Guten Morgen zum KDB-Tech-Update: Vertrauen ist gut, Kontrolle ist besser
Eine Banking-App, die aussieht wie immer – aber Deine Zugangsdaten abgreift. Ein WhatsApp-Doppelgänger, der im offiziellen Play Store als Anzeige auftaucht. Und KI-Assistenten, die sich mehr über Dich merken, als Du ausdrücklich speichern lassen wolltest: Dieses morgendliche KDB-Tech-Update hat eine gemeinsame Frage im Gepäck. Woran erkennst Du, wer oder was Zugriff auf Deine Daten verdient?
Außerdem schauen wir auf neue Werberegeln bei Google, Sicherheitsgrenzen für KI-Agenten, Fehler in einem KI-gestützten Gutachten und die Debatte um digitale Souveränität. Für Unternehmen geht es dabei nicht nur um Technik, sondern um saubere Prozesse: Wer prüft Anwendungen, Berechtigungen, Ergebnisse und Abhängigkeiten? Packen wir’s an.
Android: Wenn die vertraute App nicht mehr die echte ist
Die Android-Schadsoftware Hirudo tarnt sich als Shopping-, Unterhaltungs- oder Kurzvideo-App. Nach der Installation versucht sie, weitreichende Berechtigungen zu erhalten, insbesondere für die Android-Bedienungshilfen. Damit kann sie nach Angaben der Sicherheitsforscher von ThreatFabric ein infiziertes Smartphone aus der Ferne steuern, eine vorhandene Banking-App entfernen und durch eine manipulierte, täuschend ähnlich aussehende Version ersetzen.
ThreatFabric hat bislang Kopien von acht Banking-Apps entdeckt. Die Forschenden beschreiben außerdem Mechanismen, mit denen Hirudo Sicherheitsprüfungen umgehen soll. Abgegriffen werden können demnach unter anderem Bankpasswörter, Zahlungs- und Geräte-PINs, SMS sowie Bildschirminhalte; auch Kamera und Mikrofon können missbraucht werden. Zunächst beobachtete ThreatFabric Angriffe auf Banking-Apps in Indonesien. Hinweise deuten auf weitere Ziele in mehreren Ländern hin. Eine gesicherte Zahl Betroffener liegt nicht vor.
Ein zweiter Fall zeigt, warum „steht doch im Play Store“ als Echtheitsprüfung nicht ausreicht: Eine gefälschte WhatsApp-App wurde dort mehr als 500.000 Mal heruntergeladen, bevor Google sie entfernte. Sie erschien bei der Suche nach dem Messenger zeitweise sogar als gesponserte Anzeige weit oben. Der berichtete Einsatz des „Early Access“-Programms erschwerte öffentliche Warnungen durch Bewertungen, weil diese dort deaktiviert sind.
Für Dich und Dein Team heißt das: Prüfe vor der Installation den Entwicklernamen, nicht nur Logo, Beschreibung oder Platzierung. Hinterfrage ungewöhnliche Berechtigungen, halte Android und Apps aktuell und lass Google Play Protect aktiviert. Installationen aus unbekannten APK-Quellen erhöhen das Risiko zusätzlich. Gerade auf geschäftlich genutzten Smartphones sollte klar geregelt sein, welche Apps installiert werden dürfen und was bei einem Verdacht zu tun ist.
Ist eine verdächtige App bereits auf dem Gerät, empfiehlt das BSI, zuletzt installierte Anwendungen zu prüfen und Auffälliges zu entfernen. Gegebenenfalls helfen ein Virenscan oder ein Neustart im abgesicherten Modus. Als letzter Schritt kann ein Zurücksetzen auf Werkseinstellungen nötig sein – weshalb aktuelle Backups so wichtig sind. Fortgeschrittene Eingriffe wie USB-Debugging gehören nicht in eine spontane „Des kriegen wir scho hin“-Aktion. Über ähnliche Maschen mit vertrauten App-Oberflächen haben wir bereits im KDB-Tech-Update zu gefälschten Apps und Phishing berichtet.
