Comretix Blog

Wir bieten aktuelle Informationen über uns und aus der IT Welt.

IT-Sicherheit unzureichend? Jede zweite IKT-Firma gegen Cyberangriffe versichert

Knapp die Hälfte der IKT-Unternehmen in Deutschland verfügt über eine Cyberversicherung, die digitale Angriffe und daraus entstandene Schäden absichern soll. Das geht aus einem Branchenreport des Leibniz-Zentrums für Europäische Wirtschaftsforschung (ZEW) hervor. Solche Versicherungen greifen dann, wenn präventive Sicherheitsmaßnahmen wie Mitarbeiterschulungen, Firewall und Virenschutzprogramme versagen. Mehr als ein Drittel der IKT-Betriebe ist hingegen nicht mit einer derartigen Versicherung ausgestattet, 15 Prozent planen den Abschluss einer entsprechenden Police. Über die gesamte Informationswirtschaft in Deutschland ist die Verteilung ähnlich, ist aber auch von der Unternehmensgröße abhängig.

Wer jetzt handelt, schafft eine stabile Basis und ist sowohl gegen Angriffe als auch bei der Einführung neuer Vorschriften bestens gewappnet. Dieser Workshop vermittelt sinnvolle Ansätze für einen kosteneffizienten Schutz, mit denen KMU ihre IT-Sicherheit unabhängig von NIS 2 & Co. verbessern können und gibt einen Überblick über Methoden und Best Practices, die seit vielen Jahren erfolgreich und kosteneffizient im Mittelstand angewendet werden. Mit diesen Informationen können die Teilnehmenden eine sinnvolle Cybersicherheitsstrategie für ihr Unternehmen entwerfen.

Anmeldung und Termine unter heise.de/s/L1PPw

Rund 46 Prozent der Betriebe zwischen 5 und 19 Beschäftigten sind gegen Cyberangriffe versichert. Bei Unternehmen von 20 bis 99 Mitarbeitern beträgt der Anteil mit einer Cyberversicherung 59 Prozent, ab 100 Mitarbeitern liegt er bei rund einem Drittel. Unabhängig von der Anzahl der Mitarbeiter zieht etwa jeder fünfte Betrieb den Abschluss einer solchen Versicherung in Betracht. Laut dem Bericht erscheine der höhere Versichertenanteil bei größeren Unternehmen plausibel, da sie häufiger ein Ziel von Cyberkriminellen seien. Ebenso machen die Autoren eine gestiegene Bedrohungslage aus, etwa durch geopolitische Konflikte, staatliche unterstützte Cyberangriffe, aber auch durch die Arbeit im Homeoffice als zusätzliche Einfallstore.

Ebenfalls wirkt sich die Branchenzugehörigkeit auf den Anteil der versicherten Firmen aus. Mit etwa 58 Prozent ist er in der Chemie- und Pharmaindustrie am höchsten. Als mögliche Ursache sehen die Studienautoren einen besonderen Sicherheitsbedarf der Branche und hohe finanzielle Verluste beim Ausfall der IT-Systeme. Indes sind rund die Hälfte der wissensintensiven Dienstleister und Industrieunternehmen, etwa im Maschinen- und Fahrzeugbau, gegen Cyberangriffe versichert. Den geringsten Anteil weisen Mediendienstleister auf, von denen nur rund ein Viertel über eine Cyberversicherung verfügt.

Weiterlesen
  58 Aufrufe

Bösartige Kommunikationsgeräte in Solar-Wechselrichtern in den USA entdeckt

Bei der Untersuchung von Wechselrichtern aus China durch Experten in den USA wurden in einigen Geräten nicht dokumentierte Kommunikationsgeräte gefunden. US-Energiebehörden wollen das Risiko dieser chinesischen Inverter Medienberichten zufolge neu beurteilen.

Die Agentur Reuters bezieht sich in ihrem Bericht auf zwei mit der Angelegenheit vertraute Personen. Elektronik-Experten, die sich mit dem Zerlegen und Analysieren von elektronischer Ausrüstung beschäftigen, seien auf die undokumentierten Kommunikationseinheiten in den Solar-Wechselrichtern gestoßen. In den vergangenen neun Monaten seien dabei undokumentierte Kommunikationseinrichtungen wie Mobilfunk-Geräte auch in einigen Akkus von mehreren chinesischen Ausrüstern gefunden worden.

Derartige Wechselrichter, die zum Großteil in China hergestellt werden, sind allgegenwärtig: Sie verbinden Solarpanele und Windkrafträder mit dem elektrischen Netz und finden sich auch in Batterien, Wärmepumpen und E-Auto-Ladern. Meist haben diese Geräte die Möglichkeit zur Netzwerkanbindung verbaut, um etwa Updates und Wartung zu ermöglichen. Viele Unternehmen und Privatleute setzen jedoch darauf, diese Kommunikation etwa zum Hersteller in China mittels Firewall abzuwürgen.

Die bösartigen Komponenten öffneten zusätzliche undokumentierte Kommunikationskanäle, die die Umgehung von Firewalls ermöglichen, mit potenziell katastrophalen Folgen, schreibt Reuters. "Die Nutzung der bösartigen Kommunikationsgeräte zur Umgehung von Firewalls und zur Fernabschaltung von Wechselrichtern oder zur Änderung ihrer Einstellungen könnte nach Ansicht von Experten die Stromnetze destabilisieren, die Energieinfrastruktur beschädigen und weit verbreitete Stromausfälle auslösen", erörtert die Agentur weiter.

Einer der beiden informierten Personen sagt Reuters dazu: "Das bedeutet, dass im Endeffekt eine eingebaute Möglichkeit vorliegt, mit der das Stromnetz physikalisch zerstört werden kann." Namentlich benennen wollten beide Informanten die chinesischen Hersteller der Wechselrichter jedoch nicht, und auch nicht, wie viele manipulierte Geräte sie insgesamt gefunden haben.

Weiterlesen
  55 Aufrufe

Patchday: Lücken in Intel-Software und -Treibern gestopft

Angreifer können Computer mit Hard- und Software von Intel attackieren. Sind Attacken erfolgreich, können sie unter anderem Denial-of-Service-Zustände (DoS) erzeugen, die in der Regel zu Abstürzen führen.

