Die Cybersecurity and Infrastructure Security Agency (CISA) hat drei aktiv ausgenutzte Schwachstellen in ihren Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen: Sicherheitslücken in Langflow, Apache Tomcat und N-central. Der KEV-Katalog dient speziell dazu, Sicherheitslücken zu kennzeichnen, die Angreifer bereits aktiv in freier Wildbahn nutzen – und diese neueste Gruppe bildet da keine Ausnahme. Für zusätzliche Brisanz sorgt, dass Forscher von Unit 42 von Palo Alto Networks eine der Ausnutzungskampagnen mit einem Hacking-Agenten in Verbindung gebracht haben, der Berichten zufolge von DeepSeek angetrieben wird, dem chinesischen KI-Modell, das aufgrund seiner raschen Verbreitung sowohl in legitimen als auch in böswilligen Anwendungsfällen unter Beobachtung steht.

Für normale Internetnutzer können KEV-Ergänzungen wie eine Insider-Angelegenheit wirken. Das sind sie aber nicht. Diese Einträge betreffen direkt die Software, die hinter den Websites, Fernwartungstools und KI-Plattformen läuft, auf die sich Unternehmen und Dienstleister verlassen, um Ihre Daten zu schützen. Wenn Angreifer diese Systeme ausnutzen, bevor Patches eingespielt werden, trifft der Schaden oft die Menschen, deren Daten diese Systeme eigentlich schützen sollten.

Drei neue Einträge in CISA's KEV-Katalog

Jede der drei von CISA nun markierten Schwachstellen betrifft einen anderen Bereich des Software-Ökosystems, was diese Aktualisierung besonders bemerkenswert macht. Langflow ist eine Open-Source-Plattform zur Erstellung von KI-Agenten-Workflows, eine Softwarekategorie, deren Beliebtheit explosionsartig zugenommen hat, da Unternehmen darum wetteifern, KI-Tools intern einzusetzen. Apache Tomcat ist ein weit verbreiteter Webserver und Servlet-Container, der unzähligen Java-basierten Anwendungen in Unternehmen und Behörden zugrunde liegt. N-central ist eine Plattform für Fernüberwachung und -verwaltung (Remote Monitoring and Management, RMM), die von IT-Dienstleistern genutzt wird, um Kundennetzwerke aus der Ferne zu verwalten – das bedeutet, dass eine einzige kompromittierte Instanz potenziell viele nachgelagerte Organisationen gleichzeitig gefährden kann.

Gemäß einer Bundesrichtlinie sind Behörden, die der Binding Operational Directive von CISA unterliegen, verpflichtet, in der KEV-Liste aufgeführte Schwachstellen innerhalb eines festgelegten Zeitfensters zu patchen, was widerspiegelt, wie ernst die Regierung bestätigte aktive Ausnutzung nimmt. Private Organisationen sind nicht an dasselbe Mandat gebunden, doch Sicherheitsteams betrachten KEV-Einträge weithin als starkes Signal, das Patchen sofort zu priorisieren, anstatt auf einen routinemäßigen Update-Zyklus zu warten.

Es ist nicht das erste Mal, dass CISA schnell eine Schwachstelle kennzeichnet, die von realen Angreifern bereits genutzt wird. Die Offenlegung einer Linux-Root-Zugriffs-Schwachstelle durch die Behörde Anfang dieses Jahres folgte einem ähnlichen Muster: Eine Sicherheitslücke wurde entdeckt, zu einer Waffe gemacht und kurzerhand in die KEV-Liste aufgenommen – was verdeutlicht, wie sehr sich das Zeitfenster zwischen Offenlegung und Ausnutzung in der gesamten Software-Lieferkette verkürzt hat.

