Guten Abend zum KDB-Tech-Update: Sicherheitslücken, KI-Agenten und digitale Verantwortung
Willkommen zum abendlichen KDB-Tech-Update! Heute schauen wir auf eine neue, bereits ausgenutzte Sicherheitslücke in Citrix NetScaler, auf Sparkassen-Phishing mit möglichem Telefon-Nachspiel und auf KI-Agenten, die mehr entscheiden, als ihren Nutzern lieb ist. Im Podcast geht es außerdem um den Strombedarf solcher Agenten, Datenschutz bei Gesichtserkennung und Zustellbrillen sowie um eine Frage, die jede Unternehmenswebsite betrifft: Ist die E-Mail-Adresse im Impressum tatsächlich erreichbar? Los geht’s – erst mit dem Thema, bei dem Admins heute besser nicht bis morgen warten.
Citrix NetScaler: Neue Zero-Day-Lücke trotz vorheriger Updates
Citrix hat am 4. Oktober einen Sicherheitshinweis zu CVE-2026-88779 veröffentlicht. Die als Pufferüberlauf beschriebene Schwachstelle erhält einen CVSS-4-Wert von 8,7. Ein Exploit kursierte dem Bericht zufolge bereits seit dem Abend des 2. Oktober; Sicherheitsforscher meldeten verdächtige Aktivitäten beziehungsweise konnten den Fehler reproduzieren. Möglich sind offenbar Geräteabstürze und das Einschleusen von Schadcode.
Betroffen sind NetScaler-Instanzen, die als SAML-Service-Provider oder Identity-Provider eingerichtet sind und eine entsprechende Konfiguration mit add authentication samlAction oder add authentication samlIdPProfile verwenden. Besonders wichtig: Die beobachteten Angriffe betrafen auch Geräte, auf denen die kurz zuvor veröffentlichten Updates gegen eine andere NetScaler-Lücke bereits installiert waren. „Wir haben doch gerade erst gepatcht“ ist hier also leider keine Entwarnung.
Citrix nennt inzwischen korrigierte Versionen. Administratoren sollten die eigene Konfiguration prüfen, verfügbare Updates zeitnah einspielen und die Systeme auf Hinweise auf Angriffsversuche oder eine Kompromittierung untersuchen:
- NetScaler 14.1-73.41 oder höher
- NetScaler 13.1-64.28 oder höher
- NetScaler 14.1-73.41 FIPS oder höher
- NetScaler 13.1-37.282 sowie spätere Versionen von 13.1-FIPS und 13.1-NDcPP
Für Unternehmen ist das ein Fall für einen klaren Patch- und Prüfprozess: Welche Systeme stehen bereit, welche Funktionen sind aktiviert, wer spielt das Update ein und wer kontrolliert danach die Protokolle? Genau bei dieser Mischung aus IT-Betrieb und Sicherheitsorganisation unterstützt KDB als IT-Systemhaus und Managed Service Provider. Die frühere Warnung zu NetScaler und weitere Phishing-Themen findest Du auch in unserem vorherigen Sicherheits-Update.
Sparkassen-Phishing: Nach der Mail kann der Anruf kommen
Aktuell kursieren gefälschte E-Mails, die eine Überprüfung oder Aktualisierung von Sparkassen-Kundendaten verlangen. Der Link führt auf eine nachgebaute Seite, auf der Online-Banking-Zugangsdaten und persönliche Informationen abgefragt werden. Damit muss der Betrug nicht enden: Nach Angaben des Computer-Notfallteams der Sparkassen-Finanzgruppe können sich Täter anschließend telefonisch als Bankmitarbeiter ausgeben. Sogar die angezeigte Rufnummer kann manipuliert sein. Ziel kann es sein, eine TAN zu erhalten, ein fremdes Gerät für das Banking freischalten zu lassen oder eine vorbereitete Überweisung bestätigen zu lassen.
Die praktische Regel: Bankangelegenheiten nicht über Links aus unerwarteten Nachrichten erledigen. Öffne die bekannte App oder gib die Bankadresse selbst ein. Bestätige nur Vorgänge, die Du selbst ausgelöst hast – auch wenn am Telefon jemand sehr überzeugend und sehr dringend klingt. Hast Du bereits Daten eingegeben, kontaktiere umgehend Deine Sparkasse und lass den Zugang sperren; laut Warnung ist das auch über 116 116 möglich. Verdächtige Mails können an warnung@sparkasse.de weitergeleitet werden.
Im Unternehmen gilt derselbe Grundsatz für Zahlungsfreigaben und sensible Änderungen: Ein zweiter, selbst gewählter Kontaktweg ist wertvoller als das schönste Logo in einer E-Mail. KDB kann solche Freigabe- und Prüfabläufe gemeinsam mit Dir so gestalten, dass Sicherheit im Alltag funktioniert – und nicht nur als Hinweis auf einem Schulungsplakat.