Im Sicherheitsbereich der Intel-Website finden Admins die betroffene Software und die verwundbaren Treiber in einer Liste. Dort gibt es auch Hinweise auf die abgesicherten Versionen. Der Großteil der Lücken ist mit dem Bedrohungsgrad "mittel" eingestuft. In den meisten Fällen können sich Angreifer nach erfolgreichen Attacken höhere Nutzerrechte verschaffen. Dafür ist aber oft ein lokaler Zugriff Voraussetzung.

Das klappt beispielsweise über zwei Schwachstellen (CVE-2025-20095, CVE-2025-20043) im RealSense SDK. Wie Attacken konkret ablaufen könnten, ist bislang unklar. Derzeit gibt es keine Meldungen zu bereits laufenden Angreifen. Admins sollten dennoch zügig patchen.

Es gibt aber auch einige Lücken mit dem Bedrohungsgrad "hoch". Das betrifft etwa den Slim Bootloader (CVE-2025-20083). Auch hier kann ein lokaler Angreifer seine Rechte hochstufen. Zwei Schwachstellen in der PROSet/Wirelesse Wifi Software für Windows können als Ansatzpunkte für DoS-Attacken dienen.

Außerdem haben die Entwickler kürzlich bekannt gewordene CPU-Lücken, über die Angreifer etwa Passwörter auslesen können, geschlossen.

Weiterlesen
  74 Aufrufe

Chrome-Sicherheitslücke mit Exploit in freier Wildbahn

Google-Entwickler haben in ihrem Webbrowser Chrome Sicherheitslücken entdeckt und eine aktualisierte Software veröffentlicht. Angreifer aus dem Netz können durch die Lücken etwa unbefugt Informationen abgreifen. Für diese Schwachstelle kursiert bereits ein Exploit im Netz.

In der Versionsankündigung erklären Googles Entwickler, dass sie vier Sicherheitslücken mit der aktualisierten Fassung abdichten. Da nur zwei davon von externen IT-Forschern gemeldet wurden, liefert Google nur zu diesen beiden überhaupt Informationsschnipsel.

Eine Sicherheitslücke basiert auf einer unzureichenden Richtlinien-Durchsetzung in der Komponente "Loader" von Chrome. Der Schwachstelleneintrag ergänzt dazu, dass Angreifer aus dem Netz dadurch Informationen "cross-origin" mit manipulierten HTML-Seiten abgreifen können – eine Webseite kann dadurch Informationen aus einer anderen abgreifen (CVE-2025-4664 / EUVD-2025-14909, CVSS 4.3, Risiko laut Google "hoch", laut CVSS "mittel"). "Google sind Berichte bekannt, wonach ein Exploit für CVE-2025-4664 in freier Wildbahn existiert", schreibt der Hersteller weiter.

Eine zweite Sicherheitslücke betrifft die Mojo-Komponente – sie dient etwa zur Interprozesskommunikation –, die unter nicht näher beschriebenen Umständenn falsche Handles zurückliefern kann. Die potenziellen Auswirkungen beschreibt Google nicht näher; weder der CVE- noch der EUVD-Eintrag sind bislang öffentlich verfügbar, die in der Regel noch einen Halbsatz mehr an Informationen liefert (CVE-2025-4609, kein CVSS-Wert, Risiko laut Google "hoch"). Zu den beiden weiteren Schwachstellen gibt es bislang keine Informationen außer der, dass sie existieren.

Die fehlerbereinigten Browser-Versionen sind Google Chrome 136.0.7103.125 für Android, 136.0.7103.113 für Linux sowie 136.0.7103.113/114 für macOS und Windows.

Weiterlesen
  59 Aufrufe

Beliebteste Passwörter der Hacker: admin, root und 123456

Die Auswertung der zehn am häufigsten verwendeten Passwörter zeigt, dass Angreifer nach wie vor auf bekannte Standardkennwörter und einfache Zahlenkombinationen setzen. Angeführt wird die Liste vom Passwort „admin“, dicht gefolgt von „root“, „123456“ und „password“. Diese Erkenntnisse deuten darauf hin, dass viele Systeme scheinbar weiterhin mit schwachen oder Standardpasswörtern betrieben werden – ein leichtes Ziel für automatisierte Brute-Force-Angriffe.

Neben der reinen Passwortwahl untersuchte Specops auch die verwendeten Zeichenkombinationen und die Länge der Passwörter. Dabei zeigte sich, dass 87,4 Prozent aller verwendeten Passwörter zwischen 6 und 10 Zeichen lang waren. Nur 1,6 Prozent der beobachteten Passwörter nutzten alle vier möglichen Zeichentypen: Groß- und Kleinbuchstaben, Zahlen, Sonderzeichen.

FTP bleibt Schwachstelle

FTP-Server sind für Angreifer ein lohnendes Ziel – insbesondere dann, wenn sie veraltet, falsch konfiguriert oder mit schwachen Zugangsdaten gesichert sind. Anders als bei RDP-Angriffen, bei denen Verschlüsselung und Authentifizierungsmaßnahmen Angriffe erschweren, greifen Cyberkriminelle bei FTP eher zu simplen Methoden wie Passwort-Spraying oder dem Ausnutzen anonymer Logins.

Die Ergebnisse der Studie unterstreichen die Bedeutung robuster Passwortrichtlinien. Bereits das Erzwingen von Passwörtern mit einer entsprechenden Mindestlänge und verschiedenen Zeichentypen könnte rund 99 Prozent der beobachteten Brute-Force-Versuche verhindern. Noch besser: der Umstieg auf sichere Protokolle wie SFTP oder FTPS sowie die Implementierung moderner Zugangsschutzmechanismen.

Schutzdatenbank für kompromittierte Passwörter

Parallel zur Studie wurde die interne Datenbank des Specops Breached Password Protection-Auditors um mehrere Millionen kompromittierte Passwörter erweitert. Diese stammen aus aktuellen Angriffen, der Honeypot-Infrastruktur sowie externen Threat-Intelligence-Quellen und stehen Unternehmen zur Erkennung gefährdeter Accounts zur Verfügung.

