KDB-Tech-Update am Morgen: DDoS-Alarm, CRA-Druck und Phishing mit Steuerbonus
Guten Morgen zum KDB-Tech-Update von der KDB Medienagentur GmbH. Heute wird’s sicherheitstechnisch ziemlich deutlich: Ein massiver DDoS-Angriff stört Norwegens digitale Verwaltung, bei TP-Link-Omada-Gateways muss dringend gepatcht werden und der Cyber Resilience Act kommt schneller in den Arbeitsalltag, als manchem Hersteller lieb sein dürfte. Dazu schauen wir auf eine besonders raffinierte Windows-Backdoor, aktuelle Phishing-Wellen im Namen von Elster und PayPal, neue WhatsApp-Schutzfunktionen sowie wichtige Änderungen bei Microsoft, KI-Tools und Browser-Tracking. Also: Kaffee schnappen, Updates prüfen – und bitte nicht erst, wenn’s schon scheppert.
DDoS gegen Norwegens Behörden: Verfügbarkeit ist auch Sicherheit
Eine großflächige DDoS-Attacke hat zahlreiche digitale Dienste der norwegischen Regierung über mehr als 30 Stunden beeinträchtigt. Angegriffen wurde die Infrastruktur der staatlichen Digitalisierungsagentur Digdir. Diese stellt zentrale Komponenten für die digitale Verwaltung bereit – darunter Anmeldedienste, elektronische Identitäten, Zugänge zu öffentlichen Dokumenten und den sicheren Datenaustausch zwischen Behörden.
Die Auswirkungen waren für Bürger und angeschlossene Dienste unmittelbar spürbar: Verbindungsabbrüche, langsame Ladezeiten und ungewöhnlich lange Anmeldevorgänge. Laut Digdir war es bereits der dritte vergleichbare Angriff innerhalb kurzer Zeit. Der aktuelle Angriff soll zwei- bis dreimal größer gewesen sein als der vorherige.
Nach Angaben der Behörde gibt es derzeit keine Hinweise auf einen Einbruch in Systeme oder auf einen Abfluss personenbezogener Daten. Das ist wichtig – aber kein Grund zur Entwarnung. Ein DDoS-Angriff zielt auf die Verfügbarkeit. Und wenn zentrale Portale, VPN-Zugänge, Kundenbereiche oder digitale Antragsstrecken nicht erreichbar sind, steht der Betrieb halt trotzdem. Daten sind dann zwar vielleicht noch sicher, aber Deine Kunden, Mitarbeitenden oder Bürger kommen schlicht nicht dran. Auch des isch ein Sicherheitsproblem.
Für Unternehmen zeigt der Fall erneut, wie wichtig ein belastbares Schutzkonzept für öffentlich erreichbare Dienste ist: DDoS-Schutz, Monitoring, klare Eskalationswege, redundante Infrastruktur und getestete Notfallkommunikation gehören zusammen. KDB unterstützt bei der Bewertung von IT-Risiken, der Absicherung von Netzwerk- und Cloud-Diensten sowie beim Aufbau nachvollziehbarer Notfall- und Betriebsprozesse.
Cyber Resilience Act: Die Meldepflicht startet schon am 11. September 2026
Der europäische Cyber Resilience Act, kurz CRA, wird für viele Hersteller digitaler Produkte zur Pflichtaufgabe. Eine Umfrage von ONEKEY unter 200 deutschen Industrieunternehmen zeigt allerdings: Viele Unternehmen unterschätzen offenbar den organisatorischen und technischen Vorbereitungsaufwand.
45 Prozent der befragten Unternehmen sind mit den CRA-Vorgaben kaum oder gar nicht vertraut. Nur 21 Prozent bewerten sich selbst als sehr gut informiert. Besonders bei internen Prozessen, technischen Nachweisen, Dokumentation und der Planung von Sicherheitsupdates über den gesamten Produktlebenszyklus bestehen noch deutliche Lücken.
Der CRA betrifft Produkte mit digitalen Elementen, die ab dem 11. Dezember 2027 neu auf den Markt gebracht werden. Hersteller müssen Cyberrisiken bewerten, Sicherheitslücken behandeln, technische Nachweise führen und Sicherheitsupdates während des vorgesehenen Supportzeitraums bereitstellen. Ausgenommen sind unter anderem bestimmte Medizinprodukte, Fahrzeuge, Luft- und Raumfahrtprodukte, militärische Güter sowie nicht kommerziell entwickelte Open-Source-Software.
