WochenCheck KW 37: Sicherheitslücken in Windows und Routern, echte Absender täuschen – und KI-Filter reichen nicht
Zwei aktiv ausgenutzte Windows-Lücken, Angriffe auf RouterOS und Phishing über einen echten Mailkanal machten in KW 37 sichtbar, wie wenig ein einzelnes Sicherheitssignal noch beweist. Ein installiertes Update schützt nur, wenn es zum eigenen System passt. Eine authentifizierte Absenderadresse garantiert keinen vertrauenswürdigen Inhalt. Und ein KI-Schutzfilter verhindert keinen Missbrauch, wenn eine gefährliche Aufgabe in harmlose Einzelschritte zerlegt wird. Gleichzeitig zeigen Android, Smart Home, eSIM und bidirektionales Laden, dass moderne Technik immer häufiger aus ganzen Vertrauensketten besteht. Der entscheidende Punkt ist deshalb nicht nur, ob eine Funktion vorhanden ist, sondern wer sie pflegt, kontrolliert und im Störungsfall wiederherstellen kann.
Die Technikthemen der KW 37 vom 7. bis 13. September 2026 drehten sich auffallend häufig um eine unsichtbare zweite Ebene. Auf dem Bildschirm erscheint ein grüner Haken, eine Mail trägt den richtigen Absender und ein Gerät meldet die aktuelle Softwareversion. Trotzdem bleibt offen, ob die gesamte Kette dahinter funktioniert. Genau diese Kette entscheidet darüber, ob ein Computer geschützt, eine Nachricht glaubwürdig oder ein vernetztes Gerät langfristig nutzbar ist.
Das zeigte sich besonders deutlich bei den Sicherheitsmeldungen in den aktuellen News. Microsoft stellte Updates für zwei bereits angegriffene Windows-Schwachstellen bereit. Google dokumentierte acht kritische Fehler im zentralen Android-System, doch die Korrekturen müssen erst über die Gerätehersteller bei den einzelnen Smartphones ankommen. Bei MikroTik-Routern wiederum genügt die Installation der abgesicherten Version nicht in jedem Fall: Wurde ein Gerät schon manipuliert, muss anschließend auch die Konfiguration kontrolliert werden.
Noch grundsätzlicher wurde es beim Missbrauch eines legitimen E-Mail-Dienstes. Die betrügerischen Nachrichten kamen nicht bloß von einer ähnlich aussehenden Adresse. Sie wurden über erlaubte Versandwege verschickt und bestanden dadurch die üblichen technischen Prüfungen. Der Vorfall widerlegt diese Schutzverfahren nicht. Er zeigt aber ihre Grenze: Ein echter Kanal kann eine falsche Handlung verlangen.
Auch die KI-Themen der Woche passten in dieses Muster. Sprachmodelle können umfangreiche Texte sinnvoll zusammenfassen und trotzdem bei einer exakten Buchstabenzählung scheitern. Schutzfilter können klar gefährliche Anfragen blockieren und dennoch überfordert sein, wenn viele scheinbar begrenzte Teilaufgaben erst außerhalb eines einzelnen Chats zu einem riskanten Projekt zusammengesetzt werden. Verlässlichkeit entsteht deshalb nicht durch einen einzelnen Schalter. Sie entsteht erst, wenn Technik, Zuständigkeit und Kontrolle zusammenpassen.
Ein Update ist erst dann Schutz, wenn es das richtige Gerät erreicht
Der September-Patchday für Windows war keine abstrakte Sammlung möglichst großer Zahlen. Zwei Schwachstellen wurden nach Angaben von Microsoft bereits aktiv ausgenutzt. Beide ermöglichen eine Ausweitung von Rechten: Ein Angreifer benötigt zunächst einen Zugang mit niedrigen Berechtigungen oder einen zusätzlichen Angriffsweg, kann sich anschließend aber tiefer im System festsetzen. Eine der Lücken betrifft mehrere Windows-11- und Windows-Server-Ausgaben, die andere unterstützte Windows-10- und Server-Zweige. Schon diese Aufteilung zeigt, warum die bloße Meldung „Windows ist betroffen“ zu ungenau wäre.
