mars solutions GmbH

Cyberangriff LMU München: Stammdaten von Studierenden abgeflossen

Technischer Support — Tue, 22 Sep 2026 09:35:40 +0000

Cyberangriff LMU München: Stammdaten von Studierenden abgeflossen

Technischer Support
September 22, 2026
11:35

Die Ludwig-Maximilians-Universität München hat am 19. September 2026 einen Datenschutzvorfall öffentlich gemacht: Ein Angreifer ist unbefugt in ein IT-System mit Stammdaten zu Immatrikulationen eingedrungen – und hat die Daten nach heutigem Stand auch abgerufen.

Was beim Cyberangriff LMU München passiert ist, welche Daten das Haus verlassen haben und welche fünf Fragen jede Geschäftsführung daraus für den eigenen Betrieb ableiten sollte, lesen Sie hier.

Das Wichtigste in Kürze

Der Angriff wurde am Mittwoch, dem 16. September 2026, bemerkt; die Öffentlichkeit erfuhr davon am Samstag, dem 19. September - drei Tage später
Betroffen ist ein einzelnes Fachsystem mit Immatrikulationsstammdaten von Studierenden und Studienbewerbenden, nicht die gesamte Hochschul-IT
Abgeflossen sind identifizierende Daten, Kontaktdaten, Bankdaten, Krankenversicherungs- und BAföG-Nummern sowie Angaben zu Schul- und Studienabschlüssen, in Einzelfällen auch besondere Kategorien nach Artikel 9 DSGVO
Nicht betroffen sind nach Angaben der LMU Prüfungs- und Leistungsdaten sowie Passwörter und LMU-Benutzerkennungen
Es gibt bislang keine Anhaltspunkte für eine Veröffentlichung der Daten; das Bayerische Landeskriminalamt ermittelt, Spezialisten beobachten Darknet-Portale

So lief der Cyberangriff auf die LMU München ab

Nach Darstellung der Universität fiel der Vorfall am Mittwoch, dem 16. September 2026, auf. Ein unbefugter Angreifer hatte Zugriff auf Stammdaten aus einem System, das die Immatrikulation verwaltet. Die LMU formuliert es in ihrer Mitteilung deutlich: Man müsse derzeit davon ausgehen, dass diese Daten auch abgerufen wurden.

Die IT-Abteilung reagierte unmittelbar nach den ersten Anzeichen und nahm das betroffene System vollständig vom Netz, um weiteren Abfluss zu verhindern.

Parallel wurden externe IT-Forensiker eingeschaltet, die Sicherheitsüberwachung erweitert und das Bayerische Landeskriminalamt eingebunden.
Die technische Aufklärung dauert an.

Öffentlich gemacht wurde der Vorfall am Samstag, dem 19. September – drei Tage nach der Entdeckung. Diese Lücke wurde politisch kritisiert: Medienberichten zufolge wurde darauf verwiesen, dass die Datenschutz-Grundverordnung eine unverzügliche Benachrichtigung Betroffener verlange, und forderte Transparenz über Ursache und Ablauf. Die LMU verweist ihrerseits auf die enge Zusammenarbeit mit Ermittlungs- und Aufsichtsbehörden.

Zum Einfallsweg gibt es bislang keine belastbaren Angaben. Weder die Universität noch die Berichterstattung nennen eine ausgenutzte Schwachstelle, kompromittierte Zugangsdaten oder einen konkreten Softwarestand. Wer den Fall bewertet, sollte das im Blick behalten: Alles, was derzeit über das „Wie“ gesagt wird, ist Spekulation.

Diese Daten sind abgeflossen

Die LMU hat die betroffenen Datenkategorien ungewöhnlich sauber aufgeschlüsselt. Nach ihren Angaben sind betroffen:

Identifizierende Daten - Name, Geburtsdatum, Geschlecht, gegebenenfalls Geburtsort oder Geburtsland
Kontaktdaten - Semester- und Heimatanschrift, ggf. Telefonnummer, LMU-E-Mail-Adresse und gegebenenfalls eine weitere E-Mail-Adresse
Bankdaten - unter anderem IBAN und Name des Kontoinhabers
Sozial- und Verwaltungsdaten - Krankenversicherungsnummern und BAföG-Nummern
Bildungsdaten - Angaben zu Schul- und Studienabschlüssen sowie zum Studienverlauf
In Einzelfällen besondere Kategorien nach Artikel 9 DSGVO - etwa hinterlegte Gründe für eine Beurlaubung

Ausdrücklich nicht betroffen sind nach Angaben der Hochschule Prüfungsinformationen, konkrete Angaben zu Studieninhalten und individuellen Leistungen sowie Passwörter und LMU-Benutzerkennungen. Eine generelle Passwortänderung hält die LMU deshalb nicht für zwingend erforderlich.

Die Kombination ist das Problem, nicht die einzelne Angabe

Name, Geburtsdatum, Anschrift und IBAN ergeben zusammen einen vollständigen Identitätsbaukasten – genug für Bestellbetrug, Vertragsabschlüsse und Lastschriftmissbrauch im Namen der Betroffenen. Krankenversicherungs- und BAföG-Nummern machen jede spätere Phishing-Mail glaubwürdig, weil sie Wissen belegen, das ein Fremder nicht haben sollte.

Zahlen zum Cyberangriff auf die LMU München

16.09.2026

Tag der Entdeckung

3 Tage

bis zur öffentlichen Information am 19.09.2026

über 52.000

Studierende im Wintersemester 2025/26

0

bisher bekannte Veröffentlichungen der Daten

Eine offizielle Zahl der Betroffenen gibt es nicht. Die 52.000 sind die Einschreibezahl des vergangenen Wintersemesters und damit eine Größenordnung, keine Betroffenenzahl. Weil auch Studienbewerbende im System stehen und unklar ist, wie weit die Datenhistorie zurückreicht, kann der tatsächliche Kreis größer sein.

Warum ein Datenabfluss ohne Verschlüsselung gefährlich bleibt

Der Fall LMU hat kein Ransomware-Muster: keine verschlüsselten Server, keine Lösegeldforderung, keine Leak-Seite mit Countdown. Genau deshalb wird er unterschätzt.

Ein Verschlüsselungsvorfall ist laut und hat ein Ende. Ein Backup wird eingespielt, der Betrieb läuft wieder, der Schaden ist bezifferbar. Ein reiner Datenabfluss ist leise und hat kein Ende. Die Daten sind kopiert, sie lassen sich nicht zurückholen, und sie verlieren über Jahre kaum an Wert. Ein Geburtsdatum ändert sich nicht, eine IBAN selten, eine Anschrift nur beim Umzug.

Hinzu kommt die Verwertungskette. Zwischen Abfluss und Missbrauch liegen oft Monate:

Daten werden gebündelt und mit Material aus anderen Lecks angereichert.
Dann folgt personalisiertes Phishing – mit echten Namen, echten Vorgangsdaten, echtem Bezug.
Parallel laufen Identitätsmissbrauch und vorbereitete Anrufe bei Banken und Dienstleistern.

Wie stark echte Namen, echte Zuständigkeiten und echte Vorgangsdaten die Glaubwürdigkeit eines Angriffs erhöhen, zeigt der Beitrag zum Datenleck im Berliner Landesnetz.

Dass bisher nichts veröffentlicht wurde, ist deshalb kein Entwarnungssignal. Es bedeutet nur, dass der Angreifer bislang keinen Anlass hatte, Druck aufzubauen oder einen anderen Verwertungsweg gewählt hat.

Was Unternehmen aus dem Fall mitnehmen

1

Ein einzelnes Fachsystem reicht

Gehackt wurde nicht die zentrale IT, sondern ein System für einen einzelnen Prozess. In Unternehmen sind das die Bewerbermanagement-Lösung, das Zeiterfassungssystem, das Kundenportal, die Lohnbuchhaltung – Anwendungen, die außerhalb des Kernbetriebs laufen und selten im Fokus stehen. Sie enthalten trotzdem Stammdaten, Bankverbindungen und Sozialdaten.

2

Alte Daten wiegen schwer

Der wahrscheinlichste Grund, warum der Kreis der Betroffenen größer sein könnte als die aktuelle Studierendenzahl: Es stehen noch Bewerbungs- und Altdaten im System. Dasselbe gilt für abgelehnte Bewerber, ausgeschiedene Mitarbeitende und beendete Kundenbeziehungen. Jeder Datensatz ohne Löschfrist ist eine Verbindlichkeit, die nur im Schadensfall sichtbar wird.

3

Erkennung entscheidet über den Umfang

Die LMU hat den Zugriff bemerkt und das System innerhalb desselben Tages isoliert. Das ist der Unterschied zwischen einem begrenzten Vorfall und einem, der über Wochen läuft. Wer Exfiltration nicht sieht, erfährt davon erst aus der Presse oder von der Aufsichtsbehörde.

4

Kommunikation ist Teil der Abwehr

Die drei Tage bis zur Information sind der Punkt, an dem der Fall öffentlich angreifbar wurde – nicht der Angriff selbst. Wer erst im Ernstfall klärt, wer was wann sagt, verliert genau diese Zeit.

Empfehlungen für IT-Admins

Eine Universität mit 52.000 Studierenden wirkt weit weg vom Mittelstand. Das Muster ist es nicht. Die folgenden Punkte adressieren genau die Stellen, an denen der Fall LMU übertragbar ist – warum gestohlene Zugangsdaten dabei der meistgenutzte Einstieg bleiben, zeigt der Beitrag zu Identity Threats.

Fachsysteme inventarisieren: Welche Anwendung hält welche personenbezogenen Daten, wer betreibt sie, wie wird sie gepatcht? Schattenanwendungen ohne benannten Verantwortlichen sind der häufigste Startpunkt
Segmentieren: Ein System mit Stammdaten braucht keinen Weg zu jedem anderen System. Isolation ist das, was aus einem Vorfall einen begrenzten Vorfall macht
Zugriffe auf Datenbestände protokollieren und auswerten: nicht nur Anmeldungen, sondern Massenabfragen und Exporte. Ein ungewöhnlich großer Datenabzug ist das Signal, das den Unterschied macht
Löschkonzept tatsächlich anwenden: Aufbewahrungsfristen definieren, automatisiert durchsetzen und regelmäßig prüfen. Nicht vorhandene Daten müssen nicht geschützt werden
Zugänge absichern: Multifaktor-Authentifizierung auch für Fachanwendungen und Fernzugriffe, keine geteilten Dienstkonten
Phishing-Nachlauf einplanen: Nach einem Datenabfluss steigt die Qualität der Angriffe auf die Betroffenen. Mitarbeitende und Kunden gezielt vorwarnen - das Muster beschreibt der Beitrag zu Phishing und Spam im Unternehmen
Meldeweg vorbereiten: Die 72-Stunden-Frist nach Artikel 33 DSGVO läuft ab Kenntnis, nicht ab abgeschlossener Forensik. Eine Erstmeldung mit unvollständigem Bild ist zulässig und richtig

Bedeutung für Geschäftsführung und Entscheider

Der Cyberangriff LMU München ist kein Ausfallszenario. Es gab keinen Stillstand, keine Erpressung und keine bezifferbare Betriebsunterbrechung – und trotzdem einen dauerhaften Schaden, der sich nicht mehr einsammeln lässt.
Diese Art von Vorfall taucht in den meisten Notfallplanungen nicht auf, weil dort die Verfügbarkeit im Mittelpunkt steht und nicht die Vertraulichkeit.

Rechtlich ist die Lage klar. Artikel 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde binnen 72 Stunden ab Kenntnis, Artikel 34 die Benachrichtigung der Betroffenen bei hohem Risiko. Bei Bankdaten und Sozialdaten ist dieses hohe Risiko schwer zu bestreiten. Dazu kommt die Nachweispflicht aus Artikel 32: Wer nicht dokumentiert hat, welche Schutzmaßnahmen bestanden, kann sie im Nachgang nicht belegen.

In welchen Systemen liegen Bankverbindungen, Sozialdaten und Ausweisdaten unserer Mitarbeitenden, Bewerber und Kunden?
Wie lange bewahren wir diese Daten auf - und wer prüft, ob die Löschung tatsächlich stattfindet?
Würden wir einen Massenexport aus einem dieser Systeme bemerken, und woran?
Wer entscheidet innerhalb von 72 Stunden über eine Meldung an die Aufsichtsbehörde, und wer vertritt diese Person im Urlaub?
Wer informiert Betroffene, Kunden und Presse - mit welchem Text, freigegeben von wem?

Wer bei mehr als einer Frage passen muss, hat keine Technik-, sondern eine Organisationslücke. Sie ist deutlich günstiger zu schließen als ein Vorfall, der sie sichtbar macht. Einen kompakten Einstieg bietet der Beitrag mit 10 IT-Sicherheitstipps für Unternehmen.

FAQ zum Cyberangriff auf die LMU München

Wie viele Menschen sind betroffen?

Eine offizielle Zahl nennt die LMU nicht. Im Wintersemester 2025/26 waren über 52.000 Studierende eingeschrieben. Da auch Studienbewerbende im betroffenen System gespeichert sind, kann der Kreis größer sein.

Welche Daten sind abgeflossen?

Nach Angaben der LMU: Name, Geburtsdatum, Geschlecht, gegebenenfalls Geburtsort, Semester- und Heimatanschrift, Telefonnummer, E-Mail-Adressen, IBAN und Kontoinhaber, Krankenversicherungs- und BAföG-Nummern sowie Angaben zu Schul- und Studienabschlüssen. In Einzelfällen auch besondere Kategorien nach Artikel 9 DSGVO.

Sind Passwörter oder Prüfungsdaten betroffen?

Nein. Die LMU gibt an, dass Passwörter, LMU-Benutzerkennungen sowie Prüfungs- und Leistungsdaten nicht betroffen sind. Ein regelmäßiger Passwortwechsel bleibt trotzdem sinnvoll.

War es ein Ransomware-Angriff?

Es gibt keine Hinweise darauf. Systeme wurden nicht verschlüsselt, eine Lösegeldforderung ist nicht bekannt, und die Daten wurden bislang nicht veröffentlicht. Spezialisten beobachten einschlägige Darknet-Portale.

Was sollten Betroffene jetzt tun?

Kontoauszüge und Lastschriften engmaschig prüfen, bei unbekannten Abbuchungen sofort widersprechen. E-Mails, Anrufe und Nachrichten mit LMU-Bezug kritisch behandeln, keine Anhänge oder Links ungeprüft öffnen und weder Bankdaten noch Passwörter herausgeben. Die LMU hat für Rückfragen die Adresse cybersicherheit@lmu.de eingerichtet.

Kann so etwas auch einem mittelständischen Unternehmen passieren?

Ja. Kompromittiert wurde ein einzelnes Fachsystem mit Stammdaten. Bewerbermanagement, Lohnbuchhaltung, Zeiterfassung und Kundenportale sind in Unternehmen die direkte Entsprechung - mit denselben Datenkategorien und oft mit weniger Aufmerksamkeit.

Fazit

Der Cyberangriff LMU München zeigt den Vorfall, den niemand einplant: keine Verschlüsselung, kein Stillstand, keine Erpressung – und trotzdem ein Schaden, der bleibt. Ein einzelnes Fachsystem mit Stammdaten hat gereicht, um Namen, Anschriften, Bankverbindungen und Sozialdaten Zehntausender Menschen aus dem Haus zu tragen.

Gut gelaufen ist die Reaktion: bemerkt, isoliert, forensisch untersucht, Behörden eingebunden, Datenkategorien offen benannt. Angreifbar wurde der Fall dort, wo Organisation statt Technik gefragt war – bei der Frage, wie schnell und wie offen kommuniziert wird.

Für Unternehmen ist die Übertragung unbequem einfach: Jedes System, das Bankdaten und Sozialdaten hält, ist ein lohnendes Ziel, auch wenn es nur einen Nebenprozess bedient. Wer heute nicht sagen kann, wo diese Daten liegen, wie lange sie bleiben und wer im Ernstfall binnen 72 Stunden entscheidet, sollte genau dort anfangen – nicht beim nächsten Sicherheitsprodukt.

Der Beitrag Cyberangriff LMU München: Stammdaten von Studierenden abgeflossen erschien zuerst auf mars solutions GmbH.

Revolut Datenleck: 680 Kunden nach gefälschter Behördenanfrage gehackt

Technischer Support — Thu, 17 Sep 2026 09:12:33 +0000

Revolut Datenleck: 680 Kunden nach gefälschter Behördenanfrage gehackt

Technischer Support
September 17, 2026
11:12

Die Digitalbank Revolut hat Ausweiskopien, Verifizierungs-Selfies, IBANs und vollständige Transaktionslisten von rund 680 Kunden an Kriminelle herausgegeben – nicht nach einem Einbruch in die IT-Systeme, sondern nach E-Mails, die aus der echten Domain einer Regierungsbehörde kamen.

Betroffen ist auch eine niedrige zweistellige Zahl deutscher Kunden. Der Fall trifft jedes Unternehmen, das Auskunftsersuchen von Behörden beantwortet: Gescheitert ist hier keine Technik, sondern ein Prozess.

