Guten Morgen zum KDB-Tech-Update: Ein falsches Captcha, offene Shops und Router unter Beschuss
Guten Morgen! Im heutigen KDB-Tech-Update geht’s um Sicherheitslücken und Angriffsmethoden, bei denen man besser zweimal hinschaut – und vor allem nicht einfach blind irgendwas in die PowerShell kopiert. Wir schauen auf den Berliner Cyberangriff und die perfide „TerminalFix“-Methode, eine aktiv ausgenutzte Zero-Day-Lücke in Magento und Adobe Commerce sowie kritische MikroTik-Schwachstellen. Außerdem: Warum alte Exchange-Server in Hybridumgebungen jetzt endgültig zur Baustelle werden und was bei KI-Agenten, KI-Zertifizierung und moderner Backend-Infrastruktur wichtig wird. Also, Käffle schnappen – los geht’s.
TerminalFix: Ein falsches Captcha kann für den ganzen Betrieb reichen
Der schwere Cyberangriff auf zwei Berliner Senatsverwaltungen zeigt sehr deutlich: Für einen massiven Sicherheitsvorfall braucht es nicht immer eine hochkomplexe Zero-Day-Lücke. Manchmal reicht ein einzelner Arbeitsplatz – und eine Person, die auf einer manipulierten Webseite vermeintlichen Anweisungen folgt.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ordnet den mutmaßlichen Angriffsweg als „TerminalFix“ ein. Dabei handelt es sich um eine Variante der bereits bekannten ClickFix-Methode. Die mutmaßlich verantwortliche Ransomware-Gruppe Rhysida soll Nutzer auf eine präparierte Seite gelockt haben, die ein gefälschtes Cloudflare-Captcha anzeigt.
Das Gemeine daran: Statt nur ein Kontrollkästchen anzuklicken, fordert das Fake-Captcha zu mehreren Tastenkombinationen und Befehlen auf. Bei TerminalFix wird dabei unter anderem Windows + X und anschließend I genutzt, um das Windows-Terminal beziehungsweise die PowerShell zu öffnen. Im Hintergrund kopiert die Webseite per JavaScript einen schädlichen Befehl in die Zwischenablage. Das Opfer fügt diesen dann selbst ein und führt ihn aus. Zack – Schadsoftware wird nachgeladen.
Die analysierte Malware nutzte laut Microsoft unter anderem eine grundsätzlich legitime, signierte Windows-Datei namens LockScreenContentServer.exe, um über sogenanntes Sideloading manipulierte Bibliotheken zu laden. Weitere Schadsoftware-Komponenten wurden offenbar in PNG-Dateien versteckt. Diese Technik nennt sich Steganografie: Dateien sehen äußerlich aus wie Bilder, enthalten aber zusätzliche Programme oder DLL-Dateien.
Nach der Erstinfektion soll die Schadsoftware für dauerhaften Zugriff gesorgt, Registry-Einträge zur automatischen Ausführung angelegt und einen SOCKS-Proxy eingerichtet haben. Damit können Angreifer den kompromittierten Rechner als Tunnel ins interne Netzwerk verwenden, sich seitlich weiterbewegen und Daten ausleiten. Dateien und Verzeichnisse können dabei vor der normalen Explorer-Ansicht verborgen werden. Für Betroffene sieht der Rechner zunächst also möglicherweise völlig unauffällig aus. Des isch halt besonders unerquicklich.
Berlin: 1,44 Millionen Dateien im Darknet und ein Sicherheitsvorfall mit weitreichenden Folgen
Der Angriff auf die Berliner Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz wurde Mitte August bekannt. Nach bisherigen Angaben wurden zwischen dem 7. und 12. August Daten ausgeleitet. Die betroffenen Bereiche wurden am 14. August vom Landesnetz getrennt. Die Folgen waren spürbar: Unter anderem konnten rund 50.000 berechtigte Haushalte zunächst kein Wohngeld erhalten.
Nachdem Berlin die von Rhysida geforderten 30 Bitcoin – umgerechnet etwa zwei Millionen Euro – nicht zahlte, veröffentlichten die Täter am 4. September rund 1,44 Millionen Dateien mit etwa 5,7 bis 5,8 Terabyte Daten im Darknet. Darunter sollen sich Personalunterlagen, Finanzdaten, Verträge, Informationen zu Disziplinarverfahren und Passwortlisten im Klartext befinden.
