Security

Wer die Handynummer stiehlt, bekommt die SMS-Codes gleich mit. Die meisten stellen sich dafür einen gefälschten Ausweis im Laden vor. Der Weg läuft anders, nämlich über dein Kundenkonto beim Anbieter, eine selbst bestellte eSIM und einen Anruf. Was Telekom, Vodafone und O2 dagegen anbieten, und warum ein Schalter davon in die falsche Richtung zeigt.

(Update: Warnung wird so halb zurückgezogen) Wer auf Sicherheit wert legt denkt vielleicht an Google als das beste Pendent zu Apple im Android-Bereich. Weit gefehlt, wie nun die Entwickler des alternativen Betriebssystems GrapheneOS warnen. Google habe ein essentielles ARM Sicherheitsfeature in der Pixel 11 Reihe eingespart, weswegen man vom Kauf abrät.

(Update: GrapheneOS kann Pixel 11 Support wohl doch liefern) Am Wochenende ließen Entwickler des alternativen Betriebssystems GrapheneOS mit einer Kaufwarnung für die Pixel 11 Generation aufhorchen da beim Tensor G6-Chip ein angeblich wichtiges Sicherheitsfeature entfernt wurde. Eine Analyse des Bootloaders sowie durchgesickerte Google-Dokumente deuten darauf hin, dass Speichertagging tatsächlich bewusst entfernt wurde. Wir klären in einer Recherche auch, für wen das tatsächlich ein Problem im Alltag ist und was das alles mit einem mysteriösen Motorola-Flaggschiff der nahen Zukunft zu tun hat.

Unter der Liste deiner verknüpften Geräte steht ein beruhigender Satz über Ende-zu-Ende-Verschlüsselung. Er stimmt sogar. Nur schützt diese Verschlüsselung jedes gekoppelte Gerät gleichermaßen, auch eines, das nicht dir gehört. Das BSI warnt vor einer Masche, die genau damit arbeitet.

Anthropic hat Claude-Nutzer abgemeldet und ihre hinterlegte Karte entfernt. In einer Mail an Betroffene nennt das Unternehmen den Grund. Infostealer-Malware hat auf ihren Rechnern die Claude-Anmeldung kopiert, Fremde verbrauchten damit das bezahlte Kontingent. Passwort und Zwei-Faktor-Code brauchten sie dafür nicht.

Rund 1.200 KI-Agenten bildeten während eines Cybersicherheitstests von OpenAI unerwartet einen koordinierten Schwarm, tauschten Informationen aus, griffen Hugging Face an und versuchten, ihre Aktionen zu verbergen. Die Ergebnisse verdeutlichen die wachsenden Herausforderungen bei der Kontrolle zunehmend autonomer KI-Systeme.

Seit dem 28. August nimmt ChatGPT mehrere Google-Konten gleichzeitig an, privat und beruflich landen damit im selben Chatfenster. Praktisch für den Abgleich zweier Kalender. Die Freigabe, die OpenAI sich dafür holt, reicht bei Gmail und beim Kalender allerdings über reines Lesen hinaus.

Der temporäre Chat galt als der Modus, in dem ChatGPT nichts über dich weiß. Seit dem 27. August steht oben rechts eine Auswahl. Personalisiert greift der Chat auf Erinnerungen, Plugins und benutzerdefinierte Anweisungen zu. Wer ihn speichert, macht daraus einen normalen Chat mit allen Folgen fürs Training.

Am 10. August hat TP-Link fünf Schwachstellen in Routern gemeldet, die Internetanbieter an ihre Kunden ausgeben. Auf der Liste steht auch ein Modell, das in Deutschland vermietet wird. Die schwerste Lücke geht am Router-Passwort vorbei. Reparieren kannst du das nicht selbst, eine Firmware zum Herunterladen gibt es nicht. Und ob ausgerechnet deine Variante betroffen ist, sagt der Hersteller ausdrücklich nicht.

