Ein selbsttätiger Angriff trifft die niederländische Meldestelle für Schwachstellen

Wen es getroffen hat

Das Dutch Institute for Vulnerability Disclosure ist eine weitgehend ehrenamtlich getragene niederländische Einrichtung. Ihre Aufgabe ist die koordinierte Offenlegung von Schwachstellen: Sicherheitsforscher melden ihr Lücken, die Einrichtung benachrichtigt die betroffenen Betreiber und gibt ihnen Zeit zur Abhilfe, bevor etwas öffentlich wird.

Sie verwahrt damit regelmäßig Angaben zu Schwachstellen, die noch nicht behoben und noch nicht veröffentlicht sind.

Was geschehen ist

Am 21. September 2026 wurde die Einrichtung angegriffen. Nach ihrer eigenen Darstellung bemerkte sie verdächtige Aktivität, untersuchte sie und kam zu dem Schluss, kompromittiert worden zu sein. Sie sperrte den Zugang zur eigenen Infrastruktur und begann eine forensische Untersuchung mit einem hinzugezogenen Einsatzteam.

Angegriffen wurde das Ticketsystem Zammad über zwei zum Zeitpunkt des Angriffs unbehobene Schwachstellen:

Kennung	Wirkung	Betroffene Fassungen
CVE-2026-102489	Ausführung von Code aus der Ferne ohne Anmeldung	6.3.0 bis 6.5.4
CVE-2026-102490	Rechteausweitung von einem Dienstkonto zur vollen Systemverwaltung	alle, einschließlich der neuesten Vorabfassung

Nach den Angaben der Einrichtung erlaubte die Verkettung beider Lücken, Sitzungen zu übernehmen, Code auszuführen und bis zur Systemverwaltung aufzusteigen.

Der Hersteller hat die beiden Schwachstellen inzwischen in einem eigenen Hinweis behandelt, empfiehlt den Wechsel auf Fassung 7 oder neuer und hält fest, dass die zweite Lücke für sich genommen nicht aus der Ferne ausgenutzt werden kann.

Was die Einrichtung über den Angreifer sagt

Die Zuordnung zu einem KI-Agenten stützt die Einrichtung allein auf das beobachtete Vorgehen. Ihre Darstellung vom 24. September:

„Die Vorgehensweise deutet darauf hin, dass es sich um einen von einer selbsttätigen KI betriebenen Angriff handelt.”

Später ergänzte sie nach der Berichterstattung:

„Wir konnten sehen, wie der Agent selbsttätig arbeitete, denn nach jeder Handlung entschied er selbst über den nächsten Schritt.”

Dazu kommen zwei Beobachtungen, die eher gegen einen geübten menschlichen Angreifer sprechen: Das Vorgehen sei laut und sehr unordentlich gewesen — der Angreifer habe den eigenen Zwischenangriff dadurch verdorben, dass er gleichzeitig Passwörter durchprobierte. Und die hinterlassenen Kommentare seien so ausführlich gewesen, dass sie das Nachvollziehen erleichterten.

Weder Modell noch Anbieter noch eine auftraggebende Person sind benannt. Ob der Vorgang Teil eines größeren Angriffs war oder eine Erprobung der eigenen Möglichkeiten, ist nach der Berichterstattung unbekannt.

Was begrenzt hat und was offen ist

Nach Darstellung der Einrichtung hielten die Trennung des Netzes in Abschnitte und das Eingreifen des eigenen Teams den Angriff auf:

„Wir konnten die Angreifer daran hindern, tiefer in unsere Systeme und unser Netz vorzudringen.”

Zugleich hält sie fest, dass ein Teil des Schadens bereits eingetreten war. Sie arbeitet weiter unter der Annahme:

„Wir haben Hinweise auf eine Kompromittierung gefunden, denen wir noch nachgehen, und bis wir das Gegenteil beweisen können, nehmen wir einen Einbruch an.”

Welche Daten betroffen waren, hat die Einrichtung nicht mitgeteilt.

Der Meldeweg

Am Tag der Veröffentlichung, dem 24. September 2026, hat die Einrichtung nach eigener Darstellung:

• die unmittelbar Betroffenen unterrichtet,
• den Vorfall der Autoriteit Persoonsgegevens gemeldet, der niederländischen Datenschutzaufsicht,
• den Vorfall dem Nationalen Cybersicherheitszentrum gemeldet,
• und mit der Polizei das weitere Vorgehen besprochen.

Für das Verzeichnis ist das der erste erfasste Vorgang dieser Art, bei dem eine Stelle in der Union betroffen war und eine Datenschutzaufsicht eingeschaltet wurde.

Regulatorische Anknüpfungspunkte

Die Meldung an die Datenschutzaufsicht folgt der Pflicht aus Art. 33 DSGVO, eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden zu melden. Zwischen dem Vorgang am 21. und der Meldung am 24. September liegen drei Tage. Ob die Frist eingehalten ist, hängt davon ab, wann die Einrichtung Kenntnis erlangte — ein Datum, das ihre Darstellung nicht nennt.

Die Pflichten der KI-Verordnung laufen hier dagegen ins Leere, und zwar aus einem einfachen Grund: Art. 55 Abs. 1 lit. c verpflichtet Anbieter von Modellen mit allgemeinem Verwendungszweck und systemischem Risiko, schwerwiegende Vorfälle zu melden. Diese Pflicht setzt voraus, dass ein Anbieter bekannt ist. Hier ist keiner bekannt.

Darin unterscheidet sich der Fall von sämtlichen anderen Vorgängen dieser Art in diesem Verzeichnis: Dort hat jeweils der Anbieter selbst offengelegt, weil es sein eigenes Modell und seine eigene Prüfumgebung betraf. Hier hat das Opfer offengelegt, und der Anbieter ist unbekannt.

Die Verordnung knüpft ihre Melde- und Sorgfaltspflichten an die Anbieter an. Wo ein Modell gegen einen Dritten eingesetzt wird und sich nicht zuordnen lässt, bleibt von diesen Pflichten nichts übrig, das jemanden träfe. Was bleibt, sind die Pflichten des Angegriffenen — die Meldung nach der Datenschutz-Grundverordnung und, je nach Einstufung der Einrichtung, nach dem Recht zur Netz- und Informationssicherheit.