Guten Abend zum KDB-Tech-Update: Updates, Zugriffsrechte und digitale Abhängigkeiten
Willkommen zur Abendausgabe des KDB-Tech-Updates! Im Podcast und hier im Blog schauen wir heute auf zwei kritische PHP-Lücken, dringende Sicherheitsupdates für Fortinet und GitLab sowie einen Angriff, der über einen Microsoft-365-Backup-Dienst führte. Außerdem geht es um sicherere KI-Agenten, neue Chrome-Warnungen, digitale Souveränität und die E-Rechnung ab 2027. Die gemeinsame Frage: Wo hat ein einzelner Dienst mehr Zugriff – oder mehr Bedeutung für Deinen Betrieb –, als Dir lieb sein kann?
PHP2Shell: Jetzt prüfen, patchen und erreichbare Dienste im Blick behalten
Das BSI warnt vor zwei kritischen PHP-Schwachstellen: CVE-2026-109618 und CVE-2026-109619, zusammen als „PHP2Shell“ bezeichnet. Beide sind mit 9,2 von 10 Punkten nach CVSS 4.0 bewertet. Unter bestimmten Umständen könnten Angreifer aus der Ferne Schadcode auf betroffenen Webservern ausführen, ohne sich zuvor anzumelden. Sicherheitsupdates der PHP-Entwickler stehen bereit; aktualisierte Pakete wurden inzwischen auch für mehrere Linux-Distributionen veröffentlicht.
Die Lage hat sich gegenüber frühen Warnungen weiterentwickelt: Zunächst waren keine aktiven Angriffe bestätigt. Inzwischen berichten Sicherheitsunternehmen von zahlreichen Ausnutzungsversuchen. Ob und in welchem Umfang diese erfolgreich waren, ließ sich zum Zeitpunkt der Berichte nicht abschließend beurteilen. Millionen beobachtete Versuche sind also keine Millionen bestätigten Einbrüche – aber ganz sicher kein Grund, den Patch auf nächste Woche zu verschieben.
Für Betreiber heißt das: PHP-Version und verfügbare Sicherheitsupdates prüfen, Aktualisierung einspielen und die betroffenen Webdienste anschließend testen. Denk dabei nicht nur an offensichtliche PHP-Websites. PHP kann auch als Abhängigkeit anderer Anwendungen auf kleineren Servern installiert sein. Content-Management-Systeme wie WordPress, TYPO3, Drupal, Joomla! oder Moodle machen das Thema für viele Webauftritte relevant. Ob eine konkrete Installation betroffen ist, muss anhand ihrer tatsächlichen Umgebung geprüft werden.
Wenn ein notwendiges Update kurzfristig nicht möglich ist, empfiehlt das BSI als vorübergehende Maßnahme, den Webserver vom Internet zu trennen. Dass öffentliche Einrichtungen Dienste zeitweise abgeschaltet haben, zeigt, wie ernst sie das Risiko nehmen. Für KDB gehören bei betreuten Websites deshalb Inventarisierung, Patchplanung und ein klarer Ablauf für den Fall zusammen, dass ein Dienst vorübergehend nicht sicher erreichbar bleiben kann. Über die ersten Warnungen hatten wir bereits im vorherigen KDB-Tech-Update berichtet.
Fortinet und GitLab: Zwei weitere Update-Termine, die nicht im Kalender verstauben sollten
Fortinet hat außerplanmäßige Sicherheitsupdates für FortiOS, FortiManager und FortiAnalyzer angekündigt, die im Laufe des heutigen Donnerstags verfügbar werden sollen. Sie ergänzen bereits veröffentlichte Korrekturen für FortiMail und FortiAuthenticator. Besonders wichtig sind die Aktualisierungen für Geräte, die direkt aus dem Internet erreichbar sind – etwa weil sie als Firewall oder VPN-Gateway eingesetzt werden.
IT-Verantwortliche sollten die für ihre Produktlinie passende korrigierte Version anhand der Herstellerhinweise ermitteln und die Installation unmittelbar nach Verfügbarkeit einplanen. Falls das nicht sofort geht, empfiehlt Fortinet, administrative HTTPS- und SSH-Zugänge auf vertrauenswürdige IP-Adressen zu begrenzen oder auf extern erreichbaren Schnittstellen abzuschalten. Ein getrenntes Managementnetz reduziert die Angriffsfläche zusätzlich.
