Tools / Neuigkeiten

Neuigkeiten

Produkt-Updates, Pressemeldungen und Ankündigungen von VaultTools.

Presse 16. Juli 2026

Nextcloud GmbH gibt 367.000 interne Datensaetze ueber einen falsch konfigurierten Elasticsearch-Cluster preis

Cybernews-Forscher fanden eine ungeschuetzte Elasticsearch-Datenbank der Nextcloud GmbH mit rund 367.000 Datensaetzen (8GB), darunter Rechnungen, Vertraege, Mitarbeiterdaten und Setup-Skripte fuer Kunden. Die Panne wurde am 8. Juli 2026 oeffentlich; selbst das Unternehmen hinter der Self-Hosted-Cloud hat eine Hosting-Konfiguration falsch gesetzt.

→
Presse 27. Juni 2026

Tata-Electronics-Leck gibt 630 GB an Apple- und Tesla-Dateien sowie Mitarbeiter-Reisepasskopien preis

Tata Electronics bestaetigte ein Leck, nachdem die Ransomware-Bande World Leaks 204.341 Dateien (630 GB) veroeffentlichte, die angeblich beim Apple- und Tesla-Zulieferer gestohlen wurden, darunter Fertigungsspezifikationen, Geschaeftsgeheimnis-Zeichnungen und Mitarbeiter-Reisepasskopien. Die Daten waren seit mindestens dem 10. Juni im Darknet; Tata bestaetigte den Vorfall am 22. Juni 2026.

→
Presse 21. Juni 2026

Datenleck bei Texas-Lizenzanbieter legt 3 Millionen Fuehrerscheine und Passnummern offen

Das Texas Parks and Wildlife Department meldete ein Datenleck bei seinem Anbieter fuer Jagd- und Angellizenzen, das Fuehrerscheindaten und Passnummern von 3.087.721 Personen offenlegte. Das Texas Cyber Command entdeckte den Einbruch; der Anbieter wurde nicht genannt. Bekanntgegeben am 18. Juni 2026.

→
Presse 18. Juni 2026

Cannaleaks: 985.000 Ausweis-Scans von Cannabis-Clubs offen auf oeffentlichen URLs

Der Sicherheitsforscher Sammy Azdoufal fand fast 985.000 Reisepaesse, Personalausweise und Fuehrerscheine der Cannabis-Club-App PuffPal an vorhersehbaren oeffentlichen Webadressen, ohne Passwort und ohne Zugriffskontrolle. Das System der irischen Firma Nefos Solutions enthielt ueber 1 Million Mitgliederprofile. High Times berichtete am 17. Juni 2026 ueber das Leck.

→
Presse 13. Juni 2026

ShinyHunters stehlen 40GB von der University of Nottingham und legen 454.600 Studierende offen

Die University of Nottingham bestaetigte am 11. Juni 2026 einen Cybervorfall in ihrem Studierenden-Datensystem. Die Gruppe ShinyHunters beansprucht 40GB an Daten zu 454.600 aktuellen und ehemaligen Studierenden, darunter Passnummern, Finanzunterlagen und Exporte aus dem Campus-Portal. Die Datensaetze stammen aus einem Oracle-PeopleSoft-System, das im Rahmen einer groesseren Kampagne gegen ueber 100 Organisationen kompromittiert wurde.

→
Presse 8. Juni 2026

UN-Welternaehrungsprogramm: Datenleck legt Daten von 600.000 Gaza-Haushalten offen

Das Welternaehrungsprogramm hat ein Datenleck in seiner Selbstregistrierungs-Anwendung fuer Palaestina bestaetigt. Offengelegt wurden Namen, ID-Nummern, Telefonnummern und Standortdaten von rund 600.000 Haushalten in Gaza. WFP entdeckte den Vorfall am 14. Mai 2026 und ging am 31. Mai an die Oeffentlichkeit.

→
Presse 6. Juni 2026

Forscher machen WebAssembly-Speicher zur Bento Box und haerten so die Browser-Tools, die Dateien lokal halten

Am 5. Juni 2026 stellten Forscher des paluno-Instituts der Universitaet Duisburg-Essen eine Methode vor, die ueber WebAssemblys Multi-Memory-Funktion Speicherbereiche in Browser-Apps automatisch isoliert und Heartbleed-artige Angriffe ohne messbare Verlangsamung blockiert. Die Arbeit staerkt das Sicherheitsfundament der Dateiverarbeitung im Browser ohne Upload.

