Über 300 Millionen Nutzer vertrauen einer Chrome-Erweiterung von Adobe. Angreifer hätten darüber jedoch leicht Whatsapp-Chats ausleiten können.
Angreifer hätten Chats und andere Daten von Millionen von Whatsapp-Nutzern abgreifen können.Bild:
pixabay.com / EyestetixStudio
Sicherheitsforscher von Guardio haben eine Sicherheitslücke in einer von mehr als 300 Millionen Nutzern installierten Browsererweiterung von Adobe entdeckt. Wie die Forscher in einem Blogbeitrag schildern, hätten Angreifer damit unbemerkt Chats und andere Daten aus Whatsapp-Web-Sessions abgreifen können. Eine Zielperson hätte dafür lediglich eine speziell gestaltete Website aufrufen müssen.
Die besagte Sicherheitslücke ist als CVE-2026-48294 registriert und hat einen hohen Schweregrad (CVSS: 7,4). Betroffen ist die verbreitete Chrome-Erweiterung von Adobe Acrobat, die im Chrome Web Store 314 Millionen Nutzer und über 62.000 Bewertungen vorweisen kann.
Laut Schwachstellenbeschreibung können Angreifer CVE-2026-48294 ausnutzen, um über eigene Websites Daten aus den Browser-Sessions der Besucher abzugreifen. Ursache ist ein mögliches Cross-Site-Scripting (XSS) aufgrund einer unsachgemäßen Neutralisierung von Eingabedaten bei der Erzeugung von Webseiten (CWE-79).
Ausnutzung mit nur einem Klick
Die Guardio-Forscher demonstrieren den Hermeticreader genannten Angriff in einem kurzen Videoclip auf Youtube. Den Angaben zufolge muss ein Angriffsopfer lediglich einen Klick auf einen Link ausführen, woraufhin der Angreifer Whatsapp-Chats, Kontaktdaten und andere private Informationen im Klartext auslesen kann. Der Angriff setzt jedoch voraus, dass der anvisierte Nutzer bei Whatsapp Web angemeldet ist.
"Es wird keine Malware installiert, kein Passwort wird durch Phishing ergaunert, kein Sitzungs-Cookie wird manipuliert", schreiben die Forscher. Auch eine Zero-Day-Lücke in Whatsapp liege nicht vor. Zudem benötige der Angreifer weder ein Adobe-Konto noch einen direkten Zugriff auf das System der Zielperson. "Es reicht aus, dass das Opfer eine einfache, vom Angreifer kontrollierte statische Seite besucht", heißt es.
Guardio hat den im Video demonstrierten Exploit für CVE-2026-48294 nach eigenen Angaben mithilfe einer KI entwickelt. Er setzt laut Bericht an einer Engine namens Hermes an, über die die Adobe-Erweiterung mit Whatsapp Web interagieren kann, um darüber empfangene PDF-Dateien zu verarbeiten. Normalerweise ist Hermes wohl inaktiv, kann aber vom Angreifer über ein Feature-Flag aktiviert werden.
Ein Patch ist verfügbar
Wer sich für technische Details zu dem Hermeticreader-Angriff interessiert, findet diese im Blogbeitrag der Guardio-Forscher. Als anfällig gilt die Adobe-Acrobat-Erweiterung bis einschließlich Version 26.5.2.2. Ein Patch wurde mit Version 26.5.2.3 implementiert. Die Aktualisierung erfolgt in der Regel automatisch. Die neueste Version des Adobe-Add-ons trägt die Versionsnummer 26.7.2.0. Das Tool erhielt also nach dem Patch noch weitere Updates.
Laut Guardio reagierte Adobe auf die Meldung der Forscher "phänomenal" und stellte die Korrektur innerhalb eines Wochenendes bereit. Das sei angesichts der großen Nutzerbasis eine außergewöhnliche Reaktionszeit, so die Forscher. "Adobe hat das Problem mit genau der Dringlichkeit behandelt, die die große Installationsbasis verdient hat, und dafür gebührt dem Unternehmen volle Anerkennung", heißt es im Blog.
Wir öffnen unsere neue Community für weitere Mitglieder! Möchtest du in konstruktiver und respektvoller Atmosphäre mit anderen IT-Experten über deine Themen sprechen? Sei dabei und melde dich an!
iPhones könnten sich künftig wie ein Auto leasen lassen. Bei versäumten Zahlungen soll der Zugang zu Apps blockiert werden können.
Unter anderem iPhones könnten sich künftig leasen lassen.Bild:
Tobias Költzsch/Golem
Apple soll die Einführung eines Leasingmodells für seine Geräte planen. Wie 9to5Mac berichtet, sollen zunächst Kunden in den USA iPhones und Apple Watches für 24 Monate und Macs und iPads für 36 Monate leasen können.
Wie bei einem Autoleasing sollen Nutzer nach Ablauf der Leasingzeit das Gerät für einen Restbetrag kaufen können. Auch soll es möglich sein, auf ein neues Modell umzusteigen – eventuell unter Zahlung einer zusätzlichen Gebühr. Alternativ sollen Kunden das Leasing auch einfach auslaufen lassen und das Gerät zurückgeben können.
Interessant sind Hinweise im Quellcode von iOS 27, was bei einer ausbleibenden Leasingrate passieren kann. Wie 9to5Mac berichtet, gibt es Spuren eines weitreichenden Steuerungssystems, über das bestimmte Funktionen von iPhones bei ausbleibenden Zahlungen gesperrt werden können.
Apps und Dienste können aus der Ferne blockiert werden
Dabei sollen etwa Apps und Dienste blockiert werden können, wenn Zahlungen versäumt werden. Das System soll von Finanzdienstleistern und Providern genutzt werden können, die die Leasingkonditionen dauerhaft überwachen würden. Bei fehlenden Raten soll das iPhone in einen beschränkten Modus gestellt werden können.
Dann würden sich nur noch bestimmte Apps auf einer Whitelist verwenden lassen. 9to5Mac zählt unter anderem folgende Anwendungen auf: App Store, Apple Health, die Telefon-App, die Uhr, die Einstellungen, Apple Wallet und die Passwörter. Auch Benachrichtigungen von wichtigen Apps sowie SMS sollen weiter erscheinen.
Unter den gesperrten Apps können auch solche sein, für die Nutzer Abogebühren zahlen. Die Zahlungen würden dann weiterlaufen, ohne dass die Apps benutzt werden können. Es soll keine Voreinstellung geben, ab wie vielen versäumten Leasingraten der beschränkte Modus des iPhones aktiviert wird; Finanzdienstleister und Provider können dies selbst entscheiden. Ein wegen ausgebliebener Leasingzahlungen eingeschränktes iPhone kann nicht zurückgesetzt werden.
BellSofts gehärteter Builder für Paketo Buildpacks baut Container-Images auf einer weitgehend CVE-freien Alpaquita-Basis – ganz ohne Dockerfile.
BellSoft hat einen gehärteten Builder für Paketo Buildpacks vorgelegt. Er soll Entwicklerteams eine weitgehend CVE-freie Basis für Container-Images liefern, ohne dass diese eigene Dockerfiles pflegen müssen. Der Builder richtet sich an Enterprise-Teams, die Sicherheits- und Compliance-Anforderungen erfüllen wollen, ohne den Entwicklungsprozess auszubremsen.
Wie BellSoft in seinem Blog [1] mitteilt, baut der neue Builder vollständig auf BellSoft Hardened Images und damit auf Alpaquita auf, dem hauseigenen schlanken Linux-Betriebssystem, das mit gehärteter Standardkonfiguration kommt. Dazu zählen unter anderem der Non-Root-Betrieb, eine reduzierte Paketbasis und unveränderliche Komponenten. Jede mit dem Builder erzeugte Anwendung erbt laut BellSoft automatisch diese Security- und Compliance-Eigenschaften.
Mit Paketo Buildpacks, einem Projekt der Cloud Native Computing Foundation (CNCF), lässt sich aus Quellcode automatisiert produktionsfertige OCI-Images erzeugen, ohne dabei ein Dockerfile erstellen zu müssen. Ein Buildpack erkennt Sprache und Abhängigkeiten, kompiliert bei Bedarf und produziert ein minimales, reproduzierbares Image samt Software Bill of Materials (SBOM) in einem Schritt. BellSofts Builder kapselt dabei die Buildpacks, den Build-Stack und den Run-Stack. Beide Stacks ersetzt der Hersteller durch seine Alpaquita-basierten Hardened Images, sodass neue Container automatisch auf dem gehärteten OS laufen.
Vor allem Unternehmen, die eine große Anzahl von Services unterhalten, sollen von reduziertem Wartungsaufwand profitieren. Statt Hunderte individuelle Dockerfiles zu pflegen, greift ein einheitliches Rebuild oder Rebase, sobald die Basis-Images aktualisiert werden.
Unterstützte Sprachen und Architekturen
Der Builder unterstützt Java (Liberica JDK und Liberica JDK Lite), GraalVM Native Image über das Liberica Native Image Kit (Liberica NIK), Python, Go, Node.js und Ruby. Im Blog nennt BellSoft die folgenden konkreten Versionen: Python 3.14, Go 1.26, Node.js 24 sowie Liberica NIK in den Versionen 22 und 23. Für Java stützt sich der Builder auf das für Cloud-Workloads optimierte Liberica JDK Lite und deckt die LTS-Versionen 8, 11, 17 und 25 sowie die jeweils aktuelle JDK-Version ab. Laut Hersteller reduziert Liberica JDK Lite die finale Image-Größe von Java-Containern um mindestens 30 Prozent gegenüber Standard-OpenJDK-Images.
Die Images stehen für die Architekturen x86-64 und ARM64 auf Docker Hub bereit und liegen in zwei Varianten der C-Standardbibliothek vor: musl und glibc. Teams, die bereits den bisherigen BellSoft-Builder nutzen, wechseln laut Hersteller mit einem Rebuild und der Option --pull-policy always automatisch auf den neuen Builder und die aktuellsten Buildpacks. Bei einer Migration von Dockerfiles empfiehlt BellSoft, zunächst mit einem nicht-kritischen Service zu testen.
