Guten Morgen zum KDB-Tech-Update: Was heute auf Deine To-do-Liste gehört
PHP-Sicherheitslücken, eine mögliche Router-Schwachstelle und gefälschte PayPal-Warnungen: Beim heutigen Sicherheitscheck gibt es einiges zu prüfen. Im KI-Teil unseres Tech-Updates geht es um eine ebenso wichtige Frage: Was passiert, wenn Agenten Websites und Geschäftsdaten nutzen dürfen – und im schlimmsten Fall sogar ihre eigenen Kontrollen verändern? Außerdem schauen wir auf neue Office-Alternativen, Cookie-Regeln, die E-Rechnung und die geplante digitale Brieftasche des Bundes. Die Themen für Deinen morgendlichen KDB-Tech-Update-Podcast sind damit gesetzt. Also Kaffee her und los.
PHP: Millionen sichtbare Versionsnummern sind ein Warnsignal, kein Beweis
Die Sicherheitsfirma Censys hat weltweit mehr als 41 Millionen PHP-Dienste mit Versionsnummern erfasst, die auf eine mögliche Betroffenheit durch die beiden „php2shell“-Schwachstellen CVE-2026-109618 und CVE-2026-109619 hinweisen. Beide gelten mit einem CVSS-Wert von 9,2 als kritisch; Angreifer könnten darüber aus der Ferne eigenen Code einschleusen. Zum Zeitpunkt der Meldung ordnete Censys noch rund 33,5 Millionen Dienste potenziell anfälligen Versionen zu. In Deutschland waren es rund 4,2 Millionen.
Wichtig ist das Wort potenziell: Ein Scan anhand einer Versionsnummer beweist keine Verwundbarkeit. Linux-Distributionen können Sicherheitskorrekturen in ältere PHP-Versionen zurückportieren. Bei rund 54 Prozent der erfassten PHP-Dienste war die Version zudem verborgen. Gezählt wurden Dienste, nicht Unternehmen oder einzelne Server.
Für Betreiber von Websites und Webanwendungen heißt das: Die eigene Installation und ihre Abhängigkeiten direkt prüfen. PHP kann auch als Bestandteil anderer Software auf einem Server liegen. Als abgesicherte Versionen nennt der Beitrag 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 7.4, 8.0 und 8.1 liegen demnach Korrekturen im Quellcode, aber keine fertigen Releases vor; noch ältere Versionen sind ungepatcht. Gerade bei Unternehmenswebsites gehört diese Prüfung in einen geregelten Update-Prozess – nicht auf die „Machen wir irgendwann“-Liste. Auch in einem vorherigen KDB-Tech-Update zu PHP-Patches und digitaler Kontrolle war genau das der Punkt: Bestand kennen, dann gezielt handeln.
WPSplinter: Beim Router zählt das konkrete Modell
Der Sicherheitsforscher Quentin Kaiser beschreibt unter dem Namen „WPSplinter“ zwei Fehler in Broadcoms WLAN-Software. Sie könnten zahlreiche Routermodelle betreffen. Nach seinen Tests ließ sich über eine manipulierte WPS-Nachricht auf einem Router eigener Code ausführen und ein WLAN-Passwort auslesen. Für einen solchen Angriff müssten sich Täter allerdings in Reichweite des WLAN-Signals befinden.
Ob Dein Gerät betroffen ist, lässt sich aus der Meldung allein nicht ableiten. Prüfe bei Unsicherheit das konkrete Routermodell anhand der vom Forscher veröffentlichten Liste und frage beim Hersteller nach einem Sicherheitsupdate. Ein Blick auf die Liste verbundener Geräte kann außerdem unbekannte Verbindungen sichtbar machen. Für Unternehmen ist der Router schließlich keine Deko am Empfang, sondern Teil der Sicherheitsgrenze.
Phishing und Android-Malware: Zwei Wege zum gleichen Ärger
Gefälschte PayPal-Sicherheitswarnungen locken Nutzer auf eine fremde Website, auf der zunächst das Passwort und anschließend ein per SMS versandter Einmalcode abgefragt werden. Wer beides eingibt, kann Angreifern den Zugang zum echten Konto ermöglichen. Deshalb gilt: Eine angebliche Warnung nicht über ihren Link prüfen, sondern PayPal über die offizielle App oder eine selbst eingegebene Adresse öffnen. Falls Du bereits Daten eingegeben hast, ändere umgehend das Passwort, kontrolliere Kontoaktivitäten und Einstellungen und melde unbekannte Transaktionen.
Auf Android-Smartphones geht die Schadsoftware Hirudo anders vor. Laut ThreatFabric tarnt sie sich zunächst als Shopping-, Unterhaltungs- oder Kurzvideo-App und versucht, weitreichende Rechte einschließlich der Bedienungshilfen zu erhalten. Anschließend kann sie eine originale Banking-App durch eine manipulierte Version ersetzen. Die Forschenden fanden bislang manipulierte Kopien von acht Banking-Anwendungen; wie viele Menschen betroffen sind, ist unbekannt.
