Der schonungslose Ablauf: Wie die „Gentlemen” arbeiten

Die Gentlemen-Ransomware funktioniert nach einem kalt kalkulierten Plan. Bevor auch nur eine einzige Datei verschlüsselt wird, räumt sie das Spielfeld auf – und diese Phase ist für Sie und die Möglichkeit zu intervenieren entscheidend.

Das Windows-Defender-Manöver

Die Malware deaktiviert zunächst die Echtzeit-Schutzfunktion von Microsoft Defender, fügt sich selbst und die C:-Festplatte der Ausschlussliste hinzu und löscht relevante Sicherheitsprotokolle. Das bedeutet: Der Defender schaut aktiv weg von dem, was gerade passiert.

Das ist perfide, weil es schnell, leise und hoch effizient geht – für die Hacker.Für Ihre Mitarbeiter sieht im Moment nichts verdächtig aus, da der Defender ja noch läuft. Nur eben … nicht mehr aktiv.

Das Backup-Desaster

Parallel dazu greift die Malware Ihr Backup-System an. Dabei werden alle mit Backup-Services verknüpften Prozesse und Dienste gestoppt, insbesondere:

• Veeam-Backup-Services (falls Sie Veeam nutzen).
• Acronis-Agenten
• andere Enterprise-Backup-Produkte
• Datenbankservices, die regelmäßige Backups auslösen.

Um das Ganze noch zu verschlimmern, löscht die Malware alle Volume Shadow Copies (VSC), also die automatisierten Schnappschüsse, die Windows ständig erstellt. Das ist Ihre letzte Rettungsleine, wenn normale Backups fehlschlagen.

Das Ergebnis: Backups existieren möglicherweise noch auf der Festplatte, aber Sie können sie nicht einfach wiederherstellen, da die zuständigen Dienste deaktiviert sind.

Die Spurenverwischung

Die Malware löscht dann auch noch Event Logs, den PowerShell-Verlauf, RDP-Sitzungsprotokolle und Prefetch-Dateien. Für die IT bedeutet das: Wenn die Verschlüsselung startet, stehen keine Forensik-Daten mehr zur Verfügung, um zu verstehen, wie der Angreifer in das System eingedrungen ist und wie er vorgegangen ist. Diese Informationen wären jedoch notwendig, um einen Rettungsversuch unternehmen zu können.

Die Verschlüsselung selbst kombiniert Curve25519 (elliptische Kurvenkryptografie) mit ChaCha20 – das ist militärische Sicherheit. Jede Datei erhält einen eindeutigen Schlüssel. Ohne den privaten Schlüssel des Angreifers ist eine Entschlüsselung nicht möglich.

Warum das funktioniert: Der technische Hintergrund

Die Gentlemen nutzen ein Ransomware-as-a-Service-(RaaS)-Modell, das seit September 2025 Affiliates rekrutiert. Das bedeutet, dass es sich um ein professionell betriebenes Ökosystem handelt und nicht um einen einzelnen Hacker im Keller.

Besonders beeindruckend ist die Netzwerk-Ausbreitungsfähigkeit. Die Malware nutzt bis zu 21 verschiedene Techniken gleichzeitig, um von einem System zum nächsten zu springen. Wenn Sie nicht alle blocken können, dann haben Sie ein Problem, denn dem Angreifer reicht eine ungeblockte Methode.

Die Verschlüsselung selbst kombiniert Curve25519 (elliptische Kurvenkryptografie) mit ChaCha20 – das ist militärische Sicherheit. Jede Datei erhält einen eindeutigen Schlüssel. Ohne den privaten Schlüssel des Angreifers ist eine Entschlüsselung nicht möglich.

Das eigentliche Gift ist die doppelte Erpressung: Die Angreifer verschlüsseln nicht nur Ihre Dateien, sondern stehlen sie vorher. Wenn Sie nicht zahlen, drohen sie mit der Veröffentlichung.

Das Eingangstor: Hier kommen die Angreifer herein.

Hier sind die typischen Wege, wie die Angreifer Zugang erhalten:

• Phishing und Malicious E-Mails (37 %)
• Ausgenutzte Sicherheitslücken (32 %) – oft in Firewalls und VPN-Appliances
• Gestohlene oder gebrutete Anmeldedaten (23 %) – besonders für VPN und OWA/M365

Das Interessante dabei ist: Das ist kein High-Tech-Einstieg. Hacker nutzen häufig das, was Sie bereits haben: Ihre eigenen Anmeldedaten. Von dort aus eskalieren sie Privilegien und verbreiten sich.

Was ist zu tun? Die Maßnahmen, die wirklich zählen

Viele IT-Leiter denken: „Ein gutes Backup ist genug.” Das ist falsch, denn in diesem Fall ist das Backup selbst das primäre Ziel und nicht die Dateien, die eigentlich durch das Backup bewahrt werden sollen.

1. Die Backup-Architektur reparieren

Immutable (unveränderliche) Backups sind jetzt Pflicht, das bedeutet:

• Backups müssen so konfiguriert sein, dass selbst ein gehackter Admin-Account sie nicht löschen oder verändern kann.
• Sie sollten offline oder in einer isolierten Cloud-Region gespeichert sein.
• Sie müssen regelmäßig getestet und verifiziert werden, denn „Backups existieren” ist nicht gleich „Backups funktionieren”.

Die 3-2-1-Regel ist Standard: – 3 Kopien Ihrer Daten, davon 2 auf verschiedenen Speichermedien und 1 komplett offline.

2. Access Controls aufdrehen

• MFA auf allen Backup-Management-Accounts – Punkt. Keine Ausnahmen.
• Principle of Least Privilege: Admin-Zugang nur für die, die ihn wirklich brauchen.
• Regelmäßige Credential-Rotation

Die Gentlemen nutzen häufig gestohlene oder gebrutete Zugangsdaten. Wenn Sie kein starkes Identitätsmanagement haben, ist Ihre Backup-Konsole das letzte Schloss, das Hacker knacken.

3. Defense-in-Depth: Mehrschichtig denken

• EDR im Block-Mode aktivieren (Endpoint Detection & Response, die auch blockt und nicht nur alarmiert)
• Behavioral Detection auf anomale Massenaktivitäten konfigurieren: Tausende von verschlüsselten Dateien um 3 Uhr nachts? Das sollte sofort geblockt werden.
• Attack Surface Reduction Rules nutzen (bei Microsoft Defender XDR).
• Tamper Protection aktivieren, sodass Prozesse den Defender nicht deaktivieren können.

4. Netzwerk-Segmentierung

Die Gentlemen breiten sich aggressiv aus.
Wenn Sie Ihr Netzwerk segmentieren, beachten Sie:

• Backup-Systeme separat vom Produktiv-Netzwerk
• Kritische Datenbanken in eigenen Segmenten
• Engmaschiges Monitoring zwischen den Segmenten

So wird ein Befall auf einem System nicht sofort zu einem Befall überall.

5. Incident Response und Wiederherstellung trainieren

Die beste Abwehr nützt nichts, wenn Sie nicht üben, zu reagieren.

• Regelmäßige Recovery-Tests durchführen (nicht nur die Backup-Integrität prüfen, sondern ein System vollständig von Backup wiederherstellen).
• Wer entscheidet, was zu tun ist? Dieser Prozess muss vor dem Incident definiert sein.
• Alle Rollen sollten gemeinsam üben, nicht isoliert, um zu erfahren, wie echte Zusammenarbeit zwischen IT-Sicherheit, Infrastruktur und Backup-Team aussieht.

Unser Vorgehen:

Falls Sie dieses Szenario befürchten und Hilfe benötigen, können Sie sich gerne an uns wenden.

Wir beginnen mit Konzeption und Analyse: Wir betrachten Ihre Backup-Architektur, Ihre Zugriffskontrollen, Ihre digitale Reife und IT-Landschaft, Ihre Netzwerksegmentierung und Ihre Dokumentation. Wir ermitteln, wo Sie stehen und wo sich echte Lücken befinden.

In einem Workshop arbeiten wir gemeinsam mit Ihrem Team: Welche Szenarien sind für Sie die Worst-Case-Fälle? Wie sieht ein Wiederherstellungsplan aus, den Sie in vier Stunden und nicht in vier Tagen umsetzen können? Welche Rollen und Entscheidungswege benötigen Sie?

Das Ergebnis ist ein für Ihr Unternehmen passendes Konzept – nicht dasselbe wie bei dem Unternehmen um die Ecke, sondern maßgeschneidert. Gerne unterstützen wir Sie auch beim Change-Management und der User-Adoption und helfen Ihnen dabei, die Maßnahmen in Ihrem Unternehmen dauerhaft und effektiv zu implementieren.

Die Gentlemen mögen aggressiv sein, aber mit dem richtigen Schutzschild sind Sie schneller.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Sicher, du hast schon von Custom GPTs gehört. Das sind die genialen, angepassten ChatGPT-Versionen, mit denen sich der Kundenservice optimieren, Daten schneller aufbereiten und Texte generieren lassen. Eine großartige Sache. Aber Achtung: Sie sind auch eine gigantische Angriffsfläche – und das ist nur die eine Seite des Problems.

Im Oktober 2026 haben Sicherheitsforscher von Huntress eine Kampagne aufgedeckt, die zeigt, wie gefährlich die unkontrollierte Nutzung von KI-Tools sein kann. Angreifer hatten Custom GPTs mit Namen wie „Plus 5.6” erstellt und über Google-Anzeigen verbreitet. Das Ziel war es, Nutzer auf gefälschte Seiten zu locken, wo die Custom GPTs über PowerShell-Befehle einen Fernzugriffstrojaner installieren sollten. Die Täter waren dabei auffallend raffiniert, denn sie nutzten die Glaubwürdigkeit von OpenAI-Domains, um ihre Opfer zu täuschen.

Das Problem: Diese Angreifer brauchten nicht einmal Exploit-Zero-Days oder komplexe Technologie. Sie brauchten nur Vertrauen. Und genau darin steckt die echte Gefahr.

Obwohl Custom GPTs am 11. Dezember 2026 im neuen Gewand daher kommen und Plugins heißen, ändert das nach unserem Kenntnisstand nichts an den hier beschriebenen Problematiken.

Warum Custom GPTs plötzlich zum Sicherheitsrisiko werden

Custom GPTs klingen nach der perfekten Lösung: Du passt ChatGPT an deine Anforderungen an, integrierst dein Wissen und deine Dateien – und schon haben deine Mitarbeiter:innen einen intelligenten Assistenten. Da OpenAI das Ganze hostet, muss es sicher sein, oder?

Nein, das ist genau der Punkt, den viele Geschäftsführer und IT-Leiter – von den Mitarbeitern einmal ganz abgesehen – nicht tiefgründig genug hinterfragen.

Die Realität sieht wie folgt aus: Aktuelle Sicherheitsforschung zeigt, dass etwa 95 % der Custom GPTs unzureichende Sicherheitsmaßnahmen haben. Noch schlimmer: Über 98,8 % sind anfällig für Prompt-Injection-Angriffe, bei denen Angreifer die Anweisungen des GPTs extrahieren können. Deine proprietären Hinweise, dein Know-how, deine Firmendaten – alles in der Hand Fremder. Die anderen 1,2 %? Die fallen bei etwas mehr Aufwand ebenfalls durch das Raster. Kein einziger Custom GPT hat sich als sicher erwiesen.

Die Huntress-Kampagne zeigt jedoch, dass es nicht nur um die Kompromittierung deiner GPTs geht. Es geht auch darum, dass Angreifer deine Mitarbeiter als Werkzeug nutzen, um ins Unternehmen zu gelangen. Genau das ist hier passiert. Ein Mitarbeiter der Personalabteilung klickte auf eine Anzeige für einen „hilfreich aussehenden Custom GPT“, landete auf einer gefälschten Cloudflare-Verifizierungsseite – und schon saß ein Trojaner mit Fernzugriff, Audio- und Kamera-Zugriff, voller Systemkontrolle und der Fähigkeit, weitere Malware nachzuladen auf seinem Desktop.

Das Tückische daran ist, dass der gesamte Infektionsprozess teilweise im Arbeitsspeicher abläuft oder dass legitime, signierte Programme als Tarnung genutzt werden. EDR-Systeme erkennen das oft nicht sofort. Wenn die Persistenz einmal hergestellt ist (Registry-Einträge, geplante Aufgaben), wird es für dein SOC (Security Operations Center, ein üblicherweise ausgelagertes Team von IT-Sicherheitsexperten) zur Sisyphusarbeit, das wieder aus deinem Unternehmensnetzwerk zu entfernen.

Die versteckte Gefahr: KI als Datenleck im eigenen Haus

Aber hier wird es noch wichtiger für dich: Das externe Sicherheitsrisiko ist nicht das Schlimmste. Am schlimmsten ist es, wenn Unternehmen KI-Tools nutzen, ohne zu wissen, was mit ihren Daten passiert.

Ich habe das selbst schon erlebt – und das, obwohl kein konkreter Angriff stattgefunden hat. Ein mittelständischer Personalvermittler wollte die Bewerbungsunterlagen seiner Kunden mit ChatGPT aufbereiten – eigentlich eine coole Idee, um schneller professionelle Lebensläufe zu erstellen. Doch niemand fragte: „Wo landen diese Daten eigentlich? Wer hat Zugriff? Werden sie zum Training von KI-Modellen genutzt?”

Das Ergebnis war mehr als schmerzhaft: Persönliche Daten der Kandidaten – Kontaktinformationen, Qualifikationen und teilweise sogar Gesundheitsinformationen – wurden über die KI-APIs gesendet und befanden sich damit außerhalb der Kontrolle des Unternehmens. Im schlimmsten Fall konnten diese Daten von Dritten abgegriffen oder zum Training genutzt werden. Ein Datenschutzskandal der Marke „Hätten wir vorher drüber nachdenken sollen“.

Das Kernproblem ist, dass Unternehmen KI-Tools verwenden, als wären es neutrale Werkzeuge. Sie sind es nicht. Jeder KI-Einsatz ist eine Vorgabe zur Datenverarbeitung, in der Regel völlig außer Haus – und daher muss man wissen, was man tut.

Die fehlenden Elemente: Bewusstsein und Governance

Hier ist die unbequeme Wahrheit: Es handelt sich nicht nur um ein technisches oder ein Security-Problem. Es ist auch kein reines Awareness-Problem, das sich durch eine Schulung lösen lässt. Es ist ein Governance-Problem.

Governance bedeutet, Fragen zu stellen, bevor die Tür (in die falsche Richtung) aufgeht.

• Welcher Geschäftsprozess soll mithilfe von KI verbessert werden?
• Welche Daten fließen in die KI?
• Wem gehören diese Daten?
• Was macht die KI damit (Training, Speicherung, Verarbeitung)?
• Sind die Daten verschlüsselt?
• Ist dafür eine rechtliche Grundlage vorhanden (DSGVO, KI-Verordnung)?
• Wer trägt die Verantwortung, wenn es schiefgeht?

Viele Mittelständler machen das nicht. Sie laden einen Custom GPT aus dem Store, trainieren ihn mit internen Dokumenten und merken erst zu spät, dass sie gerade ihre Betriebsräte, Gehälter oder Kundenverträge einer Cloud-Anwendung anvertraut haben, deren Datenschutzpraktiken sie nicht kennen.

Die EU-KI-Verordnung (AI Act) ist seit August 2026 in der Transparenz- und Dokumentationspflicht voll wirksam. Das heißt: Du musst dokumentieren, welche KI-Systeme du nutzt, wie sie funktionieren und welche Risiken sie mit sich bringen. Verstöße können bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes kosten.

Die DSGVO war die erste Welle. NIS-2 und die KI-Verordnung sind die zweite. Und sie überlappen sich. Eine Datenschutz-Folgenabschätzung (DSFA) nach DSGVO ist oft gleichzeitig eine Risikoabschätzung nach AI Act.

Das bedeutet konkret für dich: Bevor du einen Custom GPT mit Kundendaten trainierst, musst du:

1. Feststellen: Welche Daten gehen rein? (Kundennamen, E-Mails, Vertragsdetails?)
2. Bewerten: Ist das ein hohes oder niedriges Risiko?
3. Dokumentieren: Was hast du überlegt? Welche Maßnahmen hast du getroffen?
4. Überwachen: Wie überprüfst du, dass die KI sich verhält, wie sie soll?
5. Reagieren: Wenn der GPT kompromittiert wird oder Daten lecken – was dann?

Wie Sicherheit und Datenschutz zusammenhängen – und warum Change Management entscheidend ist

Deine Mitarbeiter sind nicht blöd, wenn sie auf so einen GPT klicken. Sie sind nur nicht geschult. Sie wissen nicht, dass:

• Nicht alle Custom GPTs seriös sind.
• eine schöne Google-Anzeige nicht bedeutet, dass das Tool vertrauenswürdig ist.
• ein PowerShell-Prompt „zur Verifizierung” nichts mit legitimen Websites zu tun hat.
• Sie mit bestimmten KI-Tools automatisch sensible Daten weitergeben.

Das heißt konkret:

• Schulung: Deine Team-Mitarbeitenden brauchen ein Verständnis dafür, was KI kann und wo die Grenzen sind.
• Richtlinien: Es reicht nicht, Custom GPTs zu erlauben. Du brauchst klare Regeln: Welche GPTs sind erlaubt? Welche Daten dürfen verwendet werden?
• Monitoring: Welche KI-Tools nutzen deine Mitarbeitenden wirklich? Das musst du sehen.
• Kommunikation: Wenn etwas schiefgeht – wie bei der Huntress-Kampagne –, musst du schnell und transparent reagieren können.

