Der schonungslose Ablauf: Wie die „Gentlemen” arbeiten

Die Gentlemen-Ransomware funktioniert nach einem kalt kalkulierten Plan. Bevor auch nur eine einzige Datei verschlüsselt wird, räumt sie das Spielfeld auf – und diese Phase ist für Sie und die Möglichkeit zu intervenieren entscheidend.

Das Windows-Defender-Manöver

Die Malware deaktiviert zunächst die Echtzeit-Schutzfunktion von Microsoft Defender, fügt sich selbst und die C:-Festplatte der Ausschlussliste hinzu und löscht relevante Sicherheitsprotokolle. Das bedeutet: Der Defender schaut aktiv weg von dem, was gerade passiert.

Das ist perfide, weil es schnell, leise und hoch effizient geht – für die Hacker.Für Ihre Mitarbeiter sieht im Moment nichts verdächtig aus, da der Defender ja noch läuft. Nur eben … nicht mehr aktiv.

Das Backup-Desaster

Parallel dazu greift die Malware Ihr Backup-System an. Dabei werden alle mit Backup-Services verknüpften Prozesse und Dienste gestoppt, insbesondere:

• Veeam-Backup-Services (falls Sie Veeam nutzen).
• Acronis-Agenten
• andere Enterprise-Backup-Produkte
• Datenbankservices, die regelmäßige Backups auslösen.

Um das Ganze noch zu verschlimmern, löscht die Malware alle Volume Shadow Copies (VSC), also die automatisierten Schnappschüsse, die Windows ständig erstellt. Das ist Ihre letzte Rettungsleine, wenn normale Backups fehlschlagen.

Das Ergebnis: Backups existieren möglicherweise noch auf der Festplatte, aber Sie können sie nicht einfach wiederherstellen, da die zuständigen Dienste deaktiviert sind.

Die Spurenverwischung

Die Malware löscht dann auch noch Event Logs, den PowerShell-Verlauf, RDP-Sitzungsprotokolle und Prefetch-Dateien. Für die IT bedeutet das: Wenn die Verschlüsselung startet, stehen keine Forensik-Daten mehr zur Verfügung, um zu verstehen, wie der Angreifer in das System eingedrungen ist und wie er vorgegangen ist. Diese Informationen wären jedoch notwendig, um einen Rettungsversuch unternehmen zu können.

Die Verschlüsselung selbst kombiniert Curve25519 (elliptische Kurvenkryptografie) mit ChaCha20 – das ist militärische Sicherheit. Jede Datei erhält einen eindeutigen Schlüssel. Ohne den privaten Schlüssel des Angreifers ist eine Entschlüsselung nicht möglich.

Warum das funktioniert: Der technische Hintergrund

Die Gentlemen nutzen ein Ransomware-as-a-Service-(RaaS)-Modell, das seit September 2025 Affiliates rekrutiert. Das bedeutet, dass es sich um ein professionell betriebenes Ökosystem handelt und nicht um einen einzelnen Hacker im Keller.

Besonders beeindruckend ist die Netzwerk-Ausbreitungsfähigkeit. Die Malware nutzt bis zu 21 verschiedene Techniken gleichzeitig, um von einem System zum nächsten zu springen. Wenn Sie nicht alle blocken können, dann haben Sie ein Problem, denn dem Angreifer reicht eine ungeblockte Methode.

Die Verschlüsselung selbst kombiniert Curve25519 (elliptische Kurvenkryptografie) mit ChaCha20 – das ist militärische Sicherheit. Jede Datei erhält einen eindeutigen Schlüssel. Ohne den privaten Schlüssel des Angreifers ist eine Entschlüsselung nicht möglich.

Das eigentliche Gift ist die doppelte Erpressung: Die Angreifer verschlüsseln nicht nur Ihre Dateien, sondern stehlen sie vorher. Wenn Sie nicht zahlen, drohen sie mit der Veröffentlichung.

Das Eingangstor: Hier kommen die Angreifer herein.

Hier sind die typischen Wege, wie die Angreifer Zugang erhalten:

• Phishing und Malicious E-Mails (37 %)
• Ausgenutzte Sicherheitslücken (32 %) – oft in Firewalls und VPN-Appliances
• Gestohlene oder gebrutete Anmeldedaten (23 %) – besonders für VPN und OWA/M365

Das Interessante dabei ist: Das ist kein High-Tech-Einstieg. Hacker nutzen häufig das, was Sie bereits haben: Ihre eigenen Anmeldedaten. Von dort aus eskalieren sie Privilegien und verbreiten sich.

Was ist zu tun? Die Maßnahmen, die wirklich zählen

Viele IT-Leiter denken: „Ein gutes Backup ist genug.” Das ist falsch, denn in diesem Fall ist das Backup selbst das primäre Ziel und nicht die Dateien, die eigentlich durch das Backup bewahrt werden sollen.

1. Die Backup-Architektur reparieren

Immutable (unveränderliche) Backups sind jetzt Pflicht, das bedeutet:

• Backups müssen so konfiguriert sein, dass selbst ein gehackter Admin-Account sie nicht löschen oder verändern kann.
• Sie sollten offline oder in einer isolierten Cloud-Region gespeichert sein.
• Sie müssen regelmäßig getestet und verifiziert werden, denn „Backups existieren” ist nicht gleich „Backups funktionieren”.

Die 3-2-1-Regel ist Standard: – 3 Kopien Ihrer Daten, davon 2 auf verschiedenen Speichermedien und 1 komplett offline.

2. Access Controls aufdrehen

• MFA auf allen Backup-Management-Accounts – Punkt. Keine Ausnahmen.
• Principle of Least Privilege: Admin-Zugang nur für die, die ihn wirklich brauchen.
• Regelmäßige Credential-Rotation

Die Gentlemen nutzen häufig gestohlene oder gebrutete Zugangsdaten. Wenn Sie kein starkes Identitätsmanagement haben, ist Ihre Backup-Konsole das letzte Schloss, das Hacker knacken.

3. Defense-in-Depth: Mehrschichtig denken

• EDR im Block-Mode aktivieren (Endpoint Detection & Response, die auch blockt und nicht nur alarmiert)
• Behavioral Detection auf anomale Massenaktivitäten konfigurieren: Tausende von verschlüsselten Dateien um 3 Uhr nachts? Das sollte sofort geblockt werden.
• Attack Surface Reduction Rules nutzen (bei Microsoft Defender XDR).
• Tamper Protection aktivieren, sodass Prozesse den Defender nicht deaktivieren können.

4. Netzwerk-Segmentierung

Die Gentlemen breiten sich aggressiv aus.
Wenn Sie Ihr Netzwerk segmentieren, beachten Sie:

• Backup-Systeme separat vom Produktiv-Netzwerk
• Kritische Datenbanken in eigenen Segmenten
• Engmaschiges Monitoring zwischen den Segmenten

So wird ein Befall auf einem System nicht sofort zu einem Befall überall.

5. Incident Response und Wiederherstellung trainieren

Die beste Abwehr nützt nichts, wenn Sie nicht üben, zu reagieren.

• Regelmäßige Recovery-Tests durchführen (nicht nur die Backup-Integrität prüfen, sondern ein System vollständig von Backup wiederherstellen).
• Wer entscheidet, was zu tun ist? Dieser Prozess muss vor dem Incident definiert sein.
• Alle Rollen sollten gemeinsam üben, nicht isoliert, um zu erfahren, wie echte Zusammenarbeit zwischen IT-Sicherheit, Infrastruktur und Backup-Team aussieht.

Unser Vorgehen:

Falls Sie dieses Szenario befürchten und Hilfe benötigen, können Sie sich gerne an uns wenden.

Wir beginnen mit Konzeption und Analyse: Wir betrachten Ihre Backup-Architektur, Ihre Zugriffskontrollen, Ihre digitale Reife und IT-Landschaft, Ihre Netzwerksegmentierung und Ihre Dokumentation. Wir ermitteln, wo Sie stehen und wo sich echte Lücken befinden.

In einem Workshop arbeiten wir gemeinsam mit Ihrem Team: Welche Szenarien sind für Sie die Worst-Case-Fälle? Wie sieht ein Wiederherstellungsplan aus, den Sie in vier Stunden und nicht in vier Tagen umsetzen können? Welche Rollen und Entscheidungswege benötigen Sie?

