KDB-Tech-Update am Abend: CRA-Meldepflicht, kritische VPN- und SAP-Lücken, KI unter Sicherheitsdruck
Guten Abend zum KDB-Tech-Update von der KDB Medienagentur GmbH. Heute wird’s sicherheitstechnisch ernst: Der Cyber Resilience Act startet mit seinen ersten Meldepflichten, bei Check Point und SAP stehen kritische Sicherheitsupdates bereit – und bei KI zeigt sich einmal mehr: Leistungsfähig ist gut, kontrollierbar ist besser. Außerdem schauen wir auf Microsofts SQL-Data-Sync-Abkündigung, neue Funktionen für Passwort-Manager unter Android sowie auf Datenschutz und Digitalisierung bei ePA, KI-Videoanalyse und digitalen Identitäten. Also: Käpsele auf, Logs prüfen und los geht’s.
Cyber Resilience Act: Ab heute zählt bei Herstellern jede Stunde
Mit dem 11. September 2026 gelten die ersten Meldepflichten des europäischen Cyber Resilience Act (CRA). Betroffen sind Hersteller von Produkten mit digitalen Elementen – also nicht nur Anbieter von Routern, Sensoren oder Industrieanlagen, sondern grundsätzlich auch Unternehmen, die Software entwickeln, digitale Funktionen bereitstellen oder Produkte unter eigener Marke vertreiben.
Die meisten weitergehenden CRA-Anforderungen greifen erst für Produkte, die ab dem 11. Dezember 2027 neu auf den EU-Markt kommen. Für aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle gilt die Meldepflicht allerdings bereits jetzt. Das ist kein Thema für die To-do-Liste zum nächsten Quartal, sondern ein Prozess, der im Ernstfall auf Knopfdruck funktionieren muss.
Der Zeitplan ist sportlich – oder, schwäbisch gesagt: Da darfst nicht erst noch gemütlich ein Viertele holen:
- Innerhalb von 24 Stunden: Frühwarnung, sobald eine aktiv ausgenutzte Schwachstelle bekannt wird.
- Innerhalb von 72 Stunden: Weitere Informationen, etwa zur Schwachstelle, den Auswirkungen sowie möglicherweise betroffenen Produkten, Versionen und Kunden.
- Spätestens 14 Tage nach einer Abhilfemaßnahme: Abschlussbericht bei aktiv ausgenutzten Schwachstellen.
- Innerhalb eines Monats nach der 72-Stunden-Meldung: Abschlussbericht bei schwerwiegenden Sicherheitsvorfällen.
Die Meldungen laufen über die zentrale Single Reporting Platform der europäischen Cybersicherheitsagentur ENISA. Informationen sollen dort einmalig eingereicht und anschließend an nationale CSIRTs sowie ENISA weitergeleitet werden. Kritik gibt es daran, dass Hersteller die Plattform vor dem Start der Pflicht nicht registrieren und praktisch testen konnten. Umso wichtiger ist es, die interne Organisation sauber aufzustellen.
Eine Bitkom-Befragung zeigt: Der CRA ist vielen Unternehmen zumindest dem Namen nach bekannt. 67 Prozent der befragten Unternehmen haben schon davon gehört, aber nur 29 Prozent kennen nach eigener Einschätzung die Bedeutung für das eigene Unternehmen. Bekanntheit ersetzt eben keinen Incident-Response-Prozess – ein Schild an der Werkstatttür macht aus einem Fahrrad noch keinen Ferrari.
Für eine schnelle Bewertung sind belastbare Produkt- und Komponenteninventare entscheidend. Hersteller müssen nachvollziehen können, welche Software-, Firmware- und Hardwarebestandteile in welcher ausgelieferten Produktversion stecken. Eine Software Bill of Materials (SBOM) schafft hier den nötigen Überblick über eigene Komponenten, Open-Source-Bibliotheken und Zulieferteile.
Aus Sicht von KDB gehören dazu klare Verantwortlichkeiten, feste Eskalationswege zwischen Entwicklung, IT-Sicherheit, Produktmanagement und Geschäftsleitung sowie dokumentierte Abläufe für Patches, Workarounds und Kundenkommunikation. Wir unterstützen Unternehmen dabei, Sicherheitsprozesse, Inventarisierung und Automatisierung so aufzubauen, dass im Vorfall nicht erst gesucht wird, wer zuständig ist. Denn 24 Stunden sind schnell vorbei – besonders wenn keiner weiß, welche Version wo läuft.
