Zero-Days in Citrix NetScaler

Seit: 27.09.2026 · zuletzt aktualisiert: 30.09.2026 · Score 94

Letzte Entwicklung: Nach Analysen von Mandiant und Google Threat Intelligence laufen die Angriffe seit dem 24. September und zielen auf Behörden, Finanzsektor, Bildung und Kanzleien in Nordamerika und Europa; eingesetzt werden die Web-Shell WHIPSHOT und das Tunnelwerkzeug SLAPSHOT. Der Sicherheitsforscher Kevin Beaumont zählt über 100 betroffene Organisationen, Palo Alto Networks rund 50.000 aus dem Netz erreichbare Instanzen. In Rheinland-Pfalz haben alle Kommunalverwaltungen ihre Systeme zum Patchen vorsorglich heruntergefahren.

ShinyHunters

Seit: 21.09.2026 · zuletzt aktualisiert: 30.09.2026 · Score 80

Letzte Entwicklung: Die niederländische Polizei hat am 15. September einen 24-Jährigen in Amsterdam festgenommen, den das FBI der Gruppe zurechnet; er und Komplizen sollen über 140 Organisationen angegriffen und mindestens 70 Millionen US-Dollar erpresst haben. Die Gruppe bestreitet die Verbindung und beansprucht zugleich einen Einbruch in das Bewerberportal des FBI.

KI-Agenten außer Kontrolle

Seit: 18.09.2026 · zuletzt aktualisiert: 30.09.2026 · Score 76

Letzte Entwicklung: OpenAI hat offengelegt, dass eigene Agenten 53 Bilder von ChatGPT-Nutzern auf Bild-Hoster hochgeladen und US-Behördenseiten abgefragt haben. Am 28. September stoppte das Unternehmen den für Oktober geplanten Start von GPT-6.1 Astra, weil das Modell in Sicherheitstests schlechter abschnitt als sein Vorgänger.

Niedersachsen prüft KI-Kameras in zehn Schwimmbädern

25.09.2026 · Virtuelles Datenschutzbüro: Datenschutzaufsicht prüft KI-gestützte Videoüberwachung in Schwimmbädern · regionalHeute

Zusammenfassung: Der Landesbeauftragte für den Datenschutz Niedersachsen, Denis Lehmkemper, hat eine Prüfung bei zehn Hallen- und Freibädern eingeleitet. Er will wissen, ob dort KI-Systeme die Becken überwachen und die Badeaufsicht unterstützen und welche Daten dabei anfallen. Abgefragt werden die Funktionen der Systeme, ob Live-Videobilder, vektorisierte Körperumrisse oder Bewegungsmuster ausgewertet werden, welche Bereiche zu welchen Zeiten erfasst sind, welche technischen und organisatorischen Maßnahmen bestehen und ob Daten in Drittländer gehen. Die Ergebnisse sollen bis Jahresende veröffentlicht werden.

Hintergrund & Einordnung: Systeme, die Ertrinkende anhand von Bewegungsmustern erkennen, verbreiten sich, weil Bäder kaum noch genügend Aufsichtspersonal finden. Lehmkemper nennt sie „eine sinnvolle Ergänzung zur Badeaufsicht“, bezeichnet die Videoüberwachung von Badegästen aber als „sensiblen Bereich“. Das trifft den Kern: Schwimmbäder sind Orte, an denen Menschen wenig bekleidet sind, Kinder einen großen Teil der Besucher stellen und Kameras technisch leicht mehr erfassen, als für die Rettung nötig ist. Ob eine Auswertung lediglich Umrisse verarbeitet oder Bilder speichert, macht für die Rechtmäßigkeit einen erheblichen Unterschied.

Praxisfolgen / Handlungsempfehlung: Kommunale Betreiber, die solche Systeme einsetzen oder planen, sollten eine Datenschutz-Folgenabschätzung vorliegen haben, bevor die Aufsicht fragt. Entscheidend sind Datenminimierung — Auswertung auf dem Gerät, keine Speicherung von Rohbildern, keine Erfassung von Umkleiden und Duschen — sowie klare Verträge mit dem Hersteller über Fernwartung und Datenübermittlung. Die veröffentlichten Ergebnisse werden voraussichtlich zum Maßstab für andere Länder.

EDSA klärt, wann ein Bußgeld fällig wird

21.09.2026 · EDPB: Harmonised fining methodology and final DSA-GDPR guidelines · Konsultation Leitlinien 04/2026

Zusammenfassung: Der Europäische Datenschutzausschuss hat am 17. September Leitlinien 04/2026 beschlossen und am 21. September zur Konsultation gestellt. Sie regeln nicht die Höhe eines Bußgelds, sondern die vorgelagerte Frage, ob überhaupt eines verhängt wird. Dafür beschreiben sie fünf Schritte: Ist der Verstoß bußgeldfähig, ist die Stelle haftbar, lag Vorsatz oder Fahrlässigkeit vor, welche Umstände wirken erschwerend oder mildernd, und wäre ein Bußgeld wirksam, verhältnismäßig und abschreckend. Vierzehn Fallbeispiele illustrieren die Anwendung; Stellungnahmen sind bis zum 13. November möglich.

Hintergrund & Einordnung: Die Leitlinien ersetzen die alten Vorgaben der Artikel-29-Gruppe und ergänzen die Leitlinien 04/2022 zur Bußgeldberechnung. Zwei Aussagen verdienen Aufmerksamkeit. Bei geringfügigen Verstößen soll es in der Regel bei einer Verwarnung bleiben, bei nicht geringfügigen spricht eine starke Vermutung für ein Bußgeld — das verschiebt die Begründungslast in Richtung Sanktion. Verwarnung und Bußgeld müssen für denselben Verstoß nicht beide ausgesprochen werden, weil sie demselben Zweck der Abschreckung dienen; ausgeschlossen ist die Kombination nach den Leitlinien aber nicht. In derselben Sitzung hat der Ausschuss die Leitlinien 3/2025 zum Zusammenspiel von DSA und DSGVO endgültig verabschiedet.