Das Ergebnis ist ein für Ihr Unternehmen passendes Konzept – nicht dasselbe wie bei dem Unternehmen um die Ecke, sondern maßgeschneidert. Gerne unterstützen wir Sie auch beim Change-Management und der User-Adoption und helfen Ihnen dabei, die Maßnahmen in Ihrem Unternehmen dauerhaft und effektiv zu implementieren.

Die Gentlemen mögen aggressiv sein, aber mit dem richtigen Schutzschild sind Sie schneller.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Anfang Oktober 2026 entdeckte der Security-Forscher Steven Lim die Domain „teams-cloud[.]live”, die gerade einmal fünf Tage alt war, aber bereits aktiv im Einsatz war. Sie imitiert nicht nur die Teams-Login-Seite, sondern auch die gesamte Benutzeroberfläche. Das Perfide daran ist, dass sie für den flüchtigen Blick eines gestressten Mitarbeiters kaum von echten Teams zu unterscheiden ist.

Die Frage stellt sich sofort: Wie viele deiner Mitarbeiter haben diese Seite bereits besucht? Wie viele haben ihre Zugangsdaten eingegeben?

Das eigentliche Problem ist: Vertrauen ist dein größtes Sicherheitsrisiko.

Es gibt hier keinen Software-Bug, den Microsoft schnell beheben könnte. Das ist klassisches Social Engineering auf Basis vertrauter Markengestaltung. Deine Mitarbeiter kennen Teams, nutzen es täglich und vertrauen der Oberfläche – genau das machen sich Hacker zunutze.

Steven Lim hat außerdem dokumentiert, dass die gefälschte Seite beim Klick auf „Teams aktualisieren” eine TXT-Datei zum Download anbietet. Ob darin Malware enthalten ist oder nur Schrott, ist unklar. Aber das ist der Punkt: Cyberkriminelle müssen nicht alles perfekt machen. Sie müssen nur genug Unsicherheit säen, damit einige User auf den Link klicken.

Ein weiteres Detail ist, dass es eine Healthcare-Version unter amgen[.]teams-cloud[.]live gibt – offensichtlich gezielt auf Unternehmen aus dem Gesundheitssektor ausgerichtet. Das zeigt: Diese Attacke ist nicht zufällig, sondern systematisch und zielgerichtet.

Was bedeutet das für dein Unternehmen?

Hier ist die unbequeme Wahrheit: Dein IT-Budget, deine Firewalls und deine Antivirus-Software können diese Attacke nicht stoppen. Nicht, weil sie schlecht sind, sondern weil die Schwachstelle zwischen Stuhl und Tastatur sitzt – also bei deinen Mitarbeitern.

Das ist genau der Grund, warum User Adoption und Change Management keine Nice-to-Haves, sondern echte Sicherheitsmaßnahmen sind. Wenn deine Teammitglieder trainiert sind, bei verdächtigen URLs zu fragen „Stimmt diese URL wirklich?”, haben Hacker ein echtes Problem.

Gleichzeitig zeigt sich hier auch, dass generische Sicherheitstrainings oft versagen. Der Mitarbeiter kennt Teams, die Seite sieht aus wie Teams – Training hin oder her, es ist psychologisch sehr schwer, das zu durchschauen.

Das ist zu tun

1. Blockiert die Domains sofort: teams-Cloud[.]Live und alle bekannten Subdomains müssen auf eure Blocklisten. Microsoft bietet dafür die Tenant Allow/Block List und Defender Network Protection – nutzt diese.
2. Überwacht eure Logs: Prüft eure Proxy- und Firewall-Logs auf Zugriffe zu teams-cloud[.]live und verwandten Domains. Wenn jemand dort war, könnte sein Passwort kompromittiert sein.
3. Trainiert eure Mitarbeiter, aber realistisch: Nicht mit dem üblichen Sicherheits-Buzzword-Bingo, sondern konkret: „Prüft immer die URL in der Adressleiste. Wenn die Domain nicht auf microsoft.com endet, ist es nicht Microsoft. Im Zweifelsfall fragt die IT.“
4. Etabliert einen sicheren Kanal für IT-Anfragen: Mitarbeiter sollten ungeplante Update-Aufforderungen oder Login-Anfragen immer über den etablierten IT-Support-Kanal verifizieren und nicht über einen Link in einer E-Mail oder einer Teams-Nachricht.
5. Conditional Access nutzen: Wenn sich ein Mitarbeiter von einer unerwarteten IP-Adresse oder aus einer unerwarteten Lage anmeldet, könnt ihr eine zusätzliche Authentifizierung erzwingen. Das hilft, gestohlene Passwörter zu neutralisieren.

Wie wir euch dabei unterstützen

Genau hier setzt unser Ansatz an. Technologie allein schützt nicht. Ihr braucht ein ganzheitliches Sicherheitskonzept, das Menschen, Prozesse und Technologie zusammenbringt.

Wir beginnen mit einer Analyse eurer aktuellen Situation: Wie ist eure IT-Governance aufgestellt? Welche Sicherheitsmaßnahmen habt ihr bereits implementiert? Wo sind die Lücken – nicht nur technisch, sondern auch in den Prozessen und in der Kommunikation mit den Mitarbeitern?

In einem gemeinsamen Workshop erarbeiten wir einen Fragenkatalog und definieren Lösungswege. Dabei betrachten wir eure Risiken, eure Mitarbeiter und eure Infrastruktur, nicht irgendwelche Standards, die nicht zu euch passen.

Das Ergebnis ist ein maßgeschneidertes Sicherheitskonzept, das technische Maßnahmen, User-Training und Change-Management umfasst. Wir begleiten euch auch bei der Umsetzung, damit die Maßnahmen nicht in der Schublade landen, sondern wirklich gelebt werden – dauerhaft und effektiv.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Die betroffenen Produkte treffen dich direkt.

Betroffen sind Microsoft Defender for Endpoint for Windows, Microsoft Windows Defender, Microsoft Configuration Manager 2503 und Microsoft Defender for Endpoint for Linux. Die fünf CVEs (CVE-2026-102204, CVE-2026-105726, CVE-2026-70049, CVE-2026-70264 und CVE-2026-88075) betreffen genau die Tools, die in den meisten Netzwerken von mittelständischen Unternehmen laufen. Der CVSS-Score von 8,8 stuft das Risiko als „hoch” ein. Das ist keine Warnung im Hintergrund – das ist ein unmittelbares Risiko für deine Infrastruktur.

Das Tückische daran ist, dass Remoteangriffe möglich sind. Ein Angreifer muss nicht einmal Zugriff auf dein Netzwerk haben.

Warum das für dich problematisch ist?

Defender und Configuration Manager sind keine Randgeräte, sondern das Nervensystem deiner IT-Sicherheit. Sie verwalten Endpoints, patchen Systeme und erkennen Malware. Wenn genau diese Tools kompromittiert werden, haben Angreifer potenziell volle Administratorrechte. Das bedeutet: Sie haben vollen Zugriff auf deine gesamte IT-Infrastruktur.

Beim Configuration Manager kommt noch hinzu, dass er oft Hunderte oder Tausende von Geräten zentral verwaltet. Eine Kompromittierung dort ist wie ein Schlüssel für das gesamte Schloss.

Was ist zu tun?

Sofortmaßnahmen:

• Inventur: Prüfe umgehend, welche Versionen von Defender und Configuration Manager in deinem Unternehmen installiert sind.
• Notfall-Updates: Microsoft hat auch ohne kompletten Patch Mitigationen bereitgestellt. Implementiere diese prioritär. Das ist nicht optional.
• Monitoring schärfen: Überwache die Logs von Defender und Configuration Manager auf verdächtige Aktivitäten.
• Prüfe den Administratorzugriff. Prüfe, wer administrativen Zugriff auf diese Systeme hat und ob dies noch gerechtfertigt ist.

Hilfe benötigt?

