GC SERIE

TECHNIKCHECK

TechnikCheck KW 43: Arc-Browser vor dem Aus, Plex unter Angriff – und Fotos verraten Orte

Redaktion

25. Okt. 2026

Wochenrückblick

11 Min. Lesezeit

Der Arc-Browser bekommt ein Abschaltdatum, ältere Plex-Server werden angegriffen, und Google Fotos kann Aufnahmeorte auch ohne gespeicherte GPS-Koordinaten erkennen. Die Technikthemen der KW 43 zeigen, wie viel hinter einer vertrauten Oberfläche weiterwirkt: gespeicherte Systemzustände, gültige Zugangsschlüssel und Informationen, die sich aus Bildern erschließen lassen. Ein installiertes Update oder ein ausgeschalteter Schalter beantwortet dabei häufig nur einen Teil der Frage. Bei PHP kommt nach wichtigen Sicherheitskorrekturen eine neue, enger begrenzte Warnung hinzu. Für den Alltag zählt deshalb, welche Änderung tatsächlich wirksam geworden ist, welche Daten erhalten bleiben und wo ein rechtzeitiger Umzug nötig wird.

Der Browser öffnet dieselben Arbeitsbereiche wie gestern, der Medienserver spielt die gewohnte Sammlung ab, und der Computer startet nach einer Nacht Pause. Alles sieht vertraut aus. Trotzdem können sich die Bedingungen im Hintergrund erheblich verändert haben. Ein Anbieter beendet sein Produkt, ein erreichbarer Dienst enthält eine ausgenutzte Schwachstelle, oder Windows lädt einen Systemzustand erneut, den man längst für beendet hielt.

In der KW 43 vom 19. bis 25. Oktober 2026 wurden solche Unterschiede besonders greifbar. Die Abschaltung von Arc verlangt einen geplanten Wechsel. Bei Plex und PHP müssen Betreiber herausfinden, welche Software tatsächlich läuft und ob zusätzliche Maßnahmen notwendig sind. Nach dem Sicherheitsvorfall bei Railway reicht die Rückkehr des normalen Betriebs allein noch nicht aus, um möglicherweise offengelegte Zugänge abzusichern.

Die aktuellen News berühren damit eine praktische Frage: Was muss nach einer sichtbaren Änderung noch erledigt werden? Ein alter Schlüssel kann weiterhin gültig sein. Eine Ortszuordnung kann trotz abgeschalteter Kamera-Geodaten entstehen. Und ein neues Wiederherstellungsverfahren kann den Computer neu aufsetzen, ohne persönliche Dateien zu bewahren.

Auch bei Hardware hilft der Blick hinter die erste Anzeige. Eine hohe SSD-Datenrate beschreibt nicht das Tempo jeder Anwendung. Der Status „Normal“ auf einem NAS gilt für eine bestimmte Prüfung und beantwortet nicht automatisch alle Fragen zum System. Wer diese Unterschiede kennt, kann gezielter handeln und vermeidet unnötige Umbauten ebenso wie eine voreilige Entwarnung.

Beim Arc-Browser braucht der Abschied einen Zeitplan

The Browser Company will Arc am 22. Dezember 2026 auf dem Desktop abschalten. Danach soll sich die Anwendung auch mit einem vorhandenen Konto nicht mehr öffnen lassen. Für Windows-Nutzer bedeutet das: Eine weiterhin installierte Programmdatei bewahrt den gewohnten Zugang zu Spaces, Tabs und anderen Browserdaten nicht zuverlässig über diesen Termin hinaus.

→ Arc-Browser wird am 22. Dezember abgeschaltet

Bis dahin sollen grundlegende Updates und Fehlerkorrekturen erscheinen. Neue Konten lassen sich seit dem 22. Oktober allerdings nicht mehr anlegen. Wer offene Tabs als Arbeitsablage nutzt, sollte den Umzug deshalb nicht bis zum letzten Startversuch aufschieben. Zuerst muss klar sein, welche Inhalte nur im bisherigen Browser organisiert sind und im neuen tatsächlich wieder auftauchen sollen.

