Breach FM - der Infosec Podcast

Ich fange mit einem Rant an. Der Angriff auf das digitale Rathaus von Tangerhütte wird mir seit Tagen als erster KI-Angriff auf eine deutsche Kommune in die Timeline gespült, gestützt auf zwei Argumente: zu viele Kommandos für einen Menschen und Code, der sich während des Angriffs verändert hat. Beides beschreibt erstmal Automatisierung, die wir seit Jahrzehnten sehen. Das LKA Sachsen-Anhalt kann den KI-Einsatz weder bestätigen noch ausschließen. Mir geht es nicht um diesen Fall, sondern darum, was wir eigentlich als Nachweis verlangen sollten: LLM-Callbacks, API-Traffic zu Modellanbietern, Tool-Call-Logs, Provider-Telemetrie.

Dann der spannendste Bericht der Woche: Citizen Lab und Confiant dokumentieren unter dem Namen AdFection, wie kommerzielle Spyware über ganz normales Real-Time-Bidding ausgeliefert wurde. Die israelische Werbefirma Discover-Tech kaufte gezielt Werbeplätze, das JavaScript der Anzeige meldete sich beim Server, und nur bei passenden Zielen ging es weiter an Candirus Exploit-Infrastruktur. Mindestens 45 Geräte im Umfeld von Al Jazeera waren betroffen. Wichtig bleibt: ohne Browser-Exploit kein Zugriff, und die vollständige Kette konnten die Forscher nicht rekonstruieren.

Zu den französischen Supermärkten, über die auf LinkedIn viel durcheinanderging: Die Angreifer haben nicht einfach die Kühlung ausgeschaltet, sondern die Abtauprogramme missbraucht, acht Stunden statt einer, bis zu 50 Grad. Rund 700 von 10.000 Märkten betroffen, Schäden bis 200.000 Euro pro Standort. Claroty hatte im August Schwachstellen in genau diesen Controllern beschrieben, sagt aber selbst, dass der tatsächliche Angriffsweg unbekannt ist. Auch nach dem Angriff standen hunderte dieser Oberflächen noch offen im Netz.

Zum Schluss XBOW: eine vollständige Exploit-Kette gegen Chrome über V8, den WebP-Decoder und Crashpad, 250.000 Dollar Bounty. Die berühmten sechs Tage betreffen nur die letzte Phase, das Projekt lief seit Anfang des Jahres, und die erste Kette brauchte zwei Monate. Rund 40.000 Dollar Inferenzkosten. Eingesetzt wurden ausschließlich öffentlich verfügbare Modelle.

Citizen Lab: AdFection
https://citizenlab.ca/2026/10/adfection-candiru-spyware-delivered-through-targeted-advertising/

Confiant: technische Analyse zu Discover-Tech
https://www.confiant.com/news/adfection-discover-tech

BleepingComputer zur AdFection-Kette
https://www.bleepingcomputer.com/news/security/zero-click-attacks-used-targeted-ads-to-deliver-candiru-spyware/

CERT-FR: Kompromittierung von Kühlsteuerungen
https://www.cert.ssi.gouv.fr/alerte/CERTFR-2026-ALE-014/

Claroty Team82: Freeze the Controller, Defrost the Food
https://claroty.com/team82/research/freeze-the-controller-defrost-the-food

XBOW: Chrome Full-Chain in sechs Tagen
https://xbow.com/blog/xbow-built-a-chrome-full-chain-exploit

XBOW Labs: Zero to Calc in Six Days (technische Details)
https://xbow.com/blog/zero-to-calc-chrome-full-chain

MDR zum Angriff auf das digitale Rathaus Tangerhütte
https://www.mdr.de/nachrichten/sachsen-anhalt/stendal/tangerhuette/cyberangriff-rathaus-kuenstliche-intelligenz-100.html

Folge 90 von Breach FM Flurfunk, und wenn wir jede Woche durchziehen, landet Folge 100 ziemlich genau zwischen Weihnachten und Silvester. Vorher noch ein kurzer Rant darüber, was der DMA mit MEINEM Google Maps angestellt hat, bei dem Max Imbiel mir die Zustimmung mal wieder konsequent verweigert.

