Autor: Abraham Söyler

Aktuelle Datenleaks I: Offene Credential-Sammlung mit fast 150 Mio. Log-ins

Eine ungeschützte Datenbank mit 149.404.754 Nutzer‑/Passwort‑Kombinationen wurde öffentlich zugänglich aufgefunden. Die Datensätze stammen überwiegend aus Infostealer‑Malware (historische Stealer‑Logs) und enthalten u. a. ca. 48 Mio. Gmail‑Konten. Es besteht eine hohe Gefahr für Credential‑Stuffing und Folgeangriffe; der Hoster nahm die Daten nach Hinweis offline.

https://www.wired.com/story/149-million-stolen-usernames-passwords/

https://cybernews.com/security/credential-leak-facebook-instagram-passwords-exposed/

Aktuelle Datenleaks II: Update zum Panera-Bread-Leak

Am 27. Januar 2026 behauptete die Gruppe ShinyHunters, in das System von Panera Bread eingedrungen zu sein. Panera Bread ist eine große amerikanische Kette von Fast-Casual-Restaurants mit Bäckerei-Cafés. Angeblich umfassten die kompromittierten Daten mehr als 14 Millionen Einträge. Die Webseite „Have I Been Pwned“ beziffert das Leck am 02.02.2006 jedoch auf „nur“ noch 5,1 Mio. eindeutige Accounts. Laut der Darstellung von ShinyHunters erfolgte der Zugang über SSO‑Missbrauch (Microsoft Entra) und Voice Phishing (Vishing).

https://dailydarkweb.net/panera-bread-data-breach-shinyhunters-claims-14-million-records-stolen/

https://www.bleepingcomputer.com/news/security/panera-bread-data-breach-impacts-51-million-accounts-not-14-million-customers/

Aktuelle Datenleaks III: Schwachstelle im Browser-Game

Das browserbasierte Regierungssimulationsspiel NationStates hat einen Datenvorfall bestätigt und die Website vorübergehend abgeschaltet. Ein Spieler mit Bug-Hunter-Historie konnte beim Testen einer kritischen Schwachstelle in der neuen „Dispatch Search“-Funktion unbefugt Code auf dem Produktionsserver ausführen und Quellcode sowie Nutzerdaten kopieren.  Dabei wurden unter anderem E-Mail-Adressen, als MD5-Hashes gespeicherte Passwörter (MD5 gilt schon seit sehr langem als unsicher für Passwörter), Log-in-IP-Adressen und Browser-User-Agent-Strings offengelegt. Außerdem gilt es als wahrscheinlich, dass Teile der internen „Telegram“-Nachrichten betroffen sind.

https://www.bleepingcomputer.com/news/security/nationstates-confirms-data-breach-shuts-down-game-site/

Es gilt weiter hin

1. Nutzen Sie nie das gleiche Passwort bei unterschiedlichen Diensten. Wird ein Dienst kompromittiert, bleiben die Auswirkungen auf die anderen Dienste gering.
2. Es ist nie zu spät, aber auch nie zu früh, um seine Identitäten zu härten. Verwenden Sie phishing‑resistente MFA (FIDO2/WebAuthn), eliminieren Sie SMS/Telefon‑MFA, nutzen Sie Conditional Access für riskobasierte Prüfungen und härten Sie SSO (Token‑Widerruf, Geo/ASN‑Kontrollen).

BfV und BSI warnen vor Phishing über Messengerdienste

Aktuell warnen das BfV und das BSI vor einer laufenden Kampagne eines mutmaßlich staatlich gesteuerten Akteurs. Über den Messenger Signal führt dieser gezielte Phishing-Angriffe auf hochrangige Personen aus Politik, Militär und Diplomatie sowie auf Investigativjournalisten und -journalistinnen in Deutschland und Europa aus. Auffällig ist, dass weder Malware noch Zero-Days zum Einsatz kommen. Stattdessen werden legitime Sicherheitsfunktionen der Apps mit Social Engineering verknüpft. Besonders gefährlich sind das Abfragen von PIN/Verifizierungscodes durch angebliche „Signal-Support“-Konten (was zur vollständigen Kontoübernahme führt) sowie das Ausnutzen der Gerätekopplung via QR-Code (was unbemerktes Mitlesen inkl. Zugriff auf Nachrichten der letzten 45 Tage ermöglicht). Diese Taktiken sind auch auf WhatsApp übertragbar, da die App eine vergleichbare Funktionsweise aufweist. Aus sicherheitstechnischer Sicht ist die Kampagne besonders heikel, da der erfolgreiche Zugriff nicht nur Einzelchats, sondern auch ganze Kommunikationsnetze über Gruppenchats und Kontaktlisten kompromittiert. Dadurch ist es möglich, Kontaktstrukturen zu kartieren und glaubwürdige Folgeangriffe zu starten. Die geringen technischen Hürden könnten zur Nachahmung durch Cyberkriminelle führen.

