Misterjudie

Stell dir vor, Du kannst auf jede Microsoft Azure Cosmos DB in der Cloud zugreifen, weil Du den Masterkey kennst? Klingt irre, aber Sicherheitsforschern von Wiz ist genau dieser Masterkey in die Finger gefallen, wie ich ich heute gelernt habe. Das Ganze hat den Namen CosmosEscape bekommen. Heißt aber, dass jede Microsoft Azure Cosmos DB von Microsoft (und möglicherweise von Dritten) gelesen und durchforstet werden kann.

Vorbemerkungen: Insidern ist klar, dass da ein solcher Masterkey existiert, weil Microsoft nach dem US-Cloud Act auf Anforderung Daten von Kunden, die auf seinen Servern gespeichert sind, an die US-Regierung herausgeben muss.

Ein Leserhinweis im Diskussionsbereich

Blog-Leser Tomas Jakobs hat im Diskussionsbereich des Blogs zum 31. Juli 2026 den Kommentar: “Benutzt jemand Microsoft Azure? Hat seine Datenbanken drin?
Ein Master-Key für alle Datenbanken cross-tenant, cross-zone, cross-everything. Ich würde sagen eine absichtlich eingebaute Backdoor… die oppps… jetzt public ist.“

Tomas Jakobs hat auf den obigen Tweet des WIZ-Sicherheitsforschers Juval Avrahami verwiesen, der das Thema zum 30. Juli 2026 öffentlich machte.

Herumprobieren mit API liefert Geheimnisse

Beim Herumprobieren mit den APIs von Cosmos DB haben die Sicherheitsforscher Gremlin – die Graphdatenbank-API – ausprobiert und dabei eine verdächtige .NET-Ausnahme erhalten, schrieb der Sicherheitsforscher.

Es stellte sich heraus, dass Azure Gremlin-Abfragen als .NET-Code in einer Sandbox ausführte. Microsoft hatte zwar Einschränkungen definiert, um die Ausführung von beliebigem Code zu verhindern. Laut Juval Avrahami berücksichtigte die Sandbox jedoch die .NET-Reflexion nicht vollständig. Es gelang den Sicherheitsforschern mit Code aus der Sandbox zu entkommen, so dass sie beliebigen Code auf dem Service-Backend ausführen konnten.

Zugriff per Masterkey auf alles

Im Backend von Azure haben die Sicherheitsforscher von Wiz sich dann weiter  vorgearbeitet. Letztendlich stießen sie auf das, was sie als “den Heiligen Gral” bezeichnen. Der Schlüssel (Masterkey), der jede Datenbank auf der Azure-Plattform von Microsoft freischaltet. Das heißt, die Sicherheitsforscher hatten laut Mitteilung Zugriff auf :

• Jede Art von Datenbank auf Azure
• Für jede Region
• Sowohl öffentliche als auch private Datenbanken

Und um das Ganze noch zu krönen, konnten die Sicherheitsforscher die Datenbankzugriffe über das öffentliche Internet freischalten. Der Schlüssel ermöglichte zudem die Suche über alle Konten in CosmosDB hinweg, was bedeutet, dass ein Angreifer bestimmte Organisationen anhand der Mandanten-ID oder der Domain ins Visier hätte nehmen können:

Die Auswirkungen beschränkten sich jedoch nicht nur auf externe Kunden. Microsoft selbst nutzt CosmosDB für Kernservices wie Teams, Copilot und Entra ID. Durch CosmosEscape hätten auch deren Datenbanken offengelegt werden können.

Das ist quasi der GAU für Microsoft, und in Europa müssten meiner Meinung nach jetzt Azure-, Teams-, Copilot-, Entra ID- oder M365-Kunden eine vorsorgliche DSGVO-Meldung bei der Landesdatenschutzaufsicht einreichen, sofern persönliche Daten von Personen dort gespeichert waren. Denn es ist ja potentiell ein DSGVO-Vorfall.

Die Sicherheitsforscher haben das Ganze im Rahmen eines Responsible Disclosure an Microsoft gemeldet. Redmond hat daraufhin innerhalb von weniger als 48 Stunden einen Hotfix bereitgestellt. Außerdem haben die Micrsooft-Entwickler den Hauptschlüssel entfernt und die Authentifizierungsarchitektur des Dienstes abgesichert. Es ist jetzt also nicht mehr möglich, den obigen Zugriffsweg zu nutzen.

Die WIZ-Sicherheitsforscher haben ihre Erkenntnisse zum 30. Juli 2026 im Blog-Beitrag CosmosEscape: Taking Over Every Database in Azure Cosmos DB dokumentiert und planen das Ganze auf der BlackHat USA 2026 im Talk “One Key to Rule Them All: Taking Over a Flagship Cloud Service” zu präsentieren.

Noch ein Leserhinweis und mein Fazit

Der Sachverhalt wurde mir zudem von Blog-Leser Stephan bereits heute Vormittag per E-Mail mit dem Begleittext “CLOUD Act und PATRIOT Act lassen grüßen” präsentiert. Stephan hatte mir einen Link auf diesen Golem-Beitrag geschickt, die das Thema dort aufgegriffen haben.

Der Vorfall bestätigt das, was Insider immer schon wussten oder zumindest postuliert haben, aber teilweise als Aluhut-Träger abgestempelt wurden. Unternehmen speichern ihre Geschäftsgeheimnisse in Datenbanken in der US-Cloud – und die Anbieter (sowie weitere Stellen) haben über einen Masterkey Zugriff auf alle Daten. Ich hatte gestern noch den Beitrag Backdoor (CVE-2026-20316) in Cisco Firewall wird ausgenutzt hier im Blog. Dort war ein Konto mit festen Zugangsdaten in einer Cisco Firewall-Verwaltungssoftware aufgeflogen, weil Cyberangreifer sich damit Zugriff verschafft hatten.

