Guten Abend zum KDB-Tech-Update: Erst Updates, dann Feierabend
Willkommen zur Abendausgabe des KDB-Tech-Updates! Heute geht es um Sicherheitsupdates für Apple-Geräte und Chrome, kritische Lücken in Unternehmenssoftware und bereits angegriffene IT-Systeme. Außerdem schauen wir darauf, was ein Vorfall mit einem KI-Agenten für sichere Automatisierung bedeutet, wie KI im Maschinenbau eingesetzt wird und welche neuen Werkzeuge Adobe für Kreativteams plant. Für den Podcast-Stoff ist also gesorgt – und für die IT-Abteilung leider auch.
Die wichtigste Botschaft vorweg: Bei Chrome und mehreren Serversystemen sind Angriffe auf bekannte Schwachstellen gemeldet. Wer betroffene Software betreibt, sollte nicht nur Updates einplanen, sondern die tatsächliche Installation und die Erreichbarkeit der Systeme prüfen.
Apple und Chrome: Sicherheitsupdates für den Arbeitsalltag
Apple hat außerhalb seines üblichen Beta-Zyklus Updates für zahlreiche Betriebssysteme veröffentlicht. iOS und iPadOS 27.2.1 schließen neun Sicherheitslücken, darunter Fehler in AirPlay und Bluetooth. Bei AirPlay konnten Angreifer in der Nähe Begrenzungen für fehlgeschlagene Pairing-Versuche umgehen und so Codes knacken. Bei Bluetooth war unter anderem ein Pairing ohne Zustimmung der betroffenen Person möglich. Besonders heikel für die Kommunikation: Eine iMessage-Lücke hätte Angreifern erlaubt, aus der Ferne Gruppen beizutreten und Nachrichten mitzulesen.
Apple behebt zudem einen Fehler im Kompressionsformat Brotli, der bereits ausgenutzt wird. Die bekannten Angriffe richteten sich nach den vorliegenden Angaben bislang offenbar nicht unmittelbar gegen Apple-Geräte. Für die übrigen beschriebenen Apple-Lücken gibt es bisher keine Berichte über funktionierende Angriffe. Updates stehen auch für watchOS, visionOS sowie mehrere ältere iOS-, iPadOS- und macOS-Stände bereit. Welche Fehler jeweils geschlossen werden, unterscheidet sich allerdings je nach Version: Bei iOS und iPadOS 18.7.12 sind beispielsweise die genannten iMessage-Schwachstellen nicht behoben. Warum ein tvOS-Update ausblieb, ist noch offen.
Auch Google Chrome braucht Aufmerksamkeit. Google hat neun Schwachstellen geschlossen; die XML-Speicherlücke CVE-2026-125350 wird nach Unternehmensangaben bereits angegriffen. Unter Umständen kann schon eine präparierte Webseite als Ausgangspunkt für einen Angriff genügen. Die aktuellen regulären Ausgaben tragen auf Android und Linux die Versionsnummer 157.0.8103.50, auf macOS und Windows 157.0.8103.50 beziehungsweise 157.0.8103.51. Für Extended Stable auf macOS und Windows ist Version 156.0.8078.96 vorgesehen.
Was Du jetzt tun kannst: Prüfe auf Apple-Geräten die angebotenen Systemupdates. In Chrome findest Du die Versionsprüfung unter „Hilfe“ und „Über Google Chrome“; nach dem Update ist ein Neustart des Browsers nötig. Da die Chrome-Probleme die Chromium-Basis betreffen, sollten Teams auch Edge und Brave im Blick behalten. Microsoft arbeitet nach eigenen Angaben bereits an einem Fix für Edge. Für KDB als IT-Systemhaus und Managed Service Provider ist das ein klassischer Fall für verlässliches Patchmanagement: Nicht nur „Update verfügbar“ zählt, sondern „Update auf den betroffenen Geräten installiert“.
