%3Aquality(100)&w=640&q=75){kind=logo}
Vier Vorfälle, ein Muster: Vertrauenswürdige Plattformen sind die neue Sicherheitsgrenze
STATUS: Laufend SCHWERWIEGENDKEIT: 8/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
29. Juli 2026
·Blog
·Sichere Kommunikation
%3Aquality(100)&w=3840&q=75)
In einer einzigen Berichtswoche werden Spionage-Tools, die sich in Microsoft 365 verstecken, eine sich ausweitende Kompromittierung der Lieferkette von Kollaborationssoftware, gekaperte Edge-Geräte, die für die militärische Überwachung genutzt werden, sowie zehn Monate lang unentdeckter Zugriff auf die Personaldaten eines Außenministeriums miteinander verknüpft.
Was ist passiert?
Vier separate Offenlegungen, derselbe zugrunde liegende Fehlermodus. Group-IB hat „HOLLOWGRAPH“ identifiziert, ein Windows-Implantat, das den Kalender eines kompromittierten Microsoft 365-Postfachs in einen verdeckten Command-and-Control-Kanal verwandelt und Befehle sowie gestohlene Dateien überden normalen Microsoft GraphAPI-Datenverkehr1 überträgt. Es gibt keine Sicherheitslücke, die gepatcht werden müsste – die Malware missbraucht das Vertrauen und die Berechtigungen, die Unternehmen bereits gewähren.
Unabhängig davon dokumentierten südkoreanische Forscher von ENKI WhiteHat, dass Kimsuky (APT43) zwei Anbieter von Software für die Zusammenarbeit kompromittierte – einen durch Ausnutzung einer Schwachstelle im E-Mail-Server, den anderen durch Social Engineering gegenüber Mitarbeitern – und anschließend gestohlene Daten aus der Infrastruktur der Anbieter nutzte, um in die Systemeder eigenenEndkunden der Anbieter einzudringen2. Manipulierte Anmeldeseiten und das Fehlen einer Multi-Faktor-Authentifizierung trugen beide zu dieser Kettenreaktion bei.
Die niederländischen Geheimdienste AIVD und MIVD gaben bekannt, dass ein russischer Geheimdienst systematisch mit dem Internet verbundene IP-Kameras in NATO-Staaten und in der Ukraine gekapert hat, um mithilfe KI Bildanalyse Waffenlieferungen und militärische Logistik zu verfolgen – und in der Ukraine, um gezielte Angriffe auf Personal undAusrüstung zu ermöglichen³. Für keinen der dokumentierten Zugriffe war ein Zero-Day-Exploit erforderlich; Standard-Anmeldedaten und ungeschützte Verwaltungsschnittstellen reichten aus.
Das südkoreanische Außenministerium gab bekannt, dass die Online-Schulungsplattform der Korea National Diplomatic Academy fast zehn Monate lang kompromittiert war, bevor der Vorfall entdeckt wurde. Dabei wurden personenbezogene Daten von mindestens 6.000 aktiven und ehemaligen Diplomaten offengelegt, darunter etwa 350 derzeitim Ausland stationierte Attachés⁴. Der Vorfall wurde von einer externen Stelle aufgedeckt, nicht vom Ministerium selbst.