Und damit sind wir beim Kernthema. Immer wenn staatliche Stellen einen “Aufbruch einer Verschlüsselung” oder einen Masterkey fordern, um im Falle eines Falles als Strafverfolger aktiv werden zu können, weisen Sicherheitsexperten auf folgendes hin: Wenn es einen Masterkey gibt, wird dieser früher oder später öffentlich und dann haben auch andere Akteure (Cyberkriminell, Spione, staatliche Hackergruppen) Zugriff auf die Inhalte.

Und jetzt überlegen wir nochmals: Firmen stellen bereitwillig ihre Daten, ihr Wissen, ihre vertraulichen Informationen und Geheimnisse in Azure- (oder andere) Datenbanken. Aber es gibt einen Masterkey, über den jeder auf diese Informationen zugreifen kann. Für staatlich gelenkte Wirtschaftsspionage oder Cyberangriffe ein gefundenes Fressen. Aber ich höre immer wieder “das ist alternativlos”. Was habe ich nicht verstanden, bzw. wo bin ich falsch abgebogen?

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht. Wegen Missbrauchs bin ich gezwungen, Name und E-Mail als Pflichtfelder beim Kommentieren zu aktivieren. Wählt ggf. einen (noch nicht benutzten) Alias-Namen und verwendet ggf. eine Dummy-Mail-Adresse (z.B. t@hotkev.com).

Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.

Am heutigen 27. Juli 2026 sieht es so aus, als ob es Probleme mit Microsofts Cloud-Diensten gibt. Mark hat mich am frühen Vormittag gefragt, ob ich Leserhinweise zu Problemen mit dem AutoAdminLogon bekommen habe. Er ist bei Kunden in Probleme gelaufen. Ein zweiter Leser hat mich dann einige Zeit später darüber informiert, dass das Microsoft Admin Center “derzeit down” sei. Ich gehe davon aus, dass diese beiden Meldungen irgendwie zusammen hängen. Auch bei der XBox scheinen Dienste ausgefallen.

Daher trage ich das Ganze nach (kann derzeit nur eingeschränkt reagieren, da ich einige Tage in der von mir hier im Reiseblog beschriebenen Region zum Wandern und Relaxen unterwegs bin).

Leserhinweis auf kaputtes Microsoft AutoAdminLogon

Mark Heitbrink hat mich gegen 11 Uhr per E-Mail kontaktiert und schrieb: “Ich werde gerade von 2 Kunden gefragt, ob die automatische Anmeldung kaputt ist?” Mark merkt an, dass es vor dem Juli 2023-Update schon oft 2-3 Neustarts brauchte  “bis es geht”. Jetzt seien es eher 8-10 Neustart, bis das AutoAdminLogon funktioniert. Ist natürlich total doof, da Mark das Problem mit “Hier sind Windows 11 Kiosk-Systeme im Einsatz mit AD Konto” auf den Punkt bringt. Da wird ein AutoAdminLogon benötigt.

Microsoft beschreibt die AutoAdminLogon-Funktion in diesem Supportbeitrag. Dort sind auch die nachfolgend erwähnten Registrierungseinträge dokumentiert.

Mark schrieb mir dazu: “Als Workaround schreibe ich bei dem einem Kunden die Registry Werte per Task bei jedem Neustart in die Registry. Aber selbst da scheint das Timing technisch zu spät [zu greifen].”. Mark fragte, ob ich schon was dazu gelesen oder gehört habe?

Muss ich verneinen, ich sehe und höre zur Zeit nix. Aber ich kann mir vorstellen, dass die Probleme ggf. mit den nachfolgend beschriebenen Störungen zu tun haben (auch wenn das AutoAdminLogon eine lokale Funktion ist), weil Microsoft da vielleicht serverseitig was mit Scripten macht. Falls jemand aus der Leserschaft ähnliche Erfahrungen gemacht hat, kann er sich ja in den Kommentaren melden.

Leserhinweis: Admin-Center down

Kurz nach 13:00 Uhr hat sich Blog-Leser Michal L. per E-Mail gemeldet und schrieb “Stand jetzt 27.07.2026 13:12 Uhr ist das Microsoft Admin Center nicht mehr erreichbaE.
Die Fehlermeldung über die URL https://admin[.]microsoft[.]comlautet:

Das erste Login (per: https://m365.cloud[.]microsoft/ ) funktioniert noch, aber dann gibt es obigen Fehler. Der Leser hat es auf zwei unterschiedlichen PCs mit unterschiedlichen Browsern und deaktivierten Browser Plug-ins getestet. Kann noch jemand aus der Leserschaft das bestätigen?

XBox Dienste ausgefallen

Ergänzung: Gerade bei den Kollegen von Dr. Windows gelesen, dass bei der XBox Dienste seit den Morgenstunden ausgefallen seien. Die XBox-Benutzer haben keinen Zugriff mehr auf ihre digitalen Güter. Betroffene Nutzer können sich nicht anmelden und haben keinen Zugriff auf ihre Spiele-Bibliothek sowie ihre Abonnements. Auch die mobilen Apps sind betroffen. Wird aber per KI sicherlich “bald” gehoben sein.

Ist es das Ende des großen deutschen Batterieherstellers Varta? Das Unternehmen hat beim Amtsgericht Stuttgart insgesamt vier Insolvenzanträge gestellt, wie am 24. Juli 2026 bekannt wurde. Letzter “Sargnagel” war, das Apple die Batteriefertigung für seit Tablets an chinesische Hersteller vergeben hat.

Mehrere Hinweise auf Probleme

Ich wurde aus der Leserschaft auf den Vorgang hingewiesen (danke dafür), hatte es aber gestern auch in diversen Medien gelesen. Folgender Tweet titelt, dass Apple “schuld” an der Varta-Insolvenz sei, weil die die Akku-Produktion für AirPods an chinesische Hersteller gegeben worden sei.

Das scheint mir aber nur ein Teil der Wahrheit zu sein, und war wohl final das Ereignis, welches Insolvenzanträge erforderte. Varta “kränkelt” wirtschaftlich schon länger. Ich erinnere mich, dass vor Jahrzehnten bereits ein Varta-Forschungswerk in meiner Stadt dicht gemacht wurde.

