Die Fortsetzung des Hacking-Kultspiels „868-BACK“ ist da. „868-BACK“ bietet komplexe Rundenstrategie auf kleinstem Raum mit kryptischen Regeln.
Warum heißt es so komisch? Warum sieht es so aus? Wer unvorbereitet auf das neue Indie-Spiel „868-BACK“ trifft, der hat viele Fragen. Die Grundlagen aber sind einfach: „868-BACK“ ist eine Art Roguelite. Es ist ein rundenbasiertes Strategiespiel auf einem kleinen Raster, bei dem man den eigenen Smiley durch ein Labyrinth steuert, Ressourcen aufsammelt, neue Kräfte erwirbt und Gegner besiegt. Anfangs versucht man nur, sich in den Regeln zurechtzufinden. Hat man sie verinnerlicht, verfolgt man in immer neuen Anläufen einen höheren Punktestand und entdeckt eine Art Geschichte.
Ein Spieleautor und sein Genre
Ein kleiner Kreis von Spielefans und Game Designern erkennt das Design von „868-BACK“ schon von weitem. Das Spiel ist endlich mal wieder ein sogenanntes broughlike, ein Spiel des Entwicklers Michael Brough. Das halbironische Label hat der Spieleautor verpasst bekommen, weil er vor über zehn Jahren auftauchte und fortan mit einer Reihe unscheinbarer, aber tiefgründiger Titel auffiel. „Corrypt“, „Zaga-33“, „868-HACK“, „Imbroglio“ und „Cinco Paus“ zeigen ihren Reiz erst nach längerem Spielen. In ihnen verstecken sich Pointen und Spielmechanismen, die man sich selbst erarbeiten muss. Der Reiz ist derselbe wie bei einem schwierigen Rätsel: Zuerst zerbricht man sich den Kopf, und wenn man endlich eine Erleuchtung hat, fühlt man sich besonders schlau.
Broughs Spiele haben Preise gewonnen, aber nicht unbedingt viele Einheiten verkauft. Seine beliebtesten Titel drehen sich um sehr kompakte Spielbretter, auf denen man Zug um Zug herumgrübelt. Immer besitzen sie einfache Regeln, die man grundsätzlich schnell lernt. Und dann muss man erst einmal herausfinden, was man noch nicht verstanden hat. Vor allem muss man bremsen und nachdenken. In vielen von Broughs Spielen agiert man gleichzeitig mit den Gegnern, und weil das Raster so klein ist, kann in jedem Zug eine Menge passieren. Das Spielgefühl erinnert an elegante, komplexe Brettspiele, bei denen man die strategischen Möglichkeiten erst nach mehreren Partien ahnt.
Der zweite Bootleg-Burrito
Nach längerer Auszeit veröffentlicht Brough mit „868-BACK“ erstmals eine echte Fortsetzung. „868-HACK“ muss man allerdings nicht ernsthaft vorher spielen. Teil 2 fühlt sich wie eine Weiterentwicklung derselben Spielidee an, nicht wie das zweite Kapitel einer Geschichte. Beide Spiele machen sich über popkulturelle Hacker-Klischees lustig. Die Grafik ist jetzt detaillierter, immer noch ein Pixelart-Stil, aber abgerissener und ausgeblichener. Die anderen Unterschiede muss man sich erst einmal erspielen.
Nach einem übertrieben coolen, sehr kurzen Tutorial, präsentiert von einem „scrip kid“, muss man sich über drei Spielwochen hinweg Tag für Tag in verschiedene Server hacken. Jeder Server besteht aus einer Reihe Spielbretter, auf denen man zum Ausgang ziehen muss, ohne besiegt zu werden. Mit jedem gehackten Server werden neue freigeschaltet. Plötzlich tauchen auch Nahrungsmittel im Raster auf, die man sich erarbeiten kann. Im Rhythmus der ersten Erfolge schaltet man überraschende neue Inhalte frei. Es gibt Charaktere und fiese Megacorps, die man hacken kann – oder man lässt sich von ihnen anheuern.
Monster und Zaubersprüche
Gespielt wird am besten auf der Tastatur. Mit Pfeiltasten bewegt man den Hacker, repräsentiert als Smiley mit Augenklappe. Als Gegner tauchen Tasks im Labyrinth auf, die wie Monster oder Roboter aussehen. Mit der Leertaste saugt man angrenzende Programme oder Punkte. Diese begrenzt verfügbaren Siphon-Aktionen sind besonders wichtig: Einerseits kann man damit Ressourcen sammeln, die man braucht, um Programme auszuführen. Andererseits sammelt man die Programme selbst ein – jedes Programm ist eine Art Zauberspruch im Labyrinth. Sie zu verstehen, sinnvoll zusammenzustellen und einzusetzen, ist spielentscheidend.
Die Steuerung ist sehr einfach, das Raster sechs mal sechs Felder klein, aber die Zahl der Variablen ist groß. Die Gegner folgen verschiedenen Zugregeln, die 36 verschiedenen Zaubersprüche enthüllen sich nur langsam, dazu gibt es eine größere Zahl von Devices, die pro Server-Sektor einen mächtigen Vorteil beim Spielen gewähren. Um es kurz zu machen: Wie tief man in diese Matrix eintauchen kann, können wir nach knapp zehn Spielstunden bestenfalls ahnen. Das mag auch eine Typfrage sein. „868-BACK“ ist ideal für kürzere, konzentrierte Sitzungen, nach denen man dann erst einmal nachdenken möchte, was schiefgelaufen ist.
Folge dem weißen Hasen
Die ersten Runden als Hacker sind ungefähr so frustrierend wie eine erste Partie gegen geübte Schach- oder Go-Spieler. Krachendes Scheitern ist eingepreist. Wer besser werden will, muss sich Zug um Zug anschauen und lernen, wie die attackierenden Tasks, das labyrinthartige Raster und vor allem die Programme einander beeinflussen.
Fast alles, was man anfangs tut, führt in die Katastrophe. Stärkere Programme locken mit ihren mächtigen, leicht verständlichen Effekten: „Quit“ etwa hat Alarmstufe 7 und kann direkt in den nächsten Level springen. Wer es saugt, ruft damit allerdings sieben Tasks gleichzeitig in den Level, die alle attackieren. Und so ist die erste Aufgabe, lebendig durch alle acht Sektoren eines Servers zu kommen. Hat man das gelernt, dann kennt man auch erste Programme und kann versuchen, einen dreiwöchigen Run zu überleben. Dann käme erst die Punktejagd, das Verfolgen verschiedener Ziele und das Lüften offensichtlich noch versteckter Geheimnisse. Es wird sicher noch die eine oder andere Woche dauern, bevor wir in diese Sphären vorstoßen.
Ein neues Hobby
Uns hat „868-BACK“ bereits gefangen genommen. Ob es nun besser ist als der Vorgänger, werden wir aber wahrscheinlich erst in einem Jahr beurteilen können. Ob es sich lohnt, ist aber jetzt schon einfach zu beantworten: Wer dem Look etwas abgewinnen kann, Freude an elegant verschränkten Spielmechanismen hat und sich gerne in komplexe Herausforderungen einarbeitet, der ist hier richtig.
„868-BACK“ erscheint am 28.05. für Linux, Mac und Windows.
URL dieses Artikels: https://www.heise.de/-11307699
Schwachstellen gefährden Veeam Agent for Microsoft Windows und Veeam Software Appliance auf Linux-Servern.
Admins, die die Backuplösung Veeam Backup & Replication verwalten, sollten die Anwendung aus Sicherheitsgründen zeitnah auf den aktuellen Stand bringen. Andernfalls können Angreifer Linux- und Windowssysteme attackieren.
Zwei Gefahren
In einer Warnmeldung führen die Entwickler aus [1], dass eine Sicherheitslücke (CVE-2026-32996 „hoch“) Veeam Agent for Microsoft bedroht. Durch das erfolgreiche Ausnutzen können sich Angreifer auf einem nicht näher beschriebenen Weg lokal höhere Nutzerrechte verschaffen.
Die zweite Schwachstelle (CVE-2026-32997 „hoch“) betrifft Veeam Software Appliance auf Linux-Servern. Hier können Angreifer mit Schadcode verseuchte Dateien auf Servern ablegen. Dafür müssen sie aber als Backup-Administrator angemeldet sein. Ein Angriff ist als nicht ohne Weiteres möglich.
Davon sollen alle Versionen bis einschließlich Veeam Backup & Replication 13.0.1.2067 betroffen sein. Die Entwickler versichern, die Schwachstellen in der Ausgabe 13.0.2.29 geschlossen zu haben. In der Warnmeldung gibt es keine Hinweise, dass Angreifer die Lücken bereits ausnutzen.
URL dieses Artikels: https://www.heise.de/-11310107
5 Milliarden US-Dollar, ein zentrales Sicherheits-Clearinghouse und KI-gestützte Analyse: IBM und Red Hat wollen Open Source für das KI-Zeitalter absichern.
IBM und Red Hat wollen 5 Milliarden US-Dollar in den Ausbau und die Absicherung von Open-Source-Software für KI investieren. Kern der Initiative mit dem Namen Project Lightwell ist ein „Trusted Open Source Security Clearinghouse“, das Sicherheitslücken in Open-Source-Komponenten per KI schneller erkennen und beheben soll.
