Misterjudie

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht.

Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht.

Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht.

Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.

Nutzt jemand noch die Daemon Tools für Windows, um optische Laufwerke zu emulieren? Der Server zum Download dieser Daemon Tools war kompromittiert und hat eine Programmversion mit Schadsoftware zum Download angeboten. Die Software war sogar mit einem Entwicklerzertifikat digital signiert.

Was sind die Daemon Tools?

Ich gestehe, ich habe ewig nichts mehr von Daemon Tools gehört, seit Windows mit Bordmitteln ISO-Dateien als optische Laufwerke mounten kann. Daemon Tools ist ein Windows-Programm zum Emulieren optischer Laufwerke. Es ist in der Lage, ein Abbild einer CD oder DVD als ISO-Datei zu mounten. Der Nutzer kann dann dieses virtuelle Laufwerk mit seinem Inhalt wie ein CD- oder DVD-Laufwerk lesen. Daemon Tools Lite wird als Adware vertrieben, und es gibt werbefreie Versionen mit zusätzlichen Funktionen gegen eine Lizenzgebühr.

Daemon Tools mit Malware ausgeliefert

Georgy Kucherin weist in nachfolgendem Tweet darauf hin, dass er mit weiteren Leuten darauf gestoßen sei, dass die DAEMON Tools-Software seit dem 8. April 2026 durch einen komplexen Supply-Chain-Angriffs kompromittiert wurde.

Der Installer wurde wohl mit Malware versehen. Die von den infizierten Installern bereitgestellten bösartigen Varianten der DAEMON Tools enthalten eine Hintertür, die bei der Initialisierung der ausführbaren Datei ausgeführt wird. Diese Hintertür ist dafür zuständig, GET-Anfragen an einen C2-Server zu senden, um Shell-Befehle abzurufen und diese anschließend auszuführen.

Es wurde beobachtet, dass die Angreifer diese Hintertür nutzen, um weitere Schadcode-Payloads auf infizierten Rechnern zu installieren. In den meisten Fällen gab es Versuche, ein Implantat zu installieren, das Systeminformationen sammelt. Interessanterweise enthält dieses Implantat Zeichenfolgen in chinesischer Sprache.

Bei etwa einem Dutzend betroffener Organisationen wurde jedoch spezifische Aktivitäten beobachtet – war auf einen gezielten Lieferkettenangriff hindeutet, der auf spezielle Opfer zielt. Bei diesen Opfern wurde eine minimalistische Backdoor installiert, die zum Herunterladen von Dateien und zum Ausführen von Shellcode-Payloads konzipiert war.

Darüber hinaus haben die Sicherheitsexperten festgestellt, dass nur eine der Organisationen eine einzigartige RAT erhalten hat, die in der Lage ist, Payloads einzuschleusen und eine Vielzahl von Protokollen für die Kommunikation mit C2-Servern zu nutzen – darunter WSS, QUIC, DNS und HTTP/3.

Die schädlichen Installationsprogramme von DAEMON Tools werden seit der Veröffentlichung der Version 12.5.0.2421 verbreitet.  Zum Zeitpunkt der Erstellung des obigen Tweets (am 5. April 2026) sind die neuesten Versionen dieser Software weiterhin infiziert. Alle Installationsprogramme sind mit legitimen Zertifikaten signiert, die den Softwareentwicklern gehören.

Kucherin schreibt, dass man bei Kaspersky Tausende von Infektionen in über 100 Ländern festgestellt habe. Da dieser Supply-Chain-Angriff äußerst komplex ist, wird allen Nutzern von DAEMON Tools dringend empfohlen, ihre Rechner zu isolieren und einen Sicherheitsscan durchzuführen, um sich vor Malware zu schützen.

Weitere Informationen finden Sie in den IoCs, die im Blogbeitrag DAEMON Tools software infected – supply chain attack ongoing since April 8, 2026 von den Kaspersky-Mitarbeiter Igor Kuznetsov, Georgy Kucherin, Leonid Bezvershenko und Anton Kargin veröffentlicht wurden.

Zum 3. Mai 2026 wurden eine Reihe Nutzer von Alarmen des Microsoft Defender unter Windows 11 aufgeschreckt. Der Defender hat diverse geblockte DigiCert-Zertifikate als Trojan:Win32/Cerdigent.A!dha gemeldet. Der Hintergrund ist, dass DigiCert die Tage einige Zertifikate, die von Herstellern benutzt, aber von einer chinesischen Cybergruppe missbraucht wurden, zurückgerufen.