Dann erinnere ich an den Ransomware-Angriff auf Varta in Ellwangen, im Februar 2024, den ich im Beitrag Cyberangriff auf Batteriehersteller Varta in Ellwangen (Feb. 2024) angesprochen hatte. Dieser Angriff hatte für Besitzer von Varta-Batteriespeichern von Solaranlagen unangenehme Folgen, wie ich im Beitrag Nachlese: Zugriff der VARTA-App auf Speicher nach Cyberangriff weiterhin tot aufgezeigt habe. Varta gelang es nicht, die Cloud-Dienste, die von den Batteriemanagement-Systemen benötigt werden, binnen kurzer Frist wiederherzustellen. Kunden konnten nicht mehr per VARTA-App auf ihre Batteriespeicher zugreifen. Das war für mich ein Zeichen, dass da möglicherweise was “im Argen lag”.

Insolvenzanträge durch Varta gestellt

Die Tagesschau bestätigte am Freitag Nachmittag (24. Juli 2026), dass das schwäbische Unternehmen Varta insgesamt vier Insolvenzanträge beim Amtsgericht Stuttgart gestellt hat. Den Medien liegt wohl die Bestätigung des Insolvenzgerichts vor.

Laut Angaben des deutschen Batterieherstellers Varta wurde “ein Antrag auf vorläufige Insolvenz in Eigenverwaltung” gestellt. Das bedeutet, dass das Management des Unternehmens das Insolvenzverfahren durchführt, sofern das Insolvenzgericht dem zustimmt. Ziel dieses Schrittes sei es, die wirtschaftliche Zukunft des Unternehmens zu sichern und eine nachhaltige Fortführung des Geschäftsbetriebs zu ermöglichen, heißt es.

Reuters berichtet laut BR, dass die Anträge derzeit von der zuständigen Richterin geprüft werden. Reuters war bereits am Donnerstag, den 23. Juli 2026, über das Verfahren des in Schieflage geratene Unternehmens aus Ellwangen informiert. Laut Reuters waren die bisherigen Eigentümer, der Sportwagenbauer Porsche und der österreichische Unternehmer Michael Tojner, nicht mehr zu einer weiteren Kapitalspritze bereit.

Der BR schreibt, dass Varta damit vor der Zerschlagung steht. Die wichtigsten Gläubiger, darunter die Deutsche Bank und mehrere Hedgefonds, wollen das profitable Haushaltsbatterien-Geschäft übernehmen. Tojner hat Interesse am Geschäft mit Mikrobatterien – etwa Knopfzellen für Hörgeräte – angemeldet.

Die VARTA AG beschäftigt nahezu 4.200 Mitarbeiter. Das Unternehmen hat fünf Produktions- und Fertigungsstätten in Europa und Asien. heise hat hier noch einige Hintergrundinformationen zu den drei Gründen der Insolvenz (deutlich verschlechterte Marktbedingungen, eine schwächere Nachfrage, negative Währungskurseffekte sowie zuletzt die Entscheidung des Ankerkunden Apple) zusammen getragen.

Die Qualys Threat Research Unit (TRU) hat eine Local-Privilege-Escalation-Schwachstelle (LPE) in snap-confine identifiziert (CVE-2026-8933). Diese Schwachstelle erlaubt es einem nicht privilegierten lokalen Benutzer, auf Standardinstallationen von Ubuntu Desktop 24.04, 25.10 und 26.04 vollständigen Root-Zugriff zu erlangen. Ursache ist eine Security-Hardening-Änderung, die unbeabsichtigt eine Race Condition während der Sandbox-Initialisierung eingeführt hat.

Ubuntu Desktop ist in Unternehmen, öffentlichen Einrichtungen und bei Entwicklern im deutschsprachigen Raum weit verbreitet. Da die betroffenen Versionen in Standardkonfiguration verwundbar sind, sollten IT- und Sicherheitsverantwortliche zeitnah handeln.

snap-confine ist die Komponente, die die Ausführungsumgebung für Snap-Anwendungen aufbaut. In neueren Ubuntu-Releases hat Canonical snap-confine von einem set-uid-root-Binary auf ein Set-Capabilities-Modell umgestellt, um das Least-Privilege-Prinzip durchzusetzen. Dadurch läuft snap-confine nun mit der effektiven UID des aufrufenden Benutzers, behält aber nahezu Root-Capabilities.

Während des Sandbox-Setups erstellt das Binary temporäre Verzeichnisse und Dateien unter /tmp, die zunächst dem nicht privilegierten Benutzer gehören; die Eigentümerschaft wird kurz darauf an root übertragen, wobei ein schmales Zeitfenster bleibt, in dem der Aufrufer die volle Kontrolle behält.

Die Schwachstelle ist mit dem Schweregrad „High” bewertet. Der Exploit nutzt zwei gleichzeitige Race Conditions. Zunächst hängt ein Angreifer unmittelbar nach der Erstellung ein FUSE-Dateisystem über das temporäre Scratch-Verzeichnis ein und umgeht so die spätere Mount-Namespace-Isolation. Anschließend erstellt der Angreifer einen Symlink auf eine beliebige Zieldatei; der open()-Aufruf folgt dem Symlink und schreibt in das Ziel, während eine zweite Race Condition es erlaubt, die Dateiberechtigungen auf 0666 auszuweiten, bevor snap-confine per fchown() die Eigentümerschaft an root überträgt.

Um die AppArmor-Beschränkung zu umgehen, zielt der Exploit auf den Pfad /run/udev, legt dort eine bösartige .rules-Datei ab und zwingt systemd-udevd über einen FUSE-Mount/Unmount-Zyklus dazu, beliebige Befehle als root auszuführen.

Betroffene Versionen: Ubuntu Desktop 26.04, Ubuntu Desktop 25.10 sowie Ubuntu Desktop 24.04 (Systeme, die auf aktuelle snapd-Pakete aktualisiert wurden) enthalten standardmäßig die verwundbare Set-Capabilities-Variante von snap-confine.