Check Point: Zwei kritische VPN-Lücken verlangen zügige Updates
Bei mehreren Sicherheitsprodukten von Check Point wurden zwei kritische Schwachstellen bekannt. Betroffen sind unter anderem Security Gateways, Security Management Server und Spark Firewalls. Beide Lücken können beim Aufbau einer VPN-Verbindung ausgenutzt werden und ermöglichen laut den vorliegenden Informationen unter Umständen eine Schadcodeausführung aus der Ferne ohne vorherige Authentifizierung.
Die Sicherheitslücken tragen die Kennungen CVE-2026-85102 und CVE-2026-85103. Während die erste Lücke auf Fehler bei der Zertifikatsprüfung zurückgeht, betrifft die zweite die Verarbeitung und ASN.1-Dekodierung von VPN-Zertifikaten. Im schlimmsten Fall kann ein erfolgreich angegriffenes System vollständig kompromittiert werden.
Als verwundbar nennt Check Point unter anderem die Versionen R81.10.x, R82.00.x, R81.20, R82 und R82.10. Mehrere ältere Versionen – darunter R80, R80.10, R80.20, R80.30, R80.40, R81 und R81.10 – befinden sich bereits außerhalb des regulären Supports. Für diese Ausgaben gibt es keine regulären Sicherheitsupdates mehr. Hier führt kein Weg am Upgrade oder an einer Migration auf eine unterstützte Version vorbei.
Nicht betroffen ist laut Check Point R82.20. Sicherheitskorrekturen stehen für R81.20, R82 und R82.10 bereit. Hinweise auf eine aktive Ausnutzung gibt es bislang nicht. Trotzdem gilt: Bitte nicht darauf warten, bis es im VPN-Log scheppert.
Administratoren sollten jetzt insbesondere prüfen:
- Welche Check-Point-Versionen tatsächlich im Einsatz sind,
- ob Systeme direkt aus dem Internet erreichbar sind,
- ob VPN-Dienste aktiv genutzt werden,
- ob die verfügbaren Sicherheitsupdates zeitnah eingespielt werden können,
- ob VPN- und Systemprotokolle auffällige Zertifikate, ungewöhnliche Verbindungsversuche oder verdächtige Prozesse zeigen.
VPN-Komponenten sind oft die direkte Schnittstelle zwischen Internet und internem Netzwerk. Genau deshalb gehören Patchmanagement, Monitoring und ein sauberer Lifecycle für Sicherheitslösungen zur Pflichtübung. KDB begleitet Unternehmen dabei im Rahmen von Managed Security und IT-Betrieb – von der Bestandsaufnahme über die Update-Planung bis zur Überwachung nach dem Patch.
SAP Patchday: Kritische Lücken bei EPP, NetWeaver und CAP
Auch SAP hat im aktuellen Security Patchday mehrere teils kritische Schwachstellen geschlossen. Besonders dringlich ist CVE-2026-44756 in SAP Extended Passport (EPP), von Onapsis „OVERPASS“ genannt. Die Lücke wurde mit dem maximalen CVSS-Wert 10,0 bewertet.
Für einen Angriff genügt Netzwerkzugriff, eine Anmeldung ist nicht erforderlich. Speziell präparierte Anfragen können Fehler auslösen und zu Abstürzen führen. Damit ist insbesondere die Verfügbarkeit betroffener SAP-Systeme gefährdet. Weitere kritische Lücken betreffen SAP NetWeaver sowie das SAP Cloud Application Programming Model. Die Schwachstellen CVE-2026-58240, CVE-2026-66768 und CVE-2026-76969 können nach vorliegenden Angaben unter Umständen Schutzmechanismen umgehen und unbefugten Zugriff auf Zugangsdaten ermöglichen.
Weitere wichtige Korrekturen betreffen die SAP ABAP Developer Tools, bei denen CVE-2026-58243 eine Rechteausweitung ermöglichen kann, sowie die SAP Commerce Cloud. Dort kann CVE-2026-2332 zur Offenlegung vertraulicher Informationen führen.