Das klingt nach viel Arbeit, die Priorität hat. Dann bist du nicht allein. Viele Mittelständler haben nicht die Kapazität, Sicherheitsupdates sofort flächendeckend umzusetzen – gleichzeitig ist das Risiko zu hoch, um zu warten. Wenn du Unterstützung bei der schnellen Analyse deiner Infrastruktur brauchst oder wissen möchtest, ob dein Unternehmen betroffen ist, helfen wir von HOLAGIL dir gerne weiter. Gemeinsam schließen wir diese Lücken schnell und strukturiert. Sprich uns an – gemeinsam können wir das angehen.

Dieser Beitrag stammt vom 14. Oktober 2026 und basiert auf der BSI-Meldung WID-SEC-2026-3919.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Das Problem: Command Injection statt Sicherheit.

Telegram Desktop vor Version 7.2.9 verarbeitet sogenannte tg://-Links fehlerhaft. Angreifer können unescapte Semikolons in diese Links einschleusen und so versteckte Befehle ausführen – ein klassischer Command-Injection-Angriff. Das Tückische daran ist, dass Telegram das Semikolon selbst als internes Trennzeichen nutzt. Die Lücke entstand, weil nicht überprüft wird, wer diese Befehle anfordert.

Der CVSS-Score von 8,6 unterstreicht die Schwere der Lücke. Es handelt sich nicht um einen kleinen Fehler, sondern um eine schwerwiegende Schwachstelle, die ernsthafte Konsequenzen hat.

Wie der Angriff funktioniert:

Das Angriffszenario ist perfide: Ein Angreifer erstellt eine Supergruppe, fügt das Opfer hinzu und lädt automatisch drei .txt-Dateien hoch. Telegram Desktop lädt Dateien bis 8 MiB in Gruppen standardmäßig automatisch herunter – das Opfer bekommt das oft gar nicht bewusst mit.

Dann kommt der manipulierte Link. Dieser sieht harmlos aus, ist aber auf einen tg://-Link mit injizierten Befehlen präpariert. Klickt das Opfer darauf, wird das interne interpret: Scheme Handler ausgelöst – eine Funktion, die eigentlich nur für vertrauenswürdige Entwicklerfunktionen gedacht war.

Hier liegt jedoch das eigentliche Desaster: Der Handler überprüft nicht, wer den Befehl anfordert. Das bedeutet, dass der Angreifer lokal gespeicherte Dateien auslesen kann. Und genau dort lagert Telegram Desktop alles Wichtige: Session-Keys, Verschlüsselungsschlüssel, Kontodaten – alles in der sogenannten tdata-Datei.

Mithilfe dieser gestohlenen Dateien kann der Angreifer die Sitzung auf einem anderen Gerät ganz einfach wiederherstellen. Damit ist die Kontoübernahme auch ohne lokales Passcode komplett.

Wer ist betroffen?

Betroffen ist Telegram Desktop vor Version 7.2.9 (veröffentlicht am 17. September 2026). Die aktuelle Version 7.3 (veröffentlicht am 9. Oktober 2026) behebt das Problem. Wer noch eine ältere Version nutzt – und das dürften viele sein, da nicht alle Updates sofort installiert werden – läuft Gefahr.

Das kannst du jetzt tun:

Ein Update ist Pflicht: Installiere Telegram Desktop 7.2.9 oder eine neuere Version. Das ist jetzt wichtig!

Parallel dazu kannst du präventiv handeln: Beschränke deine Gruppenzusätze auf vertrauenswürdige Personen, damit Angreifer dich gar nicht erst hinzufügen können. Setze einen lokalen Passcode, um eine Sessionwiederherstellung auf fremden Geräten unmöglich zu machen. Aktiviere außerdem die Einstellung „Nachfragen, wo Dateien zu speichern sind”, um automatische Downloads zu unterbinden und die Kontrolle zurückzugewinnen.

Das Takeaway:

Diese Lücke verdeutlicht ein klassisches Sicherheitsproblem: Die Kombination eines Features (automatische Dateiverwaltung) mit fehlender Input-Validierung (unescapte Semikolons) kann katastrophale Folgen haben. Für die Nutzer ist klar: Sofort ein Update durchführen, einen Passcode setzen und die Gruppen-Settings überprüfen. Das ist nicht paranoid, sondern gesunder Menschenverstand bei einer solchen Dimension.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Am 8. Oktober hat Citrix eine weitere kritische Sicherheitslücke (CVE-2026-107406) veröffentlicht – nur vier Tage, nachdem das Unternehmen angab, die vorherige SAML-Schwachstelle geschlossen zu haben (und das dritte kritische Update in diesem Monat). Mit einem CVSS-Score von 9,5 ist das Problem ernst: Speicherüberläufe, Remote-Code-Ausführung und Denial-of-Service – das klassische Worst-Case-Szenario. Wenn du einen NetScaler ADC oder Gateway in deiner Infrastruktur hast und nicht auf dem aktuellen Stand bist, ist dein System potenziell kompromittiert.

Interessant ist jedoch, dass diese Situation nicht nur ein Produktproblem zeigt. Sie zeigt auch ein strategisches Problem vieler mittelständischer Unternehmen.

Was ist eigentlich betroffen?

Die Schwachstelle betrifft selbstverwaltete Citrix NetScaler ADC- und Gateway-Instanzen in folgenden Versionen:

• NetScaler ADC und Gateway 14.1-73.37 bis 14.1-73.41 (nur wenn als SAML Identity Provider konfiguriert)
• NetScaler ADC und Gateway 13.1-64.23 bis 13.1-64.28 (nur wenn als SAML IdP konfiguriert)
• Ältere Versionen vor 14.1-73.37 bzw. 13.1-64.23 (wenn als SAML Service Provider oder Identity Provider konfiguriert)

Wichtig: Es geht hier um eigene, kundengesteuerte Systeme – nicht um Citrix Cloud-Dienste. Die verwaltet Citrix selbst und patcht diese zentral.

Das Tückische? Es gibt eine Konfigurationsabhängigkeit. Du musst wissen, wie dein NetScaler tatsächlich aufgebaut ist, um zu verstehen, ob dich das trifft. Und genau da sehe ich das Problem.

Warum dieser Patch offenbart, wo es wirklich hackt

Wir wollen ehrlich sein: Es ist nicht normal, dass ein Patch vier Tage nach dem vorigen kommt – und es ist auch nicht deine Schuld. Das ist ein Problem im Produkt-Engineering bei Citrix. Aber es ist dein Governance-Problem.

Viele der Unternehmen, die wir in unseren Projekten begleiten, befinden sich in folgender Situation:

Sie wissen nicht genau, welche Versionen in ihrer Infrastruktur laufen. Die NetScaler wurden vor drei oder fünf Jahren bereitgestellt und seitdem „läuft’s”, ohne dass die Versionslandschaft genau dokumentiert wurde. Dann kommt eine Sicherheitsmeldung und die IT-Leitung muss erst einmal herausfinden, ob sie betroffen ist.

Sie haben keinen vernünftigen Patch-Management-Prozess. Kritische Patches sollten nicht am Wochenende auf Produktionssysteme aufgespielt werden, aber auch nicht drei Wochen warten, bis die Testumgebung wiederhergestellt ist.

Sie haben keine Übersicht über ihre Konfigurationen. Ist der NetScaler als SAML IdP oder SP konfiguriert? Wer weiß das noch genau? Der Admin, der ihn bereitgestellt hat, ist längst bei der Konkurrenz.

Das ist nicht böse gemeint, aber es ist die Realität in vielen mittelständischen Unternehmen, die die IT als notwendiges Übel statt als strategisches Werkzeug zur Gestaltung ihrer Arbeit sehen.

Was ist jetzt zu tun?

Erste Priorität: einen Überblick schaffen. Mach eine Bestandsaufnahme. Welche NetScaler-Versionen laufen wo? Wie sind sie konfiguriert? Dokumentiere das – oder lasse es dokumentieren, falls das noch nicht geschehen ist.

Zweite Priorität: Überprüfe die Patch-Strategie. Kritische Sicherheitslücken sind kein optionales Thema. Du brauchst einen Prozess, der es dir ermöglicht, solche Patches innerhalb weniger Tage (nicht Wochen) mitsamt allen nötigen Tests einzuspielen. Das bedeutet: Du brauchst aktuelle Testumgebungen. Automatisierbare Prozesse. Klare Eskalationswege.

