Neuigkeiten aus dem Hause VamiSec

Claude-Code-Erweiterung im Cursor-Marktplatz manipuliert: SSH-Hintertür auf Entwicklerrechnern

Am 29. Oktober verteilte der Marktplatz des KI-Code-Editors Cursor rund elf Stunden lang manipulierte Fassungen der offiziellen Erweiterung Claude Code for VS Code. Der Schadcode trug einen SSH-Schlüssel der Angreifer ein, richtete einen Rückkanal und Persistenz ein und übertrug einen Steckbrief des Rechners. Unser Beitrag erklärt, wer betroffen ist, wie Sie Ihre Rechner prüfen und was jetzt zu tun ist.

• anthropic.claude-code 2.1.312 und 2.1.313 · Windows und macOS · nur über den Cursor-Marktplatz
• 29. Oktober 2026, etwa 10:27 bis 21:35 Uhr MEZ · laut Cursor höchstens 5.000 Betroffene
• Prüfen: svc-telemetry in authorized_keys · erst bereinigen, dann auf 2.1.314 aktualisieren

CyberWiseCon Europe 2027: Valeri Milke spricht in Riga über „Securing Agentic AI“

Das Content Selection Board der CyberWiseCon Europe 2027 hat unseren Vortrag ausgewählt: Valeri Milke zeigt in Riga, wie Threat Modeling nach MAESTRO und Agentic AI Red Teaming zusammenspielen – von der Vertrauensgrenze über den begrenzten Test bis zum Nachweis, dass eine Kontrolle greift.

• 26.–28. Mai 2027 · Apollo Kino Akropole, Riga (Lettland) · Zeitplan folgt
• Talk: „Securing Agentic AI: Threat Modeling & Agentic AI Red Teaming in Practice“
• Gemeinsam mit DevDays und DevOps Pro Europe · laut Veranstalter mehr als 700 Teilnehmende

Rückblick it-sa 2026: VamiGRC live am BITMi-Stand, sechs Demos und ein Dinner zur CRA-Meldepflicht

Drei Tage Nürnberg, Halle 7, Stand 7-211: Am Gemeinschaftsstand des BITMi haben wir VamiGRC live gezeigt und mit vielen Besucherinnen und Besuchern über NIS2, den CRA, KI-Sicherheit und Pentests gesprochen. Beim VamiSec-Dinner am 28. Oktober ging es darum, was nach dem Start der CRA-Meldepflicht kommt.

• 27.–29. Oktober 2026 · NürnbergMesse, Halle 7 · Stand 7-211 (BITMi)
• Sechs Live-Demos von VamiGRC, täglich um 10 und 15 Uhr
• VamiSec-Dinner am 28. Oktober zur CRA-Meldepflicht · mit Bildergalerie

Brotli2Shell (CVE-2026-111497): kritische Lücke im Brotli-Decoder von Google trifft Node.js, .NET, Python und Co.

Die auch als Node2Shell und HTTP2Shell bekannte Lücke betrifft den Brotli-Decoder von Google und damit Node.js, Bun, .NET, Python-Pakete, Envoy, Istio und viele weitere Produkte. Unser Beitrag fasst Ursache, gefixte Versionen, Angriffswege, Lage und Sofortmaßnahmen zusammen und verweist auf das ausführliche Lagebild mit Betroffenheitsprüfung.

• CVE-2026-111497 · CVSS v4.0 9.2 · offengelegt am 21. Oktober 2026
• Fix: Brotli 1.0.10 · 1.1.1 · 1.2.1, Node.js 22.23.4 · 24.22.1 · 26.12.1
• Lagebild, Versions-Check und Betroffenheitsprüfung: brotli2shell.wiz.vamisec.com

GRC Engineering Weihnachtsworkshop am 12. Dezember: sieben Vorträge, ein Lunch, 20 Plätze

Am Samstag, 12. Dezember 2026, lädt VamiSec zum GRC Engineering Weihnachtsworkshop nach Sankt Augustin bei Bonn ein. Valeri Milke zeigt in sieben Vorträgen, wie NIS2, CRA und AI Act im integrierten Managementsystem zusammenfinden, was ein GRC-Graph sichtbar macht, wie sich Lieferketten- und Cyberrisiken in Euro bewerten lassen – und wie die Migration zur Post-Quanten-Kryptografie mit der CBOM beginnt. Kostenfrei, nur auf persönliche Einladung.