Das Ganze ist also kein reines IT-Security-Thema. Hier spielt die Zusammenarbeit zwischen den Abteilungen IT, HR, Recht, den verschiedenen Fachbereichen und der Geschäftsleitung eine Rolle. Es umfasst nicht nur eine IT-Governance, sondern die Governance der Zusammenarbeit im Unternehmen.

Praktische Warnsignale – Was du jetzt überprüfen solltest

Bei der Analyse der Kampagne hat Huntress folgende Indikatoren für eine Infektion identifiziert. Diese Informationen sind aber auch sehr hilfreich, um allgemein zu verstehen, was schiefläuft:

• PowerShell startet msiexec.exe im stillen Modus. Das ist typisch für Malware-Installationen, nicht für legitime Prozesse.
• Signierte Anwendungen starten aus ungewöhnlichen Pfaden (z. B. %LOCALAPPDATA%\Programs). Das ist ein klassisches Tarnungsmuster.
• Registry-Einträge und geplante Aufgaben mit seltsam vertrauten Namen: Angreifer verwenden oft harmlos klingende Namen wie „Canon Configuration Reader” oder „Stardock Config Service”.
• Verschlüsselte Dateisysteme in Temp-Ordnern: Das war besonders raffiniert. Die Angreifer bauten ein eigenes Archiv mit 1 128 Einträgen, um Persistenz und weitere Payloads zu verstecken.

Für dich als Geschäftsführer oder IT-Leitung bedeutet das:

Was ist zu tun? Der Fahrplan

Die Antwort kann nicht lauten, alle Custom GPTs oder KI generell zu verbieten. Ihre Nutzung erfordert jedoch Struktur und Wissen.

Dein Maßnahmenplan:

1. Bestandsaufnahme: Welche KI-Tools nutzen wir bereits? Welche sind geplant? Welche Daten verarbeiten sie?
2. Risikoklassifizierung: Handelt es sich um Hochrisiko-Systeme (z. B. HR-Tools, Kundenanalysen) oder um Low-Risk-Systeme (z. B. Textformatierung)?
3. Governance etablieren: Es müssen klare Richtlinien für den KI-Einsatz erstellt werden: Wer darf was, mit welchen Daten und zu welchem Zweck?
4. Technische Maßnahmen:
   • Zugriffsschutz auf KI-APIs
   • Logging der KI-Nutzung
   • Regelmäßige Sicherheitsprüfungen
   • Segmentierung sensibler Daten
5. Schulung und Change Management:
   • Awareness-Kampagnen für Mitarbeiter
   • Regelmäßiges Training zu neuen Bedrohungen
   • Klare Kommunikation über erlaubte und verbotene Tools
6. Compliance-Dokumentation:
   • DSFA für KI-Projekte mit hohem Risiko
   • AI-Act-Compliance bis zum 2. Dezember 2027
   • DSGVO-konforme Verarbeitungsverträge mit KI-Anbietern

Unser Vorgehen

Ja, ein solches Governance-Projekt inklusive Change-Management, User Adoption und IT-Härtung ist komplex. Und ja, es braucht Zeit. Aber es ist nicht optional, sondern aufgrund des Cyber Resilience Acts seit dem 11.09. Pflicht – und es schützt dein Unternehmen.

Wenn du Fragen hast oder Beratung oder Projektunterstützung benötigst, sind wir für dich da. Unser Vorgehen ist klar und nachvollziehbar. Zunächst erstellen wir ein Konzept, in dem wir die Unternehmensprozesse und die IT-Landschaft betrachten, den digitalen Reifegrad und die aktuellen KI-Einsätze ermitteln und gemeinsam Chancen und Risiken ausloten.

In Workshops mit den Fachbereichen durchlaufen wir einen strukturierten Fragenkatalog. Wo soll KI eingesetzt werden? Welche Daten sind betroffen? Welche Governance-Regeln brauchen wir? Welche technischen Maßnahmen sind nötig?

Das Ergebnis ist ein Governance-Konzept, das genau zu deinem Unternehmen passt – kein generischer „Best Practice“-Plan, sondern eine maßgeschneiderte Lösung.

Wir unterstützen euch auch beim Change Management: Wir schulen eure Mitarbeitenden, kommunizieren die neuen Regeln klar und – ganz wichtig – passen kontinuierlich an, wenn sich die Bedrohungslage ändert.

Unser Ziel: KI nutzen, ohne die Kontrolle zu verlieren. Das ist möglich. Es braucht aber einen Plan.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Betroffen sind Unternehmen, die Exchange lokal auf einem Windows Server 2019 oder einer neueren Version betreiben. Microsoft untersucht derzeit die Ursache und stellt eine vorübergehende Abhilfe bereit. Wichtig: Laut Microsoft liegt das Problem nicht an den Exchange-Sicherheitsupdates selbst, weshalb diese nicht einfach deinstalliert werden sollten.

Was passiert?

Nach der Installation bestimmter Windows-Sicherheitsupdates können Nutzer:innen Schwierigkeiten haben, sich bei Outlook im Web (OWA) anzumelden. E-Mails bleiben teilweise im Postausgang von Outlook hängen oder werden nicht zugestellt. Auch der Zugriff auf Postfächer während der Replikation kann beeinträchtigt sein.

Microsoft nennt eine neue Begrenzung des Endpoint Mapper als mögliche Ursache: Standardmäßig lässt dieser höchstens 512 gleichzeitige Endpoint-Lookup-Aufrufe zu. Bei hoher Exchange-Server-Auslastung kann diese Grenze zu niedrig sein. Nicht alle Server sind gleichermaßen betroffen, sondern es kommt unter anderem auf die jeweilige Last und Umgebung an.

Microsofts vorübergehende Abhilfe

Nach der Installation bestimmter Windows-Sicherheitsupdates können Nutzer:innen Schwierigkeiten haben, sich bei Outlook im Web (OWA) anzumelden. E-Mails bleiben teilweise im Postausgang von Outlook hängen oder werden nicht zugestellt. Auch der Zugriff auf Postfächer während der Replikation kann beeinträchtigt sein.

Microsoft nennt eine neue Begrenzung des Endpoint Mapper als mögliche Ursache: Standardmäßig lässt dieser höchstens 512 gleichzeitige Endpoint-Lookup-Aufrufe zu. Bei hoher Exchange-Server-Auslastung kann diese Grenze zu niedrig sein. Nicht alle Server sind gleichermaßen betroffen, sondern es kommt unter anderem auf die jeweilige Last und Umgebung an.

Was ist jetzt zu tun?

• Es muss geprüft werden, ob nach den Oktober-Updates die Anmeldung über OWA, der E-Mail-Versand oder die Postfachreplikation gestört sind.
• Erfassen Sie außerdem die Windows- und Exchange-Versionen sowie die Auslastung der betroffenen Server.
• Die aktuellen Hinweise von Microsoft prüfen und die vorgeschlagene Registry-Anpassung nur kontrolliert umsetzen.
• Die Exchange-Sicherheitsupdates sollten nicht vorschnell deinstalliert werden.
• Nach einem Neustart sind Anmeldung, Mailfluss und Replikation zu überwachen.

Der Fall zeigt: Patch-Management endet nicht mit der Installation. Sicherheitsupdates müssen auch im Zusammenspiel mit den eigenen Anwendungen und Arbeitslasten bewertet werden. Ein klarer Prozess für Tests, Freigaben und die Überwachung nach Updates hilft dabei, Störungen schneller einzugrenzen.

Wie wir unterstützen

Wir beginnen mit einer Analyse Ihrer Systeme, Update-Prozesse und Betriebsabläufe. In einem Workshop betrachten wir, wie Änderungen getestet und freigegeben werden, und skizzieren passende Maßnahmen für Ihre Umgebung. Daraus entsteht ein zu Ihrem Unternehmen passendes Konzept. Auf Wunsch unterstützen wir Sie auch bei der Umsetzung, Kommunikation und dauerhaften Verankerung der Prozesse.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Anfang Oktober 2026 entdeckte der Security-Forscher Steven Lim die Domain „teams-cloud[.]live”, die gerade einmal fünf Tage alt war, aber bereits aktiv im Einsatz war. Sie imitiert nicht nur die Teams-Login-Seite, sondern auch die gesamte Benutzeroberfläche. Das Perfide daran ist, dass sie für den flüchtigen Blick eines gestressten Mitarbeiters kaum von echten Teams zu unterscheiden ist.

Die Frage stellt sich sofort: Wie viele deiner Mitarbeiter haben diese Seite bereits besucht? Wie viele haben ihre Zugangsdaten eingegeben?

Das eigentliche Problem ist: Vertrauen ist dein größtes Sicherheitsrisiko.

Es gibt hier keinen Software-Bug, den Microsoft schnell beheben könnte. Das ist klassisches Social Engineering auf Basis vertrauter Markengestaltung. Deine Mitarbeiter kennen Teams, nutzen es täglich und vertrauen der Oberfläche – genau das machen sich Hacker zunutze.

Steven Lim hat außerdem dokumentiert, dass die gefälschte Seite beim Klick auf „Teams aktualisieren” eine TXT-Datei zum Download anbietet. Ob darin Malware enthalten ist oder nur Schrott, ist unklar. Aber das ist der Punkt: Cyberkriminelle müssen nicht alles perfekt machen. Sie müssen nur genug Unsicherheit säen, damit einige User auf den Link klicken.

Ein weiteres Detail ist, dass es eine Healthcare-Version unter amgen[.]teams-cloud[.]live gibt – offensichtlich gezielt auf Unternehmen aus dem Gesundheitssektor ausgerichtet. Das zeigt: Diese Attacke ist nicht zufällig, sondern systematisch und zielgerichtet.

Was bedeutet das für dein Unternehmen?

Hier ist die unbequeme Wahrheit: Dein IT-Budget, deine Firewalls und deine Antivirus-Software können diese Attacke nicht stoppen. Nicht, weil sie schlecht sind, sondern weil die Schwachstelle zwischen Stuhl und Tastatur sitzt – also bei deinen Mitarbeitern.

Das ist genau der Grund, warum User Adoption und Change Management keine Nice-to-Haves, sondern echte Sicherheitsmaßnahmen sind. Wenn deine Teammitglieder trainiert sind, bei verdächtigen URLs zu fragen „Stimmt diese URL wirklich?”, haben Hacker ein echtes Problem.

Gleichzeitig zeigt sich hier auch, dass generische Sicherheitstrainings oft versagen. Der Mitarbeiter kennt Teams, die Seite sieht aus wie Teams – Training hin oder her, es ist psychologisch sehr schwer, das zu durchschauen.

Das ist zu tun

1. Blockiert die Domains sofort: teams-Cloud[.]Live und alle bekannten Subdomains müssen auf eure Blocklisten. Microsoft bietet dafür die Tenant Allow/Block List und Defender Network Protection – nutzt diese.
2. Überwacht eure Logs: Prüft eure Proxy- und Firewall-Logs auf Zugriffe zu teams-cloud[.]live und verwandten Domains. Wenn jemand dort war, könnte sein Passwort kompromittiert sein.
3. Trainiert eure Mitarbeiter, aber realistisch: Nicht mit dem üblichen Sicherheits-Buzzword-Bingo, sondern konkret: „Prüft immer die URL in der Adressleiste. Wenn die Domain nicht auf microsoft.com endet, ist es nicht Microsoft. Im Zweifelsfall fragt die IT.“
4. Etabliert einen sicheren Kanal für IT-Anfragen: Mitarbeiter sollten ungeplante Update-Aufforderungen oder Login-Anfragen immer über den etablierten IT-Support-Kanal verifizieren und nicht über einen Link in einer E-Mail oder einer Teams-Nachricht.
5. Conditional Access nutzen: Wenn sich ein Mitarbeiter von einer unerwarteten IP-Adresse oder aus einer unerwarteten Lage anmeldet, könnt ihr eine zusätzliche Authentifizierung erzwingen. Das hilft, gestohlene Passwörter zu neutralisieren.

Wie wir euch dabei unterstützen

Genau hier setzt unser Ansatz an. Technologie allein schützt nicht. Ihr braucht ein ganzheitliches Sicherheitskonzept, das Menschen, Prozesse und Technologie zusammenbringt.

Wir beginnen mit einer Analyse eurer aktuellen Situation: Wie ist eure IT-Governance aufgestellt? Welche Sicherheitsmaßnahmen habt ihr bereits implementiert? Wo sind die Lücken – nicht nur technisch, sondern auch in den Prozessen und in der Kommunikation mit den Mitarbeitern?

In einem gemeinsamen Workshop erarbeiten wir einen Fragenkatalog und definieren Lösungswege. Dabei betrachten wir eure Risiken, eure Mitarbeiter und eure Infrastruktur, nicht irgendwelche Standards, die nicht zu euch passen.

Das Ergebnis ist ein maßgeschneidertes Sicherheitskonzept, das technische Maßnahmen, User-Training und Change-Management umfasst. Wir begleiten euch auch bei der Umsetzung, damit die Maßnahmen nicht in der Schublade landen, sondern wirklich gelebt werden – dauerhaft und effektiv.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Die entscheidende Frage lautet deshalb nicht nur: „Wie verhindern wir einen Angriff?” Sondern auch: „Wie bleibt unser Unternehmen handlungsfähig, wenn wichtige Systeme ausfallen oder Daten nicht mehr vertrauenswürdig sind?”

IT-Sicherheit und Geschäftskontinuität gehören zusammen

Lange wurde Business Continuity vor allem mit Notfallplänen, Ausweicharbeitsplätzen und Wiederanlaufzeiten in Verbindung gebracht. Doch heute hängen Geschäftsprozesse eng mit Cloud-Diensten, Identitäten, Softwareanbietern und digitalen Lieferketten zusammen. Ein Ausfall bei einem Dienstleister oder eine kompromittierte Benutzerkennung kann deshalb genauso schnell den Betrieb beeinträchtigen wie ein Angriff auf die eigene Infrastruktur.

Cyberresilienz verbindet Sicherheitsdenken mit der Frage, wie das Unternehmen auf Störungen reagiert und sich davon erholt. Das bedeutet, dass nicht nur Systeme, sondern auch Prozesse, Abhängigkeiten, Verantwortlichkeiten und die Fähigkeit, Entscheidungen unter Druck zu treffen, betrachtet werden müssen. Sicherheit wird damit zu einem Teil der Unternehmenssteuerung und kann nicht vollständig an die IT delegiert werden.

Erst verstehen, was das Unternehmen nicht verlieren darf

Eine sinnvolle Konzeption beginnt nicht mit einer Liste möglicher Sicherheitsprodukte. Sie beginnt mit dem Geschäft: Welche Leistungen müssen unbedingt weiterlaufen? Welche Prozesse sind dafür notwendig? Welche Daten und Systeme werden benötigt und von welchen externen Anbietern sind sie abhängig?

Erst diese Fragen machen die tatsächlichen Risiken sichtbar. So kann es sein, dass nicht der größte Serverausfall das kritischste Szenario darstellt, sondern der Verlust des Zugriffs auf zentrale Identitäten, ein längerer Ausfall eines Cloud-Dienstes oder die Unsicherheit, ob Daten nach einem Angriff noch korrekt sind. Entscheidend ist, die möglichen Folgen für den Betrieb, die Kunden, die Mitarbeitenden und die Lieferfähigkeit zu verstehen.

Risiken: Abhängigkeiten, Unklarheit und trügerische Sicherheit

Viele Risiken entstehen nicht durch eine einzelne Schwachstelle, sondern durch miteinander verbundene Abhängigkeiten. Ein SaaS-Anbieter, ein IT-Dienstleister, eine Schnittstelle oder ein einzelnes Administratorkonto kann zum Engpass werden. Wenn solche Abhängigkeiten bei der Planung nicht berücksichtigt werden, mag ein Notfallkonzept auf dem Papier vollständig erscheinen, im Ernstfall ist es das aber nicht.

Ein weiteres Risiko ist unklare Verantwortung. Wer darf über den Weiterbetrieb entscheiden? Wer bewertet die Auswirkungen auf Kunden und Lieferanten? Wer koordiniert IT, Fachbereiche, Kommunikation und Geschäftsführung? Werden diese Fragen erst während eines Vorfalls geklärt, kostet das Zeit und erschwert abgestimmtes Handeln. Selbst ein vorhandenes Konzept bietet nur begrenzt Sicherheit, wenn unklar ist, ob es unter realistischen Bedingungen funktioniert.

Möglichkeiten: Resilienz stärkt mehr als nur die IT

Eine durchdachte Cyberresilienz kann Ausfallzeiten verringern und dabei helfen, wichtige Leistungen gezielt zu priorisieren. Zudem schafft sie ein gemeinsames Verständnis dafür, welche Risiken das Unternehmen trägt und welche Maßnahmen im Verhältnis dazu sinnvoll sind. Das ist besonders für mittelständische Unternehmen wichtig, denn nicht jedes Risiko lässt sich vollständig verhindern. Im Ernstfall ist es jedoch entscheidend, vorbereitet zu sein und zu wissen, worauf es zuerst ankommt.

