heise security News

„GTA 6“-ISO: Vermeintliche Leak-Abbilddatei voller Malware

2026-08-24T09:10:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Bösartige Akteure bieten das vermeintlich geleakte ISO von „GTA 6“ im Netz an. Die 113 GByte enthalten aufgepumpte Virendaten.

(Bild: Rockstar Games)

11:10 Uhr

Lesezeit: 3 Min.

Security

Von

Dirk Knop

Cyberkriminelle sind inzwischen äußerst fix bei der Sache, wenn es darum geht, aktuelle Trends und populäre Themen auszunutzen, um Opfern Schadsoftware unterzujubeln. Abermals dient das Spiel „Grand Theft Auto 6“ als Aufhänger, dieses Mal im Speziellen das Leak der Software, hinter dessen Drahtzieher das Studio Take-Two derzeit her ist.

Im Internet bieten Cyberkriminelle nun eine vermeintliche ISO-Datei an, die das Spiel enthalten soll. 113 GByte ist das ISO groß, wie begeistert der User „Golden“ auf X berichtet. Der Dateiname weist auf den Leaker „Cyberleek“ hin, der unter diesem Namen Videoclips vom Gameplay aus einer unfertigen „GTA 6“-Version online gestellt hat: „grand.theft.auto.vi.gta.6.cyberleek.v1.287.0.lucia.repack.iso“ – darum sollten Interessierte jedoch einen großen Bogen machen.

Ein User mit dem Namen „Aidas“ hat diese Datei heruntergeladen und berichtet auf X von seinen Erkenntnissen dazu. Das ISO enthält nicht allzu viele Dateien. Eine „vi.jpg“ zeigt der Screenshot, eine angebliche „VC_redist_x64.exe“, die begehrte „SetupGTAVI.exe“ sowie insgesamt acht „data<Nummer>.doi“-Datendateien. Die Dateigrößen lassen sich leider nicht erkennen.

Angebliches „GTA 6“-Leak: ISO voller Nullen

Aidas hat sich demnach das ISO genauer angesehen. Er gibt an, dass in dem ISO lediglich ein 50 KByte großer Virus stecke und die restlichen Daten leerer Müll seien. Es handele sich buchstäblich um endlose Nullen, das ISO ist also lediglich für mehr Glaubwürdigkeit mit sinnlosen Inhalten aufgepumpt. Der X-User gibt außerdem an, den Bytecode der Datei untersucht zu haben. Darin seien Befehle enthalten, die das gesamte „C:\“-Laufwerk im Windows Defender auf die Whitelist setzen – konkret der Befehl powershell Add-MpPreference -ExclusionPath %SystemDrive%\. Außerdem schieße die Software mittels taskkill -f sämtliche Sicherheitssoftware ab.

Videos by heise

Dazu kommt ein weiteres Indiz, dass es sich nicht um das echte Spiel handeln kann: „GTA 6“ soll am 19. November des Jahres lediglich für Playstation 5 und Xbox Series X/S erscheinen. Eine PC-Version wurde bislang nicht angekündigt. Das sollte jede Neugier im Keim ersticken, ein ISO mit PC-Fassung ist schon deshalb mit allerhöchster Wahrscheinlichkeit nicht echt.

Cyberkriminelle setzen derzeit massiv auf den „GTA 6“-Hype. Vergangene Woche wurde etwa bekannt, dass Webseiten mit echt aussehenden Links unter anderem die „GTA 6“-Webseite imitieren und dort vermeintliche Downloads des Spiels anbieten. Die führen nicht zwingend zu Malware, im konkreten Fall erfolgte die Umleitung auf die Software „Download Studio“, wofür die Drahtzieher hinter der Kampagne Gelder im Rahmen eines Affiliate-Programms erhalten. Aber auch das ist eine unerwünschte Software, schließlich war die geweckte Erwartung, das Spiel frühzeitig zu erhalten.

(dmk)

Top 10: Das beste Tablet im Test

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

„Computer History“: OpenAI bringt Windows-Recall-ähnliche Funktion auf Macs

2026-08-24T08:52:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Business-, Enterprise- und Pro-Nutzer können ihre gesamte Rechnerarbeit unter macOS künftig von ChatGPT mitschreiben lassen. Die Memory-Files liegen offen.

Computer History in Aktion, hier in der Menüleiste: Die KI weiß, was Du neulich getan hast.

(Bild: OpenAI)

10:52 Uhr

Lesezeit: 5 Min.

Mac & i

Von

Ben Schwan

User der offiziellen ChatGPT-App für macOS können nun ein neues Feature aktivieren, das die gesamte Rechnernutzung erfasst. Die Funktion namens „Computer History“ war bereits seit einigen Wochen in den USA und anderen Weltregionen verfügbar, nicht jedoch innerhalb der Europäischen Union. Ende letzter Woche änderte sich das, auch die Freischaltung in der Schweiz, in Norwegen, Island und Großbritannien ist erfolgt. Ein Kurztest zeigt, wie OpenAI das Feature umsetzt und wie die Daten dabei (nicht) geschützt werden. Computer History erinnert dabei an das höchst umstrittene Windows Recall, nur dass hier keine Screenshots auf der Platte landen – allerdings gibt es keinerlei Verschlüsselung.

Aktivierung erst ab 100-Euro-Abo

Einzelnutzer können Computer History, das der Nachfolger des experimentellen Codex-Chronicle-Features ist, nur verwenden, wenn sie das rund 100 Euro teure Pro-Abo nutzen. Ansonsten ist das Feature für Business- und Enterprise-Kunden verfügbar, sofern der zuständige Administrator es zulässt. OpenAI betont, dass es sich um eine Opt-in-Funktion handelt. Ob die Daten auch für das Training der OpenAI-Modelle verwendet werden dürfen, entscheidet offenbar der Trainings-Hauptschalter in den Account-Einstellungen. Dieser war bei unseren Versuchen abgeschaltet. Einzelne Apps, die Computer History nicht erfassen soll, können ausgeschlossen werden, zudem kann man auch bestimmte Websites ausnehmen.

Videos by heise

Computer History erfasst die Daten der Mac-Nutzung über Apples Barrierefreiheitsfunktionen, laut OpenAI unter anderem auch die Tastatur- und Mausnutzung. Da man der ChatGPT-App auch die Möglichkeit einräumen muss, Screenshots anzulegen, könnten auch diese Verwendung finden; ob das in der Praxis so ist, ließ sich nicht feststellen. Die Beobachtung des Nutzers lässt sich in der Menüleiste über das ChatGPT-Icon erkennen. Dieses ist dann mit einem petrolfarbenen Pixel gekennzeichnet und erlaubt die Auswahl eines Computer-History-Menüs. Dort werden dann unter „Recent“ / „Zuletzt verwendet“ die Apps eingeblendet, die ChatGPT erfasst hat. Von dort aus gelangt man auch in die History-Übersicht. Diese fasst in knappen Worten zusammen, welche Tätigkeiten am Rechner erfolgt sind. Das stimmt meistens, teilweise generiert ChatGPT aber auch Unverständliches, etwa indem interne Programmbezeichnungen verwendet werden, wenn man mit ChatGPT selbst gearbeitet hat.

Memory-Dateien einfach im Dateisystem

Interessanter als diese Zusammenfassungen sind die Memory-Dateien, die ChatGPT regelmäßig ablegt und die – zu unserem Erstaunen – im Dateisystem frei zugänglich sind. Man erreicht sie, indem man das Ordnersymbol neben dem Eintrag in den Computer-History-Zusammenfassungen antippt. Die Textdateien, allesamt KI-typisch in Markdown abgefasst, enthalten deutlich detailliertere Infos. Sie liegen im Ordner .codex/memories/extensions/skysight/resources im Nutzerverzeichnis und scheinen nicht gelöscht zu werden. Oft sind diese Dateien aktueller als das, was in der Übersicht in der App erscheint. Es gibt allerdings auch noch einen weiteren, internen Zwischenspeicher, der noch mehr Daten enthält, allerdings nicht direkt zugänglich ist.

ChatGPT halluziniert, es habe eine Notiz nicht lesen können.

(Bild: heise medien)

Diesen kann man abfragen, indem man den Chatbot mit dem Kommando @Computer History anspricht. Darüber gelang es uns unter anderem, sensible besuchte Websites sowie eine als „geheim“ gekennzeichnete Notiz in der Notizen-App abzurufen. Bei letzterer behauptete das Memory-File, sie sei „nicht sicher genug sichtbar“ gewesen, um sie zu lesen – über den Chatbot selbst und obiges Kommando war die Notiz aber problemlos zugänglich. Das Memory-File enthielt auch eine Übersicht über bereits vorhandene Notizen (siehe Screenshot).

