Allgemein

Aktiv ausgenutzte Schwachstellen häufen sich: Sicherheitslage verschärft sich quer durch die IT-Infrastruktur

Browser, VPNs, SD-WAN, Domain-Controller, MFT-Server und Mobile-Plattformen: In den letzten vier Wochen haben sich die Meldungen zu bereits aktiv ausgenutzten Schwachstellen auffällig verdichtet. Bemerkenswert ist, dass die in den Quellen beschriebenen Fälle unterschiedliche Produktkategorien betreffen, darunter Browser, VPN-/Firewall-Produkte, SD-WAN-Management, Domain-Controller, MFT-Server sowie Android- und Linux-Systeme. Betroffen sind ausgerechnet die Systeme, die in Unternehmen als besonders kritische Kontrollpunkte gelten. Mehrere Herstellerwarnungen, Medienberichte und neue bzw. aktualisierte Einträge im CISA-KEV-Katalog zeigen, dass zuletzt mehrere Schwachstellen als aktiv ausgenutzt gemeldet wurden. Dieser Eindruck […]

Schwachstelle

Meta-Fehler bei KI-Support: Angreifer kapern Instagram-Konten über automatisierte Kontowiederherstellung

Mehrere Quellen zeichnen ein konsistentes Bild: Angreifer nutzten Ende Mai und Anfang Juni 2026 eine Schwachstelle in Metas KI-gestütztem Account-Recovery- und Support-System für Instagram aus. Im Zentrum stand das interne bzw. erweiterte Support-Werkzeug „High Touch Support“ (HTS), das laut Meta als AI-assisted account recovery system fungierte. Statt eine klassische Sicherheitslücke in der Instagram-App selbst auszunutzen, zweckentfremdeten die Täter also den automatisierten Account-Wiederherstellungsprozess des KI-Chatbots. Laut TechCrunch und 404 Media ließen sich die Angriffe offenbar dadurch durchführen, dass Metas AI-Support-Chatbot dazu […]

KI/ML

Claude Mythos / Project Glasswing: Anthropic erweitert stark eingeschränktes Cyber-Modell auf kritische Infrastrukturen

Anthropic hat Claude Mythos Preview im April 2026 als besonders leistungsfähiges, aber nicht allgemein freigegebenes Modell für cybersicherheitsbezogene Aufgaben vorgestellt. Der Zugang erfolgt über Project Glasswing, ein Programm, in dem ausgewählte Partner das Modell für defensive Sicherheitsarbeit wie Schwachstellenanalyse und Absicherung kritischer Software einsetzen. Anthropic begründet die restriktive Freigabe ausdrücklich mit dem Missbrauchsrisiko solcher Cyber-Fähigkeiten. Anfang Juni 2026 hat Anthropic Project Glasswing deutlich ausgeweitet: Nach Angaben des Unternehmens erhalten rund 150 weitere Organisationen in mehr als 15 Ländern Zugang, darunter […]

Kryptographie, Netzwerk, Post-Quanten-Kryptografie, Quantencomputing, Risikomanagement

Die Uhr läuft: Warum die Post-Quanten-Migration jetzt beginnen muss

Die Post-Quanten-Migration ist keine Zukunftsaufgabe mehr – angesichts bereits finalisierter NIST-Standards, konvergierender CRQC-Prognosen auf 2030–2035 und der schon heute realen „Harvest Now, Decrypt Later“-Bedrohung zeigt Moscas Ungleichung unerbittlich: Jeder Tag ohne begonnene Migration schließt das Zeitfenster für eine geordnete Transition unwiderruflich weiter.

Schwachstelle

Stryker-Breach: Wenn das eigene MDM zur Waffe wird

Am 11. März 2026 löschte die iranisch-verlinkte Hacktivistengruppe Handala über Microsofts Intune-Wipe-Funktion nahezu 80.000 Geräte des Medizintechnik-Konzerns Stryker. Stryker meldete keine Hinweise auf Ransomware/Malware in der eigenen Umgebung. Der Angriff erfolgte durch den Missbrauch von cloud-basierten Diensten zur Administration der Endgeräte. Für die destruktive Phase war keine zusätzliche Malware auf den Endpoints nötig. Der Angriff missbrauchte legitime Intune‑Wipe‑Funktionen. Der initiale Angriffsweg, mit dem sich die Täter Zugang zur Cloud verschafften (Credential Theft), bleibt jedoch unklar. Der Fall illustriert ein strukturelles […]

ISMS

Grundschutz++: Mehr Resilienz in der Informationssicherheit?

Der IT-Grundschutz des Bundesamtes für Sicherheit in der Informationstechnik (BSI) steht vor einer umfassenden Weiterentwicklung. Mit dem Grundschutz++ (GS++) löst das BSI die statische, dokumentenzentrierte Bereitstellung von Sicherheitsanforderungen im IT-Grundschutz-Kompendium ab und etabliert ein maschinenlesbares Regelwerk für die Ära der NIS-2-Richtlinie. Das BSI bildet das Regelwerk dabei in einem maschinenlesbaren digitalen Format (OSCAL/JSON) ab – ein Ansatz, der in der Fachwelt auch als „Compliance as Code“ oder „Rules as Code“ diskutiert wird (im Folgenden wird auf den Begriff „Compliance as […]

Risikomanagement

Vertrauen im digitalen Zeitalter

Oft steht in der IT die Frage im Raum, ob eine bestimmte Anwendung oder Hardware „sicher“ sei. Die kompetente Antwort enthält dabei fast immer das Stichwort „Threat Modelling“ und den Zusatz „es kommt darauf an“. Aber worauf eigentlich genau? Die kurze Antwort lautet, Sicherheit basiert immer auf Vertrauen. Denn eine noch so gute Anwendung bringt nichts, wenn die Angreifer die darunterliegenden Systeme kompromittiert haben. Insbesondere erfordert dies ein grundlegendes Vertrauen gegenüber den Herstellern und Lieferanten, dass diese nicht selbst die […]