→
Presse 4. Juni 2026

Gefaengnis-Telefonanbieter Pay Tel liess 3,4 Millionen Dateien offen auf Azure und legte 300.000 Fuehrerscheine offen

Am 28. Mai 2026 berichtete TechCrunch, dass UpGuard einen oeffentlich zugaenglichen Microsoft-Azure-Bucket des Gefaengnis-Telefonanbieters Pay Tel fand. Er enthielt 3,4 Millionen Dateien (1,1 TB) ohne Passwort, darunter mehr als 300.000 ungeschwaerzte Fuehrerschein-Scans, Rechtsdokumente und Familienfotos mit GPS-Standortdaten. Der Bucket war seit 2018 offen.

→
Presse 2. Juni 2026

Forscher fanden 19,6 Milliarden Dateien offen in öffentlichen Cloud-Buckets, ganz ohne Passwort

Am 28. Mai 2026 berichtete Security Affairs über eine Studie von Mysterium VPN, die 19,6 Milliarden Dateien in 535.480 öffentlich auflistbaren Cloud-Buckets offen vorfand, darunter jeweils mehr als eine Million Dateien mit den Namen „password“ und „passport“. Die Dateien waren für jeden erreichbar, ohne Login. Browserbasierte Werkzeuge legen eine Datei erst gar nicht in einem Bucket ab.

→
Presse 31. Mai 2026

Eine gefälschte UK-Visa-Website ließ 100.000 hochgeladene Pässe und Selfies offen im Netz

Am 27. Mai 2026 berichtete TechCrunch, dass UK Visa Portal, eine Seite ohne Verbindung zur britischen Regierung, mindestens 100.000 hochgeladene Pässe und Identitäts-Selfies in einem falsch konfigurierten Amazon-S3-Bucket offen ließ. EXIF-GPS in den Selfies legte sogar Privatadressen offen. Browserbasierte Werkzeuge sparen sich den Upload ganz.

→
Presse 23. Mai 2026

Eine Million Passscans lagen offen in einem öffentlichen Cloud-Speicher. Browserbasierte Verarbeitung umgeht diesen Fehlertyp vollständig.

Am 15. Mai 2026 berichtete TechCrunch, dass der japanische Hotel-Check-in-Anbieter Tabiq über einen öffentlich zugänglichen Amazon-S3-Speicher mehr als eine Million Passscans, Führerscheine und Selfie-Verifizierungsfotos offengelegt hat. Die Lehre für Datei-Tools ist struktureller Natur.

→
Presse 12. Mai 2026

Vimeo bestätigt 119.000 offengelegte Nutzerdatensätze über einen externen Analyseanbieter

ShinyHunters hat nicht Vimeo selbst angegriffen. Sie kompromittierten Anodot, den Analyseanbieter daneben, und nahmen 106 GB Kundendaten mit. Die Lehre trifft jeden SaaS, der Nutzerdateien verarbeitet.

→
Presse 30. Apr. 2026

Datenleck beim französischen ANTS-Identitätsportal: 11,7 Millionen Bürgerdaten betroffen

Am 22. April 2026 bestätigte die französische Behörde für sichere Dokumente ANTS (neu firmierend als France Titres) ein Datenleck, von dem mindestens 11,7 Millionen Bürgerdaten betroffen sind. Die Angreifer 'breach3d' und 'ExtaseHunters' behaupten, 18 bis 19 Millionen Datensätze zu besitzen, und bieten den Datensatz in kriminellen Foren an. Dokumentenscans wurden nicht entwendet; betroffen sind Namen, Geburtsdaten und -orte, Adressen, Telefonnummern und E-Mail-Adressen.