Rückblick auf das DigiCert-Zertifikate-Revoke

Vor einigen Tagen bin ich auf X über die Information gestolpert, dass DigiCert Root-Zertifikate zurückgerufen habe. Hintergrund ist, dass die chinesische Hackergruppe GoldenEyeDog (APT-Q-27) in der Lage war, EV-Zertifikate im Namen von Lenovo, Kingston, Shuttle Inc. und Palit Microsystems auszustellen und zur Signierung von Malware zu missbrauchen. Die Details sind in diesem Bug-Report offen gelegt. Ich hatte im Blog-Beitrag EV-Zertifikate von Lenovo & Co. durch GoldenEyeDog missbraucht auf den Sachverhalt hingewiesen.

Defender blockiert Zertifikate Trojan:Win32/Cerdigent.A!dha

Mir ist das Thema in Kommentaren zum Beitrag EV-Zertifikate von Lenovo & Co. durch GoldenEyeDog missbraucht  sowie per Mail zugegangen.

Eine Nutzermeldung per Mail

Stephan hat mir heute Nachmittag eine E-Mail mit dem Betreff “Trojan:Win32/Cerdigent.A!dha: Vermutlich false positive” der Botschaft “vielleicht interessiert Dich das hier für Deinen Blog” geschickt. Er schrieb, dass “heute Mittag” bei den Microsoft Defender “vereinzelt rot wurde”. Nach seinen bisherigen Recherchen handelt es sich vermutlich um “false positives”.

Das Defender-Update 1.449.424.0 brachte laut Leser die o.g. Signatur zur Erkennung von Trojan:Win32/Cerdigent.A!dha mit, die zwei Root-Zertifikate von DigiCert als schädlich einstuft. Der Leser schrieb: “Ich bin mir noch nicht sicher, aber auf mich wirkt es, als ob das ein Fehler ist, den Microsoft mit Defender-Update 1.449.425.0 behoben hat. Ich beobachte das noch eine kleine Weile, gehe aber von einem Fehlalarm aus. Auf Reddit finden sich bereits einige Thread und zahlreiche Leute, die betroffen sind.”

Leserkommentare hier im Blog

In diesem Kommentar schreibt Chris, dass der Defender “vor ein paar Minuten Windows Defender folgende zwei Zertifikate wegblockiert habe:

rootcert: 0563B8630D62D75ABBC8AB1E4BDFB5A899B24D43rootcert: DDFB16CD4931C973A2037D3FC83A4D7D775D05E4

Es wird eine Erkennung von “Trojan:Win32/Cerdigent.A!dha” gemeldet. Das Thema werde bei reddit.com diskutiert.

Diskussionen bei Microsoft und reddit.com

Bei Microsoft Q&A gibt es seit heute den Thread Trojan:Win32/Cerdigent.A!dha, wo jemand die oben genannte Warnung thematisiert. Nachfolgend ist die Defender-Meldung aus diesem Thread zu sehen.

Zahlreiche Nutzer bestätigen den gleichen Alarm des Defender. Ein Nutzer rät, “Führen Sie Windows Update aus. Dieses Problem wurde im neuesten Microsoft-Sicherheitsdefinitionsupdate 1.449.430.0 behoben.” – die Trojaner-Signatur wird nicht mehr erkannt.

Auf reddit.com finden sich z.B. dieser und dieser Thread mit der gleichen Thematik. Obiger Rückblick erklärt, warum Microsoft die beiden DigiCert-Zertifikate im Defender gesperrt hat. Die Funde gehen aber mutmaßlich in so gut wie allen Fällen nicht auf die Malware der chinesischen Hackergruppe GoldenEyeDog (APT-Q-27) zurück geht.

Sicherheitsexperte Florian Roth weist in obigem Tweet auf den gleichen Sachverhalt hin. Es bleibt aber das Problem, dass die oben genannten Zertifikate zurückgerufen wurden, und dass die chinesische Cybergruppe ihre Malware mit diesen Zertifikaten signieren konnten. Die Malware sollte erkannt werden, ohne dass andere, legitime Software, die mit den gesperrten Zertifikaten signiert wurde, nicht irrtümlich als Trojaner gemeldet wird.

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht.

Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht.

Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht.

Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.

Ich komme zu einem der Lieblingsthemen, wenn es ums Ranten geht: Microsoft kauft irgend etwas auf, und verschlimmbessert das so lange, bis es definitiv kaputt ist. Scheint auch bei GitHub zu klappen, wenn meine Beobachtung stimmt. Die Ausfälle häufen sich, das GitHub-Team ist gefrustet und Microslop dengelt Copilot oben drauf. Am 23. April 2026 hat dann der “Fluch der bösen Tat” zugeschlagen und GitHub-Repositories nach dem Zufallsprinzip zerschossen.

