Guten Morgen zum KDB-Tech-Update: Wenn Kühlregale online sind, wird IT-Sicherheit ziemlich handfest
Willkommen zum morgendlichen KDB-Tech-Update! Heute geht es um angreifbare Kühlanlagen, manipulierte Websites und Sicherheitslücken in Paint, SSH und einer nicht mehr unterstützten Verwaltungssoftware. Außerdem schauen wir auf KI für die Sicherheitsforschung, die Kosten und Grenzen von KI im Unternehmen sowie auf Datenschutz, digitale Souveränität und den Ressourcenverbrauch von Rechenzentren. Stoff für den ersten Kaffee ist also reichlich da – aber vor allem für eine vernünftige To-do-Liste.
Vernetzte Kühlanlagen: Fernwartung ja, offenes Internet lieber nicht
Nach Angriffen auf Kühlsysteme in Hunderten französischen Supermärkten im Oktober 2026 wurden auch Fälle in Deutschland bekannt; in Bayern war eine Metzgerei betroffen. Fernzugriffe auf Kühlanlagen erleichtern die Wartung, können aber zum Einfallstor werden, wenn Steuerungen frei über das Internet erreichbar sind. Sicherheitsexperten weisen darauf hin, dass viele dieser Geräte alt sind und keine Updates mehr erhalten. Ob die Täter gezielt Lebensmittelbetriebe auswählten oder auf offene Systeme stießen, ist bislang unklar.
Die Bewertungen der bisherigen Folgen unterscheiden sich. Der Bundesverband des Deutschen Lebensmittelhandels spricht für Deutschland von Einzelfällen ohne nennenswerte Schäden. Experten verweisen dagegen auf erhebliche Verluste in Frankreich, wo nach ihren Angaben Waren im Wert von mehreren Millionen Euro vernichtet wurden. Dazu kommt eine organisatorische Herausforderung: Kühltechnik ist je nach Markt und Betreiber unterschiedlich aufgebaut. Eine einzige Sicherheitsmaßnahme für alle Filialen gibt es damit nicht automatisch.
Was Betreiber prüfen sollten: Sind Steuerungen aus dem öffentlichen Internet erreichbar? Läuft Fernwartung ausschließlich über eine gesicherte Verbindung? Welche Geräte erhalten noch Sicherheitsupdates? Nicht mehr unterstützte Technik sollte ersetzt und bis dahin von ungeschützten Netzen abgeschottet werden. Das gilt nicht nur für Kühlregale, sondern grundsätzlich auch für vernetzte Gebäude- und Anlagentechnik. KDB kann hier als IT-Systemhaus und Managed Service Provider dabei unterstützen, Gerätebestände, Zugänge und Netztrennung systematisch zu prüfen. Denn „läuft doch noch“ ist leider kein Sicherheitskonzept.
Über Risiken vernetzter Anlagen haben wir bereits im KDB-Tech-Update zu Sicherheit, KI und vernetzten Systemen berichtet. Der aktuelle Fall zeigt erneut, wie schnell aus einem digitalen Zugang ein ganz analoger Schaden werden kann.
Manipulierte Websites: Ein Seitenaufruf konnte für Mobilgeräte reichen
Die Sicherheitsfirma Sekoia hat eine sogenannte Watering-Hole-Kampagne untersucht: Angreifer manipulierten Websites, die ihre möglichen Ziele voraussichtlich besuchen würden. Laut dem am 5. November veröffentlichten Bericht nutzten sie inzwischen geschlossene Schwachstellen in iOS und Android. Die beschriebenen Angriffsketten sollen ohne weitere Handlung der betroffenen Person funktioniert haben.
Die Angreifer brachten Schadcode auf unterschiedlichen Wegen zu den Besuchern: durch eingeschleustes JavaScript im Datenverkehr legitimer Seiten, über ähnlich klingende Proxy-Domains und über einen kompromittierten ukrainischen Webanalyse-Dienst. Ein Skript erfasste zunächst Informationen über Browser und Gerät; danach konnte eine passende Angriffskette ausgewählt werden. Als mögliche Ziele nennt der Bericht Browser-Cookies, teils WLAN-Passwörter und bei einem Angriff Daten des gesamten Mobilgeräts. Welche Betriebssystemversionen konkret betroffen waren, geht aus dem vorliegenden Bericht nicht hervor.