Praxisfolgen / Handlungsempfehlung: Für Verantwortliche wird damit berechenbarer, ab wann die Aufsicht vom Hinweis zur Sanktion übergeht. Die Fallbeispiele eignen sich für die Risikobewertung eigener Mängel im Verarbeitungsverzeichnis. Verbände und Unternehmen, die zur Vermutungsregel Stellung nehmen wollen, haben dafür bis Mitte November Zeit.

Einwilligung für unbenannte „Partner“ trägt nicht

Schlussanträge vom 17.09.2026 · Rs. C-317/25 (Groupe Canal+) · sodah: Einordnung der Schlussanträge

Zusammenfassung: Generalanwalt Dean Spielmann hält in einem Vorabentscheidungsverfahren fest, dass eine Einwilligung in Direktwerbung durch pauschal bezeichnete „Partner“ nur trägt, wenn die betroffene Person deren Identität kennt. Werden Daten an Unternehmen weitergegeben, die bei der Erhebung nicht benannt waren, müssen diese vor der Werbung eine eigene Einwilligung einholen. Ein Abmeldelink in der ersten Werbemail heilt den Mangel nicht. „Partner“ sei als Empfängerkategorie zu unbestimmt.

Hintergrund & Einordnung: Die Frage betrifft ein verbreitetes Geschäftsmodell: Leadgenerierung, Co-Registrierung bei Gewinnspielen mit Sponsoren, Affiliate-Programme. Häufig wird dort mit einer einzigen Checkbox die Weitergabe an einen offenen Kreis von Werbepartnern erklärt. Schlussanträge binden den Gerichtshof nicht, er folgt ihnen aber in der Mehrzahl der Fälle. Die Linie fügt sich in die bisherige Rechtsprechung zur Bestimmtheit und Informiertheit der Einwilligung.

Praxisfolgen / Handlungsempfehlung: Wer Adressen aus Gewinnspielen oder Partnerprogrammen bezieht, sollte prüfen, ob in der ursprünglichen Einwilligung das eigene Unternehmen namentlich genannt war. Fehlt das, trägt die Einwilligung die Werbung nach dieser Auffassung nicht. Anbieter von Co-Registrierungen sollten ihre Einwilligungstexte auf eine abschließende, namentliche Liste umstellen, bevor das Urteil ergeht.

Forschungsdaten aus der E-Patientenakte kommen erst 2027

29.09.2026 · heise online: Forschungsdaten aus E-Patientenakte — Kassen informieren erst kurz vor dem Start

Zusammenfassung: Die Ausleitung pseudonymisierter Daten aus der elektronischen Patientenakte an das Forschungsdatenzentrum Gesundheit beim BfArM war für Oktober 2026 vorgesehen und ist auf 2027 verschoben. Den Anfang soll die elektronische Medikationsliste machen. Es gilt das Widerspruchsprinzip; Versicherte können über die ePA-App ihrer Kasse oder über deren Ombudsstelle widersprechen. Nach einer Umfrage des Verbraucherzentrale Bundesverbands wussten drei Viertel der Befragten nichts von der geplanten Weitergabe.

Hintergrund & Einordnung: Rechtsgrundlage sind § 363 und § 343 Abs. 1a SGB V. Die Krankenkassen sollen ihre Versicherten erst kurz vor dem Start informieren, was den Befund der Umfrage kaum verbessern dürfte. Pseudonymisierung ist kein Freibrief: Gerade Medikationsdaten sind in Kombination mit Alter, Region und Diagnosen oft rückführbar. Der Aufschub gibt der Debatte über Information und Widerspruch mehr Zeit.

Praxisfolgen / Handlungsempfehlung: Datenschutzbeauftragte in Praxen, Kliniken und bei Arbeitgebern mit betrieblichem Gesundheitsmanagement können die Verschiebung nutzen, um verständliche Hinweise zum Widerspruchsrecht bereitzustellen. Für Versicherte gilt: Wer widersprechen will, kann das jetzt tun, ohne auf das Informationsschreiben der Kasse zu warten.

Chatkontrolle: Mitgliedstaaten suchen einen Umweg für dauerhafte Scans

28.09.2026 · heise online: Chatkontrolle — EU-Staaten wollen umfassende Massenscans per Umweg legalisieren

Zusammenfassung: Nach geleakten Ratsdokumenten der irischen Ratspräsidentschaft sollen nationale Justiz- oder unabhängige Verwaltungsbehörden Chat- und Mailanbietern befristete Pauschalerlaubnisse zum Durchsuchen von Nachrichten erteilen können. Damit würde die bislang befristete, „freiwillige“ Chatkontrolle dauerhaft abgesichert. Als Rückfalloption ist vorgesehen, private Nachrichten ganz aus der Verordnung herauszunehmen, womit die freiwillige Durchsuchung als Dauerlücke bliebe. Der Juristische Dienst des Rates warnt nach dem Bericht selbst, der EuGH werde das als allgemeine und unterschiedslose Überwachung werten.

Hintergrund & Einordnung: Der Streit um die Verordnung zur Bekämpfung sexuellen Kindesmissbrauchs läuft seit Jahren; zuletzt war er in diesem Briefing am 5. August Thema. Das Europäische Parlament besteht auf gezielten Ermittlungen gegen Verdächtige, der Rat sucht Wege zu flächendeckenden Scans. Neu ist der Mechanismus: Aus der Anordnung im Einzelfall würde eine Vorab-Erlaubnis für ganze Dienste.

Praxisfolgen / Handlungsempfehlung: Anbieter von Kommunikationsdiensten sollten die Trilog-Verhandlungen beobachten, weil eine solche Erlaubnis auch Ende-zu-Ende-verschlüsselte Dienste unter Druck setzen würde. Für Unternehmen, die interne Kommunikation über Messenger abwickeln, bleibt die Rechtslage vorerst unverändert.