Bemerkenswert ist auch die Entdeckung: Fortinet gibt an, KI-Modelle bei der Suche nach den Schwachstellen eingesetzt zu haben. Nach Angaben des Herstellers wurden die Fehler behoben, bevor Angreifer sie ausnutzen konnten. Gleichzeitig warnt Fortinet, dass KI auch die Analyse veröffentlichter Patches durch Angreifer beschleunigen könnte. Der praktische Schluss bleibt angenehm unglamourös: Ein verfügbares Sicherheitsupdate sollte nicht erst dann installiert werden, wenn technische Angriffdetails öffentlich sind.
GitLab hat ebenfalls Updates für selbstverwaltete Installationen veröffentlicht. Die kritischste Lücke, CVE-2026-110264, bewertet GitLab mit CVSS 10,0: Unter bestimmten Bedingungen könnten nicht angemeldete Angreifer Code auf einem Server ausführen. Für die Versionszweige 19.3, 19.4 und 19.5 beheben die Releases 19.3.6, 19.4.3 und 19.5.1 insgesamt zwölf Schwachstellen. Für einige ältere Zweige gibt es dagegen nur eine Korrektur der kritischsten Lücke. Wer alle zwölf schließen möchte, muss daher auf einen der entsprechend aktualisierten neueren Zweige wechseln. Zum Zeitpunkt der Meldung waren GitLab keine Angriffe auf die kritische Schwachstelle bekannt.
Wer GitLab für Quellcode und Entwicklungsprozesse betreibt, sollte Version, Betriebsform und Updatepfad jetzt klären. GitLab.com ist der Meldung zufolge bereits gepatcht; bei selbstverwalteten Instanzen liegt die Aufgabe beim jeweiligen Betreiber.
Microsoft 365: Wenn der Backup-Dienst zum Zugangsweg wird
Microsoft berichtet, dass die China-nahe Gruppe Storm-0940 über kompromittierte Anwendungsidentitäten des Dienstes ConnectWise Cloud Backup Zugriff auf Microsoft-365-Kundenkonten erlangte. Solche Identitäten benötigen für Backups weitreichende Berechtigungen. Werden sie übernommen, kann aus einer nützlichen Integration ein Zugang zu verbundenen Mandanten werden.
Microsoft beobachtete Anmeldeversuche bei mehr als 2.250 Mandanten; die meisten scheiterten. Das Sicherheitsunternehmen Huntress bestätigte zunächst erfolgreiche Kompromittierungen bei 162 Mandanten und meldete später erfolgreiche Anmeldeversuche bei mehr als 300 der von ihm untersuchten Mandanten. Die Angreifer sollen in einigen Fällen zusätzliche Authentifizierungsschlüssel eingerichtet und Administratorrollen verändert haben. Laut Microsoft kam dabei auch das KI-agentenbasierte Werkzeug ARTEX zum Einsatz – mit begrenzter menschlicher Beteiligung. Welches KI-Modell verwendet wurde, ist nicht bekannt.
ConnectWise deaktivierte betroffene Anwendungsidentitäten, nahm den Backup-Dienst vorübergehend vom Netz und begann am 21. Oktober mit einer schrittweisen Wiederherstellung. Ein Unternehmenssprecher erklärte, es gebe keinen Hinweis auf kompromittierte Sicherungsdaten. Microsoft führt den Vorfall nicht auf eine Schwachstelle in den eigenen Systemen zurück und empfiehlt Kunden, ConnectWise-Integrationen deaktiviert zu lassen, bis deren sichere Wiederherstellung bestätigt ist. Außerdem sollen sie Anmeldeprotokolle mindestens ab dem 15. Oktober prüfen.
Für Unternehmen ist das eine wichtige Erinnerung: Nicht nur menschliche Administratorkonten verdienen regelmäßige Kontrolle. Auch App-Identitäten, Backup-Integrationen und dauerhaft erteilte Berechtigungen gehören ins Zugriffsmanagement. Genau dort setzt KDB als IT-Systemhaus und Managed Service Provider an: Integrationen müssen nachvollziehbar sein, und bei einem Vorfall braucht es einen Weg, Zugriffe zu überprüfen und nötigenfalls zu entziehen. Den grundlegenden Zusammenhang zwischen Backup-Diensten und Cloud-Rechten haben wir bereits im KDB-Tech-Update zu Cloud-Risiken und KI-Agenten beleuchtet.
KI-Agenten: Das Postfach sortieren ja – den Generalschlüssel verteilen lieber nicht
Ein täglicher KI-Assistent kann neue E-Mails zusammenfassen und etwa in „dringend“, „Antwort nötig“ und „nur zur Info“ einordnen. Das ist ein sinnvoller Ansatz für wiederkehrende Büroarbeit. Bevor Du dafür ein Geschäftspostfach verbindest, solltest Du allerdings klären, welche Werkzeuge am Arbeitsplatz erlaubt sind und welche Datenzugriffe sie erhalten. Die automatische Übersicht erleichtert das Sichten; die eigene Prüfung des Postfachs ersetzt sie nicht.
