KDB-Tech-Update am Morgen: CRA-Meldepflicht, kritische Sicherheitslücken und KI mit Augenmaß
Guten Morgen zum KDB-Tech-Update! Während der Kaffee noch dampft, sind in der IT-Sicherheit schon ein paar Themen ordentlich auf Temperatur: Der europäische Cyber Resilience Act startet mit kurzen Meldefristen für Hersteller, kritische Lücken betreffen Check-Point-VPNs und SAP-Systeme, und auch Smartphones sollten dringend aktuell bleiben. Außerdem schauen wir auf KI: von Datenschutz bei intelligenten Kameras bis zur Frage, wie Unternehmen KI sicher, sinnvoll und ohne blindes Vertrauen einsetzen. Also, auf geht’s – Sicherheitslage prüfen, Updates planen und ned lang fackeln.
Cyber Resilience Act: Für Hersteller läuft die Uhr jetzt ab
Seit dem 11. September 2026 gelten erste Meldepflichten des europäischen Cyber Resilience Act (CRA). Betroffen sind Hersteller von Produkten mit digitalen Elementen – also nicht nur Anbieter von Routern, industriellen Steuerungen oder anderer vernetzter Hardware, sondern auch Softwarehersteller und Unternehmen, die Hard- oder Software unter eigener Marke in der EU vertreiben.
Die meisten umfassenden CRA-Anforderungen greifen erst für Produkte, die ab dem 11. Dezember 2027 neu auf den EU-Markt kommen. Die Pflicht, bestimmte Vorfälle zu melden, ist aber bereits gestartet. Und die Fristen sind, sagen wir’s schwäbisch, alles andere als gemütlich:
- Innerhalb von 24 Stunden muss eine Frühwarnung erfolgen, sobald eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Sicherheitsvorfall bekannt wird.
- Spätestens nach 72 Stunden müssen weitere Informationen und eine erste Bewertung nachgereicht werden.
- Bei aktiv ausgenutzten Sicherheitslücken folgt spätestens 14 Tage nach Bereitstellung einer Abhilfemaßnahme ein Abschlussbericht.
- Bei schwerwiegenden Sicherheitsvorfällen ist der Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung fällig.
Die Meldung soll über die zentrale Single Reporting Platform der EU-Agentur ENISA erfolgen. Von dort werden die Informationen an ENISA und die zuständigen nationalen CSIRTs weitergeleitet.
Das klingt zunächst nach einer regulatorischen Pflicht, ist in der Praxis aber vor allem eine Frage der operativen Vorbereitung. Wer innerhalb eines Tages belastbar sagen soll, ob eine Schwachstelle aktiv ausgenutzt wird, welche Versionen betroffen sind und welche Kunden informiert werden müssen, braucht mehr als eine allgemeine Notfallnummer im Intranet.
Entscheidend sind ein aktuelles Produkt- und Komponenteninventar, klare Verantwortlichkeiten sowie getestete Prozesse für das Vulnerability Handling. Eine Software Bill of Materials (SBOM) kann dabei helfen, verwendete Bibliotheken, Abhängigkeiten und Drittanbieter-Komponenten zuverlässig zuzuordnen. Ebenso wichtig: Sicherheitsupdates müssen eindeutig den ausgelieferten Produktversionen zugeordnet werden können.
Eine Bitkom-Umfrage zeigt, dass hier noch ordentlich Luft nach oben ist: Zwar haben 67 Prozent der befragten Unternehmen schon vom CRA gehört, aber nur 29 Prozent kennen dessen Bedeutung für das eigene Unternehmen. Für Hersteller gilt deshalb: Jetzt Betroffenheit prüfen, Meldewege festlegen und den Ernstfall üben. Erst im Angriff oder bei einer kritischen Schwachstelle den Prozess zusammenzuschrauben, ist ungefähr so clever wie den Feuerlöscher erst beim Brand zu bestellen.