GitHub hier im Blog

Ich nutze kein GitHub, bin also nicht über jeden Schluckauf der Plattform informiert. Aber ich bekomme schon mit, wenn was schief läuft. Seit der Übernahme von GitHub durch Microsoft im Jahr 2018 (siehe Microsofts GitHub-Deal: EU-Entscheidung am 19.10.2018) taucht die Plattform – meist durch Probleme – hier in Blog-Beiträgen auf (siehe Links am Artikelende). Und Microsofts Copilot-Spirenzchen lassen sich auch in Beiträgen verarbeiten.

Ein merkwürdiger Tweet wirft seinen Schatten

Es war der nachfolgende Tweet von Tom Warren, der mich neugierig werden ließ, was nun schon wieder auf GitHub los ist.

Im verlinkten The Verge-Kurzbeitrag schreibt Warren zum 24. April 2026, dass GitHub gerade einen massiven Ausfall hatte. Er ergänzt: GitHub nutzt eine Warteschlange für Entwickler, wenn viele Personen an einem einzigen Projekt arbeiten. Diese soll verhindern, dass Änderungen miteinander kollidieren und Entwickler Fehler verursachen. Doch gestern (war der 23. April) versagte diese Warteschlange aufgrund eines Fehlers auf katastrophale Weise. Zuvor zusammengeführte Commits (Code-Snapshots) wurden willkürlich rückgängig gemacht. Warren ergänzte: “GitHub hatte gestern auch weitere Ausfälle – genau an dem Tag, an dem ich über die Bedenken der Mitarbeiter hinsichtlich der Zuverlässigkeit und der Führung bei GitHub berichtet habe.”

Das machte ich neugierig – im Textausriss des Tweets zitiert ein GitHub-Mitarbeiter, dass GitHub nicht mehr GitHub sei, sondern dass Microsoft drin stecke. Und das Unternehmen kollabiere derzeit, die Reputation der Plattform ginge den Bach runter. Weiterhin gebe es einen Exodus der Führungskräfte. Hört sich nicht so gut an – und mir fiel mein Blog-Beitrag Software Feedom Conservacy fordert Open Source-Entwickler zum Exit bei GitHub auf ein.

Der GitHub-Commit-Vorfall am 23. April 2026

Auf GitHub gibt es den Incident with Pull Requests-Beitrag. Dort heißt es: “Wir haben einen Regressionsfehler behoben, der bei der Verwendung der Merge-Warteschlange in Verbindung mit Squash-Merges oder Rebases auftrat. Wenn Sie die Merge-Warteschlange in dieser Konfiguration verwendet haben, wurden einige Pull-Anfragen zwischen dem 23.04.2026, 16:05 Uhr und 20:43 Uhr (UTC) möglicherweise nicht korrekt zusammengeführt. “

Sprich: Wer ein GitHub-Repository nutzt und Pull-Anfragen am 23.04.2026 zwischen 6:05 Uhr und 20:43 Uhr (UTC), dem wurde das Repository wohl mit hoher Wahrscheinlichkeit zerwürfelt. Auf dieser Seite wird das diskutiert – einige Teams hat es erwischt und die bauen mühsam einen stimmigen Stand auf.

Müssen wir den Copilot ran lassen, um das zu fixen? Oder wird es Zeit, GitHub zu verlassen, bevor das ganz kollabiert? Wie sehen das GitHub-Nutzer – alles nicht so wild, oder Götterdämmerung?

Ähnliche Artikel:
Microsofts GitHub-Deal: EU-Entscheidung am 19.10.2018
Github-Übernahme durch Microsoft–grünes Licht der EU
Microsoft kauft JavaScript-Entwickler-Plattform npm, GitHub-Integration kommt
Free Software Foundation hält Microsofts GitHub Copilot für unfair und nicht legal
Software Feedom Conservacy fordert Open Source-Entwickler zum Exit bei GitHub auf
Schwachstellen bei GitHub
Datenleck: Microsoft AI-Forscher verlieren 38 TByte an internen Daten über GitHub/Azure Cloud-Speicher
Microsoft “verbrennt” wohl massiv Geld mit GitHub-Copilot
Verlangt GitHub neuerdings eine Anmeldung?
GitHub trainiert Copilot mit Benutzerdaten; Opt-out erforderlich
Microsoft Copilot: Werbung in GitHub Pull-Requests
GitHub Copilot-Schwachstelle CVE-2025-59145 erlaubt Datenextraktion
Kritische Schwachstelle in Microsoft-GitHub-Repository
Microsoft stellt GitHub Copilot ab Juni 2026 auf “Token-based” Billing um