Fazit: Gruseliger als Windows Recall

Computer History ist eine mächtige Funktion. Da Nutzer nicht sehen können, was ChatGPT intern wirklich speichert und die Verarbeitung wie üblich in der Cloud erfolgt, ist sie für datenschutzbedachte User kaum zu empfehlen – und in ihrer Informationsfülle sogar gruseliger als Windows Recall. OpenAI verspricht zwar, dass temporäre Daten auf dem Mac nach zwei Tagen gelöscht werden – also offenbar jene, die wir mit @Computer History abfragen konnten –, die ungeschützten Memory-Files bleiben jedoch erhalten. Warum diese nicht verschlüsselt oder anderweitig geschützt werden, bleibt ein Rätsel.

Geheimes Tagebuch ausgelesen, Playgirl besucht: Das Computer-History-Kommando ist mächtig.

Abgespeicherte Passwörter fielen uns zunächst nicht auf, doch das Aufrufen sensibler Websites und die Eingabe sensibler Informationen werden ohne Nachfrage gespeichert. Immerhin ist Computer History nicht standardmäßig aktiv und das Feature bedingt, dass man ein teures Abo nutzt. OpenAI dürfte die Funktion aber später auch kleineren Tarifen zur Verfügung stellen, wenn das Unternehmen seinem Muster folgt. Die anfallenden Daten – bei erlaubtem Training – sind für den KI-Konzern zudem extrem attraktiv, weil damit Systeme trainiert werden können, den Mac besser zu bedienen.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Preisvergleich (heise Preisvergleich) geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (heise Preisvergleich) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

(bsc)

Top 10: Das beste Tablet im Test

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Cyberangriff: Staatssekretär fordert mehr Abwehrmaßnahmen

2026-08-24T08:13:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Monatlich werden in Berlin 1,2 Millionen Cyberangriffe abgewehrt. Der jüngste Angriff auf Senatsverwaltungen löst nun Sorgen aus.

(Bild: Daniel AJ Sokolov)

10:13 Uhr

Lesezeit: 1 Min.

Security

Von

Nach dem Cyberangriff auf das IT-Netz von zwei Berliner Senatsverwaltungen sind nach Einschätzung des Senats dringende weitere Schutzmaßnahmen nötig. „Wir müssen eine umfassende Ursachenanalyse vornehmen, es gibt strukturelle Defizite in der IT“, sagte der Staatssekretär für Digitalisierung, Florian Hauer, im Innenausschuss des Abgeordnetenhauses. „Wir sind gefordert, diese so schnell wie möglich abzustellen und dafür auch notwendige Ressourcen zur Verfügung zu stellen.“

Darüber müsse nach der Abgeordnetenhauswahl im September dann auch in den folgenden Koalitionsverhandlungen gesprochen werden. Monatlich würden in Berlin 1,2 Millionen IT-Angriffe abgewehrt, aber man könne sich nicht gegen jeden Angriff wehren. Der am 14. August entdeckte Angriff sei sehr professionell ausgeführt worden, betonte Hauer.

Videos by heise

Senatsverwaltungen seit dem Wochenende zurück am Netz

Der eingerichtete Notfallstab tage noch immer täglich. „Es gibt keine weiteren Hinweise, dass es noch eine Infiltration gibt, aber das ist eine Momentaufnahme. Es gibt weiter Verdachtsmomente“, so Hauer. Man scanne weiterhin das interne IT-Netz und gehe nach Analysen in die Tiefe und nun auch in die Fläche des Netzes. „Das IT-System des Landes ist sehr groß, wir sind überrascht, wie groß.“

Die beiden betroffenen Senatsverwaltungen für Stadtentwicklung und Verkehr wurden am Wochenende wieder an das Internet angeschlossen. Nach dem Angriff am 14. August waren sie abgetrennt worden und damit vom Internet abgeschnitten, intern grundsätzlich aber arbeitsfähig.

(dmk)

Top 10: Das beste Tablet im Test

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Microsoft stopft zahlreiche Cloud-Schwachstellen

2026-08-24T06:19:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Microsoft dokumentiert 18 teils kritische Sicherheitslücken in Cloud-Produkten, die die Entwickler geschlossen haben.

(Bild: FON's Fasai/Shutterstock.com)

08:19 Uhr

Lesezeit: 3 Min.

Security

Von

Dirk Knop

Die gute Nachricht vorweg: Da es um Cloud-Produkte von Microsoft geht, müssen IT-Verantwortliche nicht aktiv werden, das Unternehmen hat die Sicherheitslücken bereits serverseitig gepatcht. Berichte über bereits attackierte Lücken etwa in Microsofts Entra ID waren jedoch verfrüht, Microsoft hat die fehlerhafte Angabe inzwischen korrigiert.

Die Schwachstellen hat Microsoft am vergangenen Freitag veröffentlicht. Zur kritischen Sicherheitslücke CVE-2026-69836 in Entra ID schrieb Microsoft zunächst, dass sie bereits attackiert wurde (Exploited: Yes). Der Versionsverlauf zeigt auf, dass Microsoft im Laufe des Freitags das schließlich korrigiert und den Eintrag auf „No“ gesetzt hat – die Lücke wurde doch nicht in freier Wildbahn angegriffen. Die Liste der in der Nacht zum Freitag veröffentlichten und geschlossenen Lücken in den Azure-Diensten ist etwas länger:

Microsoft Entra ID Remote Code Execution Vulnerability (CVE-2026-69836, CVSS 10.0, Risiko „kritisch“)
Azure Managed Instance for Apache Cassandra Remote Code Execution Vulnerability (CVE-2026-65770, CVSS 10.0, Risiko „kritisch“)
Azure Arc Elevation of Privilege Vulnerability (CVE-2026-69555, CVSS 10.0, Risiko „kritisch“)
Azure SQL Database Elevation of Privilege Vulnerability (CVE-2026-69502, CVSS 10.0, Risiko „kritisch“)
Azure Arc Elevation of Privilege Vulnerability (CVE-2026-65816, CVSS 10.0, Risiko „kritisch“)
Microsoft Exchange Online Elevation of Privilege Vulnerability (CVE-2026-65801, CVSS 10.0, Risiko „kritisch“)
Microsoft Entra ID Elevation of Privilege Vulnerability (CVE-2026-69851, CVSS 9.9, Risiko „kritisch“)
Azure SQL Database Elevation of Privilege Vulnerability (CVE-2026-68789, CVSS 9.9, Risiko „kritisch“)
Azure SQL Database Elevation of Privilege Vulnerability (CVE-2026-68782, CVSS 9.9, Risiko „kritisch“)
Azure Logic Apps Elevation of Privilege Vulnerability (CVE-2026-69400, CVSS 9.6, Risiko „kritisch“)
Azure Data Factory Elevation of Privilege Vulnerability (CVE-2026-62834, CVSS 9.3, Risiko „kritisch“)
Azure SQL Database Elevation of Privilege Vulnerability (CVE-2026-66309, CVSS 9.1, Risiko „kritisch“)
Microsoft Partner Center Information Disclosure Vulnerability (CVE-2026-69558, CVSS 8.6, Risiko „hoch“)
Azure Stack HCI Information Disclosure Vulnerability (CVE-2026-69519, CVSS 8.6, Risiko „hoch“)
Azure Data Factory Information Disclosure Vulnerability (CVE-2026-66800, CVSS 8.6, Risiko „hoch“)
Azure Virtual Machines Elevation of Privilege Vulnerability (CVE-2026-69543, CVSS 8.5, Risiko „hoch“)
Azure Data Manager for Energy Remote Code Execution Vulnerability (CVE-2026-69419, CVSS 8.5, Risiko „hoch“)
Microsoft Copilot in Azure Information Disclosure Vulnerability (CVE-2026-69855, CVSS 7.7, Risiko „hoch“)

Videos by heise

Doch (noch) keine Cyberangriffe

Zu keiner der Lücken schreibt Microsoft (mehr), dass sie bereits von bösartigen Akteuren angegriffen wurden. Die Menge an kritischen Lücken teils mit Höchstwertung des Risikos von CVSS 10.0 etwa in besonders sensiblen Diensten wie Microsoft Exchange Online ist dennoch überraschend.