Empfehlung: Organisationen sollten die aktuellen snapd-Updates unverzüglich einspielen. Canonical hat im Rahmen einer koordinierten Offenlegung über das Ubuntu Security Team Patches bereitgestellt. Die vollständige technische Analyse inklusive Quellcode-Referenzen und Proof-of-Concept ist im Qualys Blog bzw. Qualys Security Advisory verfügbar.

Aktualisiert: Juli 2026

Variable Vergütung ist für Vertriebsmitarbeiter in Frankreich weit verbreitet, unterliegt jedoch strengen arbeitsrechtlichen Vorgaben. Für deutsche Unternehmen können Fehler bei Bonusregelungen oder Zielvereinbarungen erhebliche finanzielle und rechtliche Folgen haben. Dieser Beitrag gibt einen Überblick über die aktuelle Rechtslage und zeigt, worauf Arbeitgeber bei der Gestaltung variabler Vergütung in Frankreich achten sollten.

Als erfahrene Anwälte für französisches Arbeitsrecht beraten wir Sie gerne auf Deutsch zu allen Rechtsfragen.

Das Wichtigste im Überblick

Deutsche Unternehmen mit Mitarbeitern in Frankreich sollten variable Vergütungsmodelle besonders sorgfältig gestalten. Nach der aktuellen Rechtsprechung des französischen Kassationshofs gilt:

« Bei unseren neuen Mandanten sehen wir regelmäßig Arbeitsverträge, in denen die Kriterien für die Bonusgewährung nicht klar geregelt sind – mit der Folge, dass der Arbeitgeber zur Zahlung des Höchstbonus verpflichtet sein kann. »

Juliette Boivineau, frz. Avocate im Arbeitsrecht bei Berton & Associés

Variable Vergütung im französischen Arbeitsrecht

Im französischen Arbeitsrecht besteht die Vergütung häufig aus einem festen und einem variablen Bestandteil. Gerade Vertriebsmitarbeiter („commerciaux“), Key Account Manager oder Business Developer erhalten neben ihrem Fixgehalt eine leistungsabhängige Vergütung in Form von Provisionen, Boni oder Zielprämien.

Für deutsche Unternehmen mit Tochtergesellschaften oder Niederlassungen in Frankreich stellt sich regelmäßig die Frage:

• Wie dürfen Ziele festgelegt werden?
• Kann der Arbeitgeber die Ziele jährlich anpassen?
• Wie sind die internationalen Bonuspläne in den französischen Arbeitsvertrag rechtswirksam zu integrieren?

Die französische Rechtsprechung hat diese Fragen in den vergangenen Jahren deutlich zugunsten der Arbeitnehmer beantwortet.

Wann darf der Arbeitgeber die Ziele einseitig festlegen?

GGrundsätzlich darf der Arbeitgeber die jährlichen Ziele selbst bestimmen, sofern der Arbeitsvertrag dies vorsieht.

Dies gilt allerdings nur unter bestimmten Voraussetzungen. Die festgelegten Ziele müssen auf objektiven und nachvollziehbaren Kriterien beruhen und dürfen nicht willkürlich bestimmt werden. Darüber hinaus müssen die Zielvorgaben realistisch und erreichbar sein, sodass der Arbeitnehmer eine tatsächliche Möglichkeit hat, die variable Vergütung zu erzielen. Ebenso ist eine transparente Berechnung erforderlich. Der Arbeitnehmer muss nachvollziehen können, nach welchen Maßstäben sich die Höhe seiner variablen Vergütung bestimmt. Schließlich müssen die Ziele dem Arbeitnehmer rechtzeitig vor Beginn des maßgeblichen Bezugszeitraums mitgeteilt werden, damit er sein Verhalten entsprechend darauf ausrichten kann.

Die Zielvereinbarung darf den Arbeitnehmer außerdem nicht von Bedingungen abhängig machen, die ausschließlich vom Arbeitgeber beeinflusst werden können.

Es kommt auch vor, dass in manchen Arbeitsverträgen vorgesehen ist, dass die Ziele im gegenseitigen Einvernehmen zwischen Arbeitgeber und Arbeitnehmer festgelegt werden.

Ziele müssen zu Beginn des Jahres feststehen

Ein besonders wichtiger Punkt für internationale Unternehmen:

Der französische Kassationshof hat seine Rechtsprechung in mehreren Entscheidungen zuletzt nochmals bestätigt (z.B. Cass. Soc., 31 janv. 2024, n° 22-22.709 ; Cass. soc. 2 mars 2011 n° 08-44.977).

Wenn die Ziele einseitig vom Arbeitgeber festgelegt werden und erst im Laufe des Geschäftsjahres oder sogar rückwirkend festgelegt werden, können sie dem Arbeitnehmer grundsätzlich nicht entgegengehalten werden. Maßgeblich ist, dass der Arbeitnehmer bereits zu Beginn des Leistungszeitraums weiß, welche Ziele für seinen Bonus gelten.

Keine Zielvorgaben? Dann droht die Zahlung des gesamten Bonus

Während ältere Entscheidungen vor allem eine Vertragsverletzung annahmen, geht die aktuelle Rechtsprechung teilweise deutlich weiter.

Fehlt eine wirksame Zielvorgabe vollständig, kann der Arbeitgeber verpflichtet sein, die variable Vergütung vollständig auszuzahlen. Dies gilt insbesondere dann, wenn ausschließlich der Arbeitgeber für die Festlegung der Ziele verantwortlich war.

Für Unternehmen bedeutet dies ein erhebliches finanzielles Risiko, insbesondere bei mehreren Vertriebsmitarbeitern mit identischen Bonusmodellen.

Arbeitgeber trägt die Beweislast

Eine weitere wichtige Entwicklung betrifft die Beweisführung. Der Kassationshof stellte 2024 (Cass. soc. 2 oct. 2024, n°22-16.519) nochmals klar:

Im Streitfall muss grundsätzlich der Arbeitgeber nachweisen,

• welche Ziele galten,
• dass diese erreichbar waren,
• wie sie kommuniziert wurden und
• weshalb der Arbeitnehmer sie nicht erreicht hat.

