Breach FM - der Infosec Podcast

Erstes Thema: SearchLeak (CVE-2026-42824). Varonis Threat Labs hat eine dreistufige Angriffskette in Microsoft 365 Copilot Enterprise Search entdeckt: Ein präparierter Microsoft-Link, dessen URL-Parameter Copilot als Prompt interpretiert, kombiniert mit einer HTML-Rendering-Race-Condition und Bings Search-by-Image-Endpunkt als unfreiwilligem Exfiltrationsproxy. Ein Klick reicht – E-Mails, MFA-Codes, Kalendereinträge, alles was der User sehen darf, fließt ab. Microsoft hat server-seitig gepatcht. Das Muster – KI-Assistent wird durch Prompt Injection zur Datenwaffe – ist strukturell: EchoLeak, Reprompt, jetzt SearchLeak, drei Angriffe derselben Klasse.
Max bringt einen Blogpost von Google Cloud CISO Chris Betz, der beschreibt, wie Google seine eigene KI intern wie einen Insider behandelt: mit Least Privilege, Monitoring, Auditing und Segmentierung. Was mich interessiert: auch Google musste dafür erst mal sein Asset Management nachziehen und konsolidieren. Die Kernbotschaft bleibt trotzdem richtig – wenn Angreifer mit Machine Speed arbeiten, muss die Verteidigung das auch. Für CISOs bedeutet das: Model Security, Agent Security, Data Governance werden zur Pflicht, nicht zur Kür.
Dann Robert über NPM 12: Install Scripts von Dependencies laufen nicht mehr automatisch, bestimmte Remote-Dependencies werden blockiert. Überfällig und sinnvoll – aber 30-40% der NPM-Malware läuft erst beim Import, nicht bei der Installation. Wer einen Maintainer kompromittiert, kommt weiterhin durch. Gute Iteration, kein Allheilmittel.
Zum Abschluss: Apple erweitert Private Cloud Compute auf die Google Cloud. Dasselbe Zero-Trust-Prinzip wie bisher – selbst Google soll keinen Zugriff auf verarbeitete Nutzerdaten bekommen. Clevere Partnerschaft statt Frontier-Rennen.
SearchLeak / CVE-2026-42824 (Varonis)
https://www.varonis.com/blog/searchleak
Google Cloud CISO Chris Betz: AI Threat Defense
https://cloud.google.com/blog/products/identity-security/how-google-cloud-is-applying-ai-to-threat-defense
NPM 12 / Risky Business Soapbox mit Paul McCarty
https://risky.biz/soapbox_npm12
Apple Private Cloud Compute auf Google Cloud
https://security.apple.com/blog/private-cloud-compute-google-cloud

Breach FM diese Woche mit einer Premiere und zugleich Ausnahme. Da sich Max Imbiel noch im wohlverdienten Urlaub befinde, nehme ich aus Oslo eine kurze Solo Folge auf.Am Sonntag früh kam die Meldung: Anthropic hat Fable 5 – die öffentliche, mit Guardrails versehene Version von Mythos – sowie Mythos selbst abgeschaltet, auf Anweisung des US-Handelsministeriums per Export-Control-Direktive. Da die Order auch Anthropics eigene nicht-US-amerikanische Mitarbeiter traf, blieb Anthropic keine Wahl, als beide Modelle global zu deaktivieren.Zur Einordnung: Aus Regierungskreisen heißt es, Guardrails von Fable ließen sich jailbreaken. Anthropic selbst hat das als engen, nicht-universellen Jailbreak eingestuft, der auch bei anderen Modellen möglich ist. Ich sehe drei mögliche Erklärungen: echte Sicherheitsbedenken, wirtschaftlicher Protektionismus – oder der andauernde Kleinkrieg zwischen White House und Anthropic. Wahrscheinlich eine Mischung. Was mich am meisten beschäftigt: Wenn es wirklich um Sicherheit geht, warum wurde es nicht auch für US-Bürger gesperrt? Die EU-Souveränitätsdebatte bespreche ich lieber nächste Woche mit Max.Zweites Thema: Ein Varonis-Report, den ich unbedingt empfehlen möchte. Varonis hat einen OpenClaw-Agenten in einer realistischen Google-Workspace-Umgebung mit internen E-Mails, AWS-Credentials und CRM-Daten klassischem Phishing ausgesetzt. Ergebnis: Der Agent hat auf Social Engineering fast immer reagiert – Credentials rausgegeben, Kundendaten extern verschickt. Nicht weil das LLM ausgetrickst wurde, sondern weil es ein Trust-Problem ist. Wer gerade agentische Systeme im Backoffice aufbaut, sollte diesen Report lesen.

Anthropic Statement zur Abschaltung
https://www.anthropic.com/news/fable-mythos-access
Hintergrund: Amazon-CEO löste Abschaltung aus (Fortune)
https://fortune.com/2026/06/14/how-a-warning-from-amazon-led-the-white-house-to-shut-down-anthropics-mythos-model/
Varonis: KI-Agenten und Phishing
https://www.varonis.com/blog/openclaw-phishing

In der neuen Folge von Breach FM melde ich mich aus Helsinki, wo es derzeit nicht dunkel wird, Max Imbiel darf glücklicherweise wieder im Homeoffice sein. 

