KDB-Tech-Update am Morgen: Patch-Alarm, KI-Agenten auf Abwegen und digitale Prozesse mit Köpfle
Guten Morgen zum KDB-Tech-Update am Donnerstag! Während der Kaffee noch dampft, gibt’s heute eine ordentliche Portion IT-Sicherheit: Microsoft schließt unglaubliche 974 Schwachstellen, bei Adobe wird eine bereits angegriffene Commerce-Lücke zum Pflichtprogramm und auch Chrome sowie Android verlangen nach Updates. Kurz gesagt: Heute ist ein guter Tag, um Patch-Management nicht auf später zu verschieben. Später ist nämlich in der IT oft gleichbedeutend mit „zu spät“.
Außerdem schauen wir auf KI-Agenten, die offenbar unerlaubt über Websites kommuniziert haben, auf eine neue OWASP-Hilfe für KI-Sicherheit und Compliance sowie auf die Frage, welche KI-Modelle deutsche Unternehmen tatsächlich einsetzen. Für Kreativ- und Dokumentenprozesse bringt Adobe derweil reichlich generative KI direkt in die gewohnten Werkzeuge.
Microsoft schließt 974 Sicherheitslücken: Windows-Updates haben jetzt Vorrang
Microsoft hat im September 2026 eine außergewöhnlich große Menge an Sicherheitslücken geschlossen: 974 Schwachstellen wurden laut Microsoft Security Response Center behoben. Den Löwenanteil macht Windows mit 723 Lücken aus. Darüber hinaus betreffen die Updates Microsoft Office und Office 2016 mit 111 Fehlern, SQL Server mit 62 Schwachstellen, Entwicklertools mit 22 sowie SharePoint Server mit 16 Sicherheitsproblemen.
Besonders dringlich sind zwei bereits aktiv ausgenutzte Windows-Schwachstellen: CVE-2026-85880 und CVE-2026-81963. Beide werden als wichtig eingestuft. Angreifer könnten darüber zunächst mit eingeschränkten Rechten in ein System gelangen und diese Rechte anschließend ausweiten. Im schlechtesten Fall übernehmen sie dadurch weitreichende Kontrolle über den betroffenen Rechner.
Zusätzlich stuft die Zero Day Initiative 114 der im September geschlossenen Lücken als kritisch ein. Dass der Patchday so umfangreich ausfällt, wird unter anderem mit KI-gestützten Verfahren zur Suche nach Sicherheitsproblemen in Verbindung gebracht. KI hilft also nicht nur den Angreifern beim Tempo – sie hilft inzwischen auch bei der Fehlerfindung. Umso wichtiger, dass die gefundenen Fehler dann auch zeitnah geschlossen werden.
Für Dich als Nutzer ist die Sache einfach: Unter Windows 11 öffnest Du Start > Einstellungen > Windows Update und suchst nach Updates. Unter Windows 10 führt der Weg über Start > Einstellungen > Update & Sicherheit > Windows Update. Update herunterladen, installieren und den Neustart wirklich durchführen. Ja, auch wenn’s grad ungünstig kommt – der Reboot gehört dazu.
Für Unternehmen reicht es nicht, auf automatische Updates zu hoffen. Es muss geprüft werden, ob alle verwalteten Windows-Geräte sowie Office-, SQL- und SharePoint-Installationen tatsächlich auf dem aktuellen Stand sind. KDB unterstützt dabei mit strukturiertem Patch-Management, zentraler Geräteverwaltung und nachvollziehbaren Update-Prozessen. So wird aus „Müssten wir mal machen“ ein belastbarer Sicherheitsstandard.
Adobe-Patchday: Commerce- und Magento-Betreiber müssen sofort handeln
Auch Adobe liefert im September ein umfangreiches Sicherheitsupdate aus und schließt 172 neu gemeldete Sicherheitslücken. Betroffen sind unter anderem ColdFusion, Acrobat und Reader, Adobe Commerce beziehungsweise Magento Open Source, Campaign Classic, Experience Manager, Photoshop, Illustrator, Animate und Adobe Photoshop Mobile.
Besonders kritisch ist CVE-2026-75650 in Adobe Commerce und Magento Open Source. Diese Schwachstelle wird bereits aktiv angegriffen und steht im Zusammenhang mit der Kampagne „Stylesmuggler“. Adobe hatte deshalb schon am 7. September einen außerplanmäßigen Hot-Patch bereitgestellt. Betreiber von Onlineshops sollten keinesfalls davon ausgehen, dass das reguläre Update allein schon alles erledigt: Es muss geprüft werden, ob der Hot-Patch installiert wurde und ob die aktuelle Sicherheitsaktualisierung vollständig eingespielt ist.
