KDB-Tech-Update am Abend: Berlin unter Ransomware-Druck, Router-Risiken und KI-Agenten mit Leine
Guten Abend zum KDB-Tech-Update! Heute wird’s sicherheitstechnisch durchaus würzig: Nach dem Angriff auf das Berliner Landesnetz fordert die Ransomware-Gruppe Rhysida offenbar 30 Bitcoin und droht mit einer Datenveröffentlichung. Parallel zeigen Sicherheitsforscher, warum Router nicht einfach irgendein Kästle im Netzwerk sind – und weshalb fest in Firmware verankerte Schadsoftware besonders unerquicklich ist.
Außerdem im Update: Neue Phishing-Maschen rund um WhatsApp und PayPal, starke passwortlose Anmeldung mit WebAuthn 3 sowie die Frage, wie Unternehmen KI-Agenten produktiv einsetzen können, ohne ihnen gleich den Generalschlüssel zur Firma in die Hand zu drücken. Und für Marketing und Content wichtig: Warum gute SEO allein künftig nicht mehr reicht, wenn Du in KI-Antworten sichtbar sein willst.
Genau diese Themen stehen auch auf unserer Podcast-Agenda: Cyberresilienz, sichere Automatisierung, moderne Authentifizierung und KI-tauglicher Content. Also, Kaffee vielleicht schon durch Feierabendgetränk ersetzt – aber bei der IT-Sicherheit bitte trotzdem wach bleiben.
Ransomware gegen Berlin: Rhysida fordert offenbar 30 Bitcoin
Der Cyberangriff auf das Berliner Landesnetz hat eine neue Eskalationsstufe erreicht. Hinter dem Vorfall steckt nach Informationen aus Sicherheitskreisen offenbar die international bekannte Ransomware-Gruppe Rhysida. Die Angreifer sollen große Datenmengen aus Berliner Systemen kopiert haben und fordern Berichten zufolge ein Lösegeld von 30 Bitcoin – derzeit ein Gegenwert von gut zwei Millionen Euro.
Besonders brisant: Die Täter sollen eine Leak-Seite im Darknet eingerichtet haben, auf der ein Countdown läuft. Läuft dieser ab, könnten größere Datenbestände veröffentlicht werden. Nach Angaben der Erpresser sollen rund 5,8 Terabyte an Daten abgeflossen sein. Genannt werden unter anderem zehntausende Verträge, Vorgänge zu Ordnungswidrigkeiten und Dateien mit angeblichen Login-Daten. Ob diese Angaben stimmen, wie aussagekräftig bereits veröffentlichte Auszüge sind und welche Daten konkret betroffen sind, ist bislang nicht unabhängig bestätigt.
Das Land Berlin will nicht zahlen. Der Regierende Bürgermeister Kai Wegner stellte nach einer Sondersitzung klar, dass sich Berlin nicht erpressen lassen werde. Diese Haltung entspricht auch der grundsätzlichen Empfehlung vieler Sicherheitsbehörden: Eine Lösegeldzahlung ist keine Garantie dafür, dass Daten gelöscht, nicht veröffentlicht oder nicht erneut missbraucht werden. Wer zahlt, kauft sich im Zweifel nur ein weiteres Fragezeichen ein. Schwäbisch gesagt: Viel Geld für keinerlei belastbare Gewährleistung – des isch halt kein Geschäftsmodell.
Der lange unbemerkte Zugriff ist das eigentliche Warnsignal
Nach Angaben des Berliner Senats wurden zwischen dem 7. und 12. August Daten aus betroffenen Systemen ausgeleitet. Entdeckt wurde der Angriff erst später. Damit hatten die Angreifer offenbar über einen längeren Zeitraum Zugriff auf Teile des Landesnetzes. Vorsorglich wurden betroffene Bereiche mehr als eine Woche vom Netz genommen; ein Notfallstab, das Landeskriminalamt, die Staatsanwaltschaft sowie Sicherheitsbehörden des Bundes sind eingebunden. Zusätzlich untersucht eine US-Spezialfirma die Infrastruktur.
Der Fall zeigt ein Muster, das KDB in der Praxis immer wieder sieht: Ransomware ist längst nicht nur Verschlüsselung. Häufig steht zunächst die verdeckte Ausspähung im Vordergrund. Angreifer bewegen sich im Netzwerk, suchen nach wertvollen Daten, erweitern Berechtigungen und kopieren Informationen. Erst danach folgt die Erpressung – oft kombiniert aus Verschlüsselungsdrohung und Veröffentlichung der Daten.
