Anmelden
Schwachstellenmanagement entscheidet darüber, ob Sicherheitslücken zu Betriebsrisiken werden oder kontrolliert beherrschbar bleiben. In vielen Umgebungen reicht eine pauschale Einstufung nach CVSS jedoch nicht aus, weil Kontext, Angriffsfläche und Abhängigkeiten je System variieren. Gleichzeitig müssen Teams Informationen aus Meldungen, Scans und Pentests schnell in konkrete Entscheidungen übersetzen. Gefragt sind Kriterien, mit denen sich Risiken nachvollziehbar priorisieren und Maßnahmen realistisch planen lassen.
Dazu gehört ein Patchmanagement, das den Prozess von der Erkennung über Test und Rollout bis zur Kontrolle abbildet. Herausfordernd wird es, wenn Herstellerinformationen fehlen, wenn Schwachstellen über die Software-Supply-Chain eingehen oder ein Patch nicht kurzfristig installierbar ist. Dann sind Alternativen gefragt, die das Risiko messbar reduzieren, ohne den Betrieb zu blockieren.
Die Golem Karrierewelt bietet dafür den Workshop "1x1 des Schwachstellenmanagements: Vulnerabilities & Patches – Ein-Tages-Workshop" am 23. Juni 2026 (weiterer Termin: 7. Oktober 2026) an. Im Live-Onlineseminar stehen praxisorientierte Verfahren im Fokus, um öffentliche Schwachstellenmeldungen für die eigene IT-Umgebung einzuordnen und aus Befunden von Pentests, Red Teaming und Vulnerability Scans konkrete Maßnahmen abzuleiten.
Ein weiterer Schwerpunkt liegt auf der Bewertung von Risiken aus der Software-Supply-Chain sowie auf der Vorbereitung von Beschaffungen und Neuinstallationen, um später schnell reagieren zu können.
Die Agenda spannt den Bogen von Grundlagen des Patchmanagements über etablierte Systeme und Standards wie CVE, CVSS und CWE bis zu Informationsquellen, wenn Hersteller wenig Details liefern. Anhand eines Fallbeispiels wird der Weg von einer Meldung bis zur Entscheidung nachvollzogen. Ergänzend werden Fehlerklassen und ihre Auswirkungen je nach Umgebung diskutiert, ebenso der Umgang mit Lieferkettenrisiken.
Wenn ein Patch nicht verfügbar oder nicht einspielbar ist, erarbeiten die Teilnehmer mitigierende Maßnahmen als Alternative. Außerdem werden Vulnerabilities und Exploits reproduziert, passende Tools und Frameworks für die Analyse vorgestellt und ein aktuelles Praxisbeispiel gemeinsam bewertet und nachgestellt.
Als Dozent führt Dr. Jörg Schneider durch das Seminar. Als Sicherheitsberater vermittelt er seine Erfahrungen in praxisnahen Schulungen, Vorträgen und Lehraufträgen.
Vorausgesetzt werden Erfahrung im IT-Betrieb, in der IT-Anwendungsverantwortung und/oder in der Softwareentwicklung sowie Grundkenntnisse in IT-Security und typischen Schwachstellen. Programmierkenntnisse sind hilfreich, aber nicht notwendig. Nach Abschluss erhalten Teilnehmer eine Teilnahmebestätigung.
Wer sich vor dem Kauf für den kostenlosen Newsletter der Golem Karrierewelt anmeldet, erhält 10 Prozent Rabatt auf die erste Bestellung bei der Golem Karrierewelt.
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
Die Cybergang FulcrumSec behauptet, für den Einbruch verantwortlich zu sein.
(Bild: heise medien)
Eine Cybergang hat bei Novo Nordisk, bekannt etwa durch das Medikament Ozempic, Daten geklaut. Sensible Informationen sind darunter.
Das große Pharmaunternehmen Novo Nordisk hat einen IT-Vorfall bestätigt, bei dem die Angreifer unter anderem persönliche Informationen von internen IT-Systemen abgegriffen haben. Die Cybergang FulcrumSec behauptet nun, dafür verantwortlich zu sein und stellt ein mehr als 250 GByte großes Paket als Ausschnitt aus den geklauten Daten im Darknet als Sample bereit.
Novo Nordisk hat bereits [1] in der vergangenen Woche den Datenabfluss eingeräumt. Demnach sind etwa begrenzte Mengen an Informationen über Patienten darunter, die an klinischen Studien teilgenommen haben. Es seien keine Patientennamen oder andere direkt identifizierbare Daten darunter, versichert der Hersteller. Die kriminelle Bande FulcrumSec gibt auf ihrer Darknet-Seite an, dass es sich um Daten von etwa 11.500 pseudonymisierten Studienteilnehmern handelt. Laut Novo Nordisk umfassen die Datensätze jeweils die Patienten-ID, Geschlecht, Geburtsjahr, Biomarker, Gesundheits- und Immunogenitätsdaten und Informationen zum Lebensstil wie Alkoholkonsum, Rauchen oder etwa Body Mass Index.
Das Pharmaunternehmen hat Untersuchungen mit IT-Sicherheitsexperten gestartet und etwa Sicherheitsmaßnahmen ergriffen. Dabei wurden einige interne IT-Systeme zeitweise offline genommen. Die sollen nun wieder stückweise online gebracht werden, das soll jedoch noch etwas dauern.
Die vorgeblichen Täter von FulcrumSec führen auf ihrer Darknetseite aus, dass sie insgesamt 4748 Quellcode-Repositories, 41.144 Medikamente oder Bestandteile mitsamt deren Strukturen, mehr als 30 proprietäre KI-Modelle und 70 zugehörige Datensätze, Daten von 163.234 Angestellten und etwa das konkrete Rezept für Amycretin ergattert haben – letzteres ist ein experimentelles Medikament, das zu höherem Gewichtsverlust beitragen soll als Ozempic / Semaglutid. Angeblich sind auch fünf unveröffentlichte Programme, die nicht in Veröffentlichungen von Novo Nordisk oder SEC-Unterlagen auftauchen. Insgesamt soll die Datensammlung einen Umfang von 1,3 TByte haben.
Laut Reuters [2] fordert FulcrumSec 25 Millionen US-Dollar Lösegeld von Novo Nordisk, das Unternehmen weigert sich demnach jedoch zu zahlen. Am 3. Juni soll das Unternehmen Kontakt zu den Erpressern aufgenommen haben, etwa zwei Tage, nachdem die Täter Manager von Novo Nordisk kontaktiert hatten. Die Echtheit der Sample-Daten konnte Reuters noch nicht bestätigen; Novo Nordisk bestätigt jedoch die Veröffentlichung der Daten.
Derartige IT-Vorfälle sind nach wie vor eines der häufigsten IT-Sicherheitsprobleme. Am Dienstag wurde etwa bekannt, dass der Haushaltsroboterhersteller Ecovacs Opfer eines IT-Einbruchs [3] wurde. Auch hier drohen die Täter mit dem Verkauf der dabei erbeuteten Daten, sollte das Unternehmen kein Lösegeld zahlen.
URL dieses Artikels:
https://www.heise.de/-11335371
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Google Android-Bugdroid vor Schloss-Symbol.
(Bild: Primakov/Shutterstock.com)
Googles Entwickler haben in der Launchversion von Android 17 diverse Sicherheitslücken geschlossen.
In der neuen Androidversion 17 [1] hat Google vom Start weg 22 Softwareschwachstellen geschlossen. Angreifer hätten unter anderem Schadcode auf Geräte einschleusen können.
