Guten Morgen zum KDB-Tech-Update: Patches, KI-Agenten und digitale Verantwortung
Es ist Donnerstagmorgen, der 12. November 2026 – und bevor der erste Kaffee kalt wird, gibt es einiges zu sortieren. Im heutigen KDB-Tech-Update und im Podcast geht es um bereits ausgenutzte Sicherheitslücken in Chrome und Outlook, um KI-Agenten als Beschleuniger für Cyberangriffe und um öffentlich erreichbare Apps aus einem KI-Baukasten. Außerdem schauen wir auf neue Werkzeuge für den Büroalltag, Unternehmensprofile in ChatGPT und geplante EU-Regeln für faire digitale Angebote.
Die KDB-Perspektive zieht sich durch alle Themen: Technik soll Arbeit erleichtern, nicht unbemerkt Daten veröffentlichen, Rechte aushebeln oder Sicherheitsaufgaben auf „machen wir später“ verschieben. Also: erst die dringenden Updates, dann die strategischen Fragen.
Chrome und Microsoft: Zwei bereits ausgenutzte Lücken gehören auf die Tagesliste
Google hat ein dringendes Update für Chrome veröffentlicht. Es schließt neun Schwachstellen; eine davon, CVE-2026-125350, wird nach Angaben des Unternehmens bereits aktiv ausgenutzt. Sechs weitere Lücken gelten als hochriskant. Für Windows und macOS nennt Google die korrigierten Versionen 157.0.8103.50 und 157.0.8103.51, für Linux 157.0.8103.50. Welche Version installiert ist, kannst Du in Chrome unter „Über Google Chrome“ prüfen.
Auch bei anderen Chromium-basierten Browsern wie Edge, Brave und Vivaldi lohnt sich ein Blick auf verfügbare Aktualisierungen. Dass sie dieselbe technische Grundlage nutzen, bedeutet nicht, dass jedes Update zeitgleich bereitsteht. Prüfen statt raten ist hier die bessere Strategie.
Beim Microsoft-Patchday ist vor allem Outlook dringend: Die Schwachstelle CVE-2026-124194 wird laut Microsoft ebenfalls bereits angegriffen. Eine präparierte Office-Datei in einer geöffneten E-Mail kann Outlook dazu bringen, ohne die übliche Warnung eine Verbindung zu einem Angreifer-Server aufzubauen. Dabei kann ein NTLMv2-Hash abfließen, der für eine Anmeldung im Namen des betroffenen Nutzers missbraucht werden könnte. Laut dem vorliegenden Bericht reicht die bloße Anzeige der Nachricht in der Vorschau dafür nicht aus.
Weitere Microsoft-Korrekturen betreffen unter anderem Excel und die Windows-Suchkomponente. Bei Letzterer beschreibt der Bericht ein Angriffsszenario, in dem ein präparierter Anhang automatisch verarbeitet werden kann, ohne dass Empfänger die E-Mail öffnen. Für Unternehmen heißt das: Updates nicht nur auf einzelnen Arbeitsplätzen betrachten, sondern auch die eingesetzte Server- und Office-Umgebung einbeziehen.
Der KDB-Blick: Ein funktionierender Update-Prozess braucht Übersicht, Prioritäten und eine Kontrolle, ob die Installation tatsächlich geklappt hat. „Automatische Updates sind bestimmt an“ ist als Sicherheitskonzept halt ein bissle dünn. Über den Zusammenhang zwischen aktuellen Systemen und weiteren digitalen Risiken haben wir auch im vorherigen KDB-Tech-Update berichtet.
