AWS-Einbruch bei der EU-Kommission legt 350 GB Daten offen, TP-Link-Router-Lücken erlauben Auth-Bypass, BIND-DNS-Speichererschöpfung, Google setzt 2029 als Quanten-Frist

Die Europäische Kommission untersucht ihren zweiten großen Einbruch in zwei Monaten, nachdem ein Bedrohungsakteur über 350 GB aus ihrer Amazon-Cloud-Umgebung exfiltrierte. TP-Link patcht Router-Schwachstellen hoher Schwere, die Authentifizierungs-Bypass und beliebige Befehlsausführung ermöglichen. BIND-DNS-Resolver drohen durch präparierte Domains in Speichererschöpfung zu geraten. Google zieht mit 2029 eine klare Linie als Frist für die Migration zu quantensicherer Kryptographie. Die RSAC-2026-Tage 3–4 bringen große Ankündigungen, die die Verteidigungslandschaft umformen.

1. AWS-Umgebung der EU-Kommission kompromittiert — 350 GB Daten gestohlen

Die Europäische Kommission untersucht aktiv einen Sicherheitsvorfall, der mindestens eines ihrer AWS-Konten betrifft, wie BleepingComputer am 27. März berichtete. Der Bedrohungsakteur, der Journalisten direkt kontaktierte, behauptet, über 350 GB Daten exfiltriert zu haben, darunter Mitarbeiterdaten, mehrere Datenbanken und Zugriff auf einen internen E-Mail-Server.

Was wir wissen

• Der Einbruch wurde schnell erkannt und das CSIRT-Team der Kommission ermittelt
• Der Bedrohungsakteur legte Screenshots vor, die Zugriff auf Mitarbeiterdaten und einen E-Mail-Server zeigen
• AWS bestätigte, seine Dienste hätten „wie vorgesehen funktioniert“ — die Kompromittierung lag auf Seiten der Kommission
• Der Angreifer erklärte, er beabsichtige keine Erpressung der Kommission, plane aber, die Daten öffentlich zu leaken
• Der Angriffsvektor wurde nicht offengelegt

Muster von EU-Einbrüchen

Es ist der zweite Einbruch der Kommission seit Januar 2026. Der erste, im Februar offengelegt, betraf die Kompromittierung einer Mobile-Device-Management-(MDM)-Plattform zur Verwaltung von Mitarbeitergeräten. Dieser Einbruch wurde mit der Ausnutzung von Ivanti-Endpoint-Manager-Mobile-(EPMM)-Schwachstellen verknüpft und steht in Verbindung mit ähnlichen Angriffen auf die niederländische Datenschutzbehörde und Finnlands Regierungsagentur Valtori.

Das Muster ist klar: EU-Institutionen werden systematisch ins Visier genommen. Die Kommission schlug am 20. Januar neue Cybersecurity-Gesetzgebung zur Stärkung der Verteidigung vor, und erst letzte Woche sanktionierte der Rat der EU drei chinesische und iranische Unternehmen wegen Cyberangriffen gegen kritische Infrastruktur von Mitgliedstaaten.

Verteidigungsmaßnahmen

• Organisationen mit Cloud-Infrastruktur sollten IAM-Konfigurationen auditieren und Least-Privilege-Zugriff durchsetzen
• CloudTrail-Logging und Anomalieerkennung für alle AWS-Konten aktivieren
• SCPs (Service Control Policies) implementieren, um Massen-Datenexfiltration einzuschränken
• Zugangsdaten aller Dienste mit Zugriff auf EU-Regierungsdaten prüfen und rotieren

2. TP-Link patcht Router-Schwachstellen hoher Schwere

TP-Link hat Firmware-Updates veröffentlicht, die mehrere Schwachstellen hoher Schwere über mehrere Router-Modelle hinweg schließen. Die von SecurityWeek gemeldeten Lücken stellen angesichts von TP-Links riesigem Marktanteil bei Consumer- und Small-Business-Netzwerktechnik ein erhebliches Risiko dar.

