1. Oracle-Proxy-Lücke CVE-2026-21962 unter aktiver Ausnutzung

Seit Montag, 24. August 2026 · zuletzt aktualisiert Mittwoch, 26. August 2026 · Score 92

Die im Januar gepatchte Schwachstelle im WebLogic-Proxy-Plug-in von Oracle HTTP Server erreicht CVSS 10,0 und wird seit dem 24. August aktiv ausgenutzt. CISA hat US-Bundesbehörden unter der Direktive BOD 26-04 die kürzestmögliche Frist von drei Tagen gesetzt.

Letzte Entwicklung: Die Patch-Frist für Bundesbehörden ist inzwischen abgelaufen; neue Erkenntnisse zu Angreifergruppen oder Opfern wurden bis heute nicht veröffentlicht. Betroffen sind weiterhin die Versionsstränge 12.2.1.4.0, 14.1.1.0.0 und 14.1.2.0.0.

2. Datenabfluss beim Logistikdienstleister CEVA und das Stripe-Händler-Leak

Seit Donnerstag, 14. August 2026 · zuletzt aktualisiert Montag, 24. August 2026 · Score 78

Aus zwei getrennten Vorfällen — dem Einbruch bei CEVA Logistics Ende Juli und der Veröffentlichung von 33 GB Händlerdaten aus 669 Stripe-Konten — liegen Namen, Anschriften, Bestellinhalte und Rechnungsdaten von mehreren hunderttausend Menschen in kriminellen Händen.

Letzte Entwicklung: Keine neuen Betroffenenmeldungen seit der Bestätigung durch Pokémon Center am 24. August. Die absehbare Folge — Phishing mit korrekten Bestelldaten — ist bislang nicht in einer breiten Welle sichtbar geworden; das ändert nichts an der Vorbereitung darauf.

3. Cyberangriff auf zwei Berliner Senatsverwaltungen

Seit Montag, 17. August 2026 · zuletzt aktualisiert Montag, 24. August 2026 · Score 65

Nach zehntägiger Trennung vom Landesnetz sind beide Verwaltungen wieder verbunden und grundsätzlich arbeitsfähig.

Letzte Entwicklung: Keine neuen Erkenntnisse zu Angriffsweg oder Datenabfluss seit dem 24. August. Der Fall läuft hier nur noch als Verlaufshinweis mit.

1.1 Persona Identities: Gesichtsscan als Infrastruktur für LinkedIn, Etsy, Reddit, Roblox, OpenAI und Anthropic

25.08.2026 · netzpolitik.org

Zusammenfassung: Eine Recherche legt offen, wie viel bei einer Online-Verifizierung tatsächlich verarbeitet wird. Der 2018 gegründete US-Anbieter Persona Identities aus San Francisco hat nach eigenen Angaben über eine Milliarde Verifizierungen durchgeführt und arbeitet für mehr als 4.000 Unternehmen, darunter Etsy, LinkedIn, Reddit, Roblox sowie OpenAI und Anthropic. Erfasst werden vollständiger Name, Ausweisnummer, Ausweisfoto und Geburtsdatum, die biometrischen Gesichtsmerkmale aus Ausweisbild und Selfie, „verhaltensbiometrische Daten“ wie Dauer und Art der Eingaben sowie E-Mail-Adresse, Telefonnummer, Anschrift, IP-Adresse, Standort-, Geräte- und Browserdaten. Zusätzlich gleicht das System mit einem „globalen Netzwerk vertrauenswürdiger Datenquellen“ ab, darunter behördliche Datenbanken und Kreditauskunfteien. Insgesamt sind bis zu 269 verschiedene Prüfungen möglich, unter anderem der Abgleich des Gesichts mit Fotos im Internet, mit Fahndungslisten und Listen politisch exponierter Personen, das Durchsuchen negativer Medienberichte und die Vergabe eines Risikowerts.

Hintergrund & Einordnung: Die datenschutzrechtliche Schwachstelle liegt nicht in einem einzelnen Verarbeitungsschritt, sondern im Verhältnis zwischen Zweck und Mitteln. Der Datenschutzjurist Felix Mikolasch fasst es so: „Eine so umfangreiche Datenverarbeitung dürfte kaum oder nur sehr selten verhältnismäßig sein, um Alter oder Identität zu bestätigen.“ Hinzu kommt die Weitergabe: 17 Subunternehmen haben Zugriff auf die Daten, alle bis auf eines mit Hauptsitz in den USA, womit ein Zugriff US-amerikanischer Behörden über den CLOUD Act im Raum steht. Die Speicherfristen fallen je nach Auftraggeber sehr unterschiedlich aus — Reddit drei Tage, Roblox und LinkedIn bis zu 30 Tage, Etsy bis zu einem Jahr bei Persona selbst und Selfie samt Ausweisbild sechs Jahre nach Schließung eines Shops. Eine Passage zur Verwendung der Daten für KI-Training entfernte das Unternehmen nach Kritik, ohne die Frage damit zu beantworten. Der Founders Fund von Peter Thiel gehört zu den Hauptinvestoren. Besonders schwer wiegt der Bereich der Minderjährigen: Bei Roblox haben 57 Prozent der 132 Millionen täglichen Nutzerinnen und Nutzer die Alterskontrolle durchlaufen — das sind rund 75 Millionen Menschen, überwiegend Kinder und Jugendliche, deren biometrische Daten an einen einzigen privaten Dienstleister gingen.

