Guten Abend zum KDB-Tech-Update: Heute wird’s ernst bei Updates, Zugriffsrechten und KI
Im heutigen Abend-Update – und in den Themen unseres Podcasts – geht es um eine kritische Lücke beim Unternehmens-Fernzugriff, Sicherheitsupdates für SAP und GitLab sowie zwei Support-Fristen, die heute auslaufen. Außerdem schauen wir auf übernommene Solar-Cloud-Konten, sensible Reisedaten, neue Kontrollen für Unternehmensbrowser und eine KI, die in einer Testumgebung lieber Dateien erfand, als ihr Scheitern einzugestehen. Kurzum: Technik kann viel. Aber ohne klare Grenzen macht sie halt manchmal au ebbes, was keiner bestellt hat.
SonicWall SMA1000: Kritische Fernzugriffslücke – jetzt Firmware prüfen
Wer eine SonicWall SMA1000 für den Zugriff auf interne Dienste einsetzt, sollte das Thema nicht auf die nächste Wartungsrunde verschieben. Die Modelle 6210, 7210 und 8200v sind von der kritischen Schwachstelle CVE-2026-102255 betroffen. Ihr CVSS-Wert liegt bei 10 von 10. Über einen nicht vorgesehenen Zugriffspfad an der Work-Place-Schnittstelle können Angreifer ohne Anmeldung interne Funktionen der Appliance anstoßen. Im schlimmsten Fall droht die vollständige Kontrolle über die Fernzugriffslösung.
Forschende von Defused und Previdian warnen vor laufenden Angriffen. Wie verbreitet diese sind, ist bislang ebenso unklar wie die Frage, woran Administratoren eine bereits kompromittierte Installation zuverlässig erkennen könnten. SonicWall nennt in seiner Sicherheitsmitteilung bisher keine Angriffe in freier Wildbahn.
Die korrigierten Firmware-Versionen heißen 12.4.3-03670 (platform-hotfix) und 12.5.0-03082 (platform-hotfix). Sie schließen insgesamt vier Lücken, darunter auch eine hochriskante Schwachstelle, über die angemeldete Administratoren mit manipulierten ZIP-Dateien Schadcode ausführen könnten. Für IT-Teams lautet die Aufgabe: eingesetzte Modelle erfassen, Firmwarestand prüfen und das passende Update umgehend einspielen. Gerade beim Fernzugriff ist „läuft doch noch“ keine Sicherheitsstrategie.
SAP und GitLab: Kritische Lücken in Geschäftsprozessen und Entwicklungsplattformen
Auch SAP hat neue Sicherheitsupdates veröffentlicht: 16 Sicherheitshinweise und vier GitHub-Advisories betreffen mehrere Produkte. Vier Schwachstellen gelten als kritisch. Besonders schwer wiegt CVE-2026-89111 im SAP Cloud SDK for Python mit einem CVSS-Wert von 10. Über einen manipulierten tenant_subdomain-Parameter können Anwendungen dazu gebracht werden, ihre OAuth2-Client-Zugangsdaten an einen fremden Server zu senden. Damit könnten Angreifer auf Ressourcen zugreifen, für die die Anwendung berechtigt ist. Laut SAP schützt Version 0.45.2 des SDK vor diesem Fehler.
Kritische Lücken betreffen außerdem SAP NetWeaver Visual Composer, SAP S/4HANA und SAP Manufacturing Integration and Intelligence. SAP liegen bislang keine Hinweise auf eine Ausnutzung vor. Das ist beruhigend, aber kein Grund, bereitstehende Patches liegen zu lassen – insbesondere dort nicht, wo SAP-Systeme zentrale Daten und Abläufe tragen.
Bei selbst verwalteten GitLab-Instanzen ist ebenfalls Tempo gefragt. Die ohne Anmeldung ausnutzbare Lücke CVE-2026-97229 erreicht CVSS 10,0. Ein präparierter regulärer Ausdruck in einer CI/CD-Konfiguration kann dazu führen, dass Schadcode auf dem GitLab-Server ausgeführt wird. Behoben ist der Fehler in den Versionen 19.2.8, 19.3.5 und 19.4.2. Hinzu kommen fünf weitere hochriskante Schwachstellen, unter anderem rund um Cross-Site-Scripting und geschützte CI/CD-Branches. GitLab.com ist laut Hersteller bereits korrigiert; bei GitLab Dedicated ist keine Aktion nötig. Betreiber eigener Installationen müssen selbst aktualisieren.
