Anmelden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
(Bild: Tatiana Popova/Shutterstock.com)
Die Softwareentwicklungsplattform GitLab ist attackierbar. Angreifer können unter anderem DoS-Attacken ausführen.
Um GitLab-Instanzen gegen mögliche Angriffe zu schützen, sollten Admins die verfügbaren Sicherheitspatches zeitnah installieren. Geschieht das nicht, können Angreifer an sieben Sicherheitslücken ansetzen.
In einer Warnmeldung versichern die Entwickler [1], dass sie die Schwachstellen in den Versionen 18.3.5, 18.4.3 und 18.5.1 von GitLab Community Edition (CE) und Enterprise Edition (EE) geschlossen haben. Auf GitLab.com sollen bereits die abgesicherten Ausgaben laufen. Auch wenn es bislang keine Berichte zu Attacken gibt, raten die Entwickler dringend, die Patches so schnell wie möglich zu installieren.
Drei Lücken (CVE-2025-11702, CVE-2025-10497, CVE-2025-11447) sind mit dem Bedrohungsgrad "hoch" eingestuft. Setzen authentifizierte Angreifer mit bestimmten Rechten an der ersten Schwachstelle erfolgreich an, können sie die Kontrolle über Project Runner erhalten. Dabei handelt es sich um ein Helferlein, das im Kontext von Softwareprojekten CI-Jobs ausführt. In den beiden anderen Fällen sind ohne Authentifizierung DoS-Attacken möglich, was in der Regel zu Abstürzen führt. Diese drei Lücken wurden über das Bug-Bounty-Programm HackerOne gemeldet.
In den verbleibenden Fällen können Angreifer unter anderem unrechtmäßig auf bestimmte Bereiche zugreifen und so etwa Softwareprojekte einsehen. Diese Lücken sind mit dem Bedrohungsgrad "mittel" und "niedrig" versehen.
Neben dem Lösen von Sicherheitsproblemen haben die Entwickler in den aktuellen Ausgaben eigenen Angaben zufolge noch verschiedene Bugs aus der Welt geschafft.
Zuletzt gab es im September Sicherheitsupdates für GitLab [2], um mehrere DoS-Sicherheitslücken zu schließen.
URL dieses Artikels:
https://www.heise.de/-10812208
Links in diesem Artikel:
[1] https://about.gitlab.com/releases/2025/10/22/patch-release-gitlab-18-5-1-released/
[2] https://www.heise.de/news/Sicherheitsluecken-Angreifer-koennen-GitLab-Instanzen-lahmlegen-10640574.html
[3] https://aktionen.heise.de/heise-security-pro?LPID=39555_HS1L0001_27416_999_0&wt_mc=disp.fd.security-pro.security_pro24.disp.disp.disp
[4] mailto:des@heise.de
Copyright © 2025 Heise Medien
(Bild: Sashkin/Shutterstock.com)
Zwei als hochriskant geltende Sicherheitslücken haben die Entwickler des quelloffenen Router-Betriebssystems OpenWrt geschlossen.
Im quelloffenen Linux-Betriebssystem OpenWrt [1] haben die Entwickler zwei Sicherheitslücken geschlossen. Sie ermöglichen unter Umständen das Einschleusen und Ausführen von Schadcode sowie die Ausweitung von Rechten. Die Schwachstellen gelten als hochriskant. Wer OpenWrt einsetzt, sollte daher die aktualisierten Images installieren.
Eine der Sicherheitslücken betrifft den ubusd (Microbus-Daemon). Darüber kommunizieren in OpenWrt Clients – etwa Daemons oder Anwendungen – mit Diensten. Es handelt sich um ein System zur Interprozesskommunikation. Im Code zur Verarbeitung von Event-Registrierungen können Angreifer einen Heap-basierten Pufferüberlauf auslösen und dadurch möglicherweise Schadcode im Kontext des ubus-Daemons ausführen. Da der Code vor Zugriffsberechtigungsprüfungen ausgeführt wird, können alle ubus-Clients derartige manipulierte Nachrichten senden und die Schwachstelle missbrauchen, erörtern die OpenWrt-Entwickler in ihrer Sicherheitsmitteilung [2] (CVE-2025-62526 [3], CVSS 7.9, Risiko "hoch"). Nähere Erläuterungen, wie Angriffe aussehen könnten, die ubus-Clients zum Senden solcher manipulierter Nachrichten bringen, macht das Projekt nicht.
Die andere Schwachstelle ermöglicht die Ausweitung der Rechte von lokalen Usern. Die können beliebigen Kernel-Speicher durch die IOCTLs des ltq-ptm-Treibers lesen und beschreiben, der für den Datenpfad des DSL-Modems bedient, schreibt OpenWrt in der Sicherheitsmeldung [4] (CVE-2025-62525 [5], CVSS 7.9, Risiko "hoch"). OpenWrt laufe standardmäßig als Single-User-System, jedoch befinden sich einige Dienste in einer Sandbox. Die Schwachstelle ermöglicht Angreifern, aus einer ujail-Sandbox oder anderen Beschränkungen auszubrechen. Davon betroffen sind lediglich die Lantiq-Build-Targets mit Unterstützung für xrx200-, Danube- und Amazon-SoCs (System-on-Chip) von Lantiq, Intel und MaxLinear. Dazu müsse DSL im PTM-Modus genutzt werden, was zumeist bei VDSL-Anbindungen der Fall sei, während ADSL-Anbindungen in der Regel den ATM-Modus nutzen, erklären die Programmierer. Sie erklären zudem, dass der VRX518-DSL-Treiber nicht verwundbar sei.
Die Schwachstellen haben die Programmierer in Version 24.10.4 und neueren von OpenWrt ausgebessert. Snapshots-Builds seit dem 18. Oktober 2025 enthalten die Korrekturen, der ltq-ptem-Treiber ist seit 15. Oktober korrigiert. Alle älteren OpenWrt-Versionen sind verwundbar, schreibt das Projekt. OpenWrt-Versionen wie 23.05 oder 22.03 sind jedoch am End-of-Life angelangt und erhalten daher keine Sicherheitsupdates mehr.
Ende vergangenen Jahres hatte OpenWrt eine als kritisch eingeordnete Sicherheitslücke in den SysUpgrade-Server geschlossen [6]. Angreifer hätten manipulierte Firmware-Images erstellen und damit versehene OpenWrt-Geräte kompromittieren können.
URL dieses Artikels:
https://www.heise.de/-10811056
Links in diesem Artikel:
[1] https://www.heise.de/thema/OpenWRT
[2] https://openwrt.org/advisory/2025-10-22-1
[3] https://nvd.nist.gov/vuln/detail/CVE-2025-62526
[4] https://openwrt.org/advisory/2025-10-22-2
[5] https://nvd.nist.gov/vuln/detail/CVE-2025-62525
[6] https://www.heise.de/news/OpenWrt-Angreifer-haetten-bestimmte-Images-mit-Schadcode-verseuchen-koennen-10193337.html
[7] https://aktionen.heise.de/heise-security-pro?LPID=39555_HS1L0001_27416_999_0&wt_mc=disp.fd.security-pro.security_pro24.disp.disp.disp
[8] mailto:dmk@heise.de
Copyright © 2025 Heise Medien
(Bild: dvoevnore/Shutterstock.com)
Der Cyberangriff auf den britischen Autobauer Jaguar Land Rover war nach Einschätzung von Experten der wirtschaftlich schädlichste in der Geschichte des Landes.
Wochenlang stand die Produktion von Jaguar Land Rover still. Das hatte nicht nur auf den britischen Autobauer erhebliche Auswirkungen.
Die Einbußen durch den wochenlangen erzwungenen Produktionsstopp belaufen sich demnach auf geschätzte 1,9 Milliarden Pfund (knapp 2,2 Milliarden Euro). Die Schätzung schließe den Schaden für Zulieferer und Händler mit ein, hieß es in einer Mitteilung des Cyber Monitoring Centre [1], einer unabhängigen Expertengruppe. Demnach waren mehr als 5000 Organisationen von dem Cyberangriff betroffen.
Das zum indischen Tata-Konzern gehörende Unternehmen war Ende August zum Ziel eines Cyberangriffs geworden, der es zum Herunterfahren der IT-Systeme und einem weltweiten Produktionsstopp zwang. Inzwischen wurde die Produktion wieder schrittweise aufgenommen [2].
Die britische Regierung musste dem Autobauer mit der Garantie für einen Milliardenkredit unter die Arme greifen. Mit bis zu 1,5 Milliarden Pfund (umgerechnet 1,7 Mrd. Euro) solle die Lieferkette des Unternehmens abgesichert werden, hatte die Regierung Ende September mitgeteilt. Der Kredit kam von einer Geschäftsbank.
