Cisco-Infrastruktur unter Beschuss · Seit: 05.08.2026 · Zuletzt aktualisiert: 11.08.2026 · Score 9/10

Letzte Entwicklung: Nach dem IOS-XE-Hardening-Release (CVE-2026-20272, CVSS 9,8, gestern berichtet) folgt heute das SD-WAN-Pendant mit drei CVEs auf CVSS 9,9-Niveau. Cisco schließt damit in einem einzigen August-Zyklus ein Dutzend kritischer Lücken — ein Hinweis auf intensive interne Sicherheitsreviews mit KI-Unterstützung.

Ransomware-Systematik gegen Deutschland · Seit: 03.08.2026 · Zuletzt aktualisiert: 11.08.2026 · Score 8/10

Letzte Entwicklung: SafePay hat CPU AG (Friedberg/Bayern) auf seine Leak-Seite gesetzt. Der Akteur hat 2026 nachweislich weitere deutsche Unternehmen getroffen (RTN GmbH, Stroebel Gruppe, WDK, MBK GmbH). Die Konzentration auf den deutschen Mittelstand ist statistisch signifikant.

1.1 SafePay und Art. 33 DSGVO: Meldepflicht nach Ransomware-Angriff · 11.08.2026 · DeXpose-Bericht

Zusammenfassung: Der SafePay-Angriff auf CPU AG (03.08.2026) ist ein exemplarischer Fall für die DSGVO-Meldepflicht nach Ransomware: Die Gruppe praktiziert Double-Extortion, d. h. sie exfiltriert Daten vor der Forderungsstellung. Sobald ein Verantwortlicher Kenntnis von einem solchen Vorfall erlangt, beginnt die 72-Stunden-Meldefrist nach Art. 33 DSGVO.

Hintergrund & Einordnung: Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) ist für bayerische Unternehmen wie CPU AG die zuständige Aufsichtsbehörde. Eine Meldung ist unverzüglich, spätestens binnen 72 Stunden, erforderlich. Verspätete Meldungen sind zulässig, wenn die Gründe mitgeteilt werden; die Meldepflicht selbst entfällt nicht. Auch eine Lösegeldzahlung löscht den Meldetatbestand nicht.

Praxisfolgen / Handlungsempfehlung: Incident-Response-Pläne müssen die DSGVO-Meldefrist von 72 Stunden explizit berücksichtigen. Eine vorläufige Meldung mit Ergänzungsvorbehalt ist zulässig und besser als Schweigen.

2.1 SafePay-Ransomware: Angriff auf CPU AG (Friedberg/Bayern) · 03.08.2026 · DeXpose · Ransomware.live

Zusammenfassung: Am 3. August 2026 veröffentlichte die Ransomware-Gruppe SafePay die CPU AG, ein seit 1981 in Friedberg (Bayern) ansässiges Softwareentwicklungsunternehmen, auf ihrer Dark-Web-Leak-Seite. Die Gruppe droht mit der Veröffentlichung exfiltrierter Unternehmensdaten. Eine offizielle Stellungnahme der CPU AG liegt noch nicht vor.

Hintergrund & Einordnung: SafePay ist seit Dezember 2025 wieder verstärkt aktiv und hat seinen Fokus auf Deutschland ausgeweitet. Im bisherigen Jahr 2026 sind neben CPU AG mindestens vier weitere deutsche Unternehmen betroffen — Bau, Metall, Verbandswesen und Healthcare. Die Gruppe arbeitet nach dem Ransomware-as-a-Service-Modell mit Double-Extortion; Infrastruktur-Überschneidungen mit Akira, BlackSuit und Qilin wurden dokumentiert.

Praxisfolgen / Handlungsempfehlung: Unternehmen mit Geschäftsbeziehungen zu CPU AG sollten prüfen, ob geteilte Daten betroffen sein könnten. Unabhängig davon: Offline-Backups prüfen, Zugangsdaten für alle Cloud-Dienste rotieren, MFA durchgängig erzwingen.

