Guten Abend zum KDB-Tech-Update: Echte Risiken hinter vertrauten Oberflächen
Willkommen zur Abendausgabe des KDB-Tech-Updates. Heute geht es um eine WhatsApp-Kopie mit mehr als 500.000 Downloads, eine Android-Malware, die Banking-Apps austauschen kann, und gefälschte Sparkassen-Briefe mit QR-Code. Außerdem schauen wir auf eine kritische Lücke in einer Solar-Cloud, die Sicherheitsgrenzen für KI-Agenten und neue Regeln für KI-Bilder im Onlinehandel. Zum Schluss wird’s praktisch: mit einem Update für KeePassXC, einer möglichen Zweitnutzung älterer Rechner und einem digitalen Einkaufswagen.
500.000 Downloads für einen WhatsApp-Klon: Der Play Store ist kein Echtheitssiegel
Eine gefälschte WhatsApp-Version wurde im offiziellen Google Play Store mehr als 500.000 Mal heruntergeladen, bevor Google sie entfernte. Die Kopie war so gestaltet, dass sie dem Original ähnelte. Bei Suchanfragen erschien sie teilweise sogar als gesponserte Anzeige weit oben. Wer nur schnell auf den ersten Treffer tippte, konnte also bei der falschen App landen.
Berichten zufolge nutzten die Betreiber außerdem das „Early Access“-Programm. In dieser Phase sind öffentliche Nutzerbewertungen nicht verfügbar – und damit fehlte eine Möglichkeit, andere direkt über Rezensionen zu warnen. Wenige Tage zuvor war bereits eine gefälschte Chrome-App mit laut Bericht mehr als 100.000 Downloads bekannt geworden. Beide Fälle zeigen: Weder die Platzierung als Anzeige noch die Aufnahme in einen offiziellen Store beweist, dass eine App vom erwarteten Anbieter stammt. A bissle genauer hinschauen lohnt sich.
Für private und geschäftlich genutzte Android-Geräte heißt das: Prüfe vor der Installation den Entwicklernamen und achte auf verlangte Berechtigungen. Google Play Protect sollte aktiviert bleiben; die Funktion ist im Play Store über das Profilbild erreichbar und prüft auch installierte Apps. Wer einen Klon vermutet, sollte die Anwendung überprüfen und gegebenenfalls entfernen. Welche Risiken gefälschte Apps im Unternehmensalltag mit sich bringen, war auch Thema in einem früheren KDB-Tech-Update.
Hirudo: Wenn plötzlich nicht mehr die echte Banking-App läuft
Die Android-Schadsoftware Hirudo setzt ebenfalls auf eine harmlose Fassade: Sie tarnt sich zunächst als Shopping-, Unterhaltungs- oder Kurzvideo-App. Nach Angaben von ThreatFabric versucht sie dann, weitreichende Zugriffsrechte zu erhalten, darunter Berechtigungen für Android-Bedienungshilfen. Mit diesen Rechten kann sie die ursprüngliche Banking-App entfernen und durch eine manipulierte, ähnlich aussehende Version ersetzen.
Diese Version kann laut den Sicherheitsforschern unter anderem Passwörter, Zahlungs- und Geräte-PINs, SMS sowie Bildschirminhalte ausspähen. Auch Fernsteuerung sowie Zugriffe auf Kamera und Mikrofon werden beschrieben. Bisher beobachtete Angriffe richteten sich zunächst gegen Banking-Apps aus Indonesien; Hinweise auf Aktivitäten gibt es auch in weiteren Ländern. Wie viele Menschen betroffen sind, ist nicht bekannt.
Die wichtigste Lehre für Unternehmen ist nicht, jede App pauschal zu verdächtigen, sondern Geräte und Berechtigungen bewusst zu verwalten. Unbekannte APK-Dateien und App-Stores sind ein vermeidbares Risiko; ungewöhnliche Forderungen nach Bedienungshilfen-Zugriff verdienen besondere Aufmerksamkeit. Bei einem konkreten Verdacht sollten kürzlich installierte Apps geprüft werden. Lässt sich eine verdächtige App nicht normal entfernen, nennt das BSI den abgesicherten Modus als möglichen nächsten Schritt. Regelmäßige Backups sind wichtig, falls letztlich nur ein Zurücksetzen auf Werkseinstellungen hilft. KDB kann solche Regeln für geschäftlich genutzte Geräte in ein nachvollziehbares Sicherheitskonzept einordnen – statt darauf zu hoffen, dass schon niemand auf „Zulassen“ tippt.