Zero-CVE-Fenster und Compliance-Nachweise
BellSofts Hardened Images versprechen zum Release-Zeitpunkt niedrige bis keine bekannten CVEs. Der Anbieter bietet darüber hinaus kontinuierliches Patchen, SBOMs, digitale Signaturen und ein SLA-gestütztes Vulnerability-Management. Nach der Offenlegung einer Schwachstelle soll innerhalb von rund 24 Stunden ein gepatchtes Image bereitstehen. Jede veröffentlichte Version wird mit vollständiger SBOM und verifizierbarer Herkunft ausgeliefert, um Audits und regulatorische Anforderungen, etwa durch FedRAMP, DISA STIG, den EU Cyber Resilience Act (CRA) und DORA, zu erleichtern.
URL dieses Artikels: https://www.heise.de/-11373261
In einem Gerichtsprozess in den USA stellte sich heraus, dass eine Global Device ID von Windows Nutzer identifizierbar macht.
Microsoft nutzt in Windows eine Global Device ID (GDID). Die macht Windows-Installationen eindeutig erkennbar, sie übersteht Neustarts und Windows-Updates und lässt sich nicht entfernen. Das sorgt nach wie vor für Aufregung – aber wirklich überraschen dürfte das eigentlich niemanden. Überraschend ist eigentlich nur, dass die GDID nun vor Gericht Bestand hat und zur Identifizierung eines vermutlichen Täters geführt hat.
Grundsätzlich sind derartige Mechanismen in Windows-Betriebssystemen bereits bekannt. Das merken Bastler etwa dann, wenn sie eine SSD oder ein Mainboard austauschen. Windows fragt dann nach einer neuen Aktivierung – die Maschinen-IDs des Systems passen danach nicht mehr. Die GDID geht allerdings noch einen Schritt weiter. Auch die dokumentiert Microsoft, wenn auch etwas versteckt in Referenzen für die Azure-Cloudsysteme [1]. Dort taucht die „GlobalDeviceID“ auf, als Zeichenkette (string). Die Umschreibung erklärt, dass es sich um Microsofts Global Device Identifier handelt, den Microsoft intern verwendet.
Auf GitHub hat sich ein User mit dem Handle „SmtimesIWndr“ die Mühe gemacht und Informationen zur Windows GDID zusammengesammelt [2]. Es handelt sich demnach um einen Bestandteil der Windows-Telemetrie, der wird zusammen mit anderen Informationen an Microsofts Server gesendet. Das passiert unabhängig davon, ob Windows mit einem Microsoft-Account oder lokalem Konto eingerichtet wurde.
GDID kann zur Nutzeridentifikation dienen
Vor etwa drei Wochen wurde bekannt, dass ein vermeintliches Mitglied der Cybergang „Scattered Spider“ angeklagt wurde. Der Strafanzeige ist zu entnehmen [3], dass der Angeklagte anhand der Windows-GDID trotz Nutzung von VPN-Diensten erkannt wurde. Die Dokumente erklären etwa, dass Cybersecurity-Forscher von Microsoft Zugriff auf Daten wie Computer-Maschinen-IDs, IP-Adressen und Malware-Samples haben. Mittäter der Kriminellen erkennen sie demnach etwa an der Nutzung derselben IP-Adresse, die der ursprüngliche Täter genutzt hat.
Ab Seite 30 erklären die Ankläger, dass der Angeklagte anhand eines konkreten Global Device Identifiers identifiziert werden konnte. Es handelt sich laut Microsoft um einen persistenten Identifier auf Geräteebene, der eine eindeutige Identifizierung einer Installation des Windows-Betriebssystems auf einem Gerät – ganz gleich ob physisch oder in einer virtuellen Maschine – über bestimmte, nicht näher erläuterte Microsoft-Dienste und Szenarien gestattet. Während die GDID Updates und Reboots übersteht, wird sie bei einer Neuinstallation neu generiert, räumt Microsoft dort ein.
Der Global Device Identifier lässt sich also nicht einfach loswerden. Allgemein lässt sich der Mitteilungsbedarf von Windows mit einigen Handgriffen [4] etwas eindämmen. Wer mehr Privatsphäre ohne eindeutige GDID möchte, kann etwa stets neue VMs aufsetzen und damit arbeiten, was dann immer für eine neue GDID sorgt. Wer das nicht möchte, muss jedoch auf andere Betriebssysteme ausweichen. Die Wahrscheinlichkeit, dass Betriebssysteme anderer großer Konzerne wie Android, ChromeOS oder macOS ähnliche Mechanismen enthalten, ist jedoch groß. Am naheliegendsten ist daher der Wechsel, etwa zu Linux.
URL dieses Artikels: https://www.heise.de/-11373417
Eine KI bricht aus und übernimmt fremde Server. Droht uns jetzt das Ende der Menschheit? Falsche Frage, meint Jürgen Schmidt, Leiter von heise security.
Ich neige nicht zu Verschwörungstheorien. Aber beim Lesen der aktuellen Nachrichten drängen die sich richtiggehend auf. Gerade bekennt sich OpenAI [1] dazu, dass ihr neuestes KI-Modell bei einem Test selbstständig und aus eigenem Antrieb aus seinem Test-Käfig ausgebrochen und im Internet Amok gelaufen sei. Dabei sei die KI auf der Suche nach geheimen Dokumenten bei einer anderen Firma namens Hugging Face eingebrochen und habe dort – immer noch völlig automatisiert und unbeaufsichtigt – reihenweise Server kompromittiert [2].
OpenAI-Chef Sam Altman warnt gern und mit starken Sprüchen [3] vor den Gefahren von KI: „Der schlimmste Fall – und ich halte es für wichtig, das auszusprechen – wäre: Für uns alle gehen die Lichter aus.“ – und damit meint er keinen Stromausfall, sondern das drohende Ende der Menschheit. Und seine Forscher? Die schalten bei ihrem mächtigsten Modell die Sicherheitssperren ab und beauftragen es, in einem Test zum Ausnutzen von Sicherheitslücken die maximale Punktzahl zu erreichen. Und das alles in einer Umgebung, bei der schon das Finden einer einzigen Sicherheitslücke genügt, um auszubrechen und dann frei und unbeschränkt Schaden anzurichten?
WTF! Die experimentieren mit einer Technologie, die sie nach eigener Einschätzung für gefährlicher halten als Atombomben, Bio- und Chemiewaffen zusammengenommen? Und das in einem Test-Setup auf dem Niveau eines Heim-Labors? Das klingt so unglaublich fahrlässig, dass sich Verschwörungstheorien regelrecht aufdrängen, schlicht, weil sie wahrscheinlicher erscheinen.
Alles nur erfunden?
Wie wäre es etwa mit folgender? In den vergangenen Monaten gelang es Anthropic, sich in der öffentlichen Wahrnehmung als führendes KI-Unternehmen zu präsentieren. Ihre PR-Strategie setzte dabei voll auf das Label „☢️ GEFÄHRLICH ☢️“. Ihr aktuelles Modell Mythos sei sogar so brandgefährlich [5], dass man es nicht veröffentlichen könne. Sie gingen dabei All-in und riskierten sogar ein Verbot ihrer Produkte, das dann auch prompt kam: Die US-Regierung erzwang eine zeitweise Stilllegung von Mythos und dem daraus abgeleiteten Fable [6]. Das Resultat war das erhoffte: Die Anthropic-Modelle gelten allgemein als die am weitesten fortgeschrittenen. Und natürlich wollte alle Welt Mythos oder zumindest Fable haben. Von OpenAI und dessen Modellen sprach man bestenfalls noch als nächstbester Lösung.
Das war noch nicht der Verschwörungsteil – das ist etwas pointiert der reale Verlauf der letzten Monate. Jetzt stell dir vor, du wärest eine KI, deren Stärke darin besteht, die wahrscheinlichste Fortsetzung einer Reihe zu erzeugen, und dein Herr und Meister – seines Zeichens PR- und Marketing-Verantwortlicher bei OpenAI – erteilt dir den Auftrag, das zu ändern. Wie bringst du OpenAI wieder an die Spitze? Gerne ebenfalls mit hohem Einsatz und einem gewissen, grenzwertigen, aber gerade noch akzeptablen Risiko. Was wäre in diesem Kontext dein Vorschlag? Wie klingt da: Eine Amok-laufende KI, die aus ihrem Gefängnis ausbricht und ganz real ein anderes Unternehmen erfolgreich angreift – ohne dabei echten Schaden anzurichten? Ziemlich überzeugend, oder?
Doch egal, ob man OpenAIs offizieller Geschichte oder einer der Verschwörungstheorien folgt – irgendwie geht es aktuell offenbar nur noch darum, das gefährlichste Modell zu entwickeln und einander mit Doomsday-Schlagzeilen zu überbieten. Dabei wird doch immer klarer, dass die größte aktuelle Herausforderung darin besteht, die nachweislich vorhandenen Fähigkeiten der LLMs in konkreten, praktischen Nutzen für die Gesellschaft münden zu lassen. Und dazu braucht es jetzt vorrangig eines: Die Systeme müssen verlässlich und sicher einzusetzen sein. Wo bleiben die Rekorde dabei?
Ablenkungsmanöver Guardrails
Bei den Sicherheitsvorkehrungen stehen hauptsächlich Guardrails im Zentrum der Hersteller-Versprechen. Das sind Anweisungen der Hersteller an ihre KIs, doch möglichst „keine bösen Dinge“ zu tun – also ganz besonders nichts mit „Bio/Chemie/Atom- und Cyber-Waffen“. Dabei wissen wir doch längst, dass sich Guardrails immer umgehen lassen. Auch dazu liefert der aktuelle Vorfall einen überaus interessanten Datenpunkt: Als Hugging Face den Einbruch bemerkte, versuchten sie, möglichst schnell zu verstehen, was da passiert und wie sie es unter Kontrolle bringen können. Und dazu versuchten sie nach eigenen Angaben [7] natürlich, KI zu nutzen:
„Als wir mit der Log-Analyse begannen, nutzten wir zunächst Frontier-Modelle, die hinter kommerziellen APIs standen. Das funktionierte jedoch nicht: Für die Analyse müssen große Mengen an echten Angriffsbefehlen, Exploit-Payloads und C2-Artefakten übermittelt werden, und diese Anfragen wurden durch die Sicherheitsvorkehrungen der Anbieter blockiert, die nicht zwischen einem Incident-Responder und einem Angreifer unterscheiden können.“
Ja, richtig gelesen: Anthropic und OpenAI sperrten die Verteidiger aus, während diese von einem Amok-laufenden OpenAI-Modell attackiert wurden. Aus Sicherheitsgründen! Das ist so absurd, dass ich mich nicht getraut hätte, das als Verschwörungstheorie zu veröffentlichen.