Kann dieser Nachweis nicht geführt werden, bestehen erhebliche Risiken hinsichtlich der Bonuszahlung.

Bonuspläne müssen grundsätzlich auf Französisch verfasst sein

Gerade deutsche Konzerne verwenden häufig konzernweit einheitliche Bonuspläne in englischer Sprache.

Hier besteht ein erhebliches arbeitsrechtliches Risiko.

Bereits 2011 entschied der Kassationshof, dass Zielvereinbarungen grundsätzlich auf Französisch vorliegen müssen. Diese Rechtsprechung wurde im Jahr 2023 ausdrücklich bestätigt. Selbst wenn im Unternehmen Englisch Arbeitssprache ist oder der Arbeitnehmer fließend Englisch spricht, bleibt ein ausschließlich englischsprachiger Bonusplan regelmäßig gegenüber dem Arbeitnehmer unwirksam. Ausnahmen gelten lediglich für Dokumente, die unmittelbar aus dem Ausland stammen oder ausschließlich für ausländische Mitarbeiter bestimmt sind.

Darf der Arbeitgeber den Bonus jedes Jahr ändern?

Hier ist zu unterscheiden.

Der Arbeitgeber kann grundsätzlich die jährlichen Ziele anpassen, wirtschaftliche Kennzahlen verändern oder individuelle Zielgrößen aktualisieren. Voraussetzung ist jedoch, dass der Arbeitsvertrag ihm dieses Recht ausdrücklich einräumt und die neuen Zielvorgaben weiterhin angemessen und erreichbar bleiben.

Nicht zulässig ist dagegen eine einseitige Änderung der Berechnungsmethode, der Provisionssätze, des Bonusprozentsatzes oder des grundsätzlichen Vergütungssystems. Führt eine solche Änderung dazu, dass die vertraglich vereinbarte Vergütung abgeändert wird, handelt es sich regelmäßig um eine Vertragsänderung. Diese kann der Arbeitgeber nicht einseitig vornehmen, sondern sie bedarf der Zustimmung des Arbeitnehmers.

Handlungsempfehlungen für deutsche Unternehmen in Frankreich

Unternehmen sollten ihre Bonusmodelle regelmäßig überprüfen. Empfehlenswert sind insbesondere folgende Maßnahmen:

• Bonusregelungen eindeutig im Arbeitsvertrag oder in einer Bonusvereinbarung festhalten.
• Ziele jeweils zu Beginn des Geschäftsjahres schriftlich mitteilen.
• Ausschließlich objektive und realistische Leistungsziele verwenden.
• Sämtliche Bonusunterlagen auf Französisch bereitstellen.
• Den Zugang der Zielvereinbarungen dokumentieren.
• Internationale Bonuspläne an die Besonderheiten des französischen Arbeitsrechts anpassen.

Gerade deutsche Muttergesellschaften verwenden häufig konzernweit einheitliche Incentive-Pläne. Diese sollten vor ihrer Anwendung in Frankreich arbeitsrechtlich geprüft und gegebenenfalls lokal angepasst werden.

Rechtliche Unterstützung sichern

Die variable Vergütung gehört in Frankreich zu den am häufigsten streitigen Themen des Arbeitsrechts. Die Rechtsprechung des französischen Kassationshofs stellt hohe Anforderungen an die Gestaltung von Bonusregelungen und Zielvereinbarungen. Fehler bei der Festlegung oder Kommunikation der Ziele können dazu führen, dass der Arbeitgeber den variablen Vergütungsanteil trotz Nichterreichens der Ziele vollständig zahlen muss.

Für deutsche Unternehmen mit Mitarbeitern in Frankreich empfiehlt sich daher eine regelmäßige Überprüfung der Arbeitsverträge und Bonusmodelle. Eine rechtssichere Gestaltung reduziert nicht nur das Prozessrisiko, sondern schafft auch Transparenz und Planungssicherheit für beide Vertragsparteien.

Wir unterstützen gerne bei der rechtlichen Prüfung der variablen Arbeitsvergütung in Frankreich. Lassen Sie sich jetzt beraten!

Fragen & Anworten

Muss eine variable Vergütung in Frankreich schriftlich vereinbart werden?

Ja. Zwar kann eine variable Vergütung grundsätzlich auch aus einer betrieblichen Übung oder einer kollektiven Regelung entstehen, in der Praxis sollte sie jedoch stets eindeutig im Arbeitsvertrag oder in einer separaten Bonusvereinbarung geregelt werden. Nur so lassen sich spätere Streitigkeiten über Berechnung, Zielvorgaben oder Auszahlungsansprüche vermeiden.

Darf ein Arbeitgeber die Bonusziele jedes Jahr ändern?

Grundsätzlich ja, sofern der Arbeitsvertrag dies vorsieht. Die Ziele müssen jedoch objektiv, erreichbar und transparent sein und dem Arbeitnehmer rechtzeitig vor Beginn des Bemessungszeitraums mitgeteilt werden. Eine einseitige Änderung der Berechnungsmethode oder des Vergütungssystems ist dagegen regelmäßig nicht zulässig.

Was passiert, wenn keine Ziele festgelegt werden?

Unterlässt der Arbeitgeber die Festlegung der vereinbarten Ziele, kann dies erhebliche Konsequenzen haben, insbesondere wenn der Arbeitgeber die Ziele einseitig festlegt. Je nach Einzelfall kann der Arbeitnehmer Anspruch auf die variable Vergütung haben oder Schadensersatz verlangen. Die französische Rechtsprechung stellt hohe Anforderungen an Arbeitgeber, die für die Zielvorgaben verantwortlich sind.

Müssen Bonusregelungen auf Französisch verfasst sein?

In den meisten Fällen ja. Arbeitsvertragliche Dokumente und Zielvereinbarungen, die gegenüber französischen Arbeitnehmern gelten, müssen grundsätzlich in französischer Sprache vorliegen. Rein englischsprachige Bonuspläne können gegenüber dem Arbeitnehmer unwirksam sein.

Gilt das auch für deutsche Unternehmen mit einer Tochtergesellschaft in Frankreich?