Weiterlesen
  61 Aufrufe

Datenleck: Zehntausende BVG-Kundendaten betroffen

Kriminelle haben möglicherweise zahlreiche Kundendaten bei einem BVG-Dienstleister erbeutet. Passwörter und Kontonummern sind davon indes nicht betroffen. Die Analyse läuft.

Bei einem Cyberangriff auf einen Dienstleister der Berliner Verkehrsbetriebe (BVG) haben Kriminelle möglicherweise Zugriff auf Zehntausende Kundendaten erlangt. Dabei geht es unter anderem um Namen, Postanschriften, E-Mail-Adressen sowie Kunden- und Vertragsnummern, wie aus einem Informationsschreiben der BVG an die betroffenen Kundinnen und Kunden hervorgeht. Informationen wie Kontodaten oder Passwörter seien indes ersten Erkenntnissen zufolge nicht abgeflossen, hieß es weiter. Zuvor hatte die "Berliner Morgenpost" berichtet.

Insgesamt sind möglicherweise rund 180.000 Kundendaten betroffen, teilte das Unternehmen mit. Die BVG habe unverzüglich die Datenschutzbehörde sowie die betroffenen Kundinnen und Kunden überden Vorfall informiert. Für Rückfragen wurde ein Kontaktpostfach eingerichtet.

"Der Schutz personenbezogener Daten hat für die BVG höchste Priorität", betonte das Unternehmen. "Der Vorfall wird sehr ernst genommen, eine umfangreiche Analyse läuft."

Lesen Sie auch

Weiterlesen
  56 Aufrufe

Angeblicher Steam-Hack: Datenleck enthält SMS-Sendeprotokolle

Ein angebliches Datenleck bei der Spieleplattform Steam soll 89 Millionen Datensätze enthalten – ein Unbekannter versucht seit vergangenem Samstag, sie im Darknet für 5.000 US-Dollar zu verkaufen. Doch die Resonanz ist mau und die Brisanz der Daten fraglich.

Im Darknet kursieren immer wieder Daten aus Angriffen gegen Spielepublisher und Vertriebsplattformen. Besonders begehrt: Marktführer Steam, der über 130 Millionen Kunden vorweisen kann. Neben Kreditkarten- oder Paypal-Zahlungsinformationen gibt es für Kriminelle in Steam-Konten auch virtuelle Sammelgegenstände zu erbeuten, die erkleckliche Summen einbringen können. Das Verkaufsangebot des Nutzers "Machine1337" in einem einschlägigen Forum sorgte daher schnell für Aufregung im Clearweb: 89 Millionen Datensätze wollte er erbeutet haben und nun für 5.000 Dollar verkaufen.

Auf Darknet-Marktplätzen steht das Wort "Datensatz" (engl. Record) oft für einzelne Datenzeilen, nicht jedoch für unterschiedliche Konten. So auch hier: Was Machine1337 feilbietet, sind offenbar Protokolle des Versands von Zwei-Faktor-SMS an Steam-Nutzer. In einer dreitausend Zeilen umfassenden Testdatei finden sich etwa 1.800 verschiedene portugiesische Rufnummern sowie Metadaten über den Versand, dessen Kosten und der Text der versendeten SMS. Die Authentizität der Daten lässt sich nicht unabhängig überprüfen, auf den ersten Blick sieht die Datei jedoch plausibel aus.

Fein säuberlich inklusive Sortiermöglichkeit: Im Excel finden sich SMS-Codes und Rufnummern, jedoch keine Zugangsdaten.

(Bild: heise security)

Weiterlesen
  65 Aufrufe

Cyberkriminelle änderten Bankverbindungen bei der Bundesagentur für Arbeit

Unbekannte haben sich Ende März Zugriff auf Online-Konten des Portals der Bundesagentur für Arbeit (BA) verschafft. Einen entsprechenden Cyberangriff hat die Bundesregierung in einer jetzt veröffentlichten Antwort auf eine Anfrage der AfD-Fraktion bestätigt. Die Zugangsdaten sind demnach mittels kompromittierter private Endgeräte abgegriffen worden, nicht über Systeme der Nürnberger Behörde. Insgesamt seien 831 Accounts von Leistungsempfängern durch Dritte angegriffen worden. In 121 davon sei es den Cyberkriminellen gelungen, die Internationale Bankkontonummer (IBAN) zu ändern.

"Von diesen 121 Online-Accounts befanden sich vier in einem laufenden, aktiven Leistungsbezug", berichtet das zuständige Bundesinnenministerium. Nach derzeitigem Kenntnisstand sei der BA und den Leistungsempfängern aber "kein Schaden" entstanden. Die Agentur habe alle von der Cyberattacke umfassten Profile deaktiviert und verhindert, "dass es zu unrechtmäßigen Zahlungen an Dritte gekommen ist".

Ob die Urheber des Online-Angriffs möglicherweise der Organisierten Kriminalität zuzuordnen sind, vermag die Exekutive nicht zu sagen. Die Arbeitsagentur habe Strafanzeige erstattet. Erkenntnisse aus dem Ermittlungsverfahren lägen ihr bislang aber nicht vor. Die Behörde könne grundsätzlich nicht verhindern, dass unbekannte Dritte Zugangsdaten bei Nutzern des Online-Portals entwendeten. Seit dem 24. April 2025 seien Online-Änderungen der Bankverbindung aber nur noch mit der BundID und dem damit verknüpften Vertrauensniveau "substanziell" möglich.

Seit dem 29. April 2025 müssen alle Online-Accounts verpflichtend einen zweiten Faktor für die Anmeldung im Portal der Agentur nutzen, teilt die Regierung weiter mit. Für diese Form der Authentifizierung kämen neben der 2024 bei der BA eingeführten BundID etwa Passkeys mit einem biometrischen Verfahren oder Time-based one-time Passwords (TOTP) infrage. Die Nürnberger Behörde hatte zuvor nur eine Mehr-Faktor-Authentifizierung empfohlen.