Details zu den Schwachstellen

• Authentifizierungs-Bypass: Angreifer können die Anmeldung vollständig überspringen und ohne Zugangsdaten auf das Management-Interface des Routers zugreifen
• Beliebige Befehlsausführung: Post-Authentication-Lücken (oder verkettet mit dem Auth-Bypass) erlauben die Ausführung von Systembefehlen auf dem Router-OS
• Entschlüsselung von Konfigurationsdateien: Verschlüsselte Router-Backups lassen sich entschlüsseln und legen gespeicherte WLAN-Passwörter, Admin-Zugangsdaten und VPN-Schlüssel offen

Warum das wichtig ist

Kompromittierte Router dienen als persistente Netzwerk-Standbeine. Bedrohungsakteure — insbesondere staatlich unterstützte Gruppen wie Volt Typhoon — haben kompromittierte SOHO-Router intensiv genutzt, um ihren Verkehr zu proxen und Zugang zu Zielnetzen zu halten. TP-Link-Router gehören weltweit zu den am weitesten verbreiteten, was diese Lücken zu hochwertigen Zielen für Botnet-Betreiber wie APT-Gruppen macht.

Verteidigungsmaßnahmen

• Firmware sofort aktualisieren auf allen TP-Link-Routern in Ihrer Umgebung
• Remote-Management-Interfaces deaktivieren, falls nicht zwingend erforderlich
• Standard-Zugangsdaten ändern und starke, einzigartige Passwörter verwenden
• Auf unerwartete Konfigurationsänderungen oder DNS-Modifikationen an Netzwerk-Edge-Geräten überwachen
• Netzwerksegmentierung erwägen, um IoT-/SOHO-Geräte von kritischer Infrastruktur zu isolieren

3. BIND-DNS-Resolver-Schwachstellen ermöglichen Speichererschöpfungs-Angriffe

Das Internet Systems Consortium (ISC) hat Schwachstellen hoher Schwere in BIND gepatcht, der am weitesten verbreiteten DNS-Software im Internet. Die Lücken konnten ausgenutzt werden, um Out-of-Memory-Zustände und Speicherlecks in Resolvern hervorzurufen und damit ganzen Netzen die DNS-Auflösung zu verweigern.

Angriffsmechanismus

Die Schwachstellen lassen sich durch speziell präparierte Domainnamen auslösen, die den Resolver bei der Verarbeitung übermäßig viel Speicher verbrauchen lassen. Da DNS-Resolver Anfragen für beliebige Domains verarbeiten müssen, muss ein Angreifer lediglich Anfragen auf von ihm kontrollierte bösartige Domains lenken — keine Authentifizierung oder Sonderrechte nötig.

Umfang der Auswirkung

• BIND betreibt die DNS-Auflösung für einen erheblichen Teil der Internet-Infrastruktur
• Ein kompromittierter Resolver kann Kaskadenausfälle verursachen — wenn DNS ausfällt, fällt alles aus
• ISPs, Unternehmen und Cloud-Anbieter mit BIND-Resolvern sind alle potenziell betroffen
• Speicherlecks können sich mit der Zeit ansammeln, was die Erkennung erschwert, bis der Resolver abstürzt

Verteidigungsmaßnahmen

• BIND sofort patchen auf die neueste Version
• Resolver-Speicherauslastung auf anomale Wachstumsmuster überwachen
• Rate Limiting für rekursive Anfragen implementieren
• Response Rate Limiting (RRL) und Query-Logging für Forensik erwägen
• Redundante DNS-Infrastruktur vorhalten, um Ausfälle einzelner Resolver zu überstehen

4. Google setzt 2029 als Frist für die quantensichere Kryptographie-Migration

Google hat sich öffentlich auf 2029 als Zieljahr festgelegt, um die Migration zu quantensicherer Kryptographie über seine Dienste abzuschließen. Die in SecurityWeeks Wochenrückblick hervorgehobene Ankündigung signalisiert, dass eines der weltgrößten Technologieunternehmen die Quantenbedrohung als materiell näher einstuft, als viele Organisationen annehmen.

