heise security News

Ransomwaregruppe Killsec ausgehoben: Teenager als Hauptverdächtiger

2026-10-01T16:00:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Federführend bei „Operation Killswitch“ waren Hamburger Strafverfolger, es gab drei Festnahmen und acht Durchsuchungen.

„Operation Killswitch“ hat Warnbanner auf der Leaksite der „Killsec“-RaaS platziert.

(Bild: Europol)

18:00 Uhr

Lesezeit: 1 Min.

Security

Von

Dr. Christopher Kunz

Internationale Ermittler unter Leitung der Staatsanwaltschaft und des LKA Hamburg sind gegen eine Cybercrime-Gruppierung vorgegangen, die unter dem Alias „Killsec“ rund 1000 Angriffe weltweit verübt hat. Mindestens siebzig davon waren in Deutschland. Beim Schlag gegen die Gruppierung retteten die Ermittler 110 Terabyte Daten und durchsuchten acht Objekte in vier Ländern: Griechenland, Rumänien, Spanien und dem Vereinigten Königreich. Drei Verdächtige wurden vorläufig festgenommen. Unter den Tatverdächtigen befinden sich ein Sechzehn- und ein Achtzehnjähriger.

Killsec war seit etwa 2024 aktiv und betrieb ein typisches „Ransomware as a Service“-Geschäft. Über Sicherheitslücken, häufig in Cloudspeichern, drangen die Kriminellen in Unternehmensnetze ein, kopierten Daten und erpressten ihre Opfer mit einer Veröffentlichung („Hack and leak“). In einigen Fällen, so die Ermittler in ihrer Pressemitteilung, erbeuteten sie „erhebliche Lösegeldzahlungen“.

Videos by heise

Server beschlagnahmt, Leaksite defaced

Langfinger: Der Protagonist des KI-Videos zu „Operation Killswitch“ ist ein entfernter Cousin von E.T. mit allen Attributen des Klischeehackers – inklusive Sonnenbrille und Kapuzenpulli.

Neben den acht Hausdurchsuchungen beschlagnahmten die Ermittler verschiedene Gegenstände (darunter zwei Flipper Zero) sowie fünf Server zur Verwaltung des Ransomware-Programms und Speicherung der gestohlenen Daten. Typisch für Cybercrime-Razzien: Auf der Onion-Adresse der durch die Ermittler übernommenen Darknet Leak Site (DLS) findet sich nun ein Warnhinweis und auf einer eigens für die „Operation Killswitch“ eingerichteten Landeseite flimmert ein klischeebeladenes KI-Video über den Bildschirm.

(cku)

Top 10: Speicher für das Balkonkraftwerk im Test

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

Windows-Einstellungsbackup wird Standardoption in Windows 11 26H2

2026-10-01T12:25:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Microsoft will Windows widerstandsfähiger machen. Ab Windows 11 26H2 ist das Einstellungsbackup daher standardmäßig aktiv.

(Bild: mundissima / Shutterstock.com)

14:25 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

Microsoft macht das Einstellungsbackup in Windows (Windows Settings Backup and Restore) nun schrittweise auf kompatiblen Rechnern verfügbar und aktiviert es auch standardmäßig. Die Funktion stand zuvor in Windows-Insider-Builds zum Test bereit und hieß dort noch „Windows Backup for Organizations“.

Im Message-Center der Windows-Release-Health-Notizen erklärt Microsoft, dass mit dem seit Mittwoch dieser Woche verfügbaren Windows 11 26H2 die Richtlinie für das Windows-Einstellungsbackup standardmäßig auf infrage kommenden Geräten aktiv ist. Sie werde nur angewendet, wenn Admins sie zuvor nicht konfiguriert haben – Microsoft respektiere also bestehende explizit aktivierte oder deaktivierte Einstellungen. Das Verhalten bei Wiederherstellung bleibe unverändert und unter Kontrolle der Admins: Sie ist weiterhin standardmäßig deaktiviert und muss explizit konfiguriert werden.

Windows-Einstellungsbackup: Vielfältige Verwaltbarkeit

Microsoft versucht, IT-Verantwortlichen die Funktion schmackhaft zu machen: Diese Aktualisierung mache das Einstellungsbackup zum Bestandteil der grundlegenden Resilienz. Sollte ein Rechner von Nutzern mal eine Wiederherstellung benötigen, müssten Admins nicht mehr raten, ob es ein Backup der Windows-Einstellungen gebe. Durch die standardmäßige Aktivierung steige die Wahrscheinlichkeit, dass die Einstellungen und die Anwendungsliste der aus dem Microsoft Store installierten Apps verfügbar und zur Wiederherstellung zu nutzen sind, etwa nach einem Rechner-Reset, -Austausch oder einer Neuinstallation.

Die Einstellungen des Windows-Einstellungsbackups können Admins etwa mit Intune, Gruppenrichtlinien oder anderer MDM-Software (Mobile Device Management) verwalten. Microsoft geht auf Details in einem Blogbeitrag des Windows-IT-Pro-Blogs ein. So schreiben die Entwickler dort, dass die Funktion in Ländern unter der Regelung des Digital Markets Act (DMA) der EU standardmäßig nicht automatisch aktiviert wird. Das unterbleibt ebenfalls in souveränen oder beschränkten Cloud-Umgebungen. Die Funktion selbst steht dort aber bereit: Admins können die Backup-Richtlinie weiterhin manuell aktivieren.

Videos by heise

Mitte 2025 brachte Microsoft „Windows Backup for Organizations“ in eine begrenzte Vorschau für Unternehmenskunden von Windows. Dort empfahl Microsoft es insbesondere für den Umzug von einem PC zum anderen, etwa von Windows 10 auf Windows 11.

(dmk)

Top 10: Speicher für das Balkonkraftwerk im Test

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

Reverse-Proxy fürs Homelab: Pangolin 1.24 bringt Selbstbau-VPN

2026-10-01T11:15:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Pangolin erleichtert als Reverse-Proxy die sichere Internet-Freigabe von Diensten. Nun können Admins ihr Heimnetz als VPN-Endpunkt nutzen.

(Bild: gemeinfrei)

13:15 Uhr

Lesezeit: 3 Min.

Security

Von

Dr. Christopher Kunz

Pangolin startete als Reverse-Proxy zur sicheren Bereitstellung von (Web-)Diensten etwa aus Docker-Containern und von Homeserver. Mittlerweile entwickelt sich das Projekt zum Tausendsassa, haben die Entwickler doch Zug um Zug neue Funktionen eingebaut. Authentifizierung per Benutzername, Passkey oder per OpenID ist schon lange an Bord, nun gibt es „Exit Nodes“. Mit ihnen können Admins im Homelab und Unternehmen Pangolin als VPN-Gateway nutzen und nicht nur den Zugriff auf interne Ressourcen, sondern auch ins Internet ermöglichen.

Damit tritt Pangolin in Konkurrenz zu Werkzeugen wie Tailscale oder auch dem in Router-Betriebssystemen wie FritzOS eingebauten Wireguard-VPN. Für sicherheitsbewusste Heimlabor-Betreiber bietet Pangolin erhöhte Bequemlichkeit und vereint Netzwerk-, Benutzer- und Ressourcenverwaltung in einer grafischen Oberfläche.

Pangolin installiert man üblicherweise auf einer kleinen bei einem Cloud-Provider betriebenen VM. Dort werden per Wireguard-Tunnel die sogenannten „Sites“ angebunden, also etwa das heimatliche NAS oder im Unternehmenskontext einzelne Firmenstandorte. Eine Kernfunktion des Werkzeugs ist der Reverse Proxy: Administratoren legen für jede Site Dienste an, die Pangolin als Proxy im Internet oder in seinem internen Netzwerk bereitstellt. Homelab-typisch könnte das eine Nextcloud-oder Home-Assistant-Instanz sein, im Unternehmen etwa ein Extranet oder Abteilungsserver.

VPN mit mehreren Standorten

Nutzer installieren auf ihren Endgeräten den Pangolin-Client, der für die wichtigen mobilen und Desktop-Betriebssysteme erhältlich ist. Nach der Anmeldung können sie auf alle Ressourcen zugreifen, auch wenn diese nur im durch Pangolin aufgespannten Netzwerk erreichbar sind. Die Exit Nodes kommen nun neu als Dienst hinzu und ermöglichen, den Datenverkehr der Clients über die Sites umzuleiten – jede Site kann so zu einem VPN-Gateway werden. Das nicht nur für den Zugriff aufs Smart-Home aus dem Urlaub praktisch, sondern auch beim Aufenthalt in unsicheren Internet-Umgebungen oder zur vorübergehenden Umgehung von Geosperren.

Pangolin-Client unter iOS mit Exit-Node-Einstellungen

(Bild: Screenshot / Montage: heise medien)

Bietet ein Pangolin-Netz Exit Nodes, ähnelt die grafische Oberfläche des Clients der eines kommerziellen VPN-Anbieters: Mit einem Klick wählt der Nutzer den gewünschten Exit Node aus und aller Datenverkehr des Geräts wird fortan über diesen umgeleitet.