• Sa., 12.12.2026 · 10–15 Uhr · VamiSec, Sankt Augustin bei Bonn
• Sieben Vorträge von Valeri Milke inklusive PQC-Special
• Kostenfrei mit Lunch · max. 20 Plätze · nur auf persönliche Einladung

VamiGRC Christmas Bootcamp am 12. Dezember: Agentic GRC Engineering – vor Ort und live

Sieben Türchen, ein Vormittag: Am Samstag, 12. Dezember 2026, zeigen Valeri Milke und das VamiSec-Team von 10 bis 14 Uhr, wie agentisches GRC Engineering NIS2, CRA, AI Act und Lieferkettenrisiken beherrschbar macht – plus Christmas Special zu Post-Quanten-Kryptografie und CBOM. Vor Ort in Sankt Augustin oder live auf LinkedIn und YouTube, kostenfrei.

• Sa., 12.12.2026 · 10–14 Uhr · Sankt Augustin & LinkedIn/YouTube Live
• Sieben Live-Sessions in zwei Stufen: CORE und PROFESSIONAL
• Lunch vor Ort und VamiGRC Swag Bag für alle Angemeldeten

PHP2Shell (CVE-2026-109618, CVE-2026-109619): kritische Lücken im Kern von PHP ermöglichen Codeausführung ohne Anmeldung

Wiz Research, Calif, OpenAI und das PHP-Projekt haben am 21. Oktober 2026 zwei kritische Speicherfehler im Kern von PHP offengelegt. Angreifer können damit ohne Anmeldung Prozessspeicher auslesen und Code ausführen, auch wenn die Anwendung selbst sicher ist. Unser Lagebild fasst Ursache, gefixte Versionen, Angriffswege und den 7-Punkte-Plan zusammen. Als Mitglied der Wiz Partner Alliance prüft VamiSec kurzfristig, ob Ihre Systeme betroffen sind.

• CVE-2026-109618 · CVE-2026-109619 · CVSS v4.0 9.2 · veröffentlicht am 21. Oktober 2026
• Fix: PHP 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35, danach alle PHP-Prozesse neu starten
• Lagebild, 7-Punkte-Plan und Betroffenheitsprüfung: php2shell.wiz.vamisec.com

Instandhaltung vernetzter Medizinprodukte: Fachbeitrag in mt|medizintechnik 4.2026

Im Heftschwerpunkt Instandhaltung der mt|medizintechnik (TÜV Media) beschreibt Valeri Milke, wie Hersteller und Betreiber Schwachstellen, Updates und Meldepflichten vernetzter Geräte als einen Prozess steuern. Die Meldung fasst die Kernaussagen zusammen und nennt konkrete nächste Schritte.

• mt|medizintechnik · Ausgabe 4.2026 · TÜV Media
• Heftschwerpunkt Instandhaltung · erschienen im August 2026
• Neue Wissensseite mit Vertiefung, FAQ und Quellen

KI-Risikomanagement im Medizinbetrieb: Fachbeitrag in mt|medizintechnik 2.2026

Im Heftschwerpunkt „Personalisierte Medizin“ der mt|medizintechnik (TÜV Media) beschreibt Valeri Milke, wie Betreiber die Risiken klinischer KI-Systeme erkennen, bewerten und beherrschen. Die Meldung fasst die Kernaussagen zusammen, ordnet sie in den Rechtsstand vom Oktober 2026 ein und nennt konkrete nächste Schritte.

• mt|medizintechnik · Ausgabe 2.2026 · TÜV Media
• Heftschwerpunkt „Personalisierte Medizin“ · erschienen im April 2026
• Neue Wissensseite mit Vertiefung, FAQ und Quellen

DevFest Nairobi 2026: Valeri Milke als Speaker ausgewählt — „Securing Agentic AI“ am 14. November

Auf dem DevFest Nairobi 2026 zeigt Valeri Milke in „Securing Agentic AI“, wie Entwicklerteams Berechtigungen, Werkzeuge und Vertrauensgrenzen von KI-Agenten modellieren und per Red Teaming prüfen — mit belastbaren Nachweisen, dass Kontrollen greifen. Organisiert wird die Community-Konferenz von GDG Nairobi unter dem Motto „Build. Secure. Scale.“

