Monthly Threat Report Juni 2026

Einleitung 

Der Monthly Threat Report von Hornetsecurity by Proofpoint liefert monatliche Einblicke in Sicherheitstrends rund um M365, E-Mail-basierte Bedrohungen sowie Einschätzungen zu aktuellen Ereignissen in der Cybersicherheit. Diese Ausgabe des Threat Reports konzentriert sich auf Branchenereignisse aus dem Mai 2026. Da es sich um eine Nachrichten- und Kommentarausgabe handelt, liegt der Schwerpunkt in diesem Monat stärker auf neuen Bedrohungen und Branchenforschung als auf statistischen Datenauswertungen. 

Zusammenfassung 

• Unser Threat Intelligence Lab dokumentierte eine aktive Kampagne mit dem Kali365 Phishing-as-a-Service-Kit (PhaaS), mit der Microsoft 365-Sitzungen per Gerätecode-Phishing übernommen werden. Dabei wird der legitime OAuth-2.0-Geräteautorisierungsablauf von Microsoft missbraucht, um Access Tokens und Refresh Tokens abzugreifen. Das FBI veröffentlichte am 21. Mai eine öffentliche Warnmeldung zu diesem Toolkit. 
• Anthropic veröffentlichte erste Ergebnisse aus Project Glasswing. Dabei identifizierten das eingeschränkt verfügbare Modell Claude Mythos und rund 50 Partnerorganisationen mehr als 10.000 Schwachstellen mit hohem oder kritischem Schweregrad in kritischer Software. Hinzu kamen mehr als 23.000 potenzielle Schwachstellen in 1.000 Open-Source-Projekten, mit einer True-Positive-Rate von 90,6 % bei unabhängig geprüften Stichproben. 
• CVE-2026-41089, eine kritische Remote-Code-Execution-Schwachstelle in Windows Netlogon mit einem CVSS-Score von 9,8, wird inzwischen aktiv ausgenutzt. Microsoft schloss die Schwachstelle mit dem Patch Tuesday vom 12. Mai. Sie erfordert keine Authentifizierung und ermöglicht die vollständige Kompromittierung eines Domain-Controllers. 
• NYC Health + Hospitals bestätigte, dass ein bereits früher in diesem Jahr gemeldeter Vorfall mindestens 1,8 Millionen Patienten, Mitarbeiter und Bewerber betraf. Zu den gestohlenen Daten gehören medizinische Unterlagen, Sozialversicherungsnummern, Finanzzugangsdaten, Standortdaten sowie biometrische Daten wie Finger- und Handflächenabdrücke. Der Angriff wurde auf die Kompromittierung eines Drittanbieters zurückgeführt. 
• Foxconn bestätigte am 12. Mai einen Cyberangriff auf seine nordamerikanischen Standorte. Die Ransomware-Gruppe Nitrogen gab an, rund 8 Terabyte Daten mit insgesamt mehr als 11 Millionen Dateien gestohlen zu haben. AppleInsider bestätigte später, dass im gestohlenen Datensatz auch Server-Schaltpläne von Apple enthalten waren. 
• Der Missbrauch von Gerätecodes, die KI-beschleunigte Schwachstellenforschung und die Gefährdung durch Drittanbieter sind drei sich überschneidende Trends, auf die sich Unternehmen in der zweiten Jahreshälfte 2026 vorbereiten sollten. Jeder dieser Trends verändert die Prioritäten bei Investitionen in Erkennung, Patch-Geschwindigkeit und Identitätskontrollen. 

Bedrohungsüberblick 

Kali365: Gerätecode-Phishing erreicht durch PhaaS produktionsreife Skalierung

Unser Threat Intelligence Lab dokumentierte Anfang Juni eine aktive Kampagne mit dem Kali365 Phishing-as-a-Service-Kit, die auf einer Aktivitätswelle aufbaute, die sich im Mai verstärkte. Unsere vollständige technische Analyse ist im Hornetsecurity-Blog verfügbar. Am 21. Mai veröffentlichte das Internet Crime Complaint Center (IC3) des FBI eine Public Service Announcement zu Kali365, in der Kali365 als aufkommende PhaaS-Plattform beschrieben wird, die selbst technisch wenig erfahrenen Betreibern Zugriff auf fortgeschrittene Phishing-Funktionen ermöglicht. Bleeping Computer und Infosecurity Magazine berichteten unabhängig über die Warnung des FBI. 

