Compliance & Vorschriften Eilmeldung 7. März 2026 9 Min. Lesezeit

Überwachungssystem des FBI gehackt, neuer Pentagon-CISO ernannt, CISA erweitert KEV — Überblick über Sicherheitsvorschriften

Das FBI untersucht einen Angriff auf ein System, das sensible Überwachungsinformationen enthält. Das Pentagon ernennt James „Aaron“ Bishop zu seinem neuen CISO. CISA nimmt 23 iOS-Schwachstellen aus dem Coruna-Exploit-Kit in den KEV-Katalog auf. Unterdessen verdeutlichen AI-Sicherheitslücken in der Gemini-Integration von Chrome die Dringlichkeit der neu durchgesetzten verbotenen Praktiken des EU AI Act. Googles Zero-Day-Bericht 2025 zeigt 90 ausgenutzte Schwachstellen — die Hälfte davon zielte auf Unternehmensinfrastruktur ab.

🔴 FBI untersucht Angriff auf Überwachungssystem

Kritischer Sicherheitsvorfall bei einer Regierungsbehörde

Das FBI hat bestätigt, dass es „verdächtige“ Cyberaktivitäten auf einem System untersucht, das sensible Überwachungsinformationen enthält. Die Behörde informierte Mitglieder des Kongresses über den Vorfall und arbeitet daran, Umfang und Auswirkungen der Kompromittierung zu ermitteln.

Regulatorische Auswirkungen

Dieser Vorfall hat erhebliche Auswirkungen auf die Regulierung und Aufsicht der Cybersicherheit von Regierungsbehörden:

Aufsicht durch den Kongress: Der Angriff dürfte gesetzgeberische Maßnahmen zu verbindlichen Cybersicherheitsvorgaben für Bundesbehörden beschleunigen; von beiden Geheimdienstausschüssen werden vertrauliche Unterrichtungen erwartet
FISMA-Compliance: Es werden Fragen dazu aufkommen, ob das kompromittierte System die Anforderungen des Federal Information Security Modernization Act erfüllte
Reform der Überwachung: Die Kompromittierung überwachungsbezogener Daten könnte die Debatten über Section 702 des FISA und Datenschutzvorkehrungen für Nachrichtendienstsysteme neu entfachen
Bedenken hinsichtlich der Lieferkette: Die Ermittler prüfen, ob der Angriff über einen Drittanbieter erfolgte, was an die Sicherheitsanforderungen von NIS2 und DORA für Lieferketten erinnert

Für EU-Organisationen unterstreicht dieser Vorfall die Bedeutung der Anforderungen aus NIS2 Artikel 21 an die Bewältigung von Sicherheitsvorfällen und das Krisenmanagement — selbst die sicherheitsorientiertesten Behörden bleiben verwundbar.

🛡️ Pentagon ernennt neuen CISO: James „Aaron“ Bishop

James „Aaron“ Bishop wurde zum neuen Chief Information Security Officer des Pentagon ernannt. Er folgt auf David McKeown, der nach 40 Jahren im Staatsdienst in die Privatwirtschaft wechselt. Die Ernennung signalisiert, dass Cybersicherheit auf höchster Ebene der US-Verteidigung weiterhin Priorität genießt.

Was dies für die Regulierung bedeutet

Der CISO des Pentagon verantwortet die Cybersicherheitsrichtlinien des US-Verteidigungsministeriums — der gemessen an der Mitarbeiterzahl größten Organisation der Welt. Bishops Ernennung erfolgt zu einem entscheidenden Zeitpunkt:

Durchsetzung von CMMC 2.0: Das Cybersecurity Maturity Model Certification-Programm geht in die vollständige Durchsetzungsphase über und verpflichtet alle Auftragnehmer der Verteidigungsindustrie zur Einhaltung geprüfter Cybersicherheitsstandards
Zero-Trust-Architektur: Die Frist für die Umsetzung von Zero Trust im DoD rückt näher; alle Bereiche sollen den angestrebten Reifegrad erreichen
Internationale Abstimmung: Zunehmende Koordination zwischen US-amerikanischen Cybersicherheitsstandards für die Verteidigung und EU-Rahmenwerken (NIS2, DORA), um die Interoperabilität unter Verbündeten sicherzustellen
AI/ML-Sicherheit: Der zunehmende Einsatz von AI-Systemen im DoD erfordert die Abstimmung mit neuen AI-Sicherheitsstandards — parallel zu den Anforderungen des EU AI Act an AI-Systeme mit hohem Risiko

