Comretix Blog

Ein Cyberangriff hat Verspätungen am Berliner Flughafen BER und anderen Airports zur Folge. Ein Dienstleister für die Systeme zur Passagierabfertigung ist am Freitagabend angegriffen worden, wie der Berliner Flughafen mitteilte. Die Verbindungen zu den Systemen habe der Flughafen BER daraufhin gekappt. Passagiere müssen nun mit längeren Wartezeiten beim Check-in und Boarding und mit Verspätungen rechnen. "Der Flughafen selbst ist nicht Ziel des Cyber-Angriffs gewesen und davon nur indirekt betroffen", teilte der BER mit.

Der Systemanbieter wird europaweit an Flughäfen eingesetzt. Neben Berlin sind noch andere europäische Flughäfen betroffen, eine Bestätigung dafür gibt es vom Flughafen Brüssel. Es sei mit erheblichen Auswirkungen auf den Flugbetrieb zu rechnen, teilte der Flughafen Brüssel auf seiner Homepage mit.

Der Flughafen London Heathrow erklärte, es könne zu Verspätungen kommen, sprach aber von einem technischen Problem. Welche weiteren Flughäfen betroffen sind, steht noch nicht fest. Ein Sprecher des BER sagte jedoch einem Bericht von BR24 Radio zufolge, man rechne mit Auswirkungen in ganz Europa. Flüge könnten sich verspäten, was auch für manche Anschlussflüge gelte.

Aus Brüssel hieß es, derzeit sei aufgrund der Attacke nur manuelles Einchecken und Boarding möglich. Der Dienstleister versuche so schnell wie möglich, das Problem zu beheben. Es werde zu Verspätungen und Flugausfällen kommen. Passagiere sollten ihren Flugstatus bei der Airline checken, bevor sie anreisten, und ausreichend Zeit am Flughafen einplanen, hieß es weiter. Heathrow teilte lediglich mit, ein Drittanbieter für Check-in- und Boarding-Systeme mehrerer Fluggesellschaften habe ein technisches Problem. Daran werde schnellstmöglich gearbeitet.

Die Attacke hat auch den Flughafen Münster/Osnabrück betroffen. Allerdings sei es sehr schnell gelungen, die eigenen Systeme von dem betroffenen Dienstleister abzukoppeln, sagte eine Sprecherin. "Fluggäste haben davon überhaupt nichts mitbekommen", betonte sie. Zuvor hatte der WDR berichtet. Der Cyberangriff habe die Systeme des Dienstleisters am Freitagabend ab etwa 22:00 Uhr lahmgelegt.

Fast jedes deutsche Unternehmen war im vergangenen Jahr von Datendiebstahl, Sabotage oder Industriespionage betroffen, stellt der IT-Verband Bitkom in einer nun vorgestellten Studie fest. Gemeinsam mit dem Vizepräsidenten des Bundesamts für Verfassungsschutz (BfV) präsentierte Bitkom-Präsident Wintergerst die Ergebnisse. Fast die Hälfte der Betroffenen wurde mindestens einmal aus China oder Russland angegriffen.

Fast drei Viertel der befragten Unternehmen waren von digitaler Sabotage mutmaßlich betroffen, bei fast zwei Dritteln wurde vermutlich digitale Kommunikation ausgespäht und Geschäftsdaten gestohlen. Doch nicht nur digitale Kriminalität erfasste die Bitkom-Studie, auch der physische Diebstahl von Dokumenten, Mustern oder Bauteilen (41 Prozent) sowie die physische Sabotage von Produktionssystemen (22 Prozent) thematisiert sie.

Taten mit mutmaßlichem Ursprung in China haben dabei nur leicht, solche aus Russland jedoch deutlich zugenommen. Etwa ein Viertel der Angriffe kam aus den USA, knapp ein Drittel war unbekannter Herkunft. Während knapp 30 Prozent der Straftaten mutmaßlich von ausländischen Geheimdiensten begangen wurden, stellt die organisierte Kriminalität mit 68 Prozent das Gros der Delikte.

