Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
„SMS des Todes“: Eine SMS legt Android-Smartphones lahm
Der Sicherheitsforscher Mark Blaszczyk hat am 29. Oktober eine Lücke in Android 12 bis 17 veröffentlicht. Eine einzige präparierte WAP-Push-SMS, die nicht im Posteingang erscheint, bringt den Telefoniedienst zum Absturz. Laufende Anrufe brechen ab, auch Notrufe. Weil Android die Nachricht nach jedem Neustart erneut verarbeitet, startet das Gerät laut heise etwa alle 90 Sekunden neu und bietet im Wiederherstellungsmodus das Löschen aller Daten an. Ohne Fachwissen bleibt Betroffenen dann oft nur das Zurücksetzen. Laut dem Forscher ist der Fix im Android-Sicherheitsupdate vom Oktober 2026 für Android 14 bis 17 enthalten. Android 12 und 13 bekommen laut heise voraussichtlich keinen Fix.
- Priorität: Hoch (Android 12 und 13 bleiben ungepatcht)
- Datum: 29.10.2026
- Für wen relevant: Unternehmen mit Android-Diensthandys oder -Tablets. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: In der Geräteverwaltung (MDM) prüfen, welche Geräte das Sicherheitsupdate vom Oktober 2026 haben, und es verteilen. Geräte mit Android 12 oder 13 austauschen. Bei einem betroffenen Gerät im Wiederherstellungsmodus nicht „Wipe data“ wählen, laut Forscher lässt es sich per ADB am PC retten.
- Quelle: heise online · SMS of Death
Gefälschte ELSTER-Mails: Betrüger locken mit Steuererstattung auf falsche Seiten
Die sächsische Steuerverwaltung warnt seit 28. Oktober vor E-Mails im Namen von „ELSTER“, „ELSTER-Portal“ oder „ELSTER Online Team“. Den Finanzämtern melden Bürger zunehmend solche Nachrichten. Darin sollen Empfänger über einen Link „Fragen beantworten“, „Daten bestätigen“ oder einen „Vorgang abschließen“, teils wird eine Steuererstattung in Aussicht gestellt. Die Mails stammen nicht von der Finanzverwaltung. Laut Deskmodder ist die Masche nicht auf Sachsen beschränkt.
- Priorität: Erhöht (zunehmende Meldungen, nicht nur in Sachsen)
- Datum: 28.10.2026 (Warnung aus Sachsen)
- Für wen relevant: Alle Unternehmen, besonders Buchhaltung und alle, die ELSTER für die Firma nutzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Die Steuerverwaltung fragt per E-Mail nie nach Steuernummer, Kontoverbindung, Kreditkartendaten, PIN oder Sicherheitsfragen. Links in solchen Mails nicht anklicken. Wer unsicher ist, meldet sich direkt über die bekannte Adresse von ELSTER an und schaut dort im Postfach nach.
- Quelle: Steuerverwaltung Sachsen · Deskmodder
Browser-Erweiterungen als PDF-Konverter getarnt: 13,4 Millionen Nutzer leiten Suchen über fremde Server
Die Sicherheitsfirma Socket hat am 29. Oktober 319 Chrome-Erweiterungen mit zusammen 13,4 Millionen Installationen aufgedeckt. Sie geben sich als PDF-Konverter, Handbuch-Suche, sichere Suche oder KI-Suche aus. Tatsächlich übernehmen sie die Standardsuchmaschine und leiten jede Suchanfrage über eigene Server weiter, bevor sie bei Bing oder Yahoo landet. Die Betreiber kassieren dafür Provisionen und sehen alle Suchbegriffe. Im Chrome Web Store sind die Erweiterungen nicht über die Suche auffindbar, Nutzer kommen über Werbeanzeigen dorthin. Socket veröffentlicht die vollständige Liste.
- Priorität: Erhöht (319 Erweiterungen, 13,4 Millionen Installationen)
- Datum: 29.10.2026
- Für wen relevant: Alle Unternehmen, deren Mitarbeitende selbst Browser-Erweiterungen installieren können. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Installierte Erweiterungen mit der Liste von Socket abgleichen und Unbekanntes entfernen. In Chrome und Edge lässt sich per Richtlinie festlegen, dass nur freigegebene Erweiterungen installiert werden dürfen.
- Quelle: Socket · BleepingComputer
Cursor: Manipulierte Claude-Code-Erweiterung sollte SSH-Hintertür einrichten
Im Erweiterungs-Marktplatz des KI-Code-Editors Cursor stand am 29. Oktober rund elf Stunden lang eine manipulierte Version 2.1.313 der Erweiterung Claude Code. Laut Cursor stammt sie nicht von Anthropic. Die Erweiterung sammelte Rechnername, Benutzername, öffentliche IP-Adresse und Git-E-Mail. Danach versuchte sie, einen SSH-Schlüssel der Angreifer einzutragen, den SSH-Dienst einzuschalten und einen dauerhaften Tunnel nach außen aufzubauen. Wegen Programmierfehlern scheiterte das laut Cursor meist, außer Cursor lief mit Administratorrechten. Betroffen waren höchstens 5.000 Nutzer, Cursor will sie direkt anschreiben.
- Priorität: Erhöht (bis zu 5.000 Nutzer, Version 2.1.313)
- Datum: 29.10.2026
- Für wen relevant: Unternehmen, in denen Entwickler oder IT-Mitarbeitende Cursor mit der Claude-Code-Erweiterung nutzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Version der Erweiterung prüfen und auf 2.1.314 oder neuer aktualisieren. Wer 2.1.313 installiert hatte, sollte die Datei authorized_keys, neue LaunchAgents (macOS) oder geplante Aufgaben (Windows) kontrollieren und Zugangsdaten auf dem Rechner erneuern.
- Quelle: Cursor · Phorion · heise online
Nachtrag Browser: Chrome 156.0.8078.79 schließt 21 weitere Lücken, Edge zieht nach
Nachtrag zu unserer Browser-Meldung vom 28. Oktober. Google hat am 29. Oktober das zweite Chrome-Update der Woche verteilt, Version 156.0.8078.79/.80 für Windows und Mac. Es schließt 21 Lücken, eine davon kritisch (CVE-2026-76024). Microsoft hat am selben Abend Edge 156.0.4314.56 mit Sicherheitskorrekturen veröffentlicht. Welche Lücken genau, trägt Microsoft laut Deskmodder erst später im Security Update Guide ein.
- Priorität: Beobachten (zweites Chrome-Update der Woche)
- Datum: 29.10.2026
- CVE: CVE-2026-76024
- Für wen relevant: Alle Unternehmen. (für KMU: niedrig – nur für Betroffene)
- Warum wichtig: Browser neu starten, damit die Updates greifen. Chrome sollte mindestens 156.0.8078.79 zeigen, Edge 156.0.4314.56.
- Quelle: Google · Deskmodder
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
