Guten Abend zum KDB-Tech-Update: Patches, Fernzugriffe und KI mit Leitplanken
Heute Abend ist einiges auf dem Tisch: Eine bereits angegriffene Windows-Lücke macht Updates dringend, Chrome, curl und Adobe liefern umfangreiche Sicherheitskorrekturen. Das BSI warnt nach den Angriffen auf französische Supermarkt-Kühlanlagen ausdrücklich auch Betreiber kleiner vernetzter Anlagen. Dazu kommen Betrugsversuche mit echten Kundendaten, getarnte Remote-Beschäftigte und die Frage, wie Unternehmen KI nutzen, ohne Kontrolle und Datenschutz über Bord zu werfen. Im KDB-Tech-Update sortieren wir, was davon für Deinen Betrieb praktisch wichtig ist – ohne aus jeder Schlagzeile gleich einen Weltuntergang zu machen.
Windows: Bereits ausgenutzte Shell-Lücke zuerst schließen
Microsoft hat zum Patchday zahlreiche Schwachstellen behoben. Besonders dringend ist CVE-2026-96951 in der Windows Shell: Die als „hoch“ eingestufte Lücke wird laut Bericht bereits angegriffen. Sie ermöglicht es, den Mark of the Web zu umgehen – also jene Kennzeichnung, mit der Windows Dateien aus dem Internet erkennt und beim Öffnen warnt. Wie die Angriffe genau ablaufen und wie verbreitet sie sind, ist bislang nicht bekannt. Für einen erfolgreichen Angriff muss ein Opfer allerdings mitwirken, etwa indem es einen präparierten E-Mail-Anhang öffnet.
Daneben sind zwei weitere Schwachstellen bereits öffentlich bekannt: CVE-2026-108398 im .NET Framework kann Sicherheitsfunktionen umgehen; CVE-2026-92707 in MessagePack-CSharp kann Denial-of-Service-Angriffe ermöglichen. Microsoft hat außerdem Lücken in Office, Active Directory, Dynamics 365, Exchange Server, Windows DHCP und dem Windows-Kernel geschlossen. Darunter ist die als kritisch eingestufte Office-Lücke CVE-2026-88156. Je nach Schwachstelle könnten Angreifer höhere Rechte bis hin zu Systemrechten erlangen.
Betroffen sind unter anderem Windows 10 und 11 sowie verschiedene Windows-Server-Versionen. Für Unternehmen heißt das: Updates zeitnah einspielen und ihren Installationsstatus prüfen – auf Arbeitsplatzrechnern ebenso wie auf Servern. Gerade weil die Shell-Lücke bereits ausgenutzt wird, reicht „Windows Update ist grundsätzlich aktiviert“ als Gewissheit nicht aus. KDB kann als IT-Systemhaus und Managed Service Provider dabei unterstützen, betroffene Systeme zu erfassen, Aktualisierungen zu koordinieren und offene Update-Fälle nachzuverfolgen.
Chrome, curl und Adobe: Viel Patch-Arbeit auf einmal
Auch abseits von Windows ist die Update-Liste lang. Google schließt mit einem Desktop-Update für Chrome 37 Sicherheitslücken, darunter sieben kritische und 29 mit hohem Risiko. Hinweise auf eine aktive Ausnutzung liegen Google bislang nicht vor. Für Windows und macOS stehen die Versionen 155.0.8059.79 beziehungsweise 155.0.8059.80 bereit, für Linux 155.0.8059.79. Wer den Browser manuell aktualisiert, sollte ihn anschließend neu starten – erst dann ist das Update abgeschlossen.
Die weitverbreitete Bibliothek curl behebt mit Version 8.23.0 insgesamt 24 Sicherheitslücken. Eine davon, CVE-2026-92392, stuft das Projekt als schwerwiegend ein: Unter bestimmten Bedingungen könnte ein bösartiger HTTP/2-Server einen Use-after-free-Fehler zur Schadcodeausführung ausnutzen. Dafür ist jedoch auch ein Upload durch den Nutzer erforderlich. Weil curl in zahlreichen Programmen, Betriebssystemen und Geräten steckt, kommt die Korrektur vielfach über die jeweiligen Software- oder Geräteupdates. Nebenbei entfernt das Projekt die Unterstützung für SMB und SMBS; curl unterstützte dort lediglich SMB 1.