Besonders dringend wird es bei der Meldepflicht: Ab dem 11. September 2026 müssen relevante Schwachstellen und Sicherheitsvorfälle schnell gemeldet werden. Eine Frühwarnung ist innerhalb von 24 Stunden nach Bekanntwerden erforderlich, eine ausführlichere Meldung spätestens nach 72 Stunden. Für 62 Prozent der Befragten ist genau diese Vorgabe eine der größten Herausforderungen.
Hinzu kommt das Thema Software Bill of Materials (SBOM): Hersteller müssen nachvollziehen können, welche Softwarekomponenten in ihren Produkten stecken. Das betrifft auch Zulieferer. Laut Umfrage liefern aber nur 18 Prozent der Lieferanten die notwendigen CRA-Informationen. Verantwortung für die Sicherheit zugelieferter Komponenten bleibt dennoch beim Hersteller. Ja, des wird spannend – und Excel allein wird da eher kein Sicherheitskonzept.
Für betroffene Unternehmen empfiehlt sich jetzt ein strukturierter Start: Produktportfolio erfassen, Verantwortlichkeiten definieren, Risiken bewerten, Lieferantendaten einfordern, Update- und Schwachstellenprozesse aufsetzen sowie Meldewege testen. KDB kann dabei helfen, Sicherheits- und Dokumentationsprozesse zu strukturieren, automatisierbare Abläufe zu identifizieren und die technische Grundlage für belastbares Patch-, Asset- und Risikomanagement zu schaffen.
TP-Link Omada: Kritische OpenVPN-Lücke kann Gateway kompromittieren
Betreiber professioneller TP-Link-Omada-Netzwerke sollten ihre Gateways zeitnah prüfen. Mehrere Schwachstellen betreffen unter anderem die Gigabit-Multi-WAN-VPN-Router ER605 und TL-R605. Besonders kritisch ist CVE-2026-19586 in der OpenVPN-Server-Funktion.
Ist auf einem betroffenen Gerät ein OpenVPN-Server aktiviert, können Angreifer nach einem Verbindungsversuch laut TP-Link aus der Ferne und ohne vorherige Authentifizierung eigene Befehle ausführen. Im schlimmsten Fall kann das zur vollständigen Kontrolle über das Gateway führen. Und ein kompromittiertes Gateway ist kein kleines Problemchen: Es sitzt zentral im Netzwerk, sieht Verbindungen, kann als Sprungbrett ins interne Netz dienen und gegebenenfalls Datenverkehr manipulieren.
Zusätzlich wurden zwei Schwachstellen mittleren Schweregrads beschrieben:
- CVE-2026-9033: Angreifer mit Netzwerkzugriff können Captive-Portal-Sitzungen beenden und damit den Zugang in Gäste- oder WLAN-Netzen stören.
- DDNS-Problem: Zugangsdaten für externe Dynamic-DNS-Anbieter können unter bestimmten Voraussetzungen unverschlüsselt übertragen werden.
TP-Link hat korrigierte Firmware-Versionen bereitgestellt. Entscheidend ist, die Firmware passend zum konkreten Modell und zur Hardware-Version zu installieren – bitte nicht einfach irgendein Build auswählen, nur weil die Nummer hübsch aussieht. Nach dem Update sollten OpenVPN-Konfigurationen, DDNS-Einstellungen und Administratorkonten kontrolliert werden. Wenn DDNS-Zugangsdaten potenziell unverschlüsselt übertragen wurden, sollten sie geändert werden.
Bis zum Update gilt: Prüfe, ob der OpenVPN-Server überhaupt benötigt wird. Falls nicht, sollte er deaktiviert werden. Das ersetzt den Patch nicht, reduziert aber die unmittelbare Angriffsfläche. KDB unterstützt Unternehmen bei Patchmanagement, Firewall- und VPN-Konzepten sowie bei der sicheren Segmentierung von Unternehmens- und Gastnetzen.
