Cloudflare öffnet sein OAuth-Ökosystem für alle Kunden, unter dem Namen Self-managed OAuth. Unternehmen und Entwickler können nun eigene OAuth-Anwendungen anlegen, die auf ihr Cloudflare-Konto zugreifen dürfen, und damit Integrationen auf Basis der Cloudflare-API bauen. Bislang stand Third-Party-OAuth nur für wenige, manuell zugelassene Partner zur Verfügung. Wer eigene Anbindungen entwickeln wollte, musste meist auf API-Tokens ausweichen, die für delegierte Zugriffe oft weniger geeignet sind und sich schlechter verwalten lassen.

OAuth ist ein Standard, mit dem eine Anwendung im Namen eines Nutzers auf begrenzte Ressourcen zugreift, ohne dessen Passwort zu erhalten. Das Verfahren nutzt Zustimmungsdialoge, begrenzt Berechtigungen (Scopes) und ermöglicht es Anwendern, erteilte Zugriffe zentral zu widerrufen.

Mehr Kontrolle für Entwickler und Anwender

Cloudflare begründet in seinem Blog die Öffnung mit dem gewachsenen Bedarf der Entwicklerplattform. Da immer mehr Kunden Integrationen, Automatisierungen und agentische Werkzeuge nutzen, ist ein delegierter Zugriff für SaaS-Anbindungen und interne Entwicklerplattformen wichtiger geworden.

Parallel zur Öffnung hat Cloudflare die Sicherheits- und Verwaltungsfunktionen ausgebaut. Dazu gehören ein präziserer Zustimmungsdialog, eine bessere Sichtbarkeit der App-Inhaberschaft zur Abwehr von Phishing sowie eine zentrale Widerrufsfunktion im Dashboard.

Videos by heise

Aufwendiger Umbau im Hintergrund

Die Freigabe erforderte tiefgreifende Änderungen an der OAuth-Infrastruktur. Cloudflare setzt weiterhin auf die Open-Source-Engine Hydra, musste jedoch auf eine neuere Version migrieren. Der Anbieter teilte den Umbau in zwei Schritte auf: erst ein Upgrade auf die aktuelle 1.x-Reihe, danach der Wechsel auf 2.x.

Das erste Upgrade brachte technische Hürden mit sich. Die Datenbankmigrationen hätten Tabellen zeitweise exklusiv gesperrt und damit laufende OAuth-Operationen blockiert. Cloudflare passte deshalb die SQL-Migrationen an, nutzte CREATE INDEX CONCURRENTLY und änderte die Abfragen der Hydra-SDKs, um deserialisierungsanfällige SELECT *-Operationen zu vermeiden.

Für den größeren Sprung auf 2.x wählte Cloudflare ein Blue-Green-Verfahren. Dabei lief die neue Version auf einer Kopie der Produktionsdatenbank parallel. Erst nach Abschluss der Migration schaltete der Betreiber um. Um Datenverlust während der Übergangsphase zu verhindern, fing Cloudflare Widerrufe über eine Queue ab und spielte diese nach dem Umschalten in die neue Umgebung zurück.

Token-Verhalten und Migrationseffekte

Nach dem Wechsel auf 1.x registrierte Cloudflare vermehrt Fehler bei Refresh Tokens. Die Ursache lag in einem strengeren Verhalten der neuen Version: Wurde ein Refresh Token erneut verwendet, invalidierte Hydra die gesamte Kette aus Zugriffs- und Refresh-Token. Dies betraf insbesondere Clients mit hoher Anfragefrequenz wie Wrangler und MCP-Clients. Cloudflare fing dies vorübergehend in einem Worker ab, der den OAuth-Verkehr weiterleitet: Doppelte Refresh-Versuche werden dort kurz gepuffert und nicht an Hydra durchgereicht.

Auch der Wechsel auf 2.x verlief nicht völlig reibungslos. Ein Bereinigungsjob im Autorisierungsdienst löschte OAuth-Policy-Daten zu aggressiv. Ursache davon war eine fehlerhafte Hydra-Migration, die den Zustand gültiger Sitzungen beschädigte. Dies führte zu abweichenden Bewertungen zwischen Hydra und dem Autorisierungsdienst, was sich in gehäuften 403-Fehlern äußerte. Cloudflare spielte daraufhin Daten zurück und optimierte das Autorisierungsverhalten.

