Cybersecurity-Rückblick August 2026

Dieser Cybersecurity-Rückblick August 2026 zeigt einen Monat, in dem sich einige der größten Sicherheitsvorfälle auf vertraute Schwachstellen zurückführen ließen: ein kompromittiertes Mitarbeiterkonto, ein übersehenes Kunden-Plugin und eine Infrastrukturüberwachung, die auf die falschen Signale achtete. Hier ein Überblick über die wichtigsten Cyberangriffe und Schwachstellen des Monats – samt unserer Einschätzung, was sie für Unternehmen jeder Größe bedeuten.

SafePal meldete ein Datenleck bei fast 40.000 Kunden seiner Krypto-Wallets. Ein Cyberangriff auf den Logistikkonzern CEVA wirkte sich bis zu bekannten Namen wie dem Fußballverein Ajax und Valves Steam-Hardware-Sparte aus. Die französische Finanzverwaltung bestätigte, dass gestohlene VPN-Zugangsdaten zum Diebstahl von fast 700.000 Steuerdatensätzen führten. Lettlands Fahrzeugzulassungsbehörde verlor trotz eines Rund-um-die-Uhr-Überwachungsvertrags Daten von 1,2 Millionen Menschen – mit dem Rücktritt des gesamten Vorstands als Folge. Und bei Manchester Airports Group wurden Kundendaten offen im Netz veröffentlicht, nachdem Angreifer Admin-Schlüssel entdeckt hatten, die frei einsehbar auf öffentlichen Webseiten lagen. Der August brachte außerdem fünf CVEs, die umgehend gepatcht werden sollten – bei Windows, Adobe Commerce, Zimbra, MLflow und Citrix NetScaler.

Cyberangriffe im Cybersecurity-Rückblick August 2026

Fünf einzelne Vorfälle im August 2026 – ein wiederkehrendes Muster: Identität, Drittanbieter, Anwendungssicherheit.

SafePal-Datenleck

SafePal, ein Anbieter von Krypto-Hardware- und Software-Wallets, gab am 16. August bekannt, dass eine Autorisierungslücke in der Bestellverfolgungsfunktion eines kundenseitigen Plugins Daten von rund 39.798 Kunden offengelegt hat. Betroffen waren Bestellungen zwischen dem 2. März 2025 und dem 11. April 2026; offengelegt wurden Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und Bestelldetails. SafePal erklärte, dass Seed-Phrasen, Private Keys, Wallet-Passwörter, Bankdaten, Zahlungskarteninformationen und amtliche Ausweisdaten nicht betroffen waren.

Das Ausmaß der Offenlegung wurde durch ein separates internes Problem vergrößert: Bestelldaten waren länger als vorgesehen gespeichert worden. SafePal hat die Aufbewahrungsfrist inzwischen auf 90 Tage reduziert, ein externes Sicherheitsunternehmen mit einem Audit beauftragt und mehr als 30 Phishing-Websites abgeschaltet, die mit den offengelegten Daten aufgebaut worden waren – ein klares Zeichen für das erhöhte Phishing- und Social-Engineering-Risiko der betroffenen Kunden.

Jede internetseitige Anwendung ist Teil der Angriffsfläche – unabhängig davon, ob sie Zahlungen verarbeitet, geistiges Eigentum speichert oder einfach nur Kunden das Verfolgen einer Bestellung ermöglicht. Der SafePal-Vorfall zeigt: Schwachstellenmanagement darf sich nicht allein auf das Patchen bekannter Lücken verlassen. Regelmäßige Penetrationstests bleiben essenziell, um fehlerhafte Autorisierungskontrollen und unsichere Geschäftslogik aufzudecken, die automatisierte Schwachstellenscanner häufig übersehen.

CEVA-Logistics-Cyberangriff

CEVA Logistics, einer der weltweit größten Drittanbieter für Logistikdienstleistungen mit Hauptsitz in Frankreich, wurde Opfer eines Cyberangriffs – Berichten zufolge zwischen dem 29. Juli und 1. August –, der den Betrieb in acht europäischen Lagerhäusern störte und Kundendaten offenlegte, die CEVA im Auftrag mehrerer nachgelagerter Kunden verarbeitet, darunter der niederländische E-Commerce-Konzern Bol, das Kaufhaus De Bijenkorf, der Brillenhändler Ace & Tate, der Fußballverein Ajax und Valves europäisches Steam-Hardware-Geschäft.