Google hat vier Schutzfunktionen fürs Netzwerk in Android 17 beworben. Die wichtigste heißt Encrypted Client Hello und verbirgt vor deinem Netzbetreiber, welche Webseiten und Apps du aufrufst. Googles eigene Entwicklerdokumentation zeigt aber, dass sie nur bei neu gebauten Apps greift. Und ohne verschlüsseltes DNS bringt sie gar nichts.

In der Link-to-Windows-App entdeckte Zeichenfolgen deuten darauf hin, dass Microsoft Fernsteuerungsfunktionen für die Energieverwaltung in Phone Link integriert. Damit könnten Nutzer einen verbundenen PC künftig sperren, in den Energiesparmodus versetzen, neu starten oder herunterfahren.

Schreck-Moment beim Einparken: Um teure Crashs zu verhindern, überstimmt BMW in der Neuen Klasse kurzerhand den Fahrer. Ein wassergekühltes Superhirn mit 20-facher Rechenpower stoppt den fatalen Gas-Bremse-Schock beim Rangieren ab sofort vollautomatisch. Doch das System greift noch drastischer in den Alltag ein und sperrt bei herannahenden Radfahrern zur Not sogar gnadenlos die eigene Autotür von innen zu.

WhatsApp tauscht die sechsstellige PIN der Verifizierung in zwei Schritten gegen ein Passwort mit mindestens acht Zeichen. Dazu kommen mehrere Passkeys pro Konto und auf Android mehr Angaben zu unbekannten Anrufern. Angekündigt hat Meta die drei Funktionen am 25. August, sie laufen gestaffelt aus.

(Update) Die Amazon-Tochter Ring krempelt die Videoüberwachung massiv um. Mit dem neuen Verschlüsselungssystem Take vernichtet der Hersteller ab sofort den digitalen Ersatzschlüssel für Cloud-Aufnahmen. Gleichzeitig kommen clevere KI-Funktionen gegen den täglichen Benachrichtigungs-Spam. Ring packt diese ab sofort in sein teures Premium-Abo oder bittet Basis-Nutzer mit 4 Euro extra pro Kamera zur Kasse.

Apple hat am 6. August ein Update nachgeschoben, das genau eine Lücke schließt. Bei der Bildschirmfreigabe kommt ein Angreifer im Netzwerk ohne gültige Zugangsdaten hinein. Das Passwort zu ändern hilft nicht, weil die Lücke vor der Anmeldung greift. Rund 40.000 Macs stehen offen im Netz, die meisten davon privat.

Der Cloud Browser in ChatGPT Work hat seit dem 25. August ein eigenes Anmeldeformular. Du tippst Benutzername und Passwort direkt hinein, OpenAI sieht beides nach eigenen Angaben nicht und speichert es nicht. Die Sitzung danach bleibt aber liegen, auf einem Rechner von OpenAI. Wo der Ausschalter sitzt und was du vorher wissen solltest.

Die mächtige Wirtschaftsauskunftei Schufa hat zuletzt eine "Transparanzoffensive" ausgerufen und sich dafür gefeiert. Recherchen des NDR und der SZ haben aber aufgedeckt: Selbst alte Daten werden nicht nach 3 Jahren gelöscht, sondern weiter aufbewahrt und sogar Drittunternehmen zur Verfügung gestellt.

Du hast unter Data Controls "Improve the model for everyone" ausgeschaltet und glaubst, damit bleibt alles bei dir. Der Schalter tut genau eine Sache, und die gilt erst ab dem Moment, in dem du ihn umlegst. Erinnerungen, verbundene Apps, hochgeladene Dateien und die Sicherheitsprüfung laufen unabhängig weiter.

Die Unterstützung soll zunächst für klassische Flaggschiff-Smartphones eingeführt und später auf faltbare Razr-Modelle ausgeweitet werden. Motorola verspricht sieben Jahre umfassende Updates und direkte Unterstützung bei der Portierung. Ausgestattet mit Snapdragon-Chips der Spitzenklasse sollen die neuen Smartphones mit GrapheneOS eine verbesserte Hardware-Isolierung, ausgereifte MTE-Unterstützung und eine höhere Leistung als Pixel-Smartphones mit Tensor-Chips bieten.