Die BA selbst informierte Ende März zunächst nur darüber, dass sie aufgrund des Angriffs im Bereich der persönlichen Daten auf allen Online-Accounts derzeit eine "technische Wartungsseite" eingerichtet habe. Dies wirke sich auf Kunden aus, die online Leistungen wie das Arbeitslosengeld neu beantragen wollten. Die Agentur bat Betroffene daher übergangsweise, die Daten in ihrer jeweiligen Dienststelle wie einem Jobcenter erfassen zu lassen. Neben der Polizei habe man die Bundesdatenschutzbeauftragte und das Bundesamt für Sicherheit in der Informationstechnik (BSI) ins Boot geholt.

Weiterlesen
  68 Aufrufe

Intel: Ein weiterer Angriff umgeht alle bisherigen CPU-Schutzmaßnahmen

Ein neuer Angriffstyp auf Intel-Prozessoren ermöglicht das Auslesen von Passwörtern, selbst wenn alle bisherigen Schutzmechanismen gegen Spectre-artige Angriffe aktiv sind. Die Computer Security Group (Comsec) der ETH Zürich nutzt dazu eine Eigenheit in Intels Sprungvorhersage aus. Sie nennt die Sicherheitslücke Branch Predictor Race Conditions (BPRC) und den Angriffstyp Branch Privilege Injection (BPI).

Wie schon der Angriffstyp Training Solo erfordert BPI physischen Zugriff auf ein System. Daher sind die zugehörigen CVE-Nummern CVE-2024-43420, CVE-2025-20623 und CVE-2024-45332 nur mit dem Schweregrad Medium bewertet. AMD- und ARM-Prozessoren sind nicht betroffen. BPI stellt vor allem bei Cloudservern ein Risiko dar, auf denen Anwendungen beziehungsweise Container und virtuelle Maschinen unterschiedlicher Anwender parallel laufen. Bei privat genutzten Desktop-PCs und Notebooks steigert BPI nach derzeitiger Kenntnis das Malware-Risiko nicht nennenswert.

Bei Intel aktualisiert die Sprungvorhersageeinheit (Branch Prediction Unit, BPU) den Fluss an Instruktionen sowie die Berechtigungsdomäne asynchron. Das steigert die Performance und stellt im Normalfall kein Problem dar, weil die Berechtigungen zum Abschluss einer Operation eigentlich klar sind.

Das Forschungsteam der ETH manipuliert den Instruktionsstrom allerdings derart, dass die Privilegien bis zum Abschluss einer Operation nicht aktualisiert werden. Folglich verschwimmen die Berechtigungsgrenzen – Angreifer können Daten eines eigentlich abgeschotteten, privilegierten Prozesses auslesen. Bei einem Proof of Concept (POC) funktioniert das mit 5,6 KByte/s. In einer Videodemonstration zeigt Comsec, wie ihre Anwendung ein komplexes Passwort ausliest.

Empfohlener redaktioneller Inhalt Mit Ihrer Zustimmung wird hier ein externes YouTube-Video (Google Ireland Limited) geladen. YouTube-Video immer laden Branch Privilege Injection leaking /etc/shadow from kernel memory

Für die Injektion passender Instruktionen orientiert sich das Forschungsteam an einem auslesbaren Cache-Taktsignal, das für Nanosekunden bei der Ausführung von Instruktionen entsteht. Zur Manipulation verwenden sie ein Cache-Signaling-Gadget.

Weiterlesen
  54 Aufrufe

Fortinet dichtet mehrere Lücken ab, Angriffe auf FortiVoice beobachtet

In diversen Produkten von Fortinet schlummern Sicherheitslücken, für die das Unternehmen nun Updates zum Schließen anbietet. EIne Sicherheitslücke in FortiVoice wird bereits in freier Wildbahn angegriffen. Admins sollten die Aktualisierungen daher zügig installieren.

Die schwerwiegendste Sicherheitslücke betrifft FortiCamera, FortiMail, FortiNDR, FortiRecorder und FortiVoice. Angreifer können mit manipulierten HTTP-Anfragen einen Stack-basierten Pufferüberlauf provozieren, der zur Ausführung von beliebigen Code oder Befehlen führt. Derartige Angriffe hat Fortinet der Sicherheitsmitteilung zufolge bereits auf FortiVoice-Geräte beobachtet.

Bei den Angriffen haben die bösartigen Akteure zunächst das Geräte-Netzwerk gescannt, anschließend System-Absturzberichte gelöscht und "fcgi-Debugging" aktiviert, um Zugangsdaten des Systems oder von SSH-Log-in-Versuchen mitzuprotokollieren. Am Ende der Sicherheitsmitteilung nennt Fortinet einige Hinweise, die auf Angriffe hindeuten (Indicators of Compromise, IOCs).

Fortinet stellt Updates bereits, die die Lücke schließen. Allerdings müssen einige ältere Versionen auf eine unterstützte Version aktualisiert werden. Das Sicherheitsleck stopfen FortiCamera 2.1.4, FortiMAil 7.6.3, 7.4.5, 7.2.8 und 7.0.9, FortiNDR 7.4.8, 7.2.5 und 7.0.7, FortiRecorder 7.2.4, 7.0.6 und 6.4.6 sowie FortiVoice 7.2.1, 7.0.7 und 6.4.11 oder jeweils neuere.

Fortinet hat am Dienstag noch weitere aktuelle Sicherheitsmitteilungen zu diversen Produkten veröffentlicht. Admins sollten schauen, ob die von ihnen eingesetzten Fortinet-Appliances und -Systeme betroffen sind und gegebenenfalls die bereitstehenden Updates installieren:

Weiterlesen
  55 Aufrufe

Verbrechernetzwerk ausgehoben: Online-Investmentbetrüger festgenommen

Europol hat eine Operationen gegen ein kriminelles Netzwerk koordiniert, das Online-Investmentbetrug begeht. Strafverfolger haben am Dienstag dieser Woche acht Orte zeitgleich in Albanien, Israel und Zypern durchsucht. Die Behörden beschlagnahmten dabei Beweise für die weitere Untersuchung, darunter elektronische Geräte, Dokumente sowie Bargeld. Ein Verdächtiger wurde zudem in Zypern festgenommen, mit dem Ziel, ihn nach Deutschland auszuliefern.

