Kategorie: KI-News

Du suchst das beste italienische Restaurant in deiner Stadt. Früher tipptest du „italienisches Restaurant München“ und bekamst zehn blaue Links. Du klicktest dich durch, lasest Bewertungen, verglichst Öffnungszeiten. Heute gibst du ein: „Wo finde ich in München ein authentisches italienisches Restaurant mit glutenfreier Pasta?“ Die Antwort kommt als fertige Zusammenfassung: drei Lokale, Speisekarte, Bewertungsnote, ein Satz zur Atmosphäre. Du bleibst auf der Suchergebnisseite. Du klickst nicht weiter. Das ist Alltag für Millionen Nutzer.

Similarweb zeigt, wie schnell Google von einer Suchmaschine, die auf fremde Inhalte verweist, zu einer Plattform wird, die Antworten selbst produziert. Laut Sarah Perez auf TechCrunch stiegen Googles KI-generierte Antworten – AI Overviews – binnen eines Jahres von 15 auf 43 Prozent aller Suchanfragen. Keine Randerscheinung mehr. Das ist der neue Standard. Und dieser Wandel überrascht viele Nutzer und bringt Verlage in Bedrängnis.

Früher gab der Bibliothekar eine Karteikarte mit der Signatur. Du musstest das Buch selbst suchen und lesen. Heute sagt er: „Hier, ich habe die wichtigsten drei Seiten zusammengefasst.“ Praktisch. Aber du entdeckst keine fünf anderen Bücher mehr auf dem Weg zum Regal. Du bekommst die Antwort ohne die Reise.

Neben den AI Overviews wächst Googles AI Mode – ein konversationeller Suchmodus. Similarweb verzeichnet einen Anstieg von 126 Millionen monatlichen Besuchen im Juni 2025 auf 279 Millionen im Mai 2026. Eine Verdopplung. Nutzer bleiben länger auf Googles eigener Oberfläche. Suchanfragen werden länger, formuliert als vollständige Sätze – als spräche man mit einem Assistenten.

Für Verlage ist das ein Einschnitt. Suchmaschinen-Traffic war das Rückgrat ihres Geschäfts. Liefert Google die Antworten selbst, fehlt der Grund für einen Klick. Similarweb beschrieb bereits letztes Jahr die Folgen für Nachrichtenpublisher. KI-Zitationen haben sich verfünffacht. Aber die Klickrate bleibt niedrig. Manche Branchen schneiden besser ab: Reisen, Einzelhandel, Sport. Wenig Trost, wenn die eigene Seite ganz oben steht, aber niemand den Link sieht.

Die Gegenbewegung läuft. Cloudflare hat ein Tool vorgestellt, mit dem Publisher KI-Crawler blockieren – es sei denn, die KI-Firmen zahlen. Ein digitaler Wachdienst: Wer Inhalte nutzen will, muss zahlen. Das zeigt, wie unausgeglichen das Verhältnis zwischen Content-Produzenten und Suchmaschinen geworden ist. Ohne die Texte der Verlage wäre Googles KI nicht so gut.

Es gibt auch Positives: Sarah Perez berichtet, dass ChatGPT nach einem Update am 7. Mai 2026 die Zahl der Weiterleitungen auf Webseiten steigerte. Von 25 Prozent im März auf fast 60 Prozent Ende Mai. Sind blaue Links prominent platziert, klicken Nutzer. Die Bereitschaft, Originalseiten zu lesen, ist nicht tot. Sie wird nur durch das Design der KI-Oberfläche unterdrückt. Die Plattformen entscheiden, ob sie den Nutzer auf die Reise schicken oder auf der eigenen Seite halten.

Die strategische Frage: Google verwandelt sich vom Tor zum Internet in ein geschlossenes Einkaufszentrum. Läden existieren nur als Schaufenster, die Kaufabwicklung findet im Zentrum statt. Nicht böse – aber es verändert die Machtverhältnisse. Der Nutzer bekommt schnelle Antworten. Verliert aber die Serendipity, den Zufallsfund. Der Publisher verliert die direkte Beziehung zum Leser.

Was heißt das konkret? Du wirst seltener eine klassische Suchergebnisseite sehen. Die KI-Antwort wird zur Regel. Deine Suchanfragen werden länger und spezifischer. Du klickst weniger auf externe Seiten – es sei denn, du suchst gezielt tiefer. Und du wirst dich fragen, ob die Antwort vollständig ist oder von den Quellen lebt, die die KI verwenden darf.

Diese Entwicklung ist kein Hype. Sie ist die logische Fortsetzung von Googles Weg: Informationen sofort und ohne Umweg liefern. Der Similarweb-Bericht zeigt: Wir sind mitten in einer Transformation, die das Suchverhalten einer ganzen Generation prägt. Verlage müssen sich darauf einstellen. Nutzer entscheiden, ob sie Bequemlichkeit gegen Vielfalt eintauschen.