Zuletzt wurde vergangenen Donnerstag bekannt, dass Microsoft auf seinen Servern Sicherheitslücken geschlossen hat. Da ging es jedoch um den KI-Assistenten Copilot. Der hatte vor der Korrektur auf Nachfrage preisgegeben, über welche Schwachstellen er angreifbar ist.

(dmk)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Nach Cyberangriff: Senatsverwaltungen wieder am Netz

2026-08-24T04:47:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Wegen einer Cyberattacke waren zwei Senatsverwaltungen aus Sicherheitsgründen vom Netz genommen worden. Nach mehr als einer Woche sind sie wieder online.

(Bild: kubais / Shutterstock.com)

06:47 Uhr

Lesezeit: 1 Min.

Security

Von

„Alle Senatsverwaltungen sind wieder ans Landesnetz Berlin angeschlossen und grundsätzlich arbeitsfähig“, teilte Berlins Regierender Bürgermeister Kai Wegner (CDU) mit.

Laut Senatskanzlei stehen damit auch die in den Bezirken genutzten Fachverfahren grundsätzlich wieder zur Verfügung. „Es ist allerdings nicht ausgeschlossen, dass es zu Beginn noch vereinzelt zu Beeinträchtigungen und Verzögerungen in den Arbeitsprozessen kommen kann.“

Der Cyberangriff war am 14. August entdeckt worden. Aus Sicherheitsgründen wurden daraufhin die beiden Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz vom Landesnetz abgetrennt. Sie waren seitdem vom Internet abgeschnitten, intern grundsätzlich aber arbeitsfähig.

Videos by heise

Auszahlung von Wohngeld war gefährdet

Die Probleme wirkten sich aber auf Bereiche aus, die an die Ressorts angeschlossen sind. Betroffen waren die Auszahlung des Wohngelds und Leistungen aus dem Bildungs- und Teilhabepaket für Kinder und Jugendliche.

Die beiden Senatsverwaltungen hätten Sofortmaßnahmen zur Erhöhung ihrer IT-Sicherheit veranlasst, teilte die Senatskanzlei mit. „Dies beinhaltet auch eine kontinuierliche erhöhte Überwachung ihrer IT-Systeme.“

(dmk)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Britische Regierung bestätigt Cyberattacke auf Kraftwerk

2026-08-23T14:46:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Für vier Tage haben Angreifer in Großbritannien ein Kraftwerk abgeschaltet. Die Behörden warnen und besänftigten zugleich.

(Bild: hyotographics / Shutterstock.com)

23.08.2026, 16:46 Uhr

Lesezeit: 3 Min.

Von

Nico Ernst

Am Wochenende hat die britische Regierung Medienberichte über eine erfolgreiche Cyberattacke auf ein Kraftwerk im Vereinigen Königreich bestätigt. Zu den mutmaßlichen Identitäten der Angreifer, der Motivation und auch dem Standort der Anlage gibt es keine offiziellen Angaben. Bemerkenswert sind folglich nicht nur der Angriff an sich, sondern auch der aktuelle Umgang der Behörden damit.

Zuerst hatte am Samstag die Tagezeitung Telegraph exklusiv berichtet. Demnach kam es im Juli 2026 zu Cyberangriffen in den USA und Großbritannien. Dabei wurde auch ein nicht genauer benanntes Kraftwerk im Vereinigten Königreich so getroffen, dass es für vier Tage vom Netz gehen musste. Es soll sich um eine kleinere Anlage gehandelt haben, sodass die allgemeine Stromversorgung nicht gefährdet wurde.

Dass es den Vorfall gab, hat danach am Sonntag auch die britische Regierung bestätigt, wie die Financial Times (FT) berichtet. Die Cyberabwehrbehörde National Cyber Security Centre (NCSC), eine Abteilung des britischen Geheimdienstes GCHQ, soll vor und nach dem Angriff die Betreiber kritischer Infrastruktur über eine akute Bedrohungslage informiert haben. Diese soll seit dem Beginn der Angriffe der USA und Israels auf den Iran im Februar bestehen. Dass es sich bei den Cyberakteuren, die den Kraftwerksausfall verursacht haben, um iranisch motivierte Kriminelle handeln soll, gaben die Behörden jedoch nicht an. Der Telegraph macht in seinem ersten Bericht ausdrücklich den Iran verantwortlich.

Vorfall lag unter Meldeschwelle

Ein Sprecher der Regierung sagte der FT auch, dass die betroffene Anlage so klein gewesen sei, dass deren Ausfall sogar noch unter die Schwelle für entsprechenden Meldevorschriften gefallen sei. Diese Zeitung zieht auch eine unmittelbare Parallele zu Attacken aus dem Juli auf die Wasserversorgung in den USA. Dafür wird laut FT eine iranische Gruppe namens „CyberAv3ngers“ verantwortlich gemacht, die von den iranischen Revolutionsgarden gesteuert werden soll. Diese Personen sollen sich auf speicherprogrammierbare Steuerungen spezialisiert haben, wie sie in Kraftwerken und anderen Versorgungseinrichtungen zum Einsatz kommen. Weitere technische Details zu den Attacken gaben weder die britischen Medien noch die Behörden bisher preis.

Videos by heise

Dass neben den USA auch das Vereinigte Königreich derzeit besonders im Fokus mutmaßlich staatlicher Cyberangreifer steht, ist offensichtlich. Großbritannien gilt seit jeher als engster Verbündeter der Vereinigten Staaten. Auf Ebene der Geheimdienste, die bei der aktuellen Aufklärung eine entscheidende Rolle spielen, sind USA und UK neben Australien, Kanada und Neuseeland im Verbund der „Five Eyes“ gemeinsam organisiert.

(nie)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Beinahe militärische Telefonate abgehört: Deutsche Hackerin kaperte ENUM-Domains

2026-08-21T11:00:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Einige Inselnationen hatten geschlampt und ihre Telefonie angreifbar gemacht. Die Sicherheitsbehörden reagierten erst spät und nach einem Raketenangriff.

Luftfoto von Diego Garcia

(Bild: Kev1ar82/Shutterstock.com)

21.08.2026, 13:00 Uhr

Lesezeit: 5 Min.

Security

Von

Dr. Christopher Kunz

Schlecht gepflegte Domains bergen ein hohes Missbrauchspotenzial, davon kann fast jeder Netzbürger ein Lied singen. Durch gezielte Übernahme von wichtigen Domains lassen sich Phishing-Angriffe starten und E-Mails abfangen – oder gar Telefonate abhören. Wie das geht, hat die Hackerin Lina demonstriert.

Sie setzte bei einer heutzutage fast unbekannten Internetdomain an: e164.arpa ist eine Spezialdomain wie in-addr.arpa und dient zur Adressierung von Telefonnummern in DNS-Namen. Die Idee: Statt über das teure und anfällige Telefonnetz sollten Gespräche künftig über das Internet vermittelt werden. Wer den heise-Verlag unter seiner Hannoveraner Telefonnummer anrufen wollte, solle statt 0511 53520 den DNS-Namen 0.2.5.3.5.1.1.5.9.4.e164.arpa auflösen und erhielte dann Informationen zum zuständigen Telefoniedienst.

Die Idee hört auf den Namen ENUM (E.164 number to URI mapping), setzte sich in der Praxis jedoch nicht durch. Dennoch: Domains unterhalb des Namensraums e164.arpa (benannt nach dem ITU-T-Standard E.164 zur einheitlichen Schreibweise von Rufnummern) gibt es auch in Deutschland, hier verwaltet von der DENIC e.G. Hierzulande lautet die ENUM-Subdomain 9.4.e164.arpa.

Hijacken, wo andere Urlaub machen

Doch diese Geschichte spielt an einem erheblich exotischeren Ort als dem Frankfurter Rechenzentrumsviertel, nämlich auf Napoléons Exilstätte St. Helena, Ascension Island und den britischen Überseegebieten im Indischen Ozean. Alle drei besitzen eigene Landesvorwahlen (+290, +247 und +246) und die zugehörigen ENUM-Domains. Lina fand heraus, dass deren DNS-Namen verwaist waren, die beiden zuständigen Nameserver existierten offenbar nicht mehr.

Mehr noch: Die Domain eines der beiden Nameserver, enum.org.uk, war gelöscht und zur Neuregistrierung freigegeben – die Hackerin ergriff die Gelegenheit. Nun hatte sie alle notwendigen Zutaten für eine „Hackerin-in-the-Middle“-Attacke: Sie kontrollierte alle Antworten auf ENUM-Anfragen für Rufnummern der drei Inselgruppen. So hätte sie eigene SIP-Server (Session Initiation Protocol) für zuständig erklären und Anrufe abfangen oder abhören können.