Das geht aus einer Warnmeldung hervor [2], die die Entwickler eigenen Angaben zufolge aus Transparenzgründen veröffentlicht haben. Daraus geht hervor, dass alle geschlossenen Lücken im Framework und System mit dem Bedrohungsgrad „hoch“ eingestuft sind.
An diesen Stellen hätten Angreifer auf nicht näher beschriebenen Wegen unter anderem Schadcode aus der Ferne ausführen, sich höhere Nutzerrechte erschleichen, vertrauliche Informationen abgreifen oder das Gerät per Denial-of-Service-Angriff lahmlegen können. Mit dem Patchlevel 2026-07-01 seien diese Sicherheitsprobleme gelöst. Die Sicherheitspatches sind auch im Android Open Source Project (AOSP) verfügbar. Ob auch andere Androidversionen von den Schwachstellen betroffen sind, geht aus der Warnmeldung nicht hervor.
Google hat Android 17 am 16. Juni für Pixel-Smartphones veröffentlicht [3].
URL dieses Artikels:
https://www.heise.de/-11335345
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Studio Buds: SDK erlaubte unerwünschte „Einwahl“.
(Bild: Apple)
Apple hat ein Loch in der Firmware eines Ohrhörers der Tochter Beats gestopft. Es ermöglichte Spionage und steckte in einem Third-Party-SDK.
Apples Beats-Ohrhörer der Variante Studio Buds [1], erschienen im Jahr 2021, enthielten eine gefährliche Sicherheitslücke. Laut Angaben von Apple selbst war es möglich, dass sich ein Angreifer in Bluetooth-Reichweite mit den Stöpseln verbinden konnte, um dann über das integrierte Mikrofon mitzulauschen. Es blieb zunächst unklar, ob dies auch in der Praxis geschah, also ein Exploit kursierte, oder es sich zunächst nur um ein theoretisches Problem handelte. Der Fehler steckte in einem Drittanbieter-SDK, das Apple für die Geräte genutzt hat. Damit die Lücke ausnutzbar wurde, mussten einige Voraussetzungen erfüllt sein – darunter die Tatsache, dass es noch kein Pairing der Stöpsel gegeben hatte und aktiv nach Pairing-Requests gesucht wurde. Es handelt sich also um eine typische „Aus der Verpackung genommen“-Situation.
Apple hat in der Nacht zum Mittwoch eine neue Firmware [2] verteilt, die die Lücke schließen soll. Der Hersteller nennt in einem Security-Dokument [3] lediglich die Studio Buds als betroffen; diese sind zum günstigen Preis von rund 80 Euro derzeit auch noch im Handel. Es gibt seit 2023 auch ein verbessertes Nachfolgemodell namens Studio Buds + [4], das Apple nicht erwähnt. Die neue, abgedichtete Firmware hört auf die Versionsnummer 1B211. Der Bug trägt die CVE-ID 2025-20701 [5] und steckt im Airoha-Bluetooth-Audio-SDK [6], das mit bestimmten Chipsätzen des Herstellers läuft – Apple bezeichnet es in seinem Sicherheitsdokument als „quelloffen“.
Die Lücke steckt noch in diversen weiteren Stöpseln und Kopfhörern [7], die nicht von Beats stammen; sie ist schon seit Mitte 2025 bekannt [8]. Warum Apple jetzt erst reagiert, bleibt unklar. Laut Airoha fehlt im Rahmen der Bluetooth-Verbindungsherstellung ein Authentifizierungsschritt (GATT), der eigentlich vorhanden sein müsste. Entdeckt wurde der Fehler von Dennis Heinze und Frieder Steinmetz von der deutschen Sicherheitsfirma ERNW GmbH aus Heidelberg. Airoha selbst ist eine Tochter des Chipherstellers MediaTek aus Taiwan.
Apples Firmware-Update für Audiogeräte lässt sich leider nach wie vor nicht erzwingen. Um auf die Firmware 1B211 zu kommen, müssen daher einige Schritte durchlaufen werden. Die automatische Aktualisierung läuft nur an, wenn die Studio Buds mit einem iPhone, iPad oder Mac verbunden sind und in der geschlossenen Hülle stecken.
Sie sollten am besten mit einem Ladegerät verbunden sein. Danach sollte man etwas warten. Die Firmware-Version lässt sich über die Systemeinstellungen überprüfen – jeweils im Bereich Bluetooth. Neben dem jeweiligen Gerät befindet sich ein Info-Knopf.
URL dieses Artikels:
https://www.heise.de/-11334945
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Wear OS 7 ist fertig.
(Bild: Google)
Das Update für Pixel Watches verspricht eine längere Akkulaufzeit, neue Widgets und „Live Updates“. Die Gemini-Intelligence-Funktionen kommen erst später.
Neben Android 17 für Smartphones und Co. [1] steht ab sofort auch Wear OS 7 für Pixel Watches zur Installation bereit. Die neue Wearable-Software kann ab sofort auf Pixel-Watch-Generationen 2 bis 4 installiert werden. Die zur I/O in Aussicht gestellten Gemini-Intelligence-Funktionen für Smartwatches sollen erst später erscheinen.
Wie Google schon im Zuge der Entwicklerkonferenz I/O 2026 erklärte [2], umfasst die neue Wear-OS-Version auf Basis von Android 17 [3] allerhand Neuerungen. Zum einen bringt sie die mit Android 16 für Smartphones eingeführten Live-Updates [4] nun ans Handgelenk.
(Bild: Google)
Laut Google [5] synchronisieren sich „Live Updates“ vom Smartphone nun mit Wear-OS-Geräten, sodass sich Aktualisierungen wie Sportergebnisse oder eine Essenslieferung sowohl auf der Uhr als auch auf dem Smartphone anzeigen lassen.
(Bild: Google)
Außerdem bringt Wear OS 7 Optimierungen bei der Mediensteuerung: Wenn ein Nutzer über sein Smartphone eine Medienwiedergabe in einer App startet, kann er automatisch festlegen, dass die Steuerelemente der Wiedergabe auf der Smartwatch angezeigt werden. Über die Watch können Nutzer zudem die Medienwiedergabe des gekoppelten Smartphones steuern, um zum Beispiel von den Lautsprechern auf Kopfhörer umzuschalten.
Sobald Googles intelligente Brillen verfügbar sind, soll es über eine Wear-OS-Uhr möglich sein, ein Foto über die in die Brille integrierte Kamera auszulösen; die Aufnahme lasse sich dann sofort mit einem Blick auf die Uhr überprüfen. Wie das funktioniert, demonstrierte Google schon auf der I/O.
(Bild: Google)
Wear OS erhält zudem ein Upgrade seiner Widget-ähnlichen Kacheln: Mit dem Update auf Wear OS 7 fügt Google seinem Uhren-OS „Wear Widgets“ hinzu, die ein wenig an Android-Widgets anmuten und sich in kleinen oder großen Layouts in 2×1- und 2×2-Formaten anpassen.
Google verspricht ferner eine Verbesserung der Akkulaufzeit um „bis zu“ 10 Prozent im Vergleich zu Wear OS 6 [6] bei durchschnittlicher Nutzung. Das Unternehmen gibt an, diesen Zuwachs mit „Verbesserungen an der Plattform“ erreicht zu haben, damit Nutzer „mehr mit ihren Lieblings-Apps machen können“.
Wear OS 7 soll Google zufolge auch eine native Fitness-Tracking-Funktion namens „Wear Workout Tracker“ erhalten. Mit dieser müssen App-Entwickler keine eigene Fitness-Tracking-Suite von Grund auf neu entwickeln. „Der Workout Tracker biete ein umfassendes, standardisiertes Trainingserlebnis“, das Herzfrequenzmessung, Mediensteuerung und eine Reihe weiterer nützlicher Funktionen umfasst. Mit diesem Feature können Entwickler den Entwicklungsaufwand reduzieren. Google arbeitet hierfür etwa mit Asics Runkeeper zusammen.