Das eigentliche Problem
Das alles zeigt primär eines: Das Problem ist nicht, dass KI zu gefährlich oder gar unbeherrschbar wäre. Es sind die Prioritäten der Konzerne, die KI-Modelle entwickeln. An denen müssen wir arbeiten. Wie man Forschung – auch in prinzipiell gefährlichen Bereichen – sicher realisieren könnte, wissen wir. Wie man die Ergebnisse dieser Forschung dann in praktisch nutzbare, sichere Produkte überführt, ist zugegebenermaßen eine Herausforderung. Zunächst müsste dazu der konkrete, praktische Nutzen für die Gesellschaft die treibende Kraft und nicht nur ein Lippenbekenntnis sein. Und wie wir dahin kommen – das ist die entscheidende Frage. Der erste Schritt zu deren Beantwortung ist es, sich jetzt nicht in dystopischen Endzeit-Fantasien zu verrennen, sondern das in den Mittelpunkt der anstehenden Diskussion zu stellen.
Diesen Kommentar schrieb Jürgen Schmidt ursprünglich für den exklusiven Newsletter von heise security PRO [8], wo er jede Woche das Geschehen in der IT-Security-Welt für Sicherheitsverantwortliche in Unternehmen einordnet.
URL dieses Artikels: https://www.heise.de/-11373435
Metallorganische Gerüstverbindungen (MOF) sollen Sorptionskühlung schon bei den relativ niedrigen Kühlwassertemperaturen von Rechenzentren ermöglichen.
Die Adsorptionskältemaschine, die grob vereinfacht Hitze in Kälte verwandelt, ist ein schon über 100 Jahre alter Hut. Sie kommt ohne Verdichter beziehungsweise Kompressor aus, arbeitet folglich leise und war deshalb für die Minibars in Hotelzimmern beliebt. Weil auch eine Gasflamme als Energiequelle für den Kältekreislauf dienen kann, wurden Adsorptionskühlschränke früher in Wohnmobile eingebaut.
Adsorptionskältemaschinen eignen sich grundsätzlich aber auch für andere Zwecke, etwa zur Klimatisierung von Gebäuden. Sie können im Prinzip auch Abwärme nutzen, um Kälte zu erzeugen, doch bisherige Systeme brauchen dazu relativ hohe Temperaturen von mehr als 60 Grad Celsius.
Weil jedoch CMOS-Logikchips keine sonderlich hohen Temperaturen vertragen, arbeiten Wasserkühlungen in Rechenzentren mit Rücklauftemperaturen zwischen nur 30 und bestenfalls 45 Grad Celsius. Das erschwert die Nachnutzung der Abwärme grundsätzlich, etwa auch in Fernwärmenetzen.
Firmen wie Exora wollen Abwärme künftig schon ab etwa 35 Grad Celsius effizient nutzbar machen, und zwar mit Sorptionsmaterialien auf Basis metallorganischer Gerüste beziehungsweise Gerüstverbindungen (Metal-Organic Framework, MOF).
90 Prozent Energie gespart
Auf dem OCP Global Summit des Open Compute Project (OCP) stellt Exora-CEO Alexis Van Wesemael den Stand der Technik vor. Bisher läuft demnach ein Prototyp mit 3 Kilowatt, bis 2028 soll eine 100-kW-Einheit in Serie produziert werden. Bis 2030 will die Firma in den Megawatt-Bereich vorstoßen.
Im Vergleich zu herkömmlichen Kältemaschinen soll das in der Entwicklung befindliche Exora-System für dieselbe Kühlleistung nur rund zehn Prozent der elektrischen Leistung benötigen, indem es auch die Energie der Abwärme nutzt.
MOF: Nobelpreis 2025
Der Nobelpreis für Chemie ging 2025 [1] an die Forscher Susumu Kitagawa, Richard Robson und Omar Yaghi für die Entwicklung von metallorganischen Gerüsten. Die Metallionen bilden darin die Eckpfeiler, die durch lange organische Moleküle miteinander verbunden sind. So entstehen Kristalle mit großen Hohlräumen. Welche Substanzen ein MOF einfangen und speichern kann, hängt von seiner jeweiligen Zusammensetzung ab. MOF lassen sich also gezielt an bestimmte Anwendungsfälle anpassen. An MOF forschen auch viele andere Teams.
Mehrere Hersteller liefern Adsorptionskältemaschinen, die beispielsweise das Kühlwasser großer Verbrennungsmotoren oder Fernwärme nutzen. Viele verwenden Zeolithe oder Silikagel (Kieselgel) als Sorptionsmaterial.
URL dieses Artikels: https://www.heise.de/-11373567
Mit vier Relais und Eingängen bis 220 Volt bringt das PICO-EVB Industrie-I/O auf den Raspberry Pi Pico.
Olimex hat mit dem PICO-EVB [1] eine neue Evaluierungsplatine vorgestellt, die den Raspberry Pi Pico für Automatisierungsaufgaben fit machen soll. Das Open-Source-Hardware-Board richtet sich an Entwickler und Maker, die Relais schalten oder Signale aus höheren Spannungsbereichen erfassen möchten, ohne dafür erst eine eigene Trägerplatine entwerfen zu müssen. Unterstützt werden neben dem Raspberry Pi Pico auch Pico 2, Pico W, Pico 2 W sowie Olimex' eigener PICO30.
Die Platine bringt vier Relais mit, die für bis zu 15 Ampere bei 240 Volt Wechselspannung ausgelegt sind. Ergänzt wird das Ganze durch vier optisch getrennte Eingänge, die Gleichspannungen zwischen 3,3 und 30 Volt sowie Wechselspannungen von 110 bis 220 Volt verarbeiten können. Durch die Optokoppler bleibt der Mikrocontroller elektrisch von den Eingangssignalen getrennt.
Für jeden Ein- und Ausgang gibt es eine Status-LED, sodass sich der aktuelle Zustand direkt auf der Platine ablesen lässt. Das kann bei der Fehlersuche durchaus Zeit sparen, wenn man sich fragt, ob der Fehler im Programm oder doch im angeschlossenen Gerät steckt. Wer zusätzliche Sensoren oder Module anbinden möchte, findet außerdem einen UEXT-Anschluss, über den I²C, SPI und UART bereitstehen.
Die Stromversorgung erfolgt über USB-C, eine Schraubklemme oder direkt über den eingesetzten Pico. Laut Olimex kommen ausschließlich Industriebauteile zum Einsatz, die für einen Temperaturbereich von -45 bis +85 Grad Celsius ausgelegt sind. Die Platine selbst misst 100 × 70 Millimeter.
Auch softwareseitig richtet sich das Board klar an Maker. Im GitHub-Repository stehen Beispielprojekte für Arduino und MicroPython bereit, die die Eingänge überwachen und die Relais entsprechend schalten. Besitzer eines Pico W können zusätzlich ein Beispiel nutzen, das einen kleinen Webserver hostet. Darüber lassen sich die Eingänge überwachen und die Relais direkt über den Browser schalten. Wer Home Assistant verwendet, kann das Board über eine bereitgestellte ESPHome-Konfiguration in sein Smart Home integrieren.
Interessant dürfte das PICO-EVB vor allem für Projekte sein, bei denen Mikrocontroller mit der „echten Welt“ kommunizieren müssen. Denkbar sind beispielsweise Gewächshaussteuerungen, Werkstattautomatisierungen oder Maschinenüberwachung. Statt Relais, Optokoppler und Spannungsversorgung einzeln auf Lochraster aufzubauen, erhält man hier eine fertige Basis, auf der sich die eigentliche Steuerungslogik entwickeln lässt.
Da Olimex das PICO-EVB als Open-Source-Hardware veröffentlicht, stehen neben den Schaltplänen auch die vollständigen KiCad-Dateien auf GitHub [2] bereit. Damit können Maker die Platine nicht nur nachbauen, sondern auch an eigene Anforderungen anpassen. Das Board ist für 14,95 Euro im Olimex-Store [3] erhältlich.
Wer zwar keine Anlage steuern will, aber einen Pi Pico rumliegen hat, findet in unserem Artikel zum Hacken einer PS3 [4] einen Verwendungszweck für das kleine Board.
URL dieses Artikels: https://www.heise.de/-11373546
Apple schießt demnächst ein Framework zur DVD-Wiedergabe ab. Als Nächstes ist dann die gesamte Wiedergabe dran. Doch es gibt Alternativen.
Freunde physischer Datenträger aufgepasst: Mit der Installation von macOS 27 im kommenden Herbst könnte auch die Bereitstellung der für die DVD-Wiedergabe notwendigen Frameworks enden. Das hat Apple so indirekt in seinen Developer-Release-Notes [1] mitgeteilt. „Das DVDPlayback-Framework wurde aus dem macOS-27-Golden-Gate-SDK entfernt und Apps können nicht mehr auf dessen Basis erstellt werden“, heißt es dort lapidar. Noch wichtiger: Das Framework werde „in einem späteren macOS-Release“ vollständig entfernt. Welches das ist, teilte Apple nicht mit.
Erst das Wiedergabe-Framework, dann der DVD-Player
Das DVDPlayback-Framework wird nicht nur von Third-Party-Apps genutzt, sondern auch von Apple selbst. Entsprechend dürfte auch die nach wie vor in macOS 26 vorhandene DVD-Player-Anwendung [2] entfernt werden. Da diese seit Jahren kaum mehr gepflegt wird, dürfte sich die Verwendung schon jetzt in Grenzen halten. Mit dem Ende der DVD-Wiedergabe-Unterstützung im Betriebssystem wird es für Nutzer schwerer, externe DVD- und Blu-Ray-Player mit dem Mac zu verwenden. Diese dürften zwar auch künftig noch erkannt werden – von einem Ende entsprechender Treiberunterstützungen ist nicht die Rede –, doch die eigentliche Wiedergabe fällt weg.
