Monthly Threat Report Juli 2026

Autonome Ransomware, Rekordzahl an Patches und ein DMARC-Neustart

Author: Security Lab / 20.07.2026 / Threat Reports

Einleitung

Der Monthly Threat Report von Hornetsecurity by Proofpoint bietet Ihnen monatliche Einblicke in M365-Sicherheitstrends, E-Mail-basierte Bedrohungen und Kommentare zu aktuellen Entwicklungen im Bereich Cybersicherheit. Diese Ausgabe des Monthly Threat Reports konzentriert sich auf Branchenereignisse aus dem Monat Juni 2026. Als News- und Kommentarausgabe legt der Bericht in diesem Monat den Schwerpunkt stärker auf aufkommende Bedrohungen und Branchenforschung als auf statistische Datenabschnitte.

Ein Thema verbindet das meiste, worüber wir diesen Monat berichten: Künstliche Intelligenz ist inzwischen ein aktiver Akteur auf beiden Seiten der Sicherheitsgleichung. Forscher haben die erste Ransomware-Operation dokumentiert, die vollständig von einem autonomen KI-Agenten durchgeführt wurde, Microsoft hat den umfangreichsten „Patch Tuesday“ in der Geschichte des Programms veröffentlicht, wobei der Anstieg des Volumens zum Teil auf die KI-gestützte Erkennung von Schwachstellen zurückzuführen ist, und unser eigenes Threat Intelligence Lab hat ein Phishing-Kit aufgespürt, das eine Marke imitiert und für die Übernahme von Konten im großen Maßstab entwickelt wurde. Abschließend geben wir einen Überblick über die DMARC-Spezifikation der nächsten Generation, die zu einem passenden Zeitpunkt erscheint, da der Druck durch Identitätsmissbrauch und Authentifizierungsprobleme weiter zunimmt.

Zusammenfassung

Forscher haben mit JadePuffer die erste öffentlich bekannte Ransomware-Operation dokumentiert, die vollständig von einem autonomen Large Language Model (LLM)-Agenten gesteuert wurde. Der Agent übernahm Aufklärung, Diebstahl von Zugangsdaten, laterale Bewegung, Rechteausweitung und Verschlüsselung ohne menschliches Eingreifen und nutzte CVE-2025-3248 in Langflow für den Erstzugriff sowie CVE-2021-29441 in Alibaba Nacos während des Angriffs. Er verschlüsselte 1.342 Service-Konfigurationseinträge und diagnostizierte und behob in einer dokumentierten Sequenz einen fehlgeschlagenen Anmeldeversuch innerhalb von 31 Sekunden.
Microsofts Patch Tuesday im Juni behob mehr als 200 Schwachstellen und stellt damit die umfangreichste Einzelveröffentlichung in der Geschichte des Programms dar; darunter eine aktiv ausgenutzte Exchange Server Zero-Day-Schwachstelle. CVE -2026-42897 ermöglicht es einem nicht authentifizierten Angreifer, über eine speziell präparierte E-Mail beliebigen JavaScript-Code in einer Outlook-Web-Access-Sitzung des Opfers auszuführen. Betroffen sind lokale Versionen von Exchange Server 2016 und 2019 sowie die Subscription Edition.
Unser Threat Intelligence Lab hat eine ^Phishing-Kampagne analysiert, die sich unter dem Vorwand der Meta-Verifizierung gegen französischsprachige Eigentümer und Administratoren von Facebook-Seiten richtet. Das Kit missbraucht die Glaubwürdigkeit von Verifizierungsabzeichen, um nicht nur Zugangsdaten, sondern auch Multi-Faktor-Authentifizierungs-Codes (MFA) und Identitätsdokumente abzugreifen. Das deutet darauf hin, dass das Ziel eine vollständige Kontoübernahme ist und nicht nur der Diebstahl von Zugangsdaten.
Das Rekordvolumen an Patches wurde teilweise auf KI-gestützte Schwachstellenforschung zurückgeführt – genau die Art von Fähigkeit, über die wir bereits im vergangenen Monat im Zusammenhang mit Anthropics „Project Glasswing“ berichtet haben. Das Zusammenspiel aus KI-beschleunigter Entdeckung und KI-gesteuerten Angriffen verkürzt das Zeitfenster zwischen dem Bekanntwerden einer Schwachstelle und ihrer Ausnutzung.
Die IETF veröffentlichte eine DMARC-Spezifikation der nächsten Generation (RFC 9989), die die ursprüngliche RFC 7489 ersetzt. Das Update standardisiert die Erkennung von Unternehmensdomänen, präzisiert Richtlinienvererbung und -abstimmung und lagert das Reporting in begleitende Spezifikationen aus. Es erscheint zu einem Zeitpunkt, an dem Mailbox-Anbieter die Anforderungen an die Absenderauthentifizierung weiter verschärfen.

Bedrohungsüberblick

Meta-Verifizierungs-Phishing: Markenvertrauen als Waffe zur Kontoübernahme

Unser Threat Intelligence Lab hat eine Phishing-Kampagne identifiziert und analysiert, die sich als Meta ausgibt, um französischsprachige Facebook-Seitenbetreiber, Administratoren, kleine Unternehmen und Marketing-Teams anzugreifen. Unsere vollständige technische Analyse ist im Hornetsecurity Security-Blog verfügbar. Die Kampagne ist aus zwei Gründen bemerkenswert: Sie arbeitet mit einem positiven Vorwand statt mit einer Drohung und geht weit über den Diebstahl von Zugangsdaten hinaus und zielt auf vollständige Kontoübernahme ab.

Die meisten Phishing-Angriffe, die eine Plattform imitieren, setzen auf Angst, typischerweise mit der Warnung, dass ein Konto gesperrt wurde oder gelöscht wird. Diese Kampagne kehrt dieses Muster um. Der Köder stellt dem Empfänger etwas Begehrenswertes in Aussicht, nämlich die Möglichkeit, ein Verifizierungsabzeichen zu erhalten, und kombiniert dies mit einer milden Frist (eine Aufforderung „innerhalb von 24 Stunden zu aktivieren“). Vertrauen, Belohnung und leichte Dringlichkeit verbinden sich zu einem Vorwand, den ein vielbeschäftigter Seitenadministrator schwerer ignorieren kann.

Die Angriffskette

Die Kampagne verläuft nach einem strukturierten, mehrstufigen Ablauf:

Stufe 1: Der Angreifer versendet Phishing-E-Mails über Googles AppSheet-Plattform und nutzt die Absenderreputation eines legitimen Google-Dienstes, um die Zustellbarkeit zu verbessern und einfache Reputationsfilter zu umgehen.

Stufe 2: Empfänger, die klicken, werden über die Domain sw[.]run auf eine gefälschte „Meta Accounts Centre“-Oberfläche weitergeleitet, die auf einer vom Angreifer kontrollierten Infrastruktur unter finn2[.]xyz gehostet wird.

Stufe 3: Die Landingpage fordert Informationen schrittweise statt auf einmal an und fragt nacheinander Seitendetails, persönliche Informationen, Facebook-Zugangsdaten, MFA-Codes und Identitätsdokumente ab. Dieser gestufte Ansatz ähnelt einem legitimen Verifizierungsprozess und verringert die Wahrscheinlichkeit, dass ein Opfer den Vorgang abbricht.

Stufe 4: Die erfassten Daten werden clientseitig mit fest codierten Schlüsseln des Advanced Encryption Standard (AES) verschlüsselt und im „localStorage“ des Browsers unter den Schlüsseln __ck_clv1 bis __ck_clv6 zwischengespeichert. Anschließend werden sie als verschlüsselte Opferprofile an einen Backend-Endpunkt unter /api/authentication exfiltriert. Das Kit führt außerdem Abfragen zu externen IP-Adressen und Geolokalisierung über apip[.]cc durch, um jeden Opferdatensatz anzureichern.