Quelle: techcrunch.com

Du gehst abends ins Kino und siehst dich selbst auf der Leinwand – obwohl du nie für den Film gecastet wurdest. Deine Stimme, Mimik, Gang: alles von einer KI zusammengesetzt. Das beunruhigt. Deshalb wollen Hollywood-Größen wie George Clooney, Tom Hanks und Meryl Streep das verhindern. Sie haben sich hinter einen neuen Standard gestellt: den Human Consent Standard.

Was ist der Human Consent Standard? Eine Art digitaler Türsteher

Der Human Consent Standard baut auf dem Really Simple Licensing (RSL) Standard auf. RSL war bisher URL-basiert: eine Website konnte per robots.txt sagen, ob Daten gesammelt werden dürfen. Der Human Consent Standard bezieht sich auf die Person oder das Werk selbst – unabhängig davon, wo es im Netz auftaucht. Ein unsichtbarer, programmierbarer Code gibt an, ob und wie KI das Abbild oder Werk nutzen darf. Die Organisation RSL Media, ein Nonprofit unter anderem von Cate Blanchett mitgegründet, verwaltet das System. Geplant ist, dass sich jeder mit Ausweis und Urhebernachweis in einem öffentlichen Registry verifizieren kann und festlegen: gegen Zahlung, unter Auflagen oder gar nicht. Ein digitaler Handschlag, den Maschinen verstehen.

Wie funktioniert das im Hintergrund? Die Technik dahinter

KI-Unternehmen müssen mitmachen. Wenn ein Crawler Daten aus dem Web sammelt, prüft er die robots.txt. Der Human Consent Standard hinterlegt dort einen zusätzlichen Eintrag. Der Crawler erkennt: „Dieses Bild von Tom Hanks gehört zu einer Person, die Vollzugriff verbietet“ – und löscht es aus dem Trainingsdatensatz. Technisch ist das einfach. Die Schwierigkeit liegt im Vertrauen: Wer garantiert, dass sich alle KI-Firmen daran halten? Die prominenten Unterstützer schaffen Glaubwürdigkeit. Der Schritt von einer URL-basierten zu einer personenbezogenen Lizenz ist ein großer Unterschied. Bisher: „Meine ganze Website ist tabu.“ Jetzt: „Dieses eine Bild ist tabu, von einem anderen darf die KI lernen – mit Quellenangabe und kleiner Zahlung.“ Es geht um informierte Einwilligung, wie in der Medizin.

Warum gerade jetzt? Der Druck auf KI-Unternehmen wächst

Der Standard erscheint in einer Zeit zunehmender Klagen gegen KI-Firmen wie OpenAI, Stability AI und Midjourney. Künstler und Schauspieler werfen ihnen vor, Werke ohne Erlaubnis und Bezahlung für Training genutzt zu haben. Der Human Consent Standard versucht, eine technische und vertragliche Lösung zu schaffen, die im Alltag funktioniert. Die Unterstützerliste zeigt, wie ernst die Lage ist: Neben Clooney, Hanks und Streep auch Viola Davis, Kristen Stewart und Regisseur Steven Soderbergh. Organisationen wie die Creative Artists Agency und die Music Artists Coalition stehen dahinter. Es ist eine breite Allianz der Unterhaltungsindustrie mit einem gemeinsamen Interesse: Ihre Werte und Einnahmen sollen nicht ohne Zustimmung von KI kopiert werden.

Was bedeutet das für den normalen Nutzer?

Du bist vielleicht kein Hollywoodstar, produzierst aber selbst Inhalte: Urlaubsbilder, Blogtexte, Comics oder Videos. Bisher konntest du kaum verhindern, dass eine KI deine Werke verwendet. Der Human Consent Standard richtet sich zwar an Personen und kreative Werke, aber jeder kann mitmachen. Die Registrierung soll einfach sein: Konto anlegen, Identität bestätigen, digitale Werke mit einem unsichtbaren Code markieren. KI-Crawler müssten diesen Code lesen und respektieren. Statt automatischer Freigabe gibt es nun explizite Zustimmung. Statt „Opt-out“ ist ein flexibles Modell möglich: freigeben gegen Spende, für Forschung oder gar nicht. Das gibt Kontrolle zurück.

Die Hürden: Wird das wirklich funktionieren?

Der Plan hat klare Herausforderungen. Der Standard beruht auf freiwilliger Teilnahme der KI-Unternehmen. Weder Google noch OpenAI oder Meta sind als Partner genannt. Sie könnten den Eintrag ignorieren. Ein öffentlicher Aufschrei wäre die Folge, aber technisch verhindern kann es niemand. Der Registry muss sicher und fälschungssicher sein. Wer bürgt dafür, dass niemand mein Gesicht registriert? Die Macher setzen auf einen Verifikationsprozess wie bei Bankkonten – aufwändig und abschreckend. Der Standard muss weltweit anerkannt werden – in den USA, in Asien, in Europa. Dennoch: Der Schritt zeigt, dass die Kreativbranche aktiv nach Lösungen sucht. Er zwingt KI-Entwickler, sich zu positionieren. Das könnte politischen Druck für klare Regeln erhöhen.

