622 Patches an einem einzigen Tag, das Pentagon setzt seine eigene Cyber-Zertifizierung aus, Brüssel plant Kapazitäten, die nicht vorhanden sind, und Lidls Daten verlassen ein Gebäude, das Lidl nicht gehört.
In dieser Ausgabe
- 01622 Fixes an einem Tag. Die beiden ausgenutzten Schwachstellen erzielten 7,2 und 5,3.
- 02Das Pentagon hat die Cyber-Zertifizierung ausgesetzt, an der es sechs Jahre gearbeitet hat.
- 03Brüssel hat einen Plan für KI-gestützte Angriffe. Die Durchsetzung beginnt in drei Wochen.
- 04Sie können nicht 622 Dinge patchen. Hören Sie also auf zu fragen, ob Sie gepatcht sind.
- 05Lidls Kundendaten haben ein Gebäude verlassen, das Lidl nicht gehört.
Erhalten Sie den nächsten GRC Brief in Ihrem Postfach.
The GRC Brief abonnieren622 Fixes an einem Tag. Die beiden ausgenutzten Schwachstellen erzielten 7,2 und 5,3.
Microsofts Patch-Tuesday im Juli enthielt Fixes für 622 einzelne CVEs. Das ist die größte Veröffentlichung in der Geschichte des Programms. Im Mai hatte Microsofts VP of Engineering gewarnt, die monatlichen Pakete würden wachsen, weil KI die Entdeckung von Schwachstellen beschleunigt. Kaum jemand erwartete zwei Monate später mehr als 600. Die Verteilung: 416 Schwachstellen in Windows, je 82 in Office und Office 2016, 46 in Edge, 17 in SharePoint Server. Mehr als 60 kritisch, 26 mit einem CVSS-Score über 9,0, 13 bei 9,8. Drei Zero-Days, zwei davon bereits aktiv ausgenutzt: ein Privilege-Escalation-Bug in Active Directory Federation Services (CVSS 7,2) und eine fehlende Authentifizierungslücke in SharePoint Server (CVSS 5,3). Beide sind im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet, mit bundesweiten Fristen am 17. und 28. Juli. Der dritte, öffentlich bekannt, aber bislang nicht ausgenutzt, umgeht die BitLocker-Geräteverschlüsselung mit physischem Zugang. Zitierte Forscher bezeichneten dies als das Ende des Patch-Tuesday als monatliches Ritual und den Beginn eines kontinuierlichen, hochvolumigen Patchings; sie waren sich weitgehend einig, dass eine ausschließliche Priorisierung nach CVSS überholt ist.
Quelle: Dark Reading · Microsoft July 2026 Patch Tuesday, 14 Jul 2026
Meine Einschätzung
Die Schlagzahl lautet 622. Die eigentliche Lektion sind 7,2 und 5,3. Das sind die Scores der beiden Bugs, die Angreifer in diesem Monat tatsächlich einsetzen. Ihre dreizehn 9,8er sind nicht das, was Sie gerade unter Druck setzt. Wenn Ihr Patch-Programm nach CVSS sortiert und die Liste von oben abarbeitet, patchen Sie in der falschen Reihenfolge, mit mehr Vertrauen, als die Daten rechtfertigen.
Hier ist das Detail, das die Diskussion beenden sollte. Tenable hat darauf hingewiesen, dass Ausnutzbarkeits-Bewertungen nicht berücksichtigen, wie schnell KI heute Exploits entwickelt: Ein führendes Modell hat für 13 von 14 Schwachstellen, die Microsoft als unwahrscheinlich oder weniger wahrscheinlich ausnutzbar eingestuft hatte, funktionierende Proof-of-Concept-Exploits produziert. „Unwahrscheinlich" ist heute eine Aussage über die Vergangenheit. Es ist keine Prognose, auf die Sie monatelang Ihre Planung stützen können.
Was Sie am Montag tun sollten: Hören Sie auf, CVSS als Warteschlange zu behandeln. Nutzen Sie CISA KEV und EPSS, um zu identifizieren, was tatsächlich ausgenutzt wird, und schichten Sie dann Ihren eigenen Kontext darüber: Was ist im Internet erreichbar, was hat Privilegien. Gestufte SLAs: Stunden für alles auf KEV, Tage für den Rest. Und akzeptieren Sie die strukturelle Erkenntnis: Niemand patcht 622 Dinge. Priorisierung ist jetzt die entscheidende Kontrolle, nicht die Patch-Abdeckung.