Adobe-Patchday: Besonders Connect und Experience Manager prüfen
Adobe hat Sicherheitsupdates für neun Produkte bereitgestellt, darunter Connect, Experience Manager, Photoshop, Premiere, After Effects, Audition und Media Encoder. Für eine aktive Ausnutzung der nun geschlossenen Schwachstellen liegen laut den bereitgestellten Informationen bislang keine Hinweise vor. Entwarnung ist das nicht: In Adobe Connect unter Windows erreichen fünf Lücken den maximalen CVSS-Wert von 10; insgesamt stuft Adobe 17 Connect-Schwachstellen als kritisch ein. Je nach Lücke sind unter anderem höhere Berechtigungen oder die Ausführung von Schadcode möglich.
Auch Experience Manager weist vier als kritisch bewertete Schwachstellen auf. Für Kreativteams sind zudem die Updates der täglich genutzten Produktionsprogramme relevant. Welche Version erforderlich ist, hängt vom jeweiligen Adobe-Produkt und Betriebssystem ab. Wer Connect oder Experience Manager betreibt, sollte die zugehörigen Adobe-Sicherheitsmitteilungen deshalb mit besonderer Priorität prüfen; für Design- und Medienteams gehört die Aktualisierung der Anwendungen ebenso auf die Liste.
KI-Agenten machen bekannte Angriffsmethoden schneller
Das CERT-EU warnt vor Cyberangriffen mit agentischen Frameworks wie Artex. Die Angriffstechniken selbst sind nicht grundsätzlich neu. Neu ist, wie schnell sich einzelne Schritte planen, auf Werkzeuge verteilen, ausführen und bei Misserfolg anpassen lassen. Ein menschlicher Bediener kann ein übergeordnetes Ziel vorgeben; ein Orchestrator-Agent zerlegt es anschließend in Teilaufgaben für weitere Agenten.
Das kann die Zahl paralleler Angriffe erhöhen und auch weniger erfahrenen Angreifern komplexe Abläufe zugänglich machen. Artex war ursprünglich für autorisierte Penetrationstests entwickelt worden. Nach Berichten über schädliche Einsätze entfernte der ursprüngliche Autor das Repository im Oktober 2026; Kopien und Weiterentwicklungen kursieren jedoch weiter. Microsoft berichtete zudem über Artex-Kampagnen gegen Finanzorganisationen.
Für die Verteidigung ist die entscheidende Frage nicht, ob ein Angriff „mit KI“ etikettiert ist. Entscheidend ist, ob ungewöhnliche Zugriffe und verdächtige Abläufe rechtzeitig erkannt werden und Zuständigkeiten für eine Reaktion klar sind. Gerade in Umgebungen mit vielen Identitäten und Berechtigungen kann Tempo zum Problem werden. KDB verbindet deshalb IT-Sicherheit mit sauber gestalteten Prozessen: Wer darf was, woran fällt Missbrauch auf und wer handelt, wenn etwas nicht passt?
Grok-Build-Apps: Ein schwer erratbarer Link ist keine Zugriffskontrolle
Ein konkretes Beispiel für Risiken bei KI-gestützter Entwicklung liefert die Untersuchung des Sicherheitsunternehmens Claroc. Mehr als 35.000 mit Grok Build erstellte Webanwendungen waren demnach für Dritte ohne Anmeldung erreichbar. Auf Basis einer Stichprobe schätzen die Forscher, dass 650 bis 800 dieser Apps private oder vertrauliche Informationen enthielten. Gefunden wurden unter anderem Kundeninformationen, Mitarbeiterlisten und in einem Fall Passwörter von 18 Nutzerkonten direkt im Programmcode.
Die Freigabelinks waren nicht so verborgen, wie sie wirkten: Die zufällige Kennung stand in einer eigenen Webadresse nach dem Muster „zufallsname.grok.me“. Solche Domainnamen können über öffentliche passive DNS-Datenbanken auffindbar werden. Hinzu kommt laut Claroc, dass bei regulären Konten nach dem Veröffentlichen standardmäßig jede Person mit dem Link zugreifen kann, sofern die Einstellung nicht aktiv geändert wird. Der Anbieter erklärte, Apps müssten zunächst ausdrücklich veröffentlicht werden und seien nicht von Anfang an öffentlich.