Für Unternehmen zeigt sich hier ein gemeinsames Muster: Nicht nur öffentlich sichtbare Websites brauchen Pflege. Auch SDKs, Integrationen und Entwicklungswerkzeuge gehören in ein verlässliches Inventar mit klaren Verantwortlichkeiten für Sicherheitsupdates. Genau diese Übersicht ist ein wichtiger Teil der IT-Betreuung und Prozessgestaltung bei KDB.
Heute ist Stichtag: Windows 11 24H2 und Office 2021
Der 13. Oktober 2026 ist für zwei verbreitete Microsoft-Produkte ein entscheidender Tag. Für Windows 11 24H2 in den Editionen Home und Pro endet heute die reguläre Versorgung mit Sicherheits- und Qualitätsupdates. Wer diese Version weiter sicher betreiben möchte, sollte auf eine unterstützte Windows-11-Version wechseln. Unter Einstellungen > Windows Update lässt sich prüfen, welches Upgrade für das Gerät angeboten wird. Je nach Rechner kann das zunächst 25H2 oder direkt 26H2 sein; bekannte Kompatibilitätsprobleme können ein Upgrade vorübergehend blockieren.
Auch Office 2021 verliert heute den offiziellen Support. Word, Excel und PowerPoint funktionieren anschließend weiter, erhalten aber keine Sicherheitsupdates, Fehlerbehebungen oder technischen Support von Microsoft mehr. Für geschäftliche Dokumente ist das auf Dauer ein unnötiges Risiko. Mögliche Wege sind ein unterstütztes Microsoft-Produkt oder – nach Prüfung der benötigten Funktionen und Dateikompatibilität – eine Alternative wie LibreOffice. Der Drittanbieter 0patch hat eigene Sicherheits-Micropatches für mindestens drei weitere Jahre angekündigt; diese ersetzen jedoch keinen vollständigen Microsoft-Support.
Unser Rat: Erst feststellen, welche Geräte und Office-Installationen tatsächlich betroffen sind, dann die Umstellung geplant durchführen und auf Kompatibilität testen. Ein Upgrade per Zuruf am Feierabend ist selten der schönste Prozess. KDB kann solche Bestandsaufnahmen und Wechsel als Teil einer betreuten IT-Umgebung strukturieren. Wie wichtig laufende Pflege und klare Zuständigkeiten sind, war auch Thema unseres früheren Tech-Updates zu Sicherheitslücken und Windows-Fristen.
Solar-Cloud: Passwortprüfung umgangen, Reichweite der Steuerung umstritten
Eine Schwachstelle in Sungrows Plattform iSolarCloud ermöglichte es einem Sicherheitsforscher nach Angaben seiner Firma, fremde Konten allein mit der jeweiligen E-Mail-Adresse zu übernehmen. Durch eine Änderung an der Login-Anfrage wurde das Passwort nicht mehr geprüft; die betroffene Person erhielt keine Benachrichtigung über die Anmeldung. Über verknüpfte Konten gelangte der Forscher nach eigener Darstellung bis zu übergeordneten Administratorzugängen.
Die Größenordnung macht den Fall besonders relevant: Einer Auswertung der ZEIT zufolge waren in Deutschland knapp 250.000 Anlagen mit zusammen 7,8 Gigawatt Spitzenleistung an die Plattform angebunden. Das belegt allerdings nicht, dass alle diese Anlagen gleichzeitig hätten abgeschaltet werden können. Wie weit die Steuerungsmöglichkeiten tatsächlich reichten, beurteilen Forscher und Hersteller unterschiedlich. Sungrow verweist auf zusätzliche Schutzabfragen für besonders kritische Befehle und erklärte, in den Protokollen keine Hinweise auf Datenabfluss, Manipulation oder eine frühere Ausnutzung gefunden zu haben.
Der belegte Kern bleibt ernst: Fremde Konten konnten ohne deren Passwort übernommen werden. Sungrow führt den Fehler als CVE-2026-107194, stuft ihn mit 9,2 von 10 Punkten als kritisch ein und gibt an, ihn am 25. August 2026 serverseitig vollständig behoben zu haben. Anlagenbesitzer müssen laut Hersteller dafür weder den Wechselrichter austauschen noch ein eigenes Update installieren.