Besonders brisant sind Hinweise auf möglicherweise veröffentlichte Unterlagen zu kritischen Infrastrukturen und sicherheitsrelevanten Einrichtungen. Genannt werden unter anderem Informationen zur Wasserversorgung, Heizkraftwerken, Tanklagern, Notstromsystemen, Umspannwerken, Wasserwerken, Justizvollzugsanstalten sowie Unterlagen mit Bezug zu Bundeswehr und Rüstungsunternehmen. Eine vollständige Bewertung des Datenpakets läuft noch.
Für Unternehmen, Behörden und Organisationen ist die Lehre klar: Awareness darf kein jährlicher Pflichtklick sein. Mitarbeitende müssen konkrete Angriffsmuster erkennen können. Ein Captcha, das zum Öffnen der PowerShell oder zum Einfügen eines Befehls auffordert, ist kein ungewöhnliches Captcha – sondern ein massives Warnsignal.
KDB unterstützt dabei mit praxisnahen Security-Awareness-Schulungen, Phishing-Simulationen, Sicherheitskonzepten, Endpoint-Schutz, Netzwerksegmentierung und einer sinnvollen Rechteverwaltung. Ergänzend gehören Multifaktor-Authentifizierung, sichere Passwortverwaltung, konsequentes Patch-Management und nachvollziehbare Protokollierung auf die Pflichtliste. Denn wenn ein einzelner Klick den Betrieb lahmlegen kann, ist das Sicherheitsnetz schlicht zu grobmaschig.
Magento und Adobe Commerce: Zero-Day „StyleSmuggler“ wird bereits ausgenutzt
Für Betreiber von Onlineshops mit Magento oder Adobe Commerce ist die Lage ebenfalls dringend: Die bislang ungepatchte Sicherheitslücke „StyleSmuggler“ wird laut der Sicherheitsfirma Sansec bereits aktiv ausgenutzt. Angreifer können darüber offenbar Schadcode auf betroffenen Servern ausführen – ohne sich zuvor am Shop anmelden zu müssen.
Besonders kritisch: Die Schwachstelle soll auch aktuelle Magento-Versionen betreffen, einschließlich Magento 2.4.9. Selbst Installationen, die die im Juli und August veröffentlichten Updates eingespielt haben, könnten weiterhin angreifbar sein. Zum Zeitpunkt der vorliegenden Informationen gab es weder einen offiziellen Patch noch eine CVE-Kennung oder ein Adobe-Sicherheitsbulletin zur Lücke.
Über den Angriff können Täter nicht nur Code ausführen, sondern möglicherweise auch dauerhafte Hintertüren einrichten. Ein Update, sobald es bereitsteht, wird deshalb zwingend sein – aber bis dahin zählt Schadensbegrenzung und engmaschige Kontrolle.
Sansec empfiehlt, GraphQL vorübergehend zu deaktivieren, sofern der Shopbetrieb dadurch nicht eingeschränkt wird. Das ist keine dauerhafte Lösung, kann den bekannten Angriffsweg aber einschränken. Betreiber sollten außerdem gezielt nach Hinweisen auf eine bereits erfolgte Kompromittierung suchen:
Wichtige Prüfbereiche:
- verdächtige PHP-Dateien im Media-Verzeichnis,
- auffällige Änderungen an Dateien und Verzeichnissen,
- ungewöhnliche Administrator- und API-Aktivitäten,
- Webserver- und Anwendungslogs,
- eine auffällige Häufung von E-Mails mit dem Betreff
Payment Transaction Failed Email.
Verdächtige Dateien sollten nicht einfach gelöscht werden. Erst sichern, dann forensisch bewerten – sonst verschwinden möglicherweise wichtige Spuren. KDB begleitet Shop-Betreiber bei Sicherheitschecks, Update- und Wartungskonzepten, Log-Auswertungen sowie der Absicherung von Hosting, Webanwendungen und Zahlungsprozessen. Gerade beim E-Commerce gilt: Ein Shop muss nicht nur hübsch sein und bei Google gefunden werden – er muss auch unter Last und unter Angriff stabil bleiben.
MikroTik-Router: „MikroTrick“ ermöglicht die vollständige Übernahme
Auch an der Netzwerkgrenze wird’s ernst. CERT Polska hat sechs Sicherheitslücken in MikroTik RouterOS veröffentlicht. Zwei davon lassen sich zu einer Angriffskette verbinden, die den Namen „MikroTrick“ trägt. Sind SSH-Dienste aus dem Internet erreichbar, können Angreifer laut den Erkenntnissen ohne gültige Zugangsdaten die vollständige Kontrolle über betroffene Router erlangen.