Videos by heise

ENUM: Wer nutzt das noch?

Doch wer nutzt die sterbende ENUM-Adressierung überhaupt noch? Das versuchte die Tüftlerin herauszufinden, indem sie alle Anfragen für ENUM-Subdomains der Inseln mitschrieb. Zunächst erfolglos: Innerhalb eines Tages lief kein einziger Eintrag in St. Helena auf. Ein halbes Jahr später sah die Situation anders aus: Über 100.000 Anfragen für Rufnummern auf den Inseln Diego Garcia und Ascension Island, die meisten aus den USA. Das bedeutete: Irgendwo in den Vereinigten Staaten versuchte ein Telefonanbieter, Anrufe mittels ENUM auf die Inseln zu vermitteln. Erst als das fehlschlug, weil Linas DNS-Server keine gültigen Antworten lieferte, sondern lediglich Anfragen protokollierte, griff der Anbieter auf andere Mittel zum Verbindungsaufbau zurück.

Während auf Ascension Island etwa 800 Personen leben, hat Diego Garcia keine zivile Bevölkerung – dafür aber eine britische und eine US-amerikanische Militärbasis. Auch auf Ascension gibt es einen Stützpunkt, der von der NSA und dem britischen GCHQ genutzt wird. Die Anrufe waren also für Militärangehörige gedacht, womöglich Gespräche mit ihren daheimgebliebenen Angehörigen.

Ein böswilliger Angreifer hätte mit Leichtigkeit all diese Anrufe über seine eigenen Server umleiten und aufzeichnen können, so Lina. Für feindliche Nationen ein gefundenes Fressen: „Bei Tausenden Anrufen zwischen Soldaten und ihren Familien dürfte hier und da eine geheime Information herausrutschen“, schätzt die Hackerin die Lage ein.

Melde-Odyssee

Den Missstand aus der Welt zu schaffen, entpuppte sich als Irrfahrt durch die Bürokratie weltweiter Kommunikationsgremien. Das für die Domain e164.arpa verantwortliche RIPE NCC (Réseaux IP Européens Network Coordination Centre) erklärte sich für nicht zuständig und verwies auf die ITU-T (International Telecommunications Union Telecommunication Standardization Sector). Auch die britischen Behörden, die die IT-Sicherheit in den ehemaligen Übersee-Besitzungen verantworten, reagierten zunächst nicht.

Erst im März dieses Jahres, womöglich alarmiert durch einen iranischen Raketenangriff auf Diego Garcia, erwachte das Interesse der britischen Cybersicherheitsbehörde NCSC. Diese ließ sich die Domain von Lina überschreiben und parkt seitdem eine inhaltsleere Landeseite darauf. Die Hackerin zieht in ihrem Blog ein lapidares Fazit: „Ich habe 10 Euro an Domaingebühren ausgegeben, aber wenigstens hat mir niemand die Tür eingetreten.“

Das Schicksal des ENUM-Systems ist derweil unklar. Im Mai hatte das RIPE NCC mit einem Vorstoß für Kontroversen gesorgt, die Domain e164.arpa zu löschen. Der Initiative war eine Überprüfung der länderspezifischen ENUM-Subdomains vorausgegangen – bei der nur 28 von 46 noch funktionierten.

(cku)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Lücke in WordPress-Plug-in Elementor Pro: 6 Millionen Webseiten gefährdet

2026-08-21T10:24:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Eine kritische Sicherheitslücke im WordPress-Plug-in Elementor Pro ermöglicht die komplette Übernahme von WordPress.

(Bild: janews/Shutterstock.com)

21.08.2026, 12:24 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

Das WordPress-Plug-in Elementor Pro kommt auf mehr als sechs Millionen aktive Installationen, es ist also weit verbreitet. Daher wiegt eine nun entdeckte Schwachstelle umso schwerer, da sie nicht angemeldeten Angreifern aus dem Netz das Hochladen beliebiger Dateien erlaubt; am Ende einer Angriffskette steht dabei die vollständige Übernahme einer verwundbaren WordPress-Instanz.

Davor warnt das IT-Sicherheitsunternehmen Wordfence aktuell. Konkret erlaubt die Sicherheitslücke bösartigen Akteuren aus dem Netz ohne vorherige Authentifizierung, beliebige Dateien einschließlich ausführbarer PHP-Dateien auf anfällige Instanzen hochzuladen. Voraussetzung für einen Missbrauch der Lücke ist, dass eine Seite mit einem Elementor-Pro-Formular-Widget mit mindestens einem Datei-Hochladen-Feld veröffentlicht wurde, dieses muss nicht als „notwendig“ markiert sein. Auslöser ist demnach ein Logikfehler bei der Überprüfungsfunktion von Uploads (CVE-2026-32475, CVSS 9.8, Risiko „kritisch“).

Elementor Pro: Update verfügbar

Wordfence hat die Schwachstelle im Rahmen des Bug-Bounty-Programms des Unternehmens gemeldet bekommen. Der Melder erhält dafür 15.600 US-Dollar Belohnung – das ist ein ungewöhnlich hoher Betrag und deutet auf den Schweregrad in der Praxis für WordPress-Betreiber hin. Die IT-Sicherheitsforscher haben das Elementor-Team Ende Juli über das Sicherheitsleck informiert. Seit Mittwoch, 19. August, steht nun die fehlerbereinigte Softwareversion 4.2.2 bereit. Admins sollten prüfen, ob ihre Instanzen bereits den aktuellen Stand aufweisen und die Aktualisierung gegebenenfalls zügig nachholen.

Videos by heise

Erst Anfang der Woche wurden Schwachstellen in den populären WordPress-Plug-ins Forminator Forms und Royal Elementor Addons bekannt. Auch dort ließ sich durch Hochladen ausführbarer Dateien ohne vorherige Authentifizierung Schadcode einschleusen und damit ganze Instanzen kompromittieren. Die Plug-ins kommen auf jeweils mehr als 600.000 aktive Installationen.

(dmk)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Dell ObjectScale: Höhere Nutzerrechte erschleichbar

2026-08-21T09:28:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Sicherheitsupdates schließen mehrere Lücken in Dells Object-Storage-Plattform ObjectScale.

(Bild: Tatiana Popova/Shutterstock.com)

21.08.2026, 11:28 Uhr

Lesezeit: 1 Min.

Security

Von

Dennis Schirrmacher

Dell ObjectScale ist insgesamt über sieben Sicherheitslücken angreifbar. Eine abgesicherte Version steht zum Download bereit.

Eine Object-Storage-Plattform macht aus vielen Servern einen riesigen, verteilten Datenspeicher, in dem Daten als Objekte mit eindeutiger Adresse abgelegt werden — typischerweise sind das Fotos, Videos, Backups, Log-Dateien, KI-Trainingsdaten und andere unstrukturierte Massendaten.

Sicherheitsupdate installieren

In einer Warnmeldung versichern die Entwickler, die Schwachstellen in der Version 4.3.0.1 geschlossen zu haben. Alle vorigen Ausgaben seien verwundbar. In den meisten Fällen kann sich ein Angreifer mit niedrigen Rechten offensichtlich durch manipulierte Anfragen höhere Nutzerrechte aneignen (etwa CVE-2026-56686 „hoch“).

Videos by heise

Es kann aber auch Schadcode auf Computer gelangen (CVE-2026-56685 „hoch“) oder es können Daten leaken (CVE-2026-59911 „mittel“). Seitens Dell gibt es derzeit keine Hinweise, dass Angreifer bereits Instanzen attackieren.

(des)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

l+f: Wörterbuchverlag beweist Humor

2026-08-21T08:11:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Der Wörterbuchverlag Merriam-Webster beweist mit einem Beitrag auf X Humor.

(Bild: heise medien / Screenshot)

21.08.2026, 10:11 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

Der Verlag Merriam-Webster hat auf X einen Post veröffentlicht, der insbesondere IT-Sicherheitskennern ein Lächeln ins Gesicht zaubern dürfte. Die Macher des renommierten Wörterbuchs schreiben dort: „Wenn du ein neues Passwort brauchst, haben wir ein ganzes Buch voller Vorschläge.“ Die erste Antwort darauf lautet: „Zufälligerweise gibt es auch eine Passwort-Knack-Technik, die nach euch benannt ist.“ Darauf reagiert der Verlag mit einem überrascht wirkenden „Oh nein“.

