Anmelden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
(Bild: Artur Szczybylo/Shutterstock.com)
Zwei Sicherheitslücken bedrohen Ivanti Endpoint Manager Mobile. Sicherheitspatches schaffen Abhilfe.
Nutzen Angreifer Schwachstellen in der Geräteverwaltungssoftware Ivanti Endpoint Manager Mobile erfolgreich aus, können sie Schadcode ausführen oder sogar Befehle mit Root-Rechten absetzen.
In einer Warnmeldung führen die Entwickler aus [1], dass sie bislang keine Attacken dokumentiert haben. Eine Sicherheitslücke (CVE-2026-6973 „hoch“) betrifft die Konfigurationssteuerung. Dort können entfernte Angreifer, die aber bereits authentifiziert sein müssen, Schadcode auf Systeme schieben und ausführen.
Die Voraussetzungen sind im zweiten Fall identisch (CVE-2026-10727 „hoch“). An dieser Stelle können Angreifer Befehle mit Rootrechten ausführen. Die Entwickler versichern, die Sicherheitsprobleme in den Ausgaben 12.9.0.1, 12.8.0.3 und 12.7.0.2 gelöst zu haben.
Admins sollten die Updates zügig installieren. Cyberkriminelle haben Sicherheitslücken in Ivanti EPMM [2] in jüngster Vergangenheit häufiger angegriffen.
URL dieses Artikels:
https://www.heise.de/-11328488
Links in diesem Artikel:
Copyright © 2026 Heise Medien
(Bild: Anthropic)
Schon das Stichwort „Security Audit“ reicht: Forscher kritisieren Anthropics Fable 5, weil dessen Cybersecurity-Filter auch harmlose Anfragen ausbremsen.
Mehrere bekannte Sicherheitsforscher halten die Cybersecurity-Schranken von Anthropics neuem KI-Modell Fable 5 für zu scharf eingestellt. Sie berichten, dass die Schutzmechanismen nicht nur bei brisanten Anfragen anschlagen, sondern auch bei alltäglicher Arbeit aus Softwareentwicklung und IT-Sicherheit. Die Beispiele reichen vom Code Review über das Schreiben sicheren Codes bis hin zum Lesen eines Blogbeitrags zu einem Sicherheitsthema.
Fable 5 [1] ist die öffentlich verfügbare Variante von Anthropics neuem Spitzenmodell Mythos 5. Anders als Mythos bringt Fable vorgeschaltete Schutzmechanismen für Themen aus Cybersecurity, Biologie, Chemie sowie Distillation mit – Letzteres soll verhindern, dass das Modell zum Training konkurrierender KI-Systeme missbraucht wird. Stuft ein sogenannter Classifier eine Anfrage als heikel ein, beantwortet nicht Fable die Frage, sondern das ältere Modell Claude Opus 4.8. Damit will Anthropic verhindern, dass Angreifer die Fähigkeiten des Modells für Cyberattacken oder andere schädliche Zwecke ausnutzen. Laut Anthropics offizieller Ankündigung [2] sind die Safeguards bewusst konservativ kalibriert und treffen manchmal auch harmlose Anfragen.
Zu den Kritikern zählt Valentina „Chompie“ Palmiotti, Leiterin des Offensive-Research-Teams (XOR) bei IBM X-Force. Auf X schrieb sie [3], Fable lehne jede Anfrage ab, die auch nur am Rande mit Cybersecurity zu tun habe. Selbst harmlose Aufgaben wie das Lesen eines Blogbeitrags treffe es.
Damit beschreibt Palmiotti ein Problem, das die IT-Sicherheit als False Positive kennt: Ein Schutzmechanismus schlägt bei einer harmlosen Aktivität fälschlich Alarm. Genau diese Fehlklassifikationen werfen die Forscher den Schranken von Fable nun in großer Zahl vor.
Ähnlich äußerte sich der Cybersecurity-Experte Matt Suiche gegenüber TechCrunch [4]. Wer Fable um sicheren Code bitte, den behandle das Modell so, als gehe es um Cybersecurity statt um normale Softwareentwicklung. Suiche vermutet, dass die Filter vor allem auf Schlüsselbegriffe reagieren. Seine Kritik trifft einen Bereich, der für viele Entwickler zum Alltag gehört: sichere Authentifizierung, Schutz vor SQL-Injection oder das sichere Speichern von Zugangsdaten.
Auch der italienische Sicherheitsforscher Simone Margaritelli, in der Szene besser als „evilsocket“ bekannt, berichtet von Problemen. Auf X schrieb er [5], schon die Bitte um ein Code Review löse eine Rückstufung von Fable aus. Code Reviews gehören zu den Standardaufgaben professioneller Softwareentwicklung und helfen unter anderem dabei, Fehler und Sicherheitslücken früh zu erkennen.
Die Kritik beschränkt sich nicht auf einzelne Forscher. Der Entwickler Mehul Mohan schrieb auf X [6], Fable sei praktisch unbrauchbar, sobald Begriffe wie „cybersecurity“, „security audit“, „vulnerability“ oder die Bitte „help me make my app secure“ fielen. Diese Beispiele betreffen vor allem defensive Sicherheitsarbeit, also das Absichern eigener Systeme und Anwendungen.
Wie empfindlich die Filter reagieren, zeigen auch dokumentierte Fehlermeldungen. Der X-Nutzer @zeroxjf veröffentlichte einen Screenshot [7], in dem Fable einräumt: „Fable 5's safety measures flagged this message for cybersecurity or biology topics. They may flag safe, normal content as well. Switched to Opus 4.8.“ Anschließend verweigerte auch Opus 4.8 die Antwort und verwies auf ausgelöste Cybersecurity-Schutzmechanismen. Bemerkenswert ist vor allem der Hinweis, dass die Filter auch sichere, normale Inhalte erfassen können.
Ähnliche Beobachtungen kommen aus professionellen Sicherheitstests. Rob T. Lee, Chief AI Officer und Forschungsleiter des SANS Institute [8], berichtet, dass Fable bei seinen ersten Tests auch Aufgaben aus Incident Response, Detection Engineering und digitaler Forensik automatisch zurückgestuft hat. Beim SANS Institute handelt es sich um eine der bekanntesten Ausbildungs- und Forschungsorganisationen für IT-Sicherheit.
Explizit stellen die Forscher die Schutzmechanismen gegen Missbrauch nicht grundsätzlich infrage. Sie kritisieren aber, dass die Schranken so breit greifen, dass sie auch legitime Arbeit erfassen: Sicherheitsanalysen, Code Reviews, sicheren Code, Incident Response oder das Auswerten sicherheitsrelevanter Informationen. Ob es sich um Kinderkrankheiten einer neuen Schutzarchitektur handelt oder um ein grundsätzliches Problem bei der Abgrenzung von legitimer und schädlicher Sicherheitsarbeit, ist offen. Anthropic hat sich zu den Vorwürfen bislang nicht geäußert.
URL dieses Artikels:
https://www.heise.de/-11328448
Links in diesem Artikel:
Copyright © 2026 Heise Medien
(Bild: Tatiana Popova/Shutterstock.com)
In aktuellen Versionen haben die OpenSSL-Entwickler insgesamt 18 Sicherheitslücken geschlossen.
Die freie Software OpenSSL für SSL/TLS-Implementierungen ist verwundbar. Der Großteil der nun geschlossenen Schwachstellen ist mit dem Bedrohungsgrad „niedrig“ eingestuft. Es kann aber auch Schadcode auf Geräte gelangen. Bislang gibt es keine Hinweise auf Attacken. Das kann sich aber jederzeit ändern, sodass Admins mit der Installation der reparierten Ausgaben nicht zu lange zögern sollten.
Im Sicherheitsbereich der OpenSSL-Website listen die Entwickler die Sicherheitslücken auf [1]. Davon ist nur eine Schwachstelle (CVE-2026-45447) mit dem Bedrohungsgrad „hoch“ eingestuft. Sie steckt in der PKCS7_verify()-Funktion.
Daran können Angreifer mit einer präparierten PKCS#7-Signatur ansetzen. Bei deren Verifizierung kommt es zu einem Speicherfehler (use-after-free) und es kann Schadcode auf Systeme gelangen. Die Beschreibung der Lücke liest sich so, als seien Attacken aus der Ferne möglich.
Durch das Ausnutzen der verbleibenden Schwachstellen können Angreifer unter anderem Abstürze auslösen (etwa CVE-2026-34183 „mittel“). Ein Fehler in AuthEnvelopedData vom Cryptographic Message Service sorgt dafür, dass von Angreifern kompromittierte Nachrichten verarbeitet werden.
Außerdem können Angreifer signierte Nachrichten mit dem RSA-Schlüssel eines Opfers entschlüsseln (CVE-2026-42768 „niedrig“). Auch der Tausch eines Root-Zertifikats durch Angreifer ist vorstellbar (CVE-2026-42769 „niedrig“).
Die Enwickler versichern, die Sicherheitslücken in den folgenden Versionen geschlossen zu haben:
URL dieses Artikels:
https://www.heise.de/-11328258
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Die Philosophin Dorothea Winter warnt davor, gesellschaftliche Probleme technisch zu lösen und erklärt, warum man KI-Systemen nicht vertrauen kann.
Unternehmen werben mit „vertrauenswürdiger KI“, die europäische KI-Regulierung, der so genannte AI Act, fordert sie ebenfalls, und auch in der öffentlichen Debatte gilt Vertrauen als Gütesiegel für Sprachmodelle und Chatbots. Der Begriff hat sich längst in unserer Sprache festgesetzt. Aber das sei ein Problem, warnt die Philosophin Dorothea Winter im c't-Podcast „They Talk Tech“ mit Svea Eckert und Eva Wolfangel [1]. „Das ist ein Kategorienfehler.“ KI sei im Kern eine Technologie der Selektion, deren Kriterien sich oft nicht mehr offenlegen ließen. Dabei von Vertrauen zu sprechen, sei falsch: Vertrauen könne man allenfalls den Menschen entgegenbringen, die solche Systeme entwickeln und einhegen. „Aber dem System selbst kann und soll ich nicht vertrauen.“
Winter hat an der Berliner Humboldt-Universität zu Intentionalität und KI promoviert und lehrt an der Humanistischen Hochschule Berlin. Ihr Blick auf die Technik beginnt bei einer alten Frage: Kann eine Maschine Kunst schaffen? Ihre Antwort ist klar: Mithilfe von KI lasse sich Kunst schaffen, aber allein kann die KI das nicht. Entscheidend sei die Intentionalität, also dass ein Mensch mit einem Werk etwas aussagen wolle. „Kunst ist einer der Bereiche, in denen wir Menschen wollen, dass Menschen sie machen“, erklärt sie und verweist auf Studien, nach denen Menschen Bilder und Musik als weniger ausdrucksstark bewerten, sobald sie sie für KI-generiert halten.
Dass viele Nutzerinnen und Nutzer Chatbots dennoch wie ein menschliches Gegenüber behandeln, hält Winter nicht für einen Zufall, sondern für Konstruktion. Dinge zu beseelen sei zwar urmenschlich – auch über das störrische Auto oder die bockende Kaffeemaschine reden wir schließlich vermenschlichend. Dennoch sei allen klar, dass es sich dabei nicht um Lebewesen handele. Bei KI-Systemen hingegen verschwimme diese Grenze, und zwar mit Absicht. „Unternehmen habe diese Systeme bewusst so gebaut, dass sie so wirken und dass Menschen eine Beziehung zu ihnen aufbauen.“ Das Geschäftsmodell dahinter sei, die Aufmerksamkeit möglichst lange zu binden.