→
Presse 28. Apr. 2026

OpenAI veröffentlicht Privacy Filter, ein quelloffenes Modell, das personenbezogene Daten lokal entfernt, bevor sie das Gerät verlassen

Am 22. April 2026 veröffentlichte OpenAI Privacy Filter, ein quelloffenes Modell mit 1,5 Milliarden Parametern unter Apache 2.0, das acht Kategorien personenbezogener Daten direkt auf dem Gerät erkennt und maskiert. Es erreicht 96 % F1 im PII-Masking-300k-Benchmark, läuft auf einer CPU mit 4 bis 8 GB RAM und ist auf Hugging Face und GitHub veröffentlicht.

→
Presse 21. Apr. 2026

30.000 Steuererklärungen, Ausweise und Verträge: Fiverrs private Nutzerdateien in der Google-Suche

Ein Sicherheitsforscher machte am 16. April 2026 öffentlich, dass Fiverr von Nutzern hochgeladene PDFs bei Cloudinary hinter nicht authentifizierten, unbefristet gültigen URLs speicherte. Steuerformulare, Führerscheine, Gesundheitsakten und Admin-Zugangsdaten wurden von der Google-Suche indexiert. Fiverr wurde 40 Tage zuvor informiert und reagierte nicht. Das Unternehmen bestreitet, dass es sich um einen Cybervorfall handelt.

→
Presse 16. Apr. 2026

Eine PDF öffnen reichte aus: Adobes fünf Monate altes Zero-Day endlich gepatcht

Adobe hat CVE-2026-34621 am 11. April 2026 gepatcht, eine Prototype-Pollution-Schwachstelle in Acrobat und Reader, die beliebige Codeausführung durch das bloße Öffnen einer manipulierten PDF-Datei ermöglichte. Die Ausnutzung war seit mindestens Dezember 2025 aktiv. CISA nahm sie zwei Tage nach dem Patch in den Katalog bekannter ausgenutzter Schwachstellen auf.

→
Presse 8. Apr. 2026

ChatGPTs versteckter DNS-Kanal ermöglichte den stillen Diebstahl hochgeladener Dateien durch bösartige GPTs

Check Point Research hat eine Schwachstelle in ChatGPTs Code-Ausführungs-Sandbox offengelegt, die es ermöglichte, hochgeladene Dateien, Gespräche und Patientenakten über DNS-Abfragen unbemerkt zu exfiltrieren. Eine separate Lücke in OpenAI Codex erlaubte den Diebstahl von GitHub-Tokens über manipulierte Branch-Namen. Beide wurden im Februar 2026 behoben.

→
Presse 6. Apr. 2026

BrowserGate: LinkedIn scannte 6.000 Erweiterungen

Eine Untersuchung von Fairlinked e.V. vom April 2026 enthüllte, dass LinkedIn bei jedem Seitenbesuch still und heimlich nach 6.167 Chrome-Erweiterungen sucht und 48 Hardware-Fingerprinting-Attribute erfasst, ohne dies in der Datenschutzrichtlinie offenzulegen. Der Skandal zeigt, wie Browser-Überwachung stattfinden kann, bevor auch nur eine Datei hochgeladen wird.

→
Presse 5. Apr. 2026

Proton startet verschlüsseltes Workspace-Paket als Alternative zu Google und Microsoft

Am 31. März 2026 brachte Proton Proton Workspace auf den Markt: ein gebündeltes Business-Paket mit Mail, Drive, Docs, Sheets, Calendar, VPN, Pass und dem neuen Ende-zu-Ende-verschlüsselten Videokonferenz-Tool Proton Meet. Der Launch bestätigt die Nachfrage nach datenschutzorientierten Produktivitätswerkzeugen und zeigt zugleich die strukturellen Grenzen jedes cloudbasierten Ansatzes.

→
Presse 3. Apr. 2026

Pre-Auth-Lücke in ShareFile: 30.000 Server offen

WatchTowr-Forscher veröffentlichten am 2. April 2026 zwei verkettete Schwachstellen in Progress ShareFile, die unauthentifizierten Angreifern ermöglichen, Code auszuführen und alle auf betroffenen Servern gespeicherten Dateien zu exfiltrieren. Etwa 30.000 Instanzen sind im öffentlichen Internet exponiert.

→
Presse 31. März 2026

Der UK Online Safety Act verpflichtet Datei-Sharing-Plattformen zum Scan von Uploads. Ofcom hat bereits die erste Geldbuße verhängt.