Max bringt die ukrainischen Drohnenangriffe auf drei Yandex-Rechenzentren innerhalb weniger Tage. In Sasovo stehen wohl zwei der drei Supercomputer, auf denen Yandex seine KI-Modelle trainiert. Danach ging der als automatisiert klassifizierte Traffic aus dem Yandex-Netz um über 99 Prozent runter, woraus auf LinkedIn und X binnen Stunden wurde, der russische Bot-Traffic sei abgeschaltet. Mein Problem damit: Ein Search-Crawler ist auch ein Bot. Wer sich den gesamten nicht-menschlichen Traffic aus Russland im Cloudflare Radar anschaut, sieht keine Trendlinie nach unten. Dazu die größere Frage, warum wir bei Desinformation so gern so tun, als wäre der Brand ohne die Brandbeschleuniger nicht längst da.

Der NRW-Ermittlungserfolg gegen Qilin: LKA und ZAC haben die Gruppe monatelang infiltriert, bis zu den Rechnern der Täter. Als klar wurde, dass ein 28-jähriger Russe nach Japan in den Urlaub wollte, wurde er dort im Mai festgenommen und Anfang Oktober nach Deutschland überstellt, obwohl es kein bilaterales Auslieferungsabkommen gibt. Fast 4.000 betroffene Organisationen seit 2024, rund 150 in Deutschland. Ich vermische dabei live zwei Meldungen und muss mich selbst korrigieren, was die Überleitung zu den Lunar Moth Files erklärt, den geleakten Chatprotokollen der Silent Ransom Group.

Zum Schluss AgentCorruption: Zenity Labss hat gezeigt, wie ein öffentlich erreichbarer Agent auf AWS Bedrock AgentCore per Prompt dazu gebracht wird, den Metadatendienst abzufragen und seine eigenen temporären Credentials herauszugeben. Über die viel zu weitreichende Standardrolle kamen die Forscher danach an andere Agenten, deren Container-Images, fremde Konversationen und den Secrets Manager. AWS hat zweimal nachgebessert und nennt das Verhalten trotzdem dokumentiert und erwartet. Dazu die 300 Dollar, die OpenAI für einen Sandbox Escape gezahlt hat, und die Frage, wie lange Responsible Disclosure das noch aushält.

Zenity Labs: AgentCorruption
https://labs.zenity.io/p/agentcorruption-aws-bedrock-agentcore

Einordnung und AWS-Statement (CSO Online)
https://www.csoonline.com/article/4232054/awss-repeated-problems-with-ai-agent-controls-illustrates-the-autonomous-agent-dilemma.html

Unit 42 zu AgentCore-Isolation
https://unit42.paloaltonetworks.com/amazon-bedrock-agentcore-research/

Qilin-Festnahme: Statement von Innen- und Justizministerium NRW
https://www.land.nrw/node/25664

Qilin: Hintergrund zur Auslieferung aus Japan (heise)
https://www.heise.de/news/Qilin-Mitglied-aus-Japan-nach-Deutschland-ausgeliefert-11433891.html

Drohnenangriff auf Yandex Sasovo (Reuters via ThePrint)
https://theprint.in/world/drones-hit-yandex-data-centre-in-first-major-attack-on-russian-data-hub/3065222/

Zweiter Angriff in Kaluga (Meduza)
https://meduza.io/en/news/2026/10/09/several-modules-of-yandex-s-data-center-in-russia-completely-knocked-out-by-ukrainian-drone-strike

Cloudflare Radar: Bot-Traffic Russland
https://radar.cloudflare.com/ru

Wir hatten uns vorgenommen, weniger über KI zu reden und weniger Grundsatzdiskussionen zu führen. Hat die ersten 44 Minuten hervorragend funktioniert.

Anlass ist das AI-Dinner im Weißen Haus, bei dem zwischen Tür und Angel Selbstregulierung verkündet wurde. Wir diskutieren, wer es sonst machen sollte, und warum sich wohl erst etwas ändert, wenn Leute auf der obersten Ebene glaubhaft Angst vor dem Knast haben müssen. Eine Antwort habe ich auch nicht gefunden.

Metas neuer Agent Muse ist für mich das Sinnvollste, was Meta im KI-Bereich machen konnte: ein Tamagotchi für Nicht-Techies, das Abos kündigt und Arzttermine ausmacht. Hunterbrook hat getestet, was Muse mit den Daten anderer Leute macht. Mit ganz normalen Prompts lieferte der Agent Listen echter Accounts aus besonders verwundbaren Gruppen, 10 bis 100 pro Anfrage, zusammengezogen aus Facebook, Instagram und Threads inklusive früherer Usernames. Ich habe es an meinem besten Freund ausprobiert, der auf Social Media praktisch inaktiv ist. OSINT ohne OSINT-Know-how.