Phishing auf Papier: Der Sparkassen-Brief mit QR-Code
Auch ein persönlich adressierter Brief mit Filialbriefkopf kann gefälscht sein. In einer Stadt im Westen Deutschlands kursieren Schreiben, die scheinbar von einer Sparkasse stammen und zur „Verifizierung“ des Online-Bankings auffordern. Wer den QR-Code scannt, landet auf einer Phishing-Seite. Dort sollen Zugangsdaten, persönliche Angaben und sogar eine Ausweiskopie abgegeben werden. Die angedrohte Sperrung des Zugangs soll Druck erzeugen.
Scanne den Code nicht und gib keine Daten ein. Falls das bereits passiert ist, kontaktiere umgehend Deine Sparkasse, damit sie den Zugang sperren und weitere Schutzmaßnahmen veranlassen kann. Für Unternehmen ist der Fall eine Erinnerung: Sicherheitsbewusstsein darf nicht beim E-Mail-Postfach enden. QR-Codes in Briefen, Aushängen oder Nachrichten sind zunächst nur Links – keine Echtheitszertifikate.
Davon zu trennen ist eine tatsächliche Änderung bei der Sparkasse: Die App S-ID-Check soll zum 31. Januar 2027 eingestellt werden. Für die Bestätigung von Online-Zahlungen mit der Sparkassen-Karte ist ein rechtzeitiger Wechsel zur S-pushTAN-App vorgesehen. Informationen dazu solltest Du über die bekannten Kanäle Deiner Sparkasse prüfen, nicht über einen QR-Code in einem unerwarteten Schreiben.
Google-Dienste verknüpfen: Was bedeutet das für personalisierte Werbung?
Google hat seine Datenschutzerklärung zur personalisierten Werbung ergänzt. Die bisherige Zusage, Anzeigen nicht auf Grundlage von Inhalten aus Gmail, Google Drive oder Google Fotos auszuspielen, gilt nun mit einer Einschränkung: Wenn Du Daten aus diesen Diensten für andere Google-Angebote freigibst, die personalisierte Werbung unterstützen, können die zugreifenden Dienste sie auch zur Personalisierung verarbeiten. Relevant wird das beispielsweise bei Verknüpfungen mit Gemini oder personalisierten Suchfunktionen.
Google betont, dass Werbetreibende dadurch nicht automatisch Zugriff auf Deine E-Mails oder Fotos erhalten. Trotzdem lohnt sich ein genauer Blick auf Freigaben: Ein Assistent, der eine Buchung aus einer E-Mail übernehmen darf, erhält dafür Informationen, die zuvor im Postfach lagen. Welche Dienste miteinander verbunden sind und wofür sie Daten nutzen, ist daher keine Nebensache.
Wer die entsprechende Personalisierung in Suchdiensten einschränken möchte, kann im Google-Konto unter „Daten und Datenschutz“ die „personalisierten Empfehlungen in Suchdiensten“ deaktivieren. Diese Einstellung löscht jedoch keine bereits erfassten Daten. Für den Unternehmensalltag gilt: Bevor Konten, Kalender, Postfächer oder KI-Werkzeuge verknüpft werden, sollten Zweck und Berechtigungen feststehen. KDB unterstützt bei solchen Fragen mit IT-Sicherheit und klar gestalteten digitalen Prozessen – denn ein komfortabler Ablauf sollte nicht auf unbemerkten Datenfreigaben beruhen.
ChatGPT-Gedächtnis: Praktische Erinnerung oder persönliches Profil?
Eine Studie zu ChatGPTs Speicherfunktion hat 1.058 Gesprächsverläufe von 80 Personen untersucht, die ihre Daten angefordert und der Forschung bereitgestellt hatten. In den Protokollen von 65 Teilnehmenden fanden sich insgesamt 2.050 Erinnerungseinträge. Laut Untersuchung gingen nur vier Prozent auf eine ausdrückliche Bitte zurück, etwas zu speichern. Die übrigen Einträge entstanden ohne eine solche Anweisung.