Es handelt sich dabei um die zweite Aktion in Fällen von Online-Investment-Betrug, bei der die Täter mehr als 100 Opfer um mehr als 3 Millionen Euro gebracht haben. Die Masche war perfide, wie Europol in einer Mitteilung erklärt: Opfer machten eingangs kleinere Überweisungen und wurden dann dazu gedrängt, größere Mengen an Geld zu investieren. Die Täter haben die Opfer dahingehend mit gefälschten Diagrammen, mit ausgedachten Gewinnen, manipuliert. Kriminelle gaben sich als Investment-Broker aus und haben psychologische Tricks genutzt, um die Opfer zur Überweisung substanzieller Beträge zu bringen. Das Geld haben die Betrüger jedoch nie angelegt, sondern sich selbst in die Taschen gesteckt.

Deutsche Behörden haben die Untersuchungen angestoßen, nachdem ein verheiratetes Paar der Betrugsmasche zum Opfer gefallen war. Die Untersuchung offenbarte ein größeres kriminelles Netzwerk. Erste Durchsuchungen gegen die kriminelle Bande fanden bereits im September 2022 in Belgien und Lettland statt. Zwei Verdächtige wurden damals verhaftet und wichtige Beweise gesichert. Damit konnten sieben weitere Mitglieder des Netzwerks identifiziert werden, einschließlich der Manager von Call-Centern, über die Opfer betrogen wurden.

Neben Europol half auch Eurojust aus, um die rechtliche Kooperation über die Grenzen hinweg sicherzustellen. Die Untersuchungen dauern derweil an. Aus Deutschland ist die Abteilung für die Bekämpfung von Internetkriminalität der Staatsanwaltschaft beim Landgericht Itzehoe sowie das LKA Kiel involviert. Zudem sind Strafverfolger aus Albanien, Isreal, dem Vereinigten Königreich sowie Zypern dabei.

Mitte April hat Europol sogar mehr als 230 Festnahmen bei Drogenrazzien gemeldet. Auf die Spur kamen die Strafermittler den Verdächtigen aufgrund von Erkenntnissen aus geknackten Messaging-Diensten.

Weiterlesen
  46 Aufrufe

Umfrage: Viele fallen auf Fake-Shops im Internet herein

Fake-Shops im Internet locken regelmäßig Verbraucher in die Falle: Jeder Vierte (24 Prozent) hierzulande ist schon einmal Opfer von Online-Betrug geworden, wie eine Umfrage im Auftrag der Schufa unter 1.000 Erwachsenen im Februar ergab. Ebenso viele Menschen (25 Prozent) kennen eine Person in ihrem Umkreis, der dies schon einmal passiert ist.

Der Schaden sei oft erheblich: Sechs von zehn Betrugsopfern (61 Prozent) erlitten nach eigenen Angaben einen finanziellen Schaden – etwa, weil ihnen keine oder minderwertige Ware geliefert wurde. Weitere Betrugsmaschen, mit denen Kriminelle oft Erfolg haben:

Scamming, also das Vortäuschen falscher Tatsachen, um ein Opfer zu Geldüberweisungen zu verleiten.Identitätsbetrug: Dabei nutzen Kriminelle unbefugt persönliche Daten anderer Menschen, um sich zu bereichern.Abonnement-Fallen: Nutzer werden in langfristige Verträge gelockt, deren Kosten sich oft erst später herausstellen.

In einem Drittel aller Fälle von Online-Betrug (34 Prozent) lag der Schaden bei 100 bis 1.000 Euro, etwas mehr als jeder Vierte (28 Prozent) hat einen Schaden zwischen 1.000 und 10.000 Euro erlitten. In vier Prozent der Fälle waren es mehr als 10.000 Euro.

Auch sensible Daten wie Passwörter (16 Prozent), Bankdaten oder Kreditkarteninformationen (17 Prozent) sowie persönliche Daten wie Adresse und Geburtsdatum (19 Prozent) gelangten nach Angaben der Geschädigten in die Hände von Kriminellen.

Um sich vor Internetkriminalität zu schützen, setzen Verbraucherinnen und Verbraucher vor allem auf möglichst sichere Passwörter (58 Prozent). Gut ein Drittel (35 Prozent) derjenigen, die bereits Opfer von Online-Betrug geworden sind, hat nach eigenen Angaben danach Login-Daten geändert.

Weiterlesen
  45 Aufrufe

Zoom: Videokonferenzsoftware mit teils hochriskanten Lücken

Das Unternehmen Zoom hat in den Workplace Apps der gleichnamigen Videokonferenzsoftware mehrere Sicherheitslücken entdeckt. Die Entwickler haben aktualisierte Software bereitgestellt, die diese Lücken abdichtet. IT-Verantwortliche sollten die Updates zügig herunterladen und installieren.

Die schwerwiegendste Sicherheitslücke stammt von einer Race-Condition, die sich aufgrund des Prüfungszeitpunkts und des davon abweichenden Einsatzzeitpunkts einer Komponente auftut (Time-of-Check Time-of-Use). Zoom erläutert in der Sicherheitsmeldung nicht, welcher Bestandteil betroffen ist oder wie Angreifer das konkret missbrauchen können. Jedoch können angemeldete Nutzer mit lokalem Zugriff auf das System ihre Rechte dadurch ausweiten (CVE-2025-30663 / noch keine EUVD, CVSS 8.8, Risiko "hoch").

Die Lücken betreffen die Versionen vor den fehlerbereinigten Fassungen der Zoom Workplace (Desktop) App for Android, iOS, Linux, macOS und Windows 6.4.0, dem Workplace VDI Client for Windows 6.3.10 (mit Ausnahme der Fassungen 6.1.16 und 6.2.12), Rooms Controller for Android, Linux, macOS und Windows 6.4.0, Rooms Client for Android, iPad, macOS und Windows 6.4.0 sowie dem Zoom Meeting SDK for Android, iOS, Linux, macOS und Windows 6.4.0. Die aktualisierten Versionen stellt Zoom im Download-Portal zum Herunterladen bereit.