Mit dem Abschluss der Migration läuft der OAuth-Verkehr nach Angaben des Unternehmens stabiler und performanter. Das Live-System basiert nun auf derselben Grundlage wie die neueren OAuth-APIs, die Cloudflare bereits zuvor in der Staging-Umgebung validiert hatte. Kunden können jetzt ohne Sonderfreigabe eigene OAuth-Apps anlegen und Integrationen auf dieser Basis entwickeln.

Lesen Sie auch

Bots übernehmen Internet früher als gedacht

Cloudflare kauft Vite: Open Source und herstellerneutral – mit Millionenfonds

KI-Update: Verstörende Chatbots, Neue Audio-Modelle, Mythos, Cloudflare

Cloudflares KI-Umbau kostet ein Fünftel der Arbeitsplätze

Cloudflare gibt KI-Agenten ein Langzeitgedächtnis

Testsieger: Die beste mobile Klimaanlage

Top 10: Der beste Ventilator im Test

Prime Day 2026: Das sind die besten Deals

PowerToys 0.100.1: Bugfix-Release bügelt nervende Fehler aus

2026-06-25T08:56:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Am Mittwoch haben die PowerToys-Entwickler Version 0.100.1 veröffentlicht. Sie bessert mehrere kleinere Fehler aus.

Powertoys versammelt nützliche Werkzeuge für Windows.

(Bild: Dirk Knop / heise medien)

10:56 Uhr

Lesezeit: 2 Min.

Von

Dirk Knop

Die Microsoft PowerToys liegen in Version 0.100.1 vor. Die Aktualisierung der mächtigen Werkzeugsammlung bessert mehrere Fehler aus, die Nutzerinnen und Nutzer als störend gemeldet haben.

In der Versionsankündigung zählen die Programmierer der quelloffenen PowerToys die einzelnen Korrekturen auf. Darunter fallen Anzeigeprobleme des Farbauswählers in der Zoom-Ansicht, kleine Korrekturen in der Befehlspalette etwa bei den angezeigten Symbolen oder Ausbesserungen bei Zuordnungen von Tastenkombinationen und deren systemweiten Einbindungen im Tastatur-Manager. Das „Power Display“-Feature, mit dem sich direkt etwa Helligkeitsanpassungen einzelner angeschlossener Displays vornehmen lassen, hatte zudem nicht in allen Fällen Monitore angeschaltet, bei denen als Stromsparmodus „An“ ausgewählt wurde. Außerdem soll die Erkennung eingebauter Displays auf Systemen mit mehreren Grafikkarten (etwa mit Prozessoren mit integrierter Grafik und zusätzlicher Grafikkarte) besser funktionieren, sofern das interne Display von der zusätzlichen Grafikkarte angesteuert wird. Weitere Details finden Interessierte in der Versionsankündigung.

Videos by heise

Aktualisierte PowerToys erhalten

Die aktualisierte Fassung findet der integrierte Updater unter „Allgemein“ – „Version und Updates“ nach Klick auf die Schaltfläche „Updates suchen“ und bietet dann auch gleich die Installation an. Ansonsten stehen die üblichen Installationspakete zum Herunterladen bereit:

PowerToys 0.100 kamen vor etwa zwei Wochen heraus, die Entwickler haben die Chance nicht genutzt, daraus den Versionsstand 1.0 herzuleiten. Als neue Funktion stach dort die Tastenkombinationsübersicht heraus. Außerdem haben die Programmierer darin die Option „Power Display“ verbessert.

(dmk)

Testsieger: Die beste mobile Klimaanlage

Top 10: Der beste Ventilator im Test

Prime Day 2026: Das sind die besten Deals

Software Testing: Was KI mit Vertrauen und Teamgefüge wirklich anrichtet

2026-06-25T08:33:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Richard Seidl diskutiert mit Jasmine Simons-Zahno darüber, wie künstliche Intelligenz das soziale Miteinander verändert.