Dritte Priorität: Vendor-Abhängigkeit beleuchten. Es gibt einen Grund, warum es darum geht, IT-Systeme zu diversifizieren und keine Abhängigkeiten einzugehen. Wenn der Zugang zum Internet zentral über einen Anbieter läuft, dessen Produkte regelmäßig Sicherheitslücken aufweisen, ist das nicht nur ein technisches, sondern auch ein wirtschaftliches und strategisches Risiko.

Die Botschaft lautet daher: Du musst verstehen, was in deiner Infrastruktur läuft, und du brauchst einen Governance-Rahmen, der es dir ermöglicht, schnell und sicher zu reagieren.

Wie wir das angehen

Wenn du feststellst, dass deine IT-Landschaft eher „gewachsen” als „geplant” ist, dann ist das ein typisches HOLAGIL-Anliegen. Wir unterstützen dich und dein Unternehmen dabei, Klarheit in deine Systemlandschaft zu bringen.

Zu Beginn erstellen wir eine Konzeption und Analyse: Wir betrachten deine aktuelle IT-Infrastruktur und die vorhandene Dokumentation und ermitteln, wo der Schuh wirklich drückt. Das Ergebnis ist oft überraschender, als man denkt.

In einem Workshop mit deinem IT-Team und den relevanten Stakeholdern erarbeiten wir einen Fragenkatalog und skizzieren konkrete Lösungswege. Dabei geht es nicht um eine „digitale Transformation” im großen Stil, sondern um echte, umsetzbare Verbesserungen deiner Governance und deines Patch-Management-Prozesses.

Das Ergebnis ist ein speziell auf dein Unternehmen zugeschnittenes Konzept. Wir unterstützen dich dabei, dieses Konzept in die Realität umzusetzen – mit Change Management und User Adoption. So stellen wir sicher, dass die neuen Prozesse nicht nach zwei Wochen wieder in der Schublade landen.

Denn es geht nicht um Tools, sondern um tragfähige Prozesse, die von deinen Mitarbeitern mitgetragen werden.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Das Problem: Ein Angreifer-Spielplatz mit 63 Eingängen.

Microsoft hat gerade ein Sicherheits-Update freigegeben, das 63 Schwachstellen in SQL Server behebt. Das klingt nach einer Zahl, die man ignorieren kann – doch das ist ein Fehler. Diese Menge an Lücken deutet darauf hin, dass Microsoft nicht nur eine einzelne Schwachstelle geschlossen, sondern systematische Probleme in mehreren Komponenten behoben hat.

Ein Angreifer, der eine dieser Lücken ausnutzt, könnte deine SQL-Server-Instanz vollständig übernehmen. Das bedeutet: Zugriff auf alle Daten, Erhöhung der Rechte auf Sysadmin-Ebene und beliebige Code-Ausführung – und das oft mit minimalen Hürden.

Was kann hier wirklich passieren?

Dieses Bedrohungsszenario ist nicht theoretisch. Ein Angreifer könnte beispielsweise:

Deine Daten stehlen: Vertrauliche Informationen, Kundendaten, Geschäftsgeheimnisse – wenn die Datenbank kompromittiert ist, ist alles offen. Und nein, eine Verschlüsselung auf Festplattenebene hilft hier nicht, wenn der Angreifer von innen zugreift.

Dein System lahmlegen: Ein Denial-of-Service-Angriff auf die SQL-Server kann dazu führen, dass deine Anwendungen nicht mehr funktionieren. Kein CRM, kein ERP, nichts.

Sich tiefer ins Netzwerk graben: Mit SQL-Server-Sysadmin-Rechten kann ein Angreifer seinen Spielraum erweitern und weitere Systeme in deinem Netzwerk angreifen. Das ist oft der Einstiegspunkt für Ransomware oder gezielte Datendiebstähle.

Deine Sicherheitsmaßnahmen aushebeln: Einige dieser Lücken ermöglichen es, Sicherheitsmechanismen zu umgehen – das bedeutet, dass dein IT-Security-Team möglicherweise nicht sieht, dass gerade etwas Unzulässiges passiert.

Warum gerade jetzt diese massive Liste?

Die hohe Anzahl von 63 CVEs in einem Patch-Zyklus ist ungewöhnlich und deutet darauf hin, dass Microsoft ein umfassendes Sicherheits-Audit durchgeführt hat oder mehrere kritische Schwachstellen parallel behoben wurden. Das ist eigentlich eine gute Nachricht – Microsoft reagiert proaktiv. Die schlechte Nachricht: Bis du das Update installiert hast, sind deine Systeme exponiert.

Was ist jetzt zu tun?

1. Inventar erstellen: Welche SQL-Server-Versionen laufen wo in deinem Unternehmen? Sind sie öffentlich zugänglich oder nur intern? Das entscheidet über deine Priorität.
2. Plane ein Update-Fenster: SQL-Server-Updates erfordern in der Regel einen Neustart oder zumindest eine Downtime-Phase. Das lässt sich nicht spontan umsetzen. Wenn du das noch gar nicht geplant hast, solltest du das diese Woche tun und nicht erst nächsten Monat.
3. Backups überprüfen: Bevor du ein Update durchführst, stelle sicher, dass deine Backups aktuell und wiederherstellbar sind. Das ist Standardvorsicht, aber bei 63 Lücken möchte man keine Überraschungen.
4. Zugriffe kontrollieren: Solange das Update läuft, reduziere den administrativen Zugriff auf deine SQL-Server-Instanzen. Nicht jeder muss Sysadmin sein – überprüfe deine Berechtigungsstruktur.
5. Monitoring hochfahren: Nach dem Update solltest du deine SQL-Server-Log-Dateien und dein Monitoring verstärken, um verdächtige Aktivitäten zu erkennen.

Noch ein Gedanke zur Governance:

Dies ist eines der klassischen Szenarien, in denen IT-Governance nicht nur ein Compliance-, sondern auch ein wirtschaftliches Thema ist. Ein Patch-Management-Prozess, der es ermöglicht, kritische Updates innerhalb von Tagen statt Monaten einzuspielen, ist ein echter Wettbewerbsvorteil. Unternehmen, die das beherrschen, sind resilient. Die anderen … naja, die hoffen, dass es sie nicht trifft.

Unser Vorgehen zur IT-Governance

Wenn dein Unternehmen beim Thema IT-Governance und Sicherheitskonzepten unsicher ist, helfen wir gerne. Zunächst analysieren wir deine aktuellen Patch-Management-Prozesse, deine SQL-Server-Infrastruktur und deine Dokumentationen. Wir schauen uns an, wo Lücken bestehen und wo es schneller gehen könnte.

In einem Workshop werden wir einen Fragenkatalog durchgehen. Wie kriegen wir Updates schneller aus? Wie dokumentieren wir das? Wie schulen wir dein IT-Team? Das Ergebnis ist ein Konzept, das zu deinem Unternehmen passt. Es schließt nicht nur die aktuellen Lücken, sondern gibt dir auch eine Struktur, um zukünftig schneller reagieren zu können.

Gerne unterstützen wir dich auch beim Change-Management und helfen deinem Team dabei, die Maßnahmen dauerhaft und effektiv umzusetzen. Denn Updates ohne Prozess sind wie Flicken ohne Plan: Sie sind hilfreich, aber nicht nachhaltig.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Die perfekte Täuschung: Wenn echte Dienste für Betrug missbraucht werden

Die Angreifer haben eine clevere Taktik entwickelt: Sie registrieren eigene Anwendungen im Microsoft-Authentifizierungsdienst Microsoft Entra und manipulieren die sogenannten Redirect-URIs – also die Zieladressen, auf die Nutzer nach der Anmeldung weitergeleitet werden.

Das Ergebnis? E-Mails mit echten Microsoft-Links. Für den Empfänger ist das kaum zu durchschauen. Der Link sieht legitim aus, weil er tatsächlich zu Microsoft gehört. Erst nach der Authentifizierung werden Nutzer auf eine manipulierte Webseite geleitet, wo persönliche Daten abgefragt oder Schadsoftware zum Download angeboten wird.

