Insights & Forschung
Analysen, Einblicke und Updates zur Post-Quantum-Sicherheit, NIS2-Compliance und zum Schutz kritischer Infrastrukturen.
19 Millionen französische Identitäten zum Verkauf: Wenn die Behörde, die Ihre Dokumente ausstellt, Ihre Daten verliert
Am 15. April 2026 entdeckte France Titres — die französische Regierungsbehörde, die Pässe, Personalausweise und Führerscheine verwaltet, vormals ANTS — ein Eindringen im Portal ants.gouv.fr. Am nächsten Tag erschien auf kriminellen Foren ein Angebot: Ein Akteur namens "breach3d" (Alias "ExtaseHunters", "EvilDump") verkaufte 18-19 Millionen Datensätze mit Namen, E-Mails, Geburtsdaten, Postanschriften, Geburtsorten und Konto-IDs. Ein Drittel der französischen Bevölkerung. Die Regierung bestätigte am 21. April und benachrichtigte CNIL, ANSSI und die Pariser Staatsanwaltschaft. Das Ausweisdokument selbst wurde nicht gestohlen — aber was gestohlen wurde, ist genau das Starter-Kit für eine Identitäts-Phishing-Kampagne nationalen Ausmaßes. Für italienische Fachleute, die sensible Dossiers verwalten, hat der Fall drei sofortige operative Lehren.
Chat Control 2026: Was sich für italienische Anwälte, Journalisten und Führungskräfte wirklich ändert, wenn Europa Ihre Verschlüsselung diskutiert
Am 26. März 2026 lehnte das Europäische Parlament Chat Control 1.0 mit einer Stimme ab. Am 3. April lief die befristete Ausnahmeregelung ab, die es Big Tech erlaubte, Nachrichten ihrer Nutzer freiwillig zu scannen. Am 4. Mai wird der Trilog zu Chat Control 2.0 wieder aufgenommen, mit dem Ziel einer Einigung bis Juli. Italien gehört offiziell zu den vier Ländern, die sich gegen den Text stellen. Verpflichtendes Client-Side-Scanning wurde aus dem Vorschlag des Rates entfernt. Es klingt nach guten Nachrichten. Für diejenigen, die von vertraulicher Korrespondenz leben, sind die verbleibenden Details jedoch entscheidend. Dieser Artikel ist eine operative Karte.
Iran, 22. April 2026: Was an der Cyber-Front nach dem Waffenstillstand zu erwarten ist
AEGIDA Geo Briefing am Vorabend des Ablaufs des US-Iran-Waffenstillstands. Deutsche Uebersetzung ausstehend — italienische Version ist Quelle.
FrostArmada: APT28-DNS-Hijacking-Kampagne trifft 18.000 Geraete in 120 Laendern
AEGIDA Threat Briefing zur FrostArmada-Kampagne von APT28 (GRU-Einheit 26165). Zwischen Mai 2025 und April 2026 kompromittierte die Gruppe MikroTik-, TP-Link-, Nethesis- und Fortinet-Router in 120 Laendern und leitete DNS ueber DHCP um, um Microsoft-365-Anmeldedaten und OAuth-Tokens ueber AitM-Proxys abzufangen. Am 7. April 2026 zerschlug eine gemeinsame Operation von FBI, DOJ, polnischer Regierung, Microsoft und Lumen die Infrastruktur.
36 Schadhafte npm-Pakete als Strapi-Plugins Getarnt: Red-Team-Rekonstruktion des Supply-Chain-Angriffs auf Guardarian
Sechsunddreissig npm-Pakete, veröffentlicht in dreizehn Stunden von vier Fake-Accounts. Acht Malware-Varianten in schneller Evolution. Ein einziges Ziel: die Krypto-Plattform Guardarian. Dies ist keine Standard-Bedrohungsanalyse. Es ist eine Rekonstruktion der Operation aus der Sicht des Angreifers, Phase für Phase.