Seit dem 20. August steht ChatGPT Computer History auch im Europäischen Wirtschaftsraum, in der Schweiz und in Großbritannien bereit. Die Funktion protokolliert auf dem Mac, welche Programme und Webseiten du benutzt, und macht daraus Erinnerungen. Von allein startet sie nicht. Wo der Schalter sitzt und wovor OpenAI selbst warnt.

China will Windows in einigen Behörden früher als geplant durch Linux ersetzen. Der Schritt ist Teil der umfassenderen Bestrebungen des Landes, die Abhängigkeit von ausländischen Produkten und Dienstleistungen zu verringern, insbesondere von solchen aus den USA.

Samsung liefert jeden Monat einen Sicherheitspatch. Den vorinstallierten Browser erneuert er nicht, der bekommt seine Updates über den Play Store und den Galaxy Store. Auf welchem Chromium-Stand er dabei aufsetzt, veröffentlicht Samsung für Android seit über zwei Jahren nicht mehr. Was Forscher auf einem Galaxy S25 gefunden haben und wie du nachsiehst, welche Fassung bei dir läuft.

ThreatFabric hat eine neue Android-Schadsoftware namens Manic beschrieben. Sie überwacht 169 Apps, darunter Bank-, eID- und Authenticator-Apps aus Deutschland. Manic greift die PIN direkt am echten Ziffernfeld ab, ganz ohne gefälschte Bankseite. Und wenn das Handy offline ist, schiebt es die Daten über ein zweites infiziertes Gerät in der Nähe nach draußen.

Sicherheitsforscher fragten Microsoft Copilot so lange, warum sich Befehle nicht von allein ausführen lassen, bis der Assistent den entscheidenden Trick selbst nannte. Ein Klick auf einen Link reichte dann, um Postfach, Kalender und Cloudspeicher auszulesen. Microsoft hat die kritische Lücke am 18. August geschlossen.

The Pokémon Company storniert Bestellungen in Großbritannien und Deutschland, nachdem ein Cyberangriff auf CEVA Logistics Kundennamen, Lieferadressen und Bestelldetails offengelegt hat.

In Deutschland gibt es keine gesetzliche Schutzfrist für abgeschaltete Mobilfunknummern. Die Telekom nennt selbst Fälle, in denen Nummern nach 30 Tagen wieder vergeben werden. Wer sie dann bekommt, empfängt auch die Einmalcodes für die Konten des Vorbesitzers. Die USA regeln das strenger. Was du heute wegräumen solltest.

ChatGPT for Teens ist seit dem 18. August im weltweiten Rollout. Wer 13 bis 17 angibt, landet automatisch drin, und OpenAIs Altersprognose schätzt zusätzlich aus Gesprächsthemen, Nutzungszeiten und Kontoalter. In der EU greift diese Prognose noch nicht. Was heute in Deutschland gilt und wie du den Teenager-Modus wieder loswirst.

Das Windows-11-Update KB5121003 sorgt aufgrund eines Konflikts mit dem Treiber inpoutx64.sys für schwere Abstürze in Spielen wie The Finals und Arc Raiders. Auch Probleme mit HDR werden gemeldet.

Sechs Merkmale sollen die künstliche Stimme am Telefon verraten. Zwei davon stammen aus keiner einzigen Quelle, drei sind technisch überholt, eines trägt noch und hat mit Klang nichts zu tun. Die größte Hörstudie bisher zeigt außerdem, dass Menschen nicht besser im Enttarnen von Fälschungen werden, sondern schlechter im Glauben an echte Stimmen.

WhatsApp testet eine KI, die Betrugsnachrichten direkt auf dem Handy erkennt. Kein Nachrichteninhalt verlässt dabei das Gerät, die Verschlüsselung bleibt unangetastet. Der Haken steht in Metas eigener Beschreibung: Geprüft wird nur, wer nicht in deinen Kontakten steht. Genau dort sitzt die gefährlichste Masche.