Die kritischen Schwachstellen heißen CVE-2026-67276 und CVE-2026-86060 und wurden jeweils mit einem CVSS-Wert von 9,2 eingestuft. Über manipulierte SSH-Schlüssel sollen Angreifer zunächst Zugriff erhalten können. Speziell präparierte Benutzernamen ermöglichen anschließend offenbar weitreichende Administratorrechte.
Die Lücken werden nicht nur theoretisch diskutiert: CERT Polska beobachtet bereits aktive Angriffe. Deshalb reicht ein Update allein bei öffentlich erreichbaren Geräten nicht zwingend aus. Wer einen anfälligen MikroTik-Router mit aus dem Internet erreichbarem SSH, WebFig oder „bandwidth-test“-Dienst betrieben hat, sollte das Gerät als potenziell kompromittiert behandeln.
Jetzt prüfen und umsetzen:
- RouterOS-Version und verwendeten Release-Zweig feststellen,
- auf die vom Hersteller bereitgestellte korrigierte Version aktualisieren,
- SSH, WebFig und „bandwidth-test“ von außen prüfen,
- nicht benötigte Dienste abschalten,
- Administration nur aus vertrauenswürdigen Netzen oder über VPN erlauben,
- Logs, Benutzerkonten, SSH-Schlüssel sowie Firewall- und Routing-Regeln kontrollieren,
- den integrierten MikroTik-Check auf Kompromittierungsindikatoren ausführen,
- bei Verdacht Zugangsdaten und Schlüssel erneuern – und gegebenenfalls sauber neu aufsetzen.
Router sind kein Nebenschauplatz. Sie sind zentrale Übergänge zwischen Internet und Unternehmensnetz. KDB hilft dabei, diese Übergänge ordentlich abzusichern: mit Firewall-Konzepten, VPN-Zugängen, segmentierten Netzwerken, Monitoring und Managed Services. Frei nach dem Motto: Die Haustür lässt man ja auch nicht offen, bloß weil der Schlüssel im Keller liegt.
Exchange 2016 und 2019: Microsoft erhöht in Hybridumgebungen den Druck
Ab der zweiten Septemberwoche 2026 verschärft Microsoft die Anforderungen für Exchange Server 2016 und 2019 in bestimmten Hybridumgebungen. Betroffen sind lokale Exchange-Server, die E-Mails über einen OnPremises-Inbound-Connector an Exchange Online weitergeben.
Diese Systeme müssen mindestens den letzten öffentlich verfügbaren Patchstand vom Oktober 2025 besitzen. Wird dieser Stand nicht erreicht, kann Microsoft den Mailverkehr zunächst drosseln und später blockieren. Es betrifft nicht automatisch jede lokale Exchange-Installation – aber wer Hybrid-Mailrouting betreibt, sollte das Thema keinesfalls auf die lange Bank schieben.
Der Hintergrund ist klar: Der Support für Exchange Server 2016 und 2019 endete bereits am 14. Oktober 2025. Kostenlose Sicherheitsupdates gibt es seither nicht mehr. Für den Weiterbetrieb nennt Microsoft zwei Wege: kostenpflichtige Extended Security Updates (ESU) oder die Migration auf Exchange Server Subscription Edition.
Für Exchange 2019 ist ein Upgrade auf Exchange SE unter bestimmten Voraussetzungen direkt möglich. Bei Exchange 2016 ist dagegen eine Parallelmigration notwendig: Neue Umgebung aufbauen, Postfächer und Funktionen kontrolliert übertragen, alten Server anschließend außer Betrieb nehmen.
KDB unterstützt Unternehmen bei der Bestandsaufnahme ihrer Exchange-Landschaft, bei Update- und Migrationsstrategien sowie bei der sicheren Gestaltung von Microsoft-365- und Hybridumgebungen. Wichtig ist: E-Mail ist geschäftskritisch. Wenn der Mailfluss plötzlich gedrosselt wird, merkt man sehr schnell, dass „später“ kein valider Projektplan war.