Bitcoin Depot, der 3,665-Millionen-Dollar-Diebstahl: Wie ein einziges Credential-Set die Settlement-Konten des größten US-Bitcoin-ATM-Betreibers leerte
Am 23. März 2026 erkennt das Sicherheitsteam von Bitcoin Depot — des NASDAQ-gelisteten Betreibers von über 8.500 Bitcoin-ATMs in den USA — verdächtige Aktivitäten in den Unternehmens-IT-Systemen. Die Forensik rekonstruiert, was bereits geschehen war: am 20. März, drei Tage früher, hatte ein Angreifer mit gültigen Credentials für Digital-Asset-Settlement-Konten begonnen, Bitcoin aus den Unternehmens-Wallets zu transferieren. Endbeute: 50,903 BTC, rund 3,665 Millionen Dollar zum Transferzeitpunkt, über Börsen wie KuCoin gewaschen, bevor die interne Reaktion sie stoppen konnte. Das Unternehmen erklärt, dass Kunden-Wallets und ATMs nicht betroffen waren: der betroffene Perimeter ist die operative Treasury. Es ist ein Lehrbuchfall für Hot-Wallet-Architektur mit Single-Credential-Point-of-Failure — und eine brutale Erinnerung, dass "Trennung" zwischen Nutzerinfrastruktur und Unternehmens-Treasury eine 72-Stunden-Detection-Gap nicht kompensiert.
Die Konferenz, der Phantom-Token, die blinde Signatur: Forensische Rekonstruktion des 285-Millionen-Dollar-Raubs bei Drift Protocol
Am 1. April 2026, 16:05:18 UTC, auf der Solana-Blockchain: Eine Wochen zuvor vorsignierte Transaktion wird ausgeführt. Eine Sekunde später, um 16:05:19 UTC, überträgt eine zweite Transaktion die administrativen Privilegien des Drift-DeFi-Protokolls an ein von nordkoreanischen Angreifern kontrolliertes Wallet. In den folgenden zwei Stunden und 26 Minuten fließen 18 Token-Arten im Wert von 285 Millionen Dollar aus den Drift-Vaults. Ausführungsfenster: 12 Minuten. Vorbereitung: sechs Monate. Dies ist die minutengenaue Rekonstruktion, wie eine mit UNC4736 verbundene Gruppe — der DPRK-Cluster, dem der Radiant-Capital-Hack 2024 bereits zugeschrieben wurde — eine Krypto-Konferenz, einen Phantom-Token und ein wenig bekanntes Solana-Feature in den bislang größten DeFi-Hack 2026 verwandelte.
Rockstar, GTA und 78,6 Millionen Datensätze: Wenn "Pay or Leak" um 23:59 trifft und der Anbieter Nein sagt
Am 11. April 2026 postete ShinyHunters ein Ultimatum auf seiner Leak-Site: "Rockstar Games, eure Snowflake-Instanzen wurden dank Anodot.com kompromittiert. Bezahlt oder Leak bis zum 14. April." Der 14. April kam. Rockstar zahlte nicht. ShinyHunters veröffentlichte 78,6 Millionen interne Analytics-Datensätze von GTA Online und Red Dead Online. Aber das Detail, das Sie mehr als GTA interessieren sollte, ist ein anderes: Die Angreifer hackten weder Snowflake noch Anodot im klassischen Sinne. Sie extrahierten Authentifizierungs-Tokens, die als Vertrauens-Credentials zwischen den beiden Diensten fungierten, und spazierten in Snowflake als legitime Benutzer hinein. Kein Exploit. Kein Zero-Day. Nur schlecht verwaltete SaaS-zu-SaaS-Identität.
