Microsoft veröffentlicht einen außerplanmäßigen Notfall-Hotpatch für eine kritische Windows-11-RRAS-Remote-Code-Ausführungs-Schwachstelle, die Enterprise-Hotpatch-Deployments betrifft. Das Web-SDK von AppsFlyer wird in einem Lieferkettenangriff gekapert, der krypto-stehlendes JavaScript einschleust. Google patcht zwei aktiv ausgenutzte Chrome-Zero-Days in Chrome 146. Und Palo Alto Networks enthüllt eine chinesische staatlich unterstützte APT-Kampagne, die südostasiatische Streitkräfte seit 2020 mit maßgeschneiderter Schadsoftware ins Visier nimmt.
Microsoft hat ein außerplanmäßiges (OOB-)Sicherheitsupdate speziell für Windows-11-Enterprise-Geräte veröffentlicht, die den Hotpatch-Update-Mechanismus nutzen. Die Schwachstelle betrifft den Routing and Remote Access Service (RRAS) und ermöglicht Remote-Code-Ausführung. Unternehmensumgebungen, die auf Hotpatch-Deployments setzen — konzipiert für Patchen ohne Neustart —, sind direkt exponiert.
Regulierungs-Auswirkung: NIS2 — Patch-Management — DORA IKT-Risiko — CRA-Schwachstellenbehandlung
Microsoft unternahm am 14. März den ungewöhnlichen Schritt, ein außerplanmäßiges Sicherheitsupdate zu veröffentlichen, um eine kritische Remote-Code-Ausführungs-Schwachstelle im Routing and Remote Access Service (RRAS) von Windows 11 zu adressieren. Der Patch richtet sich gezielt an Windows-11-Enterprise-Systeme, die für Hotpatch-Updates registriert sind — den gestrafften Update-Mechanismus, der Sicherheitsfixes ohne erforderlichen Neustart anwendet.
Die Ironie ist scharf: Ausgerechnet das Hotpatch-System, das Unternehmen kontinuierlich geschützt halten soll, hatte selbst eine Lücke eingeführt. Organisationen, die sich für Hotpatching entschieden hatten, statt die kumulativen Standard-Updates des Patch Tuesday vom März 2026 zu erhalten, blieben bis zu diesem OOB-Fix anfällig für RRAS-Ausnutzung.
RRAS ist eine kritische Netzwerkkomponente, die Unternehmen für VPN-Konnektivität, NAT-Routing und Fernzugriffsdienste einsetzen. Ein Remote-Code-Ausführungs-Mangel in RRAS bedeutet, dass Angreifer potenziell VPN-Gateways und Fernzugriffs-Infrastruktur kompromittieren könnten — genau jene Systeme, die entfernte Konnektivität absichern sollen.
Deutsche, österreichische und Schweizer Unternehmen, die Windows 11 Enterprise mit aktiviertem Hotpatch betreiben, sollten dieses OOB-Update sofort anwenden. Organisationen, die RRAS für VPN oder Fernzugriff nutzen — in den hybriden Arbeitsumgebungen der DACH-Region verbreitet —, sind direkt exponiert. Das BSI sollte ein technisches Advisory zur hotpatch-spezifischen Risikobewertung herausgeben. DACH-Finanzinstitute unter DORA müssen diese Schwachstellenbewertung und den Patch-Zeitplan dokumentieren.
Das AppsFlyer-Web-SDK, von Tausenden Websites für Mobile-Attribution und Analytics genutzt, wurde vorübergehend mit bösartigem JavaScript-Code kompromittiert, der Kryptowährung stehlen sollte. Der Angriff schleuste krypto-stehlenden Code über den legitimen Vertriebskanal des SDK ein und betraf jede Website, die die kompromittierte Version lud.
Regulierungs-Auswirkung: CRA Software-Lieferkette — NIS2-Drittparteienrisiko — eIDAS-Vertrauensdienste
AppsFlyer, eine große Mobile-Attribution- und Analytics-Plattform, die von Marken weltweit genutzt wird, bestätigte diese Woche, dass sein Web-SDK vorübergehend gekapert wurde — mit bösartigem JavaScript-Code, der Kryptowährung von Endnutzern stehlen sollte. Der Angriff stellt eine klassische Lieferketten-Kompromittierung dar: Durch das Einschleusen bösartigen Codes in ein vertrauenswürdiges Drittanbieter-SDK erlangten Angreifer Zugriff auf jede Website, welche die betroffene Version lud.
Das krypto-stehlende JavaScript fing Kryptowährungs-Wallet-Interaktionen auf kompromittierten Websites ab und leitete Transaktionen an angreiferkontrollierte Wallets um. Der Angriff wurde entdeckt und der bösartige Code entfernt, doch das Expositionsfenster betraf eine unbekannte Zahl von Websites und Endnutzern.