Für Unternehmen bedeutet das: Ein Backup bleibt unverzichtbar, reicht aber allein nicht aus. Wer Datenabfluss erkennen und begrenzen will, braucht ein Sicherheitskonzept aus zentralem Monitoring, sauberer Rechtevergabe, Netzwerksegmentierung, Mehrfaktor-Authentifizierung, aktueller Patch-Strategie und getesteten Notfallabläufen. KDB unterstützt dabei als Managed Service Provider von der Bestandsaufnahme über die Absicherung bis zur kontinuierlichen Überwachung. Denn im Ernstfall sollte nicht erst diskutiert werden, wer welches Passwort kennt oder wo die wichtigsten Daten liegen.
Manipulierte Router: Wenn das Herzstück des Netzwerks schon kompromittiert ist
Sicherheitsforscher von VulnCheck haben in älteren Routern beziehungsweise Firmware-Versionen des chinesischen Herstellers ZBT zwei fest integrierte Schadprogramme entdeckt: Speakingstone und Darklantern. Die Hardware soll weltweit auch unter anderen Markennamen verkauft worden sein, darunter Lippert Components, Wave WiFi und Digineo.
Das Problem ist gravierend: Die Schadprogramme sollen nicht nachträglich installiert worden sein, sondern bereits Bestandteil der Firmware sein. Laut Analyse öffnen sie einen unverschlüsselten Kommunikationskanal nach außen. Darüber könnten Unbefugte Befehle mit weitreichenden Rechten ausführen und im schlimmsten Fall die vollständige Kontrolle über den Router übernehmen. Die Kommunikation erfolgt demnach über UDP und wird offenbar durch den Dienst „inetdetect“ gestartet.
Ein Router ist kein unwichtiges Zubehörteil. Er verbindet Internet und lokales Netzwerk – und damit Arbeitsplatzrechner, Smartphones, Drucker, Kameras, Smart-Home-Geräte oder Server. Ist er kompromittiert, können Angreifer Datenverkehr beobachten, weitere Geräte angreifen, Schadsoftware nachladen oder den Anschluss für illegale Aktivitäten missbrauchen. Das Bundesamt für Sicherheit in der Informationstechnik bezeichnet Router deshalb zurecht als Herzstück der digitalen Vernetzung.
Was Du bei auffälligen oder alten Router-Modellen tun solltest
Wer einen ZBT-Router oder ein möglicherweise umgelabeltes Modell betreibt, sollte die von VulnCheck bereitgestellte Liste betroffener Modelle und Firmware-Versionen prüfen. Ist ein Gerät betroffen, lautet die Empfehlung: außer Betrieb nehmen und durch Hardware eines anderen Herstellers ersetzen. Ein Werksreset genügt nicht zwingend, wenn die Schadsoftware Bestandteil der Firmware ist.
Auch ein Firmware-Update ist nur dann eine belastbare Lösung, wenn der Hersteller ausdrücklich bestätigt, dass die Schwachstelle behoben wurde, und eine vertrauenswürdige Firmware bereitstellt. Für Unternehmen ist das ein klarer Hinweis, Netzwerkkomponenten nicht nur nach Preis und Leistung auszuwählen. Entscheidend sind nachvollziehbare Herstellerinformationen, regelmäßige Sicherheitsupdates, ein belastbarer Support und eine transparente Update-Politik.
Zu den Mindestmaßnahmen gehören starke, individuelle Administrationspasswörter, deaktivierte Fernwartung, sofern sie nicht wirklich benötigt wird, sowie aktuelle Firmware. KDB prüft im Rahmen von Security-Checks und Managed Services auch die Netzwerkbasis: Firewall, Router, WLAN, Segmentierung und Fernzugänge. Denn die beste Endpoint-Security hilft nur begrenzt, wenn das Tor zum Netzwerk sperrangelweit offensteht.