Was beim Revolut Datenleck genau passiert ist, warum SPF, DKIM und DMARC nicht geholfen haben und wie Sie ein Auskunftsersuchen im eigenen Haus sicher prüfen, lesen Sie hier.

Das Wichtigste in Kürze

Rund 680 Kunden sind betroffen, schwerpunktmäßig in der Schweiz und Frankreich, dazu über 30 weitere europäische Länder und eine niedrige zweistellige Zahl in Deutschland
Herausgegeben wurden Ausweis- und Führerscheinkopien, Verifizierungs-Selfies, Geburtsdatum, Adresse, Telefonnummer, IBAN, Kontoauszüge und vollständige Transaktionslisten inklusive Bitcoin-Bewegungen
Die Anfragen kamen über ein echtes Behördenpostfach im italienischen PEC-System und bestanden alle technischen Absenderprüfungen
Aufgefallen ist der Betrug erst, als Revolut eine Anfrage separat bei der Behörde gegenprüfte
Die Täter fordern rund 6.000 Monero und drohen mit Veröffentlichung; die britische Datenschutzaufsicht ICO untersucht den Vorfall

So lief das Revolut Datenleck ab

Medienberichten zufolge traten die Angreifer als italienische Strafverfolgungsbehörde auf und baten Revolut über mehrere Wochen hinweg wiederholt um vertrauliche Kontodaten einzelner Kunden – Adressen, Telefonnummern, Transaktionshistorien. Revolut kam diesen Anfragen nach.

Die E-Mails liefen über „La Posta Elettronica Certificata“ (PEC), das rechtsverbindliche Zustellsystem für offiziellen Schriftverkehr in Italien, vergleichbar mit einem Einschreiben. Die Täter hatten kein Postfach gefälscht: Sie verfügten über ein Konto innerhalb der echten Behördeninfrastruktur.

Die Auswahl der Opfer war geziel: Die Gruppe, die unter dem Pseudonym „iamnotavillain“ auftritt, beschrieb die Betroffenen als „Krypto-Wale“ und gab an, sie über Blockchain-Analysen identifiziert zu haben – also über öffentlich einsehbare Zahlungsströme. Anschließend fragte sie genau zu diesen Personen Kontodaten bei Revolut ab.

Aufgeflogen ist der Betrug erst, als Revolut eine der Anfragen separat bei der genannten Behörde gegenprüfte. Das Unternehmen sperrte die Adresse, informierte Strafverfolgungs-, Datenschutz- und Finanzaufsichtsbehörden und kontaktierte die Betroffenen. IT-Systeme und Kundengelder seien nicht betroffen, teilte Revolut mit; man habe einen ausgeklügelten externen Betrugsversuch identifiziert.

Die britische Datenschutzaufsicht ICO bestätigte, dass sie den Vorfall untersucht. Revolut untersteht als Bank der litauischen Zentralbank und der EZB.

Inzwischen fordern die mutmaßlichen Täter Lösegeld: rund 6.000 Monero, nach Marktwert etwa drei Millionen Dollar, verbunden mit einem öffentlichen Countdown und der Drohung, die Unterlagen an andere Kriminelle weiterzugeben. Einzelne Betroffene berichteten in sozialen Medien, direkt kontaktiert worden zu sein.

Zahlen zum Revolut Datenleck

rund 680

betroffene Kunden

über 30

betroffene europäische Länder

6

Monate Zugriff auf Behördenpostfächer, nach Angaben der Täter

6.000

Monero Lösegeldforderung

Die Angaben gehen leicht auseinander: Die „Financial Times“ und die daran anschließende Berichterstattung nennen rund 680 Betroffene, das „manager magazin“ spricht von mindestens rund 700 Fällen, Revolut selbst nur von einer begrenzten Zahl. Die Größenordnung ist in allen Quellen dieselbe.

Warum die gefälschte Behördenanfrage funktionierte

Die entscheidende Stelle ist unscheinbar: Die Nachrichten bestanden die technischen Absenderprüfungen. Weil das Konto innerhalb der echten Behördendomain lag, waren SPF, DKIM und DMARC sauber – genau die Mechanismen, auf die Unternehmen sich beim Erkennen gefälschter Absender verlassen. Laut heise verschickte Revolut die Unterlagen deshalb, bevor separat geprüft wurde, ob die Anfrage tatsächlich von der Behörde stammte.

Dazu kommt die Besonderheit von Auskunftsersuchen: Sie sind ein Ausnahmeprozess.

Sie kommen selten – es gibt keine Routine und oft keinen festgelegten Ablauf.
Sie kommen von einer Autorität – Nachfragen wirkt unhöflich oder riskant.
Sie sind häufig als eilbedürftig markiert – Zeitdruck verhindert die Gegenprüfung.
Sie landen selten bei der IT-Sicherheit, sondern im Support oder in der Verwaltung.

Genau diese Kombination ist der klassische Hebel des Social Engineering – und sie wirkt unabhängig davon, wie gut die technische Abwehr eines Unternehmens ist.

SPF, DKIM und DMARC prüfen die Domain, nicht den Menschen

Die drei Verfahren belegen, dass eine Nachricht von einer bestimmten Domain kommen darf. Sie belegen nicht, dass die Person hinter dem Postfach dazu berechtigt ist. Ein übernommenes echtes Behördenpostfach besteht jede dieser Prüfungen.

Gefälschte Behördenanfragen sind kein Einzelfall

Das Muster ist international bekannt. Das FBI warnte bereits 2024 vor einer Zunahme gefälschter Auskunfts- und Notfallanfragen: Kriminelle kompromittieren Postfächer von Polizei- und Regierungsstellen, häufig per Phishing, und handeln die Zugänge anschließend in einschlägigen Foren. Unter den Unternehmen, die auf solche Anfragen hereingefallen sind, waren nach Berichten von Sicherheitsforschern auch Apple, Meta, Discord und Verizon.

Für deutsche Unternehmen ist die Lage keine andere. Auskunftsersuchen kommen von Polizei, Staatsanwaltschaften, Finanz-, Zoll- und Sozialbehörden – und selten bei der IT-Sicherheit. Sie landen im Support, in der Buchhaltung, im Personalbüro oder in der Geschäftsleitung – dort, wo der Reflex, einer Behörde schnell und vollständig zu helfen, am stärksten ist.

Wie leicht sich solche Anschreiben mit Daten aus früheren Lecks anreichern lassen, zeigt der Beitrag zum Datenleck im Berliner Landesnetz: Echte Namen, echte Zuständigkeiten und echte Vorgangsdaten machen eine Anfrage erst überzeugend.

So prüfen Sie Auskunftsersuchen richtig

1

Zuständigkeit klären

Existiert die Behörde, und ist sie für den genannten Sachverhalt überhaupt zuständig? Stimmen Anschrift und Kontaktdaten mit den öffentlich veröffentlichten überein?

2

Formalien verlangen

Aktenzeichen, benannter Ansprechpartner, Rechtsgrundlage und konkreter Umfang der Anfrage. Fehlt eines davon, wird nichts herausgegeben.

3

Über einen zweiten Kanal rückfragen

Rückruf oder Rückschreiben ausschließlich über die offiziell veröffentlichten Kontaktdaten der Behörde – niemals über Telefonnummern oder Adressen aus der Anfrage selbst.

4

Rechtsgrundlage prüfen lassen

Datenschutzbeauftragte oder Rechtsabteilung bewerten, ob und in welchem Umfang eine Herausgabe zulässig ist.

5

Datenminimierung anwenden

Nur genau das herausgeben, was verlangt und rechtlich gedeckt ist. Kein Sammelexport, keine Beilagen der Vollständigkeit halber.

6

Vier-Augen-Prinzip und Protokoll

Jede Herausgabe von einer zweiten Person freigeben lassen und vollständig dokumentieren: wer, wann, an wen, welche Daten, auf welcher Grundlage.

7

Eilbedürftigkeit misstrauisch behandeln

Zeitdruck ist das häufigste Merkmal gefälschter Anfragen. Eine echte Behörde akzeptiert eine kurze Rückfrage zur Verifikation.

Empfehlungen für IT-Admins und Datenschutz

Technische Filter greifen hier nicht, weil die Nachricht echt ist – dasselbe Muster zeigt sich bei Phishing- und Spam-Wellen im Unternehmen. Wirksam ist daher der organisatorische Teil, und warum der Mensch dabei die beste Kontrolle ist, zeigt der Beitrag zum Sicherheits-Upgrade vor dem Bildschirm.

Prozess schriftlich festlegen: Eine benannte Stelle nimmt Auskunftsersuchen an, alle anderen leiten weiter und antworten nicht selbst
Empfänger schulen: Support, Buchhaltung, Personal und Empfang kennen den Ablauf
Rückkanal vorbereiten: Verifizierte Kontaktdaten der regelmäßig anfragenden Behörden hinterlegen
Herausgaben protokollieren: Wer welche personenbezogenen Daten wann an wen übermittelt hat, muss ohne Suchen nachweisbar sein
Meldeprozess vorbereiten: Die 72-Stunden-Frist der DSGVO läuft ab Kenntnis, nicht ab abgeschlossener Analyse
Awareness aktuell halten: Autoritäts- und Dringlichkeitsdruck gehören in jede Schulung, nicht nur der klassische Link-Klick

Bedeutung für Geschäftsführung und Entscheider

Revolut hatte kein Technikproblem. Das Unternehmen hatte eine Lücke zwischen einer plausiblen Anfrage und einer belastbaren Prüfung.
Genau diese Lücke existiert in den meisten Unternehmen, weil Auskunftsersuchen zu selten vorkommen, um einen eingeübten Ablauf zu haben.

Das Risiko ist unmittelbar. Werden Ausweiskopien, Adressen und Kontodaten herausgegeben, entstehen daraus Identitätsmissbrauch, gezielter Betrug und – wie im aktuellen Fall – Erpressung der betroffenen Personen. Hinzu kommen die Pflichten aus der DSGVO: Meldung an die Aufsichtsbehörde binnen 72 Stunden, Benachrichtigung der Betroffenen bei hohem Risiko und die Nachweispflicht, dass die Herausgabe geprüft wurde.

Der Aufwand für die Gegenmaßnahmen ist gering. Eine verbindliche Zuständigkeit, eine kurze Prüfliste und das Vier-Augen-Prinzip sind Organisationsarbeit von wenigen Stunden, kein IT-Projekt. Die Frage an die Geschäftsführung lautet deshalb nicht, ob die Systeme sicher sind, sondern: Wer im Unternehmen darf personenbezogene Daten an eine Behörde herausgeben – und wie wird diese Anfrage geprüft, bevor die Datei das Haus verlässt?

FAQ zum Revolut Datenleck

Wurde Revolut gehackt?

Nein. Die IT-Systeme wurden nach Angaben des Unternehmens nicht kompromittiert, Kundengelder sind nicht betroffen. Die Daten wurden regulär herausgegeben - auf eine Anfrage, die aus einem echten, von Kriminellen kontrollierten Behördenpostfach kam.

Welche Daten sind abgeflossen?

Name, Geburtsdatum, Adresse, Telefonnummer, IBAN, Kopien von Ausweis oder Führerschein, Verifizierungs-Selfies, Kontoauszüge sowie vollständige Transaktionslisten einschließlich Bitcoin-Bewegungen.

Warum haben SPF, DKIM und DMARC nicht geholfen?

Weil sie die Domain prüfen, nicht die Person dahinter. Die Nachricht kam tatsächlich von der Behördendomain und bestand die Prüfung korrekt. Gegen ein übernommenes echtes Postfach schützt nur eine Rückfrage über einen zweiten Kanal.

Kann so etwas auch einem mittelständischen Unternehmen passieren?

Ja. Auskunftsersuchen von Polizei, Staatsanwaltschaft oder Finanzbehörden erreichen Unternehmen jeder Größe, meist außerhalb der IT. Ohne festgelegten Prüfweg entscheidet die einzelne Person am Postfach - genau darauf zielen diese Angriffe.

Was ist zu tun, wenn bereits Daten herausgegeben wurden?

Vorgang vollständig dokumentieren, Umfang der Übermittlung feststellen, Datenschutzbeauftragte einbinden und die Meldepflicht nach DSGVO binnen 72 Stunden prüfen. Anschließend die betroffene Behörde über den offiziellen Kanal informieren und Strafanzeige erstatten.

Fazit

Das Revolut Datenleck ist kein Beispiel für schlechte IT-Sicherheit, sondern für einen Prozess ohne zweite Instanz. Eine formal einwandfreie Anfrage aus einer echten Behördendomain schlägt jede Absenderprüfung – und wird dann zu dem, was sie vorgibt zu sein: eine legitime Herausgabe.

Der wirksame Schutz ist banal und kostet fast nichts: eine benannte Zuständigkeit, eine kurze Prüfliste und der Rückruf über einen unabhängigen Kanal, bevor Daten das Haus verlassen. Unternehmen sollten das Revolut Datenleck zum Anlass nehmen, einmal durchzuspielen, was passieren würde, wenn morgen eine eilige Anfrage einer Staatsanwaltschaft im Support-Postfach liegt.

Weitere interessante Beiträge

mars-News

AOK-Firmenlauf in Göppingen 2026 - mars läuft mit!

9. Juli 2026

Zum Blogbeitrag

IT-News

Proxmox-Bug: Datenverlust durch Fehler beim Restore vom Backup Server

17. August 2026

Zum Blogbeitrag

IT-News

Password Spraying: Wenn Microsoft 365 zur Zielscheibe wird

1. Juli 2026

Zum Blogbeitrag

Fanden Sie den Blogbeitrag hilfreich und interessant?

Vielen Dank für Ihre Rückmeldung!

Der Beitrag Revolut Datenleck: 680 Kunden nach gefälschter Behördenanfrage gehackt erschien zuerst auf mars solutions GmbH.

Patchday September 2026: 964 Lücken und zwei aktive Zero-Days

Technischer Support — Wed, 16 Sep 2026 08:35:35 +0000

Patchday September 2026: 964 Lücken und zwei aktive Zero-Days

Technischer Support
September 16, 2026
10:35

Der Patchday September 2026 ist der bislang umfangreichste in der Geschichte von Microsoft: Am 8. September 2026 lieferte der Hersteller Updates für 964 Schwachstellen aus, davon 104 als kritisch eingestuft. Zwei davon werden bereits aktiv ausgenutzt, beide erlauben Angreifern eine Rechteausweitung bis auf Systemebene. Erschwerend kommt hinzu, dass Microsoft das Hotpatching im September aussetzt – verwaltete Geräte brauchen diesmal einen klassischen Neustart. Dieser Beitrag ordnet ein, welche Updates Vorrang haben und worauf beim Ausrollen zu achten ist.

Das Wichtigste in Kürze

Der Patchday September 2026 schließt nach Auswertung von Tenable 964 Schwachstellen, davon 104 kritisch und 860 wichtig - mehr als jeder Patchday zuvor.
Zwei Zero-Days werden aktiv ausgenutzt: CVE-2026-81963 im Windows Update Stack und CVE-2026-85880 in der ALPC-Komponente, beide mit CVSS 7.8.
Beide Lücken stehen im Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA; dortige Bundesbehörden müssen bis zum 22. September 2026 patchen.
Besonders kritisch sind drei Serverdienste: Windows DNS Server (CVE-2026-69730, CVSS 9.8), Remote Desktop Services (CVE-2026-69525, CVSS 9.8) und Kerberos (CVE-2026-69676, CVSS 8.8).
Hotpatching pausiert im September: Für verwaltete Windows-Geräte ist ein Neustartfenster einzuplanen, ab Oktober 2026 soll der gewohnte Zyklus zurückkehren.

Rekordumfang beim Patchday September 2026

Der Patchday September 2026 sprengt den bisherigen Rahmen deutlich. Der Sicherheitsanbieter Tenable zählt 964 behobene Schwachstellen, davon 104 als kritisch und 860 als wichtig bewertet. Damit übertrifft dieser Termin den bisherigen Höchstwert aus dem Juli 2026. Je nach Zählweise kommen andere Auswertungen auf bis zu 973 Einträge, weil Microsoft im Security Update Guide auch Zulieferungen aus Fremdkomponenten führt.

Bei den Schwachstellentypen dominiert die Rechteausweitung: 44,7 Prozent der Einträge entfallen laut Tenable auf Elevation of Privilege, 26,8 Prozent auf Remotecodeausführung. Für die Praxis heißt das, dass die Mehrzahl der Lücken einen bereits vorhandenen Zugang voraussetzt – genau das Szenario, das nach einer erfolgreichen Phishing-Mail eintritt.

Bemerkenswert ist auch die Jahresbilanz: Für 2026 summieren sich die Microsoft-Schwachstellen bereits auf mehr als 2.600 und damit auf mehr als das Doppelte des bisherigen Rekordjahres 2020. Sicherheitsfachleute führen die Flut auch auf KI-gestützte Codeprüfungen zurück, die viele kleinere Mängel finden. Gefährlich werden diese vor allem in Kombination, wenn Angreifer mehrere Schwächen zu einer Angriffskette verbinden.

