5 short insights this week: A record $409M privacy fine, and not a hacker in sight · A 9.8 zero-day in PeopleSoft, no login required · npm is finally turning off the feature that kept getting you hacked…
In dieser Ausgabe
- 01Eine Rekord-Datenschutzstrafe von 409 Mio. $, und kein Hacker in Sicht
- 02Eine 9,8 Zero-Day in PeopleSoft, kein Login nötig
- 03npm schaltet endlich die Funktion ab, die Sie ständig hacken ließ
- 04DORAs erste Zahlen: 90 % der schweren Vorfälle waren nicht cyber
- 0510,9 Millionen Datensätze gingen aus einem unverschlossenen Schrank weg
Erhalten Sie den nächsten GRC Brief in Ihrem Postfach.
The GRC Brief abonnierenEine Rekord-Datenschutzstrafe von 409 Mio. $, und kein Hacker in Sicht
Der südkoreanische Datenschutzregulator belegte Coupang, den größten Online-Händler des Landes, mit einer Strafe von 624,7 Milliarden Won (etwa 409 Millionen Dollar). Es ist die größte Datenschutzstrafe in der Geschichte des Landes, fast fünfmal der vorherige Rekord. Die Datenpanne legte rund 34 Millionen Kunden plus 4,3 Millionen Nichtmitglieder offen, etwa zwei Drittel der Bevölkerung. Die Ursache war kein ausgeklügeltes Hacking. Ein Konto eines ehemaligen Auftragnehmers, das nie deaktiviert wurde, wurde verwendet, um die Datenbank zu exfiltrieren.
Quelle: The Record · reporting also by BleepingComputer
Meine Einschätzung
Lesen Sie die Ursache noch einmal. Kein Nationalstaat. Kein cleverer Exploit. Ein Typ, der gegangen ist, dessen Schlüssel niemand widerrufen hat. Das ist Berechtigungsmanagement 101. Es ist der langweiligste Teil eines Sicherheitsprogramms, und es kostete Coupang die größte Datenschutzstrafe in der Geschichte des Landes.
Das ist es, was Sicherheitsbudgets immer wieder falsch machen. Sie können Millionen für Detection ausgeben und trotzdem an einer vierteljährlichen Zugriffsüberprüfung verlieren. Der echte ROI für die meisten Organisationen ist nicht ein weiteres EDR. Es ist der Zugriffsüberprüfungsprozess, der tatsächlich funktioniert.
Und beachten Sie, was eine schlechte Datenpanne in eine Rekordstrafe verwandelt hat: die Grundlagen, wieder. Die Meldefrist verpassen, den Umfang unterschätzen, keine klare Antwort auf "warum war dieser Zugriff noch aktiv" haben. Der Regulator straft nicht für den Hack. Er straft für die schlechte Governance.
Eine 9,8 Zero-Day in PeopleSoft, kein Login nötig
Eine kritische Schwachstelle in Oracles PeopleSoft (CVE-2026-35273), bewertet mit 9,8 von 10, erlaubt einem Angreifer, den Server mit nichts als Netzwerkzugriff zu übernehmen. Kein Login, keine Benutzerinteraktion. Googles Mandiant sagt, eine Gruppe, die es als UNC6240 verfolgt, hat es zwischen dem 27. Mai und dem 9. Juni ausgenutzt. Oracle veröffentlichte sein Advisory erst am 10. Juni, was bedeutet, dass es die ganze Zeit eine lebendige Zero-Day war. Wenn Sie PeopleSoft betreiben, prüfen Sie Ihre Exponierung heute.
Quelle: The Hacker News · attribution by Google Mandiant
Meine Einschätzung
PeopleSoft betreibt HR und Gehaltsabrechnung in einem riesigen Anteil großer Organisationen. Das heißt, es sitzt auf einer Goldgrube persönlicher Identitäten und wird oft aus Angriffsinventaren herausgelassen, weil es "nur" intern ist. Außer dass dieses viel häufiger ins Internet exponiert ist, als die Leute denken.
Der unangenehme Teil ist die Zeitachse. Die Angreifer waren ab dem 27. Mai drin. Der Patch landete am 10. Juni. Für Teams, die zwei Wochen nach dem Advisory patchen, sind das drei Wochen blinde Vorab-Ausnutzung. Das ist die Lücke, die Ihr Vulnerability-Management-Programm so konzipiert sein sollte zu schließen, und die meisten sind es nicht.
Gehen Sie und prüfen Sie, ob Ihre PeopleSoft-Management-Endpunkte exponiert sind. Heute, nicht im nächsten Sprint.
npm schaltet endlich die Funktion ab, die Sie ständig hacken ließ
GitHub kündigte an, dass npm Version 12, fällig im Juli, das Ausführen von Abhängigkeits-Installationsskripten standardmäßig stoppen wird. Jahrelang konnte ein einziges "npm install" Code von jedem Paket irgendwo in Ihrem Abhängigkeitsbaum ausführen, in dem Moment, in dem Sie es einzogen, auf Entwickler-Laptops und CI-Runnern voller Anmeldedaten. Das war der Standfuß hinter einer langen Reihe von Supply-Chain-Angriffen. Ab v12 sind diese Skripte (zusammen mit anderen riskanten Hook-Mustern) standardmäßig deaktiviert, außer mit explizitem Override.