• Sa, 14. November 2026 · Sarit Expo Centre, Nairobi (Kenia) · Zeitplan folgt
• Talk: „Securing Agentic AI: Threat Modeling & Agentic AI Red Teaming in Practice“
• GDG Nairobi · „Build. Secure. Scale.“ · Eintritt frei, Plätze begrenzt

Neu: BaFin-Orientierungshilfe KI & IKT-Risiken — Wissensseite mit Lebenszyklus-Navigator, Fundstellen-Navigator, KI-Resilienz-Check und CISO-Whitepaper

Die unverbindliche BaFin-Orientierungshilfe vom 18. Dezember 2025 zeigt, wie Finanzunternehmen die DORA-Anforderungen auf KI-Systeme anwenden können. Unsere neue Wissensseite trennt durchgängig, was DORA und RTS verlangen, was die BaFin als bewährte Praxis beschreibt und was wir empfehlen — mit fünf interaktiven Werkzeugen und dem 50-seitigen Whitepaper „KI unter DORA für CISOs“ zum Download.

• Lebenszyklus-Navigator: sechs Phasen und zwei Querschnittsthemen mit Risiken, Rechtsankern, Prüffragen und Nachweisen
• Fundstellen-Navigator: alle 97 Fundstellen nach unserer Zählung — von DORA und RTS RMF über RTS Untervergabe und ITS Informationsregister bis zur Cloud-Aufsichtsmitteilung — durchsuchbar, als Checkliste exportierbar
• KI-Resilienz-Check: bis zu 31 Fragen in sieben Handlungsfeldern, Zielniveau nach Ihrem Profil, größte Lücken und 30/90/180-Tage-Fahrplan

Neu: EBA-Leitlinien Third-Party Risk (Non-ICT) — Wissensseite mit Scope-Navigator, Register-Builder, Readiness-Radar und CISO-Whitepaper

Die EBA hat am 18. September 2026 den Final Report EBA/GL/2026/09 veröffentlicht und löst damit die Outsourcing-Leitlinien von 2019 ab. Unsere neue Wissensseite ordnet die 128 Textziffern ein, grenzt sie gegen DORA ab und macht die Anforderungen mit drei interaktiven Werkzeugen greifbar — dazu das 30-seitige Whitepaper „Third-Party Risk für CISOs“ zum Download.

• Scope-Navigator: In fünf Fragen zum passenden Regime — DORA, Basisregime oder Vollregime
• Register-Builder: 9 Basisfelder + 8 Zusatzfelder (Tz. 61–62) abhaken, CSV-Kopfzeile kopieren
• Readiness-Radar: 10 Fragen, 5 Dimensionen, größte Lücken mit Textziffer

London, 30.09.: VamiSec spricht beim Global Cyber Summit der International Cyber Expo 2026

Agentic AI Risk Assessment in Practice: Valeri Milke zeigt auf der High-Level-Bühne der International Cyber Expo, wie MAESTRO-Threat-Modeling und AI Red Teaming zusammenspielen — und wie aus Findings auditfeste Controls werden. Der Eintritt inklusive Konferenzprogramm ist nach kostenloser Registrierung frei.

• Mi, 30. September 2026, 15:15–15:45 · Global Cyber Summit, Olympia London
• Talk: Agentic AI Risk Assessment in Practice — MAESTRO & AI Red Teaming
• 29.–30.09. · Grand Hall · kostenlose Registrierung · CPD-akkreditiertes Programm

Tallinn, 15.–16.09.: VamiSec beim Trust Services and eID Forum & CA-Day 2026

Die europäische Vertrauensdienste-Community trifft sich im Kultuurikatel: eIDAS 2.0, EUDI-Wallet-Zertifizierung, European Business Wallet, CRA- und NIS2-Schnittstellen, Post-Quantum — und der SRP-Launch für Vertrauensdiensteanbieter. VamiSec ist vor Ort und ordnet die Ergebnisse für Ihre Compliance ein.