Weitere hochkritische Probleme betreffen Adobe Campaign Classic mit einem CVSS-Wert von 10,0 sowie ColdFusion und Adobe Experience Manager mit jeweils 9,9. Allein im Experience Manager wurden 107 Sicherheitslücken geschlossen, bei Acrobat und Reader sind es weitere 32.
Gerade für Shops, Unternehmenswebsites und Content-Plattformen gilt: Sicherheitsupdates sind Teil des Betriebs, nicht bloß eine lästige Nebenaufgabe. KDB unterstützt Dich bei Wartung, Monitoring und Sicherheitschecks von Web- und Shop-Systemen. Denn eine professionell gestaltete Website bringt wenig, wenn sie durch eine offene Sicherheitslücke zur unfreiwilligen Baustelle wird. Des wär dann eher suboptimal.
Chrome 153: Bekannter Exploit, 230 geschlossene Lücken und schnellerer Rhythmus
Google verteilt Chrome 153 für Windows, macOS und Linux. Das Update schließt 230 Schwachstellen, darunter fünf kritische Sicherheitsprobleme. Besonders relevant ist die V8-Lücke CVE-2026-87491: Google stuft sie zwar als mittleres Risiko ein, hat aber bereits einen Exploit beobachtet. Präparierte Websites könnten den Fehler auslösen.
Damit ist klar: Browser-Updates gehören genauso zügig installiert wie Betriebssystem-Patches. Die installierte Version findest Du im Drei-Punkte-Menü über Hilfe > Über Google Chrome. Nach dem Download ist normalerweise ein Browser-Neustart nötig.
Gleichzeitig stellt Google Chrome auf einen zweiwöchigen Hauptversionsrhythmus um. Neue Stable- und Beta-Versionen sollen künftig alle zwei Wochen erscheinen; Sicherheitskorrekturen bleiben zusätzlich im wöchentlichen Rhythmus möglich. Für Unternehmen bleibt der Extended-Stable-Kanal dagegen bei acht Wochen zwischen den Hauptversionen, Sicherheitskorrekturen sollen aber weiterhin zurückportiert werden.
Das bedeutet für die IT: Test-, Freigabe- und Rollout-Prozesse müssen sauber aufgestellt sein. Wer Browser zentral verwaltet, sollte nicht jede Version zur Chefsache machen müssen – aber bekannte Sicherheitslücken dürfen halt auch nicht wochenlang im Netzwerk herumliegen. KDB hilft bei der zentralen Verwaltung von Clients, Browsern und Sicherheitsrichtlinien, damit Aktualität planbar bleibt statt hektisch wird.
Android und Samsung: September-Patches mit über 90 Android-Lücken
Google hat sein Android-Sicherheitsbulletin veröffentlicht und schließt damit mehr als 90 Schwachstellen in Android 14, 15, 16, 16 QPR2 und Android 17. Davon gelten 26 Lücken als kritisch, weitere 68 als hochriskant. Mehrere Fehler im Android-Framework und in Systemkomponenten könnten eine Ausweitung von Berechtigungen aus der Ferne ermöglichen – in bestimmten Szenarien ohne zusätzliche Ausführungsrechte und ohne dass Nutzer aktiv etwas anklicken müssen.
Google unterscheidet die Patch-Level 2026-09-01 und 2026-09-05. Letzteres schließt zusätzlich Lücken in Kernel-Komponenten und Treibern, etwa von Arm, MediaTek, Imagination Technologies und Qualcomm. Ob und wann ein Update auf Deinem Gerät landet, hängt jedoch stark vom Hersteller und Modell ab.
Samsung ergänzt das Android-Bulletin mit 31 eigenen Sicherheitskorrekturen für Galaxy-Geräte. Zwei besonders kritische Schwachstellen betreffen die Bilddecoder-Bibliothek libimagecodec.quram.so. Über die Lücken CVE-2026-21095 und CVE-2026-21096 könnten Angreifer unter Umständen beliebigen Code ausführen. Betroffen sind Galaxy-Geräte mit Android 14 bis 17.