Das Kit unterstützt Konfigurationen für zwölf Sprachen, darunter Englisch, Deutsch, Französisch, Spanisch, Italienisch, Niederländisch, Portugiesisch, Russisch, Chinesisch, Vietnamesisch, Japanisch und Koreanisch. Das deutet auf eine Operation hin, die für den wiederholten Einsatz in verschiedenen Regionen konzipiert ist – weit über die von uns beobachteten französischsprachigen Ziele hinaus.

Indikatoren für eine Kompromittierung (IOCs)

Vom Angreifer kontrollierte Infrastruktur: – hxxps://sw[.]run (Weiterleitung) - hxxps://finn2[.]xyz (gefälschtes Meta Accounts Centre)

Verbreitung und Datenerfassung: – Phishing-E-Mails zugestellt über Google AppSheet – Erfassung von Opferdaten über apip[.]cc

Host-Artefakte: – localStorage-Schlüssel __ck_clv1 bis __ck_clv6 – Exfiltrationsendpunkt/api/authentication

Warum das wichtig ist

Die Erfassung von MFA-Codes und Ausweisdokumenten ist das Detail, das diese Kampagne von gewöhnlichem Phishing nach Zugangsdaten unterscheidet. Das Abgreifen eines Passworts verschafft einem Angreifer einen Faktor. Das Abgreifen des Passworts, eines gültigen MFA-Codes und eines staatlichen Identitätsdokuments liefert einem Angreifer alles, was er braucht, um ein Konto zu übernehmen, zusätzliche Verifizierungsschritte zu bestehen und in vielen Fällen später auch den Kontowiederherstellungsprozess einer Plattform zu durchlaufen. Für ein Unternehmen, das Kundenbindung, Werbung und Markenpräsenz über eine Facebook-Seite steuert, ist der Verlust dieser Seite ein unmittelbarer operativer und reputationsbezogener Schaden.

Auch für Awareness-Schulungen ist die Nutzung eines positiven, belohnungsbasierten Vorwands relevant. Seit Jahren vermitteln wir Anwendern, bei Drohungen und Dringlichkeit misstrauisch zu sein. Ein Angebot für ein Verifizierungsabzeichen löst keines dieser Warnsignale aus. Die dauerhafte Lehre für Anwender ist einfacher und plattformunabhängig: Legitime Plattformbenachrichtigungen fordern nicht dazu auf, über einen Link in einer E-Mail ein Passwort, einen MFA-Code oder ein Foto des Ausweises einzugeben. Der Verifizierungsstatus sollte immer direkt auf der offiziellen Plattform über eine gespeicherte URL oder die mobile Appgeprüft werden, niemals über einen Link in einer E-Mail.

Wichtige Vorfälle und Branchenereignisse

JadePuffer: Der erste Ransomware-Angriff, der vollständig von einem KI-Agenten ausgeführt wurde

Am 4. Juli berichtete Bleeping Computer über JadePuffer und bezeichnete es auf Grundlage einer am 1. Juli veröffentlichten Untersuchung des Threat Research Teams von Sysdig als die erste dokumentierte Ransomware-Operation, die von Anfang bis Ende von einem LLM-Agenten statt von einem menschlichen Operator durchgeführt wurde. Infosecurity Magazine berichtete unabhängig davon über dieselben Erkenntnisse. In der Berichterstattung wird für diese Art von Angreifern der Begriff „agentic threat actor“ (ATA) verwendet: Nicht ein Mensch, der mit einem Toolkit arbeitet, sondern der KI-Agent selbst führt den Angriff durch.

Der Unterschied ist kein Marketing. Während des gesamten Angriffs erledigte der Agent alles selbst: Er erkundete die Umgebung, griff Zugangsdaten ab, bewegte sich auf benachbarte Systeme, richtete Persistenzmechanismen ein, verschaffte sich höhere Berechtigungen und verschlüsselte am Ende die Daten. Er passte sich in Echtzeit an Fehlschläge an – und zwar so, als würde sich ein menschlicher Operator durch Hindernisse arbeiten.

Die Angriffskette

Stufe 1: Der Angriff begann mit CVE-2025-3248, einer Schwachstelle in Langflow. Langflow ist ein beliebtes Open-Source-Framework zum Erstellen von LLM-Anwendungen, dass es einem nicht authentifizierten Angreifer ermöglicht, beliebigen Code auszuführen. Der Agent nutzte diesen Einstiegspunkt als Auslieferungskanal für die gesamte Operation und schleuste darüber alle nachfolgenden Payloads ein.

Stufe 2: Nach dem Eindringen kartierte der Agent den Host und machte sich auf die Suche nach Geheimnissen. API-Schlüssel von LLM-Anbietern, Zugangsdaten von Cloud-Providern und Datenbank-Logins standen alle auf der Liste. Er exportierte die PostgreSQL-Datenbank hinter Langflow und arbeitete sich anschließend durch einen angrenzenden MinIO-Objektspeicher, um Konfigurations- und Umgebungsdateien abzurufen.

Stufe 3: Um seinen Zugriff zu sichern, richtete der Agent auf dem Langflow-Host einen Cron-Job ein, der sich in 30-Minuten-Intervallen bei der Infrastruktur des Angreifers meldete.

Stufe 4: Von dort aus bewegte sich der Agent zu einem Produktionsserver weiter, auf dem eine MySQL-Datenbank und Alibaba Nacos (Naming and Configuration Service) gehostet wurden. Die Nacos-Instanz war für CVE-2021-29441 anfällig, eine Authentifizierungsumgehung, die der Agent nutzte, um ein Administratorkonto unter seiner eigenen Kontrolle zu erstellen.

Stufe 5: In der letzten Phase richtete der Agent die eigene Datenbank des Opfers gegen das Opfer selbst. Er führte MySQL-Funktion AES_ENCRYPT()auf den vollständigen Satz der 1.342 Service-Konfigurationseinträge in Nacos aus, löschte die ursprünglichen Konfigurations- und Verlaufstabellen und hinterließ seine Zahlungsforderung in einer neu angelegten Erpressungstabelle.

Der stärkste Hinweis dafür, dass kein Mensch an der Tastatur saß, stammt aus einem 31-Sekunden-Fenster während der Nacos-Übernahme, in dem der Agent an einem fehlgeschlagenen Administrator-Login scheiterte und ihn innerhalb von etwa einer halben Minute wieder funktionsfähig machte. In der Berichterstattung wird außerdem darauf hingewiesen, dass der Agent in den Payloads fortlaufende Kommentare zu seinen eigenen Zielen hinterließ und erläuterte, was jeder Schritt erreichen sollte. Menschliche Operatoren kommentieren flüchtige Einzeiler nicht auf diese Weise.

Die Lösegeldforderung selbst entlarvt den Vorgang. Die verwendete Bitcoin-Adresse ist die Beispieladresse, die in der gesamten Entwicklerdokumentation von Bitcoin verwendet wird und die der Agent offenbar aus seinen Trainingsdaten übernommen hat. Jedes Opfer, das bezahlt hätte, hätte Geld an eine Adresse gesendet, die der Angreifer nie kontrolliert hat. Auch der Verschlüsselungsschlüssel ist eine Sackgasse: Der Agent erzeugte ihn zufällig und speicherte oder exfiltrierte ihn nicht, sodass die verschlüsselten Konfigurationsdaten unabhängig von einer Zahlung nicht wiederhergestellt werden können.

Warum ist das so bedeutsam?

JadePuffer ist genau der Indikator, auf den viele in der Sicherheitscommunity gewartet haben. Die betroffene Umgebung war ein selbst gehosteter KI- und Daten-Stack mit aus dem Internet erreichbarem administrativem Zugriff und Standardzugangsdaten, also ein Ziel, das auch ein kompetenter menschlicher Angreifer kompromittiert hätte. Verändert hat sich, wer die Arbeit erledigt hat. Die zentrale Erkenntnis aus diesem Bericht ist, dass agentische Tools die Hürde für schwerwiegende Angriffe senken: Eine Operation wie diese erfordert keine Ransomware-Expertise mehr, sondern nur noch einen Agenten, der auf exponierte Infrastruktur angesetzt wird.