Ja. Beschäftigt ein deutsches Unternehmen Arbeitnehmer, deren Arbeitsverhältnis dem französischen Arbeitsrecht unterliegt, gelten unabhängig von konzernweiten HR-Richtlinien die französischen arbeitsrechtlichen Vorgaben. Internationale Bonusprogramme sollten deshalb vor ihrer Einführung in Frankreich rechtlich überprüft und gegebenenfalls angepasst werden.

Kann die variable Vergütung ausschließlich von Umsatzzielen abhängen?

Ja, sofern die Umsatzziele objektiv, realistisch und für den Arbeitnehmer tatsächlich erreichbar sind. Die Ziele dürfen nicht von Umständen abhängen, die ausschließlich der Arbeitgeber beeinflussen kann oder die außerhalb des Einflussbereichs des Arbeitnehmers liegen.

Wer muss im Streitfall die Zielerreichung nachweisen?

Im Streitfall trägt der Arbeitgeber regelmäßig die Beweislast dafür, welche Ziele vereinbart wurden, wie sie dem Arbeitnehmer mitgeteilt wurden und wie sich die variable Vergütung berechnet. Eine sorgfältige Dokumentation der Zielvereinbarungen ist daher unerlässlich.

Warum sollten deutsche Unternehmen ihre Bonusmodelle regelmäßig überprüfen?

Die Rechtsprechung des französischen Kassationshofs entwickelt sich kontinuierlich weiter und stellt hohe Anforderungen an variable Vergütungssysteme. Eine regelmäßige Überprüfung der Arbeitsverträge und Bonusregelungen hilft, rechtliche Risiken zu minimieren und kostspielige arbeitsgerichtliche Auseinandersetzungen zu vermeiden.

Françoise Berton, französische Rechtsanwältin

Alle Urheberrechte vorbehalten

Unschöne Information: In WordPress gibt es einen kritische Schwachstelle, die die Entdecker als wp2shell bezeichnen, die eine CMS-Übernahme erlaubt. WordPress 6.9.5 und WordPress 7.0.2 sind gegen die Schwachstelle gehärtet. Die Entdecker haben zudem eine Check-Seite online gestellt, die prüft, ob eine WordPress-Installation anfällig ist.

Die Schwachstelle wp2shell

Entdeckt wurde die Schwachstelle wp2shell von Sicherheitsforschern von Searchlight Cyber. Es ist eine RCE-Schwachstelle im WordPress-Kernel, die vor der Authentifizierung ausgenutzt werden kann. Der Angriff erfordert keine Voraussetzungen und kann von einem anonymen Benutzer in einer Standardinstallation von WordPress ohne Plugins ausgenutzt werden.

• <= 6.8.5: nicht betroffen
• 6.9.0 - 6.9.4: betroffen
• 7.0.0 - 7.0.1: betroffen

Die Sicherheitsforscher geben im Beitrag wp2shell: Pre Authentication RCE in WordPress Core die obigen Versionen als betroffen bzw. nicht betroffen an. Die WordPress-Entwickler haben reagiert und WordPress 6.9.5 sowie WordPress 7.0.2 veröffentlicht, die die Schwachstelle beseitigen. Angesichts der Schwere des Fehlers und um den Verantwortlichen Zeit für die Behebung zu geben, veröffentlichen die Sicherheitsforscher derzeit keine technischen Details.

Es gibt einen Checker

Schätzungen zufolge nutzen über 500 Millionen Websites WordPress, die potentiell gefährdet sind. Die Sicherheitsforscher haben jedoch einen Checker online gestellt, mit dem WordPress-Nutzer feststellen können, ob ihre Installation anfällig ist.

Man kann die URL der WordPress-Instanz eingeben und bekommt mitgeteilt, ob diese angreifbar ist. Allerdings möchte ich anmerken, dass der Checker nicht zuverlässig arbeitet. Ich bin mit meinen Blogs auf Grund der Sicherheitslücke auf WordPress 7.0.2, bekomme aber auf den Blogs unter borncity[.]com ein “vulnerable” angezeigt. Auch hat das nachfolgend erwähnte Plugin nicht geholfen. Werde da mit dem Besitzer der Domain klären, ob es an einer besonderen Konfiguration liegen kann.

Was kann man tun?

Der beste Weg, sich zu schützen, ist, WordPress umgehend zu aktualisieren, schreiben die Entdecker. WordPress 7.0.2 enthält den Fix (bzw. 6.9.5, falls jemand noch den 6.9-Zweig nutzt). Wer nicht sofort das Update durchführen kann, hat mehrere Möglichkeiten, das Risiko zu mindern:

• Das für WordPress angebotene Plugin “Disable WP REST API” installieren, um nicht authentifizierten Benutzern die Nutzung der WordPress-API zu verwehren. Dies ist die einfachste Option, birgt jedoch ein geringes Risiko, dass bestehende Funktionen nicht mehr funktionieren.
• Verwenden einer WAF, um den Pfad /wp-json/batch/v1 und den Abfrageparameter rest_route=/batch/v1 zu blockieren (beide Muster müssen blockiert werden, um Ihre Instanz zu sichern).
• Man kann sich auch ein hier im Quellcode veröffentlichte benutzerdefiniertes Plugin über SSH oder FTP im Verzeichnis “wp-content/plugins/disable-batch-api-for-unauth.php” der WordPress-Instanz ablegen und aktivieren es über den Menüpunkt Plugins” im Admin-Bereich aktivierten.

heise hat hier einige Informationen zum Thema veröffentlich, da bin ich gestern drauf gestoßen.

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht. Wegen Missbrauchs bin ich gezwungen, Name und E-Mail als Pflichtfelder beim Kommentieren zu aktivieren. Wählt ggf. einen (noch nicht benutzten) Alias-Namen und verwendet ggf. eine Dummy-Mail-Adresse (z.B. t@hotkev.com).

Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.

