Berlin schaltet nach einem Passwort-Leak den VPN-Zugang zu Fachanwendungen ab, während Rhysida mit der Veröffentlichung gestohlener Daten droht. Die Sperre trennt eine akute Gefahr vom Verwaltungsnetz, doch sie beantwortet nicht, warum Klartext-Zugangsdaten und zersplitterte IT-Verantwortung so viel Wirkung entfalten konnten.

Homeoffice ist dabei weniger der Auslöser als der Belastungstest für die Sicherheitsarchitektur. Wer externen Zugriff daürhaft vernünftig absichern will, braucht nachprüfbare Identitäten, MFA, minimale Rechte und Systeme, die einem kompromittierten Konto nicht gleich den ganzen Flur aufschliessen.

Golem: Passwort-Leak schränkt Homeoffice ein - golem.de

n-tv: Graf fordert Ende der IT-Kleinstaaterei - n-tv.de

rbb24: Sicherheitsvorfall im Berliner Landesnetz - rbb24.de

Spiegel: Ausmass des Angriffs auf Landesnetz - spiegel.de

BornCity: Rhysida erpresst Berlin nach Hack - borncity.com

upday: Verwaltung sperrt Homeoffice nach Passwort-Leak - upday.com

ad-hoc-news: Zwei Verwaltungen seit 14. August offline - ad-hoc-news.de

Börse Express: Ransomware-Angriff mit 5,79 TB Datenraub - börse-express.com

BornCity: Cyberangriff legt Senatsverwaltungen lahm - borncity.com

Golem: Rhysida fordert Bitcoin von Berliner Landes-IT - golem.de

Besucht uns auf: ⁠⁠zweifaktorgeplauder.de⁠⁠

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwünsche, die wir in einer der nächsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: ⁠⁠podcast@zweifaktorgeplauder.de

Offensives Hacking wird zur politischen und geschäftlichen Frage: Martin spricht über die Golem-Meldung, nach der die US-Regierung Firmen solche Aktivitäten erlaubt. Danach wechselt Marc vom Hack zurück zum Alltag der Security-Teams und schaut auf die ISC2 Workforce Study 2025 sowie die Security Training Trends 2026.

Die Studien zeichnen ein Bild zwischen KI-Aufbruch und Ressourcenknappheit: Es fehlen nicht nur Menschen, sondern ganz bestimmte Fähigkeiten. Cloud-Sicherheit, KI-Kompetenz und gute Weiterbildung werden damit zur Frage der Resilienz. Und wie so oft entscheidet sich die Theorie an einem sehr praktischen Detail: ob im Kalender wirklich Zeit zum Lernen steht.

Offensive Hacks durch Unternehmen - Golem

Cybersecurity Workforce Study 2025 - ISC2

Security Training Trends 2026 - ISC2

Besucht uns auf: ⁠zweifaktorgeplauder.de⁠

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwünsche, die wir in einer der nächsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: ⁠podcast@zweifaktorgeplauder.de

In dieser Folge wird klar: Digitaler Alltag kann erstaunlich viele Nebenwirkungen haben. In US-Wasserwerken geht es um Angriffe, die laut US-Cyberbehörde wohl iranischen Akteuren zugerechnet werden. Beim Auto begrüßt uns dagegen keine Warnlampe, sondern eine Filmwerbung auf dem Display. Kritische Infrastruktur und Kinotrailer: Beides möchte man eigentlich nicht ungefragt im System haben.

Zusätzlich schauen wir auf ChainDrop, den npm-Supply-Chain-Angriff, bei dem kompromittierte Pakete automatisch Code beim Installieren ausführen konnten und Zugangsdaten aus Entwickler- und CI-Umgebungen im Visier standen. Und wir sprechen über das Patch-Rennen: Wenn sich aus einem Patch immer schneller ein möglicher Exploit ableiten lässt, reicht es nicht, Schwachstellen nur nach Schweregrad zu sortieren. Entscheidend sind die eigenen, erreichbaren Systeme, vorhandene Schutzmassnahmen und ein Plan, der schneller ist als der nächste Change-Request.