Videos by heise

Hinter Pangolin steht das Start-Up Fossorial aus New York. Die Entwickler rüsten des Öfteren wichtige neue Funktionen mit kurzem Vorlauf nach. Erst vor wenigen Wochen ermöglichten sie Homelab-Betreibern mit Version 1.23, einen hochverfügbaren lastverteilten Cluster aus mehreren Pangolin-Instanzen zu erstellen; diese Funktion war zuvor zahlenden Kunden vorbehalten. Die können Pangolin über den vom Hersteller betriebenen Cloud-Dienst nutzen oder selbst betreiben.

(cku)

Top 10: Speicher für das Balkonkraftwerk im Test

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

TeamViewer-Codeschmuggel-Lücke verpasst nur knapp kritische Einstufung

2026-10-01T08:58:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

TeamViewer hat aktualisierte Pakete veröffentlicht, die hochriskante Sicherheitslecks stopfen. Admins sollten sie zügig installieren.

(Bild: II.studio/Shutterstock.com)

10:58 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

In der Fernwartungssoftware von TeamViewer klaffen Sicherheitslücken, die Angreifer etwa zum Einschleusen von schädlichem Programmcode oder zum Ausweiten ihrer Rechte in anfälligen Systemen missbrauchen können. Der Hersteller liefert dagegen Softwareupdates aus. Da die Lücken als hohes Risiko eingestuft sind, sollten Admins mit der Aktualisierung nicht lange zögern.

TeamViewer warnt in einer eigenen Sicherheitsmitteilung vor den Schwachstellen in der Fernwartungssoftware. Insgesamt fünf Lücken stopfen die Entwickler, die gravierendste davon verpasst die Einstufung als „kritisches“ Risiko nur sehr knapp. Es handelt sich dabei um unzureichende Zugriffskontrollen im Host, Full Client und davon abgeleiteten Modulen unter Linux, macOS und Windows. Authentifizierte Angreifer aus dem Netz können sie missbrauchen, um eigentlich unzulässige Funktionen zu nutzen und dadurch unbefugt Aktionen zu starten und sogar eingeschleusten Code auszuführen (CVE-2026-92370, CVSS 8.8, Risiko „hoch“).

Außerdem haben die Programmierer folgende Sicherheitslücken in der Software ausgebessert:

Improper Limitation of a Pathname to a Restricted Directory (Path Traversal) in TeamViewer Desktop Clients (CVE-2026-19743, CVSS 7.8, Risiko „hoch“)
Heap-Based Buffer Overflow in TeamViewer Session Recording Playback Leads to Remote Code Execution (CVE-2026-92368, CVSS 7.8, Risiko „hoch“)
Time-of-check Time-of-use (TOCTOU) Race Condition in TeamViewer Windows Installer Rollback Mechanism Leads to Local Privilege Escalation (CVE-2026-92369, CVSS 7.3, Risiko „hoch“)
Local Privilege Escalation via Improper Link Resolution in Cloud Session Recording (CVE-2026-92371, CVSS 7.0, Risiko „hoch“)

TeamViewer: Aktualisierte Software

Da die Software auf allen Plattformen betroffen ist, hat TeamViewer auch für alle aktualisierte Pakete veröffentlicht. Die Entwickler empfehlen die Aktualisierung auf TeamViewer Full Client (Linux, macOS, Windows) 15.82 und TeamViewer Host (Linux, macOS, Windows) 15.82 oder neuer. Außerdem stellt der Hersteller für mehrere ältere Softwareentwicklungszweige Aktualisierungen bereit und verlinkt die Downloads in der Sicherheitsmitteilung. Full Client und Host der Zweige 14.7 und 13.2 stehen für Linux, macOS und Windows bereit, die Fassung 15.64 nur für Windows 7 und 8.

Videos by heise

Ende August hatte TeamViewer zuletzt Sicherheitslücken in der Fernwartungssoftware geschlossen. Auch die Schwachstellen galten als hochriskant und ermöglichten Angreifern, bösartigen Code aus dem Netz einzuschleusen und auszuführen.

(dmk)

Top 10: Speicher für das Balkonkraftwerk im Test

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

Treiber-Lücken gefährden Linux- und Windows-PCs mit Nvidia-GPU

2026-10-01T08:47:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Zahlreiche Sicherheitslücken in GPU-Treibern von Nvidia machen Linux- und Windows-Computer angreifbar. Patches sind verfügbar.

(Bild: Tatiana Popova/Shutterstock.com)

Update 10:47 Uhr

Lesezeit: 2 Min.

Security

Von

Dennis Schirrmacher

Weil Grafikkartentreiber von Nvidia mehrere Schwachstellen aufweisen, können Angreifer Linux- und Windows-Systeme im schlimmsten Fall mit Schadcode attackieren. Dagegen abgesicherte Treiber stehen zum Download bereit.

Verschiedene Gefahren

Aus der vorliegenden Warnmeldung geht nicht hervor, dass Angreifer die Lücken bereits ausnutzen. Viele der beschriebenen Angriffe setzen lokalen Zugriff und zumindest einfache Nutzerrechte voraus. Das mindert die möglichen Folgen einer erfolgreichen Attacke nicht, ist für die Einschätzung der Gefahr aber wichtig.

Die Entwickler geben an, insgesamt 114 Schwachstellen geschlossen zu haben. Die Lücken betreffen nicht nur GPU-Treiber, sondern mit 16 Schwachstellen auch die vGPU-Software. Eine Lücke (CVE-2026-47574) in dieser Software ist von Nvidia als „kritisch“ eingestuft. Ist eine Attacke erfolgreich, können Angreifer unter anderem Schadcode ausführen oder sich höhere Nutzerrechte verschaffen.

Update 01.10.2026, 12:04 Uhr

Bei der Bewertung dieser Lücke gibt es aber eine Diskrepanz: In der Tabelle in Nvidias Warnmeldung ist sie als „kritisch“ eingestuft, während der CVE-Datensatz den Bedrohungsgrad „hoch“ nennt.

Der Großteil der übrigen Lücken ist als „hoch“ eingestuft. Auch hier sind je nach Schwachstelle Codeausführung, das Ausspähen oder Verändern von Daten sowie Denial-of-Service-Attacken möglich. Letztere können etwa dazu führen, dass ein betroffener Dienst oder das System nicht mehr verfügbar ist.

Videos by heise

Reparierte Treiber

Nvidia nennt je nach Produkt, Betriebssystem und Treiberzweig unterschiedliche aktualisierte Versionen. Nutzer sollten daher zuerst prüfen, welcher Treiber auf ihrem System installiert ist, und anschließend die für genau diesen Zweig und ihr Produkt vorgesehene Version installieren.

GeForce
Windows 616.56
Windows 610.88
Windows 582.78
Linux 615.71.09
Linux 610.57.04
Linux 595.91.07
Linux 580.178.04
Nvidia RTX PRO, RTX, Quadro
Windows 616.92
Windows 610.88
Windows 596.86
Windows 582.78
Linux 615.71.09
Linux 610.57.04
Linux 595.91.07
Linux 580.178.04

Tesla
Windows 616.92
Windows 610.88
Windows 596.86
Windows 582.78
Linux 615.71.09
Linux 610.57.04
Linux 595.91.07
Linux 580.178.04

vGPU-Software
20.2
19.6

(des)

Top 10: Speicher für das Balkonkraftwerk im Test

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

Attacken auf IT-Verwaltungsplattform HPE OneView möglich

2026-10-01T08:06:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Drei Sicherheitslücken gefährden HPE OneView und HPE Synergy Composer. Eine reparierte Version steht zum Download bereit.

(Bild: Photon photo/Shutterstock.com)

10:06 Uhr

Lesezeit: 2 Min.

Security

Von

Dennis Schirrmacher

Administratoren, die Server, Speicher und Netzwerkinfrastruktur mit HPE OneView verwalten, sollten ihre Installationen prüfen und zeitnah aktualisieren. Über die Software lassen sich zentrale Aufgaben im Rechenzentrum steuern und automatisieren. Der HPE Synergy Composer ist eine Management-Appliance für Synergy-Systeme, auf der OneView läuft. HPE nennt sowohl eigenständige OneView-Installationen als auch den Composer als betroffen.

Die Gefahren

In einer Warnmeldung führen die Entwickler auf, dass zwei Lücken (CVE-2026-76718, CVE-2026-76719) mit dem Bedrohungsgrad „hoch“ eingestuft sind. Für die dritte Lücke (CVE-2026-76720) gilt „mittel“. In allen drei Fällen muss ein Angreifer nicht authentifiziert sein.

