Bei Dienstleisterzugängen stellt sich die Frage nach der Reichweite von Berechtigungen schon lange vor Beteiligung von KI. SpyCloud fand auf einem infizierten Rechner eines US-Anbieters von Zählertechnik gespeicherte Anmeldedaten zu ungefähr 167 Versorgerportalen. Daraus folgt nicht automatisch, dass alle Zugänge (noch) gültig waren oder bereits Anlagensteuerungen übernommen worden waren. Der Fund beschreibt vielmehr, wie viele Zugänge zu Kundenumgebungen auf einem einzigen System zusammenkommen können. Für einen Versorger ist deshalb auch von Bedeutung, wie sein Dienstleister die verwendeten Rechner und Zugangsdaten absichert. Die Sperrung eines betroffenen Kontos muss zwischen beiden Seiten abgestimmt werden, damit sie sämtliche eingerichteten Zugänge erfasst, ohne eine notwendige Versorgungstätigkeit unvorbereitet zu unterbrechen.
Kiteworks hat seinen Kunden am Freitag empfohlen, ihre Server am Samstagmorgen vorsorglich abzuschalten, nachdem Ermittlungsbehörden vor einem möglicherweise bevorstehenden Angriff gewarnt hatten. Nach dem von Sophos wiedergegebenen Hinweis ging es um den Zeitraum von 4 bis 10 Uhr MESZ; eine öffentlich bestätigte Angriffsmethode lag zum Redaktionsschluss noch nicht vor. Betroffene Unternehmen müssen somit über eine Unterbrechung ihres Betriebs entscheiden, bevor sie das technische Risiko vollständig kennen. Für die Wiederaufnahme bleibt die konkrete Auskunft des Anbieters maßgeblich, denn aus dem genanntenZeitraum lässt sich nicht ableiten, dass die Systeme anschließend wieder gefahrlos betrieben werden können.
Bei Roundcube und TeamCity ist die Ausgangslage anders, weil die nun erneut diskutierten Schwachstellen seit Monaten behoben sind. Die kanadische Cybersicherheitsbehörde verweist auf Berichte über Angriffe auf ein Roundcube-Plugin, während CISA die TeamCity-Lücke inzwischen auch Ransomware-Kampagnen zuordnet. Für die zuständigen Teams geht es zunächst darum, ob ihre Installationen betroffen sind und die Korrekturen tatsächlich eingespielt wurden. Bestehen Hinweise auf einen Einbruch, reicht diese Bestandsaufnahme allerdings nicht aus. Ein TeamCity-Server kann Zugangsdaten für weitere Entwicklungsdienste enthalten und die Software beeinflussen, die anschließend ausgeliefert wird. Der Umfang einer Untersuchung richtet sich dann nach diesen Verbindungen und nicht nur nach dem Zustand des Servers.
Dass auch eine scheinbar erfolgreiche Sperre zu spät kommen kann, erläutert Zenity Labs anhand der inzwischen behobenen SalesBleed-Angriffskette. Eine präparierte Kundenanfrage brachte Salesforce Agentforce dazu, CRM-Daten abzurufen und in einen externen Domainnamen einzubauen. Schon dessen Auflösung über DNS übertrug die Informationen; ob der anschließende Bildabruf blockiert wurde, spielte dafür keine Rolle mehr. Salesforce hat die gemeldeten Fehler im August geschlossen. Der veröffentlichte Versuch erklärt jedoch, weshalb sich ein solcher Schutz nicht allein anhand dersichtbaren Antwort des Assistenten beurteilen lässt.
Mit der Kontrolle solcher Aktionen beschäftigen sich inzwischen eigene Sicherheitsanbieter. Das Münchner Unternehmen Kontext hat vier Millionen Dollar eingeworben und beschreibt eine Software, die vor einem Werkzeugaufruf sowohl den Auftrag als auch die Berechtigungen des Agenten berücksichtigt. Splunk erläutert in neu veröffentlichten Interviews verwandte Ansätze für den Sicherheitsbetrieb und die Beobachtung von Agentenaktionen. Technisch geht es dabei um mehr als eine zusätzliche Anmeldung: Auch ein berechtigter Agent kann einen Auftrag falsch auslegen oder sich von fremden Inhalten beeinflussen lassen. Wie zuverlässig die angebotenen Kontrollen arbeiten, muss sich im jeweiligen Einsatz zeigen. Zu ihren Betriebskosten gehören auch die Pflege der Regeln und die Bearbeitung fälschlich blockierter Vorgänge.
Die Prüfung jenseits der eigenen Systeme kann auch ein Fall für den Datenschutz sein. Solocal hatte Werbekontakte von Datenhändlern bezogen, deren Formulare jedoch keine rechtsgültigen Einwilligungen zu Werbezwecken ermöglichten. Inzwischen verbindet das Unternehmen eine automatisierte Analyse dieser Formulare mit menschlicher Kontrolle. Die französische CNIL hat die Nachbesserung akzeptiert und ihre Anordnung abgeschlossen. Für Fehler, die dabei übersehen werden, bleibt Solocal verantwortlich. Wer eingekaufte Kontaktdaten nutzen möchte, muss nachvollziehen können, unter welchen Bedingungen die Menschen ursprünglich in die Werbung eingewilligt haben.
Quellen zum Blog-Beitrag
· Canadian Centre for Cyber Security: Roundcubesecurity advisory (AV26-503) – Update 1, aktualisiert am 21.09.2026; neueBerichterstattung am 25.09.2026, https://www.cyber.gc.ca/en/alerts-advisories/roundcube-security-advisory-av26-503.
· CISA / GitHub: Known ExploitedVulnerabilities Catalog, Eintrag CVE-2026-63077, Abruf 26.09.2026, https://raw.githubusercontent.com/cisagov/kev-data/main/known_exploited_vulnerabilities.json.
· CNIL: Clôture de l’injonction prononcéeà l’encontre de la société SOLOCAL MARKETING SERVICES, 24.09.2026, https://www.cnil.fr/fr/cloture-injonction-solocal-marketing-services.
· Frontier Enterprise: Splunk’s approachto AI oversight at scale, 25.09.2026, https://www.frontier-enterprise.com/splunks-approach-to-ai-oversight-at-scale/.
· JetBrains: Critical Security Issue Affecting TeamCity On-Premises (CVE-2026-63077), Juli 2026, https://blog.jetbrains.com/teamcity/2026/07/cve-2026-63077/.
· KontextSecurity (kontext.security): Kontext Raises $4M to Stop AI Agents From Going Rogue at Work, 24.09.2026, https://kontext.security/blog/kontext-raises-4m-funding.
· Roundcube: Security updates 1.6.16 and1.7.1, 24.05.2026, https://roundcube.net/news/2026/05/24/security-updates-1.6.16-and-1.7.1.
· Sophos: Kiteworks recommends servershutdown pending possible attack, 25.09.2026 https://www.sophos.com/en-us/blog/kiteworks-recommends-server-shutdown-pending-possible-attack.
· SpyCloud: Beyond the Pipes: The IdentityExposure Hiding in U.S. Water Utility Vendors, 20.09.2026; neueBerichterstattung am 25.09.2026, https://spycloud.com/blog/water-utility-identity-exposure/.
· Zenity Labs: SalesBleed: Indirect PromptInjection and 0-Click Data Exfiltration on Agentforce, 24.09.2026, https://labs.zenity.io/post/salesbleed-0-click-data-exfiltration-on-agentforce.
