Comretix Blog

Die Lup-Kliniken im Landkreis Ludwigslust-Parchim sind von einem Cyberangriff betroffen. Wie der Landkreis mitteilte, sind die Klinikstandorte Hagenow und Ludwigslust derzeit per E-Mail und Website nicht zu erreichen. Beide Häuser seien vorsorglich vom Kommunikationsnetz getrennt worden. Die medizinische Versorgung an den Standorten sei hingegen gesichert. Die Notaufnahme wurde den Angaben nach regulär abgemeldet, bedrohliche Notfälle werden weiterhin behandelt.

Anzeige

Der Cyberangriff wurde in der Nacht zum Montag festgestellt – derzeit werde an der Behebung der technischen Probleme gearbeitet. Nach Angaben des Landeskriminalamtes wurden die Ermittlungen zu Verstößen wegen Computersabotage und dem Ausspähen von Daten aufgenommen. Derzeit würden Spezialisten vor Ort digitale Spuren sichern. Weitere Informationen gebe es bisher nicht – in diesem Jahr sei es bereits der vierte Fall von Computersabotage in Mecklenburg-Vorpommern, hieß es.

(Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.)

Mehr-Faktor-Authentifizierung (MFA) liefert besseren Schutz vor Phishing oder der direkten Nutzung von Zugangsdaten aus Datenlecks. Google hat im November einen MFA-Zwang für Online-Konten bei dem Unternehmen angekündigt. Jetzt hat es den Zeitplan festgezurrt.

Anzeige

In einem Artikel zu Googles Cloud erörtert das Unternehmen die Änderungen und Details. Demnach würden mit MFA geschützte Konten mit einer 99-prozentigen Wahrscheinlichkeit nicht geknackt, weshalb das Unternehmen nach und nach die Anforderung für alle Cloud-Konten einführt, dass MFA aktiviert sein muss.

Als Erstes sind Konten von Resellern an der Reihe. Für diese erzwingt Google ab dem 28. April 2025 den MFA-Einsatz. Kundenkonten der Reseller seien jedoch da noch nicht betroffen. Private Google-Konten, etwa zu Google Mail (Gmail), erhalten die MFA-Aktivierung ab dem 12. Mai dieses Jahres. Cloud-Identity-Konten für Unternehmen, die ohne Single-Sign-On (SSO) genutzt werden, folgen im dritten Quartal des Jahres. Und schließlich sind Unternehmenskonten mit föderierter Authentifizierung im vierten Quartal 2025 oder sogar später an der Reihe.

Google will zudem Betroffene rechtzeitig über diese Änderung informieren. In der Cloud-Konsole soll mindestens 90 Tage vor der erzwungenen MFA eine Erinnerung angezeigt und eine E-Mail diesbezüglich an Betroffene gesendet werden. Reseller und deren Nutzer erhalten diese Nachrichten 60 Tage vor dem Zieldatum. Privatkunden erhalten derzeit eine Hinweis-E-Mail, ganz gleich, ob sie 2FA bereits aktiviert haben oder nicht. Darin führt ein Link in das Google-Konto zu den Sicherheitseinstellungen. Dort lässt sich bei "2-Faktor-Authentifizierung" die Nutzung erkennen – etwa, ob sie bereits aktiviert wurde und welche Zweitfaktoren hinterlegt wurden, beispielsweise Passkeys und Sicherheitsschlüssel, Authenticator-Apps oder dafür angegebene Telefonnummern.

Malware und Hacker-Angriffe sind längst nicht mehr nur ein Windows-Thema – auch Linux-Server und die darauf laufenden Dienste geraten immer häufiger unter Beschuss. Der fünftägige Intensiv-Workshop Linux-Server härten: Verschlüsselung, Zugriffskontrolle, Integritätschecks beschäftigt sich umfassend mit der Sicherheit von Linux-Servern. Das Themenspektrum reicht von der physischen Sicherheit über Mechanismen der Zugriffskontrolle bis hin zu Logging, Monitoring und Intrusion Detection.

Anzeige

Sie lernen, wie Sie Daten verschlüsseln und Netzwerkdienste absichern, fortgeschrittene Methoden der Zugriffskontrolle wie Zwei-Faktor-Authentifizierung einrichten und die bekannten Sicherheitsframeworks SELinux und AppArmor einsetzen. Florian Winkler erklärt, wie man Logfiles mit sicherheitsrelevanten Vorfällen analysiert und geht auch auf das Thema Einbruchserkennung ein. Darüber hinaus erhalten Sie eine theoretische Einführung in das Penetration Testing und erfahren, wie Sie Sicherheitslücken in der eigenen IT gezielt aufspüren.

Damit Sie in diesem Workshop das Gelernte direkt ausprobieren und selbst Hand anlegen können, erhalten Sie einen ssh-Zugang zu einer Trainingsumgebung mit bereitgestellten Linux-Systemen. Der Workshop ist interaktiv und findet in Gruppen mit maximal 12 Teilnehmenden statt, damit Sie viel Raum für eigene Fragen und den Austausch mit dem Trainer und den anderen Teilnehmenden haben.

Der nächste iX-Workshop findet vom 24. bis 28. März 2025 statt. Ihr Trainer Florian Winkler ist seit 2014 als Berater und Trainer beim Linux-Systemhaus B1 Systems tätig. Seine Themenschwerpunkte liegen in den Bereichen Konfigurationsmanagement, DevOps, Deployment, Security und Automatisierung.