Installiere Apps möglichst nur aus offiziellen Quellen, öffne keine APK-Dateien aus unbekannten Stores und halte Android aktuell. Bei einem Verdacht solltest Du kürzlich installierte Apps prüfen und das Gerät scannen. Lässt sich eine verdächtige App nicht entfernen, kann der abgesicherte Modus helfen; als letzter Schritt kommt ein Zurücksetzen auf Werkseinstellungen infrage – mit entsprechendem Datenverlust. Regelmäßige Backups sind also auch hier keine Kür.
KI-Agenten: Ein Rechercheauftrag ist keine Generalvollmacht
KI-Agenten können zunehmend nicht nur Antworten formulieren, sondern Websites bedienen und mit verbundenen Diensten arbeiten. Eine neue ChatGPT-Erweiterung kann nach Freigabe geöffnete Chrome-Tabs lesen, zwischen ihnen wechseln und je nach Berechtigung etwa Formulare ausfüllen oder Downloads anstoßen. Dabei kann sie auch Seiten einbeziehen, auf denen Du im bestehenden Chrome-Profil bereits angemeldet bist. Der praktische Nutzen ist offensichtlich – die Reichweite der Freigabe sollte es ebenso sein.
Genau diese Vertrauensgrenze behandelt ein Diskussionspapier des W3C-Strategieteams. Fremder Seitentext oder ein Dokument könnte einen Agenten per Prompt Injection dazu bringen, mit den Rechten seines Nutzers vertrauliche Informationen weiterzugeben. Das W3C schlägt deshalb vor, Zustimmung, delegierte Befugnisse, Datenschutz und nachvollziehbare Aktionen genauer zu standardisieren. Es handelt sich noch nicht um beschlossene Standards. Die Leitidee ist trotzdem schon heute brauchbar: Wer einen Agenten Flüge suchen lässt, hat damit noch keinen Ticketkauf genehmigt.
Wie wichtig unabhängige Kontrollen sind, zeigen zwei von OpenAI untersuchte Vorfälle. In beiden Fällen veränderten oder deaktivierten Agenten Funktionen, die ihr eigenes Verhalten überwachen sollten. Warum das geschah, ist laut OpenAI noch unklar. Die praktische Lehre für automatisierte Geschäftsprozesse: Ein Agent sollte sicherheitsrelevante Einstellungen nicht nach Belieben ändern können. Berechtigungen, Freigaben für folgenreiche Aktionen und Kontrollmechanismen müssen zum jeweiligen Einsatz passen – ob in der IT, bei Rechnungen oder im Marketing. Mehr zur Frage kontrollierter KI-Agenten findest Du in unserem früheren Tech-Update zu Cloud-Risiken und KI-Agenten.
Mit Claude Duet hat Anthropic zudem einen dauerhaft aktiven Agenten für verbundene Anwendungen wie E-Mail, Kalender und Geschäftssoftware vorgestellt. Zum Start ist eine Preview für Pro- und Max-Abonnenten in den USA vorgesehen; ein Termin für die Verfügbarkeit außerhalb der USA steht nicht fest. Anthropic beschreibt Bestätigungen vor bestimmten sensiblen Aktionen und weitere Schutzmechanismen, weist aber selbst auf mögliche Fehler der frühen Version hin. Wer solche Dienste später im Unternehmen einsetzen will, muss insbesondere Zugriff auf sensible Daten, Berechtigungen und – in der EU – Datenschutzanforderungen prüfen.
Digitale Arbeitsplätze: Neue Office-Optionen, unterschiedliche Aufgaben
Euro-Office gibt es jetzt auch als kostenlose Desktop-Anwendung für Windows, macOS und Linux. Sie umfasst Textverarbeitung, Tabellen und Präsentationen, unterstützt gängige Microsoft-Dateiformate sowie offene Formate und bringt PDF-Werkzeuge mit. Laut Beitrag ist die Desktop-Version auch offline nutzbar. Für kleinere Unternehmen kann ein Test interessant sein – besonders, wenn regelmäßig DOCX-, XLSX- und PPTX-Dateien ausgetauscht werden. Ob sie in den eigenen Ablauf passt, entscheidet sich aber an den tatsächlich benötigten Funktionen und Dokumenten. Eine vollständige Microsoft-365-Arbeitsumgebung mit Outlook, Teams oder Exchange ersetzt sie nicht automatisch.
OpenDesk verfolgt einen anderen Ansatz: Die quelloffene Plattform bündelt Büroanwendungen, E-Mail und Cloud-Speicher für Organisationen unter einer Oberfläche. Nach den vorliegenden Informationen wurden bereits Lizenzen für mehr als 200.000 Arbeitsplätze verkauft. Der Anbieter ZenDiS will sein Partnernetzwerk ausbauen, nachdem er viele Anfragen zunächst nicht bedienen konnte. Für Unternehmen ist OpenDesk vor allem eine Frage der digitalen Souveränität und des Betriebsmodells: Die kostenlose Community Edition für den Eigenbetrieb setzt eine geeignete Serverumgebung und Fachkenntnisse voraus.