Zahlen zum Patchday September 2026

964 geschlossene Schwachstellen, davon 104 kritisch und 860 wichtig
2 aktiv ausgenutzte Zero-Days, beide mit CVSS 7.8
44,7 Prozent Rechteausweitung, 26,8 Prozent Remotecodeausführung
22. September 2026 als Patch-Frist der CISA für US-Bundesbehörden

Zwei Zero-Days werden aktiv ausgenutzt

Die erste aktiv ausgenutzte Lücke, CVE-2026-81963, steckt ausgerechnet im Windows Update Stack, also in der Komponente, die Updates installiert. Über einen Link-Following-Fehler können Angreifer ihre Rechte bis auf Systemebene ausweiten. Laut Tenable ist es die erste Schwachstelle dieser Komponente, die seit 2022 als Zero-Day angegriffen wird. Beobachtet wird sie in Ransomware-Angriffsketten: Die Täter verschaffen sich per Phishing einen ersten Zugang und eskalieren anschließend ihre Rechte.

Die zweite Lücke, CVE-2026-85880, betrifft den Advanced Local Procedure Call (ALPC), einen internen Kommunikationsmechanismus von Windows. Auch hier geht es um eine Rechteausweitung, diesmal über eine Umgehung der Authentifizierung. Es ist laut Tenable der erste ALPC-Patch seit April 2023.

Wichtig für IT-Admins

Eine Rechteausweitung ist kein Einstiegspunkt, sondern ein Verstärker. Angreifer brauchen zuerst einen Fuß in der Tür, etwa ein übernommenes Benutzerkonto. Genau deshalb sind diese beiden Lücken für Ransomware-Gruppen so wertvoll: Sie verwandeln ein einzelnes kompromittiertes Konto in die Kontrolle über das ganze System.

Die US-Cybersicherheitsbehörde CISA hat beide Schwachstellen als aktiv ausgenutzt bestätigt und ihren Bundesbehörden eine Frist bis zum 22. September 2026 gesetzt. Für Unternehmen in Deutschland ist diese Frist nicht bindend, taugt aber als realistischer Maßstab für die eigene Planung.

Kritische Lücken in Windows-Serverdiensten

CVE	Komponente	Typ	CVSS
CVE-2026-69730	Windows DNS Server	Remotecodeausführung	9.8
CVE-2026-69525	Remote Desktop Services	Remotecodeausführung	9.8
CVE-2026-69676	Windows Kerberos	Remotecodeausführung	8.8
CVE-2026-69380	Microsoft Exchange	Rechteausweitung	8.1

Unabhängig von den Zero-Days verdienen diese vier Einträge besondere Aufmerksamkeit, weil sie zentrale Serverdienste treffen und Microsoft drei davon als „Exploitation More Likely“ einstuft. DNS und Kerberos sind Kernbestandteile jeder Active-Directory-Umgebung, Remote Desktop Services sind in vielen mittelständischen Netzen der Weg für den Fernzugriff. Fällt einer dieser Dienste in falsche Hände, steht der Domänencontroller offen. Für Exchange gilt weiterhin, was der Beitrag zur Exchange-Sicherheitslücke CVE-2026-62911 beschrieben hat: Der Rückstand beim Patchen ist bei On-Premises-Servern besonders groß.

Hotpatching pausiert im September

Für Umgebungen mit Hotpatching gibt es eine organisatorische Besonderheit. Microsoft hat bereits Ende August angekündigt, den Hotpatch-Zyklus im September auszusetzen: Tiefer liegende Sicherheitskomponenten lassen sich nicht ohne Neustart austauschen. Verwaltete Windows-Geräte benötigen deshalb in diesem Monat einen klassischen Neustart, ab Oktober 2026 soll der gewohnte Ablauf zurückkehren.

Planen Sie das Neustartfenster aktiv ein und kündigen Sie es an. Umgebungen, die sich an neustartfreie Monate gewöhnt haben, verlieren sonst Zeit mit Rückfragen aus der Belegschaft – oder es bleiben Geräte im halb gepatchten Zustand zurück.

Bekannte Probleme rund um die Updates

Für Windows-Clients verteilt Microsoft die folgenden Sammelupdates. Behoben sind damit unter anderem die Darstellungsfehler bei Mauszeiger und Desktophintergrund aus dem Vorschau-Update vom 27. August 2026 sowie Abstürze von Teams und Outlook auf ARM64-Geräten.

Zwei Baustellen bleiben. Auf Windows Server 2016 stürzt seit dem August-Update die CompatTelRunner.exe mit dem Fehler 0xc0000409 ab. Und beim WSUS-Synchronisierungsproblem, das seit Mitte Juni vor allem europäische Umgebungen trifft, greift der Fix KB5121986 vom Juli nicht in allen Fällen: Ist auf dem WSUS-Server das Windows-Subsystem für Linux als Produktkategorie ausgewählt, scheitert die Synchronisierung weiterhin. Das Abwählen dieser Kategorie hilft als Behelf.

So gehen Sie beim Patchen vor

1

Priorisieren statt alles gleichzeitig

Zuerst die beiden Zero-Days CVE-2026-81963 und CVE-2026-85880, danach DNS, Remote Desktop Services und Kerberos.

2

Exponierte Systeme zuerst

Alles, was aus dem Internet erreichbar ist, vor den internen Clients patchen.

3

Neustartfenster einplanen

Hotpatching entfällt im September; Termin und Dauer vorab abstimmen und ankündigen.

4

Testring nutzen

Eine repräsentative Gerätegruppe vorab versorgen und 24 bis 48 Stunden beobachten.

5

Verteilwege prüfen

WSUS-Synchronisierung kontrollieren, bevor der Rollout startet.

6

Erfolg messen

Nach dem Rollout die Installationsquote auswerten und Nachzügler gezielt nachziehen.

7

Rechteausweitung eindämmen

Lokale Administratorrechte reduzieren und Anmeldungen überwachen, damit ein kompromittiertes Konto nicht zur Systemübernahme führt.

Bedeutung für Geschäftsführung und Entscheider

Die Zahl 964 ist für die Geschäftsführung weniger relevant als die Frage, wie schnell diese Updates im Haus ankommen. Zwei der Lücken werden nachweislich in Ransomware-Angriffen genutzt, und beide brauchen lediglich einen bereits vorhandenen Zugang – etwa ein Konto, das über eine Phishing-Mail übernommen wurde. Zwischen erstem Zugriff und verschlüsselten Systemen liegen in solchen Fällen oft nur Stunden.

Der Aufwand ist planbar: Es geht um regulären Patchbetrieb, nicht um ein Projekt. Zu entscheiden ist im September vor allem eines – wann das Neustartfenster liegt und welche Systeme dafür kurz stillstehen dürfen. Wer diese Abstimmung verschiebt, verschiebt faktisch den Schutz.

Zwei Kennzahlen lohnen den Blick in der nächsten Leitungsrunde: Wie viele Tage vergehen zwischen Patchday und flächendeckender Installation, und wie viele Systeme sind nach 14 Tagen noch offen? Beides lässt sich aus dem vorhandenen Patchmanagement ablesen. Bleiben die Werte im zweistelligen Tagebereich, ist das ein Steuerungsthema für die Geschäftsführung und kein reines Technikthema.

FAQ zum Patchday September 2026

Welche Updates aus dem Patchday September 2026 sind am dringendsten?

Zuerst die beiden aktiv ausgenutzten Zero-Days CVE-2026-81963 (Windows Update Stack) und CVE-2026-85880 (ALPC). Danach folgen die Remotecodeausführungen in Windows DNS Server, Remote Desktop Services und Kerberos.

Warum ist im September ein Neustart nötig, obwohl Hotpatching genutzt wird?

Microsoft setzt den Hotpatch-Zyklus im September aus, weil sich tiefer liegende Sicherheitskomponenten nicht im laufenden Betrieb austauschen lassen. Ab Oktober 2026 soll wieder ohne Neustart gepatcht werden.

Sind kleine und mittlere Unternehmen von diesen Lücken betroffen?

Ja. Betroffen sind Standardkomponenten von Windows-Clients und Windows-Servern, die in praktisch jeder Umgebung laufen. Die Größe des Unternehmens spielt für die Angreifbarkeit keine Rolle.

Reicht es, die Updates automatisch installieren zu lassen?

In kleinen Umgebungen ist die automatische Installation besser als ein verzögerter manueller Prozess. In verwalteten Netzen sollten zusätzlich ein Testring, ein Neustartfenster und eine Erfolgskontrolle vorgesehen werden, damit keine Systeme unbemerkt zurückbleiben.

Fazit

Der Patchday September 2026 ist vor allem wegen zweier Lücken wichtig, nicht wegen seiner Rekordgröße: CVE-2026-81963 und CVE-2026-85880 werden aktiv in Ransomware-Angriffsketten genutzt und heben ein einzelnes kompromittiertes Konto auf Systemrechte. Direkt danach folgen die Remotecodeausführungen in DNS, Remote Desktop Services und Kerberos, weil sie die Kernwege einer Active-Directory-Umgebung treffen. Neu ist in diesem Monat nur die Organisation: Ohne Hotpatching braucht es ein Neustartfenster. Wer beides zusammen plant – Priorisierung nach Ausnutzbarkeit und ein verbindlicher Neustarttermin – hat den September-Patchday in wenigen Tagen abgeschlossen statt in mehreren Wochen.

Weitere interessante Beiträge

IT-News

Veeam Sicherheitslücke: Veeam-Updater ermöglicht Rechteausweitung

17. Juli 2026

Zum Blogbeitrag

IT-News

Microsoft Defender Treiber BTR.sys: Wenn der Schutz zum Werkzeug wird

25. August 2026

Zum Blogbeitrag

IT-News

Password Spraying: Wenn Microsoft 365 zur Zielscheibe wird

1. Juli 2026

Zum Blogbeitrag

Fanden Sie den Blogbeitrag hilfreich und interessant?

Vielen Dank für Ihre Rückmeldung!

Der Beitrag Patchday September 2026: 964 Lücken und zwei aktive Zero-Days erschien zuerst auf mars solutions GmbH.

Wir sind Hauptsponsor des TSG Salach: Heimvorteil in Sachen IT

Neli Hegenloh — Fri, 11 Sep 2026 07:15:09 +0000

Wir sind Hauptsponsor des TSG Salach: Heimvorteil in Sachen IT

Neli Hegenloh
September 11, 2026
09:15

Ab dieser Saison sind wir Hauptsponsor der 1. Herrenmannschaft der TSG Salach. Das mars-Logo steht auf den Trikots und auf den Plakaten am Platz.

Und weil ein Logo allein noch keine Partnerschaft ist, waren wir zum Auftakt auch selbst da.

Das Wichtigste in Kürze

Die mars group ist ab der Saison 2026/27 Hauptsponsor der 1. Herrenmannschaft der TSG Salach.
Die Mannschaft spielt in der Bezirksliga, trainiert wird sie von Michael Oelkuch und Maik Lissner..
Die TSG Salach gibt es seit 1882 - rund ein Dutzend Abteilungen, allein im Fußball 19 Mannschaften, davon 15 im Jugendbereich.

Warum wir die TSG Salach unterstützen

Salach ist die Nachbargemeinde von Göppingen, wo unser Hauptsitz sitzt. Keine zehn Kilometer. Viele Leute im Verein sind Nachbarn, Kunden oder Kollegen – und ein paar Kinder von Kollegen trainieren dort.

Dazu kommt: So ein Verein läuft nur, weil Menschen freiwillig Zeit reinstecken. Trainer, Betreuer, Schiedsrichter, Eltern, Platzwart, der Vorstand um Martin Straubmüller. Das sieht man von außen selten. Genau das wollen wir unterstützen – mit Mitteln, über deren Einsatz der Verein selbst entscheidet. Da reden wir nicht rein.

Vor Ort statt nur Trikotlogo

Zum Saisonauftakt hieß es: raus aus dem Büro, ab an den Spielfeldrand. 3 unserer Kollegen waren bei der TSG beim Auftaktspiel zu Gast.
Das eigene Logo zum ersten Mal auf einem Trikot zu sehen, das gerade über den Platz rennt, ist etwas anderes als eine Freigabe per Mail.

Warum wir hinfahren

Eine Partnerschaft, die aus einer Überweisung besteht, ist keine.
Wir wollen die Mannschaft anfeuern und mitbekommen, was im Verein tatsächlich gebraucht wird.

Mehr als Fußball bei der TSG

Die TSG Salach ist kein reiner Fußballverein. Neben dem Fußball stehen unter anderem auf dem Programm:

Im Fußball reicht die Spanne von der U19 bis zu den Bambini, dazu Damen, eine Ü32-Gruppe und ein Team Inklusion. Wer als Kind anfängt, kann dort durchgehend spielen.

Alles zu Teams, Spielplänen und Terminen steht auf tsg-salach.de.

FAQ zum Sponsoring der TSG Salach

Seit wann ist mars Hauptsponsor der TSG Salach?

Seit der Saison 2026/27. Die mars group DE und die mars solutions GmbH unterstützen gemeinsam die 1. Herrenmannschaft.

Was gehört zum Sponsoring?

Das mars-Logo auf den Trikots der ersten Mannschaft und auf Plakaten am Sportgelände, dazu eine finanzielle Unterstützung des Spielbetriebs.

Warum engagiert sich ein IT-Systemhaus im Amateurfußball?

Weil wir aus der Region kommen. Vereine halten das Ortsleben zusammen, und das unterstützen wir da, wo wir selbst zu Hause sind.

Fazit

Ab dieser Saison steht mars als Hauptsponsor hinter der 1. Herrenmannschaft der TSG Salach – auf dem Trikot, am Platz und, wann immer es geht, auch am Spielfeldrand.

Wir freuen uns auf die Spiele, die kommen und die Partnerschaft mit dem TSG Salach.

Weitere interessante Beiträge

IT-News

OWAReaper: Half-Click-Exploit übernimmt Exchange-Postfächer

31. Juli 2026

Zum Blogbeitrag

IT-News

NIS-2-Registrierung: Frist abgelaufen, Lücke bleibt

5. August 2026

Zum Blogbeitrag

IT-News

Revolut Datenleck: 680 Kunden nach gefälschter Behördenanfrage gehackt

17. September 2026

Zum Blogbeitrag

Fanden Sie den Blogbeitrag hilfreich und interessant?

Vielen Dank für Ihre Rückmeldung!

Der Beitrag Wir sind Hauptsponsor des TSG Salach: Heimvorteil in Sachen IT erschien zuerst auf mars solutions GmbH.

Datenleck Berlin: 1,4 Millionen Dateien aus dem Landesnetz im Darknet

Technischer Support — Mon, 07 Sep 2026 07:45:00 +0000

Datenleck Berlin: 1,4 Millionen Dateien aus dem Landesnetz im Darknet

Technischer Support
September 7, 2026
09:45

Nach dem Cyberangriff auf das Berliner Landesnetz hat die Ransomware-Gruppe Rhysida am 4. September 2026 rund 1,4 Millionen Dateien im Darknet veröffentlicht.

Beim Datenleck Berlin sollen sich demnach Teile von Personalakten, eingescannte Ausweise, Gehaltsabrechnungen und Unterlagen zu kritischer Infrastruktur befinden. In der Nacht zum 6. September folgte nach Angaben des Landes Berlin ein weiteres Datenpaket, das Zugangsdaten enthält.

Das Datenleck Berlin zeigt den Unterschied zwischen einem Verschlüsselungsvorfall und einem Datenabfluss: Verschlüsselte Systeme lassen sich wiederherstellen, veröffentlichte Daten nicht mehr zurückholen.

Das Wichtigste in Kürze

Zwischen dem 7. und 12. August 2026 flossen Daten aus dem Berliner Landesnetz ab; am 14. August wurden zwei Senatsverwaltungen vom Netz getrennt.
Rhysida forderte 30 Bitcoin, umgerechnet rund 2 Millionen Euro, mit einer Frist von sechs Tagen. Das Land Berlin zahlte nicht.
Nach Fristablauf veröffentlichte die Gruppe rund 1,4 Millionen Dateien; der Tagesspiegel zählte 1.439.893 Dateien mit 5,26 Terabyte, Rhysida selbst gibt 5,79 Terabyte an.
Das zweite Paket enthält laut Land Berlin Zugangsdaten - die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen hat ihre Maßnahmen nachgeschärft, kurzfristige Einschränkungen bei Fachverfahren sind möglich.
Das BSI warnt vor erhöhter Bedrohungslage durch personalisiertes Phishing; abgeflossene personenbezogene Daten bleiben dauerhaft missbrauchbar.

So entstand das Datenleck Berlin

Der Angriff wurde Mitte August 2026 über auffällige Netzwerkaktivitäten entdeckt, der eigentliche Datenabfluss fand nach bisherigen Erkenntnissen zwischen dem 7. und 12. August statt. Am 14. August trennte das Land zwei Senatsverwaltungen vorsorglich vom Landesnetz: Stadtentwicklung, Bauen und Wohnen sowie Mobilität, Verkehr, Klimaschutz und Umwelt. Beide waren über Tage praktisch arbeitsunfähig.

