1. Cyberangriff auf das Berliner Landesnetz — Angriff lief mindestens eine Woche unentdeckt

Seit Montag, 17. August 2026 · zuletzt aktualisiert Freitag, 28. August 2026 · Score 82

Der am 14. August entdeckte Angriff auf zwei Senatsverwaltungen hat eine längere Vorgeschichte als bislang angenommen.

Letzte Entwicklung: Nach dem aktuellen Ermittlungsstand begann der Einbruch mindestens eine Woche vor der Entdeckung; zwischen dem 7. und dem 12. August sind Daten abgeflossen. Das ist die zweite Korrektur binnen zweier Tage — am Mittwoch hatte der Senat bereits eingeräumt, dass personenbezogene Daten nicht auszuschließen sind. Umfang und Motivation bleiben offen, Landeskriminalamt und Staatsanwaltschaft ermitteln.

2. Backup- und Wiederherstellungsinfrastruktur als eigenständiges Angriffsziel

Seit Mittwoch, 26. August 2026 · zuletzt aktualisiert Freitag, 28. August 2026 · Score 71

Innerhalb von drei Tagen sind zwei zentrale Produkte der Datensicherung mit gravierenden Lücken aufgefallen: Dell PowerProtect Cyber Recovery mit rund 550 Schwachstellen in Drittkomponenten, davon drei mit CVSS 10, und Veeam ONE mit einer unauthentifizierten Lücke im Bereich CVSS 9,3.

Letzte Entwicklung: Bei Veeam ONE lässt sich über CVE-2026-65641 der Net-NTLM-Hash des Dienstkontos erzwingen. Beide Fälle betreffen Systeme, die im Ernstfall die letzte Verteidigungslinie bilden sollen — und die in vielen Umgebungen mit privilegierten Domänenkonten laufen. Als Muster ist das neu genug, um es getrennt zu beobachten.

3. Uber: 824,99 Millionen Euro für vollautomatisierte Fahrersperren

Seit Freitag, 21. August 2026 · zuletzt aktualisiert Donnerstag, 27. August 2026 · Score 68

Das zweithöchste DSGVO-Bußgeld aller Zeiten, verhängt von der niederländischen Aufsicht wegen Verstößen gegen Art. 22 sowie die Informationspflichten der Art. 13 und 14 DSGVO.

Letzte Entwicklung: Keine neuen Erkenntnisse seit dem 27. August. Die französische CNIL, bei der die auslösende Beschwerde einging, führt den Fall inzwischen ebenfalls in ihrer Sanktionsübersicht — ein sichtbares Beispiel dafür, wie der One-Stop-Shop-Mechanismus ein Verfahren zwischen zwei Mitgliedstaaten verteilt.

1.1 IServ-Schwester Virality: Fehlkonfiguration öffnete gemeinsam genutzte Schul-Cloud

27.08.2026 · heise online

Zusammenfassung: Bei der Virality GmbH, die als Auftragsverarbeiterin für die Schulplattform IServ mehrere Module betreibt, ermöglichte die Fehlkonfiguration eines Authentifizierungsdienstes unautorisierten Zugriff auf Serverdienste. Betroffen sind die auf gemeinsamer Cloud-Infrastruktur betriebenen Module Abwesenheiten, Ganztag, Klassenbuch, Listen, Pinnwände, Stundenplanung sowie Stunden- und Vertretungsplan. Der erste unbefugte Zugriff erfolgte am 3. August 2026; IServ wurde am 10. August informiert, schaltete die Infrastruktur noch am selben Tag ab und stellte sie am 11. August wieder her. Nach Auswertung der Protokolle sieht IServ „keine Hinweise auf einen unberechtigten Zugriff auf oder einen Abfluss von Benutzerdaten“ — theoretisch sei das möglich gewesen, nach der Analyse aber unwahrscheinlich. Vermutet wird ein Missbrauch der Rechenressourcen, möglicherweise für Kryptowährungsschürfung. Die Schulträger wurden informiert.

Hintergrund & Einordnung: Der Fall ist weniger wegen des vermuteten Motivs interessant als wegen der Struktur. Schulplattformen verarbeiten Daten von Minderjährigen — Anwesenheiten, Klassenbucheinträge, Förderhinweise —, und sie tun das über eine Kette: Schulträger als Verantwortlicher, IServ als Auftragsverarbeiter, Virality als Unterauftragsverarbeiter, alles auf gemeinsam genutzter Infrastruktur. Genau diese Bündelung macht eine einzelne Fehlkonfiguration mandantenübergreifend wirksam. Bemerkenswert ist außerdem die Zeitachse: Zwischen dem ersten Zugriff am 3. August und der Kenntnis des Auftragsverarbeiters am 10. August lag eine Woche. Die 72-Stunden-Frist des Art. 33 DSGVO läuft für den Verantwortlichen ab dessen Kenntnis — die Kette funktioniert also nur, wenn die Meldung nach unten schnell durchläuft. Die Formulierung „keine Hinweise auf“ ist dabei sauber gewählt und unterscheidet sich wohltuend von der Berliner „es sind keine Daten abgeflossen“-Entwarnung, die diese Woche zweimal korrigiert werden musste.