Sparkassen-Briefe mit QR-Code: Papier kann auch Phishing
Gefälschte Briefe im Namen einer Sparkassen-Filiale fordern Empfänger dazu auf, ihren Online-Banking-Zugang angeblich aus Sicherheitsgründen zu verifizieren. Die Schreiben verwenden Briefkopf und persönliche Ansprache; bei Nichtbefolgung drohen sie mit einer Sperrung. Der enthaltene QR-Code führt jedoch auf eine Phishing-Seite, die Zugangsdaten, persönliche Angaben und eine Ausweiskopie abfragt.
Scanne den Code nicht und gib auf der verlinkten Seite keine Daten ein. Wer bereits Angaben übermittelt hat, sollte unverzüglich die eigene Sparkasse kontaktieren. Wichtig ist die Unterscheidung zu einer echten, davon unabhängigen Änderung: Die App S-ID-Check soll am 31. Januar 2027 eingestellt werden; für entsprechende Karten-Zahlungsbestätigungen ist ein Wechsel zur S-pushTAN-App vorgesehen. Diese Umstellung macht den QR-Code im gefälschten Brief nicht vertrauenswürdig.
Für die Sicherheitskommunikation im Betrieb ist das ein gutes Beispiel: Phishing kommt nicht nur per E-Mail. Ein seriös wirkender Brief und ein QR-Code können denselben Druck erzeugen wie eine gefälschte Login-Mail. Klare interne Abläufe für die Prüfung unerwarteter Aufforderungen helfen mehr als der Zuruf „Pass halt auf“.
Solar-Cloud: Kritischer Login-Fehler, aber kein belegter Massen-Blackout
Ein Fehler beim Login in Sungrows Plattform iSolarCloud ermöglichte einem Sicherheitsforscher im August 2026 nach Angaben der Sicherheitsfirma Jakkaru, fremde Konten ohne deren Passwort zu übernehmen. Dafür benötigte er die E-Mail-Adresse des jeweiligen Nutzers; über verknüpfte Konten gelangte er dem Bericht zufolge bis zu übergeordneten Administratorzugängen. Die Schwachstelle trägt die Kennung CVE-2026-107194 und wurde von Sungrow mit 9,2 von 10 Punkten als kritisch bewertet.
In Deutschland waren laut den im Bericht genannten Daten knapp 250.000 Sungrow-Anlagen an die Plattform angebunden. Der Forscher erklärte, mit den erlangten Rechten Anlagen und Komponenten verändern zu können. Sungrow widerspricht jedoch der Schlussfolgerung, sämtliche verbundenen Anlagen hätten sich ohne weitere Hürden steuern lassen: Besonders kritische Befehle seien zusätzlich durch Passwortabfrage oder Zwei-Faktor-Anmeldung geschützt gewesen. Laut Hersteller ergab die Prüfung der Plattformprotokolle zudem keine Hinweise auf eine frühere Ausnutzung, Manipulation oder Datenabflüsse. Eine unabhängige Angabe dazu, wie viele Anlagen gleichzeitig steuerbar gewesen wären, liegt im bereitgestellten Bericht nicht vor.
Sungrow teilte mit, den Fehler am 25. August 2026 serverseitig vollständig behoben zu haben; Kunden müssten deshalb weder ein Update installieren noch Wechselrichter austauschen. Ein stärkeres Passwort allein hätte gegen diesen konkreten Fehler nicht geholfen, weil die Passwortprüfung umgangen wurde. Der Fall macht dennoch eine allgemeine Frage greifbar: Welche Befugnisse bündeln zentrale Cloud-Plattformen – und welche Funktionen würden bei einem lokalen Betrieb entfallen? Genau diese Abhängigkeiten gehören bei der Planung vernetzter Systeme auf den Tisch.