"Die Frage ist nicht, ob Unternehmen angegriffen werden, sondern wann – und ob sie diese Angriffe erfolgreich abwehren können“, wird Bitkom-Präsident Wintergert zitiert, der weiter fordert: "Unsere Verteidigungsfähigkeit muss zudem in den Fokus der Politik rücken – auch im Cyberraum."

Der Verfassungsschutz sieht seine Ausrichtung bestätigt, so Vizepräsident Sinan Selen. Man werde den Schwerpunkt weiter auf die Detektion und Verhinderung von Übergriffen staatlicher und staatsnaher Akteure setzen und die Tätigkeiten ausbauen. Mittlerweile, so der Verfassungsschützer, erhielten mehr als 35 Prozent der Unternehmen Hinweise auf Angreifer durch Behörden – Ergebnis einer verstärkten Zusammenarbeit der Akteure.

Der Firewallhersteller Sonicwall meldet einen Einbruch in Cloud-Konten seiner Kunden. Dabei haben Unbekannte Sicherungskopien von Firewallkonfigurationsdateien unerlaubt vervielfältigt und exfiltriert. Es handelt sich jedoch nicht um einen Cyberangriff auf Sonicwall, sondern offenbar um massenhaftes Durchprobieren von Zugangsdaten.

Wie Sonicwall ermittelt hat, haben die Angreifer bei weniger als fünf Prozent der Kunden Cloud-Konfigurationsdateien entwendet. Zwar sind in diesen jegliche Passwörter "verschlüsselt", so der Hersteller (gemeint ist wohl, dass sie gehasht abgespeichert werden), doch könnten weitere Informationen spätere Angriffe auf die Firewalls erleichtern.

Die unbekannten Datendiebe haben sich weder mit einer Lösegeldforderung gemeldet noch ihre Beute in den üblichen Leak-Foren angeboten, beruhigt Sonicwall seine Kunden. Dennoch sollten diese zur Vorsicht überprüfen, ob sie betroffen sein könnten. Ein ausführlicher Leitfaden hilft bei der Feststellung und Beseitigung möglicher Risiken.

Über den genauen Hergang der Angriffe schweigt der Hersteller sich aus. Auch findet sich in den Sicherheitshinweisen keine Erklärung, wessen Zugangsdaten massenhaft – und offenbar bisweilen erfolgreich – durchprobiert worden seien. Infrage kommen nicht nur Kundenkonten, sondern auch die Zugänge von Sonicwall-Mitarbeitern oder -Partnern.

Erst vor wenigen Wochen wurden großangelegte Angriffe auf Sonicwall-Firewalls bekannt, die eine längst behobene Sicherheitslücke ausnutzten. Offenbar hatten reichlich Firewall-Administratoren die Aktualisierungen nicht eingespielt, was sie anfällig für Angriffe unter anderem der Ransomwaregruppe Akira machte.

Microsofts Identitäts- und Zugriffsverwaltungsdienst Entra ID war kaputt. Angreifer hätten mit vergleichsweise wenig Aufwand an einer "kritischen" Sicherheitslücke ansetzen können. Davon waren global alle Entra-ID-Tenants betroffen. Microsoft hat die Schwachstelle im Juli dieses Jahres geschlossen. Nun führt ein Sicherheitsforscher Hintergründe zur Lücke aus.

Durch das erfolgreiche Ausnutzen der Schwachstelle war ein Admin-Zugriff auf beliebige Tenants möglich. Weil weltweit unter anderem große Unternehmen Entra ID nutzen, hätten Attacken weitreichende Folgen haben können.

In einem ausführlichen Beitrag erläutert ein Sicherheitsforscher von Outsidersecurity das Sicherheitsproblem. Er gibt an, die "kritische" Schwachstelle (CVE-2025-55241) mit Höchstwertung (CVSS Score 10 von 10) im Juli dieses Jahres entdeckt und umgehend an Microsoft gemeldet zu haben. Er schreibt, dass Microsoft die Schwachstelle innerhalb weniger Tage geschlossen hat. Dafür mussten Entra-ID-Tenants nichts tun. Offensichtlich wurde das Problem serverseitig gelöst.