Aktuell gibt es keine Berichte über eine Ausnutzung. Das ist gut – aber kein Freifahrtschein. SAP-Verantwortliche sollten eingesetzte Produkte und Versionen im SAP-Supportbereich prüfen, passende Korrekturen testen und zeitnah einspielen. Zusätzlich sollten die Erreichbarkeit von SAP-Systemen eingeschränkt und Protokolle auf ungewöhnliche Anfragen oder Abstürze kontrolliert werden. Gerade bei Schwachstellen ohne hohe Authentifizierungshürde wird es oft erst dann ungemütlich, wenn die passenden Angriffswerkzeuge öffentlich verfügbar sind.
SQL Data Sync vor dem Aus: Migration bis September 2027 einplanen
Microsoft treibt die Abkündigung von SQL Data Sync weiter voran. Seit dem 9. September können Azure-Abonnements, die den Dienst bisher nicht eingesetzt haben, keine neuen Bereitstellungen mehr anlegen. Bestehende Nutzer können ihre Synchronisierungsgruppen vorerst weiter betreiben und verwalten. Spätestens am 30. September 2027 ist aber endgültig Schluss.
SQL Data Sync gleicht ausgewählte Daten zwischen Azure SQL Database und lokalen SQL-Server-Instanzen ab. Da es keine pauschale Eins-zu-eins-Nachfolgelösung gibt, sollten Unternehmen nicht bis kurz vor Feierabend 2027 warten. Benötigt wird zunächst eine solide Bestandsaufnahme: Welche Hub- und Mitgliedsdatenbanken existieren? Welche Anwendungen hängen daran? Wie laufen Datenflüsse, Synchronisierungsintervalle, Volumina, Latenzanforderungen und Verfügbarkeitsziele?
Je nach Szenario nennt Microsoft unterschiedliche Alternativen: Azure Data Factory für regelmäßige oder inkrementelle Übertragungen, transaktionale Replikation für einseitige SQL-Server-zu-Azure-SQL-Übertragungen, aktive Georeplikation und Read Replicas für Leseszenarien sowie Azure Functions mit Azure-SQL-Triggern für individuelle Synchronisierungslogik.
Bei KDB sehen wir solche Umstellungen nicht als reine technische Ablösung. Eine Migration ist die Gelegenheit, Datenflüsse zu bereinigen, Abhängigkeiten sichtbar zu machen und Prozesse sinnvoll zu automatisieren. Die neue Architektur sollte unbedingt vor dem Produktiveinsatz getestet werden. Erst wenn die Ersatzlösung validiert ist und keine Anwendung mehr von SQL Data Sync abhängt, sollten alte Ressourcen abgeschaltet werden.
Android: Passwort-Manager wechseln ohne unsichere CSV-Datei
Gute Nachricht für Android-Nutzer: Der Wechsel zwischen Passwort-Managern wird einfacher und sicherer. Zugangsdaten lassen sich künftig direkt zwischen kompatiblen Apps übertragen – ohne den Umweg über unverschlüsselte CSV-Dateien, die nach dem Import gerne mal irgendwo auf dem Rechner oder Smartphone liegen bleiben. Und solche Dateien sind, freundlich gesagt, kein Sicherheitskonzept.
Zum Start unterstützen der Google Passwortmanager, 1Password, Bitwarden und Dashlane den direkten Transfer. Android erkennt kompatible Passwort-Manager, führt die Nutzer zur Freigabe in die bisherige App und überträgt Daten erst nach ausdrücklicher Bestätigung. Unterstützt werden Passwörter, Passkeys und weitere Zugangsdaten auf Basis des FIDO Credential Exchange Formats.
Besonders relevant ist das für Passkeys. Diese lassen sich nicht sinnvoll über eine Klartextdatei exportieren, da private kryptografische Schlüssel geschützt bleiben müssen. Der direkte Austausch zwischen den beteiligten Apps vermeidet genau diesen riskanten Zwischenschritt.
Für Unternehmen ist das ein weiterer Baustein für bessere Identity Security: Ein Passwort-Manager ist nur dann wirksam, wenn Mitarbeitende ihn tatsächlich nutzen und der Wechsel zu einer zentralen Lösung nicht zur Datenkopier-Orgie wird. KDB unterstützt bei der Auswahl, Einführung und sicheren Integration von Passwort- und Zugriffsmanagement in den Arbeitsalltag.