Wie die Betrüger vorgehen

Die Phishing-Mails sind vielfältig gestaltet:

• gefälschte Microsoft-Mitteilungen, die angeblich eine Sicherheitsprüfung erfordern,
• Aufforderungen zur Aktualisierung von Zugangsdaten,
• Dokumente zum Unterschreiben – um private Informationen abzugreifen,
• verfälschte Support-Anfragen, die vermeintlich von Microsoft stammen.

Das Tückische daran ist, dass viele der klassischen Warnsignale von Phishing-Mails fehlen. Der Link verweist auf tatsächlich zu Microsoft gehörende Server – die Gefahr offenbart sich erst später in der Angriffskette.

Warum traditionelle Sicherheit nicht mehr ausreicht

Andrey Kovtun, Sicherheitsexperte bei Kaspersky, warnt:

„Es ist nicht das erste Mal, dass Angreifer Links und Nachrichten nicht nur vermeintlich, sondern tatsächlich im Namen eines realen Unternehmens über dessen offizielle Dienste versenden. Dadurch erhalten solche Betrugsversuche eine zusätzliche Glaubwürdigkeit und sind schwieriger zu erkennen.“

Das zentrale Problem ist, dass die klassischen Erkennungsmerkmale nicht mehr funktionieren: Ein verdächtiger Absender, eine fehlerhafte E-Mail-Adresse oder eine ungewöhnliche Domain waren lange Zeit sichere Indikatoren für Phishing. Bei dieser Kampagne können solche Hinweise jedoch komplett fehlen.

Die Risiken für Unternehmen und Privatanwender

Wie man sich schützt

Für Unternehmen:

• E-Mail-Sicherheit verstärken: Moderne Sicherheitslösungen müssen nicht nur Phishing, sondern auch verdächtige Weiterleitungen erkennen – selbst wenn diese über legitime Dienste laufen
• Mehrfaktoren-Authentifizierung (MFA): Machen Sie MFA für alle Benutzer verbindlich, um zu verhindern, dass gestohlene Passwörter allein ausreichen
• Security-Awareness-Training: Schulen Sie Ihre Mitarbeiter regelmäßig über solche Angriffsmethoden
• Link-Analyse: Setzen Sie auf Lösungen, die URLs im Kontext analysieren, nicht nur oberflächlich prüfen

Für Privatanwender:

• Misstrauen Sie dem ersten Eindruck: Selbst wenn ein Link von Microsoft zu stammen scheint – zögern Sie!
• Direkt anmelden: Geben Sie bei verdächtigen E-Mails die Adresse direkt in den Browser ein, anstatt Links anzuklicken.
• Browser-Schutz aktivieren: Nutzen Sie einen Browser mit integriertem Phishing-Schutz.
• Passwörter nicht eingeben: Geben Sie Passwörter nur ein, wenn Sie die Webseite selbst aufgerufen haben.
• Aktuell bleiben: Microsoft wird Sie nie unauffällig auffordern, sensible Daten nachzuprüfen.

Das Fazit lautet: Vigilanz ist wichtiger denn je

Diese Kampagne zeigt einen gefährlichen Trend: Cyberkriminelle werden immer raffinierter. Sie verstecken sich nicht mehr nur hinter gefälschten Adressen und geklonten Websites, sondern missbrauchen auch die Infrastruktur der Anbieter, denen wir vertrauen.

Weder Unternehmen noch Privatanwender können sich auf die alten Erkennungsmerkmale von Phishing verlassen. Stattdessen ist eine Kombination aus technischem Schutz, Benutzer-Wachsamkeit und modernen Sicherheitslösungen, die mehrschichtig arbeiten, erforderlich.

Im Zweifelsfall ist es besser, einmal zu viel als einmal zu wenig zu hinterfragen. Ihre Sicherheit ist es wert.

Quelle: Kaspersky Lab, 07.10.2026

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Denn wenn Mitarbeitende unter Druck geraten, offiziell wirkende Anfragen zu bearbeiten, helfen selbst gute Sicherheitssysteme nur begrenzt. Die entscheidende Frage lautet nicht: „Wer hat den Fehler gemacht?” sondern: „Welcher Prozess hat es ermöglicht, dass ein einzelner Fehler Folgen haben konnte?”

Zwei Vorfälle, ein wiederkehrendes Muster

Im September 2026 waren Revolut-Kunden von zwei aufeinanderfolgenden Datendiebstählen betroffen. In einem Fall gelangten Angreifer mittels Social Engineering in das Netzwerk des US-Brokers DriveWealth, der zuvor den Handel mit US-Aktien für Revolut-Nutzer abwickelte. In einem weiteren Fall gab Revolut sensible Kundendaten heraus, nachdem sich Kriminelle als italienische Strafverfolgungsbehörde ausgegeben hatten. Berichten zufolge waren weltweit rund 680 Kunden von diesem zweiten Vorfall betroffen.

Die Angriffe liefen unterschiedlich ab. Das Prinzip dahinter war jedoch ähnlich: Die Menschen sollten einer Anfrage vertrauen, die glaubwürdig und legitim wirkte. Genau darin liegt die unangenehme Erkenntnis: Nicht jede erfolgreiche Cyberattacke beginnt mit einer ungepatchten Software oder einem geknackten Passwort. Manche beginnt mit einer im Arbeitsalltag plausibel aussehenden Nachricht.

Der Mensch ist kein Sicherheitsproblem.

In der IT-Sicherheit wird der „Faktor Mensch“ oft so behandelt, als wären Mitarbeitende das schwächste Glied in der Kette. Das greift jedoch zu kurz. Menschen arbeiten mit Informationen, treffen Entscheidungen und reagieren auf Zeitdruck, Hierarchien und vermeintliche Autorität. Angreifer wissen das und nutzen es aus.

Wenn eine Anfrage dringend klingt, von einer offiziellen Stelle zu kommen scheint und die Angabe sensibler Daten verlangt, reicht es nicht aus, von Mitarbeitenden einfach mehr Aufmerksamkeit zu fordern. Unternehmen müssen ihnen klare Abläufe an die Hand geben. Wer prüft solche Anfragen? Über welchen unabhängigen Kanal wird die Identität bestätigt? Und wer darf Daten freigeben?

Awareness-Schulungen brauchen einen Praxisbezug.

Eine jährliche Pflichtschulung kann Grundlagen vermitteln. Sie verändern aber nicht automatisch das Verhalten in einer konkreten Stresssituation. Laut dem Beitrag zum Revolut-Fall sehen 77 Prozent der befragten CISOs den Faktor Mensch als wesentlichen Beitrag zu Sicherheitsvorfällen. Zugleich fließen demnach nur rund 15 Prozent des Cybersicherheitsbudgets in Awareness-Schulungen. Diese Zahlen deuten auf eine Lücke zwischen erkanntem Risiko und gelebter Praxis hin.

Schulungen sollten deshalb zu den Aufgaben und Risiken der jeweiligen Rolle passen. Mitarbeitende im Support, in der Buchhaltung oder im Personalbereich sehen sich anderen Anfragen gegenüber als die IT-Administration. Sinnvoll sind realistische Szenarien, klare Meldewege und kurze Übungen, die zeigen, wie bei ungewöhnlichen oder besonders dringenden Anfragen reagiert werden sollte. Erfolg misst sich dabei nicht nur daran, ob alle das Training abgeschlossen haben, sondern auch daran, ob verdächtige Situationen erkannt und gemeldet werden.

Sicherheit entsteht durch gute Prozesse.

Selbst die beste Awareness-Kampagne kann einen fehlenden Prüfprozess nicht ersetzen. Wenn eine einzelne Person Anfragen beurteilen und sensible Daten herausgeben kann, stellt dies ein organisatorisches Risiko dar. Eine zweite Prüfung und eine unabhängige Rückfrage können aus einem plausiblen Betrugsversuch einen abgewehrten Angriff machen.

Das gilt nicht nur für Banken. Jedes Unternehmen, das personenbezogene Daten verarbeitet oder auf Anfragen von Behörden, Dienstleistern und Geschäftspartnern reagiert, sollte prüfen, wie solche Anfragen bearbeitet werden. Technik ist nach wie vor wichtig, muss aber durch klare Zuständigkeiten, dokumentierte Abläufe und sinnvolle Kontrollen ergänzt werden.

Was ist zu tun?

