Die EU-Kommission — jenes Organ, das Cybersicherheitsregulierung schreibt — wurde von ShinyHunters gehackt; 350 GB sensibler Daten wurden entwendet. Zugleich werden kritische Zero-Days in Citrix NetScaler und F5 BIG-IP aktiv ausgenutzt, Fortinet FortiClient EMS wird als Waffe eingesetzt, und eine neue Studie zeigt, dass LLMs still die organisatorischen Zugriffskontrollen brechen. Hier steht, was das alles für die Compliance nach NIS2, DORA, DSGVO und EU-KI-Verordnung bedeutet.
Die Europäische Kommission hat ein Datenleck bestätigt, nachdem ihre Plattform Europa.eu gehackt wurde. ShinyHunters behaupten, über 350 GB entwendet zu haben — darunter Mailserver-Dumps, Datenbanken, vertrauliche Dokumente und Verträge. Es ist das zweite Leck der Kommission binnen zwei Monaten.
In einer nur als ernüchternde Ironie zu bezeichnenden Wendung ist die Europäische Kommission — jene Institution, die für die Ausarbeitung und Durchsetzung des EU-Cybersicherheitsrahmens verantwortlich ist — selbst Opfer eines großen Datenlecks geworden. Die Erpressergruppe ShinyHunters übernahm die Verantwortung, nachdem sie mindestens eines der AWS-Konten (Amazon Web Services) der Kommission kompromittiert und über 350 GB Daten exfiltriert hatte.
Die gestohlenen Daten umfassen angeblich Mailserver-Dumps, Datenbanken, vertrauliche Dokumente und Verträge. ShinyHunters haben bereits ein 90-GB-Beispielarchiv auf ihrer Darknet-Leak-Seite veröffentlicht. Die Kommission bestätigte den Vorfall in einer Pressemitteilung und wies darauf hin, dass interne Systeme nicht betroffen seien, räumte jedoch ein, dass „Daten von diesen Websites entwendet wurden".
Das geschieht nur Wochen, nachdem die Kommission im Februar ein separates Leck offengelegt hatte, das ihre Plattform zur Verwaltung mobiler Geräte betraf. Zwei große Sicherheitsvorfälle innerhalb derselben EU-Institution in weniger als zwei Monaten werfen ernste Fragen zur eigenen Sicherheitslage der Kommission auf — gerade weil sie die Mitgliedstaaten zu strikter NIS2-Compliance drängt.
DSGVO: Das Leck legt personenbezogene Beschäftigtendaten offen und löst Meldepflichten nach den Artikeln 33-34 aus. Enthalten die Daten Informationen über Bürgerinnen und Bürger der Mitgliedstaaten, müssen die betroffenen Datenschutzaufsichtsbehörden binnen 72 Stunden benachrichtigt werden. Die Kommission selbst muss genau jene Regeln befolgen, die sie durchsetzt.
NIS2: Als Unionsorgan, das wesentliche digitale Dienste betreibt, unterliegt die Kommission Pflichten, die zu NIS2 parallel laufen. Die Kompromittierung von Cloud-Infrastruktur (AWS-Konten) verdeutlicht genau jene Lieferketten- und Cloud-Sicherheitsrisiken, für die NIS2 geschaffen wurde. Organisationen sollten prüfen, ob ihre eigenen Cloud-Konfigurationen einen vergleichbaren Angriff überstehen würden.
Eine kritische Schwachstelle (CVSS 9.3) in Citrix NetScaler ADC und Gateway wird aktiv ausgenutzt, um sensible Daten abzugreifen — einschließlich authentifizierter Administrator-Sitzungs-IDs. Sofort patchen.
Eine Schwachstelle mit kritischem Schweregrad in Citrix NetScaler ADC und NetScaler Gateway (CVE-2026-3055, CVSS 9.3) wird seit dem 27. März 2026 aktiv ausgenutzt. Der Mangel ist eine unzureichende Eingabevalidierung, die zu einem Speicher-Überlesen führt und Angreifern erlaubt, sensible Informationen aus dem Anwendungsspeicher abzugreifen — darunter authentifizierte administrative Sitzungs-IDs.