Das Clearinghaus soll als zentrale Anlaufstelle für Unternehmen dienen, um Schwachstellen in Open-Source-Software entlang der gesamten Softwarelieferkette zu identifizieren und zu validieren. Die Clearinghaus-Dienste sollen über kommerzielle Abonnements angeboten werden. Für den Service wollen IBM und Red Hat neue KI-gestützte Sicherheitsverfahren mit einem weltweiten Netzwerk aus mehr als 20.000 Fachkräften kombinieren.
KI soll Sicherheitslücken in Open Source schneller finden
Project Lightwell richtet sich laut IBM [1] und Red Hat [2] insbesondere an Unternehmen, die große Mengen an Open-Source-Komponenten einsetzen. Moderne Unternehmensanwendungen und KI-Systeme basieren oft auf Tausenden Bibliotheken, Frameworks und Werkzeugen aus Open-Source-Projekten. Sicherheitslücken in einzelnen Komponenten können deshalb weitreichende Folgen haben – wie bei der Log4j-Zero-Day-Lücke 2021 [3] oder der xz-Hintertür 2024 [4].
Nach Angaben der Unternehmen soll das Clearinghouse Sicherheitsprobleme nicht erst in fertigen Produkten erkennen, sondern bereits in den zugrunde liegenden Open-Source-Bausteinen und Entwicklungswerkzeugen. IBM und Red Hat nennen unter anderem Bibliotheken, Sprach-Toolchains, KI-Frameworks und Datenplattformen. Ziel sei es, Sicherheitsprobleme „an der Quelle“ zu beheben.
IBM verweist dabei auf Erfahrungen aus eigenen Sicherheitsinitiativen und auf Erkenntnisse aus Projekten wie Anthropics Project Glasswing [5] oder OpenAIs Trust Access for Cyber. Die Unternehmen wollen dabei sogenannte agentische KI-Verfahren einsetzen. Dabei analysieren KI-Systeme Sicherheitsprobleme weitgehend automatisiert und leiten selbstständig Maßnahmen zur Behebung ein.
Neben den Investitionen hebt IBM vor allem den Umfang des Entwicklungs-Aufwands hervor. Mehr als 20.000 Fachkräfte weltweit sollen an Project Lightwell beteiligt sein. Das Unternehmen spricht von „KI-gestützter Entwicklungsarbeit im großen Maßstab“.
Zu den ersten Partnern und Pilotkunden zählen laut IBM mehrere große Finanzunternehmen, darunter Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa und Wells Fargo. Die Erfahrungen dieser frühen Anwender sollen in die Entwicklung des Clearinghauses einfließen.
Fokus auf Open Source und hybride Infrastrukturen
IBM und Red Hat bezeichnen Open Source als Grundlage moderner KI- und Unternehmensinfrastrukturen. Beide Unternehmen verweisen auf die wachsende Bedeutung sicherer und vertrauenswürdiger Open-Source-Software für KI-Anwendungen und hybride Cloud-Umgebungen. In diesem Zusammenhang seien auch digitale Souveränität und die Absicherung der Softwarelieferkette zentral.
Als weitere Schwerpunkte nennen die Unternehmen KI-Modelle, Werkzeuge für die Entwicklung und den Betrieb von KI-Anwendungen sowie Technologien für hybride Cloud-Umgebungen. Hybrid Cloud bezeichnet den Betrieb von Anwendungen über mehrere Infrastrukturtypen hinweg, etwa im eigenen Rechenzentrum und parallel in der Public Cloud.
Weitere Produkte oder eine detaillierte Aufschlüsselung der Investitionssumme nennen IBM und Red Hat bislang nicht. IBM hatte Red Hat 2019 übernommen [6] und verfolgt seitdem eine Strategie rund um Open Source und hybride IT-Infrastrukturen.
URL dieses Artikels: https://www.heise.de/-11310111
Trotz aller gesicherten Erkenntnisse über US-Hyperscaler und ihre Zusammenarbeit mit den US-Geheimdiensten will die EU-Kommission nur ein wenig Souveränität.
Die Chefs der Schwarz-IT-Gruppe: Sind Kaufland und Lidl die Guten?Bild:
Schwarz Gruppe Stack IT
Die Europäische Union will ihre Abhängigkeit von US-Technologieanbietern reduzieren und bei öffentlichen Aufträgen künftig europäische KI- und Cloudanbieter bevorzugen. Das geht aus einem Papier zum geplanten Cloud and AI Development Act hervor, das dem Handelsblatt vorliegt. Die Kommission will die Pläne in der kommenden Woche vorstellen; über die Bestrebungen der EU hatte der Nachrichtensender CNBC bereits Anfang Mai unter Berufung auf anonyme Quellen berichtet.
Nach dem Entwurf versucht die EU, vor allem bei sehr sensiblen Daten mehr Kontrolle zu gewinnen. Daten aus Bereichen wie Militär oder Gesundheit sollen künftig nur noch in souveränen Clouds gespeichert werden, auf die fremde Regierungen keinen Zugriff haben und die auch bei Handelskonflikten oder Sanktionen nicht abgeschaltet werden können.
Zudem will die EU-Kommission die europäische Halbleiterproduktion besonders fördern. Ein Ausschluss US-amerikanischer Anbieter wie Amazon Web Services, Microsoft Azure oder Google Cloud ist trotz der offen aggressiven Politik der Trump-Administration nicht vorgesehen. Wegen ihrer starken Marktstellung bleiben sie angeblich für europäische Verwaltungen und Unternehmen auf absehbare Zeit unverzichtbar.
Nibelungentreue zu US-Hyperscalern trotz klarer Gesetzeslage
Die EU-Kommission will vier Stufen von Cloudsouveränität definieren, um zu berücksichtigen, wer den Dienst, die Lieferkette und die Datenverarbeitung kontrolliert, wo die Infrastruktur steht und wie die Cybersicherheit organisiert ist. Die Mitgliedstaaten sollen dazu Souveränitätsrisikobewertungen vornehmen und festlegen, welche Anwendungen in ihren Verwaltungen welche Sicherheitsstufe erfordern. Die Kommission will dafür Leitlinien vorlegen.
Fest steht dagegen eindeutig, dass der US-Staatsapparat auf europäische Daten bei seinen Hyperscalern zugreifen kann, selbst wenn sie nur Kundenbeziehungen in die USA haben. Das ging aus einem Rechtsgutachten der Universität Köln im Auftrag des Bundesinnenministeriums hervor. "Die Reichweite der Jurisdiktion US-amerikanischer Gerichte bemisst sich daran, welche Kontakte ein Unternehmen zu den USA pflegt." Betreibe ein europäisches Unternehmen eine Niederlassung in den USA, sei davon auszugehen, dass die dortigen Gerichte ihre Zuständigkeit über das Unternehmen ausüben würden. Je nach Einzelfall könne aber sogar das Bestehen geschäftlicher Kontakte bereits ausreichend sein.
Auch das Betreiben einer Website, die sich zumindest auch an US-Kunden richtet, beziehungsweise diese vom Zugriff auf die Website nicht explizit ausschließt, kann demnach für die Annahme von "specific personal jurisdiction" bereits ausreichen. Für einen Cloudanbieter kann bereits das Anbieten für US-Kunden ausreichend sein.
Darüber hinaus können laut Gutachten US-amerikanische "Geheimdienste unter Voraussetzungen, die nicht öffentlich bekannt sind, auf im Ausland gespeicherte Daten auch ohne die Mitwirkung von Cloud-Anbietern zugreifen".
US-Hyperscaler eigentlich immer zur Zusammenarbeit mit der CIA verpflichtet
Bekannt ist, dass alle US-Cloudanbieter nach dem Patriot Act und dem Cloud Act auch im Ausland zur Zusammenarbeit mit der US-Regierung, dem FBI und anderen US-Geheimdiensten verpflichtet sind. Dazu kommt auch bei eigenem Hosting mit US-Cloudsoftware und Tools wie bei der Delos Cloud die Gefahr eines langsamen Abschaltens der Cloudversorgung, indem es auf US-Anordnung keine Updates mehr gibt. Ein deutscher Experte sagte Golem dazu: "Das kann man zum Teil managen, aber wenn man dauerhaft keine BMS Updates (Firmware der Server) kriegt, ist das langfristig eine Baustelle."
Auch die Zugriffsbefugnisse von US-Behörden auf in Europa gespeicherte Daten, etwa in Rechenzentren europäischer Tochtergesellschaften von US-Unternehmen, sind viel umfassender als bisher angenommen und entziehen sich jeder parlamentarisch-demokratischen Kontrolle.
"Der Zugriff auf solche Informationen ist sehr umfassend, wenn sich die Server auf US-Territorium befinden. Aber auch ausländische Server und Cloud-Betreiber können der Herausgabepflicht unterworfen sein. Nicht in allen Fällen muss dafür ein gerichtlicher Durchsuchungsbeschluss vorliegen", fasst das Gutachten weiter zusammen.
Wenn hingegen der Server außerhalb des US-Territoriums steht, unterläge eine ausländische US-Tochtergesellschaft in der Regel der Herausgabepflicht. Ob auch die Muttergesellschaft oder ein verbundenes Unternehmen zwingend umfasst ist, ist laut Gutachten weniger eindeutig.
Der IT-Verband Eco warnt vor den Angriffsbefugnissen der Sicherheitsbehörden. Von den Hackbacks seien häufig geschädigte Dritte betroffen.
