Guten Abend zum KDB-Tech-Update: Updates, KI-Agenten und die Frage, wem Du digital vertrauen kannst
Feierabend? Für Sicherheitslücken leider nicht. Im heutigen KDB-Tech-Update – und als Themenüberblick für den Podcast – schauen wir auf eine aktiv ausgenutzte Schwachstelle in Zyxel-Switches, eine mögliche Umgehung der SSH-Passwortanmeldung und ein Paint-Update, das Du im Microsoft Store gezielt prüfen solltest. Außerdem geht es um Angriffe über manipulierte Websites, neue Werkzeuge für KI-Agenten, die Kontrolle von KI-Kosten und den 40. Geburtstag der .de-Domain. Die gemeinsame Frage dahinter: Sind Deine Geräte, Zugänge und digitalen Prozesse so gut im Blick, wie Du denkst?
Zyxel GS1900: Aktiv ausgenutzte Lücke macht Switch-Updates dringend
Angreifer attackieren derzeit Switches der GS1900-Reihe von Zyxel. Die Schwachstelle CVE-2026-107441 ist mit einem CVSS-Wert von 8,8 als hochriskant eingestuft. Laut Zyxel können Angreifer aus dem lokalen Netzwerk und ohne Anmeldung eine präparierte HTTP-Anfrage senden. Ein dadurch ausgelöster Speicherfehler könnte es ermöglichen, Befehle auf Systemebene auszuführen.
Dass es nicht nur um ein theoretisches Risiko geht, zeigen die Untersuchungen von GreyNoise und Binarly: GreyNoise berichtete bereits im September von 996 erfolgreich angegriffenen Switches in 48 Ländern. Dabei wurden unter anderem Konfigurationen und gehashte Root-Zugangsdaten entwendet. Die Angriffe wurden zunächst einer älteren Lücke zugeordnet. Binarly stellte später fest, dass der verwendete Exploit auch auf Firmware funktionierte, die diese ältere Schwachstelle schließen sollte. Wie viele Geräte aktuell angegriffen werden, ist nicht bekannt.
Zyxel hat für unterstützte GS1900-Modelle Sicherheitsupdates veröffentlicht. Prüfe daher Modell und installierte Firmware und spiele die passende korrigierte Version ein. Betroffen sein können unter anderem Modelle vom GS1900-8 bis zum GS1900-48HPv2; die Zielversion unterscheidet sich je nach Gerät. Für Unternehmen ist das ein guter Anlass, den Bestand an Switches überhaupt erst einmal sauber zu erfassen. Was im Netz hängt, aber in keiner Geräteliste steht, bekommt erfahrungsgemäß auch kein verlässliches Update – des isch halt so.
Bei KDB gehört genau diese Sicht auf vernetzte Systeme zur Arbeit als IT-Systemhaus und Managed Service Provider: Gerätebestand, Zuständigkeiten und Wartung müssen zusammenpassen. Warum das nicht nur für Switches gilt, haben wir auch im KDB-Tech-Update zu Sicherheit und vernetzten Systemen erläutert.
OpenSSH auf musl-Linux: Passwortanmeldung vorerst abschalten
Das OpenSSH-Team warnt vor einem schwerwiegenden Fehler in bestimmten Linux-Konfigurationen mit der C-Standardbibliothek musl. Wenn dort die passwortbasierte SSH-Anmeldung ohne PAM eingesetzt wird, kann unter bestimmten Bedingungen eine Anmeldung ohne gültiges Passwort möglich sein. Das betrifft unter anderem entsprechende Alpine-Linux-Systeme – ausdrücklich nicht pauschal jedes Linux-System und jede OpenSSH-Installation.
Für betroffene Betreiber ist die Empfehlung klar: Die Passwortanmeldung in der SSH-Server-Konfiguration mit PasswordAuthentication=no deaktivieren und den SSH-Dienst neu starten. Wenn das nicht kurzfristig möglich ist, sollte der SSH-Zugang vorübergehend vollständig abgeschaltet werden. Die Anmeldung per SSH-Schlüssel ist die bevorzugte Alternative. Eine korrigierte OpenSSH-Version 10.6p2 wurde veröffentlicht; Alpine Linux stellte bereits ein Update bereit. Da zum Zeitpunkt des Berichts andernorts noch 10.6p1 angeboten wurde, lohnt sich die Prüfung der tatsächlich verfügbaren Distributionspakete.