Um die Lücke auszunutzen, mussten Angreifer aber die Tenant-ID und die NetID eines Nutzers kennen. Doch beides lässt sich dem Forscher zufolge mit vergleichsweise wenig Aufwand herausfinden. Dass das keine so große Hürde sein kann, unterstützt auch die kritische Einstufung der Schwachstelle.

Dem Sicherheitsforscher zufolge fußt eine Attacke auf zwei Grundlagen: Der erste Ansatzpunkt ist ein undokumentierter Token zur Identitätsfeststellung mit der Bezeichnung "Actor Token". Diesen nutzt Microsoft in seinem Backend für Service-to-Service-Kommunikation.

Googles Chrome ist verwundbar und Angreifer nutzen derzeit eine Sicherheitslücke aus. Wer den Browser nutzt, sollte sicherstellen, dass die aktuelle Version installiert ist.

In einer Warnmeldung führen die Entwickler aus, dass sie insgesamt vier Softwareschwachstellen mit dem Bedrohungsgrad "hoch" geschlossen haben. In drei Fällen (CVE-2025-10500, CVE-2025-10501, CVE-2025-10502) können Angreifer Speicherfehler provozieren, um so Schadcode auf Systeme zu schieben.

Eine Lücke (CVE-2025-10585) haben Angreifer derzeit im Visier. Dabei handelt es sich der knappen Beschreibung zufolge um eine Type-Confusion-Schwachstelle in der JavaScript-Engine V8. Wie ein solcher Angriff vonstattengeht und welche Auswirkungen eine erfolgreiche Attacke hat, ist derzeit unklar. In der Regel manipulieren Angreifer bei solchen Attacken bestimmte Parameter, um Fehler auszulösen. Das führt dann etwa dazu, dass sie unter anderem Zugangsbeschränkungen umgehen können. In welchem Umfang die Angriffe ablaufen, führt Google zurzeit nicht aus.

Die Entwickler versichern, dass sie die geschilderten Sicherheitsprobleme in den Chrome-Ausgaben 140.0.7339.185/.186 für Linux, macOS und Windows gelöst haben. Etwa unter Windows kann man unter "Hilfe", "Über Google Chrome" die installierte Version prüfen. In der Regel aktualisiert sich der Webbrowser automatisch. Ist das nicht der Fall, kann man das Update in dem Menü manuell anstoßen.

In Episode 143 des c't-Datenschutz-Podcasts widmen sich Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich gemeinsam mit Professor Dr. Alexander Golland drei wichtigen Entscheidungen des Europäischen Gerichtshofs, alle drei aus dem laufenden Monat September. Golland, Professor für Wirtschaftsrecht an der FH Aachen, ordnet die teils verwirrenden Urteile ein und erklärt deren praktische Auswirkungen.

Prof. Alexander Golland zugeschaltet im c't-Podcast Auslegungssache

Im Mittelpunkt steht zunächst die Klage des französischen Abgeordneten Philippe Latombe gegen den Angemessenheitsbeschluss der EU-Kommission zum EU-US-Datentransfer, dem wiederum das EU-US Data Privacy Framework zugrunde liegt. Latombe wollte den Beschluss für nichtig erklären lassen. Das Europäische Gericht (EuG) wies die Klage ab, damit bleibt er als Rechtsgrundlage bestehen. Golland erläutert, warum das Gericht nur prüfte, ob die Kommission 2023 bei Erlass des Beschlusses korrekt handelte, nicht aber die heutige Situation unter veränderten politischen Vorzeichen bewertete.

Detailfragen bleiben offen

Besonders praxisrelevant ist das SRB-Urteil des EuGH zur Pseudonymisierung. Die zentrale Frage: Sind pseudonymisierte Daten für Empfänger, die selbst (ohne Dritte) keinen Personenbezug herstellen können, anonym, oder bleiben sie personenbezogen? Der EuGH bestätigt in dem Revisionsverfahren zwar den sogenannten "subjektiven Ansatz" – es kommt auf die Möglichkeiten des Empfängers an –, lässt aber entscheidende Detailfragen offen. Golland kritisiert die fehlende Rechtssicherheit: Unternehmen wissen weiterhin nicht genau, ob sie für solche Datenübermittlungen Auftragsverarbeitungsverträge benötigen. Die Richter machten wenig Vorgaben und verwiesen auf die Einzelfallprüfung. "Steine statt Brot", resümiert Professor Golland.