Praxisfolgen / Handlungsempfehlung: Für Schulträger und Verantwortliche in vergleichbaren Konstellationen ergeben sich vier konkrete Prüfpunkte. Erstens der Vertrag: Enthält die Auftragsverarbeitungsvereinbarung eine Meldefrist gegenüber dem Verantwortlichen, die es erlaubt, die eigene 72-Stunden-Frist einzuhalten — üblich und sinnvoll sind 24 Stunden ab Kenntnis. Zweitens die Kette: Sind alle Unterauftragsverarbeiter benannt und genehmigt, und wissen Sie, welche Module bei wem laufen? Drittens die Mandantentrennung: Lassen Sie sich beschreiben, ob Mandanten technisch getrennt sind oder ob eine gemeinsame Authentifizierungsschicht alle gleichzeitig betrifft. Viertens die eigene Dokumentation: Auch wenn kein Datenabfluss festgestellt wird, gehört der Vorfall in die interne Dokumentation nach Art. 33 Abs. 5 DSGVO — dokumentiert werden Sachverhalt, Auswirkungen und ergriffene Abhilfemaßnahmen, unabhängig davon, ob gemeldet wurde.

1.2 Android 17: verschlüsselte Servernamen, Berechtigungspflicht fürs Heimnetz, verpflichtende Certificate Transparency

28.08.2026 · heise online

Zusammenfassung: Google hat für Android 17 ein Bündel von Änderungen an der Netzwerksicherheit angekündigt. Erstens unterstützt das System Encrypted Client Hello, entwickelt gemeinsam mit Googles Inkubator Jigsaw. ECH verschlüsselt den Servernamen beim Verbindungsaufbau; für Seiten ohne ECH-Unterstützung sendet das System „gefälschte, zufällig erzeugte ECH-Erweiterungen“, sodass alle Verbindungsanfragen gleich aussehen und sich ECH-Nutzung nicht am Verkehrsmuster erkennen lässt. Entwickler moderner Netzwerkbibliotheken sollen auf OkHttp 5.5.0 aktualisieren und ECH aktivieren. Zweitens führt Android eine Local Network Protection ein: Apps müssen künftig um Erlaubnis fragen, bevor sie das lokale Netz durchsuchen oder sich mit Geräten im Haushalt verbinden dürfen — bislang konnten sie ungefragt Fernseher, Kameras und ähnliche Geräte identifizieren und daraus Haushaltsprofile ableiten. Drittens wird Certificate Transparency verpflichtend: Zertifikate von Apps und Webseiten müssen in öffentlichen Logs registriert sein. Viertens können Netzbetreiber 2G-Konnektivität über eine „Zero-Click-Lösung“ als Voreinstellung deaktivieren.

Hintergrund & Einordnung: Die vier Punkte adressieren vier verschiedene Beobachterpositionen, und das macht das Paket bemerkenswert. ECH schließt eine Lücke, die trotz durchgängiger Transportverschlüsselung offen blieb: Wer den Datenverkehr sieht, konnte am unverschlüsselten Servernamen ablesen, welche Seiten aufgerufen werden — für Netzbetreiber, Netzwerkbetreiber und staatliche Stellen gleichermaßen. Die Dummy-Erweiterungen sind dabei der wichtigere Teil der Konstruktion, weil Verschlüsselung, die nur eine Minderheit nutzt, selbst zum Erkennungsmerkmal wird. Die Local Network Protection adressiert einen Datenabfluss, der bislang kaum wahrgenommen wurde: Die Liste der Geräte im Haushalt ist ein aussagekräftiges Profil — Anzahl der Bewohner, technische Ausstattung, Konsumverhalten —, und sie war bisher ohne Berechtigung abrufbar. Die verpflichtende Certificate Transparency erschwert das Mitlesen über gefälschte Zertifikate. Die 2G-Abschaltung schließlich ist die Gegenmaßnahme zu einer Angriffstechnik, die in Kapitel 6 dieses Briefings gesondert behandelt wird. Die deutschen Netzbetreiber O2, Vodafone und Telekom planen die vollständige 2G-Abschaltung bis 2028.

Praxisfolgen / Handlungsempfehlung: Für Entwickler ist der Handlungsauftrag konkret: Netzwerkbibliotheken aktualisieren, OkHttp auf 5.5.0 heben und ECH aktivieren; wer auf lokale Netzwerkzugriffe angewiesen ist, muss die neue Berechtigung sauber begründen oder besser auf die vorhandenen Systemdialoge umstellen, mit denen Nutzer gezielt ein Gerät auswählen. Für Administratoren ergibt sich eine unbequeme Nebenwirkung, die man besser vorher bedenkt: ECH entzieht netzbasierten Filter- und Protokollierungslösungen die Information, auf die sie sich stützen. Wer heute anhand des Servernamens im Verbindungsaufbau filtert oder protokolliert, sollte prüfen, ob und wie das künftig noch funktioniert — und ob die Antwort darauf eine Aufbrechung der Verschlüsselung sein soll, was datenschutzrechtlich eigene Fragen aufwirft. Für Datenschutzbeauftragte lohnt der Blick auf die Local Network Protection als Argument in App-Freigabeprozessen: Eine App, die ohne erkennbaren Zweck Zugriff auf das lokale Netz verlangt, ist damit erstmals sichtbar und begründungspflichtig.