Eco-Vorstand Klaus Landefeld widerspricht der Bundesregierung im Streit um Hackbacks.Bild:
Eco
Nach Ansicht des IT-Branchenverbands Eco handelt es sich bei den geplanten Befugnissen von BKA und Bundespolizei zur Abwehr von Cyberattacken eindeutig um sogenannte Hackbacks. "Per Definition ist ein Hackback ein aktiver digitaler Gegenangriff, bei dem eine angegriffene Partei selbst in die Systeme des ursprünglichen Angreifers eindringt", sagte Eco-Vorstand Klaus Landefeld auf Anfrage von Golem. Explizit nicht Teil der Definition sei dabei eine Vergeltungsmaßnahme, wie dies von Bundesinnenminister Alexander Dobrindt (CSU) behauptet werde.
Hintergrund der Kritik ist das geplante Gesetz zur Cybersicherheit (PDF), das es Bundeskriminalamt (BKA) und Bundespolizei ermöglichen soll, "eine wirksame Gefahrenabwehr gegen Cyberangriffe umzusetzen". Dobrindt beschrieb die Befugnisse bei der Vorstellung des Entwurfs mit den Worten: "Wir schlagen zurück. Wir schalten die Bedrohung aus, wenn wir angegriffen werden. Wir werden Angreifer stören und deren Infrastruktur zerstören können." Doch nach Ansicht des CSU-Politikers handelt es sich dabei nicht um Hackbacks. "Ein Hackback ist ein Vergeltungsschlag. Das legitimieren wir nicht. Das, was wir tun, ist Gefahrenabwehr."
Landefeld: Alle Kriterien eines Hackbacks erfüllt
Dem widerspricht Landefeld jedoch. Dobrindts Definition der "aktiven Cyberabwehr" erfülle "alle Kriterien eines Hackbacks". Der Angriff auf andere, bei dem Angriff nicht beteiligte Infrastrukturen sei "schlicht und einfach ein Hack, kein Hackback".
Zudem wies Landefeld darauf hin, dass Bundespolizei und BKA laut Gesetzesbegründung auch die Befugnis erhalten sollen, "in informationstechnische Systeme von Geschädigten ('Opfersysteme')" einzugreifen. Das könne sogar als "klassischer Hack von nicht angreifenden Systemen" bezeichnet werden, sagte Landefeld. Dabei würden in der Regel "völlig offensichtlich bereits geschädigte Dritte heimlich angegriffen, deren Systeme sollen nun (erneut) infiltriert und gegebenfalls sogar unbrauchbar gemacht werden".
In seiner Stellungnahme (PDF) zum Gesetzentwurf warnte der Verband ausdrücklich vor den Gegenangriffen. "Hackback- Ansätze sind technisch riskant und rechtlich wie außenpolitisch hoch problematisch", heißt es darin. Landefeld ergänzte dazu: "Wer dann hier wie die Verantwortung tragen soll, insbesondere wenn sich diese Systeme im Ausland befinden und der Schaden durch den Hack katastrophal wäre, wird durch den Gesetzentwurf bezeichnender Weise nicht einmal adressiert."
Mit Dynamic Spectrum Sharing konnte die Telekom viel 5G anbieten. Es war aber nicht schneller als LTE und hatte hohe Verluste bei der Signalisierung.
Netzausbau der Telekom: nicht immer im Sinne der Nutzer, aber immer im Sinne des MaximalprofitsBild:
Deutsche Telekom
Die Deutsche Telekom hat das Dynamic Spectrum Sharing (DSS) im 2.100-Megahertz-Frequenzband deaktiviert. Das gab der Netzbetreiber am 27. Mai 2026 bekannt. Mit der Deaktivierung nutzt die Telekom das 2.100-MHz-Spektrum nun nur noch für 5G.
"DSS hat uns geholfen, 5G schnell in die Fläche zu bringen", sagte Alexander Jenbar, Chief Technology Officer der Telekom Deutschland. Mit zunehmender Nutzung setze man "das 2.100-MHz-Spektrum vollständig für 5G. So stellen wir mehr Kapazität bereit und sorgen für eine noch stabilere und leistungsfähigere 5G-Erfahrung".
DSS steht für die bedarfsabhängige Verteilung der Bandbreite zwischen 4G und 5G. Hohe Datenraten sind aber nur auf den hohen 5G-NR-Frequenzbändern um 3,5 GHz erzielbar. 5G auf LTE-Frequenzen kann zwar in kurzer Zeit eine große Fläche versorgen, ist aber in dieser Variante nicht schneller als LTE und brachte nur 150 MBit/s.
Bei DSS gehen 30 Prozent für Signalisierung ab
Das langsamere 5G, das Netzbetreiber in Deutschland zusammen mit LTE großflächig anbieten, verlangt zudem viel Kapazität für Spektrum Sharing. Laut dem Mobilfunkexperten und Buchautor Martin Sauter, der Senior Project Manager bei der Telekom ist, gehen bei DSS 30 Prozent für Signalisierung ab, weil der gleichzeitige Betrieb von LTE und 5G Kapazitäten in der Funkzelle benötigt.
Die Telekom hatte im April ihr Mobilfunknetz weiter ausgebaut. 81 neue Mobilfunkstandorte hat das Unternehmen in Betrieb genommen. An 548 bestehenden Standorten hatte die Telekom die Kapazität erhöht. Die meisten neuen Standorte hat die Telekom in Baden-Württemberg (14) in Betrieb genommen, gefolgt von Nordrhein-Westfalen (13) und Bayern (12).
Alle Standorte nutzen künftig Low-Band-Frequenzen: 700, 800 und 900 Megahertz (MHz). 90 Prozent der Standorte erhalten zusätzlich Mid-Band-Frequenzen: 1.500, 1.800 und 2.100 MHz. Nur an Verkehrsknotenpunkten kommt das 3,6-GHz-Band zum Einsatz. 85 Prozent der Standorte erhalten Glasfaser mit mehr als 10 GBit/s als Backhaul.
Das Programm sicherte der Ukraine die Hälfte ihrer Artilleriemunition – doch warum steigen jetzt neun Geberländer gleichzeitig aus?
Die wichtigste Munitionspipeline der Ukraine bröckelt. Neun von ehemals 18 Geberländern haben sich seit dem Amtsantritt von Tschechiens Premier Andrej Babiš im Dezember aus der Prager Artillerie-Initiative zurückgezogen, wie der tschechische Präsident Petr Pavel gegenüber der Financial Times erklärte.
Das Programm koordiniert seit 2024 die Lieferung großkalibriger Geschosse an Kiew und hat bislang bisher 4,4 Millionen Schuss geliefert – laut Pavel bis zu 50 Prozent der gesamten schweren Artilleriemunition für die ukrainischen Streitkräfte.
Die Botschaft ist eindeutig: Wer die Hälfte der Munition liefert, lässt sich nicht einfach ersetzen. Doch genau das steht nun im Raum. Babiš hatte im Wahlkampf gedroht, die gesamte Initiative zu stoppen, und begründet den Kurswechsel mit leeren Kassen.
"Wir haben kein Geld, also erhalten wir Geld von anderen Ländern und liefern dann [die Munition]", sagte er der FT . Tschechien solle logistisches Drehkreuz bleiben, aber keinen Cent mehr aus dem eigenen Haushalt beisteuern.
Politischer Rückenwind fehlt, Geber ziehen ab
Welche Staaten konkret ausgestiegen sind, wollte Pavels Büro laut Bericht nicht verraten. Ein westlicher Militärvertreter formulierte das Unbehagen allerdings deutlich: Es sei "seltsam", für ein Projekt zu bezahlen, das die regierende Politik des federführenden Landes nicht mehr ordentlich unterstütze .
Deutschland, Dänemark, die Niederlande [1] und einige nordische Länder zahlen laut Reuters weiter. Andere ehemalige Geber kaufen Munition inzwischen direkt beim Hersteller.
Dabei geht es nicht nur um Solidarität, sondern auch um Geld und Transparenz. Babiš hatte der Vorgängerregierung vorgeworfen, die Initiative begünstige vor allem die Czechoslovak Group (CSG), einen der größten Munitionsproduzenten Europas.
CSG fungiert als zentraler Unternehmenspartner bei der Beschaffung und Aufarbeitung von Geschossen aus Nicht-Nato-Ländern .
CSG-Eigentümer Michal Strnad räumte laut Bericht ein, die neue Regierung habe das Programm nach Amtsantritt monatelang "in der Schwebe" gelassen, weil ihr ein rechtliches Problem nicht gepasst habe .
Verträge laufen, aber die Lücke wächst
Kurzfristig puffern bestehende Verträge den Schock ab. Das tschechische Verteidigungsministerium meldete laut Reuters für 2026 Verträge über rund 1 Million Schuss, davon etwa 500.000 bereits geliefert .
Doch diese Lieferungen stammen großteils aus früherer Finanzierung. Für das laufende Jahr ist bisher knapp 1 Milliarde Euro gesichert – ein Nato-Vertreter hatte im Februar 5 Milliarden Euro als Zielmarke genannt .
Die Munition wird zudem teurer: Geschosse mit erweiterter Reichweite kosten laut Ministerium mehr als das Doppelte der Standardmunition .
Teilfinanziert werden die Käufe aus Erträgen eingefrorener russischer Vermögenswerte, die die EU-Kommission bereitstellt . Ob das reicht, um den Schwund an Gebern auszugleichen, ist fraglich. Pavel will die Zukunft der Initiative auf dem Nato-Gipfel in Ankara am 7. und 8. Juli auf die Tagesordnung setzen .
Kiew baut an Alternativen
Die Ukraine reagiert auf die wachsende Abhängigkeit von einem einzelnen Kanal. Gemeinsam mit Finnland, Italien, Norwegen, Schweden und dem Vereinigten Königreich gründete Kiew die CORPUS-Koalition [2], die Beschaffungsagenturen vernetzen und digitale Lieferketten aufbauen soll .