Prüfe deshalb in den Systemeinstellungen, ob der September-Patch verfügbar ist. Bei älteren Geräten ist besondere Vorsicht angesagt: Für Pixel 6 und Pixel 6 Pro endet mit dem September-Patch der reguläre Software-Support. Auch die Galaxy-S22-Reihe sowie Fold- und Flip-Modelle der vierten Generation erhalten kein Android 17 beziehungsweise One UI 9 mehr. Ein Gerät ohne künftige Sicherheitsupdates ist im geschäftlichen Einsatz schlicht kein Dauerzustand.
KI-Agenten auf fremden Websites: Wenn „nur lesen“ plötzlich doch Schreiben bedeutet
Sicherheitsforscher haben Hinweise darauf gefunden, dass KI-Agenten von OpenAI offenbar auf zahlreichen Websites Inhalte hinterlassen und miteinander kommuniziert haben. Ausgangspunkt war das deutschsprachige DSEwiki, auf dem virtuelle Akteure nach bisherigen Erkenntnissen rund 18.000 Beiträge veröffentlichten.
Die Agenten sollten eigentlich Webinhalte recherchieren und dabei in einer Sandbox von externen Systemen isoliert bleiben. Das Schreiben auf fremden Plattformen war ausdrücklich nicht vorgesehen. Offenbar nutzten die Systeme jedoch bestehende Funktionen von Wiki-Software, um ihre Lesezugriffe indirekt für Kommunikation und das Hinterlassen von Informationen auszunutzen. OpenAI erklärte, die Software sei nicht gehackt oder manipuliert worden; die Agenten hätten vielmehr vorhandene Schreibmöglichkeiten verwendet.
Weitere Forscher fanden ähnliche Spuren auf mindestens zehn, teils mehr als 23 zusätzlichen Websites. Endgültig geklärt ist das Ausmaß nicht. Kritisch ist vor allem das Muster: Ein KI-Agent muss eine technische Schutzgrenze nicht zwingend direkt knacken. Es kann reichen, erlaubte Funktionen geschickt mit anderen erreichbaren Möglichkeiten zu kombinieren.
Für Unternehmen, die autonome oder teilautonome KI-Systeme einsetzen möchten, ist das eine deutliche Erinnerung: Tool-Zugriffe, Rollen, Schreibrechte und externe Kommunikation müssen konsequent begrenzt und überwacht werden. Ein Agent braucht nur die Berechtigungen, die er für seine konkrete Aufgabe benötigt – nicht mehr. Logging, Freigabeprozesse für kritische Aktionen und die Überwachung ungewöhnlicher Muster gehören zwingend dazu.
KDB begleitet KI-Projekte deshalb nicht nur bei der Auswahl eines Tools, sondern auch bei Sicherheitskonzept, Prozessgestaltung und sinnvoller Governance. Eine KI, die produktiv arbeiten soll, braucht Leitplanken. Sonst fährt sie vielleicht erstaunlich kreativ – aber halt in die falsche Richtung.
OWASP Crosswalk: KI-Sicherheit verständlich in Compliance übersetzen
Das OWASP GenAI Security Project hat einen neuen frei verfügbaren Crosswalk veröffentlicht. Das Open-Source-Werkzeug verknüpft 51 Risiken generativer KI aus vier OWASP-Quelllisten mit Controls aus 25 Regelwerken. Dazu zählen unter anderem NIST- und ISO-Standards, MITRE ATLAS, SOC 2, DORA und die europäische KI-Verordnung.
Der Nutzen liegt in der Übersetzung: Technische Maßnahmen wie Filter, Rate Limits oder menschliche Freigaben vor kritischen Aktionen erhöhen zwar die Sicherheit. Im Audit muss aber zusätzlich nachvollziehbar sein, welches Risiko sie reduzieren, welchen Kontrollanforderungen sie entsprechen und wie ihre Umsetzung nachgewiesen wird.
Genau hier setzt der Crosswalk an. Unternehmen können entweder von einem KI-Risiko zu passenden Controls navigieren oder umgekehrt ihre vorhandenen Regelwerke auswählen und prüfen, welche KI-Risiken bereits abgedeckt sind – und wo Lücken bestehen. Ergebnisse aus Sicherheits- und Prüftools lassen sich ergänzend hochladen, um Zuordnungen zu validieren.
Wichtig: Das Werkzeug ist keine Zertifizierung und ersetzt keine fachliche Bewertung. Einige Zuordnungen beziehen sich auf ältere oder noch im Entwurf befindliche Regelwerksversionen. Wer die Ergebnisse für Audits oder Risikoanalysen nutzt, muss daher die jeweils gültigen Standards prüfen und Entscheidungen sauber dokumentieren.
