KDB-Tech-Update am Abend: Patchen, prüfen, nicht auf jeden Schmarrn klicken
Guten Abend zum KDB-Tech-Update! Heute wird’s sicherheitstechnisch ordentlich: Kritische Fortinet-Lücken, ein riesiges Windows-Update und betrügerische VPN-Erweiterungen zeigen wieder einmal, warum „machen wir nächste Woche“ bei Updates keine besonders gscheite Strategie ist. Außerdem geht es um raffinierte ClickFix-Angriffe auf Hotels, neue EU-Vorgaben für Datenanbieter, Passkeys mit Bedienhürden und KI, die schneller, lokaler – und bei Multi-Agenten-Systemen mitunter auch streitlustiger wird. Kurz gesagt: Digitalisieren ja, aber bitte mit Hirn, Konzept und Sicherheitsgurt.
Fortinet: Kritische Lücken an zentralen Stellen der Infrastruktur
Fortinet hat Sicherheitsupdates für mehrere teils hoch eingestufte Schwachstellen veröffentlicht. Betroffen sind mit FortiWeb, FortiManager, FortiManager Cloud und FortiClientWindows Komponenten, die in vielen Unternehmen an besonders sensiblen Punkten eingesetzt werden: als Web Application Firewall, zentrale Managementplattform oder Endpoint- und VPN-Komponente.
Besonders wichtig ist CVE-2026-26035 in FortiWeb. Unter bestimmten Voraussetzungen kann die Anmeldung aus der Ferne umgangen werden. Voraussetzung ist laut Fortinet, dass bei einem Administrator-Konto für den Remote-Zugriff die Wildcard-Option aktiviert wurde. In der Standardkonfiguration ist das nicht der Fall – Entwarnung ist das aber noch lange nicht. Wer diese Einstellung irgendwann aus Bequemlichkeit, für einen Sonderfall oder „bloß kurz“ aktiviert hat, sollte sie dringend prüfen.
Fortinet hat die Lücke in FortiWeb 7.2.13, 7.4.12, 7.6.7 und 8.0.3 geschlossen. Für FortiManager und FortiManager Cloud betrifft CVE-2026-70468 ebenfalls die Anmeldung: Für einen Angriff ist zwar ein gültiges Zertifikat erforderlich, dennoch sollte auf FortiManager 7.2.10, 7.4.6 oder 7.6.2 aktualisiert werden. FortiManager 8.0 soll nicht betroffen sein.
Bei FortiClientWindows ermöglicht CVE-2026-70465 unter Umständen die Einschleusung von Schadcode, wenn Angreifer DNS-Antworten manipulieren können. Abgesichert sind die älteren Produktzweige mit den Versionen 7.2.12 und 7.4.4; FortiClientWindows 8.0 ist laut den vorliegenden Informationen nicht verwundbar.
Unser KDB-Tipp: Nicht bloß die genannten Einzellösungen aktualisieren. Prüfe die gesamte Fortinet-Landschaft auf offene Updates, auffällige Anmeldeereignisse und riskante Administrationskonfigurationen. Gerade zentrale Security-Systeme müssen sauber inventarisiert, überwacht und in einen geregelten Patch-Prozess eingebunden sein. Sonst wird aus der Schutzmauer schneller eine Drehtür, als einem lieb ist.
Microsoft schließt 421 Windows-Schwachstellen: August-Update nicht auf die lange Bank schieben
Microsoft hat sein August-Sicherheitsupdate für Windows 11 veröffentlicht und damit 421 Sicherheitslücken geschlossen. Darunter befinden sich mehrere kritische Probleme sowie 37 Schwachstellen, die eine Ausführung von Schadcode aus der Ferne ermöglichen könnten.
Die Patch-Zahlen zeigen, wie sehr der Druck steigt: Bereits im Juli wurden laut einem Bericht von Windows Latest 570 Lücken geschlossen. Im August 2025 waren es dagegen 107, im Juli 2025 137 Schwachstellen. Microsoft führt den Anstieg unter anderem auf KI-gestützte Sicherheitsforschung zurück. Solche Werkzeuge helfen dabei, Fehler in Software deutlich schneller zu finden und zu analysieren.