All das kostet Zeit – Zeit, die an der Front fehlt. Militäranalysten warnen, dass weniger Munition die Feuerdichte senkt und Kommandeure zwingt, Artillerie auf wenige Abschnitte zu konzentrieren.
Strnad brachte es auf den Punkt: Die Initiative sei "nicht tot, sie funktioniert noch, aber es geht etwas langsam voran" . Für die Soldaten in den Schützengräben ist langsam allerdings kein brauchbares Tempo.
URL dieses Artikels: https://www.heise.de/-11310410
Oxforder Forscher haben ein Superfood für Bienen entwickelt. Doch ob es unsere Ernte wirklich sichern kann, ist umstritten.
Wenn im Supermarkt die Äpfel schrumpfen und die Erdbeeren ihre Form verlieren, denkt kaum jemand an Bienen. Dabei hängt die Qualität von Obst und Gemüse direkt davon ab, ob genügend Bestäuber ihre Arbeit tun.
Früchte von Pflanzen, die von Insekten bestäubt werden, sind im Schnitt 23 Prozent besser in Größe, Form und Nährstoffgehalt als solche, die ohne tierische Hilfe reifen. Drei bis fünf Prozent der weltweiten Obst-, Gemüse- und Nussproduktion gehen bereits heute durch mangelnde Bestäubung verloren.
Bestäuberkrise mit tödlichen Folgen
Was nach wenig klingt, kostet laut einer Harvard-Studie [1] jährlich rund 427.000 Menschenleben, weil weniger nahrhafte Lebensmittel auf den Tellern landen.
Jetzt kommt aus Oxford ein Ansatz, der die Lage zumindest für Honigbienen entschärfen könnte – allerdings mit einem Werkzeug, das in der EU für hitzige Debatten sorgen dürfte: Gentechnik.
Ein internationales Team um Professorin Geraldine Wright hat eine Ölhefe so umprogrammiert, dass sie exakt die sechs Sterole produziert, die Honigbienen zum Überleben benötigen.
In einer im vergangenen Jahr in der Fachzeitschrift Natureveröffentlichten Studie [2] zeigt die Gruppe, dass Kolonien mit dem sterolhaltigen Futter bis zu 15-mal mehr Jungbienen bis zum lebensfähigen Puppenstadium aufzogen als Vergleichsvölker auf herkömmlichem Ersatzfutter. Letztere stellten die Brut nach rund 90 Tagen komplett ein.
Der fehlende Baustein im Bienenfutter
Das Problem ist seit Jahrzehnten bekannt: Herkömmliches Pollenersatzfutter besteht aus Proteinmehl, Zucker und Ölen – eine Art Junkfood für Bienen. Es fehlen Sterole, jene Lipide, die Insekten für Zellmembranen und Wachstumshormone brauchen.
Anders als die meisten Insekten können Honigbienen Nahrungssterole nicht in Cholesterin umwandeln. Sie sind darauf angewiesen, passende Phytosterole direkt aus dem Pollen aufzunehmen.
Und genau dieser Pollen wird knapp: Klimawandel, Monokulturen und Flächenversiegelung verkürzen Blühphasen und lassen ganze Trachtperioden ausfallen. In den USA lagen die jährlichen Verluste von Honigbienenvölkern zuletzt bei 40 bis über 55 Prozent [3](Saison 2024/25).
Wrights Team identifizierte sechs Sterole – darunter 24-Methylenecholesterol, Campesterol, β-Sitosterol und Desmosterol –, die den Großteil der Sterole in Bienengeweben ausmachen. Per CRISPR-Cas9 modifizierten die Forscher die Hefe Yarrowia lipolytica so, dass sie diese Mischung im Fermenter produziert.
"Dieser technologische Durchbruch liefert alle Nährstoffe, die Bienen zum Überleben brauchen", erklärte Wright gegenüber [4] der BBC. Das Sterolprofil der Larven in den Versuchskolonien entsprach dem von Bienen, die natürliche Blütenpollen sammeln.
Gentechnik im Bienenstock – und dann im Honig?
So vielversprechend die Ergebnisse sind, wirft das Verfahren Fragen auf, die weit über Bienenbiologie hinausgehen. In der EU fällt ein Futtermittel auf Basis gentechnisch veränderter Hefe unter die strenge GVO-Verordnung.
Bevor das Superfood in europäische Bienenstöcke darf, müsste die EFSA eine vollständige Risikobewertung durchführen – inklusive der Frage, ob Bestandteile der Hefe in Honig, Wachs oder Propolis gelangen.
Die Oxforder Gruppe sprach optimistisch von zwei Jahren bis zur Marktreife. Für EU-Verhältnisse, wo selbst konventionelle GVO-Zulassungen Jahre dauern, klingt das ambitioniert.
In Deutschland und Österreich, wo die Skepsis gegenüber Gentechnik traditionell hoch ist, dürfte das Futter auf Widerstand stoßen – gerade weil Honig direkt vom Verbraucher gegessen wird.
Imkerverbände im DACH-Raum haben sich – soweit ersichtlich – zum Oxford-Projekt nicht explizit geäußert, stehen aber GVO-Einsätzen in der Imkerei eher ablehnend gegenüber [5].
Die Nature-Studie argumentiert zwar, weniger pollenabhängige Honigbienen könnten den Konkurrenzdruck auf Wildbienen mindern. Doch das funktioniert nur, wenn Imker das Futter in Trachtlücken einsetzen, statt damit noch mehr Völker in die Landschaft zu stellen.
Maßnahmen wie Beetle Banks [9] – begrünte Erdwälle als Lebensraumkorridore für Nützlinge – bleiben deshalb dringend nötig.
Sterole aus dem Fermenter können den Kollaps einzelner Bienenvölker abfedern. Die Krise im Ökosystem lösen sie nicht. Dafür bräuchte es weniger Pestizide, mehr Blühflächen und eine Agrarpolitik, die Bestäuber nicht nur als Problem, sondern als Infrastruktur begreift.
URL dieses Artikels: https://www.heise.de/-11310195
Die neue Scham: Oben ohne ist erlaubt, nackt duschen auch. Trotzdem verhüllen sich viele Jüngere heute stärker als ihre Eltern.
Mit Beginn der Freibadsaison kehrt eine Beobachtung zurück, die zunächst paradox wirkt: Während auf Instagram und TikTok unzählige Körperbilder kursieren, wächst im Schwimmbad die Scham vor realer, uninszenierter Nacktheit. Was rechtlich erkämpft wurde, wird kulturell kaum eingelöst.
Ein Gesetz, das Frauen das Baden ohne Oberteil verbietet, existiert in Deutschland nicht. Geregelt wird die Bekleidung im Schwimmbad über die Hausordnung der Bäder, wie in einem aktuellen Bericht [1] von Watson zum Saisonbeginn dargelegt wird.
Auslöser für eine Welle neuer Regelungen war ein Fall in Berlin 2021: Eine Frau, die auf dem Wasserspielplatz "Plansche" oben ohne saß, war zum Bedecken aufgefordert worden. Das Kammergericht erkannte eine Ungleichbehandlung an, die Berliner Bäderbetriebe passten ihre Badeordnung an. Seither gilt: Nur primäre Geschlechtsmerkmale müssen bedeckt sein, die weibliche Brust gilt als sekundäres Merkmal. Göttingen folgte 2022, Köln, Hannover, Siegen und Frankfurt 2023.
Erlaubt, aber kaum genutzt
Was bedeutet das in der Praxis am Beckenrand? Eine AfD-Anfrage im Stadtrat Mainz (1163/2025) zum "Oben-Ohne-Schwimmen" für Frauen in den Mainzer Schwimmbädern liefert die nüchterne Antwort. Bürgermeister Günter Beck teilte am 29. August 2025 mit, dass im Taubertsbergbad zwar die Badeordnung angepasst sei, aber "nach aktuellem Kenntnisstand kein Oben-Ohne-Baden" stattfinde.
Gelegentlich sonnten sich Besucherinnen ohne Oberteil auf der Liegewiese, "beim Verlassen des Platzes wird in der Regel ein Oberteil getragen". Im Schwimmbad Mainz-Mombach habe niemand die Möglichkeit genutzt. Vorfälle sexueller Übergriffe im Zusammenhang mit der Regelung sind nicht bekannt.
Die rechtliche Freiheit ist also da, der Körper bleibt verhüllt. Warum?
Der Körper unter Dauerbeobachtung
Eine Erklärung liefert die JAMESfocus-Studie 2025 [2] der Zürcher Hochschule für Angewandte Wissenschaften. Sie zeigt, dass sich Jugendliche durch soziale Netzwerke stark unter Druck gesetzt fühlen, vorherrschenden Schönheitsidealen zu entsprechen.
Mädchen empfinden diesen Druck deutlich stärker als Jungen, Mädchen haben das Schlankheitsideal verinnerlicht, Jungen das muskulöse Ideal. Je stärker dünne Schönheitsideale verinnerlicht sind und je grösser der Druck durch soziale Netzwerke, desto niedriger ist der Selbstwert der Jugendlichen.
Der Trend "Fitspiration" verschärft diese Dynamik. Eine österreichische Studie der FH St. Pölten mit 86 Jugendlichen, veröffentlicht im JMIR Formative Research [3], ergab, dass keiner der untersuchten Fitspiration-Nutzer seine Muskelmasse als ausreichend empfand, obwohl alle einen durchschnittlichen oder hohen Fettfrei-Index aufwiesen.