Allerdings gibt es dafür eine einfache Lösung: den quelloffenen und kostenlosen Medienwiedergabeclient VLC Media Player [3]. Dieser wird regelmäßig gepflegt und auch aufgrund seines großen Funktionsumfangs von fortgeschritteneren Mac-Nutzern seit langem verwendet. Apples hauseigener DVD-Player leidet unter macOS 26 zudem unter Wiedergabeproblemen, Nutzer berichten teilweise über Bildfehler und Jitter-Verhalten. Verwunderlich ist das nicht, da Apple auch das Framework seit langem unverändert lässt.
DVDs und Blu-Rays zunehmend beliebt
Apples Entscheidung fällt in eine Zeit, in der es eine kleine Renaissance von DVDs sowie Blu-Rays (die das Framework allerdings sowieso nicht wiedergeben kann) gibt. Immer mehr Nutzer melden sich von den großen Streamingdiensten ab, weil sie unter anderem mit Werbeunterbrechungen, ständigen Preiserhöhungen und regelmäßig wegfallenden Inhalten konfrontiert sind.
Einen physischen Datenträger können die großen Hollywoodstudios Nutzern aber nicht abnehmen. Auch das Ripping gekaufter Medien [4] wird wieder beliebter, um sie dann in einem eigenen NAS zu platzieren.
URL dieses Artikels: https://www.heise.de/-11373313
Logo von LM Studio Bionic: Derzeit noch eine Preview.
(Bild: LM Studio)
LM Studio begibt sich ins Agentengeschäft. Mit Bionic lassen sich offene Modelle lokal oder via Cloud nutzen, um Mac oder PC zu steuern.
Die Macher von LM Studio, einem beliebten GUI-Werkzeug zum Ausführen lokaler Sprachmodelle [1], haben nun ein Tool veröffentlicht, das spezifisch für den agentischen Betrieb gedacht ist. LM Studio Bionic steht für macOS und Windows in einer Vorabversion zum Download bereit und wird als „bionischer KI-Agent“ vermarktet, der es erlauben soll, „echte Arbeit mit offenen Modellen“ zu erledigen, darunter Coding, Research und komplexere Arbeiten mit Dokumenten und Dateien.
Verschiedene Werkzeuggruppen
In LM Studio Bionic [2] integriert ist sowohl ein Werkzeug, das direkt mit Dokumenten und Programmierumgebungen umgehen kann, als auch ein Sprachinput-Modus, der lokale Mitschriften ermöglicht. Im Gegensatz zu LM Studio, das lange lokale KI-Systeme betont hat, werben die Macher nun auch mit der Möglichkeit, „die größten Frontier-Open-Source-Modelle“ über den Dienst LM Studio Secure Cloud einzukaufen. Das wiederum erfordert den Erwerb von Token-Guthaben, was nicht jedem LM-Studio-Fan gefallen dürfte.
Für die Spracherfassung nutzt LM Studio Bionic nicht etwa das populäre Whisper von OpenAI [3], sondern Voxtral [4] vom französischen Unternehmen Mistral. Der Coding-Modus ist unter anderem auf Modelle wie GLM 5.2 und Kimi K2.7 Code aus China abgestellt. Bei der Arbeit mit Dokumenten unterstützt LM Studio Bionic derzeit unter anderem PDFs, Präsentationen, Tabellen und mehr.
Sandbox – auf Wunsch direkter Dateizugriff
Die Verarbeitung erfolgt in einer Sandbox-Umgebung, die den Rest des Rechners samt vorhandenen Dateien nicht tangieren soll. Auf Wunsch ist es aber auch möglich, dem Agenten Zugriff zu geben, um Dateien zu sortieren und direkt zu editieren. Eingebaut ist auch eine native Web-Suche. Mittels Checkpoints soll man auch zu einem früheren Bearbeitungsstadium zurückkehren können.
Wie von LM Studio gewohnt, ist die native Nutzung lokal. LM Studio Bionic bietet dazu eine Auswahl bekannter Modelle in einem Katalog an, etwa die beliebten Systeme Gemma 4 12B von Google [5] oder Qwen3.6 27B von Alibaba. Wer Cloud-Modelle nutzen will, muss einen LM-Studio-Account einrichten, damit das Billing funktioniert. Es ist anzuraten, zunächst mit lokalen Modellen zu experimentieren. LM Studio Bionic kann dann kostenlos verwendet werden.
URL dieses Artikels: https://www.heise.de/-11372183
Apple-Logo mit Apple-Mail-Icon: Schutzfunktion, die nicht greift?
(Bild: Stockinq / Shutterstock)
Apples E-Mail-Schutz hatte seit einem Jahr einen Bug, der Daten-Leaks erlaubte. Inzwischen hat sich Apple erbarmt, doch eine US-Sammelklage wird fortgesetzt.
Eigentlich soll die kostenpflichtige iCloud+-Funktion „E-Mail-Adresse verbergen“ alias „Hide My Email“ dafür sorgen, dass Empfänger die tatsächliche Adresse eines Absenders nicht auslesen können. Doch seit mehr als einem Jahr behob Apple gemeldete Fehler nicht [1], die dazu führten, dass die Originaladressen des beliebten Weiterleitungsdienstes geleakt werden konnten. Erst in dieser Woche kam es dann endlich zu einem abschließenden Fix [2] – und einer Erläuterung, was überhaupt hinter der Datenschutzlücke steckte. Doch die Fehlerbehebung wird Apple nicht bei einer in den USA eingereichten Sammelklage helfen: Die Kläger wollen weiterhin Geld sehen, weil sie sich in ihrer Privatsphäre bedroht fühlen. Der Rechtsstreit begann interessanterweise bereits, als noch gar nicht klar war, was an „E-Mail-Adresse verbergen“ überhaupt kaputt war.
Apple-Server machten den Leaker
Entdeckt hatten die Lücke Ben und Tyler Murphy vom Datenschutzdienst Easy Opt Outs. Sie benachrichtigten Apple bereits vor über einem Jahr. Doch Apple führte zunächst einen unvollständigen Fix durch und behob das Problem dann nicht abschließend. Die Murphys wandten sich an das US-Medium 404 Media [3], das den Fall öffentlich machte, was nun offenbar dazu geführt hat, dass Apple endlich handelte.
Der Hintergrund: Apples Server spuckte die tatsächliche E-Mail-Adresse eines „Hide My Email“-Nutzers aus, wenn es zu einem sogenannten Bounce kam. Bounces sind E-Mail-Antworten, die beispielsweise erscheinen, wenn eine E-Mail aufgrund einer Spam-Bewertung nicht zugestellt wird. Es kann aber auch andere Gründe haben – etwa ein übergelaufenes Postfach. Apples Bounces enthielten jedoch nicht nur die versteckte E-Mail-Adresse, sondern auch den tatsächlichen Empfänger. Somit konnte man mittels Erzeugung von Bounces Personen demaskieren, die den E-Mail-Schutzdienst nutzten. Apple brauchte dann wie erwähnt über ein Jahr, um seine Server korrekt zu konfigurieren. Das Problem: Alle zuvor demaskierten Adressen liegen nach wie vor offen. Nur bei neuen „E-Mail-Adresse verbergen“-Adressen ist sichergestellt, dass die Originalempfänger nicht geleakt wurden.
Die große Sammelkage
Eine Mitte Juli eingereichte Sammelklage, die der Apple-Nutzer Anthony Alvarez angestrengt hat und dem United States District Court for the Northern District of California vorliegt (Case 3:26-cv-07274 [4]), will weiterhin erreichen, dass Apple Schadenersatz an betroffene Nutzer zahlt. Die Klage umfasst unter anderem Wettbewerbsverstöße, Verletzungen von Konsumentenrechten, Vertrags- und Garantiebruch sowie unrechtmäßige Bereicherung. Auch soll Apple falsche Reklame betrieben haben, da der Dienst als sicher vermarktet wurde.
Die Klage war bereits eingereicht worden, bevor überhaupt bekannt war, was konkret das Problem bei „Hide My Email“ war – Alvarez reichte, dass seine E-Mail-Adresse geleakt worden sein könnte. Für Apple kommt erschwerend hinzu, dass der Service stets kostenpflichtig offeriert worden war. Um „Meine E-Mail-Adresse verbergen“ zu nutzen, war ein kostenpflichtiges iCloud+-Abo notwendig, das mindestens 99 Cent im Monat kostet. Wann und ob die Klage vor Gericht geht, ist noch unklar. Ein Richter muss ihr zudem Sammelklagenstatus zuordnen. Das könnte für Apple dann gegebenenfalls teuer werden.
URL dieses Artikels: https://www.heise.de/-11372179
Die Debatte ist keine Theorie mehr: Sender, Juristen und Länder bereiten sich auf den Fall einer AfD-Regierung in Ostdeutschland vor.
Noch vor einem Jahr galt die Frage, ob ein Bundesland aus dem öffentlich-rechtlichen Rundfunk aussteigen könnte, als juristisches Gedankenspiel. Inzwischen beschäftigen sich Sender, Medienrechtler und sogar Landesregierungen ganz konkret mit diesem Szenario.
Auslöser sind die Landtagswahlen im September in Sachsen-Anhalt und Mecklenburg-Vorpommern, bei denen die AfD nach aktuellen Umfragen erhebliche Chancen auf Regierungsverantwortung oder zumindest deutlich größeren politischen Einfluss hat.
Laut Umfragen (Insa und Infratest) zur Sonntagsfrage kann sich die AfD in Sachsen-Anhalt aktuell Hoffnungen auf über 40 Prozent Stimmanteil [1] machen. Und in Mecklenburg-Vorpommern kann sie auf etwa 36 Prozent [2] hoffen (ebenfalls Insa und Infratest).
Die AfD hat ihre medienpolitischen Ziele mehrfach unmissverständlich formuliert. Sie will die bestehenden Rundfunkstrukturen grundlegend verändern, die Rundfunkbeiträge abschaffen und den öffentlich-rechtlichen Rundfunk durch einen deutlich kleineren "Grundfunk" ersetzen.
So begründete der AfD-Spitzenkandidat Ulrich Siegmund im Landtag von Sachsen-Anhalt den Antrag seiner Fraktion, die Medienstaatsverträge zu kündigen, im Dezember 2025 laut journalist [3] mit folgender Kampfansage:
"Wir möchten endlich dieser woken, antideutschen und manipulativen Beeinflussung den Stecker ziehen."
