Bei einem Angriff auf Brevo vom 14. September blieben die Ursprungsdateien unverändert. Trotzdem erhielten Besucher betroffener Websites schädlichen Code. Wie geht das? Die Angreifer hatten einen weitreichenden API-Schlüssel missbraucht und die Inhalte im Cloudflare-CDN verändert. Wer nur die Dateien auf den eigenen Servern prüfte, kann eine solche Manipulation leicht übersehen. Für die Aufklärung zählen in einem solchen Fall auch die Konfiguration und Protokolle der vorgeschalteten Dienste. Ebenso wichtig ist, welche Rechte deren Zugangsschlüssel besitzen und wie schnell sie sich sperren lassen. Brevo widerrief die kompromittierten Zugangsdaten und entfernte die eingeschleusten Funktionen. Fazit: Die Untersuchung solcher Vorfälle darf nicht mit einem unauffälligen Befund auf dem Ursprungsserver enden.
Linux-Administratoren müssen unterdessen zwei unterschiedliche Warnungen auseinanderhalten. CISA hat drei Kernel-Lücken in ihren Katalog nachweislich ausgenutzter Schwachstellen aufgenommen und fordert auch forensische Erstprüfungen. Daneben veröffentlichte ein Forscher vier andere Schwachstellen samt Test-Exploits, mit denen sich lokal Root-Rechte erlangen lassen. Das ist ein ernst zu nehmender Befund,aber noch kein Nachweis laufender Angriffskampagnen. Für die Reihenfolge der Maßnahmen zählen daher nicht allein Schweregrade. Zu klären sind unmittelbar eine Reihe von Fragen: Welche Funktionen sind aktiv, welche Systeme sind erreichbar, und welche Korrekturen hat die eingesetzte Distribution bereits übernommen? Diese Prüfungen verhindern, dass eine dringende Aktualisierung liegen bleibt oder einbereits abgesichertes System unnötig umgebaut wird.
Neue EBA-Leitlinien befassen sich mit Dienstleisterrisiken außerhalb der Informations- und Kommunikationstechnik. Sie ergänzen damit den durch DORA geregelten IKT-Bereich, DORA selbst wird nicht erweitert. Institute sollten auch bei anderen bezogenen Leistungen kritische Abhängigkeiten und Ersatzmöglichkeiten erfassen. Für den Geltungsbeginn steht in der veröffentlichten Fassung allerdings noch ein Platzhalter. Daraus lässt sich keine feste Umstellungsfrist ableiten. Die Bestandsaufnahme sollte dennoch zügig beginnen. Eine konsolidierte Übersicht über Verträge, unterstützte Geschäftsleistungen und zuständige Fachbereiche erleichtert die Vorbereitung auf die später notwendige Umsetzung.
Splunk will genauer sichtbar machen, was KI-Agenten im Betrieb tun. AgentObservability verfolgt Modellaufrufe und Werkzeugnutzung, bewertet Ergebnisse und soll problematische Aktionen noch während der Ausführung verhindern. Für Unternehmen ist dabei entscheidend, ob die Kontrolle rechtzeitig greift und wie häufig sie reguläre Abläufe blockiert. Eine nachträgliche Erklärung hilft wenig, wenn ein Agent zuvor bereits vertrauliche Daten versendet hat. Vor der Einführung sollten deshalb konkrete Aufgaben getestet werden, einschließlich fehlerhafter Eingaben und unerwarteter Werkzeugaufrufe. In die Bewertung gehören neben der Erkennungsleistung auch die Kosten der Überwachung und die Frage,welche vertraulichen Inhalte überhaupt protokolliert werden müssen.