Heikel wird das für Winter dort, wo Chatbots soziale Lücken füllen sollen, etwa als niedrigschwelliger Ersatz für fehlende Therapieplätze. Im Einzelfall könne das helfen, sagt sie, insbesondere angesichts des überlasteten Gesundheitssystems. Die eigentliche Gefahr drohe dann, wenn dadurch weniger Therapieplätze angeboten werden: „Wir sollten nicht versuchen, sozialpolitische Themen und Unzulänglichkeiten technisch zu lösen.“
Dazu kommen Gefahren des sogenannten De-Skillings, also des Verlernens von Fähigkeiten, die man an Technik auslagert. Winter erinnert an skandinavische Länder, wo Bildungsforscher Kindern zeitweise die Handschrift nicht mehr beibringen wollten, weil sie später im Beruf und Alltag vor allem tippen würden. „Aber es zeigte sich, dass handschriftliches Schreiben dem Lernen nützt, auch wenn man es später kaum braucht“, sagt Winter. Ohne von Hand zu schreiben, konnten sich die Schülerinnen und Schüler manche Dinge schlechter merken. Deshalb wurde die Handschrift wieder eingeführt.
„Wir müssen als Gesellschaft entscheiden, welche Fähigkeiten wir abgeben wollen und welche nicht“, sagt sie. Natürlich sei es in Einzelfällen möglich, Irrtümer wie den mit der Handschrift zu korrigieren. „Aber gerade bei jungen Menschen und deren Zukunft sollte man sich lieber gut überlegen, was man auslagert und was nicht.“
Dazu kämen erste Forschungsergebnisse, die zeigten, dass gerade junge Menschen, die viel mit Chatbots interagierten, soziale Fähigkeiten verlernen könnten: „Wenn ich ein menschliches Gegenüber habe, dann wiederspricht mir diese Person auch mal und stimmt mir nicht nur zu.“
Und auch die Prognose, dass künftig niemand mehr selbst Texte verfassen müsse, hält Winter für falsch. Denn Texte zu schreiben sei mehr, als Informationen zu speichern: Es hilft auch, Dinge zu durchdenken. Dazu komme Kreativität: „Kreative Leistungen sind in hohem Maße Übung“, sagt Winter, „wer kreative Aufgaben an die KI auslagert, läuft Gefahr, den kreativen Muskel abzubauen und künftig keine kreative Leistung mehr umsetzen zu können.“
Zu den ganzen gesellschaftlichen Entscheidungen, die nun verhandelt werden müssten, komme das Problem der schleichenden Verantwortungsdiffusion. In komplexen technischen Strukturen wie bei der Nutzung von KI lasse sich kaum noch sagen, wer im Fehlerfall hafte: Datenlieferant, Entwicklerin, einsetzendes Unternehmen? In der Philosophie heiße das „Problem of many hands“. Diskriminiere ein KI-System zum Beispiel bei der Auswahl von Bewerberinnen wie 2018 bei Amazon, verteile sich die Schuld auf so viele Schultern, dass am Ende niemand sie trage.
„They Talk Tech“ erscheint jeden Mittwoch überall, wo es Podcasts gibt [3]. Svea Eckert und Eva Wolfangel diskutieren ein Tech-Thema oder treffen inspirierende Frauen aus und rund um die Tech-Welt.
URL dieses Artikels:
https://www.heise.de/-11327194
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Touch-Bedienung eines Mac via iPad: Es geht erstaunlich gut.
(Bild: @BLCNYY / X)
Wer testen will, wie sich ein Finger-gesteuerter Mac anfühlt, kann dies mit dem neuen macOS über einen Umweg ausprobieren: per Sidecar-Feature auf dem iPad.
Ernstzunehmenden Gerüchten zufolge arbeitet Apple schon seit Längerem an einem Notebook, das sich auf Wunsch erstmals auch alternativ per Touchscreen [1] bedienen lässt. Mit dem OLED-basierten „MacBook Ultra“ [2] könnte es bereits im Herbst auf den Markt kommen. Beobachter haben bereits prognostiziert, dass sich in macOS 27 [3], das Apple in dieser Woche vorgestellt hat, erste Hinweise auf eine Finger-Steuerung finden könnten. Und das ist tatsächlich so – wenn auch ziemlich gut versteckt.
Wer heute einen Touchscreen-Mac haben möchte, benötigt eine Krücke: einen externen, Touch-fähigen Bildschirm samt passenden Treibern beziehungsweise einer Kontrollsoftware. Zuletzt hatte es hier auch eine Anbaulösung für MacBooks [4] gegeben, die sich jedoch nach wie vor nur im „Early Access“ befindet. Apple selbst bietet eine Touch-Steuerung für Macs an: mithilfe der iPad-Funktion Sidecar [5]. Dabei wird ein vorhandenes Apple-Tablet zum zweiten Bildschirm.
Verfügbar ist die Funktion bereits seit 2019. Sie hatte allerdings einen zentralen Haken: Eine echte Touchscreen-Bedienung [6] war so nicht möglich. Zwar waren Multitouch-Gesten wie „Pinch to Zoom“ und das Scrollen mit zwei Fingern möglich, aber kein Klicken von Links, Buttons oder anderen UI-Elementen. Selbiges ging nur, wenn man einen Apple Pencil verwendete – oder eine am Mac hängende Maus oder ein Trackpad. Mit macOS 27 ändert sich das jetzt, wie Tester der ersten Developer-Betas [7] in Form von Videos [8] zeigen.
Dabei lässt sich, wenn auch auf dem iPad das neue iPadOS 27 läuft, der Mac vollständig vom Tablet aus kontrollieren, ohne dass es Zubehör braucht. Der Finger wird zum Mauszeiger: Man scrollt, wählt aus, kann Screenshotflächen mit zwei Fingern selektieren und vieles mehr. Interessanterweise geht dies schon mit macOS 27 ordentlich: Zwar verdeckt der Finger naturgemäß Schaltflächen, doch Fehltreffer kommen selten vor. Auch die Menüleiste ist steuerbar, inklusive der Menüleisten-Icons, bei denen Apple zuletzt etwas mehr Luft zwischen den Elementen eingebaut hat, was bei der Touch-Bedienung hilft.
Neben den neuen Sidecar-Features enthält macOS 27 noch weitere Indizien in Richtung Touchscreen-Mac. Dazu gehören APIs, die prüfen, ob ein Touch-Display vorhanden ist (zunächst ist das nur ein Sidecar-iPad, ob das auch mit Drittanbieter-Screens funktioniert, ist noch unklar), sowie neue Gesten, die der Mac von iPad und iPhone erbt. So gibt es in diversen Apple-Anwendungen nun eine „Pull to Refresh“-Geste, darunter Safari, Kalender, Mail, Apple News und Apple Podcasts. Damit werden Inhalte über ein Ziehgeste, die sich aktuell mit dem Trackpad durchführen lässt, aktualisiert. macOS 27 und iPadOS 27 werden im Herbst erscheinen, mit einer Public Beta ist im Juli zu rechnen.
URL dieses Artikels:
https://www.heise.de/-11328112
Links in diesem Artikel:
Copyright © 2026 Heise Medien
FTP Files auf dem Mac.
(Bild: Anders Borum)
FTP Files bringt Finder und Dateien-App das FTP-Protokoll bei. Dazu kommen seit Kurzem auch KI-Features. Wir haben die App getestet.
FTP ist ein schlankes Dateiübertragungsprotokoll, das große Dateien schnell und effizient überträgt – etwa auf einen Webserver. Von Haus aus verstehen sich weder macOS noch iOS/iPadOS auf das etablierte „File Transfer Protocol“.
Gab es früher auch für iPhone und iPad keinen Mangel an FTP-Clients, ist hier im Vergleich zu macOS das Angebot auf wenige Anwendungen zusammengeschrumpft. FTP Files steht als eine der wenigen Apps in dem Bereich gleichermaßen für macOS, iOS und iPadOS zur Verfügung.
Um Kontakt zu einem Server aufnehmen zu können, benötigt die App mindestens dessen Adresse (mit dem Port), Angaben zur Verschlüsselung der Verbindung sowie Benutzername und Passwort. Die Anwendung beherrscht verschlüsselte Verbindungen über FTPS (explizit und implizit) sowie SFTP über SSH. Auch unverschlüsselte Verbindungen sind möglich.
URL dieses Artikels:
https://www.heise.de/-11310561
Copyright © 2026 Heise Medien
Die Reallöhne sinken in den USA, während vor allem der Energiesektor für Preissprünge sorgt
(Bild: babar ali 1233/Shutterstock.com)
Die US-Inflation erreicht den höchsten Stand seit drei Jahren. Der Iran-Krieg treibt die Energiepreise – mit Folgeeffekt. Doch das könnte erst der Anfang sein.
Die US-Inflation ist im Mai auf 4,2 Prozent im Jahresvergleich gestiegen [1], wie das Bureau of Labor Statistics (BLS) des US-Arbeitsministeriums mitteilte. Gegenüber dem Vormonat legten die Verbraucherpreise um 0,5 Prozent zu, nach einem Anstieg von 0,6 Prozent im April. Damit verzeichnen die USA die stärkste Preissteigerungsrate seit drei Jahren. Der Hauptgrund ist ein massiver Anstieg der Energiepreise, der zu 60 Prozent für den monatlichen Anstieg verantwortlich ist.
Benzinpreise stiegen im Mai um 7 Prozent gegenüber dem Vormonat und liegen damit mehr als 40 Prozent über dem Niveau des Vorjahres. Laut dem amerikanischen Automobilverband AAA kostet eine Gallone Benzin derzeit 4,15 US-Dollar (umgerechnet rund 1,10 Euro pro Liter).
Zum Vergleich: Am 28. Februar, als die USA und Israel den Iran angriffen, lag der Preis noch bei 2,98 US-Dollar pro Gallone. Rohöl der Sorte Brent stieg am Mittwoch um 1,45 US-Dollar auf 92,90 US-Dollar pro Barrel, WTI-Rohöl kletterte um 1,80 US-Dollar auf 90 US-Dollar.
Während die Preise steigen, stagnieren die Löhne. Die inflationsbereinigten Reallöhne sanken im Mai um 0,1 Prozent – bereits der zweite Rückgang in Folge. CNN berichtete [2], dass der Rückgang sich im Jahresvergleich sogar auf 0,7 Prozent ausgeweitet hat, nach einem Minus von 0,3 Prozent im April.
"Amerikaner werden finanziell durch die Inflation in die Zange genommen", sagte Heather Long, Chefökonomin bei Navy Federal Credit Union. "Es sind keine schlechten Stimmungswerte mehr; es gibt echten finanziellen Druck, vor allem für Haushalte der Mittel- und Unterschicht."
Alex Jaquez, ehemaliges Mitglied des Nationalen Wirtschaftsrats unter Präsident Joe Biden, erklärte [3] gegenüber Al Jazeera: "Die hohen Preise sind gekommen, um zu bleiben. Der CPI-Wert dieses Monats bietet arbeitenden Familien keine Entlastung."
Präsident Donald Trump reagierte auf die Daten ungewöhnlich gelassen. Auf die Frage, ob die Inflationszahlen seiner Partei vor den Zwischenwahlen im November schaden könnten, entgegnete er: "Ich liebe die Inflation." Er fügte hinzu, er habe einen Plan genehmigt, Öltanker durch die Straße von Hormus zu schleusen, um den Preisanstieg abzufedern – allerdings ohne weitere Details zu nennen.
Trump zeigte sich überzeugt, dass die Preise nach dem Krieg wieder fallen würden. Im vergangenen Monat hatte er erklärt, die finanzielle Lage der Amerikaner sei für ihn kein maßgeblicher Faktor: "Ich denke nicht an die finanzielle Situation der Amerikaner. Ich denke an eine Sache: Wir können Iran nicht erlauben, eine Atomwaffe zu haben."
Der Preisschock ist unmittelbar mit dem militärischen Konflikt zwischen den USA, Israel und Iran verknüpft. Das US-Zentralkommando hatte nach eigenen Angaben in der Nacht zum Donnerstag Angriffe auf "mehrere Ziele in Iran" gestartet und diese als Selbstverteidigung bezeichnet, nachdem ein Apache-Kampfhubschrauber abgeschossen worden war.