1.3 Berlin: Angriff begann mindestens eine Woche vor der Entdeckung, Datenabfluss vom 7. bis 12. August

27.08.2026 · heise online

Zusammenfassung: Der Cyberangriff auf zwei Berliner Senatsverwaltungen wurde am 14. August 2026 entdeckt, begann nach dem aktuellen Ermittlungsstand jedoch „mindestens eine Woche vor der Entdeckung des Vorgangs“, wie eine Senatssprecherin mitteilte. Inzwischen habe sich gezeigt, dass vom 7. bis zum 12. August Daten abgeflossen seien; das genaue Anfangsdatum des Einbruchs ist weiterhin unklar. Betroffen sind die Senatsverwaltungen für Mobilität und Verkehr sowie für Stadtentwicklung, Bauen und Wohnen, die bis zum vergangenen Sonntag vom Landesnetz getrennt waren. Umfang der entwendeten Daten und Motivation der Angreifer sind unbestimmt. Landeskriminalamt und Staatsanwaltschaft ermitteln, die forensische Analyse zur Bestimmung des genauen Eindringzeitpunkts läuft.

Hintergrund & Einordnung: Das ist die zweite Korrektur innerhalb von zwei Tagen. Zunächst hieß es, es seien nur frei verfügbare Geodaten abgeflossen; am Mittwoch räumte der Senat ein, personenbezogene Daten seien nicht auszuschließen; nun steht fest, dass über sechs Tage hinweg Daten abflossen und der Zugriff länger bestand als angenommen. Diese Abfolge ist typisch und lehrreich zugleich. Frühe Aussagen zum Umfang eines Vorfalls stützen sich auf eine Forensik, die gerade erst begonnen hat; sie halten der weiteren Auswertung fast nie stand. Die eigentliche Erkenntnis liegt aber in der Verweildauer: Eine Woche unentdeckter Zugriff auf ein Landesnetz mit rund 600 Standorten bedeutet, dass die Erkennung nicht am Einbruch ansetzte, sondern erst an dessen Folgen. Für die datenschutzrechtliche Bewertung verschiebt sich mit dem bestätigten Abflusszeitraum auch die Bemessungsgrundlage: Sechs Tage Exfiltration erlauben deutlich größere Datenmengen als ein punktueller Zugriff.

Praxisfolgen / Handlungsempfehlung: Für die eigene Vorfallskommunikation lässt sich aus der Berliner Abfolge eine belastbare Regel ableiten: Berichten Sie über den Stand der Untersuchung, nicht über deren vermutetes Ergebnis. Formulierungen wie „nach dem derzeitigen Stand der Auswertung liegen keine Hinweise auf X vor; die Untersuchung dauert an“ halten jeder Korrektur stand, „es sind keine sensiblen Daten abgeflossen“ tut das nicht. Technisch lohnt der Blick auf die Erkennungslücke: Prüfen Sie, wie lange Ihre Protokolle vorgehalten werden — wer nur 30 Tage speichert, kann eine Verweildauer von mehreren Wochen forensisch gar nicht mehr rekonstruieren — und ob ausgehende Datenmengen überwacht werden. Eine über Tage laufende Exfiltration hinterlässt in der Regel ein auffälliges Volumenmuster, wenn jemand darauf schaut. Und für Betroffene in Berlin gilt weiterhin: Rechnen Sie mit Nachrichten, die sich auf den Vorfall beziehen und zur „Bestätigung Ihrer Daten“ auffordern.

2.1 Veeam ONE: unauthentifizierte SMB-Coercion legt den Hash des Dienstkontos offen

27.08.2026 · heise online · Veeam KB4905

Zusammenfassung: Veeam hat eine kritische Schwachstelle in Veeam ONE geschlossen. CVE-2026-65641 erreicht einen CVSS-4.0-Wert von 9,3 und erlaubt einem nicht authentifizierten Angreifer mit Netzwerkzugriff, eine SMB-Authentifizierung durch das Konto zu erzwingen, unter dem der betroffene Dienst läuft. Der Server verbindet sich dabei mit einem vom Angreifer kontrollierten System, das den Net-NTLM-Anmelde-Hash des Veeam-ONE-Dienstkontos mitschneidet. Betroffen sind Veeam ONE 13.1.0.7034 und alle früheren Version-13-Builds; die 12er-Reihe ist nach Herstellerangaben nicht betroffen. Behoben ist das Problem in Veeam ONE 13.1 Patch 0 (Build 13.1.0.7233) sowie Veeam ONE 13.0.2 Patch 1 (Build 13.0.2.7159). Dokumentiert ist die Lücke im Knowledge-Base-Artikel KB4905 vom 25. August 2026; gemeldet wurde sie über HackerOne.

