Notizen zur Privatsphäre im Internet

Beiträge und Forschung vom URnetwork-Team und der Community.

RSS

Achtzehn Jahre

Am Mittwoch, 20. Mai 2026, nahm die Cybersecurity and Infrastructure Security Agency sieben Schwachstellen in ihren Katalog der bekannten ausgenutzten Schwachstellen auf. Fünf von sieben sind Schwachstellen aus den Jahren 2008, 2009 oder 2010. Die älteste, CVE-2008-4250, ist ein Pufferüberlauf in Microsoft Windows, offengelegt im Oktober 2008 — vor achtzehn Jahren. Die zweitälteste, CVE-2009-1537, ist eine NULL-Byte-Überschreibung in Microsoft DirectX von 2009. Die dritte, CVE-2009-3459, ist ein Heap-basierter Pufferüberlauf in Adobe Acrobat und Reader. Die vierte und die fünfte, CVE-2010-0249 und CVE-2010-0806, sind Use-after-free-Schwachstellen im Microsoft Internet Explorer von 2010. Die übrigen beiden — CVE-2026-41091 und CVE-2026-45498 — sind neue, in diesem Jahr offengelegte Schwachstellen in Microsoft Defender: eine Lücke zur Rechteausweitung und eine für Denial of Service im Sicherheitswerkzeug selbst. Die CISA nimmt nur dann etwas in den Katalog der bekannten ausgenutzten Schwachstellen auf, wenn forensische Belege für eine Ausnutzung in freier Wildbahn vorliegen. Die Behebungsfristen der zivilen Bundesexekutive für die neuen Einträge folgen aus der Binding Operational Directive 22-01 der CISA. Die achtzehn Jahre alte Windows-Schwachstelle wird im Mai 2026 aktiv gegen ungepatchte Systeme ausgenutzt. Der Verizon Data Breach Investigations Report 2026, achtundvierzig Stunden zuvor am 19. Mai veröffentlicht, fand zum ersten Mal seit neunzehn Jahren, dass die Ausnutzung von Schwachstellen gestohlene Zugangsdaten als Einstiegsweg Nummer eins in Sicherheitsverletzungen überholt hat — 31 Prozent aller Sicherheitsverletzungen beginnen inzwischen mit der Ausnutzung einer Schwachstelle; nur 26 Prozent der kritischen Schwachstellen aus dem CISA-Katalog der bekannten ausgenutzten Schwachstellen waren 2025 von Organisationen vollständig behoben, nach 38 Prozent im Jahr davor; der Median der Zeit bis zum Patchen einer kritischen Schwachstelle stieg von 32 auf 43 Tage; Lieferkettenverletzungen bei Dritten sprangen um 60 Prozent gegenüber dem Vorjahr und machen inzwischen 48 Prozent aller Sicherheitsverletzungen aus; KI hat das Zeitfenster von der Offenlegung bis zur Waffenfähigkeit eines Exploits von Monaten auf Stunden geschrumpft. Das CISA-KEV-Ereignis vom 20. Mai ist die operative Demonstration: Ein 2008 veröffentlichter Herstellerpatch lässt ungepatchte Systeme im Mai 2026 immer noch anfällig für aktive Ausnutzung. Die Patch-Pipeline hat einen achtzehnjährigen Schwanz. Heute ist Tag 7 der aktiven Ausnutzung von CVE-2026-42897 in Exchange Outlook Web Access ohne dauerhaften Patch; die Behebungsfrist der zivilen Bundesexekutive ist acht Tage entfernt. Das Trail-of-Bits-Audit zu Moneros FCMP++ endet in vierundzwanzig Stunden. Section 702 läuft in zweiundzwanzig Tagen aus. Die mexikanische Frist zur CURP Biométrica ist vierzig Tage entfernt. Die Durchsetzung des TAKE IT DOWN Act durch die Federal Trade Commission tritt heute in Tag 3 ein. Der Iran steht bei Tag 83 der längsten je verzeichneten Internetabschaltung. Der nutzerseitige Primitiv-Stack — offene Clients mit nutzergehaltenen Schlüsseln, offene Firmware auf nutzerprüfbaren Chips, FIDO2-Hardware-Authentifizierung, zensurresistente Transporte, datenschutzwahrende Währungen, lokale KI-Inferenz, föderierte Identität mit selektiver Offenlegung, selbst gehostete Dienste, Mesh und Satellit, kryptografische Agilität — arbeitet außerhalb der zentralisierten Hersteller-Patch-Pipeline, die den achtzehnjährigen Schwanz hervorgebracht hat.

Achtzehn Jahre

Die Cybersecurity and Infrastructure Security Agency nimmt Schwachstellen nur dann in ihren Katalog der bekannten ausgenutzten Schwachstellen auf, wenn forensische Belege für eine Ausnutzung in freier Wildbahn vorliegen. Der Katalog ist die maßgebliche Liste der Bundesregierung über Schwachstellen, die aktiv angegriffen werden. Die Binding Operational Directive 22-01 legt für jeden Eintrag Behebungsfristen für die Behörden der zivilen Bundesexekutive fest. Aufnahmen durch die CISA sind operative Signale.

Gestern, am Mittwoch, 20. Mai 2026, nahm die CISA sieben Schwachstellen in den KEV-Katalog auf.

Fünf von sieben stammen aus 2008, 2009 oder 2010 — sie sind zwischen sechzehn und achtzehn Jahre alt.

CVE-2008-4250 — Pufferüberlauf-Schwachstelle in Microsoft Windows. Ursprüngliche Offenlegung: Oktober 2008. Achtzehn Jahre alt.

CVE-2009-1537 — NULL-Byte-Überschreibung in Microsoft DirectX. Ursprüngliche Offenlegung: 2009. Siebzehn Jahre alt.

CVE-2009-3459 — Heap-basierter Pufferüberlauf in Adobe Acrobat und Reader. Ursprüngliche Offenlegung: 2009. Siebzehn Jahre alt.

CVE-2010-0249 — Use-after-free-Schwachstelle im Microsoft Internet Explorer. Ursprüngliche Offenlegung: 2010. Sechzehn Jahre alt.

CVE-2010-0806 — Use-after-free-Schwachstelle im Microsoft Internet Explorer. Ursprüngliche Offenlegung: 2010. Sechzehn Jahre alt.

CVE-2026-41091 — Rechteausweitung in Microsoft Defender. Offengelegt 2026.

CVE-2026-45498 — Denial of Service in Microsoft Defender. Offengelegt 2026.

Die fünf Alt-CVEs erstrecken sich über Windows, DirectX, Adobe Acrobat und Internet Explorer. Die Herstellerpatches für alle fünf wurden vor Jahren veröffentlicht — für die älteste vor achtzehn Jahren. Es sind keine neuen Schwachstellen. Die CISA verfügt über forensische Belege, dass sie heute aktiv gegen Systeme ausgenutzt werden, die die Patches nie eingespielt haben.