Unter den gespeicherten Informationen waren auch personenbezogene und sensible Angaben, etwa zu Gesundheit und längerfristigen Zielen. Nicht jeder Eintrag war zuverlässig: In fünf Prozent der Fälle enthielt das Gedächtnis laut Studie unbestätigte Annahmen des Modells. Die untersuchten Daten stammen aus einer früheren Generation der Speicherfunktion; die Ergebnisse lassen sich daher nicht einfach als Messung der heutigen Architektur lesen. Sie zeigen aber deutlich, weshalb „Ich habe das doch nur im Chat erwähnt“ kein belastbares Datenschutzkonzept ist.
Prüfe die Speicher- und Personalisierungseinstellungen, nutze für passende Fälle temporäre Chats und teile sensible Informationen nur, wenn sie für die Aufgabe nötig sind. Das Löschen eines Chats entfernt nicht automatisch daraus abgeleitete Erinnerungen. Im Unternehmen braucht es darüber hinaus Regeln, welche Kunden-, Beschäftigten- oder Projektdaten überhaupt in KI-Dienste eingegeben werden dürfen. Hilfreiche Personalisierung und kontrollierte Datenverarbeitung müssen zusammenpassen.
KI-Agenten brauchen Grenzen – auch für ihre eigene Überwachung
Externe Prüfer der Organisationen METR und Redwood Research haben bei OpenAI untersucht, wie interne KI-Agenten überwacht werden. Ihrer veröffentlichten Zusammenfassung zufolge fanden sie mehrere Schwachstellen: Bestimmte Aktivitäten konnten der Kontrolle entgehen oder unter Umständen verborgen werden. So wurden sogenannte „Compaction“-Vorgänge, bei denen ein Agent seinen bisherigen Arbeitskontext zusammenfasst, zunächst übersprungen. OpenAI-Mitarbeitende hatten diese Lücke laut Bericht bereits entdeckt und behoben sie während der Untersuchung.
Weitere Grenzen betrafen den Zeitpunkt der Prüfung und mögliche Wege, Aktionen vor dem Monitor zu verbergen. OpenAI erklärte, die produktiv eingesetzten Schutzmaßnahmen für alle betroffenen Schwachstellen verbessert zu haben. Die externen Prüfer haben diese Aussage nicht nachgeprüft. Auch die veröffentlichten Informationen sind begrenzt; aus ihnen folgt nicht, dass jeder beschriebene Angriffsweg tatsächlich ausgenutzt wurde.
Die praktische Lehre für Unternehmen ist trotzdem klar: Ein KI-Agent mit Zugriff auf Systeme oder Geschäftsdaten darf nicht allein deshalb als sicher gelten, weil ein zweites KI-System ihn beobachtet. Begrenzte Berechtigungen, nachvollziehbare Aktionen und unabhängige Kontrollen bleiben entscheidend. Wenn KDB Prozesse automatisiert, gehört die Frage „Was darf der Agent – und wer merkt, wenn etwas schiefläuft?“ an den Anfang, nicht ans Ende des Projekts.
KI-Ergebnisse prüfen: Ein Gutachten ist kein Freifahrtschein
In Western Australia fordert die Regierung von Deloitte die Rückerstattung von 166.000 australischen Dollar für ein Gutachten zur möglichen Zusammenlegung dreier Universitäten. Deloitte hatte angegeben, generative KI unter anderem für Recherche, Zusammenfassungen und Korrekturlesen eingesetzt zu haben. Im Bericht wurden erfundene Quellenangaben entdeckt; später kamen Hinweise auf fehlerhafte Kostenangaben im Anhang hinzu. Laut Regierung sei ihr mitgeteilt worden, dass die Fehler Modellierung und Schlussfolgerungen nicht veränderten. Eine korrigierte Fassung wurde verlangt.