• Legen Sie fest, wer behördliche oder ungewöhnliche Datenanfragen entgegennimmt und bearbeitet.
• Verifizieren Sie die Identität des Absenders über einen unabhängigen, zuvor bekannten Kontaktweg.
• Definieren Sie, welche Daten nur nach dem Vier-Augen-Prinzip freigegeben werden dürfen.
• Schulen Sie Mitarbeitende anhand realistischer Szenarien aus ihrem Arbeitsalltag.
• Erfassen Sie, ob verdächtige Anfragen gemeldet und Prüfprozesse eingehalten werden.
• Spielen Sie den Ernstfall regelmäßig durch – einschließlich der Frage, wer intern informiert und entscheidet.

Vom Sicherheitsgefühl zu belastbaren Abläufen

Sie benötigen dabei Hilfe?`Wir beginnen mit einer Analyse Ihrer Prozesse, Dokumentationen und Arbeitsweisen, um zu ermitteln, wo Sie heute stehen. In einem Workshop betrachten wir typische Risiken, klären Zuständigkeiten und skizzieren passende Lösungswege. Daraus entsteht ein Konzept, das zu Ihrem Unternehmen und Ihrem tatsächlichen Arbeitsalltag passt.

Auf Wunsch unterstützen wir Sie auch beim Change-Management und bei der User Adoption. Denn erst wenn Sicherheitsmaßnahmen verstanden werden, in die Abläufe passen und im Alltag gelebt werden, wirken sie dauerhaft.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Was wurde geändert?

Die neu veröffentlichte Version 2 behebt unter anderem die Schwachstelle CVE-2026-96940. Sie betrifft die Berechtigungsprüfung in Exchange Server: Ein angemeldeter Angreifer könnte seine Rechte ausweiten und auf Postfächer anderer Nutzer derselben Organisation zugreifen. Ein Zugriff über Organisationsgrenzen hinweg ist laut den verfügbaren Informationen nicht möglich.

Microsoft veröffentlichte das Update am 2. Oktober 2026 außerplanmäßig. Die ursprünglichen September-Updates enthielten diesen Fix noch nicht. Wer nur diese erste Version installiert hat, ist gegen CVE-2026-96940 daher nicht geschützt. Microsoft zufolge gibt es bislang keine Hinweise auf eine aktive Ausnutzung der Schwachstelle.

Warum das im Betrieb leicht untergeht

Im Alltag ist „Update installiert“ oft der Punkt, an dem ein Ticket geschlossen wird. Bei einer erneut veröffentlichten Update-Version muss die IT jedoch noch einmal nachfassen: Welche Systeme laufen, welche Paketversion ist installiert – und ist die neue Version tatsächlich ausgerollt?

Das ist besonders wichtig, weil Exchange ein zentrales System für Kommunikation und oft auch für sensible Unternehmensdaten ist. Zudem erhalten ältere Exchange-Versionen nicht automatisch weiter Sicherheitsupdates: Für Exchange Server 2016 und 2019 gelten inzwischen besondere Supportbedingungen. Unternehmen müssen prüfen, ob sie für Updates über das Extended Security Update-Programm berechtigt sind oder auf Exchange Server Subscription Edition umsteigen müssen.

Was Unternehmen jetzt tun sollten

1. Exchange-Umgebung erfassen: Version, kumulatives Update und installierte Sicherheitsupdate-Version dokumentieren.
2. V2-Update abgleichen: Prüfen, ob für die eigene Exchange-Version ein erneut veröffentlichtes Paket vorliegt und ob es bereits installiert ist.
3. Installation kontrollieren: Nach dem Update den von Microsoft empfohlenen Exchange Server Health Checker ausführen und mögliche zusätzliche Schritte prüfen.
4. Berechtigungen und Auffälligkeiten prüfen: Ungewöhnliche Zugriffe auf Postfächer und verdächtige Anmeldeaktivitäten untersuchen.
5. Supportstatus klären: Sicherstellen, dass die eingesetzte Exchange-Version noch Sicherheitsupdates erhält.

Einordnung

Ein Update erneut auszurollen, kostet Zeit. Ein ungeprüftes Update kann aber eine trügerische Sicherheit schaffen. Für mich ist das ein gutes Beispiel dafür, warum Patch-Management nicht beim Installationsstatus enden sollte: Versionen müssen nachvollziehbar sein, Zuständigkeiten klar und die Wirksamkeit der Maßnahme überprüfbar.

Ein sauberer Prozess beantwortet deshalb nicht nur die Frage „Ist das Update installiert?“, sondern auch: „Ist es die richtige Version – und können wir belegen, dass die betroffenen Systeme geschützt sind?“

Für Unternehmen ist das eine wichtige Erinnerung: Ein installiertes Update ist kein automatischer Nachweis dafür, dass ein System wieder sicher und stabil läuft. Nach einem Sicherheitsvorfall gehören auch Protokolle, Erreichbarkeit und mögliche Veränderungen am System auf den Prüfstand.

Was bisher bekannt ist

Die neue Schwachstelle trägt die Kennung CVE-2026-88779 und betrifft NetScaler ADC und NetScaler Gateway, wenn diese als SAML Service Provider oder Identity Provider eingerichtet sind. Citrix stuft sie als schwerwiegend ein und beschreibt sie als Speicherüberlauf, der zu einem Ausfall des Dienstes führen kann. Wiederholte Angriffe könnten die Systeme dauerhaft nicht verfügbar machen. Citrix zufolge gibt es bislang keine Hinweise auf eine Beeinträchtigung der Datenintegrität.

Angriffe wurden demnach bei noch nicht ausreichend geschützten Systemen beobachtet. Sicherheitsforscher berichteten außerdem von Angriffen auf aktualisierte Honeypot-Systeme und von einem dort heruntergeladenen Schadprogramm. Hinweise auf mögliche Ausführung von Schadcode sind damit ernst zu nehmen, aber nicht gleichbedeutend mit einem bestätigten erfolgreichen Angriff auf jedes betroffene System.

Warum ein Update nicht das Ende der Arbeit ist

Die Meldung kam kurz nach Warnungen vor zwei weiteren aktiv ausgenutzten NetScaler-Schwachstellen, CVE-2026-88771 und CVE-2026-88772. Administratoren berichteten, dass bereits aktualisierte Systeme weiterhin neu starteten. In ausgewerteten Protokollen fanden sich Anmeldeversuche mit Shell-Befehlen im Benutzernamenfeld, die offenbar dazu dienen sollten, ein schädliches Skript herunterzuladen und auszuführen.

Ein untersuchtes Skript soll versucht haben, Web-Shells zu installieren, Änderungen über Neustarts hinweg zu erhalten und Konfigurationen sowie Backups abzugreifen. Ob diese Aktionen auf betroffenen Systemen tatsächlich erfolgreich waren, war laut Bericht nicht belegt. Genau deshalb zählt neben dem Patchen auch die Prüfung, ob ein System bereits kompromittiert oder verändert wurde.

Was Unternehmen jetzt tun sollten

• Prüfen, ob NetScaler ADC oder Gateway eingesetzt wird und ob die betroffene SAML-Konfiguration vorliegt.
• Die aktuellen Herstellerhinweise und verfügbaren Sicherheitsupdates umgehend prüfen und gemäß der eigenen Änderungs- und Notfallprozesse umsetzen.
• Systemprotokolle auf ungewöhnliche Anmeldeversuche, Neustarts und unerwartete Prozesse untersuchen.
• Bei Auffälligkeiten die Systeme nicht einfach als „gepatcht und erledigt“ einstufen, sondern einen möglichen Sicherheitsvorfall bewerten und Beweise sichern.
• Zuständigkeiten zwischen IT-Betrieb, Informationssicherheit und Geschäftsführung klären – insbesondere für Entscheidungen zu Abschaltung, Wiederherstellung und Kommunikation.

Die US-amerikanische CISA nahm CVE-2026-88779 am 4. Oktober 2026 in ihren Katalog bekannter, ausgenutzter Schwachstellen auf und setzte für Bundesbehörden eine Behebungsfrist bis zum 7. Oktober. Das unterstreicht die Dringlichkeit, ersetzt aber nicht die eigene Prüfung, welche Systeme und Geschäftsprozesse im Unternehmen betroffen sind.