Das anonymisierende Linux Tails ist in aktualisierter Fassung erschienen. Darin schließen die Entwickler Sicherheitslücken, die Angreifern die Deanonymisierung von Nutzern ermöglichen.

Anzeige

In der Versionsankündigung schreiben die Tails-Entwickler, dass Angreifer die Tor-Circuits überwachen könnten. Dazu müssen sie zuvor die Kontrolle über eine Anwendung in Tails übernommen haben und können dann Schwachstellen in "Onion Circuits" sowie im "Tor Browser"-Wrapper missbrauchen, die zur Deanonymisierung führen. Eine zweite Sicherheitslücke ermöglicht Angreifern, die Einstellungen des persistenten Speichers zu ändern. Wie diese Kontrollübernahme über Apps aussehen könnte, erörtert das Tails-Projekt nicht näher.

Die Schwachstellen wurden bei einem Security-Audit durch Radically Open Security entdeckt. Version 6.12 und neuer von Tails bessern sie aus. Aber auch weitere Neuerungen sind in die neue Fassung geflossen: Der "Über Tails"-Dialog hat nun eine Schaltfläche zur Suche nach Upgrades.

Das Tastenkürzel "Strg"+"Alt"+"T" öffnet direkt ein Terminal-Fenster. Der zentrale Tor-Browser ist auf Stand 14.0.5 dabei, Thunderbird wurde auf Version 128.6.0esr aktualisiert. Python-Code läuft jetzt wieder vollständig im isolierten Modus, der Willkommensbildschirm friert beim Aktivieren des persistenten Speichers nicht mehr ein, Zeitsynchronisation beim Start von Tor ist nun verlässlicher und beim Scheitern des Upgrades der Verschlüsselung des persistenten Speichers auf LUKS2 zeigt Tails jetzt eine Fehlermeldung. Geblieben ist das Problem, dass bei Fehlern bei der Installation von zusätzlicher Software aus dem persistenten Speicher die Schaltflächen "Configure" und "Show Log" nicht funktionieren.

Admins, die die Asset-Managementsoftware Trimble Cityworks verwalten, müssen ihre Systeme durch die Installation eines Sicherheitsupdates vor laufenden Attacken schützen.

Anzeige

Über Cityworks steuern Mitarbeiter unter anderem Kapitalressourcen und Workflows. Weil die Software in Behörden oder Versorgungsunternehmen genutzt wird, sollten Admins nicht zu lange zögern. Vor den Attacken warnt etwa die US-Sicherheitsbehörde Cybersecurity & Infrastructure Security Agency (CISA) in einem Beitrag. In welchem Umfang die Attacken derzeit ablaufen, ist nicht bekannt.

In einer Warnmeldung führt Trimble aus, dass On-Premises-Kunden die gegen die Attacken abgesicherten Versionen 15.8.9 oder 23.10 installieren müssen. Alle vorigen Ausgaben sollen verwundbar sein. Cityworks-Online-Deployments (CWOL) seien bereits geschützt.

Bei den Attacken setzen Angreifer an einer Schwachstelle (CVE-2025-0994, CVSS 8.6, Risiko "hoch") an, um Schadcode im Kontext von Microsofts Internet-Information-Services-Web-Server (IIS) auszuführen. Wie Angriffe im Detail ablaufen, ist derzeit nicht bekannt. In der Beschreibung der Lücke steht, dass Angreifer für eine erfolgreiche Attacke authentifiziert sein müssen.

Vergangene Weihnachten wurde ein Problem mit Windows 11 24H2-Installationen bekannt, dass diese keine weiteren Aktualisierungen installieren können, wenn sie von einem Installationsmedium mit bestimmten Update-Ständen installiert wurden. Microsoft hat nun aufgegeben, nach einer automatisierten Lösung dafür zu suchen oder etwa ein Fix-it-Tool zu entwickeln – Betroffenen bleibt lediglich die manuelle Korrektur.

Anzeige

Diese Entscheidung hat Microsoft durch das Setzen des Beitrags in den Windows Release Health-Ankündigungen auf "gelöst" festgezurrt. Konkret lautet die Problembeschreibung, dass eine Windows-11-Installation auf Stand 24H2, die von einer CD (sic) oder einem USB-Laufwerk mit integrierten Oktober- oder November-Updates aus 2024 aufgesetzt wurde, keine weiteren Sicherheitsupdates mehr installieren kann. Dazu gehören auch etwa mit dem Windows Media Creation Tool zu den Zeitpunkten erstellte Medien. Installationen, die sich die Aktualisierungen über Windows Update gezogen und diese angewendet haben, haben dieses Problem hingegen nicht.

Der Eintrag zu dem Problem von Microsoft ist seit Ende vergangener Woche auf dem Status "gelöst". Allerdings steht dort weiterhin lediglich der bisherige Workaround als Lösung: Durch eine Überinstallation mit einem Installationsmedium, das mindestens die Sicherheitsupdates aus dem Dezember 2024 enthält – also ab dem 10. Dezember 2024 erstellt wurde – lässt sich das Problem beheben. Ein Fix-it-Tool, Skript oder anderweitige Möglichkeiten beispielsweise durch Registry-Änderungen nennt Microsoft nicht.