⚠️ CISA nimmt iOS-Schwachstellen des Coruna-Exploit-Kits in den KEV-Katalog auf

23 iOS-Schwachstellen in den Katalog bekannter ausgenutzter Schwachstellen aufgenommen

CISA hat iOS-Schwachstellen, die vom Coruna-Exploit-Kit ausgenutzt werden, in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Das als Werkzeug „auf dem Niveau staatlicher Akteure“ beschriebene Exploit-Kit zielt auf 23 Schwachstellen in den iOS-Versionen 13 bis 17.2.1 ab.

Auswirkungen auf die Compliance

Gemäß der Binding Operational Directive (BOD) 22-01 müssen alle zivilen US-Bundesbehörden in KEV aufgeführte Schwachstellen innerhalb der vorgegebenen Fristen beheben. Die regulatorischen Auswirkungen reichen jedoch weit über die USA hinaus:

NIS2 (EU): Artikel 21 schreibt die Behandlung und Offenlegung von Schwachstellen vor — Organisationen, die iOS-Geräte im Betrieb wesentlicher oder wichtiger Einrichtungen einsetzen, müssen diese unverzüglich aktualisieren
DORA (Finanzsektor): DORA unterliegende Finanzunternehmen müssen Schwachstellen mobiler Geräte in ihre Rahmenwerke für das IKT-Risikomanagement und die Meldung von Vorfällen aufnehmen
GDPR: Die Ausnutzung dieser Schwachstellen könnte zur Exfiltration personenbezogener Daten führen und damit die 72-stündige Meldepflicht für Datenschutzverletzungen gemäß Artikel 33 auslösen
EU AI Act: AI-Systeme, die auf kompromittierter iOS-Infrastruktur betrieben werden, erfüllen möglicherweise nicht die Sicherheitsanforderungen für AI-Systeme mit hohem Risiko gemäß Artikel 15

Coruna-Exploit-Kit: Wichtige Details

Merkmal	Details
Klassifizierung	Kommerzielles Exploit-Kit auf dem Niveau staatlicher Akteure
Ziel	iOS 13 bis iOS 17.2.1
Schwachstellen	23 verkettete Exploits zur vollständigen Kompromittierung des Geräts
Fähigkeit	Zero-Click-Remotecodeausführung, dauerhafter Zugriff
KEV-Status	Alle 23 CVEs befinden sich jetzt im KEV-Katalog von CISA

🤖 AI-Sicherheit unter Beschuss: Chrome-Gemini-Schwachstelle und gefälschte Erweiterungen

Zwei Entwicklungen in dieser Woche verdeutlichen die zunehmende Überschneidung von AI-Sicherheit und regulatorischer Compliance:

Chrome-Gemini-Schwachstelle (CVE-2026-0628)

Google hat CVE-2026-0628 (CVSS 8.8 — Hoch) behoben, eine Schwachstelle zur Rechteausweitung in der Gemini-AI-Integration von Chrome. Die von Palo Alto Networks Unit 42 gemeldete Schwachstelle ermöglichte es bösartigen Browsererweiterungen mit grundlegenden Berechtigungen, das Gemini-Live-Panel zu übernehmen und möglicherweise auf Folgendes zuzugreifen:

Unterhaltungen der Benutzer mit dem AI-Assistenten
Browserkontext und mit Gemini geteilte Seiteninhalte
Alle über das AI-Panel verarbeiteten Daten

Epidemie gefälschter AI-Erweiterungen

Sicherheitsforscher warnen weiterhin vor bösartigen Browsererweiterungen, die sich in offiziellen App-Stores als AI-Werkzeuge ausgeben. Diese Erweiterungen bieten oberflächliche AI-Funktionen, während sie unbemerkt Benutzerdaten, Tastatureingaben und Authentifizierungstoken exfiltrieren.