Praxisfolgen / Handlungsempfehlung: Wer Identitäts- oder Altersverifizierung einkauft, ist datenschutzrechtlich Verantwortlicher und kann sich nicht hinter dem Dienstleister verstecken. Vor dem Einsatz gehören drei Punkte geklärt und dokumentiert: die vollständige Kette der Unterauftragsverarbeiter mit Sitzstaaten, die Speicherfristen für biometrische Daten getrennt nach eigener und dienstleisterseitiger Speicherung, und die Rechtsgrundlage für Abgleiche, die über die Identitätsfeststellung hinausgehen — Sanktions-, Fahndungs- und PEP-Listen, negative Medienberichte, Risikobewertung. Für biometrische Daten nach Art. 9 DSGVO ist die Datenschutz-Folgenabschätzung praktisch immer angezeigt; sie muss abbilden, ob eine schwächere Prüfstufe für den konkreten Zweck genügt. Die Erfahrungen aus der Recherche zeigen zudem einen wirtschaftlichen Punkt, der oft übersehen wird: Fehlklassifikationen des Systems treffen die Betroffenen unmittelbar — eine Verkäuferin hatte zwei Monate Verdienstausfall, weil ihre deutschen Papiere nicht akzeptiert wurden, und erhielt nie eine Erklärung. Ein wirksames Verfahren zur menschlichen Überprüfung nach Art. 22 DSGVO ist damit keine Formalie, sondern Betriebsbedingung.

1.2 Bremen: Verhaltenserkennung in 43 Straßenbahnen — 16 Alarme, vier davon belegt

25.08.2026 · netzpolitik.org

Zusammenfassung: Die Bremer Straßenbahn AG hat Software zur Verhaltenserkennung des Bremer Anbieters Just Add AI in 43 Straßenbahnen installiert — ein Drittel der Flotte. Die Software wertet die Bilder der ohnehin vorhandenen Kameras aus und soll aggressives Verhalten erkennen. Die Vorgeschichte ist bemerkenswert: Die BSAG hatte ursprünglich eine Software zur Dokumentation von Sachschäden angefragt; als der Anbieter das ablehnte, bot er stattdessen Aggressionserkennung an. Ein Test lief im September 2024, der Pilotbetrieb startete am 24. März 2025. In den ersten fünf Monaten erzeugte das System 16 Alarme, von denen sich vier mit dokumentierten Vorfällen deckten — eine Trefferquote von 25 Prozent. Schlafende Fahrgäste stufte die Software als Gefahr ein; eine Prüfnotiz der Aufsicht hält dazu trocken fest, es sei erlaubt, in der Bahn zu schlafen, und das sei weder gefährlich noch ein Anzeichen für Aggression.

Hintergrund & Einordnung: Die Landesdatenschutzbehörde hat gravierende Mängel festgestellt, und der wichtigste betrifft eine verbreitete Fehlannahme: Die Verpixelung der Gesichter stellt keine Anonymisierung dar, weil auffällige Kleidung oder Tätowierungen eine Identifizierung weiterhin erlauben. Hinzu kommt, dass die Aufnahmen unverschlüsselt an die BSAG-Zentrale übertragen und dort 48 Stunden aufbewahrt werden, was eine nachträgliche Zuordnung ermöglicht. Der Bremer Landesbeauftragte für Datenschutz, Timo Utermark, hat eine einjährige Evaluation angeordnet, in der die erkannten Vorfälle mit der tatsächlichen Kriminalitätsstatistik abgeglichen werden — nach dem Stand der Berichterstattung die erste umfassende Untersuchung eines Verhaltensscanners in Deutschland.

Praxisfolgen / Handlungsempfehlung: Für jeden Einsatz von Verhaltens- oder Emotionserkennung im öffentlich zugänglichen Raum sind drei Punkte belastbar zu klären, bevor Technik beschafft wird. Erstens die Zweckbestimmung: Ein System, das ursprünglich für etwas anderes angeboten wurde, bringt keine auf den neuen Zweck zugeschnittene Erforderlichkeitsprüfung mit. Zweitens die Anonymisierungsbehauptung: Verpixelung reicht als Argument nicht, solange andere Merkmale die Identifizierung tragen — hier ist eine technische Prüfung nötig, keine Zusicherung des Herstellers. Drittens die Wirksamkeit: Eine Trefferquote von 25 Prozent bei 16 Alarmen in fünf Monaten ist keine Datenbasis, aus der sich Erforderlichkeit ableiten lässt; wer ein solches System betreibt, muss die Wirksamkeit von Anfang an messbar dokumentieren, sonst fehlt der Abwägung die Grundlage. Der Bremer Fall wird durch die angeordnete Evaluation über den Einzelfall hinaus Wirkung entfalten.

1.3 „Enhanced Border Security Partnership“: US-Zugriff auf europäische Polizeidatenbanken auf der Zielgeraden

24.08.2026 · netzpolitik.org

Zusammenfassung: Die EU-Kommission verhandelt mit den Vereinigten Staaten über ein transatlantisches Rahmenabkommen mit dem Namen „Enhanced Border Security Partnership“. Es soll US-Behörden für Visumsprüfung und Grenzkontrolle weitreichenden Zugriff auf europäische Polizeidatenbanken eröffnen. Der Hebel ist die Visafreiheit: Wer den Zugriff nicht gewährt, muss akzeptieren, dass die eigenen Staatsangehörigen für die Einreise in die USA künftig ein Visum benötigen. Abfragbar wären nationale polizeiliche Informationssysteme mit Fingerabdrücken, Vorstrafen, Sicherheitshinweisen und Aufenthaltsverstößen, unter Umständen auch Lichtbilder sowie sensible Angaben zu politischer Meinung, ethnischer Herkunft und Religionszugehörigkeit. Ein von Statewatch veröffentlichter Entwurf zeigt, dass ein Abschluss bis Ende 2026 angestrebt wird; anschließend sollen bilaterale Abkommen zwischen den einzelnen Mitgliedstaaten und den USA folgen, in denen die beteiligten Behörden und die konkreten Übermittlungsverfahren festgelegt werden.