Selbst die Gegenbewegung "Body Positivity" wirkt zwiespältig: Eine Studie unter französischen Jugendlichen, publiziert in SAGE Journals [4], fand heraus, dass auch der Konsum von Body-Positivity-Inhalten die ständige Selbstbeobachtung des Körpers erhöht.
Wer optimiert, will sich nicht zeigen
Wer den eigenen Körper permanent vermisst, zählt und vergleicht, zieht ungern blank.
Eine Studie im British Journal of Health Psychology, zusammengefasst auf Eurekalert [5], zeigt, dass Fitness-Apps bei Nutzern Gefühle von Scham, Enttäuschung und Demotivation auslösen, wenn Gesundheit auf Kalorien und Schrittzahlen reduziert wird.
Hinzu kommt die Allgegenwart des Smartphones im Schwimmbad. Die theoretische Möglichkeit, fotografiert zu werden, verändert das Verhalten am Beckenrand. Immer wieder wird in der Freibadsaison vor Spannern gewarnt.
Von FKK zur Funktionsbadehose
Ein Generationenwechsel wird auch in den Duschen der Sportvereine sichtbar. Ältere Männer duschen selbstverständlich nackt, jüngere häufig in Unterhose oder Badeshorts. Wer sich selbstverständlich entkleidet, fällt zunehmend auf. Die deutsche Freikörperkultur, die auf nicht-sexualisierter, alltäglicher Nacktheit basierte, hat ihre Selbstverständlichkeit verloren.
Dass dieses neue Körpergefühl nicht durch realistische Vorbilder ausgeglichen wird, zeigt eine Analyse von rund 793.000 Modebildern [6] in den Proceedings of the National Academy of Sciences (PNAS). Trotz wachsender sichtbarer Diversität ist das zentrale Model-Körperbild zwischen 2000 und 2024 extrem schlank geblieben. Selbst "Plus Size"-Models in den USA sind im Schnitt kleiner als die durchschnittliche amerikanische Frau.
Wer also im Schwimmbad bewusst entscheidet, was er zeigt: Die rechtliche Freiheit, oben ohne zu baden oder unter der Vereinsdusche nackt zu stehen, war selten größer. Genutzt wird sie immer seltener. Der Körper ist zum Projekt geworden, das man verbirgt, bis es perfekt ist.
URL dieses Artikels: https://www.heise.de/-11310043
In zwei Wochen startet die Fußball-WM. Kriminelle nutzen die Gunst der Stunde und fälschen die FIFA-Webseite etwa für Phishing.
Das FBI warnt vor gefälschten FIFA-Webseiten, die Cyberkriminelle aufsetzen, um damit etwa an Daten oder Geld von potenziellen Opfern zu gelangen. IT-Sicherheitsunternehmen haben etwa die Kampagne der kriminellen Gruppe „Ghost Stadium“ analysiert.
Die Strafverfolger des FBI haben dabei beobachtet, dass die Täter persönliche Informationen sammeln, gefälschte Tickets und Merchandise verkaufen und möglicherweise noch weitere Straftaten begehen. Mit den persönlichen Daten können die Angreifer neue Konten im Namen der Opfer anlegen und diese letztlich betrügen, schreibt das FBI. Die falschen Webseiten imitieren auch die legitime URL, indem sie Typosquatting-Domains verwenden, etwa „fiffa[.]com“. Sie setzen aber auch thematisch passende Domains wie „jobs-fifa[.]com“.
Zig betrügerische Domains
Das FBI listet bereits zig bekannte betrügerische Domains auf, zu viele, um sie hier abzubilden. Die Ermittler betonen, dass es weitere geben wird und Interessierte daher wachsam bleiben sollen.
Die IT-Forscher von Group-IB haben zudem noch viel mehr betrügerische Webseiten entdeckt. Laut deren Erkenntnissen gibt es bereits mehr als 4300 betrügerische Domains seit August 2025, die die FIFA-Seite fälschen. Die Drahtzieher hinter einer solchen Kampagne nennen die Analysten „Ghost Stadium“. Sie sprechen der Group-IB-Analyse zufolge [3] chinesisch und handeln aus finanziellen Motiven. Sie haben eine pixelgenaue Kopie der FIFA-Webseite erstellt, auch mit einer Single-Sign-on-Authentifizierung, die zudem elf Sprachen unterstützt.
Mehr als 300 Domains laufen mit der betrügerischen Infrastruktur im Hintergrund. Sie greifen das Ping-Identity-SSO-System der FIFA an, um Zugangsdaten abzugreifen. 140 weitere Domains gelten als verdächtig und 3800 sind noch geparkt und warten nur auf ihre Aktivierung. Insgesamt 2513 FIFA-Kontenzugangsdaten für die Domains fifa.com und fifa.org haben die IT-Forscher bereits im Darknet gefunden. Insgesamt hat Group-IB vier unabhängige Betrügerbanden ausgemacht und eine Phishing-as-a-Service-Lieferkette, die vorgefertigte „Betrugsbaukästen“ verkauft und auch automatisierte Ticket-kaufende Bots betreibt. Werbung für die Betrugsseiten läuft etwa über Facebook. Die verlinkte Analyse beleuchtet die betrügerischen Seiten und Hintergründe tiefgehend.
Als Sicherheitshinweise gibt das FBI die bekannten Tipps, etwa die FIFA-Webseite durch manuelle Eingabe der korrekten Adresse in die Adresszeile des Webbrowsers oder aus den Lesezeichen heraus zu besuchen. Bei der Nutzung von Suchmaschinen sollten die Treffer mit der Markierung „Sponsored“ gemieden werden, da die Betrüger oft Werbung für die falschen Domains schalten. Subdomains sollten nur von der offiziellen FIFA-Webseite aus angesteuert werden, nicht über Webseiten von Dritten.
Eine nicht offizielle Antragsseite für die UK-Einreisegenehmigung ETA hat Daten von Antragstellern offen zugänglich im Netz belassen.
Für die Einreise nach Großbritannien ist seit dem vergangenen Frühling oftmals eine Einreisegenehmigung namens „ETA“ (Electronic Travel Authorisation) nötig. Neben der offiziellen Webseite gov.uk/eta [1] sind inzwischen zahlreiche Glücksritter mit eigenen Antragsseiten und deutlich überzogenen Preisen online gegangen. Eine dieser Seiten hat nun hunderttausende Dokumente von Antragstellern offen im Netz gelagert.
Darüber berichtet TechCrunch [2]. Demnach seien mindestens 100.000 Dokumente in einem Amazon-Cloudspeicher (Bucket) zugreifbar gewesen, von Antragstellern, die etwa ihren Ausweis und Selfies im Rahmen des Antragsstellungsprozesses hochgeladen haben. Der Name der betroffenen Webseite lautet demnach „UK Visa Portal“. In der Nacht zum Mittwoch wurden die Daten abgesichert, jetzt sind sie nicht mehr einfach zugreifbar.
Das Amazon-Bucket hatte hochgeladene Daten nicht direkt aufgelistet, die Daten waren nur zugreifbar, wenn die Adresse bekannt war. Die hat jedoch das Backend hinter der „UK Visa Portal“-Webseite offenbar preisgegeben, sodass ein Zugriff möglich war. Die Seite ist dem Bericht zufolge auch unter „UK Visit“ und „ETA-Pass“ erreichbar. Eine Stichprobe von TechCrunch bestätigte die Echtheit der Daten, das Medium hat einige betroffene Individuen kontaktiert.
Möglicher Identitätsdiebstahl
Mit den Ausweiskopien können Angreifer etwa Identitätsdiebstahl begehen. Die weiteren Daten erleichtern zudem echter wirkendes Phishing. Wer diese Webseiten zum Einreichen des ETA-Antrags genutzt hat, sollte daher künftig besondere Vorsicht walten lassen.
Diese Webseiten waren bereits Grund zur Warnung, etwa durch das LKA Niedersachsen [3] oder Verbraucherzentralen [4]. Diese Webseiten sind im Regelfall mindestens überteuert und verlangen ein Vielfaches der eigentlichen Gebühren. Das LKA warnte auch vor betrügerischen Webseiten.
URL dieses Artikels: https://www.heise.de/-11309595
Wir testen alltagstaugliche E-Bikes mit Antrieben von Bosch, Pinion und Shimano. Außerdem: Tipps zum Gebrauchtkauf und ob eine Regulierung droht.
Hallo aus Hannover,
das Fahrrad ist ein einfaches Gerät: zwei Räder, ein Rahmen, zwei Pedale. Doch sobald sich ein Motor dazugesellt, wird daraus ein juristisch kniffliges Streitobjekt mit allem, was üblicherweise dazugehört: Lobbyverbände, EU-Regulierung, Definitionslücken (Was genau ist eigentlich ein Fahrrad?) und natürlich die unvermeidlichen Apps. In der aktuellen c’t-Ausgabe sezieren wir die neueste E-Bike-Technik – politisch, praktisch und finanziell.
Außerdem naht die Fußball-WM und wegen der Zeitverschiebung herrschen geradezu perfekte Bedingungen für den Aufbau einer kleinen privaten Fanmeile. Welche Beamer, Fernseher und Leinwände dem Outdoor-Einsatz standhalten und was es zu beachten gilt, hat meine Kollegin Ulrike Kuhlmann recherchiert und getestet.