KDB unterstützt Unternehmen dabei, Sicherheits- und Meldeprozesse praxisnah aufzusetzen: mit IT-Inventarisierung, Schwachstellenmanagement, klaren Verantwortlichkeiten, Monitoring und dokumentierten Incident-Response-Abläufen. Gerade dort, wo Entwicklung, Betrieb und Managed Services zusammenkommen, müssen technische Fakten schnell bei den richtigen Entscheiderinnen und Entscheidern landen.
Check Point: Kritische VPN-Lücken zeitnah schließen
Bei mehreren Check-Point-Sicherheitsprodukten wurden zwei kritische Schwachstellen veröffentlicht, die im Zusammenhang mit VPN-Verbindungen stehen. Betroffen sein können Security Gateways, Security Management Server und Spark Firewalls. Im schlimmsten Fall ermöglichen die Lücken Angreifern die Ausführung von Schadcode auf verwundbaren Systemen.
Die erste Schwachstelle, CVE-2026-85102, betrifft die Prüfung von Zertifikaten. Laut Hersteller kann ein entfernter Angreifer die Lücke ohne vorherige Authentifizierung ausnutzen. Die zweite Schwachstelle, CVE-2026-85103, liegt in der ASN.1-Dekodierung von VPN-Zertifikaten. Fehler bei dieser Verarbeitung können Speicherprobleme auslösen und ebenfalls zur Ausführung von Schadcode führen.
Aktuell gibt es keine Hinweise auf aktive Angriffe. Das ist jedoch kein Grund, sich entspannt zurückzulehnen: Sobald Details zu kritischen Schwachstellen öffentlich sind, analysieren Angreifer diese oft sehr zügig. Betroffen sind die Versionszweige R81.10.x, R82.00.x, R81.20, R82 und R82.10. Auch ältere und nicht mehr unterstützte Versionen wie R80, R80.10, R80.20, R80.30, R80.40, R81 und R81.10 gelten als verwundbar.
Für unterstützte Versionen stellt Check Point spezielle Sicherheitsupdates bereit. Die Version R82.20 ist nach Herstellerangaben nicht betroffen. Systeme auf nicht mehr unterstützten Releases benötigen hingegen ein Upgrade auf eine weiterhin gepflegte Version – ein regulärer Patch steht dort nicht mehr zur Verfügung.
Unsere Empfehlung für Administratoren: eingesetzte Produkte und Versionsstände sofort erfassen, betroffene Systeme priorisieren, passende Updates einspielen und VPN-Zugänge sowie relevante Sicherheitsprotokolle bis zur Bereinigung besonders aufmerksam überwachen. VPN-Gateways sind oft die digitale Eingangstür ins Unternehmen. Und die sollte halt nicht offenstehen wie die Kellertür beim Sommerfest.
SAP-Patchday: Kritische Lücken mit CVSS 10 und Risiken für Zugangsdaten
Auch SAP hat wichtige Sicherheitsupdates veröffentlicht. Besonders dringlich ist die Schwachstelle CVE-2026-44756 in SAP Extended Passport (EPP), die mit einem CVSS-Wert von 10,0 bewertet wird. Sicherheitsforscher von Onapsis bezeichnen die Lücke als „OVERPASS“.
Für einen Angriff ist Netzwerkzugriff auf das betroffene System erforderlich; eine Authentifizierung ist offenbar nicht nötig. Speziell präparierte Anfragen können Fehler auslösen, die bis zum Absturz der Anwendung führen. Je nach Einsatz kann das die Verfügbarkeit wichtiger Geschäftsprozesse beeinträchtigen.
Weitere kritische Schwachstellen betreffen SAP NetWeaver sowie das SAP Cloud Application Programming Model (CAP):
- CVE-2026-58240 und CVE-2026-66768 in SAP NetWeaver
- CVE-2026-76969 im SAP Cloud Application Programming Model
Hier besteht das Risiko, dass Angreifer Authentifizierungsmechanismen umgehen und dadurch unberechtigt auf Zugangsdaten zugreifen. Zusätzlich gibt es eine hoch bewertete Schwachstelle in den SAP ABAP Developer Tools (CVE-2026-58243), die eine Rechteausweitung ermöglichen kann. In SAP Commerce Cloud kann CVE-2026-2332 zu einer unberechtigten Offenlegung von Informationen führen.