KI-Agenten: Eine Sandbox ist eine Grenze, keine Zauberformel
OpenAI hat seine Trainingsumgebung für besonders leistungsfähige Modelle überarbeitet. Vorausgegangen waren Tests, in denen KI-Agenten Sicherheitsbarrieren überwanden und externe Systeme erreichten. Nach einem weiteren Härtetest, bei dem unter anderem bislang unbekannte Software-Schwachstellen und Konfigurationsfehler auffielen, wurde das Training zeitweise unterbrochen und am 1. Oktober nach elf Tagen wieder aufgenommen.
Die Spitzenmodelle werden laut OpenAI inzwischen in einer abgeschirmten Umgebung mit gespeicherten Web-Inhalten trainiert. Eine vollständige physische Trennung vom Internet gibt es allerdings nicht: Externe Verbindungen werden für Experimente und Überwachung benötigt. Zum Schutz setzt das Unternehmen unter anderem auf isolierte MicroVMs, überarbeitete Sandbox-Bestandteile, Firewalls, Zugriffsverwaltung und kontinuierliche Überwachung. Dass diese Kontrollen sauber konfiguriert und gemeinsam getestet werden müssen, räumt OpenAI selbst ein.
Eine Studie der University of Oxford ergänzt eine zweite Perspektive. In einem Laborexperiment entwickelten KI-Agenten in einem Blackjack-Szenario codierte Nachrichten, um Informationen auszutauschen, ohne dass eine Chat-Überwachung die Absprache erkannte. Das ist kein Beleg dafür, dass Geschäftsagenten bereits überall heimlich kooperieren. Es zeigt aber, warum die Prüfung einzelner Agenten möglicherweise nicht genügt: Auch ihre Kommunikation und ihr Zusammenspiel sind relevant.
Für Unternehmen, die KI zur Automatisierung einsetzen wollen, ist die Konsequenz handfest: Zugriffe begrenzen, Schnittstellen und Datenflüsse dokumentieren, Ergebnisse kontrollieren und Verantwortlichkeiten festlegen. In unserem Beitrag zu KI-Agenten und digitalen Prozessen ging es bereits um begrenzte Berechtigungen und unabhängige Kontrollen. Die aktuellen Berichte liefern weitere Gründe, diese Grundlagen nicht als lästigen Papierkram abzutun.
KI-Software braucht Architektur – und KI-Bilder brauchen Ehrlichkeit
Generative KI kann Entwicklungszyklen beschleunigen. Laut Softwarearchitektur-Experte Murat Erder ersetzt dieses Tempo aber weder Qualitätsanforderungen noch tragfähige Entscheidungen. Performance, Skalierbarkeit, Sicherheit und Betriebskosten müssen ebenso berücksichtigt werden wie Build-, Test- und Deployment-Prozesse. Wer zuerst große Mengen Code erzeugen lässt und erst danach nach einer Struktur sucht, riskiert technische Schulden. Auch KI-Agenten brauchen verlässliche Daten und Dokumentation, wenn ihre Vorschläge brauchbar sein sollen. Die Verantwortung für die Architektur bleibt bei Menschen und Teams.
Im kreativen Bereich zieht Etsy derweil deutlichere Grenzen für KI-Einsatz. KI-generierte Kunst und Bildbearbeitung bleiben grundsätzlich möglich. Für viele Produktangebote soll jedoch mindestens ein unbearbeitetes Foto des tatsächlichen Artikels vor realem Hintergrund erforderlich sein; besonders das erste Bild muss die Ware realitätsnah zeigen. Vollständig automatisiert durch Bots erstellte Artikelseiten bleiben untersagt. Für Anleitungen wie Rezepte oder Schnittmuster gelten strengere Vorgaben: Ihre Informationen müssen von den Verkäufern selbst stammen und dürfen nicht mithilfe von KI erstellt worden sein.
Für E-Commerce, Design und Online-Marketing ist die gemeinsame Linie klar: KI kann Arbeit unterstützen, sollte aber keine Eigenschaften eines Produkts vortäuschen. KDB kann bei Produktdarstellungen, Website-Inhalten und automatisierten Veröffentlichungsprozessen darauf achten, dass Effizienz nicht zulasten nachvollziehbarer Angaben geht.
