Guten Abend zum KDB-Tech-Update
Willkommen zum abendlichen KDB-Tech-Update! Heute geht es um einen Cyberangriff auf die TU München, konkrete Updates für Paint und Cisco-Systeme sowie manipulierte Kühlanlagen. Außerdem schauen wir darauf, was spezialisierte Sicherheits-KI leisten kann, warum Rechenzentren mehr Transparenz brauchen und wie sich digitale Abhängigkeiten vermeiden lassen. Für alle, die mit Websites, Social Media oder KI arbeiten, sind auch die Verfahren gegen TikTok und Meta interessant. Kurz gesagt: reichlich Stoff für den Podcast – und für die nächste Runde im IT-Team.
Angriff auf die TU München: Ein Altsystem wird zum Einfallstor
Die Technische Universität München hat nach einem Cyberangriff zentrale Online-Plattformen vorübergehend abgeschaltet. Nach Angaben der Hochschule drangen die Angreifer über das ältere System myTUM ein. Von dort könnten sie auf personenbezogene Daten zugegriffen haben; betroffen sein könnten gut 60.000 Nutzerkonten. Ob und in welchem Umfang Daten tatsächlich entwendet wurden, ist noch ungeklärt.
Brisant ist vor allem der mögliche Weg vom Altsystem in die aktuelle Umgebung: Laut TUM gelangten die Angreifer auch an Zugangsdaten eines Systemverwalters für das Campus-Management-System TUMonline und griffen dieses damit an. Die betreffenden Kennungen wurden inzwischen gesperrt. Nach derzeitigem Kenntnisstand sind sensible Informationen wie Noten, Prüfungsergebnisse, Bewerbungen oder Bankverbindungen nicht abgeflossen. Die Untersuchungen laufen weiter.
Für Betroffene empfiehlt die Hochschule, Passwörter zu ändern, mehrfach verwendete Passwörter auch bei anderen Diensten zu ersetzen und Multi-Faktor-Authentifizierung einzurichten. Die Wiederherstellung der Dienste beeinträchtigte zunächst allerdings auch Passwortzurücksetzungen und die Einrichtung der zusätzlichen Absicherung; eine Änderung des TUM-Passworts sollte laut TUM-IT ab Montag, dem 9. November, möglich sein. Hinzu kommt ein zweites Risiko: Mit persönlichen Angaben können Phishing-Nachrichten glaubwürdiger wirken.
Die Lehre für Unternehmen: Ein abgelöstes System ist nicht automatisch aus dem Risiko raus. Gerade Übergänge zwischen alter und neuer Plattform, privilegierte Konten und noch aktive Schnittstellen gehören regelmäßig geprüft. KDB unterstützt dabei, Systemlandschaften und Zugriffswege zu erfassen, Berechtigungen sauber zu gestalten und Sicherheitsmaßnahmen in den laufenden IT-Betrieb einzubinden. Denn „läuft doch noch“ ist bei Altsystemen selten ein Sicherheitskonzept.
Update-Check: Paint unter Windows 11 und zwei Cisco-Produkte
Für Microsoft Paint unter Windows 11 ist eine korrigierte Version verfügbar. Die als hoch eingestufte Schwachstelle CVE-2026-83844 könnte die Ausführung von Schadcode ermöglichen. Laut dem vorliegenden Bericht sind bisher keine Angriffe bekannt. Geschützt sein sollen Installationen ab Paint-Version 11.2609.401.0.
Wichtig für den Alltag: Paint wird über den Microsoft Store aktualisiert. Wer nur Windows Update kontrolliert, hat diesen Patch damit nicht zwingend geprüft. Eine manuelle Suche nach Store-Updates und anschließend ein Blick auf die installierte Paint-Version sind sinnvoll. Auf einem Testgerät im Bericht erschien die korrigierte Version erst nach einer erneuten Suche. Wer Paint nicht benötigt, kann es alternativ deinstallieren.
