Aktuelle Sicherheitslücken für KMU im Überblick: Dieses Briefing fasst die wichtigsten Sicherheitslücken und Sicherheitsupdates des Tages aus offiziellen Quellen zusammen – eingeordnet nach Priorität, betroffenen Systemen und Relevanz für kleine und mittlere Unternehmen. Technische Details stehen jeweils in der verlinkten Quelle.
Android-Patchday November: Kritische Lücken erlauben Angriffe aus der Ferne
Google hat am 2. November das Android-Sicherheitsbulletin für November veröffentlicht. Die schwerste Lücke steckt im Framework (CVE-2026-58868). Angreifer könnten damit aus der Ferne Schadcode ausführen, ohne zusätzliche Rechte und ohne dass der Nutzer etwas tun muss. Zwei weitere kritische Lücken dieser Art betreffen die Systemkomponente. Betroffen sind Android 14 bis 17. Im Bulletin steht auch die „SMS des Todes“ (CVE-2026-58882), über die wir am 30. Oktober berichtet haben. Den Fix dafür hat Google bereits im Oktober verteilt. Hinweise auf laufende Angriffe nennt Google nicht. Alle Korrekturen enthält erst das Patch-Level 2026-11-05.
- Priorität: Hoch (kritische Lücken ohne Nutzerinteraktion)
- Datum: 02.11.2026
- CVE: CVE-2026-58868
- Für wen relevant: Unternehmen mit Android-Diensthandys oder -Tablets. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: In der Geräteverwaltung (MDM) prüfen, welche Geräte das Patch-Level 2026-11-05 oder neuer haben. Samsung, Google und andere Hersteller liefern die Updates unterschiedlich schnell aus. Geräte, die keine Sicherheitsupdates mehr bekommen, nach und nach ersetzen.
- Quelle: Google · heise online
Barracuda: Zwei Lücken führen zu Root-Zugriff auf Mail- und Web-Gateways
Barracuda hat am 2. November zwei Lücken gemeldet und Patches veröffentlicht. CVE-2026-116606 (CVSS 9.3) steckt im Email Security Gateway und erlaubt, die Autorisierung zu umgehen. CVE-2026-111560 (CVSS 8.6) erlaubt das Einschleusen von Systembefehlen. Sie betrifft zusätzlich Load Balancer ADC, Message Archiver, Web Application Firewall, WAF Control Center und Web Security Gateway. Zusammen führen beide laut Barracuda zu Root-Zugriff auf das Gerät. Voraussetzung ist Zugang zur Verwaltungsoberfläche. Von laufenden Angriffen schreibt Barracuda nichts.
- Priorität: Hoch (Root-Zugriff möglich, Patches verfügbar)
- Datum: 02.11.2026
- CVE: CVE-2026-116606, CVE-2026-111560
- Für wen relevant: Unternehmen mit Barracuda-Geräten, vor allem dem Email Security Gateway. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Prüfen, ob die Patches installiert sind, beim Email Security Gateway BNSF-40425 (ab Firmware 9.4.017) oder BNSF-40430 (ältere Firmware). Wer die automatische Patch-Verteilung abgeschaltet hat, sollte manuell nachziehen und sie wieder einschalten. Die Verwaltungsoberfläche nur aus dem internen Netz erreichbar machen.
- Quelle: Barracuda · BleepingComputer
LLMJacking: Angreifer kapern KI-Zugänge von Unternehmen und lassen die Firma zahlen
Google und Mandiant haben am 2. November Vorfälle beschrieben, in denen Angreifer die KI-Zugänge von Unternehmen übernommen haben. Meist kamen sie über gestohlene oder offen liegende Cloud-Zugangsdaten herein, etwa Schlüssel von Dienstkonten oder GitHub-Tokens. Andere sammelten KI-API-Schlüssel aus öffentlichen GitHub-Repositorys oder suchten Ollama-Server, die ungeschützt im Internet stehen. Danach schalteten sie im Konto des Opfers KI-Dienste frei, erzeugten neue Schlüssel und ließen teure Modelle laufen. Mandiant sah Kosten von über 100.000 US-Dollar an einem Tag, bei einzelnen Firmen kam bis zur Sperre eine Million zusammen. Den Zugang verkaufen die Täter weiter. Ein Dienst namens Jet Night bot laut Google unbegrenzte Nutzung für etwa 60 US-Dollar im Monat an.
- Priorität: Hoch (Schäden über 100.000 US-Dollar an einem Tag)
- Datum: 02.11.2026
- Für wen relevant: Unternehmen, die KI-Dienste mit API-Schlüsseln nutzen, auch in Automatisierungen wie n8n, oder die selbst einen Ollama-Server betreiben. (für KMU: hoch – nur für Betroffene)
- Warum wichtig: Beim KI-Anbieter Ausgabelimits und Budget-Warnungen einrichten. API-Schlüssel nur mit den nötigen Rechten anlegen, nie in Code oder Repositorys ablegen und regelmäßig erneuern. Ollama nicht offen ins Internet stellen. Für Cloud-Konten eine phishing-resistente Mehrfaktor-Anmeldung nutzen.
- Quelle: Google Threat Intelligence · The Register
Macrium Reflect: Sicherheitsupdate für Reflect X und Reflect 8.1
Macrium hat am 2. November Reflect X 10.0.8989 und Reflect 8.1 LTSC 8.1.8987 veröffentlicht. Laut den Versionshinweisen enthalten beide wichtige Sicherheitskorrekturen, sonst nichts. Technische Details will Macrium erst nennen, wenn die meisten Nutzer aktualisiert haben. Angriffe sind dem Hersteller nicht bekannt.