Die Deutung ist strukturell. Die Hersteller-Patch-Pipeline hat einen so großen Schwanz ungepatchter Altsysteme hervorgebracht, dass die Ausnutzung eines 18 Jahre alten Pufferüberlaufs in Windows 2026 eine tragfähige Angriffsstrategie bleibt. Die Angreifer haben herausgefunden, welche Systeme verwundbar geblieben sind, dagegen im großen Maßstab automatisiert — und nun muss die CISA das CVE von 2008 auf die bundesweite Liste der aktiven Ausnutzung setzen.

Die Patch-Pipeline hat einen achtzehnjährigen Schwanz.

Fünf von sieben aus der Altlast

Die Verteilung von 5 aus 7 ist nicht das übliche Muster von CISA-KEV-Aufnahmen. Der Katalog wächst typischerweise mit jüngeren Schwachstellen — Offenlegungen des laufenden Quartals oder Jahres, die forensisch mit Ausnutzungskampagnen in freier Wildbahn verknüpft wurden. Fünf Schwachstellen aus 2008 bis 2010 an einem einzigen Tag aufzunehmen, signalisiert, dass sich das Lagebild der CISA verschoben hat.

Drei mögliche Deutungen:

Erstens: Ein staatsnaher Bedrohungsakteur oder ein kommerzieller Spyware-Anbieter hat die Alt-CVEs wiederentdeckt und setzt sie im großen Maßstab gegen Systeme ein, die nie gepatcht wurden. Das Altbestand-Angriffsinventar ist aufgefrischt worden.

Zweitens: Eine kriminelle Erpressergruppe hat die Ausnutzung der Alt-CVEs automatisiert, um die Population ungepatchter Systeme zu kompromittieren — Einrichtungen, die ihre Software seit fünfzehn und mehr Jahren nicht gepflegt haben.

Drittens: Die forensische Sicht der CISA hat sich erweitert — die Behörde hat die Telemetrie verbessert, die die Ausnutzung von Alt-CVEs in Bundesnetzen erkennt, und die Aufnahmen vom 20. Mai bilden ab, was ohnehin schon geschah, statt einer neuen Angriffskampagne.

Welche Deutung auch zutrifft, die operative Folge ist dieselbe. Die IT-Behörden des Bundes — und mit ihnen jede Organisation, die den CISA-KEV-Katalog als Teil ihres Schwachstellenmanagements verfolgt — müssen jetzt Schwachstellen beheben, für die Herstellerpatches erschienen sind, bevor manche der heutigen IT-Beschäftigten alt genug zum Autofahren waren.

Der Verizon Data Breach Investigations Report 2026, veröffentlicht am Dienstag, 19. Mai — zwei Tage vor dem CISA-Ereignis —, fand, dass der Median der Zeit bis zum Patchen einer kritischen Schwachstelle von 32 Tagen im Jahr 2024 auf 43 Tage im Jahr 2025 gestiegen ist. Ein Anstieg um 34 Prozent. Das Maß des DBIR ist der Median. Die CISA-KEV-Aufnahmen vom 20. Mai sind der Schwanz: das Maß am 99. Perzentil dafür, wie langsam die Patch-Pipeline im großen Maßstab läuft. Achtzehn Jahre.

Defender selbst

Die beiden nicht aus der Altlast stammenden CVEs, die gestern in den KEV-Katalog aufgenommen wurden, betreffen beide Microsoft Defender: CVE-2026-41091 (Rechteausweitung) und CVE-2026-45498 (Denial of Service).

Microsoft Defender ist Microsofts Endpunktschutz-Plattform für Unternehmen. Es ist das, was Microsoft als Sicherheitslösung verkauft. Es ist der Agent, der Schadsoftware erkennt, laterale Bewegung blockiert und Vorfälle an Security Operations Center meldet. Als Microsoft am 12. Mai Microsoft Defender for AI Agents ankündigte, positionierte das Unternehmen Defender als Sicherheitsinfrastruktur für die Ära agentischer KI — mit webhook-basiertem Abfangen in Echtzeit, Asset-Kontext-Zuordnung je Agent und Laufzeitschutz. Microsofts multimodales agentisches Scan-Harness (MDASH), in derselben Woche gestartet, orchestriert mehr als 100 spezialisierte KI-Agenten, erreichte 88,45 Prozent im CyberGym-Benchmark und fand 16 neue Windows-Schwachstellen.

Microsoft Defender — das Werkzeug, das Schwachstellen erkennt — hat nun zwei eigene CVEs im bundesweiten Katalog der aktiven Ausnutzung.

Die rekursive Ironie ist strukturell. Wenn das Sicherheitswerkzeug selbst eine Angriffsfläche ist, verlässt sich die Architektur darauf, dass der Hersteller des Sicherheitswerkzeugs sein eigenes Werkzeug patcht. Die Patch-Pipeline, die laut DBIR bei einem Median von 43 Tagen bis zum Patch läuft, ist dieselbe Pipeline, die Defender-Fixes ausliefern muss. Microsoft wird sie ausliefern. Sie werden auf den meisten Systemen installiert werden. Auf manchen werden sie nicht installiert werden.

Der achtzehnjährige Schwanz gilt rekursiv. Manche Defender-Installationen von 2026 werden im Jahr 2044 immer noch ungepatcht gegen CVE-2026-41091 laufen.

Der DBIR-Hintergrund

Der Verizon Data Breach Investigations Report ist der am längsten laufende jährliche Benchmark-Datensatz der Cybersicherheitsbranche. Die Ausgabe 2026, veröffentlicht am Dienstag, 19. Mai, wertete mehr als 22.000 bestätigte Sicherheitsverletzungen und mehr als 31.000 Sicherheitsvorfälle in 145 Ländern aus, mit einem Berichtszeitraum vom 1. November 2024 bis zum 31. Oktober 2025.

Der Hauptbefund: Zum ersten Mal in neunzehn Jahren DBIR-Veröffentlichung hat die Ausnutzung von Schwachstellen gestohlene Zugangsdaten als Einstiegsweg Nummer eins in Sicherheitsverletzungen überholt. 31 Prozent aller Sicherheitsverletzungen im Jahr 2025 begannen mit der Ausnutzung einer Schwachstelle. Gestohlene Zugangsdaten — neunzehn Jahre in Folge auf Platz eins — fallen auf Platz zwei.

Der Behebungsbefund: Nur 26 Prozent der kritischen Einträge aus dem CISA-Katalog der bekannten ausgenutzten Schwachstellen waren bis 2025 vollständig behoben — nach 38 Prozent im Jahr 2024. Ein Rückgang um zwölf Punkte in einem einzigen Jahr. 58 Prozent teilweise behoben; 16 Prozent unbearbeitet. Der Median der Zeit bis zum Patch einer kritischen Schwachstelle stieg auf 43 Tage — vierunddreißig Prozent mehr als die 32 Tage im Jahr 2024.

Der Lieferkettenbefund: Lieferkettenverletzungen bei Dritten sprangen um 60 Prozent gegenüber dem Vorjahr. Sie machen inzwischen 48 Prozent aller Sicherheitsverletzungen aus.

Der KI-Befund: KI wird von Bedrohungsakteuren genutzt, um die Zeit zwischen Offenlegung und operativer Waffenfähigkeit von Monaten auf Stunden zu verkürzen. Die Nutzung von KI-Werkzeugen durch Beschäftigte stieg binnen eines Jahres von 15 Prozent auf 45 Prozent. Der Verkehr von KI-Bots wächst um 21 Prozent pro Monat.