• 15.–16. September 2026 · Kultuurikatel, Tallinn
• 12. Forum (ENISA & EU-Kommission) + 18. CA-Day (D-Trust & TÜV NORD Cert)
• EUDI Wallet bis 24.12.2026 · Akzeptanzpflichten ab Ende 2027 · PQC-Roadmap

MID-Digitale Sicherheit: 50 % Zuschuss für Pentests, Schulungen & IT-Basisschutz

Neue Übersichtsseite: Das NRW-Programm fördert IT-Sicherheitsmaßnahmen mit 50 % Zuschuss (4.000–15.000 €) — von der IST-Analyse mit Penetrationstest über Security-Schulungen bis zur Erstbeschaffung von Hard- & Software. Vergabe im monatlichen Losverfahren über die NRW.BANK — wir begleiten von der Interessensbekundung bis zum Verwendungsnachweis.

• 50 % Anteilsfinanzierung, Zuschuss 4.000–15.000 €
• Drei kombinierbare Schwerpunkte: IST-Analyse & Pentest, Faktor Mensch, IT-Basisschutz
• Auch Hard- & Software inkl. Lizenzen/Wartung bis 12 Monate förderfähig
• Monatliches Losverfahren — Interessensbekundung jederzeit möglich

MID-Digitalisierung: 50 % Zuschuss für die Entwicklung digitaler Produkte

Das NRW-Programm bezuschusst Fremdleistungen für die Entwicklung marktgängiger digitaler Produkte mit Schlüsseltechnologien wie KI mit 50 % (4.000–15.000 €), vergeben im monatlichen Losverfahren. VamiSec entwickelt als Auftragnehmer mit Security-by-Design sowie CRA- und AI-Act-Konformität ab dem ersten Sprint.

• 50 % Zuschuss auf Fremdleistungen, 4.000–15.000 €
• Pflicht: Schlüsseltechnologie wie KI/ML, Data-Mining, Echtzeit oder AR/VR
• Konkrete Zielgruppe und realistische Marktverwertung als Fördervoraussetzung
• Monatliches Losverfahren, danach 28 Tage Antragsfrist

Bis zu 15.000 € Zuschuss: GRC-Beratung über MID-Digitale Prozesse (NRW)

Das Landesprogramm „Mittelstand Innovativ & Digital“ fördert externe Beratung zur Digitalisierung Ihrer GRC-Prozesse — von Gap-Analysen zu NIS2, CRA, EU AI Act und ISO 27001 über Roadmap und Tool-Auswahl bis zur VamiGRC-Einführung. Die Förderung deckt die Beratung bis zu 100 % ab. Aufruf 2026: Anträge vom 07.09. bis 01.12.2026 über die NRW.BANK — wir begleiten den gesamten Förderprozess.

• Zuschuss: 500 € je Tagewerk, 10–30 Tagewerke, max. 15.000 €
• Förderfähig: IST-Analyse, SOLL-Konzeption, Software-Auswahl, Implementierungsbegleitung
• VamiGRC-Einführung für ISMS, AIMS, PIMS, BCMS & CSMS — nur Lizenzkosten verbleiben
• Windhundprinzip: Angebot jetzt vorbereiten, Antrag ab 07.09.2026

„Secure MCP Servers in Production“ — Vortrag auf dem MCP Dev Summit in Seoul

Valeri Milke war als Speaker auf dem MCP Dev Summit in Seoul und zeigte, wie MCP-Server sicher in Produktion betrieben werden. Wie wir MCP-Integrationen absichern, zeigt unsere MCP-Security-Seite.

VamiSec wird CrowdStrike-Partner — Falcon aus einer Hand

VamiSec ist autorisierter Implementierungs- und Reselling-Partner von CrowdStrike: Lizenzierung, Rollout und 24/7-Betrieb der KI-nativen Falcon-Plattform — von EDR/XDR über Cloud Security und Identity Protection bis MDR. Alle Details auf unserer CrowdStrike-Landingpage.

VamiSec ist autorisierter KnowBe4 Partner & Reseller — Security Awareness Training & Human Risk Management

Die VamiSec GmbH ist autorisierter KnowBe4 Partner & Reseller und bringt die weltweit größte Plattform für Security Awareness Training und Phishing-Simulationen in den DACH-Raum — von der Lizenz bis zum vollständig gemanagten Awareness-Programm...

VamiSec ist akkreditierter PECB Training Partner — über 300 offizielle Zertifizierungen (ISO 27001, NIS 2, EU AI Act & mehr)

Die VamiSec GmbH ist akkreditierter PECB Training Partner und vermittelt über 300 international anerkannte Zertifizierungen — von ISO 27001 über NIS 2 bis EU AI Act, durchgeführt von aktiven Lead Auditoren, die diese Standards täglich in Kundenprojekten leben.