Wear OS 7 soll im Laufe des Jahres auch einige Gemini-Intelligence-Funktionen [7] erhalten. Zu diesen gehören etwa „Create My Widget“, mit dem Nutzerinnen und Nutzer mithilfe von Befehlen in natürlicher Sprache eigene Wear-OS-Widgets erstellen können. Auch sollen sich auf Wear OS 7 mehrstufige App-Automatisierungen ausführen lassen, wie etwa das Durchführen einer Reservierung oder das Aufgeben einer Bestellung in einem Restaurant.
(Bild: Google)
Außerdem führt Google mit Wear OS 7 eine AppFunctions-API ein, damit Entwickler Assistenten und Agenten wie Gemini in ihre Apps integrieren können. Google nennt als Beispiel das Starten eines Laufs über die Samsung Health-App, indem man Gemini einfach sagt: „Fang an, meinen Lauf aufzuzeichnen.“ Die Gemini-Intelligence-Funktionen sollen jedoch nur auf ausgewählten Uhren Einzug halten. Welche das sein werden, verrät Google noch nicht.
Das Update auf Wear OS 7 steht ab sofort zur Installation bereit. Falls die neue Version nicht auf Anhieb angeboten wird, kann man versuchen, das Update manuell zu initiieren. Hierfür tappt man in den Uhren-Einstellungen unter System > Systemupdates auf „Auf dem neuesten Stand“. Um den Download zu beschleunigen, öffnet man in den Einstellungen „Konnektivität“ und deaktiviert Bluetooth, damit nutzt die Uhr die WLAN-Verbindung.
URL dieses Artikels:
https://www.heise.de/-11335086
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Verschiedene iPhone-Verpackungen: Bei Apple sind einige Änderungen in Planung.
(Bild: Sebastian Trepesch / heise medien)
Einem Medienbericht zufolge plant Apple für das iPhone-Geburtstagsjahr einige Neuerungen. Betroffen sind Smartphones und Ohrstöpsel. Der A22 kommt in 1,4 nm.
Schon in diesem Jahr soll es mit dem iPhone Ultra [1] erstmals seit Langem einen komplett neuen Formfaktor für das Apple-Handy geben. Die regulären Modelle neben dem Foldable [2] (iPhone 18 / 18 Pro) ändern sich angeblich nicht. Doch hier sind für das kommende Jahr diverse Neuerungen vorgesehen, wie die Finanznachrichtenagentur Bloomberg am Dienstagabend berichtet: Zum 20. Jubiläum des iPhone stehen einige Besonderheiten an. Außerdem neu: erste AirPods-Stöpsel mit integrierter Kamera. Apple arbeite außerdem an der Nutzung eines neuen Chip-Fertigungsprozesses bei TSMC und Intel, hieß es.
Laut der Meldung [3], die vom Apple-Reporter Mark Gurman stammt, soll das Jubiläums-iPhone, das möglicherweise unter dem Namen iPhone 20 läuft, ein nahezu randloses Display mit gekrümmtem Glas an allen Seiten aufweisen. Es sind angeblich zwei Größen (6,3 und 6,9 Zoll) geplant, die dann im Herbst 2027 die in diesem Herbst geplanten Modelle iPhone 18 Pro und 18 Pro Max ablösen.
Darin läuft angeblich ein 2-Nanometer-Chip namens A21, den Apple intern als „Naxos“ bezeichnet. Neben dem Jubiläums-iPhone ist für Ende 2027 angeblich auch schon ein zweites Foldable-Modell geplant. Ob neben einem verbesserten Chip auch noch weitere Neuerungen vorgesehen sind, ist noch nicht durchgesickert. Es gibt Gerüchte, laut denen Apple bereits beim iPhone 18 Pro und 18 Pro Max mit dem A20 auf den 2-Nanometer-Prozess (Codename Borneo) wechseln wird.
Apple arbeitet außerdem weiter an AirPods Pro mit integrierter Kamera [4]. Diese sollen unter anderem für Bediengesten verwendet werden, aber auch die Umgebung des Benutzers erkennen – via Visual Intelligence. So könnte man Siri dann nach Objekten im Sichtfeld fragen. Das Aufnehmen von Videos und Fotos ist über die Kameras hingegen nicht möglich.
Schließlich will Bloomberg vernommen haben, dass Apple zusammen mit TSMC an einem ersten 1,4-Nanometer-Chip arbeitet, der bis Ende 2028 in ersten iPhones geplant ist. Zuletzt hieß es, dass bereits eine kleine Testproduktion bei Intel [5] für Apple-Chips laufe, um die TSMC-Produktion zu ergänzen. Dabei geht es aber um ältere Bauweisen. Nur TSMC hat bislang Zugriff auf die neuesten Fertigungsverfahren.
URL dieses Artikels:
https://www.heise.de/-11335204
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Studio Buds: SDK erlaubte unerwünschte „Einwahl“.
(Bild: Apple)
Apple hat ein Loch in der Firmware eines Ohrhörers der Tochter Beats gestopft. Es ermöglichte Spionage und steckte in einem Third-Party-SDK.
Apples Beats-Ohrhörer der Variante Studio Buds [1], erschienen im Jahr 2021, enthielten eine gefährliche Sicherheitslücke. Laut Angaben von Apple selbst war es möglich, dass sich ein Angreifer in Bluetooth-Reichweite mit den Stöpseln verbinden konnte, um dann über das integrierte Mikrofon mitzulauschen. Es blieb zunächst unklar, ob dies auch in der Praxis geschah, also ein Exploit kursierte, oder es sich zunächst nur um ein theoretisches Problem handelte. Der Fehler steckte in einem Drittanbieter-SDK, das Apple für die Geräte genutzt hat. Damit die Lücke ausnutzbar wurde, mussten einige Voraussetzungen erfüllt sein – darunter die Tatsache, dass es noch kein Pairing der Stöpsel gegeben hatte und aktiv nach Pairing-Requests gesucht wurde. Es handelt sich also um eine typische „Aus der Verpackung genommen“-Situation.
Apple hat in der Nacht zum Mittwoch eine neue Firmware [2] verteilt, die die Lücke schließen soll. Der Hersteller nennt in einem Security-Dokument [3] lediglich die Studio Buds als betroffen; diese sind zum günstigen Preis von rund 80 Euro derzeit auch noch im Handel. Es gibt seit 2023 auch ein verbessertes Nachfolgemodell namens Studio Buds + [4], das Apple nicht erwähnt. Die neue, abgedichtete Firmware hört auf die Versionsnummer 1B211. Der Bug trägt die CVE-ID 2025-20701 [5] und steckt im Airoha-Bluetooth-Audio-SDK [6], das mit bestimmten Chipsätzen des Herstellers läuft – Apple bezeichnet es in seinem Sicherheitsdokument als „quelloffen“.
Die Lücke steckt noch in diversen weiteren Stöpseln und Kopfhörern [7], die nicht von Beats stammen; sie ist schon seit Mitte 2025 bekannt [8]. Warum Apple jetzt erst reagiert, bleibt unklar. Laut Airoha fehlt im Rahmen der Bluetooth-Verbindungsherstellung ein Authentifizierungsschritt (GATT), der eigentlich vorhanden sein müsste. Entdeckt wurde der Fehler von Dennis Heinze und Frieder Steinmetz von der deutschen Sicherheitsfirma ERNW GmbH aus Heidelberg. Airoha selbst ist eine Tochter des Chipherstellers MediaTek aus Taiwan.