Adobe meldet unterdessen 174 geschlossene Lücken in elf Produkten. Besonders relevant für Betreiber entsprechender Systeme: Zwei kritische Schwachstellen in ColdFusion und je mehrere in Adobe Commerce sowie Adobe Experience Manager erreichen den maximalen CVSS-Wert 10. Für ColdFusion nennt Adobe die korrigierten Versionen 2023.0.26 und 2025.0.14. Updates betreffen außerdem unter anderem Photoshop, Bridge und weitere Kreativprodukte. Eine bereits laufende Ausnutzung der gemeldeten Adobe-Lücken ist bislang nicht berichtet.
Die praktische Konsequenz ist nicht, wahllos überall gleichzeitig auf „Update“ zu drücken. Entscheidend ist eine Bestandsaufnahme nach Produkt und Risiko: Welche Systeme sind vorhanden, welche sind erreichbar, welche Updates fehlen noch? Bei Websites und digitalen Angeboten betrifft das insbesondere eingesetzte Commerce- oder Experience-Manager-Installationen; in Kreativteams gehören auch die verwendeten Desktop-Anwendungen auf die Liste. Das knüpft an unser jüngstes KDB-Tech-Update zu Angriffen, Updates und KI-Kontrolle an: Sicherheitsmeldungen helfen erst dann, wenn aus ihnen überprüfbare Aufgaben werden.
Vernetzte Anlagen: Das BSI warnt ausdrücklich auch kleine Betreiber
Die Angriffe auf Kühltechnik in französischen Supermärkten zeigen, dass ein manipulierter Fernzugriff nicht bloß ein IT-Problem bleibt. Berichten zufolge wurden Anlagen in einigen Filialen auf bis zu 50 Grad Celsius eingestellt; Lebensmittel verdarben, zudem wurden Brände gemeldet. Unter anderem waren Märkte mehrerer französischer Handelsketten betroffen. Zu möglichen Angriffen in weiteren Ländern gab es Hinweise – welche Unternehmen in Deutschland konkret betroffen sein könnten und ob es hier Folgen gab, war jedoch nicht bekannt. Das BSI teilte mit, ihm lägen nach damaligem Kenntnisstand keine Hinweise auf betroffene deutsche Märkte infolge des Angriffs auf Kühlsysteme mit Danfoss-Software vor.
Das Bundesamt richtet seine Warnung ausdrücklich nicht nur an große Unternehmen oder Kritische Infrastrukturen. Auch einzelne Kühlanlagen, Solarwechselrichter, Windkraftanlagen oder Einrichtungen der Trinkwasserversorgung können vernetzt und damit potenziell erreichbar sein. Seine wichtigste Empfehlung ist ebenso klar wie unbequem: Steuerungsanlagen möglichst vom Internet trennen. Wo Fernzugriff nötig ist, sollten Betreiber ihn etwa mit VPN, Mehr-Faktor-Authentifizierung und Positivlisten absichern. Regelmäßige Updates gehören ebenfalls dazu.
Für Betriebe mit vernetzter Gebäudetechnik oder Produktions- und Versorgungsanlagen lohnt sich daher eine einfache Frage: Welche Steuerung ist überhaupt von außen erreichbar – und wer darf darauf zugreifen? KDB kann helfen, solche Zugänge und Zuständigkeiten im Rahmen der IT-Sicherheits- und Prozessgestaltung sichtbar zu machen. Die französischen Vorfälle und ihre möglichen Folgen haben wir bereits in unserem Update zu Kühlketten und Sicherheitslücken eingeordnet. Die neue BSI-Warnung macht daraus vor allem einen konkreten Prüfauftrag für kleinere Betreiber.