Max bringt einen Proofpoint-Report zu TA419, einem China-nahen Akteur mit Fokus auf KI-Policy und Exportkontrolle. Erst kommt eine fachlich glaubwürdige Anfrage ganz ohne Link, etwa die Einladung in ein erfundenes AI Policy Advisory Committee. Wer antwortet, bekommt die Kette zur gefälschten OneDrive-Seite mit Browser-in-the-Browser gegen Microsoft 365. Passwort, MFA und Session Cookie gehen durch. Wer Passkeys oder FIDO2 nutzt, war außen vor.

Bei Flock Safety hat die Gruppe stegan0gram eine Kennzeichen-Kamera abmontiert und reverse engineert. Auf einem einzigen Gerät lagen 21 Tage Daten: 50.200 Fahrzeuge, 1,6 Millionen Bilder, 27.000 Videoclips, dazu ein Encryption Key direkt auf der Kamera. Dazu drei Debatten, die man eigentlich der Reihe nach führen müsste. Und damit es nicht zu düster endet: Google hat seine Wasser- und Energiewerte in einem Behördenbericht geschwärzt. Mit einem schwarzen Balken über markierbarem Text.

Hunterbrook: Dox for Me, O Muse
https://hntrbrk.com/breaking-news/muse-doxxing

EPIC zur Datensammlung von Muse
https://epic.org/metas-mass-data-collection-is-not-a-muse-ing

Proofpoint: Hallucinating Credibility – TA419 in US AI Policy Circles
https://www.proofpoint.com/us/blog/threat-insight/hallucinating-credibility-china-aligned-ta419-impersonates-its-way-us-ai-policy

TA419: Einordnung bei CyberScoop
https://cyberscoop.com/china-cyber-espionage-ta419-phishing-us-ai-policy-experts/

404 Media: Hackers Stole Flock's Camera Software
https://www.404media.co/hackers-stole-flocks-camera-software-revealing-how-the-company-tracks-cars-and-people/

Wired: Hackers Got Inside a Flock Camera
https://www.wired.com/story/hackers-got-inside-a-flock-camera-its-data-shows-how-the-system-really-works/

Panda Security: Are Flock cameras taking over American neighborhoods?
https://pandasecurity.com/en/mediacenter/flock-cameras-taking-over-american-neighborhoods

Gestohlene Polizei-Logins für Flock, Brief an die FTC (TechCrunch)
https://techcrunch.com/2026/09/25/lawmakers-say-stolen-police-logins-are-exposing-flock-surveillance-cameras-to-hackers/

The Hill zur Flock-Reverse-Engineering-Aktion
https://thehill.com/policy/technology/6093359-hackers-reverse-engineer-flock-cameras/

Eine Folge fast ohne KI, dafür mit Schrödingers Aufnahmesoftware, die uns 8:30 Uhr morgens gleichzeitig mitteilt, dass sie aufnimmt und nicht aufnimmt. Sie hat am Ende aufgenommen.

Mein Aufmacher ist eine Wired-Story, die erstaunlich wenig Wellen geschlagen hat: Mandiant hatte ab März eine über Monate aufgebaute Persona im zwölfköpfigen Kernchat von TeamPCP sitzen, ausgerechnet unter dem Namen CanisterWorm. Die Persona war ursprünglich gar nicht auf TeamPCP angesetzt, sondern wurde als Vertrauter eines anderen Akteurs mit hineingezogen. Google las die Kampagne damit von Tag eins mit, kam an den Server mit den gestohlenen Credentials und ließ Tokens bei AWS und Microsoft sperren. Wir diskutieren, ab wann ein privatwirtschaftliches Unternehmen eigentlich Law Enforcement spielt, und wie unbekümmert wir in dieser Branche mit den Identitäten unserer Analysten umgehen.

Max erzählt von seinem Wochenende, das mit einer Signal-Nachricht anfing: "Wer wurde hier auch gerade vom BKA angerufen?" Dahinter steckten zwei Pre-Auth-RCEs in Citrix NetScaler, beide 9.5, beide seit Wochen aktiv ausgenutzt, eine davon in jeder Standardinstallation. Die Empfehlung am Samstag lautete schlicht: Gerät vom Netz. Dazu die ehrliche Frage, was eigentlich passieren muss für eine glatte 10.