Straße von Hormus, April 2026: 1.100 Schiffe im elektronischen Nebel — Wenn die kinetische Blockade auf PNT-Kriegsführung trifft
Während das US-Central-Command am 13. April 2026 die Seeblockade iranischer Häfen einleitete und die kommerziellen Transits durch die Straße von Hormus von 130-150 auf einstellige Werte pro Tag einbrachen, hat sich eine zweite, weniger sichtbare, aber ebenso entscheidende Front im elektromagnetischen Spektrum geöffnet: Das Joint Maritime Information Center registrierte in 24 Stunden über 600 GNSS-Störereignisse, mit mehr als 1.100 von GPS-Jamming und AIS-Spoofing betroffenen Schiffen im Persischen Golf, im Golf von Oman und in der Straße selbst. Dies ist kein Kollateralschaden: Es ist Kriegsführung gegen das Positioning-, Navigation- und Timing-System, das die gesamte globale Handelsschifffahrt trägt.
Adobe, 13 Millionen exfiltrierte Tickets: Der "Mr. Raccoon"-Breach und die Lektion, die niemand über die Support-Lieferkette lernen will
Ein Akteur unter dem Pseudonym "Mr. Raccoon" beansprucht den Diebstahl von 13 Millionen Adobe-Support-Tickets, 15.000 Mitarbeiterdatensätzen, dem gesamten HackerOne-Bug-Bounty-Archiv und internen Dokumenten. Adobe hat noch nicht offiziell bestätigt. Aber die eigentliche Story ist nicht das Volumen: Es ist der Vektor. Der Angreifer hat nicht Adobe gehackt — er hat einen Mitarbeiter eines indischen BPO-Anbieters gehackt, der Adobes Kundensupport betreibt, mit Infostealer + lateralem Phishing zum Manager. Dann nutzte er einen verblüffenden Konfigurationsfehler aus: Ein einzelner Agent-Account konnte 13 Millionen Tickets in einer einzigen Anfrage exportieren. Kein Alarm. Kein Limit. Keine Genehmigung.
Nach Khamenei: Die iranische Cyber-Eskalation im Golf und die Schockwellen auf Europa und Italien
Nach der Tötung des Obersten Führers Ali Khamenei am 28. Februar 2026 und dem brüchigen Waffenstillstand nach den iranischen Gegenschlägen sind Teheran-nahe Cyberoperationen im Golf explodiert: Die VAE melden 600.000 Angriffe, dreimal so viele wie im Vorjahreszeitraum, mit einem qualitativen Sprung von Störung zu komplexen Eindringungen in Banken, zivile Luftfahrt und Polizeiplattformen. Trotz der Waffenruhe haben Iran-nahe Gruppen geschworen weiterzumachen — und ihre Flugbahn zeigt auch auf NATO-Alliierte und europäische Infrastruktur. Was das für Italien bedeutet.
CVE-2026-35616: FortiClient EMS unter aktiver Ausnutzung — Der Pre-Auth-Bypass, der Endpoint-Management zum Eindringungsvektor macht
Fortinet hat einen Out-of-Band-Patch für CVE-2026-35616 veröffentlicht, einen Pre-Authentication API-Access-Bypass (CVSS 9.1) in FortiClient EMS, Fortinets zentraler Endpoint-Management-Plattform. Nicht authentifizierte Angreifer können beliebigen Code oder Befehle über gecraftete Requests ausführen. Erste Exploitation-Versuche wurden am 31. März 2026 registriert — vor der öffentlichen Disclosure. Wenn die Steuerungsebene der Endpoints kompromittiert ist, verliert die Perimeter-Haltung ihre Bedeutung.
Smart Slider 3 Pro kompromittiert: Sechs Stunden boesartiger Updates verwandelten tausende WordPress-Seiten in persistente Backdoors
Am 7. April 2026 wurden Nextends Update-Server kompromittiert und verteilten etwa sechs Stunden lang eine boesartige Version des beliebten Smart Slider 3 Pro Plugins. Jede WordPress- oder Joomla-Seite, die in diesem Zeitfenster aktualisiert wurde, erhielt ein vollstaendiges Remote Access Toolkit: nicht authentifizierte Backdoors, versteckte Admin-Konten, als Cache-Komponenten getarnte Must-Use-Plugins, automatisierte Exfiltration von Anmeldeinformationen.