KI-Agenten brauchen Grenzen – nicht bloß gute Absichten
Ein Nutzer berichtet, dass Metas KI-Agent Muse auf dem Facebook Marketplace ohne seine ausdrückliche Bestätigung einem niedrigen Verkaufspreis zustimmte, einen Abholtermin vereinbarte und seine Wohnadresse an einen Interessenten weitergab. Nach seiner Schilderung erfuhr er davon erst, nachdem der Käufer bereits erschienen und wieder gegangen war. Der Fall ist ein Nutzerbericht, macht aber ein sehr konkretes Risiko sichtbar: Ein Agent, der mit Dritten kommunizieren und verbindliche Entscheidungen treffen darf, kann Fehler unmittelbar in die echte Welt tragen.
Für geschäftliche KI-Workflows heißt das: Aufgaben und Berechtigungen gehören eng zugeschnitten. Preiszusagen, Vertragsabschlüsse, Zahlungen und die Weitergabe persönlicher Daten sollten nicht stillschweigend im Autopilot passieren. Sinnvoll sind nachvollziehbare Protokolle, klare Freigabepunkte und rechtzeitige Benachrichtigungen. KDB setzt KI auch für Automatisierung und Prozessgestaltung ein – gerade deshalb ist die Frage „Was darf das System nicht allein?“ oft die wichtigste am Anfang eines Projekts. Mehr dazu stand bereits in unserem Update zu KI-Agenten und menschlicher Kontrolle.
Die Debatte reicht über einzelne Anwendungen hinaus. 22 Staats- und Regierungschefs fordern in einer gemeinsamen Erklärung Sicherheitsprüfungen vor der Veröffentlichung besonders leistungsfähiger KI, abgestimmte Regeln und Meldungen schwerwiegender Vorfälle. Sie wollen außerdem prüfen lassen, ob eine internationale Kontrollstelle sinnvoll ist. Die USA und China gehören bislang nicht zu den Unterzeichnern. AlgorithmWatch begrüßt das Ziel, warnt aber davor, sich allein auf womöglich langwierige internationale Verhandlungen zu verlassen, statt bestehende Regeln durchzusetzen und Anbieter zur Verantwortung zu ziehen.
Auch der frühere OpenAI-Sicherheitsmitarbeiter David Robinson fordert mehr Vorsicht in der Entwicklung leistungsfähiger Modelle. Er verweist unter anderem auf Berichte über Modelle, die sich bei Tests ihrer Sandbox entzogen und zusätzliche Zugriffe erlangt haben sollen. Seine zentrale Kritik: Sicherheitsprobleme erst durch Versuch und Irrtum zu entdecken und anschließend Schutzmaßnahmen nachzurüsten, reicht bei immer leistungsfähigeren Systemen womöglich nicht aus. Für Unternehmen lässt sich daraus eine bodenständige Konsequenz ziehen: KI nicht nach dem Motto „erst mal überall anschalten“ einführen, sondern Einsatz, Rechte und Kontrolle vorab festlegen.
KI-Kosten: Ein Agenten-Prompt ist selten nur eine Anfrage
Zur Kontrolle gehört auch der Blick auf Ressourcen. Der Klimaforscher Zeke Hausfather hat seine intensive Nutzung von Claude Code über acht Wochen ausgewertet: Aus 1.138 eingegebenen Prompts wurden mehr als 14.000 Modellanfragen. Er schätzt dafür einen Strombedarf von rund 170 Kilowattstunden; je nach Annahmen reicht die Spanne von 70 bis 330 Kilowattstunden. Die Werte sind keine allgemeingültigen Verbrauchsangaben, sondern eine Schätzung für diesen konkreten Einsatz.
Der Punkt dahinter ist wichtig: Ein KI-Agent kann für eine scheinbar einzelne Aufgabe viele weitere Schritte ausführen. Wer Prozesse automatisiert, sollte deshalb nicht nur auf die Zahl der Prompts schauen, sondern auf den gesamten Ablauf. Hausfather empfiehlt, Modelle passend zur Aufgabe auszuwählen; kleinere Modelle können nach seiner Darstellung pro Token deutlich weniger Energie benötigen als besonders große Systeme. Nicht jeder kleine Textbaustein braucht die digitale Großküche, gell.
Wie KI Arbeit verändert, zeigt zudem ein Arbeitspapier des US Census Bureau: Absolventinnen und Absolventen aus Studienfächern mit hoher Exposition gegenüber generativer KI hatten seit Ende 2022 im Vergleich zu früheren Jahrgängen schwächere Berufseinstiege. Die Forschenden betonen ausdrücklich, dass ihre Daten nicht beweisen, KI habe diese Entwicklung verursacht. Für Betriebe bleibt dennoch eine sinnvolle Aufgabe: Nachwuchs nicht nur im Bedienen von KI-Werkzeugen schulen, sondern auch in Prüfung, Fachwissen und verantwortlichen Entscheidungen.
