Guten Morgen zum KDB-Tech-Update: Wenn Updates warten, warten Angreifer nicht
Es ist Mittwochmorgen, der 14. Oktober 2026. Im heutigen KDB-Tech-Update geht es um aktiv angegriffene Ivanti-Geräte, kritische Patches für SAP und GitLab und die Frage, warum vernetzte Kühlanlagen plötzlich zum Cyberrisiko für ganze Supermarktketten werden. Außerdem schauen wir auf Windows-Update-Zertifikate, KI-generierte Apps, versteckte Funktionen in KI-Modellen und eine digitale Identitäts-Wallet, bei der die Haftung noch für Diskussionen sorgt. Für Marketing und Medien ist ebenfalls etwas dabei: Wie transparent müssen KI-bearbeitete Inhalte gekennzeichnet werden?
Der rote Faden ist ziemlich klar: Ob Fernzugang, Produktionsanlage, KI-Agent oder Smartphone-App – sobald ein System etwas Wichtiges darf, braucht es gepflegte Software, begrenzte Rechte und Menschen, die im Ernstfall die Kontrolle behalten. Sonst wird aus „läuft doch“ schneller „Hättet ihr mal geschaut“, als einem lieb ist.
Ivanti Connect Secure: Ungepatchte Fernzugänge werden bereits angegriffen
Bei Ivanti Connect Secure ist Eile angesagt. Die Schwachstelle CVE-2026-104935 ermöglicht es Angreifern laut Ivanti, ohne vorherige Anmeldung aus der Ferne Befehle auf betroffenen Geräten auszuführen. Sie ist mit 8,6 von 10 CVSS-Punkten als hoch eingestuft; Ivanti berichtet bereits von Angriffen auf verwundbare Systeme. Auch die US-Behörde CISA führt die Lücke in ihrer Liste bekannter, aktiv ausgenutzter Schwachstellen.
Betroffen sind laut Hersteller die Versionen 25.1.1.1, 25.1.2.2 und 22.8R2.4 sowie ältere Ausgaben. Als abgesicherte Versionen nennt Ivanti 25.1.1.2, 25.1.3.0, 25.1.3.1 und 22.8R2.5. Wer eine entsprechende Appliance betreibt, sollte die installierte Version jetzt prüfen und das passende Update zeitnah einspielen. Ein Fernzugang ist schließlich kein System, das man nach dem Prinzip „machen wir irgendwann“ verwalten möchte.
Für KDB als IT-Systemhaus und Managed Service Provider ist das ein klassischer Fall für sauberes Schwachstellenmanagement: Bestand erfassen, Herstellerhinweise der eigenen Version zuordnen, Updates geplant ausrollen und danach prüfen, ob der Dienst wie vorgesehen arbeitet. Weil Angriffe bereits stattfinden, gehört auch die Frage dazu, ob es auf einer betroffenen Instanz Hinweise auf eine Kompromittierung gibt.
SAP und GitLab: Kritische Lücken in geschäftskritischen Systemen
SAP hat 16 neue Sicherheitshinweise und vier GitHub-Advisories veröffentlicht. Vier der beschriebenen Schwachstellen gelten als kritisch. Besonders schwer wiegt CVE-2026-89111 im SAP Cloud SDK for Python mit einem CVSS-Wert von 10: Durch einen manipulierbaren Wert im OAuth2-Ablauf kann eine Anwendung dazu gebracht werden, ihre eigenen Client-Anmeldedaten an einen vom Angreifer kontrollierten Server zu senden. Mit diesen Daten wären anschließend Zugriffe auf Ressourcen möglich, für die die Anwendung berechtigt ist – etwa in S/4HANA, SuccessFactors oder anderen BTP-Diensten. Laut SAP behebt Version 0.45.2 des SDK die Schwachstelle.
Weitere kritische Lücken betreffen SAP NetWeaver Visual Composer, SAP S/4HANA sowie SAP Manufacturing Integration and Intelligence. Je nach Schwachstelle reichen die möglichen Folgen von unbefugtem Zugriff über Schadcode-Ausführung bis zu Administratorrechten. Zum Veröffentlichungszeitpunkt lagen SAP keine Hinweise auf laufende Angriffe vor. Das ist eine gute Nachricht, aber kein Grund, verfügbare Sicherheitsupdates liegen zu lassen.