Der Nachfolger Dia kann laut Anbieter zahlreiche Daten übernehmen, darunter Passwörter, Verlauf, Lesezeichen und offene Tabs. Die bisherige Ordnung wird dabei teilweise umgebaut: Spaces werden zu Profilen, Ordner zu Tab-Gruppen. Verschachtelungen bleiben nicht in derselben Form erhalten. Ausschließlich in Arc vorhandene Funktionen wie Easels und Boosts sowie gespeicherte Zahlungsmittel und Angaben zum automatischen Ausfüllen werden nicht übertragen. Ein erfolgreicher Import verlangt deshalb anschließend eine Kontrolle der wichtigen Arbeitsbereiche.

Für andere Browser lässt sich eine Linkliste mit Spaces und Tabs exportieren. Sie sichert Adressen, bildet aber keinen vollständigen Browserumzug ab. Auch die Fristen unterscheiden sich: Eine Kopie der beim Anbieter gespeicherten persönlichen Kontodaten muss bereits bis zum 15. Dezember angefordert werden. Bei Arc Search auf Android enden KI-Funktionen, Anmeldung und Synchronisierung schon am 23. November; die vollständige Einstellung folgt am 22. Dezember. Wer Desktop und Smartphone gemeinsam verwendet, muss den früheren Termin berücksichtigen.

Plex und PHP verlangen mehr als einen Update-Haken

Bei Plex geht es zunächst um unmittelbaren Schutz. Das Unternehmen hat aktive Angriffe über die als Plex2Shell bezeichnete Schwachstellenkette bestätigt. Besonders relevant sind ältere Media Server, die aus dem Internet erreichbar sind. Ab Version 1.43.3.10861 ist der Server laut Hersteller von diesen Lücken nicht betroffen.

→ Plex2Shell: Plex bestätigt aktive Angriffe auf ältere Media Server

Entscheidend ist die Version des laufenden Plex-Dienstes. Ein aktualisiertes NAS-Betriebssystem oder eine neue Wiedergabe-App bestätigt diesen Stand nicht. Auf NAS-Systemen kann ein eigener Installationsweg nötig sein; auch bei Containern hängt das Updateverhalten vom verwendeten Abbild ab. Nach der Aktualisierung gehört deshalb die erneute Versionskontrolle dazu.

Ein möglicher Einbruch verlangt weitere Schritte. Plex empfiehlt bei entsprechendem Verdacht einen sauberen Neuaufbau, ohne das bisherige Plex-Datenverzeichnis zu übernehmen, sowie das Abmelden der Geräte und ein neues Kontopasswort. Bereits eingeschleuste Komponenten oder abgeflossene Daten verschwinden nicht durch eine korrigierte Versionsnummer. Auffällige Prozessorlast allein beweist umgekehrt keinen Angriff: Medienanalyse und Videoumwandlung können den Server ebenfalls regulär beschäftigen.

Bei PHP betrifft die Wartung eine Softwareebene, die Websitebetreiber häufig ihrem Hostinganbieter überlassen. Die am 21. Oktober veröffentlichten PHP2Shell-Korrekturen schließen zwei kritische Fehler. Ein aktuelles WordPress samt aktualisierten Erweiterungen sagt nichts darüber aus, ob dieser Unterbau bereits korrigiert wurde. Bei verwalteten Angeboten sollte der Anbieter den eingesetzten Paketstand bestätigen; Linux-Distributionen können die Korrekturen auch in Pakete mit älterer Basisversionsnummer übernehmen.

→ PHP2Shell: Updates schließen zwei kritische PHP-Sicherheitslücken

Am 23. Oktober kam eine zusätzliche Warnung hinzu. CVE-2026-115560 betrifft eine ungewöhnliche Kombination aus Session-Einstellungen und Anwendungscode. Die Updates vom 21. Oktober beheben diesen weiteren Angriffsweg noch nicht. Daraus folgt keine pauschale Betroffenheit jeder PHP-Website: Anwendungen, die das betreffende Speicherformat für Sitzungsdaten nicht während der Ausführung umstellen, sind laut PHP von diesem beschriebenen Weg nicht betroffen.