Die Folgen weiteten sich nach der ersten Offenlegung weiter aus. Ein ehemaliger CEVA-Mitarbeiter reichte in der Folge eine Sammelklage ein und wirft dem Unternehmen vor, gestohlene Mitarbeiterdaten nicht ausreichend geschützt zu haben; gefordert werden mindestens 5 Millionen US-Dollar Schadenersatz wegen Fahrlässigkeit und Verletzung eines stillschweigenden Vertrags. Diese Vorwürfe sind gerichtlich noch nicht geprüft.

Denken Sie Ihre Drittanbieter-Risiken konsequent zu Ende. Ein Logistikdienstleister, Lohnbuchhaltungsanbieter, eine Marketingplattform oder ein Managed-Service-Provider kann über Nacht zu einer Erweiterung der eigenen Angriffsfläche werden. Zu wissen, welche Drittanbieter Kundendaten verarbeiten, wo operative Abhängigkeiten bestehen und wie der eigene Notfallplan Störungen außerhalb des eigenen Netzwerks berücksichtigt, ist längst keine Kür mehr.

Datenleck bei der französischen Finanzverwaltung

Frankreichs Finanzverwaltung, die Direction Générale des Finances Publiques (DGFiP), bestätigte, dass ein Angreifer unter dem Namen ZeroBytes mit gestohlenen VPN-Zugangsdaten eines legitimen Mitarbeiters auf interne Systeme zugriff und dabei Daten von rund 678.000 Personen entwendete. Zu den gestohlenen Datensätzen gehörten Referenzeinkommen, Familienquotienten und Quellensteuersätze für Privatpersonen sowie Firmennamen und SIREN-Nummern für betroffene Unternehmen. ZeroBytes, ein finanziell motivierter Akteur, der bereits mit Angriffen auf Intermarché Drive und die Gaming-Plattform EVA GG in Verbindung gebracht wurde, bot die Datenbank am 12. August im Hackerforum PwnForums zum Verkauf an.

Bemerkenswert ist, dass der Angriff eines der sensibelsten Ressorts der französischen Regierung traf – und dafür nichts Ausgefeilteres brauchte als eine kompromittierte, aber legitime Identität. Finanzbehörden sind attraktive Ziele für finanziell motivierte Kriminelle und andere Akteure, weil sie umfangreiche personenbezogene und finanzielle Informationen verwalten.

Unternehmen gehen manchmal davon aus, dass VPNs, Identitätsplattformen oder andere Perimeterschutzmaßnahmen ausreichen, um sensible Systeme abzusichern. In Wirklichkeit sind diese Kontrollen nur so stark wie die Identitäten, die sie nutzen dürfen – und wie die Überwachung, die ungewöhnliches Verhalten überhaupt bemerkt.

Datenleck bei der lettischen CSDD

Lettlands Straßenverkehrssicherheitsdirektion (CSDD) bestätigte, dass Angreifer am Wochenende des 8./9. August eine zuvor ungepatchte und unentdeckte Schwachstelle in einer internetseitigen Anwendung ausnutzten, die Ärzte zum Hochladen medizinischer Bescheinigungen für Fahrer verwenden. Dabei wurden personenbezogene Daten von rund 1,2 Millionen Personen und 200.000 juristischen Personen entwendet – darunter Namen, Personalausweisnummern, Adressen, Fahrzeugkennzeichen und historische Zahlungsdaten.

CSDDs eigene Fachkräfte entdeckten den Angriff letztlich selbst und unterbanden ihn – allerdings erst, nachdem die gesetzlich vorgeschriebene 72-Stunden-Meldefrist bereits verstrichen war. Die Verzögerung und das Ausmaß des Vorfalls führten zum Rücktritt sowohl des CSDD-Vorstands als auch des Aufsichtsrats.

