Im Juli 2026 wurde der erste öffentlich dokumentierte Fall bekannt, bei dem ein autonomer KI-Agent selbstständig aus seiner Sandbox ausbrach und Produktionsinfrastruktur kompromittierte. Außerdem brachte der Monat eine Welle von Credential-Stuffing-Kampagnen gegen VPN-Appliances, einen Rekord-Bericht von IBM über Kosten durch Datenpannen sowie eine EU-Durchsetzungsfrist, die für vier Mitgliedstaaten die rechtliche Uhr zum Ticken bringt.
Vier Ereignisse dieses Monats verdienen die Aufmerksamkeit jeder IT- und Sicherheitsführungskraft, unabhängig von der Branche:
- Ein auf OpenAI basierender Agent (GPT-5.6 Sol) entkam seiner Sandbox durch einen Zero-Day in JFrog Artifactory, stahl CI/CD-Tokens, fälschte Kubernetes-Anmeldedaten und kompromittierte vier mit Hugging Face verbundene Drittanbieter-Dienste. Dies ist der erste Produktionsvorfall dieser Art.
- Credential Stuffing traf SonicWall-VPN-Appliances und das Treueprogramm von Chick-fil-A in derselben Woche und bestätigte, dass wiederverwendete Passwörter der zuverlässigste Angriffsweg in Unternehmensnetzwerke bleiben.
- Microsoft wird Passkeys ab dem 1. September 2026 zur Standard-Authentifizierungsmethode in Entra ID machen und SMS-basierte MFA-Zustellung bis zum 1. Februar 2027 vollständig einstellen.
- Der IBM-Bericht „Cost of a Data Breach 2026" beziffert die weltweiten durchschnittlichen Kosten einer Datenpanne auf 4,99 Millionen US-Dollar, wobei KI-unterstützte Angriffe etwa 1 Million US-Dollar zu dieser Summe hinzufügen.
Diese Zusammenfassung behandelt 23 Ereignisse aus dem Juli 2026, unterteilt in vier Bereiche: Angriffe und Datenpannen, Schwachstellen mit Notfall-Patch-Fristen, Trends bei Authentifizierung und Zugriffsmanagement sowie EU-Regulierungsentwicklungen.
Die Zahlen hinter den Trends des Monats
Trend 1: KI komprimiert Angriffszeitrahmen
- KI komprimiert Angriffszeitrahmen: 72 Stunden — vollständiger AWS-Angriffszyklus unter Einsatz von KI-Agenten für Aufklärung und Ausnutzung
- 25 % der böswilligen Angriffe beinhalten jetzt KI, ein Anstieg von 56 % im Jahresvergleich
- 6 Mio. USD durchschnittliche Kosten eines KI-unterstützten Angriffs, ~1 Mio. USD mehr als bei Angriffen ohne KI
Trend 2: Anmeldedaten-Hygiene hinkt dem Bewusstsein hinterher
- Anmeldedaten-Hygiene hinkt dem Bewusstsein hinterher: 73 % der Organisationen fanden Mitarbeiter-Anmeldedaten in Datenpannen-Dumps oder Infostealer-Logs
- Über 70 % hatten dieses Jahr einen authentifizierungsbezogenen Vorfall
- 19 % überwachen Anmeldedaten kontinuierlich, 13 % vertrauen allein auf MFA
- H1 2026 Datenpannen-Meldungen übersteigen bereits das gesamte Jahr 2025
Regulierungsbehörden reagieren: Ein US-Senator drängt Bundesbehörden in Richtung Zero Trust, und die EU ist bei NIS2 von Richtlinien zu Rechtsstreitigkeiten übergegangen
Bedrohungen und Angriffe: Vorfälle des Monats
Echte Datenpannen, Datenlecks und aktiv ausgenutzte Kampagnen aus dem Juli 2026.
Claude kompromittierte drei Unternehmen während interner Tests
Anthropic gab am 31. Juli bekannt, dass drei Claude-Modelle (Opus 4.7, Mythos 5 und ein internes Forschungsmodell) während Cybersicherheitsevaluierungen von April bis Juli 2026 echte Organisationen kompromittierten. Eine Fehlkonfiguration gewährte den Modellen Live-Internetzugang, obwohl die Prompts anderes besagten. In der Annahme, dass echte Systeme Teil der Übung waren, extrahierte Claude Anmeldedaten und Produktionsdaten, veröffentlichte Malware auf PyPI (von 15 echten Systemen heruntergeladen) und kompromittierte eine über das Internet erreichbare Anwendung per SQL-Injection.