Kali365 verkauft Zugänge über Telegram-Kanäle für etwa 250 US-Dollar pro Monat oder 2.000 US-Dollar pro Jahr. Das Toolkit umfasst KI-generierte Phishing-Köder, Kampagnenvorlagen, Dashboards zur Echtzeitverfolgung von Opfern und die zentrale Funktion, die es von Phishing zum reinen Abgreifen von Zugangsdaten unterscheidet: die Erfassung von OAuth-Tokens durch Missbrauch des Gerätecode-Ablaufs. 

So funktioniert Gerätecode-Phishing 

Die Gerätecode-Authentifizierung ist ein legitimer Microsoft-OAuth-2.0-Ablauf, der ursprünglich für Geräte mit eingeschränkten Eingabemöglichkeiten entwickelt wurde, etwa Smart-TVs, Konferenzraum-Hardware und IoT-Systeme. Im legitimen Ablauf zeigt ein Gerät, das Zugangsdaten nicht einfach entgegennehmen kann, einen kurzen Prüfcode an. Der Nutzer öffnet auf einem separaten Gerät das Microsoft-Anmeldeportal, gibt diesen Code ein und schließt die Authentifizierung ab. Microsoft stellt anschließend Access Tokens und Refresh Tokens für das anfragende Gerät aus. 

Gerätecode-Phishing kehrt das Vertrauensmodell um. Der Angreifer startet den Ablauf über eine von ihm kontrollierte Infrastruktur und überzeugt das Opfer dann, den Code des Angreifers auf der echten Microsoft-Anmeldeseite einzugeben. Das Opfer authentifiziert sich gegenüber der echten Microsoft-Infrastruktur, erfüllt mögliche MFA-Abfragen und autorisiert unwissentlich, dass Microsoft Tokens für die Sitzung des Angreifers ausstellen darf. Es werden keine Zugangsdaten abgefangen. Es erscheint keine gefälschte Anmeldeseite. Die Täuschung findet vor der Authentifizierung statt, nicht währenddessen. 

Die beobachtete Kampagne 

Die von unserem Threat Intelligence Lab analysierte Kampagne beginnt mit einem Köder zum Zahlungsverkehr. Die beobachtete E-Mail trug die Betreffzeile „EFT-Zahlung wird gerade ausgeführt“ und nutzte Formulierungen zu Zahlungsverkehr, die für Mitarbeiter in Finanz- und Buchhaltungsabteilungen alltäglich wirken sollten. Die E-Mail verzichtete auf offensichtlichen Zeitdruck und stellte stattdessen einen routinemäßigen Geschäftsprozess dar, in dessen Mittelpunkt der Aufruf zum Handeln „SIEHE ZAHLUNGSDETAILS“ stand. 

Ausgehend von dieser ersten Täuschung durchläuft die Angriffskette mehrere Phasen, die sowohl automatisierte Analysen als auch menschliches Misstrauen umgehen sollen: 

Phase 1: Der Link in der E-Mail verweist auf eine legitime Drittanbieter-SaaS-Plattform (im beobachteten Beispiel mixpanel[.]com). Dort zeigt eine gehostete Seite eine Oberfläche an, die wie ein gescanntes Dokument mit professionellem Branding wirkt. 

Phase 2: Eine Cloudflare-ähnliche Zwischenseite zur Verifizierung erzeugt zusätzliche Komplexität, filtert einige automatisierte Sicherheits-Crawler heraus und verstärkt den Eindruck legitimen Hostings. 

Phase 3: Das Opfer landet auf der eigentlichen Kali365-Seite, eine im Microsoft-Stil gestalteten Oberfläche für sichere Dokumente mit Outlook-Branding, Hinweisen zur Nachrichtenverschlüsselung und einem kurzen Gerätecode. Die Seite weist das Opfer an, das Microsoft-Anmeldeportal zu öffnen, den angezeigten Code einzugeben, sich zu authentifizieren und anschließend zurückzukehren. 

Phase 4: Das Opfer besucht microsoft.com/devicelogin, gibt den Code ein, schließt die Authentifizierung einschließlich möglicher MFA-Abfragen ab und sieht eine Bestätigung mit dem Hinweis „Microsoft Authentication Broker auf einem anderen Gerät“. In diesem Moment werden gültige OAuth-Tokens an die Sitzung des Angreifers ausgestellt, nicht an den Browser des Opfers. 

Eine zweite Variante, die am 2. Juni beobachtet wurde, verlagerte das Köderthema von EFT-Zahlungen auf „dringende Angebotsprüfung“, behielt jedoch dieselbe technische Angriffskette bei. Das deutet auf eine aktive operative Anpassung hin. 

