Inhalt in Kürze
- Rekord-Patchday am 11. August: Microsoft schloss 421 Sicherheitslücken an einem Tag, davon rund 60 kritische und drei Zero-Days.
- Windows-Kernel im Visier: Nordkoreas Lazarus-Gruppe hat wochenlang die AFD.sys-Lücke CVE-2026-68820 ausgenutzt — nur der Patch schließt das Loch.
- SharePoint on-premises: Die im Juli in den CISA-Katalog aufgenommene Lücke CVE-2026-45659 wird im August für Warlock-Ransomware eingesetzt.
- Framework/Metabase: Ein Zero-Day beim BI-Anbieter Metabase kostete den Laptop-Hersteller Framework am 3. August Kundendaten — und zeigt, wo Ihre Angriffsfläche wirklich liegt.
Der August 2026 war kein ruhiger Monat. Er hat unterstrichen, was der Juli begonnen hatte: Patch-Management ist keine IT-Fußnote mehr, sondern eine Führungsaufgabe. Ein Rekord-Patchday, eine seit Wochen aktiv angegriffene Kernel-Lücke, eine Ransomware-Welle gegen SharePoint-Server und ein Datenleck über einen Cloud-Dienst — was davon Ihren Betrieb betrifft und was Sie diese Woche tun sollten, steht hier.
Microsoft-Patchday August 2026: 421 Lücken auf einen Schlag
Am 11. August 2026 hat Microsoft rund 421 Sicherheitslücken geschlossen — 236 davon allein in Windows. Rund 60 stuft Microsoft als kritisch ein, dazu kommen drei Zero-Days: eine wurde aktiv ausgenutzt, zwei waren öffentlich bekannt, bevor Microsoft einen Patch veröffentlichte.
Neben dem Zero-Day, um den es weiter unten geht, verdienen die drei Remote-Code-Execution-Lücken mit CVSS 9,8 besondere Aufmerksamkeit — in Windows DNS Server, im TFTP-Server und in der QUIC-Implementierung. Alle drei lassen sich prinzipiell aus dem Netz ausnutzen. Kein aktiver Angriff bislang, aber die technische Voraussetzung dafür ist da. Wer einen der drei Dienste aus dem Internet erreichbar hat, sollte den Patch nicht auf „nächsten Wartungssamstag” schieben.
Die ehrliche Frage lautet auch diesmal nicht „alles patchen?”, sondern „was zuerst?”. Unsere Antwort aus dem Tagesgeschäft: Lücken, die im Katalog der US-Behörde CISA als aktiv ausgenutzt geführt werden, müssen binnen 48 Stunden geschlossen sein. Eine 9,8er-Lücke auf einem rein internen System ist weniger dringend als eine 7er-Lücke, die schon in Kampagnen läuft.
Lazarus, AFD.sys und der Windows-Kernel: Warum eine 7er-Lücke gefährlicher ist als sie klingt
Der aktiv ausgenutzte Zero-Day heißt CVE-2026-68820 und sitzt tief im Windows-Kernel: in AFD.sys, dem Treiber, den Windows für Netzwerk-Sockets nutzt. Auf dem Papier hat die Lücke CVSS 7,0 — nicht kritisch, sondern „hoch”. Genau dieser Wert führt in vielen Unternehmen dazu, dass sie im Patch-Backlog nach unten rutscht.
Das ist ein Fehler. Ein Use-after-free-Fehler in AFD.sys erlaubt Angreifern, sich auf SYSTEM-Rechte hochzuheben — die höchste Rechtestufe unter Windows, mit der jeder Schutzmechanismus abgeschaltet werden kann. Sicherheitsforscher belegen, dass Nordkoreas Lazarus-Gruppe die Lücke seit Juni/Juli 2026 im Rahmen ihrer Kampagne „Operation Dream Job” gezielt einsetzt: falsche LinkedIn-Job-Angebote landen bei Ingenieuren in Rüstungs- und Luftfahrtunternehmen, ein Anhang startet den Angriff, und CVE-2026-68820 sorgt dafür, dass am Ende das FudModule-Rootkit im Kernel läuft. Erst der Patch vom 11. August schließt diesen Weg.
Die Bewertung 7,0 kommt daher, dass ein Angreifer erst einmal Code auf dem System ausführen können muss. Genau diesen Foothold liefert Phishing täglich — und ab dann wird die Lücke zum Türöffner für Ransomware, weil sie EDR und Defender aushebelt.