Hintergrund & Einordnung: Max Schrems, der bereits Safe Harbor und Privacy Shield zu Fall gebracht hat, hält die vorgesehene Aufsichtsstruktur für unvereinbar mit dem europäischen Grundrechtsschutz: Die vorgeschlagenen US-Aufsichtsstellen seien „organisatorisch in der jeweiligen US-Behörde selbst angesiedelt“ und damit nicht unabhängig im Sinne des europäischen Rechts. Das ist genau der Punkt, an dem die beiden früheren Übermittlungsrahmen gescheitert sind. Bemerkenswert ist die Konstruktion über bilaterale Folgeabkommen: Sie verlagert die konkrete Ausgestaltung auf eine Ebene, auf der die parlamentarische und gerichtliche Kontrolle schwächer ausfällt als bei einem EU-Rechtsakt.

Praxisfolgen / Handlungsempfehlung: Für Unternehmen ist das kein unmittelbarer Handlungsauftrag, wohl aber ein Planungssignal. Wer Beschäftigte regelmäßig in die USA entsendet, sollte im Blick behalten, dass Einreiseprüfungen künftig auf polizeiliche Datenbestände zugreifen könnten, die in Europa erhoben wurden — mit Folgen für die Fürsorgepflicht und für die Information der Beschäftigten. Datenschutzbeauftragte in Behörden, die Daten in die betroffenen Systeme einspeisen, sollten den Verfahrensstand verfolgen, weil sich daraus Anpassungen bei Zweckbindung und Informationspflichten ergeben können. Und wer die Rechtsentwicklung bei Drittlandsübermittlungen für abgeschlossen hielt, sieht hier, dass die Frage der unabhängigen Aufsicht erneut zum Prüfstein wird.

2.1 BTR.sys: Microsofts eigener Defender-Treiber wird zum Kernel-Werkzeug — kein Patch geplant

20.08.2026 · Check Point Research · The Hacker News

Zusammenfassung: Jiří Vinopal von Check Point Research hat den Windows Defender Boot-Time Removal-Treiber BTR.sys analysiert und die Ergebnisse auf der Black Hat USA 2026 und der DEF CON 34 vorgestellt; Paper und das Werkzeug BTR_CLI erschienen am 20. August. BTR.sys ist eine reguläre, von Microsoft signierte Komponente, die als Ressource in der Defender-Bibliothek MpEngine.dll eingebettet ist und nur dann ausgerollt wird, wenn Schadsoftware im laufenden Betrieb nicht entfernt werden kann, weil Dateien oder Registry-Einträge gesperrt sind. Der Treiber entschlüsselt eine RC4-verschlüsselte Transaktionsliste aus einem alternativen Datenstrom und führt die darin beschriebenen Operationen mit Kernel-Rechten aus. Vinopal hat dieses proprietäre Protokoll rekonstruiert. Damit lassen sich Manipulationsschutz umgehen, Komponenten von Erkennungs- und Virenschutzlösungen bereits vor deren Start löschen, bösartige Treiber einbringen und Persistenz herstellen — ohne eine Schwachstelle auszunutzen und ohne einen fremden Treiber mitzubringen.

Hintergrund & Einordnung: Die Technik unterscheidet sich von den bekannten BYOVD-Angriffen, bei denen Angreifer einen signierten, aber verwundbaren Fremdtreiber auf das System bringen. Hier wird eine Komponente benutzt, die auf jedem Windows-System von Windows 7 bis Windows 11 25H2 ohnehin vorhanden ist. Das hat eine unangenehme Folge: Der Treiber lässt sich weder auf Microsofts Sperrliste für verwundbare Treiber setzen noch per WDAC blockieren, ohne den Defender selbst funktionsunfähig zu machen. Voraussetzung für den Missbrauch sind weitreichende Administratorrechte, konkret das Recht zum Laden von Treibern (SeLoadDriverPrivilege) — für den Ersteinbruch taugt die Methode also nicht, wohl aber für die Phase danach, in der Angreifer ihre Spuren verwischen und die Erkennung ausschalten. Microsoft hat nach verantwortungsvoller Offenlegung entschieden, keinen Patch zu liefern: Da der Missbrauch bereits vorhandene Administratorrechte voraussetze, liege keine Schwachstelle vor, sondern eine architektonische Systemgrenze. Check Point fand keine Hinweise, dass die Technik bereits in realen Angriffen eingesetzt wurde.

Praxisfolgen / Handlungsempfehlung: Weil kein Patch kommt, verschiebt sich die Verteidigung vollständig auf zwei Achsen. Erstens die Rechtevergabe: Das Recht zum Laden von Treibern gehört auf das notwendige Minimum begrenzt und regelmäßig überprüft — in vielen Umgebungen ist es breiter vergeben als nötig, weil es historisch mit lokalen Administratorrechten mitläuft. Zweitens die Erkennung: Das Paper beschreibt vier Verhaltenssignale, die sich in Sysmon oder eine Endpunktüberwachung übernehmen lassen, etwa das Auftauchen eines Treibers mit zufälligem Namen unter System32\drivers zusammen mit einem verschlüsselten alternativen Datenstrom. Der Zeitpunkt ist günstig: Solange die Technik in der Praxis nicht verwendet wird, lässt sich Erkennung ohne Zeitdruck aufbauen. Wer eine Endpunktlösung eines Drittanbieters einsetzt, sollte beim Hersteller nachfragen, ob dessen Selbstschutz den Löschversuch vor dem Start überhaupt bemerkt.