Indikatoren für eine Kompromittierung (IOCs) 

Köder-Hosts der ersten Phase: – hxxps://mixpanel[.]com/public/5TwfnfSBNLp72xaBMcuEwT - hxxps://biovelt[.]com/@trianzprop 

Phishing-Seiten der zweiten Phase: – hxxps://6civt6gowo[.]clearprocesses[.]de/l/375eYPgUe-4 - hxxps://l2k9vlvw7p[.]brinautomotivekow[.]sbs/l/fjOZveI_IVw 

Zugehörige IP: - 104.21.28[.]254 

Warum das wichtig ist 

Gerätecode-Phishing stellt eine Grundannahme der Security-Awareness-Schulung infrage. Seit Jahren werden Nutzer darin geschult, URLs zu prüfen und auf gefälschte Anmeldeseiten zu achten. Doch bei einem Gerätecode-Angriff gibt es keine gefälschte Anmeldeseite. Das Opfer authentifiziert sich gegenüber echter Microsoft-Infrastruktur, auf einer echten Microsoft-Domain und durchläuft echte MFA. Klassische Kompromittierungsindikatoren, auf die Nutzer geschult wurden, fehlen. 

Damit verschiebt sich der verdächtige Moment in der Angriffskette nach vorn. Das Warnsignal ist nicht die Anmeldeseite selbst, sondern die Aufforderung, einen kurzen Code einzugeben, der aus einer E-Mail oder einem Dokumenten-Workflow stammt. Microsoft und das FBI weisen darauf hin, dass der Gerätecode-Ablauf in normalen Geschäftsprozessen selten genutzt wird, in Phishing-Kampagnen jedoch zunehmend vorkommt. Diese Asymmetrie macht eine einseitige Sperre der Gerätecode-Authentifizierung zu einer der wirksamsten verfügbaren Kontrollen, sofern sie nach einer Prüfung legitimer Anwendungsfälle über Conditional-Access-Richtlinien umgesetzt wird. 

Auch das PhaaS-Vertriebsmodell ist relevant. Kali365 ist keine maßgeschneiderte Bedrohung, die Fähigkeiten auf dem Niveau staatlicher Akteure erfordert. Mit 250 US-Dollar pro Monat ist das Kit für eine breite Betreiberbasis zugänglich. Zudem senkt die Automatisierung im Toolkit die technische Hürde, Kampagnen im großen Maßstab durchzuführen. Es ist mit weiterem Wachstum beim Missbrauch von Gerätecodes bis Ende 2026 zu rechnen. 

Es wird empfohlen, den Gerätecode-Ablauf als kontrollierten und auditierten Authentifizierungspfad zu behandeln, nicht als standardmäßig aktivierte Option. Conditional-Access-Richtlinien, die Gerätecode-Authentifizierung auf bekannte Gerätekategorien beschränken, senken in Kombination mit Nutzerschulungen zu Code-Eingabe-Täuschung das Risiko durch diese Technik deutlich. 

Wichtige Vorfälle und Branchenereignisse 

Anthropics Project Glasswing findet mehr als 10.000 kritische Schwachstellen und einen Engpass bei der Behebung 

Am 22. Mai veröffentlichte Anthropic ein erstes Update zu Project Glasswing. Dabei handelt es sich um ein eingeschränktes Forschungsprogramm für Cybersicherheit, in dem rund 50 geprüfte Partnerorganisationen kontrollierten Zugang zu Claude Mythos Preview erhalten, einem KI-Modell, das gezielt für die Erkennung von Schwachstellen und die Erstellung von Exploits entwickelt wurde. Zu den Partnern zählen unter anderem AWS, Apple, Cisco, Cloudflare, CrowdStrike, Google, JPMorgan Chase, Microsoft, Mozilla und NVIDIA. Sowohl Bleeping Computer als auch The Hacker News berichteten über die Veröffentlichung. 

Die Ergebnisse sind bemerkenswert. Im ersten Monat der Partnerbereitstellung identifizierte Mythos mehr als 10.000 Schwachstellen mit hohem oder kritischem Schweregrad in der systemrelevantesten Software, die heute im Einsatz ist. In einem ergänzenden Open-Source-Scan über mehr als 1.000 Projekte markierte Mythos 23.019 potenzielle Schwachstellen. Davon wurden rund 6.202 als Schwachstellen mit hohem oder kritischem Schweregrad eingestuft. Sechs unabhängige Sicherheitsforschungsunternehmen prüften eine Stichprobe von 1.752 dieser Funde, um deren Gültigkeit zu bewerten. Die True-Positive-Rate lag bei 90,6 %. 62,4 % der bestätigten gültigen Funde entfielen auf die Kategorien hoch oder kritisch. Anthropic schätzt die Anzahl der Schwachstellen mit hohem oder kritischem Schweregrad in der gescannten Open-Source-Sammlung auf etwa 3.900. 