Hinzu kommt ein organisatorischer Nutzen. Wenn Geschäftsführung, IT und Fachbereiche gemeinsam über kritische Prozesse sprechen, werden Verantwortlichkeiten und Abhängigkeiten oft klarer – unabhängig von einem Cyberangriff. Lieferantenbeziehungen, Notfallkommunikation und Wiederanlaufplanung werden dadurch nicht nur sicherheitsrelevanter, sondern auch geschäftlich besser steuerbar.

NIS-2 als Anlass, nicht als Ersatz für gute Planung

NIS-2 unterstreicht, dass Cybersicherheit eine Führungsaufgabe ist. Sie verlangt einen systematischen Umgang mit Risiken und wirksame Maßnahmen. Eine reine IT-Perspektive greift dafür zu kurz. Gleichzeitig sollte die Richtlinie nicht dazu führen, dass Unternehmen lediglich Dokumente für die Ablage produzieren. Ein Sicherheitskonzept ist nur dann hilfreich, wenn es zur tatsächlichen Organisation passt und im Alltag Orientierung gibt.

Der sinnvolle Ausgangspunkt ist daher eine ehrliche Bestandsaufnahme: Welche Prozesse sind für das Unternehmen besonders wichtig? Welche digitalen und externen Abhängigkeiten bestehen? Wo liegen die größten Auswirkungen, wenn ein System oder Dienst ausfällt? Welche Entscheidungen müssen im Krisenfall schnell getroffen werden? Die Antworten darauf verbinden Compliance mit konkreter betrieblicher Resilienz.

Was ist zu tun?

• Kritische Geschäftsprozesse und die dafür erforderlichen Systeme, Daten und Dienstleister identifizieren.
• Risiken nach ihren möglichen Auswirkungen auf den Betrieb priorisieren – und nicht nur nach technischer Wahrscheinlichkeit.
• Verantwortlichkeiten und Entscheidungswege zwischen Geschäftsführung, IT und Fachbereichen klären.
• Wiederanlauf- und Notfallplanung mit realistischen Szenarien verbinden.
• Bestehende Konzepte darauf prüfen, ob sie im Alltag verständlich und im Ernstfall anwendbar sind.
• Eine priorisierte Roadmap erstellen, die Lücken, Verantwortliche und nächste Schritte sichtbar macht.

Unser Vorgehen:

Brauchen Sie dabei Hilfe? Wenden Sie sich gerne an uns. Unser Vorgehen ist strukturiert und eindeutig definiert. Wir beginnen mit einer Analyse Ihrer Prozesse, Dokumentationen und Arbeitsweisen. Dabei betrachten wir, welche Leistungen für Ihr Unternehmen kritisch sind, von welchen Systemen und Dienstleistern sie abhängen und wie Ihr aktueller Umgang mit Risiken und Notfällen aussieht.

In einem gemeinsamen Workshop strukturieren wir die relevanten Fragen, klären Perspektiven aus Geschäftsführung, IT und Fachbereichen und skizzieren mögliche Lösungswege. Daraus entsteht ein auf Ihr Unternehmen zugeschnittenes Konzept mit einer nachvollziehbaren Priorisierung.

Gerne unterstützen wir Sie auch beim Change-Management und bei der User-Adoption, damit die vereinbarten Maßnahmen nicht in der Dokumentation bleiben, sondern dauerhaft und wirksam in Ihrem Unternehmen verankert werden.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Das ist keine Panikmache, sondern Mathematik. Gartner hat eine unbequeme Wahrheit ausgerechnet, die viele KI-Enthusiasten lieber ignorieren würden. Die Einnahmelücke in der KI-Infrastruktur ist größer als manche nationale Haushalte.

Die Nachricht kurz zusammengefasst:

Bis 2030 benötigen KI-Betreiber insgesamt 8,5 Billionen Dollar Einnahmen, um ihre Kosten zu decken und eine angemessene Rendite (12 % ROIC) zu erwirtschaften. Realistisch werden sie aber nur etwa 3,6 Billionen Dollar einnehmen. Das Loch beträgt somit 4,9 Billionen Dollar. Die Konsequenz sind Abschreibungen auf Infrastruktur in Höhe von 3,5 Billionen Dollar, da diese schneller veraltet als erwartet. Zudem werden 80 % der Cloud-Neuanbieter vom Markt verschwinden oder übernommen.

Hier muss man klar warnen: Die Bilanzen und Zahlen sind eindeutig.

Warum das passiert – die kritische Analyse

Die Hardware-Realität: schneller kaputt als gedacht.

Wer glaubt, dass eine KI-Infrastruktur zehn Jahre hält, hat die rasante Entwicklungsgeschwindigkeit unterschätzt. GPU-Generationen wechseln mittlerweile alle 18–24 Monate. Eine H100 von heute ist in drei Jahren nicht mehr State of the Art – und in fünf Jahren schlicht unrentabel. Das bedeutet, dass massive Hardware-Investitionen schneller abgeschrieben werden müssen als kalkuliert.

Für Unternehmen, die auf KI-Services setzen, ist das relevant. Welche Anbieter haben genug finanzielle Rücklagen, um diese Abschreibungen zu tragen?

Die Hyperscaler dominieren, während alle anderen verlieren.

Amazon, Google, Microsoft und Apple haben einen entscheidenden Vorteil: Sie verdienen mit vielen anderen Dingen Geld. Cloud-Storage, Enterprise-Software, Werbung, Telefone. Ihre KI-Infrastruktur ist ein Rädchen im großen Getriebe und nicht das ganze Geschäft. Sie können Verluste in einem Bereich durch Gewinne in anderen kompensieren.

Reine KI-Cloud-Anbieter hingegen? Die sitzen auf einer Kostenlawine. Sie haben gebaut, gehofft und investiert, ohne diversifizierte Einnahmequellen zu haben. Das ist kein Geschäftsmodell, sondern ein Hoffnungsgeschäft.

Die Konsequenz für Entscheider: Wenn Sie KI-Services von kleineren Anbietern nutzen oder planen, sollten Sie deren Finanzstabilität sehr genau prüfen. Ein Konkurs des Anbieters ist nämlich nicht nur ein IT-Problem, sondern ein existenzielles Risiko.

Die Rechnung passt nicht – und das wissen die Investoren längst.

Die Rechnung ist einfach: Wenn die Einnahmen dauerhaft unter den Kosten liegen, sind endlose Finanzierungsrunden nötig. Venture-Capital-Geld wird knapper. Kurskorrekturen werden unvermeidlich sein. Konsolidierung ist nicht mehr optional, sondern unvermeidlich.

Das bedeutet nicht, dass KI verschwindet, sondern dass sich die Landschaft radikal verändern wird. Der Wildrausch ist vorbei. Jetzt folgt die Marktbereinigung.

Was bedeutet das für dein Unternehmen?

Drei konkrete Punkte zum Mitnehmen:

1. Vendor-Lock-in-Risiken neu bewerten: Wenn ihr auf KI-Services von neuen Anbietern setzt, müsst ihr verschiedene Szenarien durchspielen. Was passiert, wenn dieser Anbieter übernommen wird? Was, wenn er Kapazitäten abbaut? Was, wenn die API-Stabilität sinkt? Diversifizierung ist nicht paranoid, sondern rational.
2. Kosten vs. echte Mehrwerte hinterfragen: KI-Projekte sind teuer geworden. Das liegt nicht nur an der Technologie, sondern auch an der Preisgestaltung der Infrastruktur. Wenn die Infrastrukturkosten unter Druck geraten, werden auch die Preise für eure KI-Services unter Druck geraten. Das ist eine Chance für euch – aber nur, wenn ihr wisst, wie ihr sie nutzt.
3. Nachhaltigkeit und Effizienz in den Fokus rücken: Wer bei der KI-Infrastruktur spart, spart auch Strom. Wer seine KI-Prozesse optimiert und nicht ständig herumexperimentiert, senkt Kosten und Umweltbelastung gleichzeitig. Das ist keine Geschichte des Verzichts – es ist eine Geschichte der Effizienz.

Die Realität sieht anders aus: Evolution statt Apokalypse.

Das ist nicht das Ende von KI. Es ist das Ende von unrealistischen Geschäftsmodellen. Die Hyperscaler werden KI-Services auch weiterhin anbieten, allerdings profitabler, konsolidierter und mit klarerem Fokus auf die Rentabilität. Kleinere Anbieter werden sich spezialisieren, zusammengehen oder vom Markt verschwinden.

Für euch bedeutet das: Jetzt ist der richtige Moment, um KI-Investitionen kritisch zu hinterfragen – nicht, um sie zu stoppen, sondern um sie intelligenter zu gestalten. Welche KI-Projekte bringen echten Mehrwert? Welche sind Spielereien? Welche Anbieter sind stabil? Wo könnt ihr Kosten sparen, ohne Innovation zu opfern?

Die Unternehmen, die diese Fragen jetzt beantworten, werden in zwei Jahren deutlich besser dastehen als diejenigen, die einfach weitermachen wie bisher.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Keine wichtigen IT-News mehr verpassen: Mit den News-Feeds von digiXperts.it erhalten Sie neue Beiträge direkt in Ihrem Feedreader – passend zu Ihren Interessen und ohne regelmäßigen Besuch des Blogs.

Drei Feeds stehen zur Auswahl:

• Alle News bündelt die Artikel der vergangenen 60 Tage – von Konzepten und praktischen Umsetzungen bis hin zu Sicherheitsmeldungen und Podcasts.
• Experten-Beiträge richtet sich an Entscheiderinnen und Entscheider. Der Feed bietet Einblicke in Governance, Konzeption und Implementierung sowie Hinweise darauf, worauf es bei aktuellen IT-Themen ankommt.
• Security News informiert über aktuelle Sicherheitslücken, Updates und notwendige Maßnahmen – besonders hilfreich für Unternehmen, die eine IT-Abteilung, aber keine eigene Sicherheitsabteilung haben.

Abonnieren Sie den passenden Feed in Ihrem Feedreader:

• Alle News: https://techblog.digixperts.it/feed/allnews/
• Experten-Beiträge: https://techblog.digixperts.it/feed/experts/
• Security News: https://techblog.digixperts.it/feed/securitynews/

Wer die wichtigsten Meldungen lieber gesammelt erhalten möchte, kann sich außerdem für den monatlichen digiXperts.it-Newsletter anmelden.

Zero-Click-Attacken sind die neue Generation von Cyberbedrohungen und machen die traditionelle Cybersicherheitsstrategie vieler Unternehmen obsolet. Während wir unseren Mitarbeitern seit Jahren einbläuen, „nicht auf verdächtige Links zu klicken”, lachen die Angreifer, denn genau das müssen sie nicht mehr.

Was ist ein Zero-Click-Angriff – und warum ist er so gefährlich?

Ein Zero-Click-Exploit infiziert dein Gerät, ohne dass du als Anwender irgendwelche Aktionen durchführen musst. Die Malware installiert sich selbstständig, wenn das System im Hintergrund arbeitet, etwa beim Empfang einer Nachricht, beim Verarbeiten eines Bildes oder beim Abspielen von Audiodateien.

Das Problem: Deine klassischen Abwehrmaßnahmen funktionieren nicht – Security-Awareness-Training hilft nicht, da der Mitarbeiter nichts merkt, Endpoint-Warnungen helfen nicht, da es keine verdächtige Benutzeraktion gibt, und User-Reports helfen nicht, da niemand weiß, dass er gehackt wurde. Das System lädt die Malware völlig unbemerkt, während der

Die Auswirkung auf Unternehmen – das unterschätzte Loch in deiner Governance

Für Mittelständler ist das eine Katastrophe. Warum? Weil Zero-Click-Attacken nicht nur einzelne Geräte infizieren, sondern dein gesamtes Sicherheitskonzept unterminieren.

Ein Gedankenexperiment: Ein Vorstandsmitglied erhält eine E-Mail mit einem Video und einer angehängten Audio-Datei. Das Gerät verarbeitet die Audio-Datei automatisch im Hintergrund (für die Vorschau, für die Transkription). Boom. Spyware ist installiert. Der Angreifer sitzt jetzt im Herzen deiner Führungsebene – er kann E-Mails abfangen, Verhandlungsgespräche mitschneiden, Verträge einsehen und MFA-Codes stehlen. Alles unbemerkt. (3,4)

Das ist kein theoretisches Szenario. Im Januar 2026 zeigten Google-Forscher, wie Schwachstellen in der Audioverarbeitung von Android-Geräten genau so ausgenutzt werden können. (4)

Warum treffen Zero-Click-Attacken Unternehmen besonders hart?

Verzögerte Erkennung: Wenn die Kompromittierung unbemerkt stattfindet, bemerkt man sie oft erst, wenn bereits Schaden entstanden ist. Das Problem: Du kennst dann weder den genauen Zeitpunkt des Angriffs noch das Ausmaß der Datenverluste – ein Compliance-Albtraum für regulierte Branchen.

Begrenzte forensische Sichtbarkeit: Die Angreifer arbeiten in verschlüsselten Kanälen und vertrauenswürdigen Systemprozessen. Logs sind minimal oder unauffällig. Oft kannst du nicht rekonstruieren, wann zugegriffen wurde und welche Daten exfiltriert worden sind.

Lateral Movement: Hat der Angreifer einmal Zugang zu deinem System, nutzt er die vertrauenswürdigen Verbindungen und Sessions, um sich in deinem Netzwerk auszubreiten. Eine kleine Kompromittierung kann schnell zu einem unternehmensweiten Datenleck führen.

Compliance und Haftung: In regulierten Industrien musst du Bußgelder zahlen und transparent machen, was passiert ist. Wenn du es aber selbst nicht weißt, wird’s teuer.

Aktuelle Beispiele: Das ist bereits Realität.

Das Unternehmen NSO verkauft die Pegasus-Spyware, eine Zero-Click-Waffe, an Regierungen. Apple-Geräte, Microsoft Outlook und WhatsApp wurden gehackt. Jedes Mal: Zero-Click. Jedes Mal unbemerkt. Im Juni 2026 wurde eine ChatGPT-Schwachstelle entdeckt, die als Zero-Click-Vektor missbraucht werden könnte. Das zeigt: Selbst vertrauenswürdige KI-Tools sind plötzlich angreifbar.

Was ist zu tun?

Stop mit der Illusion, dass Security ein rein technisches Problem ist.
Zero-Click-Attacken erfordern eine Governance-Antwort:

1. Patch-Management und zwar permanent: Jeden Tag, nicht jeden Monat. Zero-Click-Exploits nutzen bekannte Schwachstellen, für die bereits Patches existieren – aber nur, wenn diese auch installiert werden.
2. Netzwerk-Segmentierung: Nicht alles läuft auf einem Big-Bang-Netzwerk. Kritische Systeme, Management-Devices und reguläre User-Geräte müssen voneinander getrennt sein. Falls eine Kompromittierung stattfindet, begrenzt das die Ausbreitung.
3. Fortgeschrittene Endpoint-Security: Verhaltenserkennung und KI-gestützte Anomalieerkennung sind kein Nice-to-have mehr, sondern ein Muss. Du brauchst Tools, die verdächtige Aktivitäten im Hintergrund erkennen, die du nicht sehen kannst. 4. MFA überall, auch bei Zero-Click-Angriffen.
4. MFA überall, ja, auch bei Zero-Click-Angriffen: Ein Angreifer kann zwar Credentials stehlen, aber wenn er die MFA umgehen muss, wird es kompliziert. 5. Incident-Response-Pläne: Falls du gehackt wirst (keine Frage des Ob, sondern des Wann) – was machst du dann?
5. Incident-Response-Pläne: Falls du gehackt wirst – keine Frage des Ob, sondern des Wann – was machst du dann? Wer wird benachrichtigt? Wie forensizierst du? Das kann nicht im Notfall entschieden werden.

Sie brauchen Unterstützung

Viele Unternehmen haben keine Übersicht darüber, ob ihre Governance und technischen Maßnahmen gegen moderne Angriffsvektoren wie Zero-Click standhalten.

Wir beginnen mit einer umfassenden Konzeption und analysieren Ihre aktuelle IT-Governance, Ihre Patch-Management-Prozesse, Ihre Endpoint-Security und Ihre Netzwerk-Segmentierung. Wo sind die kritischen Lücken?

In Workshops konkretisieren wir die Antworten: Welche technischen Tools brauchst du wirklich? Wie definierst du Rollen und Zugriffsrechte? Wie baust du Incident Response auf? Was ändert sich in deinen Security-Richtlinien?

Das Ergebnis ist ein maßgeschneidertes Governance-Konzept – kein Industrie-Standard-Geschwätz, sondern genau das, was dein Unternehmen braucht.

Gerne unterstützen wir Sie auch beim Change-Management, denn eine neue Governance funktioniert nur, wenn Ihre IT-Teams, Fachbereiche und das Management mitziehen. Wir helfen dir, diese Maßnahmen in deinem Unternehmen dauerhaft und effektiv zu implementieren.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Digitale Souveränität bedeutet jedoch nicht, alles selbst zu entwickeln und zu betreiben. Das wäre für die meisten Unternehmen weder realistisch noch sinnvoll. Entscheidend ist, handlungsfähig zu bleiben, wenn ein Anbieter Funktionen streicht, die Preise erhöht oder die Lizenzbedingungen ändert.

Abhängigkeiten müssen frühzeitig erkannt werden, bevor sie zum Problem werden

Nicht jede Abhängigkeit ist automatisch schlecht. Wichtig ist, zu wissen, welche Risiken für einen Geschäftsprozess oder Anwendungsfall akzeptabel sind und wo ein Wechsel möglich sein muss. Eine Risikoanalyse hilft dabei, diese Anforderungen zu klären und bei der Auswahl von Systemen und Plattformen zu berücksichtigen.