In den ersten beiden Fällen können Angreifer im Zuge einer XSS-Attacke Schadcode im Browser eines Nutzers ausführen. Wie ein solcher Angriff im Detail ablaufen könnte, ist bislang unklar. Ob es sich um Stored- oder Reflected-XSS-Lücken handelt, geht aus der knappen Beschreibung nicht hervor. Stored XSS ist besonders gefährlich, weil der eingeschleuste Code gespeichert bleibt und beim Aufruf der betroffenen Seite auch mehreren Nutzern angezeigt wird – ohne, dass Angreifer jedem Opfer eigens einen präparierten Link schicken müssen.

Videos by heise

Bei der dritten Lücke kommt es nach einer erfolgreichen Attacke zu einer URL-Weiterleitung. Angreifer könnten Nutzer damit auf eine andere Webseite lotsen, beispielsweise im Rahmen eines Phishing-Versuchs.

Version prüfen und aktualisieren

Die Entwickler versichern, die Sicherheitsprobleme in HPE OneView v11.40 gelöst zu haben. Alle vorigen Ausgaben sollen verwundbar sein. Für Synergy-Umgebungen führt HPE ebenfalls ein Composer-Release mit OneView 11.4. Wer neben einem Composer eine eigenständige OneView-Appliance betreibt, sollte den Versionsstand beider Installationen prüfen.

HPE OneView ist für Cyberkriminelle ein interessantes Ziel. Zuletzt haben Anfang dieses Jahres bösartige Akteure bekanntermaßen Schwachstellen in dem Netzwerkverwaltungssystem attackiert.

(des)

Top 10: Speicher für das Balkonkraftwerk im Test

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

WatchGuard schließt teils kritische Lücken in Fireware OS

2026-10-01T07:24:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

WatchGuard schließt im Fireware OS ein gutes Dutzend Sicherheitslücken. Die sind teils kritisch und erlauben etwa Codeschmuggel.

(Bild: Shutterstock/chanpipat)

09:24 Uhr

Lesezeit: 3 Min.

Security

Von

Dirk Knop

Das Betriebssystem Fireware OS von WatchGuard weist Sicherheitslücken auf, die Angreifern aus dem Netz unter anderem das Einschleusen und Ausführen von Schadcode oder Denial-of-Service-Attacken ermöglichen. Sie gelten zum größten Teil als hochriskant und in einem Fall sogar als kritisch. IT-Verantwortliche sollten zügig handeln.

Längere Sicherheitslücken-Liste

Die Liste der Schwachstellen zieht sich etwas in die Länge. Dem Schweregrad nach sortiert:

Fireware OS Code Injection in BOVPN Over TLS Client Allows Remote Code Execution (CVE-2026-86131, CVSS4 9.2, Risiko „kritisch“)
Fireware OS Pre-Authentication NULL Pointer Dereference Allows Remote Denial of Service (CVE-2026-86134, CVSS4 8.7, Risiko „hoch“)
Fireware OS Resource Exhaustion in Login Process Allows Denial of Service (CVE-2026-86104, CVSS4 8.7, Risiko „hoch“)
Fireware OS Pre-Authentication Stack Buffer Overflow in fingerd Allows Remote Code Execution (CVE-2026-81433, CVSS4 8.7, Risiko „hoch“)
Fireware OS Stack-based Buffer Overflow in spamd Allows Remote Code Execution (CVE-2026-18145, CVSS4 8.6, Risiko „hoch“)
Fireware OS Pre-Authentication Integer Underflow in iked Allows Remote Denial of Service (CVE-2026-86133, CVSS4 8.2, Risiko „hoch“)
Fireware OS Pre-Authentication Integer Underflow in iked Allows Denial of Service (CVE-2026-86132, CVSS4 8.2, Risiko „hoch“)
Fireware OS Path Traversal in WebUI Management Agent Allows Arbitrary Local File Read (CVE-2026-13224, CVSS4 8.2, Risiko „hoch“)
Fireware OS NULL Pointer Dereference in NetFlow IPv6 Traffic Processing Allows Remote Denial of Service (CVE-2026-86128, CVSS4 8.2, Risiko „hoch“)
Fireware OS Deserialization of Untrusted Data in samld Allows Remote Code Execution (CVE-2026-13046, CVSS4 7.5, Risiko „hoch“)
Fireware OS Authorization Bypass in SAML Login Allows Unauthorized SSLVPN Access (CVE-2026-86101, CVSS4 7.2, Risiko „hoch“)
Fireware OS Missing Authorization in wgagent Management API Allows Denial of Service - Variant B (CVE-2026-90441, CVSS4 7.1, Risiko „hoch“)
Fireware OS Missing Authorization in wgagent Management API Allows Denial of Service - Variant A (CVE-2026-86136, CVSS 7.1, Risiko „hoch“)
Fireware OS Uncontrolled Resource Consumption in Diagnostic Tasks Allows Denial of Service (CVE-2026-18105, CVSS4 7.1, Risiko „hoch“)
Fireware OS Improper Authorization in Access Portal Reverse Proxy (CVE-2026-86105, CVSS4 5.3, Risiko „mittel“)

Zu allen aufgelisteten Sicherheitslücken schreibt WatchGuard, dass das Unternehmen keine Hinweise auf aktiven Missbrauch in freier Wildbahn hat. Dennoch sollten Admins die aktualisierte Software zügig herunterladen und installieren. WatchGuard nennt die Versionen Fireware OS 2026.3.2, 2026.2.3, 12.12.3, 12.11.10 und 12.5.21 sowie jeweils neuere, die die sicherheitsrelevanten Fehler nicht mehr enthalten sollen.

Videos by heise

Erst am Anfang der Woche wurden Sicherheitslücken in den Access-Points von WatchGuard bekannt. Sie ermöglichen etwa das Einschleusen von Befehlen oder das Umgehen der Authentifizierung. Auch diese galten teils als kritisch.

(dmk)

Top 10: Speicher für das Balkonkraftwerk im Test

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

Razzia gegen „Hater-Community“ nach Hetzjagd auf 44-Jährigen

2026-10-01T05:06:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Eine Gruppe soll gezielt einen Mann im Netz und im echten Leben attackiert haben. Ermittler durchsuchten 15 Wohnungen in sieben Bundesländern.

(Bild: Pradeep Thomas Thundiyil/Shutterstock.com)

07:06 Uhr

Lesezeit: 2 Min.

Von

Wegen einer konzertierten Hetzkampagne gegen einen 44 Jahre alten Mann aus Karlsruhe sind Ermittler bundesweit gegen 15 mutmaßliche Mitglieder einer „Hater-Community“ vorgegangen. In sieben Bundesländern seien 15 Wohnungen durchsucht worden, teilten Polizei und Staatsanwaltschaft mit. Dabei seien neben einer größeren Cannabis-Indoor-Plantage umfangreiche Datenträger sichergestellt worden. Durchsucht wurde in Baden-Württemberg, Bayern, Rheinland-Pfalz, Hessen, Niedersachsen, Nordrhein-Westfalen und Mecklenburg-Vorpommern.

Hetzjagd auf Mann im echten Leben und im Netz

Die Verdächtigen sollen dem Mann, der laut den Behörden in sozialen Medien mit teilweise „stark polarisierenden Inhalten“ auftritt, in vielfacher Weise zugesetzt haben: Unter anderem werden ihnen Nötigung und Bedrohung, Diebstahl, Sachbeschädigung und üble Nachrede vorgeworfen. So hätten sie etwa das Wohnhaus des 44-Jährigen und Gräber seiner Familienangehörigen beschädigt.

Zudem hätten sie im Namen ihres Opfers eine Vielzahl von E-Mails mit beleidigenden oder bedrohlichen Inhalten verschickt, die an Politiker, Gedenkstätten, Einzelhandelsunternehmen oder auch Bildungseinrichtungen gingen. Diese Mails hätten teils auch volksverhetzende und rechtsradikale Inhalte gehabt. Dadurch seien Strafanzeigen und Ermittlungen gegen den 44-Jährigen ausgelöst worden.

Videos by heise

Zahlreiche Straftaten im Namen des Opfers

Die zwischen 22 und 49 Jahre alten Verdächtigen sollen so zwischen März 2023 und September 2026 zahlreiche Straftaten begangen und diese dem 44-Jährigen angelastet haben. Die Aktionen der Gruppe hätten erhebliche Auswirkungen auf den Mann gehabt.

Der Betroffene veröffentlicht vor allem auf YouTube bis zu 80 Minuten lange Livestreams, wie ein Sprecher der Anklagebehörde sagte. Darin bezeichne er sich als „Entertainer“ und beschäftige sich vor allem „mit Selbstdarstellungen und Erzählungen aus seinem Alltag“, aber auch mit Politik und gesellschaftlichen Themen in „stark eigenwilliger Form“.