Sleepwalker: Windows-Backdoor schläft, bis sie gezielt geweckt wird
Die neu analysierte Windows-Backdoor „Sleepwalker“ zeigt, warum Firewalls und klassische Antivirenlösungen allein nicht genügen. Die Malware arbeitet ungewöhnlich passiv: Sie sendet zunächst keine eigenen Netzwerkpakete und wartet im Arbeitsspeicher auf ein speziell formatiertes und verschlüsseltes „Magic Packet“. Erst nach diesem Wecksignal nimmt sie Befehle entgegen.
Das erschwert die Erkennung erheblich. Viele Sicherheitslösungen achten stark auf verdächtige ausgehende Verbindungen zu Command-and-Control-Servern. Wenn die Malware aber still bleibt und auf eingehende oder verdeckte Steuerimpulse wartet, entsteht zunächst kaum ein klassisches Alarmsignal.
Für ihre Tarnung nutzt Sleepwalker laut Analyse eine legitime ESET-Management-Software und missbraucht DLL-Sideloading. Dabei wird eine manipulierte Datei namens dpapi.dll so platziert, dass ein vertrauenswürdiger Prozess sie lädt. Die Schadsoftware wird nur innerhalb dieses speziellen ESET-Prozesses aktiv – das lässt Aktivitäten auf den ersten Blick wie Verhalten einer bekannten Sicherheitsanwendung erscheinen.
Zusätzliche Tarnung liefern verschlüsselte Befehle mit AES-256-CCM, eine potenzielle Kommunikation über VMware-Schnittstellen zwischen virtueller Maschine und Host sowie vorbereitete DNS-basierte Steuerung. Gerade DNS ist in vielen Unternehmensnetzen weitgehend erlaubt und wird daher immer wieder als möglicher Kommunikationsweg missbraucht.
Die Herkunft, Verbreitung und konkrete Infektionskette von Sleepwalker sind bislang nicht abschließend geklärt. Klar ist aber: Unternehmen sollten nicht nur auf „verdächtigen Traffic nach außen“ schauen. Relevante Kontrollpunkte sind unerwartete DLL-Dateien, auffällige Ladevorgänge durch legitime Prozesse, ungewöhnliche DNS-Anfragen und die Kommunikation in virtualisierten Umgebungen. Managed Detection, Endpoint-Schutz, Patchmanagement, Rechtekonzepte und ein sauber überwachten Netzwerkbetrieb greifen hier ineinander. Sicherheit ist leider kein einzelnes Häkchen im Admin-Panel.
Phishing im Doppelpack: Elster-Erstattung und PayPal-Temu-Warnung
Kriminelle setzen derzeit auf zwei besonders alltagsnahe Köder: eine angeblich bestätigte Steuererstattung und angeblich blockierte PayPal-Zahlungen bei Temu. Beide Maschen verfolgen dasselbe Ziel: Nutzer sollen unter Zeitdruck auf einen Link klicken und auf einer gefälschten Seite Zugangsdaten oder Zahlungsinformationen eingeben.
Gefälschte Elster-Mail: „Steuerbescheid 2025 – Erstattung bestätigt“
Die Verbraucherzentrale warnt vor E-Mails mit dem Betreff „Ihr Steuerbescheid 2025 – Erstattung bestätigt“. Die Nachricht behauptet, eine Rückzahlung sei bestätigt, vorher müsse jedoch eine Identität oder Bankkarte freigegeben werden. Zusätzlichen Druck erzeugt eine angebliche Frist bis zum 31. August 2026 – andernfalls verfalle die Erstattung.
Wichtig: Behörden fordern sensible Bankdaten nicht über einen Link in einer E-Mail an. Steuerinformationen sollten ausschließlich im offiziellen Elster-Portal geprüft werden, das Du selbst über einen bekannten Link oder durch manuelle Eingabe der Adresse öffnest.
Gefälschte PayPal-Warnungen: Angeblicher Temu-Kauf oder Login aus dem Ausland
Auch im Namen von PayPal kursieren gefälschte Sicherheitswarnungen. Die Mails behaupten beispielsweise, ein Temu-Kauf sei blockiert worden oder ein unbekannter Login aus dem Ausland habe stattgefunden. Oft drohen die Täter mit Kontosperrung, Guthabenverlust oder fehlender Haftung – und verlinken auf eine angebliche Sicherheitsprüfung.