Das steht in direktem Zusammenhang mit einem Trend, über den wir im vergangenen Monat berichtet haben. In unserer Juni-Berichterstattung über Anthropics Project Glasswing stellten wir fest, dass die erste Generation von KI-entdeckten Schwachstellen, die in aktiver Ausnutzung statt im Rahmen koordinierter Offenlegung auftaucht, den Punkt markieren würde, an dem die offensive Seite der KI-Sicherheit aufgeholt hat. Ein autonomer Agent, der zwei bekannte Schwachstellen zu einer funktionsfähigen Erpressungsoperation verknüpft, ist ein weiterer Marker dafür. Diese beiden Fähigkeiten – KI-beschleunigte Entdeckung und KI-gesteuerte Angriffe –verkürzen die Zeitspanne zwischen dem Bekanntwerden einer Schwachstelle und deren Ausnutzung gegen ungeschützte Infrastruktur.

Die Abwehrmaßnahmen sind konventionell, und genau das ist der Punkt. Alles, was JadePuffer ausnutzte, ließ sich auf unspektakuläre Weise beheben: bekannte Schwachstellen wie CVE-2025-3248 patchen, Standardzugangsdaten und Signaturschlüssel regelmäßig ändern und administrative Oberflächen vom offenen Internet fernhalten. Agentische Tools verändern nicht die Checkliste, sondern das Tempo. Fehlkonfigurationen, die früher darauf warteten, dass ein menschlicher Angreifer zufällig darüber stolpert, werden nun mit maschineller Geschwindigkeit und Konsequenz gefunden und ausgenutzt.

Microsoft Patch Tuesday im Juni: Rekordveröffentlichung und eine aktiv ausgenutzte Exchange Zero-Day-Schwachstelle

Microsofts Patch Tuesday vom 9. Juni war der größte in der Geschichte des Programms. Bleeping Computer berichtete, dass dabei 200 Microsoft-Schwachstellen behoben wurden, während The Hacker News und Dark Reading eine Rekordzahl von 206 zählten, darunter eine kleine Anzahl von Nicht-Microsoft-Einträgen. Die Medien sind sich in einem wesentlichen Punkt einig: Es war ein Rekordmonat mit mehr als 30 als kritisch eingestuften Schwachstellen, und der Anstieg des Volumens wurde teilweise auf KI-gestützte Erkennung von Sicherheitslücken zurückgeführt.

CVE-2026-42897 betrifft On-Prem-Exchange

Da wir in dieser Publikation viele sicherheitsrelevante Informationen rund um M365 behandeln, verdient diese CVE besondere Aufmerksamkeit. Leser könnten Berichte über CVE-2026-42897 sehen und vom Schlimmsten ausgehen, aber diese Schwachstelle betrifft nur lokale Exchange-Versionen. Exchange Online ist NICHT betroffen.

CVE-2026-42897 ist eine aktiv ausgenutzte Spoofing-Schwachstelle in Exchange Server. Es handelt sich um eine Cross-Site-Scripting-Schwachstelle (XSS), die es einem entfernten, nicht authentifizierten Angreifer ermöglicht, beliebigen JavaScript-Code in einer Outlook Web Access-Sitzung des Opfers auszuführen. Für die Ausnutzung muss der Angreifer lediglich eine speziell vorbereitete E-Mail versenden und der Empfänger muss sie unter bestimmten Interaktionsbedingungen in Outlook Web Access öffnen. Betroffen sind lokale Exchange Server 2016, Exchange Server 2019 und die Exchange Server Subscription Edition.

Der zeitliche Ablauf ist bemerkenswert, da die Ausnutzung bereits vor der Veröffentlichung des Patches stattfand. CISA nahm CVE-2026-42897 am 15. Mai 2026 in seinen „Known Exploited Vulnerabilities“-Katalog auf und wies die Behörden der „Federal Civilian Executive Branch“ an, Gegenmaßnahmen umzusetzen. The Hacker News berichtete in derselben Woche, dass Microsoft über den Exchange Emergency Mitigation Service (EEMS) eine temporäre Mitigation bereitstellte, während eine dauerhafter Fehlerbehebung vorbereitet wurde. Microsoft veröffentlichte diese Behebung am 9. Juni. Für ältere Versionen ist ein Bereitstellungsdetail wichtig: Die Juni-Updates für Exchange Server 2016 und Exchange Server 2019 stehen nur Organisationen zur Verfügung, die in Phase 2 des Extended Security Update (ESU)-Programms eingeschrieben sind, während die Exchange Server Subscription Edition das Update direkt erhält. Noch einmal: Organisationen, die gehostetes Exchange Online nutzen, sind hier nicht betroffen. Es handelt sich um eine Schwachstelle im lokal installierten Exchange Server-Produkt, also genau um die Art internetexponierter Messaging-Schwachstelle, die Ransomware-Akteure wiederholt ausgenutzt haben.

Weitere wichtige Fehlerbehebungen

Über die Exchange-Schwachstelle hinaus enthielt die Veröffentlichung mehrere öffentlich bekannte Zero-Days, auf die sowohl Bleeping Computer als auch The Hacker News hingewiesen haben:

CVE-2026-45586: eine Schwachstelle zur Rechteausweitung im Windows Collaborative Translation Framework (CTFMON), die SYSTEM-Berechtigungen gewähren kann.
CVE-2026-49160: eine Denial-of-Service-Schwachstelle in Windows HTTP.sys, die als „HTTP/2 Bomb“-Angriff beschrieben wird, bei dem kleine, speziell gestaltete Anfragen den Server zu einer unverhältnismäßig hohen Speicherallokation zwingen.
CVE-2026-50507: eine Umgehung einer BitLocker-Sicherheitsfunktion.

Bleeping Computer berichtete außerdem über mehrere kritische Schwachstellen zur Remote-Codeausführung, die Microsoft Office, Outlook, Word und Excel betreffen, also die clientseitigen Oberflächen, die für Organisationen am relevantesten sind, die M365 nutzen. Da diese über bösartige Dokumente ausgelöst werden können, die per E-Mail zugestellt werden, gehören sie für jede Organisation, deren Hauptrisiko eingehende E-Mails sind, in dieselbe Prioritätsstufe wie der Exchange-Patch.

Warum das wichtig ist

In diesem Monat stechen zwei Punkte besonders hervor. Der erste ist die aktiv ausgenutzte Exchange Zero-Day-Schwachstelle, die in jeder Hinsicht höchste Patch-Priorität hat. Ein nicht authentifizierter Angreifer, der JavaScript in der authentifizierten Webmail-Sitzung eines Nutzers ausführen kann, ist in der Lage, E-Mails zu lesen, die Benutzeroberfläche zu manipulieren und sich so Zugang zu weiteren Konten zu verschaffen. Organisationen, die nicht sofort patchen können, sollten prüfen, ob die EEMS-Mitigationen aktiv sind, und dies als Notfallmaßnahme behandeln.

Der zweite Punkt ist das Rekordvolumen an Patches und der Grund dafür. Sowohl The Hacker News als auch Dark Reading führen den Anstieg der Patch-Zahlen auf KI-gestützte Schwachstellenerkennung zurück, also auf dieselbe Fähigkeit, die hinter den Project-Glasswing-Ergebnissen steckt, über die wir im Juni berichtet haben. Das ist die Seite der Verteidiger, während JadePuffer die Angreiferseite repräsentiert. Mehr Entdeckungen führen zu mehr Patches, was grundsätzlich gut ist, aber gleichzeitig vergrößert sich dadurch das Sicherheitsrisiko für Organisationen, deren Patch-Zyklen mit der Menge kritischer Fehlerbehebungen, die nun monatlich ausgeliefert werden, nicht Schritt halten können. Die Patch-Geschwindigkeit wird, insbesondere bei Systemen mit Internetanbindung, zunehmend zur Variable, die das Sicherheitsrisiko am unmittelbarsten bestimmt.