Mit seinem ersten Beitrag spielt der Wörterbuch-Verlag auf den gängigen Sicherheitshinweis an, anstatt auf ein herkömmliches Passwort auf eine Passphrase zu setzen. Da es bei der Knackbarkeit von Passwörtern vor allem auf die Länge ankommt und weniger auf die Komplexität, sind Passphrasen inzwischen der beste Ratschlag, wenn es zwingend noch ein Passwort sein muss. c’t-Redakteur Ronald Eikenberg hat das auch einmal im Video erklärt. Der Kommentar in der Antwort darauf zielt hingegen auf die sogenannte Wörterbuch-Attacke ab, wobei Angreifer häufig verwendete Wörter und deren Kombinationen mit (einfachen) Schemata austesten.

Sichere Passwort-Wahl

Besonders komplexe Passwörter nach Regelwerken wie Groß- und Kleinschrift, Sonderzeichen und Zahlen führen entweder dazu, dass Nutzerinnen und Nutzer solche Passwörter nach zu einfachen Regeln erstellen, die dadurch leichter zu knacken sind. Oder sie können sich schlechtestenfalls diese Passwörter aber gar nicht merken – gut, dagegen gibt es als Abhilfe Passwortmanager. Jedoch schaffen es Passphrasen mit wenigen einfachen Worten bereits, herausragende Passwortlängen zu erreichen. Zudem kann man sie sich gut merken, wenn sich daraus etwa eine kleine Geschichte oder Situation als Gedächtnisstütze erstellen lässt.

Videos by heise

Auch die Macher des Web-Comics xkcd haben dem Thema ein Comic gewidmet. Sie unterschreiben ihren Comic-Strip mit der spitzen Zusammenfassung: „In den vergangenen 20 Jahren haben wir allen erfolgreich antrainiert, Passwörter zu nutzen, die für Menschen schwer zu merken, für Computer jedoch leicht zu erraten sind.“

Lost+Found: Besondere News-Schnippsel

In der Reihe „lost+found“ greifen wir unregelmäßig News-Schnippsel auf, die es eigentlich nicht zur eigenen Meldung schaffen würden, aber schlicht zu schade für den digitalen Mülleimer sind. Hier finden Sie weitere Highlights aus unserer Sammlung.

(dmk)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Atlassian schließt mehr als 160 Sicherheitslücken in Confluence & Co.

2026-08-21T08:00:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Angreifer können unter anderem an kritischen Schadcode-Schwachstellen in Softwareprodukten von Atlassian ansetzen.

(Bild: Alfa Photo/Shutterstock.com)

21.08.2026, 10:00 Uhr

Lesezeit: 2 Min.

Security

Von

Dennis Schirrmacher

Auch wenn es bislang noch keine Berichte zu laufenden Attacken gibt, sollten Admins ihre Atlassian-Anwendungen zeitnah auf den aktuellen Stand bringen. Ansonsten können Angreifer an insgesamt 162 Sicherheitslücken ansetzen und Systeme im schlimmsten Fall vollständig kompromittieren.

Wie aus einer aktuellen Warnmeldung von Atlassian hervorgeht, sind konkret jeweils in den Data-Center- und Server-Ausgaben Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, Jira und Jira Service Management betroffen.

Auswirkungen von möglichen Attacken

Insgesamt gelten den Entwicklern zufolge zehn Sicherheitslücken als „kritisch“. Das sind etwa eine DoS-Schwachstelle (CVE-2026-59873) und eine Man-in-the-Middle-Lücke (CVE-2026-53434) in Confluence. So können Angreifer Dienste abstürzen lassen oder Verbindungen belauschen.

Videos by heise

Durch eine weitere kritische Lücke (CVE-2026-4800) kann aus der Ferne Schadcode auf PCs mit Jira gelangen. Davon ist Jira Service Data Management ebenfalls betroffen. Der Großteil der verbleibenden Schwachstellen ist mit dem Bedrohungsgrad „hoch“ eingestuft.

Um mögliche Attacken vorzubeugen, müssen Admins sicherstellen, dass die folgenden Versionen installiert sind:

Bamboo Data Center and Server 12.1.10 (LTS) recommended Data Center Only, 10.2.22 (LTS) Data Center Only
Bitbucket Data Center and Server 10.4.2 Data Center Only, 10.2.6 (LTS) recommended Data Center Only, 9.4.23 (LTS) Data Center Only
Confluence Data Center and Server 10.2.15 (LTS) recommended Data Center Only, 9.2.23 (LTS) Data Center Only
Crowd Data Center and Server 7.2.2 to 7.2.3 recommended Data Center Only
Fisheye/Crucible 4.9.13 recommended
Jira Data Center and Server 11.3.10 (LTS) recommended Data Center Only, 10.3.24 (LTS) recommended Data Center Only
Jira Service Management Data Center and Server 11.3.10 (LTS) recommended Data Center Only, 10.3.24 (LTS) Data Center Only

Auch im Juli hatte Atlassian in seinen diversen Produkten zahlreiche Schwachstellen ausgebessert.

(des)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Zimbra: Warnung vor Angriffen auf Befehlsschmuggel-Lücke

2026-08-21T07:12:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Das polnische CERT warnt vor Angriffen auf eine Befehlsschmuggel-Lücke in der Zimbra Collaboration Suite. Ein Update ist verfügbar.

(Bild: Skorzewiak/Shutterstock.com)

21.08.2026, 09:12 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

In der Zimbra Collaboration Suite (ZCS) haben die Entwickler bereits vor einigen Wochen mit einer aktualisierten Fassung Sicherheitslücken geschlossen. Jetzt haben Angreifer angefangen, eine davon aktiv zu missbrauchen.

Davor warnt das polnische CERT aktuell in einer Ankündigung. Demnach können Angreifer aus dem Netz ohne vorherige Authentifizierung die fragliche Schwachstelle missbrauchen, um beliebige Shell-Befehle einzuschleusen und dabei mit den Rechten des Users „zimbra“ auszuführen. Dazu muss jedoch der SNMP-Trap-Dienst mittels Parameter „snmp_notify“ aktiviert und der Swatchdog-Dienst eingeschaltet sein – letzteres ist standardmäßig der Fall, das zimbra-snmp-Paket ist hingegen optional (CVE-2026-73570, CVSS 8.9, Risiko „hoch“). Die Lücke verpasst deshalb die Einstufung als kritisches Risiko nur äußerst knapp.

Die IT-Spezialisten des CERT.pl machen keine Aussagen zu Art und Umfang der Cyberangriffe. Die missbrauchte Lücke haben die Programmierer in der Fassung 10.1.20 und neueren von Zimbra geschlossen. IT-Verantwortliche sollten ihre Instanzen daher auf diesen oder einen neueren Softwarestand bringen.

Anzeichen für erfolgreiche Angriffe

Das CERT nennt noch Hinweise für erfolgreiche Angriffe (Indicators of Compromise, IOC), mit denen Admins prüfen können, ob ihre Installationen attackiert wurden. Demnach finden sich nach den aktuell entdeckten Angriffen in den Zimbra-Protokollen, die standardmäßig unter /var/log/zimbra.log liegen, Einträge der Art:

Service status change: <malicious payload> changed from stopped to running
Service status change: <malicious payload> changed from running to stopped

Außerdem sollen Admins prüfen, ob der User „zimbra“ in den vergangenen 30 Tagen Dateien in folgenden Verzeichnissen erstellt hat:

/opt/zimbra/jetty/webapps/
/opt/zimbra/jetty_base/webapps/
/tmp/

Videos by heise

Schwachstellen in ZCS stehen bei Cyberkriminellen hoch im Kurs. Zimbra läuft oft in Regierungs- sowie in Forschungs- und Bildungseinrichtungen. Ende Juli wurde etwa bekannt, dass russische Akteure bereits seit einem Jahr unter anderem eine Zero-Click-Sicherheitslücke in Zimbra missbraucht haben, um Ziele wie westliche Regierungen, kommerzielle sowie Bildungseinrichtungen, den Energiesektor, Strafverfolger, Medien, Nichtregierungsorganisationen und den Technologiesektor anzugreifen.

(dmk)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Cyberangriff in Berlin: Behörden weiterhin offline

2026-08-21T05:11:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Zwei Senatsverwaltungen sind nach einem Cyberangriff vom Landesnetz isoliert. Das hat auch Auswirkungen auf die Auszahlung von Wohngeld.

(Bild: anystock/Shutterstock.com)

21.08.2026, 07:11 Uhr

Lesezeit: 1 Min.