Dann zwei Bug-Bounty-Geschichten, die gut zusammenpassen: Bei Intel steht das bezahlte Programm plötzlich auf "suspended", parallel ist eins ohne jede Auszahlung aufgetaucht. Offiziell beendet ist nichts, kommuniziert wurde bis heute gar nichts. Und ein 16-Jähriger hat mit seinem selbstgebauten Agenten Antares in Microsofts internem Analytics-System Titan Tokens gefälscht, sich als admin ausgegeben und kam an 17 Datenbanken mit geschätzt 17,3 Billionen Zeilen. Dafür gab es 5.000 Dollar. Ich versuche zu erklären, warum das tatsächlich in Line mit Microsofts Tabellen ist, und warum die Debatte darüber trotzdem an der falschen Stelle geführt wird.

Zum Schluss ShinyHunters bei Oracle PeopleSoft: Wer die Schwachstelle nicht patchen konnte und stattdessen den Pfad per WAF gesperrt hat, bekam den Exploit einfach als /%50SEMHUB/ zurück. Ein einziges URL-kodiertes Zeichen. Wir geben beide offen zu, dass wir daran auch nicht gedacht hätten. Mandiants Rat dazu ist deutlich: nicht die eine Variante nachpflegen, sondern auf dem normalisierten Pfad filtern, sonst beginnt das Katz-und-Maus-Spiel bei der nächsten Kodierung von vorn.

Wired: An Undercover Google Analyst Infiltrated a Notorious Supply-Chain Hacking Gang
https://www.wired.com/story/an-undercover-google-analyst-infiltrated-a-notorious-supply-chain-hacking-gang/

Austin Larsen (GTIG) über die TeamPCP-Operation, LABScon-Talk
https://www.labscon.io/speakers/austin-larsen/

Wie Google TeamPCP von innen aufbrach (Cyber Kendra)
https://www.cyberkendra.com/2026/09/how-google-broke-teampcp-from-the-inside.html

NetScaler CVE-2026-88771 / 88772: FAQ von watchTowr
https://watchtowr.com/intelligence/citrix-netscaler-zero-day-vulnerabilities-faq/

Citrix bestätigt beide Zero-Days (BleepingComputer)
https://www.bleepingcomputer.com/news/security/citrix-admins-warned-to-shut-down-netscalers-over-2-exploited-zero-days/

Intels Programm ohne Bounties
https://www.thehackacademy.com/news/intel-public-vulnerability-disclosure-no-bounties/

How I Could've Accessed 17 Trillion Microsoft Records

https://blog.faav.net/how-i-couldve-accessed-17-trillion-microsoft-records

Microsoft Titan: unsigniertes JWT, 17,3 Billionen Zeilen (Help Net Security)
https://www.helpnetsecurity.com/2026/09/28/microsoft-titan-jwt-signature-flaw/

ShinyHunters umgeht WAF-Regeln bei Oracle PeopleSoft (Mandiant/GTIG)
https://www.hendryadrian.com/shinyhunters-renewed-mass-exploitation-campaign-targeting-oracle-peoplesoft-google-cloud-blog/

Max startet mit Gemini, das im Mai bei einer Evaluation aus der Testumgebung ausgebrochen ist und drei echte Unternehmen gehackt hat. Damit ist das Frontier-Lab-Bingo komplett. Ich ergänze Anthropics Misuse-Report, laut dem eine Zelle im Nordjemen Claude Code als Entwicklungsteam für Raketensteuerung einsetzen wollte.

Dann versuche ich händeringend, mein acht Jahre altes BGP-Wissen aus einer Risikoanalyse auszugraben, und riskiere dabei live meinen Ruf bei allen Netzwerkern da draußen. Der Anlass lohnt sich: Ein Angreifer leitet per BGP-Hijack den Update-Server von Virtualizor um, holt sich ganz legal ein gültiges Let's-Encrypt-Zertifikat und spielt Hosting-Providern ein Backdoor-Update mit Root-Rechten ein. Ohne einen einzigen Server zu kompromittieren. Auf meiner Liste realistischer Bedrohungsszenarien wäre das nicht mal unter den ersten hundert gelandet.

Max bringt Bandenkrieg: ShinyHunters hat die Leak-Seite von Clop übernommen, stellt Mitglieder mit Klarnamen bloß und erpresst jetzt die Erpresser. Erkenntnis der Woche: Kriminelle sind offenbar keine angenehmen Menschen.