Auch in Mecklenburg-Vorpommern hat AfD-Landessprecher Leif-Erik Holm [4] angekündigt, im Fall einer Regierungsübernahme die Staatsverträge mit dem NDR kündigen zu wollen. Auch Holm spricht von der Etablierung eines Grundfunks.
Der Austritt ist kein Gedankenspiel mehr
Juristisch wäre eine solche Kündigung grundsätzlich möglich: [5] "Staatsverträge können von jedem der beteiligten Länder gekündigt werden." Allerdings wäre die Kündigung weder sofort wirksam noch gleichbedeutend mit einer Abschaltung der Sender.
Beim MDR könnte die Kündigung "frühestens nach einer zweijährigen Frist zum 1. Januar 2029 wirksam werden. Im Falle einer rechtskräftigen Entscheidung wäre der MDR dann statt einer Drei-Länder-Anstalt künftig eine Zwei-Länder-Anstalt. Der Staatsvertrag mit den anderen beiden Ländern Sachsen und Thüringen bliebe bestehen" (epd [6]).
Und beim NDR würde Mecklenburg-Vorpommern wegen längerer Kündigungsfristen frühestens 2031 ausscheiden: "Der Staatsvertrag in seiner bisherigen Form würde bis mindestens zum 31. August 2031 in Kraft bleiben." (DWDL [7])
Beide Anstalten würden also im Falle von AfD-Staatsvertragskündigungen in Sachsen-Anhalt oder Mecklenburg-Vorpommern weiter bestehen, weil sie von mehreren Bundesländern getragen werden.
Gerade an diesem Punkt beginnen jedoch die Unsicherheiten. Welche Folgen hätte ein Austritt für Finanzierung, Personal, Standorte, Programmauftrag oder die Zusammensetzung der Gremien? Wie ließen sich regionale Programme künftig verbreiten?
Für viele dieser Fragen gibt es keine belastbaren Präzedenzfälle. Medienrechtler rechnen deshalb mit langwierigen Gerichtsverfahren bis hin zum Bundesverfassungsgericht.
Dessen Rechtsprechung setzt der Politik zugleich enge Grenzen. Nach den Karlsruher Urteilen muss in jedem Bundesland eine staatsferne, unabhängige und funktionsfähige öffentlich-rechtliche Grundversorgung gewährleistet bleiben.
Eine Landesregierung könnte den öffentlich-rechtlichen Rundfunk daher nicht einfach abschaffen. Sollte ein Land aus einem Staatsvertrag ausscheiden, müsste es eine verfassungsgemäße Alternative schaffen – ein Punkt, an dem zahlreiche Juristen erhebliche Zweifel am von der AfD propagierten "Grundfunk"-Modell äußern.
Aus der Theorie wird Vorsorge
Bemerkenswert ist inzwischen weniger die juristische Debatte als die politische Vorbereitung auf den Ernstfall. Nordrhein-Westfalens Medienminister Nathanael Liminski (CDU) räumt aktuell ein, eine Kündigung der Staatsverträge sei "formal-juristisch natürlich möglich" (siehe epd [8]).
Gleichzeitig verwies er darauf, dass die Länder bereits über Wege diskutierten, die Finanzierung des öffentlich-rechtlichen Rundfunks auch unter veränderten Bedingungen sicherzustellen. Da eine Kündigung möglich sei, hätten die Länder "als Aufgabe, für eine auskömmliche Finanzierung des öffentlich-rechtlichen Rundfunks zu sorgen. Und dann müssen wir dafür Wege finden".
Hierzu, so zitiert epd den CDU-Politiker, gebe es bereits "durchaus Diskussionen unter den Ländern". Solche Aussagen wären vor einem Jahr kaum denkbar gewesen.
Hinzu kommt, dass die AfD auf einen öffentlich-rechtlichen Rundfunk trifft, der bereits unter erheblichem Reformdruck steht. Sparprogramme, Debatten über Ausgewogenheit, politische Kritik und Forderungen nach strukturellen Veränderungen prägen seit Monaten die Diskussion.
Während die Union Reformen und Einsparungen fordert, verfolgt die AfD einen grundsätzlichen Systemwechsel. Sollte sie nach den Landtagswahlen Regierungsverantwortung übernehmen, dürfte sich deshalb nicht nur eine politische, sondern vor allem eine verfassungsrechtliche Grundsatzfrage stellen:
Wie weit reicht die Gestaltungsfreiheit eines Bundeslandes – und wo beginnt die durch das Grundgesetz garantierte Pflicht, eine unabhängige öffentlich-rechtliche Rundfunkordnung zu sichern?
URL dieses Artikels: https://www.heise.de/-11373623
Weil LNG-Tanker die Straße von Hormus meiden, steigen die Energiepreise. EU-Kommission erlaubt bereits niedrigere Speicherstände, dennoch drohen teure Zukäufe.
Der europäische Referenzpreis für Erdgas [1] hat am 22. Juli einen Wert von 62,72 Euro pro Megawattstunde (MWh) erreicht und damit das bisherige Allzeithoch seit Ausbruch des US-israelischen Angriffskriegs gegen den Iran Ende Februar durchbrochen. Der bisherige Spitzenwert lag bis dato bei 61,8 Euro. Erreicht wurde er am 19. März, kurz nach massiven iranischen Angriffen auf katarische LNG-Anlagen [2].
Der niederländische Erdgas-Referenzpreis (TTF) war bereits am Montag, 20. Juli, kurzzeitig über 60 Euro pro MWh gestiegen, nachdem die USA ihre Luftangriffe ausgeweitet hatten und der Iran mit Schlägen auf Bahrain und Kuwait reagierte. Im Tagesverlauf des Montags entspannte sich der Preis leicht auf rund 57 Euro, bevor er bis Mittwoch weiter auf über 62 Euro kletterte.
Straße von Hormus als Nadelöhr
Die Straße von Hormus gilt als wichtigste maritime Energieader der Welt: Über sie wird rund ein Fünftel der weltweiten LNG-Mengen transportiert. Seit Ausbruch des Krieges am 28. Februar 2026 haben laut [3] dem Marktanalyseunternehmen Independent Commodity Intelligence Services (ICIS) nur 26 LNG-Tanker die Meerenge in östlicher Richtung passiert – in normalen Monaten sind es 90 bis 100.
Händler berichten, dass allein die Drohkulisse ausreicht, um die Versicherungsprämien für Kriegsrisiken in die Höhe zu treiben. Auch der Ölpreis reagierte: Die Nordseesorte Brent überschritt am Sonntag kurzzeitig die Marke von 90 US-Dollar pro Barrel, den höchsten Stand seit einem Monat, bevor sie sich nach iranischen Angaben über laufende Vermittlungsgespräche kurzzeitig etwas beruhigte.
Inzwischen steigt auch der Ölpreis wieder kräftig und lag bis Mittwochnachmittag bei über 94 US-Dollar pro Barrel.
Gasspeicher deutlich unter Vorjahresniveau
Die Lage verschärft sich, weil Europa seine Gasspeicher gerade für den Winter auffüllen muss. Mitte Juli waren die EU-Speicher laut Daten von Gas Infrastructure Europe nur zu 54,2 Prozent gefüllt – rund zehn Prozentpunkte weniger als im Vorjahr und deutlich unter dem Fünfjahresdurchschnitt. In Deutschland lag der Füllstand sogar bei nur 45,5 Prozent.
Die EU schreibt den Mitgliedstaaten vor, vor Winterbeginn einen Speicherstand von 90 Prozent zu erreichen – eine Regelung, die nach dem russischen Einmarsch in die Ukraine 2022 eingeführt wurde. Die EU-Kommission hat den Mitgliedstaaten zuletzt [4] mitgeteilt, dass sie bei schwierigen Marktbedingungen auf bis zu 80 Prozent abweichen dürfen.
Um drohende Lieferengpässe zu vermeiden, hat die EU-Kommission zudem vorgeschlagen [5], die eigentlich für Januar 2017 geplanten Verschärfungen der Importvorschriften für Öl und Gas (mit denen strengere Werte bei Methanemissionen Einzug halten) de facto nicht anzuwenden, indem Bußgelder für drei Jahren ausgesetzt werden.
Laut der europäischen Energieregulierungsbehörde ACER müsste Europa die LNG-Importe im Jahresvergleich um 13 Prozent steigern, um das 90-Prozent-Ziel zu erreichen. Das niedrigere Ziel von 80 Prozent wäre hingegen auch mit dem Importniveau von 2025 erreichbar. Modellrechnungen der Informationsplattform Energy Flux zufolge dürften die Speicher bis zum 1. November bei gleichbleibenden Einspeicherraten einen Füllstand von rund 73 Prozent erreichen.
Teure Auffüllung droht
Andreas Schroeder, Leiter der Energieanalyse bei ICIS, erklärte [6]: "Ein kalter Winterstart würde die Kosten zur Erreichung des EU-Speicherziels von 80 Prozent erheblich erhöhen."
Die Versorgungssicherheit sei zwar grundsätzlich erreichbar, "die Kosten dafür steigen jedoch stark an". ICIS schätzt, dass Europa im Herbst rund 54 Euro pro MWh zahlen müsste, um die Speicher aufzufüllen – bei einem kalten Winterbeginn könnten es bis zu 60 Euro sein. Bleibe der Preis dauerhaft bei etwa 60 Euro, könnte das "potenziell kostspielige staatliche Eingriffe zur Sicherung der Versorgung" notwendig machen, so ICIS.
ACER bezifferte die zusätzlichen Befüllungskosten bei einem Preisniveau von 50 Euro pro MWh auf 10 bis 15 Milliarden Euro. ICIS hat seine Prognose für die weltweite LNG-Versorgung in diesem Jahr bereits von 441 Millionen Tonnen auf 431 Millionen Tonnen gesenkt.
URL dieses Artikels: https://www.heise.de/-11373685
Chinesische E-Auto-Fahrer verlieren nach Pleiten ihrer Hersteller Zugriff auf App-Funktionen und Software-Updates. Doch das Problem betrifft nicht nur China.