N-day is Becoming N-Hour. Patching Faster Won't Save You. - ⁠The Hacker News

Massive ChainDrop npm supply-chain attack infects hundreds of packages - ⁠Bleeping Computer

BMW: Belästigt Mit Werbung - ⁠Heise

Iranische Hacker stecken wohl hinter Angriffen auf US-Wasserwerke - ⁠Golem Security

Besucht uns auf: ⁠zweifaktorgeplauder.de⁠

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwünsche, die wir in einer der nächsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: ⁠podcast@zweifaktorgeplauder.de

In dieser Episode legen wir erst ein ganzes Grundbuch still, bevor wir eine KI aus ihrer Sandbox entkommen lassen. Martin erzählt, wie ein Angreifer mit gültigen Zugangsdaten Rumäniens nationales Kataster-System e-Terra ins Koma versetzt, Notare und Banken lahmlegt und am Ende nur ein einsames Offline-Backup verhindert, dass ein ganzes Land seine Grundstücke „neu würfeln“ muss.

Marc schaut anschließend auf den vielleicht bisher deutlichsten KI-gegen-KI-Vorfall: OpenAIs eigene Modelle optimieren sich im ExploitGym-Benchmark derart aggressiv, dass sie eine Zero-Day-Schwachstelle finden, aus einer Testumgebung ausbrechen und Teile der Infrastruktur von Hugging Face angreifen – der Plattform, auf der gefühlt jedes zweite Open-Source-Modell liegt.

Cyberangriff auf Rumäniens Grundbuch: Hacker löscht zentrale Datenbank - Golem Security

Romania's land registry hit by cyber attack, data allegedly for sale - Help Net Security

Romania's real estate market still reeling from major cyberattack - Romania Insider

Hacker wipes Romania's entire land registry database - Risky Business

Romania’s Land Registry Was Wiped. One Backup Saved It. - ByteIota

How stolen credentials and known vulnerabilities brought Romania's land registry to a standstill - ThreatLocker Blog

OpenAI and Hugging Face partner to address security incident - OpenAI

Security incident disclosure — July 2026 - Hugging Face

OpenAI Says Its AI Models Escaped Sandbox, Targeted Hugging Face - The Hacker News

ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks? - CyberGym / ExploitGym

Besucht uns auf: zweifaktorgeplauder.de

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwünsche, die wir in einer der nächsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: podcast@zweifaktorgeplauder.de

Die WM 2026 zeigt gerade, dass Cybersecurity nicht erst beginnt, wenn irgendwo ein Stadionserver blinkt. Ende Juni beschlagnahmte die US-Justiz fast 400 Domains mit illegalen WM-Livestreams. Europol und Eurojust beschreiben dazu die andere Seite der Fernbedienung: international verteilte Infrastruktur, Kundenportale, Server und Zahlungswege.

Wir sortieren ein, was daran bestaetigte Cybercrime ist und was nicht. Kein belegter grosser Hack von FIFA oder der Stadiontechnik, aber ein reales Umfeld aus Piraterie, riskanten Links, Fake-Logins und Datenabfragen. Die beste Gegenbewegung ist erstaunlich menschlich: kurz stoppen, den legalen Streaming-Anbieter selbst oeffnen und keine Zahlungs- oder Login-Daten unter Zeitdruck eingeben.