2.2 WhatsApp: mehrere Passkeys pro Konto, Passwörter statt PIN, Kontext bei unbekannten Anrufen

25.08.2026 · heise online

Zusammenfassung: WhatsApp erlaubt künftig mehrere Passkeys je Konto, verwaltbar unter Einstellungen › Konto › Passkeys. Der Grund ist praktischer Natur: Android und iOS können sich keinen gemeinsamen Schlüssel teilen, weshalb Menschen mit Geräten beider Systeme bisher benachteiligt waren. Zugleich ersetzt der Dienst die bisherigen sechsstelligen Zahlen-PINs durch alphanumerische Passwörter mit Sonderzeichen. WhatsApp begründet das mit einem „besseren Schutz vor Accountübernahme“, der „auch dann“ greife, „wenn Angreifer im Besitz des Einmalpassworts sind“. Drittens zeigt die App auf Android-Geräten bei Anrufen unbekannter Kontakte künftig zusätzliche Angaben an, etwa ob der Anruf aus dem Ausland stammt oder ob Anrufer und Angerufene gemeinsame Gruppen haben. Ein Termin für die iOS-Fassung dieser Funktion steht noch nicht fest.

Hintergrund & Einordnung: Der zweite Punkt ist der wichtigste, auch wenn er unscheinbar klingt. Die klassische Kontoübernahme bei Messenger-Diensten läuft über den Einmalcode: Angreifer bringen das Opfer per Vorwand dazu, den per SMS zugestellten Code weiterzugeben, und registrieren das Konto auf einem eigenen Gerät. Die zusätzliche Sperre — bisher eine sechsstellige PIN — war dagegen die letzte Verteidigungslinie, aber mit nur einer Million Kombinationen und der menschlichen Neigung zu Geburtsdaten schwach. Ein alphanumerisches Passwort verschiebt diese Grenze deutlich. Der dritte Punkt zielt auf Anrufbetrug: Die Angabe, dass ein vermeintlicher Anruf der Hausbank aus dem Ausland kommt, ist für Laien ein sehr viel greifbareres Warnsignal als jede abstrakte Belehrung.

Praxisfolgen / Handlungsempfehlung: Wer WhatsApp beruflich duldet oder einsetzt, sollte die Umstellung aktiv in die interne Kommunikation nehmen, statt auf die stille Auslieferung zu warten. Konkret: Beschäftigte auffordern, für jedes genutzte Gerät einen eigenen Passkey anzulegen und die bisherige PIN durch ein Passwort zu ersetzen, das nicht anderswo verwendet wird. In Umgebungen mit erhöhtem Risiko — Vorstand, Einkauf, Buchhaltung — lohnt zusätzlich der Hinweis auf die neue Anrufer-Anzeige, weil der Enkeltrick in seiner Geschäftsvariante („Ihr Geschäftsführer meldet sich von einer neuen Nummer“) genau über diesen Kanal läuft. Wer Passkeys grundsätzlich noch nicht eingeführt hat, findet hier einen niedrigschwelligen Einstieg, an dem sich das Verfahren im Alltag erproben lässt.

2.3 Cyber Resilience Act: 45 Prozent der deutschen Industrie kennt die Anforderungen kaum

25.08.2026 · heise online

Zusammenfassung: Eine am 25. August veröffentlichte Umfrage des Sicherheitsanbieters ONEKEY unter 200 deutschen Industrieunternehmen zeichnet ein ernüchterndes Bild der Vorbereitung auf den Cyber Resilience Act. 45 Prozent geben an, die Vorgaben kaum oder gar nicht zu kennen; 46 Prozent halten ihr Wissen für ausreichend, aber nur 21 Prozent für „sehr gut“. Etwa ein Drittel ist bei internen Prozessen, Risikomanagement und der Verwaltung von Sicherheitsupdates unvorbereitet, 30 Prozent sind bei den verpflichtenden Sicherheitsanforderungen und der technischen Dokumentation kaum vorangekommen. Als größte Hürde nennen rund 62 Prozent die Meldepflichten für Schwachstellen und Vorfälle, 30 Prozent bezeichnen sie sogar als „ernsthafte Kopfschmerzen“. Weitere Hürden sind die Konformitätsbewertung von Produkten und die Erstellung einer Software-Stückliste, jeweils 30 Prozent. Besonders aufschlussreich ist die Lieferkette: Nur 18 Prozent der Zulieferer stellen die für den CRA benötigten Angaben bereit. Auf den Zeitplan angesprochen erklären 8 Prozent, bereits konform zu sein, 26 Prozent zielen auf Ende 2026, 33 Prozent auf die Frist im Dezember 2027, und 13 Prozent befürchten, sie nicht einzuhalten.

Hintergrund & Einordnung: Die Zahl zu den Zulieferern ist der eigentliche Befund. Der CRA arbeitet mit einer Kette: Wer ein Produkt mit digitalen Elementen in Verkehr bringt, haftet für dessen Sicherheitseigenschaften einschließlich der zugekauften Bestandteile. Wenn 82 Prozent der Zulieferer die nötigen Angaben nicht liefern, kann der Hersteller seine eigenen Pflichten strukturell nicht erfüllen, egal wie gut seine internen Prozesse sind. Dass ausgerechnet die Meldepflichten als größte Hürde genannt werden, passt zum Zeitplan: Sie greifen als erste, deutlich vor der vollständigen Anwendbarkeit — und sie verlangen eine Reaktionsfähigkeit binnen 24 Stunden, die es in vielen Industrieunternehmen bisher nur für Produktionsstörungen gibt, nicht für Schwachstellen.

Praxisfolgen / Handlungsempfehlung: Der erste Schritt ist kein Compliance-Projekt, sondern eine Bestandsaufnahme in der Lieferkette. Wer produziert, sollte seine Zulieferer nach der Verfügbarkeit von Software-Stücklisten, dokumentierten Sicherheitseigenschaften und einem benannten Kontakt für Schwachstellenmeldungen fragen — und die Antworten festhalten, weil sich daraus ergibt, welche Komponenten mittelfristig ersetzt werden müssen. Zweitens sollte die 24-Stunden-Meldefähigkeit organisatorisch durchgespielt werden: Wer nimmt eine Schwachstellenmeldung außerhalb der Geschäftszeiten entgegen, wer entscheidet über die Meldung, wer hat Zugang zum Meldeweg? Ein Trockenlauf kostet einen halben Tag und zeigt zuverlässiger als jede Selbsteinschätzung, wo es hakt. Drittens gehört die technische Dokumentation nicht ans Ende, sondern an den Anfang: Sie ist der Nachweis, ohne den die Konformitätsbewertung nicht funktioniert.