Eine erfolgreiche Ausnutzung setzt voraus, dass die Appliance als SAML Identity Provider (SAML IDP) konfiguriert ist, was die Angriffsfläche verengt, aber weiterhin eine erhebliche Zahl von Unternehmensinstallationen betrifft. Sobald ein Angreifer eine Admin-Sitzungs-ID aus dem Speicher erbeutet, kann er die Sitzung übernehmen und die volle Kontrolle über die Appliance erlangen — einschließlich der Änderung von Regeln zur Verkehrsinspektion, SSL-Zertifikaten und Zugriffsrichtlinien.
Citrix NetScaler sitzt für Tausende Organisationen in Europa am Netzwerkrand und dient zugleich als Load Balancer und VPN-Gateway. Wer diese Geräte kompromittiert, erhält eine privilegierte Position, um Verkehr durch die Infrastruktur der Organisation abzufangen, umzuleiten oder zu manipulieren.
NIS2: NetScaler-Appliances gelten als kritische Netzwerkinfrastruktur im Sinne der Anforderungen von NIS2 Artikel 21 zur „Schwachstellenbehandlung und -offenlegung". Als wesentlich oder wichtig eingestufte Einrichtungen, die nicht in angemessener Frist patchen, riskieren Sanktionen von bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes. NIS2 verlangt zudem eine Meldung an die CSIRTs binnen 24 Stunden nach Kenntnis einer Ausnutzung.
DORA: Finanzinstitute, die Citrix NetScaler für Fernzugriff oder Anwendungsbereitstellung nutzen, müssen dies bei festgestellter Ausnutzung als schwerwiegenden IKT-bezogenen Vorfall nach DORA Artikel 19 behandeln. DORA verlangt von Finanzunternehmen, ein Register aller IKT-Assets zu führen und kontinuierliches Schwachstellenmanagement sicherzustellen — einschließlich Netzwerk-Edge-Geräten.
F5 hat eine BIG-IP-APM-Schwachstelle von einem hochgradigen DoS-Mangel zu kritischer Remote-Code-Ausführung neu eingestuft. Angreifer bringen auf ungepatchten Geräten bereits aktiv Webshells aus.
In einer besorgniserregenden Entwicklung hat F5 eine Schwachstelle im BIG-IP Access Policy Manager (APM) neu eingestuft, die ursprünglich als hochgradiger Denial-of-Service-Mangel offengelegt worden war. Die Schwachstelle wird nun als Remote-Code-Ausführung (RCE) mit kritischem Schweregrad bewertet, und Angreifer nutzen sie bereits in freier Wildbahn aus, um Webshells auf ungepatchten Geräten auszubringen.
Diese Neueinstufung wiegt schwer. Organisationen, die das ursprüngliche DoS-Advisory bewertet und das Patchen auf Basis einer als risikoakzeptabel eingestuften DoS-Klassifizierung zurückgestellt haben, stehen nun vor einer völlig anderen Bedrohung: dauerhaftem Fernzugriff über Webshells. BIG-IP-Appliances übernehmen SSL-Offloading, Lastverteilung und Anwendungsbereitstellung für viele der größten Finanzinstitute, Gesundheitsdienstleister und Regierungsbehörden weltweit.
Eine Webshell auf einem BIG-IP-Gerät gibt Angreifern die Möglichkeit, verschlüsselten Verkehr abzufangen, Nutzer umzuleiten, bösartige Inhalte einzuschleusen und tiefer ins interne Netz vorzudringen — und das alles, während es für nachgelagerte Sicherheitskontrollen wie legitimer Verkehr aussieht.
DORA: Finanzinstitute, die BIG-IP zur Anwendungsbereitstellung nutzen, stehen vor unmittelbaren Pflichten. DORA Artikel 9 verlangt von Finanzunternehmen, Richtlinien für das IKT-Asset-Management umzusetzen, die zeitnahes Patchen kritischer Schwachstellen einschließen. Eine Neueinstufung von DoS zu RCE sollte eine sofortige Neubewertung von Risiko und Patch-Priorität auslösen. Aufsichtsbehörden werden „wir haben es als DoS eingestuft und zurückgestellt" nicht als Verteidigung akzeptieren.
NIS2: BIG-IP-Geräte, die als Load Balancer für wesentliche Dienste (Gesundheit, Energie, Verkehr) dienen, fallen eindeutig unter die Anforderungen von NIS2 an das Schwachstellenmanagement. Das Ausbringen von Webshells stellt einen erheblichen Vorfall dar, der eine CSIRT-Meldung erfordert.