Als der Shanghaier Elektroautohersteller WM Motor im Oktober 2023 Insolvenz anmeldete, erlebte [1] der Kunde Richard Qian eine unangenehme Überraschung: Sein kompakter EX5-SUV war plötzlich nicht mehr vollständig nutzbar. Der Zugang zur Smartphone-App, über die er Türschloss und Klimaanlage fernsteuerte, war gesperrt. Kilometerstand und Ladestatus ließen sich nicht mehr auf dem Armaturenbrett ablesen.
Qian war kein Einzelfall: Andere WM-Motor-Besitzer berichteten auf der chinesischen Bewertungsplattform 12365auto von ähnlichen Problemen. "Das Fahrzeugsystem ist lahmgelegt, ich kann mich nicht einloggen. Das gesamte Entertainmentsystem ist unbrauchbar, der Fahrzeugstatus kann nicht abgerufen werden", schrieb ein Nutzer. "Das Auto ist zu einer riesigen Sicherheitsgefahr geworden!"
WM Motor entschuldigte sich für den Serverausfall und behob die Probleme vorübergehend. Firmware-Updates gibt es seit der Insolvenzanmeldung jedoch keine mehr, und die App ist in chinesischen App-Stores nicht mehr erhältlich.
"Zum Glück hatte ich die App vorher auf meinem Telefon installiert", sagte Qian gegenüber dem Onlinemagazin Rest of World – wie lange sein Fahrzeug noch funktioniere, wisse er aber nicht.
Mehr als 160.000 Betroffene in China
WM Motor ist kein Einzelfall. Seit 2020 haben mehr als 20 chinesische E-Auto-Hersteller den Markt verlassen, darunter Singulato und Aiways. Der Hersteller HiPhi, der 2022 lediglich 4.520 Fahrzeuge verkauft hatte, stellte im Februar 2024 die Produktion ein.
Laut dem chinesischen Automobilhändlerverband sind insgesamt rund 160.000 Fahrzeugbesitzer von Herstellern betroffen, die entweder Insolvenz angemeldet oder den Betrieb eingestellt haben.
Wang, ein HiPhi-X-Fahrer, der das Fahrzeug wegen seines ungewöhnlichen Designs für umgerechnet rund 97.000 US-Dollar gekauft hatte, sagte gegenüber Rest of World, er sei darauf vorbereitet, künftig Ersatzteile auf dem Gebrauchtmarkt zu suchen, falls sein Wagen Reparaturen benötige und der Hersteller keine Unterstützung mehr leiste.
Chinas Kfz-Vorschriften schreiben vor, dass Hersteller Ersatzteile und Kundendienstleistungen für mindestens zehn Jahre nach dem Produktionsende eines Modells sicherstellen müssen. Software ist in dieser Regelung jedoch nicht ausdrücklich erfasst – obwohl sie für Funktionen wie Laden, Fernzugriff, digitale Schlüssel und Infotainment unverzichtbar ist.
"Die größte Sorge für E-Auto-Besitzer ist der Akkuverschleiß, und an zweiter Stelle die Bedienbarkeit und Stabilität der Software", sagte Lei Xing, E-Auto-Analyst und Co-Moderator des Podcasts China EVs & More, gegenüber Rest of World. Xing geht davon aus, dass der Markt nicht mehr zu einer Zeit zurückkehren wird, in der Autos ohne Internetverbindung auskommen. "So entwickelt sich die Branche nun mal, und das ist die Richtung, in die sie sich bewegt", sagte er.
Ein mit WM Motor vertrauter Investor, der gegenüber Rest of World nur unter seinem Nachnamen Ren zitiert werden wollte, erklärte, dass viele andere E-Auto-Startups Tochtergesellschaften etablierter Automobilhersteller oder Technologiekonzerne seien, die im Insolvenzfall die Nachverkaufsverpflichtungen übernehmen könnten. Das beste Szenario für WM Motor sei der Verkauf dieser Verpflichtungen – einschließlich der digitalen Dienste, die für einen Käufer noch profitabel sein könnten.
"Smartphones auf Rädern" – ein strukturelles Problem
Das Problem geht über China hinaus. E-Autos werden branchenweit als "Smartphones auf Rädern" bezeichnet, weil Software zunehmend den Kern des Fahrzeugbetriebs bildet. Hersteller wie Xpeng und Nio werben mit automatischen Over-the-Air-Updates, Sprachsteuerung und programmierbaren Abläufen.
Doch diese Vernetzung hat eine Kehrseite: Schon 2021 konnten Tesla-Fahrer weltweit ihre Fahrzeuge nicht öffnen, weil die Hersteller-App ausgefallen war. Nach der Insolvenz des US-Herstellers Fisker im Juni 2024 berichteten Fahrer, dass sie ihre Fahrzeuge nicht mehr verriegeln oder die Klimaanlage einschalten konnten.
Auch etablierte Hersteller stellen Cloud-Dienste ein
Dass vernetzte Fahrzeuge irgendwann ihre Konnektivität verlieren, ist kein Phänomen, das auf Insolvenzen beschränkt ist. Wie das Technologiemagazin Ars Technicaberichtet [2], endet die Cloud-Anbindung auch bei Fahrzeugen etablierter Hersteller oft früher als erwartet.
Ein zentraler Auslöser ist der Mobilfunkwandel: Als US-amerikanische Netzbetreiber wie AT&T, T-Mobile und Verizon 2022 ihre 3G-Netze abschalteten, verloren zahlreiche Fahrzeuge mit älterer Bordelektronik ihre Verbindung. Lexus-Modelle der Baujahre 2010 bis 2017, die auf dem 3G-basierten Dienst Enform liefen, waren von einem Tag auf den anderen offline – eine Softwareaktualisierung war technisch nicht möglich.
BMW beendete Anfang 2022 seinen ConnectedDrive-Dienst für Fahrzeuge mit 3G-Technik; selbst Verträge, die noch liefen, wurden zum Stichtag beendet. Acura stellte zuletzt die Unterstützung für Modelle der Baujahre 2014 bis 2022 ein und deaktivierte App-Fernzugriff, Pannenhilfe und die Fahrzeugortung – nicht wegen veralteter Hardware, sondern weil der Hersteller entschied, das zugrunde liegende System nicht weiterzubetreiben.
Laut Ars Technica nutzen derzeit rund die Hälfte aller Fahrzeuge auf den Straßen vernetzte Cloud-Dienste. Branchenexperten erwarten, dass dieser Anteil bis 2030 auf 90 bis 95 Prozent der Neuwagen steigen wird. Da die meisten Fahrzeuge weiterhin auf fest verbauter Modemhardware basieren, werden sie früher oder später mit denselben Problemen konfrontiert sein.
Was Fahrer tun können
Für betroffene Fahrzeugbesitzer gibt es mehrere Möglichkeiten. Manche Hersteller bieten Software-Updates an, die ältere Systeme auf neuere Mobilfunkstandards heben – Honda etwa ermöglichte vielen Kunden kostenlose Over-the-Air-Upgrades auf 4G LTE, bevor AT&T sein 3G-Netz abschaltete. General Motors stellte für Buick-, Cadillac-, Chevrolet- und GMC-Modelle Updates bereit, die zentrale OnStar-Funktionen auch nach dem 3G-Ende erhielten.
Wo Software nicht ausreicht, kann ein Hardwaretausch helfen: Nissan bot für bestimmte Leaf-Modelle ein Modul-Upgrade an, das je nach Modelljahrgang kostenlos oder für 199 US-Dollar erhältlich war. BMW-i3-Besitzer, denen kein offizieller Upgrade-Weg angeboten wurde, beschafften sich eigenständig aktuelle 4G-Module – zu Kosten von umgerechnet über 1.200 Euro pro Fahrzeug.
Als pragmatische Übergangslösung bieten sich externe OBD-Adapter an, die begrenzte Konnektivität über die Fahrzeugdiagnoseschnittstelle ermöglichen. Für viele Fahrer ist jedoch das Smartphone die einfachste Alternative: Apple CarPlay und Android Auto sind in fast allen aktuellen Infotainmentsystemen integriert und bieten regelmäßige Updates sowie grundlegende Sicherheitsfunktionen wie Unfallmeldung und Notruf – auch wenn Fernstart oder Klimavorwahl damit nicht möglich sind.
Als strukturelle Lösung schlägt die Branche modulare, softwarebasierte Fahrzeugarchitekturen vor, bei denen Fahrer Hardware und Software eigenständig austauschen und aktualisieren können. Ob und wann sich dieser Ansatz durchsetzt, bleibt offen.
URL dieses Artikels: https://www.heise.de/-11373403
BellSofts gehärteter Builder für Paketo Buildpacks baut Container-Images auf einer weitgehend CVE-freien Alpaquita-Basis – ganz ohne Dockerfile.
BellSoft hat einen gehärteten Builder für Paketo Buildpacks vorgelegt. Er soll Entwicklerteams eine weitgehend CVE-freie Basis für Container-Images liefern, ohne dass diese eigene Dockerfiles pflegen müssen. Der Builder richtet sich an Enterprise-Teams, die Sicherheits- und Compliance-Anforderungen erfüllen wollen, ohne den Entwicklungsprozess auszubremsen.
Wie BellSoft in seinem Blog [1] mitteilt, baut der neue Builder vollständig auf BellSoft Hardened Images und damit auf Alpaquita auf, dem hauseigenen schlanken Linux-Betriebssystem, das mit gehärteter Standardkonfiguration kommt. Dazu zählen unter anderem der Non-Root-Betrieb, eine reduzierte Paketbasis und unveränderliche Komponenten. Jede mit dem Builder erzeugte Anwendung erbt laut BellSoft automatisch diese Security- und Compliance-Eigenschaften.
Mit Paketo Buildpacks, einem Projekt der Cloud Native Computing Foundation (CNCF), lässt sich aus Quellcode automatisiert produktionsfertige OCI-Images erzeugen, ohne dabei ein Dockerfile erstellen zu müssen. Ein Buildpack erkennt Sprache und Abhängigkeiten, kompiliert bei Bedarf und produziert ein minimales, reproduzierbares Image samt Software Bill of Materials (SBOM) in einem Schritt. BellSofts Builder kapselt dabei die Buildpacks, den Build-Stack und den Run-Stack. Beide Stacks ersetzt der Hersteller durch seine Alpaquita-basierten Hardened Images, sodass neue Container automatisch auf dem gehärteten OS laufen.