Typische Warnsignale sind allgemeine Anreden, fragwürdige Absenderadressen, Druck durch Fristen oder drohende finanzielle Folgen und Links, deren Zieladresse nicht zu PayPal gehört. Prüfe Kontoaktivitäten immer direkt in der PayPal-App oder über die manuell aufgerufene offizielle Website.
Wer bereits Daten eingegeben hat, sollte unverzüglich handeln: Passwort über den offiziellen Zugang ändern, wiederverwendete Passwörter bei anderen Diensten ebenfalls ändern, Kontoaktivitäten und Zahlungsquellen prüfen, bei Bedarf Bank oder Kreditkartenanbieter kontaktieren und die Zwei-Faktor-Authentifizierung aktivieren. Verdächtige PayPal-Mails können an phishing@paypal.com weitergeleitet werden.
Für Unternehmen gehört Phishing-Schutz nicht nur in den Spamfilter. Regelmäßige Awareness-Schulungen, nachvollziehbare Meldewege und technische Schutzmaßnahmen helfen, damit aus einem unbedachten Klick kein teurer Vorfall wird. KDB unterstützt bei Sicherheitskonzepten und bei der praxisnahen Sensibilisierung von Teams – ohne erhobenen Zeigefinger, aber mit Wirkung.
WhatsApp: Passkeys, stärkere Zwei-Faktor-Absicherung und mehr Kontext bei unbekannten Anrufen
WhatsApp erweitert seinen Kontoschutz. Künftig können mehrere Passkeys pro Konto hinterlegt werden – besonders praktisch für Menschen, die WhatsApp sowohl auf Android- als auch auf iOS-Geräten verwenden. Da die Plattformen unterschiedliche kryptografische Schlüssel verwenden, kann je Ökosystem ein separater Passkey eingerichtet werden.
Passkeys ersetzen klassische Passwörter und SMS-Codes durch eine Bestätigung direkt auf dem Gerät, etwa per Fingerabdruck, Gesichtserkennung oder Bildschirmsperrcode. Der private Schlüssel verbleibt dabei auf dem Gerät. Das reduziert das Risiko, dass abgefangene SMS-Codes für eine Kontoübernahme missbraucht werden.
Auch die bisherige sechsstellige PIN für die Zwei-Faktor-Authentifizierung soll durch alphanumerische Passwörter mit Sonderzeichen ersetzt werden. Wer bisher „123456“ oder ähnliche Kandidaten verwendet: Jetzt wäre ein guter Zeitpunkt für ein Upgrade. Die Einstellungen für Passkeys finden sich in WhatsApp unter Einstellungen > Konto > Passkeys.
Auf Android will WhatsApp bei Anrufen unbekannter Kontakte außerdem mehr Informationen einblenden – etwa, ob ein Anruf aus dem Ausland kommt oder gemeinsame Gruppen bestehen. Das kann helfen, verdächtige Kontakte besser einzuordnen. Die wichtigste Regel bleibt dennoch: Lass Dich am Telefon nicht unter Druck setzen, teile keine Zugangsdaten und führe keine „Sicherheitsanweisungen“ fremder Anrufer aus.
Microsoft 365: Exchange Web Services jetzt identifizieren, spätestens 2027 migrieren
Microsoft bereitet die Abschaltung der Exchange Web Services (EWS) in Exchange Online vor. Ab dem 1. Oktober 2026 beginnt die schrittweise Abschaltung, ab dem 1. April 2027 sollen EWS in den betroffenen Cloud-Diensten vollständig außer Betrieb sein. Als Nachfolger empfiehlt Microsoft die Microsoft Graph API.
Für Administratoren ist jetzt vor allem die neue Einstellung EWSAllowedAppIDs relevant. Damit lassen sich App-IDs definieren, die während der Übergangsphase weiterhin auf EWS zugreifen dürfen. Die Funktion hilft auch dabei, Anwendungen zu identifizieren, die noch von der veralteten Schnittstelle abhängen.
Wichtig: Bis zum 1. Oktober erlaubt EWSEnabled=True ohne hinterlegte App-Liste weiterhin den allgemeinen Zugriff. Ab dem 1. Oktober ändert sich das: Ohne Positivliste wird EWS-Traffic blockiert. Eine eingetragene Liste freigegebener Anwendungen verschafft zwar Übergangszeit, ist aber keine dauerhafte Lösung.