Iran reagierte: Die Islamische Revolutionsgarde (IRGC) meldete Gegenschläge auf US-Stützpunkte in Kuwait, Bahrain und Jordanien. Iranische Medien berichteten von Angriffen auf die Hafenstadt Bandar Abbas, die Insel Qeshm sowie die Ortschaften Sirik, Minab und Karaj westlich von Teheran.
Die Angriffe stellen die weitreichendste Eskalation seit Beginn des brüchigen Waffenstillstands im April dar. Irans Militär ordnete laut lokalen Medienberichten die vollständige Schließung der Straße von Hormus für alle Schiffe an – einschließlich Öltanker und Handelsschiffe.
Diane Swonk, Chefökonomin bei KPMG, erklärte gegenüber CNN, dass die vollen Auswirkungen des Krieges auf die Lebensmittelpreise noch nicht eingepreist seien: "Die Düngemittel-, Dieselkosten, reduzierten Ernteerträge und die potenziellen Auswirkungen eines El-Niño-Phänomens – nichts davon schlägt durch, bis es in die Herbsternte und ins Jahr 2027 geht."
Sie warnte zudem vor weiteren Preistreibern: Zölle, steigende Energie- und Verpackungskosten sowie der Strombedarf des KI-Booms.
Die Inflationsdaten erhöhen den Druck auf die US-Notenbank Federal Reserve, die kommende Woche ihre erste Sitzung unter dem neuen Vorsitzenden Kevin Warsh abhält.
Warsh hatte im vergangenen Monat Jerome Powell als Fed-Chef abgelöst. Das Marktbeobachtungsinstrument CME Fed Watch geht mit einer Wahrscheinlichkeit von 96 Prozent davon aus, dass die Zinsen im Juni unverändert bei 3,5 bis 3,75 Prozent bleiben. Für Oktober wird jedoch bereits eine Wahrscheinlichkeit von rund 38 Prozent für eine Zinserhöhung um einen Viertelprozentpunkt auf 3,75 bis 4 Prozent ausgewiesen. Goldman Sachs erwartet Zinssenkungen frühestens Mitte bis Ende 2027.
An den Finanzmärkten reagierten Aktien und Gold negativ: Der S&P 500 verlor rund 1 Prozent, der Dow Jones fiel um 1,3 Prozent, der Nasdaq um 1,4 Prozent. Der Goldpreis sank um 2,6 Prozent auf 4.151,86 US-Dollar je Unze – den niedrigsten Stand seit dem 23. März. "Wir reden über die Möglichkeit von Zinserhöhungen, und das drückt den Goldpreis", erklärte Aleksandar Tomic, Associate Dean an der Boston University.
Die aktuellen Inflationsdaten sind kein vorübergehendes Phänomen, sondern das Ergebnis mehrerer sich überlagernder Schocks: ein laufender Krieg, der eine der wichtigsten Ölrouten der Welt blockiert, fünf Jahre kumulierter Preissteigerungen und strukturelle Faktoren wie der Energiebedarf durch KI-Infrastruktur.
Selbst wenn ein Waffenstillstand oder ein Abkommen mit Iran erzielt würde, rechnen Experten damit, dass es Monate dauern würde, bis die Ölversorgung wieder normalisiert ist – mit anhaltenden Störungen bis ins Jahr 2027.
Ökonom Sung Won Sohn von der Loyola Marymount University wies darauf hin, dass die Preissteigerungen bislang vor allem auf Energie konzentriert seien und sich noch nicht breit durch die Wirtschaft zögen. Doch genau dieses Szenario wird umso wahrscheinlicher, je länger der Krieg dauert.
URL dieses Artikels:
https://www.heise.de/-11328656
Links in diesem Artikel:
Copyright © 2026 Heise Medien
(Bild: Halfpoint / Shutterstock.com)
Die Rentenkommission erwägt ein Pflicht-Splitting der Ansprüche. Ein Rechenbeispiel zeigt, wie hoch die finanziellen Einbußen im Alter ausfallen.
Der Vorschlag klingt nach Gleichberechtigung, er ist aber ein Kürzungsprogramm: Die von der Bundesregierung eingesetzte Rentenkommission erwägt, die Witwenrente in ihrer bisherigen Form abzuschaffen.
An ihre Stelle soll eine Regelung treten, die an die Vermögensaufteilung im Fall einer Scheidung erinnert: Die in der Ehe erworbenen Entgeltpunkte sollen hälftig aufgeteilt werden. Dieser Vorschlag klingt fair, aber bei genauerem Hinsehen entpuppt er sich als das Gegenteil: Denn vor allem Frauen, die ohnehin schon niedrigere Renten als Männer erhalten, hätten mit erheblichen finanziellen Einbußen zu rechnen.
Aktuell zahlt die Rentenversicherung rund 5,4 Millionen Hinterbliebenenrenten. Der durchschnittliche Zahlbetrag von Altersrenten für Frauen liegt bei 955 Euro. Kommt eine Witwenrente hinzu, steigt die monatliche Rente auf 1721 Euro, legt der SoVD in seiner Stellungnahme [1] an die Rentenkommission dar.
Für Millionen Frauen im Land ist die Witwenrente damit ein Schutzwall gegen Altersarmut, aber genau den will die Kommission jetzt schleifen.
Ein konkretes Rechenbeispiel, das wir von web.de entlehnt haben [2], macht die Dimension der Kürzung greifbar:
Er hat 60 Entgeltpunkte erworben, davon 40 während der Ehe. Sie kommt auf 20 Entgeltpunkte, 10 davon aus den Ehejahren. Ohne Splitting erhält er bei einem aktuellen Rentenwert von 40,79 Euro (gültig bis 30. Juni 2026; ab 1. Juli 2026: 42,52 Euro je Entgeltpunkt) pro Entgeltpunkt eine monatliche Bruttorente von 2.447 Euro, sie bekommt 816 Euro. Solange beide leben, verteilt das Splitting die Summe lediglich anders: Er erhält 1.836 Euro, sie 1.428 Euro. Die Gesamtrente bleibt nahezu identisch.
Der entscheidende Unterschied zeigt sich erst im Todesfall. Stirbt der Mann zuerst, hätte die Witwe nach geltendem Recht Anspruch auf ihre eigene Rente von 816 Euro plus eine Witwenrente von 1.346 Euro – insgesamt 2.162 Euro monatlich.
Würden aber die Rentenpunkte [3] gesplittet, blieben ihr dagegen nur 1.428 Euro. Das sind 734 Euro weniger jeden Monat, denn nach dem Splitting erlischt ja der Anspruch auf Hinterbliebenenrente vollständig.
Der politische Kontext macht die Stoßrichtung deutlich: Kanzler Friedrich Merz nannte die gesetzliche Rente zuletzt offen nur noch eine "Basisabsicherung" [4] und drängt massiv darauf, privat vorzusorgen.
Die Rentenkommission unter Leitung von Constanze Janda und Frank-Jürgen Weise steht unter erheblichem Druck, Sparvorschläge für ein Rentensystem vorzulegen [5], das ohnehin vor massiven Finanzierungsproblemen steht. Die Witwenrente abzuschaffen zugunsten eines Pflicht-Splittings würde vermutlich Milliarden einsparen – auf Kosten derer, die ohnehin am wenigsten haben.
Sarah Vollath, rentenpolitische Sprecherin der Linken im Bundestag, nennt den Vorschlag einen "massiven Angriff auf die soziale Absicherung im Alter". Besonders betroffen seien Frauen, die im Durchschnitt weniger verdienten, häufiger in Teilzeit arbeiteten und den Großteil unbezahlter Sorgearbeit übernähmen.
"Hier muss man klar mit einer Verschlechterung der Alterssicherung von Frauen rechnen", warnt Vollath [6].
An der Misere ändert es auch nichts, dass Frauen etwa bei der Anrechnung von Kindererziehungszeiten [7] im Vorteil sind. Im Rentenrecht werden diese Zeiten nämlich automatisch der Mutter zugeordnet und Väter gehen selbst bei geteilter Betreuung leer aus.
Dennoch haben Frauen eine niedrigere Rente zu erwarten, da sie immer noch viel öfter in Teilzeit arbeiten als Männer. Und diese Lücken in der Rentenbiografie werden dann auch nicht durch die Kinderziehungszeiten kompensiert.
Die soziale Schieflage bei den Rentnern ist schon heute nicht mehr zu übersehen: Jeder fünfte Rentner gilt als armutsgefährdet [8], und gut 5,1 Millionen Babyboomern droht eine Rente unter 800 Euro [9].
Die Zahl der Senioren in Grundsicherung stieg innerhalb von fünf Jahren um rund 34 Prozent. In diese Lage hinein die Witwenrente zu streichen, verschärft das Problem – anstatt es zu lösen.
Zwar bietet das Splitting zwei Vorteile: Die Ansprüche bleiben auch bei erneuter Heirat bestehen, und Hinzuverdienste werden nicht angerechnet. Doch diese Argumente verfangen nur bei einer Minderheit.
Für die große Mehrheit der Hinterbliebenen gilt: Die Witwenrente ist finanziell überlegen. Wer heute noch darauf vertraut, dass die Ehe im Alter verlässlich vor Armut schützt, sollte genau hinschauen, welche Pläne die Kommission in den nächsten Wochen vorlegt.
URL dieses Artikels:
https://www.heise.de/-11328346
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Leere Akkus, volle Parkplätze: Wer kein Eigenheim hat, steht beim Laden oft im Regen, und das Problem wächst rasant. Aber es gibt Lösungen.
Hohe Kraftstoffpreise und neue Fördermaßnahmen pushen die Elektromobilität in Deutschland. Allein im April 2026 wurden in Deutschland 64.350 neue Elektroautos [1] zugelassen. Das entspricht einem Plus von 41,3 Prozent gegenüber dem Vorjahresmonat.
Privatkunden setzen inzwischen in gleichem Maße auf Elektromobilität wie bisher bereits Flottenkunden. Bevorzugt werden bei dieser Entwicklung Eigenheimbesitzer in den grünen Speckgürteln um die Metropolen, die sich eigene Wallboxen zum exklusiven Laden ihrer Fahrzeuge installieren können.
Wer keine eigene Lademöglichkeit auf seinem Grundstück besitzt, ist auf öffentliche Ladepunkte angewiesen. Davon gibt es inzwischen zwar eine wachsende Zahl. Doch als gewaltiges Problem der öffentlichen Ladeinfrastruktur stellt sich die Fehlbelegung der Ladepunkte als einfache Parkplätze heraus.
Deutschland hat zuletzt die Marke von 200.000 öffentlichen Ladepunkten überschritten. Das Ladesäulenregister [2] der Bundesnetzagentur enthält 149.002 Normalladepunkte und 51.253 Schnellladepunkte, die am 1. April 2026 in Betrieb waren.
Dennoch kommen heute rechnerisch bereits rund zehn Elektrofahrzeuge auf einen öffentlichen Ladepunkt, in Ballungsräumen oft sogar deutlich mehr.
Durch die Fehlbelegungen geraten die öffentlichen Ladeplätze zunehmend unter Druck. Dies trifft in erster Linie auf die Städte zu, wo immer mehr Fahrzeuge um die verfügbaren Ladepunkte konkurrieren. Hatte man mit den kostenpflichtigen Anwohnerstellplätzen eine Lösung für das reine Abstellproblem gefunden, funktioniert dies beim Laden nicht.
Als Folge treffen immer mehr E-Autos auf blockierte Ladeplätze. Jetzt sind Kommunen und Betreiber der Ladeinfrastruktur gefragt, Lösungen zu finden: Ladeplätze sollen möglichst selten blockiert, stets zum Laden verfügbar und effizient genutzt werden – nicht stundenlang von voll geladenen Fahrzeugen belegt bleiben. Andere Fahrer finden dann keinen Ladeplatz mehr.