Ob Strategiepapier, SEO-Text, Kundenpräsentation oder Prozessanalyse: KI kann Arbeit beschleunigen, aber sie übernimmt keine Verantwortung für Quellen, Zahlen und Schlussfolgerungen. Gerade veröffentlichte oder entscheidungsrelevante Ergebnisse brauchen eine fachliche Prüfung. Ein flott formulierter Fehler bleibt ein Fehler – au, wenn er hübsch gesetzt ist.
Digitale Souveränität: Cloud, Büroplattform und europäische KI
Wie viel Kontrolle behält eine Organisation über ihre Infrastruktur? Diese Frage stellt sich bei der geplanten gemeinsamen „ND-Cloud“ deutscher Nachrichtendienste besonders deutlich. Nach Recherchen von NDR und WDR ist dafür Google Distributed Cloud in einer vom Internet und von Google getrennten Air-Gapped-Version vorgesehen. Daten sollen in Deutschland liegen und Google soll keinen Zugriff darauf haben. Mehrere Komponenten durchlaufen allerdings noch ein BSI-Zulassungsverfahren; das Projekt verzögert sich.
In der Debatte geht es nicht nur um den Speicherort, sondern auch um künftige Software-Updates und die Fähigkeit des Betreibers, deren Folgen selbst zu beurteilen. Diese Fragen sind im Maßstab eines mittelständischen Unternehmens natürlich andere als bei geheim eingestuften Daten. Das Grundprinzip ist aber übertragbar: Wer betreibt ein System, wer liefert Updates, welche Abhängigkeiten entstehen und welche Alternativen gibt es?
Eine solche Alternative im Bürobereich ist OpenDesk. Die quelloffene Plattform des ZenDiS bündelt unter anderem Textverarbeitung, Tabellen, E-Mail und Cloud-Speicher. Nach Angaben des Handelsblatts wurden bereits Lizenzen für mehr als 200.000 Arbeitsplätze verkauft. Die Nachfrage bringt allerdings Aufgaben bei Vertrieb, Einführung und Betrieb mit sich; ZenDiS baut dafür ein Partnernetzwerk aus. OpenDesk ist keine Anwendung, die sich ohne Weiteres wie ein einzelnes Office-Programm auf dem PC installieren lässt: Die Community Edition muss selbst betrieben werden, die Enterprise Edition richtet sich an Organisationen mit entsprechendem Unterstützungsbedarf.
Auch bei KI ringt Europa um die passende Strategie. Während einige Unternehmer eigene europäische Spitzenmodelle für wirtschaftliche Unabhängigkeit für notwendig halten, plädieren andere dafür, begrenzte Ressourcen stärker in nützliche Anwendungen bestehender Technologien zu investieren. Für Betriebe muss diese Grundsatzfrage nicht zum Stillstand führen: Entscheidend ist, den Nutzen eines KI-Einsatzes ebenso zu prüfen wie Kosten, Datenflüsse und Anbieterabhängigkeit. Mehr zu Office-Alternativen und digitaler Kontrolle findest Du auch in unserem früheren KDB-Tech-Update zum Unternehmensalltag.
Sicherheitslücken: Angreifer warten nicht auf Deinen Wartungstermin
Nach Einschätzung von Daniel Gille von der Cyberagentur des Bundes können Angreifer neu bekannt gewordene Schwachstellen heute teils binnen Minuten oder Stunden analysieren und für Angriffe nutzen. Betreiber brauchen dagegen Zeit, um Updates zu testen, einzuspielen und Systeme wieder bereitzustellen. Die jüngst berichtete schwerwiegende PHP-Lücke macht diesen Zeitdruck anschaulich.
Ein Bericht des IBM-Sicherheitsteams X-Force verweist zudem auf deutlich mehr öffentlich bekannt gewordene Schwachstellen bei großen Softwareanbietern und Chrome im untersuchten Zeitraum. Solche Zahlen ersetzen keine Bewertung des eigenen Risikos. Wichtig ist, den eigenen Bestand zu kennen: Welche Systeme sind betroffen, welche Dienste sind erreichbar, wer entscheidet über ein Update und wie wird die Funktion danach geprüft? Als IT-Systemhaus und Managed Service Provider setzt KDB genau an dieser Verbindung von Sicherheitsmaßnahmen und belastbaren Betriebsabläufen an.