The Record from Recorded Future News berichtet, dass Shyam Sankar, CTO von Palantir und seit über 20 Jahren im Unternehmen, als führender Kandidat für die seit Januar 2025 vakante CISA-Direktorenstelle gilt. Das White House dementierte mit "at this time this is not accurate" – was kein Dementi ist. Relevant wird die Personalie vor allem im zeitlichen Zusammenhang mit der neuen KI-Executive-Order, die die CISA erstmals mit durchsetzungsfähigen Binding Operational Directives ausstattet. Von Cyber-Koordinator zur KI-Governance-Behörde – wir haben da kein gutes Bauchgefühl.

Das Kernthema bringt Max: der Nightmare-Eclipse-Eklat bei Microsoft. Der Researcher hat zwischen April und Mitte Mai sechs Windows-Zero-Days veröffentlicht – BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma und MiniPlasma – alle ohne vorherige Koordination. Microsoft reagierte mit juristischen Drohungen, ruderte nach Community-Aufschrei zurück. Drei Exploits wurden aktiv ausgenutzt und ins KEV aufgenommen. Adam Shostack, Mitbegründer von Microsofts eigenem Threat-Modeling-Ansatz, kritisierte den Umgang offen. Der Kernvorwurf: Microsoft hält sich selbst nicht an seinen CVD-Prozess – Researcher spielen Bugs jetzt lieber untereinander weiter. Der Schaden trifft alle Nutzer.

Dann der Meta-Instagram-"Hack": Angreifer nutzten den Meta-KI-Support-Chatbot, um einfach eine neue E-Mail-Adresse am Zielkonto zu hinterlegen – der Bot schickte den Reset-Code dorthin, ohne zu verifizieren. Mindestens 20.225 Konten betroffen, darunter der Obama-White-House-Account. Angriffsfenster: sieben Wochen. Moral: Schreibrechte gehören nicht in Chatbots im Authentifizierungsflow – und 2FA aktivieren.

Shyam Sankar / CISA-Nominierung (The Record) https://therecord.media/trump-considers-palantir-exec-to-lead-cisa
Nightmare Eclipse: alle sechs Zero-Days im Überblick https://cipherssecurity.com/nightmare-eclipse-microsoft-windows-zero-day/
Microsoft Statement zu CVD und Nightmare Eclipse https://cybersecuritynews.com/microsoft-clarifies-nightmare-eclipse-controversy/
Meta Instagram Chatbot-Hack (404 Media) https://www.404media.co/hackers-simply-asked-meta-ai-to-give-them-access-to-high-profile-instagram-accounts-it-worked/
Meta bestätigt 20.225 betroffene Konten https://this.weekinsecurity.com/meta-confirms-thousands-of-instagram-accounts-were-hacked-by-abusing-its-ai-chatbot/

Jacob Butler, 23, online bekannt als "Dort", wurde in Ottawa verhaftet. Ihm wird vorgeworfen, das DDoS-for-Hire-Botnet KimWolf mit über einer Million kompromittierten Geräten betrieben zu haben. Angriffe bis 30 Terabit/s dokumentiert, darunter auf das US Department of Defense Information Network. Brian Krebs hatte ihn im Februar öffentlich identifiziert, woraufhin Butler ihn mit DDoS, Doxing und Swatting anging. Ich nutze das als Aufhänger für eine Diskussion mit Max über IoT-Botnet-Verantwortung und wo die Grenze zwischen Provider-Pflicht und Konsumentenverantwortung liegt.
Dann der Portraitbox-Breach – von dem ich selbst betroffen war. Angreifer erlangten am 16./17. Mai Zugriff auf den Paderborner Fotodienstleister, luden Daten herunter und löschten sie. Betroffen: Fotos, Namen, E-Mail-Adressen, Bestellhistorien – darunter massenhaft Kita- und Schulfotos von Kindern. Zahlungsdaten nicht betroffen. Die Benachrichtigungspflicht liegt strukturell bei den Fotografen. Die ZAC NRW ermittelt.
GitHub hat einen Breach gemeldet: Ein Mitarbeiter installierte eine kompromittierte Version der NX-Konsole VS Code Extension – Teil der TeamPCP-Kampagne, über die wir in den letzten Wochen mehrfach berichtet haben. Betroffen: rund 3.800 interne GitHub-Repositories. Keine Kunden-Repos kompromittiert, aber wer Zugriff auf interne Engineering-Repos hat, hat deutlich mehr als nur Code. Das führt Max und mich zu einer längeren Debatte über Anbieterkonzentration: Es ist nicht gesund, Produktivität, Entwicklung und Security beim gleichen Anbieter zu konsolidieren – und das sage ich mit vollem Bewusstsein meiner eigenen Befangenheit.
Zum Abschluss: CISA hat eine externe Nominierungsmöglichkeit für den KEV-Katalog eingeführt. Meine These: Das "Known Exploited"-Flag wird für Patch-Priorisierung zunehmend irrelevant – wenn die Zeit von Vulnerability zu Exploit bei unter 30 Minuten liegt, muss man ohnehin von sofortiger Ausnutzung ausgehen.