Phishing mit WhatsApp-Sperrung und angeblicher PayPal-Zahlung
Kriminelle setzen aktuell wieder auf zwei bewährte Hebel: Angst und Zeitdruck. In einer WhatsApp-Phishing-Masche erhalten Nutzerinnen und Nutzer E-Mails mit Betreffzeilen wie „Achtung: Ihr WhatsApp-Konto wird ohne Bestätigung deaktiviert“. Die Nachricht behauptet, das Konto müsse innerhalb von 24 Stunden bestätigt werden. Der enthaltene Link führt jedoch nicht zu WhatsApp, sondern auf eine gefälschte Seite, die Zugangsdaten, Sicherheitscodes oder andere sensible Informationen abgreifen soll.
Eine weitere Kampagne gibt sich als PayPal aus und warnt vor einer angeblichen Zahlung über 909 Euro an Digistore24. Auch hier soll ein Link angeblich zur Prüfung oder Stornierung führen. Tatsächlich droht die Weiterleitung auf eine manipulierte Login-Seite. Wer dort PayPal-Zugang, Karten- oder Kontodaten eingibt, liefert den Betrügern genau das Material, das sie brauchen.
Die wichtigste Regel bleibt simpel: Niemals über den Link in einer unerwarteten Nachricht ein Konto prüfen oder eine Zahlung stornieren. Öffne stattdessen die offizielle App oder tippe die bekannte Webadresse selbst in den Browser. Taucht dort kein entsprechender Vorgang auf, ist die Sache erledigt – Mail löschen, fertig.
Wenn Du schon geklickt hast: Nicht schämen, sondern schnell handeln
Wer auf eine Phishing-Seite gelangt ist und Daten eingegeben hat, sollte sofort reagieren. Ändere betroffene Passwörter direkt über die offiziellen Webseiten oder Apps. Wurde ein WhatsApp-Verifizierungscode weitergegeben, sollte der Account kontrolliert und die Zwei-Schritt-Verifizierung aktiviert werden. Bei PayPal, Bank- oder Kreditkartendaten gilt: Umsätze prüfen und bei Auffälligkeiten unverzüglich Bank, Kartenanbieter oder Zahlungsdienst kontaktieren.
Für Unternehmen ist Phishing-Schutz nicht nur eine technische Aufgabe. Mitarbeitende müssen typische Warnzeichen kennen: unpersönliche Ansprache, auffällige Absenderadressen, Druck durch Fristen, ungewöhnliche Zahlungsaufforderungen und Links, die nicht zur erwarteten Domain führen. KDB begleitet Unternehmen mit Security Awareness, technischen Schutzmaßnahmen und klaren Prozessen für den Umgang mit verdächtigen Nachrichten. Kein Mensch klickt absichtlich auf Phishing – aber ein eingeübter Prozess macht den Unterschied zwischen einem kurzen Schreck und einem echten Sicherheitsvorfall.
KI-Agenten: Technisch fähig heißt noch lange nicht berechtigt
Autonome KI-Agenten sollen immer mehr Aufgaben übernehmen: E-Mails zusammenfassen, Datenbanken bearbeiten, interne Tools nutzen, Kundenanfragen verarbeiten oder Rückerstattungen auslösen. Das kann Prozesse beschleunigen – eröffnet aber eine neue Kontrolllücke. Ein System kann technisch in der Lage sein, eine Handlung auszuführen, ohne im jeweiligen Kontext dazu berechtigt zu sein.
Eine IBM-Studie aus dem Jahr 2026 verdeutlicht diese Unsicherheit: Von 2.000 befragten Führungskräften auf C-Level fühlten sich nur 11 Prozent vollständig auf den erwarteten Einsatz von KI-Agenten im kommenden Jahr vorbereitet. Rund zwei Drittel der CIOs und CTOs erklärten, Verantwortung für KI-Systeme zu tragen, die sie nicht vollständig kontrollieren könnten.
Entscheidend ist deshalb die Trennung von Können und Dürfen. Ein Agent darf nicht allein deshalb Änderungen an einer Produktionsdatenbank durchführen, weil er einen Optimierungsauftrag erhalten hat. Ebenso sollte ein Agent mit einer Rückerstattungsgrenze von 50 Euro nicht unbegrenzt viele einzelne Erstattungen auslösen können, nur weil jede Einzelzahlung unterhalb des Grenzwerts liegt.
KI sicher automatisieren: Rollen, Grenzen und menschliche Freigaben
Unternehmen sollten für jeden KI-Agenten eindeutig definieren, auf welche Daten, Systeme und Werkzeuge er zugreifen darf. Ebenso wichtig sind Regeln dafür, welche Aktionen zu seiner Rolle passen, wann eine menschliche Freigabe nötig ist und wie ungewöhnliches Verhalten erkannt wird. Nicht nur die einzelne Aktion ist relevant, sondern auch die Abfolge: Zehn gleichartige Vorgänge können zusammen ein Risiko sein, obwohl sie isoliert betrachtet zulässig wirken.