Ermittelt wird von Landeskriminalamt und Staatsanwaltschaft Berlin, das BSI ist eingebunden; die Krisenbewältigung läuft unter Leitung des Landesbeauftragten für Informationssicherheit. Ende August wurde die Erpressung öffentlich: Rhysida verlangte 30 Bitcoin, rund 2 Millionen Euro, binnen sechs Tagen. Berlin lehnte die Zahlung grundsätzlich ab – eine Entscheidung, die Sicherheitsfachleute begrüßten, die aber zur Veröffentlichung führte.

Der Einfallweg ist laut IT-Administrator nicht abschließend geklärt; bekannte Vorgehensweisen von Rhysida sind gehackte Zugangsdaten, Phishing und Social Engineering. Berichten zufolge betraf der Vorfall IT-Infrastruktur, die nie in den zentralen Betrieb überführt worden war. Parallel wurden VPN-Zugangsdaten öffentlich, woraufhin das Land Homeoffice-Zugänge für Verwaltungsbeschäftigte aussetzte.

Datenleck Berlin in Zahlen

1.439.893

veröffentlichte Dateien, gezählt vom Tagesspiegel

5,26 TB

ausgewertetes Volumen; die Täter geben 5,79 TB an

6 Tage

Erpressungsfrist bei einer Forderung von 30 Bitcoin

0 Euro

Lösegeld – das Land Berlin hat nicht gezahlt

Welche Daten das Datenleck enthält

Nach ersten Auswertungen sollen sich in den Paketen Teile von Personalakten, eingescannte Ausweise, Gehaltsabrechnungen, Arbeitszeugnisse und Vertragsunterlagen befinden. Hinzu kommen sensible Informationen zu Bauprojekten, unter anderem am Bundeskanzleramt, sowie Daten zur kritischen Infrastruktur.

Weitere Auswertungen nennen Zahlungsvorgänge, Gehaltslisten, IBANs, E-Mail-Bestände, Passwörter, KRITIS-Analysen zur Wasserversorgung und Unterlagen aus der CBRN-Rahmenplanung, also zur Vorsorge gegen chemische, biologische, radiologische und nukleare Bedrohungen.

Wichtiger Hinweis

Das zweite Paket verändert die Lage technisch. Zugangsdaten sind kein Beiprodukt, sondern der Rohstoff für den nächsten Angriff – auf dieselbe oder auf verbundene Umgebungen. Genau deshalb hat die Senatsverwaltung für Stadtentwicklung nachgeschärft und weist auf Einschränkungen bei Fachverfahren hin; betroffen sein können damit auch Anträge von Bürgern, etwa beim Wohngeld.

Warum Datenschutz jetzt geschäftskritisch ist

Bei einem reinen Verschlüsselungsvorfall ist ein geprüftes Backup die Antwort. Bei einem Datenabfluss gibt es diese Antwort nicht.

Veröffentlichte Daten sind kopiert und weiterverbreitet, bevor eine Löschung technisch möglich wäre. Der Schaden ist damit nicht behebbar, sondern nur begrenzbar – und zwar ausschließlich vorher.

Das macht jeden gespeicherten Datensatz zu einer Verbindlichkeit. Ausweisscans, Gehaltsabrechnungen und IBANs sind in Kombination ein vollständiger Identitätsbaukasten: Sie ermöglichen Kontoeröffnungen, Bestellbetrug und Vertragsabschlüsse im Namen der Betroffenen, noch Jahre nach dem Vorfall. Zugangsdaten wirken dagegen sofort, sofern sie irgendwo unverändert weiterverwendet werden.

Das BSI weist darauf hin, dass Informationen aus Datenlecks Phishing-Nachrichten deutlich glaubwürdiger machen: echte Namen, echte Zuständigkeiten, echte Vorgangsdaten. Zusätzlich warnt die Behörde vor Hack-and-Leak-Operationen, bei denen authentische Inhalte aus dem Zusammenhang gelöst oder mit manipuliertem Material vermischt werden – kurz vor der Wahl zum Berliner Abgeordnetenhaus am 20. September 2026 ein wirksames Muster.

Für Unternehmen ist die Übertragung unmittelbar. Die DSGVO benennt die Pflichten konkret:

Artikel 5 - Datenminimierung und Speicherbegrenzung: nur aufbewahren, was gebraucht wird.
Artikel 32 - angemessene technische und organisatorische Maßnahmen, nachweisbar dokumentiert.
Artikel 33 - Meldung an die Aufsichtsbehörde binnen 72 Stunden ab Kenntnis.
Artikel 34 - Benachrichtigung der Betroffenen bei hohem Risiko.

Wer Daten nicht mehr vorhält, muss sie nicht schützen, nicht melden und kann sie nicht verlieren. Datenschutz ist damit keine Formalie der Rechtsabteilung, sondern die wirksamste Begrenzung des Schadensradius.

Empfehlungen für IT-Admins

Datenbestände inventarisieren - wissen, wo personenbezogene Daten, Ausweiskopien und Vertragsunterlagen liegen. Ohne Inventar ist ein Datenleck weder bewertbar noch meldbar.
Löschkonzept durchsetzen - Aufbewahrungsfristen technisch erzwingen statt organisatorisch hoffen. Altbestände auf Dateiservern erklären ein Vielfaches der erwarteten Datenmenge.
Zugriffe segmentieren - Berechtigungen auf Fachbereiche begrenzen, offene Freigaben und alte Gruppenmitgliedschaften abbauen. Ein gekapertes Konto darf nicht das gesamte Dateiarchiv erreichen.
Geheimnisse aus Dokumenten entfernen - Passwörter, VPN-Profile und Schlüssel gehören in einen Passwort-Manager, nicht in Tabellen auf dem Dateiserver.
Verschlüsselung dort einsetzen, wo sie wirkt - Festplattenverschlüsselung schützt nicht gegen exfiltrierte Dateien. Wirksam sind Datei- und Archivverschlüsselung.
Fernzugänge härten - VPN- und Portalzugänge ausschließlich mit Multi-Faktor-Authentifizierung; bei Leak-Verdacht Kennwörter zurücksetzen und aktive Sitzungen widerrufen.
Abfluss erkennbar machen - ungewöhnlich große Lese- und Kopiervorgänge auf Dateiservern alarmieren. In Berlin lagen zwischen Abfluss und Netztrennung Tage.
Schatten-IT einsammeln - was niemand betreut, wird auch nicht gepatcht. Systeme außerhalb des zentralen Betriebs sind hier ein Kernthema.

Hinweise zum Vorgehen bei Betroffenheit

1

Zugangsdaten invalidieren

Passwörter potenziell betroffener Konten zurücksetzen, Sitzungen und Tokens widerrufen, wiederverwendete Passwörter aufspüren.

2

Meldewege klären

Vorfall bewerten, Fristen nach Artikel 33 und 34 DSGVO einhalten, Datenschutzbeauftragten früh einbinden.

3

Belegschaft warnen

Konkret vor Anrufen und Mails mit korrekten Personendaten warnen; Aufforderungen über einen zweiten Kommunikationsweg verifizieren.

4

Missbrauch verfolgen

Bei Identitätsmissbrauch Strafanzeige erstatten; das Land Berlin verweist Betroffene ausdrücklich auf die Internetwache der Polizei Berlin.

Bedeutung für Geschäftsführung und Entscheider

Der Fall Berlin ist teuer, obwohl kein Lösegeld gezahlt wurde. Die Kosten entstehen an anderer Stelle: Wochen eingeschränkter Handlungsfähigkeit in zwei Ressorts, Nacharbeiten nach jedem neuen Datenpaket, Einschränkungen in Fachverfahren mit direkter Wirkung auf Bürger sowie ein dauerhafter Vertrauensschaden.

Das ist die realistische Kostenstruktur eines Datenabflusses, und sie gilt für Unternehmen genauso.

Entscheidend ist der Unterschied zur reinen Verfügbarkeitsfrage. Für Ausfälle gibt es Backups und definierte Wiederanlaufzeiten – alles planbar. Für abgeflossene Daten gibt es keinen Wiederanlauf. Die einzige Steuerungsgröße ist, was zum Zeitpunkt des Angriffs überhaupt greifbar ist. Darüber entscheidet nicht die IT allein, sondern die Freigabe von Löschkonzepten, Aufbewahrungsfristen und Berechtigungsmodellen.

Der Aufwand ist überschaubar, aber ungleich verteilt. Multi-Faktor-Authentifizierung für Fernzugänge und das Entfernen von Passwörtern aus Dokumenten sind Arbeiten von Tagen. Ein belastbares Löschkonzept und ein aufgeräumtes Berechtigungsmodell sind Vorhaben von Monaten – und genau der Teil, der im Schadensfall zählt. Hinzu kommt die regulatorische Seite: Aufsichtsbehörden prüfen nach einem Datenleck nicht den Angriff, sondern die vorher getroffenen Maßnahmen.

Die Frage an die Geschäftsführung lautet deshalb nicht nur „Wie schnell sind wir wieder handlungsfähig?“, sondern „Was genau könnte ein Angreifer heute bei uns mitnehmen?“.

FAQ zum Datenleck Berlin

Sind Bürger vom Datenleck Berlin betroffen?

Ja, das ist möglich. Nach Auswertungen sollen die Pakete Personalunterlagen, Ausweisscans und Vertragsdaten enthalten-. Das Land Berlin hält Auswirkungen auf Bürger für möglich, etwa in Fachverfahren wie dem Wohngeld. Eine belastbare öffentliche Liste der Betroffenen liegt bislang nicht vor.

Was ist Rhysida?

Rhysida ist eine seit mehreren Jahren aktive Gruppe, die nach dem Modell Ransomware-as-a-Service arbeitet. Typisch ist die doppelte Erpressung: Daten werden abgezogen und bei Nichtzahlung veröffentlicht. Für eine politische Motivation gibt es laut IT-Administrator keine Belege.

Warum hilft ein Backup gegen ein Datenleck nicht?

Ein Backup stellt Verfügbarkeit wieder her, nicht Vertraulichkeit. Sobald Daten kopiert und veröffentlicht sind, ist der Vorgang irreversibel - Löschansprüche erreichen Kopien im Darknet nicht. Wirksam sind daher nur vorbeugende Maßnahmen wie Datenminimierung, Verschlüsselung und Zugriffsbegrenzung.

Welche Fristen gelten nach einem Datenleck?

Nach Artikel 33 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde binnen 72 Stunden zu melden. Besteht ein hohes Risiko für die Betroffenen, kommt nach Artikel 34 deren unverzügliche Benachrichtigung hinzu. Die Frist läuft ab Kenntnis des Vorfalls, nicht ab abgeschlossener Analyse.

Woran erkennt man Phishing nach einem Datenleck?

Meist an nichts Offensichtlichem - genau das ist das Problem. Laut BSI können korrekte Namen, Zuständigkeiten und Vorgangsdaten aus Datenlecks stammen. Prüfen Sie Aufforderungen zu Zahlungen oder Datenfreigaben über einen zweiten, selbst gewählten Kommunikationsweg.

Fazit

1,4 Millionen veröffentlichte Dateien und ein zweites Paket mit Zugangsdaten machen das Datenleck Berlin zu einem Lehrstück über den Unterschied zwischen Ausfall und Abfluss. Der Ausfall war nach Tagen beherrschbar, der Abfluss bleibt es dauerhaft nicht. Wirksam war rückblickend nur, was vor dem Angriff entschieden wurde: welche Daten überhaupt gespeichert waren, wer sie erreichen konnte und wie Fernzugänge geschützt waren. Die Konsequenz ist unbequem einfach – Daten, die nicht mehr vorhanden sind, können nicht veröffentlicht werden; für alles Übrige zählen Verschlüsselung, Segmentierung und Multi-Faktor-Authentifizierung. Die Frage ist nicht, ob die eigene Umgebung interessant genug für einen Angriff ist, sondern wie viel bei einem erfolgreichen Zugriff mitgehen würde.

Weitere interessante Beiträge

IT-News

Password Spraying: Wenn Microsoft 365 zur Zielscheibe wird

1. Juli 2026

Zum Blogbeitrag

mars-News

Wir sind Hauptsponsor des TSG Salach: Heimvorteil in Sachen IT

11. September 2026

Zum Blogbeitrag

IT-News

Microsoft Defender Treiber BTR.sys: Wenn der Schutz zum Werkzeug wird

25. August 2026

Zum Blogbeitrag

Fanden Sie den Blogbeitrag hilfreich und interessant?

Vielen Dank für Ihre Rückmeldung!

Der Beitrag Datenleck Berlin: 1,4 Millionen Dateien aus dem Landesnetz im Darknet erschien zuerst auf mars solutions GmbH.

Exchange Sicherheitslücke CVE-2026-62911: 85 Prozent der Server ungepatcht

Technischer Support — Thu, 03 Sep 2026 06:40:00 +0000

Exchange Sicherheitslücke CVE-2026-62911: 85 Prozent der Server ungepatcht

Technischer Support
September 3, 2026
08:40

Für die Exchange Sicherheitslücke CVE-2026-62911 liegt seit dem 28. August 2026 ein öffentlicher Exploit auf GitHub. Nach Zahlen des CERT-Bund waren zu diesem Zeitpunkt rund 85 Prozent der On-Premises-Exchange-Server in Deutschland weiterhin angreifbar, obwohl der Patch seit dem August-Patchtag bereitsteht. Angreifer können ohne gültige Zugangsdaten auf beliebige Postfächer zugreifen, Mails lesen und versenden sowie Anhänge herunterladen. Eine Behelfslösung gibt es nicht, nur das Sicherheitsupdate hilft.

Das Wichtigste in Kürze

CVE-2026-62911 ist ein Authentifizierungs-Bypass in Microsoft Exchange Server, CVSS 8.0 nach Microsoft und 8.8 nach der Zero Day Initiative.
Der Exploit-Code ist seit dem 28.08.2026 öffentlich; bestätigte Angriffe in der Praxis sind bislang nicht bekannt.
Betroffen sind Exchange Server Subscription Edition, Exchange 2019 und Exchange 2016; der Fix stammt aus dem August-Patchtag 2026.
Rund 85 Prozent der deutschen On-Premises-Server sind laut CERT-Bund weiterhin ungepatcht, das BSI benachrichtigt Netzbetreiber seit dem 14.08.2026.
Die Exchange Emergency Mitigation greift hier nicht; ohne Update bleibt nur, den Zugriff aus dem Internet einzuschränken.

So funktioniert die Exchange Sicherheitslücke

CVE-2026-62911 ist ein Authentifizierungs-Bypass durch Capture-Replay, in der Schwachstellen-Systematik als CWE-294 geführt. Der Angriff setzt am MRSProxy-Endpunkt an, den Exchange für das Verschieben von Postfächern zwischen Servern nutzt.

Nach der Analyse von Frank Zöchling (Frankys Web) leiten Angreifer die Authentifizierung des Serverkontos an diesen Endpunkt weiter. Exchange akzeptiert das zuvor mitgeschnittene Anmeldematerial und stellt daraufhin erweiterte Rechte aus. Anschließend lassen sich beliebige Postfächer öffnen, unabhängig davon, welchem Benutzer sie gehören: Nachrichten lesen, Nachrichten in fremdem Namen versenden, Anhänge herunterladen.

Microsoft bewertet die Lücke mit CVSS 8.0 und stuft sie als Rechteausweitung ein. Die Zero Day Initiative von Trend Micro, die den Fehler gemeldet hat, kommt auf 8.8 und hat der Einstufung von Microsoft öffentlich widersprochen, die Ausnutzbarkeit sei nicht belegt.

Die Herkunft erklärt die Brisanz: Der Fehler wurde bei Pwn2Own Berlin 2026 gezeigt, dort als Teil einer Kette aus drei Schwachstellen. Zusammengenommen führte die Kette zur Codeausführung mit SYSTEM-Rechten auf dem Exchange-Server. Für sich genommen ist CVE-2026-62911 also eine Rechteausweitung, in Kombination mit weiteren Lücken wird daraus die vollständige Übernahme eines Servers, der aus dem Internet erreichbar ist.

Zahlen, Daten, Fakten

Seit dem 14.08.2026 benachrichtigt das BSI deutsche Netzbetreiber über verwundbare Systeme in ihren Netzen. Die Zahlen zum Stand vom 31.08.2026:

der Server in Deutschland ungepatcht

0 %

verwundbare IP-Adressen weltweit

davon in Deutschland

Server mit ESU-Update bekannt

Warum viele Exchange-Server ungepatcht bleiben

Die Quote von 85 Prozent wirkt zunächst nach Nachlässigkeit. Der eigentliche Grund liegt tiefer: Der reguläre Support für Exchange Server 2016 und 2019 ist im Oktober 2025 ausgelaufen. Sicherheitsupdates für diese Versionen gibt es seither ausschließlich über das kostenpflichtige Programm Extended Security Updates.

Wie selten dieser Weg gegangen wird, zeigt die Zahl des CERT-Bund: Neun Server in ganz Deutschland sind bekannt, auf denen ein ESU-Update tatsächlich eingespielt ist. Wer also weiterhin Exchange 2016 oder 2019 betreibt und kein ESU gebucht hat, bekommt den Fix für CVE-2026-62911 gar nicht erst angeboten.