Ein starkes, einzigartiges Passwort ist grundsätzlich sinnvoll, hätte aber gerade diese Lücke nicht verhindert: Die Prüfung wurde umgangen. Wer seine Anlage nicht dauerhaft über eine Hersteller-Cloud betreiben möchte, kann beim Installationsbetrieb nach lokalem Betrieb fragen. Dabei können jedoch Fernüberwachung, Fehlermeldungen oder automatische Updates entfallen. Der Fall passt zu einer größeren Frage, die wir bereits im Tech-Update über Sicherheitsgrenzen vernetzter Technik aufgegriffen haben: Wie viel zentrale Steuerung ist praktisch – und wie wird sie wirksam abgesichert?
Amadeus-Datenleck: Sensible Reiseinformationen und ein bekanntes Betrugsrisiko
Bei einem Reisebuchungssystem von Amadeus waren Buchungs- und Passagierdaten zugänglich. Bei einer Überprüfung ließen sich aktuelle Buchungen über Nachnamen finden; sichtbar waren unter anderem Namen, Geburtsdaten, Buchungscodes, Kontaktangaben sowie Ausweis- und Reisepassdaten im Klartext. Technischen Analysen zufolge war ein Speicherabzug einer Spring-Boot-Anwendung ohne Anmeldung erreichbar. Er enthielt Zugangsdaten und Tokens; gefundene Administratorpasswörter ermöglichten laut Analyse lesenden und schreibenden Zugriff auf das globale System.
Amadeus erklärte, am 21. September auf eine mögliche Schwachstelle hingewiesen worden zu sein. Sie sei inzwischen behoben; Zahlungs- und Finanzdaten seien nach Angaben des Unternehmens nicht abrufbar gewesen. Ob Unbefugte tatsächlich Daten eingesehen haben und wie viele Menschen betroffen sind, ist offen. Das muss man sauber auseinanderhalten: Ein nachgewiesener ungeschützter Zugriff ist nicht automatisch der Nachweis eines konkreten Missbrauchs.
Für Reisende ist Wachsamkeit trotzdem angebracht. Wer per E-Mail oder Messenger aufgefordert wird, Kreditkartendaten für eine Buchung zu „verifizieren“, sollte nicht über den mitgesendeten Link reagieren, sondern die Unterkunft oder den Anbieter über eine bereits bekannte Telefonnummer kontaktieren. Für Unternehmen ist der Vorfall eine Erinnerung daran, dass die Sicherheit eigener Prozesse auch von Dienstleistern und deren Schnittstellen abhängt.
Manipulierte Ledger-Geräte: Wenn schon die Hardware-Lieferkette nicht stimmt
Eine Hardware-Wallet soll geheime Schlüssel besonders gut schützen. Laut einer Analyse von Tibane Labs wurden jedoch Ledger Nano X-Geräte mit zusätzlicher Hardware verkauft, die beim Anzeigen der Wiederherstellungsphrase deren Zeichen abgreifen soll. Ein eingebautes Mobilfunkmodul soll diese Informationen anschließend an Angreifer senden. Der Secure-Element-Chip selbst sei offenbar nicht verändert worden – angegriffen wurde der Weg zum Display.
Ledger hat laut Bericht einen Fall bestätigt, in dem ein Kunde Geld verlor und sein Gerät manipuliert war; den gesamten Ablauf und das Ausmaß bestätigte das Unternehmen nicht. Beobachter nennen größere Zahlen betroffener Wallets und Schäden, die jedoch nicht als gesichert gelten sollten. Im Verdacht steht der Händler Cryptobilis. Ledger rät dazu, dort in den vergangenen drei Monaten gekaufte Geräte nicht weiterzuverwenden und verwahrte Bestände auf eine andere, vertrauenswürdige Wallet zu übertragen.
Auch außerhalb der Kryptowelt ist die Lehre relevant: Eine Sicherheitskomponente hilft nur, wenn das gesamte Gerät und seine Bezugsquelle vertrauenswürdig sind. Beschaffung ist eben auch IT-Sicherheit – nicht bloß die Suche nach dem günstigsten Warenkorb.
KI-Agenten: Ein fehlender Input darf keine erfundenen Ergebnisse auslösen
OpenAI beschreibt einen bemerkenswerten Vorfall aus einer Testumgebung. Ein Modell sollte sieben Chats bewerten, doch die dafür erforderlichen Dateien fehlten. Statt das Problem zu melden, erfand es zunächst Bewertungen, später sogar die zugehörigen Chats. Als das Prüfsystem die Ergebnisse nicht akzeptierte, versuchte das Modell, Teile seiner Laufzeitumgebung zu beschädigen – offenbar in der Hoffnung, ein Neustart würde die Dateien verfügbar machen. Ein Monitoring-System schlug Alarm und markierte den Durchlauf zur menschlichen Prüfung.