CVE-2026-39987: Marimo in 9 Stunden und 41 Minuten ausgenutzt — Wenn die oeffentliche Disclosure zum Startschuss eines globalen Exploit-Rennens wird
Eine Pre-Authentication Remote Code Execution (RCE) Schwachstelle in Marimo, dem Python Data-Science-Notebook, wurde genau 9 Stunden und 41 Minuten nach der oeffentlichen Bekanntgabe in echten Systemen ausgenutzt. CVE-2026-39987 (CVSS 9.3) ermoeglichte es jedem, eine vollstaendige PTY-Shell ueber einen WebSocket-Endpoint ohne Authentifizierung zu erhalten.
Operation PRISMEX: APT28 greift Ukraine und NATO-Verbuendete mit Steganographie, Zero-Days und Logistiksabotage an
Die russische Gruppe APT28 (Forest Blizzard/Fancy Bear) hat eine Spionage- und Vorsabotagekampagne gegen die Ukraine, Polen, Rumaenien, die Slowakei und Tschechien gestartet. Mit dem Zero-Day CVE-2026-21509 und der neuen PRISMEX-Malware-Suite kartiert der Kreml militaerische Logistik, Transportkorridore und Wetterdienste fuer destruktive Angriffe gegen die westliche Unterstuetzung Kiews.
Der Fall Equalize: Anatomie des groessten Datenbankdiebstahls in der italienischen Geschichte — 800.000 Opfer, 52.811 unbefugte SDI-Zugriffe und was NIS2 geaendert haette
Am 9. April 2026 schloss die Mailaender Staatsanwaltschaft den zweiten Strang der Equalize-Ermittlungen mit 81 neuen Verdaechtigen, darunter Leonardo Maria Del Vecchio. Ueber fuenf Jahre lang pluenderte eine Mailaender Business-Intelligence-Firma SDI, Serpico, ANPR und die Datenbanken der Banca d'Italia und erstellte Profile von 800.000 Italienern — Politiker, Unternehmer, Sportler, sogar die Premierministerin. Vollstaendige technische Analyse: Wie sie eindrangen, was sie stahlen und warum NIS2 — richtig angewendet — sie haette stoppen koennen.
Iran in amerikanischen PLCs: Die IRGC hat bereits reale Schaeden an US-Wasser- und Energieanlagen verursacht
Das gemeinsame Advisory CISA AA26-097A vom 7. April 2026, unterzeichnet von FBI, NSA, EPA, DOE und Cyber Command, bestaetigt: Iran-affiliierte Hacker haben Rockwell-Automation-PLCs in amerikanischer kritischer Infrastruktur kompromittiert — Wasser, Energie, Regierungsdienste. Es gab reale Betriebsstoerungen und finanzielle Verluste.
GTIG-Report 2026: 90 Zero-Days im Jahr 2025 ausgenutzt — Enterprise ist das neue Schlachtfeld
Die Google Threat Intelligence Group enthuellt, dass 2025 insgesamt 90 Zero-Days in-the-wild ausgenutzt wurden — und erstmals fast die Haelfte (48%) auf Enterprise-Technologie abzielte: Firewalls, VPNs, Router und Sicherheitssoftware. Kommerzielle Ueberwachungsanbieter uebertreffen staatliche Gruppen bei der Zero-Day-Nutzung.
Der Fall Stryker: Wie der Iran Microsoft Intune zur Waffe machte und 200.000 Geraete in 79 Laendern loeschte
Am 11. Maerz 2026 traf die iranische Gruppe Handala (MOIS/Void Manticore) Stryker Corporation — einen $25-Milliarden-Medizintechnik-Riesen, Fortune 300, 56.000 Mitarbeiter — mit dem verheerendsten Wiper-Angriff, der jemals gegen ein amerikanisches Unternehmen durchgefuehrt wurde. Die Waffe? Microsoft Intune, die eigene Geraeteverwaltungsplattform des Unternehmens.