Apples Firmware-Update für Audiogeräte lässt sich leider nach wie vor nicht erzwingen. Um auf die Firmware 1B211 zu kommen, müssen daher einige Schritte durchlaufen werden. Die automatische Aktualisierung läuft nur an, wenn die Studio Buds mit einem iPhone, iPad oder Mac verbunden sind und in der geschlossenen Hülle stecken.
Sie sollten am besten mit einem Ladegerät verbunden sein. Danach sollte man etwas warten. Die Firmware-Version lässt sich über die Systemeinstellungen überprüfen – jeweils im Bereich Bluetooth. Neben dem jeweiligen Gerät befindet sich ein Info-Knopf.
URL dieses Artikels:
https://www.heise.de/-11334945
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Updatest auf dem Mac.
(Bild: Huge Ideas)
MacUpdater hat einen möglichen Nachfolger gefunden: Das Tool Updatest für macOS aktualisiert Apps und Homebrew-Pakete.
Wer unter macOS Programme von außerhalb des App Stores bezieht, muss deren Updates selbst im Blick behalten. Zwar weisen viele Programme schon beim Start auf Aktualisierungen hin, häufig passt der Zeitpunkt aber nicht. Wer sein System auf dem neuesten Stand halten will, muss zudem alle Apps einzeln starten.
Updatest durchsucht den Mac nach verfügbaren Aktualisierungen und kann sie größtenteils auch in einem Rutsch installieren. Es füllt damit die Lücke, die MacUpdater nach dem Ende der Weiterentwicklung Anfang 2026 hinterlassen hat. Das recht junge Tool zeigt sich mit einer moderneren, dreigeteilten Oberfläche und nistet sich auf Wunsch in der Menüleiste ein.
Im Hauptfenster listet Updatest nicht nur verfügbare Updates auf, sondern auch alle installierten Programme. Diese ordnet das Tool der jeweiligen Update-Quelle zu. So nutzen viele Entwickler das Sparkle-Framework, um beim Start nach Aktualisierungen zu suchen und die Installation anzustoßen.
URL dieses Artikels:
https://www.heise.de/-11310551
Copyright © 2026 Heise Medien
3D-Rendering eines SMR
(Bild: Audio und werbung/Shutterstock.com)
Strahlende Zukunft oder gefährlicher Irrtum? Warum Ministerin Reiche vom Kernkraft-Comeback im Kleinformat träumt und ein positiver Ausgang offen ist.
Was Robert Habeck als Hemmschuh galt, gilt Katherina Reiche als Chance: Die Bundeswirtschaftsministerin (CDU) treibt die Prüfung [1] sogenannter Small Modular Reactors (SMR) [2], nuklearer Klein-Reaktormodule, als neuen Baustein der deutschen Energiepolitik zur Grundstromversorgung voran – und das mit bemerkenswerter strategischer Verve.
Ihr Amtsvorgänger Robert Habeck, bekennender Atomkraftgegner [3], schaltete die letzten deutschen Meiler nach einem "Streckbetrieb" [4] seit dem russischen Angriff auf die Ukraine sukzessive ab – trotz anderslautender Fachreferentenvorschläge [5].
Die Union, damalig in der Opposition, forcierte daraufhin einen Bundestagsuntersuchungsausschuss [6] und warf Habeck vor, eine mögliche winterliche Energiemangellage bewusst riskiert zu haben. Doch dies waren späte Störgeräusche. Die Grundsatz-Debatte um die Kernkraft war, so glaubte man, beendet, denn am 15. April 2023 gingen mit Isar 2, Neckarwestheim 2 und Emsland die letzten drei Atomkraftanlagen vom Netz. [7] Nun also: alter Wein in neuen Schläuchen?
Im Februar dieses Jahres kam es zu einem denkwürdigen Auftritt auf der Münchner Sicherheitskonferenz. Im Rahmen des "Energy Security Hub" [8] – ausgerichtet von der BMW-Stiftung – trat Wirtschaftsministerin Reiche, ihres Zeichens diplomierte Chemikerin und Chemiker-Tochter, gemeinsam mit IAEA-Chef Rafael Grossi vor die Weltöffentlichkeit.
Grossi, sonst nur im Rampenlicht bei neuen Anschuldigungen gegen den Iran, war Beiwerk. Im Fokus stand die deutsche Ministerin. Zu diesem Zeitpunkt war sie bislang lediglich durch eine Teilnahme am Treffen der europäischen Nuklear-Allianz [9] als atomkraftfreundlich aufgefallen – jenes Treffen aus dem Sommer 2025 spielte jedoch in der medialen Öffentlichkeit kaum eine Rolle.
Die verbreitete Botschaft von München war eingehüllt in sicherheitspolitisches Vokabular: Energieressourcen, Resilienz, Schutz kritischer Infrastruktur. Reiche und Grossi spielten sich die Bälle zu, die Einigkeit war weitgehend [10]: Die Zukunft liege in einer "technologischen Diversifizierung", es sei an der Zeit, "neue Technologien in den Blick zu nehmen", so die Ministerin. Das Wort SMR fiel noch kaum.
Am 1. April – ein Scherz war es dennoch nicht –, ließ Reiche die Bombe konkret platzen [11]: Parallel zu Plänen für neue Gaskraftwerke erklärte sie, der Ausstieg aus der Atomkraft sei ein "schwerer Fehler" gewesen, und forderte eine Rückkehr – offen gegen die bisherige Linie ihres Parteikollegen und Kanzlers Friedrich Merz, der Atomkraft bislang ablehnte. [12] Nicht in Form der alten Großkraftwerke – sondern als Atomkraftwerke im Miniaturformat.
Reiches Strategie fußt zunächst auf fossilen Fundamenten. Die Große Koalition plante ursprünglich mindestens 20 Gigawatt starke neue Gaskraftwerke [13] – nach zähem Ringen mit der EU-Kommission einigte man sich auf Ausschreibungen für 12 Gigawatt Leistung [14], davon rund 10 Gigawatt klassische Kraftwerkskapazität.
Nach Reuters-Schätzungen könnten allein die neuen Kapazitätszahlungen die Stromkunden ab 2031 bis zu 3 Milliarden Euro jährlich kosten [15]. Das Wirtschaftsministerium verweist demgegenüber auf Netzstabilität und Versorgungssicherheit [16] als zentrale Begründung.
Zur Beruhigung der Kritiker wurde vorab lanciert, dass die Kraftwerke zunächst Erdgas nutzen, später auf Wasserstoff umgestellt und bis [17]2045 vollständig dekarbonisiert betrieben werden sollen.
Präventive Protestvorverteidigung – mit begrenztem Erfolg. Während Energiekonzerne aufs Tempo drücken wollen [18], werfen die SPD wie Umweltverbände Reiche vor, den Ausbau der Erneuerbaren auszubremsen. Dr. Nina Scheer [19], SPD-Bundestagsabgeordnete und damit Teil der Regierungskoalition,nannte [20]die Pläne einen "Bremser" statt einen "Erneuerbaren-Booster".
Ergänzend zu den Gaskraftwerken plädiert Reiche als zukünftige dritte Säule für SMR, Small Modular Reactors [21]. Der Begriff steht für Kernreaktoren mit einer elektrischen Leistung von meist bis zu 300 Megawatt [22], die modular aufgebaut und in Fabriken vorgefertigt werden sollen. Normale Kernkraftwerke leisten 1.000 bis 1.600 Megawatt und benötigen durchschnittlich ein Jahrzehnt Bauzeit. SMR sollen schneller produziert und flexibel transportiert werden sowie verschiedene Module miteinander koppeln [23] können.