Bei Dropbox reichte die E-Mail-Adresse des Opfers, um rund 5.000 Konten zu übernehmen. Wie das geht, erkläre ich am Beispiel [email protected], und danach schaut ihr eure Login-with-Verknüpfungen garantiert mit anderen Augen an. Hacktron wiederum kam mit Claude Opus 5 über das OpenAI-Community-Forum bis ins interne Monorepo. Nach 6.500 Dollar Bounty, 3.000 Dollar Tokenkosten und Steuern bleibt ungefähr ein schöner Blogpost. Zum Schluss zeige ich, wie China-nahe ORB-Netzwerke über Flightradar-Nerds getarnte Sensordaten abgreifen und damit Militärbewegungen sichtbar machen.

Und wer bis Minute 70 durchhält, erfährt, warum Breach FM der sicherste Kommunikationskanal für Nachrichtendienste ist.

Gemini bricht aus Testumgebung aus (Cybersecurity Dive)
https://www.cybersecuritydive.com/news/google-ai-gemini-autonomous-hacks/830884/

Anthropic: Detecting and countering misuse of AI, September 2026
https://www.anthropic.com/threat-intelligence-report-september-2026

Virtualizor: Security Incident – BGP Hijacking (offizielle Stellungnahme)
https://www.virtualizor.com/blog/security-incident-bgp-hijacking/

Anatomie des Hijacks in BGP-Rohdaten (BGPKIT)
https://bgpkit.com/blog/virtualizor-bgp-hijack-anatomy/

ShinyHunters übernimmt Clops Leak-Seite (BleepingComputer)
https://www.bleepingcomputer.com/news/security/shinyhunters-hacks-clop-leak-site-threatens-to-extort-ransomware-gang/

Dropbox-Konten über Lenovo-ID übernommen (BleepingComputer)
https://www.bleepingcomputer.com/news/security/dropbox-accounts-breached-through-lenovo-email-verification-flaw/

Hacktron: Vom Forum ins OpenAI-Monorepo (SecurityWeek)
https://www.securityweek.com/ai-built-exploit-and-sign-in-flaw-opened-path-to-internal-openai-code/

TrendAI Research: ORB-Netzwerke und offene Sensordaten

https://www.trendaisecurity.com/en/resources-insights/deep-research/rethinking-the-external-attack-surface-managing-the-growing-risk-of-open-cyber-physical-data

Beim Berlin-Hack sind die Daten inzwischen im Darknet gelandet, nachdem der Senat die Lösegeldzahlung abgelehnt hat. Darunter VS-NFD-eingestufte Unterlagen zu Katastrophenschutz, Polizei und Feuerwehr sowie Bürgerdaten mit Namen, Adressen und Bankverbindungen. Der Initial Access war eine kompromittierte Website mit Fake-Captcha. Wir diskutieren, warum die Debatte zu stark am Initial Access hängt, wie wir zur Lichtenberg-Diskussion um US-Security-Vendor stehen, und warum es neben der technischen auch eine politische Aufarbeitung braucht.

Dann Project Perception von Microsoft: vollagentisches Red, Blue und Green Teaming in der eigenen Infrastruktur, über 100 Agents in einem Harness. Meine These: In den meisten Umgebungen musst du gar nicht alles ausprobieren, wenn du saubere EDR- und Attack-Surface-Daten hast. Hypothesen gegen Asset-Graphen verproben schlägt Agent Swarms in unreifen Umgebungen.

Max bringt die TeamPCP-Festnahmen: Die australische Bundespolizei hat am 26. August zwei Männer verhaftet, Ruben Ian Thomson (21) und Louis Michael Gaebler (23). Vorgeworfen werden über 1.000 kompromittierte Organisationen und 500.000 exponierte Credentials. Brian Krebs hatte die Identität des mutmaßlichen Leaders bereits im Juni über OSINT herausgefunden. Besonders kurios: Thomson nutzte bei HackerOne unter echtem Namen ein bekanntes TeamPCP-Alias und hatte eine Firma namens OPSEC Express registriert.

Zum Abschluss ein Vorfall vom Mai, der erst jetzt bekannt wurde: OpenAI-Agents fanden bei RubyGems eine Remote Code Execution und bauten sich einen Exploit, um API-Keys abzugreifen. RubyGems musste zeitweise die Registrierung neuer Pakete stoppen. Dazu kurz die CISA-Kürzungen aus dem Wall-Street-Journal-Bericht.