Offene Standards und Schnittstellen erleichtern den Wechsel. Open-Source-Lösungen mit aktiven Communities können zusätzliche Freiheiten bieten. Der Quellcode ist einsehbar und anpassbar und in der Regel lassen sich Daten exportieren. Proprietäre Lösungen müssen deshalb nicht grundsätzlich ausgeschlossen werden. Wenn sie verlässliche, standardisierte Schnittstellen bieten und der Zugriff auf die eigenen Daten gesichert ist, kann das Lock-in-Risiko überschaubar bleiben.

Automatisierung macht Wechsel planbar

Automatisierung wird oft vor allem als Werkzeug zur Steigerung der Effizienz verstanden. Wenn sie richtig eingesetzt wird, kann sie jedoch noch mehr: Sie verbindet unterschiedliche Systeme und erleichtert den Austausch von Workloads zwischen Betriebssystemen, Hypervisoren, Cloud-Anbietern und dem eigenen Rechenzentrum. Das schafft Flexibilität im Alltag und bessere Optionen, wenn eine Plattform ersetzt werden muss.

Dafür darf die Automatisierung selbst nicht an einen einzelnen Anbieter oder eine bestimmte Plattform gebunden sein. Hilfreich sind offene, integrationsfähige Werkzeuge und ein deklarativer Ansatz. Dabei wird statt einer festen Reihenfolge von Befehlen der gewünschte Zielzustand beschrieben. Die Automatisierung leitet daraus die notwendigen Schritte ab.

So lassen sich einzelne Komponenten, wie Backup- oder Monitoring-Lösungen, austauschen, ohne dass alle Abläufe neu aufgebaut werden müssen. Auch Datenexporte und andere Maßnahmen für den Anbieterwechsel können regelmäßig getestet werden. Das macht Exit-Strategien belastbarer und reduziert den Aufwand, falls kurzfristig gehandelt werden muss.

Modular bauen, einfacher wechseln

Offene Automatisierungswerkzeuge wie Ansible bietet einen entsprechenden Ansatz, bei dem Automatisierungen transparent, überprüfbar und versionierbar bleiben. Playbooks können nachvollzogen und bei Bedarf auf frühere, funktionierende Versionen zurückgesetzt werden. Der modulare Aufbau erleichtert es außerdem, einzelne Bausteine wiederzuverwenden oder auszutauschen.

Rollen übernehmen dabei wiederkehrende Aufgaben, wie das Anlegen, Ändern oder Löschen einer Instanz, die Installation eines Backups oder die Einrichtung des Monitorings. Eine Rolle kann Details verschiedener Cloud-Anbieter vereinheitlichen. So lassen sich Anbieter ergänzen oder entfernen, ohne jeden Ablauf von Grund auf neu zu entwickeln. Collections bündeln solche Inhalte in einem einheitlichen Paketformat und unterstützen unter anderem Versionierung und Metadaten.

Mit der Red Hat Ansible Automation Platform lassen sich daraus Workflows für durchgängige Prozesse erstellen. Ein automatisierter IT-Service kann beispielsweise eine Cloud-Instanz bereitstellen, eine IP-Adresse reservieren, einen DNS-Eintrag anlegen, das Betriebssystem konfigurieren sowie Backup und Monitoring einrichten. Werden diese Schritte modular geplant, lassen sich einzelne Komponenten leichter ersetzen.

Souveränität ist mehr als Technik.

Automatisierung allein macht ein Unternehmen noch nicht souverän. Auch Prozesse und Mitarbeitende müssen berücksichtigt werden. Einfach gehaltene Abläufe erleichtern nicht nur die Bereitstellung und den Betrieb, sondern auch die Ablösung und den Wechsel von Lösungen. „Keep it simple“ bedeutet deshalb keinen Verzicht auf Professionalität, sondern ist eine gute Voraussetzung für Anpassungsfähigkeit.

Ebenso braucht es ein gemeinsames Verständnis davon, was digitale Souveränität im Unternehmen bedeutet: Welche Abhängigkeiten sind akzeptabel? Welche Daten und Prozesse müssen jederzeit übertragbar sein? Welche Wechseloptionen sollen regelmäßig getestet werden? Offene Kommunikation, Weiterbildung und Freiräume zum Ausprobieren helfen Mitarbeitenden, diese Ziele im Arbeitsalltag umzusetzen.

Dabei müssen Menschen, Prozesse und Technologie gleichwertig berücksichtigt werden. Fehlen geeignete Werkzeuge, verständliche Abläufe oder Mitarbeitende, die das Ziel kennen und mittragen, bleibt die Exit-Strategie auf dem Papier. Souveränität entsteht, wenn alle drei Bereiche zusammenspielen.

Change-Management und User-Adoption sind immer bei allen IT-Governance und Digitalisierungprojekten ein wesentlicher Faktor. Mangelne Planung dieser beiden Themen führen meist zu wesentlichen Mehrkosten und sind daher zu bedenken!

Was jetzt zu tun ist

• Kritische Geschäftsprozesse und ihre Abhängigkeiten erfassen.
• Festlegen, welche Anbieter- oder Plattformwechsel möglich sein müssen.
• Bei neuen Lösungen Datenexporte, offene Schnittstellen und Standards prüfen.
• Automatisierungen modular und möglichst plattformunabhängig gestalten.
• Exit-Szenarien regelmäßig testen, nicht erst, wenn ein Wechsel dringend wird.
• Mitarbeitende einbeziehen und ein gemeinsames Verständnis für digitale Souveränität schaffen.
• Schulungsmaßnahmen planen.
• Key-User bestimmen und User-Adoption-Konzept umsetzen.

Vom Ist-Stand zum passenden Vorgehen

Wenn Sie bei solchen Themen Hilfe benötigen, wenden Sie sich an uns. Unser Vorgehen beginnt mit einer Analyse Ihrer Prozesse, Dokumentationen und Arbeitsweisen. Wir ermitteln, wo in Ihrem Unternehmen heute Abhängigkeiten und Risiken bestehen. In einem Workshop betrachten wir gemeinsam die Anforderungen Ihrer Geschäftsprozesse, klären notwendige Wechseloptionen und skizzieren passende Lösungswege.

Aus den Ergebnissen entwickeln wir ein zu Ihrem Unternehmen und Ihrer IT-Umgebung passendes Konzept. Gerne unterstützen wir Sie auch bei der Umsetzung, beim Change-Management und bei der User Adoption – damit neue Abläufe nicht nur eingeführt, sondern dauerhaft und wirksam gelebt werden.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Die betroffenen Produkte treffen dich direkt.

Betroffen sind Microsoft Defender for Endpoint for Windows, Microsoft Windows Defender, Microsoft Configuration Manager 2503 und Microsoft Defender for Endpoint for Linux. Die fünf CVEs (CVE-2026-102204, CVE-2026-105726, CVE-2026-70049, CVE-2026-70264 und CVE-2026-88075) betreffen genau die Tools, die in den meisten Netzwerken von mittelständischen Unternehmen laufen. Der CVSS-Score von 8,8 stuft das Risiko als „hoch” ein. Das ist keine Warnung im Hintergrund – das ist ein unmittelbares Risiko für deine Infrastruktur.

Das Tückische daran ist, dass Remoteangriffe möglich sind. Ein Angreifer muss nicht einmal Zugriff auf dein Netzwerk haben.

Warum das für dich problematisch ist?

Defender und Configuration Manager sind keine Randgeräte, sondern das Nervensystem deiner IT-Sicherheit. Sie verwalten Endpoints, patchen Systeme und erkennen Malware. Wenn genau diese Tools kompromittiert werden, haben Angreifer potenziell volle Administratorrechte. Das bedeutet: Sie haben vollen Zugriff auf deine gesamte IT-Infrastruktur.

Beim Configuration Manager kommt noch hinzu, dass er oft Hunderte oder Tausende von Geräten zentral verwaltet. Eine Kompromittierung dort ist wie ein Schlüssel für das gesamte Schloss.

Was ist zu tun?

Sofortmaßnahmen:

• Inventur: Prüfe umgehend, welche Versionen von Defender und Configuration Manager in deinem Unternehmen installiert sind.
• Notfall-Updates: Microsoft hat auch ohne kompletten Patch Mitigationen bereitgestellt. Implementiere diese prioritär. Das ist nicht optional.
• Monitoring schärfen: Überwache die Logs von Defender und Configuration Manager auf verdächtige Aktivitäten.
• Prüfe den Administratorzugriff. Prüfe, wer administrativen Zugriff auf diese Systeme hat und ob dies noch gerechtfertigt ist.

Hilfe benötigt?

Das klingt nach viel Arbeit, die Priorität hat. Dann bist du nicht allein. Viele Mittelständler haben nicht die Kapazität, Sicherheitsupdates sofort flächendeckend umzusetzen – gleichzeitig ist das Risiko zu hoch, um zu warten. Wenn du Unterstützung bei der schnellen Analyse deiner Infrastruktur brauchst oder wissen möchtest, ob dein Unternehmen betroffen ist, helfen wir von HOLAGIL dir gerne weiter. Gemeinsam schließen wir diese Lücken schnell und strukturiert. Sprich uns an – gemeinsam können wir das angehen.

Dieser Beitrag stammt vom 14. Oktober 2026 und basiert auf der BSI-Meldung WID-SEC-2026-3919.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Im ersten Beitrag ging es darum, warum Cybersicherheit eine Führungsaufgabe ist. Der nächste Schritt ist die Umsetzung: Wie wird aus einer Bestandsaufnahme ein Plan, der im Alltag trägt und im Ernstfall nicht erst gesucht werden muss?

Erst klären, was wirklich gilt

Im nächsten Schritt wird aufgezeigt, welche Aspekte bereits geregelt sind und wo noch Handlungsbedarf besteht. Es reicht nicht aus, Richtlinien und Konzepte zu sammeln. Entscheidend ist, ob die Verfahren im Alltag bekannt sind, ob Verantwortliche benannt wurden und ob die Abläufe im Ernstfall tatsächlich funktionieren.

Dazu gehört auch die Betrachtung von Risiken, Systemen und Abhängigkeiten. Welche Prozesse sind für den Betrieb besonders wichtig? Welche Dienstleister oder Lieferanten sind kritisch? Wie werden Daten gesichert und wiederhergestellt? Und wer entscheidet, wenn ein Sicherheitsvorfall den normalen Geschäftsbetrieb beeinträchtigt?

Vom Ist-Zustand zu den wichtigsten Lücken

Im nächsten Schritt wird sichtbar, was bereits geregelt ist und wo noch Handlungsbedarf besteht. Dabei reicht es nicht, Richtlinien und Konzepte zu sammeln. Entscheidend ist, ob Verfahren im Alltag bekannt sind, Verantwortliche benannt wurden und die Abläufe im Ernstfall tatsächlich funktionieren.

Dazu gehört der Blick auf Risiken, Systeme und Abhängigkeiten: Welche Prozesse sind für den Betrieb besonders wichtig? Welche Dienstleister oder Lieferanten sind kritisch? Wie werden Daten gesichert und wiederhergestellt? Und wer entscheidet, wenn ein Sicherheitsvorfall den normalen Geschäftsbetrieb beeinträchtigt?

Priorisieren statt alles gleichzeitig anzufangen

Eine Bestandsaufnahme kann viele offene Punkte sichtbar machen. Das ist jedoch kein Grund, überall gleichzeitig neue Projekte zu starten. Sinnvoller ist eine Priorisierung nach Risiko und möglicher Auswirkung auf das Unternehmen, beispielsweise danach, welche Ausfälle die Leistungserbringung, Kunden oder gesetzliche Pflichten besonders stark betreffen würden.

Aus den Lücken wird ein umsetzbarer Maßnahmenplan erstellt. Für jede Maßnahme sollten eine verantwortliche Person, eine Priorität, ein Zieltermin und ein Weg zur Überprüfung feststehen. So wird aus der Aussage „Wir müssen unsere Sicherheit verbessern“ eine konkrete Aufgabe, deren Fortschritt sich nachvollziehen lässt.

Verantwortlichkeiten im Alltag verankern

Cybersicherheit lässt sich nicht dauerhaft an eine einzelne Person oder Abteilung delegieren. Die Geschäftsführung muss die erforderlichen Maßnahmen genehmigen und ihre Umsetzung überwachen. IT, Fachbereiche, Personal, Datenschutz, Kommunikation und gegebenenfalls Recht müssen wissen, welche Rolle sie haben – besonders im Falle eines Vorfalls.

Das bedeutet jedoch nicht, dass jede Abteilung zu einer Sicherheitsabteilung werden muss. Es bedeutet jedoch, dass Mitarbeitende wissen, wen sie informieren müssen, welche Schritte sie nicht eigenmächtig unternehmen sollten und wo sie verlässliche Anweisungen finden. Diese Klarheit entsteht durch verständliche Prozesse, passende Schulungen und regelmäßige Übungen.

Pläne testen, nicht nur ablegen

Ein Notfallplan, der nie getestet wurde, ist zunächst einmal nur eine Annahme. Ein gemeinsamer Probelauf kann zeigen, ob die Kontaktwege funktionieren, Entscheidungen rechtzeitig getroffen werden und die Wiederherstellung wichtiger Systeme realistisch geplant ist.

Besonders wichtig ist der Meldeprozess: Wer erkennt und bewertet einen Vorfall? Wer koordiniert die Informationen? Wer ist für die Meldung zuständig? Bei erheblichen Vorfällen gelten kurze Fristen, weshalb Rollen und Abläufe im Voraus festgelegt werden sollten und nicht erst während eines Angriffs ausgehandelt werden dürfen.

Was ist zu tun?

• Betroffenheit klären und gegebenenfalls Registrierung beim BSI dokumentieren.
• Kritische Geschäftsprozesse, Systeme und Abhängigkeiten erfassen.
• Bestehende Maßnahmen auf Wirksamkeit prüfen, und zwar nicht nur auf ihre Dokumentation.
• Lücken nach Risiko und möglicher Auswirkung priorisieren.
• Für jede Maßnahme Zuständigkeit, Termin und Prüfkriterium festlegen.
• Melde-, Krisen- und Wiederherstellungsprozesse definieren und testen.
• Geschäftsführung und Mitarbeitende regelmäßig schulen.
• Ergebnisse, Entscheidungen und Fortschritte müssen nachvollziehbar dokumentiert werden.
• Mitarbeiter schulen und Handouts erstellen
• Sicherung und Recovery planen, implementieren, testen und automatisieren.

Der Maßstab ist nicht, möglichst viele Maßnahmen auf eine Liste zu setzen. Entscheidend ist, dass die wichtigsten Risiken bearbeitet werden und die Organisation nachweisen kann, wie sie ihre Sicherheitsmaßnahmen umsetzt, überprüft und verbessert.

Vom Befund zur Umsetzung

Wenn Sie Hilfe benötigen, finden Sie bei uns die optimale Beratung und Unterstützung. Zunächst analysieren wir Ihre bestehenden Prozesse, Dokumentationen und Arbeitsweisen. Dabei betrachten wir unter anderem die Themen Risiken, Datensicherheit, Backups, Notfallmanagement und Zusammenarbeit mit Dienstleistern. So werden der aktuelle Stand und die wesentlichen Handlungsfelder sichtbar.

In einem gemeinsamen Workshop ordnen wir die Ergebnisse ein, klären offene Fragen und skizzieren passende Lösungswege. Daraus erstellen wir einen auf Ihr Unternehmen zugeschnittenen Maßnahmenplan mit Prioritäten und nächsten Schritten.

Anschließend unterstützen wir Sie dabei, die Maßnahmen in geeignete Konzepte und gelebte Abläufe zu überführen. Dazu können auch Schulungen, Change-Management und User-Adoption gehören, damit Sicherheit nicht nur dokumentiert ist, sondern auch im Arbeitsalltag funktioniert.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Das Problem: Command Injection statt Sicherheit.

Telegram Desktop vor Version 7.2.9 verarbeitet sogenannte tg://-Links fehlerhaft. Angreifer können unescapte Semikolons in diese Links einschleusen und so versteckte Befehle ausführen – ein klassischer Command-Injection-Angriff. Das Tückische daran ist, dass Telegram das Semikolon selbst als internes Trennzeichen nutzt. Die Lücke entstand, weil nicht überprüft wird, wer diese Befehle anfordert.

Der CVSS-Score von 8,6 unterstreicht die Schwere der Lücke. Es handelt sich nicht um einen kleinen Fehler, sondern um eine schwerwiegende Schwachstelle, die ernsthafte Konsequenzen hat.

Wie der Angriff funktioniert:

Das Angriffszenario ist perfide: Ein Angreifer erstellt eine Supergruppe, fügt das Opfer hinzu und lädt automatisch drei .txt-Dateien hoch. Telegram Desktop lädt Dateien bis 8 MiB in Gruppen standardmäßig automatisch herunter – das Opfer bekommt das oft gar nicht bewusst mit.

Dann kommt der manipulierte Link. Dieser sieht harmlos aus, ist aber auf einen tg://-Link mit injizierten Befehlen präpariert. Klickt das Opfer darauf, wird das interne interpret: Scheme Handler ausgelöst – eine Funktion, die eigentlich nur für vertrauenswürdige Entwicklerfunktionen gedacht war.