Gerade ist ein absoluter Fail in Hannover bekannt geworden, der den Steuerzahler 324.000 Euro kostet. Es wurden 60.000 Lizenzen für Microsoft 365 Education gekauft, ohne vorher eine Datenschutzfolgeabschätzung zu machen. Nun dürfen die Lizenzen an Schulen nicht eingesetzt werden.

Das Thema wabert bereits seit Tagen durch die Medien, seit die HAZ den Sachverhalt hier veröffentlicht hat, und zeigt, was momentan in vielen Bereichen schief läuft. Die Stadt Hannover schloss im Jahr 2025 einen Vertrag zum Kauf von 60.000 Microsoft-365-Education-Lizenzen im Wert von 324.000 Euro mit Microsoft ab. Eingesetzt werden sollte die Software in Schulen der Stadt.

Der HAZ-Artikel steckt hinter einer Paywall, daher habe ich oben den Beitrag der Kollegen von Golem verlinkt. Das Problem: Bei der Beschaffung der Lizenzen wurde keine Vorabprüfung durch einen Datenschutzbeauftragten durchgeführt und es gab auch keine Abschätzung, ob die Lizenzen überhaupt eingesetzt werden können.

Blind und ohne Datenschutzprüfung gekauft

“Man wollte Hannovers Schulen digital nach vorne bringen”, heißt es in der HAZ, hat das aber ohne Sinn und Verstand gemacht. Eigentlich hätte jedem Verantwortlichen die Brisanz klar sein müssen, hatten doch zahlreiche Landesdatenschutzbeauftragte bereits festgestellt, dass Microsoft Office 365 in Schulen nicht – oder nur mit modifizierten Verträgen – DSGVO-konform eingesetzt werden kann (siehe Artikellinks am Beitragsende). In der HAZ steht, dass die 60.000 Lizenzen, um die es geht, nicht den Bestimmungen des Datenschutzes für Kinder und Jugendliche entsprechen (Hintergründe weiter unten).

Per Blindflug ins Desaster

Die HAZ legt die Finger in die Wunde, die Beschaffung erfolgt wohl “im Blindflug”, Hauptsache, wir machen was mit Digitalisierung in Schulen. Der Kauf der Lizenzen sei ohne vorangegangene Prüfung eines Datenschutzbeauftragten geschehen, heißt es. Zwar sei ein sogenanntes “Data Processing Agreement” (DPA, Auftragsverarbeitungsvertrag) abgeschlossen worden.

Das sei allerdings der Falsche gewesen, denn laut Stadtsprecher Christian von Eichborn wurde im Fall von Microsoft 365 Education ein Standard-Datenverarbeitungsvertrag gewählt und nicht das DPA für Schulen. Finde ich erstaunlich, denn ich hätte bei Microsofts Vertrieb vorausgesetzt, dass die so etwas wissen (ob es überhaupt ein solches DPA für Schulen gibt, habe ich nicht herausfinden können).

Eine Datenschutz-Folgeabschätzung ist für eine geplante Verarbeitung personenbezogener Daten erforderlich, wenn diese Verarbeitung “voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat”. “Man hat das Pferd von hinten aufgezäumt”, sagt von Eichborn, denn die Datenschutzfolgeabschätzung erfolgte nach dem Vertragsabschluss. Die

Problem intern “vor Ostern” bekannt

Öffentlich wurde dies wohl durch Bildungsdezernentin Eva Bender (SPD) am  vergangenen Wochenende (18. April 2026), die die Flucht nach vorne antrat und an die Öffentlichkeit ging. Die Dezernentin gibt an, “vor Ostern” (2026) zum ersten Mal von dem Desaster erfahren und sich über die Feiertage in die Akten und Unterlagen eingelesen zu haben.

Die HAZ zitiert die Bildungsdezernentin: “Es wurde hier im Haus eine falsche Entscheidung getroffen: Es wurden Lizenzen gekauft, die nicht hätten gekauft werden dürfen. Wie es dazu kam, werden wir lückenlos aufklären. Wir werden eine Taskforce gründen, die den Vorgang untersuchen soll.”