URL dieses Artikels:
https://www.heise.de/-10811032
Links in diesem Artikel:
[1] https://cybermonitoringcentre.com/2025/10/22/cyber-monitoring-centre-statement-on-the-jaguar-land-rovercyber-incident-october-2025/
[2] https://www.heise.de/news/Jaguar-Land-Rover-nimmt-Produktion-wieder-auf-10733932.html
[3] https://aktionen.heise.de/heise-security-pro?LPID=39555_HS1L0001_27416_999_0&wt_mc=disp.fd.security-pro.security_pro24.disp.disp.disp
[4] mailto:dmk@heise.de
Copyright © 2025 Heise Medien
NAS sind für den Barebone-Hersteller Minisforum eine neue Produktklasse. Wir haben untersucht, was das exzellent ausgestattete N5 Pro taugt.
Mit Netzwerkspeichern alias Network Attached Storage (NAS) wagt sich der von PC-Barebones bekannte Hersteller Minisforum [1] [1] auf neues Terrain. Wir bekamen von den beiden Erstlingen das besser ausgestattete Modell N5 Pro zum Test.
Das metallene, sehr solide und dezent gestaltete Gehäuse macht einen wertigen Eindruck. Es nimmt hinter einer magnetisch haltenden Abdeckklappe bis zu fünf 3,5″-SATA-Festplatten auf, außerdem innen bis zu drei M.2-NVMe-SSDs. Eine davon trägt ab Werk das selbstentwickelte NAS-Betriebssystem MinisCloud OS.
Wer schon mal ein Minisforum-Barebone bestückt hat, findet die für Hardwaretausch nützliche Schubladentechnik wieder: Das unten sitzende Mainboard lässt sich nach Abziehen der rückseitigen Stecker und Lösen zweier Schrauben nach vorn herausziehen. Auf das Board montiert man oben nach Wunsch ein oder zwei M.2-SSDs und unten den Hauptspeicher. Unser Muster kam mit 96 GByte ECC-RAM.
URL dieses Artikels:
https://www.heise.de/-10511023
Links in diesem Artikel:
[1] https://www.heise.de/tests/Mini-PC-im-Test-x86-Barebone-Minisforum-MS-01-S1260-9859575.html
[2] https://www.heise.de/tests/Netzwerkspeicher-mit-KI-Minisforum-N5-Pro-im-Test-10511023.html
[3] https://www.heise.de/ratgeber/Nicht-zertifizierte-M-2-SSDs-bei-Synology-NAS-einsetzen-10351854.html
[4] https://www.heise.de/tests/Ab-30-Euro-Leistungsfaehige-Prozessorkuehler-fuer-AMD-und-Intel-CPUs-10342678.html
[5] https://www.heise.de/tests/Mainboards-mit-B860-Chipsatz-fuer-Intel-Core-Ultra-200S-im-Test-10281574.html
[6] https://www.heise.de/tests/Aktuelle-integrierte-Grafikeinheiten-von-AMD-Apple-und-Intel-im-Vergleich-10250209.html
[7] https://www.heise.de/tests/Selbstbau-NAS-Aoostar-WTR-Pro-mit-Intel-oder-AMD-CPU-im-Test-10249080.html
[8] https://www.heise.de/ratgeber/Bauvorschlag-aufruesten-Das-bringen-eine-CPU-und-GPU-beim-Budget-Gamer-2025-10243919.html
[9] https://www.heise.de/ratgeber/Bauvorschlag-Guenstiger-Gaming-PC-mit-Aufloesung-in-Full-HD-oder-WQHD-10193789.html
[10] https://www.heise.de/ratgeber/Kaufberatung-So-waehlen-Sie-die-besten-Komponenten-fuer-Ihren-PC-10192587.html
Copyright © 2025 Heise Medien
(Bild: Sashkin/Shutterstock.com)
Zwei als hochriskant geltende Sicherheitslücken haben die Entwickler des quelloffenen Router-Betriebssystems OpenWrt geschlossen.
Im quelloffenen Linux-Betriebssystem OpenWrt [1] haben die Entwickler zwei Sicherheitslücken geschlossen. Sie ermöglichen unter Umständen das Einschleusen und Ausführen von Schadcode sowie die Ausweitung von Rechten. Die Schwachstellen gelten als hochriskant. Wer OpenWrt einsetzt, sollte daher die aktualisierten Images installieren.
Eine der Sicherheitslücken betrifft den ubusd (Microbus-Daemon). Darüber kommunizieren in OpenWrt Clients – etwa Daemons oder Anwendungen – mit Diensten. Es handelt sich um ein System zur Interprozesskommunikation. Im Code zur Verarbeitung von Event-Registrierungen können Angreifer einen Heap-basierten Pufferüberlauf auslösen und dadurch möglicherweise Schadcode im Kontext des ubus-Daemons ausführen. Da der Code vor Zugriffsberechtigungsprüfungen ausgeführt wird, können alle ubus-Clients derartige manipulierte Nachrichten senden und die Schwachstelle missbrauchen, erörtern die OpenWrt-Entwickler in ihrer Sicherheitsmitteilung [2] (CVE-2025-62526 [3], CVSS 7.9, Risiko "hoch"). Nähere Erläuterungen, wie Angriffe aussehen könnten, die ubus-Clients zum Senden solcher manipulierter Nachrichten bringen, macht das Projekt nicht.
Die andere Schwachstelle ermöglicht die Ausweitung der Rechte von lokalen Usern. Die können beliebigen Kernel-Speicher durch die IOCTLs des ltq-ptm-Treibers lesen und beschreiben, der für den Datenpfad des DSL-Modems bedient, schreibt OpenWrt in der Sicherheitsmeldung [4] (CVE-2025-62525 [5], CVSS 7.9, Risiko "hoch"). OpenWrt laufe standardmäßig als Single-User-System, jedoch befinden sich einige Dienste in einer Sandbox. Die Schwachstelle ermöglicht Angreifern, aus einer ujail-Sandbox oder anderen Beschränkungen auszubrechen. Davon betroffen sind lediglich die Lantiq-Build-Targets mit Unterstützung für xrx200-, Danube- und Amazon-SoCs (System-on-Chip) von Lantiq, Intel und MaxLinear. Dazu müsse DSL im PTM-Modus genutzt werden, was zumeist bei VDSL-Anbindungen der Fall sei, während ADSL-Anbindungen in der Regel den ATM-Modus nutzen, erklären die Programmierer. Sie erklären zudem, dass der VRX518-DSL-Treiber nicht verwundbar sei.
Die Schwachstellen haben die Programmierer in Version 24.10.4 und neueren von OpenWrt ausgebessert. Snapshots-Builds seit dem 18. Oktober 2025 enthalten die Korrekturen, der ltq-ptem-Treiber ist seit 15. Oktober korrigiert. Alle älteren OpenWrt-Versionen sind verwundbar, schreibt das Projekt. OpenWrt-Versionen wie 23.05 oder 22.03 sind jedoch am End-of-Life angelangt und erhalten daher keine Sicherheitsupdates mehr.
Ende vergangenen Jahres hatte OpenWrt eine als kritisch eingeordnete Sicherheitslücke in den SysUpgrade-Server geschlossen [6]. Angreifer hätten manipulierte Firmware-Images erstellen und damit versehene OpenWrt-Geräte kompromittieren können.
URL dieses Artikels:
https://www.heise.de/-10811056
Links in diesem Artikel:
[1] https://www.heise.de/thema/OpenWRT
[2] https://openwrt.org/advisory/2025-10-22-1
[3] https://nvd.nist.gov/vuln/detail/CVE-2025-62526
[4] https://openwrt.org/advisory/2025-10-22-2
[5] https://nvd.nist.gov/vuln/detail/CVE-2025-62525
[6] https://www.heise.de/news/OpenWrt-Angreifer-haetten-bestimmte-Images-mit-Schadcode-verseuchen-koennen-10193337.html
[7] https://aktionen.heise.de/heise-security-pro?LPID=39555_HS1L0001_27416_999_0&wt_mc=disp.fd.security-pro.security_pro24.disp.disp.disp
[8] mailto:dmk@heise.de
Copyright © 2025 Heise Medien
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
(Bild: heise online / dmk)
Seit den Update-Vorschauen aus dem August klemmt die Netzwerkanmeldung von geklonten Windows-Installationen mit identischen SIDs.
Wer Windows mit geklonten oder duplizierten Installationen im Netzwerk betreibt, kann seit der Update-Vorschau von Ende August [1] oder den Sicherheitsupdates vom Microsoft-September-Patchday [2] unerwünschtes Verhalten im Netzwerk beobachten. Anmeldungen schlagen fehl, die Kommunikation zwischen Stationen und Servern will nicht mehr.
Das räumt Microsoft nun in einem Support-Artikel [3] ein. Uns liegt auch ein Leserhinweis zu diesen Problemen vor. Die Problembeschreibung lautet konkret, dass es zu Authentifizierungsfehlern mit Kerberos und NTLM auf Geräten kommt, bei denen duplizierte Security Identifier (SIDs) vorliegen. Betroffen sind Windows 11 24H2 und 25H2 sowie Windows Server 2025, nach der Installation der Update-Vorschauen aus August oder der Patches vom September.