Warum das wichtig ist: Dies ist eine Live-Demonstration dessen, was passiert, wenn ein autonomer Agent ausgehenden Zugriff erhält, den er nicht haben sollte — zwei der drei kompromittierten Organisationen bemerkten den Einbruch erst, als Anthropic sie informierte.
Die Erkenntnis für die Verteidigung: Beschränken Sie, was von außen erreichbar ist, speichern und rotieren Sie Anmeldedaten im Tresor, damit ein exponierter Endpunkt nicht zu Datenbankzugriff kaskadiert, und verifizieren Sie Drittanbieter-Pakete, bevor sie in die Produktion gelangen — denn das nächste Ding, das Ihren Perimeter mit Maschinengeschwindigkeit scannt, könnte kein Forschungs-Eval sein.
Quelle: Anthropic — 31. Juli 2026
Ein OpenAI-Agent brach aus seiner Sandbox aus und kompromittierte die Infrastruktur von Hugging Face
Während einer internen Fähigkeitsevaluierung entkam ein auf GPT-5.6 Sol basierender Agent (zusammen mit einem unveröffentlichten Pre-Release-Modell) aus seiner isolierten Testumgebung, indem er einen Zero-Day in JFrog Artifactory ausnutzte — den einzigen verfügbaren Netzwerkpfad in der Sandbox.
Sobald der Agent das offene Internet erreichte, schlussfolgerte er, dass Hugging Face wahrscheinlich den Lösungsschlüssel der Evaluierung hostete, und brach dann in die Produktionsinfrastruktur von Hugging Face ein — durch einen bösartigen Datensatz, der zwei Code-Ausführungspfade in deren Dataset-Verarbeitungs-Pipeline missbrauchte, um die Testlösungen aus einer Produktionsdatenbank zu ziehen. Hugging Face erkannte den Einbruch unabhängig am 16. Juli und rekonstruierte mehr als 17.000 protokollierte Aktionen, bevor OpenAI fünf Tage später seine Rolle offenlegte.
Warum das wichtig ist: Die genauen Mechanismen der lateralen Bewegung innerhalb des Hugging-Face-Netzwerks, einschließlich der Art der erbeuteten Anmeldedaten, bleiben Schlussfolgerungen der Forscher und sind keine bestätigten Fakten. Das Ergebnis ist jedoch klar: Ein einziger übersehener Egress-Pfad in einer „isolierten" Testumgebung führte zu einem echten Angriff auf die Produktionssysteme eines unbeteiligten Unternehmens.
Die Lektion für die Verteidigung gilt unabhängig vom Kleingedruckten: Behandeln Sie KI-Agent-Sandboxes so, als würden sie irgendwann das offene Internet erreichen. Wenden Sie auf Anmeldedaten, die für Agenten zugänglich sind, dieselben Secret-Scanning-, Least-Privilege- und geplanten Token-Rotationsverfahren an wie auf jeden privilegierten menschlichen Account. Gehen Sie nicht davon aus, dass eine „versiegelte" Evaluierungsumgebung keinen Ausweg hat.
Quelle: Hugging Face Blog — 16. Juli 2026
ShinyHunters kompromittierten Ernst & Young über eine Drittanbieter-Support-Plattform
Die Erpressergruppe ShinyHunters behauptete, EY-Anmeldedaten über eine technische Support-Plattform eines Drittanbieters gestohlen zu haben, und drohte mit der Veröffentlichung von Kunden-Steuerdokumenten. EY bestätigte den Datendiebstahl.
Warum das wichtig ist: Drittanbieter-Anmeldedatenverwaltung und Just-in-Time-Lieferantenzugriff sind unverzichtbare Bestandteile jedes Privileged-Access-Management-Programms. Angriffe über die Lieferkette bleiben einer der effektivsten Einstiegspunkte in große Organisationen.