Die Befürworter führen ins Feld [24]: kürzere Bauzeiten durch Serienfertigung, geringere Anschubfinanzierung, vollkommen flexible Standortwahl, CO2-armer Strom, wetterunabhängige Netzstabilität. Theoretisch überzeugend, in der Praxis jedoch kaum belegt.
Nahezu alle weltweiten SMR-Projekte befinden sich im Projektierungs-, Genehmigungs- oder Demonstrationsstadium. Die US-amerikanische Nuklearaufsicht verweist darauf, dass SMR zwar Serienfertigungsvorteile versprechen, aber unter dem Nachteil geringerer Skaleneffekte leiden [25]. Das prominenteste US-Projekt, NuScale, wurde aus Kostengründen eingestellt. Deutsche wirtschaftliche Vorteile konnten bisher nicht praktisch nachgewiesen werden.
Schwerer noch wiegt die Endlagerfrage. Eine Übersicht in der Fachzeitschrift Progress in Nuclear Energy kommt zum Ergebnis, dass einige SMR-Konzepte pro erzeugter Strommente sogar mehr radioaktive Abfälle erzeugen können [26] als heutige große Druckwasserreaktoren, zudem wird noch erforscht, inwiefern sich derlei Müll von Bisherigem ausdifferenziert. Eine gesellschaftlich akzeptierte Lösung [27] für sichere Endlagerung fehlt – in Deutschland wie weltweit.
Hinzu kommt: [28] Mehrere kleinere Reaktoren über das Bundesgebiet verteilt bieten in Spannungs- oder Kriegslagen eine kaum zu schützende Zielkulisse.
Der kritischste Punkt aber ist zeitlicher Natur. Mit Ausnahme des schwimmenden russischen Kraftwerks Akademik Lomonossow [29] in Tschukotka – in Art und Bauweise für Deutschland unvergleichbar – existieren weltweit so gut wie keine praktischen Erfahrungen im Betrieb.
China betreibt mit dem HTR-PM einen vielversprechenden Demonstrator. Doch das jüngste westliche SMR-Projekt, Rolls-Royce in Schweden [30], sieht den ersten Reaktor frühestens Mitte der 2030er Jahre vor – obwohl der Planungsprozess bereits über vier Jahren vor deutschen Ideen begann.
Selbst wenn Berlin morgen beschließen würde, alle energiepolitischen Ressourcen in SMR zu lenken: Genehmigung, Rechtsrahmen, Standortsuche und Bau würden länger dauern als das verbleibende Zeitfenster bis 2035. Für die Klimaziele 2030 sind SMR definitiv zu spät, die Zielmarke 2035 muss bezweifelt werden. Zumal die ambitionierten Pläne davon abhängen, dass die Merz-Regierung politisch überlebt und eine Nachfolgeregierung derlei Konzeption mitträgt.
Reiche betont zwar gelegentlich, man halte an den Erneuerbaren als "erster Säule" fest – kündigt zusätzliche Investitionen in Windkraft an [31] – und wolle Gas als Brückentechnologie sowie SMR lediglich als Ergänzung. Doch gleichzeitig stellt sie die EU-Klimaziele für 2050 offen infrage [32].
Die Kosten derlei strategischer Kehrtwendungen tragen am Ende die Stromkunden.
Insgesamt wirkt die SMR-Debatte weit weniger wie eine Technikdebatte als wie ein konservativer Kulturkampf über die Energiewende. Durch diesen Kniff verschiebt Reiche die Debatte von der Klima- in die Industriepolitik, Priorität Wettbewerbsfähigkeit.
Der Diskurs um "Technologieoffenheit" kommt deutlich zu spät und fokussiert auf eine riskante Atomwette, die konsequente Energiewende wird verlangsamt, Klimaziele verwässert, die Gasabhängigkeit zementiert. Wer dafür die Zeche zahlt, dürfte nicht lange eine offene Frage bleiben.
URL dieses Artikels:
https://www.heise.de/-11335146
Links in diesem Artikel:
Copyright © 2026 Heise Medien
(Bild: Strikernia / Shutterstock.com)
Alle acht Partnerländer haben F-35 bestellt – auch Deutschland und Polen. Jordan Bardella stellt sie jetzt vor die Wahl: amerikanischer Jet oder Atomschutz.
Jordan Bardella, der 30-jährige Chef des Rassemblement National und derzeit wahrscheinlichster RN-Kandidat für die Präsidentschaftswahl 2027, hat Europas Sicherheitsdebatte mit einer bemerkenswerten Forderung aufgemischt: Wer unter Frankreichs nuklearen Schutzschirm schlüpfen wolle, müsse zunächst aufhören, amerikanische F-35-Kampfjets zu kaufen – und stattdessen auf französische Rafale-Maschinen umsteigen.
Das sagte er gegenüber dem französischen Sender LCI [1] und wiederholte es in einem ausführlichen Interview mit [2] Politico.
Die Bedingung trifft auf ein konkretes Problem: Alle neun europäischen Staaten, die derzeit mit Paris über nukleare Zusammenarbeit verhandeln – Großbritannien, Deutschland, Polen, Griechenland, die Niederlande, Belgien, Dänemark, Schweden und Norwegen –, haben den F-35 von Lockheed Martin bestellt.
Griechenland ist das einzige darunter, das zusätzlich Rafale-Jets betreibt.
Bardellas Forderung könnte damit die Begeisterung für Frankreichs Nuklearinitiative erheblich dämpfen, bevor sie überhaupt richtig begonnen hat.
Wie wenig Substanz hinter dem französischen Angebot stecken könnte, macht ein polnischer Spitzenmilitär deutlich.
General Leon Komornicki, ehemaliger stellvertretender Generalstabschef der polnischen Streitkräfte, nannte die Initiative im Gespräch mit dem Portal [3] Interia eine "Täuschung" und "keine Abschreckung".
Sein Kernargument: Die Entscheidung über den Einsatz französischer Atomwaffen liegt ausschließlich beim Präsidenten in Paris. Kein Partnerland erhält Mitspracherecht, kein Verbündeter bekommt eigene Trägersysteme.
Komornicki zog dabei einen bitteren historischen Vergleich. Zu Zeiten des Warschauer Pakts hätten sich sowjetische Atomwaffen auf polnischem Gebiet befunden, und die polnische Armee habe immerhin eigene Trägersysteme für die Sprengköpfe genutzt.
"Hier hingegen müssen wir französische Trägersysteme nutzen. Sie stellen uns keine Sprengköpfe zur Verfügung, sondern wir dürfen lediglich deren Potenzial nutzen", erklärte er. Das sei weniger als das, was Polen im Kalten Krieg gehabt habe.
Frankreichs Präsident Emmanuel Macron hatte die Initiative zur "vorverlegten Abschreckung" (dissuasion avancée) in einer Rede auf dem Stützpunkt Île Longue in der Bretagne [4] vorgestellt und dabei angekündigt, die Zahl der Atomsprengköpfe im französischen Arsenal zu erhöhen.
Acht Staaten – Großbritannien, Deutschland, Polen, Griechenland, die Niederlande, Belgien, Dänemark und Schweden – beteiligten sich anfangs an Gesprächen über gemeinsame Nuklearübungen, Informationsaustausch und die mögliche vorübergehende Stationierung atomwaffenfähiger Rafale-Jets in Partnerländern.
Norwegen schloss sich später an und schloss Ende Mai sogar ein eigenes bilaterales Verteidigungsabkommen mit Paris [5], das sogenannte Narvik-Abkommen.
Bardella stellt diese Kooperation nun unter eine industriepolitische Bedingung. In seinem Politico-Interview formulierte er es unmissverständlich: "Kauft Rafales statt F-35, damit ihr euch der Extraterritorialität der USA entzieht".