Dieser Angriff folgt demselben Drehbuch wie die Polyfill.io-Kompromittierung 2024 und der event-stream-npm-Angriff — er zielt auf weit verbreitete JavaScript-Bibliotheken, die direkt in Millionen Webseiten geladen werden. Der Unterschied: AppsFlyer ist eine Enterprise-Analytics-Plattform, was bedeutet, dass die betroffenen Websites wahrscheinlich große Marken mit erheblichem Traffic sind.
DACH-E-Commerce- und Fintech-Unternehmen, die AppsFlyer nutzen, sollten unverzüglich ihre SDK-Versionen auditieren und auf Kompromittierungsindikatoren prüfen. Deutsche Datenschutzaufsichtsbehörden (LfDIs) könnten ermitteln, falls Finanzdaten von EU-Nutzern kompromittiert wurden. Von der FINMA regulierte Schweizer Einrichtungen, die AppsFlyer auf kundenorientierten Sites einsetzen, sollten DORA-äquivalente Pflichten bewerten. Implementieren Sie Subresource Integrity für sämtliches Drittanbieter-JavaScript — es ist eine Ein-Zeilen-Abwehr gegen Lieferketten-SDK-Kapern.
Google hat Chrome 146 mit Patches für zwei Zero-Day-Schwachstellen veröffentlicht, die aktiv in freier Wildbahn ausgenutzt wurden. Die Mängel erlauben Angreifern, Daten zu manipulieren und Sicherheitsbeschränkungen zu umgehen, was potenziell zu beliebiger Code-Ausführung führt. Beide Schwachstellen wurden bei gezielten Angriffen im Einsatz entdeckt.
Regulierungs-Auswirkung: NIS2-Patch-Management — ENISA-Schwachstellenmeldung — Browsersicherheit
Google lieferte ein dringendes Chrome-146-Update aus, das zwei Zero-Day-Schwachstellen patcht, die bei gezielten Angriffen aktiv ausgenutzt wurden. Die Schwachstellen erlauben Angreifern, Browserdaten zu manipulieren und Chromes Sicherheits-Sandbox-Beschränkungen zu umgehen, womit potenziell Remote-Code-Ausführung auf Opfermaschinen erreicht wird.
Chrome-Zero-Days sind hochwertige Ziele sowohl für Nation-State-Akteure als auch für kommerzielle Spyware-Anbieter. Googles Threat Analysis Group (TAG) hat die Ausnutzung von Chrome-Zero-Days konsistent Überwachungsanbietern zugeschrieben, die an Regierungen verkaufen — eine Praxis, die die EU zunehmend unter die Lupe nimmt.
Da Chrome über 65 % des globalen Browser-Marktanteils hält, stellen diese Schwachstellen eine enorme Angriffsfläche dar. Jede ungepatchte Chrome-Installation — auf Desktops, Laptops und Android-Geräten — ist ein potenzieller Einstiegspunkt.
Alle DACH-Organisationen — insbesondere wesentliche NIS2-Einrichtungen — müssen die Chrome-146-Ausrollung in ihren Umgebungen unverzüglich verifizieren. Deutsche Bundesbehörden sollten den BSI-Leitlinien zur Browser-Härtung folgen. Schweizer Finanzinstitute müssen Chrome-Patch-Zeitpläne für die FINMA-Auditbereitschaft dokumentieren. Enterprise-Chrome-Management-Richtlinien sollten bei aktiv ausgenutzten Zero-Days eine Ausrollung in unter 24 Stunden anstreben.
Regulierungs-Auswirkung: NIS2-Verteidigungssektor — EU-Cyberdiplomatie — NATO-Cyberabwehr
Palo Alto Networks Unit 42 hat eine langlaufende chinesische staatlich unterstützte Cyber-Spionagekampagne gegen südostasiatische Militärorganisationen aufgedeckt, geführt als CL-STA-1087. Die seit mindestens 2020 aktive Operation brachte zwei zuvor unbekannte Schadsoftware-Familien aus — AppleChris und MemFun —, eigens für militärische Nachrichtengewinnung konzipiert.
Anders als Massen-Datenexfiltrationskampagnen demonstrierte CL-STA-1087 „strategische operative Geduld" — die Angreifer suchten sorgfältig nach hochspezifischen Dateien zu militärischen Fähigkeiten, Organisationsstrukturen und Kooperationen mit westlichen Streitkräften und sammelten diese. Diese Anvisierung von Dokumenten zur westlichen Militärkooperation hat direkte Implikationen für NATO- und EU-Verteidigungspartnerschaften.