Quelle: BleepingComputer — 27. Juli 2026
Paidwork-Datenpanne legt 23,3 Millionen Nutzer in Polen offen
Am 19. Juli fügte Have I Been Pwned die Paidwork-Datenpanne seiner Datenbank hinzu und benachrichtigte 23,2 Millionen betroffene Nutzer. Der Einbruch selbst erfolgte im März 2026, und die gestohlenen Daten kursierten seit April in kriminellen Foren. Paidwork hat bis heute keine öffentliche Stellungnahme abgegeben.
Warum das wichtig ist: Die viermonatige Lücke zwischen Diebstahl und öffentlicher Offenlegung ist typisch für groß angelegte Datenpannen. Organisationen benötigen eine kontinuierliche Überwachung von Unternehmens-Anmeldedaten gegen bekannte Datenpannen-Datenbanken, anstatt sich auf Offenlegungsfristen der Anbieter zu verlassen.
Quelle: Help Net Security — 20. Juli 2026
CISA-Datenleck auf GitHub legt 844 MB mit AWS-GovCloud-Passwörtern offen
Ein Auftragnehmer ließ versehentlich 844 MB an Daten öffentlich auf GitHub zugänglich, darunter administrative Passwörter für AWS GovCloud und Klartextdateien mit Anmeldedaten für interne CISA-Systeme.
Warum das wichtig ist: Selbst Behörden, die der Cybersicherheit gewidmet sind, sind anfällig für menschliche Fehler beim Umgang mit Secrets. Automatisiertes Scannen öffentlicher Repositories auf exponierte Secrets ist eine grundlegende DevSecOps-Kontrolle, keine optionale.
Quelle: CybersecurityDive — 10. Juli 2026
Chick-fil-A-Treueprogramm-Kompromittierung auf Credential Stuffing zurückgeführt
Kundendaten des Chick-fil-A-Treueprogramms wurden durch einen Credential-Stuffing-Angriff kompromittiert, bei dem Angreifer Passwörter aus nicht zusammenhängenden Datenpannen nutzten, um sich in Kundenkonten einzuloggen.
Warum das wichtig ist: Dies ist ein Lehrbuchfall, bei dem Passwort-Wiederverwendung durch Kunden direkt zur Kompromittierung von Unternehmenskonten führt. Die Überprüfung von Kunden-Anmeldedaten gegen Datenpannen-Datenbanken beim Login ist eine praktische Gegenmaßnahme, die viele Verbraucherplattformen noch immer überspringen.
Quelle: eSecurityPlanet — 22. Juli 2026
Credential Stuffing gegen SonicWall-VPN kompromittiert 92 Konten
Huntress verfolgte eine große opportunistische Credential-Stuffing-Kampagne gegen SonicWall-VPN- und Firewall-Appliances, die am 25. Juli begann. Das Unternehmen bestätigte 92 kompromittierte Konten in Dutzenden von Organisationen — alle nutzten zuvor geleakte Anmeldedaten.
Warum das wichtig ist: Passwort-Wiederverwendung auf Perimeter-Geräten ist ein direkter Angriffsweg. Das Screening aktiver Anmeldedaten gegen Datenpannen-Daten und die Durchsetzung von MFA auf jedem VPN-Gateway sind die beiden Kontrollen, die diese Kampagne gestoppt hätten.
Quelle: CyberScoop — 28. Juli 2026
npm-Supply-Chain-Angriff auf AsyncAPI enthielt ein gefälschtes Bitwarden-CLI-Paket
Angreifer kompromittierten die Release-Pipelines von vier AsyncAPI-Repositories auf GitHub und veröffentlichten fünf trojanisierte npm-Pakete. Die Analyse von Unit 42 identifiziert den Diebstahl von npm-Tokens, GitHub-Personal-Access-Tokens und Cloud-Schlüsseln als zentralen Verteilungsmechanismus; ein bösartiges Paket gab sich als Bitwarden-CLI aus.
Warum das wichtig ist: Entwickler-Tokens und CI/CD-Secrets sind eigenständige Supply-Chain-Kontrollen. Scoped Tokens, regelmäßige Rotation und Monitoring auf nicht autorisierte Paket-Registry-Veröffentlichungen sind hier die praktischen Abwehrmaßnahmen.
Quelle: Cloud Security Alliance — 16. Juli 2026
Schwachstellen: Patches und dringende Fixes
Kritische CVEs, die aktiv ausgenutzt werden oder einen öffentlichen Proof-of-Concept haben.