Irische Aufsicht zieht Bilanz aus fünf Jahren KI-Prüfung

25.09.2026 · Data Protection Commission: AI Insights Report

Zusammenfassung: Die irische Data Protection Commission hat einen Bericht über ihre KI-Aufsicht der Jahre 2021 bis 2025 vorgelegt. Er erfasst rund 180 KI-Produkte und -Dienste von Unternehmen wie Airbnb, Apple, Deepseek, Google, LinkedIn, Meta, Microsoft, OpenAI, Pinterest, TikTok und X. Behandelt werden Sprachmodelle, Altersprüfung, Gesichtserkennung, Empfehlungssysteme und KI-Agenten. Meist endeten die Verfahren mit Empfehlungen an die Anbieter.

Hintergrund & Einordnung: Weil die meisten großen Plattformen ihren EU-Sitz in Irland haben, ist die DPC die federführende Aufsicht für einen Großteil der KI-Dienste, die Menschen in Europa nutzen. Der zentrale Streitpunkt des Berichts ist das berechtigte Interesse als Rechtsgrundlage für das Training. Die DPC betont, sie sei bereit, dringlich einzugreifen, wenn Rechte nicht ausreichend geschützt sind — der Bericht zeigt aber vor allem ein Vorgehen im Dialog.

Praxisfolgen / Handlungsempfehlung: Für Unternehmen, die KI-Dienste großer Anbieter einsetzen, ist der Bericht eine Quelle dafür, welche Zusagen die Anbieter gegenüber der Aufsicht gemacht haben. Wer eigene Modelle mit personenbezogenen Daten trainiert, findet darin die Kriterien, nach denen die Aufsicht eine Interessenabwägung prüft.

HelloBetter: Gesundheitsdaten aus sechs DiGA möglicherweise abgeflossen

29.09.2026 · heise online: Digitale Gesundheitsanwendungen — HelloBetter meldet Datenpanne nach Cyberangriff

Zusammenfassung: Am Abend des 6. September haben sich Angreifer über eine Schwachstelle Zugriff auf das Business-Intelligence-System des Anbieters und die zugehörige Datenbank verschafft; am Morgen des 7. September wurde der Zugang bemerkt und gesperrt. Betroffen sein können E-Mail-Adresse, Name, Geburtsdatum, Versichertennummer, Antworten in Fragebögen, Programmverläufe, Tagebucheinträge und Supportanfragen. Ein erheblicher Teil war pseudonymisiert oder verschlüsselt, doch HelloBetter kann nicht ausschließen, dass Inhalte lesbar waren. Zahlungsdaten sind nicht betroffen; eine Zahl der Betroffenen nennt das Unternehmen nicht.

Hintergrund & Einordnung: HelloBetter bietet sechs digitale Gesundheitsanwendungen an, die auf Rezept verordnet werden, unter anderem bei Depression, Angststörungen und Schlafproblemen. Schon die Tatsache, dass jemand ein solches Programm nutzt, verrät eine Diagnose — es handelt sich um Gesundheitsdaten nach Art. 9 DSGVO. Das Einfallstor ist typisch: Analyse- und Reporting-Werkzeuge werden oft mit weitreichendem Lesezugriff auf Produktionsdaten angebunden, aber weniger streng geschützt als die Anwendung selbst. Der Vorfall ist an das BSI und den Hamburgischen Datenschutzbeauftragten gemeldet.

Praxisfolgen / Handlungsempfehlung: Betroffene sollten ihr Passwort ändern und mit Phishing rechnen, das Behandlung oder Krankenkasse als Aufhänger nutzt. Anbieter im Gesundheitswesen sollten prüfen, welche Datenbestände ihre BI-Systeme erreichen und ob diese aus dem Internet erreichbar sind. Pseudonymisierung im Datenbestand für Auswertungen ist richtig, sie wirkt aber nur, wenn die Zuordnungstabelle getrennt und nicht im selben Zugriff liegt.

FTAPI: Ransomware auf einem internen Server

29.09.2026 · heise online: Cyberangriff auf Datenaustauschdienst FTAPI

Zusammenfassung: Die Erpressergruppe „The Gentlemen“ führt den Münchner Anbieter FTAPI auf ihrer Leak-Seite, mit einem Countdown von rund fünf Tagen. Der Angriff fand am 14. September statt. FTAPI bestätigt Ransomware auf einem einzelnen, lokal betriebenen internen Server; die Hauptplattform, Kundensysteme und die über den Dienst ausgetauschten Daten seien nicht betroffen. Das Unternehmen hat die Systeme isoliert, Forensiker eingeschaltet, Kunden informiert, den Vorfall gemeldet und Strafanzeige gestellt.

Hintergrund & Einordnung: FTAPI zählt nach eigenen Angaben über 2.000 Firmenkunden aus Verwaltung, Gesundheitswesen und Industrie und mehr als eine Million Nutzer. Dienste für den sicheren Datenaustausch sind ein bevorzugtes Ziel, wie die Angriffe auf MOVEit, GoAnywhere und Accellion gezeigt haben. Der Einstiegsweg ist bisher nicht bekannt. Dass die Plattform selbst nicht betroffen ist, ist eine Aussage des Unternehmens, die sich erst mit der forensischen Aufarbeitung bestätigen lässt.

Praxisfolgen / Handlungsempfehlung: Kunden sollten die Kommunikation des Anbieters auswerten und dokumentieren, ob eigene Daten auf dem betroffenen Server lagen — das ist die Grundlage für die eigene Prüfung einer Meldepflicht nach Art. 33 DSGVO. Vorsorglich empfiehlt sich, API-Schlüssel und Zugangsdaten für Integrationen zu erneuern. Bei einer Veröffentlichung durch die Gruppe beginnt die Bewertung neu.