Auch Cisco hat Updates veröffentlicht:
- UCS Central Software: Die hoch eingestufte Lücke CVE-2026-76506 betrifft das Web-Management-Interface. Ein entfernter Angreifer benötigt bereits eine Anmeldung, könnte dann aber unter anderem Kommandos ausführen, Dateien schreiben und Informationen auslesen. Cisco hat das Problem in Version 2.1(2c) behoben; einen Workaround gibt es nicht.
- Unified Communications Manager und Unified CM SME: Bei CVE-2026-76419 kann ein präparierter Link zur Ausführung von Skriptcode im Kontext des Management-Interfaces führen, wenn eine betroffene Person ihn öffnet. Abhilfe schafft ein Update beziehungsweise Upgrade auf Version 15SU5. Für Version 14 ist laut Cisco eine Migration auf eine abgesicherte Version nötig.
Auch für diese beiden Cisco-Lücken gibt es nach Unternehmensangaben bislang keine Hinweise auf eine Ausnutzung. Trotzdem gilt: Management-Oberflächen und Store-Apps gehören gleichermaßen in den Update-Prozess. Eine Geräteliste allein reicht nicht, wenn niemand prüft, welche Anwendungen auf den Geräten tatsächlich installiert sind. Dass Paint bereits in einem früheren KDB-Tech-Update Thema war, macht die konkrete Versionsprüfung heute nicht weniger wichtig.
Manipulierte Kühlung: Wenn Gebäudetechnik zum Geschäftsrisiko wird
In mehreren deutschen Supermärkten haben Angreifer über Fernzugriffe Kühlanlagen manipuliert. Berichtet wurden Fälle in Nordrhein-Westfalen und Niederbayern. In einer Edeka-Filiale in Reisbach wurde eine Anlage dem Bericht zufolge sogar auf „50 Grad Heizen“ programmiert. Lebensmittel konnten dadurch nicht ausreichend gekühlt werden und mussten teilweise entsorgt werden. Wer hinter den Eingriffen steckt und ob die Fälle zusammenhängen, ist offen.
Das ist nicht bloß ein IT-Ausfall mit ärgerlicher Fehlermeldung. Unterbrochene Kühlketten verursachen wirtschaftliche Schäden und können bei verderblichen Lebensmitteln auch gesundheitliche Risiken mit sich bringen. Der Fall zeigt, weshalb Fernwartung, Gebäudetechnik und andere vernetzte Anlagen in ein Sicherheitskonzept gehören: Wer darf von außen zugreifen? Wie werden Zugänge abgesichert? Und wer bemerkt ungewöhnliche Einstellungen rechtzeitig?
Über die Angriffe auf vernetzte Kühltechnik haben wir bereits im KDB-Tech-Update zu vernetzter Technik berichtet. Die nun beschriebenen Folgen machen den praktischen Punkt noch deutlicher: IT-Sicherheit endet nicht am Büro-PC.
Sicherheits-KI: Starke Werkzeuge brauchen klare Grenzen
OpenAI hat mit GPT-6 Cyber ein Modell für die Sicherheitsforschung vorgestellt. In einer isolierten Testumgebung erreichte es nach Unternehmensangaben im Benchmark ExploitGym 48,5 Prozent; die genannten Vergleichswerte liegen bei 32,1 Prozent für GPT-5.6 Cyber und 42,4 Prozent für GPT-6 Astra. OpenAI berichtet außerdem von gefundenen Schwachstellen in Linux und Firefox, von denen viele inzwischen geschlossen worden seien.
Die Fähigkeiten haben zwei Seiten: Sicherheitsfachleute können Schwachstellen schneller finden und prüfen. Zugleich steigt das Risiko, dass ähnlich leistungsfähige Werkzeuge missbraucht werden. OpenAI stuft das Modell selbst als „kritisch“ für Cybersicherheitsfragen ein und stellt es zunächst nur ausgewählten Mitgliedern seines Programms Daybreak Red zur Verfügung. Für besonders riskante Untersuchungen an kritischer Infrastruktur beschreibt das Unternehmen zusätzliche Zugangsbeschränkungen.