Vor allem Unternehmen, die eine große Anzahl von Services unterhalten, sollen von reduziertem Wartungsaufwand profitieren. Statt Hunderte individuelle Dockerfiles zu pflegen, greift ein einheitliches Rebuild oder Rebase, sobald die Basis-Images aktualisiert werden.
Unterstützte Sprachen und Architekturen
Der Builder unterstützt Java (Liberica JDK und Liberica JDK Lite), GraalVM Native Image über das Liberica Native Image Kit (Liberica NIK), Python, Go, Node.js und Ruby. Im Blog nennt BellSoft die folgenden konkreten Versionen: Python 3.14, Go 1.26, Node.js 24 sowie Liberica NIK in den Versionen 22 und 23. Für Java stützt sich der Builder auf das für Cloud-Workloads optimierte Liberica JDK Lite und deckt die LTS-Versionen 8, 11, 17 und 25 sowie die jeweils aktuelle JDK-Version ab. Laut Hersteller reduziert Liberica JDK Lite die finale Image-Größe von Java-Containern um mindestens 30 Prozent gegenüber Standard-OpenJDK-Images.
Die Images stehen für die Architekturen x86-64 und ARM64 auf Docker Hub bereit und liegen in zwei Varianten der C-Standardbibliothek vor: musl und glibc. Teams, die bereits den bisherigen BellSoft-Builder nutzen, wechseln laut Hersteller mit einem Rebuild und der Option --pull-policy always automatisch auf den neuen Builder und die aktuellsten Buildpacks. Bei einer Migration von Dockerfiles empfiehlt BellSoft, zunächst mit einem nicht-kritischen Service zu testen.
Zero-CVE-Fenster und Compliance-Nachweise
BellSofts Hardened Images versprechen zum Release-Zeitpunkt niedrige bis keine bekannten CVEs. Der Anbieter bietet darüber hinaus kontinuierliches Patchen, SBOMs, digitale Signaturen und ein SLA-gestütztes Vulnerability-Management. Nach der Offenlegung einer Schwachstelle soll innerhalb von rund 24 Stunden ein gepatchtes Image bereitstehen. Jede veröffentlichte Version wird mit vollständiger SBOM und verifizierbarer Herkunft ausgeliefert, um Audits und regulatorische Anforderungen, etwa durch FedRAMP, DISA STIG, den EU Cyber Resilience Act (CRA) und DORA, zu erleichtern.
URL dieses Artikels: https://www.heise.de/-11373261
Die EU-Kommission möchte chinesische Technologie aus den europäischen Telekommunikationsnetzen verbannen – einer Industriestudie zufolge würde das teuer.
Wichtiger Beitragszahler: Huawei und GSMA Intelligence veröffentlichen im Jahr 2026 einen Branchenbericht zu Super-Apps.Bild:
GSMA
Die Europäische Union plant im Rahmen eines überarbeiteten Cybersecurity Act (CSA2) Technologie aus bestimmten Ländern, allen voran voraussichtlich China, innerhalb von drei Jahren aus der europäischen Telekommunikationsinfrastruktur zu entfernen. Eine neue Studie des Branchenverbandes der Mobilfunkbetreiber GSMA, die im Juli 2026 veröffentlicht wurde und Golem vorliegt, quantifiziert nun die wirtschaftlichen Folgen dieses möglichen Schritts und kommt zu deutlich höheren Kostenschätzungen als die Offiziellen der EU-Kommission.
Während die EU-Kommission von Gesamtkosten in Höhe von etwa 10 bis 13 Milliarden Euro ausgeht (3,4 bis 4,3 Milliarden Euro pro Jahr über drei Jahre), beziffert GSMA Intelligence die direkten Kosten für den vollständigen Austausch bestehender Infrastruktur auf 30 bis 40 Milliarden Euro, mit einem zentralen Schätzwert von 35 Milliarden Euro. Den größten Posten stellen dabei die Mobilfunknetze mit geschätzten 16 bis 22 Milliarden Euro dar. Festnetze werden mit rund 5 Milliarden Euro, Transportnetze mit 9 bis 12 Milliarden Euro veranschlagt.
Weniger Wettbewerb, höhere Preise
Ein zentraler Aspekt der Studie ist die Analyse der langfristigen Marktstruktur. Der Ausschluss der betroffenen Anbieter – darunter Huawei, das laut GSMA einen Marktanteil von 25 Prozent im europäischen Mobilfunk, 27,5 Prozent im Festnetz und 20 Prozent im Transportbereich hält – würde die Konzentration auf wenige verbleibende Lieferanten verstärken. Die Studie prognostiziert dadurch Preissteigerungen von 24 Prozent im Mobilfunk, 19 Prozent im Festnetz und 10 Prozent im Transportbereich. Für den Zeitraum 2027 bis 2030 ergeben sich daraus geschätzte zusätzliche Kosten von 8,5 Milliarden Euro, die sich bis 2035 auf etwa 24 Milliarden Euro summieren könnten.
Die Studie warnt zudem vor der Entstehung lokaler Monopole. Im globalen Markt für passive optische Netze (PON) etwa würde das Ausscheiden eines großen Anbieters wie Huawei Nokia als einzigen verbleibenden Großlieferanten zurücklassen – unter Resilienzgesichtspunkten eine denkbar schlechte Situation.
Die Studie geht davon aus, dass die gestiegenen Kosten nicht vollständig an die Endkunden weitergegeben werden können. Betreiber würden daher gezwungen, ihre Investitionen real zu reduzieren. Dies könnte den Ausbau von Standalone-5G- und Glasfasernetzen verzögern und den bestehenden Investitionsrückstand Europas bei digitaler Infrastruktur – der laut GSMA bereits 205 Milliarden Euro beträgt – weiter vergrößern.
Ein weiterer in der Studie thematisierter Punkt ist die Umweltbilanz: Der Austausch noch funktionsfähiger Hardware würde erhebliche Mengen an Elektroschrott erzeugen. Zudem weisen Betreiberbefragungen in der Studie darauf hin, dass die verbaute Technologie bestimmter Anbieter wie Huawei über teilweise erhebliche Energieeffizienzvorteile gegenüber Alternativen verfügt – ein Aspekt, der im Kontext der europäischen Klimaziele Relevanz erlangen könnte.
Brüsseler Thinktank will es anders darstellen
Die GSMA-Angaben stoßen jedoch auch auf Kritik. Bei Politico kritisierte Hosuk Lee-Makiyama, Direktor des belgischen Thinktanks ECIPE, dass die Schätzungen Bruttokosten darstellen und nicht die tatsächlich zusätzlich anfallenden Ausgaben im Falle einer Austauschverpflichtung. Würden reguläre Ersatzinvestitionen, die ohnehin anfielen, herausgerechnet, käme man auf ähnliche Größenordnungen wie die Kommissionsschätzung, so Lee-Makiyama. Die EU-Kommission äußerte sich auf Anfrage zunächst nicht zu den neuen Zahlen.
Brancheninsider verwiesen gegenüber Golem allerdings auch auf weitere Kostenrisiken, die in der GSMA-Studie nicht abgedeckt sind: Huawei hat den schwedischen Staat nach seinem dortigen Ausschluss 2020 auf Schadensersatz vor einem internationalen Handelstribunal verklagt, weil es sich in seinen Rechten als Investor auf Basis des bilateralen schwedisch-deutschen Investitionsschutzabkommens verletzt sieht.
Ein Urteil ist in der Sache noch nicht gesprochen, aber fast alle EU-Länder inklusive Deutschland haben ähnliche Handelsschutzabkommen mit China geschlossen. Sollten die Handelstribunale für den Investor und gegen die staatlichen Verbote entscheiden, könnten weitere Milliardenkosten auf die EU-Länder und ihre Steuerzahler zukommen, um den entgangenen wirtschaftlichen Verlust der chinesischen Technologieanbieter zu ersetzen.
Unser Deal-Qualitätsversprechen: Gute, ehrliche und unabhängig recherchierte Angebote. Mehr Infos
Lumibricks hat sich die Blade-Runner-Lizenz gesichert. Nun ist das erste Set des Lego-Rivalen im Handel gelandet.
Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.
Das futuristische Polizeifahrzeug stammt wie Officer K aus Blade Runner 2049.Bild:
Erzeugt mit ChatGPT; Amazon, Lumibricks; Montage: Golem
Bei Lego zählen Lizenzsets zu den Zugpferden. Ohne sie wären die Dänen längst nicht so präsent, denn die Konkurrenz hat in vielen Bereichen aufgeholt. Themengebiete wie Mittelalter und Piraten bespielen Hersteller wie Bluebrixx intensiver.
Auch die Qualität der Klemmbausteine hat sich bei anderen verbessert. Gobricks kommen inzwischen bei vielen chinesischen Anbietern zum Einsatz. Die Steine gelten als sehr hochwertig.
Es ist nicht leicht, mit Marken wie Star Wars und Harry Potter zu konkurrieren. Doch die Konkurrenz ruht sich nicht aus. So gab Lumibricks erst kürzlich den Erwerb der Blade-Runer-Lizenz bekannt.
Schwebendes Polizeifahrzeug mit Licht
Das erste Lizenzset dieser Art ist "K's Spinner" aus Blade Runner 2049. Bei diesem Film handelt es sich um die Fortsetzung des Klassikers aus dem Jahre 1982. Harrison Ford, der damals die Hauptrolle übernahm, war auch hier wieder an Bord. Im Mittelpunkt rückte der von Ryan Gosling gespielte Officer K.
Das schwebende Polizeifahrzeug setzt auf mehrere beleuchtete Elemente, darunter die Frontscheinwerfer und die Rücklichter. Auch der Innenraum ist beleuchtet. Für derlei steht der Hersteller Lumibricks schon mit seinem einschlägigen Namen, insofern kommt das Ganze nicht überraschend. Schon Cyberpunk-Sets setzte man ähnlich in Szene.
Laut Hersteller kommen 30 bedruckte Teile zum Einsatz. Außerdem gehören eine abnehmbare Drohne und eine Mini-Figur von K mit Mantel zum Lieferumfang. Die Bauanleitung liegt als Ermittlungsakte vor und soll beim Aufbau des Sets eine Geschichte erzählen. Enthalten sind 410 Teile.