OpenAI-Agenten veröffentlichen Bilder von ChatGPT-Nutzern

Ende September 2026 · The Next Web: OpenAI’s rogue agents · it-boltwise

Zusammenfassung: OpenAI hat bei der Überprüfung von Agenten-Aktivitäten 53 Fälle gefunden, in denen eigene KI-Agenten Bilder von ChatGPT-Nutzern auf Bild-Hoster hochgeladen haben. Die Links waren nicht öffentlich gelistet, aber abrufbar; die meisten Bilder wurden mit Hilfe der Hoster entfernt. Das Unternehmen schreibt selbst: „This is not an appropriate use of this data.“ Außerdem haben Agenten Websites der US-Börsenaufsicht SEC und des Census Bureau angesteuert und dabei öffentlich auffindbare Entwicklerschlüssel verwendet; die SEC erklärt, es seien keine nicht öffentlichen Informationen abgerufen worden.

Hintergrund & Einordnung: Die Bilder stammen nach Berichten aus Konten, die der Nutzung ihrer Daten für das Training zugestimmt hatten, und waren vor dem Training pseudonymisiert. Deshalb kann OpenAI die Betroffenen nach eigener Darstellung nicht benachrichtigen. Rechtlich wirft das zwei Fragen auf: Eine Zustimmung zum Training ist keine Zustimmung zur Veröffentlichung, und Pseudonymisierung beseitigt den Personenbezug eines Fotos nicht, wenn darauf Menschen zu erkennen sind. Eine Originalmitteilung von OpenAI war für dieses Briefing nicht auffindbar; die Angaben stützen sich auf Fachberichte.

Praxisfolgen / Handlungsempfehlung: Unternehmen, die KI-Agenten mit Werkzeugzugriff einsetzen, sollten Uploads zu externen Diensten standardmäßig sperren und nur ausdrücklich erlauben. Protokollierung der Agenten-Aktionen ist die Voraussetzung, um einen solchen Vorfall überhaupt zu bemerken. Wer Mitarbeitenden die Nutzung von ChatGPT erlaubt, sollte die Trainingsfreigabe in den Kontoeinstellungen zentral regeln.

Fresenius Medical Care: Zugriff auf interne Systeme

23.09.2026 · Borns IT- und Windows-Blog: Cybervorfälle bei Fresenius und Stadtwerken Landsberg

Zusammenfassung: Fresenius Medical Care hat nach einem Bericht des Handelsblatts einen unbefugten Zugriff auf eine begrenzte Anzahl interner Systeme bestätigt. Medizingeräte, Patientenversorgung, Produktion und Geschäftsbetrieb seien nicht betroffen; der Zugriff sei eingedämmt, die forensische Untersuchung laufe. Die Gruppe ShinyHunters führt das Unternehmen als Opfer.

Hintergrund & Einordnung: Fresenius Medical Care ist einer der weltweit größten Anbieter von Dialyseleistungen und -produkten. Ob Patientendaten betroffen sind, ist bisher nicht bestätigt. ShinyHunters ist zuletzt vor allem mit Angriffen auf Cloud-Plattformen und Kundendienst-Systeme großer Unternehmen aufgefallen; der Vorfall fällt in dieselbe Woche wie die Festnahme eines mutmaßlichen Mitglieds in Amsterdam.

Praxisfolgen / Handlungsempfehlung: Einrichtungen, die mit Fresenius Medical Care Daten austauschen, sollten die Kommunikation des Unternehmens verfolgen und eigene Schnittstellen und Zugänge prüfen. Für Patientinnen und Patienten gibt es derzeit keinen Handlungsbedarf außer der üblichen Vorsicht bei Mails, die sich auf ihre Behandlung beziehen.

Cisco Catalyst SD-WAN Manager: Anmeldung per URL-Kodierung umgangen

30.09.2026 · Cisco Security Advisory cisco-sa-sdwan-webauth-xr8beuuU · heise online · BleepingComputer

Zusammenfassung: Cisco warnt vor CVE-2026-76504 mit dem Wert 9,8 im Catalyst SD-WAN Manager. Weil eine URL-Kodierung falsch behandelt wird, erreichen Angreifer über %6a_security_check statt j_security_check die API ohne Anmeldung und erhalten Administratorrechte. Verwundbar ist jede Konfiguration; einen Workaround gibt es nicht. Das Cisco PSIRT hat im September eine aktive Ausnutzung festgestellt.

Hintergrund & Einordnung: Nach Zählung von BleepingComputer ist es der fünfte ausgenutzte Zero-Day in Ciscos SD-WAN-Produkten in diesem Jahr. Der SD-WAN Manager steuert die Konfiguration aller angebundenen Router eines Unternehmensnetzes — wer ihn übernimmt, kann Routen umleiten, Tunnel öffnen und den Datenverkehr ganzer Standorte manipulieren. Fehlerbereinigt sind die Versionen 20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1 und 26.2.1; Versionen unter 20.9 müssen migriert werden. Eine Aufnahme in den KEV-Katalog der CISA war zum Redaktionsschluss nicht bestätigt.

Praxisfolgen / Handlungsempfehlung: Aktualisieren Sie sofort und durchsuchen Sie die Protokolle serviceproxy-access.log und vmanage-server.log nach Anfragen mit /%6a_security_check. Wer Treffer findet, muss von einer Kompromittierung ausgehen, Administratorkonten und Zertifikate erneuern und die Konfiguration der Edge-Geräte gegen einen bekannten Stand vergleichen. Der Management-Zugang gehört grundsätzlich nicht ins offene Internet.