Hintergrund & Einordnung: Der Angriff selbst verschafft noch keinen Zugang — der abgefangene Hash muss erst verwertet werden. Genau da liegt aber die Gefahr: Er lässt sich offline gegen Passwortlisten prüfen oder unmittelbar an einen anderen Dienst weiterreichen (Relay), um dort mit den Rechten des Dienstkontos zu handeln. Wie schwer das wiegt, hängt vollständig davon ab, unter welchem Konto Veeam ONE läuft. In vielen Umgebungen ist das ein privilegiertes Domänenkonto oder ein Konto mit Zugriff auf die Backup-Infrastruktur — dann führt der Weg vom Netzwerkzugriff ohne jede Anmeldung direkt in die Sicherungsumgebung. Wichtig ist ein Detail, das leicht untergeht: Diese Lücke ist von der kurz zuvor gepatchten CVE-2026-64633 (Remote Code Execution, CVSS 10,0, behoben in Build 13.1.0.7034) zu unterscheiden. Wer wegen jener Lücke auf 13.1.0.7034 aktualisiert hat und die Sache für erledigt hielt, ist von CVE-2026-65641 weiterhin betroffen. Im Zusammenhang mit den rund 550 Schwachstellen, die Dell zwei Tage zuvor in PowerProtect Cyber Recovery geschlossen hat, ergibt sich ein Muster, das eigene Aufmerksamkeit verdient — die Systeme, die den Ernstfall abfedern sollen, sind selbst exponiert.

Praxisfolgen / Handlungsempfehlung: Auf Build 13.1.0.7233 oder 13.0.2.7159 aktualisieren, nicht nur auf 13.1.0.7034. Anschließend die Kontenfrage klären: Unter welchem Konto läuft der Dienst, welche Gruppenmitgliedschaften hat es, und braucht es die wirklich? Ein Dienstkonto ohne Domänenadministrator-Rechte macht aus einem abgefangenen Hash ein deutlich kleineres Problem. Unabhängig vom konkreten Produkt lohnt es, den Relay-Schutz zu härten, weil dieselbe Technik bei jeder vergleichbaren Coercion-Lücke greift: SMB-Signing erzwingen, Extended Protection for Authentication aktivieren, ausgehende SMB-Verbindungen aus Serversegmenten ins Internet unterbinden und die Verwaltungsoberflächen der Backup-Systeme aus dem allgemeinen Client-Netz herausnehmen. Wer prüfen will, ob bereits etwas passiert ist, sucht in den Netzwerkprotokollen nach ausgehenden SMB-Verbindungen des Veeam-ONE-Servers zu unbekannten Zielen.

2.2 TeamViewer: Pfad-Traversal in der Dateiübertragung erlaubt Schreiben außerhalb der Zielverzeichnisse

26.08.2026 · heise online · TeamViewer TV-2026-1008

Zusammenfassung: TeamViewer hat die als hoch eingestufte Schwachstelle CVE-2026-16444 geschlossen. Sie erlaubt einem authentifizierten Teilnehmer einer Fernwartungssitzung, Dateien an nicht vorgesehene Orte zu schreiben und dort potenziell Code mit Benutzerrechten auszuführen. Ursache ist eine unzureichende Prüfung von Dateipfaden in den Desktop-Clients: Dateinamen eines entfernten Peers werden vor dem Anlegen der Datei nicht ausreichend bereinigt, sodass sich Path-Traversal-Sequenzen über die Dateiübertragung oder die virtuelle Datei-Zwischenablage einschleusen lassen. Betroffen sind TeamViewer Remote, TeamViewer Tensor und TeamViewer ONE mit verwundbaren Desktop-Client-Komponenten. Alle Clients, Hosts und QuickSupport-Installationen sollten auf Version 15.81.5 oder neuer aktualisiert werden. Dokumentiert ist die Lücke im Security Bulletin TV-2026-1008 vom 26. August 2026; gemeldet wurde sie über das Bug-Bounty-Programm. Hinweise auf eine Ausnutzung in freier Wildbahn liegen dem Hersteller nicht vor.