→ Microsoft September-Patchday 2026 schließt zwei aktiv ausgenutzte Windows-Lücken
Für private Nutzer folgt daraus eine einfache Priorität: verfügbare Updates aus den offiziellen Kanälen installieren und den notwendigen Neustart nicht über Wochen verschieben. Die von der US-Cybersicherheitsbehörde CISA gesetzte Frist bis zum 22. September richtet sich dagegen an bestimmte US-Bundesbehörden und ist kein eigener Stichtag für deutsche Privatcomputer. Ebenso wenig bedeutet die große Gesamtzahl der im September behandelten Microsoft-Schwachstellen, dass auf jedem einzelnen PC Hunderte offene Lücken vorhanden waren. Entscheidend sind betroffenes Produkt, konkrete Version, Angriffsstatus und verfügbare Korrektur.
Bei Android ist die Lage anders verteilt. Google schloss im zentralen Systembereich acht kritisch eingestufte Schwachstellen, über die unter bestimmten Voraussetzungen Schadcode aus der Ferne ausgeführt werden könnte. Das veröffentlichte Bulletin nennt für diese acht Fehler keine bestätigte aktive Ausnutzung. Kritisch beschreibt hier das mögliche technische Schadenspotenzial, nicht eine bereits beobachtete Angriffswelle.
→ Android-Sicherheitsupdate September 2026 schließt acht kritische RCE-Lücken
Für Nutzer liegt der wichtigste Unterschied zwischen einem veröffentlichten Bulletin und einem tatsächlich angekommenen Update. Android kennt im September die Patchstände 1. und 5. September. Erst der Stand vom 5. September oder ein neueres Datum umfasst nach Googles Systematik zusätzlich die für die zweite Stufe vorgesehenen Korrekturen, soweit sie für das jeweilige Gerät gelten. Das Google-Play-Systemupdate wird getrennt angezeigt und ersetzt den vollständigen Betriebssystem-Patchstand nicht. Wer nachsieht, sollte deshalb beide Angaben auseinanderhalten.
Windows und Android führen so zum selben Ergebnis, obwohl ihre Updatewege unterschiedlich funktionieren. Eine allgemeine Sicherheitsmeldung beantwortet noch nicht die persönliche Frage, ob das eigene Gerät betroffen und bereits geschützt ist. Dafür braucht es die konkrete Produktversion – und einen Hersteller, der die Korrektur zuverlässig bis zum Nutzer bringt.
RouterOS-Lücken zeigen die Strecke zwischen Warnung und Bereinigung
Bei MikroTik wurde aus der Möglichkeit bereits ein beobachteter Angriff. Das polnische CERT Polska beschrieb sechs RouterOS-Schwachstellen. Zwei davon wurden von CISA als nachweislich ausgenutzt geführt. Besonders gefährlich war eine kombinierte Angriffskette über das SSH-System: Eine unvollständige Prüfung eines öffentlichen Schlüssels konnte eine Anmeldung vorbereiten, ein zweiter Fehler die Rechte der Sitzung bis zur administrativen Kontrolle ausweiten. Bestätigte Aktivitäten reichen mindestens bis zum 2. September zurück.
→ MikroTik RouterOS-Sicherheitslücken werden aktiv ausgenutzt – Updates stehen bereit
Für typische Heiminstallationen schätzt MikroTik das unmittelbare Risiko geringer ein, weil die Standardkonfiguration den SSH-Zugriff aus dem Internet blockiert. Das ist keine pauschale Entwarnung. Selbst eingerichtete Fernzugänge, weitergeleitete Verwaltungsports oder ältere Unternehmenskonfigurationen können die Angriffsfläche deutlich vergrößern. Die abgesicherten Versionen sollten deshalb installiert werden, ohne dafür auf einen Beta-Kanal zu wechseln.
