Google hat am 7. Juni 2026 insgesamt 122 Schwachstellen in Android geschlossen, davon viele als kritisch und hochgefährlich eingestuft. Gleichzeitig meldet das BSI, dass die Android-Malware „Mamont“ inzwischen für über 70 Prozent aller Angriffe auf Android-Geräte verantwortlich ist. Im ersten Quartal 2026 stiegen Banking-Trojaner für Android um 196 Prozent auf 1,24 Millionen Fälle. Apple schloss Anfang Mai mit iOS 26.5 zusätzlich 52 Sicherheitslücken und führte Post-Quanten-Kryptografie (PQ3) ein.

Angreifer entwendeten am 4. Juni rund 3.800 interne GitHub-Repositories, indem sie eine weit verbreitete Erweiterung für Entwicklungswerkzeuge manipulierten. Der Angriff folgt dem gleichen Muster wie der LiteLLM-Vorfall im Mai: Entwickler-Tools und Open-Source-Bibliotheken werden gezielt kompromittiert, um über die Lieferkette möglichst viele Unternehmen gleichzeitig zu treffen. Die US-Behörde CISA hatte erst am 3. Juni angeordnet, bis spätestens 3. Juli 2026 Notfall-Patches für bestimmte Kritische-Infrastruktur-Systeme einzuspielen.

Laut aktuellem Verizon Data Breach Investigations Report 2026 markiert das Jahr einen historischen Wendepunkt: Erstmals basieren mehr als zwei Drittel aller Ransomware-Angriffe auf kompromittierten Identitäten statt auf klassischen Exploit-Ketten.

Das BSI warnte am 4. Juni 2026 vor mehreren Schwachstellen in der weit verbreiteten Analyse- und Visualisierungssoftware Grafana (CVSS Base Score 9,1 – „hoch“). Angreifer können darauf einen Denial-of-Service-Angriff durchführen, Code ausführen oder Informationen offenlegen. Betroffen sind Linux-, UNIX- und Windows-Systeme.

Bereits am 30. April hatte das BSI mit Kritikalität 3 („Sehr hoch“) vor einer aktiv ausgenutzten Schwachstelle in cPanel und WHM gewarnt, die das Umgehen der Authentifizierung ermöglicht. Wer cPanel für Webhosting nutzt, sollte sofort das Update auf die aktuellste Version einspielen.

Laut dem „State of Identity Security 2026“ von Sophos (5.000 befragte IT-Manager) waren 62 Prozent der deutschen Unternehmen im vergangenen Jahr von Identitätsdiebstahl betroffen. Die Durchschnittskosten für einen solchen Vorfall: 1,64 Millionen Euro. Ursache Nr. 1: menschliches Versagen (43 %) und schwaches Management von Zugangsdaten (41 %). 67 % aller Ransomware-Angriffe beginnen inzwischen mit einem gestohlenen Login – nicht mit einer technischen Lücke.

Als Reaktion darauf stellt Google ab Mai 2026 die SMS-basierte Zwei-Faktor-Authentifizierung zugunsten biometrischer Passkeys ein – die neue Technologie wird von bereits 5 Milliarden Konten genutzt und ist deutlich resistenter gegen Phishing.

Microsofts Mai-Patchday schloss 138 Sicherheitslücken, 30 davon kritisch. Besonders gefährlich: 27 Schwachstellen in der Office-Familie, darunter 15 mit Möglichkeit zur Remotecodeausführung. Vier Word-Lücken sind bereits über das Vorschaufenster ausnutzbar – eine Datei muss nicht geöffnet werden, es reicht, sie im Explorer anzuzeigen. Zusätzlich kritisch: Datenlecks in M365 Copilot (CVE-2026-26129, -26164) und im Teams Events Portal (CVE-2026-33823). Microsoft weist erneut darauf hin: Windows 10 erhält nur noch bis 13. Oktober 2026 Sicherheitsupdates – danach nur noch über das kostenpflichtige ESU-Programm. Jetzt ist die Zeit zum Wechsel auf Windows 11.