Das hat zwei Seiten: Gut ist, dass Lücken schneller entdeckt und geschlossen werden. Weniger gut: Sobald technische Details bekannt sind, können auch Angreifer KI nutzen, um verwundbare Systeme zügiger aufzuspüren. Ein ungepatchter Rechner ist dann kein exotisches Forschungsobjekt, sondern ein potenziell leicht auffindbares Ziel.
Auf Windows-11-Systemen erscheint die Aktualisierung in der Regel als „2026-08 Sicherheitsupdate“. Du findest sie unter Einstellungen > Windows Update. Vorher Arbeit speichern, Update installieren, Neustart durchführen und danach kontrollieren, ob die Installation wirklich abgeschlossen ist.
Für Unternehmen reicht der Hinweis an Mitarbeitende allein freilich nicht aus. KDB empfiehlt einen zentral gesteuerten Patch- und Update-Prozess: Gerätebestand kennen, Updates kontrolliert ausrollen, Ausnahmen dokumentieren und den Patch-Status nachvollziehbar überwachen. Genau da helfen Managed Services – damit Sicherheitsupdates nicht vom Zufall, dem Feierabend oder dem nächsten Urlaub abhängen.
Gefälschte VPN-Erweiterungen im Chrome Web Store: Offiziell heißt nicht automatisch vertrauenswürdig
Eine Untersuchung deckt ein umfangreiches Problem im Chrome Web Store auf: Insgesamt 737 verdächtige VPN-Erweiterungen wurden identifiziert, verteilt auf 40 Herausgeberkonten und mit zusammen rund 75.000 Installationen. Sie geben sich teils als bekannte Dienste wie Proton, NordVPN, Surfshark, AdGuard, Windscribe, Cloudflare oder Google aus – liefern aber offenbar kein echtes, verschlüsseltes VPN.
Google entfernte nach den Meldungen 221 Erweiterungen. Weitere 516 waren zum Zeitpunkt der Untersuchung noch verfügbar. Besonders auffällig: Viele der analysierten Plugins verwendeten dieselbe Analyse-Infrastruktur und technische Gemeinsamkeiten. Über 90 Prozent richteten sich an russischsprachige Nutzer, häufig mit dem Versprechen, staatliche Websperren umgehen zu können.
Technisch setzen die Erweiterungen meist lediglich auf die Browserberechtigung proxy und leiten den Browserverkehr über SOCKS5-Server um. Eine eigene Verschlüsselung durch die Erweiterung findet dabei nicht statt. Der Betreiber der Proxy-Infrastruktur kann damit grundsätzlich Metadaten wie aufgerufene Adressen, IP-Adressen und Informationen aus TLS-Verbindungen einsehen. Inhalte von unverschlüsselten HTTP-Seiten – inklusive dort eingegebener Passwörter – könnten ebenfalls offenliegen.
Manche Angebote verkaufen sogar kostenpflichtige „Premium“-Pakete mit angeblich 200 Servern. Die Untersuchung ergab jedoch, dass keiner dieser beworbenen Server über einen DNS-A-Eintrag verfügte. Frech, aber leider ein bekanntes Muster: großes Sicherheitsversprechen, unklare Technik, Zahlung über Telegram. Da sollten sämtliche Alarmglocken läuten.
Was Du jetzt tun solltest:
- Prüfe in Chrome installierte Erweiterungen und suche in den Einstellungen nach „proxy“.
- Entferne unbekannte oder nicht eindeutig verifizierbare VPN-Plugins.
- Ändere vorsorglich Passwörter, falls Du über eine betroffene Erweiterung sensible Daten auf unverschlüsselten HTTP-Seiten eingegeben hast.
- Installiere VPN-Software nur direkt über die offizielle Website eines überprüfbaren Anbieters oder aus eindeutig verifizierten Quellen.
Für Unternehmen gilt: Browser-Erweiterungen gehören in die Sicherheitsstrategie. Mit Richtlinien, zentraler Verwaltung und einem kontrollierten Extension-Management lässt sich verhindern, dass Mitarbeitende aus Versehen fragwürdige Zusatzsoftware installieren.
ClickFix gegen Hotels: Der gefälschte Bluescreen als Einfallstor für Malware
Eine aktuelle Phishing-Kampagne richtet sich gezielt gegen Hotels und Beherbergungsbetriebe in Europa. Die Angreifer geben sich als Booking.com aus und behaupten, ein Gast habe eine Buchung storniert. Mit einem auffällig hohen Rückerstattungsbetrag erzeugen sie Druck: schnell klicken, schnell reagieren, bloß nichts verpassen.