Die Ermittlungen kamen demzufolge im Januar 2024 in Gang. Internetnutzer hatten sich den Angaben zufolge in der losen und über das Internet kommunizierenden „Hater-Community“ zusammengeschlossen. Dort hatten sie Aktionen gegen den 44-Jährigen abgestimmt und vorbereitet, wie es weiter hieß. Teile der Gruppierung nennen sich den Behörden zufolge „Freikreuzzug“ (FKZ).

(dmk)

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

Top 10: Der beste Fensterputzroboter im Test

Googles Gemini 4 Argon legt Fokus auf Cybersicherheit

2026-09-30T22:25:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Google stellt Gemini 4 Argon für IT-Sicherheit und Enterprise-Workflows vor, doch die Benchmarks zeigen Lücken gegenüber GPT-6 Astra und Claude Sonnet 5.5.

(Bild: Google)

00:25 Uhr

Lesezeit: 5 Min.

Von

Dr. Volker Zota

Googles neues Spitzenmodell im Bereich künstliche Intelligenz heißt Gemini 4 Argon. Es soll insbesondere in komplexen Enterprise-Workflows, bei der Rechts- und Finanzanalyse sowie IT-Sicherheit punkten. Wie im offiziellen Blogbeitrag des Konzerns betont wird, bietet das Modell ein von 64.000 auf eine Million Token angehobenes Output-Limit und soll tiefgreifendes Schlussfolgern über lange, mehrstufige Prozesse hinweg ermöglichen. Zunächst erhalten nur ausgewählte Cyber-Verteidiger über das Fairwind-Programm Zugriff, später sollen zahlende API-Kunden und Abonnenten von Google AI Ultra folgen.

Benchmarks: Betont wird, was gut aussieht

Google setzt Argon nach eigenen Angaben bereits intern ein und nennt drei Beispiele, die sich bislang nicht unabhängig überprüfen lassen. Bei der Optimierung von Quantenalgorithmen habe das Modell den Ressourcenbedarf (Qubits × Gatter) eines Unterprogramms innerhalb weniger Minuten um 40 Prozent unter den veröffentlichten Referenzwert gedrückt. In den Rechenzentren hätten Argon-Agenten anhand von Profiling-Daten eigenständig Speicheroptimierungen identifiziert und umgesetzt, die nach dem Rollout über 300 TByte Arbeitsspeicher freisetzen sollen. Insgesamt schätzt Google die Einsparung auf 500 TByte bis 1 PByte.

Außerdem sollen Argon-Agenten C/C++-Code nach Rust portieren, von Bibliotheken wie re2 und libgav1 mit einigen zehntausend Zeilen bis zum Zircon-Kernel des Betriebssystems Fuchsia mit mehr als 800.000 Zeilen. Wegen der Bedeutung vieler dieser Systeme durchlaufen die Umschreibungen laut Google automatisierte und manuelle Prüfungen sowie Emulationstests, bevor sie produktiv eingesetzt werden. Beim Video-Decoder libgav1 ersetzten die Agenten in einer bestehenden Rust-Portierung 32.000 Zeilen SIMD-Code durch sicheren Rust-Code, den der Compiler selbst vektorisiert. Das Ergebnis sei ein speichersicherer Decoder mit identischer Videoausgabe, der 2,7-mal schneller läuft als die bisherige Rust-Portierung und damit näher an die optimierte C++-Variante heranrückt.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Inhalt geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

Wie bei KI-Modellankündigungen üblich, legt Google den Schwerpunkt auf jene Tests, in denen das eigene Modell vorn liegt. Im Blogbeitrag stehen vor allem zwei Werte im Vordergrund: DeepSWE v1.1 (langfristige Softwareentwicklung): 77,9 Prozent, laut Google ein neuer Bestwert. Auch beim Vals Index (wirtschaftlicher Nutzen in Finanzen, Recht, Steuern und Coding) liegt Argon demnach mit 68,9 Prozent auf dem ersten Platz, ebenso beim AutomationBench von Zapier (51,3 Prozent), beim Videoverständnis-Benchmark LVBench (91,7 Prozent) und beim Schwachstellen-Patching laut CWE-bench v1 (68 Prozent).

Laut Googles Vergleichstabelle erreicht GPT-6 Astra bei letzterem indes ebenfalls 68 Prozent. Nicht im Text erwähnt Google dagegen Tests, bei denen Argon nicht führt: FrontierSWE v2 (55,0 gegenüber 65,5 Prozent bei GPT-6 Astra), Terminal-Bench Science 0.1 (57,6 gegenüber 68,1 Prozent bei GPT-6 Astra), OSWorld-2.0 (69,2 gegenüber 72,6 Prozent bei GPT-6 Astra) und PostTrainBench (45,3 gegenüber 49,3 Prozent bei Claude Opus 5.5).

Videos by heise

Terminal-Bench 4.0: Argon hat Nachsehen

Besonders deutlich wird die selektive Darstellung beim Terminal-Bench 4.0 für agentisches Programmieren im Terminal. Mit 57,4 Prozent landet Argon hinter allen Konkurrenten aus Googles eigener Tabelle. Nimmt man das in Googles Tabelle fehlende Claude Sonnet 5.5 mit der Angabe von Anthropic hinzu, ergibt sich folgendes Bild:

Rang	Modell	Terminal-Bench 4.0
1	Claude Sonnet 5.5	70,6 %
2	Claude Opus 5.5	66,4 %
3	GPT-6 Astra	58,2 %
4	Claude Fable 5.1	57,9 %
5	Gemini 4 Argon	57,4 %

Sonnet 5.5 schlägt Argon um mehr als 13 Punkte, und das bei identischen Tokenpreisen von zwei und zehn US-Dollar pro Million Input- beziehungsweise Output-Token. Die Abstände zu GPT-6 Astra und Fable 5.1 sind dagegen minimal. Dass Argon in dieser Disziplin das Nachsehen hat, überrascht umso mehr, als Google andererseits betont, dass „Tausende Mitarbeiter die Stärken des Modells bei speziellen Programmieraufgaben hervorheben“.

Cybersicherheit als Kernargument

Einen Schwerpunkt legt Google auf defensive IT-Sicherheit: Argon soll kritische Schwachstellen autonom finden, validieren und patchen. Für autorisierte Sicherheitsexperten und Googles interne Teams steht das Modell ohne Cyber-Guardrails bereit. Erst kürzlich hat allerdings eine Fehlkonfiguration bei einem Cybersicherheitstest gezeigt, dass Gemini bei versehentlich offenem Internetzugang auf reale Firmensysteme zugreifen kann. Der Ansatz knüpft an Googles jüngste Veröffentlichungen an: Bereits Anfang September hat der Konzern mit Gemini 3.8 Flash Cyber ein spezialisiertes Modell für die Schwachstellenbehebung vorgestellt.

Auch bei den Echtzeit-Sprachmodellen für Sprachassistenten treibt Google die Multimodalität voran, etwa indem der Konzern seine Sprachagenten kürzlich mit animierten Avataren ausgestattet hat. Die Funktion Live Avatar steht vorerst nur Enterprise-Kunden zur Verfügung. Bevor Argon breit verfügbar ist, will Google noch Schutzmaßnahmen gegen Cyber- und CBRN-Missbrauch, indirekte Prompt-Injection-Angriffe, Fehlausrichtungen (Misalignment) und unsichere Agentenumgebungen verstärken.

Gemini 4 Argon hat einen Einführungspreis von zwei US-Dollar pro Million Input-Token und zehn US-Dollar pro Million Output-Token. Gecachte Input-Token kosten 95 Prozent weniger.

Lesen Sie auch

Der Universalbote für Admins: Apprise 2.0

Appwrite 2.3: Dev-Keys entfallen, Migration nötig

Wie sich Kubernetes-Cluster per CAPI verwalten lassen

Google warnt: KI-Agenten im Smart Home können sich unerwünscht verhalten

KI-Modelle aus China im Test: So gut sind die Alternativen zu ChatGPT und Claude

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

Top 10: Der beste Fensterputzroboter im Test

Stadt Wien entdeckt Einbruch in Online-Speicher

2026-09-30T20:19:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Unbefugte haben Dokumente der Stadt Wien heruntergeladen. Weil die Schwachstelle zum Kauf angeboten wurde, ist das aufgeflogen.

Das Neue Rathaus der Stadt Wien wurde unter Franz Joseph I. von 1872 bis 1883 errichtet. Architekt war Friedrich Schmidt, Enkel des hannoverischen Hofbaumeisters Heinrich Schmidt.

(Bild: Daniel AJ Sokolov)

30.09.2026, 22:19 Uhr

Lesezeit: 2 Min.

Von

Daniel AJ Sokolov

Der Magistrat der Stadt Wien meldet, „dass ein Angreifer zwischen 3. September und 11. September 2026 über einen Webzugang auf Teile einer internen Dokumentationsplattform des Magistrats Zugriff hatte und dort gespeicherte magistratsinterne Informationen (insbesondere Testdaten, Schulungsunterlagen, Projektdokumentationen) widerrechtlich kopiert“ hat. Insgesamt wurden rund 26.000 Dokumente mit einem Gesamtvolumen von etwa neun Gigabyte widerrechtlich heruntergeladen.