→ Neue PHP-Sicherheitslücke betrifft ungewöhnliche Session-Konfigurationen

Für die betroffene Konstellation empfiehlt PHP vorläufig, die integrierte Upload-Fortschrittserfassung über Sessions administrativ abzuschalten. Anschließend müssen die PHP-Arbeitsprozesse neu starten. Das unterbindet nicht generell Datei-Uploads, kann aber eine darauf beruhende Fortschrittsanzeige betreffen. Die bisherigen Sicherheitsupdates bleiben erforderlich. Eine aktive Ausnutzung dieses zusätzlichen Fehlers bestätigen die im Originalbeitrag ausgewerteten Hinweise nicht. Betreiber brauchen hier eine gezielte Konfigurationsprüfung statt einer allgemeinen Entwarnung nach dem ersten Update.

Ein wieder erreichbarer Dienst macht alte Zugänge nicht ungültig

Railway konnte die Bereitstellung von Anwendungen nach seinem Sicherheitsvorfall wieder aufnehmen. Die Untersuchung möglicher Zugriffe auf gespeicherte Umgebungsvariablen war im veröffentlichten Bericht jedoch noch offen. Darin können Datenbankpasswörter, API-Schlüssel und andere geheime Zugangsdaten liegen. Der Anbieter empfiehlt allen Kunden vorsorglich einen Austausch, auch wenn nach bisheriger Analyse möglicherweise nur ein Teil betroffen ist.

→ Railway-Sicherheitsvorfall: Kunden sollen API-Schlüssel austauschen

Der entscheidende Schritt findet beim Dienst statt, der die Berechtigung vergibt. Ein neuer Eintrag in Railway nimmt dem alten Schlüssel noch nicht seine Rechte. Er muss beim ursprünglichen Anbieter widerrufen oder deaktiviert und durch einen neuen ersetzt werden. Anschließend müssen die Anwendungen die neuen Daten übernehmen. Laufende Container lesen ihre Umgebungsvariablen erst beim Start ein. Zur Kontrolle gehören deshalb auch erneute Bereitstellung, erfolgreiche Verbindungen und ein Blick auf unbekannte Zugriffe oder Kosten.

Bei Meta Muse führte eine andere Form von Zugang zu einer Sperre. Meta setzte die Teilen-Funktion aus, nachdem die Sicherheitsfirma Claroc Freigabeadressen über DNS-Verlaufsdaten gefunden hatte. Die Untersuchung nennt mehr als 6.800 Hostnamen und einige Hundert ohne Anmeldung geöffnete Seiten. Diese Zahlen stehen weder für ebenso viele geprüfte vertrauliche Chats noch für eine entsprechende Zahl übernommener Konten. Betroffen waren Inhalte, für die Nutzer selbst eine Freigabe erstellt hatten.

→ Meta Muse: Teilen-Funktion nach auffindbaren KI-Chats ausgesetzt

Gesprächstitel und Zufallskennung steckten laut Untersuchung im Hostnamen und konnten dadurch in durchsuchbaren DNS-Daten auftauchen. Eine schwer erratbare Adresse hilft als Zugangsschutz wenig, sobald sie anderweitig auffindbar wird. HTTPS schützt die Übertragung, bestimmt aber nicht den Empfängerkreis einer Freigabe. Claroc nennt keine Belege für einen Missbrauch der gefundenen Inhalte. Auch ein regulärer Deutschlandstart von Muse ist im Originalbeitrag nicht bestätigt. Für internationale Teams bleibt die Frage trotzdem relevant, welche Unterlagen über solche Freigaben erreichbar werden.