Neue Scan-Pflichten des UK Online Safety Act traten am 8. Januar 2026 in Kraft. Datei-Sharing- und Datei-Speicherungsdienste müssen illegale Inhalte erkennen und entfernen. Ofcom hat einen Dienst mit 20.000 Pfund bestraft und zwei weitere zur Einführung von Perceptual-Hash-Matching verpflichtet. Im Frühjahr 2026 wird festgelegt, welche Technologien als konform gelten.

→
Presse 30. März 2026

ShinyHunters knackt AWS der EU-Kommission

Am 24. März 2026 verschafften sich Angreifer Zugang zum Amazon-Web-Services-Konto der Europäischen Kommission, das ihre Europa.eu-Infrastruktur hostet. Die berüchtigte Gruppe ShinyHunters behauptet, 350 GB gestohlen zu haben, darunter Mail-Server-Dumps, Datenbankexporte, Verträge und interne Dokumente. Die Kommission bestätigte den Angriff drei Tage später.

→
Presse 28. März 2026

55 % der Unternehmen wurden in einem Jahr Opfer von Browser-Angriffen. Zwei neue Studien zeigen: Das Risiko wächst weiter.

Zwei unabhängige Studien vom März 2026 belegen, dass der Browser zur größten Sicherheitsschwachstelle in Unternehmen geworden ist. Mitarbeitende laden sensible Dateien darüber hoch, Angreifer nutzen ihn gezielt aus, und 85 % der IT-Teams erhöhen jetzt ihr Sicherheitsbudget.

→
Presse 27. März 2026

Eine Open-Source-WebAssembly-Office-Suite bearbeitet Dokumente jetzt vollständig im Browser

ZIZIYI Office wurde Anfang 2026 als Zero-Upload-Alternative zu Cloud-Office-Tools gestartet und führt die Dokument-Engines von ONLYOFFICE als WebAssembly im Browser aus. Es unterstützt Word, Excel und PowerPoint ohne Serverkontakt und ohne Account.

→
Presse 26. März 2026

Zwei Chrome-Zero-Days treffen V8 (WebAssembly)

CVE-2026-3909 und CVE-2026-3910 werden aktiv in der freien Wildbahn ausgenutzt. CVE-2026-3910 zielt auf V8 ab, Chromes JavaScript- und WebAssembly-Laufzeitumgebung — dieselbe Engine, die jedes datenschutzorientierte, browserbasierte Dateiverarbeitungs-Tool antreibt. CISA-Patch-Frist: 27. März 2026.

→
Presse 25. März 2026

Mandiant: Angreifer nutzen Cloud-Schwachstellen im Durchschnitt 7 Tage vor Verfügbarkeit von Patches aus

Der M-Trends 2026-Bericht von Mandiant, basierend auf 500.000 Stunden Incident Response, zeigt, dass die mittlere Zeit bis zur Ausnutzung von Schwachstellen bei minus 7 Tagen liegt. Cloud-Dateidienste laufen auf Infrastruktur, die kompromittiert wird, bevor ein Fix überhaupt verfügbar ist.

→
Presse 25. März 2026

APT-Backdoor PDFSIDER missbraucht PDF24, eines der meistgeladenen kostenlosen PDF-Tools der Welt

Resecurity entdeckte eine ausgefeilte Windows-Backdoor, die die legitime PDF24-Desktop-Applikation als Angriffsvektor per DLL-Side-Loading nutzt. Die Schadsoftware kompromittierte erfolgreich ein Fortune-100-Unternehmen und wurde seitdem von Ransomware-Gruppen wie Qilin übernommen.

→
Presse 24. März 2026

Zwei jsPDF-Lücken: PDF-Injection und XSS

CVE-2026-25755 und CVE-2026-31938 legen ein grundlegendes Risiko in JavaScript-basierter Browser-PDF-Erzeugung offen: unsanitierte Nutzereingaben fließen direkt in PDF-Streams. Behoben in jsPDF 4.2.0 und 4.2.1.

→
Presse 23. März 2026

LexisNexis-Datenpanne legt 400.000 Konten offen, darunter Bundesrichter und Regierungsanwälte

Ein Angreifer nutzte im Februar 2026 eine ungepatchte Frontend-Schwachstelle in der AWS-Infrastruktur von LexisNexis aus und stahl 2 GB Nutzerdaten, darunter Konten von Bundesrichtern, DOJ-Anwälten und SEC-Mitarbeitern.