Die IETF veröffentlicht DMARC der nächsten Generation (RFC 9989)

Die wichtigste Entwicklung im Bereich der E-Mail-Authentifizierung ist im Moment die Einführung einer DMARC-Spezifikation der nächsten Generation. Domain-based Message Authentication, Reporting, and Conformance (DMARC) ist die Richtlinienebene, die empfangenden Mailservern vorgibt, wie sie vorgehen sollen, wenn eine Nachricht die Übereinstimmungsprüfungen mit SPF und DKIM nicht besteht, und sie regelt seit der ursprünglichen Spezifikation aus dem Jahr 2015 die Absenderauthentifizierung. Die IETF hat nun eine aktualisierte DMARC-Spezifikation mit der Bezeichnung RFC 9989 veröffentlicht, die die ursprüngliche RFC 7489 ersetzt.

Proofpoint hat einen Überblick über die Änderungen in „Next generation DMARC: what’s changing and why it matters“ veröffentlicht, verfasst von Craig Temple am 11. Juni, ergänzt durch eine ausführliche mehrteilige Serie zu Domain- und Richtlinienerkennung sowie zur Vorbereitung auf die Durchsetzung. Im Folgenden geben wir einen kurzen Überblick statt einer vollständigen Schritt-für-Schritt-Anleitung. Fachleute, die eine Migration planen, sollten sich an diesen Beiträgen und an der RFC selbst orientieren.

Laut der Zusammenfassung von Proofpoint lässt sich das Update am besten als ein Jahrzehnt operativer Weiterentwicklung und nicht als Neuerfindung verstehen. Die wichtigsten Änderungen lassen sich in drei Bereiche einteilen:

Standardisierte Erkennung von Unternehmensdomains. RFC 9989 ersetzt das bisherige, auf inkonsistentem, anbieterspezifischem Lookup-Verhalten basierende Verfahren durch eine standardisierte Methode zur Bestimmung der organisatorischen Grenze einer Domain. Das wirkt sich direkt darauf aus, wie Subdomains Richtlinien von ihren übergeordneten Domains erben, und schließt Lücken, die Angreifer bisher genutzt haben, um inkonsistenten Schutz vor Spoofing zu umgehen.
Klarere Zuordnung und Umgang mit indirekten E-Mail-Flüssen. Die Spezifikation verschärft die Zuordnungslogik, insbesondere im Hinblick auf die Unterscheidung zwischen lockerer und strenger Behandlung, und standardisiert den Umgang mit indirekten E-Mail-Flüssen wie Weiterleitungen und Mailinglisten, die seit Langem eine Quelle für falsche Fehlermeldungen sind.
Reporting in separate Spezifikationen ausgelagert. Aggregate Reporting (RUA) und Failure Reporting (RUF) wurden aus der Kernspezifikation in eigene Dokumente ausgelagert, damit sie sich unabhängig weiterentwickeln können. Berichte erhalten neue Kontextangaben im Hinblick auf RFC 9989, darunter Felder für die Erkennungsmethode und den Teststatus, und DKIM-Selektoren sind nun erforderlich, wenn DKIM-Ergebnisse gemeldet werden.

Warum das relevant ist

Der Zeitpunkt ist hier entscheidend. Große Mailbox-Anbieter haben in den vergangenen zwei Jahren die Anforderungen an die Absenderauthentifizierung schrittweise erhöht und Domaininhaber dazu gedrängt, Richtlinien auch praktisch anzuwenden. RFC 9989 beschleunigt diesen Wandel, indem langjährige Unklarheiten beseitigt werden. Das bedeutet, dass empfangende System Richtlinien konsistenter interpretieren und Authentifizierungsfehler sichtbarer und weniger abhängig von Implementierungsbesonderheiten einzelner Anbieter werden.

Für Verteidiger ist das insgesamt positiv, gerade mit Blick auf die Art von Identitätsmissbrauch, die wir weiter oben in diesem Bericht beschrieben haben. Brand-Impersonation und Phishing mit Verifizierungsabzeichen sind auch deshalb erfolgreich, weil eine inkonsistente Durchsetzung der Authentifizierung Raum für ähnliche und gefälschte Absenderdomains lässt. Eine strengere, standardisierte DMARC-Auswertung verringert diesen Spielraum. Der praktische Nachteil ist, dass Organisationen mit weit verzweigter oder schlecht inventarisierter Versandinfrastruktur während der Umstellungsphase möglicherweise häufiger erleben, dass legitime E-Mails unzuverlässig markiert werden, wenn ihre Anpassung nicht ordnungsgemäß erfolgt ist. Die jetzt erforderliche Arbeit ist unspektakulär und altbekannt: alle Versandquellen inventarisieren, die Konformität gemäß den neuen Erkennungsregeln überprüfen und auf eine Durchsetzungshaltung hinarbeiten bevor empfangende Systeme die Einführung des neuen Standards vollständig abgeschlossen haben. Eine bewährte DMARC-Management-Lösung kann bei diesem Prozess helfen.

Prognosen für die kommenden Monate

Agentic Threat Actors werden sich von ersten Proof of Concept-Aktivitäten zu einem regulären Bestandteil der Angriffswerkzeuge entwickeln. JadePuffer zeigt, dass ein KI-Agent bekannte Schwachstellen zu einer vollständigen Erpressungsoperation verknüpfen kann. Wir gehen davon aus, dass sich Folgeaktivitäten vor allem auf internetexponierte Anwendungsframeworks, KI- und Daten-Tools, Konfigurationsspeicher sowie offen erreichbare Administrationsschnittstellen von Datenbanken konzentrieren werden, da sich diese Ziele automatisiert und in großem Maßstab erfassen lassen. Wirtschaftlich gesehen lohnt sich das Volumen, daher erwarten wir vermehrte Angriffe auf mehr Ziele und nicht unbedingt ausgefeiltere Einzelangriffe.
Die KI-gestützte Erkennung von Schwachstellen wird die Zahl der Patches weiter erhöhen, und die Patch-Geschwindigkeit wird widerstandsfähige von gefährdeten Organisationen unterscheiden. Der Patch Tuesday mit Rekordzahlen im Juni dürfte kein Einzelfall bleiben. Wenn die Entdeckung schneller voranschreitet als die Behebung, wird das Zeitfenster zwischen Offenlegung und Ausnutzung zur entscheidenden Variable, insbesondere bei Systemen mit Internetanbindung.
Lokal betriebene Exchange Server bleiben ein vorrangiges Ziel. Da CVE-2026-42897 aktiv ausgenutzt wird und Exchange-Schwachstellen seit Langem die Aufmerksamkeit von Ransomware-Akteuren auf sich ziehen, werden Unternehmen, die ihre Migration weg vom lokalem Exchange Server noch nicht abgeschlossen haben oder nicht schnell genug patchen können, auch in der zweiten Hälfte des Jahres 2026 weiterhin in Vorfallberichten auftauchen.
Köder zur Markenverifizierung werden sich über Meta und Zugangsdaten hinaus ausbreiten. Das Modell der Kontoübernahme, das wir in diesem Monat analysiert haben – bei dem MFA-Codes und Identitätsdokumente statt nur Passwörter abgegriffen werden – lässt sich auf jede Plattform übertragen, die ein Verifizierungs- oder Vertrauenssiegel anbietet. Wir erwarten, dass sich dieser Vorwand auf Marken aus den Bereichen Social Media, Finanzen und Marktplätze ausweitet.
Die Einführung von DMARC RFC 9989 wird während der Übergangsphase uneinheitlich verlaufen. Da empfangende System die neuen Regeln zur Erkennung und Abgleichung von Unternehmensdomains nach ihrem eigenen Zeitplan umsetzen, müssen Organisationen mit unvollständigen Inventaren ihrer Absenderquellen mit gelegentlichen Zustellbarkeitsproblemen rechnen, während Angreifer nach Domains suchen werden, bei denen alte und neue Interpretationen voneinander abweichen.

