Guten Morgen zum KDB-Tech-Update: Updates, Werbespionage und digitale Identitäten
Guten Morgen! In der heutigen Ausgabe des KDB-Tech-Updates – und als Themenüberblick für Deinen Podcast – geht es um einen ungewöhnlich großen Microsoft-Patchday, eine aktiv ausgenutzte Lücke in Palo-Alto-Firewalls und eine Form der Spionage, bei der schon das Laden einer Werbeanzeige zum Risiko werden kann. Außerdem schauen wir auf Reise-Phishing nach einem Datenleck, Deutschlands Fahrplan für Post-Quanten-Kryptografie und die geplante staatliche Ausweis-Wallet. Zum Schluss wird’s praktisch: Was neue Entwicklungen bei KI-gestützter Softwareentwicklung, Ubuntu und .NET für IT-Teams bedeuten.
Die gemeinsame Frage hinter vielen Meldungen: Wer hat Zugriff auf welche Daten und Systeme – und wer prüft, ob Technik tatsächlich das tut, was sie soll? Genau da wird aus einer Schlagzeile eine Aufgabe für den IT-Alltag.
Microsoft-Patchday: Mehr als 1.400 geschlossene Lücken
Microsoft hat mit dem Oktober-Patchday nach eigenen Angaben mehr als 1.400 Sicherheitslücken geschlossen. 78 davon stuft das Unternehmen als kritisch ein. Den größten Anteil trägt Windows mit 1.102 behobenen Schwachstellen; hinzu kommen unter anderem 134 in Office-Programmen und 61 in Entwicklerwerkzeugen.
Besonders wichtig für die Priorisierung: Eine Lücke in der Windows Shell wurde zum Zeitpunkt des Patchdays bereits ausgenutzt. Über sie lässt sich eine Sicherheitswarnung umgehen, die beim Öffnen von Dateien aus dem Internet erscheint. Betroffen sind Windows 10 und 11 sowie mehrere Windows-Server-Versionen. Wie viele Angriffe es bereits gab, ist nicht bekannt.
Für Unternehmen heißt das: Nicht bei der Rekordzahl stehen bleiben und erschrocken auf die Patchliste starren. Entscheidend ist, welche betroffenen Systeme im eigenen Bestand laufen, ob Updates erfolgreich installiert wurden und wo ein Neustart oder eine Anwendungsprüfung noch aussteht. KDB kann diese Aufgaben im Managed Service und in der IT-Sicherheit strukturiert begleiten – vom Überblick über die Geräte bis zur kontrollierten Umsetzung.
Hinzu kommt ein absehbares Support-Thema: Für Windows 11 Version 24H2 in den Editionen Home und Pro ist das Oktober-Update laut Microsoft das letzte reguläre Sicherheitsupdate. Wer weiterhin reguläre Updates erhalten möchte, muss auf eine neuere Version wechseln. Das hatten wir bereits im KDB-Tech-Update zu Sicherheitslücken und Support-Enden angesprochen. Jetzt gehört die Versionsprüfung auf die konkrete To-do-Liste.
Palo-Alto-Firewalls: Ausgenutzte PAN-OS-Lücke mit Root-Risiko
Auch am Netzwerkrand ist Aufmerksamkeit gefragt. Palo Alto Networks warnt vor CVE-2026-0322, einer als „hoch“ eingestuften und bereits ausgenutzten Schwachstelle in PAN-OS. Unter bestimmten Voraussetzungen können Angreifer darüber Schadcode mit Root-Rechten ausführen.
Der Angriff setzt voraus, dass die Täter authentifiziert sind und Netzwerkzugriff auf das Management-Interface haben. Betroffen sind Firewalls der PA- und VM-Serie; Panorama, Cloud NGFW und Prisma Access sind laut Hersteller nicht betroffen. Palo Alto Networks spricht bislang von einer sehr kleinen Zahl beobachteter Angriffe, die US-Behörde CISA hat die Lücke dennoch in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.
Einen Workaround gibt es nicht. Administratoren sollten deshalb prüfen, welche PAN-OS-Version eingesetzt wird, das passende Sicherheitsupdate einspielen und den Zugriff auf das Management-Interface auf vertrauenswürdige interne IP-Adressen beschränken. Ein vorhandenes Threat-Prevention-Abonnement ermöglicht über die Threat-IDs 510046 und 510047 einen eingeschränkten zusätzlichen Schutz; dafür ist SSL-Decryption erforderlich. Ein Management-Zugang ist eben kein Eingang für Laufkundschaft – au net digital.