Fotos und Fernseher können mehr erkennen, als ein einzelner Schalter vermuten lässt

Ein fehlender GPS-Eintrag macht ein Foto nicht ortlos. Google Fotos kann Aufnahmeorte anhand erkennbarer Sehenswürdigkeiten und im Vergleich mit anderen Bildern schätzen. Ein angezeigter Ortsname beweist deshalb keine heimliche GPS-Aufzeichnung. Die Information kann aus dem Motiv und seinem Zusammenhang mit der übrigen Sammlung stammen.

→ Google Fotos erkennt Orte – selbst ohne GPS im Bild

Die Standorteinstellung der Kamera und die automatische Schätzung in Google Fotos sind getrennte Funktionen. Wer die Schätzung deaktiviert, entfernt damit keine bisherigen Zuordnungen. Ebenso bereinigt das Abschalten der Kameraoption keine bereits gespeicherten Koordinaten. Beim Teilen kommt eine weitere Ebene hinzu: Unveränderte automatische Schätzungen werden laut Google nicht geteilt; für Kamerastandorte und selbst ergänzte Angaben sind die jeweiligen Freigaben maßgeblich. Eine außerhalb des Dienstes versendete Originaldatei muss gesondert auf enthaltene Standortdaten geprüft werden.

Auch beim Fernseher kann die Informationsquelle überraschen. Automatische Inhaltserkennung, kurz ACR, gleicht digitale Fingerabdrücke aus Bild- oder Tonsignalen mit bekannten Inhalten ab. Dafür ist kein Raummikrofon nötig. Eine externe Streamingbox verhindert diese Erkennung nicht zwangsläufig: Unterstützte Geräte können unter bestimmten Bedingungen auch HDMI-Inhalte zuordnen. Welche Möglichkeiten bestehen, hängt von Modell, Markt und Einwilligungen ab.

→ Dein Fernseher kann erkennen, was du schaust – hast du zugestimmt?

Die Zustimmung zur Inhaltserkennung und die Freigabe personalisierter Werbung sind unterschiedliche Entscheidungen. Deshalb genügt es nicht, allein den Werbeschalter oder die Werbe-ID anzusehen. Umgekehrt wird eine Oberfläche durch weniger Personalisierung nicht automatisch werbefrei. Bei Fotos wie beim Fernseher hilft eine konkrete Prüfung: Welche Information entsteht, wofür darf sie verwendet werden und über welchen Weg wird sie weitergegeben?

Windows kann einen Zustand bewahren – oder Dateien beim Neuaufbau entfernen

Eine Nacht mit ausgeschaltetem PC klingt nach einem eindeutigen Neustart. Der Windows-Schnellstart kann jedoch den Zustand des Betriebssystemkerns samt geladener Treiber auf dem Laufwerk speichern und später wieder einlesen. Die Benutzer werden zuvor abgemeldet und Anwendungen geschlossen. Es geht also um einen erhaltenen Systemzustand, nicht um unverändert weiterlaufende Programme.

→ Windows-Schnellstart: Warum Ausschalten keinen Neustart ersetzt

Für die Fehlersuche lohnt sich daher einmal ausdrücklich „Neu starten“. Diese Option verwendet die Schnellstart-Abkürzung nicht. Ein damit zusammenhängender Treiber- oder Systemfehler kann anschließend verschwinden; ein Hardwaredefekt oder dauerhaft fehlerhafter Treiber wird dadurch nicht automatisch repariert. Die Funktion muss für diesen einzelnen vollständigen Neustart auch nicht dauerhaft abgeschaltet werden.

Microsoft arbeitet zugleich an einem deutlich weiter gehenden Neuaufbau. Cloud rebuild soll Windows einschließlich passender Treiber aus dem Internet neu installieren können, wenn das bisherige System nicht mehr startet. Die Funktion befindet sich weiterhin in der Vorschau. Sie benötigt eine funktionierende Wiederherstellungsumgebung, Internetzugang und passende Netzwerkunterstützung. Vor allem aber formatiert sie den Systemdatenträger und entfernt dort Dateien, Konten, Anwendungen und Einstellungen. Eine getrennte Sicherung bleibt notwendig.