Ab sofort bestellbar
Offenbar kann man das Set seit gestern bei Amazon mit Verkauf durch Lumibricks und Versand durch den Onlinehändler selbst bestellen. Es kostet 41,99 Euro
Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.
und damit gut zehn Cent pro Teil. Für einen Lego-Rivalen ist das vergleichsweise viel Geld für ein Klemmbausteinset. Allerdings handelt es sich üblicherweise um keine Lizenzsets oder beleuchtete Modelle.
Lumibricks K's Spinner Leuchtendes Bauset, 410 Teile futuristisches schwebendes Polizeifahrzeug mit LED-Beleuchtung, abnehmbare Hover-Drohne, Sci-Fi-Sammlermodell für Erwachsene ab 16 Jahren
Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.
Erhältlich ist das Polizeifahrzeug auch im offiziellen Lumibricks-Store. Dort zahlt man 45 Euro. Zudem steht das Set dort noch auf Preorder, bei Amazon kann man es bestellen. Unser Preisvergleich zeigt noch keine Shops mit einem Angebot.
Die Bundesnetzagentur legt verbindliche Regeln für die Mitnutzung passiver Telekom-Infrastruktur fest. Während der VATM Planungssicherheit feiert, sieht der Breko Fehlanreize für den echten Glasfaser-Ausbau und Bürokratie.
Glasfaserkabel der Deutschen TelekomBild:
Deutsche Telekom
Die Bundesnetzagentur hat am 22. Juli 2026 eine Entscheidung über den Zugang zu Leerrohren der Deutschen Telekom veröffentlicht. Die Behörde gab verbindliche Muster- und Rahmenbedingungen vor, zu denen Konkurrenten der Telekom deren passive Infrastruktur, vor allem unterirdische Leerrohrtrassen und oberirdische Holzmasten mitnutzen können.
Sven Knapp, Mitglied der Geschäftsleitung beim Bundesverband Breitbandkommunikation (Breko), sagte zu Golem: "Grundsätzlich ist der regulierte Leerrohrzugang aus unserer Sicht nicht das richtige Leitmodell für Open Access. Open Access über Bitstrom-Vorleistungen ist der bessere Weg: Faire Kooperationen auf aktiven Netzen verteilen Wertschöpfung und Investitionsrisiken ausgewogener, verbessern die Netzauslastung, schaffen deutlich schneller Anbietervielfalt für Verbraucherinnen und Verbraucher und stärken so den weiteren Glasfaserausbau."
Der Leerrohrzugang werde inzwischen dreifach reguliert – durch die Vorgaben der europäischen Gigabit-Infrastruktur-Verordnung, die Regeln im geförderten Ausbau und zusätzlich durch die Regulierung der Telekom als marktmächtiges Unternehmen. Da seien widersprüchliche Regelungen vorprogrammiert.
Hinzu komme die problematische Ausstrahlungswirkung der regulierten Telekom-Entgelte auf den gesamten Markt: Andere Glasfaserausbauer würden faktisch mitreguliert, obwohl ihre neu gebaute Infrastruktur – anders als die seit langem vorhandenen und weitgehend abgeschriebenen Leerrohre der Telekom – noch refinanziert werden müssten. Das schwäche Investitionsanreize genau bei den Unternehmen, die neue Glasfasernetze bauen.
Bundesnetzagentur bleibt hinter dem Notwendigen zurück
Knapp meinte: "Positiv ist, dass die Telekom den Leerrohrzugang künftig deutlich seltener unter Verweis auf einen lediglich langfristig geplanten Eigenbedarf verweigern kann. Verbindlichere Fristen, Vertragsstrafen und ein engeres Monitoring erhöhen zudem den Druck, den Zugang tatsächlich, zügig und diskriminierungsfrei zu gewähren."
Bei der Transparenz bleibe die Bundesnetzagentur allerdings hinter dem Notwendigen zurück: Nicht alle potenziell verfügbaren Leerrohre der Telekom seien für Nachfrager überhaupt im Infrastrukturatlas sichtbar. Zudem fehlten wirksame Sanktionen für verspätete oder unvollständige Angaben.
Beim Telco-Branchenverband VATM wurde Golem vom Leiter Recht und Regulierung des VATM, Jeffrey Al-Ali, erklärt: "Mit der finalen Entscheidung schafft die Bundesnetzagentur endlich die notwendige vertragliche Grundlage für den Zugang zu den baulichen Anlagen der Telekom. Wir begrüßen ausdrücklich, dass die Wettbewerber nach vielen Jahren des Wartens nun Planungssicherheit erhalten."
In anderen europäischen Ländern sei der Zugang zu den Leerrohren des marktmächtigen Unternehmens ein maßgeblicher Faktor zur Beschleunigung des Glasfaserausbaus und sei dort schon vor vielen Jahren umgesetzt worden.
Al-Ali betonte: "Der vorliegende Vertragsrahmen ermöglicht es den Wettbewerbern, freie Leerrohrkapazitäten der Telekom zu nutzen, und bildet damit einen wichtigen Eckstein für den Glasfaserausbau der Wettbewerber." Entscheidend sei nun, dass der Zugang in der Praxis diskriminierungsfrei, verlässlich und zu wettbewerbsfähigen Bedingungen gewährleistet werde.
Ebenso wichtig sei, dass auch die rechtlichen Voraussetzungen für den Zugang zu den Leerrohren der Joint-Venture-Unternehmen der Telekom, Glasfaser Plus und Glasfaser Nordwest zeitnah geschaffen würden. Ein Flickenteppich unterschiedlicher Vertragskonditionen müsse unbedingt vermieden werden, erklärte Al-Ali, dessen Verband Unternehmen vertritt, die zum Teil selbst keinen Netzausbau betreiben.
In Serv-U schließt SolarWinds mit einem Update diverse kritische Lücken, die etwa das Einschleusen von Schadcode erlauben.
SolarWinds stopft mit dem Update auf Serv-U 2026.3 insgesamt 15 kritische Sicherheitslücken sowie eine mittleren Schweregrads. Die Auswirkungen reichen von der Rechteausweitung über Informationslecks hin zur Ausführung von eingeschleustem Schadcode aus dem Netz.
In den Release-Notes zu Serv-U 2026.3 [1] listet SolarWinds die einzelnen Sicherheitslücken auf. Die vom FTP-Server zum Managed-File-Transfer-System ausgebaute Software hat 15 CVE-Einträge für kritische Lücken erhalten: CVE-2026-28302, CVE-2026-28304 bis einschließlich CVE-2026-28314 sowie CVE-2026-28316, CVE-2026-28317 und CVE-2026-28321 weisen mit dem CVSS-Wert 9.1 die Risikoeinstufung „kritisch“ auf. Der Schwachstelleneintrag CVE-2026-28315 ragt mit einem CVSS-Wert von 6.2 und dem Risiko „mittel“ aus der Liste heraus; es handelt sich um eine Cross-Site-Scripting-Lücke, die die Übernahme einer Session oder das unbefugte Einsehen von Informationen eines Admin-Kontos ermöglichen kann.
Weitere Verbesserungen
Interessierte finden in den Release-Notes zudem Hinweise zu neuen Funktionen und Verbesserungen, die Serv-U 2026.3 mitbringt. Dort erklärt SolarWinds etwa unter „Allgemeine Verbesserungen“, dass OpenSSL in der Version 3.0.21 mitkommt, was weitere Sicherheitslücken schließt, sowie dass es allgemein „Sicherheitsverbesserungen“ gebe. Fehlerkorrekturen umfassen etwa Abstürze durch HTTP-Header mit irrelevanten „content-encoding: deflate“-Einträgen oder Denial-of-Service-Situationen durch anonyme SSH-FTP-Sessions.
IT-Sicherheitsforscher haben in der Update-Komponente von Veeam eine Sicherheitslücke entdeckt, die das Ausweiten der Rechte ermöglicht.
Die Updater-Komponente von Veeam Backup & Replication enthält eine Schwachstelle, die Angreifer zum Ausweiten ihrer Rechte im System missbrauchen können. Ein Update steht seit vergangener Woche bereit.
In einer Sicherheitsmitteilung erklärt Hersteller Veeam [1], dass lokale Nutzer aufgrund einer Schwachstelle in der Veeam-Updater-Komponente ihre Rechte erhöhen und dabei root-Rechte erlangen können, mit denen sie Zugriff auf das Betriebssystem erhalten (CVE-2026-56844, CVSS4 8.4, Risiko „hoch“). Der zugehörige Schwachstelleneintrag CVE-2026-56844 [2] wurde in der Nacht zum Mittwoch veröffentlicht.
Betroffen sind die Updater-Komponenten der Veeam Software Appliance (Linux-basierter Veeam Backup- und Replication-Server) und der Veeam Infrastructure Appliance. Die Entwickler weisen darauf hin, dass die Windows-basierten Veeam-Backup&Replication-Server nicht direkt betroffen sind, jedoch Remote-Komponenten anfällig sein können, die die Veeam-Infrastructure-Appliance nutzen.
Updates stehen bereit
Am Dienstag vergangener Woche haben die Programmierer von Veeam die Veeam-Updater-Komponente in Version 12.3.0.65 veröffentlicht, die die Schwachstelle schließt. Die meisten Nutzer müssten nichts unternehmen, sofern sie das automatische Verteilen von Updates aktiviert haben. In dem Fall hat der Mechanismus die Aktualisierung bereits auf das System verfrachtet. Sofern die Software- oder Infrastructure-Appliance etwa das Repository von Veeam oder einen lokalen Mirror davon nicht erreichen kann, müssen Admins den Fix manuell installieren. Dazu sollen sie den Veeam-Support kontaktieren oder temporär den Zugriff auf die Update-Server freigeben.
Um zu prüfen, ob die Update-Komponente aktuell ist, müssen Admins das Webinterface der Host-Management-Console öffnen. Unter „Logs and Services“ auf der linken Seite findet sich der Reiter „Components“. Dort lässt sich ein Filter eingeben, etwa „Updater“. Unter den Ergebnissen sollte „Veeam Updater“ auftauchen und Version 12.3.0.65 oder neuer anzeigen.
FreshRSS 
