Cybersicherheit-Rückblick

Mehrere Angriffe im Oktober begannen mit Zugängen, die jemand zuvor selbst eingerichtet hatte. In Dänemark machte der legitime Zugang eines privaten Unternehmens zum zentralen Melderegister die Daten von 8,8 Millionen Menschen zugänglich. In Japan wurde das gestohlene Konto eines Auftragnehmers genutzt, um NEC-Kunden anzugreifen, und über eine Schwachstelle im Login-System gelangte Ransomware in einen Cloud-Anbieter. Dieser Cybersicherheit-Rückblick für Oktober 2026 fasst die wichtigsten Vorfälle und ausgenutzten Schwachstellen zusammen, jeweils mit den Folgen für Unternehmen.

Cyberangriffe im Cybersicherheit-Rückblick Oktober 2026

Dänemarks zentrales Melderegister (CPR)

Das dänische Ministerium für Forschung, Bildung und Digitalisierung machte am 5. Oktober bekannt, dass im September ungewöhnliche Aktivitäten im nationalen Melderegister beobachtet worden waren und Unbefugte Zugang zu Daten erlangt hatten. Die CPR-Verwaltung erfuhr am Abend des 2. Oktober von den ungewöhnlichen Zugriffen und informierte laut Help Net Security am 4. Oktober die dänische Datenschutzbehörde. Laut Ministerium wurden Informationen zu rund 8,8 Millionen registrierten Personen abgerufen, darunter Einwohner, Verstorbene und ins Ausland gezogene Bürger: Namen, Adressen und CPR-Nummern. Help Net Security beschreibt die CPR-Nummer als die zehnstellige Kennung, die in Dänemark für Steuern, Gesundheitswesen und Bankgeschäfte gebraucht wird. Das Register umfasst etwa 11 Millionen Einträge. Namen und Adressen von Personen mit Namens- und Adressschutz seien nach Angaben des Ministeriums nicht betroffen.

Der Weg hinein war kein Einbruch in das Register selbst. Das Ministerium erklärte, die Täter hätten den legitimen Zugang eines privaten dänischen Unternehmens zur Registerabfrage missbraucht und sich dabei in dem Rahmen bewegt, den private Unternehmen abrufen dürfen. Der Zugang des Unternehmens wurde gesperrt, die Polizei ermittelt. Einen Verdächtigen nennt das Ministerium nicht. Der volle Umfang wird noch erfasst, und die Berichte zum Vorfall sagen nicht, wie viele der abrufbaren Datensätze tatsächlich kopiert wurden. Das Ministerium rät, Passwörter oder vertrauliche Informationen niemals am Telefon oder per E-Mail herauszugeben, auch wenn der Anrufer Name, Adresse und CPR-Nummer kennt; Help Net Security weist auf das Risiko von Betrugsversuchen hin.

Was das bedeutet: Ein legitimes, eng zugeschnittenes Konto genügte, um den Großteil eines nationalen Registers zu durchsuchen. Zugänge für externe Unternehmen brauchen eine Überwachung auf ungewöhnliche Abfragemengen, nicht nur eine starke Authentifizierung.

Fehmarnbelt-Tunnel: Auftragnehmer FLC

Sund & Bælt, das dänische Unternehmen hinter dem Fehmarnbelt-Tunnel zwischen Dänemark und Deutschland, teilte am 13. Oktober mit, dass Femern Link Contractors (FLC), einer der wichtigsten Auftragnehmer des Projekts, einen Cybervorfall erlitten hat. Laut Sund & Bælt traf der Angriff die IT-Systeme von FLC in der Nacht zum Montag, 12. Oktober. Dänischen Berichten zufolge wurden die Beschäftigten angewiesen, die Computer nicht zu benutzen, mehrere Schiffe lagen still, und das Projekt stand still. Bis zum 16. Oktober, so Sund & Bælt, wurde die Arbeit in mehreren Bereichen schrittweise wieder aufgenommen, die Erdarbeiten liefen ungehindert weiter, und die nationale Einheit für Sonderkriminalität ermittelt.