Was die Angreifer erbeutet haben – und was sie damit anstellen können
Angreifergewinn | Was es ermöglicht | Operative Konsequenz | Risiko nach dem Kompromiss |
Legitimer Zugriff auf die M365-API über ein kompromittiertes Postfach | Leiten Sie den Command-and-Control-Datenverkehr über gewöhnliche, bereits zugelassene Microsoft Graph-API-Aufrufe. | C2-Datenverkehr ist für herkömmliche Netzwerküberwachungssysteme nicht von normalen Geschäftsaktivitäten zu unterscheiden. | Durch das Entfernen der Malware werden die zugrunde liegenden Konto- und App-Berechtigungen, die den Missbrauch überhaupt erst ermöglicht haben, nicht widerrufen. |
Gestohlene Daten zur Infrastruktur von Anbietern | Nutzen Sie die Daten eines kompromittierten Groupware-Anbieters, um in die Systeme der eigenen Endkunden dieses Anbieters einzudringen. | Ein Sicherheitsvorfall bei einem einzigen Anbieter hat Auswirkungen auf jedes Unternehmen, das diesem Anbieter vertraut hat. | Jeder nachgelagerte Kunde muss sein eigenes Risiko eigenständig überprüfen, da sich die Sicherheitsverletzung beim Anbieter nicht direkt auf ein bestimmtes Opfer beziehen lässt. |
Live-Videoübertragungen zur militärischen Logistik | Verfolgen Sie Waffenlieferungen, Truppenbewegungen und Transportrouten nahezu in Echtzeit. | Der Angreifer erhält eine dauerhafte Überwachungsmöglichkeit, ohne dass weitere Eingriffe erforderlich sind. | Der Zugriff auf den Feed kann die Zielauswahl für Angriffe beeinflussen, selbst nachdem die ursprüngliche Sicherheitslücke an anderer Stelle behoben wurde. |
Personenbezogene Daten von diplomatischem Personal | Erstellen Sie ein Profil der derzeitigen und ehemaligen diplomatischen Mitarbeiter sowie ihrer Dienstposten. | Ermöglicht gezielte Folgeaktionen – Anwerbung, Nötigung oder weiteres Phishing – gegen namentlich genannte Personen. | Betroffene Mitarbeiter bleiben für den Rest ihrer beruflichen Laufbahn ein Ziel, unabhängig davon, wann die Sicherheitslücke behoben wird. |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Die Perimeter-Abwehr und das Schließen von Sicherheitslücken sind die wichtigsten Abwehrmaßnahmen | Bei drei von vier Vorfällen in diesem Zyklus wurde überhaupt keine Sicherheitslücke ausgenutzt – es handelte sich lediglich um Vertrauensmissbrauch, schwache Zugangsdaten oder fehlende MFA. | Eine Kommunikations- und Endpunktarchitektur, die darauf ausgelegt ist, außerhalb gemeinsamer, universell einsetzbarer Vertrauensgrenzen zu funktionieren, und nicht allein von der Häufigkeit der Patches abhängt |
Ein Sicherheitsvorfall bei einem einzelnen Anbieter bleibt auf diesen Anbieter beschränkt | Kimsuky nutzte gestohlene Infrastrukturdaten eines Groupware-Anbieters, um sich in alle nachgelagerten Kunden zu verbreiten | Zertifizierte Plattform mit engem Anwendungsbereich, ohne Abhängigkeit von einem gemeinsamen Multi-Tenant-Anbieter, die sich auf nachgelagerte Ebenen auswirkt |
Die Erkennung erfolgt kurz nach dem Befall | Der Hackerangriff auf die Korea Diplomatic Academy blieb fast zehn Monate lang unentdeckt, bevor eine externe Stelle darauf aufmerksam machte | Kontinuierliche Compliance-Überwachung, die darauf ausgelegt ist, ungewöhnliche Zugriffe aufzudecken, anstatt sich auf regelmäßige Audits zu verlassen |
Empfohlene Maßnahmen
SOFORT | Überprüfen Sie die OAuth-/Entra-Anwendungsberechtigungen und die Aktivitäten der Microsoft Graph-API in Ihrem gesamten Microsoft 365-Mandanten auf ungewöhnliche Kalender- oder Postfachvorgänge. |
SOFORT | Erstellen Sie eine Bestandsliste der Anbieter von Kollaborations- und Groupware-Lösungen, die über einen dauerhaften Zugriff auf Ihre Infrastruktur verfügen, und stellen Sie sicher, dass bei jedem Anbieter-Login die Zwei-Faktor-Authentifizierung (MFA) durchgesetzt wird. |
KURZFRISTIG | Ermitteln Sie alle im Unternehmensnetzwerk vorhandenen, nach außen zugänglichen Kameras oder IoT-Geräte, bei denen noch Standard-Anmeldedaten verwendet werden oder die über offene Verwaltungsschnittstellen verfügen. |
KURZFRISTIG | Erweitern Sie die UEM Überwachung über die zentralen Endpunkte hinaus auf Schulungs-, Verwaltungs- und andere Systeme mit geringerer Priorität, auf denen sensible Personaldaten gespeichert sind. |
LAUFEND | Beziehen Sie Annahmen zur Erkennungszeitachse in die Resilienzplanung ein – betrachten Sie „monatelang unentdeckt“ als den zu erwartenden Fall beim Missbrauch vertrauenswürdiger Plattformen und nicht als Ausnahme. |
Position im Bereich „BlackBerry Secure Communications“
Wenn vier voneinander unabhängige Kampagnen den Code komplett umgehen und stattdessen das Vertrauen ausnutzen, gilt die Erkenntnis nicht nur für eine bestimmte Plattform. Vielmehr zeigt sich, dass gemeinsam genutzte, mandantenfähige Vertrauensgrenzen mittlerweile die primäre Angriffsfläche darstellen und der einzige dauerhafte Schutz darin besteht, außerhalb dieser Grenzen zu agieren.