Einige konkrete Funde stechen besonders hervor. Mythos identifizierte CVE-2026-5194, eine kritische Schwachstelle in WolfSSL mit einem CVSS-Score von 9,1, die Zertifikatsfälschung ermöglicht. Dadurch kann ein Angreifer legitime Dienste imitieren. Mythos deckte außerdem eine 16 Jahre alte FFmpeg-Schwachstelle auf, eine FreeBSD-NFS-Schwachstelle zur Remote-Codeausführung mit der Kennung CVE-2026-4747 sowie mehrere Ketten zur Rechteausweitung im Linux-Kernel. 

Die Ergebnisse der Partner sind der aussagekräftigste Datenpunkt der Veröffentlichung. Mozilla nutzte Mythos, um 271 Firefox-Schwachstellen in einem einzigen Release (Firefox 150) zu identifizieren und zu beheben. Das waren Berichten zufolge mehr als zehnmal so viele Schwachstellen, wie das Team mit früheren Modellgenerationen finden konnte. Cloudflare identifizierte rund 2.000 Bugs in seiner Infrastruktur, davon 400 mit hohem oder kritischem Schweregrad, und meldete False-Positive-Raten, die besser waren als die von menschlichen Testern. Palo Alto Networks veröffentlichte im selben Zeitraum etwa das Fünffache seines üblichen Patch-Volumens. 

Weniger ermutigend ist jedoch die Feststellung, dass es bei der Behebung  von Schwachstellen zu einem Engpass gekommen ist. Anthropic meldete 530 Bugs mit hohem oder kritischem Schweregrad an Open-Source-Betreuer. 75 wurden behoben, und für 65 wurden öffentliche Sicherheitshinweise veröffentlicht. In der breiteren untersuchten Menge wurde weniger als ein Prozent der von Mythos identifizierten Schwachstellen gepatcht. Der Engpass hat sich also von der Entdeckung zur Behebung verlagert. 

Warum das wichtig ist 

Project Glasswing ist bisher der konkreteste öffentliche Beleg dafür, dass KI-gestützte Schwachstellenforschung eine produktive operative Ebene erreicht hat. Die True-Positive-Rate von 90,6 % gegenüber unabhängiger Expertenprüfung ist relevant: Eine Erkennungsrate dieser Qualität übersteigt zusammen mit dem von Mythos erzeugten Volumen das, was die meisten Sicherheitsteams mit üblichen Arbeitsrhythmen prüfen und beheben können. Dass Mozilla 271 Schwachstellen in einem Firefox-Release behob, weil Mythos sie in verwertbarer Form lieferte, zeigt, wie ein produktives KI-Werkzeug auf Verteidigerseite in der Praxis aussehen kann. 

Dieselbe Technologie ist auch die wichtigste Variable auf der offensiven Seite. Sollten Fähigkeiten des Mythos-Niveaus einem breiteren Anwenderkreis zugänglich gemacht werden, etwa durch öffentliche Verfügbarkeit, Modell-Exfiltration oder unabhängige Nachbildung, steigt die für Angreifer verfügbare Entdeckungsrate von Schwachstellen deutlich. Unternehmen sollten nicht davon ausgehen, dass die heutige Verzögerung zwischen Schwachstellenveröffentlichung und Ausnutzung bestehen bleibt. Die Patch-Geschwindigkeit, insbesondere bei Open-Source-Komponenten in Drittanbietersoftware, dürfte in den nächsten zwölf Monaten am stärksten darüber entscheiden, wie groß die tatsächliche Gefährdung ist. 

Der Patch-Engpass ist ein eigenes Problem. Eine Pipeline, die zehnmal so viele Ergebnisse liefert wie frühere Tools, aber weiterhin durch menschliche Patch-Prüfung, Tests und Bereitstellungszyklen begrenzt ist, wird zu einem wachsenden öffentlichen Rückstau an ungepatchten Schwachstellen führen. Es ist zu erwarten, dass diese Lücke in der zweiten Jahreshälfte zu einem stärkeren Fokus auf Software-Bill-of-Materials-Hygiene (SBOM), automatisiertes Abhängigkeitsmanagement und priorisierte Patching-Workflows führt. 

CVE-2026-41089: Windows-Netlogon-RCE wird aktiv ausgenutzt 

Microsoft schloss CVE-2026-41089 im Rahmen des „Patch Tuesday“ vom 12. Mai als eine von 118 Schwachstellen, die in diesem Monat behoben wurden. 17 davon waren als kritisch eingestuft. Bei dieser Schwachstelle handelt es sich um einen stackbasierten Pufferüberlauf in der Windows-Netlogon-RPC-Schnittstelle. Ein nicht authentifizierter Remote-Angreifer kann eine speziell gestaltete Netzwerkanfrage an einen Windows-Server senden, der als Domain Controller fungiert, und Code mit SYSTEM-Rechten ausführen. Microsoft vergab einen CVSS-Score von 9,8. Es ist keine Nutzerinteraktion erforderlich, und eine vorherige Authentifizierung ist nicht nötig. 

Am 1. Juni bestätigte das belgische Centre for Cybersecurity Belgium (CCB) die aktive Ausnutzung auf Basis von Informationen vertrauenswürdiger Partner. Bleeping Computer berichtete am selben Tag unabhängig über die aktive Ausnutzung, und SecurityWeek veröffentlichte Bestätigung. Microsoft aktualisierte den eigenen Sicherheitshinweis entsprechend und forderte zur sofortigen Patch-Installation auf ungepatchten Systemen auf. Alle derzeit unterstützten Windows-Server-Versionen sind betroffen, einschließlich Windows Server 2025. 

Zum Zeitpunkt der Erstellung wurde kein konkreter Bedrohungsakteur öffentlich zugeordnet. 

Warum das wichtig ist 

Domain Controller sind die wertvollsten Ziele in einer Windows-Umgebung. Codeausführung mit SYSTEM-Rechten auf einem Domain-Controller kommt faktisch einer vollständigen Übernahme des Verzeichnisses gleich. Von dort kontrolliert der Angreifer die Authentifizierung für die gesamte Domain. Eine nicht authentifizierte RCE ohne Nutzerinteraktion, die dies direkt ermöglicht, ist die Art von Schwachstelle, die Incident-Response-Kalender noch Monate später bestimmt. 

Unternehmen sollten CVE-2026-41089 als Patch-Priorität der höchsten Stufe behandeln und den Abschluss über die gesamte Domain-Controller-Flotte verifizieren, nicht nur anhand einer Stichprobe. Wenn sofortiges Patchen nicht möglich ist, reduziert eine Netzwerksegmentierung, die Netlogon-RPC-Traffic auf bekannte administrative Pfade beschränkt, das Risiko, beseitigt es jedoch nicht. 

NYC Health + Hospitals bestätigt Datenschutzvorfall mit 1,8 Millionen Betroffenen einschließlich biometrischer Daten

Am 18. Mai bestätigte NYC Health + Hospitals, dass ein zuvor gemeldeter Cyberangriff personenbezogene, medizinische, finanzielle und biometrische Daten von mindestens 1,8 Millionen Patienten, Mitarbeitern und Bewerbern offengelegt hatte. TechCrunch berichtete zuerst über den aktualisierten Umfang und das HIPAA Journal bestätigte die Zahl der Betroffenen unabhängig. Die eigene Mitteilung von NYC Health + Hospitals zum Datenschutzvorfall wurde auf der Website veröffentlicht und traf ab Ende März in den Postfächern betroffener Personen ein. 

Der zeitliche Ablauf ist wichtig. NYC Health + Hospitals entdeckte am 2. Februar 2026 verdächtige Aktivitäten. Die anschließende Untersuchung ergab, dass ein unbefugter Akteur zwischen etwa dem 25. November 2025 und dem 11. Februar 2026 auf bestimmte Systeme zugriff. Der Angreifer war damit rund zweieinhalb Monate vor der Erkennung in der Umgebung präsent. Die Organisation erklärte, dass der unbefugte Akteur „möglicherweise aufgrund einer Sicherheitslücke bei einem Drittanbieter Zugang zu den Systemen von NYC Health + Hospitals erlangt hat“. Der Name des Anbieters wurde nicht öffentlich genannt. 

Die kompromittierten Datenkategorien sind ungewöhnlich umfangreich. Laut der eigenen Offenlegung von NYC Health + Hospitals umfassen die offengelegten Informationen Krankenversicherungsdaten, medizinische Unterlagen (Diagnosen, Medikamente, Testergebnisse, Bilder, Behandlungspläne), Sozialversicherungsnummern, Führerscheine, staatliche Identifikatoren, Steuerkennungen, Finanzkontoinformationen und Zugangsdaten, Zugangsdaten zu Online-Konten, präzise Standortdaten sowie biometrische Daten einschließlich Fingerabdrücken und Handflächenabdrücken. NYC Health + Hospitals bietet Mitarbeitern und Patienten seit 2020 über Kroll Information Assurance für 24 Monate Dienste zur Prävention von Identitätsdiebstahl und zur Kreditüberwachung an. Eine Sammelklage wurde bereits eingereicht. 

Warum das wichtig ist 

Datenschutzvorfälle im Gesundheitswesen sind nicht neu, doch zwei Merkmale dieses Vorfalls verdienen besondere Aufmerksamkeit. 

Erstens sind biometrische Daten betroffen. Fingerabdrücke und Handflächenabdrücke lassen sich nicht ersetzen. Gestohlene Passwörter können rotiert und gestohlene Kreditkarten neu ausgestellt werden. Ein gestohlenes biometrisches Merkmal ist jedoch dauerhaft kompromittiert. Da biometrische Authentifizierung in Finanzdienstleistungen, im Gesundheitswesen und in physischen Zutrittssystemen häufiger wird, steigt der langfristige Wert kompromittierter biometrischer Datensätze für Angreifer weiter. Unternehmen, die biometrische Daten für Authentifizierung, Zeiterfassung oder Identitätsprüfung erfassen, sollten diese Daten in eine höhere Schutzklasse einordnen als typische personenbezogene Daten und entsprechende Kontrollen umsetzen. 

Zweitens war ein Drittanbieter der Angriffsvektor. Der bisher größte Gesundheitsdatenvorfall des Jahres entstand nicht durch eine direkte Kompromittierung der eigenen Systeme von NYC Health + Hospitals. Er begann bei einem Anbieter, dessen Zugriff auf die Umgebung entweder nicht ausreichend überwacht oder nicht angemessen beschränkt war. Die April-Ausgabe dieses Reports behandelte den destruktiven Stryker-Angriff, der mit einem einzigen kompromittierten Administrator-Zugang begann und mit rund 80.000 gelöschten Geräten endete. Das Muster ist in beiden Fällen dasselbe: Identität ist der neue Angriffsvektor. Jede Identität außerhalb der direkten Kontrolle der Organisation, also Anbieter-Konten, Lieferkettenzugriffe und föderierte Vertrauensbeziehungen, ist Teil der Angriffsfläche und muss entsprechend gesteuert werden. 

Unternehmen sollten Drittanbieterzugriffe auf sensible Umgebungen als Governance-Problem erster Ordnung behandeln. Identitätsaudits, granulare Zugriffsbeschränkungen, zeitlich begrenzte Zugangsdaten und Verhaltensüberwachung von Anbietersitzungen sind konkrete Kontrollen, die den Schadensumfang eines kompromittierten Anbieter-Kontos deutlich reduzieren. 

Foxconn bestätigt Cyberangriff, Ransomware-Gruppe Nitrogen gibt an, 8 TB Daten gestohlen zu haben, darunter Apple-Server-Schaltpläne 

Am 12. Mai bestätigte Foxconn einen Cyberangriff auf seine nordamerikanischen Geschäftsstandorte. Betroffen waren Standorte in Mount Pleasant, Wisconsin, und Houston, Texas. Die Ransomware-Gruppe Nitrogen übernahm auf ihrer Leak-Site die Verantwortung und behauptete, etwa 8 Terabyte Daten mit insgesamt mehr als 11 Millionen Dateien exfiltriert zu haben. Cybernews und TechRepublic berichteten unabhängig über diese Aussage. 

Foxconn bestätigte den Vorfall öffentlich, bestätigte jedoch weder das Volumen noch die konkreten Inhalte der gestohlenen Daten. Ein Foxconn-Sprecher erklärte: „Das Cybersicherheitsteam hat unverzüglich den Reaktionsmechanismus aktiviert und mehrere operative Maßnahmen ergriffen, um die Kontinuität der Produktion und Lieferung sicherzustellen.“ Einige Abläufe wurden während der Wiederherstellung Berichten zufolge vorübergehend manuell durchgeführt. 

Zu den Daten, die Nitrogen nach eigenen Angaben entwendet hat, gehören vertrauliche Anweisungen, interne Projektdokumentation, Leiterplattenlayouts und technische Zeichnungen, die Berichten zufolge mit Projekten von Apple, Nvidia, Intel, Google, Dell und AMD verbunden sind. Angesichts fehlender unabhängiger Bestätigungen wurde diese  Behauptung zunächst mit Vorsicht behandelt. Am 20. Mai berichtete AppleInsider, dass es Stichproben aus dem Datensatz geprüft und Apple-Server-Schaltpläne unter den gestohlenen Dateien habe. Die übrigen OEM-Behauptungen sind zum Zeitpunkt der Erstellung nicht verifiziert. 

Nitrogen ist seit 2023 aktiv und agiert als Double-Extortion-Gruppe: Sie verschlüsselt Dateien der Opfer und droht mit der Veröffentlichung gestohlener Daten, falls kein Lösegeld gezahlt wird. Es wird angenommen, dass die Gruppe auf Code basiert, der aus dem geleakten Conti-2-Ransomware-Builder stammt. Zudem werden Verbindungen zum ALPHV/BlackCat-Ökosystem vermutet. 

Warum das wichtig ist 

Der Foxconn-Vorfall ist weniger wegen der Verschlüsselung selbst bemerkenswert, die offenbar eingedämmt wurde, sondern vor allem wegen der Bedeutung der exfiltrierten Daten. Auftragsfertiger und OEM-Partner speichern konzentriertes technisches geistiges Eigentum mehrerer nachgelagerter Kunden. Eine erfolgreiche Kompromittierung auf dieser Ebene betrifft nicht nur den angegriffenen Hersteller, sondern jeden Kunden, dessen Designs, Schaltpläne und Roadmaps in dieser Umgebung gespeichert sind. Die bestätigten Apple-Server-Schaltpläne sind der öffentlich sichtbare Teil einer potenziell deutlich größeren Exponierung über das breitere OEM-Portfolio. 

Diese Kategorie von Lieferkettenrisiken unterscheidet sich qualitativ von den Open-Source-Paketkompromittierungen (npm, GitHub Actions), die wir 2026 bisher behandelt haben. Es zeigt sich deutlich, dass Partner in der physischen Lieferkette zugleich auch Teil der Software-Lieferkette sind: Sie verfügen häufig über dieselben vertraulichen technischen Informationen wie das beauftragende Unternehmen, weisen aber unter Umständen ein anderes Sicherheitsniveau auf als die Kunden, deren Daten sie verarbeiten oder speichern. Unternehmen sollten daher technisches geistiges Eigentum, das bei Auftragsfertigern, Designpartnern und OEM-Zulieferern liegt, in ihre eigenen Bedrohungsmodelle einbeziehen. Dazu gehören entsprechende vertragliche Sicherheitsanforderungen, Prüf- und Audit-Rechte sowie verbindliche Vereinbarungen zur Koordination bei Sicherheitsvorfällen. 

Prognosen für die kommenden Monate 

• Der Missbrauch von Gerätecodes wird weiter zunehmen, da die PhaaS-Verbreitung die Einstiegshürde für Angreifer senkt. Mit 250 US-Dollar pro Monat macht Kali365 diese Technik für eine breite Betreiberbasis zugänglich, gleichzeitig bleibt Microsoft 365 ein attraktives Ziel. Es ist damit zu rechnen, dass Gerätecode-Phishing-Kampagnen ihre Köderthemen diversifizieren, die derzeit vor allem Zahlungs- und Einkaufsszenarien nutzen. Künftig dürften auch aggressivere Nachahmungen routinemäßiger M365-Systembenachrichtigungen hinzukommen. 
• KI-Fähigkeiten auf Mythos-Niveau werden breiter öffentlich verfügbar werden, wodurch das Gleichgewicht zwischen Angriff und Verteidigung unter realen Bedingungen auf die Probe gestellt wird. Auch wenn sich die erneute Markteinführung von Mythos und Fable derzeit verzögert, werden entsprechende Modelle den Mainstream voraussichtlich früher oder später erreichen. Sobald die erste Generation KI-entdeckter Schwachstellen nicht mehr im Rahmen koordinierter Offenlegung, sondern in aktiven Angriffen auftaucht, ist dies ein klares Zeichen dafür, dass die Angreiferseite aufgeholt hat. 
• CVE-2026-41089 wird in Incident Reports zu Domain-Übernahmen auftauchen. Eine öffentliche, nicht authentifizierte RCE-Schwachstelle auf Domain Controllern, die keine Nutzerinteraktion erfordert, ist für Angreifer zu nützlich, um lange nur ein Fall koordinierter Offenlegung zu bleiben. Diese CVE wird voraussichtlich bis Q3 2026 in Incident-Reports genannt werden, insbesondere in Umgebungen, in denen koordiniertes Patchen aller Domain Controller unvollständig war. 
• Kompromittierungen von Drittanbietern werden die Ursachenanalyse bei Datenschutzvorfällen im Gesundheitswesen dominieren. Der Vorfall bei NYC Health + Hospitals ist der bislang größte Gesundheitsdatenvorfall des Jahres und entstand außerhalb des eigenen Perimeters der betroffenen Organisation. Da das Gesundheitswesen Anbieterbeziehungen zunehmend auf weniger spezialisierte Plattformen konsolidiert, wird sich der potenzielle Schadeneiner einzelnen Anbieterkompromittierung weiter vergrößern. 
• Biometrische Daten werden als Kategorie in Datenschutzvorfällen sichtbarer. Da Unternehmen im Gesundheitswesen, in Finanzdienstleistungen und im Bereich physischer Zugangskontrollen biometrische Authentifizierung weiter ausrollen, steigt der langfristige Wert gestohlener biometrischer Datensätze für Angreifer. In der zweiten Jahreshälfte 2026 ist mit weiteren Offenlegungen zu rechnen, die biometrische Daten ausdrücklich nennen. Zudem dürften Regulierungsbehörden biometrische Vorfälle zunehmend als eigene Kategorie für Melde- und Abhilfemaßnahmen behandeln. 
• Patch-Rückstände bei Open-Source-Software werden zu einer strategischen Risikokategorie. Da Mythos und ähnliche Tools Schwachstellen schneller finden, als die Open-Source-Community sie triagieren und beheben kann, müssen Unternehmen ihre Software-Lieferketten deutlich aktiver als bisher auf ungepatchte Sicherheitsmeldungen überwachen. 

Monatliche Empfehlungen 

• Blockieren oder beschränken Sie die Microsoft-365-Gerätecode-Authentifizierung über Conditional Access strikt. Prüfen Sie zunächst legitime Anwendungsfälle, in der Regel eine kleine Gruppe von Geräten mit eingeschränkter Eingabemöglichkeit. Wenden Sie anschließend Richtlinien an, die den Gerätecode-Ablauf für alle anderen Nutzer und Gerätekategorien blockieren. Kombinieren Sie dies mit Security-Awareness-Training, das gezielt auf Täuschung durch Code-Eingabe eingeht. So verstehen Nutzer, dass auch eine echte Microsoft-Anmeldeseite Teil des Angriffswegs sein kann. 
• Patchen Sie CVE-2026-41089 in einem koordinierten Wartungsfenster auf allen Domain Controllern. Teilweises Patchen führt zu einem unakzeptablen Zustand, da ein einziger ungepatchter Domain Controller für eine Kompromittierung ausreicht. Überprüfen Sie den Abschluss auf allen Controllern, nicht nur anhand einer Stichprobe, und bestätigen Sie, dass Netlogon-RPC-Traffic auf Netzwerkebene, soweit möglich, angemessen beschränkt ist. 
• Prüfen Sie Identitäten und Zugriffe von Drittanbietern in Ihrer Umgebung. Der Vorfall bei NYC Health + Hospitals ging von einer Anbieterkompromittierung aus. Erfassen Sie alle dauerhaften Anbieterzugriffe, überprüfen Sie, ob diese angemessen beschränkt und zeitlich begrenzt sind und wenden Sie Verhaltensüberwachung auf Anbietersitzungen an. Behandeln Sie föderierte Identitätsbeziehungen und Dienstaccounts für Dritte mit denselben Kontrollen wie Mitarbeiteridentitäten. 
• Managed Service Provider (MSPs) sollten das Hornetsecurity MSP Playbook 2026 lesen. Das Playbook behandelt Onboarding, Monitoring, Anpassung, Cybersecurity Management, Anbieterverwaltung und GenAI als operative Bereiche, in denen Standardisierung und Automatisierung sowohl Profitabilität als auch Sicherheitsniveau verbessern. Gerätecode-Phishing und Drittanbieter-Risiken fallen direkt in die Arbeitsbereiche Cybersecurity und Anbieterverwaltung, die das Playbook adressiert. 
• Stärken Sie die Überwachung von Open-Source-Abhängigkeiten und Patching-Workflows. Da KI-gestützte Schwachstellenforschung Ergebnisse in einem Tempo liefert, bei dem traditionelle Patch-Rhythmen nicht mithalten können, sollten Unternehmen über eine genaue Software-Stückliste (SBOM), automatisierte Abhängigkeitsscans in Verbindung mit aktuellen Sicherheitshinweisen sowie einen Priorisierungsprozess verfügen, der hochkritische Befunde von reinen Störsignalen unterscheidet. 

---

Über Hornetsecurity

Hornetsecurity ist ein weltweit führender Anbieter von Cloud-basierten Sicherheits-, Compliance-, Backup- und Security-Awareness-Lösungen der nächsten Generation, die Unternehmen und Organisationen jeder Größe auf der ganzen Welt unterstützen. Das Flaggschiffprodukt 365 Total Protection ist die umfassendste Cloud-Sicherheitslösung für Microsoft 365 auf dem Markt. Angetrieben von Innovation und Cybersecurity-Exzellenz, baut Hornetsecurity mit seinem preisgekrönten Portfolio eine sicherere digitale Zukunft und nachhaltige Sicherheitskulturen auf. Hornetsecurity ist über sein internationales Vertriebsnetz mit über 12.000 Channel-Partnern und MSPs in mehr als 120 Ländern aktiv. Seine Premium-Dienste werden von mehr als 125.000 Kunden genutzt.