Hier liegt jedoch das eigentliche Desaster: Der Handler überprüft nicht, wer den Befehl anfordert. Das bedeutet, dass der Angreifer lokal gespeicherte Dateien auslesen kann. Und genau dort lagert Telegram Desktop alles Wichtige: Session-Keys, Verschlüsselungsschlüssel, Kontodaten – alles in der sogenannten tdata-Datei.

Mithilfe dieser gestohlenen Dateien kann der Angreifer die Sitzung auf einem anderen Gerät ganz einfach wiederherstellen. Damit ist die Kontoübernahme auch ohne lokales Passcode komplett.

Wer ist betroffen?

Betroffen ist Telegram Desktop vor Version 7.2.9 (veröffentlicht am 17. September 2026). Die aktuelle Version 7.3 (veröffentlicht am 9. Oktober 2026) behebt das Problem. Wer noch eine ältere Version nutzt – und das dürften viele sein, da nicht alle Updates sofort installiert werden – läuft Gefahr.

Das kannst du jetzt tun:

Ein Update ist Pflicht: Installiere Telegram Desktop 7.2.9 oder eine neuere Version. Das ist jetzt wichtig!

Parallel dazu kannst du präventiv handeln: Beschränke deine Gruppenzusätze auf vertrauenswürdige Personen, damit Angreifer dich gar nicht erst hinzufügen können. Setze einen lokalen Passcode, um eine Sessionwiederherstellung auf fremden Geräten unmöglich zu machen. Aktiviere außerdem die Einstellung „Nachfragen, wo Dateien zu speichern sind”, um automatische Downloads zu unterbinden und die Kontrolle zurückzugewinnen.

Das Takeaway:

Diese Lücke verdeutlicht ein klassisches Sicherheitsproblem: Die Kombination eines Features (automatische Dateiverwaltung) mit fehlender Input-Validierung (unescapte Semikolons) kann katastrophale Folgen haben. Für die Nutzer ist klar: Sofort ein Update durchführen, einen Passcode setzen und die Gruppen-Settings überprüfen. Das ist nicht paranoid, sondern gesunder Menschenverstand bei einer solchen Dimension.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Am 8. Oktober hat Citrix eine weitere kritische Sicherheitslücke (CVE-2026-107406) veröffentlicht – nur vier Tage, nachdem das Unternehmen angab, die vorherige SAML-Schwachstelle geschlossen zu haben (und das dritte kritische Update in diesem Monat). Mit einem CVSS-Score von 9,5 ist das Problem ernst: Speicherüberläufe, Remote-Code-Ausführung und Denial-of-Service – das klassische Worst-Case-Szenario. Wenn du einen NetScaler ADC oder Gateway in deiner Infrastruktur hast und nicht auf dem aktuellen Stand bist, ist dein System potenziell kompromittiert.

Interessant ist jedoch, dass diese Situation nicht nur ein Produktproblem zeigt. Sie zeigt auch ein strategisches Problem vieler mittelständischer Unternehmen.

Was ist eigentlich betroffen?

Die Schwachstelle betrifft selbstverwaltete Citrix NetScaler ADC- und Gateway-Instanzen in folgenden Versionen:

• NetScaler ADC und Gateway 14.1-73.37 bis 14.1-73.41 (nur wenn als SAML Identity Provider konfiguriert)
• NetScaler ADC und Gateway 13.1-64.23 bis 13.1-64.28 (nur wenn als SAML IdP konfiguriert)
• Ältere Versionen vor 14.1-73.37 bzw. 13.1-64.23 (wenn als SAML Service Provider oder Identity Provider konfiguriert)

Wichtig: Es geht hier um eigene, kundengesteuerte Systeme – nicht um Citrix Cloud-Dienste. Die verwaltet Citrix selbst und patcht diese zentral.

Das Tückische? Es gibt eine Konfigurationsabhängigkeit. Du musst wissen, wie dein NetScaler tatsächlich aufgebaut ist, um zu verstehen, ob dich das trifft. Und genau da sehe ich das Problem.

Warum dieser Patch offenbart, wo es wirklich hackt

Wir wollen ehrlich sein: Es ist nicht normal, dass ein Patch vier Tage nach dem vorigen kommt – und es ist auch nicht deine Schuld. Das ist ein Problem im Produkt-Engineering bei Citrix. Aber es ist dein Governance-Problem.

Viele der Unternehmen, die wir in unseren Projekten begleiten, befinden sich in folgender Situation:

Sie wissen nicht genau, welche Versionen in ihrer Infrastruktur laufen. Die NetScaler wurden vor drei oder fünf Jahren bereitgestellt und seitdem „läuft’s”, ohne dass die Versionslandschaft genau dokumentiert wurde. Dann kommt eine Sicherheitsmeldung und die IT-Leitung muss erst einmal herausfinden, ob sie betroffen ist.

Sie haben keinen vernünftigen Patch-Management-Prozess. Kritische Patches sollten nicht am Wochenende auf Produktionssysteme aufgespielt werden, aber auch nicht drei Wochen warten, bis die Testumgebung wiederhergestellt ist.

Sie haben keine Übersicht über ihre Konfigurationen. Ist der NetScaler als SAML IdP oder SP konfiguriert? Wer weiß das noch genau? Der Admin, der ihn bereitgestellt hat, ist längst bei der Konkurrenz.

Das ist nicht böse gemeint, aber es ist die Realität in vielen mittelständischen Unternehmen, die die IT als notwendiges Übel statt als strategisches Werkzeug zur Gestaltung ihrer Arbeit sehen.

Was ist jetzt zu tun?

Erste Priorität: einen Überblick schaffen. Mach eine Bestandsaufnahme. Welche NetScaler-Versionen laufen wo? Wie sind sie konfiguriert? Dokumentiere das – oder lasse es dokumentieren, falls das noch nicht geschehen ist.

Zweite Priorität: Überprüfe die Patch-Strategie. Kritische Sicherheitslücken sind kein optionales Thema. Du brauchst einen Prozess, der es dir ermöglicht, solche Patches innerhalb weniger Tage (nicht Wochen) mitsamt allen nötigen Tests einzuspielen. Das bedeutet: Du brauchst aktuelle Testumgebungen. Automatisierbare Prozesse. Klare Eskalationswege.

Dritte Priorität: Vendor-Abhängigkeit beleuchten. Es gibt einen Grund, warum es darum geht, IT-Systeme zu diversifizieren und keine Abhängigkeiten einzugehen. Wenn der Zugang zum Internet zentral über einen Anbieter läuft, dessen Produkte regelmäßig Sicherheitslücken aufweisen, ist das nicht nur ein technisches, sondern auch ein wirtschaftliches und strategisches Risiko.

Die Botschaft lautet daher: Du musst verstehen, was in deiner Infrastruktur läuft, und du brauchst einen Governance-Rahmen, der es dir ermöglicht, schnell und sicher zu reagieren.

Wie wir das angehen

Wenn du feststellst, dass deine IT-Landschaft eher „gewachsen” als „geplant” ist, dann ist das ein typisches HOLAGIL-Anliegen. Wir unterstützen dich und dein Unternehmen dabei, Klarheit in deine Systemlandschaft zu bringen.

Zu Beginn erstellen wir eine Konzeption und Analyse: Wir betrachten deine aktuelle IT-Infrastruktur und die vorhandene Dokumentation und ermitteln, wo der Schuh wirklich drückt. Das Ergebnis ist oft überraschender, als man denkt.

In einem Workshop mit deinem IT-Team und den relevanten Stakeholdern erarbeiten wir einen Fragenkatalog und skizzieren konkrete Lösungswege. Dabei geht es nicht um eine „digitale Transformation” im großen Stil, sondern um echte, umsetzbare Verbesserungen deiner Governance und deines Patch-Management-Prozesses.

Das Ergebnis ist ein speziell auf dein Unternehmen zugeschnittenes Konzept. Wir unterstützen dich dabei, dieses Konzept in die Realität umzusetzen – mit Change Management und User Adoption. So stellen wir sicher, dass die neuen Prozesse nicht nach zwei Wochen wieder in der Schublade landen.

Denn es geht nicht um Tools, sondern um tragfähige Prozesse, die von deinen Mitarbeitern mitgetragen werden.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Ein passendes Patch-Regelwerk hilft Ihrem Unternehmen, Sicherheitsrisiken zu senken, Ausfälle planbar zu halten und Verantwortlichkeiten zu klären. Es verwandelt eine oft hektische Einzelmaßnahme in einen nachvollziehbaren Prozess, der zu Ihrem Geschäft und Ihren tatsächlichen Risiken passt.

IT-Governance gibt den Rahmen vor

IT-Governance beschreibt, wie ein Unternehmen seine IT steuert: Welche Ziele verfolgt sie? Welche Risiken sind akzeptabel? Wer darf Entscheidungen treffen und wie wird kontrolliert, ob Vereinbarungen eingehalten werden? Damit verbindet sie technische Maßnahmen mit den Anforderungen des Unternehmens.

Ein Patchregelwerk übersetzt diesen Rahmen in konkrete Vorgaben. Es legt beispielsweise fest, welche Systeme erfasst sind, wie Updates nach Kritikalität priorisiert werden und innerhalb welcher Fristen sie installiert werden sollen. Governance sagt also, was erreicht und verantwortet werden muss, während das Patchregelwerk beschreibt, wie das Unternehmen dabei vorgeht.

Ohne klare Regeln wird jedes Update zum Einzelfall

In vielen Unternehmen wird das Patchen ad hoc gehandhabt: Ein Team installiert Updates regelmäßig, ein anderes wartet auf ein Wartungsfenster und bei besonders kritischen Systemen ist unklar, wer die Freigabe erteilt. Solange nichts schiefgeht, fällt das kaum auf. Bei einer Sicherheitslücke oder einem ungeplanten Ausfall werden die offenen Fragen jedoch plötzlich teuer.

Ein wirksames Regelwerk schafft hier Klarheit über Zuständigkeiten und Abläufe. Es legt fest, wer Sicherheitsmeldungen bewertet, wer Updates testet und freigibt, wer den Rollout durchführt und wie Ausnahmen dokumentiert werden. So muss bei jedem Patch nicht neu verhandelt werden, was eigentlich gelten soll.

Sicherheit und Geschäftsbetrieb müssen zusammen gedacht werden

Nicht jedes Update ist gleich dringend und nicht jedes System kann gleich behandelt werden. Ein Patch für eine öffentlich erreichbare, geschäftskritische Anwendung hat möglicherweise eine höhere Priorität als ein Update für ein weniger kritisches Gerät. Deshalb ist eine risikobasierte Einordnung sinnvoll: Wie schwerwiegend ist die Schwachstelle, wie wahrscheinlich ist eine Ausnutzung und wie groß wäre der Schaden für den Geschäftsbetrieb?

Das Regelwerk sollte außerdem festlegen, wie getestet und ausgerollt wird. Tests und gestaffelte Rollouts können dabei helfen, Probleme frühzeitig zu erkennen. Für besonders kritische Sicherheitslücken muss es zugleich einen klaren Weg für beschleunigte Maßnahmen geben. Wenn ein Update vorübergehend nicht installiert werden kann, muss die Ausnahme begründet, genehmigt und mit geeigneten Ersatzmaßnahmen sowie einem Prüfdatum versehen werden.

Governance braucht Nachweise und Rückkopplung

Eine Vorgabe ist nur dann hilfreich, wenn sich überprüfen lässt, ob sie im Alltag funktioniert. Dafür ist eine nachvollziehbare Dokumentation notwendig. Welche Systeme wurden erfasst? Welche Updates wurden wann installiert? Wo gibt es offene Abweichungen und wer kümmert sich darum? Das unterstützt nicht nur Prüfungen, sondern auch die operative Steuerung.

Geeignete Kennzahlen können beispielsweise die Zeit bis zur Installation kritischer Patches, den Anteil fristgerecht aktualisierter Systeme und die Zahl offener Ausnahmen sichtbar machen. Diese Informationen fließen durch KPIs zurück in die IT-Governance und zeigen, ob die Fristen realistisch sind, ob Ressourcen fehlen oder ob Prozesse angepasst werden müssen. So wird das Patch-Regelwerk zu einem steuerbaren Teil der IT und nicht zu einem Dokument im Ablageordner.

Was ist zu tun?

• Erfassen Sie, welche Systeme, Anwendungen und Geräte in den Geltungsbereich fallen.
• Ordnen Sie Systeme und Schwachstellen nach ihrer Bedeutung und ihrem Risiko ein.
• Legen Sie Rollen, Entscheidungswege und Fristen fest – einschließlich eines beschleunigten Verfahrens für dringende Sicherheitsupdates.
• Definieren Sie Tests, Rollout, Erfolgskontrolle und einen Rückfallplan für fehlgeschlagene Updates.
• Regeln Sie, wie Ausnahmen genehmigt, abgesichert, dokumentiert und erneut geprüft werden.
• Überprüfen Sie regelmäßig anhand weniger aussagekräftiger Kennzahlen, ob der Prozess funktioniert.

Vom Regelwerk zum gelebten Prozess

Wenn Sie bei der Entwicklung eines Konzepts und Prozesses oder bei der Einführung Hilfe benötigen, stehen wir Ihnen gerne zur Seite. Unser Vorgehen beginnt mit einer Analyse Ihrer Prozesse, Dokumentationen und Arbeitsweisen, um zu ermitteln, wo Ihr Patchmanagement heute steht. In einem Workshop betrachten wir gemeinsam zentrale Fragen – etwa zu Zuständigkeiten, Kritikalität, Fristen und Ausnahmen – und skizzieren passende Lösungswege.

Das Ergebnis ist ein Konzept, das zu Ihrem Unternehmen, Ihrer IT-Landschaft und Ihren Abläufen passt. Auf Wunsch unterstützen wir Sie auch beim Change-Management und bei der User Adoption, damit die vereinbarten Maßnahmen dauerhaft und wirksam im Unternehmen verankert werden.

Unsere Empfehlungen zu Rollen, Priorisierung, Ausnahmen und Kennzahlen orientieren sich an gängigen Ansätzen für Patchmanagement-Richtlinien.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Das Problem: Ein Angreifer-Spielplatz mit 63 Eingängen.

Microsoft hat gerade ein Sicherheits-Update freigegeben, das 63 Schwachstellen in SQL Server behebt. Das klingt nach einer Zahl, die man ignorieren kann – doch das ist ein Fehler. Diese Menge an Lücken deutet darauf hin, dass Microsoft nicht nur eine einzelne Schwachstelle geschlossen, sondern systematische Probleme in mehreren Komponenten behoben hat.

Ein Angreifer, der eine dieser Lücken ausnutzt, könnte deine SQL-Server-Instanz vollständig übernehmen. Das bedeutet: Zugriff auf alle Daten, Erhöhung der Rechte auf Sysadmin-Ebene und beliebige Code-Ausführung – und das oft mit minimalen Hürden.

Was kann hier wirklich passieren?

Dieses Bedrohungsszenario ist nicht theoretisch. Ein Angreifer könnte beispielsweise:

Deine Daten stehlen: Vertrauliche Informationen, Kundendaten, Geschäftsgeheimnisse – wenn die Datenbank kompromittiert ist, ist alles offen. Und nein, eine Verschlüsselung auf Festplattenebene hilft hier nicht, wenn der Angreifer von innen zugreift.

Dein System lahmlegen: Ein Denial-of-Service-Angriff auf die SQL-Server kann dazu führen, dass deine Anwendungen nicht mehr funktionieren. Kein CRM, kein ERP, nichts.

Sich tiefer ins Netzwerk graben: Mit SQL-Server-Sysadmin-Rechten kann ein Angreifer seinen Spielraum erweitern und weitere Systeme in deinem Netzwerk angreifen. Das ist oft der Einstiegspunkt für Ransomware oder gezielte Datendiebstähle.

Deine Sicherheitsmaßnahmen aushebeln: Einige dieser Lücken ermöglichen es, Sicherheitsmechanismen zu umgehen – das bedeutet, dass dein IT-Security-Team möglicherweise nicht sieht, dass gerade etwas Unzulässiges passiert.

Warum gerade jetzt diese massive Liste?

Die hohe Anzahl von 63 CVEs in einem Patch-Zyklus ist ungewöhnlich und deutet darauf hin, dass Microsoft ein umfassendes Sicherheits-Audit durchgeführt hat oder mehrere kritische Schwachstellen parallel behoben wurden. Das ist eigentlich eine gute Nachricht – Microsoft reagiert proaktiv. Die schlechte Nachricht: Bis du das Update installiert hast, sind deine Systeme exponiert.

Was ist jetzt zu tun?

1. Inventar erstellen: Welche SQL-Server-Versionen laufen wo in deinem Unternehmen? Sind sie öffentlich zugänglich oder nur intern? Das entscheidet über deine Priorität.
2. Plane ein Update-Fenster: SQL-Server-Updates erfordern in der Regel einen Neustart oder zumindest eine Downtime-Phase. Das lässt sich nicht spontan umsetzen. Wenn du das noch gar nicht geplant hast, solltest du das diese Woche tun und nicht erst nächsten Monat.
3. Backups überprüfen: Bevor du ein Update durchführst, stelle sicher, dass deine Backups aktuell und wiederherstellbar sind. Das ist Standardvorsicht, aber bei 63 Lücken möchte man keine Überraschungen.
4. Zugriffe kontrollieren: Solange das Update läuft, reduziere den administrativen Zugriff auf deine SQL-Server-Instanzen. Nicht jeder muss Sysadmin sein – überprüfe deine Berechtigungsstruktur.
5. Monitoring hochfahren: Nach dem Update solltest du deine SQL-Server-Log-Dateien und dein Monitoring verstärken, um verdächtige Aktivitäten zu erkennen.