Ähnlich wie bei der Optimierung der Stromverteilnetze könnte man auch bei der Bewirtschaftung der Ladepunkte zu einer verstärkten Digitalisierung übergehen. Viele Betreiber wissen heute gar nicht, wie ihre Ladeflächen tatsächlich genutzt werden.
Eine Digitalisierung könnte sowohl die Verfügbarkeit der Ladepunkte als auch die nach Tageszeit gestaffelten Tarife transparent bereitstellen und Ladezeitüberschreitungen gezielt sanktionieren.
Die EnBW, die eines der umfangreichsten Ladenetze mit Zugang zu über 900.000 Ladepunkten [3] in Europa betreibt, erhebt an Ladesäulen im HyperNetz eine Blockiergebühr [4], um Dauerparken zu verhindern. Diese greift nach einer ununterbrochenen Anschlussdauer von vier Stunden.
Von der Parkraumbewirtschaftung der Supermarktparkplätze kommend bieten Firmen wie Avantpark [5] digitale Systeme an, die per Kennzeichenerkennung die Ein- und Ausfahrten bei den Ladebuchten erfassen und diese Daten in Echtzeit bereitstellen. Betreiber sehen so Auslastung, Parkdauer und Nutzung einzelner Ladeplätze unmittelbar.
Ohne digitale Steuerung, so ist der Anbieter überzeugt, wird sich der steigende Druck auf öffentliche Ladeflächen langfristig kaum bewältigen lassen.
Besonders betroffen von dem Dilemma sind hoch frequentierte Standorte in Innenstädten, bei Supermärkten und Einkaufszentren oder in Parkhäusern. Dort treffen kurze Ladezyklen auf lange Standzeiten, was zu einer sinkenden Verfügbarkeit für nachfolgende Nachfrager führt.
Zudem wissen viele Ladepunktbetreiber nicht, wie ihr Angebot genutzt wird, weil es an zeitnahen Informationen zur Auslastung fehlt. Damit haben weder die betroffenen Kommunen noch die Betreiber der Ladeinfrastruktur eine Übersicht, wie ihr Angebot angenommen wird und wie häufig Ladeplätze zweckwidrig genutzt werden oder zu welchen Zeiten es regelmäßig zu Engpässen kommt.
"Ohne belastbare Echtzeitdaten lassen sich Ladeplätze langfristig kaum sinnvoll organisieren."
Mario Feghali, Director Sales & Marketing bei Avantpark Deutschland
Datensicherheit in der Ladeinfrastruktur ist essenziell, da Ladepunkte vernetzte Knotenpunkte zwischen Verkehr und kritischen Energienetzen sind. Sie umfasst den Schutz der Ladekommunikation, Authentifizierung und Benutzerdaten vor Cyberangriffen und Manipulationen, für die laut Bundesamt für Sicherheit in der Informationstechnik (BSI) strengere Sicherheitsvorgaben gelten.
Das BSI hat die IT-Sicherheit der öffentlichen Ladeinfrastruktur untersucht und im Frühjahr 2026 einen Bericht [6] dazu veröffentlicht.
Die öffentlichen Ladepunkte in Deutschland geraten offensichtlich zunehmend ins Visier von Cyberkriminellen. Von manipulierten QR-Codes über Schwachstellen im Open Charge Point Protocol (OCPP [7]) bis zur Destabilisierung des Stromnetzes reichen die Gefahren.
Cyberkriminelle überkleben beim QR-Code-Phishing oder Quishing [8] die QR-Codes auf den Säulen mit Fälschungen, um Kunden auf manipulierte, aber täuschend echt aussehende, Websites zu locken und Login- oder Bezahldaten abzugreifen.
Gegen Phishing hilft sowohl die eigene Plausibilitätskontrolle des Nutzers als auch ein durchdachtes Produktdesign. Wenn beispielsweise der QR-Code nicht auf der Säule aufgedruckt ist, sondern in einem eigene Digitaldisplay erscheint, ist ein Überkleben mit einem gefälschten Code ausgeschlossen.
URL dieses Artikels:
https://www.heise.de/-11323060
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Der Musikstreamingdienst Deezer bietet künftig die eigene KI-Erkennung für Privatkunden an. Das System analysiert Playlists von verknüpften Konten und erkennt, ob es sich bei Songs um KI-generierte Inhalte handelt. Das soll für insgesamt 20 der beliebtesten Streamingdienste funktionieren. Dazu zählen etwa Spotify, Apple Music, Youtube Music, Napster, Tidal und Soundcloud.
Generell kann der Detektor auch kostenlos genutzt werden. Allerdings müssen User ihren jeweiligen Account, auf dem sie das Tool nutzen wollen, mit Deezer verknüpfen. Dabei willigen User auch dem Sammeln einiger Daten ein. Bei Spotify will Deezer etwa Zugriff auf Kontodaten, die Aktivität, Bibliotheken und mit anderen Konten geteilte Playlists erhalten.
"Die überwiegende Mehrheit der User möchte wissen, ob ihnen KI-Musik empfohlen wird", sagt Deezer-CEO Alex Laternier. "Unsere Daten zeigen, dass fast die Hälfte der Nutzer, die von einer anderen Plattform zu Deezer wechseln, KI-Tracks in ihren Playlists haben." Das Unternehmen vertritt den Standpunkt, dass KI-Musik auch klar als solche gekennzeichnet werden soll. Laut Deezers Aussagen gilt das auch für 73 Prozent der Streaming-User.
Deezers KI-Detektor wurde bisher nur an andere Unternehmen verkauft. Möglicherweise will der Konzern durch den kostenlosen Zugang für alle User mehr Aufmerksamkeit auf die Technik lenken. Das könnte zum einen andere Streamingdienste davon überzeugen, sie bei Deezer einzukaufen. Zum anderen könnte Deezer so mehr Abonnements erhalten. Der Dienst bietet deshalb auch einfache Möglichkeiten wie den Import von Musik-Playlists an, um von einem anderen Musikstreamingdienst auf Deezer zu wechseln.
Der Kreditkartenanbieter Visa und das KI-Unternehmen OpenAI haben eine Zusammenarbeit bekanntgegeben. OpenAI kann künftig im Rahmen agentischer KI den Zahlungsdienst von Visa verwenden. Damit sollen KI-Agenten von OpenAI für Nutzer einkaufen und Produkte tatsächlich bezahlen.
Die Idee ist, dass Nutzer die KI etwa damit beauftragen, ein bestimmtes Produkt in einem gewissen Preisrahmen zu kaufen. Unbekannt ist, wie viel Provision Händler für eine derartige Transaktion zahlen müssen. ChatGPT hatte in der Vergangenheit bereits eine agentische Zahlungsfunktion: Instant Checkout.
Instant Checkout wurde allerdings im März 2026 eingestellt, auch wegen der hohen Gebühren für Händler, wie die Nachrichtenagentur AP berichtete. Händler mussten 4 Prozent der Umsätze als Gebühr zahlen.
"Da KI-Agenten sich zu aktiven Teilnehmern an der Wirtschaft entwickeln, ist es Visas Bestreben, sichere und nahtlose Transaktionen zu gewährleisten", erklärt Visas Chief Product and Strategy Officer, Jack Forestell. Agenten werden seiner Meinung nach in der Zukunft eine größere Rolle bei Onlineeinkäufen spielen.
Durch ein Regelwerk sollen die Transaktionen in geregelten Bahnen ablaufen und Missbrauch verhindert werden. Dazu zählen Ausgabelimits und die Notwendigkeit von Genehmigungen. Ob das bedeutet, dass der Kaufvorgang am Ende noch genehmigt werden muss, ist unklar.
Wie AP berichtet, will Visa Fehlkäufe nach den gleichen Regeln zu lösen versuchen wie bisher. Dabei soll etwa die Frage im Raum stehen, ob der Konsument das Produkt tatsächlich kaufen wollte.
Agenten sind seit einiger Zeit bei KI-Unternehmen sehr angesagt. Bereits in der Vergangenheit gab es Versuche, Onlineshopping mit KI anzureichern. In der Regel müssen Nutzer den Kauf am Ende aber immer noch genehmigen. Das könnte bei der integrierten Lösung von Visa und OpenAI nun entfallen.
Die Frage ist, wie stark die Nachfrage nach einer derartigen Funktion ist. Ob Konsumenten einer KI einfach die Aufgabe stellen wollen, etwa den besten Kopfhörer für maximal 150 Euro zu kaufen, ohne selbst das Produkt auszusuchen, wird sich zeigen müssen. Entscheidend wird zudem sein, wie hoch die Provision für Händler sein wird.
Microsoft hat zum Juni-Patchday eine aktiv ausgenutzte Sicherheitslücke in mehreren Versionen von Microsoft Exchange Server geschlossen. Angreifer können damit unter bestimmten Umständen bösartigen Javascript-Code in den Webbrowsern von Nutzern zur Ausführung bringen, die über Outlook Web Access (OWA) auf ihre E-Mails zugreifen. Admins sollten zügig die Juni-Patches installieren, um Anwender zu schützen.
Die besagte Sicherheitslücke ist als CVE-2026-42897 registriert, als Cross-Site-Scripting-Schwachstelle klassifiziert und erreicht mit einem CVSS-Wert von 8,1 einen hohen Schweregrad. Microsoft schätzt das Risiko sogar als "kritisch" ein und warnt davor, dass es bereits Hinweise auf eine aktive Ausnutzung der Lücke gibt.
Microsoft hatte erstmals Mitte Mai vor CVE-2026-42897 gewarnt. Damals stellte der Konzern in einem Blogbeitrag manuelle Abhilfemaßnahmen sowie eine mögliche automatische Korrektur über den Exchange Emergency Mitigation Service bereit. Dabei handelte es sich aber nur um eine "temporäre" Lösung, die Microsoft im Nachhinein noch optimiert sehen wollte.
Aus diesem Grund rät Microsoft Exchange-Admins dazu, möglichst zeitnah die Juni-Updates einzuspielen. Diese enthalten nach Angaben des Konzerns eine "dauerhafte Korrektur", die den "Qualitätsstandards des Unternehmens" entsprechen. Allzu hoch scheinen diese Qualitätsstandards angesichts vergangener Ereignisse zwar nicht zu sein, den Fix nicht anzuwenden ist aber ebenfalls keine empfehlenswerte Option.
Bereitgestellt hat Microsoft die Korrektur mit den Juni-Updates für Microsoft Exchange Server 2016, 2019 und SE (Subscription Edition). Für Exchange Server 2016 und 2019 ist jedoch für die Anwendung dieser Updates eine Teilnahme am ESU-Programm (Extended Security Updates) erforderlich. Der reguläre Support für diese Versionen wurde im Oktober 2025 eingestellt.
CVE-2026-42897 ist nur eine von Hunderten Sicherheitslücken, die Microsoft zum Juni-Patchday schloss. Unter anderem im Windows-Kernel, im Microsoft Defender und im DHCP-Client-Service von Windows wurden ebenfalls sehr gefährliche Lücken gestopft. Es lohnt sich also, Windows und andere Microsoft-Produkte auf den neuesten Stand zu bringen.
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
(Bild: AZ Delivery)
Viele angehende Maker haben in den vergangenen Jahren den Einstieg mit Produkten von AZ-Delivery gemacht. Nun schließt der vor Maker Shop seine Pforten.
Wer in den vergangenen Jahren als Maker-Einsteiger nach Arduino-Boards, ESP32-Modulen oder Sensoren gesucht hat, kam an AZ-Delivery kaum vorbei. Jetzt ist Schluss: AZ-Delivery schließt seine Türen [1]. Das Unternehmen kündigt das Ende auf der eigenen Homepage per Banner an und wirbt zum Abschied mit Rabatten für Restbestände.