Ein solch aktualisiertes Medium lässt sich mit dem Windows Media Creation Tool erstellen, das auf der Windows-11-Download-Webseite von Microsoft verfügbar ist. Das lädt entweder eine ISO-Datei herunter, die sich auf DVD verfrachten lässt, oder erstellt einen bootbaren USB-Stick mit der Windows-Installation; dieser sollte mindestens 8 GByte Platz haben.

Im Workshop Beyond Bits: Physische Sicherheit in der IT – von Angriffsmethoden zu Schutzstrategien erfahren Sie, warum es wichtig ist, IT-Landschaften auch physisch gegen Angriffe abzusichern und lernen, wie Sie dies effektiv tun können.

Anzeige

In diesem Workshop führen Sie gemeinsam und unter Anleitung einen simulierten physischen Penetrationstest gegen ein fiktives Unternehmen durch. Dabei kommen reale Angriffsmethoden wie Lockpicking, Bypassing, Social Engineering und der Diebstahl von RFID-Credentials zum Einsatz. So lernen Sie die Techniken und Taktiken der Angreifer kennen, wie diese Schutzmaßnahmen umgehen und welche wirksamen Schutzmaßnahmen und Verhaltensrichtlinien es gibt, um sich gegen solche Angriffe zu wehren. Darüber hinaus werden Verhaltensrichtlinien für Mitarbeiter gegen die oft unterschätzte Gefahr des Social Engineering erarbeitet.

Um das Gelernte auf das eigene Unternehmen anwenden zu können, erarbeiten Sie in der Gruppe eine Checkliste zum physischen Zugangsschutz, die Ihnen hilft, bestehende Sicherheitsmaßnahmen besser einzuschätzen, vorhandene Schwachstellen selbst zu erkennen und notwendige Schutzmaßnahmen auszuwählen.

Der Workshop richtet sich an Verantwortliche in kleinen und mittleren Unternehmen (KMU) wie Geschäftsführer, Mitglieder des Managements, Administratoren, IT-Leiter und IT-Sicherheitsverantwortliche, die sich mit der Absicherung der eigenen Infrastruktur auseinandersetzen wollen.

In Australien und Taiwan gibt es bereits ein Verbot für Mitarbeitende aus Behörden und dem Bereich kritischer Infrastruktur, die App von Deepseek zu nutzen. Der Grund dafür: Es sei eine Bedrohung der nationalen Sicherheit zu befürchten. Nun folgt auch die USA. Parteiübergreifend sollen Abgeordnete ein ähnliches Verbot anstreben.

Anzeige

Den Antrag dazu haben der demokratische Abgeordnete Josh Gottheimer und sein republikanischer Kollege Darin LaHood eingebracht. In dem veröffentlichten Dokument heißt es, Deepseek sei sogar eine "alarmierende Bedrohung für die nationale Sicherheit". Zudem würden Untersuchungen zeigen, dass der Dienst direkte Verbindungen zur chinesischen Regierung habe, und sensible Daten der amerikanischen Bürger weitergeleitet würden.

Anders als etwa im Fall von Tiktok, wo ein generelles Verbot des Dienstes im Raum steht, soll es bei Deepseek aber nur um die Nutzung der App auf dienstlichen Geräten gehen. Die Antragsteller ziehen allerdings dennoch einen Vergleich zu der Social-Media-Plattform: "Wir haben Chinas Herangehensweise (Playbook) bereits bei Tiktok gesehen, wir können das nicht noch einmal zulassen."

Konkret werfen die Abgeordneten Deepseek vor, Daten mit China Mobile zu teilen, einem Unternehmen, das direkt der chinesischen Regierung (CCP) gehöre und eng mit dem Militär verbandelt sei. Die US-amerikanische Federal Communications Commission (FCC) habe die Nutzung von China Mobile in den USA deshalb bereits verboten.

Hat OpenAI bei der Cybersicherheit massiv geschlampt? Kriminelle brüsten sich in einem Darknet-Forum damit, Millionen Login-Daten von ChatGPT-Nutzern gestohlen und weitergegeben zu haben. Bedrohungsakteure machen in solchen Untergrund-Marktplätzen zwar häufig übertriebene Ansagen, um Aufmerksamkeit auf sich zu lenken oder Käufer anzulocken. Das potenzielle Ausmaß des inserierten Datenlecks wäre allerdings groß, sodass bei IT-Sicherheitsexperten Alarmglocken läuten. "Wir nehmen diese Behauptungen ernst", erklärte ein OpenAI-Sprecher gegenüber dem Magazin Decrypt. Der Fall werde derzeit untersucht.

Anzeige

Der unter dem Pseudonym emirking agierende Darknet-Nutzer postete laut dem Portal GbHackers eine kryptische Nachricht auf Russisch, in der er "mehr als 20 Millionen Zugangscodes zu OpenAI-Konten" anpries. Er sprach demnach von einer "Goldmine" und bot potenziellen Käufern Beispieldaten mit E-Mail-Adressen und Passwörtern an. Dem Bericht zufolge soll der vollständige Datensatz "für nur ein paar Dollar" zum Verkauf stehen. Bei OpenAI stehe wohl eine Massenüberprüfung von Konten an.