(Bild: Richard Seidl)

10:33 Uhr

Lesezeit: 2 Min.

Developer

Von

Richard Seidl
Jasmine Simons-Zahno

Wie wirkt sich KI auf Teams aus? Mit Jasmine Simons-Zahno spricht Richard Seidl darüber, wie der zunehmende KI-Einsatz unser soziales Miteinander verändert: Kommunikation wird sachlicher, Vertrauen erodiert langsam, und das soziale Lernen, das gerade junge Menschen am Anfang ihrer Karriere brauchen, findet schlicht nicht mehr statt.

Jasmine Simons-Zahno erklärt, warum Reibung im Team kein Fehler ist, sondern eine Voraussetzung für Innovation, und warum der Allwissende in der Tasche uns gegenüber anderen glatter, aber nicht vertrauenswürdiger macht. Ihr Vorschlag klingt einfach, braucht aber echte Entscheidung: KI wie ein neues Teammitglied integrieren, also mit klaren Rollen, expliziten Vereinbarungen und dem Bewusstsein, dass dieser Aufwand kein Nice-to-have ist.

Richard Seidl ist Berater, Speaker und Podcast-Host. Für ihn ist klar: Wer heute exzellente Software kreieren möchte, denkt den Entwicklungsprozess ganzheitlich: Menschen, Kontext, Methoden und Tools. Er hat seine Erfahrungen in acht Fachbüchern veröffentlicht, betreibt erfolgreich zwei Community-Podcasts und ist Beirat der heise-Konferenz betterCode() Testing.

„Es gibt eine hohe Korrelation zwischen Vulnerabilität und Likeability.“ – Jasmine Simons-Zahno

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externes YouTube-Video (Google Ireland Limited) geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Google Ireland Limited) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

Jasmine Simons-Zahno brennt für die menschliche Seite der Produktentwicklung. Sie coacht mit Leichtigkeit, Leidenschaft und Anspruch in Führungskontexten beliebiger Flughöhen in Unternehmen verschiedenster Größen. Ihre Stärke ist es, authentischer Spiegel für Menschen zu sein, die sich entwickeln dürfen, aber dem Ruf dazu gerade noch allzu gerne ausweichen möchten. Als Mitgründerin der Agile Growth, dreifache Mutter und ambitionierte Hobby-Köchin lässt sie nichts anbrennen.

Softwarequalität im Gespräch

Dieses Format fokussiert sich auf Softwarequalität: Ob Testautomatisierung, Qualität in agilen Projekten, Testdaten oder Testteams – Richard Seidl und seine Gäste betrachten die Dinge, die die Qualität in der Softwareentwicklung steigern.

Die aktuelle Episode ist auch auf Richard Seidls Blog verfügbar.

(mai)

Testsieger: Die beste mobile Klimaanlage

Top 10: Der beste Ventilator im Test

Prime Day 2026: Das sind die besten Deals

Sicherheitsupdate: Kritische Client-Handshake-Lücke bedroht IBM Db2

2026-06-25T08:28:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Angreifer können Daten auf IBM-Db2-Systemen einsehen oder sogar Schadcode ausführen.

(Bild: Tatiana Popova / Shutterstock.com)

10:28 Uhr

Lesezeit: 1 Min.

Security

Von

Dennis Schirrmacher

IBMs Entwickler haben im relationalen Datenbankmanagementsystem Db2 drei Sicherheitslücken geschlossen. Im schlimmsten Fall können Angreifer Systeme nach erfolgreichen Attacken vollständig kompromittieren. Sicherheitsupdates stehen zum Download bereit. Bislang gibt es keine Berichte, dass Angreifer die Schwachstellen bereits ausnutzen.

Von den folgenden Sicherheitslücken sind die Db2 Server Editions 11.5.0 bis 11.5.9 und 12.1.0 bis 12.1.4 bedroht. Die Entwickler versichern, die Sicherheitsprobleme in den Ausgaben 11.5.9 Build #84653 und 12.1.4 Build #86230 gelöst zu haben.