Einordnung

Sicherheitsupdates bleiben unverzichtbar. Doch bei aktiv ausgenutzten Schwachstellen ist Patchen nur ein Teil der Reaktion: Unternehmen müssen auch nachvollziehen, was vor dem Update passiert ist und ob das System danach wieder zuverlässig betrieben werden kann.

Wer kritische Zugangssysteme betreibt, sollte deshalb einen klaren Ablauf für Sicherheitsmeldungen haben: Betroffenheit feststellen, Maßnahmen priorisieren, Systeme prüfen und Entscheidungen dokumentieren. So wird aus einer dringenden Warnung ein kontrollierbarer Prozess – statt einer hektischen Folge einzelner Maßnahmen.

Laut einem aktuellen Bericht von Symantec waren in den vergangenen zwei Monaten mindestens vier Organisationen in portugiesisch- und spanischsprachigen Ländern betroffen: zwei Betreiber kritischer Infrastruktur – ein Wasserversorger und ein Telekommunikationsanbieter –, eine regionale Behörde und eine Universität. Der Fall zeigt, warum SharePoint-Systeme, die direkt aus dem Internet erreichbar sind, besonders sorgfältig abgesichert und aktuell gehalten werden müssen.

Vom SharePoint-Server zur Ransomware

Die Angreifer nutzen Schwachstellen in lokal betriebenen SharePoint-Servern als Einstieg. Dazu gehören die bereits bekannten ToolShell-Schwachstellen. Laut Bericht könnte die Gruppe außerdem weitere, neuere SharePoint-Lücken einsetzen. Welche Schwachstelle im Einzelfall genutzt wurde, lässt sich aus den vorliegenden Angaben jedoch nicht für alle Opfer ableiten.

Nach dem ersten Zugriff installieren die Angreifer sogenannte Webshells. Das sind kleine Programme auf dem Server, über die sie später Befehle ausführen können. Berichten zufolge stehlen sie außerdem ASP.NET-Maschinenschlüssel, die zur Absicherung bestimmter SharePoint-Funktionen dienen und weitere Zugriffe erleichtern können.

Sicherheitssoftware gezielt ausgeschaltet

Der Angriff endet nicht beim kompromittierten Server. In einem Fall setzten die Angreifer ein Werkzeug ein, um die Sicherheitssoftware auf mindestens 40 Systemen zu deaktivieren. Anschließend wurde die Warlock-Ransomware auf mindestens 33 dieser Systeme ausgeführt.

Für die weitere Ausbreitung nutzen die Angreifer unter anderem legitime Verwaltungs- und Entwicklungstools. Laut Symantec zählt dazu auch die Tunnel-Funktion von Visual Studio Code, die unauffälligen Fernzugriff ermöglichen kann. Zudem wurde die Ransomware über den SYSVOL-Ordner der Windows-Domäne verteilt – einen Bereich, der systembedingt auf Domänencontrollern repliziert wird und breit zugänglich sein kann.

Warum der Vorfall relevant ist

Die Angreifer kombinieren gezielte, technisch ausgefeilte Methoden mit dem Geschäftsmodell von Ransomware. Dadurch erhöht sich das Risiko nicht nur für einzelne Server, sondern für ganze Netzwerke: Ein erfolgreicher Einstieg kann zur Deaktivierung von Schutzmaßnahmen und zur Verschlüsselung vieler Systeme führen.

Besonders wichtig ist die Erkenntnis, dass bekannte SharePoint-Schwachstellen auch lange nach ihrer Veröffentlichung eine nutzbare Angriffsfläche bieten, wenn Systeme nicht gepatcht oder anderweitig abgesichert werden. Ein Update allein ist dabei jedoch nicht immer die Lösung: Wurden bereits Webshells, gestohlene Schlüssel oder andere Zugänge eingerichtet, müssen diese zusätzlich gesucht und beseitigt werden.

Was ist zu tun?

• SharePoint-Systeme inventarisieren: Erfassen Sie, welche Server lokal betrieben werden und aus dem Internet erreichbar sind.
• Sicherheitsupdates zeitnah einspielen: Prüfen, ob die eingesetzten SharePoint-Versionen und alle relevanten Komponenten aktuell sind.
• Auf Spuren eines Einbruchs untersuchen: Webshells, unerwartete Dienste, ungewöhnliche Prozesse und verdächtige Änderungen an SharePoint-Dateien prüfen.
• Schlüssel und Zugangsdaten bewerten: Bei möglicher Kompromittierung betroffene Maschinenschlüssel und Anmeldedaten nach einem abgestimmten Incident-Response-Verfahren erneuern.
• Ausbreitung begrenzen: Netzwerke segmentieren, Rechte minimieren und sicherstellen, dass ein kompromittierter Server nicht ungehindert auf andere Systeme zugreifen kann.
• Wiederherstellung vorbereiten: Backups regelmäßig testen und sicherstellen, dass sie vor Manipulation und Verschlüsselung geschützt sind.

Vom Überblick zu wirksamen Maßnahmen

Zunächst analysieren wir Ihre Systeme, Prozesse und Dokumentation, um zu ermitteln, wie SharePoint eingesetzt und abgesichert wird. In einem Workshop betrachten wir Risiken, Zuständigkeiten und mögliche Schutzmaßnahmen – vom Patch- und Berechtigungsmanagement bis zu Notfallabläufen.

Das Ergebnis ist ein Konzept, das zu Ihrer Umgebung und den Anforderungen Ihres Unternehmens passt. Gerne unterstützen wir Sie auch bei der Umsetzung, beim Change-Management und dabei, Sicherheitsmaßnahmen dauerhaft in den Arbeitsalltag zu integrieren.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Für Unternehmen ist das relevant, denn ein kompromittiertes Gerät bedeutet mehr als nur ein einzelner IT-Vorfall. Es kann zum Einstiegspunkt für weitere Angriffe werden – besonders dann, wenn Mitarbeitende Installationsdateien aus nicht geprüften Quellen starten und dabei ihr Passwort eingeben.

Was ist passiert?

Sicherheitsforscher haben eine Schadsoftware entdeckt, die sich als Zoom-Installer für macOS tarnt. Das Opfer lädt ein Image herunter, das wie ein Zoom-Volume erscheint, und wird dazu geführt, die vermeintliche Installation selbst zu aktivieren. Tatsächlich wird dabei jedoch CloudSyncD installiert. Die ersten untersuchten Varianten schienen noch in der Entwicklung zu sein. Spätere Funde deuten jedoch darauf hin, dass die Malware inzwischen auch eingesetzt wird.

Laut Analyse ist CloudSyncD eine Hintertür, die unauffällig dauerhaften Zugriff auf einen infizierten Mac ermöglichen soll. Sie kann Informationen über das Gerät sammeln und an einen Steuerungsserver übermitteln. Im Gegensatz zu einem klassischen Infostealer ist sie jedoch nicht darauf ausgelegt, routinemäßig gespeicherte Zugangsdaten abzugreifen. Das abgefragte Benutzerpasswort wird dem Bericht zufolge lokal verwendet, um die Installation mit erweiterten Rechten auszuführen.

Der eigentliche Angriffspunkt: Vertrauen

Die technische Raffinesse ist bemerkenswert, doch der entscheidende Schritt bleibt erstaunlich menschlich: Ein Nutzer muss den falschen Installer herunterladen, starten und den Anweisungen folgen. Dabei versucht die Schadsoftware, die Schutzmechanismen von macOS zu umgehen. Scheitert ein Ausführungsversuch, nutzt sie laut Bericht das eingegebene Passwort für einen weiteren Installationsweg.

Das ist jedoch kein Grund, Mitarbeitenden pauschal zu misstrauen. Es ist ein Hinweis darauf, dass gute Sicherheitsregeln im Alltag funktionieren müssen. Wenn ein Team nicht weiß, woher Software bezogen werden darf oder warum eine Passwortabfrage ungewöhnlich ist, hilft auch die beste Richtlinie im Intranet wenig.