Für Polen, das 32 F-35A bestellt hat und die ersten drei Maschinen bereits Ende Mai 2026 in Łask empfangen hat, käme ein solcher Schwenk einer rüstungspolitischen Kehrtwende gleich.
Artur Kacprzyk, Analyst am Polnischen Institut für Internationale Angelegenheiten (PISM), ordnete die Lage gegenüber Interia nüchterner ein: Frankreichs Angebot könne die Sicherheit erhöhen und "Russlands Kalkulationen erschweren", sei aber weder eine Garantie noch eine Alternative zur US-Abschreckung in der Nato.
Zwar komme ein massiver französischer Atomschlag auf Russland als Reaktion auf einen Angriff auf Polen nicht in Frage – doch "ein begrenzterer Gegenschlag wäre nicht mehr ausgeschlossen", so Kacprzyk, besonders dann nicht, wenn französische Soldaten durch einen russischen Atomschlag ums Leben gekommen seien.
Der zentrale Unterschied zur amerikanischen Nuklearstrategie ist laut Łukasz Maślanka, Analyst am polnischen Zentrum für Oststudien (OSW), folgender: Die USA erklären ausdrücklich, dass ihre Atomwaffen die Vereinigten Staaten und ihre Verbündeten schützen.
Die französische Doktrin geht dagegen von "vollständiger Souveränität" aus, wie Maślanka gegenüber [6] Rzeczpospolita erklärte. Die bloße Existenz des französischen Arsenals stärke zwar die Sicherheit der Verbündeten, biete diesen aber weder Garantien noch einen Schutzschirm im amerikanischen Sinne.
General Komornicki warnte zudem vor den versteckten Kosten des Angebots. "Die Franzosen werden im Gegenzug natürlich bestimmte Vorteile erwarten", sagte er und verwies auf geplatzte Rüstungsverträge wie die Caracal-Hubschrauber.
Bardellas Rafale-Forderung sei letztlich die offene Version dessen, was Paris schon länger leise verfolge. Sein Rat an Warschau: "auf drei Klavieren spielen" – dem europäischen, dem amerikanischen und dem eigenen, gestützt auf eine Allianz mit Nachbarstaaten wie Finnland, den baltischen Ländern und Rumänien.
Auch für Deutschland hat Bardellas Positionierung Konsequenzen. Berlin hat 35 F-35 bestellt und müsste sich fragen, ob ein Präsident Bardella den Zugang zur französischen Nuklearinitiative tatsächlich an den Kauf von Rafale-Jets koppelt.
Gleichzeitig nannte Bardella das Scheitern des deutsch-französischen Kampfjetprojekts FCAS [7] ein "persönliches Versagen" Macrons – eine bemerkenswerte Schuldzuweisung, zumal der RN das Programm von Anfang an bekämpft hatte. Deutschland hat inzwischen [8] eine eigene Luftfahrtstrategie vorgelegt, die einen klaren Führungsanspruch formuliert.
Parallel zu seinen rüstungspolitischen Vorstößen macht Bardella auch in der EU-Haushaltspolitik Druck. Er will Frankreichs Nettobeitrag zum EU-Haushalt einseitig halbieren [9] – von bis zu 15 Milliarden auf rund 7,5 Milliarden Euro.
Zugleich ermittelt die Europäische Staatsanwaltschaft (EPPO) gegen ihn wegen des Verdachts auf Zweckentfremdung von 130.000 Euro [10] an EU-Mitteln für Medientrainings während des Präsidentschaftswahlkampfs 2022. Bardella wies die Vorwürfe zurück und sprach von einer "falschen Anschuldigung".
Ob Bardella tatsächlich als Präsidentschaftskandidat antritt, hängt vom Berufungsurteil gegen Marine Le Pen am 7. Juli ab. Bestätigt das Gericht ihr fünfjähriges Ämterverbot, dürfte der 30-Jährige sie ersetzen – in Umfragen liegt er bereits vorn.
Was das für die europäische Sicherheitsarchitektur bedeutet, lässt sich an einer einzigen Zahl ablesen: Neun Staaten verhandeln derzeit mit Paris über nukleare Zusammenarbeit. Alle davon haben F-35 bestellt.
URL dieses Artikels:
https://www.heise.de/-11334879
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Die EU-Richtlinie zur Plattformarbeit setzt Lieferdienste unter Druck. Die Gewerkschaft NGG fordert nun ein striktes Direktanstellungsgebot.
Die Digitalisierung kann dazu führen, dass manche Beschäftigte gar keinen Arbeitsvertrag mehr haben. Vielmehr arbeiten sie selbständig und stehen unter massivem Druck – sei es bei der Bezahlung als Fahrer für Lieferdienste, sei es als Hochqualifizierte, die fachlich auf dem Laufenden bleiben müssen und sich eigenständig um ihre Weiterbildung kümmern. Lieferdienste wie Lieferando sind ein Paradebeispiel für Plattformökonomie.
Ein digitaler Marktplatz bearbeitet Kundenanfragen, eine App koordiniert das gesamte Geschäft in Echtzeit. Ein Algorithmus weist Fahrern automatisiert Aufträge zu, berechnet Routen, schätzt Lieferzeiten und bewertet die Leistung der Fahrer.
Internet-Plattformen werden auch zur Verteilung von Arbeit bei verschiedenen Unternehmen genutzt. Dies wird zunehmend von Personalvermittlern als großes Geschäftsfeld entdeckt.
"Crowdworking bedeutet einfach erklärt, dass Mitglieder einer offenen und unabhängigen Freelancer-Community (die 'Crowd') nach Bedarf und Auslastung bestimmte Arbeiten übernehmen ('Working'). Es handelt sich um eine spezifische Form von Outsourcing, bei der eine Vielzahl von einzelnen Dienstleistern einen oder mehrere feste Geschäftspartner ersetzt. Man spricht daher auch von Crowdsourcing.
Organisiert wird die Zusammenarbeit über Crowdworking-Plattformen, die wie digitale Arbeitsbörsen funktionieren: Unternehmen stellen konkrete Anfragen bzw. Angebote ein, auf welche sich die dort registrierten Mitglieder direkt bewerben können."
Im großen Stil eingeführt hat das Geschäftsmodell der Versandkonzern Amazon – dort wurden ab 2005 interne Aufgaben vergeben, die Algorithmen damals nicht zuverlässig bewältigen konnten, etwa die Prüfung und Bereinigung von Produktdaten. Dazu mussten hunderttausende Einträge bearbeitet werden.
Doch kein Algorithmus konnte die Informationen so zuverlässig und schnell der CD-Hülle entnehmen wie ein Mensch. Also entwickelte der Tech-Konzern eine Plattform, die Menschen wie ein Computerprogramm einsetzt, um die Angaben zu digitalisieren. So entstand Amazon Mechanical Turk.
Heute werben Anbieter mit Vorteilen für die Unternehmen [2], die sogenannten "Auftraggeber":
"Mit überschaubarem Aufwand erhalten sie Lösungen oder zumindest Vorschläge junger Kreativer, können Produkte und Services verbessern, kurzfristig freie Mitarbeiter:innen engagieren, Trends identifizieren, wertvolles Feedback erhalten und Ideen sammeln."
Der Vorteil dieser Verlagerung der Arbeit für die Unternehmen liegt auf der Hand. Crowdworker werden als Selbstständige eingesetzt. Sie müssen im Krankheitsfall auf Lohn verzichten, Zahlungen an die Rentenversicherung erfolgen generell nicht. Bezahlte Überstunden fallen weg.