→ Windows-11-Vorschau: Neues Rechtsklickmenü, RTX-Spark-PCs im Handel

Auch bei gewöhnlichen Updates zählt die genaue Wirkung. Microsoft hat die zuvor angekündigte Always-On-VPN-Korrektur aus den Hinweisen zum Oktober-Update entfernt; sie soll später folgen. Ein weiterhin auftretendes entsprechendes Verbindungsproblem widerspricht deshalb nicht dem aktuellen Dokumentationsstand. Daraus folgt keine allgemeine Empfehlung, das Sicherheitsupdate zu entfernen. Zwischen Neustart, Fehlerkorrektur und vollständiger Neuinstallation liegen unterschiedliche Eingriffe, deren Folgen vor dem nächsten Klick klar sein sollten.

Beim Speicher entscheidet die konkrete Aufgabe

Die größte Zahl auf einer SSD-Verpackung beantwortet eine andere Frage als die Wartezeit vor dem geöffneten Dokument. PCIe 5.0 ermöglicht deutlich höhere Datenraten als die Vorgängergeneration. Beim fortlaufenden Übertragen großer Dateien kann das helfen. Programmstarts und viele Spiele bestehen jedoch zusätzlich aus kleinen Zugriffen, Rechenarbeit und weiteren Wartezeiten. Mehr Bandbreite beschleunigt nur den Teil, der tatsächlich am Speicher hängt.

→ PCIe-5.0-SSD: Lohnt sich der Aufpreis gegenüber PCIe 4.0?

Hinzu kommen der passende M.2-Steckplatz, die Kühlung und die Dauerleistung nach dem schnellen Schreibcache. Ein Laufwerk kann einen beeindruckenden kurzen Spitzenwert erreichen und bei sehr großen Transfers deutlich langsamer weiterschreiben. Für eine Kaufentscheidung sind deshalb Messungen vergleichbarer Aufgaben hilfreicher als die Schnittstellengeneration allein. Eine funktionierende schnelle SSD muss nicht vorsorglich ersetzt werden, solange Kapazität und Leistung ausreichen. Wer regelmäßig große Datenmengen zwischen geeigneten Laufwerken bewegt, hat dagegen einen nachvollziehbaren Grund, Gen5 genauer anzusehen.

Auf einem NAS beginnt dieselbe Sorgfalt bei der Statusanzeige. Das UGREEN-Tutorial der Woche unterscheidet Widgets, Speicherverwaltung, Task Manager und Benachrichtigungen. „Normal“ bei einer Festplatte bedeutet nicht dasselbe wie „Normal“ als Kategorie einer Mitteilung. Ein fehlerfrei gemeldetes Volume kann weitgehend gefüllt sein, während eine Backup-Anwendung unabhängig davon eine Warnung ausgibt.

→ UGREEN NAS: Systemzustand prüfen – Speicher und Auslastung – Tutorial

Die Anleitung wurde unter UGOS Pro 1.19.10.0022 praktisch geprüft. Ihre Grenzen gehören zur Aussage: Die CPU-Kurve im Task Manager zeigt den Verlauf während des geöffneten Fensters und bewahrt keine vollständige nächtliche Historie. Ein Fehlerzustand der Platten wurde am Testgerät nicht demonstriert. Im Zusammenhang mit der Plex-Warnung ist diese Trennung besonders nützlich. Auslastung kann eine Untersuchung anstoßen, ersetzt aber weder die Versionsprüfung des Dienstes noch eine gezielte Suche nach Angriffsspuren.

Was von KW 43 bleibt

Arc macht den rechtzeitigen Umzug notwendig, Plex die Kontrolle eines laufenden Dienstes und Railway den wirksamen Austausch von Zugängen. Die gemeinsame praktische Aufgabe besteht darin, einen Vorgang bis zu seiner tatsächlichen Wirkung zu verfolgen. Daten müssen im neuen Browser angekommen sein. Ein korrigierter Server muss die neue Software ausführen. Ein alter Schlüssel muss seine Berechtigung verloren haben.