Wie sich Agentenzugriffe enger gestalten lassen, zeigt die Ankündigung „1Password for Agents“. Ein Agent soll damit für einen konkreten Login eine Freigabe anfragen können. Nach Zustimmung der nutzenden Person übermittelt 1Password die Zugangsdaten nach eigener Darstellung direkt an das Anmeldeformular, ohne dem Agenten das Passwort offenzulegen. Preise und konkrete Starttermine für die einzelnen Integrationen wurden nicht genannt; wie gut die Kontrollen im Alltag funktionieren, muss sich mit deren Einführung zeigen.
Beide Meldungen führen zum gleichen Grundsatz: Automatisierung braucht begrenzte Berechtigungen und menschliche Freigaben an den richtigen Stellen. Wer einem Agenten Aufgaben überträgt, sollte nicht automatisch das gesamte Postfach, jeden Login und sämtliche Verwaltungsrechte mitübergeben. Bei KDB betrachten wir KI deshalb zusammen mit Prozessgestaltung und IT-Sicherheit – nicht als Abkürzung um Zugriffskontrollen herum.
Web und Smartphone: HTTPS wird sichtbarer, eine Fake-App warnt vor Routineklicks
Mit Chrome 155 will Google „Immer verschlüsselte Verbindungen verwenden“ auf Desktopgeräten und Android standardmäßig aktivieren. Chrome versucht dann zuerst HTTPS. Ist eine Website nur über unverschlüsseltes HTTP erreichbar, soll der Browser vor dem Verbindungsaufbau um Zustimmung bitten. Für lokale IP-Adressen und einteilige Hostnamen wie „intranet/“ ist standardmäßig keine solche Warnung vorgesehen.
Für Website-Betreiber ist das ein weiterer Anlass, öffentlich erreichbare Seiten und Weiterleitungen konsequent auf HTTPS zu prüfen. Eine HTTP-Seite wirkt mit der neuen Abfrage nicht nur altmodisch, sie schafft auch eine vermeidbare Hürde für Besucher. Chrome 155 soll zudem zahlreiche Sicherheitslücken schließen. Zusätzliche Schutzfunktionen gegen Betrugsseiten und sogenannte ClickFix-Angriffe sind an den erweiterten Schutzmodus gebunden.
Aus dem Google Play Store wurde unterdessen eine gefälschte WhatsApp-App entfernt, die laut Bericht rund 500.000 Downloads erreichte und zeitweise sogar vor dem Original in der Suche erschien. Name und Symbol sahen der echten App ähnlich; der angegebene Entwickler war jedoch nicht „WhatsApp LLC“. Wozu die Fake-App genau diente, blieb unklar. Wer sie installiert hat, sollte sie deinstallieren, das Smartphone mit vertrauenswürdiger Sicherheitssoftware prüfen, seit der Installation verwendete Konten vorsorglich absichern und auf verdächtige Aktivitäten achten. Ein offizieller App-Store ist hilfreich – aber kein Ersatz für einen kurzen Blick auf den Entwickler.
Plattformen, Inhalte und KI-Kennzeichnung: Wer behält die Kontrolle?
Europäische Verlegerverbände wenden sich gegen geplante Änderungen an Metas Geschäftsbedingungen für Facebook- und Instagram-Geschäftskonten, die am 30. Oktober in Kraft treten sollen. Sie befürchten, dass Meta damit weitreichende Möglichkeiten zur automatisierten Auswertung auch extern verlinkter redaktioneller Inhalte erhält, und fordern eine Prüfung durch die EU-Kommission. Meta bestreitet die Vorwürfe. Obwohl das Unternehmen eine ausdrückliche Formulierung zum KI-Training gestrichen hat, halten die Verbände die verbleibenden Klauseln weiterhin für problematisch.
Für Unternehmen mit Content-Marketing und Social-Media-Präsenz zeigt der Streit ein bekanntes Spannungsfeld: Plattformen bringen Reichweite, die Regeln für Inhalte und deren Nutzung liegen aber nicht allein in Deiner Hand. Eine eigene Website bleibt deshalb ein wichtiger, selbst gestaltbarer Mittelpunkt der Kommunikation. Social Media kann Besucher dorthin führen – es sollte nicht der einzige Ort sein, an dem Deine Inhalte auffindbar sind.