Security

Von

Nach dem Cyberangriff auf das Berliner Landesnetz sind die beiden betroffenen Senatsverwaltungen weiterhin vom Landesnetz abgeschnitten. „Die beiden Senatsverwaltungen sind weiterhin vom Landesnetz Berlin isoliert. Die forensischen Untersuchungen dauern an“, teilte die Sprecherin der Senatskanzlei auf Anfrage mit.

Wann die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Umwelt und Klimaschutz wieder voll funktionsfähig sein werden, blieb offen.

Der IT-Angriff war am Freitag entdeckt worden. Aus Sicherheitsgründen wurden die beiden betroffenen Behörden vom Landesnetz abgetrennt. Sie sind seit Tagen vom Internet abgeschnitten und können keine Mails nach außen versenden. Die Probleme wirken sich auch auf Bereiche aus, die an die Senatsverwaltungen angeschlossen sind.

Videos by heise

Probleme bei Wohngeld

So ist unter anderem die Auszahlung des Wohngelds an mehr als 50.000 berechtigte Haushalte in Berlin nicht möglich. Das gilt auch für die Leistung „Bildung und Teilhabe“, die verschiedene Unterstützungsangebote umfasst für Kinder und Jugendliche wie etwa eine Übernahme von Kosten für Ausflüge von Schulen oder Kitas.

Die zuständige Senatsverwaltung arbeite mit Hochdruck an einer Lösung, um die Auszahlung sicherzustellen, teilte die Senatskanzlei weiter mit.

(dmk)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Auslegungssache 166: Datenherausgabe auf Zuruf?

2026-08-21T04:10:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Neue EU-Regeln erlauben Ermittlern, Daten direkt bei Anbietern im Ausland anzufordern. Wir diskutieren über kurze Fristen und Risiken für Grundrechte.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Podigee GmbH) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

(Bild: heise medien)

21.08.2026, 06:10 Uhr

Lesezeit: 3 Min.

c't Magazin

Von

Holger Bleich

Seit dem 18. August gilt in der EU die E-Evidence-Verordnung (EEVO). Sie soll Ermittlungen über Ländergrenzen hinweg beschleunigen. Behörden können sich nun direkt an Diensteanbieter in anderen EU-Staaten wenden und verlangen, dass diese Daten zu Tatverdächtigen herausgeben oder sichern. Langwierige staatliche Rechtshilfe soll dadurch in vielen Fällen entfallen.

Die Regeln erfassen weit mehr als große Telekommunikations- und Internetkonzerne. Auch Hosting- und Cloud-Dienste, E-Mail-Anbieter, Domain-Verwalter, soziale Netzwerke und Betreiber von Foren können von Strafverfolgern angefragt werden. Sie müssen sich bei einem EU-Portal registrieren. Selbst Anbieter außerhalb der EU müssen mitmachen, wenn sie ihre Dienste in Europa anbieten, und eine bevollmächtigte Stelle in der EU melden.

Knappe Fristen

Rechsanwalt Thomas Rickert erläutert im c’t-Podcast Auswirkungen der nun wirksamen E-Evidence-Verordnung.

In Episode 166 des c't-Datenschutz-Podcasts Auslegungssache diskutieren Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich die Folgen mit dem Rechtsanwalt Thomas Rickert. Er arbeitet vor allem zu Datenschutz- und IT-Themen und ist Geschäftsführer der Legal-Tech-Plattform EviGate, die Unternehmen bei der Bearbeitung solcher Anfragen unterstützt.

Besonders kritisch sehen die Gesprächspartner die knappen Fristen. Für gewöhnliche Herausgaben bleiben zehn Tage. Droht Gefahr für Leib und Leben oder für wichtige Infrastruktur, müssen Anbieter innerhalb von acht Stunden reagieren, auch nachts oder am Wochenende. Daten müssen sie auf Aufforderung unverzüglich sichern. Dafür brauchen sie laut Rickert eigentlich geschulte Beschäftigte. Im Unternehmen müssen Zuständigkeiten für solche Fälle geregelt sein, außerdem der technische Zugriff auf verschiedene Systeme.

Wer sich nicht registriert oder eine Anfrage falsch bearbeitet, riskiert hohe Bußgelder. Je nach Verstoß können bis zu 500.000 Euro fällig werden. Bei Unternehmen mit mehr als 25 Millionen Euro Jahresumsatz kann die Sanktion auf zwei Prozent des weltweiten Jahresumsatzes steigen. Der Druck könnte Anbieter dazu verleiten, Daten vorschnell herauszugeben, statt eine Anfrage sorgfältig zu prüfen.

Großes Missbrauchspotenzial

Hinzu kommt ein grundlegendes Problem: Bei Eilanfragen müssen Anbieter wie erwähnt Daten unter Umständen schon nach acht Stunden liefern, während die zuständige Behörde im eigenen Land bis zu 96 Stunden für Einwände hat. Dann sind die Informationen längst übermittelt. Das kann Journalisten, Ärzte, Rechtsanwälte und deren Kontaktpersonen gefährden. Anbieter dürfen zwar auf mögliche Verletzungen vertraulicher Kommunikation hinweisen, die Herausgabe aber nicht ohne Weiteres verweigern.

Die Runde erkennt den Nutzen schnellerer Ermittlungen bei Terrorismus, Menschenhandel, Kindesmissbrauch oder Cyberkriminalität an. Dennoch überträgt das neue E-Evidence-System einen erheblichen Teil der Prüfung auf private Anbieter, die weder vollständige Ermittlungsakten erhalten noch ausreichend Expertise haben. Das Fazit fällt deshalb skeptisch aus: E-Evidence kann Strafverfolgung beschleunigen, schafft aber zugleich großes Missbrauchspotenzial und setzt den Schutz vertraulicher Daten unter Druck.

Episode 166:

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.

Hier geht es zu allen bisherigen Folgen:

Auslegungssache, der Datenschutz-Podcast des c't Magazins

(hob)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Microsoft behebt Sicherheitslücke: KI-Assistent Copilot verrät Schwachstellen

2026-08-20T12:18:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Sicherheitsforscher haben Microsofts KI-Assistenten dazu gebracht, seine eigenen Schutzmechanismen offenzulegen.

Microsofts KI-Assistent hat seinen Angreifern selbst gezeigt, wie man ihn knackt.

(Bild: PixieMe / Shutterstock.com)

20.08.2026, 14:18 Uhr

Lesezeit: 3 Min.

Von

Josef Erl

Forscher der Sicherheitsfirma Varonis befragten Microsoft 365 Copilot gezielt nach seinen Schutzmechanismen und der Assistent lieferte die entscheidenden Hinweise, um eine kritische Sicherheitslücke auszunutzen. Ein manipulierter Link genügte, um darüber unbemerkt Passwörter, E-Mails und Kalendereinträge abzugreifen.

Der von Varonis „CoSnitch“ getaufte und auf dem firmeneigenen Blog ausführlich dokumentierte Angriff konnte automatisch Befehle ausführen, Daten über verbundene Dienste abgreifen und das „Gedächtnis“ des KI-Assistenten dauerhaft manipulieren. Varonis bezeichnet die Methode selbst als „Meta-Hacking“. Die Idee dahinter: statt klassischem Reverse Engineering, wird der Assistent direkt befragt. Anfangs soll Copilot Auskünfte verweigert haben. Doch jede Ablehnung enthielt laut Varonis-Forscher Lior Adar technische Details zur internen Architektur.

„CoSnitch“ nutzt Schwachstellen aus

Durch geschicktes Nachfragen gab der Assistent schließlich undokumentierte URL-Parameter und Schutzmaßnahmen preis. Mit diesem Wissen konnte Varonis diese umgehen und eine manipulative URL nachbauen. Klickt ein Nutzer darauf, lädt der Browser seine aktuelle autorisierte Copilot-Session und der eingeschleuste Prompt wird automatisch und ohne Bestätigung oder Warnung mit Zugriff auf sämtliche mit Copilot verbundenen Dienste ausgeführt.

Lesen Sie auch

KI-Agenten verstehen: OpenClaw selbst gebaut

Claude Code Channels: KI-Assistent fernsteuern

KI-Chatbots in WhatsApp: Meta muss Konkurrenten zulassen

Perplexity baut „Personal Computer“ auf Mac-mini-Basis

KI im Telefonat – Telekom bringt Assistenten in die Leitung

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Gefälschte Seite, falsche Software – trotz korrekt aussehender Links

2026-08-20T11:47:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Eine Kampagne mit gefälschten Webseiten zeigt korrekt erscheinende Links an, schiebt Opfern jedoch unerwünschte Software unter.