Wichtig ist hier die Reihenfolge: Erst prüfen, ob die eigene Konfiguration betroffen ist, dann den Zugang absichern und das passende Update installieren. Gerade bei Servern und automatisierten Prozessen sollte eine Änderung der SSH-Anmeldung geplant erfolgen, damit legitime Administration anschließend weiter möglich bleibt.
Paint und SonicWall GMS: Zwei sehr unterschiedliche Update-Fälle
Auch Microsoft Paint steht heute auf der Sicherheitsliste. Die als hoch eingestufte Lücke CVE-2026-83844 könnte die Ausführung von Schadcode auf Windows-11-Rechnern ermöglichen. Der Angriff gilt als vergleichsweise kompliziert; aktive Angriffe sind bislang nicht bekannt. Behoben ist der Fehler laut Microsoft ab Paint 11.2609.401.0.
Der Haken: Paint wird über den Microsoft Store aktualisiert, nicht über Windows Update. Prüfe dort die installierte Version und suche bei Bedarf erneut manuell nach Updates – auf einem Test-PC wurde die korrigierte Ausgabe erst bei einer zweiten Suche installiert. Wenn Du Paint nicht nutzt, kannst Du die App alternativ über das Startmenü deinstallieren.
Bei SonicWall Global Management System (GMS) hilft dagegen keine Suche nach einem Patch mehr: Das Produkt hat sein Supportende erreicht. Zwei bekannt gewordene Lücken in Versionen bis einschließlich 9.5.2 bleiben ungepatcht. Über die kritische CVE-2026-109593 können Angreifer ohne Anmeldung interne Dateien auslesen; die mittelschwere CVE-2026-109594 ermöglicht angemeldeten Angreifern über eine SQL-Injection Änderungen an Datenbankinhalten. Hinweise auf eine Ausnutzung gibt es laut SonicWall bislang nicht. Der Hersteller empfiehlt den Wechsel zum Network Security Manager.
Für die IT-Planung ist das eine wichtige Unterscheidung: Bei Paint und betroffenen Switches geht es um die gezielte Installation einer Korrektur. Bei GMS geht es um die Ablösung einer nicht mehr unterstützten Verwaltungssoftware. Ein Update-Plan allein reicht nicht, wenn das Produkt gar keine Sicherheitsupdates mehr erhält.
Manipulierte Websites als Angriffspfad auf Smartphones
Eine von Sekoia beschriebene Kampagne zeigt, dass selbst ein Websitebesuch zum Angriffspfad werden kann. Nach Angaben der Sicherheitsfirma wurde in den Datenverkehr kompromittierter oder nachgeahmter Seiten JavaScript eingeschleust. Der Code erfasste Merkmale von Browser und Gerät; anschließend konnten Angreifer versuchen, eine von mehreren Exploit-Ketten gegen iOS- oder Android-Geräte zu starten – ohne weitere Handlung der betroffenen Person. Die dabei ausgenutzten Sicherheitslücken seien inzwischen geschlossen.
Die Schadprogramme zielten laut Sekoia unter anderem auf Browser-Cookies und in manchen Fällen auf WLAN-Passwörter. Viele Seiten standen im Umfeld des Kriegs zwischen Russland und der Ukraine. Sekoia ordnet die Kampagne mit „mittlerer bis hoher Wahrscheinlichkeit“ APT29 zu, einer Gruppe, die dem russischen Auslandsgeheimdienst zugerechnet wird. Das ist eine Einschätzung der Sicherheitsfirma, kein unabhängig bestätigter Nachweis der Urheberschaft. Ebenso lässt sich aus den beschriebenen möglichen Zielumfeldern nicht ableiten, welche konkreten Personen kompromittiert wurden.
Für Unternehmen bleibt die praktische Lehre unabhängig von der Zuschreibung: Sicherheitsupdates auf mobilen Geräten sind Teil der IT-Sicherheit. Zugleich verdienen nachgeahmte Domains und Seiten besondere Aufmerksamkeit – gerade dann, wenn Mitarbeitende mobil auf Konten und Unternehmensdaten zugreifen.
KI-Agenten bekommen Infrastruktur – Kontrolle wird wichtiger als die Demo
Mehrere Meldungen zeigen, wie Anbieter ihre Werkzeuge für KI-gestützte Softwareentwicklung und automatisierte Arbeit ausbauen. OpenAI hat die Übernahme von Pierre Computer angekündigt. Dessen Werkzeuge für Git-Code, Dateisuche und Änderungsvergleiche sind teilweise bereits in Codex integriert. Hinzu kommt Pando, ein Backend für Git-Repositories, das auf Programmieragenten ausgerichtet ist. Ob daraus eine umfassende Alternative zu GitHub wird, ist offen.