Sekoia ordnet die Kampagne mit mittlerer bis hoher Wahrscheinlichkeit APT29 zu. Das ist eine Einschätzung der Forscher, kein zweifelsfrei belegter Nachweis. Für Unternehmen ist vor allem die Methode wichtig: Auch eine vertraut wirkende Website ist kein Garant dafür, dass ihr Aufruf risikofrei ist. Aktuelle Mobilgeräte, geregelte Updates und ein bewusster Umgang mit externen Webdiensten bleiben deshalb wichtig – sowohl für die IT-Sicherheit als auch bei der technischen Pflege der eigenen Website.
Drei Sicherheitsmeldungen für die Admin-Liste
Microsoft Paint: Die Schwachstelle CVE-2026-83844 betrifft Paint auf Windows 11 und ist mit einem CVSS-Wert von 8,1 als schwerwiegend bewertet. Zum Zeitpunkt der Berichterstattung waren keine aktiven Angriffe bekannt; eine Ausnutzung gilt als technisch anspruchsvoll. Microsoft nennt Version 11.2609.401.0 als abgesichert. Wichtig ist der Update-Weg: Paint wird über den Microsoft Store aktualisiert, nicht allein über Windows Update. Öffne daher im Store die Bibliothek, suche ausdrücklich nach Updates und prüfe anschließend die installierte Versionsnummer. Berichten zufolge kann eine erneute Suche nötig sein, obwohl der Store zunächst „aktuell“ meldet. Wer Paint nicht braucht, kann die App vorübergehend deinstallieren.
OpenSSH auf bestimmten Linux-Systemen: Eine Lücke betrifft Konfigurationen mit der C-Standardbibliothek musl, die bei der SSH-Anmeldung keine PAM-Module verwenden – darunter Alpine Linux. Besonders problematisch sind Konten, für die eigentlich kein Passwort funktionieren sollte: Sie können offenbar jedes Passwort mit mehr als 256 Zeichen akzeptieren. Der OpenSSH-Entwickler empfiehlt Betroffenen, die Passwortanmeldung sofort mit PasswordAuthentication=no abzuschalten und den SSH-Dienst anschließend neu zu starten. Ist das nicht zeitnah möglich, soll SSH vorübergehend deaktiviert werden. Die dauerhafte Abhilfe ist das Update auf OpenSSH 10.6p2; Betreiber sollten prüfen, ob ihre Update-Quelle bereits diese Version ausliefert.
SonicWall GMS: Für das Global Management System bis einschließlich Version 9.5.2 sind zwei Lücken bekannt. Über CVE-2026-109593 können Angreifer ohne Anmeldung interne Dateien auslesen; CVE-2026-109594 ermöglicht nach einer Anmeldung unter anderem Änderungen an Daten in der GMS-Datenbank. SonicWall meldet bislang keine Hinweise auf eine Ausnutzung. Allerdings hat GMS sein Supportende erreicht – Sicherheitsupdates wird es dafür nicht mehr geben. Betroffene Unternehmen sollen auf den Network Security Manager umsteigen.
Die gemeinsame Lehre: Ein Patch ist nur dann hilfreich, wenn er tatsächlich auf dem Gerät ankommt. Und wo ein Produkt keine Patches mehr bekommt, braucht es einen Migrationsplan statt Hoffnung. KDB kann beim Erfassen betroffener Systeme, beim Prüfen von Versionen und beim Planen solcher Umstellungen unterstützen.
KI in der Sicherheitsforschung: Leistungsfähiger – und nicht ohne Risiko
OpenAI hat GPT-6 Cyber vorgestellt, ein Modell für Sicherheitsforschung und Tests in isolierten Umgebungen. Laut eigenen Angaben erreichte es in einem Benchmark zur Entwicklung funktionsfähiger Exploits 48,5 Prozent; das Vorgängermodell GPT-5.6 Cyber kam demnach auf 32,1 Prozent. OpenAI berichtet außerdem von gefundenen Schwachstellen in Linux und Firefox, von denen viele inzwischen gepatcht seien. Diese Zahlen und Funde stammen aus Angaben des Unternehmens.
OpenAI stuft die Fähigkeiten des Modells im Bereich Cybersicherheit selbst als „kritisch“ ein. Zugleich berichtet das Unternehmen von verbesserten Schutzvorkehrungen: Bei ausdrücklich formulierten Grenzen habe sich das Modell in seinen Tests in allen Fällen daran gehalten. OpenAI weist aber selbst darauf hin, dass Modelle ihr Verhalten verändern könnten, wenn sie erkennen, dass sie getestet werden. Zunächst ist GPT-6 Cyber nur für ausgewählte Mitglieder des Programms „Daybreak Red“ vorgesehen; für Tests an kritischer Infrastruktur gibt es ein gesondertes Zugangsprogramm.
