KDB-Tech-Update am Abend: Cloud-Schlüssel, KI-Governance, Phishing und Content für die KI-Suche
Guten Abend zum KDB-Tech-Update von der KDB Medienagentur GmbH. Heute geht’s einmal quer durch die Themen, bei denen Unternehmen besser nicht auf gut Glück unterwegs sind: Öffentlich geleakte AWS-Schlüssel, automatisierte Entscheidungen mit massiven DSGVO-Folgen, KI-gestützte Code-Sicherheit und Datenschutzfilter für Chatbots. Dazu schauen wir auf aktuelle Betrugsmaschen für Android und Google-Nutzer, sichere Router-Einstellungen sowie die Frage, wie Deine Inhalte künftig nicht nur bei Google, sondern auch in KI-Antworten sichtbar werden. Kurz gesagt: Technik kann ordentlich schaffen – wenn man sie sauber absichert und mit Hirn einsetzt. Sonst wird’s halt schnell unerquicklich.
768 aktive AWS-Schlüssel: Ein Leak ist kein erledigter Vorgang
Sicherheitsforscher von Truffle Security haben 768 öffentlich auffindbare AWS-Zugangsschlüssel identifiziert, die weiterhin aktiv waren. Besonders kritisch: 526 davon waren Root-Schlüssel. Diese Zugangsdaten verfügen über die weitreichendsten Berechtigungen innerhalb eines AWS-Kontos. Wer einen Root-Schlüssel kontrolliert, kann im schlimmsten Fall nahezu das gesamte Konto verwalten.
Für die Untersuchung wurden 431.875 AWS-Secrets aus öffentlichen Code-Repositories, Git-Historien, Datensätzen, Docker-Images sowie CI/CD-Protokollen gesammelt. Nach der Bereinigung blieben 64.024 eindeutige Schlüssel übrig. Bei 10.616 vollständigen Zugangsdaten war eine Authentifizierungsprüfung möglich – und zum Stichtag 10. August waren 88 Prozent davon noch aktiv.
Auffällig war unter anderem die Plattform Hugging Face: Dort fanden die Forschenden 8.482 eindeutige AWS-Schlüssel. KI-Plattformen, Modell-Repositories und Datensätze sind damit längst ebenfalls Teil der Angriffsfläche. Wer Daten, Prompts, Trainingsmaterial oder Code öffentlich bereitstellt, muss genauso sorgfältig mit Zugangsdaten umgehen wie in klassischen Software-Projekten. Ein API-Key in einer Datei ist halt kein Feature, sondern ein potenzieller Generalschlüssel.
Zusätzlich problematisch: Viele Schlüssel waren offenbar jahrelang im Einsatz. Der Median bekannter Erstellungsdaten lag bei rund fünf Jahren, während nur 13,7 Prozent der betroffenen Nutzer später einen neuen Schlüssel erhalten hatten. Eine fehlende oder schlecht überwachte Schlüsselrotation kann aus einem einzelnen Fehler ein dauerhaftes Sicherheitsrisiko machen.
AWS kann erkannte Leaks mit einer Quarantäne-Richtlinie einschränken. Nach der Analyse des Cloud-Experten Corey Quinn bleiben jedoch potenziell weitreichende Aktionen möglich, etwa das Übernehmen weiterer Rollen oder das Ausführen von Befehlen auf bestehenden Instanzen. Besonders heikel sind mögliche Manipulationen an Protokollierung und Überwachung: Wenn CloudTrail deaktiviert oder Audit-Daten gelöscht werden, wird die Analyse eines Angriffs deutlich schwieriger.
Was Unternehmen daraus mitnehmen sollten: Ein geleakter Schlüssel muss unverzüglich deaktiviert oder ersetzt werden. Root-Zugangsdaten gehören nicht in den Tagesbetrieb, nicht in Skripte und erst recht nicht in öffentliche Repositories. Besser sind rollenbasierte Berechtigungen, kurzlebige Tokens, das Prinzip minimaler Rechte und eine zentrale Überwachung der Cloud-Aktivitäten. Gerade für regulierte Unternehmen – etwa im Finanzsektor mit DORA-Pflichten – sind nachvollziehbare Prozesse für Identitäten, Berechtigungen, Rotation und Incident Response unverzichtbar.