- August-Patchday einspielen: Auf allen Windows-Servern und -Arbeitsplätzen die Updates vom 11. August verteilen und den Versionsstand nachweisen — nicht nur „geplant", sondern „installiert".
- Nachlese lesen: Wenn Sie ältere Spiele oder DirectX-Anwendungen einsetzen, prüfen Sie Microsofts Nachbericht zum August-Patchday — Microsoft untersucht Startprobleme bei einigen Windows-11-Spielen nach den August-Updates.
- DNS, TFTP, QUIC prüfen: Sind diese Dienste bei Ihnen aus dem Internet erreichbar? Falls ja, ist der Patch heute fällig, nicht am Wochenende.
Zwei-Faktor-Authentifizierung ist der Schutz Nummer eins vor Ransomware. Kostet nichts, dauert 5 Minuten pro Mitarbeiter — und macht 99 % der Angriffe wirkungslos.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Der Satz gilt weiterhin, aber er reicht seit Kratos nicht mehr allein. Wenn ein Angreifer bereits Code auf einem Endgerät ausführt — und mit einer AFD.sys-Lücke SYSTEM-Rechte hat —, hilft keine Zwei-Faktor-Anmeldung mehr, weil er dann von innen agiert. Deshalb gehört zum „Grundschutz” heute mehr als MFA: geprüfte Patch-Prozesse, ein Endpunkt-Schutz, der Rechteänderungen protokolliert, und ein Netzwerk, das die interne Ausbreitung erschwert. Wie MFA sauber aufgesetzt wird, haben wir im Beitrag zum MFA-Level-Up beschrieben.
SharePoint Warlock: Der Juli-Ärger geht weiter
Im Juli-Report ging es um SharePoint-Zero-Days und den Rat, nach dem Patch auch die Maschinenschlüssel zu rotieren. Der August legt nach: CVE-2026-45659 — eine Deserialisierungs-Lücke in SharePoint Server (CVSS 8,8) — steht seit dem 1. Juli im CISA-Katalog aktiv ausgenutzter Schwachstellen und wird im August in Ransomware-Kampagnen der Gruppe „Warlock” eingesetzt.
Betroffen sind wieder ausschließlich lokal betriebene SharePoint-Server (Subscription Edition, 2019, Enterprise 2016). Wer SharePoint Online in Microsoft 365 nutzt, ist außen vor.
Der SharePoint-Server steht im Serverraum, „läuft ja seit Jahren", niemand pflegt ihn aktiv. Genau diese Server werden jetzt reihenweise verschlüsselt. Prüfen Sie, ob Sie noch eine on-premises Installation haben — auch wenn Sie schon in Teile von Microsoft 365 migriert sind.
Drei Monate lang konnten wir nicht arbeiten. Alles verschlüsselt — jedes Dokument, jede E-Mail, jede Rechnung. Seitdem weiß ich: IT-Sicherheit ist kein Luxus, sondern Überlebensfrage.
Wie Sie Berechtigungen und Daten in SharePoint grundsätzlich sauber aufstellen, steht in unserem Leitfaden zur SharePoint-Sicherheit für IT-Verantwortliche. Wenn nach einem Patch etwas nicht mehr wie erwartet läuft — was tun statt Lösegeld zahlen —, hilft die Übersicht im Ratgeber Ransomware-Angriff: was tun.
Framework-Datenleck über Metabase: Nicht Ihre Firewall, sondern Ihr Dienstleister
Am 3. August 2026 hat der Cloud-Analytics-Anbieter Metabase einen Angriff auf seine Cloud-Instanzen entdeckt — ausgenutzt wurde eine bis dahin unbekannte SQL-Lücke ab Metabase-Version 1.58 (CVE-2026-72898). Betroffen war unter anderem der Laptop-Hersteller Framework: In der bei Metabase gehosteten Business-Intelligence-Datenbank lagen Kundendaten, die durch die Lücke abgeflossen sind.
Genau darin liegt die Lehre des Vorfalls: Ihre Angriffsfläche ist nicht mehr das, was in Ihrem Serverraum steht. Sie ist alles, wo Sie Daten haben — Ihre Buchhaltung im Steuerberater-Portal, Ihre CRM-Daten beim SaaS-Anbieter, Ihre Kundenzahlen in einem BI-Tool wie Metabase. Framework hat nichts falsch gemacht und trotzdem einen Datenschutzvorfall zu melden. Für Mittelständler heißt das: Führen Sie eine Liste aller SaaS-Dienste mit personenbezogenen Daten oder Geschäftsgeheimnissen, mindestens die zehn größten. Und fragen Sie diese Anbieter einmal jährlich nach dem aktuellen Sicherheitsstand.