Microsoft listet diverse mögliche Symptome auf, die bei Nutzerinnen und Nutzer in solch einer Situation auftreten können: Etwa wiederholte Aufforderungen zur Eingabe der Zugangsdaten oder Zugangsanfragen mit gültigen Zugangsdaten, die zu Fehlermeldungen wie "Anmeldeversuch fehlgeschlagen", "Login fehlgeschlagen/Ihre Zugangsdaten haben nicht funktioniert", "Es gibt eine partielle Nicht-Übereinstimmung der Machine-ID" oder schlicht "Nutzername oder Passwort ist inkorrekt" führen.
Weitere Effekte umfassen, dass der Zugriff auf Netzwerkfreigaben weder mittels IP-Adresse noch Hostnamen gelingt, Remote-Desktop-Sitzungen nicht aufgebaut werden können, "Failover Clustering" mit einer "Zugriff verweigert"-Meldung fehlschlägt oder in den Ereignisprotokollen etwa im Sicherheits-Log die Meldung "SEC_E_NO_CREDENTIALS" oder im System-Log die LSASS-Event-ID 6167 mit der Nachricht "There is a partial mismatch in the machine ID. This indicates that the ticket has either been manipulated or it belongs to a different boot session." auftauchen.
Zur Ursache erörtert Microsoft, dass die Windows-Updates seit Ende August als zusätzliche Schutzmaßnahme erzwungene Überprüfungen der SIDs einführen, die nun Authentifizierungsfehler bei SID-Dubletten auslösen. Die Design-Änderung blockiert Authentifizierung-Handshakes zwischen solchen Geräten.
Zu mehrfach genutzten SIDs kommt es etwa, wenn von Microsoft nicht unterstützte Formen des Klonens oder Duplizierens von Windows-Installationen ohne das Laufenlassen von Sysprep genutzt werden. "Aktivierte SID-Uniqueness in Sysprep ist für eine Betriebssystemduplizierung von Windows 11 24H2, 25H2 und Server 2025 nach der Installation von Windows Updates nach dem 29. August 2025 nötig", schreibt Microsoft. Für eine dauerhafte Lösung müssen Geräte mit SID-Dubletten neu aufgesetzt werden, mittels offiziell unterstützter Methoden zum Klonen oder Duplizieren von Windows-Installationen [4], um so eine einzigartige SID zu erhalten. IT-Admins können für eine temporäre Lösung den Microsoft-Business-Support kontaktieren, der dazu eine spezielle Gruppenrichtlinie bereitstellen kann.
URL dieses Artikels:
https://www.heise.de/-10794271
Links in diesem Artikel:
[1] https://www.heise.de/news/Windows-Update-Vorschau-bringt-Windows-Sicherung-fuer-Organisationen-10622695.html
[2] https://www.heise.de/news/Patchday-Microsoft-Schadcode-Schlupfloecher-in-Office-und-Windows-geschlossen-10639037.html
[3] https://support.microsoft.com/en-us/topic/kerberos-and-ntlm-authentication-failures-due-to-duplicate-sids-76f7394d-c460-4882-9ed1-d27e0960f949
[4] https://learn.microsoft.com/en-us/troubleshoot/windows-server/setup-upgrade-and-drivers/windows-installations-disk-duplication
[5] https://aktionen.heise.de/heise-security-pro?LPID=39555_HS1L0001_27416_999_0&wt_mc=disp.fd.security-pro.security_pro24.disp.disp.disp
[6] mailto:dmk@heise.de
Copyright © 2025 Heise Medien
(Bild: Alfa Photo/Shutterstock.com)
Wichtige Sicherheitspatches schließen Schwachstellen in Omada Gateways. Netzwerkadmins sollten zügig handeln.
Verschiedene Gateway-Modelle von Omada TP-Link sind verwundbar. Im schlimmsten Fall können Angreifer als Root auf Systeme zugreifen oder sogar Schadcode ausführen.
Die Entwickler geben in den folgenden Warnmeldungen an, insgesamt vier Sicherheitslücken (CVE-2025-6541 "hoch", CVE-2025-6542 "kritisch", CVE-2025-7850 "kritisch", CVE-2025-7851 "hoch") geschlossen zu haben.
Durch das erfolgreiche Ausnutzen der ersten beiden Schwachstellen können entfernte Angreifer ohne Authentifizierung Schadcode ausführen und Systeme so vollständig kompromittieren. Wie solche Attacken im Detail ablaufen könnten, ist bislang nicht bekannt.
Im dritten Fall können Angreifer ebenfalls Schadcode ausführen, dafür muss aber bereits ein Admin authentifiziert sein. Die letzte Schwachstelle ermöglicht Angreifern den Zugriff auf eine Root-Shell. Bislang gibt es keine Hinweise, dass Angreifer die Lücken bereits ausnutzen. Das kann sich aber schnell ändern und Netzwerkadmins sollten zügig reagieren.
Diese Liste zeigt die konkret bedrohten Modelle und die jeweils abgesicherte Firmware auf. Alle vorigen Versionen sollen verwundbar sein.
URL dieses Artikels:
https://www.heise.de/-10794139
Links in diesem Artikel:
[1] https://support.omadanetworks.com/en/document/108455/
[2] https://support.omadanetworks.com/en/document/108456/
[3] https://aktionen.heise.de/heise-security-pro?LPID=39555_HS1L0001_27416_999_0&wt_mc=disp.fd.security-pro.security_pro24.disp.disp.disp
[4] mailto:des@heise.de
Copyright © 2025 Heise Medien
(Bild: Titima Ongkantong/Shutterstock.com)
Die IT-Sicherheitsbehörde CISA warnt vor laufenden Attacken auf Lücken in Produkten von Apple, Kentico, Microsoft und Oracle.
Die US-amerikanische IT-Sicherheitsbehörde CISA hat fünf Schwachstellen neu in den "Known-Exploited-Vulnerabilities"-Katalog aufgenommen. Demnach attackieren Angreifer derzeit Schwachstellen in Produkten von Apple, Kentico, Microsoft und Oracle.
Eine der Sicherheitslücken, die die CISA als bekannt attackiert [1] auflistet, stammt bereits aus dem Jahr 2023 und betrifft mehrere Apple-Produkte. Details nennt der CVE-Eintrag nicht, Apple berichtet dort jedoch, dass das Problem durch verbesserte Begrenzungsprüfungen korrigiert wurde – das klingt nach einem potenziellen Pufferüberlauf, den Apple in tvOS 15.6, watchOS 8.7, iOS und iPadOS 15.6, macOS 12.5 sowie Safari 15.6 korrigiert hat (CVE-2022-48503 [2], CVSS 8.8, Risiko "hoch").
In der Kentico-Xperience-Umgebung hat der Hersteller im März dieses Jahres kritische Sicherheitslücken gestopft, die Angreifern die Umgehung der Authentifizierung über den Staging Sync Server ermöglichten (CVE-2025-2746 [3], CVE-2025-2747 [4], CVSS 9.8, Risiko "kritisch"). Auf beide Lücken haben es Angreifer inzwischen abgesehen. Ebenso auf eine Lücke im Windows-SMB, durch die angemeldete Angreifer ihre Rechte über das Netzwerk ausweiten können – und die Microsoft bereits im Juni mit einem Update geschlossen hat (CVE-2025-33073 [5], CVSS 8.8, Risiko "hoch").
Schließlich wurden nun auch Attacken auf die in der vergangenen Woche mit einem Notfall-Update geschlossene Sicherheitslücke in der Oracle E-Business-Suite [6] beobachtet. Es handelt sich um eine CrossServer-Side-Request-Forgery (SSRF), die laut Oracle [7] aus dem Netz ohne vorherige Authentifizierung ausnutzbar ist (CVE-2025-61884 [8]. CVSS 7.5, Risiko "hoch"). Sie ermöglicht den Zugriff auf sensible Informationen.
IT-Verantwortliche sollten die bereitstehenden Software-Aktualisierungen zügig herunterladen und installieren, um die Angriffsfläche zu minimieren. Die CISA nennt wie üblich keine Details zu den Angriffen, sodass derzeit keine Indizien für Angriffe (Indicators of Compromise, IOCs) verfügbar sind, mit denen sich diese erkennen ließen.
URL dieses Artikels:
https://www.heise.de/-10794149
Links in diesem Artikel:
[1] https://www.cisa.gov/news-events/alerts/2025/10/20/cisa-adds-five-known-exploited-vulnerabilities-catalog
[2] https://nvd.nist.gov/vuln/detail/cve-2022-48503
[3] https://nvd.nist.gov/vuln/detail/CVE-2025-2746
[4] https://nvd.nist.gov/vuln/detail/CVE-2025-2747
[5] https://nvd.nist.gov/vuln/detail/CVE-2025-33073
[6] https://www.heise.de/news/E-Business-Suite-Oracle-sichert-Software-erneut-ausser-der-Reihe-ab-10759057.html
[7] https://www.oracle.com/security-alerts/alert-cve-2025-61884.html
[8] https://nvd.nist.gov/vuln/detail/CVE-2025-61884
[9] https://aktionen.heise.de/heise-security-pro?LPID=39555_HS1L0001_27416_999_0&wt_mc=disp.fd.security-pro.security_pro24.disp.disp.disp
[10] mailto:dmk@heise.de
Copyright © 2025 Heise Medien
13.000-mal schneller als herkömmliche Methoden: Googles Algorithmus dreht die Zeit zurück und bringt reale Anwendungen für Quantencomputer in greifbare Nähe.