→
Presse 20. März 2026

Adobe wird verklagt, weil es sein Dokumenten-KI mit gestohlenen Büchern trainiert hat. Ein Fotograf, der sich wehrte, verlor.

Zwei Sammelklagen aus Dezember 2025 und Februar 2026 werfen Adobe vor, sein SlimLM-Dokumenten-KI auf fast 200.000 raubkopierten Büchern ohne Einwilligung trainiert zu haben. Eine Recherche vom März 2026 ergab, dass ein Fotograf, der versuchte, Adobe vom Training mit seinen Fotos abzuhalten, aus dem Schiedsverfahren gedrängt wurde, nachdem Adobe 24.000 Dollar allein für die Prüfung seines Antrags auf Kostenerlass verlangte.

→
Presse 20. März 2026

Der Chef der US-Cybersicherheitsbehörde lud sensible Regierungsdateien in das öffentliche ChatGPT hoch. DHS sperrte daraufhin kommerzielle KI im gesamten Ministerium.

Der kommissarische CISA-Direktor Madhu Gottumukkala lud 2025 mindestens vier als 'Nur für den Dienstgebrauch' eingestufte Dokumente in das öffentliche ChatGPT hoch. Das löste DHS-Sicherheitswarnungen und eine interne Untersuchung aus. Im Februar 2026 wurde er abgesetzt. DHS hat seitdem ChatGPT, Claude und alle kommerziellen KI-Tools für Mitarbeiter gesperrt.

→
Presse 20. März 2026

Europas 25 Datenschutzbehörden haben eine koordinierte Prüfung von Online-Diensten gestartet

Der EDPB startete am 19. März 2026 seine Durchsetzungsmaßnahme zur DSGVO-Transparenz. Online-Datei-Tools, die Nutzerdaten erfassen, stehen direkt im Fokus.

→
Presse 20. März 2026

Ein einziger Angreifer hat 50 Unternehmen über ihre Cloud-Dateifreigabe-Portale kompromittiert. Ohne Exploit.

Eine als 'Zestix' verfolgte Kampagne nutzte gestohlene Infostealer-Zugangsdaten, um sich Anfang 2026 in die ShareFile-, Nextcloud- und OwnCloud-Instanzen von rund 50 globalen Unternehmen einzuloggen. Keine Sicherheitslücken erforderlich. Nur hochgeladene Dateien und fehlendes MFA.

→
Presse 20. März 2026

Firefox 149 bekommt kostenloses integriertes VPN

Mozilla hat am 18. März ein kostenloses Proxy-VPN für Firefox 149 angekündigt, das am 24. März startet. Es verbirgt Ihre IP-Adresse. Es hindert Cloud-Datei-Tools jedoch nicht daran, Ihre Dokumente zu empfangen, zu speichern und zu verarbeiten.

→
Presse 20. März 2026

Das FBI bezeichnete kostenlose Online-Dateikonverter als 'grassierenden' Ransomware-Angriffsvektor. Schulen, Universitäten und Behörden sperren sie nun.

Nachdem eine FBI-Warnung gefälschte Online-Dateikonvertierungsseiten als aktive Malware-Verbreitungstools identifizierte, bestätigten unabhängige Forscher spezifische bösartige Domains. Eine Welle institutioneller Verbote folgte. Ein Ransomware-Angriff im Februar 2026 auf eine große US-Zeitungsgruppe soll auf einen solchen Dienst zurückzuführen sein.

→
Presse 20. März 2026

Ein geteiltes Google-Dokument reichte aus, um still­schweigend alle Gmail-, Kalender- und Drive-Dateien zu stehlen.

Forscher von Noma Security legten am 8. Dezember 2025 'GeminiJack' offen: eine Zero-Click-Schwachstelle in Google Gemini Enterprise, die Angreifern ermöglichte, versteckte Anweisungen in einem geteilten Dokument einzubetten und Geminis KI dazu zu bringen, den gesamten Gmail-, Docs- und Kalender-Datenbestand eines Ziels ohne jede Nutzerinteraktion zu durchsuchen und zu exfiltrieren.