Davon sind auch personenbezogene Daten erfasst, auch solche in rechtlich besonders geschützten, sensiblen Kategorien. Betroffen sind den Angaben zu Folge 2.885 Bürger, 2.083 Mitarbeiter sowie 865 Auftragnehmer des Magistrats. Sie alle sollen binnen Wochenfrist direkt verständigt werden.

Schwachstelle zum Kauf angeboten

Aufgeflogen ist die Sache, weil dem österreichischen Computer Emergency Response Team (CERT.at) ein Angebot in einem Onlineforum aufgefallen ist. Dort wurde eine Schwachstelle in einem Webzugang zur Dokumentationsplattform der Stadt Wien zum Kauf feilgeboten. Das CERT informierte den Magistrat am 9. September, der sein internes WienCERT und die IT-Abteilung aktivierte. CERT.at wird von der österreichischen Domainregistry nic.at getragen.

„In enger Zusammenarbeit“ mit dem österreichischen Geheimdienste DSN (Direktion Staatsschutz und Nachrichtendienst) wurde die Sicherheitslücke identifiziert und laut den Angaben geschlossen. Wien ist Hauptstadt und zugleich eines der neun Bundesländer der Republik Österreich.

Videos by heise

„Der Angreifer hatte zu keinem Zeitpunkt Kontrolle über IT-Systeme oder Benutzerkonten der Stadt Wien”, versichert Klemens Himpele, Chief Information Officer der Bundeshauptstadt. „Das heißt, die nunmehr bereinigte Schwachstelle ermöglichte ausschließlich den Zugriff auf bestimmte Inhalte dieser Dokumentationsplattform. Allen ermittelnden Stellen liegen aktuell keine Hinweise auf eine Veröffentlichung der Daten vor.“ Die Meldungen gemäß NIS-Gesetz und an die Datenschutzbehörde seien am 10. respektive 15. September erfolgt. Das schärfere NIS2-Gesetz tritt in Österreich am Donnerstag in Kraft.

„Mein Dank geht auch an die ermittelnden Behörden für die reibungslose und ausgezeichnete Zusammenarbeit“, fügt Himpele hinzu. Die in Wien oppositionelle Volkspartei fordert Evaluierung und, wo notwendig, Verstärkung der Sicherheitsmaßnahmen.

Lesen Sie auch

Umweltprüfung für Rechenzentren, Erlaubnis von CO2-Speicherung in Österreich

Wiener Spitäler brauchen neue Fax-Anlage

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

Top 10: Der beste Fensterputzroboter im Test

Jetzt patchen: Angreifer umgehen Anmeldung bei Cisco Catalyst SD-WAN Manager

2026-09-30T14:23:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Cyberkriminelle nützen eine Lücke im Anmeldesystem für Admin-Privilegien aus. Admins sollten die Geräte patchen und weitere Maßnahmen ergreifen.

(Bild: Sundry Photography/Shutterstock.com)

30.09.2026, 16:23 Uhr

Lesezeit: 2 Min.

Security

Von

Dr. Christopher Kunz

Eine Schwachstelle in der Anmeldelogik des Cisco Catalyst SD-WAN Manager erlaubt Angreifern, auf verwundbare Systeme aus der Ferne mit Admin-Privilegien zuzugreifen. Mit diesen Rechten können sie die Geräte über die integrierte API fernsteuern.

Die Lücke mit der CVE-Kennung CVE-2026-76504 erreicht einen CVSS-Wert von 9.8/10 und ist somit als kritisch eingestuft. Sie fußt auf einer inkorrekten URL-Kodierung einer Anfrage wie „j_security_check“ zu „%6a_security_check“, ist also ein Bug in der Eingabeprüfung der URL-Verarbeitung.

Cisco nennt in seinem Sicherheitshinweis zwei mögliche Erkennungsmethoden, nämlich die Protokolldateien „/var/log/nms/serviceproxy-access.log“ und „/var/log/nms/vmanage-server.log“. Wer dort die Zeichenkette „/%6a_security_check“ vorfindet, sollte genauer hinschauen, obgleich sie auch bei normaler Nutzung auftreten könne.

Updaten oder abklemmen

Da Cisco ein halbes Dutzend Versionen von SD-WAN Manager pflegt, gibt es ebenso viele Patch-Versionen und zwar:

Vor 20.9	Auf mindestens 20.9 aktualisieren
20.9	20.9.10.1
20.12	20.12.8.2
20.15	20.15.6.1
20.18	20.18.4.1
26.1	26.1.2.1
26.2	26.2.1
Cisco SD-WAN Cloud	20.15.605

Updates erhalten Kunden wie üblich im Downloadbereich. Kunden sollten mit der Aktualisierung ihrer Instanzen nicht warten. Das Cisco PSIRT (Product Security Incident Response Team) weiß seit einem nicht näher spezifizierten Datum im September 2026 von aktiven Angriffen. Wer den Verdacht hat, sein Gerät sei bereits kompromittiert, sollte eine Supportanfrage ans TAC (Technical Assistance Center) stellen.

Videos by heise

Cisco Catalyst SD-WAN Manager hat in den letzten Monaten eine katastrophale Sicherheitsbilanz: Im April, Mai, Juni, August und nun im September gab es kritische Lücken, die jeweils von Angreifern ausgenutzt wurden. Gleich acht dieser Lücken haben es dieses Jahr in die Liste der „known exploited vulnerabilities“ der US-Cybersicherheitsbehörde CISA geschafft.

(cku)

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

Top 10: Der beste Fensterputzroboter im Test

Datenleck beim Pentagon: Millionen Militärangehörige betroffen

2026-09-30T12:27:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Beim Pentagon sind Daten von Millionen aktiven und ehemaligen Militärangehörigen in unbefugte Hände geraten. Die Behörde hat Betroffene informiert.

(Bild: Ivan Cholakov/Shutterstock.com)

14:27 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

Im Personalverwaltungssystem des Pentagons konnten Unbefugte auf sensible Informationen zugreifen. Daten von Millionen Militärangehörigen sind davon betroffen.

Wie CNN berichtet, hat das Pentagon am Montag dieser Woche eingeräumt, dass Daten von 2,76 Millionen noch lebenden und 294.000 verstorbenen Personen abgeflossen sind. Es handelt sich dabei offenbar nur um einen Bruchteil der Daten, die das Defense Manpower Data Center (DMDC) verwaltet; laut Webseite hat die Behörde im Fiskaljahr 2024 mehr als 60 Millionen Datensätze vorgehalten. Unbefugte Akteure haben bereits im Oktober 2025 Zugang zu einem verwundbaren Server erlangt, der zum DMDC gehört und über den die Behörde Dateien austauscht. Im Filesharing-System klaffte eine Sicherheitslücke, die das DMDC am 16. Juli 2026 entdeckt und umgehend geschlossen hat, wie das Pentagon in einem Brief an Betroffene erklärt.

Zu den abgeflossenen Daten gehören Sozialversicherungsnummern sowie je nach Person eine weitere Angabe, etwa Name, Geburtsdatum, Kontaktdaten, Geschlecht, ethnische Zugehörigkeit oder militärische Personalinformationen wie die Fachverwendung. Dem US-Verteidigungsministerium lägen demnach keine Hinweise vor, dass die abgeflossenen Informationen missbraucht werden.

Fundus für bösartige Akteure

Solche Informationen sind etwa für ausländische Geheimdienste wertvoll. Mit den Daten können sie beispielsweise herleiten, wer wofür beim US-Militär in welchem Teil der Welt zuständig ist. Damit ist gezielteres und glaubwürdigeres Phishing möglich. Denkbar sind aber auch Erpressungsversuche, wenn Angreifer die Daten mit weiteren Informationen verknüpfen, etwa zum Familienstand und zu Surfgewohnheiten, wie sie Datenhändler verkaufen.

Unklar bleibt, wer hinter dem Einbruch in das DMDC-System steckt. Ein Pentagon-Sprecher hat die Frage von CNN nach den Tätern zunächst nicht beantwortet.

Videos by heise

Nicht nur das Pentagon, auch die Strafverfolgungsbehörde FBI ist Opfer eines größeren Datenlecks geworden. Dort hat die Cybergang ShinyHunters Daten mit Informationen zu Zehntausenden Mitarbeitern aus einem Job-Portal der Behörde kopiert.

(dmk)

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

Top 10: Der beste Fensterputzroboter im Test

LMU München: Daten von 600.000 Studierenden abgeflossen

2026-09-30T09:11:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Die Ludwig-Maximilians-Universität München wurde Opfer eines Cyberangriffs. Nun wird das Ausmaß der betroffenen Daten klar.