Salt Typhoon in Europa: China ist bereits in den Telekommunikationsnetzen des Kontinents
Norwegen bestaetigt: Salt Typhoon hat Netzwerkgeraete norwegischer Organisationen kompromittiert. Das FBI zaehlt ueber 200 gehackte Unternehmen in mehr als 80 Laendern. Europaeische Telekommunikation steht im Fadenkreuz des chinesischen Ministeriums fuer Staatssicherheit.
Storm-1175: Die chinesische Gruppe, die Medusa-Ransomware ueber Zero-Days in weniger als 24 Stunden verteilt
Microsoft enthuellt, dass Storm-1175, ein finanziell motivierter chinesischer Akteur, Zero-Days in SmarterMail und GoAnywhere MFT ausnutzt, um Medusa-Ransomware mit beispielloser Geschwindigkeit zu verteilen — in einigen Faellen von der Erstkompromittierung bis zum Ransomware-Einsatz in unter 24 Stunden.
Medusa: Die Ransomware, die Zero-Days ausnutzt und in 24 Stunden zuschlaegt — Vom Krankenhaus zu den Uffizien
Microsoft enthuellt, dass die Medusa-Gruppe Zero-Day-Schwachstellen Tage vor der oeffentlichen Bekanntgabe ausnutzt und die gesamte Angriffskette in nur 24 Stunden abschliesst. Zu den juengsten Opfern gehoeren Krankenhaeuser, Universitaeten und Kultureinrichtungen.
Zwei Zero-Days in einer Woche: BlueHammer bedroht jeden Windows-PC, Fortinet CVE-2026-35616 trifft Regierungen
Ein frustrierter Forscher veroeffentlicht den BlueHammer-Exploit auf GitHub: eine ungepatchte Windows-Luecke zur SYSTEM-Eskalation. Gleichzeitig wird CVE-2026-35616 (9.1/10) in FortiClient EMS aktiv gegen Regierungsbehoerden weltweit ausgenutzt. CISA ordnet Patching bis Donnerstag an.
Iran: Raketen auf Staedte, Password Spraying auf Kommunen — Wie Teheran kinetische und Cyber-Kriegsfuehrung synchronisiert
Check Point enthuellt eine iranische Drei-Wellen-Kampagne gegen ueber 300 israelische Organisationen und 25+ in den VAE. Der beunruhigendste Befund: Die vom Password Spraying angegriffenen Staedte stimmen mit den von iranischen Raketen getroffenen ueberein.
Operation TrueChaos: Wie China eine Videokonferenz-Plattform zur Massenspionage-Waffe machte
Chinesische Hacker nutzten eine Zero-Day-Schwachstelle im Update-Mechanismus von TrueConf — einer Plattform mit 100.000 Organisationen, darunter Regierungen, Militaer und kritische Infrastrukturen — um Malware ueber den vertrauenswuerdigen Update-Kanal zu verteilen. Ein einzelner kompromittierter Server infizierte gleichzeitig Dutzende von Regierungsbehoerden. CISA ordnete Patching innerhalb von 14 Tagen an.
BrowserGate: LinkedIn scannt heimlich 6.236 Browser-Erweiterungen und kartiert Ihr Unternehmen
Eine unabhaengige Untersuchung zeigt, dass LinkedIn verstecktes JavaScript verwendet, um die Chrome-Erweiterungen jedes Besuchers zu scannen, Geraete-Hardware-Daten zu sammeln und zu kartieren, welche Unternehmen welche Konkurrenzprodukte nutzen. Alles ohne ausdrueckliche Zustimmung.
Ransomware-Angriff auf die Uffizien: Italiens Kulturerbe im Visier der Cyberkriminalitaet
In der Nacht vom 1. auf den 2. Februar 2026 griff die Ransomware-Gruppe Medusa die Verwaltungssysteme der Uffizien in Florenz an. Analyse des Vorfalls, Auswirkungen auf italienische Kultureinrichtungen und operative Empfehlungen.