Das Pentagon hat die Cyber-Zertifizierung ausgesetzt, an der es sechs Jahre gearbeitet hat.
Am 13. Juli setzte das US-Verteidigungsministerium Phase zwei des CMMC aus, die im November in Kraft treten sollte, und leitete eine umfassende Überprüfung des gesamten Programms ein: mit einer 60-tägigen Task Force und einer öffentlichen Anfrage zur Stellungnahme. CMMC, Anfang 2020 angekündigt, verpflichtete Verteidigungsauftragnehmer, durch zugelassene private Prüfer nachzuweisen, dass sie sensible Regierungsinformationen schützen können. Der CIO des Ministeriums erklärte, die aktuellen und geplanten Anforderungen würden unzumutbare Compliance-Kosten und inakzeptable bürokratische Belastungen verursachen, insbesondere für kleine Unternehmen; gleichzeitig bestand er darauf, dass Cybersicherheit eine nicht verhandelbare Priorität bleibe und dass Auftragnehmer ihre regulatorischen Pflichten und Phase-1-Anforderungen weiterhin erfüllen müssten. Der Staatssekretär für Beschaffung formulierte es als Umstellung auf eine kriegsmäßige Beschaffung, anstatt Lieferanten in Friedenszeiten in Papierkram zu ertränken. Und ein stillerer Grund findet sich in der Ankündigung: Es gibt nicht genug Prüfer, um alle Bewertungen vor der November-Frist durchzuführen.
Quelle: US War Department · CMMC phase two suspension, 13 Jul 2026
Meine Einschätzung
Lesen Sie über die Politik hinaus bis zu dem Satz, der zählt: nicht genug Prüfer. Das Programm ist nicht an einem Grundsatz gescheitert, sondern an Kapazität. Das ist das Leitmotiv dieser ganzen Ausgabe. Ein Zertifizierungsprogramm ist nur so real wie die Anzahl kompetenter Personen, die es durchführen können, und die Nachfrage nach Zertifikaten übersteigt stets das Angebot qualifizierter Prüfer. Ich beobachte denselben Druck in der ISO-Welt jedes Jahr.
Wenn Sie für die US-Verteidigungsbasis liefern, missverstehen Sie das nicht. Das Ministerium hat die Zertifizierung ausgesetzt, nicht die Anforderung. Phase eins gilt weiterhin. Ihre vertraglichen und regulatorischen Pflichten zum Schutz dieser Informationen gelten weiterhin. Ein ausgesetztes Audit ist keine ausgesetzte Pflicht, und wenn die Überprüfung in 60 Tagen vorliegt, werden die in der Zwischenzeit aufgelaufenen Versäumnisse auf einmal fällig.
Beachten Sie auch den Unterschied zu Europa. Letzte Woche verklagte Brüssel vier Regierungen wegen der Nichtumsetzung von NIS2. Diese Woche setzte Washington sein eigenes Programm aus, um die Hürde für kleine Lieferanten zu senken. Dasselbe Problem, entgegengesetzte Instinkte: Die eine Seite erzwingt die Bürokratie, die andere setzt sie aus. Keine von beiden hat das eigentliche Problem gelöst: Die Arbeit ist dem verfügbaren Personal entwachsen.
Brüssel hat einen Plan für KI-gestützte Angriffe. Die Durchsetzung beginnt in drei Wochen.
Am 7. Juli stellte die Europäische Kommission ihren Aktionsplan zu Cybersicherheit und Künstlicher Intelligenz vor und bezeichnete fortgeschrittene KI als Dual-Use: Sie kann Schwachstellen finden, Angriffe automatisieren und Vorfälle in nie dagewesener Geschwindigkeit skalieren; sie kann aber auch Erkennung und Reaktion stärken. Drei Ziele: den sicheren Einsatz fortgeschrittener KI fördern, die EU-Cyberresilienz stärken und europäische KI-Kapazitäten für Cybersicherheit ausbauen. Konkrete Maßnahmen umfassen den Aufbau einer EU-Bewertungskapazität zur Unterstützung der Drittparteiprüfung von KI-Modellen durch das AI Office, ein mit ENISA entwickeltes Blueprint, eine sichere Testumgebung sowie rund 100 Millionen Euro EIC-Fund-Investitionen in Cyber- und KI-Startups bis Ende 2026. Der Plan fordert auch eine souveräne Frontier-KI-Fähigkeit, um neue strategische Abhängigkeiten zu vermeiden. Er baut auf dem bestehenden Rechtsrahmen auf: AI Act, Cyber Resilience Act, NIS2 und DORA. Die Bestimmungen des AI Act zu KI-Modellen für allgemeine Zwecke beginnen am 2. August durchgesetzt zu werden. Die Bewertungskapazität selbst ist für 2027 angestrebt.