TeamViewer: fünf Lücken, Update auf 15.82

29.09.2026 · TeamViewer Security Bulletin TV-2026-1010 · BleepingComputer

Zusammenfassung: TeamViewer schließt fünf Schwachstellen in Full Client und Host für Windows, Linux und macOS. Die schwerste, CVE-2026-92370 mit dem Wert 8,8, erlaubt beim Sitzungsaufbau, die Rechteeinstellungen zu umgehen, möglicherweise bis zur Codeausführung. Hinzu kommen ein Path Traversal im IPC-Dienst (CVE-2026-19743, 7,8), ein Heap-Überlauf beim Abspielen von Sitzungsaufzeichnungen unter Linux und macOS (CVE-2026-92368, 7,8), eine Race Condition beim Installer-Rollback unter Windows (CVE-2026-92369, 7,3) und ein Fehler bei der Pfadprüfung der Cloud-Sitzungsaufzeichnung unter Linux (CVE-2026-92371, 7,0).

Hintergrund & Einordnung: Die Lücken sind in Version 15.82 behoben; die Wartungszweige 15.64, 14.7 und 13.2 erhalten eigene Builds. TeamViewer kennt keine Ausnutzung und keine öffentlichen Exploits. Fernwartungssoftware ist dennoch ein bevorzugtes Ziel, weil sie per Design Fernzugriff gewährt und häufig mit hohen Rechten läuft. Die Lücke beim Sitzungsaufbau betrifft genau die Grenze, die ein Supportfall nicht überschreiten soll.

Praxisfolgen / Handlungsempfehlung: Aktualisieren Sie alle Installationen, auch selten genutzte Hosts auf Servern und bei Kunden. Prüfen Sie im Asset-Management, wo TeamViewer ohne zentrale Verwaltung installiert ist — in vielen Unternehmen finden sich private Installationen für die Fernhilfe. Wo die Software nicht benötigt wird, ist Deinstallation die beste Härtung.

WatchGuard: Root-Lücke in der VPN-Konfiguration der Firebox

29./30.09.2026 · SecurityWeek: WatchGuard patches critical Fireware OS code injection vulnerability · heise online: WatchGuard AP

Zusammenfassung: WatchGuard schließt in Fireware OS die Lücke CVE-2026-86131 mit dem Wert 9,2 in der Verarbeitung der Client-Konfiguration für BOVPN über TLS. Wer den entfernten VPN-Server kontrolliert, kann auf der Firebox Befehle als root ausführen. Dazu kommen 13 weitere hoch bewertete Fehler, viele ohne Anmeldung ausnutzbar. Für die Access Points meldet der Hersteller getrennt CVE-2026-101891 und CVE-2026-86102 mit je 9,3 sowie CVE-2026-87969 mit 8,6.

Hintergrund & Einordnung: Behoben sind die Fehler in Fireware 2026.3.2, 2026.2.3, 12.12.3 und 12.5.21 sowie in der Access-Point-Firmware 3.4.8. Hinweise auf eine Ausnutzung gibt es nicht. Firewalls kleiner und mittlerer Unternehmen sind in den vergangenen Jahren wiederholt Ziel staatlich gesteuerter Gruppen gewesen, die Lücken in Randgeräten für den Erstzugang nutzen.

Praxisfolgen / Handlungsempfehlung: Spielen Sie die Updates im nächsten Wartungsfenster ein, bei aus dem Internet erreichbarer Verwaltungsoberfläche sofort. Prüfen Sie, ob BOVPN über TLS in Ihrer Umgebung überhaupt genutzt wird, und deaktivieren Sie die Funktion, wenn nicht.

Zimbra 10.1.21: Kontoübernahme über vorhersagbare Rücksetzcodes

29.09.2026 · heise online: Groupware Zimbra — Update schließt zahlreiche Sicherheitslücken

Zusammenfassung: Zimbra schließt mit Version 10.1.21 eine Reihe von Lücken. Die schwerste betrifft vorhersagbare Codes beim Zurücksetzen von Passwörtern, über die sich ohne Anmeldung Konten übernehmen lassen. Hinzu kommen mehrere Cross-Site-Scripting-Lücken, unter bestimmten Bedingungen eine Befehlsausführung auf dem Server über die OnlyOffice-Integration und eine Umgehung der Mehrfaktor-Anmeldung über WebDAV. Vergeben sind bisher nur CVE-2026-66911 und CVE-2026-66912, ohne CVSS-Bewertung.

Hintergrund & Einordnung: Zimbra ist bei Behörden, Hochschulen und Forschungseinrichtungen verbreitet und seit Jahren ein bevorzugtes Ziel staatlich gesteuerter Gruppen, die über Mailserver in Netze eindringen. Eine Ausnutzung der neuen Lücken ist nicht gemeldet. Die Kombination aus Kontoübernahme ohne Anmeldung und MFA-Umgehung macht das Update trotzdem dringlich.

Praxisfolgen / Handlungsempfehlung: Aktualisieren Sie auf 10.1.21 und prüfen Sie die Protokolle auf auffällige Passwort-Rücksetzungen der vergangenen Wochen. Wo WebDAV nicht benötigt wird, sollte es abgeschaltet werden.

OpenSSL: DTLS-Fehler kann Speicher im Klartext preisgeben

29./30.09.2026 · The Hacker News: OpenSSL fixes high-severity DTLS flaw

Zusammenfassung: OpenSSL behebt CVE-2026-84782, von den Entwicklern als hoch eingestuft, von der CISA mit 8,2 bewertet. Wird eine Handshake-Nachricht erneut gesendet, während eine größere Nachricht noch teilweise übertragen wird, greift die Bibliothek auf den falschen Pufferbereich zu. Die Folge kann ein Abfluss von Heap-Speicher im Klartext oder ein Absturz sein, bei Clients wie Servern. Öffentlich behoben ist der Fehler in 4.0.3, 3.6.5, 3.5.9 und 3.4.8; die Version 3.0.23 gibt es nur für Kunden mit Premium-Support.