Drei Gefahren

Einer Warnmeldung zufolge gilt eine „kritische“ Schadcode-Lücke (CVE-2026-10109) als am gefährlichsten. Hier kommt es beim Aushandeln von Verbindungsparametern (Pre-Auth) mit einem Client im Kontext des Distributed-Relational-Database-Architecture-Protokolls (DRDA) zu Fehlern. Dabei kann es zur Ausführung von Schadcode aus der Ferne kommen.

In einem weiteren Fall (CVE-2026-11906 „mittel“) können Angreifer durch das Einfügen von bestimmten Elementen in von XMLTable abgeleiteten Spalten Speicherfehler auslösen, sodass es zu Abstürzen kommt. Über die dritte Schwachstelle (CVE-2025-36372 „mittel“) können Informationen leaken.

Videos by heise

Zuletzt haben IBMs Entwickler im Februar dieses Jahres Root-Lücken in Db2 geschlossen.

(des)

Testsieger: Die beste mobile Klimaanlage

Top 10: Der beste Ventilator im Test

Prime Day 2026: Das sind die besten Deals

Angriffe auf Cisco Unified CM beobachtet

2026-06-25T07:50:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Anfang des Monats hat Cisco eine hochriskante Sicherheitslücke in Unified Communications Manager gestopft. Jetzt wird sie attackiert.

(Bild: Valeriya Zankovych / Shutterstock.com)

09:50 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

Eine Anfang des Monats von Cisco ausgebesserte Schwachstelle in Ciscos Unified Communications Manager ermöglicht Angreifern, Dateien hochzuladen und ihre Rechte dabei auf „root“ auszuweiten. Ein Update steht seitdem bereit. Jetzt haben IT-Forscher Angriffe auf die Sicherheitslücke beobachtet.

Die Analysten von DefusedCyber schreiben auf X, dass sie den Missbrauch der Schwachstelle CVE-2026-20230 am vergangenen Wochenende beobachtet haben. Es handelt sich um eine Server-Side Request Forgery (SSRF), bei der Angreifer Zugriff auf interne, geschützte Netzwerke erhalten. Einige HTTP-Anfragen werden laut Ciscos Mitteilung nicht korrekt geprüft, sodass nicht authentifizierte Angreifer aus dem Netz sogar schreibenden Zugriff auf das Betriebssystem und dabei root-Rechte erlangen können (CVE-2026-20230, CVSS 8.6, Risiko „hoch“). Cisco hat abweichend von der CVSS-Bewertung das Risiko jedoch als „kritisch“ eingeschätzt – offenbar zu Recht.

DefusedCyber schreiben, dass vorheriger Missbrauch nicht bekannt war und dass die CISA die Lücke noch nicht in ihrem „Known Exploited Vulnerabilities“-Katalog auflistet. Zunächst haben die IT-Forscher lediglich eine Quell-IP ausgemacht, von der Attacken mit einem Proof-of-Concept-Exploit erfolgten. Der PoC hat mit „file://“-URLs versucht, Schadcode auf das System zu schreiben. Am Mittwoch hat DefusedCyber auf LinkedIn nachgelegt und berichtet von automatisierten Scans aus dem Tor-Netzwerk, die Webshells auf anfällige Geräte verfrachten.

Angriffe installieren Server-Dienste

Die beobachteten Angriffsketten missbrauchen die SSRF im WebDialer, um bösartige Apache-Axis-Dienste zu verteilen. Diese Dienste nutzen sie dann, um einen JSP-File-Writer anzulegen, der in einer zweiten Stufe eine befehlsausführende Shell im Pfad „/platform-services/axis2-web/“ verankert.

Videos by heise

Cisco schreibt in der eigenen Sicherheitsmitteilung, dass das Unternehmen von veröffentlichtem Proof-of-Concept-Exploitcode weiß. Eine Aktualisierung um den aktuell beobachteten Missbrauch liegt jedoch noch nicht vor. Weiteren Sicherheitsmeldungen zufolge kursieren bereits seit dem Tag nach der Veröffentlichung des Updates Exploit-Codes, die voll funktionsfähig sind. IT-Verantwortliche sollten daher zügig die Aktualisierung anwenden, sofern sie das noch nicht erledigt haben. Hinweise auf erfolgreiche Angriffe (Indicators of Compromise, IOC) gibt es derzeit leider noch nicht.