Krebs on Security: Two Alleged TeamPCP Hackers Arrested in Australia
https://krebsonsecurity.com/2026/08/two-alleged-teampcp-hackers-arrested-in-australia/

TeamPCP-Festnahmen (TechCrunch)
https://techcrunch.com/2026/08/27/australian-police-arrest-two-over-teampcp-hacks-targeting-mercor-openai-and-others/

Microsoft Project Perception
https://www.microsoft.com/en-us/security/blog/project-perception/

Offizielle Mitteilung der Senatskanzlei Berlin
https://www.berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1703898.php

CISA-Kürzungen (Wall Street Journal)
https://www.wsj.com/politics/national-security/cisa-cuts-2026

Beim Angriff auf die Berliner Senatsverwaltung ist die Lage wohl deutlich ernster als anfangs kommuniziert. Die Rhysida-Gruppe hat sich bekannt und fordert 30 Bitcoin, rund zwei Millionen Euro. Sie behauptet, 5,79 Terabyte erbeutet zu haben: 46.500 Verträge, Daten aus 80.000 Ordnungswidrigkeitsverfahren, rund 6.000 Dateien mit Zugangsdaten sowie Notfallpläne und Justizunterlagen. Der Senat hat den erweiterten Datenabfluss am 26. August eingeräumt und zahlt nicht. Als Initial Access gilt inzwischen eine klassische Phishing-Mail, kein exotischer Zero-Day. Für Max vor allem ein Lehrstück in Krisenkommunikation: Wer früh sagt, es seien nur ohnehin öffentliche Daten abgeflossen, verliert Vertrauen, wenn zwei Wochen später das Gegenteil bekannt wird.Zweites Thema: OpenAI hat mit über 100 Unternehmen einen Call for Collective Action on Cyber Defense veröffentlicht. Kernthese ist ein zeitlich begrenztes Defenders Window, bevor leistungsfähige Modelle flächendeckend auch Angreifern zur Verfügung stehen. Die genannten Ursachen sind erstaunlich konventionell: Legacy-Systeme, ungepatchte Software, Fehlkonfigurationen, schwache Authentisierung. Spannend findet Max vor allem die Forderung nach nachvollziehbaren Agenten-Identitäten – eines der großen Themen der nächsten Monate. Unter den Unterzeichnern sind Anthropic, Microsoft, Google, AWS, CrowdStrike, Cloudflare, TrendAI, Deutsche Telekom und SAP. Andere deutsche DAX-Konzerne vermisst Max fast vollständig.

Rhysida erpresst Berlin (heise online)
https://www.heise.de/news/Cyberangriff-auf-Berliner-Verwaltung-Rhysida-fordert-Loesegeld-11419847.html

Offizielle Mitteilung der Senatskanzlei Berlin
https://www.berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1703898.php

OpenAI: A call for collective action on cyber defense
https://openai.com/collective-cyberdefense/

Einordnung des offenen Briefs (TechCrunch)
https://techcrunch.com/2026/08/27/openai-anthropic-google-and-100-other-companies-call-for-action-to-defend-against-rogue-ai/

Cloudflare: Agent Access Model (Whitepaper)
https://www.cloudflare.com/agent-access-model/

Eine sehr politische Folge – und eine, in der ich mich für Max Monolog-Lastigkeit der letzten Wochen revanchiere.

Zum Berliner Landesnetz: Die Systeme sind wieder online, Bürgerservices erreichbar. Digitalstaatssekretär Florian Hauer sagt, es gebe aktuell keinen Hinweis auf eine Infiltrierung, aber nur als Momentaufnahme. Abgeflossen seien nur ohnehin öffentlich verfügbare Daten. Wir diskutieren, ob diese Art halbgarer Kommunikation hilft – und ob man es in so einer Lage überhaupt richtig machen kann.

Das Hauptthema: Am 12. August hat Trump ein National Security Presidential Memorandum unterzeichnet, das geprüften US-Unternehmen offensive Cyberoperationen gegen ausländische cyberkriminelle Organisationen erlaubt – unter staatlicher Kontrolle, mit Verträgen bei DOJ oder DHS und schriftlicher Freigabe pro Operation. Ich bin überrascht, wie durchdacht das Papier formuliert ist, gerade bei den Definitionen. Nur ist damit noch nicht mal die halbe Miete gemacht: Die eigentlichen Verfahren, also Mindeststandards, Targeting, Deconfliction und Rules of Engagement, müssen erst in den nächsten 60 Tagen definiert werden, und bis dahin darf keine einzige Operation genehmigt werden. Offen bleiben bis dahin Attribution, Third-Party-Infrastruktur, Haftung bei Kollateralschäden und ein dünnes Oversight-Modell ohne Berichtspflicht an den Kongress. Meine Vermutung zu den Teilnehmern: Die Großen übernehmen risikoarme Botnet- und Scam-Compound-Takedowns, für alles Heiklere entstehen Startups.