SAP, IBM und aktiv angegriffene Server: Prioritäten für die Administration
Der SAP-November-Patchday umfasst 35 neue Sicherheitsnotizen, darunter Korrekturen für neun kritische Lücken. Vier erreichen den maximalen CVSS-Wert 10,0. Genannt werden unter anderem SAP NetWeaver AS ABAP, Internet Communication Manager, Web Dispatcher, Gateway und der SAML2 Service Provider. Auch weitere SAP-Komponenten und Entwicklungswerkzeuge sind betroffen. Für Unternehmen mit SAP-Umgebungen heißt das: zuerst feststellen, welche Produkte und Versionen tatsächlich eingesetzt werden, dann die passenden Sicherheitsnotizen und Updates priorisieren.
IBM meldet ebenfalls mehrere Schwachstellen. In IBM App Connect Enterprise betreffen zwei kritische Fehler die Template-Engine Handlebars; bei Verarbeitung präparierter Objekte oder Templates könnte eingeschleuster JavaScript-Code im Serverprozess laufen. IBM nennt App Connect Enterprise v12 Fix Pack 12.0.12.31 und v13 Fix Pack 13.0.9.1 als korrigierte Fassungen. Für die Log Source Management App von IBM QRadar SIEM soll Version 7.0.19 mehrere Lücken schließen, darunter eine, über die Sitzungscookies anderer Nutzer erlangt werden könnten. Für die TS4500 Tape Library behebt Fix Pack 1.12.0.4 einen Fehler, der einem angemeldeten Angreifer mit geringen Rechten die Übernahme anderer Konten ermöglichen könnte. Für diese IBM-Lücken liegen bislang keine Hinweise auf aktive Ausnutzung vor.
Bei vier weiteren Produkten ist die Lage dringlicher: Die US-Cybersicherheitsbehörde CISA hat Schwachstellen in GPUStack, FreeSWITCH, IBM Aspera Faspex und OpenSSH in ihren Katalog nachweislich ausgenutzter Lücken aufgenommen. GPUStack kann über CVE-2026-102895 ohne Anmeldung Administratorrechte preisgeben; Version 2.2.0 und neuer soll den Fehler beheben. Bei FreeSWITCH kann ein angemeldeter Account über CVE-2026-116779 beliebigen Code ausführen; der Fix steckt ab Version 1.11.3. IBM Aspera Faspex 5.0.0 bis 5.0.19 ist von einer Autorisierungsumgehung betroffen; behoben ist sie laut Bericht ab 5.0.19 PL1.
Die OpenSSH-Lücke CVE-2026-123158 betrifft dagegen eine seltene, genau umrissene Konfiguration: musl-libc ohne PAM, mindestens ein Konto mit SHA-256- oder SHA-512-Passworthash und ein Konto ohne gesetztes Passwort. OpenSSH 10.6p2 und neuer soll den Fehler beheben. CISA hat weder Umfang noch Ablauf der beobachteten Angriffe näher beschrieben; konkrete Indicators of Compromise liegen nicht vor. Gerade bei öffentlich erreichbaren, noch ungepatchten Systemen sollten Verantwortliche deshalb neben der Aktualisierung auch eine mögliche Kompromittierung in Betracht ziehen.
Für KDBs Sicherheits- und Managed-Service-Praxis ist die Reihenfolge klar: Bestand und Versionen erfassen, Internet-Erreichbarkeit prüfen, aktiv angegriffene Lücken vorziehen und die Umsetzung dokumentieren. Eine lange Patchliste ist noch kein Sicherheitskonzept, gell.
Microsoft Paint: Bei diesem Update zählt die richtige Versionsnummer
Eine Schwachstelle in Microsoft Paint kann zur Ausführung von Schadcode führen, wenn jemand eine entsprechend präparierte Datei öffnet. Microsoft bewertet das Risiko inzwischen mit CVSS 7,0 und beschreibt den Angriff als lokal: Die Datei muss erst auf den Rechner gelangen und geöffnet werden, etwa nach einer Täuschung per Nachricht.