Sinnvoll sind sogenannte Observability Gates: Kontrollpunkte, die bei ungewöhnlich vielen, besonders umfangreichen oder risikoreichen Aktionen eingreifen. Der Prozess kann dort angehalten, eingeschränkt oder zur Freigabe an einen Menschen übergeben werden. Gerade bei Zahlungen, Kundenkommunikation, Berechtigungsänderungen, Datenlöschungen oder produktiven Systemeingriffen ist das kein Bürokratieballast, sondern saubere Risikosteuerung.
KDB entwickelt und integriert KI-gestützte Automatisierungen mit genau diesem Anspruch: wiederkehrende Prozesse beschleunigen, aber Zuständigkeiten, Datenschutz und Zugriffskontrolle von Anfang an mitdenken. KI darf gerne mitarbeiten – sie sollte aber nicht unbeaufsichtigt den Laden umräumen.
Gemini Spark: KI-Agenten rücken im Arbeitsalltag näher
Google arbeitet mit Gemini Spark an einem KI-Agenten, der nicht bei Textvorschlägen stehen bleiben soll. Das System soll Informationen aus verschiedenen Quellen verknüpfen und konkrete Aufgaben ausführen können, etwa E-Mails sichten, Termine prüfen und Kalendereinträge anlegen. In den USA ist Gemini Spark bereits verfügbar; für Deutschland wird eine Einführung im dritten Quartal 2026 erwartet.
Der praktische Nutzen solcher Systeme liegt auf der Hand: Routineaufgaben, Recherche, Textvorbereitung und Koordination können schneller erledigt werden. Gleichzeitig wächst aber mit jeder angebundenen Anwendung die Verantwortung. Ein Agent, der Kalender, E-Mails, Dokumente und womöglich auch private Angaben verarbeiten kann, braucht klar begrenzte Berechtigungen und nachvollziehbare Freigabeschritte.
Hinzu kommt: Auch KI-Agenten können falsche Informationen erzeugen, Zusammenhänge fehlerhaft bewerten oder Aufgaben nicht korrekt ausführen. Bei wichtigen Entscheidungen, externen Nachrichten, Buchungen und vertraulichen Daten bleibt die menschliche Kontrolle unverzichtbar. Automatisierung spart Zeit – blindes Vertrauen spart im Zweifel nur den Weg zum nächsten Problem.
WebAuthn 3 ist Webstandard: Passkeys werden weiter gestärkt
Das World Wide Web Consortium hat Web Authentication Level 3, kurz WebAuthn 3, als offizielle W3C Recommendation verabschiedet. WebAuthn bildet eine technische Grundlage für starke, passwortlose Logins mit Public-Key-Verfahren – etwa über Passkeys oder Sicherheitsschlüssel.
Die neue Version ergänzt den Standard unter anderem um eine standardisierte JSON-Serialisierung und erweitert die Unterstützung für Anwendungsfälle über verschiedene Herkunftsdomänen hinweg. Für die Entwicklung moderner Webanwendungen ist das relevant, weil sich passwortlose Authentifizierung damit flexibler und einheitlicher integrieren lässt.
Für Unternehmen ist die Richtung klar: Passwörter allein sind als Schutzmechanismus zu schwach, zu oft wiederverwendet und zu leicht durch Phishing abzugreifen. Mehrfaktor-Authentifizierung und passwortlose Verfahren reduzieren dieses Risiko deutlich. KDB unterstützt bei der Einführung sicherer Identitäts- und Zugriffsmodelle – von MFA über Geräteabsicherung bis zu modernen Login-Konzepten für Kundenportale und interne Anwendungen.
LLM-Readability: Sichtbarkeit in KI-Antworten braucht klare Inhalte
Für Webseiten, Ratgeber und Unternehmenscontent reicht klassische SEO zunehmend nicht mehr aus. Damit Inhalte auch in Antworten von ChatGPT, Google AI Overviews oder anderen Sprachmodellen auftauchen können, müssen sie klar strukturiert und als einzelne Passage verständlich sein. Dieser Ansatz wird als LLM-Readability bezeichnet.