Das CISA-KEV-Ereignis vom 20. Mai ist die operative Demonstration aller drei DBIR-Befunde. Die Ausnutzung von Schwachstellen ist der neue Einstiegsweg Nummer 1 — und der Katalog muss 18 Jahre alte CVEs aufnehmen, weil die Patch-Pipeline nicht mithalten kann. Die Patch-Krise reicht von heute (Exchange OWA, an Tag 7 aktiver Ausnutzung immer noch ohne Patch) bis 2008 (achtzehn Jahre nach der Offenlegung immer noch ausgenutzt). Die Lieferkettenkrise reicht durch jeden Hersteller, der eine ungepatchte Abhängigkeit ausliefert.

Zwanzig Monate unentdeckt

Das Muster, das den achtzehnjährigen Schwanz hervorbringt, ist in operativer Form sichtbar. Am 12. Mai 2026 — vor neun Tagen — verhängte das britische Information Commissioner's Office gegen die South Staffordshire Plc und die Muttergesellschaft South Staffordshire Water Plc ein Bußgeld von insgesamt 963.900 Pfund (rund 1,3 Millionen Dollar) für den Cl0p-Ransomware-Einbruch von 2022, der 633.887 Kundinnen, Kunden und Beschäftigte des Wasserversorgers der kritischen Infrastruktur betraf.

Die veröffentlichten Feststellungen des ICO dazu, was den Einbruch ermöglichte, sind ein Porträt des Versagens der Patch-Pipeline im großen Maßstab:

  • Der ursprüngliche Zugangsweg war eine Phishing-E-Mail; die Empfangsperson öffnete einen Anhang, der Schadsoftware installierte
  • Die Schadsoftware blieb zwanzig Monate lang in der IT-Umgebung des Unternehmens unentdeckt
  • Nur 5 Prozent der IT-Umgebung wurden überwacht
  • Veraltete Software blieb im Betrieb, darunter Windows Server 2003 — ein Betriebssystem, das Microsoft zuletzt 2015 unterstützte, vor elf Jahren
  • Das Schwachstellenmanagement war unzureichend, einschließlich ungepatchter kritischer Systeme
  • Die Angreifer erlangten mit begrenzten Kontrollen administrative Rechte
  • Die persönlichen Daten von 633.887 Menschen wurden im August 2022 im Darknet veröffentlicht

Windows Server 2003 lief 2022 auf operativen Systemen der kritischen Infrastruktur. Das Support-Ende für Server 2003 war der 14. Juli 2015. Die Patches, die das Betriebssystem zur Abwehr von CVE-2008-4250 — der gestrigen KEV-Aufnahme — bräuchte, waren 2008 verfügbar. Das System lag zum Zeitpunkt der Kompromittierung zwanzig Jahre hinter der Patch-Pipeline zurück.

Das ist es, was den achtzehnjährigen Schwanz hervorbringt.

Das Bußgeld kommt vier Jahre nach dem Einbruch. Das Muster besteht weltweit bei unzähligen Betreibern kritischer Infrastruktur fort, die ihre eigenen ungepflegten Alt-Stacks betreiben — gegen die Uhr der Aufsicht, die Jahre später aufholt, und gegen die Uhr der Angreifer, die sie heute findet.

Tag sieben bei Exchange

Während der achtzehnjährige Schwanz das alte Ende der Patch-Krise ist, ist das aktuelle Ende derselben Krise in dieser Woche operativ.

CVE-2026-42897 im Microsoft Exchange Server — eine kritische Spoofing-Schwachstelle in Outlook Web Access mit Ursprung in Cross-Site-Scripting, CVSS 8.1 — wurde von Microsoft am 14. Mai offengelegt. Die Offenlegung enthielt die Angabe, dass die Schwachstelle bereits ab Tag eins aktiv in freier Wildbahn ausgenutzt wurde. Die CISA nahm sie am nächsten Tag, dem 15. Mai, in den Katalog der bekannten ausgenutzten Schwachstellen auf, mit einer Behebungsfrist der zivilen Bundesexekutive zum 29. Mai.

Heute ist Tag 7 der aktiven Ausnutzung. Die Behebungsfrist ist 8 Tage entfernt.

Einen dauerhaften Patch gibt es weiterhin nicht. Microsoft hat eine automatische Mitigation veröffentlicht, die nur für Kunden mit aktiviertem Exchange EM Service gilt. Kunden ohne EM Service müssen manuelle Schritte zur Abhilfe umsetzen. Der IT-Betrieb des Bundes muss die FCEB-Frist zum 29. Mai mit Abhilfemaßnahmen statt mit Patchen einhalten.

Das Muster ist dasselbe wie im Fall CVE-2026-0300 in Palo Alto PAN-OS vom 9. bis 13. Mai: Die Frist aus der Binding Operational Directive 22-01 der CISA lag vor dem Herstellerpatch. Die zivilen Bundesbehörden mussten mitigieren, nicht patchen. Der Patch-Zyklus der Hersteller läuft strukturell hinter dem Zyklus der Aufsicht und dem Takt der Angriffe her.

Der DBIR-Befund, dass KI die Zeit bis zur Waffenfähigkeit eines Exploits von Monaten auf Stunden geschrumpft hat, greift hier. Microsoft veröffentlichte die Offenlegung am selben Tag mit der Bestätigung aktiver Ausnutzung. Es gab kein Fenster zum vorherigen Patchen. Die Angreifer arbeiten mit einer engeren Uhr als die Verteidigung.

Das Anodot-Muster

Der dritte DBIR-Befund — Lieferkettenverletzungen um 60 Prozent gegenüber dem Vorjahr gestiegen, inzwischen 48 Prozent aller Sicherheitsverletzungen — wird an den kompromittierten Authentifizierungs-Token einer einzigen SaaS-Analyseplattform vorgeführt.

Im April 2026 nutzte die Erpressergruppe ShinyHunters kompromittierte Authentifizierungs-Token der Analyseplattform Anodot, um über gestohlene Anodot-Token mit BigQuery-Zugriff auf Cloud-Daten mehrerer nachgelagerter Kunden zuzugreifen. Zwei dieser nachgelagerten Vorfälle landeten im Mai:

Zara — 197.400 offengelegte E-Mail-Adressen. Inditex, die Muttergesellschaft von Zara, teilte im April 2026 mit, dass ein unbefugter Akteur auf Datenbanken zugegriffen habe, die bei einem „früheren Technologieanbieter“ gehostet wurden. Have I Been Pwned bestätigte 197.400 eindeutige E-Mail-Adressen neben Produkt-SKUs, Bestell-IDs und der Marktkennung für Support-Tickets. ShinyHunters setzte Zara anschließend mit einer Frist zum 21. April, sich bei Inditex zu melden, auf sein Leak-Portal im Darknet und veröffentlichte dann ein 140-GB-Archiv, als die Lösegeldverhandlungen scheiterten.