Was bedeutet das konkret? Eine nüchterne Einordnung

Der Human Consent Standard ist kein Allheilmittel. Er übersetzt die Forderung „KI muss respektieren, wem etwas gehört“ in eine technische Spezifikation. Für Künstler und Prominente bietet er eine praktikable Möglichkeit, ihr geistiges Eigentum zu schützen. Für alle anderen ist es ein Signal, dass die Diskussion um Ownership und Consent ernster genommen wird. Wir sollten den Standard nicht überschätzen. Er wird nicht alle Probleme lösen. Aber er setzt einen Anker: Wer KI-Training kontrollieren will, braucht einen personen- und werkbezogenen Standard. Dass Clooney, Hanks und Streep dahinterstehen, gibt dem Ganzen Schubkraft. Sie nutzen ihre Bekanntheit für eine Grundsatzfrage. KI soll Kreative nicht ersetzen, sondern mit ihnen – aber nur mit Erlaubnis. Es geht um Zustimmung, nicht um Ausbeutung.

Quelle: theverge.com

Eine E-Mail vom Chef. Sie wirkt dringend, bittet um eine Überweisung an einen neuen Lieferanten. Absender, Signatur und Stil passen. Du zögerst kurz. Du klickst nicht auf einen Link – die Mail kam von seiner echten Adresse. Was du nicht siehst: Hinter dieser Nachricht steht kein erfahrener Hacker. Sondern ein Browser-Dashboard, das ein KI-Assistent programmiert hat. Der Angreifer bedient das Dashboard – und besitzt selbst kaum IT-Kenntnisse. Er hat sich ein Phishing-as-a-Service-Abo gekauft. Das ist die neue Realität der Cyberkriminalität.

Ein Sicherheitsteam stieß bei der Untersuchung eines Vorfalls auf zwei unbekannte Phishing-Kits: TokenVault // 2026 und Yakhub/Yaksha. Die Forscher tauften sie TokenLover und YaksaLover. Beide Kits tarnen sich als legitime SaaS-Produkte – mit Preisseiten, Dashboards, abgestuften Benutzerkonten. Beide wurden mit KI entwickelt. Das erkennt man an Code-Struktur und KI-typischen Kommentaren. Beide automatisieren den Weg vom gestohlenen Login bis zur gefälschten Rechnung. Es geht nicht mehr um einzelne geniale Angreifer. Es geht um Industrialisierung.

Phishing als Abo-Modell

Business Email Compromise (BEC) gehört zu den teuersten und häufigsten Angriffen. Bisher brauchte ein Angreifer viel Wissen über OAuth, Token-Manipulation und Post-Exploitation. Dieses Wissen steckt jetzt in einem benutzerfreundlichen Dashboard. Die beiden Kits sind ein CRM für gestohlene Microsoft-365-Identitäten. Dazu kommen Kampagnen-Manager, KI-Analyst und Automatisierungs-Engine. Der Betreiber bearbeitet mehrere Opfer parallel, ohne manuelle Schritte. Die Bezahlung läuft über gestaffelte Abos – je mehr Sitzungen und Features, desto teurer.

Wie die Kits arbeiten: Fünf Schritte der Kompromittierung

Der Angriff läuft in mehreren Phasen ab. Jeder Schritt ist für sich bekannt. Die Innovation liegt in der Verkettung und der Benutzerführung.

Schritt 1: Device-Code-Phishing

Der Einstieg ist ein alter Trick: Device-Code-Authentifizierung. Microsoft bietet diesen Login-Weg für Geräte ohne Browser an, etwa Spielkonsolen oder Fernseher. Der Angreifer fordert einen solchen Code für eine Microsoft-App an und schickt ihn dem Opfer – meist in einer plausibel wirkenden Nachricht. Das Opfer geht auf microsoft.com/devicelogin, gibt den Code ein und bestätigt die Anmeldung inklusive Multi-Faktor-Authentifizierung auf der echten Microsoft-Seite. Der Angreifer hat nichts Illegales getan: Der Token wurde vom Opfer selbst ausgestellt. TokenLover verwendet drei Client-Konfigurationen: Office-Standard (für Mail, Kalender, Teams), Admin (erweiterte Graph-Berechtigungen) und den Broker-Client (ID 29d9ed98-a469-4536-ade2-f981bc1d605e). Die Broker-ID ist entscheidend: Sie erlaubt die Geräteregistrierung in Entra ID, was den Weg zu einem Primary Refresh Token (PRT) ebnet. Sobald das Opfer den Code eingegeben hat, wird der Token automatisch an die Angreiferplattform übertragen – innerhalb von 15 Minuten, bis der Device-Code verfällt.

Schritt 2: FOCI-Pivot – Ein Token für alle Dienste

Mit dem frischen Token greift das Kit auf eine Eigenschaft namens FOCI (Family of Client IDs) zu. Das ist eine Gruppe von Microsoft-Erstanbieter-Apps, die ihre Refresh-Tokens untereinander teilen. Ein einmal erhaltener Token lässt sich gegen Zugriffstoken für Outlook, Graph API, Teams, SharePoint, OneDrive und Azure Management tauschen. TokenLover ruft /api/v1/auth/refresh/to-all auf und erhält in einem Rutsch alle nötigen Tokens. Das Modul TokenTacticsV2 ist öffentlich bekannt. Das Kit automatisiert nur den Abruf.