Hintergrund & Einordnung: Die Voraussetzung — ein authentifizierter Sitzungsteilnehmer — klingt nach einer starken Einschränkung und ist es in der klassischen Nutzung auch. Sie ist es nicht in der Konstellation, in der Fernwartungssoftware am häufigsten missbraucht wird: beim Support-Betrug. Dort ruft ein angeblicher Techniker an, bringt das Opfer dazu, eine Sitzung zuzulassen, und ist damit legitimer Sitzungsteilnehmer. Bislang war der Angreifer in dieser Rolle auf das beschränkt, was der Nutzer sieht — er konnte den Bildschirm bedienen, aber nichts unbemerkt platzieren. Mit einer Pfad-Traversal-Lücke in der Dateiübertragung ändert sich das: Eine Datei kann außerhalb des sichtbaren Zielordners landen, etwa in einem Autostart-Pfad, und dort Persistenz herstellen. Die vom Hersteller genannten Folgen — Persistenz, Datenzerstörung, rechteabhängige Codeausführung — beschreiben genau diesen Übergang von der beobachtbaren zur unbeobachtbaren Handlung. TeamViewer hatte im Februar bereits eine Lücke geschlossen, über die sich die Bestätigungsabfrage „Zugriff nach Bestätigung“ umgehen ließ (CVE-2026-23572).

Praxisfolgen / Handlungsempfehlung: Auf 15.81.5 oder neuer aktualisieren — und zwar auch die QuickSupport-Module, die häufig als unveränderliche Downloads auf Support-Seiten liegen und beim Update vergessen werden. Danach vier Maßnahmen, die der Hersteller selbst empfiehlt und die über den konkreten Fall hinaus tragen: Sitzungsprotokolle auf ungewöhnliche Dateiübertragungen prüfen; die Dateiübertragung dort deaktivieren, wo sie für den Anwendungsfall nicht gebraucht wird — bei reinem Bildschirm-Support ist das meist der Fall; Mehr-Faktor-Authentifizierung für alle Konten erzwingen; und Endpunkte auf unerwartete Dateien in Autostart-, Anwendungs- und Systempfaden überwachen. Für Organisationen, die Fernwartung nach außen anbieten, kommt ein fünfter Punkt hinzu: Klären Sie in der Anwenderkommunikation, dass Ihre Support-Mitarbeitenden niemals unaufgefordert anrufen — das ist gegen Support-Betrug wirksamer als jede technische Maßnahme.

3.1 PaperCut NG/MF wird aktiv angegriffen — Notfall-Update ohne CVE-Kennung

28.08.2026 · heise online

Zusammenfassung: Eine kritische Sicherheitslücke in der Druckmanagement-Software PaperCut NG/MF wird aktiv ausgenutzt; der Hersteller hat ein Notfall-Sicherheitsupdate veröffentlicht. Gepatcht sind die Versionen 25 und 26 für Linux, macOS und Windows, Updates für Version 24 sollen folgen. Bislang nicht öffentlich sind die CVE-Kennung, der CVSS-Wert, die genaue Art der Schwachstelle und die Fähigkeiten, die Angreifer nach erfolgreicher Ausnutzung erlangen. Der Hersteller nennt jedoch Erkennungsmerkmale: Log-Einträge mit ERROR No suitable driver found for jdbc:no:x sowie ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST deuten auf eine Kompromittierung hin, ebenso fehlende Protokolldateien. Ausdrücklich warnt PaperCut, dass ein System auch dann kompromittiert sein kann, wenn keines dieser Merkmale vorliegt.

Hintergrund & Einordnung: Die Fehlermeldungen sind aufschlussreicher als die spärlichen offiziellen Angaben. Ein „no suitable driver found for jdbc:no:x“ deutet auf einen Versuch hin, eine JDBC-Verbindungszeichenfolge zu manipulieren; die zweite Meldung mit VALUES CAST im Zusammenhang mit einer Kartennummern-Abfrage weist in Richtung einer Einschleusung über ein Datenbankfeld. Zusammengenommen ergibt das ein Bild, das zu den historischen Angriffen auf diese Software passt. PaperCut war bereits 2023 Ziel einer breiten Ausnutzungswelle, an der auch Ransomware-Gruppen beteiligt waren — der Grund liegt in der Rolle der Software: Ein Druckserver steht typischerweise mitten im internen Netz, kennt Nutzerkonten aus dem Verzeichnisdienst, hat Datenbankzugriff und wird selten als kritisches System behandelt. Dass in diesem Fall die Kennung noch fehlt, ist keine Entwarnung, sondern das Gegenteil: Der Hersteller hat gepatcht, bevor der übliche Veröffentlichungsprozess durchlaufen war.

Praxisfolgen / Handlungsempfehlung: Das Notfall-Update sofort einspielen — bei Version 24 fehlt es noch, dort greifen bis dahin nur die kompensierenden Maßnahmen. Aus dem Internet erreichbare Instanzen gehören per Firewall auf bekannte Geräte beschränkt; ein Druckmanagement-Server hat in aller Regel keinen Grund, öffentlich erreichbar zu sein. Zur Erkennung: Durchsuchen Sie die Protokolle des Anwendungsservers nach den beiden genannten Zeichenketten und prüfen Sie zugleich, ob Protokolldateien fehlen oder Lücken aufweisen — gelöschte Logs sind hier selbst ein Indikator und werden bei der Suche nach den Fehlermeldungen leicht übersehen. Beobachten Sie außerdem den Prozess pc-app.exe auf ungewöhnliches Verhalten. Weil der Hersteller eine Kompromittierung auch ohne diese Merkmale für möglich hält, ist bei exponierten Instanzen eine gründlichere Prüfung angebracht: neu angelegte Konten, geänderte Skript- oder Anbindungskonfigurationen, ausgehende Verbindungen zu unbekannten Zielen.