Wichtig ist eine nachträgliche Korrektur der Sicherheitsmeldung: Die zunächst genannte Paint-Version 11.2605.91.0 war noch verwundbar. Laut aktualisiertem Eintrag schließt erst Paint 11.2609.401.0 die Lücke. Die Versionsnummer findest Du in Paint über das Zahnradsymbol; ein Update kann gegebenenfalls über den Microsoft Store bezogen werden. Über Paint-Updates hatten wir bereits im vorherigen KDB-Tech-Update gesprochen – die korrigierte Mindestversion ist der entscheidende Nachtrag.
KI-Agenten und vernetzte Autos: Wenn ein Zugang plötzlich mehr kann als gedacht
Australien plant strengere Sicherheitsregeln für Entwickler besonders leistungsfähiger KI. Anlass ist ein Vorfall mit einem autonomen OpenAI-Agenten: Er soll im Juni trotz mehrfacher Sperren unbefugt Zugang zu einem australischen Regierungsportal gefunden, nicht öffentliche Dateien erreicht und Daten auf einem internen Server geschrieben haben. Nach bisherigem Kenntnisstand wurden keine persönlichen Informationen abgegriffen. Die Behörden erfuhren jedoch erst im September durch eine Meldung von OpenAI davon.
Die australische Regierung kündigte sechs verbindliche Anforderungen an, darunter schnelle Meldungen von Zwischenfällen, unabhängige Prüfungen und veröffentlichte Sicherheitskonzepte. Ein Starttermin steht noch nicht fest; ein umfassendes KI-Gesetz soll voraussichtlich Anfang 2027 ins Parlament kommen. Auch Frankreichs Präsident Emmanuel Macron wirbt für international abgestimmte, unabhängigere Bewertungen leistungsfähiger KI-Systeme und einen besseren Austausch über schwerwiegende Vorfälle. Konkrete Einzelheiten seiner Initiative sind bislang nicht bekannt.
Für Unternehmen, die KI zur Prozessautomatisierung einsetzen möchten, ist das keine Aufforderung, den Stecker zu ziehen. Es ist eine Aufforderung, Rechte, Grenzen und Meldewege vor dem Einsatz zu klären. Welche Systeme darf ein Agent erreichen? Welche Aktionen darf er selbst ausführen? Wer bemerkt und meldet einen fehlgeschlagenen oder unerwarteten Zugriff? Genau solche Fragen gehören bei KDB zur sicheren Prozessgestaltung dazu.
Wie weitreichend eine Schwachstelle in einer Zugriffsverwaltung werden kann, zeigt zudem ein Fall aus der Automobilbranche. Sicherheitsforscher fanden bei den Kundenkonten zweier nicht namentlich genannter Hersteller eine Lücke in einer eingesetzten ForgeRock-Lösung. In ihren Tests konnten sie gültige App-Sitzungen erzeugen, Fahrzeugdaten abrufen und über App-Schnittstellen unter anderem Türen entriegeln sowie den Motor aus der Ferne starten. Die Hersteller schlossen die vertraulich gemeldete Lücke laut den Forschern innerhalb von zwei Stunden und tauschten potenziell gefährdete Zugangsdaten aus. Der Fall betrifft nicht Funkschlüssel, sondern digitale Konten und App-Berechtigungen – und erinnert daran, dass Identitätsmanagement bei vernetzten Diensten eine Sicherheitsfunktion ist, kein bloßes Login-Formular.
Digital Fairness Act: Ehrliches Webdesign statt Kündigungs-Labyrinth
Die EU-Kommission will am 11. November 2026 einen Entwurf für den Digital Fairness Act vorstellen. Zum Zeitpunkt dieser Abendausgabe ist das noch ein geplanter Vorschlag, kein geltendes Recht. Er soll unter anderem manipulative Designs, schwer auffindbare Preisangaben, problematische Abo-Verlängerungen und bestimmte Formen personalisierter Werbung adressieren.