Die Behörden empfehlen als pragmatische Gegenmaßnahmen: Nicht auf vermeintliche Support-Chats reagieren, keine PINs oder SMS-Codes herausgeben, die Registrierungssperre (Registration Lock) in Signal aktivieren, QR-Codes nur bei eigener Gerätekopplung scannen, verknüpfte Geräte regelmäßig prüfen und unbekannte entfernen sowie Sicherheitsnummer-Änderungen out-of-band verifizieren. Bei Anzeichen einer Kompromittierung sollen Betroffene das BfV/BSI umgehend kontaktieren.

https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/202602_BfV_BSI.pdf?__blob=publicationFile

Ähnlich wie beim „Signalgate” erfolgen Angriffe auf sichere Messenger-Dienste nicht an den Stellen, an denen die Hersteller technische Sicherheitsmaßnahmen implementiert haben, sondern an den Stellen, für die die Anwender die Verantwortung tragen. Bei „Signalgate” fehlte beispielsweise die Überprüfung durch den Benutzer, ob der Gesprächspartner tatsächlich die Person ist, die er in die Chatgruppe einladen wollte. Bei den neuen Angriffen liegt es in der Verantwortung der Benutzer, nur die Geräte zu koppeln, die sich unter ihrer Kontrolle befinden, bzw. die PIN für die Accountwiederherstellung nicht weiterzugeben.

https://research.hisolutions.com/2025/04/signalgate/

Bedrohte Sicherheitsforschende

Zack Whittaker hat gemeinsam mit DataBreaches eine Umfrage unter Sicherheitsforschenden und Journalisten über Drohungen aufgrund ihrer Arbeit durchgeführt.

Dabei geht es einerseits um rechtliche Drohungen, beispielsweise im Rahmen des sogenannten „Hackerparagraphen“ § 202c StGB, aber auch um Drohungen von Kriminellen, welche die Forschenden einzuschüchtern versuchen.

Diese Umfrage ermöglicht einen Einblick in das bisher noch recht unerforschte Feld und ist als Startpunkt einer tieferen, empirischen Untersuchung gedacht.

https://databreaches.net/wp-content/uploads/security-researcher-journalist-threats-survey-2026.pdf

Der Streit um die Chatkontrolle in der EU

Seit mehreren Jahren wird das Thema Chatkontrolle innerhalb der EU diskutiert. Wir berichteten im Oktober 2025, dass die umstrittene verpflichtende Chatkontrolle verworfen wurde.  Davon nicht betroffen ist jedoch die 2021 eingeführte und 2024 verlängerte freiwillige Chatkontrolle. Diese ermöglicht das verdachtsunabhängige Durchsuchen von Medien und insbesondere Chats durch Anbieter wie Microsoft und Google. Diese freiwillige Kontrolle gilt trotz Kritik zur Verhältnismäßigkeit aufgrund einer Ausnahme, die nun wieder verlängert werden soll.

https://www.heise.de/news/Freiwillige-Chatkontrolle-EU-Parlament-plant-naechste-Frist-Verlaengerung-11169062.html

Meldepflicht in der Schweiz für IT-Sicherheitsvorfälle

Sechs Monate nach Einführung der Meldepflicht für IT-Sicherheitsvorfälle bei kritischen Infrastrukturen in der Schweiz zieht das BACS (Bundesamt für Cybersicherheit) Bilanz. Insbesondere hebt es die gut funktionierende Zusammenarbeit und die größere Teilnahme am Informationsaustausch hervor. In Deutschland regelt bereits seit längerer Zeit das BSI-Gesetz in § 8b Absatz 4 eine ähnliche Meldepflicht. Die Einführung von NIS-2, und damit die deutliche Erweiterung der meldepflichtigen Stellen, bringt hoffentlich ähnlich positive Resultate.