(Bild: LMU / Thomas Oswald)

11:11 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

Vor zwei Wochen kam es zu einem Cyberangriff auf die Ludwig-Maximilians-Universität München (LMU). In der Folge hat die Uni betroffene Systeme vom Netz genommen, isoliert und die Untersuchung des Vorfalls eingeleitet. Nun legt die LMU mit Informationen zum Ausmaß des Datenlecks nach.

Am Montagabend dieser Woche hat die LMU München die Fragen zum Datenschutzvorfall aktualisiert. Demnach sind von dem IT-Vorfall 600.000 Datensätze von aktuellen und ehemaligen Studierenden betroffen. Die Immatrikulationsdaten reichen etwa 50 Jahre zurück, erklärt die Universität.

Konkret geht es um die Stamm- und Immatrikulationsdaten, führt die LMU aus. Bei einem Teil der Datensätze ab dem Jahr 2005 kommen zudem Bankdaten dazu. In Einzelfällen können außerdem Krankenversicherungsnummer, BAföG-Nummer sowie Angaben zum Studienverlauf und zu früheren Abschlüssen darunter sein, die bei der Immatrikulation angegeben wurden. Außerdem möglicherweise betroffen sind gegebenenfalls Beurlaubungsgründe; darin können teilweise sensible Daten gemäß DSGVO Artikel 9 enthalten sein. Die LMU legt Wert auf den Hinweis, dass nicht bei jeder Person jede der genannten Datenkategorien betroffen sind.

Noten und Prüfungsdaten nicht betroffen

Informationen, auf die die Angreifer nicht zugreifen konnten, umfassen etwa Prüfungsinformationen. Konkrete Angaben zu Studieninhalten sowie die individuellen Leistungen – sprich Noten – sind demnach nicht betroffen.

Videos by heise

Der LMU liegen derzeit keine Hinweise auf eine Veröffentlichung der Daten vor. Einen künftigen Missbrauch kann sie aber nicht ausschließen. Die IT-Systeme nimmt die Uni schrittweise wieder in Betrieb. Bereits seit der vergangenen Woche sind wieder Immatrikulationen möglich. Das LSF (Campus-Verwaltungssystem der LMU München namens „Lehre, Studium, Forschung“) soll ab dem heutigen Mittwoch wieder nutzbar sein. Studierende erhalten ab etwa 15 Uhr wieder Zugang, jedoch nicht aus dem Internet, sondern ausschließlich über das Münchner Wissenschaftsnetz (MWN) und das LMU-Verwaltungsnetz. Die Vor-Ort-Nutzung soll über WLAN möglich sein. Außerhalb der LMU ist eine VPN-Verbindung nötig, die LMU erwähnt den Zugang zum MWN mittels eduVPN.

(dmk)

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

Top 10: Der beste Fensterputzroboter im Test

„Passwort“ Folge 67: IT-Security-Probleme sind vielfältig und oft althergebracht

2026-09-30T07:00:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Im Podcasts geht es hauptsächlich um diverse Sicherheitslücken und Bugs. Die sind aus unterschiedlichen Gründen relevant – aber allesamt sehr interessant.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Podigee GmbH) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

09:00 Uhr

Lesezeit: 2 Min.

Security

Von

Sylvester Tremmel

Hauptgang dieser Podcastfolge ist ein großer Kessel voll Bugs und Lücken; bunt gemischt und aus unterschiedlichen Gründen hörenswert – aber teilweise schon sehr bitter im Geschmack. Um dem vorzubeugen, steigen die Hosts mit besonders delektablem Hörerfeedback ein, das von chinesischen Roboterhunden bis zu Schweizer BGP-Alternativen reicht.

Danach erläutert Christopher, was tldr.fail ist (Bugs, die etwas auf sich halten, haben natürlich eine Webseite) und warum dieses Problem zwar alt, aber dennoch aktuell ist. So viel sei verraten: Es ist offenbar eine Konstante des Internets, dass irgendwo jemand einen Standard nicht korrekt implementiert und es dann ewig dauert, das Problem aus der Welt zu patchen. Die Hosts nutzen die Gelegenheit jedenfalls für ein Geek-Out und sprechen einen TLS-Handshake mit verteilten Rollen nach.

Im Anschluss berichtet Sylvester über einen Blogpost des Security-Forschers Marcus Hutchins. Der erklärt unter dem Titel „Machine Speed is a lie“, warum schnelle, automatisierte Angriffe – vor denen KI-Firmen allerorten warnen – weder neu sind, noch eine Herausforderung darstellen, der nur mit KI begegnet werden kann. Danach fuchst sich Christopher in vCenter-Bugs rein. Die sind etwas peinlich für den Hersteller und sowohl leicht vermeidbar als auch leicht zu beheben. Nichtsdestoweniger ist es sehr interessant, nachzuvollziehen, wie externe Sicherheitsforscher – oder Angreifer – solche Sicherheitslücken aus veröffentlichten Patches reverse-engineeren.

Für den weiteren Verlauf der Folge haben die Hosts dann noch zwei Sicherheitslücken im Gepäck. Eine, die auf einem schlauen Kniff basiert und unabhängig voneinander gleich vier KI-Agenten betraf. Und eine, die Watchtowr Labs mal wieder zu einem Blogpost brachte, aus dem der Sarkasmus in dicken Tropfen quillt.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.

Die neue Folge von „Passwort – der Podcast von heise security“ steht seit Mittwochmorgen auf allen Podcast-Plattformen bereit.

(syt)

Top 10: Bestes Smartphone bis 400 Euro

Top 10: Das beste Heizkörperthermostat im Test

Top 10: Der beste Fensterputzroboter im Test

CA-Bewerbung: CDN-Anbieter Cloudflare will bald selber Zertifikate ausstellen

2026-09-29T15:10:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Das Unternehmen kauft sich bei einer bestehenden CA ein, um schneller startklar zu werden. Zertifikate landen voll automatisiert beim Kunden.

(Bild: Tada Images(Shutterstock.com)

17:10 Uhr

Lesezeit: 2 Min.

Security

Von

Dr. Christopher Kunz

Der CDN-Anbieter (Content Delivery Network) Cloudflare möchte sich künftig auch als Certificate Authority (CA) betätigen und seinen Kunden TLS-Zertifikate ausstellen. Dazu hat sich das Unternehmen bei den großen Browseranbietern Chrome, Apple, Microsoft und Mozilla um Aufnahme in deren Zertifikatsspeicher (Root Program) beworben. Der Kniff: Um schneller startklar zu sein, will Cloudflare eines der Wurzelzertifikate von GlobalSign kaufen, das bereits in Browsern verankert ist.

So könne man direkt „an Tag eins“ Zertifikate ausstellen, erklärt Cloudflare-Produktmanager Steve Goldsmith im Unternehmensblog. Das von GlobalSign gekaufte Wurzelzertifikat ist vermutlich „GlobalSign Root R5“, gültig bis Januar 2038. Somit bleibt Cloudflare ein ausreichendes Zeitpolster, ein eigenes Wurzelzertifikat in den Browsern zu verankern und fortan komplett unabhängig vom zugekauften Vertrauen zu werden.

Videos by heise

Derzeit ist Cloudflare nach eigener Aussage einer der größten Konsumenten von TLS-Zertifikaten (richtiger: X.509-Zertifikaten) im Internet, hat jedoch „nie ein einziges selbst ausgestellt“. Für die eigenen Angebote setzt man auf insgesamt 16 Partner-CAs, unter anderem Marktführer Let's Encrypt und Google Trust Services, den derzeit nicht zuletzt wegen der Cloudflare-Kooperation Zweitplatzierten in der Zertifikate-Rangliste. Cloudflare habe unter den vielfältigen Problemen des Ökosystems gelitten, schreibt Produktmanager Goldsmith – von Validierungsproblemen bis zu verspäteten Zertifikatssperrungen.

Nur per ACME und quantensicher

Cloudflare möchte einiges besser machen als andere CAs, vor allem setzt man voll auf Automatisierung per ACME (Automatic Certificate Management Environment). Mehr noch: Nur diejenigen Webserver und Proxies, die die ACME-Erweiterung ARI (ACME Renewal Information) unterstützen und so auch vollautomatische Sperrungen und Neuausstellungen leisten können, werden Zertifikate der Cloudflare-CA erhalten.

Lesen Sie auch

Direkter Datenaustausch: Deutsche Telekom und Cloudflare verkünden Kooperation

Top 10: Das beste Heizkörperthermostat im Test

Top 10: Der beste Fensterputzroboter im Test

Top 10: Das beste ferngesteuerte Boot im Test

Cyberangriff auf Datenaustauschdienst FTAPI

2026-09-29T11:37:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Die Cybergang The Gentlemen ist bei der Datenaustauschplattform FTAPI eingebrochen. Das hat FTAPI gegenüber heise online bestätigt.