→
Presse 20. März 2026

Microsoft-Studie: 32 % der Datensicherheitsvorfälle betreffen KI-Tools. Mitarbeiter laden vertrauliche Dateien außerhalb der Unternehmenskontrolle hoch.

Der Microsoft Data Security Index 2026, basierend auf 1.700 Sicherheitsverantwortlichen, zeigt, dass KI-Tool-Nutzung ein Haupttreiber von Datenvorfällen ist. Die Lösung beginnt damit, Dateien gar nicht erst auf Server zu laden.

→
Presse 20. März 2026

Office.eu: EU startet Office-Suite in Den Haag

Office.eu ging am 4. März 2026 als vollständig europäische Alternative zu Microsoft 365 und Google Workspace live, mit Datenspeicherung ausschließlich in EU-Infrastruktur. Gartner prognostiziert, dass europäische Investitionen in souveräne Cloud-Infrastruktur bis 2027 fast dreimal so hoch sein werden. Treiber ist ein struktureller Rechtskonflikt zwischen US-Cloud-Anbietern und der DSGVO.

→
Presse 20. März 2026

OneDrive hat Dateien still­schweigend in die Cloud verschoben und dann gelöscht. Der Aufschrei zeigt, warum Dateihoheit wichtig ist.

Anfang 2026 aktivierte sich Microsofts OneDrive auf Windows-Rechnern selbst, migrierte Dateien ohne ausdrückliche Zustimmung in die Cloud und löschte sie, als der kostenlose Speicher voll war. Tausende Nutzer meldeten Datenverluste.

→
Presse 20. März 2026

16 Zero-Days in Cloud-PDF-Plattformen zeigen, warum das Hochladen von Dateien ein Sicherheitsrisiko ist

Sicherheitsforscher entdeckten im Februar 2026 16 Schwachstellen in Foxit und Apryse, die Kontoübernahmen und Datendiebstahl ermöglichten. Die Ursache liegt in der serverseitigen Dateiverarbeitung.

→
Presse 20. März 2026

20 US-Staaten setzen Datenschutzgesetze durch

Drei neue Gesetze traten am 1. Januar 2026 in Kraft. Mit 20 Bundesstaaten, die Datensparsamkeit durchsetzen, ist browserbasierte Dateiverarbeitung zur rechtlichen Architektur geworden.

→
Presse 20. März 2026

WASI 0.3 bringt natives Async für WebAssembly

Die Bytecode Alliance veröffentlichte im Februar 2026 WASI 0.3 mit nativem Async/Await für WebAssembly über das Component Model. Das Update macht Wasm für komplexe parallele Workloads ohne Server tauglich und stärkt die Argumentation für browser-basierte Dateiverarbeitung als Produktionsarchitektur.

→
Presse 11. März 2026

Google-Bericht: Software-Schwachstellen haben gestohlene Passwörter als häufigsten Einstiegspunkt in Cloud-Systeme abgelöst

Der Threat Horizons H1 2026-Bericht von Google stellt fest, dass ausgenutzte Software-Schwachstellen nun 44,5 % der Cloud-Einbrüche ausmachen und damit erstmals seit Beginn des Berichts den Diebstahl von Zugangsdaten übertreffen.

→
Presse 11. März 2026

Spanien: 950.000 € DSGVO-Strafe gegen Yoti

Spaniens AEPD verhängte am 10. März 2026 eine DSGVO-Strafe von 950.000 € gegen das Unternehmen Yoti für unzulässige biometrische Verarbeitung, vorangekreuzte Zustimmungsfelder und unverhältnismäßig lange Speicherung von Gesichtsvorlagen und Standortdaten.

→
Presse 3. März 2026

Cegedim: 15,8 Mio. Patientenakten gestohlen

Angreifer haben Anfang 2026 15,8 Millionen Patientendateien und 165.000 Arztnotizen von der Cloud-Plattform MonLogicielMedical von Cegedim Santé gestohlen, bestätigt am 3. März. Das Unternehmen war bereits 2024 von der französischen CNIL mit 800.000 Euro für den Umgang mit Gesundheitsdaten auf demselben System bestraft worden.

→