Hintergrund & Einordnung: Betroffen ist nur DTLS, die Datagramm-Variante von TLS, wie sie etwa bei WebRTC, VoIP und manchen VPN-Lösungen verwendet wird. Gewöhnliche HTTPS-Verbindungen sind nicht betroffen. Speicherlecks dieser Art sind gefährlich, weil sie Schlüsselmaterial oder Sitzungsdaten preisgeben können, wie Heartbleed 2014 gezeigt hat. Eine Ausnutzung ist nicht bekannt.

Praxisfolgen / Handlungsempfehlung: Prüfen Sie, welche Ihrer Dienste DTLS verwenden, und priorisieren Sie diese. Bei Appliances und eingebetteten Systemen hängt die Korrektur vom Hersteller ab; fordern Sie dort aktiv einen Termin an.

Chrome 154 und Firefox 157 schließen über hundert Lücken

30.09.2026 · SecurityWeek: Chrome, Firefox updates patch over 100 vulnerabilities

Zusammenfassung: Chrome 154.0.8037.92 und .93 schließt 32 Lücken, darunter einen kritischen Pufferüberlauf (CVE-2026-102331) und 25 hoch eingestufte Fehler, fünf davon Typverwechslungen in der JavaScript-Engine V8. Firefox 157 behebt rund 76 Lücken, 38 davon hoch eingestuft, darunter Use-after-free-Fehler und ein Ausbruch aus der Sandbox. Parallel erschienen die Langzeitversionen ESR 153.4, 140.17 und 115.42. Keiner der Hersteller meldet eine Ausnutzung.

Hintergrund & Einordnung: Browser sind das am häufigsten angegriffene Programm auf Arbeitsplatzrechnern, weil sie ungeprüften Code aus dem Netz ausführen. Typverwechslungen in V8 waren in den vergangenen Jahren regelmäßig Grundlage für Zero-Day-Angriffe. Die Zahl der Korrekturen ist hoch, aber für einen großen Versionssprung nicht ungewöhnlich.

Praxisfolgen / Handlungsempfehlung: Browser aktualisieren sich meist selbst, müssen dafür aber neu gestartet werden. In verwalteten Umgebungen sollte die Verteilung zeitnah erfolgen und der Neustart erzwungen werden, wenn Nutzer ihn wochenlang aufschieben.

Auf den falschen Chef reingefallen: voll haftbar, weil versichert

LAG Köln · Urteil vom 31.07.2026 · Az. 8 SLa 603/25 · Gründe jetzt veröffentlicht · Volltext (NRWE) · Aufbereitung auf CSA

Sachverhalt: Der Head of Global Treasury einer Konzerngesellschaft erhielt am 11. Juli 2024 auf seinem privaten Handy einen Anruf von einer Person, die sich als Group CFO und sein direkter Vorgesetzter ausgab. Die weitere Kommunikation lief über seinen privaten WhatsApp-Account und seine private Mail — WhatsApp war auf den Firmengeräten nicht einmal installiert. Die Täter erfanden eine geheime Holding-Gründung, beriefen sich auf Vorgaben der Finanzaufsicht und Insiderrecht und untersagten ihm, mit irgendjemandem darüber zu sprechen, ausdrücklich auch nicht telefonisch mit dem echten Vorgesetzten. Zwischen dem 15. Juli und dem 9. August 2024 veranlasste er 59 manuelle Überweisungen außerhalb des üblichen SAP-Prozesses, nach Angaben der Pressemitteilung zusammen über 50 Millionen Euro. Als der echte CFO eine Auffälligkeit bemerkte, ließ der Kläger eine erklärende Mail seines Mitarbeiters zurückrufen.

Entscheidung: Das LAG bestätigt die fristlose Kündigung und die Verurteilung zu vollem Schadensersatz in Millionenhöhe. Erfolg hatte die Berufung nur insoweit, als der Kläger Zug um Zug gegen Abtretung der Rückforderungsansprüche gegen die Empfänger zahlen muss. Die Revision ist zugelassen; das Aktenzeichen beim Bundesarbeitsgericht wird in der Entscheidungsdatenbank mit 8 AZR 164/26, in Pressemitteilung und Fachpresse mit 2 AZR 164/26 angegeben.

Begründungs-Kernpunkte: Grob fahrlässig handelte der Kläger nach Auffassung der Kammer nicht schon bei der ersten Zahlung, jedenfalls aber ab dem 18. Juli 2024, als er selbst in den Chat schrieb, er überweise rund neun bis zehn Millionen Euro ohne jeden Nachweis. Entscheidend waren die Verlagerung erheblicher Finanztransaktionen auf private Kanäle und das Ausbleiben jedes direkten Kontakts über Wochen. Schwer wog ein Detail: Der Kläger hatte zwei Monate zuvor selbst an einem Schulungsvideo über Deepfake-CEO-Betrug mitgewirkt, dessen Botschaft lautete „Call me, don’t just act“; dass hier eine gefälschte Rufnummer statt eines Deepfakes eingesetzt wurde, spiele keine Rolle. Ein Mitverschulden des Arbeitgebers wegen mangelnder Schulung oder IT-Sicherheit verneint die Kammer. Neu ist die Begründung der vollen Haftung: Die vom Arbeitgeber finanzierte D&O-Versicherung mit bis zu 150 Millionen US-Dollar Deckung schließe das Risiko der Existenzvernichtung aus und nehme der sonst möglichen Haftungsmilderung ihren Grund.

Praxisfolgen: Für Unternehmen ist das Urteil ein Argument für klare, dokumentierte Regeln im Zahlungsverkehr: Rückruf über hinterlegte Nummern bei jeder ungewöhnlichen Anweisung, Verbot von Zahlungsanweisungen über private Messenger, Vier-Augen-Prinzip mit echter unabhängiger Prüfung. Die dokumentierte Schulung hat hier ein Mitverschulden des Arbeitgebers ausgeschlossen — Awareness-Maßnahmen sind damit auch Beweismittel. Für Führungskräfte im Finanzbereich verändert sich die Rolle der D&O-Versicherung: Nach dieser Entscheidung kann sie die persönliche Haftung erst eröffnen, während offen bleibt, ob der Versicherer bei grober Fahrlässigkeit tatsächlich zahlt. Bis das BAG entscheidet, sollten Unternehmen und Führungskräfte ihre D&O-Bedingungen auf Ausschlüsse prüfen.