Zum Hintergrund

Bereits Ende Oktober 2025 kam das BSI zu dem Ergebnis, dass rund 92 Prozent von etwa 33.000 On-Premises-Exchange-Servern in Deutschland auf nicht mehr unterstützten Versionen liefen, mit aus dem Internet erreichbarem Outlook on the Web. Der aktuelle Fall trifft also auf einen Bestand, der schon vorher überaltert war.

Dazu kommt der Zeitdruck: Zwischen dem Patchtag im August und dem öffentlichen Exploit lagen rund zwei Wochen. Wer Exchange-Updates nach dem üblichen Muster erst nach einer Beobachtungsphase einspielt, war zum Zeitpunkt der Veröffentlichung noch nicht fertig.

Patchstände gegen CVE-2026-62911

Abgesicherte Build-Nummern gegen CVE-2026-62911
Exchange-Version	Build	Update
Subscription Edition RTM	15.2.2562.46	KB5121573
Exchange 2019 CU15	15.2.1748.49	KB5121574
Exchange 2019 CU14	15.2.1544.44	KB5121575
Exchange 2016 CU23	15.1.2507.72	KB5121576

Maßgeblich ist die Buildnummer, nicht das Datum der letzten Update-Installation. Für Exchange 2016 und 2019 setzt die Installation eine gültige ESU-Lizenzierung voraus; ohne sie steht das Update nicht zur Verfügung.

Keine Emergency Mitigation

Die Exchange Emergency Mitigation, mit der Microsoft in früheren Fällen eine Übergangslösung angeboten hat, greift bei dieser Lücke nicht. Es gibt keinen Workaround, der das Update ersetzt.

Sofortmaßnahmen gegen die Exchange Sicherheitslücke

Den Stand aller Server liefert die Exchange Management Shell:

Get-ExchangeServer | Format-List Name, AdminDisplayVersion

1

Buildnummer prüfen

Die Ausgabe des Befehls gegen die Tabelle oben abgleichen, Server für Server.

2

Update einspielen

Das August-Sicherheitsupdate installieren. Bei Exchange 2016 und 2019 zuvor klären, ob eine ESU-Lizenzierung vorliegt; fehlt sie, ist ihre Beschaffung der erste Schritt.

3

Zugriff aus dem Internet einschränken

Solange ein Server ungepatcht bleibt, den Zugriff auf die Exchange-Webdienste auf vertrauenswürdige Quell-IP-Adressen begrenzen oder ihn über ein VPN führen. Das ist die ausdrückliche Empfehlung des BSI.

4

Protokolle sichten

Die IIS-Logs auf auffällige Zugriffe auf den MRSProxy-Endpunkt und auf Postfachzugriffe außerhalb der üblichen Zeiten und Netze prüfen.

5

Migration bewerten

Bei Exchange 2016 und 2019 die Frage beantworten, ob ESU verlängert wird oder ob der Umstieg auf die Subscription Edition beziehungsweise nach Exchange Online ansteht. Diese Entscheidung wird bei jeder weiteren Lücke erneut fällig.

6

Postfachrechte kontrollieren

Nach dem Patchen prüfen, ob Postfachregeln, Weiterleitungen oder Stellvertreterrechte angelegt wurden, die niemand kennt.

Bedeutung für Geschäftsführung und Entscheider

Ein Exchange-Server, der aus dem Internet erreichbar ist, ist der Zugang zur gesamten Geschäftskorrespondenz. Gelingt der Zugriff, sind Angebote, Verträge, Personalunterlagen und Rechnungsverläufe offen einsehbar. Aus mitgelesenen Mailverläufen entsteht typischerweise Rechnungsbetrug, weil Angreifer sich in laufende Vorgänge einklinken und Bankverbindungen austauschen. Sobald personenbezogene Daten betroffen sind, greift die Meldepflicht nach DSGVO innerhalb von 72 Stunden.

Der wirtschaftlich unangenehme Teil ist nicht das Update, sondern die Frage dahinter. Exchange 2016 und 2019 sind seit Oktober 2025 ohne regulären Support. Wer sie weiterbetreibt, zahlt für Extended Security Updates und bekommt dafür nur Zeit, keine Zukunft. Die neun bekannten ESU-Installationen in ganz Deutschland zeigen, dass diese Rechnung kaum jemand aufmacht: Der Regelfall ist ein Server, der weiterläuft und keine Sicherheitsupdates mehr erhält.

Für die Geschäftsführung stellen sich damit zwei getrennte Entscheidungen. Kurzfristig: Ist unser Exchange auf dem aktuellen Stand, und wenn nein, bis wann? Mittelfristig: Bleiben wir bei Exchange on premises mit ESU-Kosten, wechseln wir auf die Subscription Edition oder gehen wir nach Exchange Online? Die zweite Frage lässt sich planen. Sie zu verschieben bedeutet, sie bei jeder weiteren Lücke unter Zeitdruck erneut zu stellen.

FAQ zur Exchange Sicherheitslücke

Wird CVE-2026-62911 bereits aktiv ausgenutzt?

Bestätigte Angriffe sind bislang nicht bekannt. Öffentlicher Exploit-Code liegt seit dem 28.08.2026 auf GitHub, und mehr als 21.000 verwundbare Server sind aus dem Internet erreichbar. Fachleute rechnen deshalb damit, dass aus Scans in kurzer Zeit Angriffe werden.

Betrifft die Lücke auch Exchange Online?

Nein. Betroffen sind ausschließlich On-Premises-Installationen: Exchange Server Subscription Edition, Exchange 2019 und Exchange 2016. Wer vollständig in Exchange Online arbeitet, muss hier nichts tun.

Wir betreiben Exchange 2016 ohne ESU. Was jetzt?

Für diese Konstellation steht kein Update bereit. Kurzfristig hilft nur, den Zugriff aus dem Internet zu unterbinden oder über ein VPN zu führen. Parallel gehören die ESU-Beschaffung und die Migration auf den Tisch.

Reicht die Exchange Emergency Mitigation als Übergang?

Nein. Für diese Lücke gibt es keine wirksame Entschärfung über die Emergency Mitigation. Ausschließlich das Sicherheitsupdate schließt sie.

Woran erkennen wir, ob unser Server angegriffen wurde?

Prüfen Sie die IIS-Protokolle auf Zugriffe auf den MRSProxy-Endpunkt sowie die Postfachprotokolle auf Zugriffe außerhalb üblicher Zeiten und Netze. Auffällig sind außerdem neu angelegte Postfachregeln, Weiterleitungen und Stellvertreterrechte. Fehlende Spuren sind allerdings kein Beweis dafür, dass nichts passiert ist.

Fazit

Die Exchange Sicherheitslücke CVE-2026-62911 ist ein Lehrstück über den Unterschied zwischen verfügbarem und eingespieltem Patch. Der Fix liegt seit dem August-Patchtag vor, zwei Wochen später war der Exploit öffentlich, und trotzdem blieben nach Zahlen des CERT-Bund rund 85 Prozent der deutschen Server angreifbar. Wer Exchange on premises betreibt, sollte heute die Buildnummer prüfen und nicht auf die nächste Wartungsphase warten, denn eine Behelfslösung existiert nicht. Der Fall zeigt zugleich, dass die eigentliche Entscheidung eine andere ist: Ein Mailserver ohne regulären Support ist kein Zustand, den man verwaltet, sondern einer, den man beendet.

Weitere interessante Beiträge

IT-News

Proxmox-Bug: Datenverlust durch Fehler beim Restore vom Backup Server

17. August 2026

Zum Blogbeitrag

IT-News

Microsoft 365 Ausfall: zwölf Stunden ohne Mail, Teams und SharePoint

1. September 2026

Zum Blogbeitrag

mars-News

Cyber Security Workshop für Schulen und Bildungseinrichtungen

20. August 2026

Zum Blogbeitrag

Fanden Sie den Blogbeitrag hilfreich und interessant?

Vielen Dank für Ihre Rückmeldung!

Der Beitrag Exchange Sicherheitslücke CVE-2026-62911: 85 Prozent der Server ungepatcht erschien zuerst auf mars solutions GmbH.

Microsoft 365 Ausfall: zwölf Stunden ohne Mail, Teams und SharePoint

Technischer Support — Tue, 01 Sep 2026 12:51:04 +0000

Microsoft 365 Ausfall: zwölf Stunden ohne Mail, Teams und SharePoint

Technischer Support
September 1, 2026
14:51

Am Montagabend, dem 31. August 2026, begann um 17:53 Uhr ein weltweiter Microsoft 365 Ausfall, der erst am Dienstagmorgen um 06:07 Uhr bei Mailversand und -empfang behoben war. Betroffen waren Exchange Online, Outlook, Teams, SharePoint und Defender XDR: Anmeldungen schlugen fehl, Postfächer synchronisierten nicht mehr, Anwendungen froren ein. Microsoft nennt als Ursache einen Fehler in einer zentralen Authentifizierungskomponente; Fehlermeldungen deuten auf ein abgelaufenes internes Zertifikat hin. Wir ordnen den Ablauf ein und zeigen, welche Vorbereitung einen solchen Ausfall beherrschbar macht.

Das Wichtigste in Kürze

Weltweite Störung von Microsoft 365 vom 31.08.2026, 17:53 Uhr, bis zum 01.09.2026, 06:07 Uhr - gut zwölf Stunden ohne verlässlichen Mailverkehr.
Betroffen waren Exchange Online, Outlook, Teams, SharePoint und Defender XDR; Microsoft führte den Vorfall unter der Kennung EX1464935.
Ursache war laut Microsoft eine fehlerhafte Konfiguration der Kern-Authentifizierung, die mehrere Dienste gemeinsam nutzen.
Fehlermeldungen aus dem Partnercenter deuten auf ein abgelaufenes internes Zertifikat hin; ausdrücklich bestätigt hat Microsoft das bislang nicht.
Kunden konnten nichts reparieren - die einzige wirksame Vorbereitung sind ein zweiter Kommunikationsweg, lesender Zugriff auf ältere Mails und ein bekanntes Vorgehen für den Ausfalltag.

So verlief der Microsoft 365 Ausfall

Der Vorfall begann nach Microsofts eigener Zeitangabe am Montag um 17:53 Uhr MESZ. Im Message Center des Microsoft-365-Admin-Centers erschien die Meldung, man habe „ein häufiges Fehlermuster bei betroffenen Exchange-Online-Anfragen identifiziert, das mit der Authentifizierung und der Protokollverbindung zusammenhängt“. Geführt wurde der Vorfall unter der Kennung EX1464935, für die weiteren Dienste kamen die Kennungen MO1465074 und EX1465001 hinzu.

Zunächst sah es nach einem reinen Exchange-Online-Problem aus. Im Lauf des Abends erweiterte Microsoft den Kreis der beeinträchtigten Dienste auf Teams, SharePoint und Defender XDR. Wer über Outlook oder über die Weboberfläche outlook.office.com auf sein Postfach zugreifen wollte, erhielt Authentifizierungsfehler; auch die Exchange-Verwaltungsumgebungen waren betroffen.

Auffällig war die ungleiche Verteilung: Nach Beobachtung von Günter Born, der den Vorfall in seinem Blog dokumentiert hat, waren innerhalb desselben Tenants nicht alle Postfächer gleich stark betroffen. Für die Fehlersuche in den Unternehmen war das ein zusätzliches Problem, weil der Ausfall zunächst nach einem lokalen Fehler aussah.

In der Nacht spielten Microsoft-Techniker gezielte Korrekturen ein und nahmen nach eigenen Angaben ein Update zurück, das die betroffene Infrastruktur kurz zuvor erhalten hatte. Um 06:07 Uhr am Dienstagmorgen meldete Microsoft Mailempfang und -versand als wiederhergestellt. Die tagesschau berichtete am Morgen von einer schrittweisen Erholung; Rückstaus im Mailversand und die weltweite Synchronisation brauchten danach noch Zeit.

Zahlen, Daten, Fakten

Beginn der Störung: 31.08.2026, 17:53 Uhr (MESZ). Mailversand und -empfang wieder verfügbar: 01.09.2026, 06:07 Uhr. Vorfallkennung im Microsoft-365-Admin-Center: EX1464935.

Stunden ohne verlässlichen Mailverkehr

betroffene Microsoft-365-Dienste

Vorfallkennungen im Admin-Center

Handlungsoptionen auf Kundenseite

Abgelaufenes Zertifikat als Ursache des Ausfalls

Offiziell spricht Microsoft von „einer Konfiguration der Kern-Authentifizierung, die mehrere Dienste nutzten“. Das erklärt, warum ein Problem, das als Exchange-Störung begann, kurz darauf auch Teams und SharePoint erfasste: Alle diese Dienste hängen an derselben Anmeldeschicht.

Konkreter wird es durch eine Fehlermeldung aus dem Microsoft-Partnercenter, die Günter Born und das Fachmagazin IT-Administrator aufgegriffen haben: Darin wird ein Zertifikat mit einem bestimmten Fingerabdruck als abgelaufen bezeichnet. Das passt zum Fehlerbild, ist aber ein Indiz und keine Bestätigung – Microsoft hat ein abgelaufenes Zertifikat als Auslöser bislang nicht ausdrücklich benannt.

Zum Hintergrund

Interne Zertifikate sind Ausweise, mit denen sich die Bausteine eines Cloud-Dienstes gegenseitig als vertrauenswürdig erkennen. Läuft ein solcher Ausweis ab, weist die Gegenstelle die Verbindung ab – unabhängig davon, ob die Software fehlerfrei arbeitet. Ein einzelnes abgelaufenes Zertifikat an zentraler Stelle kann deshalb eine ganze Dienstfamilie stoppen.

Zertifikatsthemen sind bei Exchange Online in diesem Jahr nicht neu. Ende Juni 2026 dokumentierte Born ein Problem mit einer veralteten Zertifikatskette bei Exchange Online Protection, das den Mailversand von Linux-Systemen über den SMTP-Relay traf. Der Fall lag technisch anders, zeigt aber dasselbe Muster: Zertifikate laufen still ab, bis nichts mehr geht.

Was der Ausfall im Betrieb bedeutet

Für die betroffenen Unternehmen fiel nicht nur die E-Mail aus. Wer Teams als primären Chat- oder Telefonieweg nutzt, verlor gleichzeitig den Rückkanal, über den ein Ausfall sonst kommuniziert wird. Auch Notfallpläne und Kontaktlisten waren nicht erreichbar, sofern sie ausschließlich in SharePoint liegen.

Die Sicherheitsüberwachung fällt mit aus

Der wenig beachtete Punkt ist Defender XDR. Wenn die Sicherheitsüberwachung Teil derselben Störung ist, sinkt für die Dauer des Ausfalls die Erkennungsfähigkeit. Hinweise auf eine Ausnutzung gibt es nicht; für die Planung bleibt trotzdem festzuhalten, dass Betrieb und Sicherheitsüberwachung gleichzeitig ausfallen, wenn beides beim selben Anbieter liegt.

Für die Praxis heißt das: Ein Kunde konnte an diesem Abend nichts reparieren. Es gab keinen Patch, keine Einstellung und keinen Neustart, der geholfen hätte. Der einzige Hebel liegt in der Vorbereitung.

Hinweise für IT-Admins nach dem Ausfall

Die folgenden Punkte lassen sich in den meisten Umgebungen ohne großen Aufwand umsetzen:

1

Statusquelle festlegen

Den Microsoft-365-Servicestatus und das Message Center im Admin-Center als verbindliche Informationsquelle benennen, ergänzt um den Kanal @MSFT365Status. So ist beim nächsten Mal in Minuten geklärt, ob der Fehler beim Anbieter oder im eigenen Netz liegt.

2

Zweiten Kommunikationsweg bereithalten

Einen Messenger oder Telefonweg außerhalb von Microsoft 365 festlegen, inklusive gepflegter Rufnummernliste. Ein Notfallplan, der nur in SharePoint liegt, ist im Ernstfall nicht verfügbar.

3

Lesenden Zugriff auf ältere Mails sichern

Eine unabhängige E-Mail-Archivierung erlaubt es, auf bereits zugestellte Nachrichten zuzugreifen, während das Postfach nicht erreichbar ist.

4

Mailfluss von außen absichern

Klären, wie eingehende Mails bei einem Ausfall behandelt werden. Sendende Systeme stellen in der Regel automatisch erneut zu; Weiterleitungen auf Zweitadressen brauchen dagegen eine bewusste Entscheidung und einen Datenschutzblick.

5

Rückstau einplanen

Nach der Entstörung laufen Nachrichten verzögert ein. Rechnen Sie mit doppelten Zustellungen und mit falschen Zeitstempeln in Ticket- und Freigabeprozessen.

6

Ausfall dokumentieren

Beginn, Ende, betroffene Dienste und Vorfallkennung festhalten. Diese Aufzeichnung ist die Grundlage für die spätere Bewertung von Verfügbarkeit und für Gespräche über Service Level.