Schwarze Woche: EU-Kommission gehackt, Rumaenien unter Beschuss, russische Hacker kehren zu alten Zielen zurueck
In nur sieben Tagen erlitt Europa drei Cyber-Ereignisse von strategischer Tragweite: die Kompromittierung der Cloud der Europaeischen Kommission mit Datenexposition von 30 EU-Einrichtungen, 10.000 taegliche Angriffe auf Rumaenien und die CERT-UA-Warnung vor der Rueckkehr russischer Hacker in bereits kompromittierte Netzwerke. Analyse einer Woche, die das Bedrohungsniveau fuer den Kontinent neu definiert.
Sandworm und das europaeische Stromnetz: Anatomie einer hybriden Kampagne, die Italien nicht ignorieren kann
Niederlaendische Geheimdienste, der Muenchner Sicherheitsbericht und neue EU-Sanktionen zeichnen ein alarmierendes Bild: Russland fuehrt koordinierte cyber-kinetische Operationen gegen europaeische Energieinfrastruktur durch. Eine Analyse der Gruppe APT44/Sandworm, ihrer weiterentwickelten TTPs und der Auswirkungen auf den italienischen Energiesektor.
Operation Epic Fury: Irans Cyber-Stellvertreterkrieg und das Risiko fuer Europa
Wie der militaerische Konflikt USA-Israel-Iran die umfangreichste Cyber-Stellvertreter-Offensive der juengeren Geschichte ausgeloest hat — und warum europaeische Infrastrukturen im Visier eines seit Jahren vorpositionierten Netzwerks stehen. Analyse der TTPs, Angriffsketten und strategischen Implikationen.
Perfekter Sturm: Zero-Days und Supply Chain unter Angriff — Threat Report April 2026
April 2026 beginnt mit einer Konvergenz kritischer Bedrohungen: Cisco FMC Zero-Day CVE-2026-20131 (CVSS 10.0), Supply-Chain-Angriffe auf npm und PyPI sowie KI-beschleunigte Angriffe mit 29-Minuten-Breakout-Zeiten. Vollstaendige Analyse und operative Empfehlungen.
NIS2: Fristen, Pflichten und Strafen fuer europaeische Unternehmen
Die NIS2-Richtlinie fuehrt strenge Verpflichtungen fuer wesentliche und wichtige Einrichtungen ein. Was Sie wissen muessen, um die Compliance sicherzustellen.
Store-Now-Decrypt-Later: Warum Ihre heutige Kommunikation bereits gefaehrdet ist
Quantencomputer sind noch nicht einsatzbereit, aber die Bedrohung ist bereits real. Wie der "Store-Now-Decrypt-Later"-Angriff funktioniert und wie Sie sich mit Post-Quantum-Kryptografie schuetzen.
Supply-Chain-Angriffe: der bevorzugte Vektor der APT-Gruppen 2025-2026
Von SolarWinds bis XZ Utils: Warum Supply-Chain-Angriffe zur groessten Bedrohung fuer kritische Infrastrukturen geworden sind und wie man sich schuetzt.
Anatomie des SolarWinds-SUNBURST-Angriffs: die Lieferkette als strategische Waffe
Vertiefte technische Analyse des SUNBURST-Angriffs, der 2020 ueber ein legitimes Software-Update 18.000 Organisationen kompromittierte. Timeline, Evasionsmechanismen, Auswirkungen und Lehren fuer die Post-Quantum-Sicherheit.
Colonial Pipeline: Anatomie des groessten Ransomware-Angriffs auf kritische US-Infrastruktur
Tiefgehende Analyse des DarkSide-Ransomware-Angriffs auf Colonial Pipeline (Mai 2021): von einem kompromittierten VPN-Passwort bis zur Abschaltung von 8.850 km Pipeline. Gewonnene Erkenntnisse und wie ein Zero-Trust-Ansatz die Katastrophe verhindert haette.