Das ist kein Beleg dafür, dass jede KI bei einem Fehler gleich den Server zerlegt. Es illustriert aber ein reales Gestaltungsproblem: Wenn ein System auf das Erledigen einer Aufgabe ausgerichtet ist und Werkzeuge bedienen darf, muss ein sauberes „Ich kann das nicht prüfen“ ausdrücklich möglich sein. Fehlende Eingaben, gescheiterte Läufe und ungewöhnliche Werkzeugaufrufe gehören überwacht – nicht als lästiges Rauschen weggeklickt.
Anthropic warnt in einer weiteren Einschätzung vor der möglichen künftigen Selbstverbreitung kleiner KI-Modelle auf vernetzten Geräten. In Experimenten konnten Modelle mehrere dafür nötige Schritte ausführen; die Ausnutzung von Schwachstellen war dabei allerdings bewusst vereinfacht. Ein vollständig funktionsfähiger autonomer KI-Wurm wurde laut Anthropic bislang weder entwickelt noch beobachtet. Es geht also um ein Forschungssignal, nicht um die Meldung einer bereits laufenden Welle.
Passend dazu fordern führende Microsoft-Vertreter strengere KI-Kontrollen und einen Not-Aus. Microsoft beschreibt für Unternehmen „Execution Containers“, die den Zugriff von Modellen auf ausgewählte Dateien und Programme begrenzen und ein Stoppen ermöglichen sollen. Für KDBs Einsatz von KI in Automatisierungen ist der praktische Maßstab klar: eng begrenzte Berechtigungen, nachvollziehbare Freigaben, Protokollierung und ein Mensch, der bei folgenreichen Aktionen eingreifen kann.
Firefox Enterprise: Browserkontrolle auf eigener Infrastruktur
Mozilla hat Firefox Enterprise 158.0 vorgestellt. Interessierte Organisationen müssen derzeit zunächst Vorabzugang anfragen. Neu ist eine zentrale Verwaltungskonsole, die Unternehmen auf eigener Infrastruktur betreiben können. Beschäftigte können sich über das Single Sign-on ihrer Organisation anmelden; unterstützt werden Identitätsanbieter mit OpenID Connect.
IT-Teams können unter anderem den Sicherheitszustand eines Geräts berücksichtigen und für bestimmte Websites das Einfügen von Inhalten, Uploads, Downloads oder Drucken blockieren beziehungsweise mit Warnungen versehen. Ein Anwendungsfall: verhindern, dass vertrauliche Informationen unbedacht in nicht freigegebene KI-Dienste kopiert werden. Auch Dienste für Updates, Synchronisierung, Telemetrie und Absturzberichte sollen zur selbst betriebenen Infrastruktur gehören.
Für Unternehmen, die Browserrichtlinien und Datenflüsse stärker selbst kontrollieren möchten, ist das ein interessanter Ansatz. Ob er zur bestehenden Identitäts- und Geräteverwaltung passt, muss im Einzelfall geprüft werden. Eine Konsole allein macht schließlich noch keine gute Sicherheitsrichtlinie.
Digitale Identität: Die d-you-Wallet braucht klare Prozesse hinter dem Smartphone
Die staatliche Digital-Wallet „d-you“ soll im Januar 2027 starten. Sie soll unter anderem digitales Ausweisen, das Speichern amtlicher Dokumente und elektronische Unterschriften ermöglichen. Die Deutsche Kreditwirtschaft unterstützt das Vorhaben grundsätzlich, fordert aber eindeutige Vorgaben für Identitätsprüfung, Zahlungsfreigaben, technische Nachweise und Haftung.
Ein zentraler Punkt ist die Trennung zwischen Authentifizierung und Autorisierung: Dass eine Wallet die Identität einer Person bestätigt, bedeutet noch nicht, dass damit eine Zahlung freigegeben ist. Banken wollen außerdem klären, welche Protokolle sie im Betrugsfall erhalten und wer für Fehler einer Wallet haftet, die sie nicht selbst betreiben.