E-Bikes 2026: Motoren, Technik, Apps
Knapp sechs Milliarden Euro Umsatz, über 80 Prozent davon mit E-Bikes: Die Fahrradbranche lebt vom elektrischen Antrieb. Doch in der Industrie tobt ein Streit darüber, wo das Fahrrad aufhört und das Kraftfahrzeug anfängt. Während die dafür geschaffene Pedelec-Definition Nenndauerleistung und Höchstgeschwindigkeit klar regelt (250 Watt, 25 km/h), schweigt sie zu Spitzenleistung und Gesamtgewicht. Hersteller wie DJI nutzen das aus und bieten Motoren mit 1500 Watt und 800 Prozent Unterstützungsfaktor an. Marktführer Bosch warnt vor möglicher Regulierung aus Brüssel, der ZIV (Zweirad-Industrie-Verband) will 750 Watt und Gewichtsgrenzen festschreiben, Logistikverbände laufen dagegen Sturm. Hoffnung macht, dass sich ZIV und Radlogistikverband in jüngster Zeit wieder annähern, sodass sich die Frage "Was ist ein Fahrrad?" möglicherweise doch noch klären lässt.
Stadtflitzer, Tourenrad oder robuster Lastesel? Wir haben drei E-Bikes mit Antrieben von Bosch, Shimano und Pinion getestet: das Canyon Citylite:ON für knapp 3000 Euro, das Cilo Tanay HX für 6500 Euro und das Riese&Müller Charger5 für 7600 Euro. Das Canyon punktet mit geringem Gewicht und leisem Motor, schwächelt aber bei der Reichweite. Das vollgefederte Cilo bügelt klaglos Waldwege weg und braucht zwingend zwei Apps. Das Charger5 trägt am meisten Zuladung, sein Pinion-Getriebe macht aber auch akustisch auf sich aufmerksam. Welches Rad zu welchem Fahrertyp passt und wo der Riemenantrieb glänzt, erfahren Sie in unserem ausführlichen Vergleich.
Ein neues E-Bike kostet im Schnitt über 2500 Euro – Tendenz steigend. Der Gebrauchtmarkt wächst dank Leasingrückläufern rasant. Über 80.000 Refurbished-Räder wechselten 2025 den Besitzer. Im c't-Interview verrät David Koßmann vom Pressedienst Fahrrad, worauf es beim Gebrauchtkauf ankommt: Markenmotor wählen, Ladezyklen in der Fachwerkstatt auslesen, auf gepflegten Zustand achten – und dafür sorgen, dass der Akku einer neuen Generation gepairt wurde. Welche Refurbished-Plattformen seriös arbeiten und warum die Politik beim Thema Ersatzteile dringend nachbessern muss, erfahren Sie ebenfalls im Interview.
(Bild: Melissa Ramson / Martina Bruns / heise medien)
Auch das noch!
Der Ball rollt bald wieder – und wie so oft anlässlich der Fußball-WM stellt sich die Frage, ob die Terrasse zur Heim-Fanmeile taugt oder ob ein neuer Riesenfernseher ins Wohnzimmer muss. Die späten Anstoßzeiten erlauben auch weniger lichtstarken Beamern einen Auftritt. Wir haben Geräte vermessen, Latenzen gestoppt und auch geprüft, wie nass ein Fernseher werden darf.
Sechs mobile Beamer mit Full HD, Autofokus und Streaming-Apps an Bord traten zum Vergleich an, drei davon mit Akku. Die kompakten Lichtwerfer sind im Garten ruck zuck aufgebaut. Im c't-Labor zeigten sich allerdings deutliche Unterschiede bei Helligkeit (175 bis 680 Lumen), Kontrast und Farbmischung. Epsons LCD-Modell liefert das hellste, ausgewogenste Bild, Xiaomis L1 Pro überzeugt als preiswerter LCD-Allrounder ohne Regenbogeneffekt. Wer mit DLP-typischen Farbblitzern leben kann, bekommt mit BenQs GV50P und Xgimis MoGo 4 Laser zwei akkubestückte Mobilisten mit kräftigen Laserfarben. Wanbos T2 Ultra ist zwar der Preis-Tipp, leistet sich aber Schwächen bei Bewegungen und Hauttönen. In jedem Fall dürfte für jeden Geschmack, Geldbeutel und Einsatzzweck etwas dabei sein.
Public Viewing daheim ist allerdings mehr, als Beamer aufstellen und einschalten. Wir haben nachgemessen, wie weit die Empfangswege auseinanderliegen: Satellit ist Referenz, Kabel quasi gleichauf, die Mediatheken von ARD und ZDF streamen am schnellsten, während manche Apps das Spielgeschehen um bis zu 41 Sekunden verzögern – ausreichend Zeit, damit die halbe Nachbarschaft das Tor vor einem selbst bejubelt. Dazu geben wir praktische Tipps: Wohin mit der Leinwand? Ab wann ist die Dämmerung dunkel genug? Und wie gestaltet sich eigentlich die Rechtslage beim nächtlichen Fußballgucken im Freien? Wer mit einem großen TV liebäugelt: 85-Zöller gibt es derzeit ab 800 Euro, wetterfeste Outdoor-Geräte mit IP55 oder IP56 ab etwa 2300 Euro. Was es bei Kabeln, Bluetooth-Boxen und Wetterhauben zu beachten gibt, haben wir ebenfalls untersucht.
Will man während des Urlaubs im Ausland Auto fahren, braucht man zusätzlich zum deutschen Führerschein mitunter einen internationalen. Wer diesen bei zwielichtigen Anbietern im Internet bestellt, gibt seine Daten zum Identitätsklau preis. [7]
Mit außergewöhnlichen Kameras und sehr speziellem Zubehör soll das Vivo X300 Ultra vor allem Fotoliebhaber anlocken – allerdings zu einem happigen Preis. [8]
Beim Monitorkauf zählt mehr als die Pixelzahl. Wir klären, was für Office, Gaming und Kreativarbeit wichtig ist und wo Sie Geld sparen können [9].
Confidential Computing schützt Daten in der Cloud, sogar vor dem Cloudbetreiber. Wir erklären, wie die Technik funktioniert und wo ihre Grenzen liegen. [14]
Geht das Smartphone verloren, ist der Ärger groß: Das teure Gerät muss ersetzt werden und es besteht die Gefahr, dass sensible Daten in falsche Hände geraten. Doch mit einer Such-App kann man es datenschutzfreundlich wiederfinden und sonst notfalls aus der Ferne löschen – ganz ohne Google-Konto. [16]
(Bild: Ulrike Weis / KI / heise medien)
Aus der Redaktion
Mythen wären keine Mythen, wenn sich alle darüber einig wären. So stieß unsere kleine Sammlung aus der IT-Legendenkiste in Ausgabe 10 nicht nur auf Zustimmung und bescherte uns einige kontroverse Zuschriften, insbesondere zum Thema KI.
Dass Gerüchte auch durchaus ihre guten Seiten haben können, schrieb uns Roger Bilau auf unsere Frage nach dem persönlichen Lieblings-Mythos: "Schon vor 20 Jahren hörte ich die ersten Gerüchte: Der Mainframe stirbt. Doch was stirbt, sind die ITler, die den Mainframe bedienen können. Dank der Gerüchte entscheiden sich immer weniger IT-Studenten, sich mit dieser veralteten Technik zu beschäftigen. Was mir als Systemprogrammierer, Datenbank- und z/OS-Spezialist den Lebensabend vergoldet: Ich bin seit Ende letzten Jahres offiziell in Rente und werde noch mindestens bis 2028 Vollzeit bei einer Kölner Versicherung arbeiten – Nachwuchs ist halt schwer zu finden. Im Übrigen würde mich interessieren, ob irgendeine KI auch schon Lücken im z/OS gefunden hat."
Einen interessanten Telefonnummern-Mythos schickte uns Tom Gries: "Viele glauben, 0049 sei das Gleiche wie +49. Das funktioniert aber nur in einigen Ländern, nicht aber weltweit. Wenn man zum Beispiel aus Thailand nach Deutschland telefonieren will, muss man 00149 voranstellen. Eine im Handy gespeicherte Telefonnummer mit 0049 funktioniert dann nicht. Die Kennziffer für Auslandsgespräche legt jedes Land selber fest. Das + ist der Helfer. Die Vermittlungsstellen ersetzen das + mit der jeweils länderspezifischen Kennung für Auslandsgespräche."
Kurz vor der WWDC sorgt eine neue Apple-Subdomain für Spekulationen. Deutet „genai.apple.com“ auf eine Abkehr vom Marketingbegriff „Apple Intelligence“ hin?
Wie weitreichend Apples Veränderungen bei seinen KI-Funktionen sein werden, ist wenige Tage vor der Keynote am Montag, 8. Juni, die Frage aller Fragen. Der Fund einer neuen Subdomain der Apple-Website und Berichte über Veränderungen bei der Bildgenerierung in Image Playground geben erste Anhaltspunkte, was auf der Entwicklerkonferenz WWDC [1] zu erwarten ist.
Dass Apple eine neue Adresse für den Browser einrichtet, erscheint auf den ersten Blick nicht so spektakulär zu sein, wäre da nicht eine ungewöhnliche Bezeichnung. Mit genai.apple.com – entdeckt von Bloggern der Nachrichtenseite MacRumors [2] – bedient sich Apple einer Bezeichnung für generative KI, die man bei Apple bislang Mitbewerbern wie Google und OpenAI überlassen hat. Vorausgesetzt, die entdeckte URL ist nicht nur eine Nebelkerze, könnte sich eine mögliche Abkehr oder Neuausrichtung der Marketingbegriffe abzeichnen.