Ein DeepSeek-gestützter Hacking-Agent betritt die Bühne

Was diese Offenlegungsrunde besonders macht, ist die Erkenntnis von Unit 42, dass eine der Ausnutzungskampagnen offenbar von einem KI-Hacking-Agenten gesteuert wird, der auf DeepSeek basiert. KI-gestützte Angriffswerkzeuge sind konzeptionell nicht neu, aber ein dokumentierter Fall, der eine bestimmte, in der KEV-Liste aufgeführte Ausnutzungskampagne mit einem namentlich genannten KI-Modell verknüpft, ist ein bedeutsamer Datenpunkt. Er deutet darauf hin, dass die Automatisierung, die Angreifer einsetzen, um Exploits gegen verwundbare Systeme wie Langflow-Instanzen zu finden, zu waffenfähig zu machen und einzusetzen, schnell an Reife gewinnt.

Die praktische Konsequenz ist Geschwindigkeit. KI-gestützte Werkzeuge können Angreifern helfen, verwundbare, aus dem Internet erreichbare Instanzen von Software wie Langflow oder Tomcat schneller zu identifizieren, als es manuelle Erkundung je könnte, und verkürzen so das ohnehin knappe Zeitfenster, das Verteidiger zum Patchen haben, bevor die Ausnutzung beginnt.

Warum aktiv ausgenutzte Schwachstellen für den Datenschutz wichtig sind

Der direkte Zusammenhang zwischen Infrastrukturschwachstellen und dem Schutz personenbezogener Daten ist leicht zu übersehen, aber er existiert. Tomcat-Server und RMM-Plattformen wie N-central befinden sich oft im Zentrum von Systemen, die Kundendaten speichern oder übertragen – von Anmeldedaten bis zu Finanzunterlagen. Langflow-Instanzen wiederum werden zunehmend genutzt, um KI-Anwendungen zu entwickeln, die sensible Benutzereingaben verarbeiten, von Kundendienstanfragen bis hin zu internen Geschäftsdaten. Ein erfolgreicher Exploit zur Remotecodeausführung oder zum unbefugten Zugriff auf eines dieser Systeme kann Angreifern einen Fuß in der Tür verschaffen, um sich lateral zu bewegen, Daten zu exfiltrieren oder Ransomware einzusetzen, und so aus einer technischen Schwachstelle einen Datenschutzvorfall machen, der weit mehr Menschen betrifft als die ursprünglich angegriffene Organisation.

Was das für Sie bedeutet

Die wenigsten Leser werden persönlich einen Tomcat-Server oder eine N-central-Bereitstellung patchen, aber die Auswirkungen dieser Schwachstellen können Sie dennoch erreichen. Wenn Sie Dienste nutzen, die auf betroffenen Plattformen aufbauen – sei es ein Kundenportal eines Unternehmens, ein KI-gestütztes Support-Tool oder ein IT-Dienstleister, der das Netzwerk Ihrer Organisation verwaltet –, kann eine Sicherheitsverletzung auf vorgelagerter Ebene Ihre Daten auf nachgelagerter Ebene offenlegen. Es lohnt sich, auf Benachrichtigungen über Datenschutzverletzungen von genutzten Diensten zu achten und unerwartete Anfragen zum Zurücksetzen von Passwörtern oder Warnungen zu Kontoaktivitäten in den Wochen nach solchen Nachrichten mit besonderer Vorsicht zu behandeln.

Konkrete Handlungsempfehlungen

Wenn Sie IT-Infrastruktur verwalten, priorisieren Sie das sofortige Patchen aller Langflow-, Tomcat- oder N-central-Instanzen und prüfen Sie direkt im KEV-Katalog der CISA die spezifischen Einträge und Fristen für die Behebung. Wenn Sie ein normaler Benutzer sind, achten Sie auf Meldungen zu Datenschutzverletzungen von Unternehmen, auf die Sie angewiesen sind, aktivieren Sie die Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, und betrachten Sie dies als Erinnerung daran, dass die Software, die still im Hintergrund Ihrer Lieblingsdienste läuft, eine direkte Verbindung zu Ihren persönlichen Daten hat. Sich über KEV-Aktualisierungen wie diese auf dem Laufenden zu halten, ist eine kleine Gewohnheit, die sich auszahlt, wenn die nächste aktiv ausgenutzte Schwachstelle Schlagzeilen macht.