Schritt 3: Windows-Hello-Key-Injektion – Überleben nach Passwortwechsel

Der nächste Schritt läuft automatisch: Sobald ein neuer Token im Tresor landet, startet die Funktion autoInjectNewTokens. Sie generiert ein RSA-2048-Schlüsselpaar und registriert es als synthetischen Windows-Hello-for-Business-Schlüssel (NGC – Next Generation Credential) im Entra-ID-Konto des Opfers. Damit kann das Kit jederzeit einen neuen Primary Refresh Token ausstellen, ohne das Passwort zu kennen. Ein Passwortwechsel allein reicht nicht mehr, um den Angreifer zu vertreiben. Das Administrationspanel zeigt eine Metrik namens „password change survival rate“ an. Der Betreiber sieht, wie viele Opfer auch nach einer Passwortänderung kompromittiert bleiben. Die Technik wurde im Oktober 2023 von Dirk-jan Mollema dokumentiert. TokenLover macht sie zur Ein-Klick-Operation.

Schritt 4: ESTS-Cookies – Browserzugang ohne MFA

Mit dem PRT oder NGC-Schlüssel lassen sich Browser-Cookies erzeugen. Der Angreifer kann sich im Browser des Opfers anmelden, ohne erneut die MFA durchlaufen zu müssen. Das Kit bietet fünf Wege, um ESTS-Cookies zu generieren – unter anderem über den OWA-Pfad, der manche Conditional-Access-Richtlinien umgeht. Die Cookies werden als JavaScript-Snippet ausgegeben. Der Angreifer fügt es in die Entwicklertools von login.microsoftonline.com ein. Danach hat er vollen Browserzugriff auf das Konto.

Schritt 5: Post-Exploitation mit KI

Das Dashboard von TokenLover enthält eine versteckte „Exploit Dashboard“-Sektion. Sie war bei dieser Installation ausgeblendet, im Quellcode aber vollständig vorhanden. Sie führt vier Phasen automatisiert aus: Recon (Aufklärung), Pillage (Ausbeutung), Persistence (Nachhaltigkeit) und Attack Paths (Angriffspfade). Ein Kit verfügt über eine KI-Pipeline, die gelesene Postfächer analysiert und Zahlungsströme, Rechnungen und offene Salden einer Organisation kartiert. Der Angreifer muss nicht selbst suchen – die KI findet die lukrativsten Ziele. Die acht vordefinierten Angriffspfade umfassen Group-Privilege-Escalation, Dynamic-Group-Abuse und App-Persistence. All das wird aus einer einzigen Oberfläche gesteuert.

YaksaLover – Der zweite Kandidat

Parallel zu TokenLover entdeckten die Forscher ein zweites Kit: YaksaLover. Im Login-Bereich zeigt es zunächst nur eine Anmeldeoberfläche. Nach genauerer Analyse zeigte sich, dass es in einigen Aspekten weiter entwickelt ist, in anderen rudimentär. YaksaLover enthält einen integrierten E-Mail-Client und kann Phishing-Mails direkt aus dem kompromittierten Postfach des Opfers versenden. Die Mails passieren SPF- und DKIM-Prüfungen und sind von legitimen internen Nachrichten kaum zu unterscheiden. Auch YaksaLover nutzt KI-unterstützte Entwicklung und setzt auf Device-Code-Phishing, PRT-Diebstahl und NGC-Persistenz.

Was ist die KI wirklich?

Die Kits sind „vibe-coded“, wie die Forscher sagen. Der Quellcode zeigt typische KI-Muster, die ein menschlicher Entwickler so nicht geschrieben hätte – seltsame Em-Dashes in Kommentaren, übermäßige Wiederholungen, inkonsistente Benennungen. Die KI wurde zum Testen und Generieren von Code verwendet, nicht zum Erkunden neuer Sicherheitslücken. Die eigentliche Innovation ist die Automatisierung. Wo früher ein versierter Angreifer stundenlang Tokens extrahieren, auswerten und nutzen musste, reicht heute ein Dashboard und ein bezahltes Abo. Der Anbieter kann mit der KI sogar die Postfachinhalte automatisiert analysieren und die vielversprechendsten Rechnungen zur Manipulation vorschlagen. Das senkt die Einstiegshürde deutlich.

Keine neue Technik – aber neue Dimension

Alle verwendeten Methoden sind öffentlich dokumentiert, teilweise von Microsofts eigenem Threat Intelligence Team. Device-Code-Phishing, FOCI-Pivoting, NGC-Key-Injektion, ESTS-Cookie-Generierung – keine Zero-Days. Entscheidend ist der Skalierungseffekt. Die Kits erlauben einem einzigen Operator, Dutzende Opfer parallel zu bearbeiten, ohne tiefe technische Kenntnisse. Das ist der Schritt vom gezielten Angriff zur Massenware. Das Forscherteam betont, dass diese Kits erst vor Kurzem aufgetaucht sind und dass die Industrie sich darauf einstellen muss.