2014 fühlte sich Gründer Andreas Bonacina (EDIT: Nachname korrigiert) inspiriert: Nachdem sein Bruder mehrere Wochen auf Computerteile aus China [2]gewartet hatte, entschloss er sich, ein FBA-Geschäft (Fulfillment by Amazon) zusammen aufzubauen. Innerhalb kurzer Zeit florierte das Geschäft, und Andreas konzentrierte sich zusammen mit Albert Vu auf den Aufbau seiner eigenen Marke [3] AZ Delivery. 2018 war das Unternehmen in seiner Sparte Marktführer in Deutschland. Im Dezember 2020 wurde AZ-Delivery dann an den Amazon-Aggregator SellerX verkauft.
SellerX übernahm Online-Händler, die über Amazon ihre Produkte vertrieben [4] – doch das Geschäftsmodell geriet in die Krise. Der Fall von SellerX, das von Blackrock versteigert werden sollte [5], zeigte die Schattenseiten des schnellen Wachstums: Übernahmen, Schulden und ein stagnierender Markt brachten das Modell ins Wanken. Die Geschäftsanschrift von AZ-Delivery wechselte zuletzt nach Berlin [6], zur c/o SellerX Germany GmbH.
(Bild: AZ Delivery Webshop)
In der Community war AZ-Delivery nie unumstritten. Bereits 2021 sorgte das Unternehmen für Aufsehen, als es begann, bekannte Produktbezeichnungen fremder Hersteller als Marke unter den Nagel zu reißen [7]. Laut Handelsregister-Daten wurden dutzende Wortmarken [8] angemeldet, darunter gängige Bauteilbezeichnungen wie ATMEGA328, DHT11, HC-05, HD44780, MAX7219, SSD1306, BME280 oder DS18B20 – allesamt seit Jahren in der Szene etablierte Bezeichnungen von Drittherstellern.
In Foren wurde das als „bösgläubige Markenanmeldung [9]“ diskutiert. Der Bestand solcher Marken wurde angezweifelt, da die Bezeichnungen nachweislich vor dem Eintrag im Umlauf waren. Wie viele dieser Marken tatsächlich durchgesetzt werden konnten, ist unklar.
Von großem Bedauern ist in den einschlägigen Foren wenig zu spüren. Im Thread auf Mikrocontroller.net [10] fällt der Abschied eher nüchtern aus – die Qualität der Produkte und der teils fragwürdige Umgang mit Markenrechten hatten dem Ruf geschadet. Auch im Make-Magazin-Test von verschiedenen Breadboards [11] fielen die Produkte von AZ-Delivery durch.
(Bild: AZ-Delivery)
Und doch: AZ-Delivery hat über Jahre eine Rolle gespielt, die man nicht unterschätzen sollte. Für viele angehende Maker war der Shop das Tor in die Welt des Makings mit Mikrocontrollern und dem Basteln mit Elektronik. Wer als Einsteiger bei Amazon nach „Arduino“ oder „ESP32“ suchte, landete fast unweigerlich bei AZ-Delivery – inklusive deutschsprachiger E-Books und Anleitungen, die mal brauchbar, mal weniger hilfreich waren. Die Hemmschwelle war deutlich niedriger als eine Direktbestellung bei AliExpress mit eventuell langen Lieferzeiten und chinesischer Dokumentation. So wurden die schnell verfügbaren und über Amazon lieferbaren Boards oft die pragmatische Wahl.
Wer jetzt noch zuschlagen will: Der Shop unter az-delivery.de [13] ist noch erreichbar und fast überall sind schon reduzierte Preise angezeigt. Wie viel Einsparung das gegenüber anderen Quellen bietet, sollte man aber prüfen. Wie lange der Shop noch aktiv ist, zeigt ein Banner unten auf der Seite: aktuell noch 111 Tage. Alternativen für günstige Maker-Elektronik finden sich unter anderem bei BerryBase, Eckstein-Shop oder – mit etwas Erfahrung und Geduld – direkt bei AliExpress.
URL dieses Artikels:
https://www.heise.de/-11327154
Links in diesem Artikel:
Copyright © 2026 Heise Medien
(Bild: Pincasso / Shutterstock.com)
Die Preview verbessert das Blazor Static Server Side Rendering. In C# 15.0 lassen sich Klassen nun von der Vererbung in anderen Assemblies ausschließen.
Die fünfte Vorschauversion der kommenden .NET-Version 11.0 ist gestern Abend erschienen [1]. Parallel dazu gab es auch die Version 11904.113 der für .NET 11.0 notwendigen Insiders-Variante von Visual Studio 2026 [2]. Alternativ ist eine Arbeit mit Visual Studio Code und dem im SDK mitgelieferten Kommandozeilencompiler möglich.
Bei dem in .NET 8.0 [5] eingeführten statischen serverseitigen Rendering (Blazor Static SSR), das als eine Ablösung für ASP.NET Core MVC und ASP.NET Core Razor Pages verstanden werden kann, funktioniert das Tabellensteuerelement QuickGrid, das Microsoft im NuGet-Paket Microsoft.AspNetCore.Components.QuickGrid liefert, bisher nur eingeschränkt. Lediglich bei den interaktiven Varianten Blazor Server und Blazor WebAssembly sowie Blazor Hybrid stehen alle Funktionen des QuickGrid-Steuerelements zur Verfügung.
Seit Blazor 11.0 Preview 5 ist es möglich, dass das QuickGrid-Steuerelement auch in statisch serverseitig gerenderten Blazor-Seiten sortieren und blättern kann. Wenn das Grid nicht interaktiv ist, werden die sortierbaren Spaltenüberschriften und die Seitennavigation als erweiterte HTML-Formulare gerendert, die ihren Zustand über URL-Abfrageparameter (Query String) übertragen. Lädt eine Nutzerin oder ein Nutzer die Seite neu oder kopiert die URL und öffnet sie erneut, bleiben Sortierung und aktuelle Seite erhalten. Dadurch lassen sich diese Zustände einfach per URL teilen oder als Lesezeichen speichern.
Im Schnelltest zeigte sich: In Zusammenarbeit mit Entity Framework Core als Datenquelle mit Paging in der Datenbank erzeugt das Blättern einen Laufzeitfehler: „InvalidOperationException: A second operation was started on this context instance before a previous operation completed. This is usually caused by different threads concurrently using the same instance of DbContext.“
Das folgende Beispiel funktioniert aktuell nur korrekt, wenn es immer alle Datensätze lädt und das Paging im RAM ausführt via
private List<BO.WWWings.Flight> flightSet => context.Flights.ToList();
FreshRSS @page "/QuickGridSSR"
@using Microsoft.AspNetCore.Components.QuickGrid
@using Microsoft.EntityFrameworkCore
@inject IDbContextFactory<DA.WWWings.WwwingsV1EnContext> DbFactory
@implements IAsyncDisposable
<PageTitle>QuickGrid SSR</PageTitle>
<h1>Sortieren und Paging beim QuickGrid bei Blazor Static SSR</h1>
<QuickGrid Class="table table-striped sticky-grid"
Items="@flightSet" Pagination="@pagination">
<PropertyColumn Property="@(p => p.FlightNo)" Title="FlugNr" Sortable="true" />
<PropertyColumn Property="@(p => p.Departure)" Title="Abflugort" Sortable="true">
</PropertyColumn>
<PropertyColumn Property="@(p => p.Destination)" Title="Zielort" Sortable="true">
</PropertyColumn>
<PropertyColumn Property="@(p => p.FlightDate)" Title="Datum" Format="dd.MM.yyyy" Sortable="true" />
<PropertyColumn Property="@(p => p.FreeSeats)" Title="Freie Plätze" />
</QuickGrid>
<Paginator State="@pagination" />
@code {
private readonly PaginationState pagination = new() { ItemsPerPage = 15 };
private DA.WWWings.WwwingsV1EnContext context;
private IQueryable<BO.WWWings.Flight> flightSet => context.Flights;
protected override void OnInitialized()
{
context = DbFactory.CreateDbContext();
}
// IAsyncDisposable implementieren, um den DbContext korrekt zu verwerfen, wenn die Komponente nicht mehr benötigt wird
public async ValueTask DisposeAsync()
{
if (context != null)
{
await context.DisposeAsync();
}
}
}Listing: QuickGrid mit Blazor Static SSR mit Zugriff auf eine Datenbank via Entity Framework Core
Blazor Static SSR unterstützt seit der Einführung in .NET 8.0 die in ASP.NET Core verfügbaren serverseitigen Sessions (Cookie .AspNetCore.Session mit Session-ID, Speicherung der Daten im RAM oder einem persistenten Speicher) zur Datenübergabe zwischen Seiten. Bisher mussten Entwicklerinnen und Entwickler dafür das Session-Objekt im HttpContext-Objekt verwenden und komplexe Objekte selbst per JSON serialisieren:
@inject IHttpContextAccessor HttpContextAccessor
…
var HttpContext = HttpContextAccessor.HttpContext;
var json = System.Text.Json.JsonSerializer.Serialize(regForm);
HttpContext.Session.SetString("Formulardaten", json);beziehungsweise
BO.RegistrationData daten =
System.Text.Json.JsonSerializer.Deserialize<BO.RegistrationData>(
HttpContext.Session.GetString("Formulardaten") ?? string.Empty);In .NET 11.0 Preview 5 hat Microsoft nun die Annotation [SupplyParameterFromSession] eingeführt, die die Handhabung von Session-Variablen genauso einfach macht wie von Query-String-Parametern [SupplyParameterFromQuery], Form-Daten [SupplyParameterFromForm] und TempData-Werten [SupplyParameterFromTempData], wobei letztere Annotation erst in .NET 11.0 Preview 4 eingeführt wurde [6].
Entwicklerinnen und Entwickler annotieren in einer Seite eine oder mehrere Properties mit der Annotation [SupplyParameterFromSession]. Dabei sind einfache und komplexe Datentypen möglich, während [SupplyParameterFromTempData] auch in Preview 5 weiterhin nur mit einfachen Datentypen funktioniert:
[SupplyParameterFromSession]
public string Message { get; set; }
[SupplyParameterFromSession]
public BO.RegistrationData RegData { get; set; }Session-Werte werden dabei automatisch mit System.Text.Json in JSON serialisiert.
Analoge Properties deklarieren Entwicklerinnen und Entwickler in den Folgeseiten und können dann auf die Werte ohne weiteres Zutun zugreifen. Voraussetzung ist wie bisher, dass in der Startseite die Sessions aktiviert wurden:
builder.Services.AddDistributedMemoryCache();
builder.Services.AddSession();
…
app.UseSession();Bei Blazor Static SSR fand die Validierung von Formulareingaben bisher immer serverseitig statt. Microsoft hat in .NET 11.0 Preview 5 in der blazor.web.js-Datei, die bei Blazor Static SSR im Standard eingebunden ist, die clientseitige Validierung per JavaScript ergänzt. Dabei wird wie üblich in Blazor <EditForm> mit <DataAnnotationsValidator> eingesetzt. Andere Validatoren wie Fluent Validation [7] sind optional möglich.
Beim Programmstart ist (wie bisher) notwendig:
builder.Services.AddValidation();Eine serverseitige Validierung findet aus Sicherheitsgründen weiterhin zusätzlich statt.
/// <summary>
/// Variante der Kontakt-Klasse OHNE Lokalisierung
/// </summary>
[ValidatableType]
public class ContactModel
{
[Required(ErrorMessage = "{0} ist erforderlich.")]
[StringLength(100, MinimumLength = 2, ErrorMessage = "{0} muss zwischen {2} und {1} Zeichen lang sein.")]
[Display(Name = "Name")]
public string? Name { get; set; }
[Required(ErrorMessage = "{0} ist erforderlich.")]
[EmailAddress(ErrorMessage = "{0} ist ungültig.")]
[Display(Name = "E-Mail")]
public string? Email { get; set; }
[Required(ErrorMessage = "{0} ist erforderlich.")]
[StringLength(500, MinimumLength = 10, ErrorMessage = "{0} muss zwischen {2} und {1} Zeichen lang sein.")]