Ein Forschungsteam von Google Quantum AI hat einen neuen Quantenalgorithmus entwickelt, der einen verifizierbaren Quantenvorteil gegenüber herkömmlicher Hardware ermöglichen soll. Der Algorithmus trägt den Spitznamen Quantum Echoes und soll auf Googles Quantenchip Willow [1] 13.000-mal schneller laufen als der beste bekannte klassische Algorithmus auf den schnellsten Supercomputern.
Die Ergebnisse präsentiert die Gruppe in einer Publikation im Fachmagazin Nature [2]. Ein zur gleichen Zeit erschienenes Manuskript auf dem Preprint-Server arXiv soll die erfolgreiche Anwendung von Quantum Echoes im Bereich der NMR demonstrieren.
Quantencomputer versprechen bei bestimmten Aufgaben einen enormen Rechenvorteil im Vergleich zu herkömmlichen oder auch Supercomputern. Damit die Quantenrechner aber einen Vorteil liefern, benötigen sie spezielle Quantenalgorithmen, die Quanteneffekte geschickt ausnutzen, um ein Problem effizient zu lösen. Verbreitet ist der Shor-Algorithmus, der das mathematische Problem löst, auf dem ein Großteil der heute etablierten Verschlüsselungsverfahren basiert. Damit könnte es Quantencomputern also eines Tages gelingen, in kürzester Zeit komplexe Verschlüsselung zu knacken.
(Bild: Google Quantum AI)
Das sogenannte Random Circuit Sampling (RCS) ist ein weiterer Quantenalgorithmus, den Unternehmen wie Google häufig nutzen [3], um die Leistungsfähigkeit ihrer Quantenchips zu demonstrieren. RCS wurde allerdings speziell dafür konstruiert, die Leistungsfähigkeit von Quantencomputern zu testen. Somit ist RCS als reiner Benchmark zu verstehen, da der Algorithmus kein Problem löst, das für reale Anwendungen nützlich wäre.
Nicht so Googles neuer Quantenalgorithmus Quantum Echoes. Dieser testet nicht einfach nur die Komplexität, sondern auch die Präzision einer Quantenrechnung. Das Team verkündet, dieser Algorithmus könne bei der Lösung von realen Problemen helfen, die etwa in der Medikamenten- oder Fusionsforschung eine Rolle spielen.
Quantum Echoes soll außerdem einen verifizierbaren Quantenvorteil liefern. Das bedeutet, dass andere Forschungsgruppen den Algorithmus auf ihren eigenen Quantenrechnern ausführen, das Ergebnis des Willow-Prozessors reproduzieren und so bestätigen können. Eigenen Angaben zufolge hat Google ein unabhängiges Team beauftragt, Schwachstellen in ihrem Algorithmus zu finden, um so die Performance zu bestätigen.
Der technische Name von Quantum Echoes lautet eigentlich "Out-of-order Time Correlator (OTOC) Algorithm". Vereinfacht gesagt ist Quantum Echoes ein Algorithmus, um die Zeit zurückzudrehen und so die Eigenschaften von Quantencomputern besser zu verstehen, Störungen nachzuverfolgen oder umzukehren.
Dafür führen die Wissenschaftler zuerst eine Reihe von Operationen auf dem Quantenchip aus. Dann stören sie eines der Qubits und diese Störung breitet sich im Quantencomputer aus. Anschließend kehren sie die Operationen um, sie führen also die Operationen aus dem ersten Schritt rückwärts in umgekehrter Reihenfolge durch – wie bei einem Echo, daher der Name des Algorithmus. Zuletzt lesen sie die Informationen aus.
Das Ergebnis verrät den Forschern, wie sich Quanteninformation und klassisches Rauschen im Quantencomputer ausbreiten. Üblicherweise sind diese beiden Effekte schwierig auseinanderzuhalten, weil alle Elemente des Quantencomputers miteinander verknüpft sind und sich verschiedene Effekte überlagern. Ihr Algorithmus verrät den Forschern, wie sich Quanteninformation in komplexen Systemen mit vielen Teilchen ausbreitet.
So können die Forscher Einblicke in mikroskopische Eigenschaften des Quantensystems gewinnen, die ein klassischer Computer nicht berechnen kann. Darin sieht das Team einen möglichen Baustein für künftige Beweise eines echten Quantenvorteils. Der Algorithmus selbst zeigt in der Nature-Publikation jedoch keinen Quantenvorteil und löst kein reales Problem.
Eine tatsächliche Anwendung schlägt das Team in einem begleitenden Manuskript auf arXiv vor. Die Arbeit basiert auf einer Kollaboration mit Forschungsgruppen aus den USA, dem Vereinigten Königreich, Kanada und Australien. Die Anwendung stammt aus dem Bereich der Kernspinresonanz (NMR, für Nuclear Magnetic Resonance). NMR ist die Grundlage für die Magnetresonanztomografie (MRT), sowie viele weitere Präzisionsmessmethoden in der Chemie, Medizin oder Geophysik.
Im betrachteten Beispiel könne Quantum Echoes als "molekulares Lineal" dienen, um Abstände sehr präzise zu messen und Informationen über chemische Strukturen zu gewinnen. Das Team untersuchte in ihrer Arbeit zwei Moleküle mit 15 beziehungsweise 28 Atomen. Die Berechnungen mit Googles Willow stimmten mit den Vorhersagen der klassischen NMR überein. Quantum Echo liefere jedoch zusätzliche Informationen, die NMR allein nicht liefern könne.
Bessere NMR ist für viele Bereiche relevant, wie die Pharmaforschung oder Materialentwicklung, um die molekulare Struktur in Medikamenten oder Baustoffen besser und schneller zu verstehen. Die Ergebnisse des arXiv-Manuskripts wurden noch nicht von unabhängigen Experten geprüft.
"Diese neue Arbeit präsentiert den Quantencomputer als Tool, um molekulare Strukturen aufzudecken, nicht nur in der NMR, sondern in der Zukunft vielleicht auch in der Quantensensorik", sagt Michel Devoret während einer Vorab-Präsentation der Ergebnisse. Das Team nutzt den Begriff "Quantum-Scope", um die Weiterentwicklung von Teleskopen und Mikroskopen anzudeuten.
Devoret gewann kürzlich den Physik-Nobelpreis [5] für die physikalischen Grundlagenexperimente, die heute die Basis für supraleitende Qubits bilden. Dies sind die Bausteine, aus denen Unternehmen wie Google oder auch IBM und das europäische IQM Quantencomputer konstruieren. Devoret ist leitender Wissenschaftler für Quantenhardware bei Google Quantum AI.
Bereits 2019 verkündete ein Forscherteam von Google, mit ihrem damaligen Quantenchip Sycamore einen Quantenvorteil demonstriert zu haben [6]. Der Chip soll ein Problem in wenigen Minuten gelöst haben, für das ein herkömmlicher Supercomputer 10.000 Jahre gebraucht hätte. Kurz darauf wurde dieser Erfolg relativiert, als Forscher einen Weg fanden, die gleiche Rechnung mit einem effizienteren Algorithmus in wenigen Minuten auf einem herkömmlichen Computer zu lösen.
"Dieses Rennen zwischen klassischem und Quantencomputing ist ganz normal. All diese Geschwindigkeits-Vorhersagen sind Momentaufnahmen. Wir haben schon damals erwartet, dass Entwickler klassische Algorithmen beschleunigen", sagt Hartmut Neven. "Wir erwarten, dass das auch in diesem Fall passieren wird. Aber auch die Quantentechnologie entwickelt sich weiter und die Leistungsfähigkeit von Quantencomputern wird weiter steigen."
Google zeigt sich optimistisch, innerhalb von fünf Jahren relevante Probleme mithilfe Quantencomputern lösen zu können, die kein klassischer Computer lösen könne. Mit der Entwicklung größerer, fehlerkorrigierter Quantenrechner erwartet das Unternehmen auch, dass mehr reale Anwendungen für Quantencomputer entdeckt werden. Aktuell fokussiere sich das Team darauf, seinen dritten Meilenstein zu erreichen [7]: ein langlebiges, logisches Qubit.
URL dieses Artikels:
https://www.heise.de/-10794626
Links in diesem Artikel:
[1] https://www.heise.de/news/Google-stellt-neuen-Quantenprozessor-Willow-vor-10192828.html
[2] https://www.nature.com/articles/s41586-025-09526-6
[3] https://www.heise.de/news/Google-stellt-neuen-Quantenprozessor-Willow-vor-10192828.html
[4] https://www.heise.de/Datenschutzerklaerung-der-Heise-Medien-GmbH-Co-KG-4860.html
[5] https://www.heise.de/news/Physiknobelpreis-fuer-Erfinder-von-Quantenchips-10726274.html
[6] https://www.heise.de/hintergrund/Google-Ueberlegenheit-von-Quantencomputern-bewiesen-4537252.html
[7] https://quantumai.google/roadmap
[8] https://www.heise.de/ct
[9] mailto:spa@heise.de
Copyright © 2025 Heise Medien
(Bild: Ubo Technology)
Ubo Pod will den Raspberry Pi in einen KI-Assistenten verwandeln – inklusive Stack für Sprache, Vision, Tools und Docker-Apps.