Wenn die Anzeige zum Angriffskanal wird
Eine Untersuchung des Citizen Lab beschreibt, wie das System für personalisierte Onlinewerbung für gezielte Spionage missbraucht worden sein soll. Im Mittelpunkt steht das Unternehmen Discover-Tech. Dessen Werbeinfrastruktur soll es ermöglicht haben, Geräte anhand von Werbe-IDs oder IP-Adressen gezielt mit Anzeigen zu erreichen und bei ausgewählten Zielen schädlichen Code auszuliefern. Nach den vorliegenden Erkenntnissen war dafür kein Klick auf die Anzeige nötig.
Die Forschenden berichten von konkreten Hinweisen auf Infektionen beim Nachrichtensender Al Jazeera: Zwischen 2024 und 2025 sollen mindestens 45 Geräte über diesen Weg mit Candiru-Spionagesoftware infiziert worden sein. Manipulierte Anzeigen erschienen laut Untersuchung außerdem auf Geräten im Umfeld staatlicher Einrichtungen, internationaler Organisationen, Medien und Technologieunternehmen. Wichtig ist die Unterscheidung: Eine ausgespielte Anzeige belegt für sich genommen keine Infektion – und auch kein Wissen der jeweiligen App- oder Webseitenbetreiber über die mutmaßlichen Angriffe.
Für KDB ist der Fall doppelt relevant. Als IT-Sicherheitspartner geht es um den Schutz von Endgeräten und um die Bewertung ungewöhnlicher Risiken jenseits klassischer Phishing-Mails. Als Agentur für Webseiten, SEO und digitales Marketing zeigt der Fall zugleich, warum Transparenz über Werbe- und Datenpartner keine lästige Fußnote sein sollte. Personalisierung mag Kampagnen helfen; undurchsichtige Datenflüsse können Vertrauen und Sicherheit beschädigen. Die Hintergründe zur Kontrolle von Werbetracking haben wir auch im vorherigen KDB-Tech-Update zu Werbetracking und KI aufgegriffen.
Reisedaten und Phishing: Wenn Betrüger erstaunlich gut informiert sind
Eine inzwischen offenbar behobene Schwachstelle in einem Buchungssystem des Reise-IT-Anbieters Amadeus machte nach Recherchen von heise online Buchungs- und Passagierdaten zugänglich. In geprüften Datensätzen fanden sich unter anderem Namen, Geburtsdaten, Buchungscodes sowie Kontakt- und Ausweisdaten. Technische Analysen beschrieben zudem einen ohne Anmeldung abrufbaren Speicherabzug mit Zugangsdaten und Authentifizierungstoken. Wie viele Menschen betroffen sind und ob Unbefugte tatsächlich Daten abgerufen haben, blieb offen. Amadeus erklärte, die Lücke geschlossen sowie Überwachung und Erkennung verstärkt zu haben.
Das BSI warnt vor besonders glaubwürdigen Betrugsnachrichten, die auf solchen Informationen aufbauen können – auch mit zeitlichem Abstand zum Datenleck. Eine Nachricht zu einer angeblich offenen Zahlung oder einem Early-Check-in kann überzeugend wirken, wenn Reisedaten stimmen. Prüfe solche Aufforderungen deshalb nicht über den Link oder die Telefonnummer in der Nachricht, sondern über einen offiziellen Kontakt des Hotels oder Reisedienstleisters.
Für Betriebe mit Kunden- oder Buchungsdaten ist das auch eine Prozessfrage: Wie werden Zahlungsänderungen verifiziert? Wer darf auf welche Datensätze zugreifen? Und wie werden Mitarbeitende informiert, wenn ein Dienstleister eine Schwachstelle meldet? KDB unterstützt dabei, solche Prüfwege und Zuständigkeiten so zu gestalten, dass sie im Alltag funktionieren – nicht nur auf einem hübschen Prozessdiagramm.
Phishing vor Gericht: Sofortige Erstattung ist nicht dasselbe wie endgültige Haftung
Passend dazu hat der Europäische Gerichtshof die Rechte von Bankkunden bei nicht autorisierten Zahlungen präzisiert. Nach dem Urteil C-70/25 muss ein Zahlungsdienstleister den Betrag grundsätzlich unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags nach der Mitteilung. Die Frage, wer den Verlust am Ende trägt, wird davon getrennt betrachtet. Will die Bank dem Kunden vorsätzliches oder grob fahrlässiges Verhalten zuweisen, muss sie dies nachweisen. Eine Ausnahme betrifft einen berechtigten Verdacht, dass der Kunde selbst betrügerisch handelt; dieser ist den zuständigen Behörden zu melden.