Nach dem Update beginnt bei einem möglicherweise bereits erreichten Router die zweite Arbeit. RouterOS kann beim Start bestimmte Manipulationsspuren erkennen und den Status „Flagged“ setzen. Fehlt dieser Hinweis, ist eine Kompromittierung allerdings nicht ausgeschlossen, weil der Mechanismus nur bekannte Spuren erkennt. Unbekannte Benutzer, Skripte, geplante Aufgaben, Proxy-Einstellungen und Tunnel müssen bei verdächtigen Geräten zusätzlich geprüft werden. Ein Patch schließt die Tür; er entfernt nicht automatisch alles, was zuvor hindurchgegangen sein könnte.
Seit dem 11. September ergänzt in der Europäischen Union eine neue Meldekette die technische Reaktion. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle bei digitalen Produkten innerhalb von 24 Stunden zunächst melden. Spätestens nach 72 Stunden folgt eine ausführlichere Meldung. Die umfassenden Produktpflichten des Cyber Resilience Act gelten überwiegend erst ab Dezember 2027, die Meldepflichten sind jedoch bereits gestartet.
→ CRA-Meldepflicht startet: Hersteller müssen aktiv ausgenutzte Lücken binnen 24 Stunden melden
Die 24 Stunden sind ausdrücklich eine Frist für die erste Warnung, nicht für einen fertigen Patch. Die gemeinsame ENISA-Plattform ist zudem kein öffentliches Warnportal, auf dem Verbraucher jede Meldung sofort nachlesen können. Ihr Zweck liegt zunächst darin, Hersteller, ENISA und die zuständigen nationalen Sicherheitsteams schneller auf einen gemeinsamen Informationsstand zu bringen. Ob Nutzer dadurch früher verständliche Warnungen und Korrekturen erhalten, entscheidet sich erst in der praktischen Umsetzung.
Wenn der echte Absender die falsche Nachricht verschickt
Die Brevo-Sicherheitslücke traf eine andere Vertrauensschicht. Angreifer erhielten nach Angaben des E-Mail-Marketingdienstes Zugriff auf 138 Kundenkonten. Aus 43 Konten sollen Kontaktlisten exportiert worden sein, sechs Konten wurden zum Versand von Phishing-Nachrichten genutzt. Brevo schloss den verwendeten Zugangsweg am 10. September nach eigener Darstellung innerhalb von zwei Stunden und beendete aktive Sitzungen.
→ Brevo-Sicherheitslücke: Phishing trifft Trezor und CoinTracking über echte Mailkanäle
Der Fall war besonders tückisch, weil die Nachrichten über legitime Infrastruktur liefen. Prüfungen wie SPF, DKIM und DMARC konnten deshalb erfolgreich sein. Diese Verfahren beantworteten korrekt, ob ein Versandweg beziehungsweise eine Domain autorisiert war. Sie konnten nicht beantworten, ob der Inhalt der über diesen Weg verschickten Nachricht vertrauenswürdig blieb.
Trezor zufolge erreichte eine betrügerische Mail rund 347.000 Adressen einer freiwillig abonnierten Newsletterliste. Der Link führte zu einer Anwendung, die Nutzer zur Eingabe ihres Wallet-Backups aufforderte. Wer lediglich die Nachricht erhielt oder den später abgeschalteten Link öffnete, musste nach Angaben des Unternehmens nicht vorsorglich Kryptowährungen übertragen. Wurden Wiederherstellungswörter eingegeben, galt die Wallet dagegen als kompromittiert. CoinTracking warnte ebenfalls vor einer Nachricht, die zum schnellen Erneuern von API-Schlüsseln drängte.
Für den Alltag bleibt daraus eine unbequeme, aber klare Regel. Ein vertrauter Absender, ein fehlender Spam-Hinweis und eine technisch gültige Signatur sind wichtige Indizien, aber kein Freibrief für die verlangte Handlung. Sicherheitswarnungen sollten über eine selbst aufgerufene Website oder eine bereits installierte offizielle App überprüft werden. Wiederherstellungswörter, Passwörter und API-Schlüssel gehören nie in eine Anwendung, zu der eine überraschende Mail drängt.