Betroffen sein können Drittanbieter-Tools für Archivierung, Synchronisierung, Monitoring oder Verwaltung – ebenso wie Eigenentwicklungen. Unternehmen sollten daher EWS-Abhängigkeiten erfassen, Hersteller nach Graph-Unterstützung fragen, Eigenentwicklungen migrieren und die Auswirkungen rechtzeitig testen. KDB begleitet Microsoft-365-Umgebungen im Managed-Service-Betrieb und hilft, solche Umstellungen sauber zu planen, statt am Stichtag hektisch nach dem schuldigen Plugin zu suchen.
Windows: .NET-Update stört Drucken und PDF-Erstellung – Sicherheitsupdate trotzdem nicht entfernen
Microsoft warnt vor Problemen nach den .NET-Sicherheitsupdates vom August. Bestimmte Anwendungen auf Basis der Windows Presentation Foundation (WPF) können beim Drucken oder beim Erstellen von PDF- und XPS-Dateien mit einer System.IO.FileFormatException abbrechen. Als möglicher Auslöser gelten Inhalte mit bestimmten Schriftarten, darunter etwa Calibri.
Betroffen sein können unter anderem Visual Studio, SQL Server Management Studio sowie individuell entwickelte oder branchenspezifische WPF-Anwendungen. Microsoft untersucht die Ursache. Als vorläufige Lösung kann für betroffene Anwendungen ein spezieller AppContext-Schalter gesetzt werden, der eine neu eingeführte Schutzmaßnahme für bestimmte TrueType-Schriftarten deaktiviert.
Das sollte aber nur gezielt und vorübergehend erfolgen, denn damit wird die Angriffsfläche der Anwendung vergrößert. Eine Deinstallation der .NET-Updates empfiehlt Microsoft ausdrücklich nicht: Damit würden auch geschlossene Sicherheitslücken wieder geöffnet. Der richtige Weg lautet daher: Auswirkungen prüfen, betroffene Anwendung identifizieren, Hersteller oder Entwicklung einbinden und die Schutzfunktion nur dann temporär umgehen, wenn es wirklich erforderlich ist.
PowerToys 0.101: Lokale KI auf dem Windows-PC
Microsoft hat PowerToys 0.101 für Windows 11 veröffentlicht. Besonders interessant ist die Erweiterung der Funktion „Erweitertes Einfügen“: KI-gestützte Aufgaben wie das Extrahieren von Text aus Bildern können nach Installation des Modells Phi Silica vollständig lokal auf dem PC ausgeführt werden.
Das ist für sensible Inhalte ein spannender Ansatz, weil die Verarbeitung nach der Installation des Modells ohne laufende Cloud-Anbindung erfolgen kann. Lokale und Cloud-Modelle lassen sich dabei kombinieren. Lokale KI kann Datenschutz und Unabhängigkeit stärken, während Cloud-Modelle je nach Aufgabe zusätzliche Fähigkeiten bieten können.
Weitere Neuerungen sind „Windows Hopper“ zum Wechseln zwischen Fenstern innerhalb einer Anwendung, ein kompakter Startmodus der Befehlspalette sowie die Möglichkeit, die Helligkeit mehrerer Monitore gleichzeitig über PowerDisplay zu steuern. Für Unternehmen bleibt entscheidend: Auch lokale KI sollte in ein klares Konzept für Geräteverwaltung, Datenklassifizierung und Berechtigungen eingebettet sein. Lokal heißt nicht automatisch sorglos – aber es kann ein sehr sinnvoller Baustein sein.
KI-Tools: Werbung in ChatGPT, gemeinsames Claude-Gedächtnis und die Datenschutzfrage
Generative KI wird immer stärker in den digitalen Arbeitsalltag eingebunden. Gleichzeitig verändern sich die Geschäftsmodelle und Speicherfunktionen der Anbieter.
ChatGPT führt Werbung in Deutschland ein. Betroffen sind Nutzer des kostenlosen Zugangs und des Tarifs „Go“. Höherpreisige Abos, Minderjährige und temporäre Chats sollen werbefrei bleiben. Laut OpenAI werden Anzeigen klar gekennzeichnet und sollen Antworten nicht beeinflussen. In der EU ist personalisierte Werbung zunächst deaktiviert und erst nach ausdrücklicher Zustimmung möglich. Wer Anzeigen im Gratiszugang ausblendet, muss allerdings mit einem geringeren täglichen Chatlimit rechnen.