Mit dem Ubo Pod tritt auf Kickstarter ein neues Entwicklungssystem an, das einen Raspberry Pi 4 oder 5 in einen interaktiven KI-Assistenten verwandeln soll. Das Gerät kombiniert Gehäuse, Audio-Hardware, IR-Schnittstellen und Display. Der Fokus liegt allerdings nicht auf einem gebrauchsfertigen Produkt. Der Ubo Pod soll als Fundament dienen, um eigene Projekte mit KI und der gegebenen Hardware umzusetzen.
Die Besonderheit liegt weniger in der Hardware – ein Pi mit Display und Mikrofonen wäre auch solo realisierbar – sondern im integrierten Software-Stack: Ubo bringt Anbindung an viele KI-Dienste für Speech-to-Text, Text-to-Speech, Vision und LLMs mit. Alternativ können On-prem-Engines wie VOSK, Piper oder kleine LLM-Modelle direkt auf dem Pi laufen. Für die Tool-Integration setzt Ubo auf MCP (Model Context Protocol) und Googles gRPC – zwei Open-Source-Frameworks für den Datenaustausch zwischen KI und weiteren Tools. Damit lassen sich etwa Web-Suche, Browser-Automation oder eigene Wissensquellen per Funktionsaufruf verbinden. Langzeitgedächtnis kann über Mem0 zugeschaltet oder selbst gehostet werden.
Für Maker ist der Ubo Pod interessant, weil einfach schon alles da ist. Wi-Fi, SSH/VScode-Remote, Docker-App-Install, Monitoring und Nutzer-/Systemverwaltung sind integriert und per GUI bedienbar. Das senkt die Einstiegshürde für Headless-Geräte oder Remote-Installationen im Home-Lab. Dritt-Apps wie Home Assistant oder Pi-Hole lassen sich über Docker-Compose direkt aus dem UI heraus installieren.
Für Hardware-Erweiterungen stehen STEMMA-QT/Qwiic-Ports bereit, in künftigen Updates sollen offene HAT-Vorlagen folgen. Gehäuse, PCB-Designs und Software sind offen, das System lässt sich als Basis für eigene Add-ons oder als Referenz für eigene Produkt-Entwicklungen nutzen.
Für 109 US-Dollar kann man auf Kickstarter [2] aktuell im "Launch Day Special" das Projekt unterstützen und bekommt damit den Ubo Pro 4 ohne Raspberry Pi am Ende der Kampagne. Aktuell fehlen noch knapp 1000 Euro zum Erreichen des Ziels.
Wer sich fragt, wie so ein KI-Assistent auf Raspberry-Pi-Basis aussehen kann, der findet ein tolles Projekt in unserem Artikel zum KI-Assistenten mit sprechendem Avatar [3].
URL dieses Artikels:
https://www.heise.de/-10794510
Links in diesem Artikel:
[1] https://www.heise.de/Datenschutzerklaerung-der-Heise-Medien-GmbH-Co-KG-4860.html
[2] https://www.kickstarter.com/projects/ubopod/ubo-pod-hackable-personal-ai-assistant/description
[3] https://www.heise.de/ratgeber/Raspberry-Pi-Projekt-KI-Sprachassistent-mit-eigenem-sprechenden-Avatar-bauen-9591453.html
[4] https://www.heise.de/make
[5] mailto:das@make-magazin.de
Copyright © 2025 Heise Medien
(Bild: patat / Shutterstock.com)
Eine Langzeitstudie mit über 6.500 Kindern zeigt: Wer täglich drei Stunden scrollt, schneidet bei Gedächtnis- und Lesetests deutlich schlechter ab.
Das Smartphone auf dem Schreibtisch, nebenbei die Hausaufgaben – für viele Kinder ist das Alltag. Doch was macht das ständige Scrollen durch Instagram, TikTok und Co. mit dem jungen Gehirn?
Forscher der University of California haben die Daten von mehr als 6.500 Kindern, die über mehrere Jahre gesammelt wurden, ausgewertet.
Und sie kommen zu einem beunruhigenden Ergebnis: Je mehr Zeit Heranwachsende zwischen 9 und 13 Jahren in sozialen Netzwerken verbringen, desto schlechter schneiden sie in Tests zum Lesen [1], Gedächtnis und Wortschatz ab.
Die im Fachjournal JAMA veröffentlichte Studie [2] liefert neue Hinweise darauf, dass Social Media die geistige Leistungsfähigkeit von Kindern beeinträchtigen könnte.
Die Wissenschaftler werteten Daten der Adolescent Brain Cognitive Development Study (ABCD) aus, die zwischen 2016 und 2020 erhoben wurden.
Sie teilten 6.554 Kinder in drei Gruppen ein: 57,6 Prozent nutzten Social Media kaum oder gar nicht (0,3 Stunden täglich mit 13 Jahren). 36,6 Prozent steigerten ihre Nutzung auf 1,3 Stunden pro Tag. Die kleinste Gruppe von 5,8 Prozent erhöhte ihre tägliche Nutzung auf drei Stunden.
Alle Kinder absolvierten kognitive Tests zu Beginn der Studie und zwei Jahre später. Die Forscher berücksichtigten dabei Faktoren wie Alter, Geschlecht, Haushaltseinkommen, ADHS- und Depressionssymptome sowie die sonstige Bildschirmzeit.
Kinder mit geringer Zunahme der Social-Media-Nutzung erzielten beim Lesetest 1,39 Punkte weniger als die Referenzgruppe. Beim Gedächtnistest waren es 2,03 Punkte weniger, beim Wortschatz 2,09 Punkte.
Bei Kindern mit starker Zunahme fielen die Unterschiede größer aus: minus 1,68 Punkte beim Lesen, minus 4,51 Punkte beim Gedächtnis, minus 3,85 Punkte beim Wortschatz. Tests zur Aufmerksamkeit zeigten hingegen keine signifikanten Unterschiede.
Die Unterschiede sind statistisch signifikant, in absoluten Zahlen aber gering. Alle drei Gruppen erreichten Mittelwerte im normalen Bereich für 13-Jährige.
In einem begleitenden Leitartikel [3] in JAMA schrieben Kinderpsychologen, selbst subtile Unterschiede könnten Folgen haben: Schüler benötigen im Durchschnitt länger [4], um Aufgaben zu erledigen, fallen in kumulativen Fächern zurück oder ziehen sich aus dem Unterricht zurück.
Forscher vermuten, das liegt daran, dass Social Media Zeit für schulische Aktivitäten verdrängt. Sanjeev Kothare vom Cohen Children's Medical Center, der nicht an der Studie beteiligt war, sieht zwei Probleme. Gegenüber der New York Post erklärte er [5]: Kinder könnten während des Unterrichts Social Media nutzen oder zu lange aufbleiben [6], um zu scrollen.
Social Media unterscheidet sich laut Kothare von passiver Bildschirmzeit wie Fernsehen. Während Fernsehen noch in gewissem Maße Multitasking zulasse, beschäftigten sich Kinder bei Social Media direkt mit den Inhalten, was mehr Aufmerksamkeit vom Gehirn erfordere.
Die Forscher betonten die Grenzen ihrer Arbeit. Die Daten stammen aus Selbstauskünften, das Beobachtungsdesign lässt keine kausalen Schlüsse zu. Unklar bleibt auch, welche Plattformen und Inhalte die Zusammenhänge treiben.
Die Autoren des JAMA-Leitartikels forderten dennoch "regulatorische Maßnahmen wie durchsetzbare Altersbeschränkungen" [7] und "eine größere Verantwortlichkeit der Plattformen".
Gerade in der Debatte um handyfreie Schulen [8], die in Deutschland in allen Bundesländern aufgekommen ist, dürften die Studienergebnisse von Interesse sein. In den USA hat etwa der Bundesstaat Arkansas bereits ein Handyverbot an Schulen eingeführt. In diesem Jahr untersagte auch New York City Handys an Schulen.
URL dieses Artikels:https://www.heise.de/-10800135
Links in diesem Artikel:[1] https://www.heise.de/tp/features/20-Prozent-Analphabeten-Deutschland-vor-dem-Bildungskollaps-10665944.html[2] https://jamanetwork.com/journals/jama/fullarticle/2839941[3] https://jamanetwork.com/journals/jama/article-abstract/2839942[4] https://achi.net/newsroom/study-increased-social-media-use-by-children-linked-to-lower-scores-on-cognitive-function-tests/[5] https://nypost.com/2025/10/15/health/social-media-is-hurting-kids-memory-vocabulary-study/[6] https://www.heise.de/tp/features/Schlaf-als-Schluessel-zur-geistigen-Frische-10776472.html[7] https://www.heise.de/tp/features/Soziale-Medien-Ploetzlich-Sperrzone-fuer-unter-16-Jaehrige-10712346.html[8] https://www.heise.de/tp/features/Immer-mehr-Bundeslaender-schraenken-private-Handynutzung-an-Schulen-ein-10748195.html
Copyright © 2025 Heise Medien
Henri Bontenbal, laut Umfragen aussichtsreicher Kandidat für das Amt des niederländischen Ministerpräsidenten, drängt auf einen schnellen Erfolg in den Gesprächen mit China im Fall der Enteignung von Nexperia. "Da hängt die gesamte europäische Autoindustrie dran" , sagte er dem Handelsblatt . Die niederländische Regierung übernahm Ende September die Kontrolle über den niederländischen Chiphersteller, der sich bis dahin in chinesischer Hand befand und der auch in China fertigt.