Claroc fand außerdem Schwächen im erzeugten Code, etwa unzureichend geschützte Schreibzugriffe und eine Teamaufnahme ohne Einladung. Das sind zwei getrennte Baustellen: Wer kann die App erreichen – und was darf eine erreichte Person darin tun? Für Unternehmen, die mit KI interne Helfer, Kundenportale oder Automatisierungen bauen, folgt daraus eine klare Prüfliste: Freigaben kontrollieren, Testdaten statt Echtdaten verwenden, Geheimnisse nicht im Code hinterlegen und Berechtigungen vor dem produktiven Einsatz testen. Schnell gebaut ist gut. Sicher veröffentlicht ist besser.
KI im Arbeitsalltag: Claude erweitert den Werkzeugkasten, AWS hilft beim Testen
Anthropic baut Claude zu einer umfassenderen Arbeitsumgebung aus. Claude Whiteboards sollen bei Planung und Brainstorming helfen, Claude Sheets beim Erstellen und Bearbeiten von Tabellen und Claude Data bei der Arbeit mit angebundenen Datenquellen wie CRM oder Data Warehouse. Mit Claude Meetings kommen Funktionen für Fragen, Notizen und To-dos während beziehungsweise nach Videokonferenzen hinzu. Meetings startet laut Bericht zunächst als Beta für Team und Enterprise und unterstützt zum Start Google Meet.
Das kann Medienbrüche in digitalen Abläufen verringern. Die Grenzen gehören aber dazu: Claude Sheets ist derzeit auf 100.000 Zellen pro Tabellenblatt begrenzt; auf Mobilgeräten lassen sich Tabellen zunächst nur lesen. Und sobald eine KI auf Unternehmensdaten oder verbundene Anwendungen zugreift, werden Berechtigungen, Datenqualität und menschliche Prüfung wichtiger – nicht weniger wichtig.
Passend dazu hat AWS das kostenlose Open-Source-Werkzeug Universal Agent Evaluation Framework (UAEF) veröffentlicht. Es vereinheitlicht Protokolle unterschiedlicher Agenten-Frameworks und vergleicht Testläufe anhand von 36 Messgrößen, etwa für Antwortqualität, Werkzeugnutzung, Sicherheit und Geschwindigkeit. Verschlechtert sich ein Wert um mehr als fünf Prozent, markiert das Werkzeug einen Rückschritt. KI-gestützte Bewertungen und die Speicherung der Ergebnisse sind allerdings an AWS-Dienste gebunden. AWS weist ausdrücklich darauf hin, UAEF nicht für Sicherheitsentscheidungen zu verwenden.
Für KDBs Arbeit an Automatisierung ist genau diese Trennung wichtig: Leistungstests können Änderungen sichtbar machen. Ob ein Agent sensible Daten sehen oder Aktionen auslösen darf, braucht zusätzlich eine eigenständige Sicherheits- und Freigabeprüfung.
ChatGPT-Unternehmensprofile: Wird Auffindbarkeit in KI-Antworten zur nächsten Marketingaufgabe?
OpenAI ermöglicht Unternehmen, ein eigenes Profil in ChatGPT zu beanspruchen und Angaben wie Website, Telefonnummer, Öffnungszeiten, Produkte und Preise zu hinterlegen. Wird eine Firma in einem Gespräch erwähnt, sollen Nutzer ihr Profil aufrufen können. Dort kann ein „Business Agent“ auf Basis der vom Unternehmen bereitgestellten Informationen Fragen beantworten. Im „Business Hub“ sind zudem anonymisierte Auswertungen vorgesehen, etwa zu Themen, bei denen ChatGPT das Unternehmen vorschlägt.