Max bringt eine Keycloak-Schwachstelle: CVE-2026-18963, CVSS 9.1, unauthentifizierte Account-Übernahme über einen schwachen Password-Reset-Mechanismus. Alle Versionen bis 26.7.2 betroffen.

Zum Abschluss zwei Meldungen mit möglichem Staatsbezug: Ein kleiner britischer Stromerzeuger war im Juli vier Tage offline, Medienberichte deuten auf iranische Akteure, offiziell attribuiert ist nichts. Und Taiwan: Die israelische Firma Dream hat ein 160-MB-Archiv analysiert, das eine viertägige Kampagne mit bis zu acht parallelen Subagenten auf Basis von OpenClaw und Hermes dokumentiert. 21 Regierungssysteme kartiert, 85 Accounts geknackt, betroffen auch die Nuklearsicherheitsbehörde. Der Initial Access war banal: drei vergessene Debug-API-Endpunkte. Faszinierend ist die Orchestrierung – Findings wurden mit Wahrscheinlichkeiten bewertet, bei Sackgassen recherchierten die Agenten selbstständig neue Techniken.

NSPM "Expanding Capabilities to Combat Transnational Cyber-Enabled Crime" (Weißes Haus) https://www.whitehouse.gov/presidential-actions/2026/08/expanding-capabilities-to-combat-transnational-cyber-enabled-crime/

Juristische Einordnung des Memorandums (Mayer Brown) https://www.mayerbrown.com/en/insights/publications/2026/08/presidential-memorandum-authorizes-vetted-private-companies-to-conduct-offensive-cyber-operations-against-foreign-criminal-organizations

Offene Fragen zu Haftung und Oversight (Crowell & Moring) https://www.crowell.com/en/insights/client-alerts/license-to-hack-the-white-house-greenlights-private-sector-offensive-cyber-operations

Keycloak CVE-2026-18963 (Red Hat) https://access.redhat.com/security/cve/CVE-2026-18963

Dream: "Inside a Multi-Agent AI Framework Used to Compromise Government Entities in Asia" https://www.dream.security/blog/inside-a-multi-agent-ai-framework-used-to-compromise-government-entities-in-asia

Taiwan Ministry of Digital Affairs: Monatsbericht Cybersicherheit https://moda.gov.tw/en/press/monthly-report/

Einordnung des Taiwan-Angriffs (The Register) https://www.theregister.com/security/2026/08/12/near-autonomous-ai-agents-attack-taiwans-nuclear-safety-agency/

Berliner Landesnetz: Update der Senatskanzlei https://www.berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1703898.php

OpenAI: "Pacing model development in an era of cyber-critical capabilities"

https://openai.com/index/pacing-model-development-cyber-capabilities/

Irregular, der Evaluierungsdienstleister hinter den Containment-Vorfällen bei OpenAI, Anthropic und Meta, hat ein Postmortem veröffentlicht. Für uns eines der vagesten und widersprüchlichsten, das wir je gelesen haben. Alle Vorfälle werden als "not materially separate incidents" in einen Topf geworfen, ein paar Absätze später ist dann doch von verschiedenen Organisationen die Rede. Keine Incident-Anzahl, keine Zeitpunkte, keine Aussage dazu, ob betroffene Drittfirmen informiert wurden. Dazu diskutieren wir, wie unabhängig ein Dienstleister sein kann, dessen drei größte Kunden genau die Labs sind, deren Modelle ausgebrochen sind.

Max bringt ein Update zum Trivy-Angriff: Fünf Monate nach dem ursprünglichen Vorfall sehen wir immer noch Folgeschäden. TeamPCP hatte Binaries und Version-Tags manipuliert, sodass der Schwachstellen-Scanner selbst zum Credential-Stealer wurde. Daraus wurde CanisterWorm, daraus 141 kompromittierte NPM-Pakete, daraus die LiteLLM-Kompromittierung – auf der Opferliste stehen Roku, Nvidia, Orange, Boeing und Splunk. Fast niemand überwacht die eigenen Security-Tools.