[Display(Name = "Nachricht")]
public string? Message { get; set; }
}Listing: Modellklasse für die Validierung
@page "/SSRClientValidation"
@using Models
<PageTitle>Kontakt</PageTitle>
…
<div class="form-card">
<EditForm Model="contact" Enhance OnValidSubmit="HandleSubmit" FormName="ContactForm">
<DataAnnotationsValidator EnableClientValidation="true" />
<fieldset disabled="@submitted">
<div class="form-group">
<label for="name">Name</label>
<InputText id="name" class="form-control" @bind-Value="contact!.Name" />
<ValidationMessage For="() => contact!.Name" />
</div>
<div class="form-group">
<label for="email">E-Mail</label>
<InputText id="email" class="form-control" @bind-Value="contact!.Email" />
<ValidationMessage For="() => contact!.Email" />
</div>
<div class="form-group">
<label for="message">Nachricht</label>
<InputTextArea id="message" class="form-control" @bind-Value="contact!.Message" rows="4" />
<ValidationMessage For="() => contact!.Message" />
</div>
<button type="submit" class="btn btn-primary mt-2">Absenden</button>
</fieldset>
</EditForm>
@if (submitted)
{
<div class="alert alert-success mt-3">
<h3>Vielen Dank, @contact!.Name)</h3>
<p>Ihre Nachricht wurde erfolgreich empfangen.</p>
</div>
}
</div>
@code {
[SupplyParameterFromForm]
private ContactModel? contact { get; set; }
private bool submitted;
protected override void OnInitialized() => contact ??= new();
private void HandleSubmit() => submitted = true;
}Listing: Blazor-Seite mit Eingabeformular
Die folgende Abbildung zeigt die laufende Blazor-Seite im Webbrowser. Die Eingabefelder haben Zusatzattribute wie data-val-required und data-val-email, über die die clientseitige Validierung aktiviert wird.
Entwicklerinnen und Entwickler können die clientseitige Validierung ausschalten:
<DataAnnotationsValidator EnableClientValidation="false" />Für die Lokalisierung von Validierungsfehlermeldungen musste man in Blazor bisher in jeder Property in der Annotation [Display] die Eigenschaften Name und ResourceType sowie in den Validierungsannotationen ErrorMessage und ErrorMessageResourceType setzen, zum Beispiel:
[Required(ErrorMessage = nameof(Resources.ValidationMessages.RequiredError), ErrorMessageResourceType = typeof(Resources.ValidationMessages))]
[EmailAddress(ErrorMessage = nameof(Resources.ValidationMessages.EmailError))]
[Display(Name = nameof(Resources.ValidationMessages.ContactEmail))]
public string? Email { get; set; }In Blazor 11.0 lässt sich der Ressourcentyp nun zentral im Startcode festlegen, durch Aufruf der neuen Methode AddValidationLocalization() nach AddValidation():
builder.Services.AddValidation();
builder.Services.AddValidationLocalization<Resources.ValidationMessages>();Die Annotationen im Objektmodell lassen sich dann vereinfachen:
[Required(ErrorMessage = "{0} ist erforderlich.")]
[EmailAddress(ErrorMessage = "{0} ist ungültig.")]
[Display(Name = "E-Mail")]
public string? Email { get; set; }Das nächste Listing zeigt eine Klasse nun mit Annotationen für Bezeichnungsfelder und Validierungsmeldungen, die keinen Text enthalten, sondern auf eine Ressource verweisen.
[ValidatableType]
public class ContactModelLocalized
{
[Required(ErrorMessage = nameof(Resources.ValidationMessages.RequiredError))]
[StringLength(100, MinimumLength = 2, ErrorMessage = nameof(Resources.ValidationMessages.StringLengthError))]
[Display(Name = nameof(Resources.ValidationMessages.ContactName))]
public string? Name { get; set; }
[Required(ErrorMessage = nameof(Resources.ValidationMessages.RequiredError))]
[EmailAddress(ErrorMessage = nameof(Resources.ValidationMessages.EmailError))]
[Display(Name = nameof(Resources.ValidationMessages.ContactEmail))]
public string? Email { get; set; }
[Required(ErrorMessage = nameof(Resources.ValidationMessages.RequiredError))]
[StringLength(500, MinimumLength = 10, ErrorMessage = nameof(Resources.ValidationMessages.StringLengthError))]
[Display(Name = nameof(Resources.ValidationMessages.ContactMessage))]
public string? Message { get; set; }
}Listing: Modellklasse für die Validierung mit Lokalisierung
@page "/SSRClientValidationMultiLang"
@using Models
@using Microsoft.Extensions.Localization
@inject IStringLocalizer<Resources.ValidationMessages> L
<PageTitle>@L["ContactTitle"]</PageTitle>
<h1>@L["ContactTitle"]</h1>
<p>@L["ContactSubtitle"]</p>
<CultureSwitcher />
<div class="form-card">
<EditForm Model="contact" Enhance OnValidSubmit="HandleSubmit" FormName="ContactForm">
<DataAnnotationsValidator EnableClientValidation="true" />
<fieldset disabled="@submitted">
<div class="form-group">
<label for="name">@L["LabelName"]</label>
<InputText id="name" class="form-control" @bind-Value="contact!.Name" />
<ValidationMessage For="() => contact!.Name" />
</div>
<div class="form-group">
<label for="email">@L["LabelEmail"]</label>
<InputText id="email" class="form-control" @bind-Value="contact!.Email" />
<ValidationMessage For="() => contact!.Email" />
</div>
<div class="form-group">
<label for="message">@L["LabelMessage"]</label>
<InputTextArea id="message" class="form-control" @bind-Value="contact!.Message" rows="4" />
<ValidationMessage For="() => contact!.Message" />
</div>
<button type="submit" class="btn btn-primary">@L["ContactSubmitButton"]</button>
</fieldset>
</EditForm>
@if (submitted)
{
<div class="alert alert-success mt-3">
<h3>@string.Format(L["ContactSuccessTitle"].Value, contact!.Name)</h3>
<p>@L["ContactSuccessMessage"]</p>
</div>
}
</div>
@code {
[SupplyParameterFromForm]
private ContactModelLocalized? contact { get; set; }
private bool submitted;
protected override void OnInitialized() => contact ??= new();
private void HandleSubmit() => submitted = true;
}Listing: Mehrsprachiges Eingabeformular mit Validierung
Im Startcode der Anwendung braucht man dann folgende Teile:
Zum einen vor builder.Build():
#region Validation + Localization (.NET 11.0 Preview 5)
builder.Services.AddLocalization();
builder.Services.AddValidation();
builder.Services.AddValidationLocalization<Resources.ValidationMessages>();
builder.Services.Configure<RequestLocalizationOptions>(options =>
{
var supportedCultures = new[] { new CultureInfo("en-US"), new CultureInfo("de-DE"), new CultureInfo("es-ES") };
options.DefaultRequestCulture = new RequestCulture("en-US");
options.SupportedCultures = supportedCultures;
options.SupportedUICultures = supportedCultures;
options.RequestCultureProviders.Insert(0, new CookieRequestCultureProvider());
});
#endregionZum Zweiten vor app.MapStaticAssets();:
#region Validation + Localization (.NET 11.0 Preview 5)
app.UseRequestLocalization();
// Kulturumschalter für die Validierungsdemos.
// Schreibt das Cookie, das der oben konfigurierte CookieRequestCultureProvider
// bei nachfolgenden Anfragen ausliest.
// Beispiel: https://localhost:7119/Culture/Set?culture=de-DE&redirectUri=%2FValidationDemo
app.MapGet("/Culture/Set", (HttpContext context, string culture, string redirectUri) =>
{
context.Response.Cookies.Append(
CookieRequestCultureProvider.DefaultCookieName,
CookieRequestCultureProvider.MakeCookieValue(new RequestCulture(culture)),
new CookieOptions { Expires = DateTimeOffset.UtcNow.AddYears(1) });
return Results.LocalRedirect(redirectUri);
});
#endregion
Die in .NET 11.0 Preview 5 eingebaute vereinfachte Lokalisierung soll auch in Minimal WebAPIs funktionieren. Dies wurde im Schnelltest aber noch nicht geprüft und es gibt dazu in den Release Notes [8] auch kein Beispiel.
Blazor 11.0 unterstützt ab Preview 5 auch erstmals die asynchrone Validierung von Benutzereingaben. Bisher konnte man bereits Benutzereingaben gegen „langsame“ Ressourcen wie eine Datenbank oder einen Backend-Service prüfen, dies aber immer nur mit synchronen Aufrufen. Dazu gibt es nun neu in .NET 11.0 in der Klasse EditContext diese fünf Methoden:
OnValidationRequestedAsync()AddValidationTask()ValidateAsync()IsValidationPending()IsValidationFaulted()Der Ablauf ist allerdings leider sehr komplex. Daher kann aus Platzgründen hier kein Beispiel geliefert werden. Weitere Informationen und einige Ablaufdiagramme findet man auf GitHub [9]. Das Dokument „What’s new in ASP.NET Core in .NET 11 [10]“ hat Microsoft bis zum Erscheinen dieses Beitrags nicht mit einer Beschreibung des Features aktualisiert.
Eigenständige Blazor-WebAssembly-Anwendungen müssen nicht auf einem ASP.NET-Core-basierten Webserver gehostet werden, sondern können von einem einfachen Webserver ausgeliefert werden, der statische Dateien senden kann. Zur Entwicklungszeit lieferte Microsoft bisher das NuGet-Paket Microsoft.AspNetCore.Components.WebAssembly.DevServer. Ab .NET 11.0 Preview 5 tritt an diese Stelle nun das neue NuGet-Paket Microsoft.AspNetCore.Components.Gateway. Der neue Server ist dann doch ein vollständiger ASP.NET Core Host, mit dem Vorteil, dass ein Fallback für nicht gefundene Ressourcen auf /index.html erfolgt. Zudem verbessert dies das Monitoring in Aspire [11].
Für den Umstieg bestehender Projekte ersetzt man in der Projektdatei (.csproj) die Zeile
<PackageReference
Include="Microsoft.AspNetCore.Components.WebAssembly.DevServer"
Version="11.0.0-preview.5.26302.115"
PrivateAssets="all" />durch
<PackageReference
Include="Microsoft.AspNetCore.Components.Gateway"
Version="11.0.0-preview.5.26302.115"
PrivateAssets="all" />Zudem ergänzt man
<PropertyGroup>
<StaticWebAssetSpaFallbackEnabled>true</StaticWebAssetSpaFallbackEnabled>
</PropertyGroup>In neu angelegten Projekten des Typs „Blazor WebAssembly Standalone“ (dotnet new blazorwasm -o AppName) ist diese Einstellung schon vorgegeben.
Klassen (einschließlich Record-Klassen, aber keine Structs) lassen sich in C# 15.0 seit .NET 11.0 Preview 5 mit dem Schlüsselwort closed versehen. Das verhindert, dass in einer anderen Assembly eine Vererbung von der so deklarierten Klasse möglich ist. In der eigenen Assembly ist Vererbung aber möglich. Geschlossene Klassen sind automatisch auch abstract, das heißt, man kann keine Instanzen von ihnen erzeugen. Abgeleitete Klassen von geschlossenen Klassen sind nicht automatisch auch geschlossen. Details finden sich auf GitHub [12].
public closed record class Universitatsmitglied();
public record class Mitarbeiter() : Universitatsmitglied();
public record class Student(string Name) : Universitatsmitglied();
public record class Lehrkraft(string Name, string Titel) : Mitarbeiter();Listing: Bibliotheksprojekt mit vier Record-Klassen, wobei eine Klasse geschlossen ist
// 'Verwaltungsmitarbeiter': cannot use a closed type 'Universitatsmitglied' from another assembly as a base type.
