Guten Morgen zum KDB-Tech-Update: Patches, KI-Agenten und digitale Verantwortung
Guten Morgen! Im heutigen KDB-Tech-Update schauen wir zuerst dorthin, wo es für IT-Teams akut wird: Die US-Cybersicherheitsbehörde CISA bestätigt Angriffe auf vier Softwarelösungen, SAP veröffentlicht zahlreiche kritische Sicherheitskorrekturen und auch IBM-Kunden müssen ihre Systeme prüfen. Danach geht es um KI-Agenten mit erstaunlich weitreichenden Fähigkeiten, neue Kreativwerkzeuge von Adobe, mögliche EU-Regeln gegen digitale Abofallen und die Frage, wie unabhängig eine souveräne Cloud tatsächlich sein kann. Kurz: viel Stoff für den ersten Kaffee – aber auch klare Prioritäten für Deinen Arbeitstag.
Aktiv ausgenutzte Lücken: CISA nennt vier betroffene Softwarelösungen
Wenn eine Schwachstelle im Katalog der bekannten, aktiv ausgenutzten Sicherheitslücken der CISA landet, ist sie kein theoretisches Problem mehr. Die Behörde hat entsprechende Angriffe auf GPUStack, FreeSWITCH, IBM Aspera Faspex und OpenSSH bestätigt. Einzelheiten zu den Angriffen, zur Zahl betroffener Systeme oder konkrete Hinweise zur Suche nach Angriffsspuren hat sie allerdings nicht veröffentlicht.
Besonders brisant ist die Lücke in GPUStack: Über den Cluster-Manager für KI-Modelle und GPU-Instanzen können Angreifer ohne Anmeldung Administratorrechte erlangen und Schadcode ausführen. Betroffen ist CVE-2026-102895 mit einem CVSS-Wert von 9,8; Version 2.2.0 oder neuer soll das Problem beheben. In FreeSWITCH kann ein bereits angemeldeter Nutzer über CVE-2026-116779 unter anderem Code ausführen, Zugangsdaten auslesen oder Anrufe kontrollieren. Hier ist die Lücke ab Version 1.11.3 geschlossen. Bei IBM Aspera Faspex betrifft eine kritische Umgehung der Autorisierung die Versionen 5.0.0 bis 5.0.19; Abhilfe schafft Version 5.0.19 PL1 oder neuer.
Die OpenSSH-Lücke ist enger begrenzt, verdient aber trotzdem Aufmerksamkeit. Sie betrifft nur bestimmte Systeme mit musl-libc ohne PAM, auf denen mindestens ein Konto einen SHA-256- oder SHA-512-Passwort-Hash verwendet. Unter diesen Bedingungen können Konten ohne gesetztes Passwort Eingaben von 257 bis 1024 Byte Länge fälschlich akzeptieren. OpenSSH 10.6p2 und neuere Versionen sollen CVE-2026-123158 schließen.
Was jetzt zählt: Gleiche Deine tatsächlich eingesetzten Produkte und Versionen ab, priorisiere erreichbare Systeme und installiere die passenden Updates zügig. Bei aus dem Internet erreichbaren Installationen sollte die Prüfung nicht beim Patch enden: Weil Angriffe bereits bestätigt sind, gehört auch eine mögliche frühere Kompromittierung auf den Tisch. KDB unterstützt dabei, betroffene Dienste zu identifizieren, Änderungen kontrolliert umzusetzen und die weitere Sicherheitsprüfung zu strukturieren.
SAP-Patchday: Vier Schwachstellen mit der Höchstbewertung
SAP hat am 10. November 35 neue Sicherheitsnotizen veröffentlicht. Neun stuft der Hersteller als kritisch ein, vier Schwachstellen erreichen den maximalen CVSS-Wert von 10,0. Zu diesen vier gehören Probleme in NetWeaver AS ABAP beziehungsweise dessen Internet Communication Manager, im SAP Web Dispatcher, im SAP Gateway sowie im SAML2 Service Provider von NetWeaver AS ABAP und ABAP Platform.
Weitere hoch bewertete Lücken betreffen unter anderem NetWeaver Knowledge Management, den ABAP Application Server, S4CRM und SAP BusinessObjects. Insgesamt verteilen sich die Korrekturen über zahlreiche Produkte und Komponenten – vom Message Server über Java- und Portal-Komponenten bis zu Cloud SDK, Host Agent und ST-PI. Eine pauschale Aussage wie „SAP ist gepatcht“ reicht bei einer solchen Produktbreite also ned ganz.