Das Urteil ersetzt keine Prävention. Gerade weil Phishing-Seiten und Nachrichten täuschend echt sein können, bleiben klare Freigabewege für Zahlungen und ein verlässlicher Umgang mit verdächtigen Mitteilungen wichtig – privat wie im Unternehmen.
Post-Quanten-Kryptografie: Der Fahrplan beginnt mit einem Inventar
Das BSI hat gemeinsam mit zwei Bundesministerien eine nationale Leitlinie für die Umstellung auf Post-Quanten-Kryptografie veröffentlicht. Wann leistungsfähige Quantencomputer heutige Verfahren praktisch gefährden können, ist unklar. Die Planung beginnt trotzdem schon jetzt: Verschlüsselte Daten könnten heute gesammelt und später entschlüsselt werden. Außerdem lassen sich kryptografische Verfahren in langlebigen Systemen nicht immer kurzfristig austauschen.
Die Leitlinie greift den EU-Zeitplan auf: Bis Ende 2026 sollen nationale Roadmaps und Planungen vorliegen, bis Ende 2030 Anwendungen mit hohem Risiko umgestellt sein und bis Ende 2035 auch Anwendungen mit mittlerem Risiko. Organisationen sollen ihre kryptografischen Komponenten erfassen, ein Krypto-Inventar anlegen und ihre Anwendungen nach aktuellem Stand der Technik betreiben. Empfohlen werden außerdem hybride Verfahren, die klassische und Post-Quanten-Algorithmen kombinieren.
Für Unternehmen ist die naheliegende erste Frage daher nicht „Welchen Algorithmus kaufen wir morgen?“, sondern: Wo nutzen wir überhaupt Verschlüsselung, Signaturen und Zertifikate – und wie lange müssen die geschützten Informationen vertraulich bleiben? Diese Bestandsaufnahme passt in eine langfristige IT- und Sicherheitsplanung, bei der KDB unterstützen kann.
Digitale Ausweise: Die Wallet braucht mehr als ein Gesetz
Der Bundestag hat gesetzliche Voraussetzungen für die staatliche digitale Wallet geschaffen. Die App soll ab dem 2. Januar 2027 zunächst mit wenigen Funktionen starten und digitale Identitätsdaten sowie später weitere Nachweise auf dem Smartphone nutzbar machen. Die Nutzung soll freiwillig bleiben. Für die Alltagstauglichkeit kommt es allerdings darauf an, welche Nachweise tatsächlich verfügbar werden und wo sie akzeptiert werden. Zudem sind erforderliche Einschätzungen des BSI eine Voraussetzung für den geplanten Start.
Beim Datenschutz müssen Stellen, die über die Wallet Informationen abfragen wollen, schon bei der Registrierung angeben, welche Daten sie für welchen Zweck benötigen. Eine verpflichtende Zulassungsprüfung, die unzutreffende Angaben vorab ausschließt, ist nach dem beschlossenen Rahmen nicht vorgesehen. Auch deshalb wird die praktische Aufsicht wichtig. Die Neuregelungen zu Pässen und Ausweisen benötigen zudem noch die Zustimmung des Bundesrats.
Für KDB als Partner für Digitalisierung und Prozessgestaltung ist die Wallet vor allem ein Beispiel dafür, dass eine App allein noch keinen guten digitalen Ablauf ergibt. Erst wenn Identitätsprüfung, Datenminimierung, Zuständigkeiten und der anschließende Vorgang sauber zusammenspielen, werden aus weniger Papier auch wirklich weniger Reibungsverluste.
KI und Werbedaten: Einwilligung und Schutz sind keine Dekoration
Das Landgericht Köln hat entschieden, dass Snap personenbezogene Daten aus Gesprächen mit dem Snapchat-KI-Chatbot nach den beanstandeten Nutzungsbedingungen nicht für gezielte Werbung verwenden darf. Unter anderem sah das Gericht vorangekreuzte Einwilligungsfelder nicht als wirksame Grundlage an. Das Urteil ist noch nicht rechtskräftig.