KDB unterstützt Unternehmen dabei, Cloud- und IT-Sicherheitsprozesse sauber aufzusetzen: von Berechtigungskonzepten über Sicherheitschecks bis zu Monitoring, Dokumentation und automatisierter Prüfung kritischer Konfigurationen.
824,99 Millionen Euro gegen Uber: Wenn der Algorithmus den Job sperrt
Die niederländische Datenschutzaufsicht Autoriteit Persoonsgegevens hat gegen Uber ein Bußgeld in Höhe von 824,99 Millionen Euro verhängt. Im Kern geht es nicht um einen klassischen Datenabfluss, sondern um automatisierte Entscheidungen mit erheblichen Folgen für Menschen.
Nach Einschätzung der Aufsicht soll Uber zwischen 2018 und 2022 Daten zum Fahrverhalten und Kundenbewertungen ausgewertet haben, um Fahrer automatisiert zu sperren oder zu deaktivieren – ohne vorherige menschliche Prüfung. Für Betroffene konnte das bedeuten, dass eine zentrale Erwerbsmöglichkeit von einem Moment auf den anderen wegfiel.
Die Behörde sieht darin einen Verstoß gegen Artikel 22 der DSGVO. Dieser Artikel schützt Menschen vor ausschließlich automatisierten Einzelentscheidungen, wenn diese erhebliche persönliche oder berufliche Auswirkungen haben können. Eine Entscheidung durch Software darf also nicht einfach ohne Kontrollmöglichkeit durchgewunken werden, wenn sie über Kredit, Kündigung, Sperrung oder wirtschaftliche Teilhabe entscheidet.
Uber hat gegen den Bescheid Rechtsmittel eingelegt, die Strafe ist damit nicht rechtskräftig. Der Fall bleibt dennoch ein sehr deutliches Signal: Wer KI, Scoring oder regelbasierte Automatisierung einsetzt, muss nicht nur auf technische Trefferquoten schauen. Entscheidend sind auch Transparenz, menschliche Kontrolle, nachvollziehbare Prozesse und eine wirksame Möglichkeit zur Überprüfung.
Für Unternehmen bedeutet das: Automatisierung darf Entscheidungen vorbereiten, priorisieren und Empfehlungen liefern. Sobald daraus folgenreiche Maßnahmen für Beschäftigte, Bewerber, Kunden oder Partner entstehen können, braucht es klare Zuständigkeiten und eine dokumentierte menschliche Entscheidung. Ein „hat das System halt so berechnet“ ist datenschutzrechtlich keine belastbare Strategie.
Claude Mythos 5: KI für Code-Sicherheit, aber mit kontrolliertem Zugang
Anthropic erweitert den Zugang zu seinem leistungsfähigsten Cybersecurity-Modell Claude Mythos 5. Der Ansatz ist bemerkenswert: Unternehmen und Sicherheitsteams erhalten nicht den freien Zugriff auf das Modell, sondern ausschließlich die Ergebnisse seiner Analysen – etwa Warnmeldungen, Schwachstellenberichte und Patch-Vorschläge.
Die erste Anwendung ist das automatisierte Code-Scanning. Repositories können auf Schwachstellen geprüft werden; die Ergebnisse enthalten eine Beschreibung des Problems, eine CWE-Kategorie, Schweregrad, Einschätzung zur Zuverlässigkeit und einen Vorschlag zur Behebung. Änderungen werden dabei ausdrücklich nicht automatisch übernommen. Verantwortliche Personen müssen sie prüfen und freigeben.
Genau diese Kombination ist aus Sicht der IT-Sicherheit sinnvoll: KI kann große Codebasen schneller untersuchen, auffällige Bereiche priorisieren und Entwicklungsteams bei der Behebung unterstützen. Die Verantwortung für die Bewertung und Umsetzung bleibt aber beim Menschen. Ein autonom ausgespielter Patch ohne Review wäre in produktiven Umgebungen nämlich eher sportlich – und zwar ohne Netz und doppelten Boden.