Quelle: The Hacker News · GitHub announcement, 9 Jun 2026
Meine Einschätzung
Das sind ehrlich gesagt gute Nachrichten, und es ist auch eine Deadline. Gut, weil automatische Installationsskripte einer der dümmsten Angriffspfade des Jahrzehnts waren. Deadline, weil "breaking changes" genau das bedeutet. Wenn Ihre CI-Pipeline stillschweigend vom Installationsskript eines Pakets abhängt, um etwas vorzubauen, wird sie im Juli brechen.
Nutzen Sie die nächsten Wochen für einen Sweep. Identifizieren Sie Pakete, die Installations-Hooks (postinstall, preinstall) in Ihren direkten Abhängigkeiten verwenden. Fragen Sie sich, ob Sie sie brauchen, oder ob es nur bequem war. Für die meisten war es nur bequem.
Und das ist eine Governance-Frage, nicht nur eine Entwickler-Frage. Wer in Ihrer Organisation entscheidet, welche Drittanbieter-Skripte auf Ihren Runnern ausgeführt werden. Wenn die Antwort "niemand" ist, haben Sie ein Governance-Loch, kein technisches Loch.
DORAs erste Zahlen: 90 % der schweren Vorfälle waren nicht cyber
Die Europäischen Aufsichtsbehörden veröffentlichten den ersten DORA-Vorfallbericht, das klarste Bild bis jetzt davon, was in der europäischen Finanzwelt tatsächlich kaputtgeht. Finanzinstitute meldeten 2025 3.383 schwerwiegende IKT-Vorfälle, etwa 282 pro Monat. Die Hauptfeststellung: Nur 10 % standen im Zusammenhang mit Cybersecurity. Der Rest waren Systemausfälle, Technologieausfälle und externe Ereignisse. Fast ein Drittel ließ sich auf Probleme bei Drittanbietern zurückführen.
Quelle: European Banking Authority · ESAs first DORA incident report, 3 Jun 2026
Meine Einschätzung
Bleiben Sie bei diesen 10 %. Bei all den Ransomware-Schlagzeilen waren neun von zehn schwerwiegenden Vorfällen in der europäischen Finanzwelt 2025 kein Angreifer. Es war ein Update, das schiefging, ein Lieferant, der ausfiel, ein System, das die Puste verlor. Wenn Ihre gesamte Risikokarte auf Angreifer zentriert ist, sehen Sie 10 % des Bildes.
Das ist das Argument für operative Resilienz in einer einzigen Statistik. Wenn Ihr gesamtes Resilienzprogramm ein Cyber-Incident-Response-Plan ist, sind Sie nicht bereit für das Wahrscheinlichste, was Ihnen passieren wird. Sie sind bereit für das, was die Schlagzeilen macht.
Die Zahl, die Sie mehr beunruhigen sollte als die 10 %: Fast ein Drittel der Vorfälle kam von Drittanbietern. Das ist genau das, was NIS 2 und DORA beide über Drittparteienrisiko sagen. Es sind keine vertraglichen Häkchen. Da kommen die echten Ausfälle her.
10,9 Millionen Datensätze gingen aus einem unverschlossenen Schrank weg
Kyushu Electric, einer der größten regionalen Versorger Japans, gab bekannt, dass eine externe Festplatte mit Daten von bis zu 10,9 Millionen Kunden aus seinem Serverraum verschwunden ist. Die Vorgeschichte ist schmerzhaft gewöhnlich: Mit knappem Speicher kopierte das IT-Personal die Daten am 27. April auf eine externe Festplatte und schloss sie in einem gesicherten Schrank ein. Am 26. Mai kamen sie zurück und fanden den Schrank unverschlossen und die Festplatte weg.
Quelle: BleepingComputer · 11 Jun 2026
Meine Einschätzung
Zwei Punkte in diesem Brief jetzt, und kein Hacker hinter einem der größten Datenverluste. Coupang verlor 34 Millionen Datensätze wegen eines vergessenen Kontos. Kyushu verlor 10,9 Millionen wegen eines unverschlossenen Schranks. Physische Sicherheit und Asset Management sind nicht "die andere Abteilung" für GRC-Teams. Es sind die fundamentalen Kontrollen, die in jeder Katastrophe auftauchen.
Beachten Sie, was in der Offenlegung fehlt: jede Erwähnung von Verschlüsselung. Eine Festplatte mit 10,9 Millionen Kundendatensätzen, die 2026 nicht verschlüsselt war, erzählt ihre eigene Geschichte über die Reife des Programms. Und das ist genau die Art grundlegender Kontrolle, die ISO 27001 Anhang A 8.24 (Kryptographie) standardmäßig für Wechseldatenträger erwartet.