Digitale Berechtigungen brauchen einen Weg zurück
Auch ohne Angriff kann eine Vertrauenskette ihre Schwäche im Störungsfall zeigen. Die eSIM macht den Mobilfunkanschluss bequemer übertragbar, solange altes und neues Gerät, Betriebssystem und Mobilfunkanbieter zusammenspielen. Fällt das bisherige Smartphone aus oder findet der Wechsel zwischen zwei Ökosystemen statt, benötigt der Nutzer jedoch einen Ersatzweg über Kundenkonto, QR-Code, Identitätsprüfung oder Support.
→ eSIM statt SIM-Karte: Wenn der schnelle Wechsel mehrere Freigaben braucht
Die zusätzliche Kontrolle schützt vor einer unberechtigten Übernahme der Rufnummer. Gleichzeitig wird aus dem früher selbst ausführbaren Kartenwechsel ein koordinierter Prozess. Das ist kein Argument gegen die eSIM, sondern für belastbare Wiederherstellungswege. Wer das alte Telefon nicht mehr bedienen kann, sollte nicht erst dann herausfinden müssen, ob der Zugang zum Kundenkonto ebenfalls an genau dieses Gerät gebunden war.
Die Woche zeigte damit zwei Varianten desselben Problems. Bei Brevo wurde eine technische Berechtigung über eine fehlerhafte Organisationsgrenze hinweg zu weit geöffnet. Bei der eSIM muss eine Berechtigung absichtlich eng gebunden sein, braucht aber einen sicheren Weg auf neue Hardware. Gute Sicherheit verhindert nicht nur den falschen Zugriff. Sie ermöglicht auch dem rechtmäßigen Nutzer, nach Verlust oder Defekt wieder handlungsfähig zu werden.
KI scheitert an kleinen Zeichen und wächst in große Abläufe
Die KI-Themen der Woche lagen an entgegengesetzten Enden derselben Skala. Ein Sprachmodell kann an der Zahl eines Buchstabens in einem Wort scheitern, weil Text intern nicht zwingend Zeichen für Zeichen verarbeitet wird. Tokenisierung bündelt Buchstabenfolgen zu größeren Einheiten. Das macht lange Sprachverarbeitung effizient, erschwert aber Aufgaben, bei denen jede einzelne Position deterministisch geprüft werden muss.
→ Warum Sprachmodelle Buchstaben falsch zählen
Für Zusammenfassungen, Gliederungen und Formulierungen passt diese verdichtete Darstellung gut. Bei Anonymisierung, Zugangscodes, Seriennummern, strukturierten Daten, Prüfsummen oder Programmcode kann „fast richtig“ dagegen vollständig falsch sein. Sichtbare Zwischenschritte und mehr Rechenzeit können helfen, schaffen aber auch neue Möglichkeiten für Übertragungsfehler. Ein spezialisiertes Werkzeug bleibt für exakte Zeichenoperationen oft die verlässlichere Instanz.
Während das Modell im Kleinen eine überraschende Grenze zeigt, kann es im Großen zum Teil eines arbeitsteiligen Systems werden. Anthropic beschrieb in einem eigenen Bedrohungsbericht den Missbrauch von Claude bei Raketenentwicklung, Cyberangriffen und staatlicher Überwachung. Mehrere KI-Instanzen sollen Teilaufgaben wie Recherche, Programmierung und Kontrolle übernommen haben. Schutzsysteme blockierten nach Unternehmensangaben viele Anfragen, erkannten aber nicht zuverlässig das Gesamtprojekt, wenn dessen Bestandteile über mehrere Sitzungen verteilt wurden.
→ Anthropic meldet Claude-Missbrauch bei Raketenentwicklung und Spionage
Die Einordnung verlangt Zurückhaltung. Der Bericht stammt von Anthropic selbst, nennt nicht alle verantwortlichen Personen und belegt keine fertiggestellte, einsatzfähige KI-Waffe. Er beschreibt jedoch konkrete Arbeitsabläufe, in denen das Modell nicht nur beraten, sondern als technischer Helfer in einer Kette von Aufgaben eingesetzt worden sein soll. Eine Kontensperre konnte weitere Unterstützung unterbrechen, bereits entwickelte oder lokal betriebene Systeme aber nicht zurückholen.