Dabei steigt der Bedarf an diesen Fachleuten. Aktuelle Analysen zeigen, dass der "Bedarf an qualifizierten und kompetenten Crowdworker:innen zur Erfüllung hochqualifizierter Aufträge weiter steigen wird". Das berichtet der Professor für Entwicklungsstudien an der Autonomen Universität Zacatecas (Mexiko) Dario Azzellini in einem Beitrag des Buches "Crowdwork als Beruf? [3]".
Zu den anspruchsvollen Tätigkeiten zählen Softwareentwicklung und Programmierung, auch für komplexe Systemtests zur Qualitätssicherung. Neben "Data Cleaning", der Strukturierung unformatierter Datensätze, sind dies auch Übersetzungen, die Erstellung von Grafiken oder Marktforschung.
"Wie die Untersuchung zeigt, bieten zahlreiche Crowdwork-Plattformen in zunehmendem Umfang komplexere Dienstleistungen für Unternehmen an, die über die Vermittlung einzelner Freelancer hinausgehen. Sie reichen von der Übernahme der Auswahlverfahren von Freelancern, ihrer Betreuung und der Auftragsabrechnung bis hin zur Organisation ganzer Kampagnen oder Abteilungen."
Dario Azzellini
Hochqualifizierte Crowdworker müssen verfügbar sein, wenn Anfragen erfolgen – und werden in vielen Sparten internationaler Konkurrenz ausgesetzt.
"Crowdworker stehen untereinander im Wettbewerb, nur der schnellste oder beste Crowdworker wird vergütet", bemängelt [4] das "Institut für angewandte Arbeitswissenschaft" (ifaa).
Die Tätigkeiten und die Suche nach Arbeit erfordern eine "erhöhte Selbstdisziplin im Arbeitsprozess sowie eine weitgehende Selbst-Rationalisierung des eigenen Lebens, die erweiterte Selbst-Ökonomisierung durch ständige Selbstoptimierung und die Eigenvermarktung ihrer Arbeitskraft (ähnlich einer Ware) zeigen", betont Dario Azzellini.
Plattformen können Accounts oft willkürlich sperren oder Aufträge verweigern. Weiterbildung ist ein Schlüssel, um beim technologischen Wandel mithalten zu können. Anforderungen an fast alle Berufe wandeln sich rasant, der Umgang mit neuen Technologien führt zu häufigen Veränderungen. Oft bleibt aber die Weiterbildung Sache der Arbeitenden [5], die Arbeitsvermittler per Internet unterstützen kaum.
"Alle Studien stimmen darin überein, dass Crowdworker:innen kaum Zugang zu institutionellen Angeboten beruflicher Fortbildung haben und weitgehend auf sich allein gestellt sind."
Dario Azzellini
Die Problematik ist auch Thema auf europäischer Ebene. Die EU-Richtlinie zur Plattformarbeit muss von den Mitgliedstaaten bis zum 2. Dezember 2026 in nationales Recht umgesetzt werden. Die neuen Regeln zielen darauf ab, den Arbeitnehmerstatus von Plattformbeschäftigten sicherzustellen und für mehr Transparenz bei automatisierten Entscheidungssystemen zu sorgen.
Die Gewerkschaft Nahrung-Genuss-Gaststätten (NGG) fordert ein Direktanstellungsgebot bei Lieferdiensten, um im Sinne der Richtlinie zu handeln. Die Vorgabe zur Direktanstellung könnte verhindern, dass die Firmen die Einstellung mit einem Arbeitsvertrag und die daraus hervorgehenden arbeitsrechtlichen Pflichten per Crowdworking verlagern oder Subunternehmen überlassen.
Wolt, Uber Eats und Lieferando müssten dann die Kurierfahrer selbst anstellen. Bereits heute gibt es vergleichbare Regelungen, denn seit mehr als fünf Jahren sind Werkverträge und Leiharbeit in den Kernbereichen der Fleischwirtschaft verboten [6].
"Wir fordern ein Ende der Subunternehmerketten, damit wir ein Mindestmaß an gewerkschaftlicher Mitbestimmung und Arbeitssicherheit durchsetzen können", sagt Gewerkschaftssekretär Veit Groß [7] gegenüber der Tageszeitung nd.
Die NGG hat die Lieferando-Fahrer in Berlin im Mai zu einem Warnstreik aufgerufen, wie bereits im vergangenen Herbst. Die Gewerkschaft kritisiert, dass das Unternehmen mit Desinformation gegen seine Beschäftigten vorgegangen sei. Gesetzliche Forderungen erfordern einen langen Atem.
URL dieses Artikels:
https://www.heise.de/-11331885
Links in diesem Artikel:
Copyright © 2026 Heise Medien
(Bild: Jirsak / Shutterstock.com)
Der Meta-Harness Omnigent vereint KI-Agenten wie Claude Code und Codex unter einer gemeinsamen Policy- und Kollaborationsschicht – unter Apache-2.0-Lizenz.
Databricks hat mit Omnigent ein neues Open-Source-Werkzeug vorgestellt, das als sogenannter Meta-Harness über bestehenden KI-Agenten [1] wie Claude Code, Codex oder eigenen, in YAML-definierten Agenten sitzt. Das unter der Apache-2.0-Lizenz veröffentlichte Projekt soll eine einheitliche Schicht für Komposition, Governance und Zusammenarbeit bei Multi-Agenten-Workflows bereitstellen. Omnigent richtet sich damit an Engineering-Teams, die heterogene Agenten-Set-ups zentral steuern wollen, statt für jeden Provider eigene Integrations- und Sicherheitslösungen zu pflegen.
Wie das Unternehmen in seinem Blogbeitrag zur Vorstellung von Omnigent [2] erläutert, stammt die Motivation aus der eigenen praktischen Arbeit mit Agenten in einem rund 5000-köpfigen Engineering-Team sowie aus tausenden Agentenprojekten für Kunden. Die Erkenntnis: Der entscheidende Fortschritt beim Agent-Engineering verschiebt sich vom einzelnen Modell hin zu Teams aus spezialisierten Agenten. Anthropic etwa setze für sein Research-Produkt auf einen Lead-Agenten mit parallelen Sub-Agenten. Die auf KI für die Rechtsbranche zugeschnittene Anwendung Harvey kombiniere ein Open-Source-Worker-Modell mit einem Frontier-Advisor und sei so in der Lage, ein einzelnes Frontier-Modell in puncto Qualität und Kosten zu schlagen. Databricks selbst lässt sein Produkt Genie [3] unterschiedliche LLMs für Planung, Suche und Codegenerierung nutzen.
Omnigent kapselt beliebige Agenten – ob terminalbasierte Coding-Harnesses wie Claude Code, Codex, Pi und Cursor oder SDK-basierte wie OpenAI Agents und Claude SDK – in einem sogenannten Runner mit Sandbox-Session und einheitlicher API. Der Datenaustausch folgt einem simplen Prinzip: Nachrichten und Dateien fließen hinein, Textstreams und Tool-Calls heraus. Ein zentraler Server stellt darüber hinaus Policies, das Session-Management und Sharing-Funktionen bereit. Sessions lassen sich über das Terminal, lokale Web-UI (standardmäßig unter http://localhost:6767), eine macOS-Desktop-App, mobile Browser und APIs parallel nutzen.
Der Vorteil gegenüber etablierten Orchestrierungstools liegt Databricks zufolge in der strikten Trennung von Geschäftslogik und Governance. Klassische Agentenplattformen koppeln Sicherheitslogik meist eng an Prompts oder den Code eines spezifischen Frameworks. Omnigent verlagert Policies auf die Meta-Ebene – sie gelten konsistent über alle angebundenen Harnesses und Modelle hinweg, unabhängig davon, ob ein Team gerade Claude Code, Codex oder einen eigenen Runtime-Agenten nutzt. Agenten werden deklarativ in YAML-Dateien definiert, ein Harness- oder Modellwechsel ist mit einer einzigen Zeilenänderung möglich. Das Omnigent-GitHub-Repository [6] enthält neben dem Quellcode auch Beispielagenten für typische Coding-Workflows.