3.1 TranslatePress: Kontoübernahme bei 400.000 WordPress-Installationen

26.08.2026 · heise online

Zusammenfassung: In der WordPress-Übersetzungserweiterung TranslatePress klafft eine kritische Lücke, die unter CVE-2026-19632 geführt und mit CVSS 9,8 bewertet ist. Nicht angemeldete Angreifer können über das Netzwerk an den Passwort-Zurücksetzen-Link eines Administratorkontos gelangen, sofern im Administratorprofil eine zweite Sprache konfiguriert ist. Damit lässt sich das Konto übernehmen und in der Folge die gesamte WordPress-Instanz kompromittieren. Betroffen sind alle Versionen unterhalb von 3.3.2; die Korrektur steht mit 3.3.2 und neuer bereit. Nach Angaben aus dem Erweiterungsverzeichnis sind rund 400.000 Installationen im Einsatz.

Hintergrund & Einordnung: Die Voraussetzung — eine zweite Sprache im Administratorprofil — klingt nach einer Einschränkung, ist aber in der Praxis genau der Normalfall: Wer eine Übersetzungserweiterung einsetzt, arbeitet naheliegenderweise mit mehreren Sprachen, auch im Backend. Die Lücke reiht sich in eine Serie von WordPress-Erweiterungsproblemen der letzten Wochen ein, darunter Elementor Pro mit rund sechs Millionen Installationen. Im selben Bericht behandelt heise zwei weitere Lücken in der Anmelde-Erweiterung miniOrange SAML 2.0: CVE-2026-15981 mit CVSS 9,8 und CVE-2026-61979 mit CVSS 8,1, beide ohne Authentifizierung ausnutzbar und beide geeignet, Angreifer „als beliebige Nutzer in /wp-admin landen“ zu lassen. Diese Angriffe sind über das Honeypot-Netz von DigitalOcean bereits als aktiv laufend bestätigt. Bei miniOrange kommt eine strukturelle Schwierigkeit hinzu: Sieben Abonnement-Editionen teilen sich einen einzigen Verzeichniseintrag bei getrennter Versionierung, weshalb gepatchte Bezahlversionen in öffentlichen Schwachstellendatenbanken nicht auftauchen.

Praxisfolgen / Handlungsempfehlung: TranslatePress heute auf 3.3.2 aktualisieren. Wo das nicht sofort möglich ist, entfernen Sie übergangsweise die zweite Sprache aus den Administratorprofilen — ohne diese Einstellung greift der Angriff nicht. Nach dem Update prüfen Sie die Benutzerliste auf unbekannte Administratorkonten und die Passwort-Zurücksetzen-Vorgänge der letzten Wochen. Für miniOrange SAML 2.0 hilft der Blick in die Schwachstellendatenbank wegen der getrennten Versionierung nicht weiter; hier ist der direkte Abgleich mit den Herstellerangaben zur eingesetzten Edition nötig. Grundsätzlich gilt für Anmelde- und Übersetzungserweiterungen dasselbe wie für Sicherheitssoftware: Sie greifen tief in den Authentifizierungspfad ein, weshalb ihre Updates Vorrang vor gestalterischen Erweiterungen haben sollten.

3.2 Keycloak: Kontoübernahme über die Passwort-Rücksetzfunktion, Proof-of-Concept öffentlich

25.08.2026 · Keycloak 26.7.2 · NVD

Zusammenfassung: Das Identitäts- und Zugangsverwaltungssystem Keycloak schließt mit Version 26.7.2 sieben Sicherheitslücken, darunter eine gravierende. CVE-2026-18963 erreicht CVSS 9,1 und erlaubt nicht angemeldeten Angreifern aus dem Netz die Übernahme von Konten im System. Nötig ist lediglich die Kenntnis eines Benutzernamens oder einer E-Mail-Adresse; damit lässt sich das Zurücksetzen des Passworts für beliebige Nutzer einschließlich Administratoren anfordern, und anschließend kann ein beliebiges neues Passwort vergeben werden, ohne die Bestätigungsmail je erhalten zu haben. Ein Proof-of-Concept-Repository liegt öffentlich vor. Red Hat hat vier Sicherheitsmitteilungen veröffentlicht und die Korrekturen auf die Stände 26.4.15 und 26.6.6 zurückportiert.

Hintergrund & Einordnung: Die weiteren sechs Lücken der Version sind für sich genommen weniger dramatisch, zeichnen aber ein Bild: Eine unbegrenzte Speicherzuweisung im OpenTelemetry-Java-SDK bei der W3C-Baggage-Propagation (CVE-2026-45292, CVSS 7,5), ein vorhersehbarer Hash bei der Kontoverknüpfung, über den sich ein Konto per bösartigem OIDC-Client übernehmen lässt (CVE-2026-15571, CVSS 7,3), zwei über jackson-databind 2.21.5 geschlossene Lücken (CVE-2026-59888 und CVE-2026-59889, je CVSS 6,5), die Preisgabe rotierter Client-Geheimnisse über die Admin-REST-API (CVE-2026-17048, CVSS 5,5), das Aufdecken verborgener übergeordneter Gruppen unter FGAP v2 (CVE-2026-15945, CVSS 4,3) und die Umgehung detaillierter Administratorrechte über den Endpunkt „Rollengruppen“ (CVE-2026-14613, CVSS 4,3). Die eigentliche Tragweite ergibt sich aus der Rolle des Systems: Keycloak ist in vielen Umgebungen der zentrale Anmeldedienst für eine ganze Anwendungslandschaft. Wer hier ein Administratorkonto übernimmt, übernimmt nicht eine Anwendung, sondern den Zugang zu allen daran angebundenen.

