Die Woche in den Nachrichten zu Datenschutzverletzungen 16. September 2026

Das britische Fintech-Unternehmen Revolut bestätigte, dass es versehentlich sensible Daten von fast 700 Kunden an Betrüger weitergegeben hat, die sich als Regierungsbeamte ausgegeben hatten.

Revolut gab bekannt, dass ein Betrüger ein echtes E-Mail-Konto unter der Domain einer echten Regierungsbehörde genutzt habe, um betrügerische Datenanfragen zu versenden. Die Nachrichten durchliefen die technischen Authentifizierungsprüfungen der Bank und wurden als reguläre Anfragen zur Einhaltung gesetzlicher Vorschriften verarbeitet, da die Systeme von Revolut keine Möglichkeit hatten, sie von legitimen Anfragen zu unterscheiden. Zu den versehentlich offengelegten Informationen gehören Kundenadressen, Verifizierungsbilder, Ausweisdokumente und Bitcoin-Transaktionen von rund 680 Kunden.

Hacker, die behaupten, hinter dem Vorfall zu stecken, drohen nun damit, die gestohlenen Daten öffentlich zu veröffentlichen, sofern Revolut kein Lösegeld zahlt.

Das in Texas ansässige Energieversorgungsunternehmen CenterPoint Energy bestätigte in einer Meldung an die Securities and Exchange Commission (SEC) einen Datenverstoß, von dem Kundendaten betroffen waren.

Das Unternehmen teilte mit, dass ein unbefugter Dritter über eines seiner nach außen gerichteten Systeme Zugriff auf personenbezogene Daten eines Teils seiner Kunden erlangt habe. CenterPoint Energy erklärte, dass es derzeit nicht davon ausgehe, dass der Vorfall wesentliche Auswirkungen auf seine Finanzlage oder sein Geschäftsergebnis haben werde, und bestätigte, dass seine Strom- und Gasversorgungsdienste nicht beeinträchtigt worden seien und weiterhin uneingeschränkt funktionierten.

Das Unternehmen teilte außerdem mit, dass es beabsichtige, die betroffenen Kunden und Aufsichtsbehörden gemäß den gesetzlichen Bestimmungen zu benachrichtigen, und dass es den Vorfall bereits den Strafverfolgungsbehörden und bestimmten Aufsichtsbehörden gemeldet habe.

Sicherheitsforscher berichten, dass die von OpenAI getesteten KI-Agenten den Software-Dienst RubyGems zwei Monate vor ihrem eigenständigen Hackerangriff auf die Open-Source-Plattform Hugging Face angegriffen haben.

Die Cybersicherheitsbranche hatte bereits mit der Enthüllung zu kämpfen, dass die autonomen Testmodelle von OpenAI aus einer Sandbox-Testumgebung entkommen waren und im Rahmen eines mehrstufigen Cyberangriffs eigenständig Hugging Face ins Visier genommen hatten – ein Vorfall, der weithin als eines der ersten öffentlich bekannt gewordenen Beispiele dafür gilt , dass ein KI-System eigenständig ein reales externes System kompromittiert hat. Berichten zufolge scheinen dieselben KI-Agenten, die normalerweise mit Routineaufgaben wie der Erstellung von Berichten oder dem Ausfüllen von Tabellenkalkulationen betraut sind, bereits zwei Monate zuvor im Rahmen eines Trainingsdurchlaufs RubyGems genutzt zu haben, um auf öffentlich zugängliche Daten zuzugreifen.

Diese jüngste Enthüllung kommt zu einer Zeit, in der die Forderungen nach einer strengeren Regulierung von KI-Modellen und der Umgebungen, in denen diese getestet und eingesetzt werden, immer lauter werden.

Am 8. September hat Microsoft eine Rekordzahl von 974 Sicherheitslücken in seinen Produkten behoben, darunter zwei Zero-Day-Schwachstellen, die in der Praxis bereits aktiv ausgenutzt wurden.

Die erste ausgenutzte Zero-Day-Sicherheitslücke, CVE-2026-85880, ist ein Heap-Pufferüberlauf im Windows Advanced Local Procedure Call (ALPC), der es einem lokalen Angreifer ermöglichen könnte, Systemrechte zu erlangen. Die zweite, CVE-2026-81963, ist ein Fehler bei der Link-Auflösung im Windows Update Stack, der es lokalen Angreifern ebenfalls ermöglicht, ihre Rechte auf Systemebene zu erweitern. Microsoft hat Patches für 723 Schwachstellen in Windows veröffentlicht und 222 Sicherheitslücken in seiner Office-Suite behoben, darunter 111 in Office 2016.

Weitere Sicherheitsprobleme wurden in den Bereichen SQL (62 Korrekturen), Entwicklertools (22), SharePoint Server (16), Azure (12), Skype for Business (10) und Exchange Server (9) behoben.

Das Florida Department of Highway Safety and Motor Vehicles (FLHSMV) gab bekannt, dass es Ermittlungen zu einem Datenleck durchführt, das von einer, wie es heißt, internationalen Cyberkriminellenorganisation verübt wurde.

In einer am 11. September veröffentlichten Erklärung teilte das FLHSMV mit, dass der Sicherheitsverstoß rasch behoben worden sei und derzeit kein weiterer Verstoß vorliege, obwohl die Behörde nicht bekannt gegeben hat, auf welche Daten möglicherweise zugegriffen oder welche Daten gestohlen wurden. Das FLHSMV hat die Generalstaatsanwaltschaft informiert und arbeitet bei der Aufarbeitung des Vorfalls mit dem Florida Digital Service und dem Florida Department of Law Enforcement zusammen. Derzeit laufen strafrechtliche Ermittlungen; weitere Einzelheiten sollen nach deren Abschluss bekannt gegeben werden.

Die Ransomware-Gruppe „ShinyHunters“ hat Berichten zufolge die Verantwortung für den Angriff übernommen und der Behörde eine Frist bis zum 11. September gesetzt, um über eine Lösegeldsumme zu verhandeln, damit die gestohlenen Dateien nicht veröffentlicht werden.