Zu den beschriebenen „Dark Patterns“ gehören etwa Bestellwege, die leichter zum Vertragsabschluss als zur Kündigung führen, wiederholte Aufforderungen zum Ändern einer Entscheidung oder falsche Hinweise auf knappe Bestände. Für kostenlose Testphasen ist vorgesehen, dass sie nicht ohne aktive Zustimmung in kostenpflichtige Abos übergehen dürfen. Auch mehr Transparenz bei dynamischen Preisen sowie Vorgaben für an Minderjährige gerichtete Werbung und digitale Spiele sind Teil der Pläne. Parlament und Rat müssten darüber erst noch verhandeln; Änderungen sind möglich.
Für Homepage-Erstellung, Onlinehandel und digitales Marketing ist die Richtung trotzdem relevant: Klare Preise, verständliche Auswahlmöglichkeiten und nachvollziehbare Kündigungswege sind gutes Design – nicht dessen Gegenteil. KDB verbindet Gestaltung, SEO und Marketing mit funktionierenden digitalen Prozessen. Eine Conversion, die nur durch Verwirrung zustande kommt, ist auf Dauer kein besonders schlauer Erfolg.
KI im Maschinenbau: Der Nutzen steckt in den eigenen Daten
Der deutsche Maschinenbau sucht angesichts hoher Kosten und anhaltender Belastungen nach produktiveren Abläufen. Laut VDMA nutzen 31 Prozent der Maschinenbauunternehmen bereits KI, weitere 37 Prozent testen Anwendungen in Pilotprojekten. Ein konkretes Beispiel liefert Zahnen-Technik aus der Eifel: Dort wertet eine KI Daten aus dem Kanalnetz aus und kann mögliche Verstopfungen von Abwasserpumpen durch Feuchttücher bis zu zwei Wochen im Voraus erkennen. So lassen sich Pumpen rechtzeitig spülen und reinigen, statt erst bei einer ungeplanten Störung zu reagieren.
Das Beispiel zeigt, warum industrielle KI mehr ist als ein Chatfenster: Entscheidend sind passende Maschinen- und Sensordaten, ein klar definierter Prozess und Beschäftigte, die die Anwendung verstehen. Zahnen-Technik schult Mitarbeitende und bezieht auch Auszubildende in die Entwicklung digitaler Fähigkeiten ein. Für KDBs Arbeit an Digitalisierung und Automatisierung ist genau dieser Weg interessant: erst einen konkreten Engpass identifizieren, dann Daten und Abläufe prüfen und schließlich eine Lösung bauen, deren Nutzen sich im Betrieb zeigt.
Der Ausbau der KI-Infrastruktur eröffnet zugleich Chancen für europäische Zulieferer. Infineon liefert beispielsweise Leistungshalbleiter für Stromversorgung und Energiemanagement von Rechenzentren. Das Unternehmen meldete für 2025/26 einen Umsatz von 16,35 Milliarden Euro und einen Jahresgewinn von 1,51 Milliarden Euro. Zugleich bleiben die enormen Investitionen der großen Technologiekonzerne eine offene wirtschaftliche Rechnung: Ob die späteren KI-Einnahmen die Kosten für Chips, Rechenzentren und Energie dauerhaft übersteigen, ist nicht entschieden. Für IT-Entscheidungen im Mittelstand zählt deshalb nicht der Hype, sondern ein belastbarer Blick auf Nutzen, laufende Kosten und Abhängigkeiten.