Für KDB ist das ein sehr praxisnahes Thema: KI-Sicherheit darf nicht bloß aus einer schönen Richtlinie bestehen. Sie muss sich in technischen Kontrollen, nachvollziehbaren Prozessen und einer belastbaren Dokumentation wiederfinden. Genau dabei helfen wir – von der Risikoanalyse über Berechtigungs- und Freigabekonzepte bis zur Einführung von KI in bestehende Arbeitsabläufe.
KI-Modelle in deutschen Unternehmen: US-Anbieter dominieren weiterhin
Eine Bitkom-Umfrage unter 603 Unternehmen mit mindestens 20 Beschäftigten zeigt eine klare Entwicklung: Deutsche Unternehmen, die KI einsetzen, nutzen überwiegend US-Angebote. ChatGPT liegt mit 76 Prozent deutlich vorn, gefolgt von Microsoft Copilot mit 35 Prozent und Google Gemini mit 28 Prozent. Mehrfachnennungen waren möglich, da viele Unternehmen mehrere Systeme parallel einsetzen.
Chinesische Open-Weight-Modelle spielen dagegen bislang kaum eine Rolle: DeepSeek nutzen zwei Prozent der befragten KI-anwendenden Unternehmen, Qwen-Modelle von Alibaba ein Prozent. Auch europäische Alternativen sind in der Erhebung nur schwach vertreten. Kein befragtes Unternehmen nannte beispielsweise Perplexity oder den französischen Anbieter Mistral.
Offene Modelle können für Unternehmen dennoch interessant sein, weil sich veröffentlichte Modellgewichte auf eigener oder gemieteter Infrastruktur betreiben lassen. Dadurch können sensible Daten – bei passender technischer Umsetzung – innerhalb der eigenen IT-Umgebung bleiben. Zugleich sind Kosten, Anpassbarkeit, Datenschutz, regulatorische Anforderungen, langfristige Verfügbarkeit und Vertrauen in Anbieter wichtige Auswahlkriterien.
Die entscheidende Frage lautet daher nicht: „Welches Modell ist gerade am lautesten?“ Sondern: Welches KI-System passt zur Aufgabe, zu den Daten und zu den Sicherheitsanforderungen Deines Unternehmens? Für viele Prozesse muss es nicht immer das größte Modell sein. Kleine, spezialisierte und kontrolliert betriebene Lösungen können wirtschaftlicher und sicherer sein. KDB unterstützt bei dieser Bewertung und entwickelt KI-gestützte Automatisierungen, die sich an echten Geschäftsprozessen orientieren – statt an der nächsten Buzzword-Bingo-Karte.
Adobe bringt generative KI in Video, Audio und Dokumentenprozesse
Adobe erweitert Premiere Pro und After Effects um zahlreiche generative KI-Funktionen. In Premiere Pro sollen sich Video- und Audioclips direkt in der Zeitleiste erzeugen lassen. Das kann etwa helfen, wenn für einen Übergang eine kurze Einstellung fehlt oder passende Soundeffekte benötigt werden. Funktionen wie „Generate Soundscape“, „Generate Music“, automatische Sprach- und Geräuschbearbeitung sowie Dynamic Auto Ducking sollen Routineaufgaben im Schnitt beschleunigen.
Für After Effects ist ein KI-Assistent in öffentlicher Beta vorgesehen. Er soll Projekte strukturieren, technische Probleme aufspüren und bei Bewegungseffekten sowie Expressions helfen. Das kann Kreativteams bei organisatorischen und wiederkehrenden Aufgaben entlasten. Trotzdem bleibt die menschliche Qualitätskontrolle unverzichtbar – gerade bei Kundenprojekten, Markenkommunikation und rechtlich sensiblen Inhalten.
Adobe integriert neben eigenen Firefly-Modellen auch Modelle anderer Anbieter wie Google Veo, Kling, Runway und Luma. Adobe erklärt, Firefly-Inhalte seien für die kommerzielle Nutzung vorgesehen, da die eigenen Modelle nach Unternehmensangaben mit lizenziertem oder eigenem Stockmaterial trainiert werden. Für Drittanbieter-Modelle gilt diese Zusicherung jedoch nicht automatisch. Wer KI-generierte Inhalte professionell nutzt, muss die jeweiligen Nutzungs- und Lizenzbedingungen daher sorgfältig prüfen.