(dmk)

Testsieger: Die beste mobile Klimaanlage

Top 10: Der beste Ventilator im Test

Prime Day 2026: Das sind die besten Deals

Anthropic beschuldigt Alibaba des KI-Modell-Diebstahls

2026-06-25T06:26:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Die KI-Firma Anthropic wirft dem Alibaba-Konzern vor, durch massenhafte Zugriffe versucht zu haben, die Logik ihrer Software Claude widerrechtlich abzugreifen.

(Bild: PhotoGranary02/Shutterstock.com)

08:26 Uhr

Lesezeit: 2 Min.

Von

Die KI-Firma Anthropic wirft dem chinesischen Alibaba-Konzern einen großangelegten Versuch vor, widerrechtlich Fähigkeiten seiner Software mit Künstlicher Intelligenz abzugreifen. Anthropic fordert deswegen vom US-Kongress Maßnahmen, die solche Attacken verhindern sollen, wie aus einem von der „Financial Times“ veröffentlichten Brief an amerikanische Senatoren hervorgeht. Alibaba äußerte sich zunächst nicht zu den Vorwürfen.

Dem Brief zufolge interagierten mit Alibaba verbandelte Angreifer über nahezu 25.000 betrügerische Accounts von Ende April bis Anfang Juni fast 29 Millionen Mal mit Anthropics KI-Software Claude. Dabei hätten sie mehr über zentrale Aspekte wie etwa den Aufbau der Software und deren Logik beim Ausführen von Aufgaben erfahren wollen.

Umstrittene Methode

Dabei hätten die Angreifer zu einer unter dem Begriff „Destillation“ bekannten Methode gegriffen, bei der Entwickler neuer Software sie mit künstlicher Intelligenz von einem bereits existierenden Modell anlernen lassen. Solche Zugriffe sind gemeinhin in Nutzungsbedingungen untersagt.

Tech-Milliardär Elon Musk räumte allerdings jüngst in einem Gerichtsverfahren ein, dass er mit dieser Technik seinen KI-Chatbot Grok von KI-Modellen des ChatGPT-Entwickler OpenAI lernen ließ. Anthropic gilt aktuell als der schärfste Rivale von OpenAI und warf chinesischen Unternehmen wiederholt vor, die Methode zu verwenden.

Videos by heise

Härtere Gangart gefordert

In dem Brief forderte Anthropic vom Kongress unter anderem ein härteres Vorgehen gegen chinesische Unternehmen, die zur „Destillation“ greifen. Auch sollten amerikanische KI-Firmen die Freiheit bekommen, einander vor solchen Attacken zu warnen. Zudem ruft Anthropic dazu auf, den Zugang chinesischer Player zu Technik wie KI-Chips weiter einzuschränken.

Damit bekräftigt die KI-Firma den Konfrontationskurs zum Chip-Schwergewicht Nvidia. Das Unternehmen wirbt bei der US-Regierung dafür, auch die Ausfuhr leistungsstärkerer KI-Systeme nach China zu erlauben.

Streit mit US-Regierung um neues KI-Modell

Anthropic steckt dabei selbst in einem Konflikt mit der US-Regierung. Diese zwang die Firma jüngst, due Top-Software mit künstlicher Intelligenz vorläufig vom Markt zu nehmen. Zur Begründung wurde dabei auf angebliche Schwachstellen verwiesen, über die Einschränkungen des KI-Programms mit dem Namen „Fable 5“ ausgehebelt werden könnten. Bei dem Programm ist unter anderem die Fähigkeit zur Suche nach Sicherheitslücken in anderer Software blockiert. Die Sorge ist, dass KI für Cyberattacken verwendet werden könnte. Anthropic konterte, die Probleme seien nicht schwerwiegend. Verhandlungen mit der US-Regierung zu der Sperre laufen noch.

(dmk)

Testsieger: Die beste mobile Klimaanlage

Top 10: Der beste Ventilator im Test

Prime Day 2026: Das sind die besten Deals

Anthropic darf für die Nutzung von Claude künftig einen Ausweis verlangen

2026-06-25T03:02:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Anthropic darf „unter Umständen“ das Alter und die Identität der KI-Nutzer per Ausweis und Biometrie bestimmen. Das besagt deren aktuelle Datenschutzrichtlinie.