7

Abhängigkeiten sichtbar machen

Notieren, welche Geschäftsprozesse ohne Microsoft 365 stillstehen. Meist ist die Liste länger als erwartet, weil Freigaben, Zeiterfassung und Telefonie mit daran hängen.

Bedeutung für Geschäftsführung und Entscheider

Dieser Vorfall ist kein Sicherheitsproblem und kein Grund, Cloud-Dienste in Frage zu stellen. Eigene Serverräume fallen ebenfalls aus, meist länger und ohne ein Technikerteam, das die Nacht durcharbeitet. Die betriebswirtschaftlich richtige Frage lautet deshalb nicht „Cloud oder nicht“, sondern: Wie lange hält unser Geschäft einen Ausfall der zentralen Kommunikationsplattform aus?

Zwölf Stunden ohne E-Mail sind für ein Handelsunternehmen mit Bestelleingang per Mail eine andere Größenordnung als für einen Betrieb, der überwiegend telefonisch arbeitet. Diese Einschätzung lässt sich nur intern treffen, und sie gehört schriftlich festgehalten. Aus ihr ergibt sich, ob ein zweiter Kommunikationsweg, eine unabhängige Archivierung oder eine abweichende Auslegung einzelner Prozesse nötig ist.

Zu beachten ist außerdem der vertragliche Rahmen: Die Verfügbarkeitszusagen von Microsoft gelten gegenüber dem Kunden, nicht gegenüber dessen Kunden. Wer selbst Reaktionszeiten zusagt, sollte prüfen, ob diese Zusagen einen Ausfall des Cloud-Anbieters berücksichtigen. Für Unternehmen im Anwendungsbereich der NIS-2-Regulierung sind Verfügbarkeit und Notfallvorsorge ohnehin ausdrücklich Thema.

Der Aufwand für die Vorbereitung ist gering. Ein zweiter Kommunikationsweg, eine gepflegte Kontaktliste außerhalb der Cloud und ein einseitiges Vorgehenspapier sind Arbeit von Stunden. Der Nutzen zeigt sich am Tag, an dem niemand mehr an sein Postfach kommt.

FAQ zum Microsoft 365 Ausfall

War der Microsoft 365 Ausfall ein Angriff?

Nein. Microsoft nennt als Ursache einen Fehler in einer zentralen Authentifizierungskomponente, nicht einen Angriff. Hinweise auf unbefugten Zugriff im Zusammenhang mit dem Vorfall sind bislang nicht bekannt.

Konnten Unternehmen selbst etwas tun?

Nein. Die Störung lag vollständig in der Cloud-Infrastruktur von Microsoft. Weder ein Neustart noch eine Änderung an der eigenen Konfiguration hätte geholfen. Wirksam ist ausschließlich die Vorbereitung auf den Ausfalltag.

Sind während des Ausfalls E-Mails verloren gegangen?

Nach bisherigem Stand nicht. Sendende Mailserver wiederholen die Zustellung über einen längeren Zeitraum, weshalb die Nachrichten nach der Entstörung verzögert eingingen. Ein Rückstau im Versand blieb noch am Vormittag des 1. September bestehen.

Woran erkennen wir, ob eine Störung beim Anbieter liegt?

Der Servicestatus und das Message Center im Microsoft-365-Admin-Center zeigen laufende Vorfälle mit Kennung an, hier EX1464935. Ein Blick dorthin sollte der erste Schritt sein, bevor im eigenen Netz gesucht wird.

Hilft ein Backup gegen einen Cloud-Ausfall?

Nur eingeschränkt. Ein Backup schützt vor Datenverlust, nicht vor fehlender Verfügbarkeit des Dienstes. Für den lesenden Zugriff während einer Störung eignet sich eine unabhängige E-Mail-Archivierung besser.

Fazit

Der Microsoft 365 Ausfall vom 31. August 2026 hat weltweit gut zwölf Stunden lang Mail, Teams und SharePoint blockiert – ausgelöst nicht durch einen Angriff, sondern durch eine Störung in der zentralen Anmeldeschicht, an der alle diese Dienste hängen. Die Hinweise auf ein abgelaufenes internes Zertifikat sind plausibel, offiziell bestätigt sind sie nicht. Für Unternehmen bleibt die Erkenntnis, dass der Betrieb einer Cloud-Plattform zwar ausgelagert werden kann, die Vorbereitung auf deren Ausfall aber nicht. Wer heute festlegt, worüber im Ernstfall kommuniziert wird und wie lange welcher Prozess stillstehen darf, verkürzt beim nächsten Vorfall vor allem eines: die Zeit, in der niemand weiß, was gerade zu tun ist.

Weitere interessante Beiträge

IT-News

NIS-2-Registrierung: Frist abgelaufen, Lücke bleibt

5. August 2026

Zum Blogbeitrag

IT-News

OWAReaper: Half-Click-Exploit übernimmt Exchange-Postfächer

31. Juli 2026

Zum Blogbeitrag

IT-News

Revolut Datenleck: 680 Kunden nach gefälschter Behördenanfrage gehackt

17. September 2026

Zum Blogbeitrag

Fanden Sie den Blogbeitrag hilfreich und interessant?

Vielen Dank für Ihre Rückmeldung!

Der Beitrag Microsoft 365 Ausfall: zwölf Stunden ohne Mail, Teams und SharePoint erschien zuerst auf mars solutions GmbH.

Druckprobleme nach KB5120708: .NET-Update stoppt Druck und PDF-Export

Technischer Support — Thu, 27 Aug 2026 09:35:00 +0000

Druckprobleme nach KB5120708: .NET-Update stoppt Druck und PDF-Export

Technischer Support
August 27, 2026
11:35

Seit dem Patchday am 11. August 2026 verteilt Microsoft kumulative Updates für das .NET Framework, die in Fachanwendungen den Druck und den PDF-Export abbrechen lassen.

Am 24. August 2026 hat Microsoft die Druckprobleme nach KB5120708 als bekanntes Problem bestätigt: Betroffen sind Anwendungen auf Basis von Windows Presentation Foundation (WPF), ausgelöst wird der Fehler ausgerechnet von Standardschriften wie Calibri.

Ein Korrekturtermin fehlt bislang, der Workaround hebt eine Schutzfunktion des Sicherheitsupdates wieder auf.

Das Wichtigste in Kürze

Die .NET-Framework-Updates vom 11. August 2026 lassen in WPF-Anwendungen Druck sowie PDF- und XPS-Export mit einer System.IO.FileFormatException abbrechen.
Betroffen sind Windows 10, Windows 11 sowie Windows Server 2012 bis 2025 - je nach Version über eigene KB-Nummern, am häufigsten genannt wird KB5120708.
Auslöser sind die mitgelieferten Schriften Calibri, Cambria, Constantia und Corbel; Arial, Segoe UI oder Calibri Light funktionieren weiter.
Microsoft führt den Fall seit dem 24. August 2026 mit dem Status „Investigating“, ein Termin für die Korrektur fehlt.
Der Workaround schaltet eine Schutzfunktion des August-Updates ab und ist nur als Übergangslösung vorgesehen.

Was KB5120708 beim Drucken auslöst

Am 11. August 2026 hat Microsoft die kumulativen Updates für das .NET Framework 3.5, 4.7.2, 4.8 und 4.8.1 veröffentlicht. Kurz danach meldeten Anwender, dass Fachanwendungen plötzlich nicht mehr drucken. Statt einer Ausgabe erscheint eine Ausnahme, die auf eine Schriftdatei im Windows-Verzeichnis verweist:

System.IO.FileFormatException: 'file:///C:/WINDOWS/FONTS/CALIBRI.TTF'
file does not conform to the expected file format specification.

Laut Microsoft können WPF-Anwendungen nach der Installation fehlschlagen, sobald sie Inhalte drucken oder als PDF beziehungsweise XPS erzeugen, die bestimmte Schriften verwenden – darunter Calibri.

Betroffen sind ausschließlich Anwendungen, die auf Windows Presentation Foundation aufsetzen, das Oberflächen-Framework für klassische Windows-Desktopprogramme. Das erklärt das typische Schadensbild: Die Anwendung startet normal, die Maske ist bedienbar, erst beim Druck oder beim Erzeugen eines PDFs bricht der Vorgang ab.

Gemeldet wurden Ausfälle in kaufmännischen Fachanwendungen und in Berichtsmodulen auf Basis von Crystal Reports; der IT-Dienstleister Trichromic nennt die Kanzleisoftware CCH von Wolters Kluwer. Einzelne Hersteller haben laut dem IT-Blog von Günter Born bereits eigene Korrekturen ausgeliefert. Wie viele Systeme betroffen sind, nennt Microsoft nicht.

Wichtig für IT-Admins

Nicht jedes Druckproblem nach einem Patchday gehört hierher. Kennzeichen dieses Falls sind die Ausnahme System.IO.FileFormatException und der Verweis auf eine Schriftdatei aus C:\Windows\Fonts. Der August-Patchday brachte laut golem.de weitere Auffälligkeiten mit sich, darunter Abstürze und Bluescreens – diese führt Microsoft allerdings auf Beleuchtungssoftware von Drittanbietern zurück, nicht auf das Update.

Diese Updates lösen die Druckprobleme aus

Je nach Betriebssystem und Framework-Version erscheinen die Updates unter eigenen KB-Nummern. Alle stammen vom 11. August 2026:

Betroffene .NET-Framework-Updates vom 11. August 2026
KB-Nummer	Plattform
KB5120708	Windows 11 25H2, Windows Server 24H2
KB5120713	Windows 11 23H2
KB5120709 / KB5120701	Windows 10 21H2 und 22H2
KB5120705 / KB5120714 / KB5121650	Windows Server 2022
KB5120698 / KB5120703	Windows 10 1809, Windows Server 2019

Microsoft nennt als betroffene Plattformen Windows 10 und 11 sowie Windows Server 2012 bis 2025. Prüfen Sie deshalb nicht nur Arbeitsplätze: Auf Terminal- und Anwendungsservern fällt die Ausgabe für alle Benutzer gleichzeitig aus. Im IT-Blog von Günter Born berichten Administratoren zudem, dass die .NET-Updates ohne WSUS-Freigabe auftauchten – der Blick in die installierten Updates ist also verlässlicher als der in die Freigabeliste.

Warum Calibri die Druckprobleme auslöst

Beim Druck und beim PDF- oder XPS-Export bettet WPF nicht die vollständige Schriftdatei ein, sondern nur die verwendeten Zeichen. Dieses Verfahren heißt Font Subsetting und läuft über die Methode GlyphTypeface.ComputeSubset(). Genau dort bricht der Vorgang seit dem August-Update ab.

Hintergrund ist eine Härtung der Schriftverarbeitung: Das Update prüft die internen Tabellen einer TrueType-Schrift deutlich strenger auf Überläufe. Die betroffenen Microsoft-Schriften tragen jedoch alte kern-Tabellen, deren Längenangabe als 16-Bit-Wert gespeichert ist und Größen oberhalb von 65.535 Byte nicht mehr korrekt abbilden kann. Die neue Prüfung wertet das als fehlerhafte Datei und weist die gesamte Schrift ab, statt die optionale Tabelle zu überspringen. Im offiziellen WPF-Projekt auf GitHub ist der Fall als Regression mit der höchsten Priorität erfasst.

Betroffen sind nach dieser Analyse 15 Schriftschnitte der Familien Calibri, Cambria, Constantia und Corbel sowie ältere Fassungen von Open Sans. Nicht betroffen sind unter anderem Arial, Segoe UI, Consolas und Calibri Light.

Warum Calibri die Druckprobleme auslöst

betroffene Schriftschnitte

betroffene Schriftfamilien

geschlossene Schwachstellen

davon Schadcode aus der Ferne

Diese Zahlen entscheiden die Bewertung. KB5120708 behebt sechs Schwachstellen im .NET Framework, darunter drei zur Ausführung von Schadcode aus der Ferne (CVE-2026-62886, CVE-2026-62897, CVE-2026-70354) und zwei zur Rechteausweitung (CVE-2026-65810, CVE-2026-62872). Welche davon zur verschärften Schriftprüfung gehört, weist Microsoft nicht öffentlich aus. Klar ist: Die Härtung ist Teil des Sicherheitsupdates – wer sie abschaltet, öffnet die geschlossene Lücke wieder.

So prüfen Sie die Druckprobleme

Ob ein System betroffen ist, zeigt sich in wenigen Minuten – ohne die Fachanwendung selbst zu starten. Der folgende Aufruf reproduziert den Fehler direkt in PowerShell:

Add-Type -AssemblyName PresentationCore
[System.Windows.Media.GlyphTypeface]::new([Uri]"$env:WINDIR\Fonts\calibri.ttf").ComputeSubset([uint16[]]@(0))

Läuft der Befehl ohne Ausgabe durch, ist das System unauffällig. Endet er mit einer FileFormatException, greift die neue Prüfung.

So gehen Sie weiter vor:

1

Bestand aufnehmen

Installierte .NET-Framework-Updates auf Clients und Servern erfassen und mit der Tabelle oben abgleichen.

2

Betroffene Anwendungen eingrenzen

Alle Fachanwendungen testen, die drucken oder PDF-Dateien erzeugen. Ein Testdruck mit Calibri gegen einen mit Arial zeigt den Unterschied sofort.

3

Hersteller einbeziehen

Nachfragen, ob eine korrigierte Programmfassung vorliegt. Das ist die saubere Lösung, weil sie die Sicherheitsfunktionen unangetastet lässt.

4

Dokumente prüfen

Vorlagen, Berichte und Formulare auf die verwendeten Schriften durchsehen. Häufig steckt Calibri nur in einer Fußzeile oder Tabellenüberschrift.

Workaround für die Druckprobleme

Microsoft nennt als Übergangslösung einen Schalter, der die neue Prüfung für eine einzelne Anwendung abschaltet. Er wird in der Konfigurationsdatei der Anwendung gesetzt:

Wichtige Hinweise

Der Schalter deaktiviert die mit dem August-Update eingeführte Schutzfunktion und macht die geschlossene Lücke wieder ausnutzbar. Microsoft empfiehlt ihn ausdrücklich nur als vorübergehende Maßnahme – gezielt in der Konfiguration der betroffenen Anwendung, nicht pauschal auf allen Systemen.

Alternativen: betroffene Schriften in Vorlagen ersetzen, etwa Calibri durch Calibri Light oder Arial, oder das Font Subsetting abschalten – Letzteres kann nur der Hersteller sauber umsetzen und vergrößert die Dateien deutlich. Eine Deinstallation des Updates löst das Druckproblem ebenfalls, nimmt aber den Schutz für sechs Schwachstellen vom System.

Empfehlungen für IT-Admins

Sicherheitsupdate belassen - eine Deinstallation ist die schlechteste Option.
Druckkritische Anwendungen kennen - erfassen, welche Programme drucken oder PDFs erzeugen.
Herstellerkorrektur einfordern - eine korrigierte Programmfassung ist dem Schalter immer vorzuziehen.
Workaround eng begrenzen und dokumentieren - nur in der Konfigurationsdatei der betroffenen Anwendung, mit Datum und Wiedervorlage.
Update-Status beobachten - der Eintrag in den Microsoft-Update-Hinweisen steht auf „Investigating“.

Bedeutung für Geschäftsführung und Entscheider

Der Ausfall trifft einen Punkt, an dem Betriebsabläufe sichtbar stehen bleiben. Rechnungen, Lieferscheine und Verträge entstehen am Ende eines Prozesses als Druck oder PDF. Fällt dieser Schritt aus, ist die Arbeit davor zwar getan, das Ergebnis verlässt das Haus aber nicht – auf einem Terminalserver für alle Benutzer gleichzeitig.

Zu entscheiden ist eine Abwägung, die nicht allein in der IT liegt: Der Workaround stellt die Ausgabe wieder her, nimmt dafür aber eine Schutzfunktion zurück, die Microsoft im August gezielt eingeführt hat. Vertretbar ist das als befristete Maßnahme für einzelne Anwendungen, mit festem Termin für die Rücknahme. Der Aufwand ist überschaubar: Prüfung und Konfigurationsanpassung sind Arbeit von Stunden. Zeit kostet vor allem die Abstimmung mit den Softwareherstellern – die saubere Korrektur kommt aus deren Programmen.

Bemerkenswert bleibt die Häufung: Nach den Fehlern im Windows 11-Update KB5094126 und den Boot-Problemen nach dem Juni-Update ist dies der dritte Zwischenfall dieser Art in wenigen Monaten. Ein gestaffeltes Rollout – erst eine kleine Testgruppe, dann die Fläche – kostet wenige Tage Verzögerung und fängt genau solche Fälle ab, bevor sie den ganzen Betrieb erreichen.

FAQ zu KB5120708

Sind alle Anwendungen betroffen, die drucken?

Nein. Der Fehler tritt nur in Anwendungen auf, die auf Windows Presentation Foundation aufsetzen und beim Druck oder PDF-Export Schriften einbetten. Microsoft Word oder Adobe Acrobat nutzen einen anderen Weg zur Ausgabe.

Woran erkennen wir, dass unser Fall dazugehört?