Das ist für Website, SEO und digitale Markenführung relevant: Unternehmensinformationen müssen nicht nur gut formuliert, sondern auch korrekt und aktuell sein. Ob sich Profildaten automatisiert über eine Schnittstelle pflegen lassen, war in der Ankündigung noch offen. Ebenso wichtig für die Einordnung: Die Business Agents waren zum Zeitpunkt der Meldung nur für ausgewählte Unternehmen in den USA als Beta verfügbar. Ein sofort flächendeckend nutzbarer neuer Vertriebskanal ist daraus also noch nicht geworden.
Der praktische KDB-Ansatz bleibt bodenständig: erst verlässliche Inhalte und konsistente Unternehmensdaten auf den eigenen Kanälen, dann neue Plattformfunktionen prüfen. Eine KI-Antwort kann Aufmerksamkeit bringen – eine widersprüchliche Preis- oder Produktangabe aber ebenso schnell Vertrauen kosten.
Digital Fairness Act: Faire Gestaltung könnte verbindlicher werden
Die EU-Kommission hat am 11. November einen Entwurf für den Digital Fairness Act vorgestellt. Er richtet sich gegen manipulative Online-Gestaltung, sogenannte Dark Patterns: etwa erfundene Knappheit, unnötig erschwerte Kündigungen oder irreführende Kaufabläufe. Geplant sind außerdem mehr Transparenz bei Preisen, Regeln für Werbung und stärkere Kontrolle der Nutzer über KI-Agenten, die in ihrem Auftrag einkaufen. Wenn automatisierter Kundenservice nicht weiterhilft, soll nach dem Vorschlag ein menschlicher Ansprechpartner erreichbar sein.
Für Unternehmen mit Shops, Abos, Websites oder Social-Media-Kampagnen ist das ein relevantes Signal. Klare Gesamtkosten, verständliche Entscheidungen und ehrlich gekennzeichnete Werbung sind nicht nur Rechtsfragen, sondern auch Fragen guter Gestaltung. Für größere grenzüberschreitende Verstöße sieht das Reformpaket unter bestimmten Voraussetzungen Geldbußen von bis zu sechs Prozent des weltweiten Jahresumsatzes vor. Noch ist das kein geltendes neues Gesetz: Der Entwurf muss im EU-Parlament und im Rat verhandelt werden; die endgültigen Vorgaben können sich ändern.
KDBs Perspektive aus Design und Marketing: Ein Interface sollte Menschen helfen, eine informierte Entscheidung zu treffen – nicht sie mit einem besonders „kreativen“ Kündigungsweg auf die Probe stellen.
Datenschutz-Omnibus: Vereinfachung ja – aber nicht auf Kosten der Orientierung
Parallel wird in der EU über sogenannte Omnibusgesetze diskutiert, die bestehende Regeln unter anderem für Datenschutz und KI ändern sollen. Kritiker befürchten, dass aus Bürokratieabbau eine Schwächung von Schutzrechten wird. Diskutiert werden beispielsweise Änderungen am Begriff personenbezogener Daten, am Auskunftsrecht und an Regeln für das Training von KI-Modellen. Andere Vorschläge, etwa leichter verständliche Cookie-Entscheidungen oder einheitlichere Orientierung für Datenschutz-Folgenabschätzungen, werden auch von Kritikern positiv bewertet.
Ein zentraler Punkt der Debatte: Unternehmen brauchen nicht zwingend weniger Regeln, sondern häufig klarere Auslegung und verlässliche Beratung. Die im Artikel zitierte Bitkom-Umfrage zeigt, dass viele Unternehmen unsicher über konkrete Datenschutzvorgaben sind. Für die Praxis sollte Datenschutz deshalb von Anfang an in Websites, Software und automatisierte Prozesse eingebaut werden. Auf einen möglicherweise später geänderten Rechtsrahmen zu warten, ersetzt heute keine saubere Daten- und Berechtigungsplanung.