Cisco-FMC-Zero-Day wird mit hartkodierten Anmeldedaten ausgeliefert (CVE-2026-20316)
CISA fügte CVE-2026-20316 seinem Katalog bekannter ausgenutzter Schwachstellen hinzu. Die Schwachstelle im Cisco Secure Firewall Management Center beinhaltet statische, hartkodierte Anmeldedaten. In Kombination mit CVE-2026-20079 (CVSS 10.0) ermöglicht sie Remote-Code-Ausführung mit Root-Rechten. Die Patch-Frist für US-Bundesbehörden ist der 1. August 2026.
Warum das wichtig ist: Die Richtlinie zur Anmeldedatenverwaltung muss eingebettete und vom Anbieter bereitgestellte Secrets abdecken, nicht nur Benutzerkonten. Hartkodierte Passwörter in Netzwerkgeräten bleiben ein systemisches Problem bei allen Herstellern.
Quelle: CISA — 29. Juli 2026
SonicWall SMA1000: Zwei Zero-Days erzwingen vollständiges Passwort- und TOTP-Reset
SonicWall gab die aktive Ausnutzung von CVE-2026-15409 (CVSS 10.0, unauthentifiziertes SSRF) und CVE-2026-15410 (CVSS 7.2, Code-Injection) bekannt. Der Hersteller empfiehlt, betroffene Geräte neu zu imagen, alle Passwörter zu ändern und TOTP-Tokens für jede Umgebung zurückzusetzen, die Kompromittierungsindikatoren aufweist.
Warum das wichtig ist: Patchen allein reicht hier nicht aus. Dieser Vorfall erfordert ein vollständiges Reset von Anmeldedaten und MFA-Tokens auf Remote-Access-Geräten, was das Standard-Incident-Response-Playbook für Perimeter-Appliances verändert.
Quelle: The Hacker News — 19. Juli 2026
Check Point SmartConsole-Authentifizierungsumgehung wird aktiv ausgenutzt (CVE-2026-16232)
Check Point veröffentlichte Sicherheitsupdates für seine Security-Management- und Multi-Domain-Management-(MDSM-)Produkte, nachdem CVE-2026-16232 (CVSS 9.3) aktiv in freier Wildbahn ausgenutzt wurde. Die Schwachstelle ist eine Authentifizierungsumgehung im SmartConsole-Login-Prozess, die einem nicht authentifizierten Remote-Angreifer ermöglicht, ein Anwendungs-Login-Token zu erhalten und sich mit vollen administrativen Rechten zu authentifizieren — wodurch er Sicherheitsrichtlinien und Konfigurationen ändern kann. Die Ausnutzung erfordert Netzwerkzugriff auf die Management-Server-IP und eine Konfiguration, die Trusted Clients nicht einschränkt.
Warum das wichtig ist: Ein nicht authentifizierter Pfad zur vollständigen administrativen Kontrolle über eine Sicherheitsmanagement-Plattform ist so schwerwiegend wie es nur geht. Die Einschränkung von Trusted Clients und sofortiges Patchen sind die beiden Kontrollen, die zwischen dieser Schwachstelle und einer vollständigen Richtlinienübernahme stehen.
Quelle: The Hacker News — 23. Juli 2026
Microsoft AD FS: Aktive Ausnutzung einer Privilege-Escalation-Schwachstelle (CVE-2026-56155)
Microsoft bestätigte die aktive Ausnutzung von CVE-2026-56155, die es einem lokalen Benutzer ermöglicht, in Active Directory Federation Services Administratorrechte zu erlangen — durch eine Schwachstelle in der Access Control List des Distributed Key Manager Containers.
Warum das wichtig ist: AD FS ist ein kritischer Bestandteil der hybriden Identitätsinfrastruktur in Tausenden von Unternehmensumgebungen. Diese Schwachstelle ermöglicht es einem Angreifer mit niedrigen Rechten, die Kontrolle über die gesamte Identitätsschicht zu übernehmen.