Die Bildungsdezernentin droht auch personalrechtliche Konsequenzen an. Außerdem will man ein externes Unternehmen beauftragen, das die organisatorischen und strukturellen Abläufe untersucht.

Aber das “Kind ist in den Brunnen gefallen” – doppelt bitter, man hätte nur nach Kiel schauen können, wo die Landesregierung des benachbarten Bundeslands die Verwaltung auf LibreOffice umstellt und sich von Microsoft Office verabschiedet (siehe Schleswig-Holstein: Schon 80 % der Arbeitsplätze auf LibreOffice umgestellt).

Wenn ich die Ausführungen in der HAZ richtig interpretiere, hat wohl Lobbyismus zu dieser Entscheidung geführt. Es gab im Vorfeld wohl heftige Debatten um den Wechsel auf Microsoft 365. So findet sich der archivierte Artikel Hannovers Schulen sollen von IServ zu Microsoft wechseln – scheitert der Plan am Datenschutz? vom 11. März 2026, wo sich bereits die Brisanz abzeichnete. Dort heißt es, dass Schulen von iServ eigentlich zu Microsoft 365 wechseln sollten. Begründet wurde der ganze Move von der Stadt Hannover, dass “die Kinder mit Microsoft 365 auf das Berufsleben vorbereitet werden sollen”. Es wurde auch “fehlende Administration in Schulen” als Argument genannt.

In der HAZ las ich auch, dass Schulen, die bereits in der Pilotphase Microsoft 365 genutzt haben, kritisierten, dass sie mit dem Programm in der Praxis nicht gut arbeiten konnten.

Microsoft 365 Education in Schulen still gelegt

Das Verfahren ist aber erkennbar dann in die Hose gegangen. Konsequenz der obigen Chose ist, dass die Stadt Hannover sofort die Reißleine ziehen musste. Am Dienstag, den 21. April 2026, wurde Microsoft 365 Education als Schulsoftware an allen Schulen, die es bisher genutzt haben, abgestellt. Wer noch Daten sichern wollte, musste das bis dahin getan haben. Die Mitteilung der Stadt Hannover zu diesem Vorgang lässt sich, samt FAQ,  hier abrufen.

Derzeit will die Stadt Hannover die Verträge mit IServ, Webweaver und anderen Tools verlängern, damit die Schulen arbeitsfähig bleiben. Wann nun Microsoft 365 eingeführt werden kann, wie man die Sache mit den falschen Lizenzen heilen kann, und das was am Ende des Tages kostet, ist derzeit wohl offen.

In der HAZ heißt es dazu: “Klar ist nur, dass es dieses und vermutlich auch nächstes Schuljahr nichts wird”. Die Stadt Hannover muss jetzt den gesamten Prozess, dieses mal vorab mit einer Datenschutzfolgeabschätzung,  neu starten. Erst danach kann es ggf. Verhandlungen über eine korrekte DPA sowie den Neuerwerb von Lizenzen auf der richtigen datenschutzrechtlichen Grundlage geben.

Da Microsoft 365 Education meines Wissens auf Abo-Basis erworben wird, sind die oben erwähnten 324.000 Euro auf Kosten des Steuerzahlers beim Konto “teures Lehrgeld” verbucht worden.

Ähnliche Artikel:
Microsoft Office spioniert Nutzer aus, kollidiert mit DSGVO
Microsoft will Office Pro Plus DSGVO-konform nachbessern
Privacy: Microsoft steht mit Windows 10/Office 365 unter Druck
Datenschutzkonferenz 2022: Microsoft 365 weiterhin nicht datenschutzkonform
Nachbetrachtung zur DSK-Einstufung “Microsoft 365 weiterhin nicht datenschutzkonform”
Datenschutz: Microsoft 365 muss ab Sommer 2022 in Baden-Württembergs Schulen ersetzt worden sein
Microsoft 365 an Schulen, Baden-Württembergs Datenschützer sagt Nein
Kostenloses Microsoft 365 und Google Workspace an Frankreichs Schulen verboten
Office3 65 an Schulen unzulässig – Microsoft-Lizenzkosten für Bund steigen
Microsoft 365 an Schulen: Droht Schadensersatz wegen DSGVO-Verstößen?
DSGVO-Info über Privatsphäreneinstellungen in Office 365 Plus
Noyb reicht gegen Microsoft 365 Education DSGVO-Beschwerden ein
Office365 an Schulen unzulässig – Microsoft-Lizenzkosten für Bund steigen
Hessischer Datenschützer: Office 365 kann DSGVO-konform eingesetzt werden