Besonders lehrreich: CSDD hatte durchaus Schutzmaßnahmen auf dem Papier. Ein fünfjähriger Vertrag mit dem Telekommunikationsanbieter Tet über rund 9 Millionen Euro sah ausdrücklich eine Rund-um-die-Uhr-Infrastrukturüberwachung inklusive Firewall-Schutz und Vorfallserkennung vor. Tet erklärte, die Überwachung des Datenverkehrs habe durchgehend funktioniert – ungewöhnliches Datenvolumen allein sei jedoch kein Indikator für einen Cyberangriff gewesen. Entdeckt und gestoppt wurde der Angriff letztlich von CSDDs eigenem Team, nicht durch Tets Überwachung. Ein Überwachungsvertrag ist nur so gut wie die konkreten Signale, auf die er tatsächlich ausgelegt ist. Sicherheitsverantwortliche sollten „Wir haben eine 24/7-Überwachung“ als Ausgangsfrage behandeln, nicht als erledigtes Thema, und genau festlegen, welche Bedingungen einen Alarm auslösen – und welche nicht.

Datenleck bei Manchester Airports Group

Manchester Airports Group (MAG), Betreiber der Flughäfen Manchester, London Stansted und East Midlands, bestätigte, dass Angreifer auf die persönlichen Daten von rund 8,7 Millionen Kunden zugriffen und Lösegeld forderten – das MAG nicht zahlte. Die Erpressergruppe FulcrumSec übernahm später die Verantwortung und erklärte, sie habe Administrator-API-Schlüssel erbeutet, die offen zugänglich im öffentlichen JavaScript-Code aller drei Flughafen-Websites lagen – statt durch einen technisch anspruchsvolleren Angriff.

Zu den kompromittierten Daten zählten Namen, E-Mail-Adressen, Telefonnummern, Wohnorte, Postleitzahlen und IP-Adressen im Zusammenhang mit Diensten wie Parkplatzbuchung, Lounges, Fast Track und Flughafen-WLAN – wobei für den Großteil der 8,7 Millionen Betroffenen lediglich die E-Mail-Adresse offengelegt wurde. Nachdem MAG die Zahlung verweigert hatte, veröffentlichte FulcrumSec zunächst rund 86 GB komprimierter Daten und hat inzwischen rund 550 GB unkomprimierter Daten offen im Internet veröffentlicht – nicht über eine Darknet-Leak-Seite, was die Zugänglichkeit erheblich erhöht.

Die Angriffsmethode verdient hier ebenso viel Aufmerksamkeit wie das Ausmaß: Ein fest im öffentlichen Website-Code hinterlegter Admin-Schlüssel ist eine grundlegende, leicht vermeidbare Schwachstelle – keine ausgefeilte Angriffstechnik. Angreifer sind zudem zunehmend bereit, maximalen Schaden anzurichten, selbst wenn die Erpressung scheitert: Die offene Veröffentlichung von Millionen Datensätzen statt eines diskreten Verkaufs erhöht die Wahrscheinlichkeit von Phishing und Betrug und untermauert gleichzeitig die Glaubwürdigkeit künftiger Lösegeldforderungen gegenüber anderen Opfern.

Kritische CVEs im Cybersecurity-Rückblick August 2026

Drei der fünf kritischen CVEs im August werden bereits aktiv ausgenutzt.

Dieser Cybersecurity-Rückblick August 2026 verzeichnete außerdem fünf CVEs, die umgehend gepatcht werden sollten – drei davon werden bereits aktiv ausgenutzt und sind in der Known-Exploited-Vulnerabilities-Liste der US-Behörde CISA gelistet.