Am Fehlerbild: eine System.IO.FileFormatException mit Verweis auf eine Schriftdatei aus C:\Windows\Fonts, meist CALIBRI.TTF. Der PowerShell-Test aus diesem Beitrag bestätigt das in Sekunden.

Sollen wir das Update deinstallieren?

Nein. KB5120708 schließt sechs Schwachstellen, darunter drei zur Ausführung von Schadcode aus der Ferne. Der Schalter in der Anwendungskonfiguration ist das kleinere Übel, eine korrigierte Programmfassung des Herstellers die beste Lösung.

Hilft es, die Schriftart zu wechseln?

In vielen Fällen ja, etwa auf Arial, Segoe UI oder Calibri Light. Der Wechsel verändert allerdings das Layout und ist bei Formularen mit fester Gestaltung nicht immer praktikabel.

Wann kommt eine Korrektur von Microsoft?

Ein Termin ist bislang nicht genannt. Microsoft führt den Fall seit dem 24. August 2026 als bekanntes Problem mit dem Status „Investigating“.

Fazit

Die Druckprobleme nach KB5120708 zeigen den Preis von Sicherheitshärtung: Eine strengere Prüfung der Schriftverarbeitung fängt manipulierte Schriftdateien ab, weist dabei aber auch Schriften zurück, die Microsoft selbst seit Jahren mit Windows ausliefert.

Für IT-Verantwortliche bleibt es bei einer klaren Reihenfolge: Sicherheitsupdate behalten, betroffene Anwendungen eingrenzen, Herstellerkorrektur anfordern, den Workaround nur befristet und anwendungsbezogen einsetzen. Wer den Schalter setzt, trägt das Datum für seine Rücknahme gleich mit ein. Der dritte Update-Zwischenfall dieses Sommers zeigt zudem: Eine kleine Testgruppe vor dem Rollout ist keine Bürokratie, sondern der günstigste Schutz.

Weitere interessante Beiträge

IT-News

vCenter-Angriffe: CVE-2026-59310

13. August 2026

Zum Blogbeitrag

IT-News

Patchday September 2026: 964 Lücken und zwei aktive Zero-Days

16. September 2026

Zum Blogbeitrag

IT-News

Revolut Datenleck: 680 Kunden nach gefälschter Behördenanfrage gehackt

17. September 2026

Zum Blogbeitrag

Fanden Sie den Blogbeitrag hilfreich und interessant?

Vielen Dank für Ihre Rückmeldung!

Der Beitrag Druckprobleme nach KB5120708: .NET-Update stoppt Druck und PDF-Export erschien zuerst auf mars solutions GmbH.

Microsoft Defender Treiber BTR.sys: Wenn der Schutz zum Werkzeug wird

Technischer Support — Tue, 25 Aug 2026 13:02:06 +0000

Microsoft Defender Treiber BTR.sys: Wenn der Schutz zum Werkzeug wird

Technischer Support
August 25, 2026
15:02

Am 20. August 2026 hat Check Point Research eine Analyse veröffentlicht, die zeigt, wie sich der Microsoft Defender Treiber BTR.sys im Windows-Kernel für fremde Zwecke nutzen lässt. Betroffen sind Systeme von Windows 7 bis Windows 11 25H2, also praktisch jede Windows-Installation mit aktivem Defender.

Ausgenutzt wird dabei keine Schwachstelle, sondern eine vorgesehene Funktion – weshalb die üblichen Sperrmechanismen nicht greifen. Zusammen mit einem fehlerhaften Defender-Update vom 18. August und einer bislang ungepatchten Defender-Lücke ergibt sich ein Bild, das IT-Verantwortliche kennen sollten.

Das Wichtigste in Kürze

Der Microsoft Defender Treiber BTR.sys ist eine von Microsoft signierte Kernel-Komponente, die in der Datei MpEngine.dll steckt und Schadsoftware beim Neustart entfernt.
Wer Administratorrechte besitzt, kann den Treiber laut Check Point Research mit einer eigenen Anweisungsliste laden und damit Dateien sowie Registry-Einträge im Kernel verändern.
Die Sperrliste für angreifbare Treiber und Windows Defender Application Control (WDAC) greifen nicht, weil BTR.sys eine Pflichtkomponente von Windows ist.
Microsoft stuft den Fall als nicht sofort behebungsbedürftig ein, weil Administratorrechte vorausgesetzt sind. Ein Patch existiert nicht.
Angriffe in der Praxis sind bisher nicht beobachtet, der Proof of Concept ist allerdings öffentlich.

So funktioniert der Defender-Treiber BTR.sys

BTR steht für Boot-Time Removal. Muss der Defender eine Datei entfernen, die im laufenden Betrieb gesperrt ist, hinterlegt er die Aufgabe und arbeitet sie beim nächsten Start ab. Der zuständige Treiber wird dafür aus einer Ressource in MpEngine.dll entpackt und geladen. Seine Arbeitsliste liest er verschlüsselt aus einem NTFS-Alternate-Data-Stream.

Check Point Research hat dieses undokumentierte Format nachgebaut. Damit lässt sich dem Treiber eine eigene Liste unterschieben. Möglich sind laut der Analyse das Löschen von Dateien trotz exklusiver Sperren, das Verschieben von Dateien, das Löschen und Schreiben von Registry-Schlüsseln und -Werten sowie das Verändern von Dienstkonfigurationen. Ausgeführt wird das alles mit Kernel-Rechten in einer frühen Startphase, in der Schutzdienste noch nicht laufen.

Genau diese Reihenfolge ist der Kern des Problems: Wer den Treiber vor dem Virenschutz startet, kann dessen Bestandteile entfernen, bevor sie sich wehren können. Der Manipulationsschutz greift zu diesem Zeitpunkt noch nicht.

Zahlen, Daten, Fakten

Die wichtigsten Angaben aus den Berichten von Check Point Research und Microsoft:

Windows 7 bis Windows 11 25H2 - Spanne der Systeme, auf denen die Technik laut Check Point Research funktioniert
1.457.236.0 - Definitionsstand, mit dem Microsoft den Scan-Absturz behoben hat
rund 10 Stunden - Zeitraum am 18. August 2026, in dem betroffene Systeme keine Prüfung mehr abschließen konnten
CVE-2026-69414 - offene Defender-Lücke, für die es bislang keinen Patch gibt

Warum WDAC den Treiber nicht sperrt

Bei missbrauchbaren Treibern ist die übliche Antwort die Sperrliste: Microsoft nimmt den Treiber in die Vulnerable Driver Blocklist auf, oder Administratoren sperren ihn per WDAC. Beides funktioniert hier nicht. BTR.sys gehört zum Defender selbst, eine Sperre würde die Bereinigung lahmlegen.

Ebenso fehlt der sonst nötige Zwischenschritt, einen fremden angreifbaren Treiber mitzubringen. Das Verfahren, in der Fachwelt als Bring Your Own Vulnerable Driver bekannt, wird schlicht nicht gebraucht, weil der passende Treiber bereits auf jedem System liegt.

Keine Schwachstelle, aber ein Risiko

Weil der Treiber genau das tut, wofür er gebaut wurde, gibt es weder eine Kennung mit Patch noch eine Sperrregel. Verteidigen lässt sich der Fall nur über Rechte und Erkennung.

Microsofts Sicherheitszentrum hat entschieden, dass der Fall keine sofortige Behebung erfordert, da ein Angreifer bereits Administratorrechte benötigt. Diese Einschätzung ist nachvollziehbar, greift in der Praxis aber zu kurz: Rechteausweitung ist unter Windows regelmäßig Thema, wie unser Beitrag zur Windows-Defender-Lücke RoguePlanet zeigt. Wer lokale Administratorrechte erlangt, hat mit BTR.sys einen bequemen Weg in den Kernel.

Der Defender-Ausfall vom 18. August

Wie schnell der Basisschutz stillstehen kann, zeigte sich zwei Tage vorher. Am 18. August 2026 brachen auf Windows-10- und Windows-11-Systemen Schnell- und Vollscans ab. Anwender sahen die Meldung, dass der Bedrohungsdienst beendet wurde; im Ereignisprotokoll stand eine Zugriffsverletzung mit dem Code 0xc0000005 im Prozess MsMpEng.exe.

Ursache war ein fehlerhaftes Update der Security Intelligence. Betroffen waren die Stände 1.457.222.0 bis 1.457.230.0. Microsoft bestätigte den Fehler und behob ihn mit dem Stand 1.457.236.0 oder neuer; die Empfehlung lautete, das aktuelle Update einzuspielen oder automatische Updates zu aktivieren. Bis zur Korrektur vergingen rund zehn Stunden, in denen auf betroffenen Geräten keine Prüfung mehr lief.

Ein Zusammenhang mit dem Absichern einer Defender-Lücke wird vermutet, ist von Microsoft aber nicht bestätigt. Für die Praxis zählt ein anderer Punkt: Der Ausfall war für Anwender kaum erkennbar, wenn niemand auf die Meldung achtete.

ShieldBreak: Defender-Lücke ohne Patch

Parallel dazu ist eine Lücke im Malware-Schutzmodul offen. Ein Sicherheitsforscher, der unter dem Namen Nightmare Eclipse auftritt, veröffentlichte am 12. August 2026 einen Proof of Concept mit der Bezeichnung ShieldBreak. Microsoft hat dafür am 14. August die Kennung CVE-2026-69414 zugewiesen und arbeitet an einem Update. Ein Patch liegt zum Stand dieses Beitrags nicht vor.

Die Lücke erlaubt einem lokalen Konto mit geringen Rechten den Aufstieg auf SYSTEM-Ebene. Angesetzt wird an der Art, wie der Defender Dateien beim Nachladen aus der Cloud prüft. Bestätigt ist die Ausnutzung auf Windows 11 25H2 und Windows Server 2025, betroffen sind nach Angaben der Forscher auch ältere Windows- und Server-Versionen. ShieldBreak umgeht dabei die Korrektur, die Microsoft im Juli für RoguePlanet (CVE-2026-50656) ausgeliefert hatte.

Empfehlungen für IT-Admins

1

Definitionsstand prüfen

Mindestens 1.457.236.0 muss überall installiert sein. Danach einen Testscan starten, statt sich auf die Versionsnummer allein zu verlassen.

2

Ausfälle sichtbar machen

Einen Alarm auf den gestoppten Dienst WinDefend und auf ausbleibende Scans einrichten. Ein stiller Ausfall ist das eigentliche Risiko.

3

Rechte trennen

Keine dauerhaften lokalen Administratorrechte für Anwender, getrennte Konten für administrative Aufgaben, die Berechtigung zum Laden von Treibern nur dort, wo sie gebraucht wird.

4

Auf die Spuren achten

Check Point Research empfiehlt Alarme auf das Anlegen eines Alternate-Data-Streams mit der Endung .sys:changelist (Sysmon-Ereignis 15), auf das Löschen von Sicherheitsdateien durch den Prozess System nach einem Treiberladevorgang, auf Dienste, die direkt in der Registry angelegt werden, sowie auf schnell erzeugte und wieder gelöschte BootClean.log-Dateien.

5

Zweite Ebene einziehen

Eine Lösung, die Ereignisse serverseitig auswertet, meldet den Ausfall eines Endpunkts auch dann, wenn der Schutz auf dem Gerät selbst abgeschaltet wurde.

6

ShieldBreak beobachten

Solange kein Patch vorliegt, bleibt nur, die Wege zur Rechteausweitung zu begrenzen und den Patchstand nach der Veröffentlichung zügig nachzuziehen.

Bedeutung für Geschäftsführung und Entscheider

Drei Ereignisse innerhalb einer Woche betreffen denselben Baustein: den Virenschutz, der auf nahezu jedem Windows-Gerät im Unternehmen mitläuft. Einmal fiel er durch ein fehlerhaftes Update aus, einmal ist eine Lücke offen, einmal lässt sich eine seiner eigenen Funktionen gegen ihn verwenden. Keines dieser Ereignisse ist ein Grund zur Panik, gemeinsam zeigen sie aber, dass ein mitgelieferter Schutz allein keine Zusage auf Sicherheit ist.

Wirtschaftlich betrachtet ist der Aufwand gering. Ein Alarm auf den ausgefallenen Schutzdienst, ein Rechtekonzept ohne dauerhafte Administratorrechte und eine zentrale Auswertung der Endpunkt-Meldungen kosten wenig und wirken sofort. Teuer wird der andere Fall: Ein Endpunkt, auf dem der Schutz seit Tagen stillsteht, fällt ohne Überwachung erst auf, wenn Schaden entstanden ist. Wie schnell aus abgeflossenen Zugangsdaten ein Geschäftsrisiko wird, zeigt unser Beitrag zu gestohlenen Zugangsdaten.

Eine gesetzliche Frist gibt es hier nicht. Offen bleibt allein die ungepatchte Lücke CVE-2026-69414, für die es bisher keinen Termin gibt. Die Frage an die Geschäftsführung lautet deshalb weniger „Haben wir einen Virenschutz?“ als „Wer merkt es, wenn er ausfällt?“

FAQ zum Microsoft Defender Treiber

Ist der Microsoft Defender Treiber BTR.sys eine Sicherheitslücke?

Nein. Der Treiber tut, was er tun soll. Missbraucht wird eine vorgesehene Funktion, weshalb Microsoft den Fall auch nicht als Schwachstelle mit Patch behandelt. Für die Verteidigung ist das nachteilig, denn eine Sperre über Blocklisten steht nicht zur Verfügung.

Kann ich BTR.sys deaktivieren?

Praktisch nicht. Der Treiber ist Bestandteil des Defenders und wird für das Entfernen gesperrter Dateien gebraucht. Wirksam sind stattdessen konsequente Rechtetrennung und eine Überwachung, die das Laden von Treibern und das Löschen von Sicherheitsdateien meldet.

Woran erkenne ich, ob mein System vom Defender-Ausfall betroffen war?

Im Ereignisprotokoll steht eine Zugriffsverletzung mit dem Code 0xc0000005 zum Prozess MsMpEng.exe, außerdem meldete Windows das Beenden des Bedrohungsdienstes. Mit dem Definitionsstand 1.457.236.0 oder neuer ist der Fehler behoben.

Reicht Microsoft Defender im Unternehmen aus?

Als Grundschutz ist der Defender solide, blind verlassen sollte man sich darauf nicht. Wichtig ist die Frage, wer bemerkt, wenn er ausfällt. Ohne zentrale Überwachung bleibt ein Ausfall auf einem einzelnen Gerät unbemerkt.

Fazit

Der Microsoft Defender Treiber BTR.sys zeigt eine unangenehme Eigenschaft moderner Schutzsoftware: Was Schadsoftware entfernen darf, kann auch Schutzsoftware entfernen. Zusammen mit dem Ausfall vom 18. August und der offenen Lücke CVE-2026-69414 ergibt sich eine klare Aufgabe für die kommenden Tage. Prüfen Sie den Definitionsstand, richten Sie einen Alarm auf den ausgefallenen Schutzdienst ein und beenden Sie dauerhafte Administratorrechte auf Arbeitsplätzen. Der Schutz auf dem Gerät bleibt wichtig, entscheidend ist jedoch, dass jemand hinsieht, wenn er nicht mehr arbeitet.

Weitere interessante Beiträge

IT-News

vCenter-Angriffe: CVE-2026-59310

13. August 2026

Zum Blogbeitrag

IT-News

Proxmox-Bug: Datenverlust durch Fehler beim Restore vom Backup Server

17. August 2026

Zum Blogbeitrag

IT-News

SMS-Authentifizierung in Entra ID endet Anfang 2027: Passkeys werden Standard

18. August 2026

Zum Blogbeitrag

Fanden Sie den Blogbeitrag hilfreich und interessant?

Vielen Dank für Ihre Rückmeldung!

Der Beitrag Microsoft Defender Treiber BTR.sys: Wenn der Schutz zum Werkzeug wird erschien zuerst auf mars solutions GmbH.

Cyber Security Workshop für Schulen und Bildungseinrichtungen

Steffen Voigt — Thu, 20 Aug 2026 06:39:00 +0000

Cyber Security Workshop für Schulen und Bildungseinrichtungen

von Steffen Voigt
August 20, 2026
08:39

Eine Schule verwahrt Zeugnisse, Gesundheitsdaten, Adressen und Geburtsdaten von hunderten Kindern. Sie verarbeitet Personaldaten, Förderbescheide und Fotos von Schulveranstaltungen. Damit arbeitet die Schule mit sensibleren Daten, als mancher Mittelständler. Doch statt bei einer eigenen IT-Abteilung, liegt die Verantwortung für Daten und Schutz meist bei einigen wenigen, engagierten Mitarbeitern.

Genau diese Lücke zwischen Datenmenge und -verwaltung macht Schulen und Bildungseinrichtungen zu einem attraktiven Ziel.

Dieser Beitrag gibt Aufschluss darüber, an welchen Stellen Cyberkriminelle an Schulen typischerweise Zugriff erhalten können, was der Ransomware-Vorfall an der Schul-IT der Stadt Speyer im Januar 2025 über die Folgen zeigt und wie der Cyber Security Workshop eine Ist-Analyse und Handlungsempfehlungen ermöglicht, ohne dass dafür ein aufwändiges IT-Projekt aufgesetzt werden muss.