Glaubwürdiger Betrug: Wenn Kriminelle echte Details kennen
Ein Angriff auf einen IT-Dienstleister im Raum Würzburg könnte Autokäufer in ganz Deutschland zum Ziel täuschend glaubwürdiger Zahlungsaufforderungen machen. Nach Angaben des betroffenen Softwareanbieters gelangten Täter an Informationen aus Kaufvorgängen – möglicherweise darunter Auftrags- und Rechnungsnummern, Liefertermine sowie Kauf- und Zahlungsbeträge. Wie viele Menschen betroffen sind und welche Daten genau entwendet wurden, war zunächst unklar. Die Polizei bestätigte den Angriff; der Zugriff erfolgte nach bisherigem Ermittlungsstand über eine damals schwerwiegend verwundbare Drittanbietersoftware.
Das Risiko: Eine Nachricht mit korrekter Rechnungsnummer und passendem Kaufbetrag wirkt schnell echt, auch wenn sie eine fremde Bankverbindung enthält. Änderungen von Kontodaten deshalb immer über einen unabhängig bekannten Kontaktweg bestätigen – nicht über Telefonnummern oder Links aus der verdächtigen Nachricht. Warnungen der Bank zu einer Abweichung zwischen Empfängername und IBAN sollten nicht weggeklickt werden. Wer bereits überwiesen hat, sollte seine Bank sofort kontaktieren.
Eine andere Masche nutzt gefälschte Sparkassen-Mails zum elektronischen Postfach. Der Link führt auf eine Seite, die Nutzer zu Tastenkombinationen oder Befehlen auffordert. Hinter dieser sogenannten Click-Fix-Methode kann sich Schadcode verbergen, den Betroffene durch das Befolgen der Anweisungen selbst ausführen. Für den Arbeitsalltag gilt die einfache Regel: Eine Webseite darf Dich nicht dazu bringen, unbekannte Befehle auf Deinem Gerät auszuführen. Wer den Anweisungen bereits gefolgt ist, sollte das Gerät fachkundig prüfen lassen; bei betroffenem Online-Banking empfiehlt das Notfallteam der Sparkassen-Finanzgruppe, den Zugang sofort sperren zu lassen.
Für Unternehmen sind beide Fälle ein Argument für klare Zahlungsfreigaben und regelmäßige Sensibilisierung: Echte Vorgangsdaten ersetzen keine unabhängige Prüfung. KDB kann solche Kontrollschritte gemeinsam mit Teams in digitale Abläufe einbauen, damit eine plausible Mail nicht allein über eine Überweisung entscheidet.
Remote-Jobs und Laptop-Farmen: Identitäten nicht nur im Videocall prüfen
Bei Durchsuchungen in Texas beschlagnahmte das FBI Ende September 187 Laptops und KVM-Geräte. Nach Angaben des US-Justizministeriums sollen die Geräte zu sogenannten Laptop-Farmen gehört haben: Unternehmen schickten Arbeitsgeräte an vermeintliche Beschäftigte, tatsächlich landeten sie an Standorten, von denen aus nordkoreanische IT-Kräfte sie unter falscher Identität fernsteuern konnten. Ziel der erschlichenen Beschäftigung waren laut Ermittlern Einnahmen für sanktionierte Waffenprogramme; zugleich bestand das Risiko eines Zugriffs auf Unternehmensdaten.
Für Personal- und IT-Teams ist daran vor allem die Verbindung von Einstellung, Geräteversand und Zugriffsvergabe interessant. Wenn Lieferadressen kurzfristig wechseln oder Ersatzgeräte über ungewöhnliche Wege angefordert werden, sollten diese Vorgänge nicht isoliert bearbeitet werden. Verifizierte Identitäten und nachvollziehbare Freigaben sind gerade bei Remote-Arbeit wichtig – ohne dass daraus ein Generalverdacht gegen Bewerber oder Beschäftigte wird.