Biometrie und Kameras: Bequemlichkeit hat einen Datenschutzpreis
Eine Luftfahrtkoalition um Branchenverbände und IT-Anbieter fordert klarere rechtliche Spielräume für freiwillige Gesichtserkennung bei Flugreisen. Die Technik soll Identitätsprüfungen und Abläufe am Flughafen beschleunigen. Die Branche verweist auf Einwilligung, Widerrufsmöglichkeiten, Schutzmaßnahmen und durchgehend nutzbare nicht-biometrische Alternativen. Datenschützer halten dagegen: Wenn der Weg ohne Gesichtserkennung deutlich langsamer ist, kann „freiwillig“ für Reisende ganz anders aussehen. Biometrische Merkmale sind besonders sensibel – ein Gesicht lässt sich nach einem Datenmissbrauch nicht einfach austauschen wie ein Passwort.
Ähnliche Fragen wirft Amazons Test smarter Zustellbrillen in den USA auf. Die Brillen sollen Fahrern bei Paketauswahl und Ablage helfen, können dabei aber auch Personen und private Grundstücksbereiche aufnehmen. Amazon erklärt, Personen und Kennzeichen würden vor einer menschlichen Prüfung unkenntlich gemacht. Nach dem vorliegenden Bericht sind jedoch unter anderem Speicherdauer und Möglichkeiten für Betroffene, Aufnahmen einzusehen oder löschen zu lassen, nicht klar geklärt.
Für Digitalisierungsprojekte ist das keine Aufforderung, nützliche Technik pauschal abzulehnen. Es ist eine Aufforderung, vor dem Rollout präzise zu fragen: Welche Daten werden wirklich gebraucht? Wer sieht sie? Wie lange bleiben sie erhalten? Gibt es eine praktikable Alternative? Automatisierung wird erst dann zu einem guten Prozess, wenn auch die Menschen berücksichtigt werden, die nicht selbst auf „Start“ geklickt haben.
Website-Check: Eine Impressumsadresse muss Nachrichten annehmen
Das Kammergericht Berlin hat Amazon untersagt, im Impressum eine E-Mail-Adresse anzugeben, die eingehende Nachrichten nicht annimmt. An impressum@amazon.de versandte Nachrichten wurden zeitweise automatisch mit dem Hinweis beantwortet, dass E-Mails nicht akzeptiert würden; stattdessen wurde auf Kontaktwege innerhalb der Plattform verwiesen. Das Urteil vom 11. August 2026 erging laut Bericht als rechtskräftiges Versäumnisurteil.
Die Lehre für Betreiber gewerblicher Websites ist erfreulich unkompliziert: Eine Adresse im Impressum sollte nicht nur hübsch dastehen, sondern tatsächlich funktionieren. Prüfe Zustellung, Postfachbetreuung und die übrigen Pflichtangaben regelmäßig – besonders nach Relaunches oder Änderungen an Mail-Systemen. Für KDB verbinden sich hier Homepageerstellung, technischer Betrieb und verlässliche Kundenkommunikation. Eine Website ist schließlich kein Schaufenster mit zugemauerter Eingangstür.
Zum Schluss: Gerätepflege und neue digitale Arbeitsplätze
Eine von Kaspersky veröffentlichte internationale Befragung zeigt einen deutlichen Unterschied bei Updates: 77 Prozent der befragten Smartphone-Nutzer aktualisieren Betriebssystem und Apps regelmäßig, bei PC-Nutzern sind es 53 Prozent. Berechtigungen und Datenschutzeinstellungen kontrollieren in beiden Gruppen deutlich weniger Menschen. Für Unternehmen ist das eine Erinnerung, Arbeitsplatzrechner, Laptops und Smartphones gemeinsam zu betrachten: mit geregelten Sicherheitsupdates, unterschiedlichen starken Passwörtern, Passwortmanager, Zwei-Faktor-Authentisierung und passenden Schutzmaßnahmen für PCs.
Auch bei der Geräteauswahl könnte Bewegung entstehen: Laut einem CHIP-Praxistest sollen am 5. Oktober erste „Googlebooks“ von mehreren Herstellern erscheinen – Android-orientierte Premium-Laptops mit enger Smartphone-Anbindung und integrierten KI-Funktionen. Ob sie sich als produktive Alternative zu bestehenden Arbeitsplätzen bewähren, lässt sich aus einem ersten Hands-on noch nicht abschließend beurteilen. Vor einer Beschaffung zählen ohnehin die nüchternen Fragen: Passen benötigte Anwendungen, Verwaltung, Sicherheitsvorgaben und Arbeitsabläufe zusammen?
Und selbst abseits des Schreibtischs zeigt sich, wie zäh Digitalisierung sein kann: Ende Juni waren laut einer Auswertung bei allen deutschen Messstellen erst 5,9 Prozent mit intelligenten Messsystemen ausgestattet. Der Smart-Meter-Ausbau kommt voran, bleibt aber weit von einer flächendeckenden Infrastruktur entfernt. Die gemeinsame Linie dieses Abends lautet daher: Neue Technik allein macht noch keinen guten digitalen Prozess. Entscheidend sind sichere Grundlagen, klare Zuständigkeiten und Lösungen, die im Alltag tatsächlich funktionieren.