Für persönliche Daten gilt derselbe genaue Blick. Eine ausgeschaltete Kameraoption verhindert nicht jede Ortszuordnung, und ein Werbeschalter beantwortet nicht sämtliche Fragen zur Inhaltserkennung. Dabei hilft es wenig, jeden Komfort grundsätzlich aufzugeben. Nützlicher ist, die jeweiligen Funktionen, Freigaben und Speicherorte auseinanderzuhalten.

Die Entwicklungen im TechnikCheck führen diese Woche deshalb zu einer überschaubaren, aber wirkungsvollen Gewohnheit: Nach einer Änderung das Ergebnis prüfen. Das kann einen zweiten Blick auf eine Versionsnummer, einen kontrollierten Datenimport oder einen bewussten Neustart bedeuten. Oft entscheidet genau dieser letzte Schritt darüber, ob die gewünschte Änderung im Alltag angekommen ist.

Quellenbasis: Ausschließlich die nachfolgend aufgeführten und im Artikel verlinkten GadgetChecks-Beiträge aus KW 43.

Stand der Recherche: 25. Oktober 2026, 11:15 Uhr MEZ (Europe/Berlin). Berücksichtigt sind die bis dahin öffentlich veröffentlichten Beiträge vom 19. bis 25. Oktober 2026. Spätere Sonntagsveröffentlichungen sind noch nicht enthalten.

Hauptquellen

• Arc-Browser wird am 22. Dezember abgeschaltet
• Plex2Shell: Plex bestätigt aktive Angriffe auf ältere Media Server
• PHP2Shell: Updates schließen zwei kritische PHP-Sicherheitslücken
• Neue PHP-Sicherheitslücke betrifft ungewöhnliche Session-Konfigurationen
• Railway-Sicherheitsvorfall: Kunden sollen API-Schlüssel austauschen
• Meta Muse: Teilen-Funktion nach auffindbaren KI-Chats ausgesetzt
• Google Fotos erkennt Orte – selbst ohne GPS im Bild
• Dein Fernseher kann erkennen, was du schaust – hast du zugestimmt?
• Windows-Schnellstart: Warum Ausschalten keinen Neustart ersetzt
• Windows-11-Vorschau: Neues Rechtsklickmenü, RTX-Spark-PCs im Handel
• PCIe-5.0-SSD: Lohnt sich der Aufpreis gegenüber PCIe 4.0?
• UGREEN NAS: Systemzustand prüfen – Speicher und Auslastung – Tutorial

Transparenzhinweis: Dieser TechnikCheck verbindet die verlinkten GadgetChecks-Beiträge. Für den Wochenartikel wurden keine zusätzlichen Produkt-, Software- oder Sicherheitsprüfungen durchgeführt. Praxiserfahrungen aus dem NAS-Tutorial sowie fremde Messungen im SSD-Beitrag bleiben den jeweiligen Originalbeiträgen zugeordnet. Herstellerangaben, Untersuchungsstände und Einschränkungen sind entsprechend gekennzeichnet.

PASSEND DAZU

BEREICH VON GADGETCHECKS GEPFLEGT GepflegtCheck KW 43: Haut schonen, Zähne gezielt pflegen und Düfte richtig aufbewahren 25. Okt.. 2026 ARTIKEL ÖFFNEN →

GC SERIE TechnikCheck TechnikCheck KW 42: Datenbrillen in Deutschland, leichterer Switch-2-Akkutausch – und KI am Labortisch 18. Okt.. 2026 ARTIKEL ÖFFNEN →

GC SERIE TechnikCheck WochenCheck KW 37: Sicherheitslücken in Windows und Routern, echte Absender täuschen – und KI-Filter reichen nicht 13. Sep.. 2026 ARTIKEL ÖFFNEN →

GC SERIE TechnikCheck WochenCheck KW 36: Secure-Boot-Zertifikate laufen ab, KI sagt zu schnell Ja – und Cloud-Gaming bekommt ein Zeitlimit 6. Sep.. 2026 ARTIKEL ÖFFNEN →