3.2 Exchange CVE-2026-62911: Proof-of-Concept veröffentlicht, Angriffe wahrscheinlich

27.08.2026 · heise online · Microsoft Exchange Team

Zusammenfassung: Für die Exchange-Schwachstelle CVE-2026-62911 hat der Melder Proof-of-Concept-Code veröffentlicht. Microsoft beschreibt die Lücke als Rechteausweitung und stuft sie abweichend von der CVSS-Klassifizierung (8,0) selbst als kritisch ein. Es handelt sich um eine Replay-Attacke, mit der autorisierte Angreifer ihre Rechte über das Netz ausweiten und die Authentifizierung umgehen können; ein erfolgreicher Angreifer könnte die Postfächer aller Exchange-Nutzer übernehmen, E-Mails lesen und senden sowie Anhänge herunterladen. Der auf GitHub von Hiep Van Nguyen veröffentlichte PoC demonstriert den Missbrauch; der Fehler war Teil einer Kette aus drei Schwachstellen, mit der Orange Tsai von Devcore bei der Pwn2Own-Veranstaltung in Berlin Exchange-Systeme vollständig übernahm. Die Korrekturen stammen aus dem Exchange-Security-Release vom 11. August und betreffen Exchange Server Subscription Edition, Exchange Server 2019 und Exchange Server 2016.

Hintergrund & Einordnung: Die Zero Day Initiative hatte bereits vorab gewarnt, Microsofts Bewertungen zur Ausnutzbarkeit und zur Reife des Exploit-Codes seien in diesem Fall zu ignorieren — man habe funktionierende Exploits übergeben, die Bedrohung sei real. Mit der Veröffentlichung des PoC ist die letzte Hürde gefallen: Kriminelle Gruppen adaptieren solchen Code erfahrungsgemäß binnen Tagen in ihre Werkzeuge. Für Deutschland ist die Lage besonders ungünstig. Das BSI zählte zuletzt im Oktober über 30.000 veraltete Exchange-Server, die aus dem Internet erreichbar sind — Systeme also, die selbst reguläre Sicherheitsupdates nicht mehr erhalten. Hinzu kommt ein Verteilungsproblem: Für die meisten On-Premises-Installationen wird der Fix nicht über Windows Update ausgeliefert. Administratoren benötigen das passende Exchange-Security-Update-Paket und müssen den resultierenden Build anschließend überprüfen. Wer sich auf die automatische Aktualisierung verlässt, hält ein ungepatchtes System für gepatcht.

Praxisfolgen / Handlungsempfehlung: Verifizieren Sie den Security-Update-Build jedes Exchange-Servers explizit gegen das Release vom 11. August; die bloße Annahme, Windows Update habe das erledigt, trägt hier nicht. Exchange-Online-Kunden sind serverseitig geschützt, müssen aber verbliebene lokale Exchange-Server sowie Arbeitsplätze mit installierten Management-Tools nachziehen — die werden regelmäßig übersehen. Wo ein Server nicht zeitnah aktualisiert werden kann, gehört der Zugriff aus dem Internet eingeschränkt, etwa über einen vorgeschalteten Reverse-Proxy mit Authentifizierung oder eine Beschränkung auf VPN. Angesichts des öffentlichen PoC ist zusätzlich eine rückblickende Prüfung angezeigt: Suchen Sie in den Protokollen nach ungewöhnlichen Authentifizierungsmustern und nach Postfachzugriffen durch Konten, die dafür keinen Anlass haben. Und wer noch Exchange-Server betreibt, deren Version keine Updates mehr erhält, sollte den Migrations- oder Abschaltplan aus der Schublade holen — die 30.000er-Zahl des BSI beschreibt genau diese Systeme.

4.1 VG Berlin: Auskunft über Kinderdaten braucht bei getrennt lebenden Eltern das Einvernehmen beider

VG Berlin · 30.06.2026 · 42 K 41/25 · CSA-Aufbereitung · Volltext

Sachverhalt: Ein Vater, der gemeinsam mit der Kindesmutter das Sorgerecht hat und von ihr getrennt lebt, verlangte 2023 von der Kindertagesstätte seines Sohnes Auskunft nach Art. 15 DSGVO — konkret die Übersendung der den Sohn betreffenden Entwicklungsdokumentationen. Die Kita-Leitung lehnte ab, weil die Zustimmung der Mutter fehle. Der Vater beschwerte sich am 4. Oktober 2023 bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit. Diese teilte ihm nach Einholung einer Stellungnahme des Trägers am 2. Januar 2025 mit, ein Verstoß gegen die DSGVO sei nicht zweifelsfrei feststellbar; ob dem Vater das Sorgerecht in Angelegenheiten der Kindertageseinrichtung zustehe, sei eine familienrechtliche Frage und familiengerichtlich zu klären. Dagegen erhob er Klage mit dem Ziel, die Behörde zur erneuten Entscheidung über seine Beschwerde zu verpflichten.

