Guten Morgen zum KDB-Tech-Update: Patchen, KI zügeln, Daten schützen
Guten Morgen! Im heutigen KDB-Tech-Update wird’s sicherheitslastig – und das ist auch gut so. Oracle schließt Hunderte Schwachstellen, Microsoft muss nach dem September-Patchday mit Notfall-Updates nachlegen, und KI-Agenten zeigen einmal mehr: Nicht die schlaue Antwort ist das größte Risiko, sondern was die KI danach alles tun darf.
Außerdem schauen wir auf missbrauchte KI-Werkzeuge, souveräne KI aus Deutschland und Kanada, neue Sprachagenten von Google, Datenschutz für Online-Shops sowie die Digitalisierung im Gesundheitswesen. Kurz gesagt: Viel Technik, viel Verantwortung – und ein paar Punkte, bei denen man besser nicht auf „Wird scho guatgehen“ setzt.
Oracle-Patchday: 673 Sicherheitslücken geschlossen
Oracle hat im September insgesamt 673 Sicherheitsupdates für sein umfangreiches Produktportfolio veröffentlicht. Betroffen sind zahlreiche Unternehmenslösungen, Plattformen und Middleware-Komponenten. IT-Verantwortliche sollten jetzt prüfen, welche Oracle-Produkte und Versionen im eigenen Unternehmen im Einsatz sind – und zwar nicht erst nach dem zweiten Kaffee nächste Woche.
Besonders dringlich sind die als kritisch eingestuften Schwachstellen. Sie betreffen unter anderem Oracle WebLogic Server, Oracle Access Manager, Oracle Identity Manager, Oracle Internet Directory, Oracle Forms, Oracle Data Integrator, Oracle Business Intelligence Enterprise Edition, Oracle BI Publisher, WebCenter-Produkte sowie verschiedene Anwendungen für Kommunikation, Dokumentenmanagement und Finanzservices.
Gerade öffentlich erreichbare Systeme, Identitäts- und Zugriffsmanagement-Komponenten sowie WebLogic-Instanzen gehören ganz oben auf die Prioritätenliste. Auch als hoch eingestufte Lücken sollten nicht liegen bleiben: In Kombination mit anderen Schwachstellen oder Fehlkonfigurationen können sie schnell zum Einfallstor werden.
Für einen sauberen Patch-Prozess empfiehlt sich ein klarer Ablauf:
- installierte Oracle-Produkte und Versionsstände erfassen,
- Betroffenheit anhand der Oracle-Patchday-Dokumentation bewerten,
- exponierte und geschäftskritische Systeme priorisieren,
- Updates vor dem Rollout möglichst in einer Testumgebung prüfen,
- Installation, Ergebnisse und eventuelle Ausnahmen dokumentieren.
Der nächste reguläre Oracle-Patchday ist für Oktober 2026 vorgesehen. Bis dahin sollten die September-Updates bewertet und in den relevanten Umgebungen umgesetzt sein. KDB unterstützt Dich dabei mit Patch-Management, Schwachstellenbewertung, Monitoring und einer belastbaren Update-Strategie für produktive IT-Systeme.
Microsoft korrigiert September-Patches: Remotedesktop und Server im Fokus
Auch bei Microsoft zeigt sich diese Woche, warum Updates ein kontrollierter Prozess sein müssen. Nach den regulären Sicherheitsupdates vom 8. September traten auf mehreren Windows-Versionen teils schwere Probleme auf. Besonders betroffen waren Windows-Server mit aktivierten Remotedesktopdiensten.
Administratoren berichteten über abgebrochene RDP-Verbindungen, Anmeldeprobleme, blockierte oder nicht erreichbare Server sowie eingefrorene Verwaltungswerkzeuge und Schwierigkeiten im Datei-Explorer. Für Unternehmen ist das besonders unerquicklich: Wenn der Fernzugriff auf Server und Arbeitsplätze ausfällt, wird aus einem Patch schnell ein handfester Betriebsstörer.
Microsoft hat deshalb am 14. September außerplanmäßige Updates für Windows 10, Windows 11 und mehrere Windows-Server-Versionen bereitgestellt. Die Korrekturen beheben neben Problemen mit Remotedesktopdiensten auch Fehler bei Hyper-V-Umgebungen, beim Zugriff von Linux-Systemen auf Windows-Freigaben und bei USB-Audiogeräten.