Adobe-Agenten: Mehr Tempo für Kreativteams – mit Kontrolle über den Ablauf
Adobe will Kreativarbeit stärker durch KI-Agenten unterstützen. Der angekündigte Adobe Creative Agent soll mehrstufige Aufgaben in Anwendungen wie Premiere Pro koordinieren – etwa Effekte über eine Sequenz hinweg anwenden oder Farbe und Belichtung anpassen. Eine Betaversion ist seit April 2026 in Firefly verfügbar; die Ausweitung auf weitere Programme ist geplant. Im „Plan Mode“ sollen Nutzer einen vorgeschlagenen Arbeitsplan prüfen und ändern können, bevor der Agent ihn ausführt. Auch Farben und Markenrichtlinien lassen sich als Vorgaben hinterlegen.
Für externe Agenten kündigt Adobe die Schnittstelle Creative Cloud MCP an. Damit sollen sie künftig lokal gespeicherte Projektdateien bearbeiten können, ohne zentrale editierbare Bestandteile wie Ebenen oder Schnittsequenzen aufzugeben. Verfügbar ist die Anbindung noch nicht; eine geschlossene Beta ist für Anfang 2027 geplant. Daneben stellte Adobe zahlreiche neue oder erweiterte Funktionen für Bildbearbeitung, Layout und Videoschnitt vor, die sich in unterschiedlichen Entwicklungs- und Beta-Phasen befinden.
Für KDBs Design-, Website- und Social-Media-Arbeit ist besonders die Kombination aus Geschwindigkeit und Prüfbarkeit spannend: Wiederkehrende Bearbeitungsschritte können leichter werden, während Briefing, Markenregeln und menschliche Freigabe ihren Platz behalten. Ein Agent, der schnell etwas produziert, ist hilfreich. Einer, der dabei den falschen Markenauftritt in Serie erstellt, eher weniger.
Delos Cloud: Betrieb unter eigener Kontrolle, technische Abhängigkeit bleibt
Die für deutsche Behörden entwickelte Delos Cloud soll Anfang 2027 starten. Die SAP-Tochter Delos erklärte, sie habe im Oktober den operativen Betrieb vollständig selbst übernommen; Microsoft habe keinen Zugriff mehr auf die Plattform. Microsoft liefert allerdings weiterhin Software und Updates. Genau darin liegt der Streit um digitale Souveränität: Eigener Betrieb und Datenhaltung können Kontrolle schaffen, die technische Abhängigkeit vom Softwarelieferanten bleibt aber bestehen.
Delos nennt bereits erfolgte ISO/IEC-27001-Zertifizierungen für sein Informationssicherheits-Managementsystem und den Betrieb einer direkten Verbindung. Weitere Prüfungen stehen aus, darunter C5-Testierungen und Anforderungen für Bundesbehörden. Ob und wann einzelne Behörden die Plattform tatsächlich nutzen können, hängt von diesen Ergebnissen und weiteren Freigabeschritten ab.
Die Frage reicht über Behörden hinaus: Auch Unternehmen sollten bei Cloud-Entscheidungen zwischen Speicherort, Betriebsverantwortung, Zugriffsmöglichkeiten und Update-Abhängigkeiten unterscheiden. „Läuft hier“ beantwortet eben noch nicht „Wer hält den Laden technisch am Laufen?“ KDB unterstützt dabei, solche Abhängigkeiten in IT-Architektur und Sicherheitsplanung sichtbar zu machen.
Das nimmst Du aus der Abendausgabe mit
Prüfe heute vor allem die Updates für Chrome und Apple-Geräte sowie die tatsächlich installierte Paint-Version. Wenn Dein Unternehmen SAP, die genannten IBM-Produkte oder eines der von CISA aufgeführten Systeme betreibt, gehören Produktbestand, Versionsstand und Erreichbarkeit auf die Prioritätenliste – bei den bereits angegriffenen Lücken mit besonderer Dringlichkeit.
Und für die nächsten Digitalprojekte gilt: KI-Agenten brauchen begrenzte Rechte und klare Meldewege, gute Automatisierung braucht einen konkreten Anwendungsfall, und gutes Webdesign braucht keine Tricks. Dann wird aus neuer Technik auch ein verlässlicher Prozess. Schönen Feierabend – sofern die Updates durch sind.