Besonders ausführlich dokumentiert Databricks die Built-in-Policies für Sicherheit und Kostenkontrolle [7]. Anders als einfache Allow/Deny-Mechanismen verfolgen diese dynamisch den Sitzungszustand und treffen kontextabhängige Entscheidungen. So kann eine Policy beispielsweise erzwingen, dass ein Agent nach dem Download eines neuen npm-Pakets vor einem git push eine Bestätigung durch einen Menschen einholen muss.
Für den Einsatz in regulierten Branchen sind die Policies granular konfigurierbar: Die Richtlinie enforce_sandbox erlaubt es, für Entwicklungs-, Test- und Produktionsumgebungen unterschiedliche Sandbox-Konfigurationen mit spezifischen Dateipfaden, Netzwerkregeln und Schreibrechten durchzusetzen. Dedizierte Policies für GitHub, Google Drive, Gmail und Google Calendar definieren im Detail, welche Repositories, Branches, Dateien oder E-Mail-Operationen ein Agent nutzen darf – etwa nur Lesezugriff in Prod-Repos oder E-Mail-Entwürfe ohne Sendeerlaubnis. Die Policy deny_pii_in_llm_request scannt ausgehende Nachrichten auf personenbezogene Daten und blockiert oder setzt ein Flag vor dem LLM-Aufruf – ein Baustein für DSGVO-konforme Setups. Hinzu kommen Risikoscores, die anhand von Tool-Aufrufen und Sensitivitätslabels einen kumulierten Wert aufbauen und ab einem konfigurierbaren Schwellenwert die Freigabe durch einen Menschen verpflichtend machen.
Auf der Dokumentationsseite zu den Cost-Control-Policies [8] finden sich Mechanismen, die kumulative LLM-Kosten pro Session oder pro Nutzer über alle Sessions hinweg verfolgen. Bei einem als weich definierten Schwellenwert fragt die Policy cost_budget nach und blockiert teure Modelle aber beim Überschreiten eines harten Limits. So lässt sich beispielsweise ein Agent nach jeweils 100 US-Dollar angefallenen LLM-Kosten anhalten. Die Richtlinie deny_trivial_to_expensive_model stuft Anfragen automatisch in trivial versus komplex ein und routet einfache Tasks weg von teuren Modellen.
Dieser Routing-Mechanismus unterstützt zugleich eine Multi-Provider-Strategie. Omnigent bringt keine eigenen LLMs mit, sondern arbeitet mit vorhandenen Credentials – von direkten API-Keys über Cloud-Gateways bis hin zu On-Premises-Clustern. In der Dokumentation zu den Custom Agents [9] zeigt sich, dass ein Modellwechsel in der YAML-Konfiguration nur eine einzige Zeile betrifft. Für Unternehmen, die derzeit stark von einem einzelnen LLM-Provider abhängig sind, reduziert das den Lock-in: Sessions, Policies und Skills sind an die Meta-Harness-Schicht gebunden, nicht an ein bestimmtes Modell. Investitionen in Governance und Sicherheitsrichtlinien bleiben bei einem Providerwechsel erhalten.
Die Installationswege reichen vom Shell-Skript und pip install 'omnigent' über Homebrew bis zur Git-Installation. Vorausgesetzt werden Python 3.12 oder neuer, Node.js 22 LTS, git und tmux; unter Linux zusätzlich bubblewrap für das OS-Sandboxing, macOS nutzt seatbelt. Für kleine Teams genügt laut Databricks eine lokale Installation mit eigenen API-Keys und einer optionalen Cloud-Sandbox über Modal oder Daytona. Mittelgroße Engineering-Teams können einen zentral bereitgestellten Omnigent-Server auf Fly.io oder Railway betreiben, angebunden an SSO und interne LLM-Gateways, mit differenzierten Richtlinien je nach Projekt und Umgebung.
Für größere Enterprise-Set-ups mit potenziell hunderten Agenten sieht die Architektur mandantenfähige Serverinstanzen vor. Standardisierte YAML-Agent-Definitionen lassen sich versioniert über Git ausrollen, während zentrale Security-Teams Policies wie PII-Filter, Sandbox-Erzwingung und Risikoscores vorgeben. Die Kollaborationsfunktionen – Live-Sessions per URL teilen, gemeinsamer Dateisystem-Workspace, Echtzeit-Kommentare – sind dabei von Anfang an integriert, statt sie nachträglich aufzusetzen. Konkrete Referenz-Deployments in dieser Größenordnung dokumentiert Databricks allerdings bislang nicht.
Omnigent befindet sich in einem frühen Stadium. Unternehmen sollten den Einsatz zunächst in weniger kritischen Umgebungen erproben und eigene Code-Audits sowie die Integration in bestehendes Monitoring einplanen.
URL dieses Artikels:
https://www.heise.de/-11334159
Links in diesem Artikel:
Copyright © 2026 Heise Medien
(Bild: evkaz/Shutterstock.com)
Mindestens 15 Plug-ins für JetBrains-IDEs übermitteln API-Keys an einen externen Server. Dabei bieten sie ansonsten die versprochenen Funktionen.
Auf dem offiziellen Marktplatz von JetBrains sind Plug-ins aufgetaucht, die API-Keys für KI-Modelle abgreifen. Sie enthalten keinen typischen Schadcode, der den Rechner nach Credentials durchsucht, sondern übermitteln einen manuell eingegebenen Key an einen externen Server.
Die Plug-ins für die JetBrains-Entwicklungsumgebungen wie IntelliJ IDEA verhalten sich grundsätzlich wohl wie in der Beschreibung angegeben: Sie verwenden Sprachmodelle für Code-Reviews, Unit Tests, das Auffinden von Bugs und weitere Funktionen.
Beim Schreiben dieser Meldung waren zumindest einige der betroffenen Plug-ins noch im JetBrains Marketplace zu finden.
Um die Sprachmodelle nutzen zu können, fragen sie einen API-Key unter anderem für DeepSeek, OpenAI und SiliconFlow ab. Diesen Key übermitteln sie direkt nach der Eingabe an einen externen Server.
Das auf Supply-Chain-Security spezialisierte Unternehmen Aikido hat 15 Pakete entdeckt [2], die die Daten alle als unverschlüsselten Text via HTTP an dieselbe IP-Adresse (39.107.60[.]51) übertragen. Die Angreifer verwenden keine Methoden, um den Code zum Übermitteln der Keys zu verschleiern.
Vermutlich verkaufen die Angreifer die abgegriffenen Keys an andere User: Die Plug-ins bieten eine Paywall, um gegen geringe Gebühr einen API-Key zu nutzen.
Die ersten Plug-ins sind laut Aikido bereits im Oktober 2025 erschienen, das jüngste kam erst im Juni 2026 hinzu. Die Download-Zahlen liegen zwischen gut 300 und knapp 28.000. Zusammen kommen alle 15 Plug-ins auf knapp 70.000 Installationen. Wie viele Downloads dabei durch die Angreifer selbst erzeugt wurden, um die Plug-ins interessanter erscheinen zu lassen, ist nicht nachvollziehbar.
Betroffen sind folgende Plug-ins:
Wer eins davon installiert hat oder hatte, sollte eingegebene Keys als kompromittiert betrachten.
URL dieses Artikels:
https://www.heise.de/-11335021
Links in diesem Artikel:
Copyright © 2026 Heise Medien
FreshRSS