Vimeo — 119.000 Nutzende. Am 5. Mai 2026 bestätigte Vimeo, dass Angreifer im April über dieselbe Anodot-Integration persönliche Daten von rund 119.000 Nutzenden gestohlen hatten. Der Zugriff erfolgte über diese Integration, nicht durch einen Einbruch bei Vimeo selbst. ShinyHunters veröffentlichte ein 106-GB-Archiv, als die Lösegeldverhandlungen scheiterten.

Die eine Anodot-Kompromittierung erzeugte nachgelagerte Vorfälle bei mehreren großen Kunden. Das ist das Lieferkettenmuster: Wer den SaaS-Anbieter angreift, erhält lateralen Zugriff auf jeden nachgelagerten Mandanten. Der DBIR-Befund, dass Lieferkettenverletzungen inzwischen 48 Prozent aller Sicherheitsverletzungen ausmachen, ist die Makrosicht; der Anodot-Vorfall ist eine operative Mikro-Demonstration.

Die Lieferkettenübernahme von node-ipc vom 14./15. Mai — 10 Millionen wöchentliche Downloads, kompromittiert über die Übernahme eines Kontos via abgelaufener Domain in der Wiederherstellungs-E-Mail des Maintainers — ist eine weitere. Die Ausnutzung der pull_request_target-Fehlkonfiguration in GitHub Actions bei Grafana / Coinbase Cartel vom 17./18. Mai ist eine weitere. Der biometrische Einbruch bei NYC Health + Hospitals mit 1,8 Millionen Betroffenen (Offenlegung am 18. Mai) über einen ungenannten Drittanbieter ist eine weitere.

Jeder einzelne davon ist derselbe DBIR-Befund in operativer Form.

Vierundzwanzig Stunden bis zum Auditabschluss

Während die zentralisierte Hersteller-Patch-Pipeline mit der KI-beschleunigten Exploit-Pipeline nicht mithalten kann (der DBIR-Befund) und Schwachstellen nicht beheben kann, die vor achtzehn Jahren veröffentlicht wurden (der CISA-KEV-Befund), ratifiziert die auditgetriebene kryptografische Upgrade-Pipeline der Open-Source-Community morgen ein großes Upgrade.

Das Trail-of-Bits-Audit zu Moneros FCMP++ ist bei Tag 11 seines elftägigen Fensters. Das Audit endet am 22. Mai — vierundzwanzig Stunden von jetzt an.

FCMP++ ersetzt Ringsignaturen durch Zugehörigkeitsnachweise über die gesamte Kette. Die Anonymitätsmenge weitet sich von 16 Täuschkörpern je Transaktion auf die gesamte UTXO-Menge aus — mehr als 150 Millionen Transaktionsausgänge. Ein sauberes Audit macht den Weg für das Konsens-Upgrade frei und beseitigt den letzten erheblichen technischen Einwand gegen Moneros Privatsphäre-Behauptungen auf Protokollebene.

Der strukturelle Test: Können kryptografische Upgrades auf Protokollebene über auditgetriebene, offene Community-Governance mit einer Strenge ratifiziert werden, die dem zentralisierten Herstellermodell vergleichbar ist — aber ohne den Median von 43 Tagen, die Behebungsquote von 26 Prozent und den 18-Jahre-Schwanz der zentralisierten Hersteller-Patch-Pipeline?

Die Antwort kommt morgen.

Bitcoin BIP324 v2 (verschlüsseltes P2P, seit Core 27.0 standardmäßig aktiv) und BIP352 Silent Payments (ab Core 28.0, mit BIP376 PSBTv2-Tweak-Daten und dem BIP392-Deskriptorformat, 2026 ergänzt) arbeiten auf derselben auditgetriebenen, offenen Governance. Zcash Crosslink Milestone 4 (PoW + BFT-Finalität integriert; Vitalik Buterins zweite Spende an Shielded Labs unterstützte das Upgrade am 6. Februar) arbeitet auf derselben. Die auditgetriebene kryptografische Upgrade-Pipeline ist strukturell verschieden von der zentralisierten Hersteller-Patch-Pipeline, die der DBIR als scheiternd befunden hat.

Was lief

Die Patch-Krise des Bundes und der achtzehnjährige Schwanz pausieren die globale Ebene der Empfängerländer nicht.

Iran — Tag 83. Irans Internet-Blackout tritt heute in Tag 83 ein. Insgesamt rund 1.992 Stunden. Die längste je verzeichnete Internetabschaltung. Wirtschaftliche Kosten rund 250 Millionen Dollar pro Tag laut einer Analyse von CBC News. Kumulierter Verlust seit dem Beginn am 8. Januar 2026: rund 5,75 Milliarden Dollar und mehr. Die Online-Umsätze fielen um 80 Prozent. Der Gesamtindex der Teheraner Börse verlor binnen vier Tagen 450.000 Punkte. Die Kastenstufe Internet Pro mit weißer SIM für IRGC/MCI bleibt im produktiven Betrieb, mit Wartezeiten von drei bis vier Stunden in den Büros zur SIM-Umstellung in Teheran.

Russland — Telegram-Blockade und MAX laufen weiter. Russland blockierte Telegram am 17. März 2026. Fünfundneunzig Prozent der Telegram-Verbindungen scheitern ohne VPN. Telegrams April-Update, das den Verkehr als normalen Browser-Verkehr tarnt, stellte den Zugang binnen Stunden wieder her. Der Kreml forciert weiter MAX, seinen „souveränen“, staatlich kontrollierten Messenger, der 107 Millionen registrierte Nutzende hat, wegen seiner Überwachungsfunktionen aber nur begrenzt tatsächlich genutzt wird. Die Türkei-App BiP, das südkoreanische KakaoTalk und Chinas WeChat verzeichneten im März in Russland ein Nutzerwachstum von plus 60 Prozent. Das Gesetz zur VPN-Erkennung bei Providern vom 15. April bleibt bei Yandex, VK, Sberbank, Gosuslugi, Ozon, Wildberries, Aviasales und der Russischen Eisenbahn in Betrieb. Der Mobilfunk-VPN-Aufschlag vom 1. Mai wurde verschoben. Laut Meduza überwachen 22 der 30 beliebtesten Android-Apps Russlands inzwischen den VPN-Status auf Anwendungsebene.

China — der Great Unplug hält an. Die physische Abschaltung Tausender Proxy-Dienst-Server im April schränkt die Umgehungsmöglichkeiten chinesischer Nutzender weiterhin ein. Nur TLS-basierte Verschleierung überlebt zuverlässig.

Niger — Tag 13 des Verbots internationaler Medien. Vor dreizehn Tagen, am 8. Mai, ordnete das militärisch kontrollierte Observatoire Nationale de la Communication Nigers die Aussetzung von neun internationalen Medien an: France 24, Radio France International, Agence France Presse, TV5 Monde, Jeune Afrique, Mediapart, LSI Africa, TF1 Info, France Afrique Média. Die Verbote gelten weiter. Niger ist laut der Zählung des Committee to Protect Journalists vom 1. Dezember 2025 der zweitschlimmste Kerkermeister von Journalisten in Subsahara-Afrika.

Burkina Faso — Tag 16 des Verbots von TV5 Monde. Der Bericht von Reporter ohne Grenzen vom 6. Mai dokumentierte die Inhaftierung des burkinischen Journalisten Atiana Serge Oulon in einer Villa in Ouagadougou, wo er über Wochen mit Baumzweigen geschlagen wurde.