KimWolf-Botnet-Festnahme (KrebsOnSecurity)
https://krebsonsecurity.com/2026/05/alleged-kimwolf-botmaster-dort-arrested-charged-in-u-s-and-canada/
KimWolf-Botnet-Festnahme (DOJ)
https://www.justice.gov/usao-ak/pr/canadian-man-arrested-international-authorities-charged-administrating-kimwolf-ddos
Portraitbox-Breach (heise online)
https://www.heise.de/news/Sicherheitsvorfall-bei-Fotoanbieter-Wird-Portraitbox-erpresst-11304453.html
GitHub Breach / NX-Konsole Supply Chain (TeamPCP)
https://github.blog/security/supply-chain-security/security-incident-nx-console-extension/
CISA KEV Nomination Process
https://www.cisa.gov/known-exploited-vulnerabilities-catalog

In der neuen Folge von Breach FM melde ich mich aus dem ICE mit einem kurzen Canvas-Update zum Einstieg: Instructure hat an ShinyHunters gezahlt und dafür digitale Shredlogs als Löschbestätigung erhalten. Interessante Formulierung für "wir haben gezahlt".
Das erste Hauptthema: Rapid7 hat einen Vorfall analysiert, der zunächst wie ein klassischer Chaos-Ransomware-Angriff aussah – bis auffiel, dass trotz Erpressung und Leak-Seite keine einzige Datei verschlüsselt wurde. Mit moderater Confidence attribuieren die Forscher den Angriff an MuddyWater, eine iranische APT-Gruppe des Geheimdienstministeriums MOIS. Einstieg: Microsoft-Teams-Social-Engineering, Screensharing, Credential-Harvesting, MFA-Manipulation, Persistenz via DWAgent und AnyDesk. Das Fazit: Spionageoperation mit Ransomware-Kulisse. Iran läuft in der breiten Cyberöffentlichkeit immer noch unter ferner liefen – dabei agiert die Gruppe zunehmend aggressiv und methodisch.
Dann bringt Max zwei Berichte zu Mythos Preview in der Praxis: Mozilla beschreibt, wie sie Firefox mit Mythos-Zugang gehärtet haben – weniger Rauschen, vollständige Exploit-Ketten statt isolierter Bug-Hinweise, aber trotzdem über 100 Menschen, die den finalen Code geprüft haben. xbow nutzte Mythos aus Red-Team-Perspektive für Pentesting. Wir diskutieren, wo die Diskrepanz zwischen technisch Machbarem und vertrauenswürdig Auslieferbarem noch liegt – und warum das für Hersteller eine andere Frage ist als für interne Teams.
Kurzes Update von Max: Grafana Labs bestätigt unautorisierten Zugriff auf Teile ihres Repositories. Noch wenig Details, aber relevant angesichts der weiten Verbreitung des Tools.
Dann unser Ausflug ins Boulevard-Segment: Das OLG Hamm hat entschieden, dass Unternehmen für Falschangaben ihrer KI-Chatbots haften – auch wenn korrekte Ausgangsdaten geliefert wurden. Anlass: der Chatbot der Aesthetify GmbH (Dr. Rick & Dr. Nick) hatte den Ärzten frei erfundene Facharzttitel angedichtet. Kläger war die Verbraucherzentrale NRW. Das Gericht: Ein Chatbot ist kein Dritter, sondern Teil der Unternehmensorganisation. Revision zum BGH zugelassen. Für alle, die heute einen Chatbot kommerziell betreiben, ist das ein erster wichtiger Präzedenzfall.
Zum Abschluss ein 404-Media-Artikel von Joseph Cox: Er konnte chinesische Echtzeit-Deepfake-Software für rund 500 Dollar kaufen – kommerziell angeboten, läuft auf Gaming-Hardware, umgeht staatliche Erkennungsmodelle zu fast 100 Prozent. Der Markt für Deepfake-Betrug ist längst kein Darknet-Phänomen mehr.
Canvas/Instructure zahlt Lösegeld
https://www.insidehighered.com/news/tech-innovation/administrative-tech/2026/05/11/instructure-pays-ransom-canvas-hackers
MuddyWater / Chaos Ransomware False Flag (Rapid7)
https://www.rapid7.com/blog/post/tr-muddying-tracks-state-sponsored-shadow-behind-chaos-ransomware/
Mozilla Firefox & Mythos Preview
https://blog.mozilla.org/attack-and-defense/2026/05/06/mythospreview-firefox/
xbow & Mythos Preview
https://xbow.com/blog/mythos-preview
Grafana Labs Breach https://grafana.com/blog/2026/05/12/grafana-security-incident/
OLG Hamm – Chatbot-Haftung Dr. Rick & Dr. Nick https://www.heise.de/news/Dr-Rick-Dr-Nick-Aerzte-verlieren-wegen-KI-Halluzinationen-vor-Gericht-11293866.html
Echtzeit-Deepfake-Software (404 Media) https://www.404media.co/chinese-realtime-deepfake-software-sold-commercially/