U.S. Department of Justice: Operation Offsides gegen illegale WM-Streams

Europol: Operation KRATOS 2 gegen illegale Streaming-Netzwerke

Eurojust: Abschaltung illegaler Streaming-Dienste fuer Millionen Nutzer

FBI IC3: Warnung zu malicious traffic distribution systems

Besucht uns auf: zweifaktorgeplauder.de

Feedback: podcast@zweifaktorgeplauder.de

Martin und Marc sprechen über vier Themen, die auf den ersten Blick nicht sauber zusammengehören und am Ende doch dieselbe unangenehme Wahrheit zeigen. Bei Mini Shai-Hulud reist der Schaden über Pakete, Pipelines, Signaturen und eine trojanisierte VS-Code-Erweiterung durch die Entwicklerwelt. Beim 7-Eleven-Fall reichen ein offener Aura-Endpunkt, zu viele Gastrechte und eine gut gespielte Support-Masche, um an Bewerberdaten und später an Erpressungsmaterial zu kommen.

Dazu kommen Project Glasswing und Mythos Preview, weil sie den Engpass von der Lückensuche in Richtung Patch- und Rollout-Kapazität verschieben, und Kali365, weil Device-Code-Phishing, KI-gestützte 2FA-Angriffe und ausgesperrte Admins dieselbe Vertrauensfrage auf einer anderen Ebene stellen. Die nüchterne Erkenntnis lautet: Das Risiko sitzt oft nicht im Kernprodukt, sondern im Prozess davor.

Mini Shai-Hulud - TanStack und StepSecurity

7-Eleven und Salesforce - BornCity und Help Net Security

Project Glasswing - Moselwal.de und Anthropic

Kali365 - BornCity und PlexTec

Besucht uns auf: zweifaktorgeplauder.de

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwünsche, die wir in einer der nächsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: podcast@zweifaktorgeplauder.de

In dieser Folge geht es um die unangenehme Wahrheit, dass moderne Softwareentwicklung Vertrauen wie ein Produktivitätsfeature behandelt und Angreifer genau dort investieren. Am Beispiel von Shai-Hulud schauen wir darauf, wie aus kompromittierten Maintainer-Konten, Installationslogik und gestohlenen Credentials sehr schnell ein Problem für Entwicklerteams, CI und Unternehmen wird.

Dazu kommen drei kleine Side News mit ziemlich unterschiedlichem Geschmack: SMS-Blaster als physische Fake-Nachrichtenfabrik, Googles Analyse des 3CX-Kompromisses als Supply-Chain-Mahnung mit Langzeitwirkung und Discords Schritt zu standardmaessiger Ende-zu-Ende-Verschluesselung fuer Anrufe.

Quellen: GitHub npm Security Plan

GitHub Shai-Hulud Follow-up

JFrog Vendor Research

heute.at SMS-Blaster

Google Cloud zu 3CX

heise zu Discord E2EE.

Besucht uns auf: zweifaktorgeplauder.de

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwuensche, die wir in einer der naechsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: podcast@zweifaktorgeplauder.de

Der BSI-Lagebericht 2025 liefert wieder genug Stoff für alle, die „wir sind eigentlich ganz gut aufgestellt“ gerne mit einem Patchstand von vorgestern sagen.

Wir gehen durch die Lage der IT-Sicherheit in Deutschland und sprechen über Ransomware, Phishing, Botnetze, offene Angriffsflächen und die alte Frage, warum Basics in der Praxis so oft wie Luxus behandelt werden.

Dabei verbinden wir technische Einordnung mit strategischem Blick: Was ist operatives Risiko, was ist Managementversagen und was ist schlicht zu lange liegen geblieben?

Am Ende bleibt ein klarer Realitätscheck: Der Lagebericht ist kein Dokument für die Schublade, sondern eine ziemlich direkte Aufforderung, Security endlich belastbar zu machen.

Die Lage der IT-Sicherheit in Deutschland 2025 -BSI

Besucht uns auf: zweifaktorgeplauder.de

Euer Feedback bedeutet uns alles! Habt ihr Anregungen, Kritik oder spannende Themenwuensche, die wir in einer der naechsten Folgen besprechen sollen? Oder wollt ihr einfach nur eure Gedanken zu unserem Podcast mit uns teilen? Schreibt uns gerne eine E-Mail an: podcast@zweifaktorgeplauder.de