Außerdem haben die Entwickler weitere Sicherheitslücken in den Zoom Workplace Apps in Angriff genommen. Auch dafür stehen Updates bereit, mit denen Admins ihre Systeme gegen Angriffe absichern können. Es handelt sich um folgende Sicherheitslecks in absteigender Reihenfolge des Risikos:

Zoom Workplace Apps - Improper Neutralization of Special Elements, CVE-2025-30664 / kein EUVD, CVSS 6.6, Risiko "mittel"Zoom Workplace Apps for Windows - NULL Pointer Dereference, CVE-2025-30665 & CVE-2025-30666, CVSS 6.5, Risiko "mittel"Zoom Workplace Apps - NULL Pointer Dereference, CVE-2025-30667, CVSS 6.5, Risiko "mittel"Zoom Workplace Apps for Windows - Integer Underflow, CVE-2025-30668, CVSS 6.5, Risiko "mittel"Zoom Workplace Apps for Windows - Buffer Over-read, CVE-2025-46785, CVSS 6.5, Risiko "mittel"

Mitte März mussten IT-Admins mit Zoom-Software in ihren Netzen zuletzt aktiv werden. Updates haben mehrere, teils hochriskante Sicherheitslücken abgedichtet.

Weiterlesen
  45 Aufrufe

Ivanti: Lücken in EPMM attackiert, kritisches Leck in Neurons entdeckt

Ivanti hat zwei Sicherheitsmitteilungen herausgegeben. Darin warnt der Hersteller vor laufenden Angriffen auf Schwachstellen in Ivantis Endpoint Manager Mobile (EPMM) und stopft ein Sicherheitsleck in Ivanti Neurons for ITSM. IT-Verantwortliche sollten umgehend die bereitstehenden Aktualisierungen anwenden.

In der Sicherheitsmeldung zu Ivantis Endpoint Manager Mobile informieren die Entwickler über zwei Sicherheitslücken. Die gravierendere Schwachstelle erlaubt das Einschleusen von Schadcode (CWE-94, Improper Control of Generation of Code). Ivanti liefert keinerlei Details dazu, sondern schreibt lediglich, dass Angreifer aus dem Netz Schadcode auf dem Zielsystem ausführen können (CVE-2025-4428 / EUVD-2025-14387, CVSS 7.2, Risiko "hoch").

Die zweite Lücke ermöglicht Ivantis Beschreibung zufolge die Umgehung der Authentifizierung und dadurch unbefugten Zugriff auf eigentlich geschützte Ressourcen (CVE-2025-4427 / EUVD-2025-14388, CVSS 5.3, Risiko "mittel"). "Wenn die Lücken verknüpft werden, kann ein erfolgreicher Missbrauch zur Ausführung von Schadcode ohne vorherige Authentifizierung führen", schreibt Ivanti. Das Unternehmen weiß demnach von einer begrenzten Zahl von Kunden, deren Installationen zum Meldungszeitpunkt erfolgreich attackiert wurden.

Für mehrere Versionszweige von Ivanti Endpoint Manager Mobile stellt Ivanti aktualisierte Softwarefassungen bereit: 12.5.0.1, 12.4.0.2, 12.3.0.2 und 11.12.0.5. Sie sind im Download-Portal von Ivanti verfügbar.

Außerdem warnt Ivanti vor einer kritischen Sicherheitslücke in Ivanti Neurons for ITSM, die On-Premises-Installationen betrifft. Je nach Konfiguration erlaubt sie Angreifern, administrativen Zugang zum System zu erlangen. Es handelt sich um eine mögliche Umgehung der Authentifizierung, die Ivanti EPMM 2024.3, 2024.2 und 2023.4 betrifft. Der Mai-2025-Sicherheitspatch stopft das Leck (CVE-2025-22462 / EUVD-2025-14498, CVSS 9.8, Risiko "kritisch").

Weiterlesen
  46 Aufrufe

VMware Aria Automation: Sicherheitslücke ermöglicht Sitzungsübernahme

Broadcom warnt vor einer hochriskanten Sicherheitslücke in VMware Aria Automation. Angreifer können sich dadurch unbefugt Zugriff verschaffen. Aktualisierte Software steht zum Herunterladen bereit, die die Schwachstelle ausbessert.

In einer Sicherheitsmitteilung liefert Broadcom einige Informationen zur Sicherheitslücke. Demnach hat der IT-Sicherheitsforscher Bartosz Reginiak in VMware Aria Automation eine DOM-basierte Cross-Site-Scripting-Lücke entdeckt und den Hersteller darüber informiert. Bei dieser Art von Schwachstellen kann durch fehlende Filterung von übergebenen Parametern in URLs Code aus einem Link im Kontext eines Opfers zur Ausführung kommen. Angreifer müssen allerdings ihre Opfer dazu bewegen, zunächst auf einen sorgsam präparierten Link zu klicken.

Angreifer können dadurch an den Zugangstoken von angemeldeten Nutzern gelangen und erhalten dadurch unbefugt Zugriff aufs System. Die Schwachstelle hat den Eintrag CVE-2025-22249 / EUVD-2025-14367 erhalten. Die VMware-Entwickler schätzen das Risiko mit einem CVSS-Wert von 8.2 als "hoch" ein.

Die Sicherheitslücke betrifft neben VMware Aria Automation auch die VMware Cloud Foundation und VMware Telco Cloud Platform. IT-Verantwortliche müssen zur Absicherung vor möglichen Attacken die bereitstehenden Aktualisierungen herunterladen und anwenden. Für VMware Aria Automation sowie VMware Telco Cloud Platform steht das Update auf Version 8.18.1 Patch 2 bereit. Für die VMware Cloud Foundation verlinkt Broadcom zu den Release-Notes des Updates auf Fassung 8.18.1 Patch 2 – darin wird die Cloud Foundation jedoch gar nicht erwähnt.

Zuletzt hatte Broadcom Anfang April vor einer Schwachstelle in VMware Aria Operations gewarnt. Angreifer konnten dadurch ihre Rechte im System ausweiten: "Bösartige Akteure können ihre Rechte zu 'root' auf der Appliance ausweiten", schrieben die Entwickler dazu, ohne jedoch zu erläutern, wie Attacken aussehen könnten.