Auch GitLab hat wichtige Patches bereitgestellt. Die kritischste Lücke, CVE-2026-97229, erreicht ebenfalls CVSS 10. Nach den Herstellerangaben kann ein Angreifer ohne Anmeldung über einen präparierten regulären Ausdruck in einer CI/CD-Konfiguration Schadcode auf dem GitLab-Server ausführen. Korrigiert ist die Schwachstelle in GitLab 19.2.8, 19.3.5 und 19.4.2. GitLab.com nutzt bereits reparierte Versionen, und für GitLab Dedicated ist laut Unternehmen keine Aktion erforderlich. Handlungsbedarf besteht vor allem bei selbst verwalteten Instanzen.
Daneben wurden fünf weitere als hoch eingestufte GitLab-Lücken geschlossen, darunter Probleme mit Cross-Site-Scripting und Berechtigungen für Pipelines auf geschützten Branches. Gerade CI/CD-Systeme verdienen Aufmerksamkeit: Sie verbinden Quellcode, Zugangsdaten und automatisierte Abläufe. Ein Patch ist hier nicht bloß Serverpflege, sondern Schutz für die gesamte Entwicklungskette.
Ein weiterer Update-Fall betrifft IBM SPSS Modeler 19.0.0.0. Zwei Schwachstellen in der verwendeten Bibliothek Apache OpenNLP können unter anderem Abstürze durch präparierte Anfragen auslösen. IBM stellt einen Fix bereit; wer OpenNLP unabhängig von SPSS Modeler einsetzt, sollte auf 2.5.12 oder 3.0.0-M6 aktualisieren. Hinweise auf eine bereits erfolgte Ausnutzung liegen IBM bislang nicht vor.
Angriff auf Kühlsysteme: Vernetzte Anlagen brauchen Sicherheitsgrenzen
Wie unmittelbar Cyberangriffe den Alltag treffen können, zeigt ein Vorfall in Frankreich: Vernetzte Kühl- und Tiefkühlsysteme in rund 700 Supermärkten wurden angegriffen. Nach Angaben der Pariser Staatsanwaltschaft wurden Geräte über Nacht stundenlang auf bis zu 50 Grad Celsius erhitzt. Ermittlungen zu Schäden durch verdorbene Waren und zu möglichen Bränden laufen. Eine unmittelbare Gefahr für die landesweite Lebensmittelversorgung wurde nicht gemeldet.
Bei der Cooperative U waren nach Angaben des Unternehmens 80 von 2.000 Geschäften beeinträchtigt. Einige Filialen mussten Lebensmittel entsorgen. Der Hersteller Danfoss erklärte, dass viele betroffene Anlagen ältere Produkte seien, für die keine Software- oder Sicherheitsupdates mehr zur Verfügung stehen. Genau dort wird ein technisches Problem zum betrieblichen Risiko: Wenn eine Anlage zwar noch funktioniert, aber nicht mehr sicher gepflegt werden kann, reicht „läuft doch noch“ als Strategie eben nimmer.
Das BSI richtet seine Warnung ausdrücklich nicht nur an große Handelsketten. Auch Betreiber kleiner vernetzter Anlagen – etwa einzelner Kühlsteuerungen, Solarwechselrichter, Windkraftanlagen oder Trinkwasserversorgungsstellen – sollten ihre Zugänge prüfen. Die wichtigste Empfehlung: Steuerungen nicht direkt aus dem Internet erreichbar machen. Ist Fernzugriff erforderlich, empfiehlt die Behörde unter anderem VPN, Mehr-Faktor-Authentifizierung, eng begrenzte Zugriffsrechte und zeitnahe Updates.
Das betrifft die Operational Technology (OT), also Technik, die physische Prozesse steuert. Hier müssen IT-Sicherheit und Betriebsabläufe zusammen gedacht werden: Welche Anlage ist erreichbar? Wer darf Einstellungen ändern? Was passiert bei einem Ausfall? Gibt es für ältere Geräte überhaupt noch Updates? KDB unterstützt bei der Bestandsaufnahme, bei sicheren Fernzugriffen und dabei, Zuständigkeiten und Prozesse so zu gestalten, dass Sicherheit im laufenden Betrieb funktioniert. Zum Thema vernetzter Anlagen und klarer Zugriffsgrenzen haben wir auch im früheren KDB-Tech-Update berichtet.