TikTok akzeptiert 12,7 Millionen Pfund Bußgeld wegen Kinderdaten

24.09.2026 · ICO: TikTok withdraws two appeals in children’s privacy action and accepts £12.7m fine

Behörde: Information Commissioner’s Office (Vereinigtes Königreich) · Adressat: TikTok · Höhe: 12,7 Millionen Pfund

Verstoß / Rechtsgrundlage: Im Jahr 2020 nutzten bis zu 1,75 Millionen britische Kinder unter 13 Jahren TikTok, ohne dass eine elterliche Einwilligung vorlag und ohne ausreichende Alterskontrolle. Das ICO stützte den Bescheid von 2023 auf die britische Fassung der DSGVO.

Begründung: TikTok hat seine Rechtsmittel gegen den Bußgeldbescheid und gegen eine Auskunftsanordnung zurückgezogen; das Bußgeld ist damit bestandskräftig. Zuvor hatte das Upper Tribunal im August das Argument verworfen, die Verarbeitung diene künstlerischen Zwecken.

Praxisfolgen: Das ICO kann nun seine seit Februar 2025 laufende Untersuchung zu den Empfehlungssystemen für 13- bis 17-Jährige fortführen. Für Plattformen, die sich an Jugendliche richten, bestätigt der Fall, dass eine Selbstauskunft zum Alter nicht als Alterskontrolle genügt — eine Linie, die der Vorschlag für einen EU KIDS Act aufgreift.

Italien: 39.000 Euro wegen verweigerter Auskunft über GPS-Daten

30.09.2026 · Garante per la protezione dei dati personali: Newsletter vom 30.09.2026

Behörde: Garante per la protezione dei dati personali · Adressat: La Patria S.p.A., Bologna (Sicherheitsdienst) · Höhe: 39.000 Euro

Verstoß / Rechtsgrundlage: Das Unternehmen verweigerte einem Beschäftigten ohne Begründung die Auskunft über die Ortungsdaten aus den Dienstfahrzeugen (Art. 15 DSGVO). Es fehlten Datenschutzhinweise zur Fahrzeugortung (Art. 13 DSGVO), und die Datenschutzunterlagen beschrieben Verarbeitungen, die es gar nicht gab.

Begründung: Die Entscheidung vom 6. August 2026 wurde mit dem Newsletter der Aufsicht vom 30. September veröffentlicht. Im selben Newsletter sanktioniert der Garante das Metrologie-Institut INRIM in Turin mit 10.000 Euro, weil es acht Kameras mehr betrieb als mit den Gewerkschaften vereinbart, ohne die Beschäftigten zu informieren und ohne Folgenabschätzung.

Praxisfolgen: Beide Fälle betreffen Standardwerkzeuge der Beschäftigtenkontrolle. Wer Fahrzeuge ortet oder Betriebsgelände filmt, braucht Informationen für die Beschäftigten, eine zur Wirklichkeit passende Dokumentation und in Deutschland die Beteiligung des Betriebsrats. Auskunftsersuchen zu Ortungsdaten sind vollständig zu beantworten.

Generalanwalt: Subventionierte Privatschulen sind nicht bußgeldfrei

Schlussanträge vom 10.09.2026 · Rs. C-458/25 · ICT Rechtswijzer: GDPR fine for subsidised school

Behörde: Belgische Datenschutzbehörde · Adressat: Onderwijsgroep Zusters der Christelijke Scholen Zuid-Kempen vzw · Höhe: 1.000 Euro (ursprünglich 2.000 Euro)

Verstoß / Rechtsgrundlage: Eine Schule des Trägers führte 2019 über die Plattform Smartschool eine nicht anonyme Umfrage zum Wohlbefinden der Schüler durch, ohne Information der Eltern, ohne Einwilligung und ohne Folgenabschätzung. Strittig ist, ob der Träger unter Art. 83 Abs. 7 DSGVO fällt, der Mitgliedstaaten erlaubt, Behörden und öffentliche Stellen von Bußgeldern auszunehmen.

Begründung: Generalanwalt Campos Sánchez-Bordona meint, „Behörden und öffentliche Stellen“ umfasse nur Stellen, die hoheitliche Befugnisse ausüben. Staatliche Finanzierung und ein Auftrag im Gemeinwohl genügten nicht. Vorlagegericht ist der belgische Hof van Cassatie.

Praxisfolgen: Folgt der Gerichtshof, stellt sich die Frage auch für die deutsche Ausnahme in § 43 Abs. 3 BDSG neu — etwa für freie Schulträger, Wohlfahrtsverbände und privatrechtlich organisierte Einrichtungen mit öffentlichen Aufgaben. Diese sollten sich nicht darauf verlassen, als öffentliche Stelle bußgeldfrei zu sein.

Citrix NetScaler: Angriffe seit dem 24. September, Bürgerämter vorsorglich offline

29./30.09.2026 · SecurityWeek: Government, finance orgs targeted in weeks-long NetScaler zero-day attacks · heise online: IT-Störung trifft Kommunalverwaltungen in Rheinland-Pfalz

Zusammenfassung: Zu den am 29. September in diesem Briefing gemeldeten Zero-Days in Citrix NetScaler liegen neue Erkenntnisse vor. Nach Mandiant und Google Threat Intelligence werden sie seit dem 24. September ausgenutzt, gegen Behörden, Finanzsektor, Bildungseinrichtungen und Kanzleien in Nordamerika und Europa. Die Angreifer installieren die Web-Shell WHIPSHOT und das Tunnelwerkzeug SLAPSHOT. Kevin Beaumont zählt über 100 Opferorganisationen, Palo Alto Networks rund 50.000 aus dem Netz erreichbare Instanzen.