"Wir haben bisher keine Hinweise darauf, dass dieser Fall mit einer Kompromittierung von OpenAI-Systemen zusammenhängt", hieß es von dem ChatGPT-Hersteller in einer ersten Reaktion. Auch Security-Experten sind sich unsicher, ob persönliche Daten von Nutzern des Chatbots kompromittiert worden sind.

Mikael Thalen von Daily Dot teilte mit, dass er in dem angeblichen Sample ungültige E-Mail-Adressen gefunden habe. Es gebe bislang keine Beweise dafür, "dass dieser vermeintliche OpenAI-Einbruch legitim ist". Mindestens zwei Adressen hätten nicht funktioniert. Der einzige andere Beitrag des Nutzers in dem Forum sei zwar ein Verweis auf eine Malware zum Stehlen von Login-Daten. Der Thread sei inzwischen aber gelöscht worden.

Europol hat Finanzinstitute und politische Entscheidungsträger weltweit aufgefordert, dem Übergang zur quantensicheren Verschlüsselung Priorität einzuräumen und Lösungen einzusetzen. Mit der rasanten Weiterentwicklung des Quantencomputings sei der Finanzsektor einer "unmittelbaren Bedrohung seiner kryptografischen Sicherheit ausgesetzt", betonte die Polizeibehörde am Freitag im Rahmen eines von ihr veranstalteten Quantum Safe Financial Forum (QSFF). Teilnehmer der Konferenz warnten laut Europol vor allem vor dem wachsenden Risiko der Angriffsstrategie eines "jetzt speichern – später entschlüsseln" ("Store now – decrypt later"): Böswillige Akteure könnten heute verschlüsselte Daten sammeln, um sie später mithilfe von Quantencomputern zu entschlüsseln.

Anzeige

Als Grund für seinen globalen Handlungsaufruf gibt das QSFF an, dass leistungsfähige Quantenrechner gängige Verschlüsselungsverfahren im Handstreich überwinden könnten ("Kryptokalypse"). Das Bundesamt für Sicherheit in der Informationstechnik (BSI) geht hier – ohne unerwartete technologische Durchbrüche – von einem Zeithorizont von zehn bis 20 Jahren aus. Bei Europol ist von zehn bis 15 Jahren die Rede. Die Suche nach einem Ersatz für aktuell genutzte Algorithmen für die Public-Key-Kryptografie läuft daher generell auf Hochtouren, um weiterhin etwa E-Mails, Online-Banking, medizinische Daten, den Zugang zu Kontrollsystemen und nationale Sicherheitsaufgaben absichern zu können.

Gerade im Finanzbereich sei der Handlungsdruck hoch, unterstreicht Europol. Ein erfolgreicher Übergang zur quantensicheren Verschlüsselung erfordere die Zusammenarbeit zwischen Banken und anderen Finanzinstituten, Technologieanbietern, politischen Entscheidungsträgern und Regulierungsbehörden. Die Koordination zwischen den verschiedenen Interessengruppen sei von entscheidender Bedeutung. Die Branche müsse zusammen mit Akteuren des privaten und öffentlichen Sektors Experimente, Projekte, Kontaktstellen und anderen Initiativen auf den Weg bringen.

Bedarf an zusätzlichen Gesetzen sieht das QSFF nicht. Ein freiwilliger Rahmen zwischen Regulierungsbehörden und dem privaten Sektor dürfte ihm zufolge ausreichen, um Richtlinien für quantensichere Kryptografie festzulegen und die Standardisierung zwischen den Institutionen zu fördern. Europol verweist zudem darauf, dass der angestrebte Wechsel die Möglichkeit biete, Verschlüsselungspraktiken und die IT-Sicherheit generell zu verbessern. Es sei ein zukunftsorientierter Rahmen für die Handhabe von Kryptografie erforderlich.

Der von Sicherheitsexperten, Bürgerrechtlern und Apple selbst kritisierte Investigatory Powers Act (IPA), den die britische Regierung überarbeitet hat, könnte die Sicherheit in der iCloud brechen. Eine durch das Sicherheits- und Spionagegesetz möglich gemachte Geheimanweisung verlangt von dem iPhone-Konzern, verschlüsselte Inhalte von Backups und weiteren Daten aller Nutzer weltweit auf Verlangen der Behörden im Vereinigten Königreich auszuleiten, schreibt die Washington Post in einem Exklusivbericht vom Freitag. Damit sei Apples Datenschutzversprechen an seine Kunden in Gefahr.

Anzeige

Der Befehl an Apple soll bereits im vergangenen Monat erteilt worden sein, er wurde nicht veröffentlicht. Er verlangt die "generelle Möglichkeit, vollständig verschlüsseltes Material einzusehen, und nicht nur die Unterstützung beim Knacken bestimmter Konten", so die Washington Post unter Berufung auf informierte Personen. In demokratischen Ländern sei dies bislang beispiellos. Sollte dies tatsächlich angewendet werden, hätten Nutzer keinerlei Schutz mehr und Apple (sowie viele andere Tech-Konzerne, die Verschlüsselung verteidigen) eine schwere Niederlage bei den Nutzerrechten erlitten.