Zusätzlich kündigte Anthropic einen Defender Advantage Fund mit 35 Millionen US-Dollar in Form von Credits an. Die Mittel sollen Open-Source-Projekte bei der Behebung bestehender Schwachstellen, automatisierten Sicherheitsprüfungen und der Reduzierung ganzer Fehlerklassen unterstützen. Das ist relevant, weil KI zwar sehr viele Schwachstellen finden kann, die eigentliche Arbeit aber anschließend beginnt: analysieren, priorisieren, testen, patchen und sauber veröffentlichen.
Für KDB ist der Grundsatz klar: KI kann Sicherheitsarbeit erheblich beschleunigen, ersetzt aber keine geregelten Prozesse. Sichere Software braucht Code Reviews, klare Freigaben, nachvollziehbares Patch-Management, Monitoring und Verantwortlichkeiten. KI ist dabei ein starkes Werkzeug im Werkzeugkasten – aber nicht der Hausmeister mit Generalschlüssel.
Privacy Gateway: Sensible Daten vor dem KI-Chatbot abfangen
Ein Forschungsteam der Fernuniversität in Hagen hat mit „Privacy Gateway“ einen Prototypen entwickelt, der zwischen Nutzenden und externen KI-Diensten sitzt. Bevor ein Prompt an ein Sprachmodell weitergeleitet wird, soll das System sensible Informationen erkennen, anonymisieren oder entfernen.
Der Ansatz geht über eine reine Suche nach Namen, Adressen oder Zahlenfolgen hinaus. Privacy Gateway soll den Zusammenhang einer Anfrage bewerten und stützt sich dabei auf ein Codebook, das rechtliche Definitionen der DSGVO – insbesondere zu personenbezogenen Daten und besonderen Kategorien personenbezogener Daten – sowie Kriterien für deutsche Geschäftsgeheimnisse in konkrete Anweisungen überträgt.
Die Erkenntnis aus den Tests ist wichtig: Datenschutzfilter können die Risiken beim Einsatz externer KI-Dienste deutlich reduzieren, lösen aber nicht jedes Problem. Bei umfangreichen oder sehr detailreichen Eingaben kann die Anonymisierung Informationen entfernen, die für eine gute Antwort relevant wären. Besonders bei medizinischen Schilderungen oder komplexen Fallbeschreibungen kann die Qualität darunter leiden.
Für Unternehmen folgt daraus eine klare Reihenfolge: Erst festlegen, welche KI-Dienste überhaupt genutzt werden dürfen. Dann definieren, welche Datenarten tabu sind, welche Freigaben nötig sind und wie Mitarbeitende sicher mit Prompts umgehen. Technische Schutzmechanismen wie ein vorgeschalteter Filter sind sinnvoll – aber sie ersetzen keine KI-Richtlinie, keine Schulung und keine Datenschutzprüfung.
KDB begleitet Unternehmen bei der sicheren Einführung von KI: mit praxistauglichen Nutzungsregeln, Prozessgestaltung, Datenschutz- und Sicherheitsbetrachtung sowie Automatisierungen, die sensible Daten und interne Informationen angemessen berücksichtigen.
Google kauft Kommunikationsarchiv aus Insolvenz: Unternehmensdaten werden zum KI-Rohstoff
Google hat im Insolvenzverfahren der US-Fluggesellschaft Spirit Airlines ein umfangreiches Datenpaket für zehn Millionen US-Dollar erworben. Zum Paket gehören laut vorliegenden Angaben rund 100 Millionen E-Mails, etwa 500 Millionen Microsoft-Teams-Unterhaltungen, Software und Daten zur Preisgestaltung.