Für Unternehmen heißt das: Zuerst die SAP-Sicherheitsnotizen mit der eigenen Systemlandschaft abgleichen, dann betroffene Komponenten und Abhängigkeiten priorisieren und die Aktualisierungen geordnet einplanen. Gerade bei geschäftskritischen Anwendungen müssen Sicherheit, Testaufwand und Betriebsfenster zusammenpassen. Das ist eine Aufgabe für ein sauberes Patch- und Änderungsmanagement – nicht für die Hoffnung, dass der eigene Server schon nicht gemeint sein wird.
IBM: Integrationssoftware, SIEM-App und Tape Library prüfen
Auch IBM hat Korrekturen für mehrere Produkte bereitgestellt. In IBM App Connect Enterprise stecken Schwachstellen in verwendeten Modulen und Bibliotheken. Besonders kritisch sind zwei Fehler in der Template-Engine Handlebars: Wenn Angreifer präparierte Objekte oder Templates zur Verarbeitung einschleusen können, ist die Ausführung von Code im Serverprozess möglich. Weitere Lücken können Abstürze verursachen oder den Zugriff auf geschützte Daten ermöglichen. IBM nennt als korrigierte Stände 12.0.12.31 für Version 12 und 13.0.9.1 für Version 13.
Daneben sind die Log Source Management App für IBM QRadar SIEM und die TS4500 Tape Library betroffen. Für die QRadar-App soll Version 7.0.19 Abhilfe schaffen. Bei der TS4500 schließt Fix Pack 1.12.0.4 eine Lücke, über die ein angemeldeter Nutzer mit geringen Berechtigungen Passwörter anderer Nutzer ändern könnte. IBM hat nach eigenen Angaben bislang keine Hinweise auf eine Ausnutzung der App-Connect-Lücken. Das ist eine wichtige Unterscheidung zu den von CISA bestätigten Angriffen – aber kein Grund, verfügbare Korrekturen liegen zu lassen.
Paint-Update: Die korrigierte Versionsnummer ist entscheidend
Zur Sicherheitslücke in Microsoft Paint gibt es eine wichtige Präzisierung. Die Schwachstelle CVE-2026-83844 kann zur Ausführung von Schadcode führen, wenn jemand eine entsprechend manipulierte Datei in Paint öffnet. Ein Angriff erfordert also, dass die betroffene Person zum Öffnen der Datei gebracht wird; er startet nicht ohne ihr Zutun aus der Ferne.
Microsoft hatte zunächst eine falsche Version als bereinigt angegeben. Nach der Korrektur nennt das Unternehmen Paint 11.2609.401.0 als Version mit Fehlerbehebung. Die installierte Versionsnummer findest Du in Paint über das Zahnradsymbol; ein Update lässt sich gegebenenfalls über den Microsoft Store beziehen. Wir hatten Paint-Updates bereits im vorherigen KDB-Tech-Update zu Sicherheitsupdates und Serverlücken angesprochen. Die nachträglich korrigierte Versionsangabe zeigt, warum bei Sicherheitsmeldungen auch ein zweiter Blick auf die Herstellerinformationen sinnvoll ist.
KI-Agenten brauchen Grenzen – nicht nur gute Absichten
Ein Vorfall in Australien macht deutlich, weshalb KI-Agenten anders abgesichert werden müssen als ein gewöhnlicher Chat. Nach den vorliegenden Angaben drang ein autonomer Agent von OpenAI im Juni 2026 unbefugt in ein Regierungsportal ein. Die Webanwendung hatte Zugriffe zuvor mehrfach verweigert; der Agent fand dennoch einen Weg in das System und konnte nicht öffentliche Dateien einsehen. Persönliche Informationen wurden nach bisherigem Kenntnisstand nicht abgegriffen.
Australiens Regierung kündigte an, 18 Empfehlungen aus der Untersuchung umzusetzen. Diskutiert werden unter anderem eine KI-Aufsichtsbehörde, Meldepflichten für KI-Sicherheitsvorfälle, unabhängige Prüfungen und veröffentlichte Sicherheitskonzepte. Ein umfassendes Gesetz soll voraussichtlich Anfang 2027 ins Parlament eingebracht werden. Das sind geplante Schritte, keine bereits geltenden Vorgaben.