Am 2. November bekannte sich eine Hackergruppe öffentlich zu dem Angriff. Sie gibt an, rund einen Monat Zugang gehabt zu haben, 2,44 Terabyte vertrauliche Daten zu besitzen und diese zum Verkauf anzubieten. Zum Zeitpunkt des Schreibens sind diese Behauptungen nicht überprüft. Das Ausmaß eines möglichen Datenverlusts und die Folgen für den Bauzeitplan sind nicht abschließend geklärt und können sich ändern.

Was das bedeutet: Die Büro-IT eines Auftragnehmers kann die Arbeit auf der Baustelle stoppen. Die Kontinuitätsplanung muss die Systeme der Zulieferer einschließen, nicht nur die des Bauherrn.

Japan: IDCF Cloud und Osaka Metropolitan University

Zwei japanische Vorfälle zeigen, was ein kompromittierter Dienstleister bei seinen Kunden anrichten kann. Am 7. Oktober traf Ransomware die IDCF Cloud von IDC Frontier und betraf 495 Unternehmen und Kommunalverwaltungen. Dem siebten Bericht von IDCF vom 27. Oktober zufolge, der die Untersuchung als abgeschlossen bezeichnet, drangen die Angreifer über eine Schwachstelle in Open-Source-Software in das Authentifizierungssystem des Kundenportals ein, erlangten Administratorrechte über die Virtualisierungsplattform und verschlüsselten virtuelle Server. IDCF fand keine Hinweise auf einen Datenabfluss aus den virtuellen Servern der Kunden, bestätigte aber, dass Registrierungsdaten im Kundenportal bei bis zu 71 Kunden unbefugt abgefragt wurden. IDCF erklärte, eine Wiederherstellung der betroffenen Zonen in ihrer ursprünglichen Umgebung werde voraussichtlich schwierig, und bot eine Migration in eine Ersatzumgebung sowie das Auslesen von Backups an; für 206 der 495 Kunden konnten laut IDCF Backup-Daten ausgelesen werden.

Die Osaka Metropolitan University traf es früher, am 2. Oktober. Ransomware erreichte die Virtualisierungsplattform; Medienberichten über die Pressekonferenz der Universität vom 5. Oktober zufolge fielen rund 500 Server aus, und die meisten Backups wurden verschlüsselt. Nach den Mitteilungen der Universität waren unter anderem E-Mail, das Studierendenportal und Systeme der Studienverwaltung betroffen, der Präsenzunterricht lief am 9. Oktober mit Übergangssystemen wieder an. Am 5. Oktober teilte die Universität mit, dass rund 130.000 Datensätze aus dem Studienverwaltungsbereich auf dieser Plattform abgeflossen sein könnten. Sie prüft noch, ob das tatsächlich geschah. Am 21. Oktober teilte sie mit, dass ihr Betreiber NEC ihr den Einstiegsweg mitgeteilt hatte: Ein für NEC tätiges Unternehmen war Ende September gehackt worden, und sein legitimes Konto wurde genutzt, um in die Systeme der Universität zu gelangen. NEC meldete, dass mehrere Kunden betroffen waren und dass Dateien in seinem Cloud-Speicher mit personenbezogenen und systembezogenen Informationen abgeflossen sind. Die Universität gab weiter, dass NEC gemeldet habe, die abgeflossenen Dateien enthielten Informationen mit Bezug zur Universität; Details und Zahlen werden noch mit NEC geklärt.

Auch die Universität Osaka war von demselben NEC-Vorfall betroffen. Sie meldete, dass am 26. September Dateien mit den Daten von 77.851 Studierenden, Absolventen und Beschäftigten aus einem Cloud-Speicher heruntergeladen wurden, den NEC zum Austausch mit einem Partnerunternehmen nutzte, von dem die Universität nichts wusste.

Was das bedeutet: In diesen Fällen hing der Ausgang von den Zugangswegen, dem Dateiaustausch und dem Backup-Design des Dienstleisters ab, nicht von den eigenen Schutzmaßnahmen der Kunden. Kunden können das nicht beheben, aber sie können beim Anbieter nachfragen, wie der Zugang gesichert ist und welche Partner mit ihren Daten arbeiten, und ein Backup außerhalb der Umgebung des Anbieters führen.