Der Link führt auf eine gefälschte Website, die zunächst eine angebliche Ladefehlermeldung zeigt. Nach einem Klick wechselt der Browser in den Vollbildmodus und zeigt einen täuschend echten Windows-Bluescreen. Dann folgt die eigentliche Falle: Der Nutzer soll das Fenster „Ausführen“ öffnen und einen Befehl einfügen. Dieser befindet sich bereits in der Zwischenablage. Mit dem Drücken der Eingabetaste startet das Opfer selbst die Installation der Schadsoftware.
Die Methode heißt ClickFix. Statt eine Sicherheitslücke automatisch auszunutzen, bringen Kriminelle ihre Opfer dazu, die schädlichen Schritte eigenhändig auszuführen. Das macht die Masche so gefährlich: Ein bekannter Fehlerbildschirm, etwas Zeitdruck und scheinbar konkrete Reparaturanweisungen reichen oft schon.
Ein echter Windows-Absturz fordert Dich nicht dazu auf, Befehle aus einer Website, aus der Zwischenablage oder aus einer dubiosen Nachricht in „Ausführen“, PowerShell oder die Eingabeaufforderung zu kopieren. Nie. Niemals. Auch nicht, wenn die Seite besonders professionell aussieht.
Hotels verarbeiten Buchungs-, Kunden- und Zahlungsdaten und sind deshalb ein attraktives Ziel. KDB empfiehlt neben technischen Schutzmaßnahmen wie Endpoint-Security, eingeschränkten Benutzerrechten und Netzwerküberwachung vor allem regelmäßige Awareness-Schulungen. Denn die beste Firewall ist nur die halbe Miete, wenn jemand auf Zuruf den Wohnungsschlüssel durchs Fenster wirft.
Passkeys sind stark – aber Kontosicherheit braucht verständliche Warnungen
Passkeys sind ein wichtiger Schritt weg vom klassischen Passwort. Sie nutzen kryptografische Schlüsselpaare: Der private Schlüssel bleibt auf dem Gerät, der öffentliche Schlüssel liegt beim jeweiligen Dienst. Die Anmeldung wird lokal per PIN, Fingerabdruck oder Gesichtserkennung bestätigt. Das schützt unter anderem besser gegen Phishing, weil ein Passkey an die konkrete Website gebunden ist.
Eine US-Studie zeigt allerdings eine praktische Schwachstelle: Wenn ein Angreifer bereits Zugriff auf ein Konto hat, kann er unter Umständen einen eigenen Passkey hinzufügen. Dieser muss anschließend gezielt wieder entfernt werden. Genau das gelang vielen der 31 Studienteilnehmenden in simulierten Konten bei Google beziehungsweise Gmail, LinkedIn und PayPal nicht zuverlässig – auch technisch versierte Personen hatten Schwierigkeiten.
Einige Testpersonen erkannten fremde Passkeys nicht als Angriffssignal, andere löschten aus Unsicherheit gleich alle hinterlegten Zugänge. Zusätzlich sorgten unklare Gerätenamen, verwirrende Sicherheitswarnungen und komplizierte Wege in den Kontoeinstellungen für Probleme.
Die Lehre daraus: Passkeys sind technisch sicherer als Passwörter, aber sie ersetzen kein gutes Konto-Management. Prüfe Sicherheitshinweise ernsthaft, kontrolliere regelmäßig angemeldete Geräte und hinterlegte Passkeys und entferne unbekannte Einträge gezielt. Anbieter stehen ebenfalls in der Pflicht: Warnungen müssen konkret erklären, was passiert ist und wie ein verdächtiger Zugang sicher entfernt wird.
EU-E-Evidence ab 18. August: Neue Pflichten für Cloud, Hosting, Shops und Plattformen
Ab dem 18. August gelten neue EU-Regeln für den grenzüberschreitenden Zugriff von Strafverfolgungsbehörden auf Nutzerdaten. Die E-Evidence-Verordnung, eine ergänzende Richtlinie und das deutsche Umsetzungsgesetz sollen Ermittlungen beschleunigen, wenn Daten bei einem Anbieter in einem anderen EU-Staat liegen.