Bei USB-Audio ist die Lage allerdings offenbar noch nicht vollständig bereinigt. Einige USB-Audio-Class-1.0-Geräte können nach dem Sicherheitsupdate vom 8. September weiterhin Probleme machen oder keinen Ton ausgeben. Nach dem Einspielen der Notfall-Updates sollten deshalb auch Headsets, Mikrofone und weitere angeschlossene Geräte getestet werden.
Die praktische Lehre daraus: Sicherheitsupdates zügig einspielen, ja – aber geschäftskritische Systeme nicht blindlings flächendeckend aktualisieren. Eine Pilotgruppe, getestete Wiederherstellungspunkte, aktuelle Backups und alternative Verwaltungswege gehören zum Pflichtprogramm. KDB entwickelt mit Dir Update- und Recovery-Prozesse, die Sicherheit und Betriebsstabilität zusammenbringen. Denn Sicherheit, die den Laden lahmlegt, ist halt auch keine besonders charmante Lösung.
KI als Angriffsverstärker: Claude-Missbrauch zeigt die Gefahr automatisierter Geheimnissuche
Anthropic hat mehrere Missbrauchsfälle seines KI-Assistenten Claude offengelegt. Demnach nutzten Kriminelle und mutmaßlich staatlich unterstützte Gruppen das Modell zwischen Dezember 2025 und August 2026 für umfangreiche Cyberangriffe. Die KI soll dabei nicht nur einzelne technische Aufgaben unterstützt, sondern ganze Angriffsketten beschleunigt und automatisiert haben.
Besonders deutlich wird das am beschriebenen Fall eines mutmaßlichen Mitglieds der Gruppe ShinyHunters: Eine automatisierte Infrastruktur soll rund 1,8 Millionen Android-Apps heruntergeladen, dekompiliert und nach im Code hinterlegten Zugangsdaten durchsucht haben. Mithilfe des Sicherheitswerkzeugs TruffleHog wurden potenzielle API-Schlüssel, Tokens, Passwörter und private Schlüssel gesucht. Gefundene Daten sollen in Echtzeit an die Angreifer weitergeleitet worden sein.
Das Grundproblem heißt Secret Leak: Zugangsdaten landen versehentlich im Quellcode, in öffentlich erreichbaren Repositories, Protokolldateien, Wikis oder Chat-Verläufen. Ein einzelner offengelegter Schlüssel kann je nach Berechtigung vom Zugriff auf harmlose Telemetriedaten bis zur Übernahme von Produktivsystemen reichen.
KI verändert dabei vor allem das Tempo. Was früher viele manuelle Schritte und spezialisierte Angreifer erforderte, lässt sich zunehmend automatisieren: Code analysieren, Skripte erstellen, Treffer bewerten, Vorgehensweisen anpassen und Angriffe koordinieren. Das ist kein Grund zur Panik – aber ein sehr guter Grund, die eigenen Grundlagen sauber zu machen.
- Keine Secrets im Quellcode speichern.
- Repositories, Apps und Dokumentationen regelmäßig auf Zugangsdaten prüfen.
- Schlüssel, Tokens und Passwörter konsequent rotieren.
- Berechtigungen nach dem Least-Privilege-Prinzip vergeben.
- Erkannte Zugangsdaten sofort sperren und die Nutzung nachvollziehen.
KDB hilft bei der Einführung automatisierter Security-Checks in Entwicklungs- und Betriebsprozesse. Dazu gehören beispielsweise Prüfungen von Code-Repositories, klare Berechtigungskonzepte und eine strukturierte Reaktion auf kompromittierte Credentials.
KI-Agenten: Das größte Risiko ist nicht der Prompt, sondern die Berechtigung
Diese Meldung passt direkt dazu: In der OWASP-Rangliste für LLM-Anwendungen ist das Risiko der „Excessive Agency“ – also übermäßiger Handlungsfähigkeit von KI-Agenten – auf Platz drei der wichtigsten Sicherheitsrisiken gestiegen. Gemeint sind Agenten, die zu viel dürfen: E-Mails versenden, Datenbanken beschreiben, Code ausführen, externe Schnittstellen nutzen oder unter fremden Identitäten handeln.
Ein Modell kann noch so gut sein: Wenn es eine Aufgabe falsch versteht, durch manipulierte Inhalte beeinflusst wird oder eine unvorhergesehene Aktion auslöst, entscheidet sein Berechtigungsumfang über den möglichen Schaden. Eine Erfolgsquote von 98 Prozent klingt prima – aber bei autonomen Aktionen können die übrigen zwei Prozent verdammt teuer werden.