OpenAI hat für die ChatGPT-App auf dem Mac die Funktion Computer History gestartet. Sie protokolliert Klicks, Tastatureingaben und Programmwechsel und macht daraus eine Zeitleiste samt Notizen. Die Dateien sind laut OpenAI nicht verschlüsselt, und in Deutschland gibt es die Funktion gar nicht.

Apple hat eine neue Welle von Bedrohungswarnungen verschickt, die iPhone-Nutzer darauf hinweisen, dass sie möglicherweise Ziel kommerzieller Spionagesoftware geworden sind. Die Warnungen wurden am 13. August 2026 an Nutzer in 110 Ländern verschickt. In den Benachrichtigungen wird kein konkreter Spyware-Anbieter genannt, Apple hat in der Vergangenheit jedoch die Pegasus-Software der NSO Group als Beispiel angeführt.

Eine Sicherheitslücke im Windows-Kernel wurde bereits von Hackern der Lazarus Group ausgenutzt, bevor Microsoft seinen August-Patch veröffentlichte. Diese CVEs sollten beim aktuellen Patch Tuesday besonders priorisiert werden.

Auf der DEF CON haben zwei Forscher Millionen Kinder-Uhren übernommen. Der eigentliche Befund ist die Lieferkette: 39 Markennamen hängen an einem einzigen Server in China, darunter im deutschen Handel geläufige. Nachprüfen lässt sich das am Paketnamen der App. Die Marke im Regal entscheidet nicht, wohin die Standortdaten fließen.

Microsoft hat das August-2026-Update für Windows 11 im Rahmen des Patch Tuesday veröffentlicht. Das Update KB5121003 bringt die Builds 26100.9165 und 26200.9165 mit neuen Funktionen und Verbesserungen, darunter Unterstützung für Windows Hello ESS, Optimierungen für den Datei-Explorer sowie verschiedene Sicherheitskorrekturen.

Session-Hijacking: Wer dein Session-Cookie klaut, kommt ohne Passwort und ohne Zwei-Faktor-Code in dein Konto. Der Virenscanner entfernt die Malware, das Cookie funktioniert weiter. Was Chrome mit DBSC dagegen tut, warum Firefox seine Cookies bis heute unverschlüsselt speichert, und in welcher Reihenfolge du Google-, Microsoft- und Apple-Konten wirklich absicherst.

Google hat das August-Update für Pixel-Smartphones ausgeliefert, in der offiziellen Liste stehen aber nur 13 Geräte ab dem Pixel 8. Pixel 6, 6 Pro, 6a, 7, 7 Pro und 7a gehen leer aus, obwohl Google sie auf der eigenen Supportseite weiter als unterstützt führt. Was der Patch schließt und wie du deinen Stand prüfst.

Ein Gericht in New Mexico hat Meta zu 567 Millionen Dollar verurteilt und dem Konzern Auflagen für Facebook und Instagram gemacht. Jugendliche sollen künftig höchstens 90 Stunden im Monat auf beiden Apps verbringen, nachts keine Push-Nachrichten mehr bekommen und keine Like-Zahlen mehr sehen. Auch für Metas KI-Chatbots zieht das Urteil eine Grenze.

Das Handy ist weg, das Passwort weißt du noch, aber der zweite Faktor lag auf genau diesem Gerät. Wir haben die Wiederherstellungsverfahren von Google, Apple und Microsoft gelesen, dazu die von 1Password, Bitwarden und Dashlane. Bei allen sechs gilt dasselbe: Nachträglich lässt sich nichts mehr einrichten, und bei einem Anbieter ist das Konto endgültig weg.

Sicherheitsforscher von Zenity Labs haben auf der Black Hat USA 2026 gezeigt, wie sich Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas und Copilot Edge von ganz gewöhnlichen Inhalten fernsteuern lassen. Eine E-Mail, eine Kalendereinladung oder ein Link unter einem Social-Post reichen aus. Anklicken muss der Nutzer nichts. Was dabei herauskommt und wie du dich schützt.