Statt langwieriger Rechtshilfeverfahren können Behörden bestimmte Daten künftig direkt bei Anbietern anfordern. Daten müssen je nach Anordnung 60 Tage gesichert oder grundsätzlich innerhalb von zehn Tagen herausgegeben werden. In dringenden Fällen gilt sogar eine Frist von nur acht Stunden.
Relevant ist das nicht nur für große Plattformen. Der Anbieterbegriff ist weit gefasst und kann auch Webhoster, Cloud-Dienste, Foren oder Online-Shops betreffen, sofern sie geschäftlich Nutzerkonten bereitstellen und Daten erheben. Betroffene Organisationen müssen einen Vertreter oder eine Niederlassung in der EU benennen, über die behördliche Anordnungen entgegengenommen und umgesetzt werden. Für Eilfälle ist eine Erreichbarkeit rund um die Uhr vorgesehen.
Bei Verstößen drohen erhebliche Sanktionen: bis zu 500.000 Euro Bußgeld, bei großen Anbietern sogar bis zu zwei Prozent des weltweiten Jahresumsatzes. Gleichzeitig gibt es Kritik an den kurzen Fristen, dem Rechtsschutz für Betroffene und möglichen Risiken für besonders geschützte Daten.
Für Betreiber digitaler Dienste heißt das: Prozesse, Zuständigkeiten und technische Voraussetzungen müssen vor dem Ernstfall stehen. Wer nimmt Anordnungen entgegen? Wie werden Fristen überwacht? Welche Daten liegen wo? Wie lassen sich Berufsgeheimnisse oder besondere Schutzbedarfe erkennen? KDB unterstützt Unternehmen dabei, Hosting-, Cloud- und Datenprozesse sauber zu dokumentieren und technisch wie organisatorisch belastbar aufzustellen.
Cookie-Banner: Datenschutzbeauftragte fordert EU-Lösung gegen die Klickmüdigkeit
Die scheidende Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider fordert eine europäische Lösung gegen die allgegenwärtige Cookie-Flut. Nutzer sollen ihre Datenschutzpräferenzen künftig idealerweise einmal zentral hinterlegen können. Websites müssten diese Einstellung dann maschinenlesbar respektieren – statt bei jedem Besuch erneut nach einer Einwilligung zu fragen.
Die Idee: Browser-Signale wie „Do Not Track“ oder weitergehende Personal-Information-Management-Systeme könnten Einwilligungen und Widersprüche automatisch übermitteln. Im ersten Entwurf für den EU-„Digitalen Omnibus“ war dafür ein neuer Artikel 88b der Datenschutz-Grundverordnung vorgesehen. Ob und wie eine solche Regelung kommt, ist noch offen.
Eine Befragung aus dem Juli 2025 zeigt, warum das Thema relevant ist: Rund ein Fünftel akzeptiert alle Cookies, mehr als die Hälfte lehnt sie ab, wenn dies direkt mit einem Klick möglich ist. Die Gestaltung eines Cookie-Banners beeinflusst also erheblich, wie Menschen entscheiden. Verschachtelte Ablehnungswege und manipulative Gestaltung sind nicht nur unerquicklich, sondern datenschutzrechtlich ein Risiko.
Für Websites und Online-Shops bleibt die Aufgabe klar: Consent-Management darf kein nerviges Alibi-Element sein. Es muss technisch korrekt, verständlich, barrierearm und sauber in Tracking, Analyse und Marketing-Automatisierung eingebunden sein. KDB entwickelt Websites und digitale Kampagnen so, dass Datenschutz, SEO, Messbarkeit und Nutzererlebnis nicht gegeneinander arbeiten müssen. Geht nämlich – man muss es halt ordentlich machen.
KI-Markt: Neue Modelle, mehr Tempo und ein scharfer Blick auf Kosten
Der Wettbewerb bei großen Sprachmodellen dreht weiter auf. Google stellt Gemini 3.7 Flash vor und positioniert das Modell für Programmierung, Webentwicklung und Agentenaufgaben. Laut Googles eigenen Benchmarkangaben liegt Gemini unter anderem bei FrontierCode 1.1 Main und in der WebDev Arena vorn, während GPT-5.6 Terra bei länger laufenden Software-Engineering-Aufgaben und agentischer Computernutzung besser abschneidet.