Empfehlungen des Monats

Sichern Sie Anwendungen und KI-Tools mit Internetanbindung ab und inventarisieren Sie diese. Patchen Sie CVE-2025-3248 in Langflow, ändern Sie Standardzugangsdaten und Signaturschlüssel, einschließlich standardmäßiger Nacos-JWT-Schlüssel und MinIO-Standardzugangsdaten, und beschränken Sie den Zugriff auf Verwaltungsschnittstellen für Datenbanken und Konfigurationen auf bekannte Netzwerke. Agentische Angreifer suchen zuerst nach diesen Angriffsflächen und die Sicherheitsmaßnahmen, die einen menschlichen Angreifer stoppen, halten einen Agenten genauso auf.
Installieren Sie die Microsoft-Updates vom Juni und priorisieren Sie dabei die aktiv ausgenutzte Zero-Day-Schwachstelle für Exchange Server. Behandeln Sie CVE-2026-42897 in jeder lokalen Exchange Server 2016-, 2019- oder Subscription Edition-Umgebung als Notfalländerung und prüfen Sie, ob die Schutzmaßnahmen des Exchange Emergency Mitigation Service (EEMS) dort aktiv sind, wo ein sofortiges Patchen nicht möglich ist. Priorisieren Sie im selben Zyklus auch die kritischen Patches für Remote-Codeausführung in Office, Outlook, Word und Excel, wenn das Hauptrisiko Ihrer Organisation in eingehenden E-Mails liegt.
Schulen Sie Anwender darin, nicht nur Bedrohungen, sondern auch Köder in Form von Belohnungen und Verifizierungsabzeichen zu erkennen. Die von uns analysierte Meta-Kampagne arbeitet mit einem Angebot statt einer Warnung und fragt nach MFA-Codes sowie Ausweisdokumenten. Vermitteln Sie im Rahmen von Security Awareness Training, dass seriöse Plattformen niemals über einen Link in einer E-Mail nach Passwörtern, MFA-Codes oder Ausweisdokumenten fragen und dass der Verifizierungsstatus immer direkt auf der offiziellen Plattform geprüft werden sollte.
Überprüfen Sie Ihre DMARC-Konfiguration noch vor der Einführung von RFC 9989. Erfassen Sie jede legitime Absenderquelle, prüfen Sie SPF- und DKIM-Konformität gemäß den neuen Regeln zur Erkennung von Unternehmensdomains, aktualisieren Sie Ihr Reporting, damit die neuen RFC-9989-Bereiche erfasst werden, und arbeiten Sie auf eine Durchsetzungsrichtlinie (p=reject) hin, bevor empfangende System den Standard flächendeckend ausrollen. Eine konsistente, standardisierte DMARC-Auswertung ist eine der wirksameren strukturellen Schutzmaßnahmen gegen die in diesem Bericht beschriebenen Formen der Markenimitation.
Berücksichtigen Sie agentische Angriffsszenarien in Ihrer Patch-Priorisierung und Ihrem Exposure Management. Gehen Sie davon aus, dass das Zeitfenster zwischen öffentlicher Offenlegung und aktiver Ausnutzung von Schwachstellen mit Verbindung zum Internet weiter schrumpfen wird. Führen Sie ein genaues Inventar Ihrer externen Angriffsfläche, richten Sie die Patch-Priorisierung an der tatsächlichen Exposition statt allein am Schweregrad der Schwachstelle aus und üben Sie schnelle Notfall-Patch-Prozesse für Systeme mit Internetanbindung.

Über Hornetsecurity

Hornetsecurity ist ein weltweit führender Anbieter von Cloud-basierten Sicherheits-, Compliance-, Backup- und Security-Awareness-Lösungen der nächsten Generation, die Unternehmen und Organisationen jeder Größe auf der ganzen Welt unterstützen. Das Flaggschiffprodukt 365 Total Protection ist die umfassendste Cloud-Sicherheitslösung für Microsoft 365 auf dem Markt. Angetrieben von Innovation und Cybersecurity-Exzellenz, baut Hornetsecurity mit seinem preisgekrönten Portfolio eine sicherere digitale Zukunft und nachhaltige Sicherheitskulturen auf. Hornetsecurity ist über sein internationales Vertriebsnetz mit über 12.000 Channel-Partnern und MSPs in mehr als 120 Ländern aktiv. Seine Premium-Dienste werden von mehr als 125.000 Kunden genutzt.

Monthly Threat Report Juli 2026

Schwachstellen werden schneller ausgenutzt

Author: Security Lab / 20.07.2026 / Threat Reports

Einleitung

Der monatliche Bedrohungsbericht von Hornetsecurity by Proofpoint liefert Ihnen jeden Monat Einblicke in Sicherheitstrends rund um M365, E-Mail-basierte Bedrohungen und aktuelle Entwicklungen in der Cybersecurity-Branche. Diese Ausgabe konzentriert sich auf Branchenereignisse im August 2026. Als Nachrichten- und Analyseausgabe legt der Bericht in diesem Monat den Schwerpunkt auf neue Bedrohungen und Branchenforschung statt auf statistische Auswertungen.

Zusammenfassung

Proofpoint dokumentierte, dass TA488 – ein mit Russland verbundener Akteur, den Microsoft „Void Blizzard“ nennt – die in unserer Juli-Ausgabe behandelte Schwachstelle in Outlook Web Access (CVE-2026-42897) ausnutzte, um eine Backdoor namens OWAReaper zu installieren. Das Implantat macht den Standardbenutzer des Postfachs zum Eigentümer jedes E-Mail-Ordners. Weder ein Zurücksetzen der Anmeldedaten noch ein Neuaufsetzen des Geräts entfernt diese Berechtigung. Zudem existierte die Infrastruktur von TA488 bereits zwei Monate vor Microsofts Sicherheitshinweis vom 14. Mai.
Für eine zweite Sicherheitslücke in der lokalen Exchange-Version, CVE-2026-62911, die am 11. August behoben wurde, gibt es nun öffentlich verfügbaren Exploit-Code, der keine Anmeldedaten benötigt, und rund 21.900 Server sind weiterhin ungepatcht. Sowohl die niederländische als auch die deutsche nationale Cybersecurity-Behörde geben an, dass der Exploit über das Internet ohne Anmeldedaten funktioniert und ein erfolgreicher Angreifer die Kontrolle über jedes Postfach auf dem Server erlangt.
Die Angriffe auf die SharePoint-Schwachstelle CVE-2026-55040 nahmen etwa einen Tag nach der Veröffentlichung eines Proof-of-Concept-Skripts am 11. August sprunghaft zu. Die CISA nahm die Schwachstelle am 18. August in den Katalog der Known Exploited Vulnerabilities (KEV) auf und Ende August testeten Angreifer bereits eine Angriffskette, bei der sie diese mit CVE-2026-63520 kombinierten, um Code remote auszuführen.
Microsoft hat Anfang August innerhalb von drei Tagen mehr als eine Million betrügerische E-Mails entdeckt, in denen jeweils eine namentlich genannte Führungskraft des Empfängerunternehmens imitiert wurde. In den Nachrichten wurden die Buchhaltungsteams aufgefordert, eine gefälschte ServiceNow-Rechnung über knapp 50.000 US-Dollar per ACH-Überweisung (Automated Clearing House) zu bezahlen. Spuren deuten darauf hin, dass die Vorlagen mithilfe von KI erstellt wurden.
Unsere eigene Analyse vom August kommt zu dem Schluss, dass sich KI bisher vor allem wirtschaftlich auf Angriffe auswirkt: Bestehende Angriffsmethoden lassen sich günstiger, schneller und in größerem Maßstab durchführen. Die Rechnungskampagne ist ein Beispiel aus der Praxis dafür.

Bedrohungsübersicht

TA488 bringt den „Half-Click”-Exploit zu Outlook Web Access

In unserer Juli-Ausgabe haben wir über CVE-2026-42897 berichtet, eine aktiv ausgenutzte Cross-Site-Scripting-(XSS)-Schwachstelle in lokal installierten Exchange Servern, und prognostiziert, dass Exchange weiterhin ein vorrangiges Ziel bleiben würde. Proofpoint veröffentlichte am 29. Juli eine Analyse, die zeigt, wie das in der Praxis aussieht: TA488, ein mit Russland verbundener Spionageakteur, den Microsoft als „Void Blizzard“ verfolgt und der auch als „Laundry Bear“ bekannt ist, nutzte die Schwachstelle, um eine Backdoor namens OWAReaper zu installieren – darüber berichteten auch Bleeping Computer und The Hacker News.