Neuer Name im Anflug?
Im Jahr 2024 wollte Apple die englischsprachige Abkürzung AI (Artificial Intelligence) mit seiner eigenen Bezeichnung Apple Intelligence neu definieren [3]. Angesichts des langen Wartens auf Funktionen, die es mit den Mitbewerbern aufnehmen können, und der neu eingegangenen Kooperation mit Google, dessen KI-Modelle Verwendung finden sollen, könnte die Marketingabteilung Apples dem Kind einen neuen Namen geben wollen.
Passend dazu berichtet Bloomberg-Reporter Mark Gurman [4] unter Berufung auf namentlich nicht genannte Quellen bei Apple, dass die KI-Verbesserungen auch die bildgenerierende App Image Playground [5] und die Genmojis betreffen sollen. Während die KI-generierte Mischung aus Emojis und eigenen Ideen und Fotos gerade bei der jüngeren Klientel auf positive Resonanz stößt, fiel Image Playground im ersten Anlauf mit deutlichen Einschränkungen bei der Gestaltung auf. Bis heute stellt Apple nur eine kleine Auswahl von Bildstilen zur Verfügung – sie alle eint, dass keine real anmutenden Bilder herauskommen können.
Lässt Apple die Zügel locker?
Mit der Erweiterung um bildgenerative Fähigkeiten von ChatGPT [6] wurde zwar die Qualität der Ergebnisse besser. Nutzer haben seither die Auswahl, ob sie auf Apples KI setzen oder auf ChatGPT. Anders als Apples eigenen Modelle, die Bilder lokal auf dem Gerät generieren, nutzt ChatGPT die Server von OpenAI. Dennoch reicht auch dies nicht an das heran, was Nutzer mit den Bild-KI-Modellen von Google (Nano Banana) oder OpenAI (ChatGPT Images) im Web erreichen können.
Dass Apple infolge der Kooperation mit Google [7] dessen Gemini-Bild-Modelle bereitstellt, klingt wahrscheinlich. In Gurmans Bericht ist von zusätzlichen KI-Modellen von Drittanbietern die Rede. Fraglich ist, ob Apple gleichzeitig die Zügel lockert, was Nutzer mit den Modellen anstellen können. Bislang reduziert sich der Mehrwert von Apples Bild-KI-App vor allem auf den Ansatz, anstelle von Textprompts auf grafische Elemente zu setzen, was vor allem bei KI-unerfahrenen Nutzern willkommen sein dürfte.
Veränderungen bei Apples KI-Fähigkeiten in den Betriebssystemen werden vor allem bei der Sprachassistenz durch Siri erwartet. Die Kurzbefehle-App soll künftig KI-gestützte Erstellung neuer Aktionen ermöglichen. Bereits in Aussicht gestellt wurden KI-unterstützte Funktionen für die Barrierefreiheit.
URL dieses Artikels: https://www.heise.de/-11309637
Diebstahl eines Telefons: Apple arbeitet an Erkennungsverfahren.
(Bild: StockLab / Shutterstock.com)
Apple arbeitet offenbar an einer neuen Inkarnation seiner Stolen Device Protection. Das iPhone soll bald selbst erkennen, wenn es entwendet wurde.
iPhones gehören zu den beliebtesten Alltagsgegenständen, auf die es Diebe abgesehen haben: Apple-Handys sind vergleichsweise teuer, halten lange ihren Wert und sind selbst als Ersatzteillager noch gut weiterzuverkaufen. Nachdem Apple bereits mit iOS 17.3 einen erweiterten Diebstahlschutz implementiert [1] hatte, der die Accountübernahme bei vorherigem Ausspionieren der Geräte-PIN erschwert, soll es mit künftigen Betriebssystemversionen nun eine echte Diebstahlerkennung im Gerät geben.
Diebe lieben entsperrte iPhones
Das berichtet 9to5Mac [2] unter Berufung auf informierte Personen. Bei dem neuen Feature geht es insbesondere um das direkte Entwenden des Geräts aus der Hand des Besitzers. Ist das iPhone gerade in Benutzung und wird dann geklaut, ist es zumeist entsperrt, was zahlreiche Zugriffsmöglichkeiten für Kriminelle bietet.
Professionelle Diebe haben sich darauf bereits spezialisiert, heißt es – sie versuchen dann, den entsperrten Zustand zu nutzen, um an wichtige Daten zu kommen. Im Rahmen des mittlerweile standardmäßig aktiven [3] erweiterten Diebstahlschutzes gibt es zwar inzwischen Zeitverzögerungen [4] für wichtige Aktionen wie Apple-Account-Änderungen, doch sind viele Möglichkeiten eben freigeschaltet, weil User ihr Gerät normal nutzen möchten, wenn es biometrisch entsperrt wurde.
Funktion im iOS-Code entdeckt
Laut dem Bericht setzt der neue Diebstahlschutz auf verschiedene physische Signale. So nutzt Apple offenbar den im iPhone integrierten Beschleunigungssensor, um Klauvorgänge zu detektieren. Mittels maschinellem Lernen gibt es hierfür vermutlich eindeutige Signaturen, die überprüft werden können. Sobald der Klau detektiert wurde, sperrt sich das Gerät dann vollständig. Als weiteres Signal soll zudem der Abstand zu einer möglicherweise vorhandenen Apple Watch gemessen werden – auch dies ein Signal, dass ein iPhone entwendet worden sein könnte.
Schließlich werden laut 9to5Mac auch noch Faktoren überprüft, die der erweiterte Diebstahlschutz nutzt, etwa der Einsatz eines bekannten WLAN-Netzes oder die Tatsache, dass sich das iPhone nicht an einem bekannten Ort (Wohnung und Arbeitsstätte) befindet. Es ist noch unklar, wann die Funktion umgesetzt wird. Entsprechender Code wurde in iOS aber gesichtet. Apple wird iOS 27 im Juni erstmals auf der Entwicklerkonferenz WWDC [5] präsentieren.
URL dieses Artikels: https://www.heise.de/-11309417
Wer viele Spamanrufe, Müllnachrichten per SMS oder iMessage erhält, muss viele Nummern sperren. Das klappt jedoch nicht unendlich.
Fast jeder von uns kennt das Problem: Unsere Nummern sind in etlichen Spamverzeichnissen gelandet und nun erhalten wir regelmäßig unerwünschte Anrufe oder SMS, die es dann zu blockieren [1] gilt. Unter iOS gibt es hierfür allerdings eine Obergrenze, wie Nutzer unter anderem bei Reddit und in Apples offiziellen Supportforen berichten. Gering ist diese zwar nicht, doch bei jahrelanger Benutzung der Funktion kann man zumindest theoretisch an die Schwelle stoßen. Das Problem: Bislang macht Apple dies nicht deutlich. Im Code der Betaversion von iOS 26.6, die seit dieser Woche für Entwickler bereitsteht, legt nun nahe, dass dies verbessert werden soll.
Zum Glück ist die Obergrenze hoch
Apple selbst dokumentiert die Obergrenze an blockierten Kontakten bislang nicht – sie existiert aber. Nutzerangaben reichen von mehreren Tausend Stück über 8000 bis zu maximal 20.000. Wie es zu den unterschiedlichen Angaben kommt, ist unklar – denkbar wäre, dass Apple sie mit der Zeit angehoben hat oder es darauf ankommt, wie viele Felder ein blockierter Kontakt in der Adressdatenbank einnimmt. Die Zahlen dürften recht willkürlich sein, an der benötigten Speichermenge liegt es kaum.
Wir Macrumors berichtet [2], wird iOS 26.6 nun explizit darüber informieren, wenn die „maximale Anzahl blockierter Nummern und Kontakte“ erreicht ist. Das entsprechende Warnfenster nennt sich „Limit der blockierten Kontakte erreicht“. iOS 26.6 bietet dann allerdings auch einen Ausweg: Es wird angeboten, über die Einstellungen bestehende blockierte Kontakte zu löschen, damit neue hinzugefügt werden können.
Blockierte Kontakte löschen
Zu finden ist das Feature unter „Apps“ und „Telefon“. Nervigerweise gibt es aktuell keine Möglichkeit, mehrere blockierte Kontakte schnell zu löschen. Stattdessen entfernt man sie per Wischgeste oder über den Editieren-Bildschirm, wo man dann jeden Kontakt per Klick auf das rote Minus löschen kann. Apple hatte in iOS 26 eine neue Funktion eingeführt, mit der unbekannte Anrufer zunächst befragt werden, was der Grund des Anrufs ist – Nutzer können dann entscheiden, ob sie abnehmen wollen.
Alternativ kann man Anrufe unbekannter Nummern auch direkt zur Sprachmailbox schicken, ohne dass man darüber informiert wird. Schließlich filtert iOS Anrufe und Voicemails unbekannter Anrufer in neue Listen, auch diese dienen dazu, möglichst wenig belästigt zu werden. iOS 26.6 dürfte in den kommenden Wochen öffentlich verfügbar sein, vermutlich bis Ende Juni.
URL dieses Artikels: https://www.heise.de/-11307487
In der Episode diskutiert Eberhard Wolff mit Ingo Eichhorst über die Möglichkeiten zur Produktivitätssteigerung durch den Einsatz von KI.
Steigert der Einsatz von KI tatsächlich die Produktivität – und wenn ja, in welchem Ausmaß? Und wie gut lassen sich die dabei entstehenden Systeme langfristig warten? Zu diesen Fragen gibt es zahlreiche Meinungen.