Das BKA veröffentlichte am 12. Mai das Bundeslagebild Cybercrime 2025: 334.000 registrierte Fälle, Schadensvolumen 202,4 Mrd. Euro (≈ 4,5 % des BIP). Ransomware-Angriffe stiegen um +47 %, DDoS-Attacken um +25 % auf 36.706 Fälle. Kleine und mittlere Unternehmen (KMU) sind laut BKA besonders gefährdet: Angreifer suchen sich die einfachsten Ziele – nicht die größten. Die hacktivistische Gruppe „NoName057(16)“ führte gezielte DDoS-Angriffe auf deutsche Einrichtungen als Reaktion auf die Ukraine-Unterstützung durch. Nur 17 % der befragten Unternehmen haben vollständig getestete Notfallpläne.

86 % aller Phishing-Kampagnen werden inzwischen von KI gesteuert – das entspricht 3,4 Milliarden Schadnachrichten pro Tag. Deepfake-Angriffe auf Unternehmen stiegen um über 300 %. Laut britischer Cybersecurity Breaches Survey 2026 bewerten 69 % der Unternehmen Phishing als die disruptivste Angriffsform – erstmals vor Ransomware. Besonders perfide: Das Phishing-Kit „Tycoon 2FA“ nutzt OAuth-2.0-Flüsse, um Microsoft-365-Berechtigungen zu stehlen, ohne das Passwort zu kennen. Über 70 % der schädlichen PDF-Anhänge leiten auf gefälschte Login-Seiten um statt direkt Malware zu installieren.

Microsofts April-Patchday war einer der umfangreichsten der jüngeren Geschichte: 167 Schwachstellen geschlossen, darunter zwei aktiv ausgenutzte Zero-Day-Lücken und acht kritische Fehler. Besonders brisant: CVE-2026-32201, eine Spoofing-Lücke in SharePoint Server (bereits von CISA als ausgenutzt eingestuft), und „BlueHammer“ (CVE-2026-33825), ein Rechteausweitungsfehler in Windows Defender, dessen Exploit-Code bereits vor dem Patch öffentlich verfügbar war. Zusätzlich kritisch: CVE-2026-33824, ein IKEv2-Fehler im Windows-Netzwerkstack, der ohne Anmeldung per Netzwerkpaket ausgenutzt werden kann.

Das BSI warnte vor einer KI-gestützten Angriffswelle auf Smartphones. Kriminelle versendeten Millionen individuell wirkender Nachrichten im Namen des Bundesfinanzministeriums und des Zolls – passend zur Steuererklärungssaison. Android-Malware-gesteuerte Finanztransaktionen stiegen um 67 % (Zimperium). Samsung-Geräte waren von einem CVSS-9,8-kritischen Update betroffen, das Remoteangriffe ohne Benutzerinteraktion ermöglichte.

Seit dem 6. März 2026 müssen sich schätzungsweise 29.850 deutsche Unternehmen beim BSI registriert haben. Laut Brancheninformationen kamen bislang nur rund 11.500 dieser Pflicht nach – weniger als 40 %. Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes drohen. Neu: Erstmals haften auch Geschäftsführer persönlich bei grober Fahrlässigkeit. Eine ZEW-Studie nennt den Grund für die Säumigkeit: 60 % der Firmen halten den bürokratischen Aufwand für zu hoch.

Betroffen sind Unternehmen ab 50 Mitarbeitern oder 10 Mio. € Umsatz in kritischen Sektoren (Energie, Gesundheit, IT, Transport, Lebensmittel u. a.). Auch viele Zulieferer können indirekt betroffen sein.

Internationale Behörden zerschlugen ein Botnetz des russischen Geheimdiensts GRU (APT28 / „Fancy Bear“), das Heimrouter (u. a. TP-Link) für Spionageangriffe missbrauchte. FBI und NSA warnen: Angreifer bauen solche Netze ständig neu auf. Router mit Standard-Passwörtern und veralteter Firmware werden automatisiert im Internet aufgespürt. Kriminelle benötigen keine gezielten Angriffe – einfache Scans genügen, um verwundbare Geräte zu finden.