OpenAI meldet auch Verbesserungen beim Einhalten vorgegebener Grenzen. Solche Testergebnisse sind relevant, ersetzen aber keine Freigaben, abgeschotteten Testumgebungen und menschliche Kontrolle. Für den KI-Einsatz in Unternehmen heißt das bei KDB ganz nüchtern: Erst festlegen, auf welche Systeme und Daten ein Werkzeug zugreifen darf – dann seine Leistung bewerten. Andersherum wird’s schnell ungemütlich.
KI im Arbeitsalltag: ForenSight zeigt den Nutzen, die Berufsliste die Grenzen der Debatte
Wie KI bei großen Datenmengen helfen kann, zeigt ein Projekt der nordrhein-westfälischen Finanzverwaltung. Das gemeinsam mit dem Fraunhofer-Institut entwickelte System ForenSight soll digitale Beweismittel aufbereiten: Es kann etwa Dokumente übersetzen und zusammenfassen, Audio und Video transkribieren sowie erkannte Personen, Unternehmen und Orte in Beziehungen setzen.
Nach Angaben des NRW-Finanzministeriums fanden Ermittler in einem Pilotverfahren innerhalb weniger Wochen 1.000 relevante Seiten unter 20 Millionen Seiten. Das Ministerium betont zugleich: Die Software trifft keine Ermittlungsentscheidungen. Menschen prüfen die Vorschläge, ordnen sie ein und entscheiden. Genau diese Trennung ist auch außerhalb von Behörden wichtig. Automatisierung kann Such- und Routinearbeit beschleunigen; Verantwortung für das Ergebnis lässt sich nicht einfach mitautomatisieren.
Dazu passt eine Microsoft-Analyse über Berufe, deren Aufgaben sich stark mit möglichen KI-Anwendungen überschneiden. Genannt werden unter anderem Tätigkeiten in Übersetzung, Kundenservice, Medien, Verwaltung und Webentwicklung. Das ist keine Prognose, dass diese Berufe verschwinden. Ein Beruf besteht aus mehr als einer Liste automatisierbarer Einzelschritte – gerade Beratung, Qualitätskontrolle, Gestaltung und persönlicher Kontakt bleiben entscheidend. Für KDBs Arbeit in IT, Marketing und Design ist deshalb nicht die Frage „Mensch oder KI?“, sondern: Welche Arbeitsschritte werden sinnvoll unterstützt, und wer prüft das Resultat?
TikTok und Meta: Plattformstrategie braucht mehr als Reichweite
Die EU-Kommission nimmt TikToks Empfehlungssystem ins Visier. Nach ihrer vorläufigen Einschätzung könnte der sogenannte Rabbit-Hole-Effekt – also das immer weitere Empfehlen ähnlicher Inhalte anhand des Nutzerverhaltens – Risiken verstärken und möglicherweise gegen den Digital Services Act verstoßen. Die Kommission sorgt sich insbesondere um mögliche Auswirkungen problematischer Inhalte auf die psychische Gesundheit. TikTok kann zu den Vorwürfen Stellung nehmen; eine endgültige Entscheidung steht noch aus.
Für Social-Media-Teams ist das ein guter Anlass, Reichweite nicht zum einzigen Qualitätsmaßstab zu machen. Nur weil eine Plattform Verweildauer belohnt, muss eine Marke nicht jeden Inhalt auf maximalen Sog trimmen. KDB betrachtet Social Media deshalb sinnvollerweise zusammen mit Zielgruppe, Inhalt, Markenwirkung und der eigenen Website – statt die komplette Kommunikation einem Empfehlungsalgorithmus zu überlassen.