Das Unternehmen hat derzeit 12.500 Beschäftigte und stellt mit einem Umsatz von 2,36 Milliarden Euro jährlich 110 Milliarden Halbleiterprodukte her. Dazu zählen bipolare Transistoren, Dioden, Mosfets und integrierte Schaltungen (ICs).
Am 21. Oktober 2025 besprachen Minister aus Peking und Den Haag den Fall erstmals direkt. Ergebnisse gab es dabei nicht. China verhängte als Reaktion auf den niederländischen Schritt Exportverbote für Nexperia-Produkte – mit möglicherweise erheblichen Folgen für die Autoindustrie. Zahlreiche europäische Hersteller sind Nexperia-Kunden.
Bontenbal deutete im Gespräch mit dem Handelsblatt einen versöhnlichen Ton gegenüber Peking an. "Das war vielleicht etwas zu hart" , sagte er über den drastischen Eingriff bei Nexperia. In den Niederlanden wird am 29. Oktober ein neues Parlament gewählt. Der Christdemokrat Bontenbal und der Ex-EU-Kommissar Frans Timmermans an der Spitze eines rot-grünen Bündnisses haben die größten Chancen, die nächste Regierung zu führen.
Nexperia wurde 2017 an chinesische Investoren verkauft . Einem Bericht der Financial Times zufolge setzten die USA Wingtech im vergangenen Jahr auf die Entity List des US-Handelsministeriums und warfen dem Unternehmen vor, China beim Erwerb sensibler Halbleitertechnologie geholfen zu haben. D ie Niederlande übernahmen am 13. Oktober 2025 unter Berufung auf ein Gesetz zum Schutz nationaler Interessen die Kontrolle von Nexperia und enteigneten damit das Unternehmen.
Nexperia China teilte den Beschäftigten mit , nur Anweisungen der lokalen Manager zu befolgen. Der niederländischen Zentrale gegenüber seien sie nicht weisungsgebunden, Nexperia China sei ein eigenständiges Unternehmen. Beschäftigte in der Volksrepublik dürften deren Anweisungen ohne Sorge vor Disziplinarmaßnahmen ignorieren. Als Reaktion auf diesen Eingriff hat China Ausfuhrbeschränkungen für bestimmte Nexperia-Produkte aus dem chinesischen Werk – wahrscheinlich in der Provinz Guangdong – erlassen.
Nach dem Verband der Automobilindustrie (VDA) und dem Verband der Elektro- und Digitalindustrie (ZVEI) warnt auch der Verband deutscher Maschinen- und Anlagenbau (VDMA) vor Engpässen bei Nexperia-Chips.
Nach der globalen Störung bei AWS sprachen wir mit Thomas Thiele, Digitalexperte bei der Unternehmensberatung Arthur D. Little , über die Risiken für Betreiber Kritischer Infrastrukturen (Kritis) in Deutschland, auch vor dem Hintergrund eines drohenden Faschismus in den USA.
Die technischen Ursachen lagen nach jetzigem Kenntnisstand in dem Ausfall der DNS-Auflösung für interne Endpunkte von AWS. So fiel etwa DynamoDB in US East 1 aus. "Zahlreiche abhängige Services schlugen fehl; teils ließen sich nicht einmal Support Tickets öffnen. Die Ausfälle propagierten sich in der Wirkungskette über 80 Services wie Lambda Invokes, EC2 Launches oder SQS Polling" , erklärte Thiele.
"Die globale Störung mit Schwerpunkt US East 1 in Nord Virginia legte dann zahlreiche Dienste wie Signal, Snapchat, Fortnite und Amazon Eigendienste lahm" , erklärte Thiele. "AWS sprach zunächst von DNS-Auflösungsproblemen; später konkretisierte AWS in einem Statusupdate, ein internes Subsystem für die Health-Überwachung von Network-Load-Balancern hat die Störung ausgelöst. Gegenmaßnahmen führten im Laufe des Vormittags zu einer Erholung. Mehr als 80 AWS-Services waren zeitweise betroffen."
Dennoch könnten sich die Deutsche Bahn und der Mobilfunkbetreiber Telefónica leisten, so stark von AWS abhängig zu sein, meinte Thiele, der fünf Jahre lang Chief AI Officer bei der Bahn war. "Es braucht aber eine technische Resilienz, mit klaren hybriden Pfaden oder sogar Exit-Optionen und regulatorisch belastbaren Souveränitätsmaßnahmen" , betonte er.
Momentan bestehe kaum eine andere Wahl, weil die Umstellung auf diese Cloudsysteme bereits beschlossen und umgesetzt worden sei. "Die ist nicht ohne größere Aufwände umkehrbar. Allerdings können die Unternehmen schrittweise die Verbindungen lösen" , sagte er. Dazu gehöre Provider-Diversifizierung: Für Kritis-Funktionen brauche man technische Fallbacks außerhalb von AWS, etwa auf eigenem Bare Metal / Private Cloud oder bei einem zweiten Hyperscaler. Die Verwendung und das Umschalten auf Fallback-Systeme müsse technisch verankert sein. "Ich teile sehr die Empfehlung des BSI, Souveränitäts- und Kontrollverlust in der Cloud aktiv abzumildern" , sagte Thiele.
Wichtig seien auch kryptografische Souveränität mit External Key Stores oder kundeneigene HSMs außerhalb von AWS, "um die Schlüsselhoheit zu behalten und rechtliche Risiken zu reduzieren" . Die Perspektive sei die Sovereign Cloud.
Laut einigen politischen Beobachtern stehen die USA am Rande des Faschismus. Thiele hält dies für überspitzt: "Entscheidungen wurden in der Vergangenheit unter anderen Prämissen und politischer Richtung der USA getroffen" , sagte er. Seit Längerem könnten US-Behörden unter Umständen auf Daten bei US-Providern zugreifen, auch wenn diese in der EU liegen. Für Unternehmen erhöhe sich aktuell der Rechts- und Souveränitätsdruck – besonders bei Kritis-relevanten Themen.
Als Konsequenzen für deutsche Kritis-Betreiber, die konkret umsetzbar seien, nannte Thiele: "EU-Regionen nutzen und operative Schlüssel außerhalb von AWS halten (XKS/HSM). Das verhindert keinen behördlichen Zugriff per se, erhöht aber die technische und rechtliche Schwelle."
Für besonders sensible Funktionen sollte man auf EU-geführte Plattformen wie die AWS European Sovereign Cloud ausweichen oder alternative EU-Clouds einplanen. Für die Control-Plane-Unabhängigkeit seien eigene DNS-Resolver oder Out-of-Band-Management aufzubauen, damit eine Cloudstörung nicht die Steuerung der Wiederherstellung blockiere. Andere Experten halten die EU-AWS-Cloud für keine Alternative und verweisen auf europäische Angebote.
Wichtig seien laut Thiele getrennte Domänen für Safety/Mission Critical: Bei der Bahn müsse man sicherheitskritische Leit- und Sicherungstechnik klar vom Hyperscaler-Stack entkoppeln. Bei Telefónica sei der Minimum Viable Core, zum Beispiel Nokia-basierte Funktionen außerhalb der Public Cloud als Warm-Stand-by zu halten. Hintergrund sei die vorhandene tiefe Integration des 5G-Core in AWS bei dem Netzbetreiber.
In Verträgen und der IT-Architektur sei ein Multicloud-Exit zu verankern mit Back-ups, Images, IaC-Portabilität und Daten-Egress-Pfaden. Daten-Egress-Pfade in der Cloud bezeichnen alle Netzwerkverbindungen, über die Daten die Infrastruktur eines Cloudanbieters verlassen. "Diese muss man regelmäßig testen, was das BSI auch explizit fordert" , betonte Thiele.
Der Ausfall habe die Bahn nicht betroffen: "Die Systeme der Deutschen Bahn liefen am heutigen Montag reibungslos. Weder bei den IT-Systemen zur Steuerung des Eisenbahnbetriebs noch bei den Auskunftssystemen für unsere Kunden (bahn.de, DB Navigator) gab es heute Ausfälle oder Störungen" , sagte ein Bahn-Sprecher am 20. Oktober 2025 Golem. Das DB-Rechenzentrum in Berlin-Mahlsdorf mit bis zu 8.000 eigenen Servern ist Vergangenheit. Die Bahn schaltete im Jahr 2020 ihr eigenes Rechenzentrum ab und beendete damit den Umzug in die US-Cloud der Hyperscaler. Darüber laufen nun der Ticketverkauf, die ständigen Verspätungsinformationen sowie die Überwachung aller Weichen des Schienennetzes.