3.1 Progress LoadMaster: CVE-2026-8037 aktiv ausgenutzt — CISA KEV (CVSS 9,6) · 07.08.2026 · CISA Alert · The Hacker News · BleepingComputer

Zusammenfassung: CISA hat am 7. August 2026 CVE-2026-8037 in den KEV-Katalog aufgenommen und US-Bundesbehörden eine Drei-Tage-Frist zur Remediation gesetzt (Deadline 10.08.2026). Die Schwachstelle ist eine unauthentifizierte Command Injection in der Progress Kemp LoadMaster-Appliance (CVSS 9,6), die Angreifern beliebige OS-Befehlsausführung mit root-Rechten ohne Anmeldedaten ermöglicht. Seit Veröffentlichung eines technischen PoC durch watchTowr Labs am 29. Juni wurden 792 Exploit-Versuche aus 65 Angreifer-IPs (18 Länder) dokumentiert; letzte Aktivität: 4. August 2026.

Hintergrund & Einordnung: Progress hatte die Lücke bereits am 4. Juni 2026 gepatcht. LoadMaster ist in über 100.000 Installationen weltweit im Einsatz — darunter Amazon und das US-amerikanische Luftwaffenministerium. Die Appliance sitzt am Netzwerkrand; ein kompromittierter Load Balancer ist ein hochwertiger Initial-Access-Punkt für Ransomware-Akteure und APT-Gruppen.

Praxisfolgen / Handlungsempfehlung: Sofortiger Update auf LoadMaster GA 7.2.63.2 oder LTSF 7.2.54.18. API- und Management-Interface hinter VPN oder Allowlist. Forensische Überprüfung aller LoadMaster-Systeme auf Indicators of Compromise — ein Patch nach erfolgter Kompromittierung entfernt keinen bereits eingenisteten Angreifer.

3.2 Cisco Catalyst SD-WAN: Hardening-Release mit drei CVEs auf CVSS 9,9 · 05.08.2026 · The Hacker News · Cisco Advisory

Zusammenfassung: Cisco hat am 5. August ein SD-WAN-Hardening-Release veröffentlicht, das fünf intern entdeckte Schwachstellen schließt. Drei erreichen CVSS 9,9: CVE-2026-20303 (Improper Input Validation), CVE-2026-20304 (Improper Access Control), CVE-2026-20310 (Improper Link Resolution). CVE-2026-20312 (CVSS 8,8) und CVE-2026-20313 (CVSS 7,7) runden das Release ab. Keine Workarounds vorhanden, keine aktive Ausnutzung bekannt.

Hintergrund & Einordnung: Cisco gibt an, die Schwachstellen im Rahmen eines internen Security-Reviews unter Einsatz von Frontier-AI-Modellen entdeckt zu haben. Der CVSS-9,9-Wert ist selten und markiert nahezu maximales Risiko; das Advisory betrifft alle Deployment-Typen (On-Premises, Cloud-Pro, Government). Ein kompromittierter SD-WAN-Orchestrator bietet dem Angreifer Sichtbarkeit auf das gesamte WAN.

Praxisfolgen / Handlungsempfehlung: Update auf gehärtete Releases (20.9–26.1 je nach Versionsstand). Kein Workaround verfügbar. Management-Interface vom öffentlichen Internet trennen. Priorität für Unternehmen mit verteilten Zweigstellen-Netzwerken.

4.1 BGH VI ZR 400/24 (21.07.2026) — Helene Fischer: Artikelserie mit Babyfotos, keine Geldentschädigung mangels Hartnäckigkeit · LTO · BGH-Volltext (PDF)

Sachverhalt: Ein Verlag veröffentlichte 2022 binnen weniger Wochen sechs Artikel in fünf Zeitschriften (Closer u. a.) mit heimlich aufgenommenen Paparazzi-Fotos von Sängerin Helene Fischer beim Stadtbummel in München mit ihrer damals fünf Monate alten Tochter. Fischer klagte auf mindestens 20.000 Euro Geldentschädigung wegen wiederholter Verletzung des Rechts am eigenen Bild (§§ 22, 23 KUG).

Entscheidung: Der BGH wies die Revision zurück. Die Veröffentlichungen waren rechtswidrig; ein Geldentschädigungsanspruch wurde verneint. Vollständige Aufbereitung: ur-569.

Begründungs-Kernpunkte: Eine Geldentschädigung wegen schwerer Persönlichkeitsrechtsverletzung setzt Hartnäckigkeit voraus: Der Verletzer muss nach Kenntnis eines gerichtlichen Verbots oder einer Unterlassungsverpflichtung weiter in gleichartiger Weise verstoßen. Im vorliegenden Fall waren alle sechs Artikel erschienen, bevor die erste Einstweilige Verfügung am 15. Juli 2022 zugestellt worden war. Ohne Kenntnis des Verbots fehlt das Hartnäckigkeitselement — trotz Rechtswidrigkeit kein Geldentschädigungsanspruch. Die Bilder zeigten zudem keine intimen Momente, sondern alltägliche Situationen im öffentlichen Stadtraum; die Berichterstattung war wohlmeinend.

