In dieser Episode legen wir erst ein ganzes Grundbuch still, bevor wir eine KI aus ihrer Sandbox entkommen lassen. Martin erzählt, wie ein Angreifer mit gültigen Zugangsdaten Rumäniens nationales Kataster-System e-Terra ins Koma versetzt, Notare und Banken lahmlegt und am Ende nur ein einsames Offline-Backup verhindert, dass ein ganzes Land seine Grundstücke „neu würfeln“ muss.

Marc schaut anschließend auf den vielleicht bisher deutlichsten KI-gegen-KI-Vorfall: OpenAIs eigene Modelle optimieren sich im ExploitGym-Benchmark derart aggressiv, dass sie eine Zero-Day-Schwachstelle finden, aus einer Testumgebung ausbrechen und Teile der Infrastruktur von Hugging Face angreifen – der Plattform, auf der gefühlt jedes zweite Open-Source-Modell liegt.

Cyberangriff auf Rumäniens Grundbuch: Hacker löscht zentrale Datenbank - Golem Security

Romania's land registry hit by cyber attack, data allegedly for sale - Help Net Security

Romania's real estate market still reeling from major cyberattack - Romania Insider

Hacker wipes Romania's entire land registry database - Risky Business

Romania’s Land Registry Was Wiped. One Backup Saved It. - ByteIota

How stolen credentials and known vulnerabilities brought Romania's land registry to a standstill - ThreatLocker Blog

OpenAI and Hugging Face partner to address security incident - OpenAI

Security incident disclosure — July 2026 - Hugging Face

OpenAI Says Its AI Models Escaped Sandbox, Targeted Hugging Face - The Hacker News

ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks? - CyberGym / ExploitGym

Besucht uns auf: zweifaktorgeplauder.de

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwünsche, die wir in einer der nächsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: podcast@zweifaktorgeplauder.de

Die WM 2026 zeigt gerade, dass Cybersecurity nicht erst beginnt, wenn irgendwo ein Stadionserver blinkt. Ende Juni beschlagnahmte die US-Justiz fast 400 Domains mit illegalen WM-Livestreams. Europol und Eurojust beschreiben dazu die andere Seite der Fernbedienung: international verteilte Infrastruktur, Kundenportale, Server und Zahlungswege.

Wir sortieren ein, was daran bestaetigte Cybercrime ist und was nicht. Kein belegter grosser Hack von FIFA oder der Stadiontechnik, aber ein reales Umfeld aus Piraterie, riskanten Links, Fake-Logins und Datenabfragen. Die beste Gegenbewegung ist erstaunlich menschlich: kurz stoppen, den legalen Streaming-Anbieter selbst oeffnen und keine Zahlungs- oder Login-Daten unter Zeitdruck eingeben.

U.S. Department of Justice: Operation Offsides gegen illegale WM-Streams

Europol: Operation KRATOS 2 gegen illegale Streaming-Netzwerke

Eurojust: Abschaltung illegaler Streaming-Dienste fuer Millionen Nutzer

FBI IC3: Warnung zu malicious traffic distribution systems

Besucht uns auf: zweifaktorgeplauder.de

Feedback: podcast@zweifaktorgeplauder.de

Martin und Marc sprechen über vier Themen, die auf den ersten Blick nicht sauber zusammengehören und am Ende doch dieselbe unangenehme Wahrheit zeigen. Bei Mini Shai-Hulud reist der Schaden über Pakete, Pipelines, Signaturen und eine trojanisierte VS-Code-Erweiterung durch die Entwicklerwelt. Beim 7-Eleven-Fall reichen ein offener Aura-Endpunkt, zu viele Gastrechte und eine gut gespielte Support-Masche, um an Bewerberdaten und später an Erpressungsmaterial zu kommen.

Dazu kommen Project Glasswing und Mythos Preview, weil sie den Engpass von der Lückensuche in Richtung Patch- und Rollout-Kapazität verschieben, und Kali365, weil Device-Code-Phishing, KI-gestützte 2FA-Angriffe und ausgesperrte Admins dieselbe Vertrauensfrage auf einer anderen Ebene stellen. Die nüchterne Erkenntnis lautet: Das Risiko sitzt oft nicht im Kernprodukt, sondern im Prozess davor.

Mini Shai-Hulud - TanStack und StepSecurity

7-Eleven und Salesforce - BornCity und Help Net Security

Project Glasswing - Moselwal.de und Anthropic

Kali365 - BornCity und PlexTec

Besucht uns auf: zweifaktorgeplauder.de

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwünsche, die wir in einer der nächsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: podcast@zweifaktorgeplauder.de

In dieser Folge geht es um die unangenehme Wahrheit, dass moderne Softwareentwicklung Vertrauen wie ein Produktivitätsfeature behandelt und Angreifer genau dort investieren. Am Beispiel von Shai-Hulud schauen wir darauf, wie aus kompromittierten Maintainer-Konten, Installationslogik und gestohlenen Credentials sehr schnell ein Problem für Entwicklerteams, CI und Unternehmen wird.