IPA, bei Kritikern auch bekannt als "Snoopers' Charter" ("Schnüffel-Charta"), gilt bereits seit 2016, wurde allerdings zuletzt nachgeschärft. Apple hatte bereits vor einem Jahr vor einer "beispiellosen Grenzüberschreitung" durch die Londoner Regierung, damals noch unter den konservativen Tories, gewarnt. Die nun herrschende Arbeiterpartei (Labour) verfolgte den Kurs jedoch weiter. Apple teilte damals mit, das Vereinigte Königreich könne mit dem neuen IPA versuchen, ein geheimes Veto gegen neue Schutzmaßnahmen – also etwa eine verbesserte Verschlüsselung – einzulegen, das dann weltweite Auswirkungen hätte, "um zu verhindern, dass wir sie unseren Kunden jemals anbieten können". Genau das scheint jetzt passiert zu sein – wobei es sich sogar gegen vorhandene Verschlüsselung wendet.

Apple kommentierte den Bericht zunächst nicht. Die Anweisung kam laut Washington Post in Form einer sogenannten Technical Capability Note, in der es hieß, dass Apple Zugriff im Rahmen des IPA geben muss. Der iPhone-Konzern kann dagegen nur vor einem geheimen Panel Einspruch erheben, in dem es aber nur um Details geht – etwa zu den Kosten. Ein Richter muss dann entscheiden, ob die Anordnung zu den Anforderungen der Regierung passt. Während dieser Art von Berufungsverfahren darf Apple die Anordnung aber nicht aussetzen.

Die Bedrohung durch Cyberangriffe auf Produktionsanlagen nimmt rasant zu. Gleichzeitig steigen die Anforderungen an die Sicherheit von Operational Technology (OT), insbesondere durch neue EU-Vorgaben wie die NIS2-Richtlinie und den Cyber Resilience Act. „Die Risiken haben in den letzten Jahren deutlich zugenommen“, erklärt Prof. Dr. Karl-Heinz Niemann, Experte für Prozessinformatik und Automatisierungstechnik an der Hochschule Hannover (HsH). Genau hier setzt der Online-Zertifikatskurs IT-Sicherheit in Produktionsanlagen der HsH-Akademie in Kooperation mit iX an – eine Weiterbildung, die praxisnah und hochaktuell ist.

Anzeige

OT-Sicherheit in drei Wochenenden

Der Online-Kurs richtet sich an Fach- und Führungskräfte, die für den Schutz von Produktionsanlagen verantwortlich sind oder im Arbeitsalltag mit OT-Security in Berührung kommen. Die Teilnahme setzt Grundkenntnisse in der Automatisierungstechnik voraus. In insgesamt 24 Unterrichtseinheiten, verteilt auf drei Wochenenden, lernen die Teilnehmenden alles Wichtige über OT-Security – von der Grundlagenvermittlung bis hin zur praktischen Anwendung.

Der Schwerpunkt liegt auf der OT-Security-Norm IEC 62443, die für den sicheren Betrieb und die Planung von Produktionsanlagen entscheidend ist. Ergänzt werden die Inhalte durch aktuelle Themen wie Safety und Security sowie die Anforderungen neuer europäischer Regulierungen. Praxisorientierte Fallstudien helfen den Teilnehmenden dabei, das Gelernte direkt anzuwenden.

Bei Vorwerk gab es ein Datenleck, wie der Anbieter für Haushaltsgeräte mitteilte. Die Lücke betraf das Forum "rezeptwelt.de" des Thermomix-Herstellers und führte dazu, dass Unbekannte massenhaft Nutzerdaten erbeuten konnten. Die Daten stehen im Darknet zum Verkauf. Alle Betroffenen sind informiert, die Lücke ist geschlossen. Dennoch rät Vorwerk Rezeptwelt-Mitgliedern, vorsichtig zu sein: Es drohen weitere Angriffe.

Anzeige

Aus dem Thermomix-Rezeptforum wurden millionenfach Mitgliederdaten abgezogen und stehen nun im Darknet zum Verkauf. Im Datensatz sind die persönlichen Daten von über drei Millionen Rezeptwelt-Mitglieder enthalten, darunter E-Mail-Adressen, Telefonnummern, Adressen und Kochkenntnisse. Laut Vorwerk-Stellungnahme bestand die Lücke nur drei Tage – vom 30. Januar bis zum 3. Februar 2025. Der Zugriff habe zudem nicht auf Vorwerk-eigene Server stattgefunden, sondern bei einem externen Dienstleister.

Neben einer guten Million deutscher Opfer sind jeweils zwischen drei- und vierhunderttausend englisch-, spanisch-, französisch-, italienisch- und polnisch- sowie gut 150.000 portugiesischsprachige Nutzer betroffen. Das Rezeptwelt-Forum richtet sich an eine weltweite Nutzerschaft – auch Thermomix-Anwender aus Australien und Tschechien tummeln sich dort.

Vorwerk hat unmittelbar nach dem Vorfall reagiert und konnte ihn schnell eingrenzen. In Zusammenarbeit mit Sicherheitsexperten und Datenschützern hat das Unternehmen ausschließen können, dass weitere Systeme oder etwa der Online-Shop betroffen sind. Das Unternehmen mahnt zur Vorsicht: Mit den gestohlenen Daten könnten Kriminelle nun glaubwürdige Phishingangriffe gegen Rezeptwelt-Mitglieder starten. Die Aufsichtsbehörden hat Vorwerk ebenso informiert wie alle betroffenen Nutzer.