https://www.news.admin.ch/de/newnsb/gezctyF6KYR7UkCjXBC5s

https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/Kritische-Infrastrukturen/KRITIS-FAQ/FAQ-zur-Meldepflicht/faq-zur-meldepflicht_node.html

Datenreichtum bei Sonicwall

Einige unserer IR-Fälle der letzten Wochen standen im Zusammenhang mit dem Incident bei Sonicwall, bei dem Cloud- Back-ups durch Dritte einsehbar waren. Diese enthalten für Angreifende spannende Daten, um einen initialen Angriffsvektor in einer Umgebung zu finden. Es gab durchaus bereits einige solcher Lücken bei Firewall-Herstellern –Was diesen Vorfall aber so spannend macht, ist die weitere Entwicklung nach der Veröffentlichung: Während am 17. September noch von Auswirkungen für weniger als fünf Prozent der Anwender die Rede war, stellte sich nach umfassender Analyse heraus, dass Alle betroffen waren. Wichtige Erkenntnis: Schwachstellenmanagement hört nicht nach der initialen Meldung auf.

https://www.sonicwall.com/support/knowledge-base/mysonicwall-cloud-backup-file-incident/250915160910330

Wenn Kriminelle Exploits veröffentlichen

Dass eine Sicherheitslücke genutzt wird, um Ransomware zu verteilen, ist leider keine Seltenheit, in diesem Fall CVE-2025-61882 bei Oracle. Wenn aber die Existenz und das Ausmaß klar werden, weil eine andere kriminelle Organisation den genutzten Einfallsvektor veröffentlicht, dann lohnt sich ein Blick hinter die Kulissen.

https://www.bleepingcomputer.com/news/security/oracle-zero-day-exploited-in-clop-data-theft-attacks-since-early-august

https://www.bleepingcomputer.com/news/security/oracle-patches-ebs-zero-day-exploited-in-clop-data-theft-attacks/#:~:text=Exploit%C2%A0leaked%20by%C2%A0Scattered%20Lapsus%24%20Hunters

SaaS-Integrationen als Schwachstelle: Discord und Zendesk

Ein aktueller Sicherheitsvorfall bei Discord, ausgelöst durch eine Kompromittierung der Zendesk-Integration, demonstriert die Risiken privilegierter API-Zugriffe. Zendesk, als Customer-Support-Plattform, operiert mit OAuth-Tokens, die oft weitreichende Rechte auf Kundendaten gewähren. Das erfolgreiche Abgreifen eines solchen Tokens oder eine unzureichend abgesicherte API-Routine können ausreichen, um Zugriff auf sensible Dokumente wie Regierungs-IDs zu erlangen. Auch wenn ein Cross-Tenant-Angriff über gemeinsam genutzte Cloud-Ressourcen (z. B. AWS) weniger wahrscheinlich ist, bleibt er technisch denkbar.

https://firecompass.com/discord-zendesk-support-system-data-breach

https://discord.com/press-releases/update-on-security-incident-involving-third-party-customer-servicelinks

CRM-Systeme als Single Point of Failure: Qantas und Allianz Life

CRM-Plattformen wie Salesforce sind zentrale Datensilos – und damit hochattraktive Ziele. Im Fall Qantas nutzte die Gruppe „Scattered Spider“ Social Engineering gegen Administratoren, kombiniert mit SIM-Swapping zur Umgehung einer Multi-Faktor-Athentisierung. Nach Erlangung von Admin-Zugängen konnten über legitime Funktionen wie den Salesforce Data Loader große Datenmengen extrahiert werden – unauffällig und effizient.