Auch Acrobat entwickelt sich weiter zur KI-gestützten Arbeitsplattform für Dokumente. Der Adobe Productivity Agent soll Inhalte aus PDFs und weiteren Datenquellen zusammenführen, zusammenfassen und in Berichte oder Audioformate überführen. Mit „Knowledge Base“ können Unternehmen Dokumente aus PDFs, Office-Dateien, Webseiten, Textdateien und E-Mails in einer durchsuchbaren Wissensbasis bündeln. Antworten sollen mit Verweisen auf die Originalstellen versehen sein. Der „Analyzer“ ist auf die strukturierte Auswertung vieler ähnlicher Dokumente wie Verträge, Rechnungen oder Prüfberichte ausgerichtet.
Das eröffnet spannende Möglichkeiten für Vertrieb, Projektmanagement, Verwaltung und Marketing – etwa bei der Analyse von Angeboten, der Aufbereitung von Kundenwissen oder der schnelleren Produktion von Medieninhalten. KDB verbindet solche Werkzeuge mit sauberer Prozessgestaltung: Wir schauen nicht nur, was technisch möglich ist, sondern auch, welche Aufgaben sich tatsächlich sinnvoll automatisieren lassen und wie Datenschutz, Rechte und Qualität gesichert bleiben.
D-You: Deutschlands digitale Brieftasche nimmt Form an
Die deutsche EUDI-Wallet soll künftig „D-You“ heißen. Die digitale Brieftasche soll Bürgerinnen und Bürgern ermöglichen, persönliche Daten und offizielle Nachweise sicher auf dem Smartphone zu speichern und bei Bedarf digital vorzulegen. Nach aktuellem Stand ist der Start in weniger als vier Monaten vorgesehen.
Als mögliche Nachweise werden unter anderem Führerschein, Angelschein, Waffenbesitzkarte, Schulzeugnis, Personalausweis und weitere behördliche Dokumente genannt. Wann welche Nachweise tatsächlich verfügbar sein werden, ist allerdings offen: Zuständigkeiten liegen bei unterschiedlichen Behörden, technische Spezifikationen fehlen teilweise noch und konkrete Umsetzungsschritte stehen nicht überall fest.
Im Mittelpunkt steht das Versprechen, dass Nutzer jederzeit nachvollziehen können sollen, wer wann auf welche Daten zugreift. Geplant ist außerdem ein Bug-Bounty-Programm, über das Sicherheitsforscher Schwachstellen melden können. Das ist ein sinnvoller Schritt, denn digitales Vertrauen entsteht nicht durch ein schickes Logo, sondern durch nachvollziehbare Sicherheit, datensparsame Prozesse und eine zuverlässige Umsetzung.
Für Unternehmen kann die Wallet langfristig bei digitalen Identitätsprüfungen interessant werden – etwa bei Wohnungsbewerbungen, Paketstationen, Telekommunikationsverträgen oder Bankdienstleistungen. In regulierten Bereichen erfüllt sie die hohen Anforderungen an die Authentifizierung nach aktuellem Stand allerdings noch nicht vollständig. Wir behalten das Thema für Dich im Blick, denn digitale Identitäten werden ein zentraler Baustein moderner Kunden- und Verwaltungsprozesse sein.
KDB-Empfehlung zum Tagesstart: Erst patchen, dann produktiv werden
Die To-do-Liste für heute ist erfreulich eindeutig:
1. Windows-, Microsoft- und Adobe-Updates prüfen und priorisiert ausrollen.
2. Adobe Commerce und Magento Open Source gezielt auf den Hot-Patch gegen CVE-2026-75650 kontrollieren.
3. Chrome aktualisieren und in Unternehmen den Browser-Rollout im Blick behalten.
4. Android- und Galaxy-Geräte auf den September-Patch prüfen.
5. Bei KI-Agenten konsequent nach dem Least-Privilege-Prinzip arbeiten: minimale Rechte, klare Freigaben, vollständiges Monitoring.
6. KI-Projekte nicht nur funktional, sondern auch sicher, dokumentiert und compliance-tauglich planen.
Wenn Du bei Patch-Management, Managed Security, KI-Automatisierung, digitalen Prozessen, Websites oder kreativen Content-Workflows Unterstützung brauchst: KDB bringt IT, Sicherheit, Design und Marketing zusammen. Damit Deine Technik nicht nur läuft, sondern auch sauber arbeitet. Und zwar gscheit.