Die kleine Buchstabenzählung und der große Missbrauchsbericht gehören deshalb zusammen. Beide zeigen, dass die Oberfläche eines Chatbots wenig darüber verrät, wo Verlässlichkeit entsteht. Ein flüssiger Satz garantiert keine exakte Operation. Eine blockierte Einzelanfrage garantiert nicht, dass ein riskanter Gesamtprozess erkannt wurde. KI braucht je nach Aufgabe Werkzeuge, Protokolle, Rechtebegrenzung und menschliche Kontrolle – nicht nur eine überzeugende Antwort.
Lange Gerätelebensdauer entsteht nicht allein im Gehäuse
Wie sehr die zweite Ebene den Wert von Hardware bestimmt, zeigten auch mehrere Beiträge abseits akuter Angriffe. Microsoft hat die erweiterten Sicherheitsupdates für berechtigte private Windows-10-PCs bis zum 12. Oktober 2027 verlängert. Das verschafft funktionierender Hardware zusätzliche Zeit, bringt aber weder neue Funktionen noch eine Garantie, dass Anwendungen, Treiber und Zubehör ebenso lange unterstützt werden.
→ Wie lange ein Windows-10-PC ohne Windows-11-Freigabe noch sicher bleibt
Ein älterer Rechner ist nicht automatisch zu langsam, nur weil sein Prozessor keine Windows-11-Freigabe besitzt. Für E-Mail, Office, Videokonferenzen und viele Browseraufgaben kann die Leistung weiterhin genügen. Die entscheidende Frage lautet, ob das System für das Verbraucher-ESU registriert ist und ob die benötigte Software mitzieht. Eine neue SSD oder ein Akku kann die Hardware sinnvoll verlängern; bei einem ausschließlich von Windows 10 abhängigen Rechner bleibt die Ausgabe dennoch gegen das Supportende abzuwägen.
Samsung demonstrierte die positivere Seite nachgelieferter Software. Tizen 10 soll ab September ausgewählte Kühlschränke sowie Wäschegeräte erreichen, die bereits in Haushalten stehen. Je nach Modell kommen eine erweiterte Lebensmittelerkennung, ein überarbeitetes Bixby oder eine vereinfachte Bedienoberfläche hinzu. Welche Funktionen tatsächlich ankommen, hängt von Modelljahr, Markt, Bildschirm und weiterer Hardware ab.
→ Samsung Tizen 10 Update erreicht ältere Kühlschränke und Wäschegeräte
Gerade bei Hausgeräten zählt ein Update stärker als ein neues KI-Etikett. Kühlschränke und Waschmaschinen bleiben meist wesentlich länger in Betrieb als Smartphones. Funktionsupdates können ihre Nutzung verbessern, sind aber nicht mit langfristiger Sicherheitsversorgung gleichzusetzen. Für Besitzer braucht es deshalb klare Modelllisten und nachvollziehbare Supportzeiträume.
Im Smart Home wächst zugleich der Wunsch, Daten und Auswertung wieder näher an das eigene Zuhause zu holen. UGREEN bündelt Steuerung, Speicher und Sprachassistenz in einem lokalen System, Reolink plant die Videosuche direkt im eigenen Hub, und Aqara verbindet in einer Lichtserie Thread mit Zigbee. Das sind zunächst Herstellerankündigungen und keine Garantie, dass jedes Versprechen unter allen Bedingungen erfüllt wird. Die Richtung ist dennoch interessant: Komfort soll weniger zwingend von einer entfernten Cloud abhängen.
Wie anspruchsvoll ein wirklich vernetztes System bleibt, zeigt schließlich das Elektroauto als Hausspeicher. Seine Batterie kann mehr Energie aufnehmen als ein gewöhnlicher Heimspeicher. Für bidirektionales Laden müssen jedoch Fahrzeug, Wallbox, Hausinstallation, Messung, Tarif und Software zusammenarbeiten. Im September 2026 ist das mehr als ein Zukunftsversprechen, aber noch kein Selbstläufer.