Quelle: European Commission · Action Plan on Cybersecurity and AI, 7 Jul 2026
Meine Einschätzung
Vor einigen Wochen schrieb ich Ihnen, dass der Zugang zu Frontier-KI zu einer Lizenz geworden ist, die Washington gewährt und entzieht, und dass Sie eine Option vorhalten sollten, die niemandes Genehmigung benötigt. Das war meine Meinung. Lesen Sie jetzt den Plan der Kommission selbst: souveräne Frontier-KI-Fähigkeit, um neue strategische Abhängigkeiten zu vermeiden. Dieses Argument ist kein Newsletter-Standpunkt mehr. Es ist EU-Politik, schriftlich festgehalten.
Anerkennung, wo sie angebracht ist: Das ist ein ernsthaftes Dokument, das AI Act, NIS2, DORA und den CRA verbindet, anstatt einen weiteren Rahmen zu erfinden. Das ist bedeutsam. Aber seien Sie ehrlich darüber, was ein Plan ist. Die Bewertungskapazität ist für 2027 angestrebt. Die 622 CVEs am Anfang dieser Ausgabe landeten am Dienstag. Die Lücke zwischen Plan und Bedrohung wird in Jahren gemessen, und der Angreifer wartet nicht auf ENISAs Blueprint.
Das Datum, das Sie in Ihren Kalender eintragen sollten, ist nicht 2027. Es ist der 2. August, wenn der AI Act gegenüber Anbietern von KI-Modellen für allgemeine Zwecke durchgesetzt wird. Wenn Sie auf diesen Modellen aufbauen, werden die Pflichten Ihres Anbieters bald zu Ihrem Nachweisproblem. Fragen Sie Ihren Anbieter jetzt, was er Ihnen aushändigen wird, bevor Sie es in einem Audit benötigen.
Sie können nicht 622 Dinge patchen. Hören Sie also auf zu fragen, ob Sie gepatcht sind.
Zunächst ein Hinweis: Dieser Beitrag stammt von einem Anbieter, es handelt sich um gesponserten Inhalt des Sicherheitsunternehmens Picus. Das Argument ist dennoch prüfenswert, und die darin enthaltenen Zahlen stammen von Dritten. Die erste Hälfte des Jahres 2026 produzierte mehr CVEs als jedes vollständige Jahr vor 2024, im Durchschnitt etwa eine alle 7,4 Minuten. Der Zero Day Clock, der die Zeit von der Offenlegung bis zum funktionierenden Exploit über Zehntausende von CVEs hinweg verfolgt, weist für 2026 einen Median von deutlich unter einem Tag aus, gegenüber mehreren Wochen noch vor einigen Jahren. Nur ein Bruchteil eines Prozents dieser CVEs wird jemals zu einem aktiven Angriff. Live-Tests können die Lücke nicht schließen: Ein Exploit kann nur dort eingesetzt werden, wo er existiert und wo sein Einsatz sicher ist; das entspricht nach Angaben von Picus 10 bis 15 Prozent der Angriffsfläche eines typischen Unternehmens. Der Rest, Schwachstellen ohne öffentlichen Exploit, regulierte oder air-gapped Systeme, das Advisory von heute Morgen, bleibt ungeprüft. Ihr Vorschlag: Jeder Exploit ist eine Kette abhängiger Schritte: Ausführung, Defence Evasion, Privilege Escalation, Credential Theft, Lateral Movement. Ordnen Sie eine Schwachstelle den Schritten zu, die sie benötigt, testen Sie jeden Schritt gegen die tatsächlich eingesetzten Controls, und wenn ein erforderlicher Schritt keinen Weg durch Ihre Umgebung findet, kann die Kette auf diesem Asset nicht abgeschlossen werden, auch wenn die Schwachstelle weiterhin vorhanden ist.
Quelle: BleepingComputer · Picus sponsored post, 14 Jul 2026
Meine Einschätzung
Ich sage Ihnen, dass dies von einem Anbieter stammt, damit Sie wissen, wer hier spricht. Nehmen Sie die Logik, überspringen Sie die Demo. Und die Logik ist stichhaltig: Bei einer neuen CVE alle 7,4 Minuten und Exploits, die in weniger als einem Tag landen, ist „Sind wir gepatcht?" keine beantwortbare Frage mehr. „Kann diese Angriffskette hier abgeschlossen werden?" ist es noch.