OpenAI hat außerdem angekündigt, künftig ChatGPT-Texte mit unsichtbaren Wasserzeichen zu versehen. Solche statistischen Muster sollen KI-generierte Texte maschinenlesbar erkennbar machen. Ihre Aussagekraft hat Grenzen: Kurze Texte bieten weniger Material für eine Erkennung, und Überarbeitungen können die Spur verwischen. Ein möglicher Detektor würde daher eher eine Wahrscheinlichkeit liefern als einen sicheren Herkunftsnachweis. Für die redaktionelle Praxis gilt: Herkunftskennzeichnung ist hilfreich, ersetzt aber weder Faktenprüfung noch verantwortliche Bearbeitung.
Digitale Souveränität und Open Source: Von der Office-Plattform bis zur barrierefreien Website
Die Open-Source-Büroplattform OpenDesk stößt auf großes Interesse: Nach Informationen des Handelsblatts wurden Lizenzen für mehr als 200.000 Arbeitsplätze verkauft. Ihr Anbieter ZenDiS will Einführung und Betreuung stärker mit externen IT-Dienstleistern ausbauen. OpenDesk bündelt unter anderem Textverarbeitung, Tabellenkalkulation, E-Mail und Cloud-Speicher. Eine selbst betriebene Community Edition verlangt allerdings technisches Wissen und eine geeignete Serverumgebung; sie ist nicht einfach ein Office-Programm zum Installieren auf dem PC.
Für Organisationen, die digitale Abhängigkeiten verringern möchten, ist das eine interessante Option – aber kein Wechsel per Knopfdruck. Migration, Integration, Betrieb und Support müssen zum bestehenden Arbeitsalltag passen. Der geplante reguläre Cloud-Betrieb eines Partners aus europäischen Rechenzentren ist für Anfang 2027 vorgesehen; erste Pilotangebote sind verfügbar.
Wie praktisch Open Source in der Verwaltung sein kann, zeigen zudem die ausgezeichneten Projekte des OSBA-Wettbewerbs. Besonders nah an KDBs Arbeit rund um Webdesign und Digitalisierung liegt KoliBri: Die Komponentenbibliothek stellt geprüfte Bausteine für barrierefreie Websites und Onlinedienste bereit, die sich über Themes an ein Corporate Design anpassen lassen. Ebenfalls ausgezeichnet wurden unter anderem der Dokumenten-KI-Assistent F13 und BaKIM, das Drohnenaufnahmen zur Analyse von Bäumen nutzt. Offenheit ist hier kein Selbstzweck: Entscheidend ist, ob daraus wartbare und für Menschen nutzbare digitale Angebote entstehen.
E-Rechnung ab 2027: Aus einem PDF wird nicht durch guten Willen ein Datenformat
Zum Schluss eine Frist, die Unternehmen jetzt in ihre Prozessplanung aufnehmen sollten. Seit dem 1. Januar 2025 müssen inländische Unternehmen grundsätzlich E-Rechnungen empfangen können. Ab dem 1. Januar 2027 müssen Unternehmen mit mehr als 800.000 Euro Gesamtumsatz im vorangegangenen Kalenderjahr bei erfassten inländischen B2B-Umsätzen grundsätzlich E-Rechnungen ausstellen. Für Unternehmen mit höchstens 800.000 Euro Vorjahresumsatz läuft die Übergangsregelung grundsätzlich bis Ende 2027; ab 2028 gilt die Ausstellungspflicht grundsätzlich auch für sie. Ausnahmen bestehen unter anderem für Kleinbetragsrechnungen bis 250 Euro und für die Ausstellung durch Kleinunternehmer.
Wichtig: Ein per E-Mail verschicktes Standard-PDF ist keine E-Rechnung im geforderten Sinne. Dafür braucht es ein strukturiertes, maschinenlesbares Format nach den maßgeblichen Vorgaben, beispielsweise XRechnung oder ZUGFeRD. Wer Rechnungen bislang manuell erstellt, sollte deshalb nicht nur den Versand prüfen, sondern den gesamten Ablauf vom Eingang über die Verarbeitung bis zur Ablage. Die Details erläutert das Bundesfinanzministerium in seinen FAQ zur E-Rechnung.
Unser Fazit für den Abend: PHP, Fortinet und GitLab gehören auf die aktuelle Patchliste. Cloud- und KI-Integrationen gehören auf die Liste der zu prüfenden Berechtigungen. Und E-Rechnung, Website-Sicherheit sowie digitale Souveränität gehören in eine vernünftige Prozessplanung. Klingt nach Arbeit? Ist es au. Aber planbare Arbeit ist meistens deutlich angenehmer als ein ungeplanter Ausfall.