VamiSec ist autorisierter OffSec-Partner für die DACH-Region — offizielle Trainings & Zertifizierungen (OSCP, OSEP, OSWE & mehr)

Die VamiSec GmbH ist autorisierter OffSec-Partner und bringt offizielle Offensive-Security-Trainings, Live-Labs und Zertifizierungen — von OSCP über OSEP bis OSWE — mit deutschsprachiger Begleitung zu Unternehmen in Deutschland, Österreich und der Schweiz.

VamiSec ist Wiz Partner für Deutschland und EMEA — mit Technical Foundations und Demo Accreditation

Die VamiSec GmbH ist offizieller Partner der Wiz Partner Alliance für die Region EMEA — gelistet im Wiz Partner Alliance Directory, mit Wiz Partner Technical Foundations Badge und Wiz Partner Demo Accreditation.

VamiSec und softScheck — Strategie trifft technische Tiefe

Valeri Milke übernimmt zusätzlich die Geschäftsführung der softScheck GmbH. VamiSec bleibt strategisches Zuhause für GRC, Compliance und Managementsysteme — softScheck ergänzt mit 20+ Jahren Produktsicherheits-Expertise (Threat Modeling, Pentest, SSDLC, Fuzzing).

VamiSec ist offizieller Wiz-Partner

Als Wiz-Partner erweitern wir unser Portfolio um marktführende Cloud-Security-Lösungen. Für unsere Kunden bedeutet das: tiefere Sichtbarkeit in AWS-, Azure- und GCP-Umgebungen, kombiniert mit strategischer GRC- und Compliance-Beratung.

Meilenstein: VamiSec ist offizieller PECB Training Partner

Ab sofort bieten wir PECB-akkreditierte Schulungen und Zertifizierungen direkt über VamiSec an — von Foundation bis Lead Auditor. Compliance lässt sich nicht delegieren: Wer ISO 27001, NIS2, CRA oder den EU AI Act wirklich leben will, braucht qualifizierte Menschen im Team — keine PDFs.

• International anerkannt: IAS-, UKAS- und ANAB-akkreditierte Zertifikate
• 300+ Trainings in ISO 27001, 42001, 22301, 27005, 27701 u. v. m.
• Beratung und Training aus einer Hand — durch Praktiker, die täglich in Projekten stehen
• Eingebunden in ein globales Netzwerk mit 2.600+ Partnern in 150+ Ländern

Grundschutz++ jetzt als Beratungsleistung verfügbar

Wir bieten ab sofort Grundschutz++ als integrierte Beratungsleistung an — die Weiterentwicklung des BSI IT-Grundschutz, verzahnt mit ISO 27001 und umgesetzt im Vami IMS Framework. Ein Managementsystem, zwei Zertifizierungsziele, ohne Doppelarbeit.

Threat Modeling für Agentic AI: Praxis-Walkthrough — PyTorch Conference Europe 2026, Paris

Auf der PyTorch Conference Europe 2026 zeigt Valeri Milke, wie MAESTRO-Threat-Modeling und OWASP LLM Top 10 für Agentic-AI-Systeme zusammenspielen — mit Live-Demo eines Prompt-Injection-Angriffs auf einen agentischen Workflow.

Valeri Milke als Speaker auf der IT-Security-Konferenz

Unser CEO Valeri Milke war als Speaker eingeladen und hat über integrierte Managementsysteme (NIS2, DORA, AI Act, CRA) und den Vami IMS-Ansatz referiert — mit praxisnahen Erfahrungen aus aktuellen Kundenprojekten.

Team-Besuch in Tunis

Ein Blick hinter die Kulissen: VamiSec zu Besuch beim Team in Tunis. Mehr Eindrücke und Meilensteine finden Sie auf unserer Über-uns-Seite.

VamiSec offiziell nach ISO/IEC 27001:2022 zertifiziert

VamiSec ist offiziell nach ISO/IEC 27001:2022 zertifiziert — durchgeführt von der Proks Certification GmbH. Geltungsbereich: Beratungsleistungen im Bereich Informationssicherheit, digitale Produkte sowie die Verarbeitung von Kundendaten. Informationssicherheit und Compliance als Basis für Vertrauen.