Windows: Update-Zertifikate für 2027 frühzeitig prüfen
Microsoft erneuert im Mai und Juni 2027 Zertifikate, mit denen Windows-Geräte Update-Dienste authentifizieren. Ein Teil der bisherigen Zertifikate läuft am 17. Mai, ein weiterer am 19. Juni 2027 ab. Geräte, denen die benötigten Ersatzzertifikate fehlen, könnten danach den Zugang zu Windows Update verlieren. Vor allem lange nicht aktualisierte oder nicht mehr unterstützte Systeme verdienen deshalb Aufmerksamkeit; regelmäßig gepflegte, unterstützte Geräte sollen die neuen Zertifikate normalerweise über den üblichen Update-Prozess erhalten.
Für Windows 11 25H2 und spätere Versionen ist laut Microsoft keine zusätzliche Maßnahme nötig. Windows 11 24H2 und Windows Server 2025 benötigen vor dem 19. Juni 2027 mindestens das Sicherheitsupdate vom September 2025. Für weitere unterstützte Windows-11-Versionen, Windows Server 2022 und unterstützte Windows-10-Systeme ist mindestens das Sicherheitsupdate vom Juli 2026 erforderlich. Windows 10 Enterprise 2019 LTSC sowie Windows Server 2019 und 2016 benötigen dieses Update vor dem 17. Mai 2027.
Wichtig ist die Unterscheidung bei Windows 10: Gemeint sind unterstützte Systeme im kostenpflichtigen Extended-Security-Updates-Programm oder LTSC-Editionen. Der reguläre Support für Consumer-Ausgaben endete im Oktober 2025. Systeme mit WSUS sind laut Beitrag von der Zertifikatsumstellung nicht betroffen. Für Unternehmen bleibt die Aufgabe trotzdem sinnvoll: Gerätebestand und Update-Stand prüfen, Sonderfälle dokumentieren und nicht unterstützte Systeme ersetzen oder den Umstieg planen. Das knüpft an unser Update zu Sicherheitslücken und Support-Enden an.
KI-Apps ohne Programmierung: Schnell gebaut ist nicht automatisch sicher
Google macht die Erstellung eigener Android-Apps über Google AI Studio einfacher. Nutzer beschreiben in Textform, was eine App tun soll; die KI erstellt daraus eine Anwendung für das eigene Android-Gerät. Das Angebot ist derzeit kostenlos, zunächst aber nur für erwachsene Nutzer in den USA und ausgewählten weiteren Ländern verfügbar.
Zusätzlich kündigt Google einen kostenlosen Weg an, mit AI Studio erstellte Apps privat gelistet im Play Store bereitzustellen. Dafür soll kein kostenpflichtiges Entwicklerkonto nötig sein. „Privat gelistet“ heißt allerdings: Die Apps erscheinen nicht in Suche oder Empfehlungen. Wer eine App regulär öffentlich anbieten möchte, benötigt weiterhin den entsprechenden Entwicklerzugang und muss die üblichen Sicherheits- und Qualitätsprüfungen durchlaufen.
Für Unternehmen sind solche Werkzeuge interessant, um Ideen und interne Abläufe zügig zu erproben. Der Haken: Eine funktionierende Oberfläche ist noch kein Sicherheitsnachweis. Welche Daten verarbeitet die App? Welche Berechtigungen fordert sie an? Was passiert bei fehlerhaften Eingaben? Der vorliegende Bericht verweist auf Veracode-Tests, bei denen KI-generierter Code die geprüften Anforderungen in 56 Prozent der Fälle erfüllte; bei einzelnen Schwachstellentypen fielen die Ergebnisse deutlich schlechter aus. Google verweist auf eigene Prüfungen in AI Studio. Für produktive Geschäftsanwendungen bleiben zusätzliche Tests, Datenschutzprüfung und klare Verantwortlichkeiten trotzdem wichtig.
Der größere Punkt reicht über Android hinaus: Europas KI-Rückstand wird in einem von Sifted veröffentlichten Bericht vor allem als Organisationsproblem beschrieben. Unternehmen experimentieren mit Werkzeugen, tun sich aber schwer, Kompetenzen aufzubauen, Führungskräfte einzubinden und KI in bestehende Prozesse zu integrieren. Genau dort setzt KDB mit Digitalisierung und Automatisierung an: Erst den Ablauf verstehen, dann einen sinnvollen KI-Einsatz auswählen und anschließend Nutzen, Kosten und Risiken prüfen. Ein Chatfenster allein digitalisiert noch keinen Prozess, au wenn’s beeindruckend aussieht.