Quellenangaben:
1. HOLLOWGRAPH: Microsoft 365-Kalender als verdeckte Befehls- und Kontrollkanäle (Group-IB, 20. Juli 2026).
2. Analyse des Angriffs von Kimsuky auf einen südkoreanischen Groupware-Anbieter unter Verwendung einer neuen Variante der Gomir-Familie (ENKI WhiteHat, 20. Juli 2026).
3. Cybersicherheitswarnung: Russische staatliche Akteure kompromittieren IP-Kameras in Europa für militärische Zwecke (Allgemeiner Nachrichten- und Sicherheitsdienst (AIVD) und Militärischer Nachrichten- und Sicherheitsdienst (MIVD), 10. Juli 2026).
4. Personenbezogene Daten von 10.000 Diplomaten bei mutmaßlichem Cyberangriff offengelegt (The Korea Times, 21. Juli 2026).
Vier Vorfälle, ein Muster: Vertrauenswürdige Plattformen sind die neue Sicherheitsgrenze
STATUS: Laufend SCHWERWIEGENDKEIT: 8/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
29. Juli 2026
·Blog
·Sichere Kommunikation
In einer einzigen Berichtswoche werden Spionage-Tools, die sich in Microsoft 365 verstecken, eine sich ausweitende Kompromittierung der Lieferkette von Kollaborationssoftware, gekaperte Edge-Geräte, die für die militärische Überwachung genutzt werden, sowie zehn Monate lang unentdeckter Zugriff auf die Personaldaten eines Außenministeriums miteinander verknüpft.
Was ist passiert?
Vier separate Offenlegungen, derselbe zugrunde liegende Fehlermodus. Group-IB hat „HOLLOWGRAPH“ identifiziert, ein Windows-Implantat, das den Kalender eines kompromittierten Microsoft 365-Postfachs in einen verdeckten Command-and-Control-Kanal verwandelt und Befehle sowie gestohlene Dateien überden normalen Microsoft GraphAPI-Datenverkehr1 überträgt. Es gibt keine Sicherheitslücke, die gepatcht werden müsste – die Malware missbraucht das Vertrauen und die Berechtigungen, die Unternehmen bereits gewähren.
Unabhängig davon dokumentierten südkoreanische Forscher von ENKI WhiteHat, dass Kimsuky (APT43) zwei Anbieter von Software für die Zusammenarbeit kompromittierte – einen durch Ausnutzung einer Schwachstelle im E-Mail-Server, den anderen durch Social Engineering gegenüber Mitarbeitern – und anschließend gestohlene Daten aus der Infrastruktur der Anbieter nutzte, um in die Systemeder eigenenEndkunden der Anbieter einzudringen2. Manipulierte Anmeldeseiten und das Fehlen einer Multi-Faktor-Authentifizierung trugen beide zu dieser Kettenreaktion bei.