Eine kritische Schwachstelle im FortiClient Enterprise Management Server (EMS) von Fortinet wird nun aktiv ausgenutzt. Wer EMS kompromittiert, erhält Kontrolle über die Endpunkt-Sicherheitsrichtlinien der gesamten Organisation.
Angreifer nutzen aktiv eine kritische Schwachstelle im FortiClient Enterprise Management Server (EMS) von Fortinet aus — jener zentralen Plattform, die Fortinets Endpunkt-Sicherheitsagenten in Unternehmensumgebungen verwaltet. Das Threat-Intelligence-Unternehmen Defused bestätigte die aktive Ausnutzung in freier Wildbahn.
FortiClient EMS zu kompromittieren ist besonders gefährlich, weil es die Management-Ebene für Endpunktsicherheit ist. Ein Angreifer, der EMS kontrolliert, kann bösartige Konfigurationen an alle verwalteten Endpunkte ausspielen, Sicherheitsrichtlinien deaktivieren, Schadsoftware auf Positivlisten setzen oder Hintertüren ausbringen — und das alles über genau die legitime Management-Infrastruktur, der Sicherheitsteams vertrauen.
Dieser Angriff folgt einem beunruhigenden Trend: Bedrohungsakteure zielen zunehmend auf die Sicherheits-Management-Infrastruktur selbst statt auf einzelne Endpunkte. Ähnliche Kampagnen haben wir gegen Cisco FMC, Ivanti EPMM und SolarWinds gesehen — die Werkzeuge, auf die Organisationen zur Aufrechterhaltung der Sicherheit angewiesen sind, werden zum primären Angriffsvektor.
NIS2 Artikel 21(2)(d) verlangt von wesentlichen und wichtigen Einrichtungen die Umsetzung von „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern". Endpunkt-Management-Plattformen sind der Inbegriff von Lieferkettenvertrauen — ist der Management-Server kompromittiert, ist damit jeder verwaltete Endpunkt kompromittiert. Organisationen müssen sicherstellen, dass ihre Sicherheits-Management-Infrastruktur höchste Patch-Priorität erhält und nicht dieselbe Priorität wie die von ihr verwalteten Assets.
Neue Forschung zeigt: LLMs können syntaktisch korrekte Zugriffskontrollrichtlinien (Rego, Cedar) schreiben, die subtile Logikfehler enthalten — und damit Least-Privilege-Sicherheitsmodelle still demontieren.
Eine diese Woche veröffentlichte Studie offenbart ein kritisches und unterschätztes Risiko beim Einsatz von Large Language Models (LLMs) im Sicherheitsbetrieb: KI-Systeme können syntaktisch korrekte Zugriffskontrollrichtlinien schreiben, die subtile Logikfehler enthalten und die organisatorische Sicherheit still untergraben, ohne irgendeinen Alarm auszulösen.
Das Phänomen, getauft „Silent Drift", tritt auf, wenn Organisationen LLMs einsetzen, um Zugriffskontrollrichtlinien in Sprachen wie Rego (verwendet von Open Policy Agent) oder Cedar (verwendet von AWS Verified Access) zu erzeugen oder zu ändern. Das LLM erzeugt Richtlinien, die fehlerfrei kompilieren und einfache Tests bestehen, aber fehlende Bedingungen, halluzinierte Attribute oder falsche logische Operatoren enthalten, die weitergehenden Zugriff gewähren als beabsichtigt.
Anders als eine fehlkonfigurierte Firewall-Regel — die durch Verkehrsanalyse auffallen könnte — löst eine übermäßig freizügige Zugriffskontrollrichtlinie womöglich nie einen Alarm aus. Der gewährte Zugriff ist durch die Richtlinie technisch „autorisiert", selbst wenn er nicht der Absicht des Administrators entsprach. So entsteht eine langsame, unsichtbare Ausweitung von Zugriffsrechten, die sich mit jeder weiteren KI-generierten Richtlinie kumuliert.
EU-KI-Verordnung: Zugriffskontrollsysteme, die bestimmen, wer auf sensible Daten oder kritische Infrastruktur zugreifen darf, können nach Anhang III der EU-KI-Verordnung als Hochrisiko-KI-Systeme gelten. Werden LLMs eingesetzt, um solche Richtlinien zu erzeugen oder zu ändern, müssen Organisationen Mechanismen menschlicher Aufsicht (Artikel 14) umsetzen und sicherstellen, dass die Ausgaben des KI-Systems interpretierbar und prüfbar sind. Das blinde Ausrollen KI-generierter Zugriffsrichtlinien ohne menschliche Prüfung könnte einen Verstoß darstellen.