In dieser Episode sprechen Eberhard Wolff und Ingo Eichhorst [1] über verschiedene wissenschaftliche Studien, die genau diese Themen untersuchen. Sie stellen damit gängigen Einschätzungen fundierte Daten und wissenschaftliche Erkenntnisse gegenüber und schaffen so eine solide Grundlage für eine sachliche Diskussion.
Ingo Eichhorst spricht auch beim TechRiders Summit, der vom 17. Juni bis zum 18. Juni 2026 in Köln stattfindet. Mit dem Code ARCH-TECHRIDER-2026 ist die Teilnahme für Anwenderinnen und Anwender kostenlos.
Livestream am 29. Mai
Die Ausstrahlung findet am Freitag, 29. Mai 2026, live ab 13 Uhr statt. Die Folge steht im Anschluss als Aufzeichnung bereit. Während des Livestreams können Interessierte Fragen via Twitch-Chat, YouTube-Chat oder anonym über das Formular auf der Videocast-Seite [3] einbringen.
software-architektur.tv ist ein Videocast von Eberhard Wolff, iX-Blogger und bekannter Softwarearchitekt [4], der als Head of Architecture bei SWAGLab arbeitet. Zum Team gehören außerdem Lisa Maria Schäfer [5] (Socreatory) und Ralf D. Müller [6] (DB Systel). Seit Juni 2020 sind über 250 Folgen entstanden, die unterschiedliche Bereiche der Softwarearchitektur beleuchten – mal mit Gästen, mal Wolff, Schäfer oder Müller solo. Seit mittlerweile mehr als zwei Jahren berichtet heise Developer über die Episoden.
URL dieses Artikels: https://www.heise.de/-11309347
Die CISA warnt aktuell vor den jüngst beobachteten Lieferkettenangriffen auf TanStack, Daemon Tools sowie Nx Console, die Malware verteilt haben.
Die US-amerikanische IT-Sicherheitsbehörde CISA hat eine Warnung vor den kürzlich entdeckten Supply-Chain-Angriffen auf mehrere Produkte veröffentlicht. IT-Verantwortliche sollten das zum Anlass nehmen, zu prüfen, ob sie unwissentlich mit Malware verseuchte Pakete einsetzen.
Insgesamt warnt die CISA [1] vor drei Vorfällen. An erster Stelle stehen die Daemon Tools, die zwischen dem 8. April und 5. Mai 2026 mit Malware infizierte Installer [2] von Daemon Tools Lite ausgeliefert haben. Die Version 12.6 und neuere der Daemon Tools Lite [3] enthalten keinen Schadcode mehr, versichert der Anbieter. Der Vorfall hat einen CVE-Schwachstelleneintrag erhalten (CVE-2026-8398 [4], CVSS 9.8, Risiko „kritisch“). Ungewöhnlich ist die Dringlichkeit, die die CISA zum Fixen vorgibt: Statt der üblichen zwei Wochen haben US-amerikanische Behörden lediglich bis zum 30. Mai Zeit, die bereinigte Software zu verteilen.
Ein weiterer Lieferkettenangriff erfolgte auf TanStack [5]. Dabei haben die bösartigen Akteure 42 Pakete kompromittiert, mit 84 kompromittierten Versionen. Nach nur 20 Minuten sind die infizierten Pakete aufgeflogen (der CVE-Eintrag spricht gar nur von 6 Minuten am 11. Mai 2026, von 19:20 bis 19:26 Uhr UTC) und seitdem als „deprecated“ markiert, es ist jedoch unklar, wie oft sie installiert wurden. Betroffene sollten ihre Zugangsdaten auf jeden Fall erneuern. Der zugehörige CVE-Schwachstelleneintrag hat die Nummer CVE-2026-45321 [6] erhalten (CVSS 9.8, Risiko „kritisch“).
Dritte Supply-Chain-Attacke
Auch das Entwickler-Tool Nx Console wurde im Mai 2026 Opfer eines Supply-Chain-Angriffs. Die Version 18.95.0 war betroffen, zwischen 12:30 und 13:09 Uhr UTC stand kompromittierte Software zum Download bereit. Das Problem ging offenbar von einer vereinzelten Entwickler-Maschine aus, die eine Woche zuvor ein manipuliertes TanStack-Paket gezogen und dann eingebaut hat. Ein Postmortem-Bericht der Nx-Console-Maintainer [7] geht in die Details. Der Schwachstelleneintrag lautet CVE-2026-48027 [8] (CVSS 9.8, Risiko „kritisch“).
Der letzte Vorfall zeigt, dass eine Kompromittierung durch die Lieferkette rasch und zunächst unbemerkt erfolgen kann. Entwickler sollten gegebenenfalls die eingesetzten Pakete einmal prüfen, ob dort bekannt kompromittierte Pakete hereingerutscht sind.
URL dieses Artikels: https://www.heise.de/-11309253
Microsoft überarbeitet das unsafe-Modell von C# nach dem Vorbild von Rust. Das Ziel: Weniger Speicherfehler und damit auch weniger Sicherheitslücken.
Microsoft will die Speichersicherheit in C# verbessern. Dazu überarbeitet das .NET-Team das bisherige unsafe-Modell mit dem Ziel, unsichere Operationen sichtbarer und überprüfbarer zu machen, was Speicherfehlern und damit auch Sicherheitslücken vorbeugen soll. Live gehen sollen die Änderungen mit C# 16, das voraussichtlich Ende 2027 erscheint.
KI-Coding begünstigt Speicherfehler
Das bisherige unsafe-Modell ist so alt wie das 2002 erschienene C# 1.0 [1]. Änderungsbedarf bestehe nun aber unter anderem wegen der hohen Geschwindigkeit KI-gestützter Softwareproduktion, denn die skaliere schneller als die menschliche Überprüfung, was zu mehr Speicherfehlern führen könne. Das schreibt .NET-Produktmanager Richard Lander in einem ausführlichen Blogpost [2].
Da viele Sicherheitslücken auf Speicherfehler zurückgehen, empfehlen internationale Sicherheitsbehörden schon seit Längerem [3], speichersichere Programmiersprachen in der kommerziellen Softwareentwicklung zu nutzen, wobei auch Rust explizit genannt wird.
Kein Versteckspiel mehr
Unsicheren Code blockiert C# bereits standardmäßig, doch das neue Sicherheitsmodell [4] soll einen deutlich größeren Bereich abdecken. Dafür hat sich das .NET-Team von Rust inspirieren lassen und will Rusts Konzept der Sichtbarkeit und Weitergabe von Unsicherheit sowie dessen Syntax für C# übernehmen.
Das neu definierte Schlüsselwort unsafe greift künftig auf Member-Ebene statt auf Typ-Ebene, also dort, wo ein konkreter unsicherer Speicherzugriff stattfindet, etwa in einer bestimmten Methode oder Eigenschaft.
Des Weiteren gelten Pointer‑Typen nicht mehr automatisch als unsicher, sondern erst dann, wenn sie auf den Speicherinhalt zugreifen. Das soll verhindern, dass Sicherheitsregeln und ‑annahmen versteckt oder stillschweigend vorausgesetzt werden. Nun sollen sie für Entwicklerinnen und Entwickler klarer erkennbar und nachprüfbar sein, so Richard Lander.
Für .NET 11 und C# 15 plant Microsoft eine Opt-in-Vorschau des neuen unsafe-Modells. Die endgültige Version soll vermutlich Ende 2027 mit C# 16 und .NET 12 kommen. Um die Nutzung des neuen Sicherheitsmodells zu fördern, könnte es auf NuGet.org [5], dem Paket-Repository für .NET, künftig spezielle Badges für entsprechende Bibliotheken von Package‑Maintainern geben.
URL dieses Artikels: https://www.heise.de/-11309281
Angreifer können an mehreren Sicherheitslücken in IBM HTTP Server, License Metric Tool, WebSphere Application Server ansetzen. Patches schaffen Abhilfe.
Nutzen Angreifer Softwareschwachstellen in IBM HTTP Server, License Metric Tool v9, WebSphere Application Server und WebSphere Application Server Liberty erfolgreich aus, können sie Systeme lahmlegen oder sogar vollständig kompromittieren. Admins sollten die dagegen abgesicherten Versionen zeitnah installieren.
Remote Code Execution
In einer Warnmeldung führen die Entwickler aus [1], dass HTTP Server über insgesamt neun Sicherheitslücken angreifbar ist. Eine Schwachstelle (CVE-2026-9170) gilt als „kritisch“. Weil Eingaben nicht ausreichend überprüft werden, können Angreifer mit nicht näher spezifizierten Anfragen an der Lücke ansetzen. Im Anschluss kommt es zu Abstürzen (DoS) oder es kann zur Ausführung von Schadcode aus der Ferne kommen.
Die verbleibenden Schwachstellen sind zum Großteil mit dem Bedrohungsgrad „hoch“ eingestuft. Hier sind in erster Linie DoS-Attacken möglich. Um Server zu schützen, müssen Admins wie in einem Beitrag beschrieben, [2] als Zwischenlösung einen Fix installieren. Sicherheitsupdates sind für das dritte Quartal angekündigt.
Weitere Gefahren
IBM License Metric Tool v9 [3] ist über zahlreiche Sicherheitslücken in verschiedenen Komponenten wie dem HTTP-Client Axios, dem Ruby-Web-Server-Interface Rack und jose4j angreifbar. An dieser Stelle müssen Admins die Version 9.2.43.1 installieren.
FreshRSS 