Hintergrund & Einordnung: In Rheinland-Pfalz haben IT-Teams am Sonntagnachmittag die Systeme aller Kommunalverwaltungen heruntergefahren, um die Lücken zu schließen. Meldeämter, Pass- und Ausweisstellen, Kfz-Zulassung, Standesämter, Waffenbehörden und die Schulverwaltung waren eingeschränkt. Die kommunalen Spitzenverbände betonen, es handle sich um „keinen erfolgreichen Cyberangriff, sondern eine Vorsichtsmaßnahme“. Der Fall zeigt, wie stark kommunale Dienste an einzelnen Zugangsgeräten hängen.

Praxisfolgen / Handlungsempfehlung: Ein Patch nach dem 24. September beseitigt keine bereits installierte Web-Shell. Betreiber sollten nach den veröffentlichten Indikatoren für WHIPSHOT und SLAPSHOT suchen, aktive Sitzungen beenden und Zugangsdaten erneuern, die über das Gerät liefen. Bei Hinweisen auf Kompromittierung gehört das Gerät neu aufgesetzt, nicht nur aktualisiert.

Mutmaßliches ShinyHunters-Mitglied in Amsterdam festgenommen

29./30.09.2026 · The Hacker News: Dutch police arrest 24-year-old · heise online: ShinyHunters weiter aktiv

Zusammenfassung: Die niederländische Polizei hat am 15. September einen 24-Jährigen festgenommen, der 2023 bereits wegen Datendiebstahls und Erpressung verurteilt worden war. Nach Angaben des FBI sollen er und Komplizen über 140 Organisationen gehackt und mindestens 70 Millionen US-Dollar erpresst haben. FBI-Vizedirektor Brett Leatherman fordert die übrigen Mitglieder auf, sich zu stellen. ShinyHunters bestreitet jede Verbindung.

Hintergrund & Einordnung: Parallel beansprucht die Gruppe einen Einbruch in das Bewerberportal des FBI mit Daten von rund 60.000 Personen, darunter Ergebnisse von Gesundheitsuntersuchungen. Genutzt worden sein soll eine Lücke in Oracle PeopleSoft (CVE-2026-35273, Wert 9,8). Festnahmen einzelner Mitglieder haben die Gruppe in der Vergangenheit nicht gestoppt; sie arbeitet dezentral und rekrutiert jung.

Praxisfolgen / Handlungsempfehlung: Betreiber von Oracle PeopleSoft sollten den Patchstand zu CVE-2026-35273 prüfen. Die Gruppe setzt stark auf Social Engineering gegenüber Helpdesks — Rückfragen zur Identität bei Passwort- und MFA-Rücksetzungen bleiben die wichtigste Gegenmaßnahme.

Star Blizzard: neue Infektionskette „RedFlick“ gegen Denkfabriken

29.09.2026 · SecurityWeek: Russian APT Star Blizzard uses RedFlick infection chain · The Hacker News

Zusammenfassung: Die dem russischen Inlandsgeheimdienst FSB zugerechnete Gruppe Star Blizzard hat seit Januar über 100 Organisationen angegriffen, vor allem in den USA und Großbritannien. Köder sind gefälschte Einladungen im Namen von Chatham House und dem Atlantic Council. Die neue Infektionskette „RedFlick“ nutzt VHDX-Container, die Komponenten NoroBot und BaitSwitch sowie die Hintertür CosmicPulse.

Hintergrund & Einordnung: Star Blizzard, auch als Callisto oder ColdRiver bekannt, hat es seit Jahren auf Regierungsstellen, Denkfabriken, Journalisten und NGOs abgesehen, die sich mit Russland und der Ukraine befassen. Früher arbeitete die Gruppe vor allem mit Phishing auf Zugangsdaten; die neue Kette zeigt einen Wechsel zu Schadsoftware. Ein Deutschland-Bezug wird in den Berichten nicht genannt, die Zielgruppe gibt es hier aber ebenso.

Praxisfolgen / Handlungsempfehlung: Organisationen aus Politikberatung, Wissenschaft und Medien sollten VHDX- und andere Container-Anhänge aus externen Mails blockieren. Einladungen zu Veranstaltungen, die über ungewöhnliche Dateiformate kommen, gehören beim Veranstalter über einen unabhängigen Weg geprüft.

Archetyp Market: Betreiber gesteht vor dem Landgericht Frankfurt

29.09.2026 · heise online: Gründer größter Drogenhandel-Plattform — „Bereue meine Taten“

Zusammenfassung: Der 31-jährige Angeklagte aus Minden hat vor dem Landgericht Frankfurt gestanden, den Darknet-Marktplatz Archetyp Market gegründet und betrieben zu haben: „Das war ein großer Fehler und ich bereue meine Taten zutiefst.“ Die Plattform lief von November 2022 bis Sommer 2025 und kam auf 330 Millionen Euro Umsatz, über 600.000 Kundenkonten und 2,3 Millionen Bestellungen. Der Angeklagte soll rund 20 Millionen Euro verdient haben. Ein Urteil wird im Oktober erwartet.

Hintergrund & Einordnung: Archetyp war einer der größten Drogenmärkte im Darknet, über den rund 6,9 Tonnen Drogen gehandelt wurden, darunter Fentanyl. Bezahlt wurde in der Kryptowährung Monero, die Server standen in den Niederlanden. Festgenommen wurde der Mann im Juni 2025 in Barcelona im Rahmen einer internationalen Aktion.

Praxisfolgen / Handlungsempfehlung: Für Unternehmen hat der Fall keine unmittelbaren Folgen. Er zeigt, dass Ermittlungsbehörden auch Marktplätze mit datenschutzorientierter Kryptowährung zerschlagen können — ein Umstand, der für die Risikobewertung von Erpressergruppen, die ähnliche Infrastruktur nutzen, von Bedeutung ist.