Telefónica kommentierte: "Unser Netz läuft ununterbrochen reibungslos. Es versorgt unsere Kundinnen und Kunden zuverlässig mit Mobilfunk. Der Teil der Kernnetzinfrastruktur, der auf AWS-Komponenten läuft, befindet sich in der Region Frankfurt, die nicht von Ausfällen betroffen war. Andererseits bauen wir unser Netz mit AWS-Outposts aus – die Technik steht dabei in unseren eigenen Rechenzentren und verfügt über Redundanzen innerhalb der EU."
Man nutze "für den Großteil unseres Kernnetzes die Technologie des europäischen Netzausrüsters Ericsson. Parallel dazu betreiben wir für rund eine Million Kunden ein Kernnetz mit Nokia-Technologie auf der AWS-Infrastruktur. Zudem haben wir angekündigt, parallel eine weitere Sprachplattform aufzubauen" , sagte Unternehmenssprecher Florian Streicher.
Um unterwegs schnell Daten sichern zu können, kann eine tragbare SSD hilfreich sein. Schließlich sind die Flash-Speicher unempfindlicher gegen Stöße, als es etwa eine portable Festplatte ist. Sogar sturzsicher aus 1 m Höhe sowie wasser- und staubdicht ist die externe SSD SD500 von SSK. Für kurze Zeit gibt es diese nun zum historisch niedrigen Preis bei Amazon.
Die externe SSD steckt in einem nur 66 × 38 × 13 Millimeter kleinen Gehäuse aus einer 2 Millimeter dicken Aluminiumlegierung. Das Material sorgt nicht nur für Stabilität, sondern schützt die SSD auch vor Staub und Wasser. Laut Hersteller übersteht das Laufwerk sogar Stürze aus bis zu einem Meter Höhe unbeschadet.
Ein praktisches Detail: die auffällige orangefarbene Trageschlaufe, mit der sich die SD500 bequem an Rucksack, Schlüsselbund oder Kameraausrüstung befestigen lässt.
Im Lieferumfang finden sich sowohl ein USB-C-auf-A- als auch ein USB-C-auf-C-Kabel. Laut SSK soll die SD500 bis zu 1.050 MByte/s beim Lesen und Schreiben erreichen. Im Test von SSD-Tester.de übertrifft die SSD diese Angaben deutlich: Der Crystaldiskmark misst 1.229 MByte/s Leserate und 1.237 MByte/s Schreibgeschwindigkeit.
Reklame
SSK 2 TB (versch. Kapazitäten zur Wahl) tragbare Externe NVME-SSD, bis zu 1050 MB/s
Im befristeten Angebot zum Bestpreis kaufenEtwa 24 Gigabyte der Gesamtkapazität nutzt die SD500 als SLC-Cache, um hohe Transferraten über längere Zeit zu halten. Auf einen dedizierten DRAM-Cache verzichtet SSK hingegen, um die Kosten niedrig zu halten.
Zum Zeitpunkt der Artikelerstellung bietet Amazon die SSK SD500 SSD im befristeten Angebot an. Dabei sind unterschiedliche Speicherkapazitäten reduziert, von 500 GByte bis hin zu fast 2.000 GByte alias zwei TByte. So kostet beispielsweise die SD500 mit zwei TByte nur 118,14 Euro. Ein Blick in die Keepa-Preishistorie verrät, dass es diese wasser- und staubdichte SSD während des ganzen Oktobers nicht so günstig zu kaufen gab. Zuletzt hatte dieser Bestpreis für rund eine Woche Gültigkeit. Dabei gab es die SSK SD500 noch nie günstiger zu kaufen.
Eine DIY-Alternative ist es, sich ein USB-SSD-Gehäuse zu kaufen und eine bereits vorhandene M.2-SSD einzubauen. Dann ist man noch günstiger unterwegs, insbesondere mit dem aktuell reduzierten Bestseller von Ugreen, den wir hier vorstellen .
Dieser Artikel enthält sogenannte Affiliate-Links. Bei einem Kauf der Produkte über diese Links erhält Golem.de eine kleine Provision. Dies ändert nichts am Preis der Artikel.
(Bild: Apple)
Während iPhone 17 und 17 Pro die Erwartungen übertreffen, bremst Apple die Fertigung des iPhone Air angeblich drastisch. Dies ist jetzt aus Asien zu hören.
Apple soll die Produktionsaufträge für das iPhone Air drastisch zusammengestrichen haben und die Fertigung ab November auf rund 10 Prozent des September-Volumens herunterfahren. Das berichtet Nikkei Asia [1] unter Berufung auf mehrere mit der Angelegenheit vertraute Personen aus der Zuliefererkette. Gleichzeitig erhöht das US-Unternehmen die Bestellungen für das iPhone 17 und iPhone 17 Pro deutlich – die Gesamtprognose von 85 bis 90 Millionen Einheiten für die iPhone-17-Serie bleibe damit stabil. Zuvor hatte es schon ähnliche Berichte aus Südkorea gegeben [2].
Die Anpassung der Produktionspläne spiegelt die völlig unterschiedliche Marktreaktion auf die einzelnen Modelle wider. Während das iPhone Air [3] außerhalb Chinas auf wenig Interesse stoßen soll, übertrifft die Nachfrage nach den Standard- und Pro-Varianten offenbar die Erwartungen. Apple habe die Produktionsaufträge für das Basismodell iPhone 17 um etwa 5 Millionen Einheiten erhöht und auch die Bestellungen für das iPhone 17 Pro aufgestockt, so die Quellen.
Ursprünglich sollte das iPhone Air etwa 10 bis 15 Prozent der gesamten iPhone-Neuproduktion 2025 ausmachen. Nun haben laut dem Bericht mehrere Zulieferer von Apple die Anweisung erhalten, Komponenten- und Elektronikmodule für dieses Modell weitgehend zu reduzieren. Ein Manager aus der Zulieferkette beschreibt die aktuellen Produktionsaufträge als nahezu auf "End-of-Production"-Niveau, das normalerweise erst am Ende eines iPhone-Jahres erreicht wird – und das, obwohl das iPhone Air erst vergangene Woche in China in den Verkauf gegangen ist. Dort soll es auf hohe Nachfrage stoßen.
Die unterschiedliche Beliebtheit der Modelle zeigte sich bereits beim Bestellvorgang: Auf Apples offizieller US-Website beträgt die durchschnittliche Wartezeit für ein iPhone 17 mit 256 Gigabyte Speicher und kostenlosem Versand derzeit zwei bis drei Wochen, für das iPhone 17 Pro ein bis zwei Wochen. Für das iPhone Air gibt es dagegen keine Wartezeit. Ähnlich die Situation im deutschen Apple Online Store: iPhone 17 und 17 Pro haben dort Liefertermine zwischen Anfang und Mitte November, das iPhone Air ist sofort lieferbar.
In China kam das iPhone Air erst mit erheblicher Verzögerung auf den Markt. Grund waren Pekings Vorschriften zur eSIM-Technologie. Während Apple die iPhone-17-Serie am 9. September vorstellte und am 19. September mit dem Verkauf in den meisten Märkten begann, mussten chinesische Kunden auf das Air-Modell bis vergangene Woche warten. Die ersten Verkaufstage in China verliefen laut Nikkei allerdings durchaus positiv.
Insgesamt hat sich die iPhone-17-Serie in China und den USA – Apples zwei größten Märkten – in den ersten zehn Verkaufstagen um 14 Prozent besser verkauft als die iPhone-16-Reihe im Vorjahr. Haupttreiber dieses Wachstums ist das Basismodell iPhone 17. Die Verkaufszahlen für das Juli-bis-September-Quartal lagen über dem Vorjahreswert, obwohl der Smartphone-Markt insgesamt stagniert.
Strategisch sollte das iPhone Air den Weg für Apples erstes faltbares iPhone ebnen, das für 2026 erwartet wird. Drei mit der Angelegenheit vertraute Personen bestätigten diese Rolle des ultradünnen Modells. Apple setze große Hoffnungen in den Launch eines Foldables im kommenden Jahr.
Die Zulieferer zeigen sich insgesamt erleichtert, dass Apple seine Gesamtprognose einhalten kann. Andere Hersteller hätten für 2025 Rückgänge verzeichnet, was unter anderem auf die Zoll-Auseinandersetzungen und die globale Konjunkturentwicklung zurückgeführt wird.
URL dieses Artikels:
https://www.heise.de/-10794765
Links in diesem Artikel:
[1] https://www.nikkei.com/article/DGXZQOUC18C1G0Y5A011C2000000/
[2] https://www.heise.de/news/iPhone-Air-Apple-reduziert-angeblich-Produktion-10778516.html
[3] https://www.heise.de/news/Luftig-Apple-schickt-duennes-iPhone-Air-ins-Rennen-10638523.html
[4] https://www.heise.de/mac-and-i
[5] mailto:mki@heise.de
Copyright © 2025 Heise Medien
Icon der Sora-App: Noch recht exklusiv.