Kurze Information für Administratoren von Microsoft Exchange Systemen. Microsoft hat zum 14. Juli 2026 Sicherheitsupdates (SU) für “Juli 2026” veröffentlicht. Diese Updates stehen für Exchange Server 2016 / 2019 (ESU) sowie für Exchange Server Subscription Edition (SE) zur Verfügung. Das Juli 2026 SU schließt einige Schwachstellen und bringt eine kleine Änderung, die in einem Suppport-Beitrag beschrieben sind.

Blog-Leser R. S. hat in diesem Kommentar auf die Juli 2026-Sicherheitsupdates für Exchange Server hingewiesen (danke dafür). Details hat Microsoft im Techcommunity-Artikel Released: July 2026 Exchange Server Security Updates veröffentlicht.

Diese Security Updates (SUs July 2026) stehen für Exchange Server 2016, Exchange Server 2019 (nur mit ESU-Lizenz Phase 2) sowie Exchange Server Subscription Edition (SE) zur Verfügung. Die Updates stehen hier zur Verfügung:

Die Sicherheitsupdates vom Juli 2026 beheben (insgesamt 5) an Microsoft gemeldete oder von den Entwicklern selbst im Rahmen der internen Prozesse entdeckten Schwachstellen.

Exchange Online-Kunden sind bereits vor den durch diese Sicherheitsupdates behobenen Sicherheitslücken geschützt und müssen keine weiteren Maßnahmen ergreifen, außer die Exchange-Server oder die Workstations mit Exchange-Verwaltungstools in ihrer Umgebung zu aktualisieren.

Microsoft weist auf bekannte Probleme (Known Issues) hin, die unter Wrapper messages appear in shared mailbox inbox in hybrid environments beschrieben sind.

Was noch zu beachten ist!

Microsoft hat im Techcommunity-Beitrag einige Hinweise gegeben, die Administratoren im Umfeld zur Update-Installation beachten sollten.

Check auf veraltete Exchange-Sicherheitsgruppen

Es hat zwar mit dem SU Juli 2026 nicht direkt etwas zu tun. Aber Microsoft weist in seinem Techcommunity-Beitrag darauf hin, dass mit dem Juli 2026-Update das Exchange Health Checker-Skript nun auch auf das Vorhandensein sehr alter, bzw. veralteter Exchange Server-Sicherheitsgruppen prüft. Das betrifft Exchange-Domänenserver und Exchange-Unternehmensserver. Diese Gruppen sind seit Exchange 2007 veraltet, sollten nicht mehr verwendet werden und müssen gelöscht werden. Hintergrund ist, dass diese Exchange Server-Sicherheitsgruppen möglicherweise mehr Berechtigungen gewähren als moderne Exchange-Sicherheitsgruppen. Die entsprechende Dokumentation findet sich im Beitrag Remove the Last Legacy Exchange Server from an Exchange 2010 Organization.

Microsoft empfiehlt, dass Kunden, die den letzten lokalen Exchange-Server aus ihrer Organisation entfernt haben, ebenfalls prüfen sollten, ob diese Gruppen vorhanden sind. Falls ja, sollten sie die die veralteten Exchange Server-Sicherheitsgruppen löschen, um einen möglichen Missbrauch zu verhindern. Microsoft merkt dazu an: “Beachten Sie, dass Sie, wenn Sie keine Exchange-Server mehr lokal betreiben, möglicherweise eine umfassendere Bereinigung von Active Directory gemäß diesem Artikel durchführen sollten.“

Entfernen der CVE-2026-42897-Abhilfemaßnahmen nach der Installation

Durch die Installation des Updates vom 14. Juli 2026 werden bereits angewendete Abhilfemaßnahmen für CVE-2026-42897 (siehe z.B. Microsofts Beitrag Addressing Exchange Server May 2026 vulnerability CVE-2026-42897) nicht automatisch entfernt. Daher sollten Administratoren nach der Installation des Juli 2026-SU die nachfolgenden Hinweise beachten.

Wurde eine Mitigation (Abhilfemaßnahme) für CVE-2026-42897 mithilfe des Exchange Emergency Mitigation (EM)-Dienstes angewendet:

Entfernen Sie die Abhilfemaßnahme “M2.1.0 IIS-Regeln”.

Microsoft gibt noch folgenden Hinweis: Die Änderung am EM-Dienst, durch die das Update vom 14. Juli 2026 als Build gekennzeichnet wird, für den keine Abhilfemaßnahme für CVE-2026-42897 erforderlich ist, wird derzeit ausgerollt. Der voraussichtliche Abschlusstermin ist der 16. Juli 2026. Bis zum Abschluss dieses Rollouts wendet der EM-Dienst die Abhilfemaßnahme erneut an.

Wurde die Abhilfemaßnahme für CVE-2026-42897 mithilfe des herunterladbaren EOMT-Skripts angewendet wurde:

Machen Sie die Abhilfemaßnahme rückgängig.

In einer FAQ im im Techcommunity-Artikel Released: July 2026 Exchange Server Security Updates finden sich noch einige Hinweise zum Thema Mitigation von CVE-2026-42897.

Ähnliche Artikel:

Microsoft Security Update Summary (14. Juli 2026)
Patchday: Windows 10/11 Updates (14. Juli 2026)
Patchday: Windows Server-Updates (14. Juli 2026)
Patchday: Microsoft Office Updates (14. Juli 2026)

Exchange Server: Sicherheitsupdates 14. Juli 2026
Exchange Server: Sicherheitsupdates Juni 2026
Microsoft Exchange: 0-Day Schwachstelle (CVE-2026-42897) wird angegriffen

Noch ein Nachtrag von letzter Woche, wo Microsoft ein “neues Feature” für Windows angekündigt hat. Das im Herbst 2026 erscheinende Windows 11 26H2 soo eine Funktion zur Wiederherstellung aus der Cloud bekommen. Sprich: Wenn das System kaputt ist und nicht mehr bootet, lässt sich Windows 11 zukünftig  wohl  über WinRE aus der Cloud neu aufsetzen. Derzeit ist das Ganze noch Preview.