// public record class Verwaltungsmitarbeiter(string Name) : Universitatsmitglied(Name);
public record class Professor(string Name, string Titel) : Lehrkraft(Name, Titel);
public record class ExStudent(string Name) : Student(Name);
internal class CS15_ClosedClass
{
// geschlossene Klasse ist automatisch abstract: Keine Instanzen möglich
// Universitatsmitglied p = new();
public void Run()
{
CUI.Demo(nameof(CS15_ClosedClass));
Universitatsmitglied s = new Student("Max Musterschüler");
Universitatsmitglied p = new Lehrkraft("Dr. Schmidt", "Professor");
CUI.Print(GetText(s));
CUI.Print(GetText(p));
}
static string GetText(Universitatsmitglied p) => p switch
{
Student => $"Student {(p as Student).Name}",
Lehrkraft => $"{(p as Lehrkraft).Titel} {(p as Lehrkraft).Name}"
};
}Listing: Client-Projekt, das die Typen aus dem Bibliotheksprojekt nutzt. Die geschlossene Klasse „Universitatsmitglied“ kann nicht direkt verwendet werden.
In .NET 11.0 Preview 5 gibt es zwei Voraussetzungen für dieses neue Sprachfeature: Zum einen muss in der Projektdatei Folgendes enthalten sein:
<LangVersion>preview</LangVersion>Zum anderen muss dieser Programmcode in dem Projekt vorhanden sein, das das neue Schlüsselwort closed verwendet. Erfahrungsgemäß wird in der kommenden Preview-Version die .NET-Klassenbibliothek diesen Programmcode bereits enthalten:
namespace System.Runtime.CompilerServices;
[AttributeUsage(AttributeTargets.Class, AllowMultiple = false, Inherited = false)]
public sealed class ClosedAttribute : Attribute { }Den direkten Start eigenständiger C#-Dateien ohne Projektdatei hatte Microsoft in .NET 10.0 unter dem Namen File-based Apps [13] eingeführt. Seit .NET 11.0 Preview 3 [14] können Entwicklerinnen und Entwickler andere C#-Dateien per #include einbinden:
#:include ./Hilfsroutinen.csDas geht aber nur, wenn diese andere C#-Datei nur Typen enthält, selbst aber keinen Startcode besitzt, sonst kommt es zum Fehler „error CS8802: Only one compilation unit can have top-level statements“. Nun ab Preview 5 kann eine File-based App eine andere File-based App mit #:ref referenzieren:
#:ref ./AndereApp.csDer Startcode in AndereApp.cs wird dann nicht ausgeführt, aber die referenzierende App kann darin enthaltene Typen wie eine Bibliothek nutzen. Voraussetzung ist aktuell diese zusätzliche Zeile in der referenzierenden File-based App:
#:property ExperimentalFileBasedProgramEnableRefDirective=trueLaut Release Notes [15] sollen .NET-SDK-CLI-Befehle wie dotnet package nun auch mit File-based Apps funktionieren. Im Schnelltest funktionierte das mit der gestern ausgelieferten Preview-5-Version nicht:
.NET-Entwicklerinnen und -Entwickler können nun in der Projektdatei aktivieren, dass sie Warnungen erhalten, falls sie eine SDK-Version verwenden, die bekannte Sicherheitslücken besitzt oder nicht mehr im Support von Microsoft ist:
<PropertyGroup>
<CheckSdkVulnerabilities>true</CheckSdkVulnerabilities>
</PropertyGroup>Die Einstellung ProcessStartInfo.KillOnParentExit, die in .NET 11.0 Preview 4 eingeführt wurde [16], funktioniert nun nicht nur auf Windows, sondern auch Linux und Android.
Die Process-Klasse hat in Preview 5 zudem eine neue Methode ReadAllLines(TimeSpan? timeout = default) erhalten, die auf synchrone Weise die Zeilen aus stdout und stderr liefert, in Form einer Liste von Objekten des Typs ProcessOutputLine mit lediglich zwei Eigenschaften StandardError (Bool) und Content (String):
var startInfo = new ProcessStartInfo("ping.exe")
{
RedirectStandardOutput = true,
RedirectStandardError = true,
};
startInfo.ArgumentList.Add("www.IT-Visions.de");
using Process process = Process.Start(startInfo)!;
foreach (ProcessOutputLine line in process.ReadAllLines())
{
if (line.StandardError) CUI.Error(line.Content);
else CUI.Print(line.Content);
}.NET kann seit Version 1.0 Zufallszahlen erzeugen. In Ergänzung zu den bestehenden Methoden Next(), NextInt64(), NextSingle() und NextDouble()
// bisherige Lösung
int alt1 = random.Next(1, 42); // 1 bis 41
long alt2 = random.NextInt64(); // >= 0.0 und < 1.0
Single alt3 = random.NextSingle(); // >= 0.0 und < 1.0
Double alt4 = random.NextDouble(); // >= 0.0 und < 1.0liefert Microsoft in .NET 11.0 mit NextInteger() und NextBinaryFloat() nun auch Varianten mit generischen Typparametern, um in einigen Situationen Fallunterscheidungen im Programmcode zu vermeiden:
// Neu in .NET 11.0
long longValue = random.NextInteger<long>(); // beliebiger Int64-Wert
int intValue = random.NextInteger<int>(1, 42); // 1 bis 41
int byteValue = random.NextInteger<byte>(3); // 0 bis 2
Half halfValue = random.NextBinaryFloat<Half>(); // >= 0.0 und < 1.0
Double doubleValue = random.NextBinaryFloat<Double>(); // >= 0.0 und < 1.0In .NET 10.0 [17] ergänzte Microsoft die LINQ-Operatoren LeftJoin() und RightJoin(). Nun in .NET 11.0 gibt es auch FullJoin(), um alle Elemente aus beiden Mengen zu erhalten, unabhängig davon, ob eine Übereinstimmung in der anderen Menge gefunden wurde oder nicht. Bisher musste man LeftJoin() und RightJoin() manuell kombinieren bzw. vor .NET 10.0 mit GroupJoin() und SelectMany() nachbilden.
CUI.H2("--- ALLE Firmen und ALLE Websites, auch wenn es kein Pendant gibt: neue Lösung mit FullJoin() ab .NET 11.0 ---");
IEnumerable<CompaniesAndWebsites> AllCompaniesWithWebsitesSet = companies.FullJoin(websites,
c => c.ID,
w => w.CompanyID,
(c, w) => new CompaniesAndWebsites { Name = c.Name, City = c.City, URL = w.URL }
);
foreach (var item in AllCompaniesWithWebsitesSet)
{
Console.WriteLine((item.Name != null ? item.Name + " " + item.City : "- keine Firma -").Trim() + " -> " + (item.URL ?? "- keine URL -"));
}Ein Schnelltest ergab, dass der neue FullJoin()-Operator in Preview 5 noch nicht bei Datenbankzugriffen mit Entity Framework Core funktioniert, das heißt, es ist keine Übersetzung von LINQ in SQL möglich. Es kommt die in diesem Fall übliche Fehlermeldung „could not be translated“.
Der JSON-Serialisierer System.Text.Json kann seit Version 10.0 JSON-Daten im Format JSON Lines [18] auslesen:
string FILENAME = "messwerte.jsonl";
await using var stream = new FileStream(FILENAME, FileMode.Open, FileAccess.Read);
var messwerte = JsonSerializer.DeserializeAsyncEnumerable<Messwert>(stream, topLevelValues: true);
await foreach (var messwert in messwerte)
{
Console.WriteLine(messwert);
}Nun in Version 11.0 können Entwicklerinnen und Entwickler das JSON-Lines-Format auch erzeugen, aus einem Stream:
await using var stream = new FileStream(FILENAME, FileMode.Create, FileAccess.Write);
await JsonSerializer.SerializeAsyncEnumerable(
stream,
GetMesswerte(),
topLevelValues: true);
stream.Close();Der objektrelationale Mapper Entity Framework Core geht nun beim Zugriff auf einen Microsoft SQL Server im Standard davon aus, dass es sich um die Server-Version 2022 (Compatibility Level 160) handelt. Zuvor war die Annahme immer Version 2019 (Compatibility Level 150). Für andere Versionen müssen Entwicklerinnen und Entwickler das Kompatibilitätslevel manuell in der Methode OnConfiguring() der Kontextklasse setzen, zum Beispiel für Version 2019:
optionsBuilder.UseSqlServer(
connectionString,
sqlServerOptions => sqlServerOptions.UseCompatibilityLevel(150));Das Kommandozeilenwerkzeug dotnet ef bietet nun die Parameter --file und --startup-file, um auch mit File-based Apps umgehen zu können, zum Beispiel:
dotnet ef dbcontext scaffold \
"Data Source=app.db" \
Microsoft.EntityFrameworkCore.Sqlite \
--file .\Model.cs \
--startup-file .\App.csDie LINQ-Operation Any() lässt sich nun auf Byte-Arrays anwenden:
public partial class Person
{
…
public byte[]? Photo { get; set; }
}
…
var ctx = new DA.WWWings.WwwingsV1EnContext();
var personenMitFoto = ctx.People
.Where(e => e.Photo.Any())
.ToList();SQL Server übersetzt dies zu:
DATALENGTH([p].[Photo]) > 0SQLite übersetzt dies zu:
length("p"."Photo") > 0In .NET MAUI [19] gibt es zahlreiche Fehlerbeseitigungen in den Steuerelementen, bei Layout und Navigation.
Die Unterstützung von Screenreadern in .NET MAUI verbessert sich durch BackButtonAccessibilityLabel bei <ContentPage NavigationPage> und BackButtonBehavior bei <Shell.BackButtonBehavior>:
<!-- Shell -->
<Shell.BackButtonBehavior>
<BackButtonBehavior AccessibilityLabel="Zurück" />
</Shell.BackButtonBehavior>
<!-- NavigationPage (wird auf der übergeordneten Seite festgelegt; wird auf die Zurück-Schaltfläche der untergeordneten Seite angewendet)
<ContentPage NavigationPage.BackButtonAccessibilityLabel="Zurück" />.NET MAUI erfordert nun bei Android als Mindestversion das API-Level 24 (Android 7.0).
.NET 11.0 soll im November 2026 erscheinen und einen Standard-Term Support von zwei Jahren erhalten. Bis dahin können Entwicklerinnen und Entwickler mit zwei weiteren Preview-Versionen (im Juli und August) sowie zwei Release-Candidate-Versionen (im September und Oktober) rechnen. heise developer wird jeweils berichten.
URL dieses Artikels:
https://www.heise.de/-11327634
Links in diesem Artikel:
Copyright © 2026 Heise Medien
(Bild: OpenProject)
Projektbezogene IDs statt globaler Nummern: OpenProject 17.5 erleichtert den Umstieg von Jira und baut die Backlog-Verwaltung für agile Teams aus.
Mit OpenProject 17.5 können Anwender erstmals zwischen zwei Arten von Kennungen für ihre Arbeitspakete wählen: einer fortlaufenden Nummerierung über die gesamte Installation oder projektbezogenen Kennungen. Vor allem große Organisationen und Teams, die von Atlassian Jira umsteigen, sollen davon profitieren. Daneben erweitert die Version die Möglichkeiten zur Anpassung agiler Backlogs und bringt kleinere Verbesserungen für Dokumentation und Besprechungsplanung.
OpenProject ist eine quelloffene Anwendung für Projektmanagement und Zusammenarbeit. Die Software unterstützt klassische und agile Projektmethoden und bietet unter anderem Aufgaben- und Ressourcenverwaltung, Gantt-Diagramme, Scrum-Backlogs sowie Funktionen für Dokumentation und Team-Arbeit. Sie läuft wahlweise als Cloud-Dienst oder im Eigenbetrieb.
Die wichtigste Neuerung von OpenProject 17.5 sind projektspezifische Arbeitspaket-Kennungen, die zunächst als Beta vorliegen. Bislang vergab OpenProject die IDs ausschließlich über eine globale Nummernfolge für die gesamte Installation. Ein Arbeitspaket erhielt etwa die Kennung „#2385“ – unabhängig davon, zu welchem Projekt es gehörte.