Weil ein Sicherheitspatch fehlerhaft ist, ist die Serverautomationssoftware HCL BigFix Server Automation nach wie vor verwundbar. Nun haben die Entwickler reagiert.

Anzeige

Mit der Anwendung automatisieren Admins Tasks auf Servern, um etwa Updates in bestimmten Reihenfolgen zu installieren.

In einer Warnmeldung schreiben sie, dass die Lücke (CVE-2024-52798 "hoch") auf ein kaputtes Sicherheitsupdate für eine Schwachstelle (CVE-2024-45296 "hoch") aus November 2024 im gleichen Kontext zurückgeht. HCL zufolge können Angreifer an Ausgaben der Funktion path-to-regexp ansetzen, um die Leistung zu beeinträchtigen und DoS-Zustände zu provozieren. Bislang gibt es keine Hinweise auf laufende Attacken.

Davon sind alle Versionen bis einschließlich 9.5.70 betroffen. HCL BigFix SA REST API 9.5.71 ist die gegen die geschilderte Attacke abgesicherte Ausgabe. Hinweise zur Installation finden Admins in der Warnmeldung.

Im vergangenen Jahr sind die Lösegeldzahlungen nach Angriffen mit Ransomware wieder deutlich zurückgegangen. Das hat Chainalysis ermittelt und sieht Maßnahmen von Strafverfolgungsbehörden, eine bessere internationale Zusammenarbeit und die häufigere Zahlungsverweigerung als ursächlich. Die Blockchain-Analysefirma hat für ihren "Crypto Crime Report" Ransomware-Zahlungen in einer Gesamthöhe von 814 Millionen US-Dollar gezählt, 35 Prozent weniger als im Jahr davor. Einen größeren Rückgang hat es demnach nur von 2021 auf 2022 gegeben, danach hatte sich die Gesamtsumme innerhalb eines Jahres aber wieder fast verdoppelt.

Anzeige

Wie Chainalysis weiter ausführt, war die Summe der Lösegeldzahlungen im ersten Halbjahr 2024 noch leicht gestiegen, nur um dann stark zu sinken. Diese Zweiteilung wurde demnach schon seit 2021 in jedem Jahr beobachtet, 2024 war sie aber deutlich ausgeprägter. Unter den zehn größten kriminellen Gruppen, die Angriffe mit Ransomware durchführen, hat mit Akira demnach nur eine einzige in diesem Zeitraum ihre Beute vergrößern können, beim Rest gab es teilweise deutliche Rückgänge. Verantwortlich waren auch Strafverfolgungsbehörden, die Banden wie Lockbit ausgehoben haben. Gleichzeitig sei beobachtet worden, dass nach solchen Aktionen nicht mehr direkt andere Banden in die Bresche gesprungen seien.

Ermittelt hat Chainalysis gleichzeitig, dass auf einschlägigen Seiten im vergangenen Jahr mehr Opfer von Ransomware genannt wurden, als je zuvor. Auch die Zahl solcher Seiten hat sich demnach mehr als verdoppelt. Das muss demnach aber nicht bedeuten, dass auch tatsächlich mehr Ransomware-Angriffe erfolgreich waren. So seien einige Banden dazu übergegangen, angebliche Opfer zu benennen, bei denen überhaupt keine Angriffe erfolgreich waren. Vor allem die Verantwortlichen für LockBit hätten versucht, durch eine Nennung veralteter oder schlicht erfundener Angriffe auch nach dem erfolgreichen Vorgehen durch Strafverfolgungsbehörden weiterhin relevant zu erscheinen.

Als weiteren Trend hat Chainalysis noch ausgemacht, dass die Lösegeldzahlungen weiterhin vor allem an große Kryptogeld-Börse, persönliche Wallets und sogenannte Bridges geflossen sind. Die vorher noch viel genutzten Mixer sind demnach völlig aus der Mode gekommen. Das unterstreiche, welche Erfolge staatliche Akteure haben können, etwa indem sie solche Dienste sanktionieren. Das war etwa Tornado Cash passiert, auch wenn diese Entscheidung im Herbst von einem US-Gericht als rechtswidrig eingeordnet wurde. Ein Jahr zuvor war es Behörden aus Deutschland und den USA gelungen, den Geldwäschedienst Chipmixer abzuschalten.

Legaltech-Startups bieten ihren Kunden juristische Dienstleistungen an, die teil- oder vollautomatisiert sind und können so hocheffizient viele Fälle bearbeiten, um etwa Konsumentenrechte geltend zu machen. Doch mit dem Automatisierungsgrad rechtlicher Vorgänge steigt auch das Risiko, Datenpannen vollautomatisch mitzuliefern. Genau das ist gleich zwei Unternehmen aus der Legaltech-Branche in den vergangenen Monaten passiert. Der Chaos Computer Club (CCC) nahm sich der Fälle an.

Anzeige

Das LegalTech euFlight hat sich dem Verbraucherschutz verschrieben. Das Unternehmen möchte Fluggästen helfen, ihre Ansprüche wegen Flugausfällen oder -verspätungen durchzusetzen und kauft ihnen die Ansprüche mit einem Abschlag ab (Factoring). Die gesammelten Fluggastrechte setzt euFlight dann gegenüber den Fluglinien durch, notfalls auch mit rechtlichen Mitteln.