Fall drei dreht sich um den immateriellen Schadenersatz. Ein Bewerber hatte gegen die Quirin-Privatbank geklagt, weil sensible Angaben versehentlich an einen Dritten gingen. Der EuGH bestätigte: Auch Ärger oder Schamgefühle können ein Schaden im Sinne der DSGVO sein. Ein Nachweis bleibt aber schwierig. Beim Thema Unterlassung urteilten die Richter restriktiv: Einen originären Unterlassungsanspruch sieht die DSGVO nicht vor. Allerdings könne das nationale Recht solche Ansprüche zulassen, hierzulande beispielsweise über das Wettbewerbsrecht. Für die Praxis bedeutet das: Betroffene müssen künftig eher auf das allgemeine Persönlichkeitsrecht zurückgreifen.

Aufgrund einer "kritischen" Sicherheitslücke sind Attacken auf einige Firewalls des Herstellers WatchGuard vorstellbar. Auch wenn es dem Hersteller zufolge noch keine Hinweise auf Attacken gibt, empfiehlt er eine zügige Aktualisierung.

In einer Warnmeldung listet WatchGuard die verwundbaren Fireboxmodelle wie T15, T70 und M4800 auf. Der Beitrag liest sich so, als wären Instanzen nur verwundbar, wenn sie mit Mobile User VPN mit IKEv2 und Branch Office VPN mit IKEv2 und Dynamic Gateway Peer konfiguriert sind. Offensichtlich sind Geräte auch angreifbar, wenn es diese Konfiguration in der Vergangenheit mal gegeben hat, sie aber mittlerweile gelöscht wurde.

Ist das gegeben, können Angreifer der Beschreibung zufolge aus der Ferne und ohne Authentifizierung an der Schwachstelle (CVE-2025-9242 "kritisch") ansetzen. Das führe dann zu einem Speicherfehler (out-of-bounds) und Angreifer können Schadcode ausführen. Aufgrund der Einstufung der Lücke ist davon auszugehen, dass Systeme im Anschluss als vollständig kompromittiert gelten. Wie Angriffe im Detail ablaufen könnten, ist bislang nicht bekannt.

Um Attacken vorzubeugen, müssen Admins eine der reparierten Versionen von Fireware OS installieren:

Die Entwickler weisen darauf hin, dass der Support für Fireware OS 11.x ausgelaufen ist und der Versionsstrang keine Sicherheitspatches mehr bekommt. An dieser Stelle müssen Adins ein Upgrade auf eine noch unterstützte Ausgabe durchführen. Wenn Admins den Sicherheitspatch nicht umgehend installieren können, empfiehlt der Hersteller die Absicherung über eine temporäre Lösung.

Angreifer können Wide Area Networks (WAN) attackieren, die auf HPE Aruba Networking EdgeConnect SD-WAN fußen. Die Entwickler haben jüngst mehrere Sicherheitslücken geschlossen. Nach erfolgreichen Attacken können Angreifer unter anderem Sicherheitsbeschränkungen umgehen oder sogar Schadcode ausführen, um Systeme vollständig zu kompromittieren.

In einer Warnmeldung schreiben die Entwickler, dass sie insgesamt neun Softwareschwachstellen geschlossen haben. Davon ist der Großteil mit dem Bedrohungsgrad "hoch" eingestuft.

Aufgrund von Fehlern im Command-Line-Interface können etwa entfernte Angreifer an einer Lücke (CVE-2025-37123) ansetzen, um sich höhere Nutzerrechte anzueignen und im Anschluss eigenen Code mit Root-Rechten auszuführen. Dafür müssen sie aber bereits authentifiziert sein.

Für das erfolgreiche Ausnutzen einer weiteren Lücke (CVE-2025-37124) ist hingegen keine Authentifizierung nötig. An dieser Stelle können Angreifer auf einem nicht näher beschriebenen Weg Traffic am Firewallschutz vorbeischleusen.

