Security-Briefing September 2026: Berliner IT-Schwächen ausgenutzt

KI-gestützter Cyberangriff auf Taiwan
Mutmasslich chinesische Angreifer hackten unter Zuhilfenahme von bis zu acht KI-Agenten über 80 Regierungskonten Taiwans. Laut der Financial Times haben sich die Angriffe unter anderem auch gegen Taiwans Atomaufsicht und mindestens sieben Energieunternehmen gerichtet. Über die Schäden wurde nichts bekannt.
Mehr dazu

Angriff auf Threema und Nine: vorbildliche Aufarbeitung
Threema war am 11. August 2026 mehrere Stunden lang nicht verfügbar. Nun haben das Hosting-Unternehmen Nine und Threema selbst den DDoS-Angriff umfassend aufgearbeitet. Der Traffic blockierte Threema und schränkte auch das Netzwerk von Nine ein. Auf dem Höhepunkt des Angriffs entstanden 500 bis 600 Gbit/s. Laut dem Hoster verwendeten die Angreifer die Methode UDP-Amplification.
Mehr dazu

Angreifer im Mailsystem einer Walliser Gemeinde
Martigny-Combe hat einen Angriff auf das E-Mail-System der Gemeinde gemeldet. Kriminelle hätten den Zugang zum Versand von betrügerischen Nachrichten verwendet, teilte die 2300 Menschen zählende Walliser Gemeinde mit. Sie warnt vor betrügerischen E-Mails im Namen der Gemeindeverwaltung. Nach Entdeckung sei der Zugriff gesperrt, der Vorgang analysiert und dem Bundesamt für Cybersicherheit (BACS) gemeldet worden.
Mehr dazu

Angriff auf Webshop von Thurcom
Der Telekom-Anbieter Thurcom – die Stadt Wil ist Miteigentümerin – erlitt einen Angriff auf seinen Webshop. Zum Glück war dieser gerade in Migration. Daten seien nicht verschlüsselt worden oder gar abgeflossen. Nur noch vierzehn Antragsformulare befanden sich auf dem Server. Die betroffenen Kunden wurden ebenso wie die zuständigen Behörden informiert.
Mehr dazu

Gefälschte Captchas: Bist du ein Mensch?
Nein, eine Malware: Das Bundesamt für Cybersecurity warnt vor einem neuen Trick der Kriminellen. Sie nutzen auf kompromittierten Websites gefälschte Fehlermeldungen und Captcha-Abfragen. Diese verleiten User dazu, schädliche Befehle einzugeben. Sie fangen sich damit aber nur Schadsoftware ein. Die gefälschten Captchas imitieren laut BACS solche des US-amerikanischen Content-Delivery-Network-Anbieters Cloudflare.
Mehr dazu

HWZ verliert Daten wegen Lieferketten-Angriff
Die Hochschule für Wirtschaft Zürich (HWZ) hat aufgrund eines Angriffs auf ihren IT-Dienstleister Personendaten verloren. Die eigene Infrastruktur sei aber nicht betroffen, so die HWZ gegenüber Inside IT. Laut dem Fachmedium hat sich inzwischen die Ransomware-Bande Payload zum Angriff bekannt und Daten im Umfang von 490 Gigabyte im Darknet veröffentlicht. Rund 70 GB davon sollen HWZ-Daten enthalten.
Mehr dazu

Einbruch bei Strassenverkehrsbehörde Lettlands
Bei einem Einbruch in die Systeme der Strassenverkehrsbehörde CSDD sind laut Behördenangaben die Daten von 1.2 Millionen Privatpersonen und 200'000 Firmen erbeutet worden. Die Datensätze enthalten etwa Namen, Zahlungsangaben, Autokennzeichen und Adressen. Der lettische Ministerpräsident Andris Kulbergs kritisierte in einer Mitteilung die involvierten Behörden. Er sei «unangenehm überrascht über einen gewissen IT-Sicherheits-Infantilismus».
Mehr dazu

Trump erlaubt Gegenschläge
Ausgewählte US-Unternehmen dürfen nach einem Erlass von Donald Trump offensive Cyberoperationen gegen ausländische kriminelle Gruppen durchführen – dies aber nur im Auftrag der US-Regierung und erst nach expliziter Freigabe. Das Weisse Haus will nach eigenen Angaben die Fähigkeiten der Privatwirtschaft besser nutzen, um einen offensiven Cybervorteil zu erlangen. Grundlage ist ein jüngst unterzeichnetes Memorandum.
Mehr dazu

Deloitte-Studie fordert stärkeres Engagement vom Bund
Schneller, skalierbarer und intelligenter: Cyberangriffe überfordern vor allem kleinere Unternehmen. Eine repräsentative Deloitte-Studie zeigt: 49 % der Mitarbeitenden haben in den letzten drei Monaten einen ernsthaften Cybervorfall erlebt. Nur etwas weniger als die Hälfte davon schätzt aber das Risiko als hoch ein. Die Studie schlägt als eine von vielen Massnahmen vor, dass der Bund verständliche Mindeststandards setzt und die Koordination stärkt. 87 % der befragten Unternehmen unterstützen weitgehende Vorschriften zur Cybersicherheit, bevorzugen aber flexible, branchengeführte Standards oder Hybrid-Modelle.
Mehr dazu