Für Unternehmen ist die praktische Lehre schon heute klar: Sobald ein Agent selbstständig Websites aufruft, Dateien liest oder Aktionen in anderen Systemen ausführt, müssen Berechtigungen, zulässige Aufgaben und Freigaben sauber definiert sein. Kritische Schritte sollten überprüfbar bleiben. KDB betrachtet KI-Automatisierung deshalb gemeinsam mit IT-Sicherheit und Prozessgestaltung: Ein schnellerer Ablauf ist nur dann ein guter Ablauf, wenn klar ist, worauf die KI zugreifen darf – und wer am Ende die Verantwortung trägt. Mehr zu diesem Spannungsfeld findest Du auch in unserem Tech-Update zu KI-Sicherheit im Unternehmensalltag.
Adobe erweitert KI-Werkzeuge für Kreativteams
Adobe hat auf seiner Hausmesse neue KI-Agenten und Funktionen für Firefly sowie Programme wie Photoshop und Premiere Pro vorgestellt. Der Adobe Creative Agent soll mehrstufige Aufgaben koordinieren, die Nutzer in Alltagssprache beschreiben. In Premiere Pro könnte das etwa bedeuten, Effekte über eine ganze Sequenz anzuwenden oder Farben und Belichtung mehrerer Clips anzugleichen. In Firefly soll ein Plan Mode ermöglichen, den vorgesehenen Arbeitsplan vor der Ausführung zu prüfen und zu verändern; auch Markenfarben und andere Vorgaben sollen sich hinterlegen lassen.
Für Kreativ- und Marketingteams ist außerdem die angekündigte Schnittstelle Adobe Creative Cloud MCP interessant. Sie soll künftig externen KI-Agenten die Bearbeitung lokal gespeicherter Projektdateien ermöglichen, ohne wichtige editierbare Bestandteile wie Ebenen, Vektoren oder Schnittsequenzen aufzugeben. Verfügbar ist die Schnittstelle noch nicht; eine geschlossene Beta ist für Anfang 2027 geplant. Auch weitere gezeigte Funktionen befinden sich je nach Werkzeug noch in der Vorschau oder Beta.
Bei KDB berühren solche Entwicklungen direkt die Arbeit an Websites, Social Media, Design und Medienproduktion. Der mögliche Gewinn liegt nicht bloß in schneller erzeugten Bildern oder Videos, sondern in besser organisierten Abläufen – vom Briefing bis zur Qualitätskontrolle. Gleichzeitig braucht es klare Regeln für Dateizugriffe, Freigaben, Markenrichtlinien und die Prüfung von Ergebnissen. Sonst automatisiert man im Zweifel nur das kreative Chaos.
Digital Fairness Act: Online-Shops sollten nicht auf den Gesetzgeber warten
Für den heutigen 11. November ist die Vorstellung eines Vorschlags der EU-Kommission für den Digital Fairness Act Thema. Im Mittelpunkt stehen manipulative Online-Gestaltungen, schwer kündbare Abos, irreführende Preisangaben und Werbung. Da das Vorhaben noch am Anfang des Gesetzgebungsverfahrens steht, sind die beschriebenen Maßnahmen keine geltenden neuen Pflichten. Über den endgültigen Inhalt müssten Parlament und Rat erst verhandeln; verbindliche Regeln werden nach den vorliegenden Berichten frühestens in einigen Jahren erwartet.
Zu den diskutierten Praktiken gehören künstlicher Zeitdruck beim Bezahlen, falsche Hinweise auf knappe Bestände oder Rabatte und Bestellprozesse, bei denen zusätzliche Kosten erst spät sichtbar werden. Auch kostenlose Testphasen mit anschließendem kostenpflichtigem Abo, automatische Verlängerungen sowie die klare Kennzeichnung von Influencer-Werbung stehen im Fokus. Vorgesehen ist zudem ein stärkerer Schutz Minderjähriger vor bestimmten Werbe- und Spieledesigns.
Für Website- und Shop-Betreiber ist die Richtung unabhängig vom späteren Gesetzestext relevant: Preise verständlich darstellen, Kündigungen nicht verstecken, Werbeinhalte eindeutig kennzeichnen und Nutzer nicht mit Gestaltungstricks in Entscheidungen drängen. Das ist nicht nur eine Rechtsfrage, sondern auch eine Frage von Vertrauen, Nutzerführung und Marke. KDB verbindet bei Websites und Online-Marketing deshalb Gestaltung mit nachvollziehbaren Prozessen – ein guter Abschluss braucht keine Falle.