Weiterhin ist das Ausführen von Befehlen auf Systemebene möglich (CVE-2025-37126). Fehler in der Kryptografie (CVE-2025-37127) führen dazu, dass Angreifer die Kontrolle über Systeme erlangen können.

Die Digital Crime Unit (DCU) von Microsoft hat eigenen Angaben zufolge einen Erfolg gegen Cyberkriminelle erzielt, die auf der Jagd nach Microsoft-365-Accounts sind. Dafür haben sie 338 mit dem Phishing-Trojaner RaccoonO365 im Zusammenhang stehende Websites aus dem Verkehr gezogen.

Wie aus einem Bericht zu der Aktion hervorgeht, ist dadurch ein großer Teil der Infrastruktur lahmgelegt und Angreifer haben so unter anderem keinen Zugriff mehr auf kompromittierte PCs von Opfern. Intern bezeichnet Microsoft den Trojaner als Storm-2246.

Erschreckend professionell: Cybercrime-Anwärter haben die Wahl aus verschiedenen Abo-Stufen inklusive Discounts und Support.

(Bild: Microsoft)

Die Basis der Kampagne ist der Schädling RaccoonO365. Dabei handelt es sich um ein Phishing-Kit, das Kriminelle mieten können. Das All-in-One-Paket erstellt unter anderem betrügerische Mails und Websites mit dem Branding von Microsoft, um Opfer aufs Glatteis zu führen und ihnen ihre Accountdaten zu entlocken. Problematisch dabei ist, dass dem Bericht zufolge selbst Anfänger mit der Bedienung klarkommen sollen, sodass der Cybercrime-Einstieg erschreckend niederschwellig ist.

Im April sorgten sie für große Aufmerksamkeit: Experten der israelischen IT-Sicherheitsfirma Oligo Security hatten massive Angriffsflächen in Apples lokalem Streamingprotokoll AirPlay entdeckt, mit dem sich diverse Geräte angreifen lassen – und zwar einfach nur dadurch, dass man sich im gleichen WLAN befindet. Während Apple die Probleme in iOS, macOS, iPadOS und seinen anderen Betriebssystemen (inklusive HomePod-Software) schnell behoben hat, kommen Hersteller AirPlay-fähiger Geräte vom Heim-Unterhaltungssystem bis zum Lautsprecher nur langsam mit dem Patchen hinterher.

Einige Produkte werden wohl nie abgedichtet. Dabei kaum beachtet wurde allerdings, dass auch CarPlay betroffen ist, dessen Wireless-Protokoll ebenfalls auf AirPlay basiert. Zwar hat Apple hier ebenfalls gepatcht, die Software steckt aber (auch) in der sogenannten Headunit in Autos – und genau dafür gibt es noch erstaunlich wenige Updates. Das beschreiben die Oligo-Security-Sicherheitsforscher Uri Katz, Avi Lumelsky und Gal Elbaz in einem Paper, das bereits in der vergangenen Woche erschienen war.

Die Methodik namens "Pwn My Ride" basiert auf dem Stack-Overflow-Fehler mit der CVE-ID 2025-24132. Er kann ausgenutzt werden, wenn ein Gerät mit dem Multimediasystem des Autos verbunden wird. Laufen verschiedene ältere SDKs (AirPlay Audio vor 2.7.1, AirPlay Video vor 3.6.0.126 und CarPlay Communication Plug-in vor R18.1) sind – je nach Fahrzeugmodell – sogar Zero-Click-Angriffe ohne Nutzerinteraktion möglich. Es ist das Erlangen von Root-Rechten möglich. Dies ist sowohl via WLAN als auch via Bluetooth möglich – letzteres muss dann allerdings aktiv sein. Unklar blieb zunächst, ob Angriffe auch kabelgebunden möglich sind, denn es gibt viele Fahrzeuge, die Wireless CarPlay nicht unterstützen. Die Forscher konzentrierten sich auf das Drahtlos-Szenario.