Was das für Unternehmen bedeutet

Ein einfacher Passwortwechsel reicht nicht mehr. Die Kits können durch NGC-Keys persistieren, die Administrationspanels zeigen dem Angreifer die Überlebensrate. Unternehmen müssen ihre Incident-Response-Strategie anpassen: Nach einem Device-Code-Phishing-Vorfall müssen Passwort, Geräteregistrierung und alle Sitzungen zurückgesetzt werden. Zusätzlich sollten NGC-Schlüssel manuell entfernt werden. Die Sicherheitsforschung muss künftig stärker auf die Erkennung solcher Dashboard-artigen Backends setzen – nicht nur auf einzelne Phishing-Mails. Diese Kits hinterlassen Spuren im Netzwerkverkehr und in den Azure-Protokollen, wenn sie Tokens austauschen und NGC-Schlüssel registrieren. Mit geeigneten Monitoring-Regeln lassen sich diese Anomalien erkennen.

Angreifer haben Zugang zu denselben KI-Tools wie wir. Sie nutzen sie, um ihre Werkzeuge schneller und massentauglicher zu machen. Das bedeutet nicht, dass wir den Kampf verlieren – aber wir müssen die Spielregeln neu lernen. Phishing ist nicht mehr nur eine E-Mail-Falle, sondern eine Plattform-Infektion mit automatisierter Nachbereitung. Die Eintrittskarte ist gebührenpflichtig. Wer den Produktionsprozess kennt, kann auch die Fehler darin finden.

Quelle: research.eye.security

Ein Protokoll wächst über sich hinaus

Das Model Context Protocol (MCP) bekam sein bislang größtes Update. Bisher mussten Entwickler eine dauerhafte Sitzung zu einem bestimmten Server offenhalten, sonst war die Arbeit verloren. Die neue Version ändert das grundlegend: Bauteile lassen sich austauschen, ohne dass alles zusammenbricht.

Die Agentic AI Foundation (AAIF) unter der Linux Foundation hat die neue Version freigegeben. MCP wird zustandslos, schließt eine Sicherheitslücke im Authentifizierungsmodell, führt eine 12-monatige Abkündigungsfrist für Funktionen ein und erhebt zwei Erweiterungen – interaktive Server-Oberflächen und asynchrone Langzeitaufgaben – in den Rang offizieller Protokollerweiterungen. Die Änderungen betreffen jeden, der KI-Agenten im Unternehmenseinsatz betreiben will.

Warum Zustandslosigkeit für Enterprise-Skalierung wichtig ist

Bisher musste ein MCP-Client eine dauerhafte Verbindung zu genau einem Server aufbauen. In Cloud-Umgebungen mit Load-Balancern war das ein Problem. Fiel der Server aus, war der Zustand des Agenten weg. „Man brauchte einen Session-Store und musste Session-IDs verwalten“, sagt Den Delimarsky, einer der Hauptentwickler. „Wenn ein Compute-Pod abstürzte, begannen die Anfragen zu scheitern. Das ist mit der neuen Version kein Problem mehr.“

Mazin Gilbert, Geschäftsführer der AAIF, zieht einen historischen Vergleich: „Die Zustandslosigkeit ermöglicht es deinem MCP-Client, mit einem Load-Balancer zu sprechen, der mit jedem Server verbunden ist. Du brauchst keine Klebrigkeit mehr.“ Gilbert betont, dass die alte Einschränkung der Hauptgrund war, warum Unternehmen KI-Agenten nicht in die Produktion brachten. „Ich kenne Firmen, die Zehntausende von Agenten einsetzen – das geht ohne diesen Schritt nicht.“ Der Engpass lag nie an der KI selbst, sondern an den Architekturfragen.

Die Diskussion darüber ist fast so alt wie das Protokoll. Im Dezember 2024 öffnete MCP-Miterfinder Justin Spahr-Summers einen GitHub-Thread zu den Einschränkungen langlebiger Verbindungen für serverlose Umgebungen. Ingenieure von Vercel, Cloudflare, Shopify und Amazon beteiligten sich. Die Entwickler verpflichteten sich auf der Dezember-Sitzung 2025 offiziell zur Zustandslosigkeit. Jetzt ist sie Wirklichkeit.