Ein anderer Vorfall bei Allianz-Life zeigt, wie schwache Datenbanksegmentierung zu massiven Datenverlusten führen können. Moderne CRM-Systeme nutzen oft „Data Lakes“ mit schwacher Access Control, die über ETL-Pipelines zusätzliche Angriffsflächen bieten.

https://www.obsidiansecurity.com/blog/shinyhunters-and-scattered-spider-a-merger-of-chaos-in-the-2025-salesforce-attacks

https://www.9news.com.au/national/qantas-data-breach-salesforce/cc149e0a-3ba5-4235-8c22-1c855e2ade01

https://databreach.com/news/21-28m-allianz-life-customer-records-stolen-in-salesforce-hack

https://eu.usatoday.com/story/tech/2025/07/28/us-customers-data-stolen-cyberattack-allianz-life/85406949007

https://www.cbsnews.com/news/allianz-life-insurance-data-breach

Fintech-Exposition: Bonify und die Identitätsdaten

Bonify, als Schufa-Tochter, verarbeitet hochsensible Identitätsdokumente. Diese werden typischerweise in Object-Storage-Systemen wie S3 oder Azure Blob gespeichert. Fehlkonfigurierte Bucket-Permissions oder kompromittierte IAM-Rollen können dann einen direkten Zugriff ermöglichen. Das Angebot des Unternehmens für Betroffene, für sechs Monate kostenlos den Identitätsschutz des Unternehmens zu nutzen, deutet auf eine längerfristige Exposition hin – möglicherweise durch undetektierte APTs.

https://www.heise.de/news/Datenschutzvorfall-Identitaetsdaten-bei-Schufa-Tochter-Bonify-abgeflossen-10689766.html

https://www.computerbild.de/artikel/News-Internet-Etliche-Kundendaten-von-Schufa-Tochter-Bonify-gestohlen-40400105.html

In der Diskussion um die Einführung einer verpflichtenden Chatkontrolle gibt es neben der politisch umstrittenen Fragestellung ihrer Effektivität auch einen starken Sicherheitsaspekt. Selbst wenn eine Chatkontrolle eine unbestritten optimale Lösung wäre, stellt sich den praktisch veranlagten System-Ingenieuren die Frage der Umsetzung. Wie soll Ende-zu-Ende-verschlüsselte Kommunikation für die „legitime“ Überprüfung durch staatliche Institutionen aufgebrochen werden, ohne die Sicherheitsziele dieser Anwendungen fundamental zu verletzten? Wie stellen wir sicher, dass dieser „Lawful Access“ nicht durch Kriminelle ausgenutzt wird, wie in der Vergangenheit immer wieder beobachtet?

Das sogenannte Client Side Scanning ist vielseitiger Kritik ausgesetzt: Unklare KI-Algorithmen, False-Positive-Meldungen und daraus folgende Überlastung der Behörden. Auch gibt es grundsätzliche Bedenken zur Einführung solcher Massenüberwachungssysteme. Die Beteuerung, dass sie nur zur Aufklärung von Straftaten genutzt wird, mag aktuell erfüllt werden, aber sind die Werkzeuge einmal etabliert, können sie in Zukunft ebenso für andere Zwecke genutzt werden.

Auch wenn die Diskussion um das Thema wohl früher oder später wieder aufflammen wird, so ist das Aussetzen der Abstimmung auf EU-Ebene doch ein Etappensieg für sichere Kommunikation und die Wahrung von Grundrechten.

Warum klassische Phishing-Simulationen ausgedient haben – und was wirklich hilft

Phishing-Simulationen galten lange als Standard, um Mitarbeitende für E-Mail-Bedrohungen zu sensibilisieren. Neue Daten zeigen jedoch: Der Lerneffekt bleibt oft gering. Eine aktuelle Studie mit über 19.000 Beschäftigten fand selbst bei regelmäßigen Kampagnen kaum messbare Verhaltensänderungen – weder durch klassische Schulungen noch durch direkt eingeblendete Lernhinweise nach Fehlklicks.

Was läuft schief?

• Simulationen erreichen vor allem diejenigen, die auf die Mail hereinfallen; alle anderen bleiben passiv.
• Interaktive Schulungsmaterialien werden häufig ignoriert oder schnell vergessen.
• Die Melderate – entscheidend für eine schnelle Reaktion – wird selten konsequent gemessen und trainiert.

Was hilft stattdessen?