Praxisfolgen / Handlungsempfehlung: Wegen des öffentlich verfügbaren Proof-of-Concept ist das Update dringend: Version 26.7.2 einspielen, bei Red-Hat-Distributionen die Stände 26.4.15 beziehungsweise 26.6.6. Nach dem Update sind zwei Nachprüfungen sinnvoll. Erstens die Protokolle der Passwort-Zurücksetzen-Vorgänge der zurückliegenden Wochen: Gesucht wird nach Anforderungen für privilegierte Konten, denen keine erfolgreiche Mail-Zustellung gegenübersteht. Zweitens die Client-Geheimnisse — wegen CVE-2026-17048 sollten rotierte Geheimnisse, die über die Admin-REST-API abrufbar waren, erneut rotiert werden. Unabhängig davon gehört die Administrationsoberfläche eines zentralen Anmeldedienstes nicht offen ins Internet, sondern hinter eine Netzbeschränkung oder ein VPN.

3.3 Gitea: aktiv ausgenutzte Codeeinschleusung im KEV-Katalog, Frist 28. August

25.08.2026 · CISA · The Hacker News

Zusammenfassung: Die US-Cybersicherheitsbehörde CISA hat am 25. August CVE-2026-60004 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen. Es handelt sich um eine Codeeinschleusung (CWE-94) mit CVSS 9,8 im diffpatch-Endpunkt der selbst hostbaren Git-Plattform Gitea. Wer Schreibzugriff auf ein Repository hat, kann einen manipulierten Patch zweimal einreichen und dadurch eine ausführbare Datei in das Hook-Verzeichnis von Git schreiben; weil das temporäre Repository ein bloßer Klon ist, landet ein Pfad wie hooks/post-index-change direkt im aktiven Hook-Verzeichnis und wird beim nächsten Index-Update ausgeführt — mit den Rechten des Gitea-Dienstkontos. Betroffen sind die Versionen 1.17 bis 1.27.0, behoben ist es seit Ende Juli in 1.27.1. Der Fehler wurde vom Sicherheitsforscher Shai Rod gemeldet; ein Proof-of-Concept ist seit der Offenlegung öffentlich.

Hintergrund & Einordnung: Bemerkenswert ist, wie der Patch kommuniziert wurde: In den Anmerkungen zur Version 1.27.1 taucht die Korrektur unter „MISC“ als Umbau der Patch-Anwendung auf, nicht als eigener Sicherheitspunkt. Wer Versionshinweise nach Sicherheitsmeldungen filtert, hat diese Korrektur also mit hoher Wahrscheinlichkeit übersehen — genau das erklärt, warum die Lücke einen Monat nach dem Patch noch ausnutzbar war. Ein Betreiber berichtet von einem Angriff, bei dem über die Lücke ein Schadprogramm mit Krypto-Mining-Verhalten ausgerollt wurde; entdeckt wurde es, weil der Hoster eine dauerhafte Prozessorlast über 70 Prozent meldete. Ob CISA die Aufnahme auf diesen Fall oder auf andere Erkenntnisse stützt, ist offen. Die Frist für US-Bundesbehörden endet am 28. August. Gitea selbst weist darauf hin, dass je nach Isolation Anwendungs- und Umgebungsgeheimnisse, eingehängte Repositories, Datenbankzugangsdaten und -inhalte, OAuth-Zugangsdaten und erreichbare interne Dienste offengelegt werden können.

Praxisfolgen / Handlungsempfehlung: Sofort auf 1.27.1 oder neuer aktualisieren. Wichtig ist die richtige Einschätzung der Abschaltung der Selbstregistrierung: Sie erschwert einem externen Angreifer ohne Konto den Zugang, verhindert den Angriff über bestehende oder übernommene Konten aber nicht. Nach dem Update gehören alle Geheimnisse rotiert, die dem Gitea-Prozess zugänglich waren — Datenbankzugangsdaten, OAuth-Geheimnisse, in Pipelines hinterlegte Zugangsdaten. Zur Erkennung: Ausführbare Dateien im Hook-Verzeichnis von Repositories prüfen, die nicht bewusst dort angelegt wurden, und die Prozessorlast der zurückliegenden Wochen auf ungeklärte Dauerlast durchsehen. Grundsätzlich sollte eine selbst gehostete Git-Plattform, die Zugangsdaten für Produktionssysteme vorhält, nicht ohne Netzbeschränkung im Internet stehen.

4.1 LG Hamburg: Die journalistische Urteilsbesprechung ist ein geschütztes Sprachwerk

LG Hamburg · 06.08.2026 · 310 O 136/26 · CSA-Aufbereitung · Volltext

Sachverhalt: Ein Journalist und Chefredakteur eines juristischen Fachmediums veröffentlichte am 14. April 2026 um 12:14 Uhr eine Besprechung der Urteilsgründe des Landgerichts Berlin II zur äußerungsrechtlichen Zulässigkeit einer Formulierung aus einer Recherche. Er hatte zuvor zum Thema recherchiert und publiziert, an der mündlichen Verhandlung teilgenommen und für den Artikel das 31-seitige Urteil in mehrstündiger Arbeit ausgewertet; zusätzlich verglich er die Entscheidung mit einem früheren Urteil des Landgerichts Hamburg zur selben Äußerung. Um 18:51 Uhr desselben Tages erschien auf der Website eines Boulevardblatts ein Artikel zu denselben Urteilsgründen, in dem der Autor unstreitig den Fachbeitrag kannte und mit dem Satz „Zuvor berichtete auch [das Fachmedium]“ auf ihn hinwies. Der Journalist legte eine „Übernahmesynopse“ mit zwanzig markierten Stellen vor und mahnte am Folgetag ab; die Verlegerin reagierte weder auf die E-Mail noch auf das Schreiben per Post.