Entscheidung: Die 42. Kammer wies die Klage am 30. Juni 2026 durch den Berichterstatter als Einzelrichter und ohne mündliche Verhandlung ab. Der Streitwert wurde auf 5.000 Euro festgesetzt.

Begründungs-Kernpunkte: Erstens ist betroffene Person im Sinne der DSGVO der minderjährige Sohn, denn dessen personenbezogene Daten sind Gegenstand des Auskunftsersuchens. Macht nicht die betroffene Person selbst, sondern jemand anders die Rechte aus Art. 15 DSGVO geltend, muss eine rechtswirksame Vertretungsmacht vorliegen. Zweitens durfte der Vater seinen Sohn hier nicht allein vertreten: Nach § 1687 Abs. 1 Satz 1 BGB ist bei nicht nur vorübergehend getrennt lebenden Eltern mit gemeinsamer Sorge in Angelegenheiten von erheblicher Bedeutung das gegenseitige Einvernehmen erforderlich. Unter den Begriff der „Angelegenheit“ fallen die grundlegenden Entscheidungen über das „Ob“ einer Erziehungsfrage; Bildungsangelegenheiten im weitesten Sinn — neben dem schulischen Leben auch Betreuung und frühkindliche Bildung im Kindergarten — können erhebliche Bedeutung haben. Drittens ordnet das Gericht die Entwicklungsdokumentation ausdrücklich dort ein: Sie sei „ein wesentlicher Baustein bei der Bildungsentwicklung“, halte die Bildungs- und Entwicklungsschritte fest und bilde „die fachliche Basis für die von den Eltern […] einvernehmlich zu treffenden Entscheidungen über das ‚Ob‘ der Bildung des Kindes“; insbesondere die Auswahl der Bildungseinrichtung könne darauf gestützt werden. Viertens präzisiert das Gericht den Maßstab für aufsichtsbehördliche Beschwerdeentscheidungen: Nach Art. 57 Abs. 1 Buchst. f in Verbindung mit Art. 77 Abs. 1 DSGVO muss die Behörde sich mit der Beschwerde befassen, den Gegenstand „in angemessenem Umfang“ untersuchen und über Fortgang und Ergebnis unterrichten. Wie weit die Prüfpflicht reicht, hängt vom Einzelfall ab und berücksichtigt neben der Schwere des Eingriffs auch „die Ressourcen und Möglichkeiten der Aufsichtsbehörde“ (Erwägungsgrund 141 Satz 2 DSGVO). Daraus folgt unter Berufung auf die EuGH-Rechtsprechung (C-621/22, C-768/21, C-26/22) eine zweistufige Prüfung: erst die Frage der angemessenen Untersuchung, dann — nur bei festgestelltem Verstoß — ein Anspruch auf ermessensfehlerfreie Entscheidung über ein Einschreiten nach Art. 58 Abs. 2 DSGVO.

Praxisfolgen: Für Kitas, Schulen, Jugendhilfeträger und Arztpraxen ergibt sich eine klare Prüfreihenfolge, die dokumentiert werden sollte. Erstens: Wessen Daten sind betroffen? Bei Unterlagen über das Kind ist das Kind die betroffene Person — das ändert die Rechtsgrundlage und sollte gegenüber dem anfragenden Elternteil auch so kommuniziert werden. Zweitens: Liegt wirksame Vertretungsmacht vor? Zu klären sind Sorgerechtsstatus, Getrenntleben und die Frage, ob das Kind bereits einsichtsfähig ist und sein Recht selbst ausüben kann — bei älteren Jugendlichen verschiebt sich die Antwort erheblich. Drittens: erhebliche Bedeutung oder Angelegenheit des täglichen Lebens im Sinne des § 1687 Abs. 1 Satz 2 BGB? Nur im ersten Fall ist das Einvernehmen beider Eltern nötig. Die Abgrenzung folgt nach der Logik des Urteils nicht dem Umfang des Dokuments, sondern seiner Funktion: Unterlagen, die als Grundlage für Weichenstellungen in der Bildungsbiografie dienen — Zeugnisse, Förderpläne, Gutachten zum Förderbedarf, Entwicklungsberichte —, dürften ebenfalls erhebliche Bedeutung haben, eine Anwesenheitsliste eher nicht. Wer sich als Einrichtung an diese Reihenfolge hält, ist im Beschwerdefall belastbar aufgestellt; die Datenschutzaufsicht klärt keine Sorgerechtskonflikte, dafür ist das Familiengericht zuständig, gegebenenfalls über eine Übertragung der Entscheidungsbefugnis nach § 1628 BGB. Der zweite Teil der Entscheidung wirkt über den Familienkontext hinaus: Wer Beschwerde bei einer Aufsichtsbehörde einlegt, hat Anspruch auf eine angemessene Untersuchung, nicht auf ein bestimmtes Ergebnis — umgekehrt ist die Untersuchungspflicht selbst gerichtlich voll überprüfbar. Vollständige Aufbereitung: ur-688.