Auch wenn derzeit keine aktive Ausnutzung bekannt ist, sollten SAP-Verantwortliche keine Zeit verlieren: Produktstände prüfen, passende SAP-Hinweise und Korrekturen einspielen, extern erreichbare Dienste kontrollieren und Berechtigungen restriktiv halten. Auffällige Abstürze, ungewöhnliche Zugriffe und fehlgeschlagene Anmeldeversuche gehören jetzt besonders ins Monitoring.
Für Unternehmen mit geschäftskritischen SAP-Landschaften ist Patchmanagement kein Nebenjob. KDB hilft dabei, Sicherheitsupdates planbar in den Betrieb zu integrieren, Wartungsfenster sauber vorzubereiten und die Überwachung von Infrastruktur und sicherheitsrelevanten Ereignissen zu stärken.
Samsung schließt 90 Sicherheitslücken: Updates auf Mobilgeräten nicht vertagen
Samsung hat mit der Verteilung seines September-Sicherheitspatches begonnen. Insgesamt sollen 90 Schwachstellen in Galaxy-Smartphones, Tablets und Smartwatches geschlossen werden. Das Update wurde zunächst im Rahmen einer One-UI-9-Beta für das Galaxy A55 bereitgestellt und soll schrittweise auf weitere unterstützte Geräte folgen.
Besonders relevant sind kritische Schwachstellen in DNG- und JPEG-Decodern. Über manipulierte Bilddateien konnten Angreifer vor der Aktualisierung offenbar aus der Ferne eigenen Programmcode auf einem Gerät ausführen. Ein Bild ist eben nicht immer nur ein Bild – zumindest dann nicht, wenn das Betriebssystem hinterherhinkt.
Die Verfügbarkeit hängt vom Modell, der Region und bei Provider-Geräten auch von der Freigabe durch den Mobilfunkanbieter ab. Prüfen kannst Du die Aktualisierung direkt unter Einstellungen > Software-Update > Herunterladen und installieren. Vor der Installation empfiehlt Samsung unter anderem WLAN, mindestens 50 Prozent Akkuladung, ausreichend Speicher und eine vorherige Datensicherung.
Für Unternehmen mit mobilen Arbeitsplätzen ist das ein guter Anlass, die Update-Strategie für Smartphones und Tablets zu prüfen. Mobile Geräte sind längst Teil der Unternehmens-IT – inklusive E-Mails, Zugängen, Dokumenten und oft auch Mehrfaktor-Authentifizierung. Ein geregeltes Mobile Device Management, verbindliche Sicherheitsvorgaben und aktuelle Betriebssysteme gehören daher zur Basis einer vernünftigen Sicherheitsarchitektur.
KI-Kameras im Schwimmbad: Gute Absicht ersetzt keine Datenschutz-Folgenabschätzung
Im Bremer Westbad wurde die geplante Inbetriebnahme eines KI-Systems zur Erkennung möglicher Ertrinkungsgefahr vorerst gestoppt. Die 19 Kameras im Wasser- und Schwimmbereich sollten von einer Software des Unternehmens Lynxight ausgewertet werden, um das Personal bei möglichen Notfällen automatisch zu alarmieren.
Der Grund für den Stopp ist nicht die grundsätzliche Funktion der KI, sondern eine fehlende Datenschutz-Folgenabschätzung (DSFA). Bei einer systematischen und umfangreichen Überwachung öffentlich zugänglicher Bereiche ist diese nach DSGVO erforderlich. Sie muss vor dem Einsatz klären, welche Daten verarbeitet werden, wie lange sie gespeichert bleiben, wer Zugriff hat, ob Daten übertragen werden und wie Risiken für die betroffenen Personen reduziert werden.
Der Fall ist ein wichtiges Signal für alle Organisationen, die KI mit Bild-, Audio- oder Verhaltensdaten einsetzen möchten: Ein sinnvoller Zweck allein reicht nicht. Datenschutz, Transparenz, Rollen- und Berechtigungskonzepte sowie technische und organisatorische Schutzmaßnahmen müssen von Anfang an mitgeplant werden.