Die „Harvest now, decrypt later“-Uhr

Die Dringlichkeit rührt von der „Harvest now, decrypt later“-Strategie her, die Nationalstaaten bereits umsetzen. Heute abgefangene verschlüsselte Kommunikation — diplomatische Depeschen, Unternehmensstrategien, klassifizierte Aufklärung — wird lesbar, sobald ausreichend leistungsstarke Quantencomputer verfügbar sind. Wird diese Schwelle Anfang der 2030er überschritten, sind heute mit klassischen Algorithmen verschlüsselte Daten bereits gefährdet.

Branchenkontext

• NIST finalisierte 2024 seine Post-Quanten-Kryptographie-Standards (ML-KEM, ML-DSA, SLH-DSA)
• Die US-Regierung verpflichtete Bundesbehörden, mit der Planung der quantensicheren Migration zu beginnen
• Googles 2029-Frist legt nahe, dass sie glauben, Quantenbedrohungen könnten Anfang der 2030er real werden
• Die meisten Unternehmen haben noch nicht einmal kryptographische Inventar-Audits begonnen, geschweige denn die Migrationsplanung

Was Organisationen jetzt tun sollten

• Ein kryptographisches Inventar erstellen — identifizieren, wo RSA, ECDSA und andere verwundbare Algorithmen verwendet werden
• Langlebige Geheimnisse (Signaturschlüssel, Zertifizierungsstellen, archivierte Daten) für die frühe Migration priorisieren
• Hybriden Schlüsselaustausch (klassisch + Post-Quanten) in Nicht-Produktionsumgebungen testen
• Anbieter zu ihren quantensicheren Roadmaps befragen — fehlt eine, ist das ein Risikosignal
• Quantenmigration in Beschaffungsentscheidungen für neue Infrastruktur einbeziehen

5. RSAC 2026, Tage 3–4: zentrale Ankündigungen formen die Unternehmenssicherheit um

Die letzten Tage der RSAC 2026 in San Francisco brachten eine Welle von Produktankündigungen und strategischen Verschiebungen, die die Unternehmenssicherheit über den Rest des Jahres und darüber hinaus prägen werden.

Bemerkenswerte Ankündigungen

• Anti-Deepfake-Hardware-Chips: Eine neue Klasse von Authentifizierungs-Chips auf Hardware-Ebene, die Deepfake-Inhalte auf Silizium-Ebene erkennen und verhindern sollen — eine potenziell transformative Gegenmaßnahme, während Angriffe mit synthetischen Medien skalieren
• Warnungen vor Palo-Alto-Recruiter-Betrug: Social-Engineering-Kampagnen, die sich als Palo-Alto-Networks-Recruiter ausgeben und Sicherheitsprofis ins Visier nehmen — eine Erinnerung, dass die Security-Community selbst ein hochwertiges Phishing-Ziel ist
• Datenleck bei Heritage Bank offengelegt: Neue Meldungen aus Vorfällen im Finanzsektor tauchen auf und unterstreichen die anhaltende Anvisierung von Bankeninfrastruktur
• Neue Cyber-Einheit des US-Außenministeriums: Das US-Außenministerium hat eine eigene Einheit gegen internationale Cyberbedrohungen gestartet — ein Signal für erhöhte staatliche Investitionen in diplomatische Cyberoperationen
• Störungen bei LA Metro: Cybersecurity-bedingte Störungen betrafen die Nahverkehrssysteme der Los Angeles Metro und verdeutlichen das wachsende Risiko für den öffentlichen Nahverkehr

Trends im Blick

Die RSAC 2026 bekräftigte mehrere Themen: die Beschleunigung von KI in offensiver wie defensiver Sicherheit, den wachsenden Konsens, dass die Quanten-Vorbereitung jetzt beginnen muss, und die zunehmende Raffinesse von Lieferkettenangriffen auf Entwickler-Tooling. Die Konferenz betonte auch eine wachsende Kluft zwischen den Fähigkeiten der Security-Anbieter und der Fähigkeit der meisten Organisationen, diese auszurollen und zu operationalisieren.

Zusammenfassung der Bedrohungslage