KI im Unternehmen: Mehr Tempo, aber bitte nicht als Schattenprozess
Eine von Indeed beauftragte Umfrage unter 300 Personalverantwortlichen in Deutschland beschreibt den Druck in Personalabteilungen: 56 Prozent berichten von deutlich mehr Bewerbungen für einzelne Stellen als zwölf Monate zuvor. 42 Prozent nutzen nach eigener Aussage zugelassene Software oder KI zur Vorauswahl. Zugleich berichten 28 Prozent, dass ihr Unternehmen keine unterstützte Vorauswahl anbietet. Der Griff zu frei verfügbaren, teils nicht genehmigten KI-Werkzeugen ist dann für manche naheliegend – und genau daraus entsteht Schatten-KI.
Besonders aufmerksam macht eine weitere Angabe: Elf Prozent der Befragten sagen, dass von einer KI aussortierte Bewerbungen anschließend nicht mehr von Menschen gesichtet werden. Der Bericht verweist auf künftige Anforderungen an Dokumentation und abschließende menschliche Kontrolle. Unabhängig von der konkreten Umsetzung ist die organisatorische Aufgabe schon heute erkennbar: Unternehmen brauchen freigegebene Werkzeuge, festgelegte Datenflüsse und einen nachvollziehbaren Entscheidungsprozess. KDB unterstützt bei der Gestaltung solcher KI-gestützten Abläufe – Automatisierung soll Arbeit erleichtern, nicht Verantwortung unsichtbar machen.
Auch die EU-Kommission prüft laut einem von Politico eingesehenen internen Papier KI-Unterstützung bei der Abwehr besonders gefährlicher Cyberangriffe. Erwogen werden automatische Maßnahmen für bestimmte Hochrisikosituationen, jedoch mit strengen Sicherungen und menschlicher Verantwortung. Ob solche Maßnahmen bereits eingesetzt werden, ist unklar. Parallel fordern Geoffrey Hinton, Yoshua Bengio und rund 400 weitere Wissenschaftler aus 34 Ländern eine verbindliche internationale Aufsicht für fortgeschrittene KI-Systeme. Ein entsprechendes Gremium ist bislang ein Vorschlag, keine bestehende Kontrollinstanz.
Die gemeinsame Frage hinter diesen Meldungen ist für kleine wie große Organisationen dieselbe: Was darf ein KI-System selbstständig tun, wer bemerkt Fehler und wer kann eingreifen? Bei folgenreichen Entscheidungen oder automatisierten Sicherheitsmaßnahmen sind diese Grenzen wichtiger als eine besonders flotte Demo.
KI-Apps und digitale Kompetenz: Niedrige Einstiegshürde ist keine Sicherheitsprüfung
Google erleichtert das Erstellen einfacher Android-Apps per Beschreibung in natürlicher Sprache. Über Google AI Studio sollen Erwachsene Apps für das eigene Smartphone entwickeln und ausprobieren können, ohne selbst Code zu schreiben. Die Erstellung ist zum beschriebenen Zeitpunkt nur in den USA und einigen ausgewählten Ländern verfügbar. Für eine private Bereitstellung im Play Store beschreibt ein weiterer Bericht zunächst eine US-Option mit regulärem Google-Konto und einer persönlichen Bibliothek. Das geplante Teilen mit Familie und Freunden ist noch Zukunftsmusik; eine reguläre Veröffentlichung für ein breites Publikum folgt weiterhin einem anderen Weg mit Entwicklerkonto und den üblichen Prüfungen.
Solche Werkzeuge können Ideen und Prototypen schneller greifbar machen. KI-generierter Code ist damit aber nicht automatisch sicher oder für den Unternehmenseinsatz geeignet. Wer aus einem Experiment eine App für Kunden oder Mitarbeitende machen möchte, muss Funktionen, Berechtigungen, Datenverarbeitung und Qualität prüfen. Für KDB als Partner für Digitalisierung, Design und IT ist genau dieser Übergang vom schnellen Prototyp zum verantwortbar betriebenen Produkt entscheidend.