Weiterlesen
  52 Aufrufe

Betrugsmails von staatlichen Adressen: US-Portal für Scam missbraucht

In den USA ist das Portal eines Anbieters kompromittiert worden, der im Auftrag von Behörden E-Mails an Bürger und Bürgerinnen schickt. In der Folge wurden von staatlichen E-Mail-Adressen Nachrichten mit betrügerischen Links verschickt, berichtet TechCrunch. Darin wurde demnach etwa behauptet, dass die Empfänger oder Empfängerinnen ausstehende Gebühren von mautpflichtigen Straßen bezahlen sollen. Wer auf den mitgeschickten Link geklickt hat, landete aber nicht auf der offiziellen Seite, sondern auf einer nachgebauten Kopie. Die Kampagne erfolgte demnach über einen Dienstleister, dessen Vertrag mit den Behörden schon im Dezember beendet wurde, dessen Zugang aber noch bestanden hat.

Der Einbruch erfolgte laut TechCrunch über einen Account des IT-Unternehmens Granicus, das für Regierungsstellen Dienstleistungen bereitstellt. Eine davon heißt GovDelivery und ermöglicht es Behörden und staatlichen Stellen, Informationen per E-Mail, SMS oder sozialen Netzwerken zu verbreiten. Wie das Unternehmen nun gegenüber der Nachrichtenseite bestätigt hat, haben Unbekannte einen Zugang zu diesem System kompromittiert und so die betrügerischen Nachrichten verschickt. In die Systeme von Granicus selbst sei nicht eingebrochen worden. Das Unternehmen könne sogar herausfinden, an wie viele Individuen die falschen Nachrichten verschickt wurden. Zahlen dazu habe die Firma aber nicht genannt.

Eingestanden wurden die Probleme jetzt von der Regierung des US-Bundesstaats Indiana, mindestens eine Kommune in New Mexico war ebenfalls betroffen. Weiterhin wurde TechCrunch von einer E-Mail berichtet, in der es um angebliche Mautgebühren in Texas ging. Wie weit verbreitet die Betrugskampagne war und ob sie inzwischen komplett beendet ist, ist deshalb unklar. Betrügerische Mails mit Zahlungsaufforderungen sind keine Seltenheit, aber von staatlichen E-Mail-Adressen wirken sie besonders überzeugend. Außergewöhnlich ist in diesem Fall auch noch, dass die Kampagne über Systeme eines Dienstleisters erfolgt, der für die Dienste überhaupt nicht mehr zuständig ist. Der Vertrag mit Indiana ist zum Jahreswechsel ausgelaufen.

(Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.)

(Ursprünglich geschrieben von Heise)

  41 Aufrufe

Patchday Adobe: Schadcode-Attacken auf InDesign und Photoshop möglich

Verschiedene Anwendungen von Adobe sind aufgrund von Schwachstellen verwundbar. Sicherheitsupdates von Adobe zum Mai-Patchday schließen Lücken in Animate, Bridge, ColdFusion, Connect, Dreamweaver, InDesign, Illustrator, Lightroom, Photoshop, Substance 3D Modeler, Substance 3D Painter und Substance 3D Stager.

Admins sollten sicherstellen, dass die Anwendungen auf dem aktuellen Stand sind. Folgende Ausgaben haben die Entwickler gegen mögliche Attacken gerüstet:

Animate 2023 23.0.12 macOS, WindowsAnimate 2024 24.0.9 macOS, WindowsBridge 14.1.7 macOS, WindowsBridge 15.0.4 macOS, WindowsColdFusion 2021 Update 20 alle PlattformenColdFuison 2023 Update 14 alle PlattformenColdFusion 2025 Update 2 alle PlattformenConnect 12.9 alle PlattformenDreamweaver 21.5 macOS, WindowsInDesign ID19.5.3 macOS, WindowsInDesign ID20.3 macOS, WindowsIllustrator 28.7.6 macOS, WindowsIllustrator 29.4 macOS, WindowsLightroom 8.3 alle PlattformenPhotoshop 25.12.3 macOS, WindowsPhotoshop 26.6 macOS, WindowsSubstance 3D Modeler 1.22.0 alle PlattformenSubstance 3D Painter 11.0.1 alle PlattformenSubstance 3D Stager 3.1.1 macOS, Windows

Wer die Updates nicht installiert, riskiert Denial-of-Service- und Schadcode-Attacken. Über eine "kritische" Lücke (CVE-2025-43567) in Connect können sich Angreifer auf einem nicht näher beschriebenen Weg höhere Nutzerrechte verschaffen. Ebenfalls "kritisch" gelten mehrere Schwachstellen (etwa CVE-2025-43559) in ColdFusion. An diesen Stellen können Angreifer unter anderem auf eigentlich nicht zugängliche Dateien zugreifen.

Bislang gibt es keine Berichte, dass Angreifer die Sicherheitslücken bereits ausnutzen. Admins sollten mit der Installation der Patches aber nicht zu lange warten. Weiterführende Informationen listet Adobe in den folgenden Warnmeldungen auf:

Weiterlesen
  42 Aufrufe

Patchday: Angreifer attackieren Windows über fünf Sicherheitslücken

Derzeit haben Angreifer verschiedene Windows- und Windows-Server-Versionen im Visier und nutzen fünf Sicherheitslücken aus. Darunter auch etwa Windows 11 und Windows Server 2022. Im schlimmsten Fall kann Schadcode auf Computer gelangen und Systeme kompromittieren. Zwei weitere Schwachstellen sind bekannt, und es können Attacken bevorstehen.

Die fünf bereits ausgenutzten Lücken (CVE-2025-30400, CVE-2025-30397, CVE-2025-32709, CVE-2025-32701, CVE-2025-32706) betreffen verschiedene Windows-Komponenten. Sie sind alle mit dem Bedrohungsgrad "hoch" eingestuft.

Entfernte Angreifer bringen bei den Attacken etwa Opfer dazu, auf einen präparierten Link zu klicken. Im Anschluss wird Edge in den Internet-Explorer-Modus versetzt, in dem er verwundbar ist. Für den Internet Explorer ist der Support im Juni 2022 ausgelaufen und der Webbrowser bekommt keine Sicherheitsupdates mehr. Weiterhin verschaffen sich Angreifer über eine Schwachstelle im Common-Log-File-System-Treiber System-Rechte.