Sehen Sie auf den Anfang dieser Ausgabe, und es fügt sich zusammen. Die beiden ausgenutzten Bugs erzielten 7,2 und 5,3. Eine Schweregrad-Warteschlange begräbt sie. Chain-Thinking findet sie, weil es fragt, was ein Angreifer in Ihrer Umgebung tatsächlich braucht, um erfolgreich zu sein, anstatt wie bedrohlich die Zahl in einer Tabellenkalkulation aussieht.
Der unbequeme Teil, den niemand verkauft: Das funktioniert nur, wenn Sie wissen, was Ihre Controls tatsächlich blockieren, und die meisten Organisationen wissen das nicht. Wenn Sie die Frage „Würde Credential Dumping über Shadow Copy hier erkannt?" nicht mit Nachweisen beantworten können, sondern nur mit einem Vendor-Datenblatt, rettet Sie keine Chain-Analyse. Beginnen Sie mit dem ehrlichen Inventar, nicht mit der Plattform.
Lidls Kundendaten haben ein Gebäude verlassen, das Lidl nicht gehört.
Am Freitag, dem 10. Juli, begann Lidl, Online-Shop-Kunden in Deutschland, Belgien und den Niederlanden darüber zu informieren, dass ihre Daten gestohlen worden waren. Nicht von Lidl. Der Vorfall ereignete sich bei einem IT-Dienstleister, bei dem eine separat gespeicherte Kundendatei kurzzeitig abgerufen und teilweise kopiert wurde. Entwendet wurden: Anrede, Vor- und Nachname, Telefonnummer, E-Mail-Adresse, Geburtsdatum und Kundennummer. Lidl gibt an, es gebe keine Hinweise darauf, dass Passwörter, Rechnungs- oder Lieferadressen, Bankdaten oder Zahlungsinformationen betroffen seien, und dass Kundenkonten weiterhin sicher seien. Der Dienstleister wurde nicht namentlich genannt, die Anzahl der betroffenen Kunden wurde nicht offengelegt, und niemand hat den Angriff für sich beansprucht. Der Dienstleister stellte seine Systeme wieder her, erstattete Strafanzeige und zog eine Forensik-Firma hinzu; die Datenschutzbehörden wurden benachrichtigt. Lidl, Teil der Schwarz-Gruppe, betreibt rund 12.900 Filialen in 32 Ländern. Zum Kontext: Der Jahresbericht der niederländischen Datenschutzbehörde vom 8. Juli verzeichnete für 2025 mehr als 39.000 Meldungen von Datenschutzverletzungen, wobei cyberangriffsbezogene Meldungen von etwa 1.500 auf 2.400 stiegen und Account-Takeover-Meldungen von rund 600 auf mehr als 1.700.
Quelle: The Record · Lidl third-party breach, disclosed 10 Jul 2026
Meine Einschätzung
Keine Kartennummern, also werden viele die Schultern zucken. Tun Sie das nicht. Name, Geburtsdatum, Telefon, E-Mail und Kundennummer sind ein vorgefertigtes Phishing-Kit, das auf jemanden zielt, der dort bereits einkauft. Lidl selbst sagte das, als es Kunden aufforderte, auf Phishing und Identitätsbetrug zu achten. Account-Takeover-Meldungen in den Niederlanden haben sich innerhalb eines Jahres fast verdreifacht. Dafür werden diese Daten verwendet.
Jetzt der relevante Teil für Sie. Lidl wurde nicht kompromittiert. Lidls Lieferant wurde kompromittiert. Und dennoch tragen Lidl die Benachrichtigungen, die Behörde, die Kunden-E-Mails und die Schlagzeilen. Sie können die Verarbeitung auslagern. Sie können die Verantwortung nicht auslagern. Unter GDPR sind Sie der Verantwortliche, dieser Dienstleister ist Ihr Auftragsverarbeiter, und Artikel 28 ist keine Formalität, die Sie einmal 2019 unterzeichnet haben.
Stellen Sie am Montag diese Frage laut: Welcher unserer Lieferanten hält eine separat gespeicherte Datei unserer Kundendaten? Wer hat das genehmigt? Wann wurde es zuletzt überprüft? Und würden wir von einem Vorfall durch sie erfahren, oder durch die Presse? Lidl hat seinen Dienstleister nicht genannt. Die interessante Frage ist, ob Ihr Dienstleister Sie nennen würde.