angreifer-Domain herunterlädt und unter C:\Windows\Background\system.exe ablegt. Das Skript richtet eine geplante Aufgabe mit SYSTEM-Rechten für den Systemstart ein und fügt einen Microsoft-Defender-Ausschluss für die Datei hinzu. Es gibt keine ausgenutzte Schwachstelle — der Angriff beruht vollständig auf Social Engineering und manueller Ausführung durch das Opfer, weshalb er viele Endpoint-Schutzlösungen umgeht. Indikatoren sind u. a. das Verzeichnis C:\Windows\Background, ein Defender-Ausschluss darauf und eine geplante Aufgabe mit „XMRig“-Präfix.

Hintergrund & Einordnung: ClickFix hat sich 2025/2026 als eine der wirksamsten Social-Engineering-Techniken etabliert, weil sie die Nutzer selbst zur Ausführung bringt und damit technische Schutzschichten aushebelt. Der Missbrauch der Steam-Community (vertrauenswürdiges Umfeld, hilfsbereite Foren) erhöht die Erfolgsquote. Cryptomining ist dabei nur eine mögliche Nutzlast — dieselbe Kette lässt sich für Infostealer oder Ransomware verwenden.

Praxisfolgen / Handlungsempfehlung: Nutzer klar warnen, niemals Befehle aus Foren/Chats in PowerShell oder Terminal auszuführen. Technisch: PowerShell Constrained Language Mode, Application-Control/Allowlisting, Blockieren von Skript-Downloads aus nicht vertrauenswürdigen Quellen sowie Monitoring auf neue geplante Aufgaben, Defender-Ausschlüsse und untypische Miner-Prozesse.

6.2 Qilin-Ransomware listet deutsches Gesundheits-Versorgungsnetz RehaVital

21.07.2026 · ransomware.live

Zusammenfassung: Am 21. Juli 2026 listete die Ransomware-Gruppe Qilin die RehaVital Gesundheitsservice GmbH auf ihrer Darknet-Leak-Seite. RehaVital ist eine der führenden deutschen Verbundgruppen für medizinische Hilfsmittel mit über 130 Mitgliedsunternehmen, rund 700 Standorten in Deutschland und Österreich und etwa 12.000 Beschäftigten. Die Gruppe behauptet, operative Systeme kompromittiert zu haben; die betroffene Datenmenge wurde nicht spezifiziert, eine offizielle Bestätigung von RehaVital lag zum Redaktionsschluss nicht vor. Aufgrund der Versorgungsstruktur (Sanitätsfachhandel, Reha, Abrechnung) ist von hochsensiblen Gesundheitsdaten auszugehen; die DSGVO-Meldefrist (Art. 33, 72 Stunden) läuft.

Hintergrund & Einordnung: Dies ist eine Täterbehauptung (Leak-Site-Eintrag), keine bestätigte Schadensbilanz — Vorsicht bei der Bewertung. Qilin gehört zu den aktivsten RaaS-Gruppen und greift wiederholt Gesundheitseinrichtungen an; dieselbe Gruppe wurde zuletzt mit der Ausnutzung einer PAN-OS-VPN-Lücke in Verbindung gebracht. Das Gesundheitswesen ist wegen sensibler Daten, hoher Verfügbarkeitsanforderungen und oft knapper IT-Sicherheitsbudgets ein bevorzugtes Ziel.

Praxisfolgen / Handlungsempfehlung: Gesundheits- und KRITIS-nahe Organisationen sollten Offline- und immutable Backups vorhalten und testen, Netzwerke segmentieren, MFA an allen exponierten Zugängen durchsetzen und internetseitige Dienste zügig patchen. Meldeprozesse (Art. 33 DSGVO, ggf. NIS2/KRITIS) und die Einbindung von CERT-Bund/Landes-CERTs sollten eingeübt sein; Betroffene sollten die offizielle Kommunikation von RehaVital abwarten.