UNM Health Sciences Center, New Mexico

Das University of New Mexico Health Sciences Center meldete am 26. Oktober ein Cybersicherheitsereignis. Nach eigenen Mitteilungen begannen die Sicherheitsteams gegen 11 Uhr mit der Eindämmung. UNM Health leitete zwischen 12:30 und 14:30 Uhr Rettungswagen um, setzte ambulante Operationen und Termine für den Rest des Tages aus und nahm die Systeme ab 14:30 Uhr schrittweise wieder in Betrieb. Lehrveranstaltungen der Gesundheitsfakultäten fielen am 26. und 27. Oktober aus, bis zum 28. Oktober liefen die klinischen Abläufe wieder vollständig.

UNM erklärte, das Ereignis habe einige Endgeräte betroffen, aber nicht die Kernsysteme oder Server durchdrungen, man habe an keine hinter dem Vorfall stehende Gruppe Zugeständnisse gemacht und Strafverfolgungsbehörden von Bundesstaat und Bund informiert. Die Behörden ermitteln weiter strafrechtlich, und UNM hat nicht mitgeteilt, ob Daten abgeflossen sind. Patienten, Studierende und Beschäftigte sollen sich außerdem nicht auf Kontaktversuche von Gruppen einlassen, die sich zu dem Vorfall bekennen, da Folgebetrug üblich ist.

Was das bedeutet: Ein Gesundheitssystem kann nicht einfach Systeme abschalten, deshalb zählt die Wiederanlaufzeit: Die Umleitung von Rettungswagen dauerte zwei Stunden, nach zwei Tagen liefen die klinischen Abläufe wieder vollständig. Möglich machen das eine schrittweise Wiederinbetriebnahme und eine geübte Reaktion.

Sony Network Communications, Japan

Sony Network Communications, die Sony-Tochter hinter den Internetdiensten So-net und plala, gab am 27. Oktober bekannt, dass ein Dritter auf die Mitgliederdatenbank zugegriffen hat. Dem Unternehmen zufolge fand der Zugriff am 19. Oktober statt und wurde am 23. Oktober bestätigt. Sony nennt 2.141.986 So-net-Datensätze und 443.495 plala-Datensätze, insgesamt 2.585.481. Das sind Datensätze, nicht zwingend verschiedene Personen, und auch ehemalige Mitglieder sind darunter. Betroffen sind Name, Telefonnummer, E-Mail-Adresse, Benutzer-ID, Geburtsdatum, Geschlecht und Internet-Verbindungs-ID, Mitgliedspasswörter seien laut Sony nicht dabei gewesen. Getrennt davon wurden E-Mail-Adressen samt Passwörtern von 54.401 Konten bei vier So-net-Maildiensten sowie Bankkontodaten in 16 Datensätzen offengelegt (die Passwörter wurden am 27. Oktober zurückgesetzt). Kreditkartendaten seien nicht betroffen, und Sony hat den Vorfall der japanischen Datenschutzkommission (Personal Information Protection Commission) gemeldet. Die Ursache beschreibt Sony nur als unbefugten Zugriff durch einen Dritten. Die Untersuchungen laufen.

Was das bedeutet: Kontaktdaten und Geburtsdaten wirken harmlos, liefern zusammen mit Namen aber, was Angreifer für glaubwürdiges Phishing brauchen, und offengelegte Postfachpasswörter erhöhen das Risiko weiter. Betroffene Mitglieder sollten andernorts wiederverwendete Passwörter ändern und unerwartete Nachrichten mit besonderer Vorsicht behandeln.

Wichtige CVEs im Cybersicherheit-Rückblick Oktober 2026

Im Oktober wurden vier Schwachstellengruppen in der Praxis ausgenutzt, alle im KEV-Katalog (Known Exploited Vulnerabilities) der CISA gelistet. Drei davon stecken in weit verbreiteter Infrastruktur: der Windows-Shell, einer VPN-Appliance und einer Firewall-Verwaltungsoberfläche. Die vierte steckt in Kollaborations- und Entwicklungswerkzeugen, die viele Teams selbst betreiben.