Google erklärte, die Daten könnten zur Verbesserung eigener Produkte und KI-Modelle beitragen. Vor der Übergabe sollen personenbezogene Informationen durch ein externes Unternehmen entfernt werden. Wie umfassend die Anonymisierung erfolgt und welche Inhalte letztlich genutzt werden dürfen, bleibt offen.
Der Fall zeigt, welchen wirtschaftlichen Wert echte Unternehmenskommunikation inzwischen hat. E-Mails, Chats und interne Dokumente bilden Entscheidungen, Arbeitsabläufe und Kundenprozesse ab – und sind damit für KI-Entwicklung hochinteressant. Gleichzeitig enthalten sie häufig personenbezogene Daten, vertrauliche Einschätzungen, Geschäftsgeheimnisse oder Informationen über Kunden und Partner.
Für Unternehmen ist das ein weiterer Anlass, Datenklassifizierung und Aufbewahrungskonzepte ernst zu nehmen. Nicht jede E-Mail muss ewig aufgehoben werden, nicht jeder Chat gehört in unkontrollierte Ablagen, und sensible Informationen sollten nicht ohne klare Regeln in externe Systeme wandern. Datenhygiene ist nicht sexy, aber sie spart im Ernstfall sehr viel Ärger. Und des isch bekanntlich auch was wert.
Android-Malware WindRelay: Die Bank ruft an? Dann lieber erst mal auflegen
Die Schadprogramme WindRelay und SpyNote zeigen, wie professionell moderne Betrugsmaschen technische Angriffe und Social Engineering kombinieren. Nach Angaben von Group-IB geben sich Täter am Telefon beispielsweise als Bankmitarbeiter aus und bewegen ihre Opfer zur Installation einer vermeintlichen Sicherheits- oder Support-App. Tatsächlich wird dabei SpyNote installiert, das umfangreichen Fernzugriff auf das Android-Gerät ermöglichen kann.
Im nächsten Schritt wird offenbar WindRelay eingerichtet. Die Malware missbraucht die NFC-Funktion des Smartphones: Opfer sollen ihre physische Bank- oder Kreditkarte an die Rückseite des Geräts halten. Das Smartphone wird dadurch zum gefälschten Kartenlesegerät, Kartendaten können in Echtzeit an die Täter übertragen werden.
Kaspersky berichtet, dass die Zahl blockierter NFC-Attacken auf Android-Geräten Anfang 2026 gegenüber dem Vorjahreszeitraum um 188 Prozent gestiegen ist. Die wichtigste Schutzregel bleibt erfreulich unkompliziert: Banken fordern am Telefon nicht zur Installation unbekannter Apps auf. PIN, TAN, Passwort und Zugangsdaten gehören niemals in ein Telefonat mit angeblichen Support-Mitarbeitern.
Bei verdächtigen Anrufen gilt: Gespräch beenden, keine App installieren, keine Karte ans Smartphone halten und die Bank über eine selbst recherchierte offizielle Telefonnummer kontaktieren. Bei einem vermuteten Vorfall müssen Bank und Zahlungsdienstleister sofort informiert, Karte und Online-Banking gesperrt sowie Zugangsdaten von einem vertrauenswürdigen Gerät geändert werden.
Gefälschte Google-Sicherheitswarnungen: Nicht auf „Ja“ und nicht auf „Nein“ klicken
Auch Smartphone-Nutzer geraten derzeit über eine gefälschte Google-Sicherheitswarnung unter Druck. Die Nachricht behauptet beispielsweise, vom Gerät seien verdächtige SMS verschickt worden, und fordert zur schnellen Bestätigung über Schaltflächen wie „Ja“ oder „Nein“ auf.
Nach Angaben von Mimikama handelt es sich nicht um eine echte Google-Prüfung. Hinter den Buttons können betrügerische Seiten stecken, die Zugangsdaten oder Zahlungsinformationen abgreifen sollen. Ein entscheidendes Merkmal ist die Internetadresse: Ein Google-Logo und ein vertrautes Design machen eine Webseite nicht zu Google. Die Domain muss stimmen.