Aus Brasilien kommt ein zweiter Hinweis auf die Grenzen von Plattformmacht: Ein Zivilgericht in São Paulo hat Meta vorläufig untersagt, Inhalte von Mitgliedern dreier klagender Presseverbände für KI-Training zu verwenden. Zugleich setzte es einen beanstandeten Teil geplanter Bedingungen aus und untersagte Sanktionen gegen Medienunternehmen, die diese Vorgaben ablehnen. Der Fall ist kein allgemeines Verbot von KI-Training. Er zeigt aber, wie wichtig geklärte Nutzungsrechte und nachvollziehbare Bedingungen für Inhalte sind – ob bei redaktionellen Texten, Website-Material oder KI-Projekten.
Rechenzentren: Strom, Wasser und die Frage nach belastbaren Zahlen
Digitale Dienste und KI brauchen Rechenzentren. Wie viele Ressourcen diese benötigen, ist jedoch schwerer zu beurteilen, als es sein sollte. Eine Kurzstudie des Öko-Instituts im Auftrag von Greenpeace schätzt den Wasserverbrauch deutscher Rechenzentren für 2025 auf rund 13 Milliarden Liter; bis 2030 könnte er demnach auf bis zu 27 Milliarden Liter jährlich steigen. Die Auswirkungen hängen stark vom Standort und der Kühltechnik ab. Der Branchenverband Bitkom beurteilt den Wasserbedarf deutlich weniger kritisch.
Zur unterschiedlichen Bewertung kommt eine lückenhafte Datenbasis. Laut der Studie waren von den Meldungen im behördlichen Register nur 139 verwertbar. Eine Recherche des SWR Data Lab bei rund 30 großen Betreibern fand vorgeschriebene Angaben zu Strom- und Wasserverbrauch vielfach nicht öffentlich auf. Ob einzelne Unternehmen ihre Veröffentlichungspflichten verletzen, lässt sich aus ausbleibenden Antworten auf Presseanfragen allein allerdings nicht sicher ableiten. Zwischen Betreibern, Fachleuten und Behörden ist zudem umstritten, inwieweit Geschäftsgeheimnisse eine Zurückhaltung rechtfertigen.
Für Unternehmen, die Cloud- und KI-Dienste einkaufen, bleibt ein praktischer Schluss: Neben Preis, Leistung, Datenschutz und Sicherheit lohnt sich die Frage nach dem Ressourcenbedarf des Anbieters – und danach, wie transparent er ihn belegt. Wer Digitalisierung nachhaltig gestalten will, braucht vergleichbare Angaben, nicht bloß ein hübsches grünes Icon im Angebot.
Kritische Infrastruktur: Schutz und Transparenz sorgfältig abwägen
Ein Referentenentwurf des Bundesinnenministeriums sieht vor, den Zugang zu Informationen über kritische und besonders schutzbedürftige Infrastrukturen stärker einzuschränken. Ziel ist es, Angaben nicht verfügbar zu machen, die Ausspähung oder Sabotage erleichtern könnten. Die geplanten Änderungen reichen jedoch über klassische Kritis-Fragen hinaus und betreffen unter anderem das Informationsfreiheitsgesetz.
Der Bundesbeauftragte für Datenschutz und Informationsfreiheit, Moritz Hennemann, hält die vorgesehene Regelung für zu pauschal und fordert eine konkrete Prüfung, ob die Veröffentlichung einer bestimmten Information tatsächlich nachteilige Folgen für den Schutz einer Infrastruktur hätte. Auch müsse klar definiert sein, welche Anlagen überhaupt erfasst werden.
Diese Abwägung begegnet Unternehmen ebenfalls im Kleinen: Sicherheitskritische Details gehören nicht unbedacht ins Netz. Gleichzeitig darf „Sicherheit“ nicht zur pauschalen Antwort auf jede berechtigte Frage nach Verantwortung oder Ressourceneinsatz werden. Entscheidend sind klare Kriterien dafür, welche Informationen geschützt werden müssen und warum.