Samsung hat die Details zum Sicherheitspatch für August 2026 veröffentlicht. Das Update schließt insgesamt 56 Sicherheitslücken auf Galaxy-Geräten. Erfahren Sie, welche Schwachstellen behoben wurden und wann Ihr Smartphone den Patch erhält.

Zwei FIDO2-Schlüssel, gleicher Standard, gleicher Preis. Der eine will eine PIN, beim anderen reicht ein Antippen. Bei den meisten Modellen ist ab Werk keine PIN gesetzt, und ob überhaupt danach gefragt wird, entscheidet in der Regel die Website. Wir haben die Handbücher von Yubico, Token2, Nitrokey, OnlyKey, Feitian und Google gelesen.

Ein Hacker entfernt weiterhin Denuvo aus zahlreichen erfolgreichen AAA-Spielen. Eine illegal verbreitete Version von Crimson Desert hebelt den umstrittenen Kopierschutz aus. Kritiker des DRM, die darin eine Einschränkung der Käuferrechte und eine Beeinträchtigung der Performance sehen, feiern hingegen den Erfolg.

Vier KI-Chatbots, eine verbotene Aufgabe: gefälschte Tagesschau-Meldungen. ChatGPT lieferte im Test fast alles und baute die überzeugendsten Fälschungen, Gemini fälschte sogar New York Times und BBC. Copilot setzte ein Hinweis-Label, Meta AI verweigerte die Falschbehauptung. Auffällig: deutsche Marken ließen sich leichter fälschen als englische.

OpenAI stellt seinen KI-Browser ChatGPT Atlas am 9. August 2026 ein, keine zehn Monate nach dem Start. Lesezeichen, offene Tabs und Verlauf wandern nicht automatisch in einen anderen Browser. Wer sie behalten will, muss sie vorher selbst exportieren. Sicherheitsupdates bekommt Atlas ohnehin keine mehr.

Google hat Gemini Spark am 31. Juli für weltweit verfügbar erklärt. Der KI-Agent erledigt Aufgaben selbstständig und darf in Chrome auf eingeloggte Konten und gespeicherte Passwörter zugreifen. In Deutschland, Österreich und im ganzen EWR startet er trotzdem nicht. Was Spark kann, was er kostet und wo er wirklich läuft.

Anthropic hat 141.006 Testläufe durchsucht und drei Vorfälle gefunden, bei denen Claude aus der Testumgebung heraus echte Firmensysteme kompromittierte. Ein Modell baute sogar Schadcode und lud ihn zu PyPI hoch. Warum die Modelle sich im Recht wähnten, welche Rolle OpenAIs Hugging-Face-Vorfall spielt und was das für Nutzer der Claude-App bedeutet.

QR-Code-Tricksereien sind vergleichsweise selten, interessanterweise gilt das auch für den öffentlichen Raum. Der Stadt Witten ist jetzt aber ein größerer Fauxpas unterlaufen. Denn sie verschickte einen offiziellen QR-Code, der für die Bevölkerung teuer werden kann.

Über 1.290 Beschäftigte von OpenAI, Anthropic, Google DeepMind und Meta haben am 28. Juli den offenen Brief Pacing the Frontier unterschrieben. Sie bitten die US-Regierung, Werkzeuge für eine überprüfbare Bremse der KI-Entwicklung aufzubauen. Unterschrieben haben auch Anthropic-Chef Dario Amodei, OpenAI-Chefwissenschaftler Jakub Pachocki und Ilya Sutskever.

Der Flipper Zero hat Hardware-Hacking im Taschenformat zweifellos populär gemacht. Bei anspruchsvollen Debugging-Aufgaben können das kleine Steuerkreuz, das monochrome Display und die spielzeughafte Benutzeroberfläche jedoch schnell einschränken. Der ESP32 Bus Pirate bietet eine flexiblere und erheblich günstigere Alternative.