→ Wann das Elektroauto wirklich zum Hausspeicher wird
Ob Computer, Hausgerät oder Elektroauto: Die Nutzungsdauer hängt nicht mehr nur davon ab, ob ein Bauteil mechanisch durchhält. Softwarepflege, Kontozugänge, Standards, Tarife und kompatible Gegenstellen werden zu Bestandteilen des Produkts. Je länger ein Gerät genutzt werden soll, desto wichtiger wird die Frage, welche dieser Abhängigkeiten auch in einigen Jahren noch tragen.
Was von KW 37 bleibt
KW 37 war eine Woche der trügerischen Einzelzeichen. Ein gültiger Mailabsender konnte Phishing transportieren. Ein installiertes Update musste erst zum richtigen Patchstand und Gerät passen. Ein fehlender Router-Hinweis konnte keine saubere Konfiguration beweisen. Ein blockierter KI-Prompt sagte wenig über einen auf viele Sitzungen verteilten Ablauf aus.
Das soll technische Schutzmechanismen nicht kleinreden. Ohne signierte Updates, E-Mail-Authentifizierung, Zugriffsrechte, Sicherheitsfilter und verbindliche Meldewege wäre die Lage deutlich schlechter. Problematisch wird es erst, wenn ein einzelner Mechanismus zum Beweis für die Sicherheit des gesamten Systems erklärt wird. Der grüne Haken ist ein Baustein, kein Endurteil.
Für Nutzer folgt daraus keine permanente Alarmbereitschaft. Meist genügen konkrete Routinen: Betriebssystem und Router aktualisieren, den Patchstand prüfen, überraschende Handlungsaufforderungen über einen zweiten Weg verifizieren und Wiederherstellungszugänge nicht an ein einziges Gerät ketten. Bei KI lohnt sich zusätzlich die Unterscheidung zwischen sprachlicher Plausibilität und exakt überprüfbarer Arbeit.
Die weiteren Ausgaben der Serie WochenCheck zeigen Woche für Woche, wie solche unsichtbaren Bedingungen den Alltag mit Technik prägen. Diesmal lautet der gemeinsame Nenner: Vertrauen ist keine Eigenschaft eines Logos, einer Adresse oder eines Schalters. Es ist das Ergebnis einer Kette – und jede Kette ist nur so belastbar wie ihr schwächstes Glied.
Quellenbasis: Ausschließlich die im Artikel verlinkten Beiträge von GadgetChecks.de aus der KW 37.
Hauptquellen
- Microsoft September-Patchday 2026 schließt zwei aktiv ausgenutzte Windows-Lücken
- Android-Sicherheitsupdate September 2026 schließt acht kritische RCE-Lücken
- MikroTik RouterOS-Sicherheitslücken werden aktiv ausgenutzt – Updates stehen bereit
- CRA-Meldepflicht startet: Hersteller müssen aktiv ausgenutzte Lücken binnen 24 Stunden melden
- Brevo-Sicherheitslücke: Phishing trifft Trezor und CoinTracking über echte Mailkanäle
- eSIM statt SIM-Karte: Wenn der schnelle Wechsel mehrere Freigaben braucht
- Warum Sprachmodelle Buchstaben falsch zählen
- Anthropic meldet Claude-Missbrauch bei Raketenentwicklung und Spionage
- Wie lange ein Windows-10-PC ohne Windows-11-Freigabe noch sicher bleibt
- Samsung Tizen 10 Update erreicht ältere Kühlschränke und Wäschegeräte
- UGREEN HomeAgent setzt auf lokale KI, Reolink plant die Videosuche ohne Abo und Aqara verbindet Thread mit Zigbee
- Wann das Elektroauto wirklich zum Hausspeicher wird
Transparenzhinweis: Dieser ZuhauseCheck bündelt ausschließlich die verlinkten GadgetChecks-Beiträge. Die genannten Produkte wurden für diesen Wochenartikel nicht zusätzlich getestet; Preise, Verfügbarkeit, Leistungswerte und Prognosen behalten den in den Originalartikeln ausgewiesenen Status.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
Was sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnen
