Die DGFiP brauchte 48 Tage, um einen Datenschutzvorfall mit 678.000 Steuerdatensätzen offenzulegen. Das französische Recht befreit den Staat ausdrücklich von den DSGVO-Bußgeldern, die es einem privaten Unternehmen auferlegen würde.
CVE-2026-58231 erreicht den Höchstwert 10.0 in SAP Commerce Cloud. Es gab keinen öffentlichen Exploit, doch Honeypots erfassten echte Angriffe drei Tage nach dem Patch.
Ein geleakter AWS-Schlüssel erlaubte Angreifern, Beacons CRM-Datenbank für Wohltätigkeitsorganisationen zu kopieren. Finanzfirmen haben DORA, kritische Infrastruktur hat NIS2 - der gemeinnützige Sektor hat keins von beidem.
RingCentral macht am 28. Juli für den Vorfall eine "ausgeklügelte Social-Engineering-Kampagne" verantwortlich, ohne technische Details, nachdem ShinyHunters 1,6 Millionen Kundendatensätze veröffentlichte. EU- und UK-Lieferantenregister bleiben ohne neue Fakten.
Clop nannte Shell, Philips, GE und Fiserv unter fast 50 Opfern einer Kampagne, die eine zwei Monate zuvor gepatchte PTC-Windchill-Lücke ausnutzte. Gestohlen wurden Konstruktionsdaten und Werksunterlagen, keine personenbezogenen Daten - das könnte die DSGVO-Meldepflicht umgehen und dennoch NIS2-Pflichten auslösen, die kaum ein Hersteller auf dem Schirm hat.
Microsoft ordnet eine neue Ransomware-Variante namens StormEncryptor einer China-nahen Gruppe zu, die uber dieselbe N-able-N-central-Lücke in Kundennetzwerke eindrang, die ein erster Patch nicht vollständig schließen konnte. N-able veröffentlichte am 10. August einen zweiten Hotfix, vier Tage nachdem bestätigt worden war, dass Angreifer bereits verwaltete Endpunkte erreicht hatten.
CVE-2026-71362 lässt einen nicht authentifizierten Angreifer eine Kundensitzung bei Adobe Commerce oder Magento übernehmen. Sansec blockierte echte Angriffe binnen Stunden nach dem Patch.
CVE-2026-55040 und CVE-2026-63520 wurden im Abstand von einem Monat gepatcht, ergeben verkettet aber unauthentifizierte Codeausführung auf jeder unterstützten On-Premises-SharePoint-Version.
Die BSI-Schonfrist für verspätete NIS2-Registrierungen endete am 31. Juli. Offizielle Zahlen zeigen eine Lücke von fast 40 Prozent - Stadtwerke trifft es am härtesten.
Eine vCenter-Lücke mit CVSS 9.8 wurde laut dem DFIR-Unternehmen QUIRSO innerhalb von fünf Tagen nach dem Patch in 47 Ländern aktiv ausgenutzt. Wochen später fehlt sie noch immer in der KEV-Liste der CISA.
Der am 12. August veröffentlichte ShieldBreak-Machbarkeitsnachweis hebelt Microsofts Juli-Fix für CVE-2026-50656 auf vollständig gepatchten Windows-10-, -11- und Server-2025-Systemen aus. Patch-Compliance bedeutet nicht mehr Schutz.
ShipMonk, Trezors Versanddienstleister, wurde über eine Metabase-Schwachstelle gehackt und legte Adressen von fast 13.700 Hardware-Wallet-Käufern offen. Chainalysis-Zahlen zeigen, warum diese Liste für Kriminelle mehr wert ist als ein Passwort.
Seite 1 / 11
Eine überlegte Notiz zu Infrastruktur, Governance und Messbarkeit, fast jeden Morgen. Keine Theorie.