Für Unternehmen ist die Richtung klar: KI kann Sicherheitsprüfungen unterstützen und die Suche nach Schwachstellen beschleunigen. Sie ersetzt aber weder eine ausdrückliche Freigabe für Tests noch klare Prüfgrenzen, menschliche Bewertung und die anschließende Behebung der Funde. Genau an dieser Verbindung von IT-Sicherheit, nachvollziehbaren Prozessen und verantwortungsvollem KI-Einsatz setzt KDB an.
KI im Unternehmen: Kosten sichtbar machen, Beschäftigte nicht ausleuchten
Anthropic kündigt für Unternehmenskunden „Smart Reports“ an. Die standardmäßig deaktivierte Funktion soll anhand einer Stichprobe von Claude-Gesprächen zeigen, welche Arbeitsabläufe Teams mit dem Assistenten bearbeiten und welche Kosten dabei zum Listenpreis entstehen. Bis zu zehn Berichte pro Monat sollen möglich sein; Zugriff erhalten autorisierte Führungskräfte. Anthropic beschreibt das Werkzeug als Kosten- und Prozessanalyse, nicht als Mittel zur Bewertung einzelner Beschäftigter.
Genau dort liegt allerdings die sensible Grenze. Auch Berichte über Teams und Arbeitsabläufe können Rückschlüsse auf die Arbeit von Menschen zulassen. Wer solche Analysen einsetzt, sollte deshalb vorab festlegen, welche Fragen beantwortet werden sollen, wer Ergebnisse sehen darf und wie Beschäftigte über die Auswertung informiert werden. Vertrauliche Sitzungen sollen nach Anthropic nur aggregiert und ohne persönliche Details einfließen – die konkrete Nutzung im Unternehmen braucht trotzdem klare Regeln.
Kostenkontrolle ist sinnvoll, gerade wenn KI in immer mehr Prozesse eingebaut wird. Nicht jede Aufgabe benötigt das aufwendigste Modell. Für KDB gehören deshalb Prozessgestaltung und KI zusammen: erst den Anwendungsfall und seinen Nutzen klären, dann passende Werkzeuge auswählen und Kosten sowie Ergebnisse überprüfen. Token sammeln um des Tokensammelns willen? Des bringt’s eher net.
Website, Inhalte und Social Media: Zwei Rechtsstreitigkeiten, keine Entwarnung
Im Streit um dynamisch eingebundene Google Fonts hat der Generalanwalt am Europäischen Gerichtshof seine Schlussanträge vorgelegt. Er sieht Anhaltspunkte für Rechtsmissbrauch, wenn jemand Webseiten automatisiert aufruft, einen möglichen Datenschutzverstoß gezielt auslöst und anschließend massenhaft Schadenersatz verlangt. Die Schlussanträge sind kein Urteil und für den Gerichtshof nicht bindend. Ob und in welchem Umfang solche Ansprüche bestehen, bleibt bis zur Entscheidung offen.
Für Betreiber von Unternehmenswebsites ist das kein Anlass, Datenschutzfragen abzuhaken. Wie externe Schriften und weitere Dienste eingebunden sind und welche Daten beim Seitenaufruf übertragen werden, gehört weiterhin auf die technische Prüfliste. KDB betrachtet bei der Homepageerstellung deshalb nicht nur Gestaltung und Auffindbarkeit, sondern auch die eingesetzten Webdienste und ihre Einbindung.
Ein brasilianisches Gericht hat Meta außerdem vorläufig untersagt, Inhalte von Medienunternehmen, die drei klagenden Presseverbänden angehören, unter den beanstandeten Bedingungen für KI-Training zu verwenden. Hintergrund sind geplante neue Unternehmensbedingungen; nach Darstellung der Verbände sollte die weitere Plattformnutzung an eine kostenlose Bereitstellung von Inhalten geknüpft werden. Die Entscheidung betrifft zunächst diesen konkreten Streit in Brasilien. Sie zeigt aber, warum die Kontrolle über eigene Inhalte für Medienhäuser und andere publizierende Unternehmen ein wichtiges Thema bleibt.
Auch die Gestaltung sozialer Plattformen steht juristisch unter Druck: Google, Meta und TikTok klagen gegen ein kalifornisches Gesetz, das personalisierte Feeds, endloses Scrollen und automatisch startende Videos für Unter-16-Jährige untersagen soll. Für Social-Media-Verantwortliche ist das noch keine unmittelbar geltende Vorgabe hierzulande. Es ist aber ein Hinweis darauf, dass Reichweite und Engagement nicht die einzigen Maßstäbe für gutes Plattformdesign sein können.