Das Wichtigste zur IT-Sicherheit an Schulen im Überblick

Schulen verarbeiten besonders schützenswerte Daten, verfügen aber selten über eigene IT-Sicherheitsbeauftragte.
Die häufigsten Einstiegswege sind alltäglich: E-Mail-Anhänge im Sekretariat, ein gemeinsames Netz für Verwaltung und Unterricht, veraltete oder nicht mehr genutzte Zugänge und Backups im selben Netz.
Der Vorfall bei der Schul-IT in Speyer zeigt, welche Datenkategorien bei einem Cyberangriff auf Schulen tatsächlich betroffen sein können.
Nach DSGVO bleiben einer von einem Cyberangriff betroffenen Bildungseinrichtung 72 Stunden, um einen Datenabfluss der Aufsichtsbehörde zu melden.
Der Cyber Security Workshop prüft relevante Anforderungen aus sechs Themenfeldern – als strukturiertes Gespräch und technische Aufnahme.
Das Ergebnis ist eine Einschätzung in Klartext, eine Prioritätenliste für die IT und eine Argumentationshilfe gegenüber dem Schulträger.

Welche Daten eine Schule verwahrt

Der Datenbestand einer Schule oder Bildungseinrichtung ist in seiner Zusammensetzung äußerst sensibel.
Er enthält über Jahre hinweg nicht nur Kontaktdaten, sondern vielfältige und schützenwerte Informationen über Leiter, Lehrkräfte, Mitarbeiter, Eltern und Schüler.

Zeugnisse, Noten, Förderpläne und Gutachten
Gesundheitsdaten, Medikationshinweise und Schwerbehindertenausweise
Adressen, Geburtsdaten und Sorgerechtsangaben
Personaldaten von Lehrkräften und Verwaltungspersonal
Fotos von Schulveranstaltungen und Klassenlisten
Vertretungspläne, Cloud-Ablagen und Postfächer

Diese Daten liegen selten an einer einzigen Stelle. Sie können sich auf Verwaltungsrechner, Schulserver, Cloud-Dienste, private Endgeräte und gelegentlich auf USB-Sticks verteilen.

Die erste Frage im Cyber Security Workshop für Schulen lautet deshalb nicht „Welche Firewall haben Sie?“, sondern „Welche Daten haben Sie und wo liegen diese?“.

Angriffspunkte an Schulen

Die Einstiegswege für Cyberangriffe auf Schulen sind unspektakulär. Es sind oftmals keine hochspezialisierten Angriffe auf Spezialsoftware, sondern Alltagssituationen, die sich in fast jeder Einrichtung wiederfinden. Genau das macht sie so wirksam – aber mit den richtigen Maßnahmen gut beherrschbar.

Ein Klick im Sekretariat

Gefälschte Elternmails und Bewerbungen mit Anhang landen genau dort, wo jemand sie beruflich öffnen muss. Das Sekretariat kann Anhänge natürlich nicht grundsätzlich ignorieren – aber genau hier verbirgt sich oft ein Risiko.

Ein Netz für alle(s) ohne Trennung

Nicht klar segmentierte Netze und Nutzer – so kann der Rechner im Computerraum auf demselben Weg zu den Schülerdaten im Sekretariat führen. Eine konsequente und zielgerichtete Trennung ist meist die wirksamste Maßnahme.

Externe, mitgebrachte Geräte

Private Notebooks, Tablets und USB-Sticks können schädliche externe Daten beinhalten. Ohne verbindliche Regeln für mitgebrachte Geräte fehlt die Möglichkeit, das Risiko für eingeschleuste Bedrohungen einzugrenzen.

Offene und ungenutzte Zugänge

Oft gibt es noch Konten von Lehrkräften, Referendaren, Praktikanten und anderen Mitarbeitern, die längst nicht mehr an der Schule sind. Auch gibt es Fernwartungen, die für einen einzelnen Einsatz geöffnet und danach nicht geschlossen wurden.

Ein Passwort für mehrere Dienste

Steht ein Passwort einmal in einem Datenleck, kann es Türen zu Vertretungsplänen, der Cloud und Mailpostfächern gleichzeitig öffnen. Eine mehrstufige Anmeldung kann diesen Dominoeffekt verhindern.

Backups im selben Netz

Verschlüsselt die Schadsoftware die Daten, verschlüsselt sie die das Backup mit, insofern dieses im selben Netz erreichbar ist. Ein Backup ist erst dann sicher, wenn dessen Rücksicherung eingerichtet und getestet wurde.

Der Cyberangriff-Fall in Speyer

Ein reales Beispiel:
In der Nacht zum 15. Januar 2025 traf Ransomware nicht eine einzelne Schule, sondern das zentrale Schulnetzwerk – betrieben von einem externen IT-Dienstleister. Von dort aus erreichten die Angreifer rund 45 Schulen gleichzeitig, allein in Speyer 14 allgemeinbildende Schulen und die Berufsbildende Schule. Die Stadt kappte alle Verbindungen, um die Ausbreitung zu stoppen.

Über ein Jahr später, im März 2026, wurde bekannt: Die Daten stehen im Darknet.

Das Strafverfahren wurde im April 2026 eingestellt, ohne dass die Täter gefasst wurden. Für die betroffenen Familien bleibt der Datenabfluss dauerhaft bestehen – veröffentlichte Daten lassen sich nicht zurückholen.

Warum es so weit kam: Keine dieser Schulen hatte einen Fehler gemacht – sie hingen alle am selben System.

Genau hier entscheidet der IT-Dienstleister: Sind die Netze der einzelnen Schulen sauber voneinander getrennt? Wird nonstop alles überwacht und im Ernstfall in Minuten reagiert? Gibt es Sicherungskopien, die Angreifer nicht mitverschlüsseln können?

Die entscheidende Frage lautet deshalb nicht „Kann Ihnen das passieren?“, sondern „Was passiert bei Ihnen, wenn es passiert?“

Veröffentlichte Schülerdaten sind der einzige Teil eines IT-Sicherheitsvorfalls, der sich nicht reparieren lässt.
Systeme kann man neu aufsetzen, Daten aber – wie im Fall von Speyer – nicht zurückrufen.

Ralf Schwarzmaier, Geschäftsführer mars solutions

Die 72-Stunden-Frist nach der DSGVO

Wird bei einer Verletzung des Schutzes personenbezogener Daten ein Risiko für die betroffenen Personen erkennbar, bleiben nach Art. 33 der DSGVO der betroffenen Einrichtung 72 Stunden, um den Vorfall der zuständigen Aufsichtsbehörde zu melden. Die Frist beginnt, sobald der Vorfall bekannt geworden ist – nicht, sobald er als abgeschlossen verstanden wurde.

Wichtig zu wissen: Diese 72 Stunden sind kein guter Zeitpunkt, um zum ersten Mal über IT-Sicherheit zu sprechen.

Wer im Ernstfall erst klären muss, wo welche Daten liegen und wer entscheidungsbefugt ist – Schule oder Schulträger – kommt bei der Frist schnell an die Grenzen. Eine dokumentierte Zuständigkeitsregelung und eine aktuelle Datenübersicht sind deshalb, unabhängig von jeder Technik, bereits ein Sicherheitsgewinn.

Was ist der Cyber Security Workshop?

Ein Cyber Security Workshop für Schulen und Bildungseinrichtungen wird nach den Vorgaben des sogenannten „CyberRisikoCheck“ durchgeführt.

Der CyberRisikoCheck ist ein standardisiertes Verfahren zur Bewertung des IT-Sicherheitsniveaus.
Er wurde für kleine und mittlere Organisationen ohne eigene IT-Sicherheitsabteilung entwickelt – darunter können beispielsweise Schulen, Vereine, Praxen und Handwerksbetriebe fallen.

Grundlage für den CyberRisikoCheck ist die DIN SPEC 27076, eine vom Bundesamt für Sicherheit in der Informationstechnik (BSI) initiierte Spezifikation. Weitere Informationen dazu:

BSI: CyberRisikoCheck

Im Cyber Security Workshop werden konkrete Anforderungen aus sechs Themenfeldern abgefragt.
Der Ansatz ist bewusst nicht technisch: Es wird ein konstruktives Gespräch geführt, strukturiert gefragt und dokumentiert. Im Zuge dessen schaut sich ein Techniker unter strengen Vorgaben die Systeme an, was in der IT-Infrastruktur vorhanden ist und wo etwas fehlt.
Es sind demnach keine technischen Vorkenntnisse für die Durchführung des Workshops seitens der Schule erforderlich.

Es geht darum, zu informieren, aufzuklären, Transparenz zu schaffen
und Schulen und Bildungseinrichtungen für das Thema Cybersecurity zu sensibilisieren.

Die sechs Themenfelder des Cyber Security Workshops

Themenfeld	Worum es geht
Organisation und Sensibilisierung	Zuständigkeiten, Regelungen, Schulung der Beschäftigten, Umgang mit Vorfällen
IT-Systeme und Netzwerke	Netztrennung, Absicherung von Servern und Endgeräten, Fernzugriffe, WLAN
Identitäts- und Berechtigungsmanagement	Konten, Passwörter, mehrstufige Anmeldung, Ausscheiden von Personen
Datensicherung	Sicherungsumfang, Aufbewahrung, Trennung vom Produktivnetz, Wiederherstellungstests
Patch- und Änderungsmanagement	Aktualisierung von Betriebssystemen und Anwendungen, Umgang mit veralteter Software
Schutz vor Schadprogrammen	Virenschutz, E-Mail-Filterung, Umgang mit Anhängen und mobilen Datenträgern

Die Anforderungen sind bewusst so formuliert, dass sie auch dann beantwortbar bleiben, wenn die Schule keinen eigenen IT-Verantwortlichen hat.
Wo eine Antwort nicht möglich ist, ist das bereits ein Ergebnis – nämlich der Hinweis, dass eine Zuständigkeit oder eine Dokumentation fehlt.

Ablauf des Cyber Security Workshops

Der Ablauf ist bewusst schlank gehalten, damit der Arbeitsalltag ungestört weiterlaufen kann.
Nach einem kurzen, informativen Vorgespräch wird im Normalfall ein Tag für den Workshop angesetzt.

Termin und Teilnehmerkreis festlegen

Sinnvoll wäre ein IT-Beauftragter sowie optional die Schulleitung.

Bestand sichten

Vorhandene Unterlagen und Gegebenheiten zusammentragen: Netzplan, Geräteliste, Dienstleisterverträge, Sicherungskonzept, Datenschutzdokumentation. Vollständigkeit ist keine Voraussetzung.

Strukturierte Analyse

Die oben genannten Anforderungen aus den sechs Themenfeldern werden gemeinsam durchgegangen und der jeweilige Stand festgehalten.

Auswertung

Die Antworten werden in einer Einschätzung des IT-Dienstleisters zusammengeführt und die konkreten Handlungsempfehlungen nach Wirkung und Aufwand sortiert.

Ergebnisgespräch

Am Ende folgt die Vorstellung der Einschätzung und der Prioritätenliste in einer Form, die auch in einem Gremium der Bildungseinrichtung und gegenüber dem Schulträger verwendet werden kann.

Vier Kern-Fragen, die gestellt werden

Abgrenzung zum Penetrationstest

Die Begriffe CyberRisikoCheck und Penetrationstest/Pentest werden im Alltag häufig verwechselt, meinen aber unterschiedliche Dinge mit unterschiedlichem Aufwand. Daher eine kurze Übersicht, was den Cyber Security Workshop / CyberRisikoCheck von einem Penetrationstest unterscheidet.

Ein Penetrationstest versteht sich als geplanter, simulierter Cyberangriff auf eine IT-Infrastruktur, ein Computersystem, ein Netzwerk oder auch eine IT-Anwendung.
Der Cyber Security Workshop für Schulen zeigt Ihnen wiederum, wo eine Schwachstelle sein könnte, erarbeitet eine klare Einschätzung des Ist-Zustands und gibt konkrete Handlungsempfehlungen.

Was der Cyber Security Workshop beinhaltet

Eine strukturierte Selbstbewertung mit externer Begleitung
Ein Gespräch entlang von standardisierten Anforderungen
Eine Standortbestimmung ohne technische Vorkenntnisse
Ein neutraler, nachvollziehbarer Nachweis des erreichten Stands
Eine Grundlage für Priorisierung und Budgetgespräche

Was der Cyber Security Workshop nicht beinhaltet

Kein Penetrationstest und keine Schwachstellen-Schau
Keine technischen Veränderungen in laufenden Systeme
Kein Zertifikat und kein Prüfsiegel
Kein Projekt, das den Unterricht anhält
Kein Ersatz für ein IT-Sicherheitskonzept

Was nach dem Workshop vorliegt

Einschätzung der Lage

Verständlich formuliert, ohne Fachjargon – so, dass die Ergebnisse auch im Schulgremium vorgelesen werden können. Der Bericht benennt, was aktuell in der IT tragfähig ist und was an Maßnahmen fehlt.

Prioritätenliste

Sortiert nach sofort, mittelfristig und später. Damit lässt sich mit begrenzten Mitteln oder Ressourcen in der richtigen Reihenfolge arbeiten, statt an mehreren Stellen gleichzeitig zu beginnen.

Argumentationshilfe

Ein neutraler Nachweis des erreichten Stands. Es wird klar belegt, was Stand der Dinge ist, benennt Budgets und Zuständigkeiten und bietet eine gemeinsame, sachlich fundierte Grundlage.

Wichtig zu wissen:
Der Bericht des Workshops verbleibt bei der Schule.
Er ist kein Prüfergebnis, das irgendwo eingereicht werden muss, sondern ist ein Arbeitsdokument für die eigene Planung.

FAQ zur IT-Sicherheit an Schulen

Ist der CyberRisikoCheck ein Penetrationstest?

Nein. Es ist eine strukturierte Selbstbewertung mit externer Begleitung. Es wird nicht in Systeme eingegriffen oder technisch etwas verändert.

Braucht die Schule dafür technische Vorkenntnisse?

Nein. Die Anforderungen des CyberRisikoCheck nach DIN SPEC 27076 sind bewusst so formuliert, dass sie ohne IT-Ausbildung beantwortet werden können. Fehlt eine Information, ist selbst das ein Ergebnis.

Wer sollte am Workshop teilnehmen?

Empfohlen wird, dass ein IT-Beauftragter teilnimmt und optional die Schulleitung.

Was passiert mit den Ergebnissen des Workshops?

Der Bericht bleibt bei der Schule. Er ist ein Arbeitsdokument für die eigene Planung und eine Argumentationshilfe gegenüber dem Träger, kein Prüfergebnis für eine Behörde.

Ersetzt der Check ein IT-Sicherheitskonzept?

Nein. Er ist der Ausgangspunkt. Aus der Prioritätenliste können ein Konzept, ein IT-Notfallplan und konkrete Maßnahmen entstehen – der Check sagt, in welcher Reihenfolge das sinnvoll ist.

Wie oft sollte der Check wiederholt werden?

Sinnvoll ist eine Wiederholung, wenn sich Wesentliches verändert: neue Cloud-Dienste, ein Dienstleisterwechsel, ein Umbau der IT-Infrastruktur oder ein Wechsel in der IT-Zuständigkeit.

Fazit

Digitalisierung bringt viele Vorteile aber auch Gefahren mit sich:
Ein Angreifer braucht nur eine „offene Stelle“. Die gute Nachricht ist, dass die typischen offenen Stellen an Schulen bekannt sind: ein gemeinsames Netz für Verwaltung und Unterricht, ungenutzte, veraltete Zugänge oder nicht ausschließlich zentral verwaltete Geräte. Keine dieser Baustellen erfordert eine Großinvestition, aber jede erfordert, dass sie zuerst bekannt und benannt wird.

Genau das leistet der Cyber Security Workshop:
Eine Analyse des Ist-Zustands, klar formuliert, ohne unnötigen Aufwand, in nur einem Tag und mit klaren Handlungsempfehlungen.

Der Fall in Speyer legt offen, welche Datenkategorien im Ernstfall betroffen sein können und die 72-Stunden-Frist zeigt, wie wenig Zeit dann für das Management des Notfalls bleibt. Beides sind Argumente dafür einen Checkup rechtzeitig anzugehen anstatt alles im Ernstfall nachholen zu müssen und Daten zu verlieren.

Weitere interessante Beiträge

IT-News

Patchday September 2026: 964 Lücken und zwei aktive Zero-Days

16. September 2026

Zum Blogbeitrag

IT-News

Revolut Datenleck: 680 Kunden nach gefälschter Behördenanfrage gehackt

17. September 2026

Zum Blogbeitrag

IT-News

Datenleck Berlin: 1,4 Millionen Dateien aus dem Landesnetz im Darknet

7. September 2026

Zum Blogbeitrag

Fanden Sie den Blogbeitrag hilfreich und interessant?

Vielen Dank für Ihre Rückmeldung!

Der Beitrag Cyber Security Workshop für Schulen und Bildungseinrichtungen erschien zuerst auf mars solutions GmbH.