Claude von Anthropic legt die bislang getrennten Erinnerungen von Chat und Cowork zusammen. Privatnutzer erhalten diese Funktion standardmäßig aktiviert. Claude kann Informationen nun bereits während eines laufenden Gesprächs als Erinnerung speichern – nicht erst nach dessen Ende. Gespeicherte Inhalte lassen sich in den Einstellungen unter „Memory“ einsehen, bearbeiten, löschen oder vollständig zurücksetzen.
Für Unternehmen ist das kein Nebendetail. Wenn KI-Assistenten sich Ansprechpartner, Projekte, Arbeitsweisen oder interne Informationen merken, müssen Datenschutz, Berechtigungen und klare Nutzungsregeln von Anfang an mitgedacht werden. Anthropic behandelt Team- und Enterprise-Konten daher anders: Dort entscheiden zunächst Administratoren über die Verfügbarkeit, und einzelne Nutzer müssen die Funktion aktiv einschalten.
KDB unterstützt Unternehmen bei der sinnvollen Einführung von KI: von der Auswahl passender Anwendungsfälle über sichere Prozesse bis zur Frage, welche Daten in externe Systeme gehören – und welche besser im Haus bleiben. KI soll Arbeit erleichtern, nicht neue Bauchschmerzen fürs Datenschutz-Team produzieren.
Browser-Fingerprinting über Audio: Wenn der Browser heimlich „spielt“
Ein Fund bei AliExpress zeigt, wie vielfältig Browser-Fingerprinting funktionieren kann. Entdeckte JavaScript-Dateien nutzten die Web Audio API, um technische Eigenschaften von Browser und Gerät auszulesen. Aus kleinen Unterschieden bei der Verarbeitung eines künstlich erzeugten Audiosignals kann ein zusätzlicher Bestandteil eines digitalen Fingerabdrucks entstehen.
Bemerkenswert: Für Nutzer musste dabei kein Ton hörbar sein. Das Audiosignal wurde stummgeschaltet, die Messwerte blieben aber auslesbar. Weil der Audiograph offenbar dennoch mit der Audioausgabe verbunden war, konnten Bluetooth-Kopfhörer den Computer unter Umständen als aktiv spielendes Gerät behandeln. Genau diese Nebenwirkung machte das Tracking-Verfahren überhaupt auffällig.
Fingerprints können etwa zur Betrugserkennung eingesetzt werden, sind aus Datenschutzsicht aber problematisch, weil Nutzer sie kaum wahrnehmen und nicht so einfach wie Cookies löschen können. Browser wie Brave und Safari können bestimmte Fingerprinting-Techniken durch verfälschte oder verrauschte Werte erschweren. Für Unternehmen mit Website, Shop oder Kampagnen gilt: Tracking-Technologien müssen nicht nur technisch funktionieren, sondern auch transparent, datenschutzkonform und nachvollziehbar eingesetzt werden. KDB unterstützt bei Webseiten, SEO und digitalen Kampagnen mit einem Blick auf Performance und Datenschutz – beides gehört zusammen.
Fazit: Patchen, vorbereiten, prüfen – der Morgen-Plan
Die Lage heute lässt sich ziemlich klar zusammenfassen: Verfügbarkeit absichern, Altlasten abbauen und Mitarbeitern wie Systemen nicht blind vertrauen. Prüfe insbesondere, ob TP-Link-Omada-Gateways aktuell sind und OpenVPN wirklich benötigt wird. Kläre EWS-Abhängigkeiten in Microsoft 365, beobachte Druckprobleme nach .NET-Updates gezielt und entferne Sicherheitsupdates nicht vorschnell. Bereite Dich bei digitalen Produkten rechtzeitig auf CRA-Meldewege, SBOMs und Lifecycle-Updates vor.
Und für alle im Team gilt: Eine angebliche Steuererstattung oder PayPal-Warnung ist kein Grund, im Eiltempo auf Links zu klicken. Erst prüfen, dann handeln. So einfach – und so wichtig.