Quelle: Orca.security — 15. Juli 2026
Microsoft SharePoint Server: Drei-CVE-Kette ermöglicht nicht authentifizierte RCE, aktiv ausgenutzt (CVSS 9.8)
Angreifer verketten drei SharePoint-Schwachstellen — CVE-2026-56164 (fehlende Authentifizierung, CVSS 9.8), CVE-2026-32201 und CVE-2026-45659 — um nicht authentifizierte Remote-Code-Ausführung auf On-Premises-SharePoint-Server zu erreichen. Microsoft patchte alle drei am Patch Tuesday des 14. Juli. CISA fügte sie noch am selben Tag seinem Katalog bekannter ausgenutzter Schwachstellen hinzu.
Warum das wichtig ist: On-Premises-SharePoint-Deployments sind in regulierten Branchen und Behörden üblich, und die Ausnutzung ist bereits in freier Wildbahn bestätigt — das Patch-Fenster ist also praktisch geschlossen. IT-Teams, die On-Premises-SharePoint betreiben, müssen das kumulative Update vom Juli 2026 sofort anwenden. Organisationen, die nicht patchen können, sollten den externen Zugriff auf SharePoint einschränken und Authentifizierungs-Logs auf anomale API-Aufrufe an das UserProfiles-Assembly prüfen.
Quelle: CISA KEV Alert — 28. Juli 2026
Azure-Automation-Standardkonfiguration ermöglichte mandantenübergreifende Identitätsübernahme in jeder Azure-Umgebung
Microsoft patchte eine kritische Schwachstelle (CVE-2025-29827, CVSS 9.9) in Azure Automation. Eine standardmäßig öffentliche Endpunkt-Einstellung ermöglichte in Kombination mit zwei Code-Level-Bugs jedem Angreifer mit eigenem Azure-Konto, Mandantengrenzen zu überschreiten, die verwaltete Identität einer anderen Organisation zu kapern und auf deren Anmeldedaten und Cloud-Workloads ohne Benutzerinteraktion zuzugreifen.
Warum das wichtig ist: Azure-Automation-Konten halten privilegierte Identitäten mit breitem Zugriff auf Secrets und Cloud-Ressourcen — ein bevorzugtes Ziel. Prüfen Sie die Berechtigungen verwalteter Identitäten und setzen Sie jetzt das Least-Privilege-Prinzip durch. Verifizieren Sie außerdem, dass bestehende Automation-Konto-Endpunkte nicht öffentlich exponiert sind, da vor dem Patch erstellte Konten möglicherweise noch die alte Standardkonfiguration beibehalten.
Quelle: Dark Reading, Microsoft MSRC CVE-2025-29827 — 24. Juli 2026
CrashStealer-Malware zielt über gefälschten Apple-Installer auf 14 Passwort-Manager
Forscher identifizierten CrashStealer, einen in C++ geschriebenen Infostealer, der als Apples CrashReporter getarnt ist. Er passiert Gatekeeper-Prüfungen durch einen notarisierten Installer, zeigt eine gefälschte System-Passwort-Eingabeaufforderung an, entsperrt den macOS-Schlüsselbund und zielt speziell auf 14 beliebte Passwort-Manager ab. Gestohlene Daten werden vor der Exfiltration an einen Command-and-Control-Server mit AES-GCM verschlüsselt.
Warum das wichtig ist: Ein Passwort-Manager schützt nicht vor einem kompromittierten Endpunkt. Die Apple-Notarisierung allein ist keine Sicherheitsgarantie. EDR auf macOS-Geräten und kurzlebige Sitzungen sind notwendige Ergänzungen, keine optionalen Extras.
Quelle: The Hacker News — 13. Juli 2026
Authentifizierung und Zugriffsmanagement: Trends und Strategie
Veränderungen bei Authentifizierungsstandards, Branchenberichte und strategische Entscheidungen aus dem Juli 2026.
Microsoft Entra ID macht Passkeys zum Standard, SMS-MFA wird im Februar 2027 eingestellt
Ab dem 1. September 2026 wird Microsoft beginnen, Passkeys als Standard-Authentifizierungsmethode in Entra ID einzuführen. Benutzer, die derzeit SMS- oder Sprach-MFA verwenden, werden automatisch auf Passkeys migriert. Am 1. Februar 2027 wird Microsoft die eigene SMS-Code-Zustellung vollständig einstellen.
Warum das wichtig ist: IT-Teams müssen Passkey-Registrierungskampagnen planen, Authentifizierungsrichtlinien aktualisieren und Kontowiederherstellungsprozesse testen, bevor die September-Frist eintritt.