Entscheidung: Die Zivilkammer 10 erließ am 6. August 2026 die einstweilige Verfügung und untersagte die Vervielfältigung und öffentliche Zugänglichmachung des angegriffenen Artikels in der konkreten Verletzungsform, unter Androhung eines Ordnungsgeldes bis 250.000 Euro. Die Kosten trägt die Verlegerin; der Streitwert wurde auf 10.000 Euro festgesetzt.

Begründungs-Kernpunkte: Erstens ist die Urteilsbesprechung ein Sprachwerk nach § 2 Abs. 1 Nr. 1 UrhG, weil sie sich nicht in der Wiedergabe der Gründe erschöpft, sondern diese in eigener Sprache aufarbeitet, wertend einordnet und mit einer weiteren Entscheidung vergleicht — ein Vergleich, der „inhaltlich weder durch das eine noch durch das andere Urteil vorgegeben“ ist. Auch bei sachbezogenen Gebrauchstexten ist die „kleine Münze“ schutzfähig. Zweitens wendet die Kammer den neuen Maßstab an, den der EuGH am 04.12.2025 in „Mio und konektra“ (C-580/23) vorgegeben und der BGH am 02.07.2026 in „USM Haller II“ (I ZR 96/22) übernommen hat: Maßgeblich ist nicht mehr der Vergleich des Gesamteindrucks, sondern ob konkret identifizierbare kreative Elemente des älteren Werks im angegriffenen Gegenstand wiedererkennbar sind. Die Kammer überträgt diese für Gegenstände der angewandten Kunst entwickelten Grundsätze ausdrücklich auf Gebrauchstexte. Drittens benennt sie die geschützten Elemente konkret: eine eigenständige Verdichtung, die einen über eine Druckseite laufenden Gedankengang des Gerichts in einen Satz zusammenzieht und nahezu wortgleich übernommen wurde; die selbst geschaffene Metapher der „drei Säulen“, deren Persönlichkeitsbezug darin liege, „dass es ihm gelingt, einen komplexen juristischen Begründungszusammenhang durch ein anschauliches, treffendes Bild sowohl einem Fach- wie einem Laien-Publikum verständlich zu machen“ — wiedererkennbar auch dort, wo sie an anderer Stelle und leicht abgewandelt eingesetzt wird; sowie wertende Wendungen und sprachliche Eigenarten. Viertens rechtfertigt der bloße Hinweis auf eine zuvor erschienene Berichterstattung die Übernahme geschützter Passagen weder nach dem Zitatrecht noch als Quellenangabe, wenn die Passagen nicht als Zitate gekennzeichnet und nicht als Beleg für eine eigene Auseinandersetzung verwendet werden. Fünftens erstreckt sich das Verbot auf den gesamten Artikel, weil die konkrete Verletzungsform angegriffen wurde — mit der ausdrücklichen Grenze, dass der Verletzer frei bleibt, „über denselben Gegenstand unter Vermeidung der übernommenen schöpferischen Elemente erneut zu berichten“.

Praxisfolgen: Für jede Organisation, die fremde Inhalte als Grundlage eigener Texte verwendet — Unternehmensblog, Newsletter, Schulungsunterlage, Social-Media-Redaktion —, verschiebt die Entscheidung die Grenze zulasten des Übernehmenden. Nach dem alten Maßstab ließ sich argumentieren, der eigene Text wirke insgesamt anders; nach dem neuen genügt es, dass die übernommenen kreativen Elemente wiederzuerkennen sind. Umformulieren hilft nur, wenn dabei das kreative Element selbst verschwindet, nicht bloß seine Wortoberfläche. Drei Konsequenzen für die Praxis: Wer über eine Meldung eines anderen Mediums berichtet, geht zurück an die Primärquelle und baut die Zusammenfassung daraus selbst. Wer fremde Passagen übernimmt, kennzeichnet sie als Zitat und braucht einen Zitatzweck, also eine eigene Auseinandersetzung mit dem Zitierten — ein Quellenhinweis leistet das nicht. Und wer eigene Aufbereitungen geschützt sehen will, dokumentiert, was daran über die Quelle hinausgeht; die nummerierte Übernahmesynopse war für den Erfolg des Antrags sichtbar hilfreich. Als einstweilige Verfügung eines Landgerichts ist die Entscheidung nicht rechtskräftig gefestigt — die dogmatische Grundlage aus EuGH und BGH steht davon unabhängig fest. Die vollständige Aufbereitung mit Leitsätzen und Volltext-Verweis steht in der Urteilsbibliothek unter ur-648.

5.1 ANPD Brasilien: 153,7 Millionen Real gegen ByteDance wegen der Verarbeitung von Kinderdaten

25.08.2026 · ANPD · Migalhas

Behörde: Agência Nacional de Proteção de Dados (ANPD), Brasilien · Adressat: ByteDance als Betreiberin von TikTok · Höhe: 153,7 Millionen Real

Verstoß / Rechtsgrundlage: Fünf Verstöße gegen die brasilianische Datenschutzverordnung LGPD, konkret gegen Art. 6 Nr. VIII und X sowie Art. 7 — Verarbeitung von Daten Kinder und Jugendlicher ohne gültige Rechtsgrundlage und ohne hinreichende Sicherheitsmaßnahmen. Die Verstöße betreffen sowohl den Zugriff ohne Konto („feed sem cadastro“) als auch den Zugriff mit Konto. Neben der Geldbuße ordnete die Behörde die Löschung der unrechtmäßig erhobenen Daten an. Die Sanktion wurde am Dienstag, dem 25. August, im brasilianischen Amtsblatt veröffentlicht.