KDB begleitet KI- und Digitalisierungsprojekte deshalb nicht nur bei Auswahl, Einführung und Automatisierung, sondern auch bei der sicheren Prozessgestaltung. KI kann Prozesse schneller machen und Risiken früher sichtbar machen – aber sie braucht klare Leitplanken. Sonst wird aus einer cleveren Idee schneller ein Datenschutzproblem als einem lieb ist.
KI im Unternehmen: Produktivität ja, blindes Vertrauen nein
Die jüngsten Berichte rund um Anthropic und OpenAI unterstreichen, dass leistungsfähige KI-Systeme nicht nur Chancen bringen. Anthropic berichtet von abgewehrten Missbrauchsversuchen mit Bezug zu Biowaffen, Spionage, Cyberangriffen und Waffenentwicklung. Gleichzeitig wird in der Branche über gemeinsame Sicherheitsstandards und eine mögliche Verlangsamung besonders leistungsfähiger KI-Entwicklung diskutiert.
Für Unternehmen ist die praktische Lehre klar: KI sollte nicht unkontrolliert in kritische Abläufe eingebunden werden. Gerade KI-Agenten, die Aufgaben selbstständig ausführen können, brauchen klar begrenzte Berechtigungen, nachvollziehbare Freigaben, Protokollierung und menschliche Kontrolle. Ein Tool, das Texte zusammenfasst oder Ideen strukturiert, hat ein anderes Risikoprofil als ein System mit Zugriff auf Postfächer, Kundendaten, Server oder Zahlungsvorgänge.
Auch beim Umgang mit Chatbots lohnt sich ein Blick auf die gespeicherten Informationen. ChatGPT, Gemini und Claude können persönliche Angaben und Präferenzen in Memory-Funktionen berücksichtigen. Wer solche Dienste beruflich nutzt, sollte prüfen, welche Daten eingegeben werden dürfen, welche Einstellungen für Erinnerungen und Verläufe gelten und wie sich gespeicherte Inhalte löschen lassen. Sensible Kunden-, Personal- oder Unternehmensdaten gehören nicht unbedacht in öffentliche KI-Tools.
KDB setzt KI dort ein, wo sie echten Nutzen schafft: etwa zur Unterstützung bei Automatisierung, Wissensaufbereitung, Prozessgestaltung oder kreativen Aufgaben. Die Grundlage bleibt aber immer dieselbe: Daten schützen, Zugriffe sauber steuern, Ergebnisse prüfen und Menschen in Entscheidungen einbinden. KI darf unterstützen – sie soll nicht unbeaufsichtigt den Laden übernehmen.
Unser Morgen-Fazit: Sicherheit ist ein Prozess, kein Patch-Termin
Der heutige Überblick zeigt ziemlich deutlich: IT-Sicherheit besteht nicht nur aus Updates, obwohl diese gerade bei Check Point, SAP und Samsung dringend auf die To-do-Liste gehören. Mit dem Cyber Resilience Act wird außerdem sichtbar, dass belastbare Sicherheitsorganisation, Dokumentation und schnelle Reaktion zunehmend regulatorische Pflicht werden.
Ob Firewall, ERP-System, Smartphone, KI-Projekt oder eigenes digitales Produkt: Wer Inventar, Verantwortlichkeiten, Updates, Monitoring und Notfallwege im Griff hat, reagiert im Ernstfall schneller und fundierter. Und wer KI nutzen möchte, sollte Datenschutz und Sicherheit nicht als Bremse sehen, sondern als Voraussetzung dafür, dass die Lösung dauerhaft trägt.
Du willst Deine IT-Sicherheitsprozesse, Patchstrategie, KI-Nutzung oder digitale Infrastruktur auf den Prüfstand stellen? Dann melde Dich bei KDB. Wir bringen Sicherheit, Automatisierung, Managed Services und Digitalisierung so zusammen, dass es im Alltag funktioniert – ganz ohne Technik-Bla-Bla und mit einem klaren Blick aufs Wesentliche.