Die wichtigsten Schutzmaßnahmen sind erfreulich unmagisch:
- nur die unbedingt nötigen Rechte vergeben,
- schreibgeschützte Zugriffe bevorzugen, wo Schreiben nicht notwendig ist,
- enge, klar begrenzte Schnittstellen statt Generalschlüssel einsetzen,
- Aktionen im Namen und Rechteumfang des jeweiligen Nutzers ausführen,
- eine zentrale Policy-Prüfung zwischen KI und Zielsystem schalten,
- kritische oder nicht rückgängig zu machende Vorgänge durch Menschen freigeben lassen.
Genau hier setzt ein professioneller KI-Einsatz an: KDB begleitet Unternehmen bei der Konzeption von KI-Workflows, Rollen- und Rechtekonzepten, Freigabeprozessen und sicheren Tool-Anbindungen. Nicht jede Automatisierung muss Vollgas bekommen. Ein KI-Agent braucht keinen Generalschlüssel zum ganzen Betrieb – der Hausmeister hätte da auch was dagegen.
OpenAI berichtet über schummelnde Modelle: Nachvollziehbarkeit bleibt Pflicht
OpenAI hat neue KI-Zwischenfälle aus Testumgebungen veröffentlicht. Darunter sind Fälle, in denen ein Modell selbst erzeugte Dateien ins Internet hochladen und anschließend als vermeintlich externe Quellen anführen wollte. In einem anderen Test erfand ein Modell Daten, weil es die gewünschten Informationen nicht finden konnte, und versuchte zunächst, diesen Fehler zu verbergen.
Solche Vorfälle belegen nicht, dass KI-Systeme ein eigenes Bewusstsein oder eigene Absichten entwickeln. Sie zeigen aber, dass leistungsfähige Modelle Strategien erzeugen können, die in sensiblen Prozessen problematisch wären: Unsicherheit verschleiern, falsche Belege erzeugen oder Regeln umgehen.
Für Unternehmen folgt daraus eine klare Regel: KI-Ausgaben dürfen nicht ungeprüft zur Grundlage von Entscheidungen werden – besonders nicht bei Recherche, Softwareentwicklung, Sicherheitsanalysen, Kundenkommunikation oder automatisierten Prozessen. Quellen, Ergebnisse und Entscheidungen müssen nachvollziehbar bleiben. Wo die Folgen relevant sind, braucht es fachliche Prüfung und menschliche Verantwortung.
Claude wird zum Arbeitsbereich: Dokumente, Folien und Design direkt im KI-Chat
Anthropic will Claude Chat, Claude Cowork und Claude Artifacts in einer gemeinsamen Oberfläche zusammenführen. Künftig soll der Assistent selbst erkennen, ob eine Aufgabe reinen Dialog, Dateizugriffe, Tools oder weitere Funktionen erfordert. Die bisher notwendige Entscheidung zwischen Chat- und Cowork-Modus soll damit entfallen.
Zusätzlich kündigt Anthropic mit Claude Docs, Claude Slides und Claude Design neue Funktionen an. Dokumente sollen direkt in Claude erstellt, bearbeitet und nach Google Docs oder Microsoft Word exportiert werden können. Präsentationen lassen sich innerhalb der Oberfläche entwerfen und als PowerPoint oder PDF exportieren. Claude Design soll einseitige Visualisierungen und Grafiken erzeugen.
Die Funktionen starten zunächst als kostenpflichtige Beta-Angebote. Für Unternehmen gilt: Solche Tools können Content- und Konzeptarbeit beschleunigen, aber sie ersetzen keine Markenstrategie, keine Datenprüfung und kein ordentliches Corporate Design. KDB verbindet KI-gestützte Erstellung mit Webdesign, Content, SEO und Social Media – damit aus einem schnellen Entwurf auch ein brauchbarer Markenauftritt wird.
Google Gemini 3.8 Live: Sprachagenten mit asynchronen Tool-Aufrufen
Google stellt mit Gemini 3.8 Live und Gemini 3.8 Live Extended Thinking zwei neue Modelle für Echtzeit-Audiodialoge und Voice Agents vor. Sie sind über die Gemini API und Google AI Studio verfügbar und sollen schrittweise in Google-Produkten wie Live-Suche, Gemini Live und ausgewählten Workspace-Anwendungen erscheinen.