Künftig können Administratoren stattdessen projektbezogene Kennungen aktivieren. Diese ergänzen die ID um ein Projektkürzel und orientieren sich damit an einem Schema, das viele Anwender bereits von Jira kennen. Aus einer generischen Nummer wird so eine Kennung wie „ERP-2385“ oder „APP-4711“. Zu welchem Projekt ein Arbeitspaket gehört, lässt sich auf diese Weise sofort erkennen – das erleichtert die Orientierung in Umgebungen mit vielen Projekten.
Nach Angaben des Herstellers funktionieren bestehende numerische IDs und Verweise auch nach einer Umstellung weiter. Alte Links, Lesezeichen und Referenzen sollen weiterhin auf die jeweiligen Arbeitspakete zeigen. Die Wahl zwischen numerischen und projektspezifischen Kennungen gilt allerdings für die gesamte Installation und damit für alle Projekte.
Ein wesentlicher Grund für die neuen Kennungen sind Migrationen von Jira. Unternehmen können ihre bisherigen Jira-Issue-Keys beibehalten, wenn sie ihre Projekte nach OpenProject übertragen. So lassen sich etablierte Namenskonventionen und Referenzen in Dokumentationen, Integrationen oder Automatisierungen weiternutzen. Der Jira-Migrator übernimmt jetzt zusätzlich Fälligkeitstermine sowie geschätzte und verbleibende Arbeitsstunden.
Auch die agilen Planungsfunktionen hat OpenProject ausgebaut. Administratoren können nun einzelne Arbeitspakettypen gezielt aus Backlogs ausschließen. So sehen Teams bei der Sprint-Planung nur die Aufgaben, die für sie tatsächlich relevant sind.
Zudem hat OpenProject die Sprint- und Kartenansichten überarbeitet. Informationen wie übergeordnete Arbeitspakete, Prioritäten, Story Points, Zuständigkeiten und der Sprint-Status lassen sich dadurch schneller erfassen.
Weitere Änderungen betreffen die Dokumentation und Besprechungsplanung. Verweise auf Arbeitspakete lassen sich nun direkt in den Fließtext einbetten. In Eingabefeldern auf Basis des CKEditor reichert OpenProject solche Verweise schon während der Eingabe mit Zusatzinformationen an.
Wiederkehrende Besprechungen unterstützen außerdem neue monatliche Muster wie den ersten Montag oder den letzten Freitag eines Monats. Ändert sich ein Termin, fasst das System mehrere Änderungen in einer Benachrichtigung zusammen und reduziert so die Zahl der E-Mails.
Die Cloud-Anwendungen von OpenProject erhalten das Update seit dem 10. Juni 2026 automatisch; für selbst betriebene Instanzen stehen Anleitungen für Paket- und Docker-Installationen bereit. Alle Details listet OpenProject in den Release Notes zu Version 17.5 [1] auf.
Siehe auch:
URL dieses Artikels:
https://www.heise.de/-11327652
Links in diesem Artikel:
Copyright © 2026 Heise Medien
(Bild: GitHub)
Mit npm v12 schließt GitHub einen zentralen Angriffsweg: Installationsskripte aus Abhängigkeiten laufen ab Juli 2026 nur noch nach ausdrücklicher Freigabe.
Mit npm v12 schafft GitHub mehrere sicherheitskritische Standardeinstellungen des Node.js-Paketmanagers ab. Die für Juli 2026 angekündigte Hauptversion führt Installationsskripte aus Abhängigkeiten künftig nicht mehr automatisch aus. Auch Git- und Remote-Abhängigkeiten installiert npm nur noch, wenn Entwickler sie ausdrücklich freigeben. Damit will GitHub einen der wichtigsten Angriffswege in der Software-Lieferkette schließen: die automatische Codeausführung während eines npm install.
npm ist der Standard-Paketmanager des Node.js-Ökosystems und gehört zu den meistgenutzten Paketverwaltungen überhaupt. Moderne Anwendungen ziehen oft Hunderte oder Tausende direkte und indirekte Abhängigkeiten nach. Entsprechend groß ist die Angriffsfläche. Seit Jahren warnen Sicherheitsforscher vor Angriffen auf die Lieferkette [1], bei denen Schadcode über übernommene Pakete, gestohlene Maintainer-Konten oder manipulierte Installationsskripte in Entwicklungsumgebungen gelangt. Besonders gefährlich sind Mechanismen, die schon beim Installieren eines Pakets Code ausführen [2] – oft, bevor Entwickler die Anwendung überhaupt gestartet haben.
Genau hier setzt die wichtigste Neuerung von npm v12 an. Künftig führt der Paketmanager Installationsskripte aus Abhängigkeiten standardmäßig nicht mehr aus. Das betrifft die Lifecycle-Skripte preinstall, install und postinstall. Auch native Erweiterungen, die npm bislang automatisch über node-gyp kompiliert, baut der Paketmanager nicht mehr ohne Freigabe. Dasselbe gilt für bestimmte prepare-Skripte aus Git-, Datei- oder verlinkten Abhängigkeiten.
Bislang genügt ein einfaches npm install, um solche Skripte automatisch auszuführen. Viele Pakete nutzen den Mechanismus für legitime Zwecke, etwa um zusätzliche Binärdateien herunterzuladen oder native Komponenten zu kompilieren. Dieselbe Funktion gilt aber seit Jahren als attraktiver Angriffsweg: Über ein manipuliertes Installationsskript lässt sich Schadcode bereits während der Installation ausführen. Der Code kann zum Beispiel Umgebungsvariablen auslesen, Zugangsdaten abgreifen oder weitere Schadsoftware nachladen.
An die Stelle des automatischen Ausführens tritt ein Modell mit Freigabeliste. Entwickler bestimmen künftig selbst, welche Pakete ihre Installationsskripte ausführen dürfen. Diese Freigaben hinterlegt npm im Projekt, sodass Teams sie zusammen mit dem Quellcode versionieren können.
Wer früh umstellen will, kann das bereits tun: Schon npm 11.16.0 warnt vor Skripten, die der Paketmanager künftig blockiert. Mit dem Befehl npm approve-scripts --allow-scripts-pending lässt sich prüfen, welche Abhängigkeiten betroffen wären; mit npm approve-scripts lassen sich die vertrauenswürdigen Pakete anschließend freigeben.
Auch beim Umgang mit Git-Abhängigkeiten zieht npm die Zügel an. Pakete, die direkt aus einem Git-Repository stammen, blockiert der Paketmanager künftig standardmäßig; Entwickler müssen solche Quellen ausdrücklich erlauben. GitHub begründet den Schritt mit einem Angriffsweg, über den sich aus einer Git-Abhängigkeit heraus Code ausführen ließ – selbst dann, wenn Installationsskripte eigentlich unterdrückt waren. Hinzu kommt, dass sich Git-Abhängigkeiten generell schwerer kontrollieren lassen als Pakete aus dem regulären npm-Registry.
Eine ähnliche Hürde gilt künftig für Remote-Abhängigkeiten, also Pakete, die direkt von einer URL stammen, etwa als TAR-Archiv per HTTPS. Auch sie installiert npm nur noch nach ausdrücklicher Freigabe. Solche Abhängigkeiten umgehen die übliche Registry-Infrastruktur und erschweren es, ihre Herkunft nachzuvollziehen. GitHub will so verhindern, dass externe Quellen unbemerkt in die Abhängigkeitskette geraten.
Mehr Sicherheit bedeutet für Entwickler und Unternehmen zunächst mehr Aufwand. Wer bislang auf Installationsskripte, Git-Abhängigkeiten oder externe Paketquellen setzt, muss seine Build- und CI/CD-Prozesse prüfen und die nötigen Komponenten freigeben. GitHub rät, schon jetzt auf npm 11.16.0 oder neuer zu wechseln und die ausgegebenen Warnungen auszuwerten.
Alle Probleme der JavaScript-Lieferkette löst npm v12 allerdings nicht. Schadcode, der direkt im Anwendungscode eines Pakets steckt [3], gelangt weiterhin auf die Systeme. Auch kompromittierte Maintainer-Konten, Typosquatting oder verwundbare Bibliotheken fängt der neue Ansatz nicht ab. Für die Sicherheit von Entwicklungs- und Build-Umgebungen dürfte er dennoch eine der weitreichendsten Änderungen der vergangenen Jahre sein.
Weitere Details nennt GitHub im Changelog-Eintrag zu den anstehenden Breaking Changes für npm v12 [4].
URL dieses Artikels:
https://www.heise.de/-11327518
Links in diesem Artikel:
Copyright © 2026 Heise Medien
(Bild: Pavel Ignatov/Shutterstock.com)
Nicht alle Unternehmenskunden von Microsofts Maildienst sind betroffen. Ein Prüfdienst schafft Klarheit und zeigt die möglichen Auswirkungen.
Ein Konfigurationsfehler bei Exchange Online, den Sicherheitsforscher auf den Namen „Ghost-Sender“ getauft haben, erlaubt Spammern und Cyberkriminellen, gefälschte E-Mails an den Schutzmaßnahmen des Anbieters vorbeizuschleusen. Microsofts Sicherheitsabteilung erklärte sich für nicht zuständig – Kunden müssen sich selbst kümmern.
Nutzt ein Unternehmen einen Dienst zur Mailfilterung oder für andere Aufgaben und hat diesen im DNS als MX-Eintrag (Mail eXchange) eingetragen, gehen alle Mails zunächst dorthin. Nach der Bearbeitung durch den externen Dienst leitet dieser die E-Mails an Exchange Online (EXO) weiter, um sie den Empfängern zuzustellen. Dabei ignoriert EXO dann jedoch übliche Maßnahmen gegen Mailspoofing wie SPF und DMARC und kippt auch offensichtlich gefälschte E-Mails bei den Empfängern ab.
Das liegt im Zusammenspiel der Exchange-Online- und der externen Mailserver begründet und ist ein Konfigurationsfehler bei deren Verschaltung. Wie die Entdecker von Infoguard erläutern, gibt es mehrere Methoden der Fehlerbehebung: Man könne einen sogenannten „partner organization connector“ konfigurieren oder per Mailregeln alle E-Mail in Quarantäne verschieben, deren Header X-MS-Exchange-Organization-AuthAs nicht auf Internal gesetzt und zudem die IP-Adresse des einliefernden Mailservers unbekannt ist.
Microsofts Reaktion auf den Fehler – den heise security mit dem kostenlos verfügbaren Testprogramm [1] nachvollziehen konnte – war befremdlich. Das Microsoft Security Response Center (MSRC) – aktuell mal wieder mit Sicherheitsforschern über Kreuz [2] – wies die Infoguard-Forscher nach ihrer Meldung am 21. April 2026 ab: Es handele sich weder um eine sicherheitsrelevante Schwachstelle noch um einen Fall fürs MSRC. Daraufhin kontaktierten die Schweizer den Kundendienst des Redmonder Softwarehauses und erhielten eine Bestätigung: Tags zuvor habe man eine großangelegte Versandaktion gefälschter E-Mails festgestellt, das Problem werde also bereits von Missetätern ausgenutzt.
Dennoch passierte nichts, „Ghost-Sender“ funktioniert bis heute. Dabei tragen E-Mails mit gefälschten Absenderadressen (die in Outlooks Mailoberfläche sogar das passende Profilbild tragen) ein hohes Risiko für Betrügereien aller Art, speziell die als „Business Email Compromise [3]“ bekannte Masche.
Administratoren, die Exchange Online mit vorgelagertem Filterdienst nutzen, sollten ihre Konfiguration daher zügig auf Anfälligkeit prüfen [4] und gegebenenfalls eine der empfohlenen Gegenmaßnahmen ergreifen – in Redmond scheint man derzeit nicht der Ansicht zu sein, wegen „Ghost-Sender“ handeln zu müssen.
URL dieses Artikels:
https://www.heise.de/-11327666
Links in diesem Artikel:
Copyright © 2026 Heise Medien