Was die Zustandslosigkeit kostet und bringt

Protokolldesign erfordert Kompromisse. Die Maintainer waren offen, was dieser Schritt gekostet hat. Erstens werden die Datenpakete größer. „Ein Großteil des Zustands verschwindet nicht, sondern wird zwischen Client und Server hin- und hergeschickt“, erklärt David Soria Parra, MCP-Mitbegründer bei Anthropic. „Du bekommst größere Payloads, aber sie sind gut komprimierbar und immer noch klein im Vergleich zu einer typischen HTTP-Anfrage.“

Zweitens fallen einige selten genutzte Funktionen weg. Der Out-of-Band-Server-Logging-Mechanismus funktioniert im neuen Modell nicht mehr. Das Team durchsuchte vor der Streichung alle GitHub-Repositories: „Wir haben geguckt, wer das Feature nutzt – im Grunde niemand.“ Soria Parra schätzt die betroffene Zahl auf eine Handvoll Entwickler. „Ich bin traurig, dass Dinge, die ich für nützlich hielt, sich als nicht nützlich erwiesen haben – aber der größte Kompromiss war wohl mein Ego.“

Delimarsky formuliert es nüchtern: „Mit der Zustandslosigkeit verschieben wir die Verantwortung für die Zustandsverwaltung in die Hände der Entwickler. Bisher hatten viele Probleme zu verstehen, ob sie das brauchen. Jetzt sagen wir: Verwalte den Zustand so, wie es für deine Umgebung sinnvoll ist.“ Die Migration wird für die meisten Entwickler nahezu schmerzfrei sein, weil die offiziellen SDKs die Änderungen automatisch übernehmen. Soria Parra betont: „Eines der Hauptziele ist, dass der Upgrade-Pfad minimal ist – so minimal, dass jedes KI-Modell es wahrscheinlich auf Anhieb für dich erledigen würde.“

Die 12-Monats-Frist: Ein Stabilitätsversprechen für Unternehmen

Die vielleicht unternehmensfreundlichste Neuerung ist eine Richtlinie. Das Deprecation-Framework garantiert Entwicklern mindestens zwölf Monate zwischen der Ankündigung einer Funktionsabkündigung und ihrer frühestmöglichen Entfernung. Das gibt Unternehmen die Stabilität, die sie brauchen, um auf eine Spezifikation zu bauen.

Die Zahl zwölf ist kein Zufall. „Wir haben Google, Microsoft und Amazon gefragt: Was ist der richtige Zeitraum?“, sagt Delimarsky. „Zwölf Monate schienen der vernünftige Mittelweg.“ Funktionen werden nicht aus Laune entfernt. „Es gibt einen sehr starken Druck aus der Industrie hinter diesen Änderungen.“ Soria Parra ergänzt, dass die Telemetrie der Maintainer zeigt, dass die meisten Ökosysteme innerhalb von sechs bis acht Monaten aktualisieren. „Es heißt nur, dass wir nach zwölf Monaten offen für eine Entfernung sind – aber wir können unsere Meinung jederzeit ändern.“

Gilbert sieht die Regelung als eines von drei Elementen: Offene Standards, Zustandslosigkeit im großen Maßstab und verlässliche Abkündigungsfristen. „Unternehmen, die in kleinerem Maßstab deployen, werden ausgebremst – durch die Autorisierungslücke, durch Identitätsfragen, durch mangelndes Vertrauen in die Deprecation-Policy. Die Gefahr, dass sich etwas über Nacht ändert, war einfach zu groß.“ Mit diesem Update profitieren sie von der Sicherheit.

Sicherheit: OAuth-Mix-up-Angriffe verhindert, bevor sie auftreten

Das Update verschärft die Authentifizierung. MCP passt seine Auth-Spezifikation enger an die tatsächliche Nutzung von OAuth 2.0 und OpenID Connect an. Das Protokoll erzwingt jetzt eine Pflichtprüfung des issuer-Parameters (iss). Das schließt Mix-up-Angriffe aus, bei denen ein Client getäuscht werden kann, eine Autorisierungsantwort dem falschen Identitätsserver zuzuordnen.

Wurde jemand angegriffen? Nein, sagt Delimarsky – es handelt sich um vorbeugende Technik. „Das basiert nicht auf bestehenden Schwachstellen oder aktiver Ausnutzung. Es ist das Ergebnis unseres Austauschs mit der Sicherheits-Community.“ Die Philosophie sei, nicht das Rad neu zu erfinden. Das zeigt sich in der neuen „Enterprise Managed Authorization“-Erweiterung, entwickelt mit Okta. Sie erlaubt Organisationen, ihren eigenen Unternehmens-Identitätsanbieter für den MCP-Serverzugriff zu nutzen. „Wenn ich Hunderte von MCP-Servern verwalte, will ich sicherstellen, dass sich alle mit ihren Unternehmens-Zugangsdaten anmelden“, erklärt Delimarsky.

Weitere Sicherheitsfeatures sind in Planung: Demonstrated Proof-of-Possession und Workload Identity Federation. Gilbert verbindet diese Arbeit mit der allgemeinen Reifung des Protokolls: „MCP hat die Lücke mit diesen Autorisierungsprotokollen geschlossen. Es wird jetzt enterprise-ready.“

Apps und Tasks: Zwei Erweiterungen werden offiziell

Zwei Fähigkeiten werden zu offiziellen Erweiterungen erhoben. Ein neuer Rahmen erlaubt Erweiterungen, sich unabhängig vom Kernprotokoll weiterzuentwickeln. Das verhindert Aufblähung des Kerns.