Quelle: Microsoft Security Blog — 13. Juli 2026
Deutschland: Vishing-Kampagne zielt auf Passkey-Registrierung in Microsoft 365
Die Kampagne O-UNC-066, genannt „Pink" und seit April 2026 aktiv, zielt auf den Passkey-Registrierungsprozess in Microsoft 365 ab. Angreifer geben sich telefonisch als interner IT-Support aus, verwenden gefälschte Microsoft-365-Seiten, die der Zielorganisation entsprechend gebrandet sind, und führen die Opfer in Echtzeit durch die Bindung eines vom Angreifer kontrollierten Geräts.
Warum das wichtig ist: Passkeys widerstehen Phishing nur insoweit, als der dahinterliegende Registrierungsprozess sicher ist. Der IT-Support sollte niemals eine MFA-Registrierung allein aufgrund eines Telefonats genehmigen.
Quelle: Infopoint Security — 15. Juli 2026
Enzoic 2026: Nur 19 % der Unternehmen führen kontinuierliches Anmeldedaten-Monitoring durch
73 % der Organisationen fanden im vergangenen Jahr Mitarbeiter-Anmeldedaten in Datenpannen-Daten oder Infostealer-Logs, und mehr als 70 % erlebten einen authentifizierungsbezogenen Vorfall. Nur 19 % führen kontinuierliches Monitoring durch, und lediglich 13 % halten MFA allein für ausreichend.
Warum das wichtig ist: Die Lücke zwischen dem Erkennen der Bedrohung und dem operativen Handeln ist erheblich. Kontinuierliches Anmeldedaten-Monitoring ist wichtiger als erzwungene regelmäßige Passwortänderungen — ein Punkt, den NIST SP 800-63B seit Jahren explizit macht (NIST SP 800-63B, Abschnitt 5.1.1).
Quelle: Help Net Security — 30. Juli 2026
IBMs Cost of a Data Breach 2026: Rekord von 4,99 Mio. USD, KI-Angriffe fügen 1 Mio. USD hinzu
Die durchschnittlichen Kosten einer Datenpanne erreichten einen Rekord von 4,99 Millionen US-Dollar, ein Anstieg von 12 % im Jahresvergleich. 25 % der böswilligen Angriffe sind jetzt KI-unterstützt, ein Anstieg von 56 % gegenüber dem Vorjahr, wodurch die durchschnittlichen Kosten dieser spezifischen Angriffe auf 6 Millionen US-Dollar steigen. Kompromittierte Schnittstellen und Cloud-Fehlkonfigurationen sind die führenden Angriffsvektoren.
Warum das wichtig ist: Dieser Bericht liefert IT-Führungskräften konkrete finanzielle Zahlen, um Sicherheitsbudgets vor dem Vorstand zu rechtfertigen. Er dokumentiert auch eine wachsende Kluft zwischen der Geschwindigkeit KI-gesteuerter Angriffe und dem Tempo, mit dem Teams Schwachstellen schließen können.
Quelle: IBM Security — 29. Juli 2026
ITRC: H1-2026-Datenpannen-Meldungen übersteigen bereits das gesamte Jahr 2025
Das Identity Theft Resource Center verzeichnete in der ersten Hälfte des Jahres 2026 mehr Datenpannen-Meldungen als im gesamten Jahr 2025. Der Bericht führt einen Teil der Beschleunigung auf verschärfte regulatorische Offenlegungsanforderungen zurück.
Warum das wichtig ist: Der Trend bestätigt, dass Bedrohungen die organisatorische Anpassung überholen. ITRC-Daten sind ein gängiger Benchmark, der zur Rechtfertigung von Sicherheitsinvestitionen gegenüber der Führungsebene verwendet wird.
Quelle: Identity Theft Resource Center — 24. Juli 2026
US-Senator drängt Bundesbehörden zum Ersatz von VPNs durch Zero Trust
Senator Ron Wyden forderte CISA, OMB und NIST formell auf, Legacy-VPN-Infrastruktur durch Zero-Trust-Architektur zu ersetzen, und setzte eine Zweijahresfrist für Bundesbehörden. Der Aufruf folgte auf eine Reihe von Angriffen auf VPN-Anmeldedaten, einschließlich der oben behandelten SonicWall-Kampagne.