Mit dem Root-Zugriff auf das Unterhaltungssystem sind diverse Möglichkeiten verbunden – von der Manipulation des Systems über das Abgreifen von Daten bis zu Spionagemöglichkeiten. Der Angreifer muss sich dazu mit der CarPlay-Implementierung des Fahrzeugs beschäftigt haben, es gibt allerdings häufig verwendete Systeme. Bei der AirPlay-Lücke in Lautsprechern hatten die Oligo-Security-Forscher unter anderem gezeigt, wie sie auf deren gegebenenfalls vorhandenen Bildschirmen Schabernack treiben konnten – die Möglichkeiten sind breit. In einem Demonstrationsvideo zeigen die Forscher, wie sie nach Anmeldung auf dem WLAN-Hotspot des Autos ein "Hacked"-Bild auf dem Bildschirm des Unterhaltungssystems platzieren konnten. Dabei hilft das Auto den Angreifern, denn über das iAP2-Protokoll wird das WLAN-Passwort übertragen.

Um das Problem zu lösen, sind nun die Autohersteller gefragt. Es könnte, schätzen die Sicherheitsforscher, mehrere Millionen auf der Straße befindliche Fahrzeuge betreffen, die noch ungepatcht herumfahren. Oft sind Firmware-Updates zudem nicht Over-the-Air (OTA), sondern nur per USB-Stick und/oder auch nur in der Werkstatt möglich. Da die Zyklen oft unterschiedlich lang sind, kann dies eine kleine Ewigkeit dauern – wenn der Hersteller sich überhaupt darum kümmert.

224 betrügerische Android-Apps hat Google aus seinem Play Store entfernt. Sie waren insgesamt 38 Millionen Mal installiert, von Android-Nutzern in 228 Ländern, und lösten täglich 2,3 Milliarden betrügerische Werbeanzeigen aus, die nie jemand zu Gesicht bekam. Klassischer Werbebetrug, aber besonders gut versteckt. Dennoch aufgedeckt haben ihn Sicherheitsforscher der Firma Human. Sie nennen den Fall "SlopAds", in Anspielung an "AI Slop", was KI-generierte Medieninhalte geringer Qualität bezeichnet.

Die betrügerischen Anwendungen hatten meist KI-Bezug und enthielten, so wie sie im Play Store eingereicht und zum Download angeboten wurden, keine Malware-Funktion im engeren Sinne. Erst nach erfolgter Installation wurde eine verschlüsselte Konfiguration mittels Firebase Remote Config nachgeladen. Darin enthalten waren Hyperlinks: eine Liste über 300 betrügerischer Webseiten, die der Bereitstellung der fremden Reklame dienten; ein Link zum Download eines Javascripts, das den heimlichen Abruf der Reklame über Webview steuerte; und ein Link zu vier PNG-Bilddateien.

In diesen Bildern war, steganografisch, weiterer Code versteckt. Die Apps bauten daraus die eigentliche Schadroutine, die Human "FatModule" nennt. Diese Software prüfte zunächst, auf welchem Wege der Nutzer an die App gelangt war. Wurde sie mittels Suche im Play Store gefunden und installiert, arbeitete sie nur wie angepriesen, die Schadroutine wurde dann nie scharfgeschaltet.

Allerdings hatten die Werbebetrüger auch selbst Werbung geschaltet, nämlich für ihre Apps. Klickte ein Nutzer auf solche Reklame, landete auf diesem Weg in Googles Play Store und installierte die App, wurde deren Betrugsmodus aktiviert. Das sollte Sicherheitsforscher ausschließen, die sich eher im Play Store direkt bedienen, anstatt irgendwelche Reklame zu klicken.

Zusätzlich suchten die Apps nach Hinweisen auf mögliche Ausführung durch Sicherheitsforscher, etwa ein gerootetes Betriebssystem, einen Emulator oder Debugging-Werkzeuge. Nur wenn nichts dergleichen gefunden wurde, begannen die heimlichen Downloads von Werbung in einem versteckten Webview-Prozess. Selbst dann wurden die Abrufe über mehrere Weiterleitungen geschickt, um dem Werbeserver keine verdächtigen Referrer zu liefern.