Wer das nie systematisch getan hat, unterschätzt in aller Regel die Zahl: In den Auswertungen unserer Erstgespräche kommen wir bei Kunden mit 30–60 Mitarbeitern regelmäßig auf 40 bis 80 SaaS-Dienste. Nicht jeder ist kritisch — aber Sie sollten wissen, welche.
BSI-Alarm am 21. August: Chrome und GIMP brauchen Updates
Am 21. August 2026 hat das BSI vor kritischen Lücken in Chrome und GIMP gewarnt. Beide Lücken erlauben Remote Code Execution und lassen Angreifer Sicherheitsmaßnahmen umgehen. Chrome ist auf Version 151.0.7922.173 bzw. 151.0.7922.174 (je nach Betriebssystem) zu aktualisieren, GIMP auf 3.2.4.
Chrome ist auf jedem Firmenrechner installiert — GIMP nicht. Aber GIMP ist eines der Programme, die IT-Verantwortliche gerne mal ohne Update-Mechanismus einführen („braucht nur die Marketing-Abteilung”). Genau solche Nebenprogramme sind das Einfallstor, weil sie in keinem Patch-Plan stehen. Ein zentrales Software-Inventar mit automatischen Updates löst dieses Problem — es gehört zum Grundpaket unserer Cybersecurity-Leistungen in Hamburg.
NIS-2: Die Nachfrist ist um
Die vom BSI gewährte Nachfrist zur NIS-2-Registrierung ist am 31. Juli 2026 abgelaufen. Auf der offiziellen BSI-Seite für NIS-2-regulierte Unternehmen steht seither: „Die gesetzliche Registrierungsfrist ist bereits abgelaufen.” Das BSI ruft betroffene Unternehmen auf, sich „umgehend im BSI-Portal“ zu registrieren.
Für Unternehmen, die noch nicht drin sind, heißt das: nicht abwarten. Eine Nachmeldung ist gesetzlich zu spät, aber sie ist besser als keine — sie dokumentiert, dass Sie Ihre Pflicht ernst nehmen. Wer betroffen ist und dann eine Prüfung erlebt, ohne registriert zu sein, riskiert Bußgelder von bis zu 500.000 Euro allein für dieses Versäumnis, dazu Zwangsgelder und die persönliche Haftung der Geschäftsleitung.
Ob Sie überhaupt betroffen sind, klärt der Check oben in zwei Minuten. Für Beratung zur Umsetzung führt der Fahrplan zur NIS-2-Beratung in Hamburg und der Überblick zu unseren Leistungen für NIS-2 und Compliance durch die nächsten Schritte.
Aus der Praxis: Der August-Aktionsplan
- August-Patchday überall durch? Windows-Updates vom 11. August auf Servern, Notebooks und Fachanwendungen — inklusive AFD.sys-Fix.
- SharePoint on-premises prüfen. Läuft bei Ihnen noch ein lokaler SharePoint-Server, dann jetzt patchen, auf Einbruchsspuren untersuchen und Maschinenschlüssel rotieren — in dieser Reihenfolge.
- Chrome + Randsoftware. Chrome auf 151.0.7922.173/174 heben; auch selten genutzte Programme wie GIMP ins Inventar aufnehmen und aktualisieren.
- SaaS-Liste anlegen. Zehn wichtigste Cloud-Dienste mit Geschäftsdaten identifizieren, Sicherheits-Nachfrage einmal jährlich einplanen.
- NIS-2-Registrierung nachziehen. Falls betroffen und noch nicht gemeldet: diese Woche, nicht nächsten Monat.
Wenn dieser Rhythmus intern nicht zu halten ist, ist genau das der Fall für Managed IT Services: Patch-Management, Monitoring und die Prüfung, ob Updates auch wirklich installiert sind, laufen dann als Prozess — nicht als Terminerinnerung im Kalender eines Geschäftsführers.
Den Vormonat können Sie hier nachlesen: Cybersicherheit im Juli 2026. Alle bisherigen Ausgaben liegen im Hub der Cybersecurity-Reports.
Patch-Rückstand, offener SharePoint, ungeprüfte SaaS-Liste — wo stehen Sie?
15 Minuten Erstgespräch. Kostenlos. Ohne Vertriebsdruck.
Termin buchen →