Die Entscheidung ist ein deutlicher Hinweis für alle, die KI-Funktionen mit Marketing verbinden möchten: Nur weil Menschen Informationen freiwillig in einen Chat eingeben, sind diese Inhalte nicht automatisch frei für jeden weiteren Werbezweck. Besonders sensibel ist das bei Minderjährigen. Acht US-Bundesstaaten haben darüber hinaus Klagen gegen OpenAI eingereicht und werfen dem Unternehmen unzureichenden Schutz von ChatGPT-Nutzenden vor; OpenAI verweist auf bestehende und weiterzuentwickelnde Schutzmaßnahmen. Über die Vorwürfe ist mit den Klagen noch nicht entschieden.
Wer KI in Kundenkommunikation oder interne Abläufe einbindet, braucht daher definierte Zwecke, begrenzte Datenzugriffe und menschliche Verantwortung für kritische Ergebnisse. Automatisieren? Gern. Verantwortung wegautomatisieren? Eher nicht.
Aus der IT-Werkstatt: KI-Agenten, Ubuntu und .NET
Anthropic berichtet, für seine stark gewachsenen, KI-gestützten Entwicklungsabläufe ein internes Versionskontrollsystem namens Scion entwickelt zu haben. Es ersetzt dort Teile einer aufwendigen Git-Mirror-Infrastruktur durch eine Client-Server-Architektur. Die von Anthropic genannten Größenordnungen sind speziell: Zehntausende Merges pro Tag und ein sehr großes Monorepository. Scion soll nicht veröffentlicht werden und ist kein allgemeiner Ersatz für Git.
Die übertragbare Erkenntnis liegt woanders: Wenn KI-Agenten mehr Codeänderungen erzeugen, müssen Review, Tests und Zusammenführung mitwachsen. Anthropic betont selbst, dass Ingenieurinnen und Ingenieure grundlegende Designentscheidungen trafen und Agentenarbeit häufig korrigieren mussten. Das gilt auch im kleineren Maßstab: Mehr automatisch erzeugter Code ist noch kein besserer Entwicklungsprozess.
Für Linux-Teams bringt Ubuntu 26.10 neue Funktionen, darunter einen zum Veröffentlichungszeitpunkt noch auf Linux 7.3-rc6 basierenden Kernel, den optionalen lokal laufenden Sprachassistenten Myna als Preview und den vollständigen Wechsel der klassischen GNU Coreutils zu den in Rust entwickelten uutils. Hinzu kommen Änderungen an Paket-Signaturprüfung und Systemdiensten. Als Zwischenrelease erhält die Version neun Monate Updates. Wer produktive Umgebungen betreibt, sollte daher vor einem Wechsel insbesondere Kompatibilität, Hardware und den eigenen Update-Zeitraum prüfen.
Microsofts .NET 11 RC 2 setzt an konkreten Entwicklerproblemen an. Neue, standardmäßig aktive Analyzer erkennen problematische Muster im Windows-Forms-Designer-Code bereits beim Kompilieren – auch solche, die Codegeneratoren oder KI-generierter Code erzeugen können. Weitere Änderungen betreffen den Start von HTTP/2-Verbindungen, lokalisierbare Validierungsmeldungen und das blockweise Einlesen von CBOR-Daten. Trotz Go-Live-Lizenz lohnt bei bestehenden Anwendungen ein gezielter Test: Einige neue Darstellungsoptionen für Windows Forms sind noch nicht vollständig umgesetzt.
Und noch eine Windows-Alltagsänderung: Microsoft hat beim Einrichten von Windows 11 einen weiteren Umweg geschlossen, über den sich die Anmeldung mit einem Microsoft-Konto überspringen ließ. Für standardisierte Gerätebereitstellung ist das ein Anlass, den eigenen Einrichtungsprozess zu prüfen, statt sich auf zufällige Lücken im Setup zu verlassen.
Was Du heute mitnehmen solltest
Erstens: Prüfe Windows- und PAN-OS-Systeme auf betroffene Versionen und plane die verfügbaren Sicherheitsupdates ein. Zweitens: Behandle Zahlungs- und Reisenachrichten mit unerwarteten Handlungsaufforderungen als prüfpflichtig – auch wenn die darin genannten Daten stimmen. Drittens: Erfasse Datenflüsse, Zugänge und kryptografische Abhängigkeiten, bevor neue digitale Dienste oder KI-Automatisierungen darauf aufbauen.
KDB verbindet dafür IT-Sicherheit und Managed Services mit Prozessgestaltung, Automatisierung sowie verantwortungsvollem digitalem Marketing. Denn sichere Technik und gute Nutzererlebnisse gehören zusammen. Alles andere sieht vielleicht schick aus – bis es kracht.