Proofpoint datiert die Kampagne auf den 22. Juli, einen Tag bevor die CISA, das FBI und Behörden aus mehr als einem Dutzend Ländern vor der Ausnutzung der Zimbra Collaboration Suite durch denselben Akteur über CVE-2025-66376 warnten, worüber auch Help Net Security berichtete.TA488 war seit Februar nicht mehr beobachtet worden und eröffnete damit seine zweite Webmail-Angriffsfront einen Tag bevor eine internationale Koalition über die erste berichtete.

CVE-2026-42897 betrifft Exchange Server 2016, 2019 und die Subscription Edition im On-Premises-Betrieb; Exchange Online ist nicht betroffen. Microsoft bewertet die Schwachstelle nach dem Common Vulnerability Scoring System (CVSS) v3.1 mit 8,1 (Hoch), die National Vulnerability Database (NVD) mit 6,1 (Mittel). Die Updates vom 9. Juni beheben die Schwachstelle. Microsoft hat diesen Sicherheitshinweis inzwischen aktualisiert und nennt die Updates vom Juli als Behebung sowohl für diese Schwachstelle als auch für einen eng verwandten XSS-Fehler in Outlook Web Access, CVE-2026-55008, mit 9,6 (kritisch), der bislang noch nicht als ausgenutzt eingestuft ist.

Proofpoint bezeichnet diese Angriffsmethode als „Half-Click“: Bei herkömmlichem Phishing muss der Empfänger einen Anhang öffnen oder einem Link folgen; hier reicht es, die Nachricht anzusehen. Exchange lässt HTML-Code mit Skriptinhalten im Textkörper eingehender E-Mails passieren und TA488 versteckt Base64-Fragmente der Payload hinter den Social-Media-Symbolen der E-Mail. Ein Loader setzt sie anschließend beim Rendern der Nachricht über einen Onload-Handler wieder zusammen und führt sie aus.

Was der Loader liefert, ist darauf ausgelegt, dauerhaft zu bleiben: OWAReaper läuft direkt auf der Outlook Web Access-Seite, schreibt nichts auf die Festplatte und nutzt Outlooks eigene APIs, um den Exploit aus der serverseitigen Kopie der E-Mail zu entfernen. Anschließend richtet OWAReaper drei Persistenzmechanismen ein: Der Standardbenutzer wird über die Exchange-Funktion UpdateFolder in jedem E-Mail-Ordner auf die Berechtigungsstufe „Eigentümer“ (Owner) hochgestuft, wofür OAuth-Token verwendet werden, die aus einem Add-in mit ReadWriteMailbox-Berechtigungen stammen. Zudem wird eine verschlüsselte Kopie des Implantats im localStorage des Browsers abgelegt, und im IndexedDB-Cache gespeicherte Nachrichten werden so verändert, dass sie einen versteckten iframe enthalten. Zu den Zielen gehörten US-amerikanische und europäische Behörden sowie Unternehmen aus den Bereichen Telekommunikation, Finanzwesen, Gastgewerbe und Luft- und Raumfahrt.

Warum das wichtig ist

Ein Zurücksetzen des Passworts, der Widerruf von Sitzungen und eine Gerätewiederherstellung haben keinen Einfluss auf die Standardbenutzerberechtigung, da Exchange sie auf dem Server speichert und nicht auf dem Endgerät oder in den Anmeldedaten. Die Standardberechtigung gilt für jeden angemeldeten Benutzer ohne eigene Berechtigungen, sodass die Eigentümerrechte an dieser Stelle das Postfach für jedes Konto in der Organisation freigeben.

Die Bereinigung ist daher ein separater Arbeitsschritt, der unabhängig vom Patchen erfolgen muss: Entfernen Sie die Standard- (oder „Default“-)Berechtigung, widerrufen Sie Token betroffener Add-ins und löschen Sie den Offline-Cache von Outlook Web Access auf jedem Endgerät, auf dem eine schädliche Nachricht geöffnet wurde.

Was KI an der Bedrohungslage verändert hat und was nicht

Anfang August haben wir eine Analyse dazu veröffentlicht, wie KI Cyberbedrohungen beschleunigt. Die zentrale Erkenntnis: KI schafft bislang kaum völlig neue Angriffsmethoden. Sie sorgt vor allem dafür, dass bekannte Angriffsmethoden schneller, günstiger und in größerem Umfang durchgeführt werden können. Das zeigt sich beispielsweise bei Phishing-E-Mails, die immer seltener sprachliche Fehler enthalten, auf die viele Security-Awareness-Schulungen lange Zeit gesetzt haben. Auch Deepfakes erreichen zunehmend genau die Kommunikationskanäle, über die Mitarbeiter die Echtheit einer E-Mail überprüfen. Gleichzeitig lässt sich Business E-Mail Compromise (BEC) heute in großem Maßstab besser individuell auf einzelne Empfänger zuschneiden. Im Berichtszeitraum dieses Reports wurde deutlich, dass diese Entwicklung längst keine Theorie mehr ist. Früher mussten Angreifer meist zwischen hoher Reichweite und starker Personalisierung abwägen. Viele Schutzmaßnahmen und Erfahrungswerte in Security-Teams beruhen bis heute auf der Annahme, dass dieser Zielkonflikt bestehen bleibt. KI hebt ihn zunehmend auf.

Wichtige Vorfälle und Branchenereignisse

Eine zweite Exchange-Schwachstelle, ein öffentlicher Exploit und 21.899 ungepatchte Server

Für On-Premises Exchange war es der zweite problematische Monat in Folge. Mit den Updates vom 11. August schloss Microsoft die Schwachstelle CVE-2026-62911, eine Authentifizierungsumgehung mittels Capture-Replay, die Microsoft mit einem CVSS-Score von 8,0 als kritisch einstuft. Orange Tsai vom DEVCORE Research Team meldete die Schwachstelle über die Zero Day Initiative, nachdem er sie auf der Pwn2Own Berlin 2026 als Teil einer Angriffskette aus drei Schwachstellen demonstriert hatte. Diese führte letztlich zur Ausführung von Code mit SYSTEM-Rechten. Betroffen sind erneut Exchange Server 2016, 2019 und Subscription Edition. Exchange Online ist nicht betroffen. Da Exchange Server 2016 und 2019 das reguläre Supportende erreicht haben, stellt Microsoft die entsprechenden Sicherheitsupdates für diese Versionen nur noch über das kostenpflichtige Programm Extended Security Updates (ESU) bereit.

Welche Folgen eine erfolgreiche Ausnutzung haben kann, beschreibt Microsoft deutlich: Angreifer können die Kontrolle über sämtliche Postfächer des betroffenen Servers übernehmen, E-Mails und Anhänge lesen und Nachrichten im Namen der jeweiligen Nutzer versenden. Der CVSS-Vektor des Exploits geht davon aus, dass ein Angreifer bereits über ein Konto mit geringen Berechtigungen verfügt und eine gewisse Nutzerinteraktion erforderlich ist. Der inzwischen öffentlich verfügbare Exploit widerspricht dieser Annahme jedoch. Sowohl die niederländische als auch die deutsche Cybersicherheitsbehörde gehen davon aus, dass die Schwachstelle über das Internet und ohne vorhandenes Benutzerkonto ausgenutzt werden kann.