Bei Gyazo umfasste der Datenabfluss neben Nutzerinformationen auch Metadaten von Bilddateien. Darunter waren Kennungen, aus denen sich die Adressen gespeicherter Bilder zusammensetzen lassen. Helpfeel spricht von rund 23,62 Millionen Nutzerdatensätzen – nicht von ebenso vielen betroffenen Menschen. Auch ein vollständiger Download aller zugehörigen Bilder ist damit nicht belegt. Für Unternehmen, deren Beschäftigte den Dienst nutzen, kommt es nun auf die Inhalte an: Waren vertrauliche Bildschirmaufnahmen darunter, und welche davon könnten zugänglich geworden sein? Gestohlene Sitzungskennungen und Integrationstokens verlangen zudem andere Maßnahmen als offengelegte Passwort-Hashes. Der Anbieter hat entsprechende Zugänge beschränkt und Authentifizierungsinformationen ungültig gemacht.
Ein vertraulicher Kontakt kann an einem falsch eingerichteten Postfach scheitern. Eine neue Fachanalyse greift dazu einen Fall aus dem Berliner Datenschutzbericht 2025 auf. Anfragen an den Datenschutzbeauftragten gingen an ein allgemeines Team; über die veröffentlichte Telefonnummer war er gar nicht erreichbar. Die Aufsicht verwarnte das Unternehmen. Eine korrekt angegebene Adresse genügt also nicht, wenn andere Stellen die Nachricht mitlesen oder vorab bearbeiten. Der Kontakt muss unmittelbar und vertraulich möglich sein. Die Vertraulichkeit gilt auch gegenüber dem Unternehmen selbst. Prüfen lässt sich das ganz konkret: durch einen Test der veröffentlichten Kontaktwege und einen Abgleich der tatsächlich vergebenen Zugriffsrechte.
Quellen:
- Asim Manizada: A quartet of Linux local root vulns: DirtyAH6, PPPoEject, TUNderflow, and DiagSpill, 18.09.2026.
https://heyitsas.im/posts/lpe-quartet/ - Berliner Beauftragte für Datenschutz und Informationsfreiheit: Jahresbericht 2025, Abschnitt XI.3: Vertraulicher Kontakt zu betrieblichen Datenschutzbeauftragten, Berichtsjahr 2025; Hintergrund zur Fachanalyse vom 18.09.2026.
https://www.datenschutz-berlin.de/jahresbericht-2025/ - Brevo: Post-mortem: malicious “ClickFix” script served via Brevo’s Cloudflare account, Vorfall: 14.09.2026; neue Berichterstattung am 18.09.2026; separates Veröffentlichungsdatum des Post-Mortems nicht ausgewiesen.
https://status.brevo.com/incidents/01M2QBC4EZ24ZACW6SWQYVW8N3/write-up - CISA / GitHub: Known Exploited Vulnerabilities Catalog, Version 2026.09.18, 18.09.2026.
https://raw.githubusercontent.com/cisagov/kev-data/main/known_exploited_vulnerabilities.json - DSN Group: Vertraulicher Kontakt zum betrieblichen Datenschutzbeauftragten: Mehr als eine Formalie!, 18.09.2026.
https://www.dsn-group.de/datenschutz-notizen/vertraulicher-kontakt-zum-betrieblichen-datenschutzbeauftragten-mehr-als-eine-formalie - EBA / Diritto Bancario: Final report – EBA Guidelines on the sound management of third-party risk regarding non-ICT services, 18.09.2026.
https://www.dirittobancario.it/wp-content/uploads/2026/09/Rapporto-finale-sulle-linee-guida-EBA-sul-rischio-di-terze-parti-per-i-servizi-non-ICT-EBA_GL_2026_09.pdf - Helpfeel: Notice and Apology Regarding a Data Breach Resulting from Unauthorized Access to Gyazo, 16.09.2026; neue Berichterstattung am 18.09.2026.
https://corp.helpfeel.com/en/news/news-20260916 - Red Hat: CVE-2025-39682, Abruf: 19.09.2026.
https://access.redhat.com/security/cve/cve-2025-39682 - Splunk: Observe, Evaluate, and Guardrail Your AI Agents With Agent Observability, 18.09.2026.
https://www.splunk.com/en_us/blog/observability/observe-evaluate-and-guardrail-your-ai-agents-with-agent-observability.html