6.1 SMS-Blaster: erzwungenes 2G-Downgrade liefert Phishing an allen Netzfiltern vorbei

2026 · M3AAWG · heise online

Zusammenfassung: Sogenannte SMS-Blaster sind kostengünstige IMSI-Catcher — Geräte, die eine Mobilfunk-Basisstation vortäuschen. Die Anschaffungskosten liegen nach Angaben der Anti-Abuse-Arbeitsgruppe M3AAWG bei etwa 5.000 bis 10.000 US-Dollar. Das Gerät nutzt die Schwachstelle des „stillen Herunterstufens auf 2G“: Versuchen Telefone, sich mit einem 5G- oder LTE-Netz zu verbinden, erzwingen die Angreifer einen Wechsel auf 2G, wo „das Fehlen einer gegenseitigen Authentifizierung dazu missbraucht werden kann, die Verschlüsselung zwischen Telefon und der falschen Basisstation abzuschalten“. Über diese Verbindung werden Phishing-SMS direkt an die Geräte in Reichweite gesendet — vollständig am Netz des Mobilfunkanbieters vorbei. Für die Täter bedeutet das eine erheblich höhere Rendite, eine Zustellrate von hundert Prozent, für Netzbetreiber nicht erkennbare Nachrichten und beliebig anpassbare, authentisch wirkende Inhalte. Erstmals dokumentiert wurden die Geräte 2022 in Festlandchina; seither hat sich ihr Einsatz nach Darstellung der Arbeitsgruppe weltweit stark ausgebreitet.

Hintergrund & Einordnung: Die technische Ursache ist eine Asymmetrie im Mobilfunkprotokoll: Das Endgerät muss sich gegenüber dem Netz ausweisen, das Netz sich aber nicht gegenüber dem Endgerät. In 4G und 5G ist das durch gegenseitige Authentifizierung behoben — in 2G nicht, und moderne Geräte akzeptieren 2G weiterhin, auch dort, wo praktisch kein 2G-Netz mehr betrieben wird. Genau das macht das Downgrade möglich. Die Konsequenz für die Abwehr ist unbequem: Sämtliche Ratschläge, die auf Merkmalen der Nachricht beruhen — Absender prüfen, Rechtschreibung beachten, Link genau ansehen —, greifen hier nur begrenzt, weil die Zustellung selbst unauffällig ist und die Filter der Netzbetreiber gar nicht erst zum Zug kommen. Als praktisch verwertbares Erkennungsmerkmal nennt M3AAWG die Zustellumstände: Jede SMS mit einer URL, die über eine 2G-Verbindung zugestellt wurde, sei wahrscheinlicher Betrug; in Kombination mit einer unverschlüsselten Verbindung sei es sicher Betrug. Für Endnutzer ist das nicht unmittelbar prüfbar, für Betriebssystemhersteller und Netzbetreiber schon — Android 17 setzt genau hier an, indem es Netzbetreibern erlaubt, 2G als Voreinstellung abzuschalten. In Deutschland planen O2, Vodafone und Telekom die vollständige 2G-Abschaltung bis 2028.

Praxisfolgen / Handlungsempfehlung: Für Organisationen sind drei Maßnahmen konkret umsetzbar. Erstens: 2G auf verwalteten Mobilgeräten deaktivieren. Bei Android geht das seit Version 12 auf Modem-Ebene und lässt sich über die Geräteverwaltung ausrollen; das ist die einzige Maßnahme, die den Angriffsweg tatsächlich schließt. Zweitens: SMS als zweiten Faktor ablösen. Zwischen SIM-Swapping, IMSI-Catchern und SMS-Blastern ist der Kanal nicht mehr vertrauenswürdig; Passkeys oder Authenticator-Apps sind die Alternative, und die Umstellung lässt sich mit dem Argument dieser Angriffstechnik gut begründen. Drittens: Die Erwartungshaltung in Awareness-Schulungen korrigieren. Der verbreitete Satz „Prüfen Sie den Absender“ ist bei einer SMS, die von einer gefälschten Basisstation kommt, wertlos — die vermittelte Regel muss lauten, dass Links in SMS grundsätzlich nicht angeklickt werden und dass jede Aufforderung über den selbst gewählten Weg gegengeprüft wird. Für die Bewertung von Zahlen aus diesem Feld ist Vorsicht angebracht: Zu Schadenssummen und Kampagnenzahlen kursieren Angaben aus Aggregator-Quellen, die sich nicht durchgängig auf eine Primärquelle zurückführen lassen; belastbar sind die technische Beschreibung und die Preisspanne der Geräte aus der M3AAWG-Darstellung.