• Microsoft Windows Shell (CVE-2026-96951): eine Umgehung von Sicherheitsfunktionen, die Microsoft am Patchday vom 13. Oktober geschlossen hat und die bereits als Zero-Day ausgenutzt wurde. Betroffen sind Windows 10, Windows 11 und Windows Server 2012 R2 bis 2025. Die CISA nahm die Lücke am 13. Oktober in den KEV-Katalog auf.

  Es war die einzige bestätigt ausgenutzte Lücke in einem Release mit 1.407 CVEs, 78 davon als kritisch eingestuft. Laut Ivanti liegt das Release rund 44 Prozent über dem bisherigen Rekord vom September, und die Windows Shell war in diesem Jahr schon mehrfach Ziel von Zero-Day-Angriffen.

  Was zu tun ist: Bei einem so großen Release kommt es vor allem auf die Reihenfolge an, und die ausgenutzte Lücke kommt zuerst. Wer nicht alles auf einmal einspielen kann, nimmt sich danach die kritischen Remote-Code-Execution-Lücken in über das Netzwerk erreichbaren Diensten vor, laut Ivanti unter anderem DHCP Server, Message Queuing, Remote Desktop Services und QUIC.

• Ivanti Connect Secure (CVE-2026-104935, CVE-2026-111357 und CVE-2026-118527): eine Kette aus drei Schwachstellen. CVE-2026-104935 (CVSS 8,6) ist ein Authentifizierungs-Bypass. Ivanti hat ihn am 13. Oktober veröffentlicht und dabei auf begrenzte Ausnutzung hingewiesen; die CISA listete ihn am selben Tag.

  Ivanti wies außerdem darauf hin, dass der Fix für eine verwandte Rechteausweitung aus derselben Kette noch ausstand. Am 30. Oktober nahm die CISA, nachdem Ivanti am 29. Oktober Fixes für beide veröffentlicht hatte, CVE-2026-111357 und CVE-2026-118527 auf, die übrigen Teile der Kette. Volexity, das die Angriffe entdeckt hat, beschreibt, dass die Kette einem nicht authentifizierten Angreifer Root-Zugriff auf die VPN-Appliance verschafft.

  Was zu tun ist: Mit dem Patch vom 13. Oktober war die Arbeit nicht erledigt. Administratoren sollten prüfen, ob jede Appliance einen Build mit den Fixes vom 29. Oktober nutzt. Ivanti empfiehlt, das Integrity Checker Tool regelmäßig auszuführen, doch laut Volexity umgeht diese Kette es; ein unauffälliges Ergebnis schließt eine Kompromittierung also nicht aus, und eine forensische Untersuchung ist nötig. Ivanti empfiehlt außerdem, auf die 25.x-Linie zu wechseln, weil die 22.x-Linie am 31. Januar 2027 das Support-Ende erreicht.

• Palo Alto Networks PAN-OS (CVE-2026-0322, CVSS v4.0 8,6): eine Code-Injection-Lücke in der Verwaltungsoberfläche, über die ein authentifizierter Angreifer mit Netzwerkzugang Code als Root auf der Firewall ausführen kann. Betroffen sind die Firewalls der PA-Serie und VM-Serie sowie Panorama. Cloud NGFW und Prisma Access sind nicht betroffen.

  Als Palo Alto Networks das Advisory am 14. Oktober veröffentlichte, beobachtete das Unternehmen eine sehr begrenzte Ausnutzung; die CISA listete die Lücke am selben Tag. Einen Workaround gibt es nicht. Das Risiko ist laut Palo Alto Networks am höchsten, wenn die Verwaltungsoberfläche aus dem Internet erreichbar ist.

  Was zu tun ist: Neben dem Update empfiehlt das Unternehmen, den Zugriff auf vertrauenswürdige interne Adressen oder einen einzelnen Jump-Host zu beschränken.