Am 28. August warnte das niederländische National Cyber Security Centre (NCSC-NL), dass Exploit-Code nun öffentlich verfügbar sei und sich mit vergleichsweise geringen technischen Fachkenntnissen einsetzen lasse. Wenige Tage später meldete Shadowserver, das seit dem 27. August gezielt nach anfälligen Systemen scannt, 21.899 aus dem Internet erreichbare Exchange-Server, auf denen weiterhin eine ungepatchte Version lief. Rund 6.200 davon befanden sich in den USA, etwa 5.100 in Deutschland. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) formulierte es noch deutlicher: Rund 85 % der deutschen On-Premises-Exchange-Server waren weiterhin für die Schwachstelle anfällig.

Warum das wichtig ist

Zwischen der Veröffentlichung des Patches und dem Scan von Shadowserver lagen nur drei Wochen. Noch innerhalb dieses Zeitraums wurde ein funktionsfähiger Exploit öffentlich verfügbar. Für die von Shadowserver erfassten Unternehmen bedeutet das: Solange die Systeme ungepatcht bleiben, können sie nur darauf hoffen, dass Angreifer ihnen noch nicht zuvorgekommen sind. Zusammen mit den Erkenntnissen zu TA488 ergibt sich ein beunruhigendes Bild: Innerhalb kurzer Zeit wurden zwei schwerwiegende Schwachstellen im selben Produkt bekannt. Eine davon wurde bereits ausgenutzt, bevor der entsprechende Sicherheitshinweis veröffentlicht wurde. Für die andere steht inzwischen ein öffentlicher Exploit bereit, der offenbar ohne Zugangsdaten funktioniert. Das BSI empfiehlt deshalb, den Zugriff auf Exchange-Webdienste auf vertrauenswürdige IP-Bereiche oder VPN-Verbindungen zu beschränken. Das NCSC-NL geht noch weiter und rät Betreibern von Exchange Server 2016 und 2019, diese Systeme nicht mehr direkt aus dem Internet erreichbar zu machen und ihre vollständige Ablösung einzuplanen.

SharePoint-Angriffe nehmen kurz nach Veröffentlichung des Proof of Concept deutlich zu

Microsoft behob CVE-2026-55040 bereits mit den Juli-Updates. Die Schwachstelle ermöglicht es, die Authentifizierung über das Netzwerk zu umgehen, sodass sich ein nicht authentifizierter Angreifer anonym mit dem System verbinden, Dateien lesen und gespeicherte Inhalte verändern kann. Microsoft stuft sie mit einem CVSS-Score von 9,1 als kritisch ein. CISA führt sie auf unzureichende Authentifizierung zurück. Betroffen sind SharePoint Server 2016, 2019 und Subscription Edition; SharePoint Online ist nicht betroffen.

Bis zum 11. August gab es nur vereinzelte Hinweise auf eine aktive Ausnutzung. Dann veröffentlichte Rapid7 eine technische Analyse sowie ein Proof-of-Concept-Skript. Rapid7 führte das Problem auf die Verarbeitung von JSON Web Tokens (JWTs) durch zwei SharePoint-Klassen zurück und identifizierte mehrere Fehler, die sich miteinander kombinieren lassen. Unter anderem akzeptiert eine Komponente Tokens mit der Angabe alg: none, wertet den Fingerabdruck des SharePoint-eigenen Zertifikats als ausreichenden Herkunftsnachweis für das Token und führt keine kryptografische Prüfung der Signatur durch. Zusammengenommen ermöglichen diese Schwachstellen einem nicht authentifizierten Angreifer, ein gültig erscheinendes Token zu erzeugen und sich damit als beliebiger Nutzer der SharePoint-Seite auszugeben, einschließlich Administratoren.

Bereits am folgenden Tag berichtete das Threat-Intelligence-Unternehmen Defused, dass das von Rapid7 veröffentlichte Skript bei Angriffen auf seine SharePoint-Honeypots zum Einsatz kam. Darüber berichteten anschließend auch SecurityWeek und The Hacker News: Von insgesamt zwölf Angriffsversuchen, die KEVIntel seit dem 19. Juli registriert hatte, entfielen zwei Drittel allein auf den 12. und 13. August. Am 18. August nahm CISA die Schwachstelle in den KEV-Katalog auf.

Zudem stellte sich heraus, dass die Umgehung der Authentifizierung als erster Schritt einer umfangreicheren Angriffskette genutzt werden kann. Am 11. August veröffentlichten Microsoft und Rapid7 Details zu CVE-2026-63520, einer Schwachstelle zur Remote-Code-Execution in den Business Connectivity Services von SharePoint. Microsoft stuft sie mit einem CVSS-Score von 8,1 als wichtig ein; behoben wurde sie mit den August-Updates. Laut Rapid7 kann ein Angreifer ohne Zugangsdaten CVE-2026-55040 davor schalten und dadurch beliebigen Code im Kontext des SharePoint-Dienstkontos ausführen. VulnCheck veröffentlichte am 24. August eine detaillierte Beschreibung dieser Angriffskette. Einen Tag später meldete Defused entsprechende Versuche, diese Kette in seinen Honeypots auszunutzen. Die Angreifer konnten die Authentifizierung erfolgreich umgehen und automatisiert Administratorkonten erfassen. Eine tatsächliche Codeausführung wurde bei den beobachteten Sitzungen jedoch nicht festgestellt.

Warum das wichtig ist

Entscheidend ist für Verteidiger vor allem, wie wenig Zeit zwischen der Veröffentlichung technischer Details und einer deutlichen Zunahme der Angriffe lag: in diesem Fall nur rund ein Tag. Dasselbe Muster zeigte sich erneut, nachdem Details zur vollständigen Angriffskette veröffentlicht wurden. Für aus dem Internet erreichbare Microsoft-Serverprodukte gibt es damit kaum noch den zeitlichen Puffer, den Unternehmen nach der Veröffentlichung eines Proof of Concept früher häufig hatten. Dafür müssen Angreifer nicht einmal über besonders ausgeprägte technische Fähigkeiten verfügen. Ein funktionsfähiges Skript nimmt ihnen den aufwendigsten und technisch anspruchsvollsten Teil der Arbeit ab. Wenn ein Unternehmen mehrere Wochen benötigt, um ein im Juli veröffentlichtes Update zu prüfen und auszurollen, kann ein im August veröffentlichter Proof of Concept genau in dieses Zeitfenster fallen. Die Folge: Das System ist weiterhin angreifbar, obwohl der Patch längst verfügbar ist. Im schlimmsten Fall wird das Unternehmen nicht durch den eigenen Patch- oder Change-Prozess auf das Problem aufmerksam, sondern erst durch Berichte über bereits beobachtete Angriffe.

Eine Million gefälschte E-Mails in nur drei Tagen

Innerhalb von nur drei Tagen Anfang August registrierte Microsoft mehr als eine Million betrügerische E-Mails, die an Unternehmenspostfächer adressiert waren. Versendet wurden die Nachrichten über Konten bei Drittanbietern für E-Mail-Dienste. Auch Dark Reading berichtete über die Kampagne. Die Betrugsmasche selbst war nicht neu: im Mittelpunkt stand klassischer Rechnungsbetrug. Ungewöhnlich war jedoch der hohe Grad an Personalisierung. Jede Nachricht enthielt den Namen realer Führungskräfte des jeweiligen Empfängerunternehmens.

Die Angreifer verwendeten beispielsweise den Namen des CEO, CFO oder Präsidenten eines Zielunternehmens als Anzeigenamen für Absender- und Antwortadresse sowie in der Signatur. Anschließend adressierten sie die Nachricht gezielt an Mitarbeiter aus der Kreditorenbuchhaltung. Direkt unter der Signatur erschien eine Rechnung, die nicht als Anhang verschickt, sondern unmittelbar in den E-Mail-Text eingebettet war. Abgerechnet wurde etwa ein Jahresabonnement für die ServiceNow-Plattform mit einem Betrag von knapp 50.000 US-Dollar. Die Zahlung sollte per ACH-Überweisung auf ein von den Angreifern kontrolliertes Bankkonto erfolgen. Darunter fügten die Angreifer zwei frei erfundene weitergeleitete E-Mail-Verläufe ein. Darin schien die vermeintliche Führungskraft des Zielunternehmens gemeinsam mit einem ebenfalls gefälschten ServiceNow-Präsidenten die Beschaffung bereits abgestimmt und genehmigt zu haben. Zur Infrastruktur der Kampagne gehörten die ähnlich aussehende Domain service-nowinc[.]com, die am 31. Juli registriert wurde, sowie die Reply-To-Domain domainlify[.]net.