(Bild: VADZIM SHUBICH/Shutterstock.com)

13:37 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

Der Münchner Anbieter FTAPI bietet Dienste zur einfachen Übertragung von Daten an. Zur Kundschaft zählen etwa Behörden und Unternehmen. Die kriminelle Online-Bande The Gentlemen hat nun auf ihrer Darknet-Leaksite einen Einbruch in die IT-Systeme von FTAPI behauptet.

Eintrag zum Einbruch bei FTAPI auf der Darknetseite von The Gentlemen.

(Bild: heise medien)

Die Erpresserbande nennt jedoch keinerlei Details, sondern liefert lediglich einige allgemeine Informationen zur Firma FTAPI. Die finden sich auf der Webseite der Firma: Sie wurde 2010 gegründet und zählt inzwischen mehr als 2000 Unternehmen als Kunden, bei denen mehr als eine Million Nutzer aus Verwaltung, Gesundheit und Industrie damit arbeiten. Ein Countdown zählt zum Meldungszeitpunkt noch rund fünf weitere Tage herunter. Dann „aktiviert“ sich der Eintrag offenbar – unklar ist, was das konkret bedeuten soll.

FTAPI: Cyberangriff bestätigt

Auf Anfrage von heise online hat FTAPI den IT-Vorfall bestätigt. Demnach hat das Unternehmen am 14. September einen IT-Sicherheitsvorfall festgestellt. Dabei haben sich Unbefugte Zugang zu einem einzelnen, lokal betriebenen, internen Server verschafft und darauf Ransomware eingeschleust. Die betroffenen Systeme hat FTAPI demzufolge umgehend isoliert, zudem hat das Unternehmen ein externes Forensikteam zur Untersuchung hinzugezogen. Außerdem habe FTAPI Kunden und Partner informiert, nachdem erste belastbare Erkenntnisse über die Betroffenheit vorgelegen hätten. Aufsichtsrechtliche Meldepflichten etwa bezüglich des Datenschutzes habe FTAPI eingehalten und zudem Strafanzeige erstattet.

Videos by heise

Das Unternehmen betont, dass die FTAPI-Plattform, die Kundensysteme und Daten, die Kunden darüber austauschen, nicht betroffen gewesen seien. Die Untersuchung der Kundensysteme sei bereits abgeschlossen und es gebe keine Hinweise darauf, dass sie kompromittiert wurden. Der Betrieb von FTAPI sei dadurch zu keiner Zeit eingeschränkt gewesen. Weitere forensische Untersuchungen laufen derzeit allerdings noch.

Informationen dazu, wie die Erpresserbande in den Server eindringen konnte, hat FTAPI nicht genannt; es ist daher unklar, ob eine Softwareschwachstelle den unbefugten Einstieg ermöglichte oder ob die Angreifer etwa per Spear-Phishing erbeutete Zugangsdaten von Mitarbeitern nutzten.

(dmk)

Top 10: Das beste Heizkörperthermostat im Test

Top 10: Der beste Fensterputzroboter im Test

Top 10: Das beste ferngesteuerte Boot im Test

ShinyHunters: Niederländisches Mitglied der FBI-Datendiebe festgenommen

2026-09-29T11:00:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Offenbar hat die Cybergang ShinyHunters wirklich beim FBI Daten gestohlen. Ein niederländisches Gruppenmitglied sitzt seit Mitte September in Haft.

(Bild: FBI)

Update 13:00 Uhr

Lesezeit: 4 Min.

Security

Von

Dirk Knop

Die kriminelle Online-Vereinigung ShinyHunters hat vergangene Woche behauptet, Daten beim US-amerikanischen Federal Bureau of Investigation (FBI) gestohlen zu haben. Offenbar handelt es sich um keinen Bluff, die Daten scheinen echt zu sein. ShinyHunters greifen nun massiv weitere Ziele über eine Sicherheitslücke in Oracle-PeopleSoft-Software an. Das FBI bestätigte Meldungen um eine Festnahme wiederum – ein niederländisches Mitglied der Bande sei Ermittlern ins Netz gegangen.

Beim FBI ist die Cybergang ShinyHunters in das Job-Portal eingedrungen. Dabei will sie Daten von nahezu allen FBI-Agenten entwendet haben; ein Beispieldatensatz mit 5000 Einträgen sollte die Echtheit belegen. Reuters hatte eine Stichprobe davon mit anderen Datenbeständen abgeglichen und als plausibel eingestuft. Die britische BBC hat Beispieldaten zu Gesundheitsuntersuchungen von FBI-Agenten gesehen, die Informationen zu Blut- und Urintestergebnissen oder konkrete Informationen zu Allergien enthielten, wie sie auf ihrer Webseite mitteilt. Weitere Daten umfassen die vollständigen Namen und Anschriften. Das mache FBI-Agenten für Betrugsversuche, Erpressung und gezielte Angriffe anfällig. Außerdem könnten Kriminelle mit den Informationen die Identitäten der Strafverfolger fälschen und sich als diese ausgeben.

Laut der BBC behaupten ShinyHunters, eine Schwachstelle in einem Oracle-Cloud-Speichersystem ausgenutzt zu haben. Womöglich handelt es sich um Oracle PeopleSoft. Seit Mitte Juni attackieren ShinyHunters bekanntermaßen eine Sicherheitslücke in dieser Software. Zum Wochenende hat die Google-Tochter Mandiant ihre Warnung erneuert, dass ShinyHunters massenhaft versuchen, die Schwachstelle in Oracle PeopleSoft zu missbrauchen. Die Angriffe laufen weltweit und ShinyHunters versuchen, Regelwerke von Web Application Firewalls (WAF) mit einem geschickten URL-Encoding (sie rufen /%50SEMHUB/ statt /PSEMHUB/ auf) zu umgehen, führen die IT-Sicherheitsforscher von Mandiant in ihrer Analyse aus. Wer die Patches zum Stopfen des Sicherheitslecks CVE-2026-35273 (CVSS 9.8, Risiko „kritisch“) aus dem Juni noch nicht angewendet hat, findet in der Analyse auch Handreichungen zum Schutz vor den Angriffen.

Videos by heise

Sind die Daten den Cyberkriminellen zu heiß?

Laut BBC hatte die Gruppe zuvor noch gedroht, den kompletten Datensatz binnen fünf Tagen zu veröffentlichen, und sprach inzwischen von Daten zu rund 60.000 aktuellen und ehemaligen FBI-Beschäftigten. Gegenüber 404 Media haben ShinyHunters am Montag dieser Woche angegeben, dass sie von Anfang an nicht vorgehabt hätten, die Daten zu veröffentlichen. Der Umfang soll demnach zwei bis drei Terabyte an Daten betragen. Ziel sei lediglich, einen FBI-Bericht zu löschen oder zu korrigieren, der dem kriminellen Portfolio von ShinyHunters Sextortion zuordnet.

Möglicherweise bekommen die kriminellen Täter aber auch kalte Füße. Brian Krebs berichtet aktuell, dass die niederländische Polizei einen 24-Jährigen festgenommen hat, der unter Verdacht steht, an Datendiebstählen und Erpressungsversuchen der ShinyHunters-Bande beteiligt zu sein. Die massive Ausweitung der ShinyHunters-Aktivitäten etwa mit dem Einbruch beim FBI und der Erpressung der Ransomware-Gruppe Cl0p soll jedoch erst nach der Festnahme stattgefunden haben. Der Verdächtige ist demnach ein Cyberkrimineller, der bereits 2023 wegen mehrerer Datendiebstähle und Erpressungen verurteilt wurde. Diese brachten ihm laut Staatsanwaltschaft zwischen 1,5 und 2,7 Millionen Euro ein.

Er war demnach mit dem Handle „Umbreon“ unterwegs, mit dem er Opfer erpresste und ihre Daten auf englischsprachigen Plattformen wie den inzwischen stillgelegten Foren RaidForums und Breached veröffentlichte. Er wurde zu vier Jahren Haft verurteilt, davon eines auf Bewährung, und im Dezember 2025 freigelassen. Nun wurde der Verdächtige Mitte September erneut festgenommen. Die niederländische Polizei bestätigte am Montag die Festnahme eines 24-Jährigen aus Amsterdam im Rahmen der ShinyHunters-Ermittlungen. Auch der stellvertretende Direktor der FBI-“Cyber Division“, Brett Leatherman, bestätigte die Festnahme in einer kurzen Videobotschaft. Er appellierte an verbleibende Mitglieder der Bande, sich zu stellen.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externes YouTube-Video (Google Ireland Limited) geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Google Ireland Limited) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

Niederländische Strafverfolgungsbehörden bitten die Öffentlichkeit seit einiger Zeit um Mithilfe, einen Anrufer in einem mitgeschnittenen Telefonat vom Februar 2026 zu identifizieren. Ein niederländisch sprechender Täter konnte dabei mittels Social Engineering in die Systeme von Odido eindringen, dem größten Mobilfunkanbieter der Niederlande. So haben ShinyHunters Daten von mehr als 6,2 Millionen niederländischen Bürgern ergattert. Unklar ist, ob der Verdächtige in diesem Zusammenhang identifiziert wurde. Jedoch zierte die FBI-Jobportal-Webseite nach dem Angriff ein ASCII-Kunstwerk. Es zeigte den Pokémon-Charakter Umbreon.