Meta wiederum hat Conductor übernommen. Dessen Software koordiniert mehrere Coding-Agenten, die in getrennten Arbeitsbereichen an Aufgaben desselben Projekts arbeiten können. Änderungen lassen sich anschließend prüfen und zusammenführen. Wer Conductor bisher nutzt, sollte die angekündigten Termine beachten: Der Cloud-Dienst soll am 20. November enden; die Einstellung der lokalen Mac-App soll Anfang 2027 beginnen.
Auch Dropbox richtet sich stärker auf KI-Anwendungen aus. Das Unternehmen plant die Übernahme des Speicherspezialisten Tigris Data für 350 Millionen US-Dollar und hat mit DBX Agent Cloud zunächst einen S3-kompatiblen Objektspeicher angekündigt. Weitere Funktionen zur Inhaltsverarbeitung und für einen dauerhaften Dateispeicher von KI-Agenten sind geplant. Parallel erweitert Dropbox seine Dateiabläufe: KI kann nach Freigabe beispielsweise Ordner zusammenfassen, Dokumentversionen vergleichen oder Dateien sortieren. Laut Dropbox gelten dabei weiterhin bestehende Dateiberechtigungen; Änderungen werden protokolliert. Die erste Einführung dieser Funktionen ist auf berechtigte Teams in den USA, im Vereinigten Königreich und in Australien sowie auf Englisch begrenzt.
Für KDBs Arbeit an Automatisierung und KI zählt weniger, wie spektakulär ein Agent vorgeführt wird. Entscheidend ist, welche Daten er sehen darf, welche Aktionen eine Freigabe brauchen und wie Änderungen geprüft werden. Bei KI-generiertem Code gilt das genauso wie bei automatisierter Dateibearbeitung: Ein schneller Ablauf ist noch kein belastbarer Prozess.
Kannst Du prüfen, welches KI-Modell geantwortet hat?
Anthropic hat mit FlashProve einen quelloffenen Forschungsprototyp vorgestellt. Er soll kryptografisch nachweisbar machen, ob eine Antwort tatsächlich mit den Modellgewichten erzeugt wurde, die ein Anbieter angibt – ohne diese Gewichte offenzulegen. Das könnte etwa für Kunden von Modell-Vermittlungsdiensten interessant sein, die überprüfen möchten, ob sie das gebuchte Modell erhalten.
Der Ansatz ist technisch bemerkenswert, aber noch kein fertiges Werkzeug für den Unternehmensalltag: Der Prototyp unterstützt bislang nur Mixture-of-Experts-Modelle und Kontexte bis 1.024 Tokens. In einem Test benötigte die Beweiserstellung laut Anthropic 70- bis 95-mal so viel GPU-Zeit wie ein gewöhnlicher Modelllauf. Eine Einführung in Anthropic-Produkten ist dem Bericht zufolge nicht geplant.
Die Entwicklung macht dennoch eine wichtige Anforderung sichtbar: Bei eingekauften KI-Diensten wird es zunehmend darauf ankommen, Leistung und zugesicherte Eigenschaften überprüfbar zu machen – statt sich ausschließlich auf Produktnamen und Versprechen zu verlassen.
KI-Kosten messen, ohne Mitarbeitende unter Generalverdacht zu stellen
Mit Smart Reports bietet Anthropic Enterprise-Kunden eine neue Möglichkeit, Claude-Nutzung und Kosten auszuwerten. Die Funktion ist standardmäßig ausgeschaltet; autorisierte Führungskräfte können bis zu zehn Berichte pro Monat erstellen lassen. Dafür wertet Claude laut Anthropic eine Stichprobe von Gesprächsprotokollen aus einem festgelegten Team oder Zeitraum aus und gruppiert Aufgaben, Ergebnisse und Kosten. Als vertraulich eingestufte Sitzungen sollen nur aggregiert einfließen.
Das kann helfen, wiederkehrende Abläufe und unnötige Ausgaben zu erkennen. Zugleich entsteht ein heikler Zielkonflikt: Wer Arbeitsabläufe sehr genau auswertet, kann möglicherweise auch Rückschlüsse auf einzelne Beschäftigte ziehen. Anthropic erklärt, Smart Reports seien nicht für individuelle Leistungs- oder Personalentscheidungen gedacht. Unternehmen sollten deshalb vor der Aktivierung klar festlegen, wer Berichte sehen darf, wofür sie verwendet werden und wie Beschäftigte darüber informiert werden.