Gefälschte Seiten nutzen korrekt aussehende Links, jubeln Opfern aber andere Software als die Gesuchte unter.

(Bild: Malwarebytes)

20.08.2026, 13:47 Uhr

Lesezeit: 5 Min.

Security

Von

Dirk Knop

Bei einer aktuellen bösartigen Kampagne locken Betrüger Opfer auf Webseiten, die scheinbar korrekte Download-Links für gesuchte Software anbieten. Am Ende landet jedoch eine ganz andere Software auf dem Rechner.

Das führen Virenanalysten von Malwarebytes in einem Blogbeitrag aus. Insgesamt 41 Webseiten mit dieser Masche haben sie entdeckt. Die nachgemachten Webseiten weisen ein weites Spektrum auf, von populären Spielen zu Tools für Windows. Am Ende sollen sie Opfer dazu bringen, den Installer der Software „Download Studio“ herunterzuladen. Wer nach Counter-Strike, Half-Life, Fallout, Roblox, PUBG, The Witcher, 7-Zip, Foxit PDF, Paint.NET, Total Commander, VLC oder VMware sucht, kann auf den gefälschten Webseiten landen.

Die Analysten führen aus, dass die Drahtzieher sich viel Mühe machen, überzeugende Fälschungen der Seiten mit korrekten Produktinformationen, Entwickler-Ressourcen und sogar echten Download-Links zu erstellen. Allerdings führen die Download-Links nicht dahin, wohin der Link bei dem Überfahren der Verknüpfung mit Maus weist. Als Beispiel nennen die IT-Forscher eine Seite, die vorgibt, Counter-Strike zum Herunterladen anzubieten. Gehen Interessierte mit der Maus über die Download-Schaltfläche, zeigt der Browser als Ziel eine echte Steam-Store-Adresse an. Nach einem Klick darauf öffnet sich jedoch nicht Steam. Das JavaScript der Webseite behandelt den Klick und schickt Besucher schließlich durch einen Affiliate-Redirect. Und der landet derzeit bei Download Studio.

Aushebeln wichtiger Sicherheitstipps

Die Täter hebeln damit einen klassischen Sicherheitstipp aus, demzufolge die Ziele von Links vor deren Anklicken genau geprüft werden sollten. Vielen liegt es quasi im Blut, darauf zu achten, was der Browser als Linkziel anzeigt, um bei unerwarteten Adressen eben nicht darauf zu klicken.

Die Wahrscheinlichkeit, dass diese Affiliate-Fallen Opfer finden, wollen die Hinterleute dadurch erhöhen, dass sie populäre Webseiten imitieren. Eine Seite zu GTA 6 gibt etwa sogar vor, einen Download des Spiels für PCs anzubieten. Sogar eine Installationsanleitung, Systemanforderung und was man sonst noch von einer echten Spiele-Download-Seite erwarten würde, findet sich dort. Einen PC-Download gibt es absehbar jedoch gar nicht: GTA 6 erscheint offiziell am 19. November für Playstation 5 und Xbox Series X/S. Eine PC-Version wurde dabei nicht angekündigt. Die Vorbestellung ist seit dem 25. Juni dieses Jahres möglich, die meisten Interessierten greifen dabei zur 100-Euro-Ausgabe. Am 27. August 2026 ist ein Vorschau-Event auf Netflix angekündigt, das um 21 Uhr deutscher Zeit stattfindet.

Die Tarnungen bei normalen Windows-Tools sind noch überzeugender, schreiben die Malwarebytes-Mitarbeiter. Etwa für den VLC Media Player zeigt die gefälschte Seite die korrekte aktuelle Version und Download-Adresse an. Der Click-Handler der Webseite wirft den Link jedoch auch hier wieder über Bord und schickt den Besucher Richtung Affiliate-Download von Download Studio.

Die Analysten legen Wert darauf, festzustellen, dass Download Studio per se keine Malware ist. Im Jahr 2020 hatte ein Update dieser Software jedoch mal eine Malware in Form von „FakeMBAM“, also eine als Malwarebytes gefälschte Schadsoftware installiert. Die Herausgeber der Software gaben jedoch an, dass sie einen Sicherheitsvorfall entdeckt hätten, bei dem Angreifer in die Update-Server eingedrungen seien. Im Zweifel geht es den Drahtziehern hinter dieser jetzt beobachteten Kampagne also darum, Geld über Affiliate-Downloads einzunehmen.

Videos by heise

Schwierigere Erkennung unsicherer Downloads

Nach einem Download sollte daher eine Prüfung der digitalen Signatur der heruntergeladenen Dateien erfolgen. Wenn der Klick auf „Download VLC“ zu einer Datei mit Feldern in den Dateieigenschaften mit dem Titel „Download Studio“ führt, handelt es sich offensichtlich nicht um die gewünschte Datei. Allerdings können Angreifer die Informationen natürlich beliebig ausgestalten. Malwarebytes rät, auf den gesamten Download zu achten: Kam der von einer vertrauenswürdigen Webseite? Stammt die Signatur von dem Publisher, den man erwarten würde? Idealerweise sollten Interessierte daher direkt auf die Herstellerwebseiten gehen und die Software dort herunterladen und nicht etwa auf Links aus Werbeanzeigen der verwendeten Suchmaschine klicken. Die Analyse enthält noch eine Liste von Hinweisen für erfolgreiche Angriffe (Indicators of Compromise, IOC).

Die Download-Ziele können sich natürlich auch ändern und künftig auf Schadsoftware verweisen. Anfang Mai wurde etwa bekannt, dass die Daemon-Tools-Lite-Downloads auf der Hersteller-Webseite verseuchte Installer ausgeliefert hatte – Angreifern war dort eine Supply-Chain-Attacke gelungen.

(dmk)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Citrix: Kritische Lücke erlaubt Umgehung der Authentifizierung

2026-08-20T09:53:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

In Netscaler ADC und Gateway von Citrix können Angreifer mehrere Lücken missbrauchen. Sie können etwa unbefugt Zugriff erlangen.

(Bild: janews/Shutterstock.com)

20.08.2026, 11:53 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

Citrix hat Updates veröffentlicht, die teils kritische Sicherheitslücken in Netscaler ADC und Netscaler Gateway schließen. Bösartige Akteure könnten dadurch die Authentifizierung umgehen oder unvorhersehbares Verhalten provozieren.

Davor warnt Citrix in einer Sicherheitsmitteilung vom Mittwoch dieser Woche. Das schwerwiegendere Sicherheitsleck beschreibt Citrix lediglich mit der Erläuterung nach Common Weakness Enumeration (CWE). Die Authentifizierung lässt sich demnach auf alternativen Wegen umgehen (CVE-2026-19490, CVSS4 9.3, Risiko „kritisch“). Die Sicherheitsmitteilung nennt noch einige Vorbedingungen, die zum Missbrauch der Lücke erfüllt sein müssen. Es handelt sich um Einstellungen, die Admins vornehmen müssen, um die Netscaler für Fernzugriffe einzurichten und Identitäten – in neueren Netscaler-Versionen – mittels SAML zu prüfen. Wie jedoch die alternativen Pfade konkret aussehen, erklärt Citrix nicht.

Die zweite Schwachstelle verpasst nur knapp eine Einordnung als kritisches Risiko. Es handelt sich um einen Speicherüberlauf, der zu unvorhergesehenem Verhalten oder Denial-of-Service führen kann. Ob die Verhaltensstörung das Ausführen von eingeschleustem Code umfasst, klärt Citrix nicht auf. Der Überlauf kann auftreten, wenn SIP ALG in einer Large-Scale-NAT-Gruppenkonfiguration aktiviert ist (CVE-2026-19489, CVSS4 8.8, Risiko „hoch“).

Citrix Netscaler: Gepatchte Softwareversionen

Betroffen sind Citrix Netscaler ADC und Netscaler Gateway vor den fehlerbereinigten Fassungen 14.1-73.32 sowie 13.1-63.21. Auch für NetScaler ADC FIPS steht ein Update bereit, Version 14.1-73.32 FIPS soll die Schwachstellen nicht aufweisen, NetScaler ADC FIPS and NDcPP ab Stand 13.1-37.277 ebenfalls nicht mehr, versichert der Hersteller. Die vom Unternehmen betreuten Cloud-Instanzen sind bereits auf korrigiertem Stand, Admins von selbst verwalteten Installationen müssen die Updates noch installieren.

Videos by heise

Anfang Juli wurden zuletzt gravierende Schwachstellen in Citrix Netscaler ADC und Netscaler Gateway bekannt. Angreifer konnten die missbrauchen, um verwundbare Instanzen lahmzulegen.