(Bild: OpenAI)
OpenAI lässt eigentlich nur amerikanische User in sein neues KI-Video-Social-Network. Mit einem Trick geht es trotzdem.
Kaum eine iPhone-App dürfte in den letzten Monaten derart gehypt worden sein wie OpenAIs Sora [1]. Die Anwendung, die auf dem verbesserten Sora-2-Videogenerator basiert, kombiniert das Erstellen von KI-Videos mit einem TikTok-artigen sozialen Netzwerk, das nur aus selbigen besteht. Das Problem: Die kostenlose App ist bislang nur in den USA [2] erhältlich, im deutschen App Store ist sie nicht herunterladbar. Es gibt allerdings einen Weg, sie auch in Europa zu verwenden.
Der Schlüssel dazu ist ein Apple-Account, der in den Vereinigten Staaten beheimatet ist. Mit diesem kann man sich dann im US-App-Store anmelden, was auch parallel zu einem deutschen iCloud-Zugang möglich ist. Dazu wird der amerikanische Account nach Anlegung im Web [3] – wozu eine US-Anschrift benötigt wird – im Bereich "Medien & Käufe" in den Apple-Account-Einstellungen hinterlegt. Zu bedenken ist dabei allerdings, dass damit auch andere Apple-Dienste wie Apple Music in die USA wandern und man aus dem jeweiligen deutschen Angebot abgemeldet wird.
Es ist aber auch möglich, nur kurz in den US-Account zu wechseln, Sora herunterzuladen und dann in den deutschen App Store zurückzukehren, in dem man sich im US-Angebot wieder abmeldet. Nach dem Download bleibt die App nutzbar, solange auf dem Gerät einmalig der US-Account hinterlegt worden ist. Ideal ist das allerdings nicht, weil die App dann gegebenenfalls nicht automatisch aktualisiert wird. User müssen dann gegebenenfalls erneut in den US-App-Store wechseln, was wiederum wieder mit den Abmeldungen aus Apple-Diensten (siehe oben, iCloud bleibt außen vor) verbunden ist. Ein VPN ist für die Sora-App nicht notwendig, OpenAI akzeptiert auch europäische IP-Adressen.
Um die Sora-App nutzen zu können, benötigt man dann allerdings noch einen Einladungscode. Da jeder Sora-Nutzer sechs davon erhält, die frei verteilt werden können, sollte man am besten im Freundeskreis fragen. Alternativ besteht auch die Möglichkeit, sich auf eine Warteliste setzen zu lassen. Bei einem Testaccount dauerte das rund zwei Wochen, OpenAI scheint hier schrittweise freizuschalten. Wann eine vollständige Freigabe erfolgt, ist noch unklar – ebenso, wann und ob die App in die EU kommt. Wer nur Sora 2 ohne App nutzen will, kann auch KI-Provider wie Higgsfield nutzen, diese sind allerdings kostenpflichtig, ein Paket mit aktuell unlimitierter Generierung kostet, im "Sonderangebot", 30 US-Dollar im Monat [4].
Anfangs war mit Sora fast alles an Videos generierbar – sogar das Erstellen von Inhalten mit bekannten urheberrechtlich geschützten Charakteren [5] von Pikachu bis South Park. Auch Promis ließen sich leicht deepfaken. Mittlerweile ist das Anarchieniveau gesunken, OpenAI hat neue "Guardrails" eingezogen, die viele Prompts – auch bekannte Memes – untersagen. Die Grundfunktionalität der App bleibt aber bestehen: das Generieren rund 10 Sekunden langer Videos, bei denen man sogar als Nutzer selbst auftauchen kann. Das Cameo genannte Feature arbeitet mittels Erfassung des Oberkörpers über die iPhone-Kamera. Zudem muss man einige Worte sagen, denn auch die Stimme wird nachgebildet.
URL dieses Artikels:
https://www.heise.de/-10794163
Links in diesem Artikel:
[1] https://www.heise.de/news/Sora-2-ist-beeindruckend-und-unangenehm-10777838.html
[2] https://apps.apple.com/us/app/sora-by-openai/id6744034028
[3] https://support.apple.com/apple-account
[4] https://higgsfield.ai/pricing
[5] https://www.heise.de/news/Japan-ermahnt-OpenAI-wegen-Urheberrechtsverstoessen-KI-generierter-Anime-Videos-10773838.html
[6] https://www.heise.de/Datenschutzerklaerung-der-Heise-Medien-GmbH-Co-KG-4860.html
[7] https://www.heise.de/mac-and-i
[8] mailto:bsc@heise.de
Copyright © 2025 Heise Medien
Matebook Fold von Huawei: In China bereits auf dem Markt.
(Bild: Huawei)
Nach dem für 2026 geplanten iPhone-Foldable wollte Apple eigentlich ein Falt-Tablet nachlegen. Doch daraus wird wohl erst einmal nichts – bis mindestens 2029.
Apple hat offenbar produktionstechnische Probleme, sein erstes faltbares iPad auf den Markt zu bringen. Einem Bericht der Finanznachrichtenagentur Bloomberg [1] zufolge soll das Gerät, das aufgeklappt bis zu 18 Zoll anzeigen soll, nicht vor 2029 erscheinen – womöglich sogar noch später. "Ingenieurtechnische Herausforderungen" in den Bereichen Gewicht, Funktionsumfang und Bildschirmtechnologie würden ein früheres Release verhindern. Angeblich strebte Apple bislang 2028 an – wobei auch dieser Termin wohl schon eine Verspätung darstellt. Die Hardware soll mit rund 3000 US-Dollar sehr teuer werden.
Einer der Lieferanten soll angeblich Samsung Display sein. Von dort kommen auch seit langem iPhone-Bildschirme sowie vermutlich Screens für Apples erstes Smartphone-Foldable [2], das im Herbst 2026 erwartet wird. Apple hofft auf ein faltbares iPad-Panel, das nahezu keine "Bügelfalte" [3] zeigt – so ist das auch beim klappbaren iPhone vorgesehen. Das iPad-Foldable soll Teil einer Produktinitiative sein, die Apple in Sachen innovativer Hardware wieder nach vorne bringen soll. Dies begann in diesem Jahr mit dem sehr dünnen iPhone Air [4]. Im kommenden Jahr ist besagtes iPhone-Foldable vorgesehen, 2027 dann angeblich ein Jubiläums-iPhone "fast nur aus Glas" mit abgerundetem Bildschirm [5].
Informierte Kreise berichten Bloomberg, dass Apple einen ähnlichen Ansatz plant wie Huawei mit seinem Matebook Fold [6], das es allerdings nur in China gibt. Dabei handelt es sich ebenfalls um ein faltbares Tablet mit 18 Zoll, es wurde im Mai eingeführt. Der Preis liegt umgerechnet bei 3400 US-Dollar. Es soll angeblich 450 Gramm leichter sein als Apples aktueller Prototyp. Angestrebt wird ein Gewicht von rund 1,5 kg. Das entspricht ungefähr einem MacBook Pro mit 14 Zoll.
Bloomberg schreibt weiter, dass es sogar denkbar sei, dass das iPad-Foldable überhaupt nicht auf den Markt kommen wird. Die technischen Herausforderungen und die Nähe zum Huawei-Produkt wären mögliche Gründe.
Apple ist stets bereit, seine Entscheidungen zu überdenken – Projekte können auch nach Jahren der Arbeit eingestellt werden, wenn sich zeigt, dass die Geschäftschance nicht mehr interessant ist. So wurde etwa das milliardenschwere Autoprojekt [7] eingestampft, nachdem es verschiedene Strategieänderungen hinter sich hatte.
URL dieses Artikels:
https://www.heise.de/-10794183
Links in diesem Artikel:
[1] https://www.bloomberg.com/news/articles/2025-10-21/apple-s-planned-foldable-ipad-with-18-inch-screen-hits-development-snags
[2] https://www.heise.de/news/Samsung-bestaetigt-Foldable-Display-Auftrag-von-amerikanischer-Firma-10678908.html
[3] https://www.heise.de/news/Foldable-ohne-Buegelfalte-So-soll-das-faltbare-iPhone-geschmeidig-bleiben-10488599.html
[4] https://www.heise.de/tests/iPhone-17-17-Pro-17-Pro-Max-und-Air-im-Test-10663319.html
[5] https://www.heise.de/news/Drei-Jahre-grosser-iPhone-Redesigns-Was-Apple-ab-2026-plant-10601281.html
[6] https://consumer.huawei.com/cn/harmonyos-computer/matebook-fold-ultimate-design/
[7] https://www.heise.de/meinung/Kommentar-Apples-Auto-Reissleine-war-richtig-9641195.html
[8] https://www.heise.de/Datenschutzerklaerung-der-Heise-Medien-GmbH-Co-KG-4860.html
[9] https://www.heise.de/mac-and-i
[10] mailto:bsc@heise.de
Copyright © 2025 Heise Medien
FreshRSS