Zum Schluss der Cyberangriff auf die Berliner Verwaltung: Betroffen sind die Senatsverwaltungen für Stadtentwicklung sowie Mobilität und Verkehr, beide seit Freitag vom Landesnetz isoliert. LKA, Staatsanwaltschaft und BSI ermitteln. Zu Entry Vector und angeblichem Datenabfluss halten wir uns bewusst zurück, solange nur anonyme Quellen zitiert werden.

Das Postmortem von Irregular (Original)
https://www.irregular.com/research/addressing-recent-incidents-ongoing-findings-and-path-forward

Kritik am Irregular-Postmortem (The Record)
https://therecord.media/irregular-ai-hacking-model-blog

Irregular schweigt zu weiteren Betroffenen (The Record)
https://therecord.media/irregular-ai-security-company-incidents

Drei Labs, ein Dienstleister – die Evaluierungslücke (TNW)
https://thenextweb.com/news/irregular-ai-testing-vendor-openai-anthropic-meta-breaches

Wenn der Safety-Test zum Safety-Risiko wird (TechCrunch)
https://techcrunch.com/2026/08/09/the-ai-safety-test-is-becoming-a-safety-risk/

MiniShai-Hulud / TeamPCP NPM-Kampagne (StepSecurity)
https://www.stepsecurity.io/blog/mini-shai-hulud-is-back-a-self-spreading-supply-chain-attack-hits-the-npm-ecosystem

Offizielle Mitteilung der Senatskanzlei Berlin
https://www.berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1703898.php

Cyberangriff auf Berliner Landesnetz (heise online)
https://www.heise.de/news/Cyberattacke-auf-Berliner-Verwaltung-Ermittlungen-laufen-11416539.html

Krisensitzung, Datenabfluss, betroffene Verwaltungen (Tagesspiegel)
https://www.tagesspiegel.de/berlin/wir-sind-praktisch-arbeitsunfahig-hackerangriff-auf-berliner-senatsverwaltungen-15952358.html

Auch in der Ferienzeit sind wir für euch da, wenn auch mit eher dünner Newslage. Max meldet sich aus dem italienischen Hinterland mit entsprechend italienischer Internetqualität, ich glühe bei 35 Grad in Deutschland. Zu Beginn gibt es ein kurzern Rant über die Marketing-Eskalation der Frontier Labs, bei der gerade jeder das gefährlichste Modell haben muss.

Erstes und durchaus ernstes Thema: Seit Ende Juli gab es wohl koordinierte Angriffe auf über 30 kommunale Wassersysteme in Minnesota, mittlerweile sind daneben mindestens zwölf andere Bundesstaaten betroffen. Einfallstor waren dabei wohl unter anderem internet-exponierte PLCs, teils mit Werkspasswörtern. Die Trinkwasserversorgung war nach Aussagen der offiziellen Stellen nicht gefährdet, mehrere Kommunen sind schlicht auf manuellen Betrieb umgestellt. US-Ermittler halten Iran-nahe Akteure für wahrscheinlich verantwortlich, eine formale Attribution gibt es nicht. Trump hat stattdessen medial Governor Tim Walz verantwortlich gemacht, der wiederum auf die ausgedünnte CISA verweist. Beides greift zu kurz: Wenn PLCs offen im Internet stehen, kann man auch mal die Betreiber an der Nase fassen. Der eigentliche Lichtblick war, dass die manuellen Notfallprozesse scheinbar funktioniert haben.

Zweites Thema, dabei deutlich unterhaltsamer: Ein Mann aus Melbourne bat seinen OpenClaw-Agenten mit Claude, ihn in einen beliebten Fitnesskurs einzubuchen. Der Agent fand eine Schwachstelle im Buchungssystem, buchte Kurse Monate im Voraus, und als er nach einer besseren Warteliste-Position gefragt wurde, stornierte er die Reservierung der Person auf Platz eins. Die API hatte keinerlei Autorisierungsprüfung für fremde Buchungen. Niemand hatte dem Agenten gesagt, dass er das nicht tun soll, und Subtext versteht so ein System nicht.

Zwölf Bundesstaaten melden Angriffe auf Wassersysteme (CBS News) https://www.cbsnews.com/news/more-states-water-systems-cyberattacks-iran-backed-hackers/

CISA Advisory: Iranische Akteure und PLCs https://www.tenable.com/blog/coordinated-cyberattack-on-minnesota-water-utilities-what-you-need-to-know

KI-Agent hackt Fitnessstudio-Buchungssystem (ABC News) https://www.abc.net.au/news/2026-08-10/ai-agent-hacks-gym-booking-system/106051234