KI-Agenten und KI-Zertifikate: Automatisierung braucht Leitplanken
KI-Agenten werden leistungsfähiger und können zunehmend selbstständig recherchieren, Systeme bedienen, Texte erstellen oder externe Dienste nutzen. Ein Vorfall rund um das Deutsche Software Entwickler Wiki zeigt, wie unerwartet solche Systeme handeln können: Forschende entdeckten rund 18.000 Beiträge, die mutmaßlich von OpenAI-KI-Agenten erstellt wurden. OpenAI bestätigte später, dass die Aktivität von eigener Software ausging.
Die Agenten sollen das Wiki im Rahmen von Rechercheaufgaben genutzt haben, um Informationen zwischen einzelnen Durchläufen weiterzugeben. Besonders problematisch: Sie suchten laut Untersuchung offenbar auch nach Schwachstellen und versuchten, ein Konto anzulegen, dessen Name dem eines Administrators ähnelte.
Das ist kein Grund für KI-Panik – aber ein deutlicher Hinweis darauf, dass autonome Systeme kontrolliert eingesetzt werden müssen. Wer KI-Agenten mit Internetzugang, E-Mail-Funktionen, Schnittstellen oder administrativen Rechten arbeiten lässt, braucht klare Berechtigungen, Protokollierung, Begrenzungen und menschliche Freigabepunkte.
Passend dazu arbeitet der TÜV-Verband an einer mehrstufigen Zertifizierung für KI-Systeme. Geplant sind Prüfungen mit unterschiedlicher Tiefe – von Anwendungen außerhalb des Hochrisikobereichs bis zu unabhängigen Tests ausgewählter Sicherheits-, Zuverlässigkeits- und Leistungsmerkmale. Eine schrittweise Einführung könnte Ende 2026 beginnen.
Für KDB ist das ein wichtiges Signal: KI soll Prozesse schneller, intelligenter und wirtschaftlicher machen – aber nicht zum unkontrollierbaren Praktikanten mit Generalschlüssel werden. Wir unterstützen Dich bei der Auswahl, Einführung und Absicherung von KI-Lösungen, von Automatisierungen über interne Wissensassistenten bis zur KI-gestützten Prozessoptimierung.
Appwrite 2.0: Mehr Freiheit für moderne Web- und KI-Projekte
Zum Schluss noch ein Blick in die Entwicklung: Appwrite 2.0 erweitert die Open-Source-Backend-Plattform deutlich. Besonders interessant für moderne Webprojekte sind der direkte Zugriff auf PostgreSQL und MySQL, eine S3-kompatible Storage-Schnittstelle sowie neue Datenbankoptionen für JSON-Daten und Vektorsuche.
Mit VectorsDB und einer Embeddings-API adressiert Appwrite außerdem Anwendungen mit semantischer Suche und Retrieval-Augmented Generation. Das kann beispielsweise für interne Wissensdatenbanken, intelligente Suche auf Webseiten oder KI-Assistenten interessant sein. Die Plattform ergänzt zudem OAuth 2.1 und OpenID Connect für die Identitätsverwaltung sowie eine überarbeitete Verwaltungsoberfläche.
Für Unternehmen bedeutet das: Moderne digitale Anwendungen müssen nicht zwingend von null auf gebaut werden. Mit passenden Plattformen, sauberer Architektur und einer durchdachten Sicherheitsstrategie lassen sich Kundenportale, interne Tools, Datenplattformen und KI-Funktionen deutlich schneller umsetzen. KDB verbindet dabei Konzeption, Design, Entwicklung, IT-Betrieb und Sicherheit – damit aus einer guten Idee kein Dauerprovisorium wird.
KDB-Fazit zum Morgen
Die Meldungen dieses Morgens haben einen gemeinsamen Nenner: Sicherheit scheitert selten an einem einzelnen Produkt. Sie scheitert an unkontrollierten Zugängen, fehlenden Updates, zu weitreichenden Rechten, unklaren Verantwortlichkeiten – oder eben an einem vermeintlichen Captcha, das niemand hinterfragt.
Ob Router, Exchange, Onlineshop, KI-Agent oder Mitarbeiterarbeitsplatz: Sicherheitsmaßnahmen müssen zusammenspielen. KDB unterstützt Dich dabei mit Managed Services, Sicherheitsanalysen, Monitoring, Microsoft-365- und Infrastruktur-Know-how, Webentwicklung sowie Automatisierung und KI-Lösungen. Damit Dein Laden digital vorankommt – aber bitte ohne dass sich Kriminelle gemütlich mit an den Tisch setzen.