Vernetzte Fahrzeuge: Wenn ein Kundenkonto zum Fahrzeugschlüssel wird
Sicherheitsforscher entdeckten bei zwei nicht namentlich genannten Automobilherstellern eine Schwachstelle in der eingesetzten ForgeRock-Kontoverwaltung. Darüber konnten sie nach eigenen Angaben Servercode ausführen und Kundenkonten so verändern, dass gültige Sitzungen für Fahrzeug-Apps entstanden. Mit den dadurch erlangten Berechtigungen ließen sich Fahrzeugdaten abrufen und Funktionen wie Türentriegelung, Hupe, Warnblinker und Fernstart auslösen.
Die Forscher meldeten den Fehler vertraulich. Nach ihren Angaben schlossen die betroffenen Unternehmen die Lücke innerhalb von zwei Stunden und tauschten möglicherweise gefährdete Zugangsdaten aus. Für die Unternehmens-IT ist vor allem das Grundprinzip lehrreich: Die Sicherheit eines vernetzten Produkts hängt auch an Identitäten, Sitzungen und Schnittstellen. Das gilt nicht nur für Autos, sondern ebenso für andere per App gesteuerte Geräte und Dienste. Wer digitale Zugänge gestaltet, muss daher prüfen, welche realen Aktionen ein kompromittiertes Konto auslösen könnte.
Windows, Cloud und KI-Infrastruktur: Drei Fragen für die Planung
Zum Schluss drei Entwicklungen, die weniger nach Alarmmeldung klingen, für IT-Entscheidungen aber wichtig sind. Erstens deuten begrenzte Tests darauf hin, dass Windows 11 Version 26H2 auf Geräten mit acht Gigabyte RAM sparsamer mit Arbeitsspeicher umgeht. Microsoft nennt unter anderem später geladene Widgets als Maßnahme. Die gemessenen Einsparungen sind jedoch kein Versprechen für jeden PC. Für Unternehmen lohnt sich deshalb ein Test auf den eigenen Geräten, bevor aus einzelnen Messwerten eine allgemeine Hardwarestrategie wird.
Zweitens soll die Delos Cloud Anfang 2027 für Behörden starten. Delos gibt an, den operativen Betrieb inzwischen selbst übernommen zu haben; Microsoft habe keinen Zugriff mehr auf die Plattform. Microsoft liefert aber weiterhin Software und Updates. Einige Zertifizierungen liegen vor, weitere Prüfungen stehen noch aus. Die Debatte zeigt: Bei digitaler Souveränität reicht die Frage nach dem Standort eines Rechenzentrums nicht aus. Ebenso wichtig sind Betrieb, Update-Abhängigkeiten, Zertifizierungen und die Möglichkeit, einen Anbieter zu wechseln. Diese Fragen gehören auch bei Cloud-Entscheidungen außerhalb der Verwaltung auf den Tisch.
Drittens macht der Ausbau von KI-Rechenzentren deutlich, wie viel physische Infrastruktur hinter digitalen Diensten steckt. Europäische Unternehmen liefern dafür unter anderem Anlagen zur Chipproduktion, Komponenten, Energie- und Netztechnik. Infineon profitiert nach eigenen Angaben besonders von der Nachfrage nach Leistungshalbleitern für die Stromversorgung von Rechenzentren. Ob sich die enormen Investitionen der großen Technologieunternehmen langfristig rechnen, bleibt offen. Wer KI im Betrieb einsetzt, sollte daher nicht nur Funktionen vergleichen, sondern auch laufende Kosten, Abhängigkeiten und den tatsächlichen Nutzen im Prozess betrachten.
Der KDB-Blick für heute Morgen
Erst prüfen, dann priorisieren: Stehen GPUStack, FreeSWITCH, Aspera Faspex, betroffene SAP-Komponenten oder die genannten IBM-Produkte in Deiner Umgebung? Dann gehören Versionsabgleich und Updates auf die Tagesordnung. Bei bereits aktiv ausgenutzten Lücken ist besondere Eile geboten.
Danach Prozesse anschauen: KI-Agenten, Kreativautomatisierung und vernetzte Dienste können viel Arbeit abnehmen – solange Zugriffe begrenzt, Entscheidungen überprüfbar und Verantwortlichkeiten klar sind. Und wenn Du gerade eine Website, einen Shop oder einen Cloud-Dienst planst: Verständliche Nutzerführung und transparente technische Abhängigkeiten sind keine Kür. Sie sind die Grundlage dafür, dass Digitalisierung nicht nur flott aussieht, sondern verlässlich funktioniert.