Noch ein Gedanke zur Governance:

Dies ist eines der klassischen Szenarien, in denen IT-Governance nicht nur ein Compliance-, sondern auch ein wirtschaftliches Thema ist. Ein Patch-Management-Prozess, der es ermöglicht, kritische Updates innerhalb von Tagen statt Monaten einzuspielen, ist ein echter Wettbewerbsvorteil. Unternehmen, die das beherrschen, sind resilient. Die anderen … naja, die hoffen, dass es sie nicht trifft.

Unser Vorgehen zur IT-Governance

Wenn dein Unternehmen beim Thema IT-Governance und Sicherheitskonzepten unsicher ist, helfen wir gerne. Zunächst analysieren wir deine aktuellen Patch-Management-Prozesse, deine SQL-Server-Infrastruktur und deine Dokumentationen. Wir schauen uns an, wo Lücken bestehen und wo es schneller gehen könnte.

In einem Workshop werden wir einen Fragenkatalog durchgehen. Wie kriegen wir Updates schneller aus? Wie dokumentieren wir das? Wie schulen wir dein IT-Team? Das Ergebnis ist ein Konzept, das zu deinem Unternehmen passt. Es schließt nicht nur die aktuellen Lücken, sondern gibt dir auch eine Struktur, um zukünftig schneller reagieren zu können.

Gerne unterstützen wir dich auch beim Change-Management und helfen deinem Team dabei, die Maßnahmen dauerhaft und effektiv umzusetzen. Denn Updates ohne Prozess sind wie Flicken ohne Plan: Sie sind hilfreich, aber nicht nachhaltig.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Die perfekte Täuschung: Wenn echte Dienste für Betrug missbraucht werden

Die Angreifer haben eine clevere Taktik entwickelt: Sie registrieren eigene Anwendungen im Microsoft-Authentifizierungsdienst Microsoft Entra und manipulieren die sogenannten Redirect-URIs – also die Zieladressen, auf die Nutzer nach der Anmeldung weitergeleitet werden.

Das Ergebnis? E-Mails mit echten Microsoft-Links. Für den Empfänger ist das kaum zu durchschauen. Der Link sieht legitim aus, weil er tatsächlich zu Microsoft gehört. Erst nach der Authentifizierung werden Nutzer auf eine manipulierte Webseite geleitet, wo persönliche Daten abgefragt oder Schadsoftware zum Download angeboten wird.

Wie die Betrüger vorgehen

Die Phishing-Mails sind vielfältig gestaltet:

• gefälschte Microsoft-Mitteilungen, die angeblich eine Sicherheitsprüfung erfordern,
• Aufforderungen zur Aktualisierung von Zugangsdaten,
• Dokumente zum Unterschreiben – um private Informationen abzugreifen,
• verfälschte Support-Anfragen, die vermeintlich von Microsoft stammen.

Das Tückische daran ist, dass viele der klassischen Warnsignale von Phishing-Mails fehlen. Der Link verweist auf tatsächlich zu Microsoft gehörende Server – die Gefahr offenbart sich erst später in der Angriffskette.

Warum traditionelle Sicherheit nicht mehr ausreicht

Andrey Kovtun, Sicherheitsexperte bei Kaspersky, warnt:

„Es ist nicht das erste Mal, dass Angreifer Links und Nachrichten nicht nur vermeintlich, sondern tatsächlich im Namen eines realen Unternehmens über dessen offizielle Dienste versenden. Dadurch erhalten solche Betrugsversuche eine zusätzliche Glaubwürdigkeit und sind schwieriger zu erkennen.“

Das zentrale Problem ist, dass die klassischen Erkennungsmerkmale nicht mehr funktionieren: Ein verdächtiger Absender, eine fehlerhafte E-Mail-Adresse oder eine ungewöhnliche Domain waren lange Zeit sichere Indikatoren für Phishing. Bei dieser Kampagne können solche Hinweise jedoch komplett fehlen.

Die Risiken für Unternehmen und Privatanwender

Wie man sich schützt

Für Unternehmen:

• E-Mail-Sicherheit verstärken: Moderne Sicherheitslösungen müssen nicht nur Phishing, sondern auch verdächtige Weiterleitungen erkennen – selbst wenn diese über legitime Dienste laufen
• Mehrfaktoren-Authentifizierung (MFA): Machen Sie MFA für alle Benutzer verbindlich, um zu verhindern, dass gestohlene Passwörter allein ausreichen
• Security-Awareness-Training: Schulen Sie Ihre Mitarbeiter regelmäßig über solche Angriffsmethoden
• Link-Analyse: Setzen Sie auf Lösungen, die URLs im Kontext analysieren, nicht nur oberflächlich prüfen

Für Privatanwender:

• Misstrauen Sie dem ersten Eindruck: Selbst wenn ein Link von Microsoft zu stammen scheint – zögern Sie!
• Direkt anmelden: Geben Sie bei verdächtigen E-Mails die Adresse direkt in den Browser ein, anstatt Links anzuklicken.
• Browser-Schutz aktivieren: Nutzen Sie einen Browser mit integriertem Phishing-Schutz.
• Passwörter nicht eingeben: Geben Sie Passwörter nur ein, wenn Sie die Webseite selbst aufgerufen haben.
• Aktuell bleiben: Microsoft wird Sie nie unauffällig auffordern, sensible Daten nachzuprüfen.

Das Fazit lautet: Vigilanz ist wichtiger denn je

Diese Kampagne zeigt einen gefährlichen Trend: Cyberkriminelle werden immer raffinierter. Sie verstecken sich nicht mehr nur hinter gefälschten Adressen und geklonten Websites, sondern missbrauchen auch die Infrastruktur der Anbieter, denen wir vertrauen.

Weder Unternehmen noch Privatanwender können sich auf die alten Erkennungsmerkmale von Phishing verlassen. Stattdessen ist eine Kombination aus technischem Schutz, Benutzer-Wachsamkeit und modernen Sicherheitslösungen, die mehrschichtig arbeiten, erforderlich.

Im Zweifelsfall ist es besser, einmal zu viel als einmal zu wenig zu hinterfragen. Ihre Sicherheit ist es wert.

Quelle: Kaspersky Lab, 07.10.2026

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Denn wenn Mitarbeitende unter Druck geraten, offiziell wirkende Anfragen zu bearbeiten, helfen selbst gute Sicherheitssysteme nur begrenzt. Die entscheidende Frage lautet nicht: „Wer hat den Fehler gemacht?” sondern: „Welcher Prozess hat es ermöglicht, dass ein einzelner Fehler Folgen haben konnte?”

Zwei Vorfälle, ein wiederkehrendes Muster

Im September 2026 waren Revolut-Kunden von zwei aufeinanderfolgenden Datendiebstählen betroffen. In einem Fall gelangten Angreifer mittels Social Engineering in das Netzwerk des US-Brokers DriveWealth, der zuvor den Handel mit US-Aktien für Revolut-Nutzer abwickelte. In einem weiteren Fall gab Revolut sensible Kundendaten heraus, nachdem sich Kriminelle als italienische Strafverfolgungsbehörde ausgegeben hatten. Berichten zufolge waren weltweit rund 680 Kunden von diesem zweiten Vorfall betroffen.

Die Angriffe liefen unterschiedlich ab. Das Prinzip dahinter war jedoch ähnlich: Die Menschen sollten einer Anfrage vertrauen, die glaubwürdig und legitim wirkte. Genau darin liegt die unangenehme Erkenntnis: Nicht jede erfolgreiche Cyberattacke beginnt mit einer ungepatchten Software oder einem geknackten Passwort. Manche beginnt mit einer im Arbeitsalltag plausibel aussehenden Nachricht.

Der Mensch ist kein Sicherheitsproblem.

In der IT-Sicherheit wird der „Faktor Mensch“ oft so behandelt, als wären Mitarbeitende das schwächste Glied in der Kette. Das greift jedoch zu kurz. Menschen arbeiten mit Informationen, treffen Entscheidungen und reagieren auf Zeitdruck, Hierarchien und vermeintliche Autorität. Angreifer wissen das und nutzen es aus.

Wenn eine Anfrage dringend klingt, von einer offiziellen Stelle zu kommen scheint und die Angabe sensibler Daten verlangt, reicht es nicht aus, von Mitarbeitenden einfach mehr Aufmerksamkeit zu fordern. Unternehmen müssen ihnen klare Abläufe an die Hand geben. Wer prüft solche Anfragen? Über welchen unabhängigen Kanal wird die Identität bestätigt? Und wer darf Daten freigeben?

Awareness-Schulungen brauchen einen Praxisbezug.

Eine jährliche Pflichtschulung kann Grundlagen vermitteln. Sie verändern aber nicht automatisch das Verhalten in einer konkreten Stresssituation. Laut dem Beitrag zum Revolut-Fall sehen 77 Prozent der befragten CISOs den Faktor Mensch als wesentlichen Beitrag zu Sicherheitsvorfällen. Zugleich fließen demnach nur rund 15 Prozent des Cybersicherheitsbudgets in Awareness-Schulungen. Diese Zahlen deuten auf eine Lücke zwischen erkanntem Risiko und gelebter Praxis hin.

Schulungen sollten deshalb zu den Aufgaben und Risiken der jeweiligen Rolle passen. Mitarbeitende im Support, in der Buchhaltung oder im Personalbereich sehen sich anderen Anfragen gegenüber als die IT-Administration. Sinnvoll sind realistische Szenarien, klare Meldewege und kurze Übungen, die zeigen, wie bei ungewöhnlichen oder besonders dringenden Anfragen reagiert werden sollte. Erfolg misst sich dabei nicht nur daran, ob alle das Training abgeschlossen haben, sondern auch daran, ob verdächtige Situationen erkannt und gemeldet werden.

Sicherheit entsteht durch gute Prozesse.

Selbst die beste Awareness-Kampagne kann einen fehlenden Prüfprozess nicht ersetzen. Wenn eine einzelne Person Anfragen beurteilen und sensible Daten herausgeben kann, stellt dies ein organisatorisches Risiko dar. Eine zweite Prüfung und eine unabhängige Rückfrage können aus einem plausiblen Betrugsversuch einen abgewehrten Angriff machen.

Das gilt nicht nur für Banken. Jedes Unternehmen, das personenbezogene Daten verarbeitet oder auf Anfragen von Behörden, Dienstleistern und Geschäftspartnern reagiert, sollte prüfen, wie solche Anfragen bearbeitet werden. Technik ist nach wie vor wichtig, muss aber durch klare Zuständigkeiten, dokumentierte Abläufe und sinnvolle Kontrollen ergänzt werden.

Was ist zu tun?

• Legen Sie fest, wer behördliche oder ungewöhnliche Datenanfragen entgegennimmt und bearbeitet.
• Verifizieren Sie die Identität des Absenders über einen unabhängigen, zuvor bekannten Kontaktweg.
• Definieren Sie, welche Daten nur nach dem Vier-Augen-Prinzip freigegeben werden dürfen.
• Schulen Sie Mitarbeitende anhand realistischer Szenarien aus ihrem Arbeitsalltag.
• Erfassen Sie, ob verdächtige Anfragen gemeldet und Prüfprozesse eingehalten werden.
• Spielen Sie den Ernstfall regelmäßig durch – einschließlich der Frage, wer intern informiert und entscheidet.

Vom Sicherheitsgefühl zu belastbaren Abläufen

Sie benötigen dabei Hilfe?`Wir beginnen mit einer Analyse Ihrer Prozesse, Dokumentationen und Arbeitsweisen, um zu ermitteln, wo Sie heute stehen. In einem Workshop betrachten wir typische Risiken, klären Zuständigkeiten und skizzieren passende Lösungswege. Daraus entsteht ein Konzept, das zu Ihrem Unternehmen und Ihrem tatsächlichen Arbeitsalltag passt.

Auf Wunsch unterstützen wir Sie auch beim Change-Management und bei der User Adoption. Denn erst wenn Sicherheitsmaßnahmen verstanden werden, in die Abläufe passen und im Alltag gelebt werden, wirken sie dauerhaft.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

NIS-2 macht genau das deutlich: Cybersicherheit wird zur Führungsaufgabe. Unternehmen müssen Risiken systematisch bewerten, Schutzmaßnahmen umsetzen und Sicherheitsvorfälle melden. Sie müssen nachweisen können, dass sie ihre Verantwortung ernst nehmen.

Was ist NIS-2?

NIS-2 ist die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit. Sie soll die Widerstandsfähigkeit europäischer Unternehmen gegenüber Cyberangriffen verbessern und gilt für deutlich mehr Organisationen als die ursprüngliche NIS-Richtlinie.

In Deutschland ist die Richtlinie inzwischen in nationales Recht umgesetzt. Das deutsche NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Eine allgemeine Übergangsfrist für die Umsetzung der Sicherheitsanforderungen gibt es nicht.

Die entscheidende Frage lautet deshalb nicht mehr: „Kommt NIS-2 irgendwann auf uns zu?“ Sondern: „Welche Anforderungen gelten für uns – und wie können wir ihre Umsetzung belegen?“

Für wen gilt NIS-2?

Der Anwendungsbereich geht weit über die klassischen Betreiber kritischer Infrastrukturen hinaus. Betroffen sein können Unternehmen ab einer bestimmten Größe, die in einem der gesetzlich definierten Sektoren tätig sind.

Dazu zählen unter anderem:

• Energieversorgung und Wasserwirtschaft
• Verkehr und Transport
• Banken und Finanzmarktinfrastrukturen
• Gesundheitswesen und bestimmte Pharmaunternehmen
• Digitale Infrastruktur, Telekommunikation und IT-Dienstleistungen
• Öffentliche Verwaltung und Raumfahrt
• Abfallwirtschaft sowie Post- und Kurierdienste
• Chemie- und Lebensmittelindustrie
• Bestimmte Unternehmen des verarbeitenden Gewerbes
• Digitale Dienste wie Online-Marktplätze und Suchmaschinen
• Forschungseinrichtungen

NIS-2 unterscheidet im Wesentlichen zwischen wesentlichen Einrichtungen und wichtigen Einrichtungen. Welche Kategorie zutrifft, hängt vom Tätigkeitsbereich, der Unternehmensgröße und weiteren gesetzlichen Kriterien ab.

Unternehmen werden in der Regel nicht automatisch von einer Behörde darüber informiert, dass sie betroffen sind. Sie müssen ihre Betroffenheit selbst prüfen und – sofern erforderlich – die Registrierung beim BSI vornehmen. Die gesetzliche Registrierungsfrist ist inzwischen abgelaufen. Unternehmen, die noch nicht registriert sind, sollten daher unverzüglich handeln.

Was müssen betroffene Unternehmen umsetzen?

NIS-2 schreibt weder ein bestimmtes Produkt noch eine bestimmte Zertifizierung vor. Vielmehr ist ein angemessenes und wirksames Risikomanagement für die Informationssicherheit gefordert.

Dazu gehören insbesondere:

• eine strukturierte Risikoanalyse
• Maßnahmen zur Bewältigung von Sicherheitsvorfällen
• Backup- und Wiederherstellungsverfahren
• Krisen- und Notfallmanagement
• Sicherheit in Lieferketten und bei Dienstleistern
• Zugriffskontrollen und sichere Authentifizierung
• Schutz vor Schadsoftware und Ausnutzung von Schwachstellen
• Verschlüsselung und sichere Kommunikation
• Regelmäßige Sicherheitsprüfungen
• Schulungen und Sensibilisierung der Mitarbeitenden
• Verfahren zur Bewertung der Wirksamkeit aller Maßnahmen

Entscheidend ist dabei nicht nur, ob Maßnahmen existieren. Ein Unternehmen muss auch nachweisen können, dass Verantwortlichkeiten geklärt sind, Prozesse funktionieren, die Maßnahmen regelmäßig überprüft und verbessert werden und regelmäßige sowie hinreichende Schulungen stattfinden.

Ein PDF mit dem Titel „IT-Sicherheitskonzept” reicht dafür nicht aus. Wenn im Ernstfall niemand weiß, welche Systeme wiederhergestellt werden müssen oder wie ein Vorfall zu melden ist, bleibt das Konzept Theorie.

Meldepflichten: 24 Stunden sind schneller vorbei, als man denkt

Ein wesentlicher Bestandteil von NIS-2 sind die verschärften Meldepflichten für erhebliche Sicherheitsvorfälle. In Deutschland ist grundsätzlich das Bundesamt für Sicherheit in der Informationstechnik zuständig.

Der Meldeprozess ist zeitlich gestaffelt:

1. Innerhalb von 24 Stunden: Eine Frühwarnung nach Bekanntwerden des Vorfalls.
2. Innerhalb von 72 Stunden: Eine ausführlichere Meldung mit einer ersten Bewertung des Vorfalls.
3. Innerhalb eines Monats: Ein Abschlussbericht mit Ursachen, Auswirkungen, Bedrohungsart und Gegenmaßnahmen.

Das klingt zunächst nach einer Aufgabe der IT-Sicherheit. In der Praxis müssen jedoch mehrere Bereiche zusammenarbeiten: IT, Geschäftsführung, Datenschutz, Kommunikation, Recht, Versicherung und gegebenenfalls externe Dienstleister.