Begründung: Ausschlaggebend war eine Zahl aus dem Unternehmen selbst: Zwischen Oktober 2022 und September 2023 sperrte TikTok in Brasilien 7,75 Millionen Konten von Kindern unter 13 Jahren. Für die Behörde belegt das, dass eine sehr große Zahl Minderjähriger die anfänglichen Schutzbarrieren umgehen konnte — und dass das Vorgehen der Plattform rein reaktiv war. Als Kernmangel benennt die ANPD, dass sich die Altersprüfung ausschließlich auf die Selbstauskunft der Nutzerinnen und Nutzer stützt, eine Methode, die sich mit einem Fingertipp manipulieren lässt. Für den Zugriff ohne Konto beanstandete die Behörde zusätzlich das Fehlen wirksamer Sicherheitsmaßnahmen, für den Zugriff mit Konto das Fehlen wirksamer Vorkehrungen gegen die Registrierung Minderjähriger.

Praxisfolgen: Das Unternehmen muss ein Konformitätsprogramm umsetzen; bereits zugesagt sind die vollständige Aussetzung von Werbung, die Deaktivierung von Live-Übertragungen und Direktnachrichten im Zugriff ohne Konto sowie eine Begrenzung dieser Nutzung auf zwölf Stunden ohne Veröffentlichungs-, Kommentar-, Folge- und Nachrichtenfunktion. ByteDance wurde am 24. August zugestellt und hat zehn Werktage für einen Widerspruch beim Direktorium der ANPD. Für europäische Verantwortliche liegt der übertragbare Kern in der Beweisführung: Die Behörde nutzt die eigenen Sperrzahlen des Unternehmens als Beleg gegen die Wirksamkeit seiner Schutzmaßnahmen. Wer Altersgrenzen mit Selbstauskunft absichert und zugleich Statistiken über nachträgliche Sperrungen führt, dokumentiert damit ungewollt das Versagen der eigenen Maßnahme. Unter Art. 8 DSGVO und Art. 25 DSGVO gilt derselbe Maßstab — eine Schutzmaßnahme, deren Umgehung das Unternehmen selbst millionenfach nachweist, ist keine geeignete technische und organisatorische Maßnahme. Die Entscheidung folgt wenige Tage auf die vorsorgliche Untersagung der Live-Übertragungen von Discord in Brasilien am 12. August, ebenfalls wegen Mängeln beim Schutz von Kindern und Jugendlichen.

6.1 Norwegen: Überlastungsangriff legt Behörden-Anmeldedienste über 30 Stunden lahm

25.08.2026 · heise online

Zusammenfassung: Ein Überlastungsangriff traf ab Montag, dem 25. August, um 3:38 Uhr die norwegische Digitalisierungsbehörde Digitaliseringsdirektoratet, kurz Digdir. Die Behörde betreibt zentrale Bausteine der digitalen Verwaltung: das Anmeldesystem für öffentliche Dienste, die elektronische Identitätsprüfung, den Zugriff auf amtliche Dokumente und den Datenaustausch zwischen Behörden. Der Angriff dauerte über 30 Stunden; erst am Dienstagmittag stabilisierten sich die Systeme, einzelne Störungen hielten an. Betroffene berichteten von Verbindungsabbrüchen und langsamen Serverantworten. Eine Sprecherin der Behörde erklärte, der Angriff sei „zwei- bis dreifach größer als der vorherige“, man habe die Systeme aber weitgehend am Laufen halten können. Hinweise auf einen Datenabfluss oder eine Kompromittierung personenbezogener Daten gibt es nicht.

Hintergrund & Einordnung: Es ist der dritte Angriff dieser Art binnen weniger Monate — vorherige Vorfälle gab es im Juni und am 3. August. Norwegische Medien spekulieren über eine russische Beteiligung; ein Sicherheitsprofessor verwies darauf, dass der Umfang des Angriffs „auf erhebliche Ressourcen schließen“ lasse, hielt aber auch eine Erpressung im Ransomware-Umfeld für denkbar. Eine offizielle Zuschreibung gibt es nicht. Bemerkenswert an dem Fall ist weniger die Technik — Überlastungsangriffe sind seit Jahrzehnten bekannt — als das Ziel. Wo die Anmeldung an einer zentralen Stelle gebündelt ist, entsteht ein Engpass, dessen Ausfall sämtliche daran angebundenen Dienste unbenutzbar macht, obwohl diese selbst unversehrt sind. Der Angreifer muss also weder in ein System eindringen noch Daten stehlen, um eine Verwaltung praktisch stillzulegen.

Praxisfolgen / Handlungsempfehlung: Wer zentrale Anmeldedienste betreibt oder von ihnen abhängt, sollte drei Fragen beantworten können. Erstens: Gibt es einen alternativen Zugangsweg für kritische Vorgänge, wenn der zentrale Dienst ausfällt — und ist dieser Weg geübt, oder steht er nur auf dem Papier? Zweitens: Wie lange hält der Betrieb ohne diesen Dienst durch, und welche Fristen laufen in dieser Zeit weiter? Drittens: Welche Kommunikationswege stehen bereit, um Betroffene zu informieren, wenn der übliche Weg über das Portal führt, das gerade nicht erreichbar ist? Für deutsche Verwaltungen mit vergleichbaren zentralen Diensten ist der Fall eine Übungsvorlage. Ergänzend sollten sich Organisationen darauf einstellen, dass Betrüger die Störung ausnutzen: In genau solchen Lagen erscheinen Nachrichten, die eine „erneute Anmeldung“ oder eine „Bestätigung Ihrer Daten“ über einen mitgelieferten Link verlangen.