Eine Ankündigung Microsofts: Cloud Rebuild

Ich habe es nur am Rande verfolgt, Microsoft hat die vorige Woche eine Funktion “Cloud Rebuild” vorgestellt und mitgeteilt (Support-Beitrag in Englisch, Deutsche Fassung), dass diese nun als “Preview” verfügbar sei. Derzeit ist die Funktion als “Preview” für Windows Insider verfügbar, wird also mutmaßlich mit der kommenden Windows 11 26H2 allgemein freigegeben.

Mit “Cloud Rebuild” sollen IT-Administratoren und Benutzer einen Rechner mit Windows 11 durch eine vollständige Neuinstallation des Betriebssystems in einen sauberen, als fehlerfrei bekannten Zustand zurückversetzen können. Das Ganze erfolgt aber “über die Cloud”, d.h. es ist kein USB-Stick mit einem Installationsabbild erforderlich.

Im Gegensatz zur bereits in Windows verfügbaren Funktion Zurücksetzen des PCs (Reset your PC) werden laut Microsoft sowohl das Windows-Zielimage als auch die Gerätetreiber von Windows Update per Internet von Microsoft Servern heruntergeladen. Das Gerät  soll danach wieder voll funktionsfähig sein, ohne dass der Administrator mit USB-Medien, ohne benutzerdefiniertes Image hantiert. Versprochen wird auch, dass dieses Rebuild ohne Abhängigkeit von der Integrität des installierten Betriebssystems sei.

Was ist konkret erforderlich

Um die Funktion “Cloud Rebuild” in Windows 11 verwenden zu können, müssen aber einige Voraussetzungen erfüllt sein.

• Auf dem Gerät läuft Windows 11 (derzeit wird die Windows 11 Insider Preview gefordert, ich gehe aber davon aus, dass Windows 11 24H2-26H2 die Funktionalität in einigen Monaten erhält – wobei Windows 11 24H2 Home/Pro im Oktober 2026 aus dem Support fällt).
• Ferner muss die Windows-Wiederherstellungsumgebung (WinRE) funktionsfähig sei, da die Coud-Wiederherstellung in WinRE angestoßen ist. Man kann über den Befehl reagentc /info, ausgeführt in einer administrativen Eingabeaufforderung, überprüfen, ob WinRE aktiviert ist.
• Der Gerätehersteller hat einen kompatiblen Netzwerktreiber in die Windows-Wiederherstellungsumgebung integriert, und das Gerät kann von WinRE aus entweder über eine kabelgebundene Ethernet-Verbindung oder eine persönliche WLAN-Verbindung (WPA-Personal) auf das Internet zugreifen.

Natürlich muss das System über eine Internetverbindung verfügen und die Hardware muss die Mindestanforderungen an die Hardware für Windows 11 erfüllen.

Nach Abschluss der Neuerstellung wird das Gerät über die Out-of-Box-Benutzeroberfläche (OOBE) fortgesetzt, und verwaltete Geräte können automatisch über Windows Autopilot, Microsoft Intune, Backup for Organizations und OneDrive erneut bereitgestellt werden. Die Abläufe wurden auf verschiedenen Seiten beschrieben.

Obiger Tweet von Windows Central verlinkt auf diesen Beitrag, wo der Ablauf erklärt wird. Die Kollegen von deskmodder.de haben das Ganze auf Deutsch in diesem Artikel erklärt.  Bei vorhandener Funktion lässt sich in den Einstellungen über die Option System – Recovery die Option Repair now die “Reparatur per Cloud” anstoßen. Man gelangt in die WinRE-Umgebung, wo es eine entsprechende Kachel gibt, um die Schritte zum Wiederherstellen des Systems durchlaufen zu können.

Noch einige Gedanken

Im Hinterkopf hatte ich das “gab es nicht schon mal so was?” – und die Kollegen von deskmodder.de erwähnten hier, dass es 2019 bereits einen “Cloud-Download” gegeben habe. Bei einigen Artikel hatte ich den Eindruck, dass der Tenor “Boah, cool, die machen was bei Microsoft”. In Kreisen der potentiellen Nutzer wird das Ganze als zweischneidiges Schwert gesehen.

Der Kanal Windows Forum weist in obigem Tweet auf diese Diskussion hin, wo auf die Implikationen hingewiesen wird. Wenn es denn funktioniert, gehen diem Benutzer alle persönlichen Einstellungen, Daten, Treiber und Anwendungen verloren. Denn es ist quasi eine “Komfort-Neuinstallation” auf einem kompatiblen PC. Windows Forum schreibt, dass Privatanwender möglicherweise eine Komfortfunktion bekommen, das Ganze aber einige Hypotheken mitschleppt. Die Chance, dass das alte System danach wieder vorhanden ist, ist gleich Null – dass die richtigen Treiber kommen, hängt von der Kompatibilität ab und dass keine Fehler passieren.

Mir persönlich gehen einmal der Umweltaspekt durch den Kopf, wenn Millionen durch ein Update verhunzte Rechner per Cloud Recovery neu aufgesetzt werden (der CO2-Abdruck) ist gigantisch. Zudem: Wann hat Microsoft mal was sauber implementiert? Eine Backup-Funktion, die den Namen verdient, oder ein granulares Recovery, welches den Kernel, Treiber und ggf. Updates soweit zurück rollt, dass die Maschine funktioniert, gibt es m.E. nicht. Die Systemwiederherstellung der Vergangenheit, die halbwegs funktionierte, führt doch seit Windows 10 ein Schattendasein.

Und es wäre doch viel besser, wenn Windows 11 einfach so funktioniert und so etwas nicht gebraucht wird. Stattdessen führt Microsoft wieder Gimmicks wie ein Copilot-Feature, was Leuten erklären soll, warum der PC bei wenig RAM nicht mehr funktioniert ein. Aber Copilot kommt mit dem Edge, der erst ab 1 GByte-RAM wirklich funktioniert (ist in diesem Tweet und hier thematisiert). Der obige Mechanismus hat für mich sehr viel von “weißer Salbe”, verbunden mit der Hoffnung, dass es zumindest nicht schadet. Wie seht ihr das so?