Phishing-Simulationen sind nicht nutzlos, aber allein nicht ausreichend. Wirkung entfalten sie erst im Zusammenspiel mit:

• technischen Schutzmaßnahmen (z. B. FIDO2, Zero Trust),
• einer offenen Meldekultur,
• zielgruppenspezifischen, praxisnahen Trainings.

Der Phishing-Drill als Paradigmenwechsel

Ein Lösungsvorschlag ist der Wechsel von der Phishing-Simulation zum Phishing-Drill. Dabei wird die Phishing-Mail bewusst als Übung gekennzeichnet und mit klaren Hinweisen zur Erkennung und Behandlung versehen. Ziel ist es, alle Mitarbeitenden einzubinden, den Meldeprozess aktiv zu üben und interne Abläufe zu verankern – vergleichbar mit einer Brandschutzübung.

Mehr Details, technische Hintergründe und Handlungsempfehlungen finden Sie in unserem vollständigen Blogbeitrag: „Klassische Phishing-Simulationen sind tot, lang lebe der Phishing-Drill“: https://research.hisolutions.com/2025/09/klassische-phishing-simulationen-sind-tot-lang-lebe-der-phishing-drill/

Google erzwingt Developer-Verifikation

Aufgrund der steigenden Anzahl an Malware auf Android-Geräten hat Google ein neues Sicherheitsfeature vorgestellt. Ab 2026 müssen Entwickelnde in vereinzelten Regionen eine Verifikation ihrer Identität durchführen, um Apps außerhalb des Play Stores anbieten zu können. Damit erweitert der Anbieter eines der größten Mobil-Ökosysteme seine bestehenden Store-Voraussetzungen auf alle Entwickelnden.

Diese Entscheidung erntet aber auch massiv Kritik. Nicht nur findet dadurch eine massive Einschränkung der Freiheiten der Nutzenden statt, auch ist der erhoffte Sicherheitseffekt fragwürdig. Denn auch im Play Store befinden sich viele schadhafte Apps, die diesen Kriterien bereits unterliegen.

https://developer.android.com/developer-verification/guides

https://android-developers.googleblog.com/2025/08/elevating-android-security.html

Behörde veröffentlicht Tool als freie Software

Die digitale Souveränität der Verwaltung ist aktuell ein heiß diskutiertes Thema. Einen weiteren Schritt in diese Richtung tat der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) mit der Veröffentlichung eines Werkzeuges „zum Auffinden personenbezogener Daten in großen Datenmengen“ als freie Software (EUPL) auf OpenCode. Neben der Souveränität in der Infrastruktur ist es eben auch wichtig, dass die eingesetzten Werkzeuge die notwendigen Freiheiten ermöglichen.

https://datenschutz.hessen.de/presse/hbdi-veroeffentlicht-programmcode-auf-opencodede

https://gitlab.opencode.de/hbdi/pbd-toolkit

Unser Top-Thema im August: Erkenntnisse aus dem Stackoverflow Developer Survey 2025

Datengarantien von Microsoft in der EU

Ein Dauerthema in der Diskussion um digitale Souveränität wird aktuell wieder heiß diskutiert: die Abhängigkeit von US-Cloud-Anbietern. In einer Anhörung um die französische UGAP (Union des Groupements d’Achats Publics) sagte der Chefjustiziar von Microsoft France, Anton Carniaux, dass ein Auskunftsersuchen durch die US-Behörden bei formeller Korrektheit erfüllt werden muss. Was dies für die großen Investitionen der Hyperscaler, wie die AWS Sovereign Cloud bedeutet, bleibt abzuwarten.

https://www.heise.de/news/Nicht-souveraen-Microsoft-kann-Sicherheit-von-EU-Daten-nicht-garantieren-10494684.html

https://noyb.eu/en/project/eu-us-transfers

Daten-Archäologie im Internet

Die Internetkultur hat sich seit der Entstehung und Popularisierung stetig weiterentwickelt. In einigen Fällen trifft man aber auch heute noch auf Artefakte aus einer anderen Zeit. Auf einem ecuadorianischen FTP-Server konnte Firmware für einen US Robotics ISP Modem Pool aus den 90er Jahren wiederentdeckt werden.

Nehmen Sie es als Anlass, selbst in die Tiefen des Internets auf Entdeckungsreise zu gehen!

https://www.searchftps.net