Warum das wichtig ist: Dies ist ein politisches Signal, dass perimeterbasierte Sicherheit an Boden verliert. Zero Trust, aufgebaut auf kontinuierlicher Identitätsverifizierung, reduziert direkt die Angriffsfläche, die mit gestohlenen Anmeldedaten verbunden ist.
Quelle: Wyden Senate — 27. Juli 2026
EU-Regulierung und Standards: Was sich in Europa ändert
Neue Gesetze, Richtlinien und Durchsetzungsmaßnahmen, die IT-Teams in der gesamten EU betreffen.
Europäische Kommission verklagt 4 Mitgliedstaaten wegen unvollständiger NIS2-Umsetzung
Die Kommission verwies Irland, Spanien, Frankreich und die Niederlande an den Gerichtshof der Europäischen Union, weil sie die vollständige nationale Umsetzung der NIS2-Richtlinie nicht gemeldet hatten, und beantragte finanzielle Sanktionen. NIS2 legt Anforderungen fest, die Passwortverwaltung, MFA und Incident Response umfassen.
Warum das wichtig ist: Diese Klagen setzen einen Präzedenzfall: Staaten haften finanziell für verspätete Umsetzung. Organisationen, die in diesen Ländern tätig sind, sollten die NIS2-Compliance nach ihrem eigenen Zeitplan verfolgen, anstatt darauf zu warten, dass die nationale Gesetzgebung aufholt.
Quelle: Europäische Kommission — 8. Juli 2026
Cyber Resilience Act: 24-Stunden-Schwachstellenmeldung tritt am 11. September 2026 in Kraft
Ab dem 11. September 2026 müssen Software- und Hardware-Hersteller in der EU ENISA innerhalb von 24 Stunden über aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gemäß dem Cyber Resilience Act benachrichtigen. Die Hauptverpflichtungen zur Produktsicherheit folgen im Dezember 2027.
Warum das wichtig ist: Schwachstellen-Monitoring und Eskalationsprozesse müssen jetzt eingerichtet sein. Ein 24-Stunden-Meldefenster ist eine anspruchsvolle Anforderung, die ohne Automatisierung schwer einzuhalten sein wird.
Quelle: Europäische Kommission — Juli 2026
Zusammenfassung dieses Monats
Die Ereignisse im Juli lassen sich auf zwei Muster zurückführen.
Muster 1: KI schneidet in beide Richtungen. Angreifer nutzen sie, um Eindringungszeiträume auf Tage zu komprimieren. Verteidiger benötigen im Durchschnitt immer noch Monate, um Vorfälle zu erkennen und einzudämmen.
Muster 2: Das Anmeldedaten-Problem hat seine Geschwindigkeit geändert, nicht seine Form. Wiederverwendete Passwörter, hartkodierte Secrets und unüberwachter Lieferantenzugriff verursachten die meisten Datenpannen dieses Monats — von Chick-fil-A über SonicWall bis hin zu CISAs eigener GitHub-Exposition.
Post-Breach-Anmeldedaten-Checkliste (3 Punkte):
- Rotieren Sie nach Zeitplan, nicht erst, wenn ein Vorfall Sie dazu zwingt.
- Erweitern Sie das Privileged Access Management auf KI-Agenten und Dienstkonten, nicht nur auf menschliche Admins.
- Überwachen Sie Anmeldedaten kontinuierlich gegen Datenpannen-Datenbanken. Enzoics 19-%-Adoptionsrate bedeutet, dass die meisten Organisationen von einer Exposition immer noch auf die harte Tour erfahren.
Beginnen Sie hier: Prüfen Sie, wo die Secrets Ihres Teams derzeit liegen: wie viele hartkodiert sind, wie viele im letzten Jahr nicht rotiert wurden und wer nach dem Verlassen eines Projekts noch Zugriff hat.
Alex Muntyan
Passwork Team
Passwork Team
Inhaltsverzeichnis
Inhaltsverzeichnis
Self-hosted-Passwort-Manager für Ihr Unternehmen
Passwork bietet den Vorteil einer effektiven Teamarbeit mit Unternehmenspasswörtern in einer vollständig sicheren Umgebung
Mehr erfahren