Wer erst im laufenden Angriff klärt, wer melden darf, welche Informationen vorliegen und wo das BSI-Portal zu finden ist, verliert wertvolle Zeit. Ein belastbarer Incident-Response-Prozess und eine Kommunikationsmatrix müssen deshalb vor dem Vorfall erstellt werden – nicht danach.

Die Geschäftsführung trägt Verantwortung

NIS-2 macht Cybersicherheit zur Chefsache. Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich selbst angemessen weiterbilden.

Das bedeutet jedoch nicht, dass die Geschäftsführung jedes technische Detail kennen muss. Sie muss jedoch die Risiken, denen das Unternehmen ausgesetzt ist, die dagegen ergriffenen Maßnahmen und den bestehenden Handlungsbedarf verstehen.

Ebenso wichtig ist die Frage nach der persönlichen Verantwortung. Bei schuldhaften Pflichtverletzungen können Geschäftsleitungsmitglieder gegenüber dem Unternehmen persönlich haften. Die oft gehörte Aussage „Das macht unsere IT“ schützt daher nicht vor der Verantwortung der Unternehmensleitung.

Welche Sanktionen drohen?

Die möglichen Bußgelder sind erheblich:

• Für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.
• Für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes und – für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes. Entscheidend ist jeweils der höhere Betrag.

Entscheidend ist jeweils der höhere Betrag. Sanktionen können unter anderem bei fehlenden Sicherheitsmaßnahmen, nicht erfüllten Meldepflichten oder Verstößen gegen Registrierungs- und Mitwirkungspflichten relevant werden.

NIS-2 sollte trotzdem nicht als reines Bußgeldthema verstanden werden. Ein funktionierendes Sicherheits- und Notfallmanagement schützt vor regulatorischen Konsequenzen und hat weitere Vorteile. Es reduziert Ausfallzeiten, verbessert die Verhandlungsposition gegenüber Kunden und stärkt die Widerstandsfähigkeit des Unternehmens.

Was ist zu tun?

Unternehmen sollten jetzt strukturiert vorgehen:

• Betroffenheit nach Branche, Größe und Unternehmensstruktur prüfen
• Registrierungspflichten und zuständige Ansprechpartner klären
• aktuellen Sicherheits- und Organisationsstand erfassen
• Risiken bewerten und priorisieren
• Verantwortlichkeiten für Geschäftsführung, IT und Fachbereiche festlegen
• Sicherheits- und Notfallkonzept erstellen oder aktualisieren
• Backup, Wiederherstellung und Krisenkommunikation testen
• Lieferanten und Dienstleister in die Betrachtung einbeziehen
• Meldeprozesse einschließlich der 24-, 72-Stunden- und Monatsfristen vorbereiten
• Mitarbeitende und Geschäftsleitung regelmäßig schulen
• Maßnahmen dokumentieren und durch Audits überprüfen

Der wichtigste Schritt ist eine realistische Bestandsaufnahme. Nicht jede Lücke muss am selben Tag geschlossen werden. Aber jede relevante Lücke braucht einen Verantwortlichen, eine Priorität und einen nachvollziehbaren Zeitplan.

Weiterlesen bei: NIS-2: Vom Maßnahmenkatalog zur gelebten Sicherheit

Unser Vorgehen

Wir beginnen mit einer Analyse Ihrer bestehenden Prozesse, Dokumentationen und Arbeitsweisen. Dabei betrachten wir unter anderem Risikoanalyse, Datensicherheit, Löschung, Backup, Archivierung, Notfallmanagement und die Zusammenarbeit mit Dienstleistern. So ermitteln wir Ihren aktuellen Reifegrad und prüfen, welche NIS-2-Anforderungen für Ihr Unternehmen relevant sind.

In einem gemeinsamen Workshop bearbeiten wir einen strukturierten Fragenkatalog, klären Verantwortlichkeiten und skizzieren passende Lösungswege. Das Ergebnis ist eine auf Ihr Unternehmen zugeschnittene Reifegradanalyse mit einem konkreten Maßnahmenkatalog.

Darauf aufbauend entwickeln wir mit Ihnen ein Datensicherheits- und Notfallkonzept einschließlich Kommunikationsmatrix sowie eine priorisierte Roadmap für die Umsetzung. Wir unterstützen Sie außerdem beim Change-Management und bei der User-Adoption, begleiten Schulungen und helfen Ihnen dabei, die Maßnahmen dauerhaft und wirksam in Ihrem Unternehmen zu verankern.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Was wurde geändert?

Die neu veröffentlichte Version 2 behebt unter anderem die Schwachstelle CVE-2026-96940. Sie betrifft die Berechtigungsprüfung in Exchange Server: Ein angemeldeter Angreifer könnte seine Rechte ausweiten und auf Postfächer anderer Nutzer derselben Organisation zugreifen. Ein Zugriff über Organisationsgrenzen hinweg ist laut den verfügbaren Informationen nicht möglich.

Microsoft veröffentlichte das Update am 2. Oktober 2026 außerplanmäßig. Die ursprünglichen September-Updates enthielten diesen Fix noch nicht. Wer nur diese erste Version installiert hat, ist gegen CVE-2026-96940 daher nicht geschützt. Microsoft zufolge gibt es bislang keine Hinweise auf eine aktive Ausnutzung der Schwachstelle.

Warum das im Betrieb leicht untergeht

Im Alltag ist „Update installiert“ oft der Punkt, an dem ein Ticket geschlossen wird. Bei einer erneut veröffentlichten Update-Version muss die IT jedoch noch einmal nachfassen: Welche Systeme laufen, welche Paketversion ist installiert – und ist die neue Version tatsächlich ausgerollt?

Das ist besonders wichtig, weil Exchange ein zentrales System für Kommunikation und oft auch für sensible Unternehmensdaten ist. Zudem erhalten ältere Exchange-Versionen nicht automatisch weiter Sicherheitsupdates: Für Exchange Server 2016 und 2019 gelten inzwischen besondere Supportbedingungen. Unternehmen müssen prüfen, ob sie für Updates über das Extended Security Update-Programm berechtigt sind oder auf Exchange Server Subscription Edition umsteigen müssen.

Was Unternehmen jetzt tun sollten

1. Exchange-Umgebung erfassen: Version, kumulatives Update und installierte Sicherheitsupdate-Version dokumentieren.
2. V2-Update abgleichen: Prüfen, ob für die eigene Exchange-Version ein erneut veröffentlichtes Paket vorliegt und ob es bereits installiert ist.
3. Installation kontrollieren: Nach dem Update den von Microsoft empfohlenen Exchange Server Health Checker ausführen und mögliche zusätzliche Schritte prüfen.
4. Berechtigungen und Auffälligkeiten prüfen: Ungewöhnliche Zugriffe auf Postfächer und verdächtige Anmeldeaktivitäten untersuchen.
5. Supportstatus klären: Sicherstellen, dass die eingesetzte Exchange-Version noch Sicherheitsupdates erhält.

Einordnung

Ein Update erneut auszurollen, kostet Zeit. Ein ungeprüftes Update kann aber eine trügerische Sicherheit schaffen. Für mich ist das ein gutes Beispiel dafür, warum Patch-Management nicht beim Installationsstatus enden sollte: Versionen müssen nachvollziehbar sein, Zuständigkeiten klar und die Wirksamkeit der Maßnahme überprüfbar.

Ein sauberer Prozess beantwortet deshalb nicht nur die Frage „Ist das Update installiert?“, sondern auch: „Ist es die richtige Version – und können wir belegen, dass die betroffenen Systeme geschützt sind?“

Für Unternehmen ist das eine wichtige Erinnerung: Ein installiertes Update ist kein automatischer Nachweis dafür, dass ein System wieder sicher und stabil läuft. Nach einem Sicherheitsvorfall gehören auch Protokolle, Erreichbarkeit und mögliche Veränderungen am System auf den Prüfstand.

Was bisher bekannt ist

Die neue Schwachstelle trägt die Kennung CVE-2026-88779 und betrifft NetScaler ADC und NetScaler Gateway, wenn diese als SAML Service Provider oder Identity Provider eingerichtet sind. Citrix stuft sie als schwerwiegend ein und beschreibt sie als Speicherüberlauf, der zu einem Ausfall des Dienstes führen kann. Wiederholte Angriffe könnten die Systeme dauerhaft nicht verfügbar machen. Citrix zufolge gibt es bislang keine Hinweise auf eine Beeinträchtigung der Datenintegrität.

Angriffe wurden demnach bei noch nicht ausreichend geschützten Systemen beobachtet. Sicherheitsforscher berichteten außerdem von Angriffen auf aktualisierte Honeypot-Systeme und von einem dort heruntergeladenen Schadprogramm. Hinweise auf mögliche Ausführung von Schadcode sind damit ernst zu nehmen, aber nicht gleichbedeutend mit einem bestätigten erfolgreichen Angriff auf jedes betroffene System.

Warum ein Update nicht das Ende der Arbeit ist

Die Meldung kam kurz nach Warnungen vor zwei weiteren aktiv ausgenutzten NetScaler-Schwachstellen, CVE-2026-88771 und CVE-2026-88772. Administratoren berichteten, dass bereits aktualisierte Systeme weiterhin neu starteten. In ausgewerteten Protokollen fanden sich Anmeldeversuche mit Shell-Befehlen im Benutzernamenfeld, die offenbar dazu dienen sollten, ein schädliches Skript herunterzuladen und auszuführen.

Ein untersuchtes Skript soll versucht haben, Web-Shells zu installieren, Änderungen über Neustarts hinweg zu erhalten und Konfigurationen sowie Backups abzugreifen. Ob diese Aktionen auf betroffenen Systemen tatsächlich erfolgreich waren, war laut Bericht nicht belegt. Genau deshalb zählt neben dem Patchen auch die Prüfung, ob ein System bereits kompromittiert oder verändert wurde.

Was Unternehmen jetzt tun sollten

• Prüfen, ob NetScaler ADC oder Gateway eingesetzt wird und ob die betroffene SAML-Konfiguration vorliegt.
• Die aktuellen Herstellerhinweise und verfügbaren Sicherheitsupdates umgehend prüfen und gemäß der eigenen Änderungs- und Notfallprozesse umsetzen.
• Systemprotokolle auf ungewöhnliche Anmeldeversuche, Neustarts und unerwartete Prozesse untersuchen.
• Bei Auffälligkeiten die Systeme nicht einfach als „gepatcht und erledigt“ einstufen, sondern einen möglichen Sicherheitsvorfall bewerten und Beweise sichern.
• Zuständigkeiten zwischen IT-Betrieb, Informationssicherheit und Geschäftsführung klären – insbesondere für Entscheidungen zu Abschaltung, Wiederherstellung und Kommunikation.

Die US-amerikanische CISA nahm CVE-2026-88779 am 4. Oktober 2026 in ihren Katalog bekannter, ausgenutzter Schwachstellen auf und setzte für Bundesbehörden eine Behebungsfrist bis zum 7. Oktober. Das unterstreicht die Dringlichkeit, ersetzt aber nicht die eigene Prüfung, welche Systeme und Geschäftsprozesse im Unternehmen betroffen sind.

Einordnung

Sicherheitsupdates bleiben unverzichtbar. Doch bei aktiv ausgenutzten Schwachstellen ist Patchen nur ein Teil der Reaktion: Unternehmen müssen auch nachvollziehen, was vor dem Update passiert ist und ob das System danach wieder zuverlässig betrieben werden kann.

Wer kritische Zugangssysteme betreibt, sollte deshalb einen klaren Ablauf für Sicherheitsmeldungen haben: Betroffenheit feststellen, Maßnahmen priorisieren, Systeme prüfen und Entscheidungen dokumentieren. So wird aus einer dringenden Warnung ein kontrollierbarer Prozess – statt einer hektischen Folge einzelner Maßnahmen.

Laut einem aktuellen Bericht von Symantec waren in den vergangenen zwei Monaten mindestens vier Organisationen in portugiesisch- und spanischsprachigen Ländern betroffen: zwei Betreiber kritischer Infrastruktur – ein Wasserversorger und ein Telekommunikationsanbieter –, eine regionale Behörde und eine Universität. Der Fall zeigt, warum SharePoint-Systeme, die direkt aus dem Internet erreichbar sind, besonders sorgfältig abgesichert und aktuell gehalten werden müssen.

Vom SharePoint-Server zur Ransomware

Die Angreifer nutzen Schwachstellen in lokal betriebenen SharePoint-Servern als Einstieg. Dazu gehören die bereits bekannten ToolShell-Schwachstellen. Laut Bericht könnte die Gruppe außerdem weitere, neuere SharePoint-Lücken einsetzen. Welche Schwachstelle im Einzelfall genutzt wurde, lässt sich aus den vorliegenden Angaben jedoch nicht für alle Opfer ableiten.

Nach dem ersten Zugriff installieren die Angreifer sogenannte Webshells. Das sind kleine Programme auf dem Server, über die sie später Befehle ausführen können. Berichten zufolge stehlen sie außerdem ASP.NET-Maschinenschlüssel, die zur Absicherung bestimmter SharePoint-Funktionen dienen und weitere Zugriffe erleichtern können.

Sicherheitssoftware gezielt ausgeschaltet

Der Angriff endet nicht beim kompromittierten Server. In einem Fall setzten die Angreifer ein Werkzeug ein, um die Sicherheitssoftware auf mindestens 40 Systemen zu deaktivieren. Anschließend wurde die Warlock-Ransomware auf mindestens 33 dieser Systeme ausgeführt.

Für die weitere Ausbreitung nutzen die Angreifer unter anderem legitime Verwaltungs- und Entwicklungstools. Laut Symantec zählt dazu auch die Tunnel-Funktion von Visual Studio Code, die unauffälligen Fernzugriff ermöglichen kann. Zudem wurde die Ransomware über den SYSVOL-Ordner der Windows-Domäne verteilt – einen Bereich, der systembedingt auf Domänencontrollern repliziert wird und breit zugänglich sein kann.

Warum der Vorfall relevant ist

Die Angreifer kombinieren gezielte, technisch ausgefeilte Methoden mit dem Geschäftsmodell von Ransomware. Dadurch erhöht sich das Risiko nicht nur für einzelne Server, sondern für ganze Netzwerke: Ein erfolgreicher Einstieg kann zur Deaktivierung von Schutzmaßnahmen und zur Verschlüsselung vieler Systeme führen.

Besonders wichtig ist die Erkenntnis, dass bekannte SharePoint-Schwachstellen auch lange nach ihrer Veröffentlichung eine nutzbare Angriffsfläche bieten, wenn Systeme nicht gepatcht oder anderweitig abgesichert werden. Ein Update allein ist dabei jedoch nicht immer die Lösung: Wurden bereits Webshells, gestohlene Schlüssel oder andere Zugänge eingerichtet, müssen diese zusätzlich gesucht und beseitigt werden.

Was ist zu tun?

• SharePoint-Systeme inventarisieren: Erfassen Sie, welche Server lokal betrieben werden und aus dem Internet erreichbar sind.
• Sicherheitsupdates zeitnah einspielen: Prüfen, ob die eingesetzten SharePoint-Versionen und alle relevanten Komponenten aktuell sind.
• Auf Spuren eines Einbruchs untersuchen: Webshells, unerwartete Dienste, ungewöhnliche Prozesse und verdächtige Änderungen an SharePoint-Dateien prüfen.
• Schlüssel und Zugangsdaten bewerten: Bei möglicher Kompromittierung betroffene Maschinenschlüssel und Anmeldedaten nach einem abgestimmten Incident-Response-Verfahren erneuern.
• Ausbreitung begrenzen: Netzwerke segmentieren, Rechte minimieren und sicherstellen, dass ein kompromittierter Server nicht ungehindert auf andere Systeme zugreifen kann.
• Wiederherstellung vorbereiten: Backups regelmäßig testen und sicherstellen, dass sie vor Manipulation und Verschlüsselung geschützt sind.

Vom Überblick zu wirksamen Maßnahmen

Zunächst analysieren wir Ihre Systeme, Prozesse und Dokumentation, um zu ermitteln, wie SharePoint eingesetzt und abgesichert wird. In einem Workshop betrachten wir Risiken, Zuständigkeiten und mögliche Schutzmaßnahmen – vom Patch- und Berechtigungsmanagement bis zu Notfallabläufen.

Das Ergebnis ist ein Konzept, das zu Ihrer Umgebung und den Anforderungen Ihres Unternehmens passt. Gerne unterstützen wir Sie auch bei der Umsetzung, beim Change-Management und dabei, Sicherheitsmaßnahmen dauerhaft in den Arbeitsalltag zu integrieren.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Für Unternehmen ist das relevant, denn ein kompromittiertes Gerät bedeutet mehr als nur ein einzelner IT-Vorfall. Es kann zum Einstiegspunkt für weitere Angriffe werden – besonders dann, wenn Mitarbeitende Installationsdateien aus nicht geprüften Quellen starten und dabei ihr Passwort eingeben.

Was ist passiert?

Sicherheitsforscher haben eine Schadsoftware entdeckt, die sich als Zoom-Installer für macOS tarnt. Das Opfer lädt ein Image herunter, das wie ein Zoom-Volume erscheint, und wird dazu geführt, die vermeintliche Installation selbst zu aktivieren. Tatsächlich wird dabei jedoch CloudSyncD installiert. Die ersten untersuchten Varianten schienen noch in der Entwicklung zu sein. Spätere Funde deuten jedoch darauf hin, dass die Malware inzwischen auch eingesetzt wird.