Sprachmodelle betrachten häufig nicht den gesamten Artikel, sondern einzelne Textabschnitte. Jeder Absatz sollte deshalb einen klaren Gedanken behandeln, die wichtigste Aussage möglichst im ersten Satz nennen und auch ohne den vorherigen Text verständlich bleiben. Besonders hilfreich sind konkrete Zwischenüberschriften in Frageform, etwa: „Wie lange dauert die Einführung einer digitalen Zeiterfassung?“ Direkt darunter sollte die präzise Antwort stehen – danach folgen Details, Beispiele und Einschränkungen.
Die wichtigsten Regeln: kurze, in sich verständliche Absätze; eindeutige Begriffe; konkrete Aussagen; direkte Quellen und klare Fragen als Zwischenüberschriften. Klassische SEO bleibt dabei die Basis, denn nicht indexierte oder technisch schlecht erreichbare Inhalte können auch von KI-Systemen kaum berücksichtigt werden. LLM-Readability ist also kein Ersatz für SEO, sondern die nächste sinnvolle Ausbaustufe.
Für KDB-Kunden bedeutet das: Wir denken bei Homepage-Erstellung, SEO und Content nicht nur an Google-Rankings, sondern auch an die Frage, ob Deine Expertise in KI-gestützten Such- und Antwortsystemen verständlich, zitierfähig und sichtbar wird. Gute Inhalte sollen Menschen überzeugen – und Maschinen nicht ratlos zurücklassen.
Entwicklungs-Update: Kubernetes, VS Code und API-Qualität
Auch auf der Entwicklerseite gibt es relevante Fortschritte. Mit Kubernetes 1.37 erreicht die API-Gruppe metrics.k8s.io den stabilen v1-Status. Sie liefert zentrale Nutzungsdaten zu CPU und Arbeitsspeicher von Nodes und Pods und wird unter anderem für ressourcenbasiertes Autoscaling sowie Befehle wie kubectl top genutzt. Für Betreiber von Kubernetes-Clustern bedeutet der stabile Status eine verlässlichere Grundlage für Monitoring und Skalierung.
Microsoft hat außerdem Visual Studio Code 1.135 veröffentlicht. Der Agent Mode kann nun Sitzungen über mehrere VS-Code-Fenster hinweg verbinden. Hinzu kommt ein „Rubber-Duck“-Modus, bei dem ein zweiter Agent Code, Plan und Tests des Haupt-Agenten kritisch überprüft. Das kann helfen, Fehler, unklare Annahmen und alternative Lösungswege früher sichtbar zu machen – ersetzt aber natürlich keine verantwortliche Code-Review durch Menschen.
Spannend ist auch der Ansatz von Routebase im API-Management: KI-Agenten arbeiten über einen nativen MCP-Server mit derselben API-Spezifikation wie das Entwicklungsteam. Dadurch sollen Agenten nicht auf veralteten oder unvollständigen YAML-Dateien arbeiten, sondern auf einer gemeinsamen, validierbaren Quelle. Ergänzt um Versionskontrolle, Style-Guides und die Prüfung auf Breaking Changes kann das KI-Unterstützung im Entwicklungsprozess deutlich kontrollierbarer machen.
KDB-Fazit: Sicherheit und Automatisierung gehören zusammen
Der heutige Überblick zeigt zwei Seiten derselben Medaille. Auf der einen Seite nehmen Cyberangriffe, Datenabfluss und Phishing weiter zu. Auf der anderen Seite eröffnen KI-Agenten, moderne Entwicklungswerkzeuge und passwortlose Authentifizierung echte Chancen für effizientere Prozesse. Die Lösung liegt nicht darin, alles Neue zu blockieren – sondern es sauber abzusichern, sinnvoll zu steuern und nachvollziehbar in die eigene IT-Landschaft einzubauen.
KDB verbindet IT-Sicherheit, Managed Services, Prozessautomatisierung, KI, Webentwicklung und digitale Sichtbarkeit. Wenn Du wissen willst, wie sicher Deine Infrastruktur aufgestellt ist, welche Prozesse sich verantwortungsvoll automatisieren lassen oder wie Deine Website für Suchmaschinen und KI-Antworten fit wird: Meld Dich bei uns. Wir machen Digitalisierung praktisch – ohne Technik-Blabla und ohne dass Dir dabei das Netzwerk um die Ohren fliegt.