Digitale Kompetenz beginnt allerdings früher: Das Bundeskabinett hat Eckpunkte für stärkeren Kinder- und Jugendschutz im Netz beschlossen. Geplant sind unter anderem eine nationale Altersgrenze von 13 Jahren für soziale Medien, eingeschränkte „Mini-Konten“ für Jugendliche und ein „KI-Seepferdchen“ für Grundschulkinder. Das Eckpunktepapier ist noch kein Gesetzentwurf; ob und wann Beschränkungen in Kraft treten, ist offen. Für alle, die digitale Angebote oder Social-Media-Kommunikation gestalten, lohnt es sich dennoch, die Entwicklung im Blick zu behalten.
Digitale Souveränität: OpenDesk wächst, SAP und Mistral bleiben im Gespräch
Das Zentrum für Digitale Souveränität der Öffentlichen Verwaltung öffnet sein OpenDesk-Partnerprogramm für kommerzielle Angebote. Stackit ist als souveräner Service Provider zugelassen; B1 Systems und Dachs IT als Systemintegratoren. Erste Pilotpakete von Stackit sind verfügbar, der Produktivstart ist für Anfang 2027 vorgesehen. Das erweiterte Partnernetz soll Einführung, Migration und Betrieb der quelloffenen Büro- und Kollaborationssuite erleichtern.
Bei einer anderen europäischen Kooperation lohnt genaue Wortwahl: Das Bundesdigitalministerium widerspricht der Darstellung, die Bundesregierung habe einen verbindlichen Vertrag mit SAP und Mistral AI beendet. Laut Ministerium gab es einen rechtlich weitgehend unverbindlichen Letter of Intent, aber keinen abgeschlossenen Rahmenvertrag. SAP und Mistral führten ihre Zusammenarbeit eigenständig fort. Die Bundesregierung verweist für künftige Vorhaben unter anderem auf einen offenen, gemeinschaftlichen Ansatz für digitale Grundlagen und Schnittstellen in Europa.
Für Unternehmen sind weder OpenDesk noch europäische KI-Angebote eine Entscheidung allein nach Herkunftsetikett. Maßgeblich sind die eigenen Anforderungen: Wie lassen sich Daten migrieren, Systeme integrieren, Zugriffe absichern und Dienste dauerhaft betreiben? KDB kann bei solchen Architektur- und Prozessfragen unterstützen, wenn Organisationen ihre Abhängigkeiten bewusster gestalten wollen.
Excel denkt über die einzelne Zelle hinaus – vorerst nur als Vorschau
Zum Schluss noch eine Neuerung für alle, die Geschäftsprozesse in Tabellen organisieren: Microsoft erprobt Listen und Arrays innerhalb einzelner Excel-Zellen. Mehrere Einträge sollen gemeinsam in einer Zelle stehen, intern aber getrennt auswertbar bleiben. Neue Funktionen wie FLATTEN, HAS, HASANY und HASALL sollen dabei helfen, Inhalte verschachtelter Arrays aufzulösen oder nach bestimmten Werten zu suchen.
Die Funktionen sind laut Bericht zunächst für Teilnehmende des Beta Channels von Microsoft 365 vorgesehen und werden dort schrittweise freigeschaltet. Microsoft rät davon ab, sie bereits in wichtigen Arbeitsmappen zu verwenden; unter anderem PivotTables, Diagramme und Power Query unterstützen die neuen Strukturen derzeit nur eingeschränkt. Für produktive Automatisierungen gilt also: interessant für Tests, noch keine Grundlage für einen kritischen Prozess.
Unser Abendfazit: Prüfen, priorisieren, Zuständigkeiten klären
Die dringendste technische Aufgabe des Abends sind die Sicherheitsupdates – allen voran die bereits angegriffene Windows-Shell-Lücke. Gleich danach lohnt der Blick auf erreichbare Anlagen, Fernzugriffe und die Prozesse hinter Zahlungsänderungen. Bei KI und neuen digitalen Werkzeugen gilt derselbe Grundsatz: Möglichkeiten ausprobieren, aber Berechtigungen, Daten und Entscheidungen nicht dem Zufall überlassen. Oder kurz gesagt: Erst wissen, was läuft und wer dafür zuständig ist. Dann wird aus Technik auch ein verlässlicher Prozess – statt bloß ein neues Kästle auf der To-do-Liste.