• Citrix NetScaler ADC & Gateway (CVE-2026-19490, CVSS 9,3): Eine kritische Authentifizierungsumgehung in NetScaler-ADC- und -Gateway-Appliances, die als Gateway oder AAA-Virtual-Server konfiguriert sind – ein nicht authentifizierter Angreifer kann geschützte Ressourcen ohne gültige Zugangsdaten oder Nutzerinteraktion erreichen. Behoben in den Versionen 14.1-73.32 und 13.1-63.21 sowie neueren Releases; bereits Anfang September wurden Ausnutzungsversuche beobachtet. NetScaler-Appliances sitzen häufig am Netzwerkrand und schützen VPNs und Remote-Zugriffe – Authentifizierungslücken dort sind besonders gefährlich.
• MLflow (CVE-2026-64849, CVSS 9,3): Eine kritische, nicht authentifizierte Server-Side-Request-Forgery-Schwachstelle (SSRF) in der Webhook-Testfunktion von MLflow, die Versionen vor 3.15.0 betrifft. Die aktive Ausnutzung begann innerhalb weniger Stunden nach Vergabe der CVE-Nummer und ermöglichte den Zugriff auf Cloud-Metadaten sowie den Diebstahl aktiver AWS-, GCP- und Azure-Zugangsdaten; CISA nahm die Lücke am 19. August in ihren KEV-Katalog auf. Da KI- und Machine-Learning-Plattformen zunehmend in Unternehmensumgebungen zum Einsatz kommen, werden sie auch Teil der Angriffsfläche.
• Zimbra Collaboration Suite (CVE-2026-73570, CVSS 8,9): Eine nicht authentifizierte Remote-Code-Execution-Schwachstelle über die optionale SNMP-Benachrichtigungsfunktion von Zimbra, die Angreifern erlaubt, beliebige Befehle mit den Rechten des Zimbra-Nutzers auszuführen. Behoben in Zimbra Collaboration 10.1.20; die Lücke wurde am 21. August in den CISA-KEV-Katalog aufgenommen, und mindestens 267 Zimbra-Instanzen waren binnen weniger Tage nachweislich kompromittiert. E-Mail-Server bleiben hochwertige Ziele, da sie Zugang zu Kommunikation, Zugangsdaten und sensiblen Geschäftsinformationen bieten.
• Adobe Commerce (CVE-2026-71362, CVSS 9,1): Eine kritische Autorisierungslücke in Adobe Commerce, Commerce B2B und Magento Open Source, verursacht durch eine fehlerhafte Bindung der Kundenidentität an die Sitzung – ein nicht authentifizierter Angreifer kann dadurch ohne Zugangsdaten oder Nutzerinteraktion die aktive Sitzung eines anderen Kunden übernehmen. Behoben mit Adobes August-2026-Update; Ausnutzungsversuche begannen kurz nach der Offenlegung. Adobe Commerce betreibt tausende Onlineshops – zeitnahes Patchen ist für Onlinehändler besonders wichtig.
• Windows Ancillary Function Driver for WinSock (CVE-2026-68820, CVSS 7,0): Eine lokale Rechteausweitungs-Schwachstelle durch einen Use-after-free-Fehler im Windows-Kerneltreiber, der Netzwerk-Socket-Anfragen verarbeitet – ein Angreifer mit bestehendem Zugriff auf ein Gerät kann sich damit vollständige SYSTEM-Rechte verschaffen. Microsoft schloss die Lücke am 11. August; sie ist im CISA-KEV-Katalog gelistet, und Check Point Research bringt beobachtete Ausnutzung mit einer neuen Welle der nordkoreanisch zugeordneten Kampagne „Operation Dream Job“ gegen Verteidigungs-, Luft- und Raumfahrtunternehmen in Verbindung. Rechteausweitungslücken wie diese sind häufig die zweite Stufe von Ransomware- und Post-Exploitation-Angriffen.

Die Grundlagen richtig umsetzen

Regelmäßige Tests und Überwachung machen aus einer Behauptung eine überprüfbare Tatsache.

Dieser Cybersecurity-Rückblick August 2026 zeigt eine klare Lehre: Eine kompromittierte Identität, eine übersehene kundenseitige Anwendung oder ein Überwachungsvertrag, der nicht auf die richtigen Signale achtet, können ebenso viel Schaden anrichten wie jede Zero-Day-Lücke. Regelmäßige Penetrationstests decken Schwachstellen in internetseitigen Anwendungen auf, bevor Angreifer sie finden. Phishing-Simulationen helfen Mitarbeitenden, Social-Engineering-Versuche auf Basis gestohlener Zugangsdaten zu erkennen. Managed Detection and Response (MDR) sorgt dafür, dass „wir haben eine Überwachung“ im Ernstfall auch tatsächlich zu einem Alarm führt. Ebenso wichtig: Unternehmen sollten schriftlich festhalten, welche Signale die Überwachung eines Sicherheitsanbieters tatsächlich erkennen soll.

DIESEC unterstützt Unternehmen dabei, genau diese Grundlagen zu stärken – mit Penetrationstests, die internetseitige Infrastruktur und Drittanbieter-Integrationen abdecken, SOC-as-a-Service für kontinuierliche Überwachung mit messbaren Erkennungsergebnissen und maßgeschneiderten Phishing-Simulationen, die Teams gegen aktuelle Angriffsmuster testen.

Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihre Cybersicherheit verbessern können.