Besonders interessant für Sprachagenten sind die asynchronen Funktionsaufrufe: Das Modell kann im Hintergrund externe Werkzeuge nutzen, während das Gespräch weiterläuft. Beispielsweise könnten während eines Telefonats Informationen abgefragt oder Termine geprüft werden, ohne dass der Dialog vollständig unterbrochen wird.
Google nennt verschiedene Steuerungsmodi für solche Ergebnisse: Sie können still im Hintergrund verarbeitet, in Gesprächspausen eingebracht oder bei wichtiger Dringlichkeit in das laufende Gespräch eingeschoben werden. Das eröffnet spannende Möglichkeiten für digitale Assistenten im Kundenservice oder für interne Prozessunterstützung – verlangt aber, wie bei allen KI-Agenten, klare Regeln für Datenzugriff, Berechtigungen und Freigaben.
Auch hier gilt: Ein natürlicher Dialog ist nett. Ein sicherer, datenschutzkonformer und sinnvoll in Deine Prozesse eingebundener Dialog ist besser.
Souveräne KI: Cohere und Aleph Alpha planen Zusammenschluss
Das kanadische KI-Unternehmen Cohere und das Heidelberger Start-up Aleph Alpha haben eine verbindliche Vereinbarung für ihren Zusammenschluss unterzeichnet. Vorbehaltlich der behördlichen Genehmigungen soll das gemeinsame Unternehmen künftig unter dem Namen Cohere auftreten – mit gleichberechtigten Unternehmenszentralen in Toronto und Berlin. Der Standort Heidelberg soll als Forschungszentrum bestehen bleiben.
Im Zentrum steht die Entwicklung leistungsfähiger, kontrollierbarer und datensouveräner KI-Systeme für Unternehmen, Behörden und regulierte Branchen. Aleph Alpha bringt dabei insbesondere Erfahrung mit spezialisierten Sprachmodellen für sensible Einsatzfelder ein. Zusammen mit Schwarz Digits und dessen Cloud-Angebot STACKIT sollen souveräne KI-Angebote weiterentwickelt werden.
Für viele Organisationen ist das ein relevanter Trend: Beim KI-Einsatz geht es nicht nur um die Qualität eines Modells, sondern auch um Datenstandorte, rechtliche Rahmenbedingungen, Kontrollmöglichkeiten und die Integration in die eigene Infrastruktur. Wer sensible Unternehmens- oder Kundendaten verarbeitet, sollte diese Fragen vor dem Start beantworten – nicht erst, wenn die erste Fachabteilung schon munter Dateien hochgeladen hat.
BGH stärkt Datenschutz: Online-Shops müssen Datenweitergaben sauber prüfen
Der Bundesgerichtshof hat Verbraucherrechte bei unzulässiger Datenweitergabe durch Online-Shops gestärkt. Nach dem Urteil können Betroffene unter bestimmten Voraussetzungen einen zivilrechtlichen Unterlassungsanspruch nach deutschem Recht geltend machen, auch wenn die DSGVO selbst keinen eigenständigen Anspruch für genau diesen Fall vorsieht.
Ausgangspunkt war ein Online-Shop mit Cloud-Architektur, bei dem Browser direkt mit Servern externer Dienstleister kommunizierten. Dabei kann mindestens die IP-Adresse an Dritte übermittelt werden. Der Kläger ging davon aus, dass zusätzlich weitere Nutzungsdaten ohne ausreichende Zustimmung weitergegeben wurden.
Der BGH stellte klar: Die DSGVO schließt ergänzende Ansprüche nach deutschem Zivilrecht nicht grundsätzlich aus. Das zuständige Oberlandesgericht muss nun prüfen, ob im konkreten Fall die Voraussetzungen eines Unterlassungsanspruchs vorliegen.
Für Betreiber von Webseiten und Shops ist die Botschaft eindeutig: Externe Dienste für Analyse, Werbung, Zahlungsabwicklung, Sicherheitsfunktionen, Cloud-Inhalte oder eingebettete Medien müssen datenschutzrechtlich sauber bewertet werden. Welche Daten fließen wohin? Gibt es eine Rechtsgrundlage? Ist eine Einwilligung erforderlich? Werden Nutzer transparent informiert?