Relevanz für den EU AI Act

Seit dem 2. Februar 2026 sind die verbotenen Praktiken (Artikel 5) des EU AI Act durchsetzbar. Diese konkreten Schwachstellen fallen zwar nicht unter die verbotenen AI-Kategorien, verdeutlichen jedoch kritische Lücken in der Sicherheit von AI-Systemen, die durch die Anforderungen an AI-Systeme mit hohem Risiko des Gesetzes (gültig ab August 2026) adressiert werden:

Artikel 15: AI-Systeme mit hohem Risiko müssen ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit erreichen
Artikel 9: Risikomanagementsysteme müssen Cybersicherheitsbedrohungen für AI-Komponenten berücksichtigen
GPAI-Transparenz (Mai 2026): Anbieter von AI-Modellen mit allgemeinem Verwendungszweck müssen die Cybersicherheitsmaßnahmen zum Schutz der Modellintegrität dokumentieren

📊 Google-Zero-Day-Bericht: 90 ausgenutzte Schwachstellen im Jahr 2025

Googles jährliche Analyse der Ausnutzung von Zero-Day-Schwachstellen zeigt, dass im Jahr 2025 90 Zero-Day-Schwachstellen aktiv ausgenutzt wurden — mit einer deutlichen Verlagerung hin zu Angriffen auf Unternehmen:

50 % zielten auf Unternehmensprodukte ab — Sicherheitsgeräte, VPN-Gateways und Netzwerkinfrastruktur
Spyware-Anbieter bleiben die aktivsten Nutzer von Zero-Day-Schwachstellen; kommerzielle Überwachungswerkzeuge stellen den größten zugeordneten Anteil dar
Mit China in Verbindung stehende Gruppen führten die Zuordnung zu staatlichen Akteuren an und konzentrierten sich auf Geräte am Netzwerkrand sowie kritische Infrastruktur
Weniger als die Hälfte aller Zero-Day-Schwachstellen konnte bestimmten Bedrohungsakteuren zugeordnet werden

Regulatorische Schlussfolgerung

Der Fokus der Zero-Day-Ausnutzung auf Unternehmen bestätigt unmittelbar den regulatorischen Ansatz von NIS2 und DORA:

Wesentliche Einrichtungen gemäß NIS2, die Netzwerkinfrastruktur betreiben, sind bevorzugte Ziele — die Risikomanagementmaßnahmen nach Artikel 21 sind keine unverbindlichen Empfehlungen, sondern überlebenswichtige Anforderungen
Die Prüfung der digitalen operationalen Resilienz gemäß DORA (einschließlich bedrohungsorientierter Penetrationstests) spiegelt die Realität wider, dass die Infrastruktur des Finanzsektors anhaltenden, hochentwickelten Angriffen ausgesetzt ist
Die Anforderungen des EU Cyber Resilience Act (CRA) an Hersteller, Sicherheitsupdates bereitzustellen und Schwachstellen zu behandeln, werden entscheidend, da Angreifer zunehmend Schwachstellen auf Produktebene ins Visier nehmen

🔄 Aktualisierungen zum Datenschutz bei Microsoft Copilot

Microsoft kündigte neue Kontrollen darüber an, auf welche Dateien sein AI-Assistent Microsoft 365 Copilot bei der Datenverarbeitung zugreifen kann. Die Änderung erfolgt als direkte Reaktion auf Kundenberichte, wonach Copilot vertrauliche Informationen in seine Ausgaben aufgenommen hatte.