- Priorität: Erhöht (Sicherheitsupdate ohne Details)
- Datum: 02.11.2026
- Für wen relevant: Unternehmen, die Rechner oder Server mit Macrium Reflect sichern. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Das Update auf allen Rechnern und Servern mit Macrium Reflect installieren. Danach eine Sicherung laufen lassen und prüfen, ob sie fehlerfrei durchläuft.
- Quelle: Macrium (Reflect X) · Macrium (Reflect 8.1) · Deskmodder
Datenleck bei notebooksbilliger.de und Pÿur: Kontodaten in fremden Händen
Der Elektronikhändler notebooksbilliger.de hat Mitte Oktober erste Kunden über einen Cyberangriff informiert. Laut Borns IT-Blog verschickt er seit 1. November eine weitere Welle von Benachrichtigungen. Die unbefugten Zugriffe hat das Unternehmen am 12. Oktober bemerkt. Neben Name und E-Mail-Adresse könnten IBANs abgeflossen sein. Passwörter sind laut notebooksbilliger nicht betroffen, vollständige Kreditkartendaten speichert der Händler nicht. Auch der Netzbetreiber Pÿur (Tele Columbus) hat Kunden vergangene Woche über einen Datenabfluss informiert, dort geht es unter anderem um Vertragsnummer, Name und Kontodaten.
- Priorität: Erhöht (IBANs möglicherweise abgeflossen)
- Datum: 01.11.2026 (neue Benachrichtigungen)
- Für wen relevant: Unternehmen, die bei notebooksbilliger.de bestellt haben oder einen Anschluss von Pÿur nutzen. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Kontoauszüge in den nächsten Monaten auf fremde Lastschriften prüfen und unberechtigte zurückgeben. Buchhaltung und Einkauf darauf hinweisen, dass Betrüger mit echten Bestell- und Vertragsdaten anrufen, mailen oder Zahlungen fordern können.
- Quelle: heise online · Borns IT-Blog
Passwort-Manager mSecure: Hersteller meldet Vorfall und rät zum Passwortwechsel
Kunden des Passwort-Managers mSecure von mSeven haben eine E-Mail bekommen. Der Hersteller hat verdächtige Aktivitäten rund um die App bemerkt und externe Sicherheitsfachleute eingeschaltet. mSeven empfiehlt, alle in mSecure gespeicherten Zugänge zu sichern: Passwörter ändern, Zwei-Faktor-Anmeldungen neu einrichten oder zurücksetzen und vorhandene Passkeys entfernen. Was genau passiert ist, sagt der Hersteller nicht. Das BSI hatte im vergangenen Jahr bemängelt, dass der Hersteller bei mSecure theoretisch auf die Daten zugreifen kann.
- Priorität: Erhöht (Hersteller rät, alle Zugänge zu sichern)
- Datum: 03.11.2026
- Für wen relevant: Unternehmen, in denen Mitarbeitende mSecure nutzen, auch privat für dienstliche Zugänge. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Nachfragen, wer mSecure nutzt. Dort zuerst die wichtigsten Zugänge ändern, also E-Mail, Banking und Administratorkonten, und die Zwei-Faktor-Anmeldung neu einrichten. Einen Wechsel des Passwort-Managers einplanen.
- Quelle: heise online · Kundenmail (Screenshot)
Hintertür ab Werk: Google legt Botnetz aus 1,3 Millionen Android-TV-Boxen lahm
Google hat am 2. November gemeldet, dass es mit Partnern in der Vorwoche das Botnetz XCPE ausgeschaltet hat. Dazu gehörten mehr als 1,3 Millionen Android-TV-Boxen. Laut Google hat der chinesische Hersteller Videostrong die Hintertür absichtlich in die Firmware eingebaut und den Zugang an Kriminelle verkauft. Über die Boxen liefen Werbebetrug und fremder Internetverkehr, der über den Anschluss der Besitzer geleitet wurde. Die Betreiber machten laut Google auch Bildschirmfotos, schickten Tastenbefehle und führten Kommandos aus. Die Hintertür gehört zur Firmware und installiert sich nach einem Neustart neu. Auch Geräte für Digital Signage waren betroffen. Deutschland zählt laut TrendAI zu den Ländern mit jeweils rund 26.000 bis 42.000 infizierten Geräten.
- Priorität: Erhöht (Hintertür ab Werk, lässt sich nicht selbst entfernen)
- Datum: 02.11.2026
- Für wen relevant: Unternehmen mit günstigen Android-TV-Boxen, etwa an Bildschirmen im Besprechungsraum, am Empfang oder im Schaufenster. (für KMU: mittel – nur für Betroffene)
- Warum wichtig: Marke und Modell der Boxen prüfen, besonders Geräte von MECOOL. Verdächtige Boxen vom Netz nehmen und ersetzen, ob ein Zurücksetzen hilft, ist offen. Solche Geräte grundsätzlich in ein eigenes Netz hängen, getrennt von Arbeitsrechnern.
- Quelle: Google Threat Intelligence · The Hacker News
Weitere aktuelle Sicherheitslücken und alle bisherigen Briefings finden Sie in der Kategorie Tägliches Cyber- & KI-Sicherheitsupdate.