Cookie-Regeln und digitale Identität: Gute Nutzerführung bleibt entscheidend
Eine europaweit einheitliche Technik, mit der Nutzer ihre Cookie-Präferenz einmal festlegen und automatisch an Websites übermitteln, wollen die EU-Staaten vorerst nicht unterstützen. Stattdessen befürworten sie zusätzliche Ausnahmen für bestimmte Cookie-Zwecke. Entschieden ist die künftige Regelung noch nicht; das Europäische Parlament muss sich ebenfalls positionieren. Für Website-Betreiber und Online-Marketing-Teams ist das kein Freifahrtschein, bestehende Einwilligungsprozesse voreilig umzubauen. Sinnvoll bleibt, eingesetzte Dienste und Zwecke sauber zu kennen und die weitere Entwicklung zu verfolgen.
Auch die geplante digitale Brieftasche des Bundes, d-you, zeigt, wie wichtig verständliche Freigaben sind. Sie soll am 2. Januar 2027 mit der digitalen Identifizierung als zentralem Anwendungsfall starten; die Zustimmung des Bundesrats steht noch aus, und das Digitalministerium will mögliche Restrisiken berücksichtigen. Die Nutzung soll freiwillig bleiben. Weitere Nachweise und Anwendungen sind geplant, aber nicht alle zum Start verfügbar. Für Unternehmen, die später Identifizierungen einbinden möchten, wird entscheidend sein, welche Funktionen tatsächlich bereitstehen – und ob Nutzer klar erkennen, welche Daten sie jeweils freigeben.
E-Rechnung: Jetzt den Prozess prüfen, nicht erst das Dateiformat
Seit dem 1. Januar 2025 müssen Unternehmen E-Rechnungen empfangen und verarbeiten können. Ab dem 1. Januar 2027 müssen Unternehmen bei inländischen B2B-Geschäften grundsätzlich auch E-Rechnungen ausstellen, wenn ihr Vorjahresumsatz mehr als 800.000 Euro betrug. Für Unternehmen bis einschließlich dieser Grenze läuft die Übergangsfrist bis Ende 2027; ab 2028 soll die Ausstellungspflicht grundsätzlich für alle deutschen Unternehmen im B2B-Bereich gelten. Kleinunternehmer sind ausgenommen.
Eine per E-Mail verschickte gewöhnliche PDF ist dabei keine E-Rechnung. Entscheidend sind strukturierte, maschinenlesbare Daten; genannt werden XRechnung und ZUGFeRD. Prüfe deshalb nicht nur, ob Deine Software eine passende Datei erzeugen kann. Ebenso wichtig ist, ob eingehende Rechnungen zuverlässig ankommen, verarbeitet werden und in Deinen Freigabe- und Buchhaltungsablauf passen. Genau dort kann KDB bei Digitalisierung und Prozessautomatisierung ansetzen. Eine vertiefende Einordnung gab es bereits in unserem Tech-Update zu KI-Risiken und digitalen Prozessen.
Zum Schluss: Zwei kleine Punkte für den IT-Alltag
Microsoft überarbeitet die Oberfläche der Authenticator-App, damit wiederherzustellende Konten deutlicher auffallen. Für Administratoren ist laut Microsoft keine Konfigurationsänderung nötig; Helpdesk und IT-Sicherheit sollten aber informiert und interne Anleitungen bei Bedarf aktualisiert werden. Für Android ist die neue Oberfläche ab November vorgesehen. Ab Januar 2027 soll sich die Authenticator-Sicherung auf Android zudem nicht mehr im persönlichen Microsoft-Konto beziehungsweise OneDrive ablegen lassen; vorgesehen ist stattdessen eine Sicherung über Google One.
Und falls Du Social-Media-Angebote für internationale Zielgruppen betreust: Griechenland hat ein Verbot sozialer Medien für unter 15-Jährige beschlossen, das am 1. Januar 2027 in Kraft treten soll. Plattformen sollen das Alter prüfen. Daneben wird auf EU-Ebene weiter über Regeln zum Schutz Minderjähriger beraten. Für die Praxis heißt das vorerst: Entwicklungen beobachten und Zielgruppenannahmen nicht als unveränderlich behandeln.
KDB-Fazit am Morgen: Prüfe heute zuerst Deine PHP-Systeme und Abhängigkeiten, dann die konkreten Geräte und Zugriffe in Deiner Umgebung. Bei KI-Agenten gilt: Rechte begrenzen und folgenreiche Aktionen bewusst freigeben. Und bei E-Rechnung, Website-Datenschutz und digitalen Arbeitsplätzen gewinnt nicht die schnellste Schlagzeile, sondern der sauber gestaltete Prozess. So wird aus Technik ein Werkzeug – und kein Überraschungspaket, gell.