• Atlassian-Produkte zum Selbsthosting (CVE-2026-21589, CVSS 9,3): eine Lücke beim beliebigen Dateizugriff, über die ein nicht authentifizierter Angreifer bestimmte Dateien im Web-Root selbst gehosteter Instanzen von acht Atlassian-Produkten lesen kann, darunter Jira, Confluence, Bitbucket und Crowd. Dazu muss er den genauen Dateinamen und Pfad kennen. Atlassian machte die Lücke am 5. Oktober bekannt und erklärte, nicht feststellen zu können, ob einzelne Kundeninstanzen kompromittiert wurden.

  Nachdem watchTowr am 6. Oktober eine technische Analyse veröffentlicht hatte, beobachtete das Sicherheitsunternehmen Previdian binnen etwa zwei Stunden Ausnutzungsversuche. Die CISA nahm die Lücke am 15. Oktober in den KEV-Katalog auf. watchTowr zeigte außerdem, dass ein Dateizugriff in manchen Crowd-integrierten Umgebungen Anwendungszugangsdaten offenlegen und zu Administratorzugriff führen kann.

  Was zu tun ist: Instanzen auf die im Atlassian-Bulletin genannten Fixversionen aktualisieren. Wo das Patchen warten muss, helfen die Gegenmaßnahmen von Atlassian, etwa das Blockieren der Traversal-Muster an einer Web Application Firewall oder einem Proxy. Atlassian rät, betroffene Instanzen aus dem Internet zu nehmen, bis sie gepatcht oder abgesichert sind; die Beschränkung auf bekannte IP-Adressen ist eine weitere Option.

Wenn legitimer Zugang zum Einfallstor wird

Mehrere Vorfälle im Oktober laufen auf Zugänge hinaus, die bereits existierten, nicht auf exotische Schadsoftware. Dänemarks Register wurde über den legitimen Zugang eines Unternehmens durchsucht. In die Osaka Metropolitan University gelangten die Angreifer mit dem legitimen Konto eines Auftragnehmers, und die Daten der Universität Osaka lagen in einem Cloud-Speicher, der mit einem unbekannten Partner geteilt wurde. Die Kunden von IDCF traf es über das eigene Login-System des Anbieters und dessen Kontrolle über die Virtualisierungsebene. In den meisten dieser Fälle war die Schwachstelle ein Zugang, der aus gutem Grund existierte und nicht streng genug begrenzt, überwacht oder entzogen wurde.

Eine Zugriffsinventur ist deshalb ein praktischer erster Schritt: Welche Partner, Auftragnehmer und Dienstleister kommen mit welchen Konten, von welchen Geräten und wie lange an Ihre Systeme oder Daten? Die CVEs weisen in dieselbe Richtung. VPNs, Verwaltungsoberflächen von Firewalls und Fernzugriffswerkzeuge sind die Türen, die Angreifer zuerst prüfen. Sie sollten nur dann aus dem Internet erreichbar sein, wenn es nicht anders geht, und ihr Patchen sollte nicht auf das nächste Wartungsfenster warten. Backups gehören außerhalb der Umgebung, die sie schützen, denn beide japanischen Vorfälle zeigen, dass Backups, die von derselben Plattform aus erreichbar sind, mit ihr verschlüsselt werden können.

Die Muster oben entsprechen Arbeit, die DIESEC jeden Tag leistet. Penetrationstests und Red Teaming prüfen die Zugangswege, die Angreifer in diesem Monat genutzt haben, etwa Partnerkonten, VPN-Gateways, Verwaltungsoberflächen und selbst betriebene Werkzeuge, so, wie es ein Angreifer tun würde. Managed Detection & Response mit NovaMDR™ und unser Security Operations Center helfen, den Missbrauch legitimer Konten und ungewöhnliche Abfragemengen zu erkennen, worauf es in den Fällen in Dänemark und Osaka ankam. Unterstützung bei Governance, Risk und Compliance hilft, die Verantwortung für Lieferanten- und Partnerzugänge festzulegen, auch im Rahmen von NIS2.

Wenn die Vorfälle im Oktober Fragen zur eigenen Angriffsfläche aufwerfen, etwa wer auf was zugreifen darf oder wie weit ein kompromittiertes Partnerkonto kommen würde, besprechen wir das gern mit Ihnen über unsere Kontaktseite.

Dieser Beitrag kann KI-generierte Bilder, Grafiken und/oder Fotos enthalten.