Pakistan — die PECA-Welle hält an. Der Bericht des Freedom Network vom 29. April dokumentierte die anhaltende Einschränkung der Pressefreiheit. Die Pakistan Press Foundation zählte 233 Vorfälle von Januar 2025 bis April 2026.

Tansania — Bericht der Untersuchungskommission unter Verschluss. Bericht vom 23. April: 518 Tote (502 Zivilisten, 16 Sicherheitskräfte, 21 Kinder) während der Gewalt nach der Wahl vom 29. Oktober 2025. Der Bericht bleibt unter Verschluss. X (Twitter) bleibt in Tansania gesperrt.

Mexiko — 40 Tage bis zur CURP Biométrica. Frist am 30. Juni 2026. Rund 127 Millionen Mobilfunkanschlüsse müssen sich bis dahin gegen die biometrische CURP (Gesicht, Fingerabdruck, Iris) registrieren oder werden abgeschaltet. Der Einbruch bei NYC Health + Hospitals vom 18. Mai — 1,8 Millionen Fingerabdrücke und Handflächenabdrücke dauerhaft in gegnerischem Besitz — ist das Bedrohungsmodell.

Drei Tage TAKE IT DOWN

Heute ist Tag 3 der Durchsetzung von Section 3 des TAKE IT DOWN Act durch die FTC. Der verpflichtende Löschrahmen legt erfassten Plattformen nach einer wirksamen Meldung durch Betroffene ein Fenster von 48 Stunden auf, bei einer zivilrechtlichen Strafe von 53.088 Dollar je Verstoß und je nicht bereinigtem Fall. Gestern, am 20. Mai, startete die FTC takeitdown.ftc.gov als öffentliches Meldeportal für Verbraucherinnen und Verbraucher. Die fünfzehn Plattformen, die in den Mahnschreiben vom 11. Mai genannt wurden — Amazon, Alphabet, Apple, Automattic, Bumble, Discord, Match Group, Meta, Microsoft, Pinterest, Reddit, SmugMug, Snapchat, TikTok, X —, bleiben die Prioritätenkarte der FTC.

Die bürgerrechtliche Kritik von EFF, ACLU, CDT, R Street Institute und Free Speech Center bleibt operativ: Die Löschbestimmung ist weiter gefasst als die strafrechtliche NCII-Definition; die 48-Stunden-Frist erzwingt Befolgung statt Prüfung; das Gesetz sieht keine Schutzvorkehrungen gegen mutwillige oder bösgläubige Anträge vor; rechtmäßige Satire, Journalismus und politische Rede könnten zu Unrecht entfernt werden; Ende-zu-Ende-verschlüsselte Plattformen (Signal, Matrix, Briar, Threema, Tuta, Proton) können strukturell nicht nachkommen. Präsident Trumps Erklärung zur Unterzeichnung vom 19. Mai 2025 — „Ich werde dieses Gesetz auch für mich selbst nutzen. Es gibt niemanden, der online schlechter behandelt wird als ich.“ — bleibt das politische Risiko.

Zweiundzwanzig Tage bis zum Auslaufen von Section 702

Heute ist das Auslaufen von Section 702 des FISA zweiundzwanzig Tage entfernt — am 12. Juni 2026.

Die Entscheidung des Foreign Intelligence Surveillance Court vom 17. März 2026 zu den Abfragepraktiken des FBI unter Section 702 bleibt Verschlusssache. Senator Wydens fünfzehntägiges Fenster für die beschleunigte Freigabe — am 30. April als Bedingung für die 45-tägige Verlängerung ausgehandelt — schloss um den 15. Mai ohne Veröffentlichung. Das Justizministerium hat nicht freigegeben. Die Direktorin der nationalen Nachrichtendienste hat nicht freigegeben. Senator Cottons Einwand gegen eine Verabschiedung im Konsensverfahren mit angehängter Freigabebestimmung hatte Bestand.

Die Debatte über eine Reform auf der Abfrageseite läuft weiter ohne die strukturelle Sicht des Gerichts. Die Berichterstattung des American Prospect vom 11. Mai beschrieb, wie „KI den Überwachungsstaat befeuert“ — automatisierte, nachgelagerte Analyseketten laufen gegen den §702-Bestand. Der Kongress autorisiert Überwachung neu, ohne die Sicht des FISC auf die Abfragepraktiken des FBI.

Das Auslaufen am 12. Juni ist das nächste erzwingende Ereignis.

Ein Jahr Protokolle

Während die Debatte über die Neuautorisierung von §702 in Washington läuft, bereitet die Europäische Union Gesetzgebung vor, die nutzerseitig ein paralleles Massenspeicherungsregime auferlegen würde.

Laut einem geleakten Dokument des Europäischen Rates, das das deutsche Medium Netzpolitik im November 2025 erlangte, hat sich eine Mehrheit der EU-Mitgliedstaaten auf die Umrisse eines neuen Rahmens zur Vorratsdatenspeicherung verständigt. Der erklärte Anspruch des Rahmens: verpflichtende Protokollierung von Verbindungsmetadaten — IP-Adressen, Zeitstempel, Sitzungsdauer, Verkehrsvolumen — durch jeden Onlinedienst. Die vorgeschlagene Mindestspeicherfrist beträgt ein Jahr. Einige Mitgliedstaaten wollen, dass der Vorschlag VPN-Dienste mit "the broadest possible scope of application" einbezieht — mit dem größtmöglichen Anwendungsbereich. Faktisch würde der Vorschlag „No-Log“-VPNs im EU-Gebiet illegal machen.

Der Gesetzesvorschlag wird für den Sommer 2026 im Rahmen der Initiative „Going Dark“ / ProtectEU erwartet — der Kehrtwende der Europäischen Kommission nach der verlorenen Auseinandersetzung um Chat Control 2.0 am 26. November 2025. Das erklärte Ziel der EU im breiteren Going-Dark-Fahrplan: "to enable law enforcement authorities to access encrypted data in a lawful manner" — den Strafverfolgungsbehörden auf rechtmäßige Weise Zugang zu verschlüsselten Daten zu ermöglichen — bis 2030.

Mullvad VPN hat öffentlich erklärt, den EU-Markt zu verlassen, statt Protokolle zu speichern. Signal-Präsidentin Meredith Whittaker hat erklärt, Signal werde den europäischen Markt verlassen, wenn ein Gesetz zur Aushöhlung der Verschlüsselung beschlossen wird.

Der architektonische Gegenentwurf zum EU-Vorschlag einer einjährigen Speicherung ist das nutzerkontrollierte Overlay — das Peer-to-Peer-Overlay von URnetwork, Tor, V2Ray VLESS+Reality, Shadowsocks-2022, Trojan, WireGuard mit obfsproxy —, das im Register nicht als Betreiber eines öffentlichen Dienstes auftaucht. Das nutzerkontrollierte Overlay ist gesetzlich unsichtbar.