Praxisfolgen: Verlage haften finanziell erst dann, wenn sie nach Kenntnis eines Verbots gleichartig weiterhandeln. Für Betroffene: Einstweilige Verfügung so früh wie möglich beantragen und zustellen — damit beginnt die Hartnäckigkeitsfrist. Das Urteil betrifft alle, die Bildmaterial über Personen des öffentlichen Lebens verwenden. Hinweis: keine Rechtsberatung im Einzelfall.

6.1 Iranische APT Screening Serpens: sechs neue RAT-Varianten, AppDomainManager-Hijacking · Unit 42, 22.05.2026 · Unit 42 Report

Zusammenfassung: Unit 42 (Palo Alto Networks) hat die 2026er Espionage-Kampagnen der Iran-nexus-Gruppe Screening Serpens dokumentiert. Zwischen Februar und April 2026 setzte die Gruppe sechs neue RAT-Varianten ein: MiniUpdate (vier Varianten, März–April) und MiniJunk V2 (zwei Varianten, Februar/März). Ziele: USA, Israel, VAE. Kampagnenbeginn zeitgleich mit dem Ausbruch des Nahost-Konflikts (28.02.2026).

Hintergrund & Einordnung: MiniUpdate nutzt AppDomainManager-Hijacking: .NET-Sicherheitsmechanismen werden über eine legitime Konfigurationsdatei deaktiviert — noch bevor sie greifen. MiniJunk V2 setzt auf massive Code-Verschleierung und künstliche Dateigrößenaufblähung, um AV-Scanning-Limits zu überschreiten. C2-Kommunikation läuft über Azure-Domänen, die legitime Windows-Service-Namen imitieren. Screening Serpens (auch UNC1549, Smoke Sandstorm) ist seit 2022 aktiv und zeigt laut Unit 42 keine Verlangsamungsanzeichen.

Praxisfolgen / Handlungsempfehlung: Alerts auf DLL-Sideloading und unerwartete .NET-AppDomain-Aktivitäten setzen. Recruiting-Lures über LinkedIn und gefälschte Videokonferenz-Einladungen sind bevorzugter Initial-Access-Vektor. IOCs aus dem Unit-42-Report in SIEM und Endpoint-Protection laden.

6.2 STARDUST CHOLLIMA (Nordkorea): Mastra AI npm Supply Chain kompromittiert · CrowdStrike Threat Hunting Report, 03.08.2026 · CrowdStrike Report · SecurityWeek

Zusammenfassung: CrowdStrike hat im 2026 Threat Hunting Report (03.08.2026, Black Hat) dokumentiert, dass DPRK-nexus-Akteur STARDUST CHOLLIMA am 17. Juni 2026 binnen 45 Minuten 141 Mastra-npm-Pakete mit einer schadcode-enthaltenden Abhängigkeit infizierte. Die kompromittierten Pakete haben zusammen rund 8 Millionen wöchentliche Downloads. Angriffsziel: kryptowährungsbezogene Browser-Extensions auf Windows, macOS und Linux.

Hintergrund & Einordnung: Der Angreifer übernahm den npm-Maintainer-Account „ehindero“ und injizierte „easy-day-js“ — ein Typosquat der legitimen Datums-Bibliothek „dayjs“ — als Abhängigkeit in 141 Mastra-Pakete. Der postinstall-Dropper lud einen Zweit-Stage-Payload nach und führte ihn auf jedem betroffenen Entwickler-Arbeitsplatz aus. Laut CrowdStrike waren 87 % der H1-2026-Bedrohungen in Software-Registries auf npm-Pakete zurückzuführen.

Praxisfolgen / Handlungsempfehlung: Entwicklungsumgebungen, die zwischen 12:00 und 12:45 UTC am 17. Juni 2026 Mastra-Pakete installiert haben, als kompromittiert behandeln. Credentials und Krypto-Wallets rotieren. npm-Pakete mit Lock-Files pinnen und signaturbasierte Integritätsprüfungen in CI/CD einführen.