Schutz nach Bedarf im Kanton Bern
Der Kanton Bern gibt sich im November 2026 neue Bestimmungen zur Cybersicherheit. Das neue Gesetz über die Informations- und Cybersicherheit (ICSG) und die Verordnung über die Informations- und Datensicherheit (IDSV) treten in Kraft. Kern ist ein Schutz nach Bedarf. Die zuständigen Behörden müssen jedes ICT-Mittel vor dessen Inbetriebnahme beurteilen und in eines von vier Schutzniveaus einstufen. Neu gilt auch eine Meldepflicht bei Cyberangriffen innert 24 Stunden. Betreffen sie allein Personendaten, sind es 72 Stunden.
Mehr dazu

Bug Bounty Switzerland heisst neu SignalFisher
Abraxas-Partnerin Bug Bounty Switzerland richtet sich neu aus: Sie heisst künftig SignalFisher und fokussiert sich jetzt auf kontinuierliche KI-orchestrierte Sicherheitstests. Das Zeitfenster zwischen Bekanntwerden einer Schwachstelle und ihrer Ausnutzung sei auf nur wenige Stunden geschrumpft. Da könnten die bisherigen Prozesse in Unternehmen nicht mehr mithalten, so das Unternehmen in einer Mitteilung.
Mehr dazu

925 kritische Lücken in Oracle-Software
Im Juli noch fast 1500, im August «nur» noch 925 Schwachstellen: Oracle schliesst Sicherheitslücken «am Laufmeter». Am stärksten betroffen sind E-Business-Suite, Hyperion und Fusion Middleware. Sie enthalten sogar CVSS-10.0-Schwachstellen. Patches einzuspielen ist also dringend angeraten.
Mehr dazu

Sprachmodell per Code übertölpelt
Normalerweise verfügen KI-Modelle über Sicherheitsfilter, die etwa Anfragen zum Bau von Biowaffen oder von Computerviren verweigern. Forschern gelang es bereits vor Monaten, die Filter mit bestimmten Konversationstechniken zu überlisten. Nun zeigt sich, dass auch neue Versionen über dieselben Schwächen verfügen. Einer Studie des Alan-Turing-Instituts zufolge machen alle Modelle bereitwillig mit, wenn dieselben bösartigen Anfragen über einen mehrstufigen Coding-Workflow in Visual Studio Code geleitet werden. Je mehr Agenten Code schreiben, desto anfälliger werden die Sprachmodelle.
Mehr dazu

Sechs Bugs im E-Voting-System der Post
Die Post zieht ein positives Fazit ihres diesjährigen Intrusiontests. Sie hat 85 Meldungen von Sicherheitsforschern erhalten und konnte sechs davon bestätigen. Kritisch ist laut Mitteilung keine, eine Schwachstelle wird mit dem Schweregrad «hoch» eingestuft. Diese hätte die Verfügbarkeit einschränken, die abgegebenen Stimmen jedoch nicht verändern können. Insgesamt griffen die ethischen Hacker von 5479 IP-Adressen aus 107 Ländern auf die Testumgebung zu.
Mehr dazu

Agov schliesst 26 Lücken mit Bug-Bounty-Programm
Das Behördenlogin AGOV zählt seit Kurzem zwei Millionen Konten. Das seit Dezember 2025 laufende Bug-Bounty-Programm hat bisher 26 Schwachstellen offengelegt, aufgespürt von 156 Sicherheitsforschenden. Dafür flossen Prämien von insgesamt 17'000 Franken.
Mehr dazu

Fast 1000 Sicherheitslücken in der Microsoft-Welt
Der September-Patchday von Microsoft umfasst 974 Sicherheitslücken, zwei davon werden bereits aktiv ausgenutzt. Die meisten Schwachstellen betreffen das Betriebssystem Windows, dahinter Microsoft Office. Nur 12 Schwachstellen sind in Azure enthalten. Weitere 25 Lücken betreffen Drittanbieter-Software – somit stopfen die jüngsten Patches 999 Lücken.
Mehr dazu

Sicherheitslücken in cyberphysischen Systemen in Rechenzentren
Ein neuer Report der Sicherheitsfirma Claroty zeigt: Gebäudemanagement- und -automationssysteme, unterbrechungsfreie Stromversorgungen (USV) und Generatoren sowie Klimatisierung und Rechenzentrums-Infrastrukturmanagement (DCIM) stellen ein Risiko dar. Das Problem sind mögliche Verbindungen zum Internet, unsichere Protokolle und veraltete Firmware. Solche cyberphysischen Systeme (CPS) enthalten leicht ausnutzbare Sicherheitslücken. Dem Report liegen Daten von mehr als 750'000 CPS-Anlagen der weltweit grössten Rechenzentren zugrunde.
Mehr dazu