MCP Apps erlaubt Servern, interaktive Benutzeroberflächen in KI-Clients zu liefern – Dashboards, Formulare, Visualisierungen. Statt nur Textblöcke auszugeben, können Agenten Anwendungen rendern.

MCP Tasks adressiert ein anderes Problem: Nicht jeder Tool-Call ist in einem Roundtrip erledigt. Statt langwierige Verbindungen offen zu halten, gibt der Server einen dauerhaften Task-Handle zurück. Der Client kann die Verbindung trennen, abstürzen, neu starten und später nachfragen. „Du bearbeitest Audio für einen Podcast – der Server kann dich benachrichtigen, wenn es fertig ist“, erklärt Soria Parra. Asynchrone Workflows werden praktikabel.

Was das konkret für Unternehmen bedeutet

Die Änderungen machen MCP fit für den produktiven Einsatz in großen Unternehmen. Du musst dich nicht mehr um Sitzungsverwaltung, Load-Balancer-Kompatibilität oder unerwartete Funktionsentfernungen kümmern. Sicherheitslücken sind geschlossen, bevor jemand sie ausnutzen konnte. Die neuen Erweiterungen erlauben Agenten, über Textantworten hinauszugehen – hin zu interaktiven Oberflächen und asynchronen Verarbeitungspipelines.

Kein Protokoll ist perfekt. Die Payloads werden größer, einige seltene Features fallen weg, und die Verantwortung für die Zustandsverwaltung liegt jetzt bei dir. Aber das ist kein Nachteil – du entscheidest, wo und wie du Zustand speicherst. Für Unternehmen mit Hunderten oder Tausenden von KI-Agenten in der Produktion ist das Update ein wichtiger Schritt. Offene Standards in der KI-Welt können erwachsen werden – durch Architekturentscheidungen, die Betrieb im großen Stil ermöglichen.

Quelle: venturebeat.com

Ein Entwickler, der einen neuen Job sucht, durchforstet Foren, Slack-Communities oder LinkedIn. Plötzlich meldet sich jemand mit einem Angebot: Ein E-Commerce-Projekt soll modernisiert werden, die Bezahlung ist üppig, die Aufgaben klingen spannend. Es gibt einen kleinen Coding-Test – eine typische Einstiegsaufgabe. Das Repository wird heruntergeladen, die lokale Entwicklungsumgebung gestartet. Alles sieht gut aus. Während der Entwickler stolz seine Lösung präsentiert, läuft im Hintergrund etwas anderes ab. Sein Rechner wird zum Werkzeug für eine Spähaktion, gesteuert von einer Gruppe, die mutmaßlich mit Nordkorea verbunden ist.

Das beschreibt ein Bericht von Elastic Security Labs. Die Sicherheitsforscher haben eine Kampagne entdeckt, die sie „Contagious Interview“ nennen, intern REF9403. Die Angreifer verstecken Schadcode in scheinbar harmlosen SVG-Bilddateien – mit einer Technik namens Steganografie. Vermeintliche Flaggen-Icons von Ländern tragen die schädliche Fracht.

Elastic wurde auf die Kampagne aufmerksam, weil jemand in ihrem eigenen Community-Slack-Workspace auftauchte. Ein Nutzer namens „Maxwell“ postete am 26. Mai 2026 im Kanal #jobs eine Nachricht: Man suche einen erfahrenen Entwickler für die Modernisierung einer E-Commerce-Plattform. Wer Interesse zeigte, wurde in Direktnachrichten gelotst. Dort erhielten die Kandidaten ein getarntes Repository mit einer Coding-Challenge. Laut Elastic Security Labs begann damit eine vierstufige Infektionskette. Sie führt auf das Schadprogramm OTTERCOOKIE zurück – ein Toolkit, das Browser-Zugangsdaten, Krypto-Wallet-Daten, Dateien und die Zwischenablage ausspäht und eine Hintertür für weitere Angriffe öffnet.

Die Methode zielt auf eine typische Entwicklerroutine ab. Viele Programmierer laden bei Bewerbungsprozessen fremde Repositories herunter, führen sie lokal aus und prüfen die Funktionalität. Genau diesen Moment nutzen die Angreifer. Die getarnten Projekte – Elastic listet Namen wie „next-ecommerce-private-main.zip“, „shopping-platform-main.zip“ oder „ecommerce-platform.zip“ – enthalten voll funktionsfähigen Code. Es sind echte, geklaute Vorlagen von Plattformen wie GoCart. Die Schadsoftware wird in kleinen, harmlos wirkenden Schnipseln in den Code eingewebt. Die wahre Magie passiert in den SVG-Dateien.