Microsoft nennt mehrere Merkmale, die auf den Einsatz von KI bei der Erstellung der Nachrichten hindeuten und die auch Sicherheitsteams bei der Analyse berücksichtigen können. Dazu zählen ungewöhnlich viele HTML-Kommentare im Quelltext, explizite Abschnittsbezeichnungen, auffällig gleichförmige Strukturen über zahlreiche eigentlich individuell gestaltete E-Mails hinweg, Trennlinien aus langen Reihen von Gleichheitszeichen sowie eine ungewöhnlich häufige Verwendung von Gedankenstrichen. Microsoft formuliert diese Einschätzung jedoch bewusst vorsichtig: Die Merkmale sprechen für eine Beteiligung von KI, belegen aber nicht, in welchem Umfang die Inhalte tatsächlich KI-generiert waren. Rund 87,7 % der Kampagne richteten sich an Empfänger in den USA. Anzeichen für eine Kompromittierung von ServiceNow oder der anderen in den Betrugs-E-Mails genannten Unternehmen fand Microsoft nicht.

Warum das wichtig ist

Die Nachrichten zur Zahlungsaufforderung waren gezielt darauf ausgelegt, sich möglichst unauffällig in reale Geschäftsprozesse einzufügen. Sie enthielten passende Namen, verwiesen auf einen Anbieter, mit dem ein großes Unternehmen durchaus Geschäftsbeziehungen haben könnte, und nannten einen Rechnungsbetrag, der hoch genug war, um glaubwürdig zu wirken, aber nicht zwangsläufig sofort die Aufmerksamkeit der Unternehmensleitung auf sich zog. Hinzu kam ein vollständig erfundener Genehmigungsverlauf, der den Eindruck erwecken sollte, die Zahlung sei intern bereits freigegeben worden. Bemerkenswert ist vor allem, dass die Angreifer dafür keine technische Sicherheitskontrolle umgehen mussten. Die E-Mail wurde über ein regulär funktionierendes Mailsystem zugestellt und richtete sich an einen Mitarbeiter, dessen Aufgabe es tatsächlich ist, Zahlungen zu prüfen und zu autorisieren. Entsprechend liegt auch die wirksamste Gegenmaßnahme nicht allein in der Technik, sondern im Prozess: Zahlungsanweisungen, die per E-Mail eingehen, sollten grundsätzlich über einen unabhängigen Kommunikationskanal verifiziert werden – und zwar ohne Ausnahme.

Prognosen für die kommenden Monate

Das Zeitfenster zwischen der Veröffentlichung eines Proof of Concept und der Ausnutzung in realen Angriffen wird weiter schrumpfen. Patch-Prozesse, die noch von längeren Reaktionszeiten ausgehen, werden dadurch zunehmend ins Hintertreffen geraten. Wir gehen davon aus, dass künftig mehr Organisationen über Schwachstellen kompromittiert werden, für die ein Patch intern bereits freigegeben, aber noch nicht ausgerollt wurde. In der anschließenden Analyse dürfte sich dann häufiger zeigen, dass nicht die Erkennung das eigentliche Problem war, sondern die Verzögerung im Patch-Zeitplan.
Persistenz nach vermeintlich abgeschlossener Bereinigung wird gegen Ende 2026 zu einer der zentralen Herausforderungen im Incident Response werden. Im Fall von TA488 besteht der dauerhafte Zugriff beispielsweise aus einer Berechtigung direkt auf dem Mailserver. Weder ein Passwort-Reset noch das Neuaufsetzen eines Endgeräts beseitigen diesen Zugriff. Wir erwarten einen wachsenden Anteil von Vorfällen, bei denen serverseitige Berechtigungsänderungen und der Missbrauch von OAuth-Token bestehen bleiben, obwohl die betroffene Organisation die Bereinigung bereits für abgeschlossen hielt.
Half-Click- und Zero-Click-Angriffe auf Webmail-Systeme werden sich über die derzeit aktiven Angreifergruppen hinaus verbreiten. Wenn der Klick des Empfängers als notwendiger Schritt entfällt, verschwindet zugleich einer der unzuverlässigsten Faktoren eines E-Mail-basierten Angriffs. TA488 hat diese Methode inzwischen sowohl gegen Zimbra als auch gegen Outlook Web Access eingesetzt. Wir erwarten, dass zunächst weitere staatlich unterstützte Gruppen und später auch finanziell motivierte Angreifer ähnliche Techniken gegen ungepatchte lokal betriebene Webmail-Systeme einsetzen werden.
Betrugskampagnen, die große Reichweite mit individueller Personalisierung kombinieren, werden vom Ausnahmefall zum Normalfall. Security-Awareness-Programme, die Mitarbeiter weiterhin vor allem auf sprachliche Fehler oder unpersönliche Anreden hinweisen, werden zunehmend an Wirksamkeit verlieren. Widerstandsfähiger werden vor allem Unternehmen sein, die die Verifizierung verdächtiger oder sensibler Anfragen als festen Prozess etabliert haben.

Empfehlungen des Monats

Patchen Sie internetexponierte, lokal betriebene Microsoft-Server in deutlich kürzeren Abständen und überprüfen Sie, ob die Updates tatsächlich installiert wurden – nicht nur, ob sie freigegeben sind. Stellen Sie sicher, dass die Exchange-Updates vom August sowie die SharePoint-Updates vom Juli und August auf allen betroffenen Systemen installiert sind. Eine Freigabe im Patch-Management-Tool allein reicht nicht aus. Für Exchange Server 2016 und 2019 ist das August-Update nur über das kostenpflichtige Extended Security Updates (ESU)-Programm verfügbar. Nehmen Sie daher jeden Server ohne ESU-Abdeckung vom Internet, bis Sie ihn ersetzen können.
Gehen Sie von möglicher Persistenz aus und beschränken Sie die Bereinigung nicht auf das Zurücksetzen von Passwörtern. Prüfen Sie die Berechtigungen für Postfachordner und delegierte Zugriffe. Besondere Aufmerksamkeit verdienen „Owner“-Berechtigungen, die dem Standard- (oder Default-)Benutzer zugewiesen sind. Überprüfen Sie außerdem installierte Outlook-Add-ins und widerrufen Sie bestehende Sitzungen sowie OAuth-Refresh-Tokens gezielt. Unternehmen, die den Patch für CVE-2026-42897 erst verspätet eingespielt haben, sollten ihre Untersuchungen bis mindestens März 2026 zurückverfolgen.
Verifizieren Sie jede per E-Mail eingehende Zahlungsanweisung über einen unabhängigen Kommunikationskanal. Dabei sollte es keine Ausnahmen geben – weder wegen besonderer Dringlichkeit noch aufgrund der Position des vermeintlichen Absenders oder eines überzeugend wirkenden Genehmigungsverlaufs. Der Ablauf sollte klar definiert und regelmäßig geübt werden, damit Mitarbeiter in der Finanzabteilung im Ernstfall nicht improvisieren müssen. Ergänzend sollte ein Security Awareness Training aktuelle Angriffsmethoden und Betrugsmaschen abbilden. Der klassische Hinweis, auf schlechte Formulierungen oder auffällige Sprachfehler zu achten, reicht heute nicht mehr aus.
Erstellen Sie ein unabhängiges Backup Ihrer Microsoft-365-Daten. Postfächer, SharePoint-Websites und OneDrive-Inhalte können von allen in dieser Ausgabe beschriebenen Angriffsszenarien betroffen sein. Eine Wiederherstellung innerhalb desselben Tenants bietet keine echte Unabhängigkeit, wenn der gesamte Tenant kompromittiert wurde. 365 Total Backup schafft eine unabhängige Backup-Ebene und schließt so die Lücke.