KI im Spannungsfeld: Missbrauch, Agenten und fehlende Transparenz
Anthropic berichtet über mehrere Versuche, sein KI-Modell Claude für potenziell gefährliche Zwecke einzusetzen. Darunter waren Anfragen im Zusammenhang mit möglicher Biowaffen-Forschung, Unterstützung bei konventionellen Waffensystemen sowie eine mutmaßlich russisch gesteuerte Cyberspionage-Kampagne. Laut Anthropic wurden unter anderem Einrichtungen der ukrainischen Regierung, des Militärs und des diplomatischen Dienstes angegriffen oder entsprechende Angriffe vorbereitet.
Wichtig ist die Einordnung: KI-Systeme entwickeln nicht plötzlich eigene böse Pläne. Gefährlich wird es, wenn Menschen leistungsfähige Modelle missbrauchen oder ihnen zu weitreichende Berechtigungen geben. Gerade bei KI-Agenten, die Aufgaben selbstständig in IT-Umgebungen oder im Internet ausführen können, muss daher besonders sauber geregelt sein, welche Systeme sie erreichen dürfen, welche Aktionen sie ausführen können und welche Freigaben erforderlich sind.
Zusätzliche Brisanz liefern Vorwürfe von Anthropic gegen chinesische KI-Anbieter. Das Unternehmen behauptet, der Dienst Kimi habe über 5.380 gefälschte Nutzerkonten innerhalb von zehn Tagen fast 300.000 Anfragen an Claude weitergeleitet. Auch DeepSeek wird im Bericht genannt. Zudem geht es um den mutmaßlichen Einsatz fremder KI-Systeme zur Verbesserung eigener Modelle, ein Vorgehen, das in der Branche als Destillation bezeichnet wird.
Die Vorwürfe stammen von Anthropic selbst; aus den vorliegenden Informationen geht nicht hervor, ob unabhängige Untersuchungen die beschriebenen Vorgänge bestätigt haben oder wie die beschuldigten Unternehmen reagiert haben. Dennoch zeigt der Fall ein handfestes Praxisproblem: Wer KI-Dienste einsetzt, muss wissen, wo Daten verarbeitet werden, welches Modell tatsächlich antwortet und welche Anbieter oder Unterauftragnehmer eingebunden sind.
Parallel wird in der Branche über ein langsameres Entwicklungstempo für besonders leistungsfähige KI diskutiert. OpenAI-Chef Sam Altman soll laut Bloomberg intern über eine gemeinsame vorsichtigere Gangart mit anderen KI-Laboren gesprochen haben. Eine offizielle Stellungnahme lag nicht vor. Die große Herausforderung bleibt: Sicherheitsstandards sind wichtig, aber im globalen Wettbewerb wird sich kaum jeder freiwillig an dieselbe Bremse halten.
Für den KI-Einsatz im Unternehmen bedeutet das ganz praktisch: Keine sensiblen Daten in Tools kippen, deren Datenflüsse unklar sind. KI-Agenten nicht mit Adminrechten ins Netz schicken. Und vor dem produktiven Einsatz Datenschutz, Rollen, Berechtigungen, Protokollierung und Freigabeprozesse festlegen. KDB entwickelt KI-gestützte Automatisierungen genau mit diesem Blick: Nutzen schaffen, aber die Kontrolle im Unternehmen behalten.
Datenschutz bleibt Voraussetzung für funktionierende Digitalisierung
In Bremen wurde der geplante Einsatz einer KI-gestützten Ertrinkungsüberwachung in einem Schwimmbad zunächst gestoppt. Grund ist eine fehlende Datenschutz-Folgenabschätzung. Das System sollte Kamerabilder auswerten und das Personal bei möglichen Ertrinkungssituationen automatisch warnen.
Der Fall zeigt: Ein sinnvoller Anwendungszweck entbindet nicht von rechtlichen und organisatorischen Pflichten. Bei KI-Videoanalyse in öffentlich zugänglichen Bereichen müssen unter anderem Erfassung, Speicherung, Zugriffsrechte, Fehlalarme, Verhältnismäßigkeit und der nachweisbare Nutzen betrachtet werden. Datenschutz muss vor dem Start mitgedacht werden – nicht erst dann, wenn die Kamera schon an der Decke hängt.