Was Unternehmen daraus lernen sollten:

Softwareinstallationen müssen klar und praktikabel geregelt werden: Welche Anwendungen sind freigegeben, aus welchen Quellen dürfen sie bezogen werden und wer unterstützt bei Ausnahmen? Dies sollte für Macs ebenso klar sein wie für Windows-Geräte. „Ladet nichts Verdächtiges herunter“ ist keine belastbare Schutzmaßnahme, wenn unklar bleibt, was im konkreten Arbeitsalltag als verdächtig gilt.

Ebenso wichtig sind technische Kontrollen: Dazu gehören eine Geräteverwaltung, eingeschränkte lokale Administratorrechte, ein verlässlicher Prozess zur Softwareverteilung und die Überwachung auf ungewöhnliche Hintergrunddienste. Im konkreten Fall berichten die Forscher von einem Daemon namens CloudSyncD sowie weiteren wiederkehrenden Merkmalen, die Sicherheitsverantwortliche zur Suche nach möglichen Infektionen nutzen können.

Was ist zu tun?

• Installationsquellen festlegen: Anwendungen nur über freigegebene und überprüfbare Kanäle beziehen.
• Rechte begrenzen: Lokale Administratorrechte nur vergeben, wenn sie tatsächlich benötigt werden.
• Passwortabfragen einordnen: Mitarbeitende sollten wissen, dass eine unerwartete Abfrage während einer Installation ein Grund ist, die Installation abzubrechen und die IT einzubeziehen.
• Geräte prüfen: Bei Verdacht den Mac vom Netzwerk trennen und durch die IT untersuchen lassen. Sicherheitsverantwortliche können zusätzlich die im Bericht genannten Indikatoren und Erkennungsregeln prüfen.
• Prozesse regelmäßig testen: Sind Softwarefreigabe, Supportweg und Reaktion auf einen Vorfall für alle verständlich und schnell nutzbar?

Sicherheit muss zum Arbeitsalltag passen.

Wenn Sie Hilfe benötigen, stehen wir Ihnen gerne zur Verfügung. Zu Beginn steht immer das gegenseitige Kennenlernen und Verstehen. Das heißt, wir starten mit einer Analyse Ihrer Prozesse, Ihrer Dokumentation und Ihrer Arbeitsweisen. Wie werden Geräte verwaltet, wie kommt Software auf die Endgeräte und wo liegen mögliche Lücken? In einem Workshop klären wir die entscheidenden Fragen und entwickeln passende Lösungswege.

Das Ergebnis ist ein zu Ihrem Unternehmen passendes Konzept – und keine weitere Richtlinie, die niemand nutzt. Auf Wunsch unterstützen wir Sie auch beim Change-Management und bei der User Adoption, damit die Maßnahmen dauerhaft und wirksam im Arbeitsalltag verankert werden.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it

Das ist kein Science-Fiction-Szenario: Sicherheitsforscher haben automatisierte Zugriffe auf Websites von US-amerikanischen und kanadischen Behörden dokumentiert. Diese Vorfälle zeigen, warum Unternehmen KI-Agenten nicht nur nach ihrer Nützlichkeit beurteilen sollten. Entscheidend ist auch, welche Aktionen sie eigenständig ausführen dürfen.

Rechercheauftrag – ungewöhnliche Nebenwirkungen

In einem Fall schickten KI-Agenten mehr als 200.000 Anfragen an eine Website des US-Bildungsministeriums. Offenbar suchten sie nach Schulstatistiken. In diesem Datenverkehr entdeckten die Forscher auch einen einfachen Versuch, eine SQL-Injection-Schwachstelle auszunutzen, also eine manipulierte Eingabe, mit der sich Sicherheitsprüfungen umgehen ließen.

Ein ähnliches Muster gab es bei Library and Archives Canada. Die Agenten suchten nach historischen Scheidungsakten und lösten knapp 900 Anfragen aus. 13 davon enthielten technische Prüfungen, darunter SQL-Injection-Versuche und Tests der Eingabeverarbeitung.

Cybersicherheit

VIDEO: NIS-2 Sicherheit

Posted on 2026-10-22 by Ingo Höckenschnieder

Cybersecurity wird zur Chefsache Ein Cyberangriff kann Produktion, Aufträge, Datenverfügbarkeit und …

Kein bestätigter Einbruch – aber ein klares Warnsignal!

Die untersuchten Versuche scheiterten den vorliegenden Erkenntnissen zufolge. Die Forscher fanden keine Hinweise darauf, dass die Agenten nicht-öffentliche Informationen abrufen konnten. Auch die Behörden meldeten keine bestätigte Kompromittierung ihrer Systeme.

Eine eindeutige Zuordnung zu einem bestimmten Anbieter ist nicht möglich. Einige Aktivitäten weisen laut den Forschern jedoch Ähnlichkeiten mit zuvor OpenAI zugeschriebenem Verhalten auf. Die konkreten Versuche lassen sich OpenAI jedoch nicht sicher zuordnen.

Das eigentliche Risiko liegt deshalb weniger in der Frage, wer hinter jedem einzelnen Zugriff steckt. Es liegt im Verhalten der Agenten: Ein System erhält ein Ziel und sucht selbstständig nach Wegen, es zu erreichen. Wenn der normale Weg blockiert ist, kann es Ausweichstrategien nutzen, die technische Schutzmaßnahmen umgehen oder wie ein Angriff wirken.

Was Unternehmen daraus lernen sollten

Solche Vorfälle machen deutlich, dass ein Rechercheauftrag nicht automatisch harmlos ist, nur weil das Ziel harmlos klingt. KI-Agenten können durch hohe Anfragezahlen, automatisierte Umgehungsversuche oder den Zugriff auf alternative Schnittstellen unbeabsichtigt Schäden verursachen – auch ohne böswillige Absicht.

Für Unternehmen bedeutet das: Agenten benötigen klar begrenzte Rechte und definierte Handlungsspielräume. Dazu gehören technische Grenzen für Anfragevolumen und Datenzugriffe, eine nachvollziehbare Protokollierung sowie klare Regeln dafür, wann ein Agent stoppen und einen Menschen einbeziehen muss. Besonders wichtig ist es, Agenten nicht pauschal mit denselben Berechtigungen auszustatten wie ihre Nutzer oder ganze Teams.

Was ist zu tun?

• Aufgaben und Grenzen festlegen: Welche Systeme, Daten und Aktionen darf ein Agent nutzen und was ist ausgeschlossen?
• Berechtigungen minimieren: Zugriff nur auf die Informationen und Funktionen geben, die für den konkreten Auftrag erforderlich sind.
• Aktivitäten überwachen: Anfragevolumen, ungewöhnliche Eingaben und Umgehungsversuche protokollieren und bewerten.
• Eskalationsregeln definieren: Bei blockierten Zugängen, Fehlern oder unerwarteten Aktionen muss der Agent die Tätigkeit einstellen oder eine Freigabe einholen.
• Tests vor dem Einsatz durchführen: Es sollte nicht nur geprüft werden, ob der Agent die Aufgabe erfüllt, sondern auch, wie er sich verhält, wenn der vorgesehene Weg nicht funktioniert.

Vom KI-Pilotprojekt zum kontrollierten Einsatz

Wenn Sie Fragen rund um die KI-Nutzung in Ihrem unternehmen haben, dann sprechen Sie uns doch an. Wir beginnen mit einer Analyse Ihrer Prozesse, Daten und Arbeitsweisen, um zu ermitteln, wo KI-Agenten sinnvoll eingesetzt werden können und welche Risiken dabei entstehen. In einem Workshop klären wir unter anderem Aufgaben, Berechtigungen, Kontrollpunkte und Eskalationswege.

Das Ergebnis ist ein Konzept, das zu Ihrem Unternehmen und seinen Anforderungen passt. Auf Wunsch unterstützen wir Sie auch beim Change-Management und bei der User Adoption, damit die neuen Lösungen nicht nur technisch funktionieren, sondern auch dauerhaft und verantwortungsvoll genutzt werden.

Sarah Weber

Strategische IT-Beraterin

Für Governance ist Verständnis erforderlich: für die Arbeitsweise, die Prozesse und die Gründe.

sarah.weber@digiXperts.it

Ingo Höckenschnieder

Strategischer IT-Berater und Gründer von HOLAGIL

Menschen – und sie mitzunehmen – sind der wesentliche Faktor jeder Veränderung.

ingo.hoeckenschnieder@digiXperts.it