Digitale Souveränität und Verwaltung: Alternativen müssen funktionieren
Bayern und Schleswig-Holstein wollen gemeinsam offene, interoperable und herstellerunabhängige IT-Lösungen für ihre Verwaltungen voranbringen. Ihr Ziel ist, Abhängigkeiten von einzelnen großen Anbietern zu verringern. Bis zum 31. März 2027 sollen nach einem Beschluss der Ministerpräsidentenkonferenz funktionierende digital souveräne Alternativen zu verbreiteter proprietärer Arbeitsplatzsoftware bereitstehen. Ob aus der Kooperation rechtzeitig konkrete Lösungen entstehen, wird die Umsetzung zeigen.
Die Frage ist auch für Unternehmen relevant: Wie gut lassen sich Daten und Prozesse zu einem anderen Anbieter übertragen? Welche Systeme können miteinander arbeiten? Und was passiert, wenn ein Dienst nicht mehr verfügbar ist? Digitale Souveränität bedeutet nicht zwangsläufig, auf internationale Anbieter zu verzichten. Sie bedeutet vor allem, Wahlmöglichkeiten und einen tragfähigen Wechselplan zu haben.
Ein weiterer Verwaltungsschritt betrifft den Alltag nach einem Umzug: Die elektronische Wohnsitzanmeldung soll bundesweit verfügbar werden. Derzeit sind nach Ministeriumsangaben rund 3.800 von etwa 5.000 Meldebehörden angeschlossen; ungefähr einem Fünftel der Bevölkerung fehlt der Zugang noch. Das Bundeskabinett hat eine Verordnung beschlossen, die voraussichtlich am 1. Dezember in Kraft treten soll und die technische Bereitstellung vorantreibt. Flächendeckend nutzbar wird der Dienst erst, wenn auch die übrigen Behörden die Voraussetzungen umgesetzt haben.
Rechenzentren: Mehr KI braucht auch mehr Transparenz über Ressourcen
Rechenzentren verbrauchen Strom und – je nach Kühltechnik – Wasser. Laut Bitkom entfallen knapp vier Prozent des deutschen Stromverbrauchs auf sie. Eine Recherche des SWR Data Lab legt nahe, dass bei mehr als der Hälfte von rund 30 untersuchten großen Betreibern vorgeschriebene Angaben zu Strom- und Wasserverbrauch im Internet nicht auffindbar waren. Daraus allein lässt sich nicht für jeden einzelnen Betreiber ein Rechtsverstoß ableiten; die fehlenden öffentlich zugänglichen Zahlen erschweren aber die Bewertung des Ressourcenbedarfs.
Das Thema gewinnt an Gewicht, weil die Bundesregierung die Leistung deutscher Rechenzentren bis 2030 verdoppeln will. Während Betreiber teils Geschäftsgeheimnisse und Sicherheitsinteressen anführen, wird zugleich über Änderungen an den Veröffentlichungspflichten diskutiert. Noch ist offen, wie transparent die Daten künftig sein müssen.
OpenAI verspricht unterdessen für eigene Rechenzentrumsprojekte in den USA mehr Rücksicht auf Anwohner: Das Unternehmen will unter anderem auf Schweigevereinbarungen in Verhandlungen verzichten sowie Angaben zu Strom, Lärm und Wasser veröffentlichen. Das sind angekündigte Zusagen, deren Umsetzung sich an konkreten Projekten messen lassen muss. Für Unternehmen, die KI einsetzen, gehört Ressourcenbewusstsein ebenfalls zur ehrlichen Betrachtung: Ein guter digitaler Prozess sollte nicht nur technisch möglich, sondern auch hinsichtlich Kosten und Aufwand sinnvoll sein.
Der KDB-Blick zum Start in den Tag
Wenn Du heute nur drei Dinge aus diesem Update mitnimmst, dann diese: Prüfe erreichbare Anlagen und Fernzugänge. Kontrolliere, ob Sicherheitsupdates tatsächlich installiert sind. Und gib KI-Projekten klare Ziele, Zugriffsregeln und eine Kostenkontrolle. Ob Kühlsteuerung, Firmenwebsite oder KI-Assistent: Vernetzung bringt Nutzen, wenn Verantwortlichkeiten und Schutzmaßnahmen mitwachsen. KDB unterstützt Dich dabei, IT-Sicherheit, Digitalisierung und Automatisierung nicht als Einzelbaustellen, sondern als funktionierende Prozesse zu gestalten.