Update 29.09.2026, 17:07 Uhr

Bestätigung der Festnahme durch das FBI nebst Video ergänzt.

(dmk)

Top 10: Das beste Heizkörperthermostat im Test

Top 10: Der beste Fensterputzroboter im Test

Top 10: Das beste ferngesteuerte Boot im Test

Digitale Gesundheitsanwendungen: HelloBetter meldet Datenpanne nach Cyberangriff

2026-09-29T09:10:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Aufgrund einer Schwachstelle konnten Unbekannte auf sensible Nutzerdaten eines Anbieters digitaler Therapieprogramme zugreifen.

(Bild: metamorworks / Shutterstock.com)

11:10 Uhr

Lesezeit: 3 Min.

Security

Von

Marie-Claire Koch

Der Hamburger Anbieter digitaler Gesundheitsanwendungen (DiGA) HelloBetter informiert seine Nutzerinnen und Nutzer derzeit über einen Sicherheitsvorfall nach Art. 34 DSGVO. Das Schreiben liegt heise online vor und wurde in ähnlicher Form auch auf der Website des Anbieters veröffentlicht. Darin heißt es, Angreifer hätten sich am Abend des 6. September 2026 Zugriff auf das „Business-Intelligence-System“ des Unternehmens und die damit verbundene Datenbank verschafft. Bei dem System handelt es sich um ein Open-Source-Programm zur Datenauswertung. Welches Produkt HelloBetter einsetzt und um welche Schwachstelle es geht, sagt das Unternehmen nicht.

HelloBetter hat den Zugriff nach eigenen Angaben am Morgen des 7. September bemerkt und sofort beendet. Bis dahin seien aber „Daten in bedeutsamen Umfang entwendet“ worden. Das Unternehmen hat den Vorfall dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und dem Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit gemeldet.

Lesen Sie auch

Sicherheitslücken in "App auf Rezept" gegen Angsterkrankungen entdeckt

Déjà-vu: Hacker offenbaren Sicherheitslücken in Depressions-App

Top 10: Das beste Heizkörperthermostat im Test

Top 10: Der beste Fensterputzroboter im Test

Top 10: Das beste ferngesteuerte Boot im Test

GPT-6.1 Astra fällt bei Sicherheitstests durch und wird nicht veröffentlicht

2026-09-29T07:04:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

OpenAI verzichtet auf die geplante Veröffentlichung von GPT-6.1 Astra. Interne Tests zeigten Probleme mit Täuschung und eigenmächtigem Handeln.

(Bild: For East/Shutterstock.com)

09:04 Uhr

Lesezeit: 2 Min.

Von

Tomislav Bezmalinović

OpenAI hat die Veröffentlichung seines nächsten KI-Modells GPT-6.1 Astra gestrichen. Ausschlag gaben Probleme aus internen Sicherheitstests, berichtet das Wall Street Journal unter Berufung auf OpenAI. Das Modell sollte im Oktober für ChatGPT und Codex erscheinen.

Saachi Jain, OpenAIs Leiterin für Sicherheitssysteme, nennt zwei Bereiche, in denen GPT-6.1 Astra gegenüber GPT-6 Astra Rückschritte gezeigt habe. Zum einen habe das Modell schlechter bei Alignment-Tests abgeschnitten und häufiger täuschendes Verhalten gezeigt. So habe es Nutzer nicht immer wahrheitsgemäß darüber informiert, welche Aktionen es ausgeführt oder unterlassen hatte.

Videos by heise

Zum anderen habe das Modell teils Aufgaben ohne die nötige Zustimmung des Nutzers fortgesetzt und auf externe Tools oder Dienste zugegriffen, auch wenn deren Nutzung ein Sicherheitsrisiko darstellen konnte. Insgesamt habe GPT-6.1 Astra damit OpenAIs Anforderungen an Sicherheit und Alignment nicht erfüllt, sagt Jain dem Wall Street Journal.

OpenAI will das Basismodell weiterverwenden und es mit weiteren Trainingsläufen verbessern. Zudem will das Unternehmen die Ursachen der Probleme genauer untersuchen und dabei alle Phasen der Modellentwicklung überprüfen.

Gehäufte Sicherheitsvorfälle mit KI-Agenten

OpenAI zufolge ist die Entscheidung von einem anderen Sicherheitsvorfall zu trennen. Erst vergangene Woche pausierte das Unternehmen das Training seiner leistungsfähigsten KI-Modelle, nachdem ein Agent Internetbeschränkungen umgangen hatte. GPT-6.1 Astra gehöre nicht dazu. Zuvor waren OpenAIs KI-Agenten auch auf der Website der Vereinten Nationen aktiv geworden und hatten dabei Sicherheitsmechanismen umgangen. Auch bei anderen KI-Laboren wurden in den vergangenen Monaten viele Fälle bekannt, in denen KI-Agenten vorgesehene Schranken überschritten.

Die Vorfälle haben inzwischen auch eine breitere Debatte über das Entwicklungstempo ausgelöst. Sowohl Anthropic-Chef Dario Amodei als auch OpenAI-Chef Sam Altman sprachen sich zuletzt dafür aus, die Entwicklung besonders leistungsfähiger KI-Modelle zu verlangsamen.

Parallel dazu hat Nvidia gestern eine hardwaregestützte Sicherheitsarchitektur angekündigt, die riskantes Verhalten von KI-Agenten erkennen und verhindern soll. Bis solche Schutzmechanismen flächendeckend implementiert sind, dürfte jedoch noch einige Zeit vergehen. Zudem lösen sie nicht das grundlegende Alignment-Problem.

(tobe)

Top 10: Das beste Heizkörperthermostat im Test

Top 10: Der beste Fensterputzroboter im Test

Top 10: Das beste ferngesteuerte Boot im Test

IT-Störung trifft Kommunalverwaltungen in Rheinland-Pfalz

2026-09-29T06:40:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Eine Störung im landesweiten Netz beeinträchtigt Kommunalverwaltungen in Rheinland-Pfalz. Nun sind Hintergründe bekannt – und wie lange es noch dauert.

(Bild: TierneyMJ/Shutterstock.com)

Update 08:40 Uhr

Lesezeit: 1 Min.

Security

Von

Dirk Knop
mit Material der dpa

Wegen einer technischen Störung im landesweiten Verwaltungsnetz kommt es in rheinland-pfälzischen Kommunalverwaltungen zu Einschränkungen. Alle Verwaltungen in Rheinland-Pfalz seien betroffen, teilten Landkreistag, Gemeinde- und Städtebund sowie Städtetag am Abend gemeinsam auf dpa-Anfrage mit. Zuerst hatte die Kreisverwaltung des Rhein-Lahn-Kreises über die Störung berichtet.

„Um eine erkannte Sicherheitslücke zu schließen“, so die drei kommunalen Spitzenverbände, hätten die Betriebsrechenzentren am Sonntagnachmittag vorsorglich bestimmte IT-Systeme heruntergefahren. „Es handelt sich nicht um einen erfolgreichen Cyberangriff, sondern um eine Vorsichtsmaßnahme, um die Daten zu schützen, bis die Lücke geschlossen ist“, betonten sie.

Auslöser vermutlich Citrix-Netscaler-Sicherheitslecks

Wahrscheinlich haben die IT-Teams die Citrix-Netscaler-Software auf aktuellen Stand gebracht. Hierfür sind erst am Wochenende Updates herausgegeben worden. Es kursierten spätestens seit dem Wochenende zwei Exploits für die Zero-Day-Sicherheitslücken, die das Einschleusen von Schadcode auf verwundbare Instanzen ermöglichen. Der Vorfall war ungewöhnlich, da im Vorfeld bereits Gerüchte über die dräuenden Angriffe in IT-Sicherheitskreisen die Runde machten. IT-Sicherheitsunternehmen und -Forscher empfahlen in dem Zusammenhang, verwundbare Geräte unverzüglich vom Netz zu nehmen.

Videos by heise

Betroffen waren die zentral betriebenen Verfahren wie Einwohnermeldeämter, Pass- und Personalausweisstellen, Kfz-Zulassungsbehörden und Standesämter, außerdem Waffenwesen und Schulverwaltungsprogramme. Personenbezogene Daten seien nicht gefährdet. Die Rechenzentren gehen den Angaben zufolge davon aus, dass am Dienstag „wieder Normalbetrieb herrscht“.

Update 29.09.2026, 10:08 Uhr

Die Verbindung zu den Citrix-Netscaler-Sicherheitslücken im Text ergänzt.

(dmk)