Für KDBs Blick auf Prozessgestaltung ist Kostenkontrolle sinnvoll, wenn sie bessere Entscheidungen ermöglicht: Welche Aufgaben profitieren tatsächlich von KI? Wo genügt ein günstigeres Modell? Und wo verschlingt ein komplizierter Ablauf mehr Ressourcen, als er spart? Die Antworten sollten den Prozess verbessern – nicht heimlich eine Leistungskontrolle durch die Hintertür einführen.
Digitale Infrastruktur: .de wird 40, Europa fördert Chipdesign
Die Internetendung .de feiert am 5. November ihren 40. Geburtstag. Heute sind mehr als 18 Millionen .de-Domains registriert; die DENIC verarbeitet nach eigenen Angaben täglich rund 3,5 Milliarden Nameservice-Anfragen. Für Unternehmen bleibt eine passende Domain ein wichtiger Zugang zur eigenen Website und Marke. Gleichzeitig verändert sich, wie Menschen Angebote entdecken: Apps und KI-Suchsysteme führen Nutzer oft zu Inhalten, ohne dass sie eine Webadresse selbst eingeben.
Für Homepageerstellung, SEO und digitale Markenführung heißt das: Eine gute Domain allein erledigt die Arbeit nicht. Inhalte müssen verständlich, aktuell und auffindbar sein – auch wenn der Weg zur Website nicht mehr ausschließlich über eine klassische Suchergebnisliste führt. Genau an dieser Verbindung von Technik, Design und Sichtbarkeit setzt KDB im Medienbereich an.
Auf einer anderen Ebene will die EU ihre digitale Infrastruktur stärken: Für eine European Chip Design Platform sind insgesamt 525 Millionen Euro vorgesehen. Die Initiative soll europäischen Unternehmen Zugang zu Entwurfswerkzeugen, technischer Unterstützung und Fertigungskapazitäten erleichtern. Hintergrund ist unter anderem die wachsende Nachfrage nach spezialisierten Chips für KI. Für KDB-Kunden ist das keine unmittelbare Beschaffungsentscheidung, aber ein relevantes Signal: Digitale Souveränität hängt nicht nur von Software und Cloud-Diensten ab, sondern auch von den Lieferketten darunter.
Online-Verwaltung und Rechenzentren: Digitalisierung braucht Umsetzung und Akzeptanz
Auch bei digitalen Verwaltungsdiensten entscheidet die Umsetzung vor Ort. Die Bundesregierung will Meldebehörden verpflichten, die technischen Komponenten für die elektronische Wohnsitzanmeldung einzusetzen. Das Kabinett hat die entsprechende Verordnung beschlossen; sie soll voraussichtlich am 1. Dezember in Kraft treten. Derzeit sind nach Ministeriumsangaben rund 3.800 von etwa 5.000 Meldebehörden angeschlossen. Ob die Ummeldung nach einem Umzug überall online möglich wird, hängt nun davon ab, dass die übrigen Behörden die Voraussetzungen tatsächlich schaffen.
Beim Ausbau von KI-Infrastruktur zeigt sich eine andere Voraussetzung: Akzeptanz. OpenAI hat für künftige Rechenzentrumsprojekte unter anderem mehr Transparenz zu Strom- und Wasserverbrauch sowie Lärm angekündigt. Außerdem will das Unternehmen bei Verhandlungen auf Schweigevereinbarungen verzichten und Anwohner nicht für den Stromverbrauch der Anlagen aufkommen lassen. Die Zusagen stehen vor dem Hintergrund lokalen Widerstands gegen Rechenzentren in den USA. Sie erinnern daran, dass digitale Dienste physische Standorte, Energie und nachvollziehbare Entscheidungen brauchen.
KDB-Fazit zum Abend: Erst Überblick, dann Automatisierung
Wenn Du heute nur drei Dinge mitnimmst, dann diese: Prüfe betroffene Zyxel-Switches samt Firmware, sichere gegebenenfalls SSH-Zugänge auf musl-Systemen ab und kontrolliere Paint-Updates direkt im Microsoft Store. Nimm außerdem Produkte ohne Sicherheitsupdates – wie SonicWall GMS – in Deine Ablöseplanung auf.
Bei KI-Projekten gilt derselbe Grundsatz in neuer Verpackung: Kenne Deine Daten, Berechtigungen und Kosten, bevor Du Agenten zusätzliche Aufgaben übergibst. KDB verbindet dafür IT-Sicherheit, Managed Services und durchdachte Automatisierung mit einer digitalen Präsenz, die Menschen tatsächlich finden und nutzen können. Technik darf ruhig Tempo machen. Aber sie sollte wissen, wohin.