(dmk)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Angriffsversuche auf GitLab-Lücke beobachtet

2026-08-20T09:41:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Attacken auf eine jüngst außerplanmäßig geschlossene Lücke in GitLab wurden beobachtet. Angreifer können etwa Projekte löschen.

(Bild: amgun/ Shutterstock.com)

20.08.2026, 11:41 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

Am Montag hat GitLab ungeplante Aktualisierungen der Codehosting-Software veröffentlicht. Sie schließen teils kritische Sicherheitslücken. IT-Forscher haben jetzt erste Angriffsversuche auf die schwerwiegendere Schwachstelle beobachtet.

Übereinstimmenden Medienberichten zufolge hat die renommierte IT-Sicherheitsfirma watchTowr die Angriffsversuche bestätigt. Der leitende IT-Sicherheitsforscher des Unternehmens, Jake Knott, sagte demnach, dass die neu veröffentlichte Sicherheitslücke (CVE-2026-19478, CVSS 9.4, Risiko „kritisch“) Angreifern ohne vorherige Authentifizierung ermöglicht, öffentlich zugreifbare GitLab-Projekte zu löschen, ihren Status zu ändern, ganze Repositories zu löschen, Merge-Einträge zu fälschen oder sogar Maintainer auszusperren. Das gelinge mit einer einzelnen HTTP-Anfrage ohne Zugangsdaten oder Nutzerinteraktion, es sei auch keine ungewöhnliche Konfiguration dafür erforderlich.

Knott erklärte am Mittwoch dieser Woche demnach weiter, dass watchTowr bereits Angriffsversuche in freier Wildbahn mit seinem globalen Honeypot-Netzwerk entdeckt hat. Organisationen, die die GitLab-Software noch nicht gepatcht haben, sollten die Weblogs nach Einträgen mit der Zeichenkette „@gl_introduced“ durchwühlen und nach Anzeichen für Erkundungs- oder Angriffsversuche Ausschau halten.

Schwachstelle in Minuten nachvollzogen

Auf LinkedIn gibt watchTowr an, dass das KI-Tool des Unternehmens die Schwachstelle allein anhand der Fehlerbeschreibung und der Code-Änderungen nachvollzogen hat. Zum Veröffentlichungszeitpunkt gab es demnach noch keinen öffentlich verfügbaren Proof-of-Concept-Exploitcode. Auf X gibt das Unternehmen noch den Tipp, entweder umgehend selbstverwaltete Installationen zu aktualisieren oder zumindest nach Möglichkeit den Zugriff auf „/api/graphql“ zu beschränken.

Videos by heise

Neben der kritischen Sicherheitslücke in der GraphQL-API hat GitLab mit den Updates vom Anfang der Woche auch eine hochriskante Schwachstelle ausgebessert. Sie betrifft ebenfalls die GraphQL-API, hier müssen jedoch Opfer mitspielen und etwa auf manipulierte Links klicken (CVE-2026-19650, CVSS 7.1, Risiko „hoch“).

(dmk)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Cisco-Sicherheitslücken: Angreifer können Anmeldung von Secure Workload umgehen

2026-08-20T07:41:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Es sind wichtige Sicherheitsupdates für unter anderem Cisco BroadWorks, Crosswork Security und Secure Workload erschienen.

(Bild: heise online)

20.08.2026, 09:41 Uhr

Lesezeit: 2 Min.

Security

Von

Dennis Schirrmacher

Um mögliche Attacken vorzubeugen, sollten Netzwerk-Admins die aktuellen Sicherheitspatches von Cisco installieren. Mehrere Produkte des Netzwerkausrüsters sind durch „kritische“ Sicherheitslücken betroffen. Bislang gibt es keine Hinweise, dass Angreifer die Schwachstellen bereits ausnutzen.

Sicherheitspatches installieren

Konkret betroffen sind unter anderem die Cloud- und Rechenzentrum-Sicherheitsplattform Secure Workload, die Automatisierungs- und Überwachungsplattform Crosswork, die Cloud-Telefonielösung BroadWorks und die Kundenserviceplattform Packaged Contact Center Enterprise.

Weil eine Auflistung der verwundbaren und reparierten Versionen den Rahmen dieser Meldung sprengt, finden Admins diese Informationen in den unterhalb dieses Beitrags verlinkten Warnmeldungen.

Die Gefahren

Secure Workload ist insgesamt über fünf Lücken angreifbar. Davon gelten vier als „kritisch“ und wiederum zwei davon sind mit dem maximalen CVSS Score 10 von 10 eingestuft (CVE-2026-20315, CVE-2026-20317). In beiden Fällen können Angreifer auf einem nicht näher ausgeführten Weg die Authentifizierung umgehen und so auf Instanzen zugreifen.

Videos by heise

Crosswork ist über vier „kritische“ Schwachstellen angreifbar. Für drei wurde ebenfalls der höchstmögliche CVSS Score 10 von 10 vergeben. An diesen Stellen können Angreifer Schadcode ausführen (CVE-2026-20030), die Authentifizierung bei kritischen Funktionen umgehen (CVE-2026-20357) und die Kontrolle über das Dateisystem erlangen (CVE-2026-20358).

Weitere Sicherheitsprobleme

Ferner haben die Entwickler noch Cisco Talos Intelligence for Enterprise Security Cloud repariert und mehrere Sicherheitslücken geschlossen. Hier kann es im schlimmsten Fall zur Ausführung von Schadcode kommen (CVE-2026-76404 „kritisch“). Die Ausgabe 1.0.3 ist den Entwicklern zufolge dagegen gerüstet.

Liste nach Bedrohungsgrad absteigend sortiert:

(des)

Top 10: Der beste Insektenstichheiler im Test

Top 10: Das beste City-E-Bike im Test

Top 10: Mähroboter ohne Begrenzungskabel

Anonymisierendes Linux: Tails 7.11 pflegt Software und schließt Schwachstellen

2026-08-20T07:36:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Die Entwickler der anonymisierenden Linux-Distribution Tails für USB-Sticks aktualisieren in Version 7.11 Kernkomponenten.

(Bild: heise medien / Montage)

20.08.2026, 09:36 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

Die auf das anonyme Surfen im Netz spezialisierte Linux-Distribution Tails haben die Entwickler jetzt in Version 7.11 veröffentlicht. Die Änderungen sehen zunächst überschaubar aus. Wer jedoch das Notfallupdate Tails 7.10.1 nicht angewendet hat, erhält damit auch wichtige Sicherheitsaktualisierungen.

Die Ankündigung der neuen Tails-Version 7.11 nennt lediglich die Aktualisierung des zentralen Tor Browsers auf den aktuellen Stand 15.0.20. Außerdem haben die Programmierer Probleme mit der Aktivierung des persistenten Speichers gelöst, die auf einigen Computern auftreten konnten.

Tails 7.11: Notfallupdate enthalten

Die neue Version basiert jedoch auf dem Notfall-Update 7.10.1, das die Tails-Maintainer Anfang August veröffentlicht haben. Damit schließt das Tails-Projekt eine Sicherheitslücke im eingesetzten Linux-Kernel, durch die der Tor Browser Adminrechte erlangen könnte (CVE-2026-64560, CVSS 7.8, Risiko „hoch“). Das können bösartige Webseiten zum Deanonymisieren von Tails-Nutzerinnen und -Nutzern missbrauchen. Überdies schließt das Release ein Sicherheitsleck in der expat-XML-Bibliothek. Öffnen Nutzer eine bösartig manipulierte Datei in einer App, die diese Bibliothek nutzt – etwa LibreOffice, Audacity oder Git –, können Angreifer darüber die volle Kontrolle über Tails erlangen und die Nutzer ebenfalls deanonymisieren.

Videos by heise

Die neuen Tails-Abbilder stehen nun zum Download bereit. Es gibt eine Version zum Verfrachten auf USB-Sticks, die Interessierte zum Starten von Rechnern in saubere Umgebungen in der Fremde nutzen können sowie ISO-Abbilder etwa zum Brennen auf DVDs oder zum Starten in virtuellen Maschinen.

Tails 7.10 erschien gegen Ende Juli dieses Jahres. In dem Release haben die Tails-Entwickler die Shutdown-Prozedur überarbeitet und auf den Gnome-Standard umgestellt. Außerdem hatten sie den Gnome-Videoplayer „Videos“ durch das Programm „Celluloid“ ersetzt, das deutlich moderner und zuverlässiger sein soll.