Der nutzerseitige Primitiv-Stack

Der architektonische Gegenentwurf zu den drei Verizon-DBIR-Befunden, dem achtzehnjährigen CISA-KEV-Schwanz, den Microsoft-Defender-CVEs, der aktiven Ausnutzung von Exchange OWA an Tag 7 ohne Patch, dem Anodot-Lieferkettenmuster, dem 20 Monate unentdeckten Einbruch bei South Staffordshire Water, dem Auslaufen von Section 702, dem EU-Vorschlag zur einjährigen Speicherung, dem staatlichen Handeln in den Empfängerländern und dem Ausrollen der agentischen Fläche ist der nutzerseitige Primitiv-Stack. Er hängt nicht von der zentralisierten Hersteller-Patch-Pipeline ab, die den achtzehnjährigen Schwanz hervorgebracht hat.

Offene Clients mit nutzergehaltenen Schlüsseln. Signal. Tuta. Proton. Threema. Briar 1.5.17 (die Veröffentlichung vom 12. März 2026 läuft über Bluetooth, WLAN und Tor; sie funktioniert während Abschaltungen auf der Betreiberschicht, weil sie zum Weiterleiten von Nachrichten nicht auf die Betreiberschicht angewiesen ist). Cwtch. Session. Matrix-Homeserver. Die architektonische Eigenschaft: Offene Codebasen erhalten schneller Community-Audits, als alte Closed-Source-Codebasen über achtzehn Jahre Herstellerpatches erhalten. Das Signal-Protokoll steht seit mehr als elf Jahren unter öffentlicher Prüfung. Ende-zu-Ende-Verschlüsselung nimmt die serverseitige Exfiltrationsfläche aus Lieferkettenangriffswegen wie Anodot heraus.

Offene Firmware auf nutzerprüfbaren Chips. GrapheneOS (Pixel 6+ mit Android 16 in der Vorschau 2026030501, einschließlich der Android-Sicherheitsbulletins von April bis August 2026). CalyxOS Android-16-Test-Build 7.2.1.0, veröffentlicht am 4. Mai 2026. /e/OS. LineageOS. OpenWRT. Der Citizen-Lab-Bericht „Bad Connection“ vom 23. April dokumentierte zwei Überwachungskampagnen auf Betreiberseite, die für Betriebssysteme mit geschlossener Firmware unsichtbar sind: STA1 (Diameter-zu-SS7-Downgrade in neun Ländern mit Geisterbetreibern) und STA2 (SIMjacker-Zero-Click über das alte S@T-Browser-SIM-Applet). Offene Firmware legt das Verhalten von Cache und Benachrichtigungsdatenbank für die Prüfung durch Nutzende offen.

FIDO2-Hardware-Authentifizierung. Am 7. Mai 2026 — dem Welt-Passkey-Tag der FIDO Alliance — waren weltweit fünf Milliarden Passkeys ausgerollt. YubiKey. Nitrokey. SoloKey. Yubico hat insgesamt mehr als 30 Millionen Hardware-Schlüssel ausgeliefert. Der Einbruch bei NYC Health + Hospitals legte die Fingerabdrücke und Handflächenabdrücke von 1,8 Millionen Menschen offen — biometrische Merkmale, die nicht neu ausgestellt werden können. Hardware-gebundene Zugangsdaten ersetzen Biometrie als zweiten Faktor überall dort, wo sie akzeptiert werden.

Zensurresistente Transporte. Tor Browser 15.0.13 und 16.0a6 (Notfallveröffentlichungen vom 7. Mai). V2Ray VLESS + Reality. Shadowsocks-2022. Trojan. WireGuard mit obfsproxy. Peer-to-Peer-Overlay von URnetwork. Die MCP-Server-Veröffentlichung von URnetwork vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Betreiberschicht zu abstrahieren. Irans Internet-Pro-Stufe, Russlands Gesetz zur VPN-Erkennung bei Providern vom 15. April (und der verschobene Mobilfunkaufschlag vom 1. Mai), Chinas Great Unplug, der EU-Vorschlag Going Dark / ProtectEU für den Sommer 2026 — keines dieser Gesetze benennt das Overlay, weil es nicht als Betreiber eines öffentlichen Dienstes auftaucht.

Datenschutzwahrende Währungen auf Primitiven in Nutzerverwahrung. Bitcoin BIP324 v2 (seit Core 27.0 standardmäßig aktiv; inzwischen die Mehrheit des weltweiten Peer-to-Peer-Verkehrs von Bitcoin). Bitcoin BIP352 Silent Payments (ab Core 28.0, BIP376 + BIP392 2026 ergänzt). Monero FCMP++ — das Trail-of-Bits-Audit endet morgen, am 22. Mai; Anonymitätsmenge von 150 Millionen Ausgängen bei sauberem Audit. Zcash Crosslink Milestone 4 (Vitaliks zweite Spende vom 6. Februar unterstützte das Upgrade). Der Brief des Samourai-Wallet-Mitgründers Keonne Rodriguez vom 7. Mai aus FPC Morgantown — ein Aufruf zu 2 Millionen Dollar Unterstützung für Prozesskostenschulden, nachdem die Hoffnungen auf Begnadigung geschwunden sind — ist das Bedrohungsmodell dafür, was geschieht, wenn Primitive in Nutzerverwahrung kriminalisiert werden.

Lokale KI-Inferenz auf nutzerkontrollierter Rechenleistung. DeepSeek V4 Pro (22. April, MIT, 1,6 Billionen / 49 Milliarden aktive Parameter, 1 Million Token Kontext, 80,6 Prozent SWE-Bench Verified, 90,1 Prozent GPQA Diamond). DeepSeek V4 Flash (284 Milliarden / 13 Milliarden aktiv). Mistral Medium 3.5 (29. April, 128 Milliarden, 77,6 Prozent SWE-Bench). Qwen 3.6 Max Preview (27. April, 201 Sprachen). GLM-5.1 (744 Milliarden Mixture-of-Experts, Spitzenplatz unter Open Source in der LMArena). OpenAI Privacy Filter (22. April, Apache 2.0, im Browser lauffähig über transformers.js + WebGPU). Laut DBIR stieg die Nutzung von KI-Werkzeugen durch Beschäftigte binnen eines Jahres von 15 Prozent auf 45 Prozent — und der größte Teil dieses Wachstums entfällt auf cloudgehostete Dienste. Lokale Inferenz ist der architektonische Gegenentwurf.

Föderierte Identität mit selektiver Offenlegung. W3C Verifiable Credentials 2.0 (Recommendation seit Mai 2025; sieben Spezifikationen). eIDAS 2.0 BBS+ zur selektiven Offenlegung (Finalisierung bei der IETF läuft). Privacy Pass. Die mexikanische Frist zur CURP Biométrica am 30. Juni (40 Tage von heute an, mit der 127 Millionen Mobilfunkanschlüsse an Gesicht, Fingerabdruck und Iris gebunden werden) ist das Bedrohungsmodell. Laden Sie Ihre Identität nicht beim Anbieter hoch.

Selbst gehostete Dienste. Matrix-Homeserver. Forgejo. Mailcow. Jitsi. Nextcloud. Mautic. SuiteCRM. Moodle Community. Open edX. Föderation begrenzt den Schadensradius jeder einzelnen Herstellerkompromittierung. Jeder Homeserver ist für seinen eigenen Patch-Takt verantwortlich — aber Föderation verteilt jenes Lieferkettenrisiko durch Dritte, das laut DBIR um 60 Prozent gegenüber dem Vorjahr gewachsen ist. Die Ausnutzung von pull_request_target bei Grafana / Coinbase Cartel ist die architektonische Erinnerung daran.