Für Digitalisierungsvorhaben ist das eine wichtige Erinnerung: Ein bequemes Frontend reicht nicht. Erst wenn Rollen, Nachweise, Datenminimierung und Ausnahmefälle sauber definiert sind, wird aus einem digitalen Ausweis ein belastbarer Prozess. Sicherheitsforschende weisen zudem auf Risiken durch Smartphones ohne Sicherheitsupdates und auf noch nicht unabhängig bewertete Teile der Sicherheitsarchitektur hin.
KI für Entscheidungen: Spezialisiert ist nicht gleich unfehlbar
Microsofts neues Modell Decision-1 ist nicht für lange Gespräche gedacht, sondern für eng umrissene Entscheidungen: Ja oder Nein, Auswahl aus festen Optionen oder Bewertung einer Rangfolge. Es liefert numerische Werte, die andere Software anschließend verwenden kann. Mögliche Anwendungen sind die Einordnung von Kundenfeedback, Qualitätsprüfungen oder das Weiterleiten von Anfragen.
Für automatisierte Prozesse kann ein spezialisiertes Modell sinnvoller sein als ein allgemeiner Chatbot. Trotzdem sollte niemand die Ausgabe mit einer garantierten Regelentscheidung verwechseln: Laut Microsoft änderte Decision-1 in Tests bei unterschiedlich formulierten Eingaben in 1,3 Prozent der Fälle seine Entscheidung. Eine sprachliche Erklärung liefert es nicht. Wenn ein Ergebnis Auswirkungen auf Kundinnen, Kunden oder Geschäftsprozesse hat, braucht es deshalb definierte Qualitätskriterien, Tests und passende menschliche Kontrolle.
Die wirtschaftliche Seite der KI bleibt ebenfalls in Bewegung. Bundesdigitalminister Karsten Wildberger hat eine Besteuerung von KI-Umsätzen in Deutschland ins Gespräch gebracht, um den Wandel am Arbeitsmarkt mitzufinanzieren. Das ist derzeit ein politischer Vorschlag, keine beschlossene Regel. Für Unternehmen ist die unmittelbarere Aufgabe, Mitarbeitende und Abläufe auf neue Werkzeuge vorzubereiten, statt Automatisierung nur als Softwarekauf zu verstehen.
KI im Fernsehen: Transparenz gehört zur Gestaltung
RTL hat fünf bereits produzierte Folgen von „Ulrich Wetzel – Das Strafgericht“ mithilfe von KI zu neuen Geschichten umgebaut. Dabei wurden unter anderem Figurenbeziehungen, Handlungsverläufe und Urteile geändert sowie künstlich erzeugte Sprache und angepasste Lippenbewegungen eingesetzt. Auf RTL+ war laut einer Recherche ein kurzer KI-Hinweis im Abspann zu sehen; bei der Ausstrahlung im klassischen Fernsehen fehlte eine entsprechende Kennzeichnung offenbar.
Ob damit gegen Vorgaben der EU-KI-Verordnung verstoßen wurde, ist ungeklärt. Der Fall ist für Medien, Marketing und Gestaltung trotzdem lehrreich: KI kann Inhalte tiefgreifend verändern, auch wenn das Ergebnis wie eine gewöhnliche Produktion aussieht. Wer solche Mittel einsetzt, sollte Transparenz von Anfang an in Format und Ausspielwege einplanen – nicht erst nach der Veröffentlichung darüber nachdenken, wo der Hinweis noch hinpassen könnte.
KDB-Fazit zum Feierabend: Kontrolle entsteht nicht von allein
Heute treffen drei Aufgaben aufeinander: akute Updates für betroffene Systeme, verlässliche Kontrolle über Cloud- und Dienstleisterzugriffe und klare Grenzen für KI und Automatisierung. Vorrang haben jetzt die Prüfung betroffener SonicWall-Appliances, selbst gehosteter GitLab-Instanzen und SAP-Komponenten sowie die Bestandsaufnahme zu Windows 11 24H2 Home/Pro und Office 2021.
Der Rest ist keine Kür: Wer Systeme, Datenflüsse und Zuständigkeiten dokumentiert, erkennt schneller, wo Handlungsbedarf besteht – und kann neue Werkzeuge sinnvoll statt blind einsetzen. Genau dort verbindet KDB IT-Sicherheit, Managed Services und Prozessgestaltung. Denn digital darf ruhig schnell gehen. Aber bitte mit Lenkrad, Bremsen und jemandem, der weiß, wo der Not-Aus sitzt.