Die niederländischen Geheimdienste AIVD und MIVD gaben bekannt, dass ein russischer Geheimdienst systematisch mit dem Internet verbundene IP-Kameras in NATO-Staaten und in der Ukraine gekapert hat, um mithilfe KI Bildanalyse Waffenlieferungen und militärische Logistik zu verfolgen – und in der Ukraine, um gezielte Angriffe auf Personal undAusrüstung zu ermöglichen³. Für keinen der dokumentierten Zugriffe war ein Zero-Day-Exploit erforderlich; Standard-Anmeldedaten und ungeschützte Verwaltungsschnittstellen reichten aus.
Das südkoreanische Außenministerium gab bekannt, dass die Online-Schulungsplattform der Korea National Diplomatic Academy fast zehn Monate lang kompromittiert war, bevor der Vorfall entdeckt wurde. Dabei wurden personenbezogene Daten von mindestens 6.000 aktiven und ehemaligen Diplomaten offengelegt, darunter etwa 350 derzeitim Ausland stationierte Attachés⁴. Der Vorfall wurde von einer externen Stelle aufgedeckt, nicht vom Ministerium selbst.
Was die Angreifer erbeutet haben – und was sie damit anstellen können
Angreifergewinn | Was es ermöglicht | Operative Konsequenz | Risiko nach dem Kompromiss |
Legitimer Zugriff auf die M365-API über ein kompromittiertes Postfach | Leiten Sie den Command-and-Control-Datenverkehr über gewöhnliche, bereits zugelassene Microsoft Graph-API-Aufrufe. | C2-Datenverkehr ist für herkömmliche Netzwerküberwachungssysteme nicht von normalen Geschäftsaktivitäten zu unterscheiden. | Durch das Entfernen der Malware werden die zugrunde liegenden Konto- und App-Berechtigungen, die den Missbrauch überhaupt erst ermöglicht haben, nicht widerrufen. |
Gestohlene Daten zur Infrastruktur von Anbietern | Nutzen Sie die Daten eines kompromittierten Groupware-Anbieters, um in die Systeme der eigenen Endkunden dieses Anbieters einzudringen. | Ein Sicherheitsvorfall bei einem einzigen Anbieter hat Auswirkungen auf jedes Unternehmen, das diesem Anbieter vertraut hat. | Jeder nachgelagerte Kunde muss sein eigenes Risiko eigenständig überprüfen, da sich die Sicherheitsverletzung beim Anbieter nicht direkt auf ein bestimmtes Opfer beziehen lässt. |
Live-Videoübertragungen zur militärischen Logistik | Verfolgen Sie Waffenlieferungen, Truppenbewegungen und Transportrouten nahezu in Echtzeit. | Der Angreifer erhält eine dauerhafte Überwachungsmöglichkeit, ohne dass weitere Eingriffe erforderlich sind. | Der Zugriff auf den Feed kann die Zielauswahl für Angriffe beeinflussen, selbst nachdem die ursprüngliche Sicherheitslücke an anderer Stelle behoben wurde. |
Personenbezogene Daten von diplomatischem Personal | Erstellen Sie ein Profil der derzeitigen und ehemaligen diplomatischen Mitarbeiter sowie ihrer Dienstposten. | Ermöglicht gezielte Folgeaktionen – Anwerbung, Nötigung oder weiteres Phishing – gegen namentlich genannte Personen. | Betroffene Mitarbeiter bleiben für den Rest ihrer beruflichen Laufbahn ein Ziel, unabhängig davon, wann die Sicherheitslücke behoben wird. |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Die Perimeter-Abwehr und das Schließen von Sicherheitslücken sind die wichtigsten Abwehrmaßnahmen | Bei drei von vier Vorfällen in diesem Zyklus wurde überhaupt keine Sicherheitslücke ausgenutzt – es handelte sich lediglich um Vertrauensmissbrauch, schwache Zugangsdaten oder fehlende MFA. | Eine Kommunikations- und Endpunktarchitektur, die darauf ausgelegt ist, außerhalb gemeinsamer, universell einsetzbarer Vertrauensgrenzen zu funktionieren, und nicht allein von der Häufigkeit der Patches abhängt |