Mesh und Satellit auf der Betreiberschicht. Briar (Bluetooth, WLAN, Tor). Bridgefy. Meshtastic. Reticulum. GoTenna PRO. Starlink. Irans Internet-Pro-Stufe, der Stromausfall an den Funkmasten in Khartum im Sudan, Russlands Abschaltungen in 21 Oblasten vor dem Tag des Sieges und die fünftägige vollständige Internetabschaltung in Tansania, die während der Gewalt nach der Wahl vom 29. Oktober 2025 mehr als 518 Tote ermöglichte — die betreiberunabhängige Schicht ist der strukturelle Gegenentwurf.

Kryptografische Agilität vor dem FIPS-Auslaufen am 21. September und dem Q-Day 2029. ML-KEM (FIPS 203). ML-DSA (FIPS 204). SLH-DSA (FIPS 205). Standards seit August 2024 in Kraft. Der durchschnittliche Validierungszyklus für FIPS 140-3 beträgt rund 542 Tage, gemessen an der Basis von Anfang 2024. Vorsorgliches Ausrollen post-quanten-sicherer Primitive ist der einzige Weg durch das FIPS-Auslaufen. Googles Frist zur Quantenmigration 2029 und Cloudflares gleichlautende Zusage rahmen die nächsten 1.228 Tage. Das Bedrohungsmodell „harvest now, decrypt later“ ist heute operativ. Signals Sparse Post-Quantum Ratchet (SPQR) bildet zusammen mit dem bestehenden Double Ratchet und dem Schlüsselaustausch PQXDH den „Triple Ratchet“ — Signals Post-Quanten-Härtung.

Schluss

Achtzehn Jahre.

So lange existiert CVE-2008-4250. Offenlegung im Oktober 2008. Microsoft-Patch 2008 veröffentlicht. Aufnahme in den CISA-Katalog der bekannten ausgenutzten Schwachstellen: gestern, am 20. Mai 2026 — achtzehn Jahre später.

Der Herstellerpatch existiert. Die Behebung fand nicht statt.

Das ist der achtzehnjährige Schwanz der Patch-Pipeline.

Fünf von sieben CISA-KEV-Aufnahmen von gestern stammen aus 2008 bis 2010. Zwei sind Microsoft-Defender-CVEs — das Sicherheitswerkzeug selbst im Katalog. Der Verizon-DBIR-Befund von achtundvierzig Stunden zuvor ist der Makro-Kontext: 31 Prozent Ausnutzung von Schwachstellen als Einstiegsweg Nummer 1, Behebungsquote von 26 Prozent (12 Punkte weniger), Median von 43 Tagen bis zum Patch (34 Prozent mehr), Sprung von 60 Prozent in der Lieferkette (inzwischen 48 Prozent aller Sicherheitsverletzungen), KI, die Exploit-Fenster von Monaten auf Stunden schrumpft.

Die Demonstrationsfälle dieser Woche reichen von den gestrigen achtzehnjährigen Aufnahmen zurück über das Bußgeld von 963.900 Pfund gegen South Staffordshire Water vom 12. Mai (20 Monate unentdeckt, Windows Server 2003 im Betrieb, 5 Prozent der IT-Umgebung überwacht), die aktive Ausnutzung von Exchange OWA seit dem 14. Mai ohne dauerhaften Patch an Tag 7, die Lieferkettenkompromittierung von node-ipc mit 10 Millionen Downloads vom 14./15. Mai, die Exfiltration von Quellcode bei Grafana / Coinbase Cartel über pull_request_target vom 17./18. Mai, den biometrischen Einbruch bei NYC Health + Hospitals mit 1,8 Millionen Betroffenen vom 18. Mai bis zu den Anodot-Token, die im April und Mai die nachgelagerten Vorfälle bei Zara (197.400) und Vimeo (119.000) ermöglichten.

Das Trail-of-Bits-Audit zu Moneros FCMP++ endet in vierundzwanzig Stunden.

Section 702 läuft in zweiundzwanzig Tagen aus. Die FISC-Entscheidung bleibt Verschlusssache.

Die mexikanische Frist zur CURP Biométrica ist vierzig Tage entfernt.

Der Iran steht bei Tag 83 des längsten je verzeichneten Internet-Blackouts.

Der EU-Vorschlag „Going Dark“ zur einjährigen Speicherung kommt im Sommer 2026.

Das Auslaufen von FIPS 140-2 ist 123 Tage entfernt.

Der Q-Day ist 1.228 Tage entfernt.

Der nutzerseitige Primitiv-Stack — offene Clients, offene Firmware, Hardware-Schlüssel, zensurresistente Transporte, datenschutzwahrende Währungen, lokale KI-Inferenz, föderierte Identität, selbst gehostete Dienste, Mesh und Satellit, kryptografische Agilität — arbeitet außerhalb der zentralisierten Hersteller-Patch-Pipeline, die den achtzehnjährigen Schwanz hervorgebracht hat.

Achtzehn Jahre sind der Schwanz.

Der Stack ist die Antwort.


URnetwork ist ein Peer-to-Peer-Overlay für zensurresistenten Transport, das in keinem der oben genannten Gesetze im Register der Betreiber öffentlicher Dienste eingetragen ist. Die MCP-Server-Veröffentlichung von URnetwork vom 19. Februar 2026 erlaubt es agentischen Clients, VPN-Sitzungen über das Peer-to-Peer-Overlay aufzubauen und damit den Transport von der Betreiberschicht zu abstrahieren.