Wichtige Änderungen

Erweiterte DLP-Durchsetzung: Kennzeichnungen zur Verhinderung von Datenverlusten gelten künftig auch für lokale Dateien und nicht mehr nur für OneDrive/SharePoint — dadurch wird verhindert, dass Copilot unabhängig vom Speicherort auf DLP-beschränkte Inhalte zugreift
Standardmäßiger Schutz: Die neuen Kontrollen werden ab April 2026 standardmäßig angewendet
Verantwortung der Benutzer: Organisationen müssen DLP-Kennzeichnungen für sensible Dateien korrekt konfigurieren, um den Zugriff durch AI zu verhindern

Compliance mit GDPR und AI Act

Diese Entwicklung ist für die Compliance in der EU unmittelbar relevant:

GDPR Artikel 5(1)(f): Integrität und Vertraulichkeit — der Zugriff von AI-Werkzeugen auf Daten außerhalb ihres vorgesehenen Umfangs kann gegen den Grundsatz angemessener Sicherheit verstoßen
GDPR Artikel 25: Datenschutz durch Technikgestaltung — die Änderung von Microsoft entspricht der regulatorischen Erwartung integrierter Datenschutzvorkehrungen
EU AI Act Artikel 10: Die Anforderungen an die Daten-Governance für AI-Systeme müssen sicherstellen, dass Trainings- und Verarbeitungsdaten den Qualitäts- und Relevanzstandards entsprechen

⚡ Cisco-SD-WAN-Schwachstellen werden aktiv ausgenutzt

Cisco bestätigte, dass zwei kürzlich behobene Catalyst-SD-WAN-Schwachstellen — CVE-2026-20128 und CVE-2026-20122 — aktiv ausgenutzt werden. SD-WAN-Infrastruktur wird in mehreren regulatorischen Rahmenwerken als kritische Infrastruktur eingestuft.

NIS2-Warnung zu kritischer Infrastruktur

Organisationen, die SD-WAN-Infrastruktur betreiben und gemäß NIS2 als wesentliche oder wichtige Einrichtungen eingestuft sind, müssen diese ausgenutzten Schwachstellen als zwingend und unverzüglich zu patchen behandeln. Gemäß Artikel 21 kann das Versäumnis, bekannte und ausgenutzte Schwachstellen in kritischer Netzwerkinfrastruktur zu beheben, einen Compliance-Verstoß darstellen, der mit Verwaltungsgeldbußen geahndet werden kann.

📋 Compliance-Maßnahmen — Woche des 7. März 2026

iOS-Geräte unverzüglich aktualisieren — Alle 23 CVEs des Coruna-Exploit-Kits befinden sich jetzt im CISA-KEV-Katalog; NIS2-/DORA-regulierte Einrichtungen müssen sie priorisieren
Cisco SD-WAN aktualisieren — CVE-2026-20128 und CVE-2026-20122 werden aktiv ausgenutzt; Risiko für kritische Infrastruktur
Berechtigungen von AI-Werkzeugen prüfen — Browsererweiterungen überprüfen, die AI-Funktionen anbieten; nicht verifizierte Erweiterungen entfernen
Microsoft 365 DLP konfigurieren — Sicherstellen, dass sensible Dateien mit DLP-Kennzeichnungen versehen sind, bevor die standardmäßigen Copilot-Schutzmaßnahmen im April aktiviert werden
Chrome-Sicherheitsupdates prüfen — CVE-2026-0628 (Gemini-Schwachstelle) beheben; AI-integrierte Browserkomponenten bewerten
Bereitschaft für den EU AI Act herstellen — Verbotene Praktiken sind jetzt durchsetzbar; AI-Systeme im Hinblick auf die Compliance bis zur Frist für Hochrisikosysteme im August 2026 inventarisieren
NIS2-Notfallübung durchführen — Der Angriff auf das FBI unterstreicht, dass selbst führende Sicherheitsorganisationen kompromittiert werden können; testen Sie Ihre Verfahren zur Frühwarnung innerhalb von 24 Stunden

Automatisieren Sie Ihre Compliance-Überwachung

KENSAI überwacht Ihre Infrastruktur kontinuierlich anhand der Anforderungen von NIS2, DORA, GDPR und EU AI Act. Schwachstellenerkennung in Echtzeit trifft auf regulatorische Zuordnung.

Kostenlosen Compliance-Scan starten

Bleiben Sie regelkonform. Bleiben Sie geschützt.

🗡️ KENSAI Compliance Intelligence

7. März 2026