Bereits im September 2024 entdeckte der Sicherheitsforscher Matthias Marx auf einer Backend-Website von euFlight ein für jedermann zugängliches .git-Verzeichnis, womöglich Überbleibsel eines fehlerhaften Rollout-Prozesses. Dieses Verzeichnis enthält interne Metadaten des von Linus Torvalds ersonnenen Versionskontrollsystems, aber auch den gesamten Quellcode der betroffenen Applikation. In dem verbarg sich der Schlüssel für einen Datenschatz: Über das Backend-System hatte Marx Zugriff auf Daten mehrerer Tausend euFlight-Kunden und einige Datenbankserver des Unternehmens. Bei seinem kurzen Streifzug durch das euFlight-System fielen dem Hacker auch veraltete Passwort-Hashverfahren und unzureichende Authentifizierungsmechanismen auf. Marx, Mitglied des CCC, schaltete den Club ein. Der wiederum informierte das Unternehmen, welches die schlimmsten Lücken noch am selben Tag schloss.

Gegenüber heise security erklärte euFlight-Geschäftsführer Lars Watermann, wie es zu dem Leck kam: Bei der Übergabe an neue IT-Verantwortliche habe es eine Fehlkonfiguration gegeben, die den Zugriff auf das .git-Verzeichnis gestattete. Die angegriffene Software sei "Legacy", also Teil der technischen Schulden des Unternehmens gewesen. Man habe viele der vom CCC kritisierten Punkte bereits auf dem Zettel gehabt, so Watermann weiter. Das inkriminierte Backend habe seit Juli 2024 offen gestanden, außer dem CCC-Forscher habe jedoch niemand auf das Verzeichnis zugegriffen. Das sei schon lange behoben, mittlerweile seien aber auch die weiteren Verbesserungshinweise des Hackers umgesetzt.

Der Passwort-Manager Bitwarden soll besser geschützte Zugänge erhalten. Nutzerinnen und Nutzer, die bislang keine Zwei-Faktor-Authentifizierung aktiviert haben, müssen bei Nutzung auf neuen, bislang unbekannten Geräten dann einen Bestätigungscode aus einer E-Mail angeben. Es handelt sich somit um eine Art erzwungene Zwei-Faktor-Authentifizierung "light". Der Mechanismus soll jetzt im Februar aktiviert werden.

Anzeige

Das hat Bitwarden kürzlich in einem Blog-Beitrag angekündigt. Passwort-Vaults seien ein wertvolles Ziel für Angreifer, schreibt das Projekt. Daher sei es wichtig, sicherzustellen, dass sie stark gesichert sind. "Bitwarden führt eine neue Verifikationsmaßnahme für Anmeldungen von unbekannten Geräten ein, um den Schutz von Konten ohne die Sicherheitsmaßnahme des 2FA-Log-ins erheblich zu verbessern", schreiben die Autoren, "dies stellt sicher, dass die sensiblen Informationen der Nutzerinnen und Nutzer in privater Hand und außerhalb der Reichweite von Angreifern bleiben."

Der beste Schutz für einen Bitwarden-Passwort-Vault sei demnach ein starkes Passwort, das niemals an anderer Stelle genutzt wurde. Die nächstbeste Variante sei der zweistufige Log-in mit Zwei-Faktor-Authentifizierung, um die Zugangssicherheit zu schützen. "Viele Nutzerinnen und Nutzer folgen diesen Empfehlungen, aber einige tun das nicht, was ihr Risiko erhöht, ein Opfer eines Cyberangriffs zu werden wie Credential Stuffing (dem automatischen Ausprobieren von Passwörtern) oder von Phishing", schreibt Bitwarden.

Der Mechanismus selbst ist relativ einfach: Kurz nach Eingabe der E-Mail-Adresse und des Passworts des Bitwarden-Kontos schickt Bitwarden einen Verifizierungscode an die hinterlegte E-Mail-Adresse, sofern der Server das Gerät nicht erkennt, 2FA nicht aktiviert ist und auch kein Single-Sign-On (SSO) genutzt wird. Betroffene benötigen dann Zugriff auf ihre E-Mails, um auf den Code zuzugreifen und ihn der Bitwarden-App zu übergeben.

Sicherheitsforscher warnen erneut vor gewieften Stealer-Apps, die es auf Android- und erstmals offenbar auch auf iPhone-Nutzer abgesehen haben. Die SparkCat getaufte Malware versteckt sich in diversen unscheinbar wirkenden Apps, die über die offiziellen Hersteller-Läden Google Play und App Store vertrieben werden, wie die Sicherheitsfirma Kaspersky berichtet. Es sei das erste Mal, dass solche Malware in Apples App Store entdeckt wurde. Der Konzern habe diese inzwischen entfernt.

Anzeige

Die Masche ist ebenso einfach wie wohl auch effektiv: Die Apps bitten den Nutzer unter einem Vorwand, den Zugriff auf die Fotomediathek zu erlauben, etwa wenn dieser den Support des App-Anbieters kontaktieren will. Wird das gewährt, scannt die App unbemerkt die Fotos und vor allem Screenshots des Nutzers nach bestimmten Schlüsselbegriffen. Dafür kommt der Analyse zufolge Googles Texterkennung ML Kit zum Einsatz.