KI-Sicherheit: Offene Gewichte, lokale Modelle und der Not-Aus
Eine neue Studie zu Open-Weight-KI-Modellen stellt die Annahme infrage, dass einsehbare Modellgewichte automatisch alle verborgenen Fähigkeiten erkennbar machen. Forschende zeigten als Machbarkeitsnachweis, wie sich ein kleines Teilnetzwerk kryptografisch versiegelt in ein größeres Modell einbetten lässt. Ohne geheimen Auslöser verhielt sich das Trägermodell unauffällig; erst mit dem passenden Trigger wurde die versteckte Funktion aktiv.
Das Experiment hat erhebliche Grenzen: Für ein verborgenes Netzwerk mit nur 672 Parametern benötigte das Trägermodell mehr als zwei Milliarden Parameter. Zudem hinterließ die Konstruktion statistische Auffälligkeiten in den Gewichten. Die Studie belegt also nicht, dass verbreitete Open-Weight-Modelle solche Hintertüren enthalten. Sie zeigt aber, warum bei der Beschaffung und Integration von KI-Modellen Herkunft, technische Prüfung und begrenzte Berechtigungen zusammengehören.
Eine weitere Forschungsarbeit beschäftigt sich mit lokal betriebenen Sprachmodellen. Sie können Datenschutzvorteile bieten, weil sensible Eingaben das Gerät nicht verlassen müssen. Offline fehlen jedoch häufig cloudbasierte Filter und laufende Überwachung. Eine mathematische Methode sagte in einer Untersuchung bei 18 von 19 Fällen korrekt voraus, ob getestete Modelle sofort, verzögert oder im Beobachtungszeitraum nicht in einen problematischen Antwortverlauf kippten. Die Forschenden nennen zugleich deutliche Einschränkungen; für einen verlässlichen praktischen Einsatz sind weitere Untersuchungen nötig. Das ist ein Forschungsansatz, kein fertiger Sicherheitsknopf fürs Smartphone.
Um die Kontrolle über KI-Systeme geht es auch bei Forderungen aus der Microsoft-Führung. Präsident Brad Smith spricht sich für strengere Regeln, die Dokumentation möglicher Vorfälle, unabhängige Prüfungen und einen Not-Aus aus. Microsoft verweist zudem auf „Execution Containers“, die den Zugriff von KI-Modellen auf ausgewählte Dateien und Programme begrenzen und eine Abschaltung ermöglichen sollen. Für den Unternehmenseinsatz ist die praktische Frage entscheidend: Was darf ein KI-System sehen, verändern oder auslösen – und wer kann es stoppen? Das gilt unabhängig davon, ob ein Team ein eigenes Werkzeug oder einen externen Coding-Agenten nutzt. Wie schnell Anbieter ihre internen Präferenzen ändern können, zeigt der Bericht über Microsoft und Meta, die ihre Beschäftigten stärker zu eigenen KI-Werkzeugen lenken wollen. Für Microsoft-Kunden wurden dabei keine neuen Beschränkungen für Anthropic-Modelle gemeldet.
Digitale Identität: Die d-you-Wallet braucht klare Verantwortlichkeiten
Die geplante staatliche d-you-Wallet soll ab Januar 2027 digitale Ausweise, amtliche Nachweise und elektronische Unterschriften auf dem Smartphone ermöglichen. Über den Entwurf des deutschen Digitale-Identitätengesetzes soll der Bundestag voraussichtlich am 15. Oktober 2026 abstimmen. Die Deutsche Kreditwirtschaft unterstützt digitale Identitätsnachweise grundsätzlich, fordert aber präzisere Regeln für deren Nutzung in Bankprozessen.
Bei einer Kontoeröffnung wünschen sich die Banken etwa Klarheit, dass über die Wallet bereitgestellte Identitätsdaten gespeichert werden dürfen und keine zusätzliche Ausweiskopie erforderlich ist. Außerdem unterscheiden sie zwischen Authentifizierung – wer ist die Person? – und Autorisierung – gibt sie eine konkrete Zahlung frei? Besonders umstritten sind Haftung und Nachweise, falls bei einer über die Wallet abgewickelten Sicherheitsprüfung Betrug oder ein technischer Fehler auftritt. Die Institute möchten Zugriff auf die dafür notwendigen Protokolle und Informationen sowie die Möglichkeit, problematische Wallets bei bekannten Sicherheitsmängeln abzulehnen.