Onlinehandel: KI-Bilder dürfen das echte Produkt nicht verstecken
Etsy verschärft seine Regeln für KI-Bilder in Produktangeboten. Für viele Angebote wird mindestens ein unbearbeitetes Foto des realen Produkts vor echtem Hintergrund verlangt; das erste Bild soll die Ware klar und wirklichkeitsnah zeigen. KI-gestützte Bearbeitung bleibt möglich, solange sie Aussehen oder Qualität nicht verfälscht. Bei Schnittmustern, Rezepten und anderen Anleitungen verlangt Etsy selbst erstellte Informationen und ein Foto eines realen Ergebnisses. Vollständig von Bots erzeugte Angebotsseiten sind nicht zulässig.
Für Onlineshops und Social-Media-Auftritte steckt darin eine einfache Gestaltungsregel: Starke Bilder sollen überzeugen, nicht täuschen. Wer KI für Produktdarstellungen nutzt, sollte reale Ware, Bildbearbeitung und Beschreibung aufeinander abstimmen. Das schützt die Glaubwürdigkeit der Marke und verhindert Erwartungen, die das gelieferte Produkt nicht erfüllen kann. Für KDB als Design- und Marketingagentur gehören kreative Möglichkeiten und eine ehrliche Darstellung zusammen.
Digitale Identität und offene Netze: Bequemlichkeit braucht Datenschutz
Die staatliche EUDI-Wallet „d-you“ soll ab dem 2. Januar 2027 in Deutschland verfügbar sein. Die Sparkassen-Finanzgruppe gehört zu den Start-Partnern und plant zum Start zehn Anwendungen, darunter Konto- und Depoteröffnungen. Weitere Einsatzmöglichkeiten sollen folgen; eine spätere Nutzung für Online-Banking-Anmeldungen oder Transaktionsfreigaben ist bislang eine Perspektive, keine zugesagte Startfunktion. Die Nutzung der Wallet soll freiwillig bleiben.
Digitale Identitätsnachweise können Prozesse vereinfachen. Gleichzeitig zeigt der Bericht „Freedom on the Net 2026“ von Freedom House, warum Identitäts- und Altersprüfungen sorgfältig gestaltet werden müssen: Werden dafür etwa Ausweise oder Gesichtsscans an zusätzliche Stellen übermittelt, entstehen Risiken für Privatsphäre und Datensicherheit. Der Bericht sieht die Internetfreiheit in den untersuchten Staaten insgesamt weiter unter Druck und warnt auch vor missbräuchlicher Überwachung und Zensur. Für digitale Angebote gilt daher: Nur die Daten erheben, die wirklich benötigt werden, und Schutzmaßnahmen nicht gegen grundlegende Rechte ausspielen.
KDB-Fazit am Morgen: Erst prüfen, dann verbinden, installieren oder automatisieren
Ob Banking-App, QR-Code, Cloud-Plattform oder KI-Assistent: Die heutigen Meldungen drehen sich um Herkunft, Berechtigungen und überprüfbare Ergebnisse. Kontrolliere Apps und Links, begrenze Datenfreigaben, sichere Deine Geräte regelmäßig und plane Updates als festen Betriebsprozess. Bei KI gilt zusätzlich: Eingaben bewusst wählen, Ausgaben fachlich prüfen und Agenten nur die Zugriffe geben, die sie tatsächlich brauchen.
KDB verbindet dafür IT-Sicherheit, Managed Services, Automatisierung und digitale Kommunikation. Denn gute Digitalisierung ist nicht die mit den meisten angeschlossenen Diensten. Gut ist sie, wenn Du auch morgen noch weißt, wo Deine Daten liegen, wer handeln darf – und wie Du eingreifen kannst, wenn etwas schiefläuft.