Die Kampagne nutzte sorgfältig gestaltete Auslieferungsmethoden, fortgeschrittene Techniken zur Abwehrumgehung, stabile operative Infrastruktur und maßgeschneiderte Werkzeuge — Kennzeichen einer gut ausgestatteten, staatlich gelenkten Operation statt opportunistischer Cyberkriminalität.
Der Cyber- und Informationsraum-Dienst (CIR) der Bundeswehr sollte bewerten, ob ähnliche APT-Aktivität deutsche Militärkooperationsprogramme in Südostasien ins Visier nimmt. Der Schweizer Verteidigungssektor unterhält trotz Neutralität Partnerschaften, die nachrichtendienstliche Ziele sein könnten. Auch die österreichische Verteidigungskooperation mit EU-PESCO-Projekten könnte im Anwendungsbereich liegen. DACH-Verteidigungsauftragnehmer sollten nach den von Unit 42 veröffentlichten AppleChris- und MemFun-Kompromittierungsindikatoren suchen.
Regulierungs-Auswirkung: NIS2-Netzwerksicherheit — CRA-Gerätesicherheit — KRITIS
Eine kritische Schwachstelle in HPE-Aruba-AOS-CX-Netzwerk-Switches erlaubt entfernten, unauthentifizierten Angreifern, Administrator-Passwörter zurückzusetzen und damit die vollständige Kontrolle über die Unternehmens-Netzwerkinfrastruktur zu übernehmen. Der Mangel umgeht bestehende Authentifizierungskontrollen vollständig — es sind keine Zugangsdaten erforderlich.
HPE Aruba AOS-CX treibt weltweit Campus-Netze, Rechenzentren und Zweigstellen an. Eine Schwachstelle, die eine unauthentifizierte Admin-Passwort-Rücksetzung erlaubt, ist so schwerwiegend, wie Netzwerksicherheitsmängel nur werden können: Ein Angreifer, der die Management-Schnittstelle erreichen kann, kann die gesamte Switching-Infrastruktur übernehmen.
DACH-Unternehmen mit HPE Aruba AOS-CX sollten sofort patchen und die Exponierung der Management-Schnittstellen auditieren. Verifizieren Sie, dass Switch-Management-Ebenen in isolierten Management-VLANs liegen, die aus Nutzernetzen nicht erreichbar sind. Deutsche KRITIS-Betreiber müssen Behebungszeitpläne dokumentieren. Das BSI sollte dies in seine Advisories zu aktiv ausgenutzten Schwachstellen aufnehmen.
Regulierungs-Auswirkung: DSGVO-Mitarbeiterdaten — NIS2-Vorfallmeldung — Social Engineering
Starbucks hat ein Datenleck offengelegt, das personenbezogene Mitarbeiterdaten betrifft, nachdem Phishing-Angriffe ein internes Mitarbeiterportal ins Visier genommen hatten. Der Vorfall betraf Hunderte Mitarbeiter, wobei Angreifer Social Engineering nutzten, um Anmeldedaten für das Portal zu kompromittieren.
Auch wenn Starbucks ein US-Unternehmen ist, hat das Datenleck Implikationen für seine europäischen Geschäftsbereiche — Starbucks betreibt Tausende Standorte in der gesamten EU und beschäftigt Zehntausende Arbeitnehmer, die dem DSGVO-Schutz unterliegen.
DACH-Organisationen sollten dieses Datenleck zum Anlass nehmen, die Sicherheit ihrer eigenen Mitarbeiterportale zu auditieren. Verifizieren Sie die MFA-Durchsetzung auf allen HR- und Mitarbeiter-Self-Service-Systemen. Deutsche Betriebsräte haben Mitbestimmungsrechte bei der Verarbeitung von Mitarbeiterdaten — ein Leck von Mitarbeiterdaten erfordert zusätzlich zur Meldung an die Datenschutzbehörde eine Information des Betriebsrats. Schweizer Arbeitgeber müssen die Meldepflichten des revidierten DSG einhalten.
Von SDK-Kapern bis zu Übernahmen von Netzwerk-Switches — die heutigen Bedrohungen zielen auf Ihre Abhängigkeiten. KENSAI scannt Ihre gesamte Angriffsfläche — einschließlich Drittanbieter-Komponenten —, bevor Angreifer die Lücken finden.
Kostenlosen Sicherheitsscan starten →Der KENSAI Intelligence Desk veröffentlicht tägliche Sicherheits-Briefings zu Entwicklungen bei NIS2, DORA, DSGVO, EU-KI-Verordnung und CRA über die gesamte Bedrohungslandschaft hinweg. Compliance ist nicht optional – sie ist Infrastruktur.
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Scannen Sie Ihre Website kostenlos →