Wer eine solche Meldung sieht, sollte keine Schaltfläche anklicken, keine Daten eingeben und den Tab schließen. Den Sicherheitsstatus eines Kontos prüfst Du ausschließlich über die offizielle App oder indem Du die bekannte Website selbst aufrufst. Wurde bereits ein Passwort eingegeben, muss es sofort geändert werden – und bei Wiederverwendung auch bei allen anderen betroffenen Diensten. Zwei-Faktor-Authentifizierung gehört ebenfalls dazu.
Router absichern: Vier Einstellungen, die Du heute noch prüfen kannst
Der Router ist die zentrale Eingangstür ins Netzwerk. Darüber laufen PCs, Smartphones, Drucker, Fernseher, Kameras, Smart-Home-Geräte und im Homeoffice oft auch berufliche Systeme. Entsprechend wichtig sind die Empfehlungen des BSI: starke Passwörter, aktuelle Firmware, möglichst wenig unnötige Funktionen und eine saubere Trennung von Netzwerken.
Erstens: Ändere voreingestellte Zugangsdaten und verwende einen neutralen WLAN-Namen ohne persönliche Angaben, Hersteller- oder Modellhinweise. Für die Router-Verwaltung sollte ein starkes, individuelles Passwort genutzt werden. Das WLAN-Passwort sollte mindestens 20 Zeichen lang sein und nicht aus leicht erratbaren Informationen bestehen.
Zweitens: Aktiviere automatische Firmware-Updates oder prüfe regelmäßig manuell, ob Aktualisierungen verfügbar sind. Erhält ein Router keine Sicherheitsupdates mehr, sollte ein Austausch geprüft werden. Alte Hardware mit bekannten, ungepatchten Lücken bleibt ein Risiko – egal wie sorgfältig die übrigen Geräte eingerichtet sind.
Drittens: Deaktiviere Fernzugriff, UPnP und WPS, sofern diese Funktionen nicht wirklich benötigt werden. Auch unnötige Freigaben und Dateidienste gehören auf den Prüfstand. Die Firewall des Routers sollte aktiv bleiben; für WLAN-Verschlüsselung gilt WPA3 als bevorzugte Wahl, mindestens sollte WPA2 verwendet werden.
Viertens: Richte ein separates Gastnetzwerk ein. Besuchergeräte und möglichst auch IoT-Komponenten wie smarte Steckdosen, Fernseher oder Kameras sollten nicht ohne Weiteres auf Rechner, Netzwerkspeicher oder sensible Systeme im Hauptnetz zugreifen können. Netzwerksegmentierung klingt nach Großkonzern, ist aber auch daheim und im kleinen Büro ziemlich vernünftig.
Automatisierung im IT-Betrieb: KI ist Werkzeug, nicht Betriebsstrategie
Im Site Reliability Engineering wird häufig von „AI SRE“ gesprochen. Der sinnvollere Blick ist jedoch „AI for SRE“: Künstliche Intelligenz unterstützt die Zuverlässigkeit von Systemen, ersetzt aber weder gute Betriebsprozesse noch solide technische Grundlagen.
Site Reliability Engineering umfasst weit mehr als die Reaktion auf Ausfälle. Dazu gehören Telemetrie, Monitoring, Kapazitätsplanung, Risikoerkennung, Resilienzmechanismen, Incident Response, Post-Mortems und kontinuierliche Verbesserung. Das Ziel darf nicht sein, mit KI nur schneller auf Störungen zu reagieren. Ziel muss sein, Probleme frühzeitig zu erkennen oder idealerweise ganz zu vermeiden.
Wichtig ist die passende Technik für die jeweilige Aufgabe. Klare Regeln wie fehlende Timeouts oder unerlaubte Konfigurationen lassen sich häufig mit Lintern, Policies und deterministischer Automatisierung zuverlässiger und günstiger prüfen als mit einem Large Language Model. Klassische Machine-Learning-Modelle können bei Anomalieerkennung oder Prognosen sinnvoll sein. LLMs helfen dort, wo große Mengen an Informationen zusammengefasst, komplexe Zusammenhänge erklärt oder Vorschläge für Menschen formuliert werden sollen.