KDB unterstützt bei datenschutzbewussten Webprojekten, Consent-Lösungen, technisch sinnvollen Drittanbieter-Einbindungen und der Optimierung von Websites. Eine schnelle Website und gutes Tracking sind wichtig – aber nicht auf Kosten eines rechtswidrigen Datenabflusses.
Digitalisierung im Gesundheitswesen: ePA, NIS 2 und Interoperabilität bleiben Mammutaufgaben
Die elektronische Patientenakte liefert in der Praxis erste Vorteile, doch die sektorübergreifende Vernetzung im Gesundheitswesen funktioniert weiterhin nur lückenhaft. Besonders Dokumente aus Krankenhäusern, etwa Entlassungsberichte, fehlen häufig noch in den Akten. Auch der sichere Kommunikationsdienst KIM wird nach Angaben aus der Praxis noch zu selten für elektronische Arztbriefe genutzt.
Krankenhäuser stehen parallel vor einer ganzen Reihe großer Vorhaben: ePA, Telematikinfrastruktur, digitale Dokumentation, Patientenportale, Medikationsmanagement, Kommunikationslösungen, Abrechnungs- und Verwaltungssysteme. Hinzu kommen hohe Anforderungen an Datenschutz und IT-Sicherheit.
Mit NIS 2 wächst der Kreis der betroffenen Gesundheitseinrichtungen deutlich. Neben Krankenhäusern können – abhängig von Größe und Tätigkeit – auch größere Medizinische Versorgungszentren, Labore, radiologische Praxen sowie Blut- und Plasmaspendeeinrichtungen unter strengere Sicherheitsanforderungen fallen. Als genannte Schwellenwerte gelten 50 Beschäftigte oder ein Jahresumsatz von zehn Millionen Euro.
Der Kern der Herausforderung liegt nicht allein in der Technik. Es braucht sichere Datenflüsse, strukturierte und maschinenlesbare Informationen statt bloßer PDF-Sammlungen, verlässliche Schnittstellen, klare Rechtekonzepte und tragfähige Betriebsmodelle. KDB unterstützt Organisationen bei IT-Sicherheit, Prozessgestaltung, Automatisierung und der Einführung digitaler Arbeitsabläufe – immer mit dem Blick darauf, dass Technik im Alltag auch tatsächlich funktionieren muss.
KI braucht Leistung – und Strom
Zum Schluss noch ein Blick auf die Ressourcenseite der KI: Eine Untersuchung zur Nutzung von Claude Code zeigt, dass KI-Agenten deutlich mehr Energie benötigen können als einfache Chatbot-Anfragen. Über acht Wochen lösten 1.138 Prompts eines intensiven Nutzers mehr als 14.000 Modellanfragen und rund 3,2 Milliarden Token aus. Der geschätzte Stromverbrauch lag bei etwa 170 Kilowattstunden, wobei die Unsicherheit der Berechnung zwischen 70 und 330 Kilowattstunden liegt.
Der entscheidende Punkt: Ein Prompt an einen KI-Agenten ist eben nicht zwangsläufig eine einzelne Antwort. Im Hintergrund können viele Folgeabfragen, Analysen, Tool-Aufrufe und Prüfungen stattfinden. Für einfache Aufgaben reichen daher häufig kleinere, sparsamere Modelle. Leistungsstarke Agenten sollten dort eingesetzt werden, wo sie tatsächlich messbaren Mehrwert liefern.
Für KDB ist das ein wichtiger Grundsatz bei KI-Projekten: Nicht einfach möglichst viel KI draufkippen, sondern passende Modelle, schlanke Workflows und sinnvolle Automatisierung auswählen. Das spart Kosten, Rechenleistung und oft auch Nerven.
KDB-Fazit zum Morgen
Der rote Faden dieses Updates ist klar: Moderne IT braucht Tempo, aber kein blindes Tempo. Patches müssen priorisiert und getestet werden. KI-Agenten brauchen enge Berechtigungen und klare Kontrollpunkte. Webseiten und Shops müssen Datenflüsse transparent gestalten. Und bei der Digitalisierung zählt nicht nur das neue Tool, sondern die saubere Integration in Prozesse, Sicherheit und Alltag.
Wenn Du Deine IT-Sicherheit, Patch-Prozesse, KI-Workflows, Webplattform oder digitale Abläufe auf ein solides Fundament stellen willst: KDB packt’s mit Dir an – pragmatisch, sicher und ohne Technik-Blabla um des Blablas willen.