Digitale Souveränität: Ein Anbieterwechsel muss praktisch möglich sein
Ein Beitrag zur europäischen Microsoft-Abhängigkeit stellt eine einfache Frage: Was nützt die theoretische Wahl zwischen Anbietern, wenn ein Wechsel technisch und wirtschaftlich kaum machbar ist? Betriebssysteme, Bürosoftware, Identitätsverwaltung, Sicherheit, Cloud und inzwischen KI-Funktionen greifen häufig ineinander. Komplettpakete können bequem sein – und den späteren Ausstieg erschweren.
Anlass ist unter anderem eine Untersuchung der britischen Wettbewerbsbehörde CMA. Ihre Einschätzung ist für EU-Behörden nicht bindend; eine endgültige britische Entscheidung steht ebenfalls noch aus. Der Beitrag plädiert deshalb vor allem für praktische Ausstiegsfähigkeit: offene Standards, dokumentierte Schnittstellen, realistische Migrationsplanung und einen Blick auf Wechselkosten bereits bei der Beschaffung.
Für KDB als IT-Systemhaus und Managed Service Provider ist das eine handfeste Planungsfrage, keine Glaubensdebatte gegen ein bestimmtes Produkt. Eine gute Lösung muss heute funktionieren – und morgen noch Alternativen zulassen. Dazu gehören dokumentierte Konfigurationen, beherrschbare Datenexporte und ein Notfallplan für den Ausfall eines zentralen Dienstes.
Digitale Dienste und europäische Technik: Führerschein-App und Chipförderung
Der digitale Führerschein soll nach Angaben des Bundesverkehrsministeriums bis Ende November 2026 in der i-Kfz-App verfügbar sein; ein konkreter Starttag steht noch nicht fest. Innerhalb Deutschlands soll der Nachweis auf dem Smartphone künftig die mitgeführte Führerscheinkarte ersetzen können. Für Fahrten ins Ausland bleibt die Plastikkarte erforderlich.
Wer sich vorbereiten möchte, benötigt laut den vorliegenden Angaben ein NFC-fähiges Smartphone, die aktivierte Online-Ausweisfunktion und deren PIN. Offen ist, ob alle zuvor von der Gewerkschaft der Polizei angesprochenen Fragen zur einheitlichen Prüfung digitaler Dokumente inzwischen geklärt sind. Auch hier zeigt sich: Digitalisierung gelingt erst dann richtig, wenn neben der App die Abläufe dahinter funktionieren.
Auf einer anderen Ebene will die EU mit 525 Millionen Euro junge Unternehmen und Innovationen in der Halbleiterbranche fördern. Erleichtert werden sollen unter anderem der Zugang zu Entwicklungssoftware, Beratung und Produktionskapazitäten. Das ist ein Baustein für mehr technologische Eigenständigkeit Europas – noch keine schnelle Lösung für bestehende Abhängigkeiten, aber relevant für die langfristige digitale Infrastruktur.
Das KDB-Fazit zum Abend
Die heutigen Meldungen ziehen eine klare Linie: Alte Systeme, vergessene Store-Updates, ungesicherte Fernzugriffe und undurchsichtige Abhängigkeiten können aus kleinen Versäumnissen große Probleme machen. Gleichzeitig bieten KI und digitale Dienste echten Nutzen, wenn Zuständigkeiten, Zugriffsrechte und menschliche Kontrolle mitgedacht werden.
Für Deinen nächsten Arbeitstag reichen drei konkrete Fragen als Start: Sind die betroffenen Produkte und Versionen bei uns im Einsatz? Welche alten Systeme und Fernzugänge sind noch erreichbar? Und können wir bei Cloud- und KI-Diensten nachvollziehen, wo Daten, Verantwortung und Wechselmöglichkeiten liegen? KDB unterstützt Dich dabei, aus solchen Fragen belastbare IT-, Sicherheits- und Automatisierungsprozesse zu machen. Schwäbisch gesagt: Erst g’scheit hinschauen, dann läuft’s auch g’scheit.