Mögliche Treffer extrahiert die Malware dann und lädt diese auf Server der Angreifer hoch. Vorrangig geht es ihnen um Kenntnis von Seed- respektive Wiederherstellungsphrasen von Krypto-Wallets, die Nutzer der Bequemlichkeit halber als Screenshot speichern. Mit solchen Phrasen lässt sich unmittelbar das Wallet auf einem anderen Gerät wiederherstellen und sämtliche darin enthaltene Kryptowährungen klauen. Die Malware ist flexibel genug, um auch andere sensible Daten wie Passwörter oder Nachrichten auszulesen, merkt Kaspersky an.

Laut Sicherheitsforschern zielen die Stealer-Apps bislang vorrangig auf Nutzer in Europa und Asien. Die Android-Versionen der Stealer seien rund 250.000 mal heruntergeladen worden; wie viele Downloads die iOS-Versionen zählen, bleibt unklar.

Das Münchener Unternehmen MGM Security Partners die Serveranwendung des Cloudanbieters Nextcloud analysiert und mehrere Schwachstellen gefunden. Angreifer konnten im Klartext gespeicherte Passwörter auslesen und die Zwei-Faktor-Authentifizierung umgehen. Die Untersuchung erfolgte im Auftrag des Bundesamtes für Sicherheit in der Informationstechnik (BSI) als Teil des Projektes zur Codeanalyse von Open-Source-Software (CAOS 3.0). Nextcloud wies der Untersuchung zufolge 16 Sicherheitslücken mit hohem Gefahrenpotenzial auf. Die Entwickler haben bereits auf die Schwachstellen reagiert.

Anzeige

Neben der Open-Source-Anwendung selbst untersuchten die Forscher den Quellcode von vier offiziellen Plugins für die Zwei-Faktor-Authentifizierung (2FA). Der Nextcloud-Client für Desktop und Smartphone sowie Erweiterungen von Drittanbietern gehörten nicht zum Umfang der Analyse im Frühjahr 2023. Für insgesamt 43 Schwachstellen erhielten die Kontrolleure eine CVE-ID. Sie überprüften die Korrekturen und bei der Fertigstellung des Ergebnisberichtes im Juli 2024 erfüllten zwei Fixes noch nicht die Anforderungen der Prüfer. Das BSI veröffentlichte den Bericht verzögert, damit die Entwickler die Schwachstellen beheben können.

Die unter CVE-2024-37313 gemeldete Sicherheitslücke mit hohem Gefahrenpotenzial ermöglichte es Angreifern, die 2FA zu umgehen und einen Account mit ihnen bekannten Zugangsdaten zu übernehmen. Ein Dienst in der Serveranwendung prüft, ob eine Sitzung eine 2FA zum Login benötigt. Mögliche Ausnahmen sind etwa für App-Passwörter vorgesehen. Ein Implementierungsfehler hatte zur Folge, dass die 2FA für alle Sitzungstypen ausgesetzt ist, wenn die Sitzung zur Eingabe des Einmalkennworts abgelaufen ist. Dazu kann der Angreifer abwarten oder eine ungültige Sitzungs-Passphrase versenden.

Eine weitere Lücke erkannten die Prüfer beim Austausch von Dateien zwischen zwei Nextcloud-Instanzen. Aufgrund fehlender Authentifizierungsmechanismen konnte die empfangende Instanz den Eigentümer der Datei seitens der sendenden Instanz nicht überprüfen. Zwar müssen Nutzer eine Anfrage zum Dateiempfang bestätigen. Weil sich Angreifer aber als ein beliebiger Nutzer der sendenden Instanz ausgeben konnten, ließen sich so bösartige Dateien verschicken.

Cisco hat acht Sicherheitsmitteilungen veröffentlicht, in denen das Unternehmen Sicherheitslücken in mehreren Produkten behandelt. Mindestens eine Schwachstelle gilt den Entwicklern als kritisches Risiko. IT-Verwalter sollten die Installation der bereitstehenden Updates zeitnah einplanen.

Anzeige

Am gravierendsten sind Sicherheitslücken in Ciscos Identity Services Engine (ISE). Angreifer mit lesendem Admin-Zugriff können beliebige Befehle aufgrund einer unsicheren Deserialisierung von Daten in der API einschleusen und ihre Rechte ausweiten (CVE-2025-20124, CVSS 9.9, Risiko "kritisch"). Zudem können bösartige Akteure mit Leserechten aufgrund unzureichender Rechteprüfungen in der API sensible Informationen lesen, Konfigurationen ändern oder den Node neustarten (CVE-2025-20125, CVSS 9.1, kritisch).

In Ciscos IOS, IOS XE und IOS XR können Angreifer zudem Denial-of-Service-Attacken gegen anfällige Geräte starten. Ursächlich sind mehrere Schwachstellen im Simple Network Management Protocol (SNMP)-Subsystem der Software. Sofern sie angemeldet sind, können sie aus dem Netz einen DoS provozieren (CVE-2025-20169, CVE-2025-20170, CVE-2025-20171, CVE-2025-20172, CVE-2025-20173, CVE-2025-20174, CVE-2025-20175, CVE-2025-20176, alle CVSS 7.7, hoch; sowie im Speziellen für CVE-2025-20172 in IOS XR CVSS 4.3, mittel).

Cisco schreibt zu allen Sicherheitslücken, dass das Unternehmen zum Meldungszeitpunkt keine Kenntnis über bereits erfolgten Missbrauch der Schwachstellen durch Angreifer hat.