Laut Analyse ist CloudSyncD eine Hintertür, die unauffällig dauerhaften Zugriff auf einen infizierten Mac ermöglichen soll. Sie kann Informationen über das Gerät sammeln und an einen Steuerungsserver übermitteln. Im Gegensatz zu einem klassischen Infostealer ist sie jedoch nicht darauf ausgelegt, routinemäßig gespeicherte Zugangsdaten abzugreifen. Das abgefragte Benutzerpasswort wird dem Bericht zufolge lokal verwendet, um die Installation mit erweiterten Rechten auszuführen.

Der eigentliche Angriffspunkt: Vertrauen

Die technische Raffinesse ist bemerkenswert, doch der entscheidende Schritt bleibt erstaunlich menschlich: Ein Nutzer muss den falschen Installer herunterladen, starten und den Anweisungen folgen. Dabei versucht die Schadsoftware, die Schutzmechanismen von macOS zu umgehen. Scheitert ein Ausführungsversuch, nutzt sie laut Bericht das eingegebene Passwort für einen weiteren Installationsweg.

Das ist jedoch kein Grund, Mitarbeitenden pauschal zu misstrauen. Es ist ein Hinweis darauf, dass gute Sicherheitsregeln im Alltag funktionieren müssen. Wenn ein Team nicht weiß, woher Software bezogen werden darf oder warum eine Passwortabfrage ungewöhnlich ist, hilft auch die beste Richtlinie im Intranet wenig.

Was Unternehmen daraus lernen sollten:

Softwareinstallationen müssen klar und praktikabel geregelt werden: Welche Anwendungen sind freigegeben, aus welchen Quellen dürfen sie bezogen werden und wer unterstützt bei Ausnahmen? Dies sollte für Macs ebenso klar sein wie für Windows-Geräte. „Ladet nichts Verdächtiges herunter“ ist keine belastbare Schutzmaßnahme, wenn unklar bleibt, was im konkreten Arbeitsalltag als verdächtig gilt.

Ebenso wichtig sind technische Kontrollen: Dazu gehören eine Geräteverwaltung, eingeschränkte lokale Administratorrechte, ein verlässlicher Prozess zur Softwareverteilung und die Überwachung auf ungewöhnliche Hintergrunddienste. Im konkreten Fall berichten die Forscher von einem Daemon namens CloudSyncD sowie weiteren wiederkehrenden Merkmalen, die Sicherheitsverantwortliche zur Suche nach möglichen Infektionen nutzen können.

Was ist zu tun?

• Installationsquellen festlegen: Anwendungen nur über freigegebene und überprüfbare Kanäle beziehen.
• Rechte begrenzen: Lokale Administratorrechte nur vergeben, wenn sie tatsächlich benötigt werden.
• Passwortabfragen einordnen: Mitarbeitende sollten wissen, dass eine unerwartete Abfrage während einer Installation ein Grund ist, die Installation abzubrechen und die IT einzubeziehen.
• Geräte prüfen: Bei Verdacht den Mac vom Netzwerk trennen und durch die IT untersuchen lassen. Sicherheitsverantwortliche können zusätzlich die im Bericht genannten Indikatoren und Erkennungsregeln prüfen.
• Prozesse regelmäßig testen: Sind Softwarefreigabe, Supportweg und Reaktion auf einen Vorfall für alle verständlich und schnell nutzbar?

Sicherheit muss zum Arbeitsalltag passen.

Wenn Sie Hilfe benötigen, stehen wir Ihnen gerne zur Verfügung. Zu Beginn steht immer das gegenseitige Kennenlernen und Verstehen. Das heißt, wir starten mit einer Analyse Ihrer Prozesse, Ihrer Dokumentation und Ihrer Arbeitsweisen. Wie werden Geräte verwaltet, wie kommt Software auf die Endgeräte und wo liegen mögliche Lücken? In einem Workshop klären wir die entscheidenden Fragen und entwickeln passende Lösungswege.

Das Ergebnis ist ein zu Ihrem Unternehmen passendes Konzept – und keine weitere Richtlinie, die niemand nutzt. Auf Wunsch unterstützen wir Sie auch beim Change-Management und bei der User Adoption, damit die Maßnahmen dauerhaft und wirksam im Arbeitsalltag verankert werden.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Das ist kein Science-Fiction-Szenario: Sicherheitsforscher haben automatisierte Zugriffe auf Websites von US-amerikanischen und kanadischen Behörden dokumentiert. Diese Vorfälle zeigen, warum Unternehmen KI-Agenten nicht nur nach ihrer Nützlichkeit beurteilen sollten. Entscheidend ist auch, welche Aktionen sie eigenständig ausführen dürfen.

Rechercheauftrag – ungewöhnliche Nebenwirkungen

In einem Fall schickten KI-Agenten mehr als 200.000 Anfragen an eine Website des US-Bildungsministeriums. Offenbar suchten sie nach Schulstatistiken. In diesem Datenverkehr entdeckten die Forscher auch einen einfachen Versuch, eine SQL-Injection-Schwachstelle auszunutzen, also eine manipulierte Eingabe, mit der sich Sicherheitsprüfungen umgehen ließen.

Ein ähnliches Muster gab es bei Library and Archives Canada. Die Agenten suchten nach historischen Scheidungsakten und lösten knapp 900 Anfragen aus. 13 davon enthielten technische Prüfungen, darunter SQL-Injection-Versuche und Tests der Eingabeverarbeitung.

Cybersicherheit

VIDEO: NIS-2 Sicherheit

Posted on 2026-10-22 by Ingo Höckenschnieder

Cybersecurity wird zur Chefsache Ein Cyberangriff kann Produktion, Aufträge, Datenverfügbarkeit und …

Kein bestätigter Einbruch – aber ein klares Warnsignal!

Die untersuchten Versuche scheiterten den vorliegenden Erkenntnissen zufolge. Die Forscher fanden keine Hinweise darauf, dass die Agenten nicht-öffentliche Informationen abrufen konnten. Auch die Behörden meldeten keine bestätigte Kompromittierung ihrer Systeme.

Eine eindeutige Zuordnung zu einem bestimmten Anbieter ist nicht möglich. Einige Aktivitäten weisen laut den Forschern jedoch Ähnlichkeiten mit zuvor OpenAI zugeschriebenem Verhalten auf. Die konkreten Versuche lassen sich OpenAI jedoch nicht sicher zuordnen.

Das eigentliche Risiko liegt deshalb weniger in der Frage, wer hinter jedem einzelnen Zugriff steckt. Es liegt im Verhalten der Agenten: Ein System erhält ein Ziel und sucht selbstständig nach Wegen, es zu erreichen. Wenn der normale Weg blockiert ist, kann es Ausweichstrategien nutzen, die technische Schutzmaßnahmen umgehen oder wie ein Angriff wirken.

Was Unternehmen daraus lernen sollten

Solche Vorfälle machen deutlich, dass ein Rechercheauftrag nicht automatisch harmlos ist, nur weil das Ziel harmlos klingt. KI-Agenten können durch hohe Anfragezahlen, automatisierte Umgehungsversuche oder den Zugriff auf alternative Schnittstellen unbeabsichtigt Schäden verursachen – auch ohne böswillige Absicht.

Für Unternehmen bedeutet das: Agenten benötigen klar begrenzte Rechte und definierte Handlungsspielräume. Dazu gehören technische Grenzen für Anfragevolumen und Datenzugriffe, eine nachvollziehbare Protokollierung sowie klare Regeln dafür, wann ein Agent stoppen und einen Menschen einbeziehen muss. Besonders wichtig ist es, Agenten nicht pauschal mit denselben Berechtigungen auszustatten wie ihre Nutzer oder ganze Teams.

Was ist zu tun?

• Aufgaben und Grenzen festlegen: Welche Systeme, Daten und Aktionen darf ein Agent nutzen und was ist ausgeschlossen?
• Berechtigungen minimieren: Zugriff nur auf die Informationen und Funktionen geben, die für den konkreten Auftrag erforderlich sind.
• Aktivitäten überwachen: Anfragevolumen, ungewöhnliche Eingaben und Umgehungsversuche protokollieren und bewerten.
• Eskalationsregeln definieren: Bei blockierten Zugängen, Fehlern oder unerwarteten Aktionen muss der Agent die Tätigkeit einstellen oder eine Freigabe einholen.
• Tests vor dem Einsatz durchführen: Es sollte nicht nur geprüft werden, ob der Agent die Aufgabe erfüllt, sondern auch, wie er sich verhält, wenn der vorgesehene Weg nicht funktioniert.

Vom KI-Pilotprojekt zum kontrollierten Einsatz

Wenn Sie Fragen rund um die KI-Nutzung in Ihrem unternehmen haben, dann sprechen Sie uns doch an. Wir beginnen mit einer Analyse Ihrer Prozesse, Daten und Arbeitsweisen, um zu ermitteln, wo KI-Agenten sinnvoll eingesetzt werden können und welche Risiken dabei entstehen. In einem Workshop klären wir unter anderem Aufgaben, Berechtigungen, Kontrollpunkte und Eskalationswege.

Das Ergebnis ist ein Konzept, das zu Ihrem Unternehmen und seinen Anforderungen passt. Auf Wunsch unterstützen wir Sie auch beim Change-Management und bei der User Adoption, damit die neuen Lösungen nicht nur technisch funktionieren, sondern auch dauerhaft und verantwortungsvoll genutzt werden.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

NIS-2, künstliche Intelligenz, Microsoft 365, digitale Ablage, agile Transformation und Cybersicherheit: Unternehmen sehen sich heute mit einer langen Liste digitaler Themen konfrontiert.

Die eigentliche Herausforderung besteht jedoch selten darin, überhaupt von diesen Themen zu hören. Die eigentliche Herausforderung besteht darin, zu verstehen, was sie konkret für das eigene Unternehmen bedeuten.

Welche Anforderungen sind wirklich relevant? Wo entstehen Risiken? Welche Entscheidungen gehören auf die Agenda der Geschäftsführung? Und wie lässt sich eine technische Möglichkeit in eine Verbesserung des Arbeitsalltags umsetzen?

Genau hier setzt digiXperts.it an

Unser Blog richtet sich an Geschäftsführungen, IT-Leitungen und alle Menschen, die die digitale Entwicklung in Unternehmen verantworten.

Wir wollen komplexe Themen nicht künstlich vereinfachen. Aber wir wollen sie so erklären, dass sie verständlich, einordbar und bearbeitbar werden.

Denn eine Geschäftsführung muss keine Firewall konfigurieren können. Sie muss jedoch wissen, welche Risiken bestehen, wer dafür verantwortlich ist und welche Entscheidungen getroffen werden müssen.

Und eine IT-Leitung muss nicht jede Managementformulierung übernehmen. Sie muss jedoch in der Lage sein, technische Anforderungen mit Geschäftsprozessen, Mitarbeitenden und Unternehmenszielen zu verbinden.

Digitalisierung ist mehr als nur Software

Die meisten Digitalisierungsprojekte scheitern nicht an der Technik. Sie scheitern an unklaren Zuständigkeiten, fehlenden Entscheidungen oder Prozessen, die nie gemeinsam betrachtet wurden.

Ein neues System kann technisch einwandfrei funktionieren und dennoch keinen Nutzen bringen. Wenn Mitarbeitende nicht wissen, wie sie es verwenden sollen, wenn Berechtigungen ungeklärt sind oder alte Arbeitsweisen einfach weiterlaufen, bleibt am Ende vor allem eines zurück: ein weiteres System.

Deshalb betrachten wir digitale Themen ganzheitlich. Technologie, Sicherheit, Organisation, Prozesse und Menschen gehören zusammen. Wer nur einen Teil davon betrachtet, optimiert häufig ein Problem und schafft gleichzeitig zwei neue.

Das erwartet Sie auf digiXperts.it

Die kommenden Beiträge beschäftigen sich mit Themen, die Unternehmen konkret betreffen und häufig miteinander verbunden sind.

Den Anfang machen NIS-2 und Cybersecurity als Chefsache. Dabei geht es nicht nur um gesetzliche Anforderungen oder technische Schutzmaßnahmen. Es geht auch um Verantwortung, Entscheidungswege, Risiken und die Frage, wie gut ein Unternehmen tatsächlich auf einen Sicherheitsvorfall vorbereitet ist.

Danach folgen unter anderem Beiträge zu Ablage- und Löschkonzepten, zur Unternehmenssuche, zur agilen Transformation, zur digitalen Zusammenarbeit, zu künstlicher Intelligenz und weiteren Fragen der modernen Unternehmens-IT.

Dabei interessiert uns nicht nur, was eine Technologie kann. Wir fragen auch: Welches Problem wird damit gelöst? Welche Voraussetzungen müssen geschaffen werden? Was verändert sich im Unternehmen? Und woran lässt sich erkennen, ob eine Maßnahme wirklich erfolgreich ist?

Zwischen Geschäftsführung und IT

Digitale Themen werden häufig entweder rein technisch oder rein strategisch behandelt. Beides greift jedoch zu kurz.

Die Geschäftsführung benötigt Orientierung sowie belastbare Entscheidungsgrundlagen. Die IT benötigt klare Ziele, Prioritäten und Unterstützung bei der Umsetzung. Fachbereiche und Mitarbeitende müssen verstehen, warum sich Prozesse verändern und welchen konkreten Nutzen die Veränderung bringt.

digiXperts.it möchte diese Perspektiven zusammenbringen.

Wir schreiben für Menschen, die keine weiteren Hochglanzversprechen benötigen, sondern klare Einordnungen. Für Verantwortliche, die wissen wollen, was sich hinter einem Begriff verbirgt, welche Fragen sie stellen sollten und welche nächsten Schritte sinnvoll sind.

Unser Anspruch: praxisnah, kritisch und auf Augenhöhe.
Wir werden nicht jede neue Technologie als Revolution bezeichnen. Nicht jede Cloud-Lösung passt zu jedem Unternehmen. Nicht jedes agile Framework verbessert automatisch die Zusammenarbeit. Und nicht jede KI-Anwendung ist sinnvoll, nur weil sie technisch möglich ist.

Unser Anspruch ist deshalb ein anderer: Wir wollen Chancen sichtbar machen, Risiken benennen und Zusammenhänge erklären.

Dazu gehören auch unbequeme Fragen.

Sind die Zuständigkeiten und Verantwortlichkeiten tatsächlich geklärt?
Werden Sicherheitsanforderungen im Alltag tatsächlich umgesetzt?
Wissen die Mitarbeitenden, wo Informationen abgelegt werden?
Können wichtige Dokumente schnell gefunden werden?
Werden Daten gelöscht, wenn sie nicht mehr benötigt werden?
Wird eine neue Lösung tatsächlich genutzt – oder nur eingeführt?
Unterstützt die IT die Unternehmensziele oder verwaltet sie vor allem den Bestand?
Eine gute Digitalisierung beginnt nicht mit der Antwort. Sie beginnt mit den richtigen Fragen.

Was Sie aus den Beiträgen mitnehmen können: Jeder Beitrag soll Ihnen helfen, ein digitales Thema besser einzuordnen und auf die eigene Organisation zu übertragen.

Sie erhalten keine allgemeingültigen Patentrezepte. Dafür bekommen Sie Orientierung, typische Stolpersteine und konkrete Fragen für die Praxis.

Unser Ziel ist, dass Sie nach der Lektüre nicht nur mehr über ein Thema wissen. Sie sollen auch besser einschätzen können, ob und wie dieses Thema für Ihr Unternehmen relevant ist.

Denn digitale Kompetenz bedeutet nicht, jedes neue Schlagwort zu kennen. Digitale Kompetenz bedeutet, gute Entscheidungen treffen zu können.

Was ist zu tun?

Stellen Sie bei digitalen Themen nicht die Frage: „Welche Lösung sollen wir kaufen?“

Stellen Sie sich stattdessen folgende Fragen:

• Welches konkrete Problem wollen wir lösen?
• Welche Risiken entstehen, wenn wir nichts verändern?
• Wer ist im Unternehmen betroffen?
• Welche Verantwortlichkeiten müssen geklärt werden?
• Welche Prozesse und Arbeitsweisen sind heute bereits vorhanden?
• Wie können wir messen, ob die Veränderung einen echten Nutzen bringt?

Wenn diese Fragen beantwortet sind, wird die Auswahl von Technologien, Konzepten und Maßnahmen deutlich einfacher. Meistens wird auch klar, welche Themen zuerst angegangen werden sollten.

Unser Vorgehen:

Wir beginnen mit einer Analyse Ihrer Ausgangssituation und betrachten Ihre Prozesse, Dokumentationen, Zuständigkeiten und Arbeitsweisen. Dabei ermitteln wir, wo Ihr Unternehmen aktuell steht, welche Risiken bestehen und welche Verbesserungen realistisch umsetzbar sind.

In einem gemeinsamen Workshop behandeln wir die relevanten Fragen strukturiert und skizzieren mögliche Lösungswege. Das Ergebnis ist ein Konzept, das zu Ihrem Unternehmen, Ihren Mitarbeitenden und Ihren tatsächlichen Anforderungen passt.

Anschließend unterstützen wir Sie auch bei der Umsetzung und Verankerung der Maßnahmen. Je nach Bedarf gehören dazu Change Management, Kommunikation, Schulungen und User Adoption, damit neue Prozesse und Lösungen nicht nur eingeführt, sondern auch dauerhaft und effektiv genutzt werden.

digiXperts.it soll ein Ort sein, an dem digitale Themen verständlich werden, bevor sie zu Problemen werden.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it