DSGVO: Zugriffskontrolle ist ein Grundelement von DSGVO Artikel 32 („Sicherheit der Verarbeitung"). Gewähren KI-generierte Richtlinien versehentlich übermäßigen Zugriff auf personenbezogene Daten, kann die Organisation gegen die Datenminimierung (Artikel 5 Abs. 1 Buchst. c) verstoßen und den Nachweis „geeigneter technischer Maßnahmen" zum Schutz personenbezogener Daten schuldig bleiben. Dass eine KI die Richtlinie geschrieben hat, ist keine Verteidigung — der Verantwortliche bleibt in der Pflicht.
Das Gesundheits-IT-Unternehmen CareCloud hat ein Leck in einer seiner Umgebungen für elektronische Patientenakten offengelegt. Patientendaten wurden offengelegt.
Das Gesundheits-IT-Unternehmen CareCloud hat einen Cybersicherheitsvorfall in einer seiner Umgebungen für elektronische Patientenakten (EHR) offengelegt. Der Angriff verursachte eine rund achtstündige Netzwerkstörung und führte zum Diebstahl sensibler Patientendaten. Der volle Umfang wird noch untersucht, doch jedes Leck mit EHR-Daten zählt sowohl nach der DSGVO als auch nach sektorspezifischen Gesundheitsvorschriften zu den sensibelsten.
Das Gesundheitswesen bleibt der am stärksten von Ransomware und Datendiebstahl betroffene Sektor; laut IBMs aktuellem Cost-of-a-Data-Breach-Bericht kostet ein Datenleck im Gesundheitswesen durchschnittlich 10,93 Mio. USD. Der CareCloud-Vorfall unterstreicht, dass Managed-Service-Provider, die Gesundheitsdaten verarbeiten, hochwertige Ziele sind — wer einen MSP kompromittiert, kann Daten von Hunderten Gesundheitsdienstleistern offenlegen.
DSGVO: Gesundheitsdaten sind nach Artikel 9 als besondere Kategorie personenbezogener Daten eingestuft und unterliegen den höchsten Schutzanforderungen. Lecks mit Gesundheitsdaten erfordern fast immer eine individuelle Benachrichtigung der betroffenen Patienten und tragen das maximale Bußgeldpotenzial (20 Mio. € oder 4 % des weltweiten Umsatzes).
NIS2: Das Gesundheitswesen ist in NIS2 ausdrücklich als wesentlicher Sektor gelistet. Cloud-basierte EHR-Plattformen, die mehrere Gesundheitsdienstleister bedienen, gelten als kritische digitale Infrastruktur. Sowohl CareCloud als auch seine Kunden im Gesundheitswesen unterliegen NIS2-Meldepflichten.
| Bedrohung | Regulierung | Vorrangige Maßnahme |
|---|---|---|
| Europa.eu-Leck (ShinyHunters) | DSGVO, NIS2 | Cloud-IAM auditieren, SSO-Sicherheit prüfen, Meldeprozesse vorbereiten |
| Citrix NetScaler CVE-2026-3055 | NIS2, DORA | Sofort patchen, SAML IDP deaktivieren, falls Patchen nicht möglich |
| F5 BIG-IP RCE (neu eingestuft) | DORA, NIS2 | Notfall-Patch, auf Webshells scannen, Risiko neu bewerten |
| Ausnutzung von FortiClient EMS | NIS2 | Patchen, Management-Zugriff einschränken, Richtlinienänderungen auditieren |
| LLM-Drift in der Zugriffskontrolle | EU-KI-Verordnung, DSGVO | Menschliche Prüfung für KI-generierte Richtlinien einführen, KI-Einsatz dokumentieren |
| CareCloud-Leck im Gesundheitswesen | DSGVO, NIS2 | Exposition gegenüber Gesundheits-MSPs bewerten, Auftragsverarbeitungsverträge prüfen |
KENSAI überwacht Ihre Angriffsfläche kontinuierlich auf Schwachstellen wie die diese Woche ausgenutzten — und ordnet Befunde automatisch den Compliance-Anforderungen von NIS2, DORA und DSGVO zu.
Kostenlosen Sicherheitsscan starten →KENSAI Security Research · Tägliches Regulierungs-Briefing
Veröffentlicht am 31. März 2026 · Nächstes Briefing morgen um 05:30 MEZ