.NET 11 und Robotik: Neues für Entwicklung und Prozessautomatisierung
Microsoft hat .NET 11.0 veröffentlicht. Die Version bringt unter anderem Leistungsverbesserungen, eine integrierte Projektvorlage für MCP-Server und Änderungen für mobile Anwendungen mit .NET MAUI. Android, iOS und Mac Catalyst nutzen dort nun CoreCLR statt Mono. Für Entwicklerteams ist vor allem die Migrationsplanung wichtig: Breaking Changes prüfen, Ziel-Framework anpassen und den Supportzeitraum berücksichtigen. .NET 11 wird als STS-Version bis November 2028 unterstützt; zugleich endete mit seiner Veröffentlichung der Support für .NET 8 und .NET 9.
Wie weit Automatisierung außerhalb des Büros kommt, zeigt ein Praxistest von Google DeepMind, Apptronik und Mercedes-Benz. Humanoide Roboter sortierten mit Gemini Robotics 2.5 Fahrzeughalterungen in der benötigten Reihenfolge; DeepMind nennt dafür eine Erfolgsrate von 96 Prozent. Das ist ein beachtliches Testergebnis, aber noch keine Gleichsetzung mit menschlicher Zuverlässigkeit. DeepMind veröffentlichte zugleich einen Benchmark mit rund 1.500 irreführenden Anweisungen, um unsichere Roboterhandlungen zu testen. Auch hier gilt: Leistungsfähigkeit und Sicherheit müssen gemeinsam entwickelt werden.
Vernetzte Fahrzeuge und Smart Meter: Digitalisierung braucht belastbare Grundlagen
Dass digitale Identitäten längst physische Folgen haben können, zeigt eine inzwischen geschlossene Schwachstelle bei einer Identitätsplattform, die zwei nicht genannte Autohersteller einsetzten. Forscher konnten darüber gültige App-Sitzungen für Fahrzeugkonten erzeugen und unter anderem Standortdaten abrufen sowie Türen entriegeln und Motoren aus der Ferne starten. Eine Fernsteuerung während der Fahrt war laut Bericht nicht möglich. Nach vertraulicher Meldung schlossen die Hersteller die Lücke innerhalb von zwei Stunden und tauschten potenziell gefährdete Zugangsdaten aus.
Beim Smart-Meter-Ausbau zeigt sich eine andere Seite der Digitalisierung: Laut einer im bereitgestellten Bericht genannten Übersicht sind in Deutschland 5,9 Prozent der Messstellen mit intelligenten Stromzählern ausgestattet, gegenüber einem EU-Durchschnitt von 65,6 Prozent in den erfassten Ländern. Digitale Messdaten können helfen, Verbrauch flexibler zu steuern; zugleich fehlen vielen Netzbetreibern genaue Informationen zur Auslastung ihrer Netze. Für Betriebe mit zeitlich verschiebbarem Stromverbrauch kann das Thema künftig besonders relevant sein. Die Zahlen zeigen aber vor allem: Vernetzte Prozesse funktionieren nur, wenn Infrastruktur, Zuständigkeiten und Sicherheit mitwachsen.
Was Du heute mitnehmen solltest
Erstens: Prüfe die verfügbaren Updates für Chrome, Microsoft-Produkte und eingesetzte Adobe-Anwendungen – bei Chrome und Outlook werden Schwachstellen bereits ausgenutzt. Zweitens: Behandle KI-erstellte Apps und Agenten wie reguläre Unternehmenssoftware: mit Zugriffskontrollen, Tests und klaren Freigaben. Drittens: Gestalte digitale Kundenwege transparent und halte Unternehmensinformationen konsistent, auch wenn neue KI-Plattformen als zusätzliche Kontaktpunkte entstehen.
Das ist der rote Faden dieses KDB-Tech-Updates: Digitalisierung wird nicht dadurch gut, dass möglichst viel möglichst schnell automatisiert wird. Gut wird sie, wenn Sicherheit, Gestaltung und Prozesse zusammenpassen. Alles andere räumt man später wieder auf – und des wird meistens teurer.