Auch Datenschutz- und Sicherheitsfragen sind offen. Kritisiert wurden unter anderem mögliche übermäßige Datenabfragen, die zum Start offenbar nicht vorgesehene pseudonyme Nutzung und Risiken durch Smartphones ohne Sicherheitsupdates. Für digitale Prozesse gilt hier dieselbe Regel wie für andere IT-Systeme: Eine bequemere Oberfläche ist ein Fortschritt – aber erst klare Datenflüsse, Sicherheitsanforderungen und Zuständigkeiten machen daraus einen verlässlichen Prozess.
KI in Medien und Marketing: Kennzeichnung gehört zum Konzept
RTL hat fünf bereits produzierte Folgen der Gerichtsshow „Ulrich Wetzel – Das Strafgericht“ mit KI verändert. Nach Angaben des Senders betrafen die Eingriffe unter anderem Figuren, Handlungsverläufe und Urteile; eingesetzt wurden beispielsweise Bildbearbeitung, künstlich erzeugte Sprache und angepasste Lippenbewegungen. Auf RTL+ gab es laut einer Recherche einen kurzen Hinweis im Abspann, bei der linearen TV-Ausstrahlung fehlte eine vergleichbare Kennzeichnung.
Ob damit tatsächlich gegen Vorgaben der EU-KI-Verordnung verstoßen wurde, war zum Berichtszeitpunkt nicht abschließend geklärt. Für fiktionale Inhalte besteht Spielraum bei der Gestaltung von Hinweisen; Transparenz ist damit aber nicht einfach vom Tisch. Für KDBs Arbeit in Design, Websites, SEO und Social Media ist die Lehre praktisch: Wer KI-generierte oder erheblich KI-veränderte Inhalte veröffentlicht, sollte Kennzeichnung und redaktionelle Verantwortung bereits bei der Produktion mitdenken – nicht erst, wenn jemand nachfragt.
Passend dazu sorgt in Baden-Württemberg ein Haushaltsentwurf für Streit: Ab 2027 sollen nach den Plänen rund 40 Prozent der Stellen bei der Landesdatenschutzbehörde entfallen, während für andere Landesbehörden und Ministerien fünf Prozent genannt werden. Eine angedachte Verlagerung von Zuständigkeiten auf Bundesebene ist bislang nicht umgesetzt. Der Landesdatenschutzbeauftragte warnt deshalb, dass seine Behörde Aufgaben behalten, aber deutlich weniger Personal dafür haben könnte. Für Unternehmen ändert der politische Streit nichts an der eigenen Pflicht, Datenschutz in digitale Angebote und Prozesse einzubauen.
Zum Schluss: Kleine Stellschraube, große Wirkung?
Nicht jede langsame Website braucht gleich eine neue Internetleitung. Das Open-Source-Werkzeug DNS Hop vergleicht öffentliche DNS-Resolver und zeigt unter anderem Messwerte zu Geschwindigkeit, Protokollen und Sicherheitsmerkmalen. Ein schnellerer DNS-Dienst kann die Namensauflösung verkürzen, erhöht aber nicht die verfügbare Bandbreite. Welche Ergebnisse sinnvoll sind, hängt vom eigenen Anschluss und Standort ab. Für professionell betreute Netze gilt: DNS-Einstellungen nicht blind per Knopfdruck wechseln, sondern Datenschutz-, Filter- und Sicherheitsanforderungen mitprüfen.
Unser Fazit für den Morgen: Zuerst die akut gefährdeten Ivanti-Systeme prüfen, danach die SAP- und GitLab-Patches anhand des eigenen Bestands priorisieren. Parallel lohnt sich der Blick auf direkt erreichbare Steuerungen und Geräte, die schon lange keine Updates mehr erhalten. Und bei KI – ob App, Agent oder Medieninhalt – müssen Berechtigungen, Prüfung und Transparenz von Anfang an mit auf den Tisch. KDB unterstützt Dich dabei, aus diesen Einzelmeldungen einen belastbaren Plan für IT-Sicherheit, digitale Prozesse und Kommunikation zu machen.