Die Grundlage bleibt gute Observability. Unvollständige, widersprüchliche oder verrauschte Telemetriedaten führen auch mit KI nicht zu besseren Entscheidungen. Im schlimmsten Fall produziert ein System plausible, aber falsche Ursachenanalysen oder löst automatische Gegenmaßnahmen aus, die einen Incident weiter verschärfen.
Für KDB heißt das in der Praxis: Wir setzen auf schrittweise Automatisierung mit klaren Grenzen. Erst Datenqualität, Monitoring, Standards und Runbooks. Dann regelbasierte Automatisierungen, Assistenzfunktionen und gezielte KI-Unterstützung. Autonome Eingriffe gehören nur dorthin, wo sie technisch abgesichert, nachvollziehbar, testbar und jederzeit durch Menschen kontrollierbar sind.
LLM-Readability: SEO-Inhalte müssen auch für KI-Antworten verständlich sein
Gute Google-Rankings allein reichen nicht mehr automatisch aus, um in Antworten von ChatGPT, Copilot, Perplexity und anderen KI-Suchen aufzutauchen. Sprachmodelle verarbeiten Webseiten oft in einzelnen Textabschnitten, sogenannten Chunks. Deshalb wird der einzelne Absatz zur wichtigen redaktionellen Einheit.
Ein guter Absatz für KI-Suchen behandelt einen klaren Gedanken, beantwortet eine konkrete Frage möglichst direkt im ersten Satz und funktioniert auch dann, wenn er ohne den Rest der Seite ausgelesen wird. Unklare Rückverweise wie „diese Lösung“, „wie oben beschrieben“ oder „dazu später mehr“ sind dabei weniger hilfreich, weil dem Modell der notwendige Kontext fehlen kann.
Für bestehende Inhalte sind vor allem diese Maßnahmen relevant:
- Zwischenüberschriften als konkrete Fragen formulieren.
- Die direkte Antwort an den Anfang des Absatzes stellen.
- Pro Absatz möglichst nur einen Gedanken behandeln.
- Absätze überschaubar halten, idealerweise unter rund 250 Wörtern.
- Quellen und Belege direkt an der jeweiligen Aussage verlinken.
- Für zentrale Begriffe konsequent dieselbe Bezeichnung verwenden.
Das ersetzt klassische SEO nicht. Inhalte müssen weiterhin technisch sauber erreichbar, indexierbar und sinnvoll strukturiert sein. Aber wer künftig bei KI-gestützten Recherchen und Antworten sichtbar bleiben möchte, sollte Content nicht nur als lange Webseite denken. Jeder gute Absatz kann ein zitierfähiger Antwortbaustein sein.
Genau hier verbindet KDB Strategie, Redaktion, Webdesign und SEO: Wir entwickeln Websites und Inhalte, die für Menschen verständlich, für Suchmaschinen sauber aufbereitet und für die nächste Generation KI-gestützter Suche möglichst gut zitierbar sind.
Unser Fazit: Sicherheit, KI und Sichtbarkeit brauchen Regeln statt Bauchgefühl
Die heutigen Themen haben einen gemeinsamen Nenner: Technologie entfaltet ihren Nutzen nur mit klaren Leitplanken. Cloud-Schlüssel brauchen Rotation und Berechtigungskonzepte. KI-Systeme brauchen Datenschutz, menschliche Kontrolle und definierte Prozesse. Automatisierung braucht verlässliche Daten. Und guter Content muss so strukturiert sein, dass Menschen, Suchmaschinen und KI-Systeme ihn sauber verstehen können.
Wenn Du Deine IT-Sicherheit, KI-Nutzung, Prozessautomatisierung oder digitale Sichtbarkeit professionell weiterentwickeln willst: KDB bringt Marketing, Design, IT-Systemhaus und Managed Services zusammen. Also keine Insellösungen, kein digitales Stückwerk – sondern ein Setup, das im Alltag funktioniert. Sauber geplant, ordentlich umgesetzt. So muss des.