Sicherheitslücken in Microsoft Defender (CVE-2025-26685, "mittel") und Visual Studio (CVE-2025-32702, "hoch") sind öffentlich bekannt. Microsoft schätzt, dass Attacken darauf bevorstehen können. Auch hier können Angreifer unter anderem Schadcode auf Systeme verfrachten.

Azure ist unter anderem über zwei "kritische" Schwachstellen (CVE-2025-29827, CVE-2025-29972) angreifbar. Hier können sich Angreifer höhere Nutzerrechte verschaffen. Der Großteil der verbleibenden Sicherheitslücken ist mit dem Bedrohungsgrad "hoch" versehen. An diesen Stellen sind unter anderem Schadcode-Attacken auf Excel möglich.

Weiterlesen
  38 Aufrufe

Kritische Schwachstellen in SAP Visual Composer erfordern sofortiges Patching

HotNews Notes im Detail

Die SAP Security Note #3594142, die mit dem höchstmöglichen CVSS-Score von 10.0 versehen ist, wurde am 24. April von SAP in einem Emergency Release veröffentlicht. Der Hinweis behebt eine kritische Schwachstelle in SAP Visual Composer („Missing Authorization Check“), die unter CVE-2025-31324geführt wird. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, potenziell böswillig ausführbare Programmdateien hochzuladen, die das Hostsystem schwer schädigen können. Ein Emergency Release war erforderlich, da SAP und externe Forschungsorganisationen bereits aktive Exploits der Schwachstelle identifiziert hatten.

Am 29. April 2025 nahm die CISA die Sicherheitslücke in ihren „Known Exploited Vulnerabilities Catalog“ auf.

Die Angreifer nutzen öffentliche Informationen, um Exploits auszulösen und Webshells zu missbrauchen, die von den ursprünglichen – inzwischen untergetauchten – Angreifern stammen. Die Onapsis Research Labs (ORL) und andere Sicherheitsfirmen sehen Anzeichen für weitere Angreifer, die bestehende Webshells aus der vorherigen Angriffskampagne nutzen, um neue Angriffe zu starten. ORL hat unter anderem einen Open-Source-Scanner für CVE-2025-31324 für alle SAP-Kunden veröffentlicht.

Während der Analyse der Angriffe im Zusammenhang mit CVE-2025-31324 konnten die ORL zusätzliche Informationen über das Vorgehen der Angreifer an SAP übermitteln. SAP hat sehr schnell auf diese neuen Informationen reagiert und einen zusätzlichen Patch zur Verfügung gestellt, um den Schutz vor dem aktiven Exploit zu verbessern. Die SAP Security Note #3604119, bewertet mit einem CVSS-Score von 9.1, behebt die entsprechende Schwachstelle in der Deserialisierung. Es wird dringend empfohlen, das entsprechende FAQ-Dokument 3605597 und den beigefügten KBA-Hinweis #3593336 zu lesen. Da beide HotNews-Hinweise, #3594142 und #3604119, nur automatisierte Korrekturen für SAP NetWeaver Java AS 7.50 enthalten, umfasst der KBA-Hinweis wichtige Instruktionen für Kunden mit früheren Versionen.

Die HotNews-Hinweise #3587115 und #3581961, jeweils mit CVSS-Score 9.9, sind Aktualisierungen von Patches, die ursprünglich zum SAP April Patch Day veröffentlicht wurden. Die SAP Security Note #3587115 behebt eine Code-Injection-Schwachstelle in SAP Landscape Transformation. Das Update enthält nun auch Patches für die zusätzlichen Softwarekomponenten-Versionen DMIS 2018 und DMIS 2020. Bei der SAP Security Note #3581961 hat SAP lediglich den Titel aktualisiert, um darauf hinzuweisen, dass auch On-Premise-Installationen von S/4HANA von der Sicherheitslücke betroffen sind.

Weiterlesen
  43 Aufrufe

Mai-Patchday: Microsoft schließt Zero-Day-Lücken in Windows und Visual Studio

Microsoft hat die Sicherheitsupdates für den Monat Mai freigegeben. Der Patchday beinhaltet Fixes für 78 Schwachstellen in Windows und anderen Produkten des Unternehmens aus Redmond. Darunter sind sieben Zero-Day-Lücken: Fünf Schwachstellen werden bereits aktiv von Hackern ausgenutzt, zwei weitere Bugs sind öffentlich bekannt.

Das von den Zero-Day-Lücken ausgehende Risiko stuft Microsoft jeweils als hoch ein. Sie erlauben das Einschleusen und Ausführen von Schadcode aus der Ferne, Spoofing und eine nicht autorisierte Ausweitung von Benutzerrechten. Betroffen sind unter anderem alle unterstützten Versionen von Windows und Windows Server, Microsoft Defender und Visual Studio.

Darüber hinaus stopft Microsoft 11 kritische Löcher. Sie stecken in Azure Automation, Azure DevOps, Azure Storage Resource Provider, Microsoft Dataverse, Office Power Apps, Microsoft Virtual Machine Bus sowie dem Remote Desktop Client. Auch hier kann es zu einer Remotecodeausführung, einer Ausweitung von Benutzerrechten, Spoofing oder der Preisgabe von vertraulichen Informationen kommen.

Weitere Patches beheben Fehler im Windows Kernel, im Secure Kernelmodus, Edge, Routing- und RAS-Dienst, Windows Installer, Windows Dateiserver, Windows Medien und SMB. Zudem sind SharePoint, Excel, PowerPoint, Outlook, Skript-Engine und das Dateisystem NTFS angreifbar.

(Ursprünglich geschrieben von Stefan Beiersmann)

  35 Aufrufe

Die Comretix GmbH ist ein IT Systemhaus aus Tuttlingen. Seit über 30 Jahren betreuen wir unsere Kunden in Baden-Württemberg, der Schweiz und im gesamten Bundesgebiet mit Leidenschaft, Fairness und Loyalität. Wir bauen auf eine zuverlässige Partnerschaft mit unseren Lieferanten und Kunden. Unseren Mitarbeitern stehen wir auf Augenhöhe gegenüber.

Image