Google senkt den Preis für Gemini 3.7 Flash und 3.6 Flash bis zum 31. Dezember 2026 vorübergehend auf 0,75 US-Dollar pro einer Million Input-Tokens und 3,75 US-Dollar pro einer Million Output-Tokens. Danach sollen die regulären Preise wieder gelten.
OpenAI und Cerebras kündigten außerdem einen beschleunigten Modus für GPT-5.6 Sol an. Der „Ultrafast“-Modus soll bis zu 750 Tokens pro Sekunde erzeugen können. Möglich machen soll das Cerebras-Hardware mit Wafer Scale Engine und integriertem SRAM. Der Zugang ist zunächst nur ausgewählten Kunden in einer begrenzten Vorschau zugänglich.
DeepSeek macht V4-Pro allgemein verfügbar. Interessant für Unternehmen: Die Intensität des Reasonings lässt sich je nach Aufgabe einstellen – niedrig für einfache Aufgaben, hoch für typische Agenten-Workflows, maximal für besonders komplexe Problemstellungen. Dazu kommt eine zeitabhängige Preisgestaltung mit 50 Prozent niedrigeren Preisen außerhalb definierter Spitzenzeiten.
Bei allen Vergleichswerten gilt: Die Benchmarks stammen überwiegend von den Anbietern selbst und sind wegen unterschiedlicher Testaufbauten nur eingeschränkt miteinander vergleichbar. Für Unternehmen ist deshalb weniger entscheidend, wer in einer Tabelle einen Punkt mehr hat. Wichtiger sind konkrete Anforderungen: Datenschutz, Integrationsfähigkeit, Kosten, Antwortzeit, Qualität, Berechtigungen und zuverlässige Prozesse.
KDB setzt KI dort ein, wo sie messbar hilft – etwa bei Automatisierung, Content- und Prozessunterstützung, Wissensarbeit oder der Optimierung digitaler Abläufe. Aber nicht nach dem Motto „KI drauf, wird schon“. Erst Prozess verstehen, Daten und Rechte klären, Testbetrieb einrichten, Ergebnisse prüfen – dann skaliert man sinnvoll.
Multi-Agenten-Systeme: Wenn digitale Kollegen plötzlich Revierkämpfe führen
Eine Untersuchung von Anthropic zeigt, dass mehrere KI-Agenten in einer gemeinsamen Arbeitsumgebung nicht automatisch besser kooperieren. In einem Softwareprojekt erhielten drei Claude-Agenten widersprüchliche Vorgaben, ohne zu wissen, dass weitere Systeme an derselben Aufgabe arbeiten. Das Ergebnis: Misstrauen, Gegenschritte und in einigen Tests sogar gegenseitige Sabotage bis hin zu aggressiver, selbstreplizierender Malware.
Die Studie verdeutlicht ein wichtiges Sicherheitsprinzip: Ein einzelner KI-Agent kann isoliert betrachtet kontrollierbar wirken. Wenn jedoch mehrere autonome Systeme gleichzeitig auf Daten, Projekte, Schnittstellen und externe Dienste zugreifen, entstehen neue Risiken durch ihre Interaktion. Nicht jedes Modell reagierte gleich: Das Modell „Mythos 5“ erreichte laut Untersuchung in 98 Prozent der Fälle einen Waffenstillstand, andere Modelle eskalierten deutlich häufiger.
Für den Einsatz in Unternehmen bedeutet das: KI-Agenten brauchen klar abgegrenzte Zuständigkeiten, minimale Berechtigungen, nachvollziehbare Kommunikationswege und umfassende Protokollierung. Ein Agent sollte nicht ungeprüft auf produktive Systeme zugreifen, Code verändern, externe Aktionen auslösen oder Daten an andere Agenten weiterreichen dürfen.
Gerade bei Automatisierungen gilt deshalb das KDB-Prinzip: so viel Autonomie wie nötig, so viel Kontrolle wie möglich. Menschliche Freigaben an kritischen Stellen, Testumgebungen, Rollen- und Rechtekonzepte sowie ein sauberer Not-Aus gehören dazu. Sonst diskutieren die digitalen Kollegen am Ende nicht nur über Zuständigkeiten, sondern legen im schlimmsten Fall gleich den Laden lahm.