Ein Sicherheitsvorfall bei einem einzelnen Anbieter bleibt auf diesen Anbieter beschränkt | Kimsuky nutzte gestohlene Infrastrukturdaten eines Groupware-Anbieters, um sich in alle nachgelagerten Kunden zu verbreiten | Zertifizierte Plattform mit engem Anwendungsbereich, ohne Abhängigkeit von einem gemeinsamen Multi-Tenant-Anbieter, die sich auf nachgelagerte Ebenen auswirkt |
Die Erkennung erfolgt kurz nach dem Befall | Der Hackerangriff auf die Korea Diplomatic Academy blieb fast zehn Monate lang unentdeckt, bevor eine externe Stelle darauf aufmerksam machte | Kontinuierliche Compliance-Überwachung, die darauf ausgelegt ist, ungewöhnliche Zugriffe aufzudecken, anstatt sich auf regelmäßige Audits zu verlassen |
Empfohlene Maßnahmen
SOFORT | Überprüfen Sie die OAuth-/Entra-Anwendungsberechtigungen und die Aktivitäten der Microsoft Graph-API in Ihrem gesamten Microsoft 365-Mandanten auf ungewöhnliche Kalender- oder Postfachvorgänge. |
SOFORT | Erstellen Sie eine Bestandsliste der Anbieter von Kollaborations- und Groupware-Lösungen, die über einen dauerhaften Zugriff auf Ihre Infrastruktur verfügen, und stellen Sie sicher, dass bei jedem Anbieter-Login die Zwei-Faktor-Authentifizierung (MFA) durchgesetzt wird. |
KURZFRISTIG | Ermitteln Sie alle im Unternehmensnetzwerk vorhandenen, nach außen zugänglichen Kameras oder IoT-Geräte, bei denen noch Standard-Anmeldedaten verwendet werden oder die über offene Verwaltungsschnittstellen verfügen. |
KURZFRISTIG | Erweitern Sie die UEM Überwachung über die zentralen Endpunkte hinaus auf Schulungs-, Verwaltungs- und andere Systeme mit geringerer Priorität, auf denen sensible Personaldaten gespeichert sind. |
LAUFEND | Beziehen Sie Annahmen zur Erkennungszeitachse in die Resilienzplanung ein – betrachten Sie „monatelang unentdeckt“ als den zu erwartenden Fall beim Missbrauch vertrauenswürdiger Plattformen und nicht als Ausnahme. |
Position im Bereich „BlackBerry Secure Communications“
Wenn vier voneinander unabhängige Kampagnen den Code komplett umgehen und stattdessen das Vertrauen ausnutzen, gilt die Erkenntnis nicht nur für eine bestimmte Plattform. Vielmehr zeigt sich, dass gemeinsam genutzte, mandantenfähige Vertrauensgrenzen mittlerweile die primäre Angriffsfläche darstellen und der einzige dauerhafte Schutz darin besteht, außerhalb dieser Grenzen zu agieren.
Quellenangaben:
1. HOLLOWGRAPH: Microsoft 365-Kalender als verdeckte Befehls- und Kontrollkanäle (Group-IB, 20. Juli 2026).
2. Analyse des Angriffs von Kimsuky auf einen südkoreanischen Groupware-Anbieter unter Verwendung einer neuen Variante der Gomir-Familie (ENKI WhiteHat, 20. Juli 2026).
3. Cybersicherheitswarnung: Russische staatliche Akteure kompromittieren IP-Kameras in Europa für militärische Zwecke (Allgemeiner Nachrichten- und Sicherheitsdienst (AIVD) und Militärischer Nachrichten- und Sicherheitsdienst (MIVD), 10. Juli 2026).
4. Personenbezogene Daten von 10.000 Diplomaten bei mutmaßlichem Cyberangriff offengelegt (The Korea Times, 21. Juli 2026).
%3Aquality(100)&w=3840&q=75)