SVG-Dateien sind Vektorgrafiken aus Text. Normalerweise zeigen sie Icons oder Logos. In dieser Kampagne enthalten die Dateien jedes Landes – etwa „AE.svg“ für die Vereinigten Arabischen Emirate oder „AF.svg“ für Afghanistan – einen HTML-Kommentar. Darin sind Base64-kodierte Fragmente des Schadcodes versteckt. Ein JavaScript-Skript namens „serverValidation.js“ im Repository setzt diese Fragmente aus allen Flaggen in alphabetischer Reihenfolge wieder zusammen, dekodiert sie mit einer eigenen Base64-Funktion und führt sie via eval() aus. Der Umweg umgeht klassische Signaturerkennung. Ein einfacher Scanner, der nach „Buffer.from“ oder „atob()“ sucht, findet nichts. Die Dekodierung wird selbst geschrieben – ein Beispiel für die Anpassungsfähigkeit der Bedrohungsakteure.

Sobald der Server startet (über „npm run dev“ oder „npm start“), wird die Funktion „runServerValidation()“ aufgerufen. Der Schadcode lädt dann in vier Modulen nach: einem Browser-Credential-Stealer, einem Datei-Dieb, einem Remote-Access-Trojaner (RAT) über Socket.IO und einem Clipboard-Stealer, der auch Windows-PE-Dateien ablegen kann. Der Browser-Credential-Stealer tarnt sich als harmloser npm-Cache-Prozess mit dem Titel „npm-cache“. Er durchsucht systematisch alle gängigen Browser – Chrome, Edge, Brave, Opera, LT Browser – auf Windows, macOS und Linux nach gespeicherten Logins, Autofill-Daten und vor allem nach Datenbanken von Krypto-Wallet-Erweiterungen. 25 verschiedene Wallet-Erweiterungen werden gezielt angegriffen. Die gestohlenen Daten landen per HTTP-POST auf Servern wie „ldb.rightwidth[.]dev“. Die acht wichtigsten Wallet-Daten werden mehrfach übertragen, bis der Server den Erhalt bestätigt – die anderen laufen im Feuer-und-Vergessen-Modus.

Der Datei-Dieb geht systematischer vor. Auf Windows-Systemen führt er zuerst eine WMI-Abfrage aller Laufwerksbuchstaben aus („wmic logicaldisk get name“) und scannt dann jedes Laufwerk rekursiv nach Dateien mit bestimmten Erweiterungen. Auf macOS und Linux beschränkt er sich auf das Home-Verzeichnis. Auch der macOS-Schlüsselbund („login.keychain-db“) wird gestohlen. Der RAT nutzt Socket.IO für eine persistente Verbindung zum Kommando-Server, die es den Angreifern ermöglicht, jederzeit neue Befehle nachzuladen. Der Clipboard-Stealer überwacht die Zwischenablage nach Kryptowährungsadressen und ersetzt sie durch eigene – eine klassische Methode, um Transaktionen umzuleiten.

Die Verbindung zu Nordkorea ergibt sich laut Elastic aus der Code-Ähnlichkeit mit früheren Kampagnen. Die Schadsoftware OTTERCOOKIE wurde erstmals im Dezember 2024 von NTT Security dokumentiert. Viele Zeichenketten, Verhaltensmuster und die Skriptstruktur stimmen mit früheren Berichten überein, etwa von Microsoft. Die beobachteten API-Endpunkte decken sich mit kürzlich von JFrog Security gefundener Infrastruktur. Die Grenze zwischen OTTERCOOKIE und dem verwandten BEAVERTAIL ist inzwischen verschwommen. Früher war BEAVERTAIL eher ein Erstzugangs-Downloader und OTTERCOOKIE ein reiferes Spähwerkzeug. Heute liefern die Angreifer ein All-in-One-Paket, das Stealer, RAT und Clipboard-Dieb kombiniert – ohne die früher übliche Python-Stufe.

Für Entwickler heißt das: Sei extrem vorsichtig mit Coding-Challenges von unbekannten Kontakten in offenen Foren. Prüfe Repositories vor dem Ausführen auf ungewöhnliche Abhängigkeiten oder auffällige Dateien. Ein Blick in die package.json und in versteckte Skripte wie „serverValidation.js“ kann viel verraten. Die Sicherheitsforscher bei Elastic betonen, dass diese Angriffe nicht nur Einzelpersonen treffen, sondern ganze Lieferketten gefährden können. Wer als Entwickler kompromittiert ist, kann zum Einfallstor für Supply-Chain-Angriffe werden – indem Schadcode in Projekte eingeschleust wird, die später von vielen genutzt werden.

Die Kampagne zeigt, wie raffiniert die Täter vorgehen. Steganografie in SVG-Dateien ist nicht neu, aber in Kombination mit dem sozialen Köder des Schein-Jobs erhält sie eine neue Qualität. Es ist ein Katz-und-Maus-Spiel: Jedes Mal, wenn eine Tarnung durchschaut wird, entwickeln die Angreifer die nächste. Der Bericht von Elastic Security Labs endet mit einem Appell zur Wachsamkeit. Entwickler gehören zu den wertvollsten Zielen – nicht nur wegen ihres Wissens, sondern wegen ihres Zugangs zu Systemen und Code. Wer eine vermeintliche Coding-Challenge ausführt, setzt nicht nur einen Job aufs Spiel, sondern seine gesamte digitale Identität.

Quelle: elastic.co