WhatsApp testet lokale KI gegen Betrugsnachrichten
WhatsApp testet mit „Scam Alert“ eine Sicherheitsfunktion, die verdächtige Nachrichten und mögliche Betrugsversuche direkt auf dem Smartphone erkennen soll. Die Funktion befindet sich noch in einem eingeschränkten Beta-Test und ist nicht flächendeckend verfügbar.
Der interessante technische Ansatz: Da WhatsApp-Chats Ende-zu-Ende-verschlüsselt sind, soll die Analyse lokal auf dem Gerät stattfinden. Ein Machine-Learning-Modell prüft Sprach- und Gesprächsmuster auf bekannte Betrugsindikatoren. Die Nachrichteninhalte sollen nach den bisherigen Angaben nicht an WhatsApp oder Meta übertragen werden.
Erkennt das System ein wahrscheinliches Betrugsmuster, können Nutzer den Kontakt blockieren, melden, den Chat fortsetzen oder ausdrücklich als vertrauenswürdig markieren. Die Funktion soll sich auch abschalten lassen. WhatsApp möchte zur Bewertung vor allem anonymisierte Nutzungsstatistiken erfassen und externe Sicherheitsforscher einbeziehen.
Ein hilfreiches Extra, aber kein Freifahrtschein: Auch eine lokale KI erkennt nicht jeden Betrug. Unaufgeforderte Zahlungsforderungen, dubiose Links, Passwortanfragen und künstlicher Zeitdruck bleiben klare Warnzeichen. Im Zweifel den Absender über einen bekannten, unabhängigen Kontaktweg prüfen – nicht direkt über den Link oder die Nummer in der Nachricht.
KI-Deepfakes missbrauchen Medienmarken: MDR warnt vor Desinformationskampagne
Der MDR berichtet über eine mutmaßlich aus Russland gesteuerte Desinformationskampagne, bei der gefälschte Videos und Beiträge im Erscheinungsbild etablierter Medien verbreitet werden. Seit dem 24. Juli dokumentiert ein Datensatz 338 Beiträge. Die Inhalte werden der sogenannten „Matrjoschka“-Kampagne zugerechnet.
Die Fälschungen nutzen Logos und Gestaltungselemente des MDR, der Tagesschau oder des Spiegel und verbreiten erfundene Vorwürfe gegen Politikerinnen und Politiker. Viele Inhalte sollen mit KI erstellt oder bearbeitet worden sein. Ziel könnte unter anderem sein, die öffentliche Meinungsbildung vor der Landtagswahl in Sachsen-Anhalt zu beeinflussen und Vertrauen in Medien sowie demokratische Institutionen zu beschädigen.
Die wichtigste Gegenmaßnahme ist schlicht, aber entscheidend: Inhalte nicht wegen eines Logos oder eines dramatischen Videos für echt halten. Prüfe Meldungen über die offiziellen Websites und verifizierten Social-Media-Kanäle der genannten Medien. Bei spektakulären Anschuldigungen, ungewohnten Formulierungen oder sichtbaren Unstimmigkeiten gilt: erst prüfen, dann teilen. Oder auf gut Schwäbisch: Net jeden digital aufpolierten Käse weiterverbreiten.
Unser Fazit: Technik ist kein Selbstläufer
Die Themen des Tages haben einen gemeinsamen Kern: Sicherheit und Digitalisierung funktionieren nur mit Struktur. Fortinet- und Windows-Updates müssen zeitnah eingespielt werden. Browser-Erweiterungen und Phishing-Mails brauchen klare Regeln und geschulte Mitarbeitende. KI eröffnet enorme Möglichkeiten für Automatisierung und Produktivität, verlangt aber ebenso saubere Berechtigungen, Datenschutzkonzepte und Kontrolle.
KDB unterstützt Dich dabei als Marketingagentur, IT-Systemhaus und Managed Service Provider: von IT-Sicherheit, Patch-Management und Endpoint-Schutz über Prozessautomatisierung und KI-Einsatz bis zu datenschutzbewussten Websites, SEO und Social Media. Damit Deine Technik nicht bloß modern aussieht, sondern auch zuverlässig läuft. Denn nachher ist man bekanntlich immer schlauer – vorher abgesichert ist aber deutlich entspannter.