https://ur.io

Further Discussion

Achtzehn Jahre

**Position.** Die Patch-Pipeline hat einen achtzehnjährigen Schwanz. Die gestrige Aufnahme in den CISA-Katalog der bekannten ausgenutzten Schwachstellen ist der Beleg. Fünf von sieben Schwachstellen, die die CISA am 20. Mai aufnahm, stammen aus 2008 bis 2010. Die älteste ist CVE-2008-4250 — ein Pufferüberlauf in Microsoft Windows, offengelegt vor achtzehn Jahren im Oktober 2008. Microsoft veröffentlichte den Patch 2008. Die CISA setzte das CVE gestern auf die bundesweite Liste der aktiven Ausnutzung. Dazwischen ließ die Patch-Pipeline zu, dass ungepatchte Systeme von 2008 im großen Maßstab im Betrieb blieben — bis 2026, als Angreifer sie fanden und die Aufklärung der CISA die Ausnutzung aufgriff. Das ist kein Zufallstreffer. Der Verizon Data Breach Investigations Report, achtundvierzig Stunden zuvor am 19. Mai veröffentlicht, fand das strukturelle Muster im großen Maßstab: Nur 26 Prozent der kritischen CISA-KEV-Schwachstellen werden von Organisationen vollständig behoben (nach 38 Prozent im Vorjahr); der Median der Zeit bis zum Patchen einer kritischen Schwachstelle stieg von 32 auf 43 Tage; die Ausnutzung von Schwachstellen überholte gestohlene Zugangsdaten erstmals in 19 Jahren DBIR-Veröffentlichung als Einstiegsweg Nummer 1 in Sicherheitsverletzungen und macht 31 Prozent aller Sicherheitsverletzungen aus. Die übrigen beiden KEV-Aufnahmen vom 20. Mai sind beide Microsoft-Defender-CVEs — CVE-2026-41091 (Rechteausweitung) und CVE-2026-45498 (Denial of Service). Das Sicherheitswerkzeug selbst steht im bundesweiten Katalog der aktiven Ausnutzung. Das ICO-Bußgeld vom 12. Mai gegen South Staffordshire Water — 963.900 Pfund für den Cl0p-Ransomware-Einbruch von 2022, der 633.887 Menschen betraf — dokumentierte das operative Muster: Schadsoftware zwanzig Monate lang unentdeckt, nur 5 Prozent der IT-Umgebung überwacht, Windows Server 2003 elf Jahre nach dem Support-Ende durch Microsoft immer noch im Betrieb. CVE-2026-42897 im Exchange Server wird seit dem 14. Mai aktiv ausgenutzt, ohne dauerhaften Patch — die Behebungsfrist der zivilen Bundesexekutive ist acht Tage entfernt. Die Anodot-Lieferkettenkompromittierung vom April brachte über gestohlene Authentifizierungs-Token 197.400 Zara-E-Mail-Adressen und 119.000 Vimeo-Konten auf Leak-Portale im Darknet. Die Makrosicht des DBIR und die Mikrosicht des CISA-KEV zeigen dieselbe Architektur: Herstellerzentriertes Patchen kann mit KI-beschleunigter Ausnutzung nicht mithalten. Achtzehn Jahre sind der Schwanz. **Schlagzeilenvorschläge.** - Achtzehn Jahre: CISA nimmt Schwachstelle von 2008 in den Katalog der aktiven Ausnutzung auf - 5 von 7: Der CISA-KEV-Tag, der den DBIR bestätigte - Der achtzehnjährige Patch-Schwanz - 2008–2026: Warum die Hersteller-Patch-Pipeline versagt hat **Schlusssatz.** Microsoft veröffentlichte den Patch für CVE-2008-4250 im Oktober 2008. Die CISA nahm sie gestern in den Katalog der aktiven Ausnutzung auf. Achtzehn Jahre sind vergangen.

Der achtzehnjährige Schwanz

**Position.** Der achtzehnjährige Schwanz ist kein Herstellerversagen. Er ist eine Architektur. Eine herstellerzentrierte Patch-Pipeline im Maßstab von Microsoft Windows oder Adobe Acrobat muss Milliarden von Installationen über Millionen von Betreibern hinweg koordinieren — mit heterogenen Patch-Takten, Change-Control-Regimen, End-of-Life-Budgets und operativen Risikobereitschaften. Dieselbe Patch-Pipeline erzeugt sowohl die Defender-CVE-Aufnahme dieser Woche (CVE-2026-41091 — das Sicherheitswerkzeug selbst im bundesweiten Katalog der aktiven Ausnutzung) als auch die gestrige Aufnahme von CVE-2008-4250 (ein achtzehn Jahre alter Patch, immer noch nicht auf Systemen ausgerollt, die Angreifer erreichen können). Die Pipeline lässt sich nicht durch Appelle reparieren. Die Makrosicht des DBIR — 26 Prozent Behebungsquote bei CISA-KEV, 43 Tage Median bis zum Patch, Lieferkettenverletzungen um 60 Prozent gestiegen — ist die Ausgabe im stationären Zustand einer strukturellen Entscheidung, die eine kleine Zahl von Herstellern für das Patchen überall laufender Software zuständig gemacht hat. Der architektonische Gegenentwurf ist der nutzerseitige Primitiv-Stack — offene Clients mit nutzergehaltenen Schlüsseln, offene Firmware auf nutzerprüfbaren Chips, FIDO2-Hardware-Authentifizierung, zensurresistente Transporte, datenschutzwahrende Währungen, lokale KI-Inferenz, föderierte Identität, selbst gehostete Dienste, Mesh und Satellit, kryptografische Agilität. Der Stack hängt nicht von der Hersteller-Patch-Pipeline ab. Signals Protokoll steht seit mehr als elf Jahren unter öffentlicher Prüfung — offene Codebasen erhalten schneller Community-Audits, als alte Closed-Source-Codebasen über achtzehn Jahre Herstellerpatches erhalten. GrapheneOS auf Pixel 6+ mit Android 16 (Build 2026030501) legt jene Angriffsfläche auf der Betreiberschicht offen, die der Citizen-Lab-Bericht „Bad Connection“ vom 23. April dokumentierte — dieselbe Fläche, die geschlossene Firmware vor den Nutzenden verbirgt. Tor 15.0.13 (Notfallveröffentlichung vom 7. Mai), V2Ray VLESS+Reality, Shadowsocks-2022 und das Peer-to-Peer-Overlay von URnetwork — über die MCP-Server-Veröffentlichung vom 19. Februar — erlauben es agentischen Clients, VPN-Sitzungen aufzubauen, ohne von der Betreiberschicht abzuhängen. Fünf Milliarden Passkeys waren am Welt-Passkey-Tag der FIDO Alliance am 7. Mai 2026 ausgerollt — hardware-gebundene Zugangsdaten ersetzen Biometrie im Nachgang des Einbruchs bei NYC Health + Hospitals mit 1,8 Millionen Fingerabdrücken. Das Trail-of-Bits-Audit zu Moneros FCMP++ endet in vierundzwanzig Stunden; die Audit-Pipeline ratifiziert Upgrades über offene Community-Governance mit einer Strenge, die der zentralisierten Hersteller-Pipeline vergleichbar ist, aber ohne den achtzehnjährigen Schwanz. Kryptografische Agilität — ML-KEM, ML-DSA, SLH-DSA — ist das Ausrollen post-quanten-sicherer Primitive vor Googles Q-Day-Frist 2029. Die architektonische Eigenschaft des nutzerseitigen Stacks ist, dass er außerhalb der zentralisierten Hersteller-Patch-Pipeline arbeitet, die den achtzehnjährigen Schwanz hervorgebracht hat. Der Verizon DBIR fand, dass die zentralisierte Pipeline im Median versagt, und das CISA-KEV-Ereignis vom 20. Mai fand, dass sie am Schwanz versagt. Der architektonische Gegenentwurf ist einsatzunabhängig. **Schlagzeilenvorschläge.** - Der achtzehnjährige Schwanz ist eine Architektur - Hört auf zu patchen: Warum der nutzerseitige Stack der Gegenentwurf ist - Der stationäre Zustand der Hersteller-Pipeline ist das Versagen - Die Audit-Pipeline liefert in Tagen, nicht in achtzehn Jahren **Schlusssatz.** Die Hersteller-Patch-Pipeline kann den achtzehnjährigen Schwanz nicht beheben, weil der achtzehnjährige Schwanz das ist, was die Pipeline hervorbringt. Der Gegenentwurf ist das, was außerhalb der Pipeline läuft.

Comics

#1Achtzehn Jahre
#2Der achtzehnjährige Schwanz