Auch bei der elektronischen Patientenakte steht Transparenz im Mittelpunkt. Ab Oktober 2026 sollen Daten aus der ePA, zunächst die elektronische Medikationsliste, pseudonymisiert für Forschungszwecke bereitgestellt werden. Versicherte können widersprechen. Die Bundesdatenschutzbeauftragte fordert jedoch bessere, verständlichere und rechtzeitig bereitgestellte Informationen darüber, welche Daten wohin fließen, wofür sie verwendet werden und wie sich Freigaben oder Widersprüche steuern lassen.
Die Botschaft gilt weit über das Gesundheitswesen hinaus: Digitale Prozesse werden nur akzeptiert, wenn Menschen verstehen, was mit ihren Daten geschieht und welche Wahlmöglichkeiten sie haben. KDB verbindet Digitalisierung deshalb mit klaren Prozessen, verständlicher Kommunikation und einem Datenschutzkonzept, das nicht bloß im Ordner verstaubt.
Digitale Brieftasche und digitale Zahlung: Was ab 2027 kommen könnte
Für den 2. Januar 2027 ist der Start der staatlichen digitalen Brieftasche „d-you“ geplant. Die deutsche Umsetzung der europäischen EUDI-Wallet soll wichtige Nachweise wie Personalausweis, Altersnachweise oder Zeugnisse auf dem Smartphone bündeln. Die Nutzung soll freiwillig und kostenlos bleiben. Daten sollen verschlüsselt auf dem Gerät gespeichert werden; Nutzer sollen selbst steuern können, welche Informationen sie weitergeben.
Ob sich die Wallet im Alltag durchsetzt, wird maßgeblich davon abhängen, wie viele Behörden, Unternehmen und Dienstleister sie unterstützen. Zum Start sollen sich rund 40 Partner aus Wirtschaft, Wissenschaft und Verwaltung anbinden. Für Unternehmen lohnt sich deshalb ein früher Blick auf digitale Identitäten, rechtssichere Vertragsabschlüsse und schlankere Onboarding-Prozesse.
Ebenfalls ab 2027 könnte eine Pflicht zu mindestens einer digitalen Bezahlmöglichkeit für Vor-Ort-Geschäfte gelten. Das Bundesfinanzministerium will noch 2026 einen Gesetzentwurf vorlegen. Geschäfte, Restaurants, Cafés, Friseursalons und weitere Betriebe müssten ihren Kunden dann neben Bargeld mindestens eine digitale Zahlungsoption anbieten. Bargeld soll weiterhin akzeptiert werden; es geht um zusätzliche Wahlfreiheit.
Noch sind das Eckpunkte und kein geltendes Recht. Trotzdem sollten kleinere Betriebe die Entwicklung im Auge behalten. Ein Kartenterminal allein ist dabei nicht die ganze Digitalisierung: Entscheidend sind sichere Prozesse, eine saubere technische Anbindung und eine gute Kundenerfahrung. KDB hilft dabei, digitale Prozesse praxisnah aufzubauen – damit aus einer gesetzlichen Anforderung im besten Fall sogar ein besserer Service wird.
Unser Fazit: Sicherheit und Prozesse müssen vor dem Ernstfall stehen
Der heutige Abend zeigt ziemlich deutlich: Sicherheit ist keine Einmalaktion. Der CRA fordert belastbare Meldewege, Check Point und SAP erinnern an konsequentes Patchmanagement, und KI-Projekte brauchen klare Leitplanken für Daten und Berechtigungen. Gleichzeitig kommen mit digitalen Identitäten, Zahlungen und neuen Cloud-Migrationen weitere Veränderungsaufgaben auf Unternehmen zu.
Wenn Du wissen möchtest, ob Eure Sicherheits-, Melde- oder Digitalprozesse schon so aufgestellt sind, dass sie auch unter Zeitdruck funktionieren: KDB bringt IT-Sicherheit, Managed Services, Automatisierung, KI, Web und Kommunikation zusammen. Damit Deine Digitalisierung nicht nur geschniegelt aussieht, sondern auch ordentlich läuft. G’scheit wäre das ja schon.