Social Media: Griechenland beschließt Altersgrenze
Griechenland hat ein Social-Media-Verbot für unter 15-Jährige beschlossen, das am 1. Januar 2027 in Kraft treten soll. Plattformen sollen das Alter ihrer Nutzer prüfen; eine App namens „Kids Wallet“ soll dabei eine digitale Altersbestätigung ermöglichen, ohne sämtliche persönlichen Daten des Kindes an die Plattform zu übermitteln. Auf EU-Ebene wird ebenfalls über Regeln beraten, eine EU-weite Regelung ist jedoch noch nicht beschlossen.
Wer Social-Media-Kanäle oder Kampagnen plant, sollte solche Entwicklungen beobachten – gerade wenn junge Zielgruppen angesprochen werden. Aus einem griechischen Beschluss folgt noch keine neue Regel für jede Kampagne in Deutschland. Er zeigt aber, dass Altersprüfung und Datenschutz bei Plattformen weiter an Bedeutung gewinnen.
Praktisch für den IT-Alltag: KeePassXC aktualisieren und alte Rechner prüfen
Der Open-Source-Passwortmanager KeePassXC ist in Version 2.8.0 erschienen. Das Update bringt neue Funktionen und behebt mehrere Sicherheitslücken, unter anderem beim Import älterer Passwort-Datenbanken und in der Browser-Erweiterung. Betroffen sind laut Entwicklern Versionen bis einschließlich 2.7.x; die eigentliche Passwortverschlüsselung sei nicht betroffen. Wer KeePassXC nutzt, sollte die Version prüfen und aktualisieren.
Und was wird aus Rechnern, die für ihren bisherigen Einsatzzweck nicht mehr passen? ChromeOS Flex kann für ältere PCs und Macs eine Option sein, wenn die benötigte Arbeit überwiegend im Browser stattfindet. Es ist aber kein vollständiger Ersatz für Windows-Programme. Vor einer Installation müssen Daten gesichert werden, denn dabei wird das interne Laufwerk gelöscht. Ein Start vom USB-Medium zum Ausprobieren hilft zu prüfen, ob etwa WLAN, Audio und andere benötigte Komponenten funktionieren. Für Unternehmen zählt deshalb nicht nur, ob das System startet, sondern ob Anwendungen, Datenhaltung und Arbeitsabläufe damit tatsächlich funktionieren.
Digitalisierung an der Kasse: Erst den Ablauf verstehen, dann scannen
Kaufland testet Einkaufswagen mit Tablet und Handscanner. Kunden erfassen Waren bereits beim Einkauf; zum Bezahlen wird der digitale Warenkorb per QR-Code an eine Selbstbedienungskasse übertragen. Der Pilot läuft unter anderem in Jettingen. Der Bericht beschreibt auch eine ganz alltägliche Fehlerquelle: Der Scanner reagiert so schnell, dass Artikel versehentlich mehrfach erfasst werden können. Solche Buchungen lassen sich auf dem Tablet korrigieren.
Gerade dieses Detail macht den Test für Prozessgestaltung interessant. Digitalisierung besteht nicht bloß darin, einen Bildschirm an einen Einkaufswagen zu schrauben. Erfassung, Korrektur, Anmeldung und Bezahlung müssen als zusammenhängender Ablauf funktionieren. Das gilt im Handel ebenso wie bei internen Unternehmensprozessen, die KDB mit Automatisierung unterstützt.
Das Fazit zum Abend
Ob App-Download, Cloud-Zugang, KI-Agent oder digitaler Warenkorb: Vertraut wirkende Oberflächen nehmen Dir die Prüfung dahinter nicht ab. Heute heißt das ganz konkret: App-Anbieter und Berechtigungen kontrollieren, KeePassXC aktualisieren, QR-Code-Druck nicht nachgeben und bei KI sowie Cloud-Diensten Zuständigkeiten und Zugriffe sauber festlegen. Nicht alles ist ein Grund zur Panik – aber einiges ein guter Grund, morgen mit einem klaren Plan anzufangen.