Dazu kommen drei kleine Side News mit ziemlich unterschiedlichem Geschmack: SMS-Blaster als physische Fake-Nachrichtenfabrik, Googles Analyse des 3CX-Kompromisses als Supply-Chain-Mahnung mit Langzeitwirkung und Discords Schritt zu standardmaessiger Ende-zu-Ende-Verschluesselung fuer Anrufe.

Quellen: GitHub npm Security Plan

GitHub Shai-Hulud Follow-up

JFrog Vendor Research

heute.at SMS-Blaster

Google Cloud zu 3CX

heise zu Discord E2EE.

Besucht uns auf: zweifaktorgeplauder.de

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwuensche, die wir in einer der naechsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: podcast@zweifaktorgeplauder.de

Der BSI-Lagebericht 2025 liefert wieder genug Stoff für alle, die „wir sind eigentlich ganz gut aufgestellt“ gerne mit einem Patchstand von vorgestern sagen.

Wir gehen durch die Lage der IT-Sicherheit in Deutschland und sprechen über Ransomware, Phishing, Botnetze, offene Angriffsflächen und die alte Frage, warum Basics in der Praxis so oft wie Luxus behandelt werden.

Dabei verbinden wir technische Einordnung mit strategischem Blick: Was ist operatives Risiko, was ist Managementversagen und was ist schlicht zu lange liegen geblieben?

Am Ende bleibt ein klarer Realitätscheck: Der Lagebericht ist kein Dokument für die Schublade, sondern eine ziemlich direkte Aufforderung, Security endlich belastbar zu machen.

Die Lage der IT-Sicherheit in Deutschland 2025 -BSI

Besucht uns auf: zweifaktorgeplauder.de

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwuensche, die wir in einer der naechsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: podcast@zweifaktorgeplauder.de

Ein kaputter DNSSEC-Moment reicht, und plötzlich fühlt sich halb Deutschland an wie ein falsch gestecktes Netzwerkkabel: .de-Domains liefern SERVFAIL, Apps zicken, Mailprogramme zucken.

Wir nehmen die Vertrauenskette auseinander und schauen gemeinsam darauf, warum eine fehlerhafte Signatur nicht einfach „nur DNS“ ist, sondern Infrastruktur mit Dominoeffekt.

Dabei geht es um Abhängigkeiten, Krisenkommunikation, Resolver-Strategien und die Frage, warum Basisdienste oft erst auffallen, wenn sie brennen.

Außerdem sprechen wir über Microsoft Edge und Klartext-Passwörter im Speicher — Security-Theater vorne, offenes Fenster hinten.

Kurzer Ausfall, große Wirkung: .de-Domains offline -IT-Administrator.de

DNSSEC Failure in the .de Zone: Why bahn.de, spiegel.de and blackfort-tec.de Returned SERVFAIL -Blackfort-tec.de

DENIC mit DNS-Problem: Zahllose .de-Domains unerreichbar (Update) -Winfuture.de

DENIC behebt DNSSEC-Störung in der .de-Zone — eine kurze Erinnerung an die Vertrauenskette -Moselwal.de

.de-Domains stundenlang offline: DNSSEC-Panne legt Deutschland lahm -Borncity.com

Mittwoch: DNS-Probleme deutscher Domains, AMD-Wachstum dank Server und KI-GPUs -Heise.de

IT-Ausfall 05.05.2026: DNSSEC-GAU legt Deutschland lahm – Analyse -ESAGH-IT.de

Fehlerhafte Signatur: Viele .de-Domains durch DNSSEC-Panne lahmgelegt -Golem Security

DNS-Probleme: .de-Domains nicht erreichbar -Heise Security News

Cleartext Passwords in MS Edge -SANS ISC

Webbrowser: Klartext-Passwörter im Speicher von Microsoft Edge entdeckt -Golem Security

Microsoft Edge: Passwörter landen als Klartext im Speicher -Heise Security

Besucht uns auf: zweifaktorgeplauder.de

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwünsche, die wir in einer der nächsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: podcast@zweifaktorgeplauder.de

Marc stellt direkt klar: Bei Anthropic war kein Hacker-Genie am Werk, sondern jemand hat schlicht die Tür aufgelassen – unbefugter Zugriff ist eben kein Hollywood-Hack. Martin nutzt die Gelegenheit für einen strategischen Rundumschlag und erklärt, warum wir am Podcast schrauben, getreu dem Motto „Neu ist immer besser“. Wir räumen mit dem KI-Mythos auf und verraten euch, wie wir die Folgen in Zukunft noch praxisnaher gestalten wollen.

Mythos: Unbefugte sollen Zugriff auf Anthropics Super-KI haben -Golem Security

Besucht uns auf: zweifaktorgeplauder.de

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwuensche, die wir in einer der naechsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: podcast@zweifaktorgeplauder.de