(Bild: PhotoGranary02/Shutterstock.com)

05:02 Uhr

Lesezeit: 3 Min.

Von

Frank Schräer

Das US-amerikanische KI-Unternehmen Anthropic könnte sich von den Nutzern der eigenen KI-Modelle einen Ausweis vorliegen lassen, um deren Alter und Identität zu prüfen. Das geht aus der Anfang Juni aktualisierten Datenschutzrichtlinie der Firma hervor, die am 8. Juli 2026 wirksam wird. Laut Anthropic-Mitarbeitern soll dies nur einen kleinen Teil der Nutzer betreffen und betrügerische Aktivitäten unterbinden. Beobachter kritisieren allerdings die Auswahl der für die Identitätsprüfung eingesetzten Firma Persona Identities.

Anthropic erlaubt die Verwendung von KI-Modellen wie Claude schon seit Beginn erst 18-Jährigen und schätzt bislang das Alter seiner Nutzer, etwa per Bilderfassung des Gesichts. Das soll den Jugendschutz und die Sicherheit erweitern. Die Altersprüfung für Claude kann aber auch durch ein Foto eines Ausweises oder des Führerscheins erfolgen. Die KI-Firma setzt dafür auf den externen Dienstleister Yoti. Anthropic versichert, in diesem Fall selbst keinen Zugriff auf Ausweise oder Gesichtsbilder zu haben und dass die Daten sofort nach der Altersprüfung gelöscht werden.

Ausweisprüfung „unter Umständen“

In der am 8. Juni 2026 veröffentlichten Datenschutzrichtlinie hat Anthropic die Erkennung der eigenen Kunden nun ausgeweitet. Dort heißt es nun: „Unter bestimmten Umständen bitten wir Sie möglicherweise, Ihr Alter oder Ihre Identität zu bestätigen.“ Welche Umstände dies sein könnten, verrät die KI-Firma nicht, aber es wird die Vorlage eines gültigen Ausweises mit Lichtbild verlangt, was von Anthropic selbst gespeichert wird. Im Support-Bereich erklärt Anthropic, dass Persona Identities für diese Identitätsprüfung bei Claude beauftragt wurde, nicht mehr Yoti.

Videos by heise

Anthropic selbst wollte die Datenschutzrichtlinie auf Anfrage nicht kommentieren, aber verweist auf einen Beitrag eines Anthropic-Mitarbeiters bei X. Dort erklärt Thariq, dass die Identitätsprüfung „nur für eine kleine Untergruppe von Nutzern gilt, die aufgrund potenziell betrügerischer Aktivitäten markiert wurden, anstatt sie sofort zu sperren“. Zudem stehe dies in keinem Zusammenhang zur in dieser Zeit erfolgten Freigabe der neuen KI-Modelle Fable 5 und Mythos 5, deren Abschaltung von der US-Regierung erzwungen wurde.

Beobachter vermuten laut TechCrunch allerdings, dass Anthropic mit der neuen Identitätsprüfung auf Druck des Weißen Hauses reagiert. Nachdem die KI-Firma der Regierung bestimmte Verwendungszwecke beim Gebrauch seiner KI untersagen wollte, hatte das Pentagon Anthropic auf die Schwarze Liste gesetzt, offiziell als „Supply-Chain-Risiko“. Denn Anthropic hatte sich geweigert, die eigenen KI-Modelle zur Steuerung autonomer Waffensysteme oder für Massenüberwachung einzusetzen.

Zweifel am Datenschutz von Persona Identities

Mit der Beauftragung von Persona Identities zur Identitätsprüfung von Claude könnte Anthropic einen Schritt auf die Trump-Regierung zugehen. Der unter anderem von Palantir-Mitgründer und Trump-Unterstützer Peter Thiel finanziell gestützte Dienstleister könnte die gespeicherten Identitätsdaten für Anthropic auf Verlangen der US-Regierung herausgeben. Denn die KI-Firma speichert die für die Identitätsprüfung erfassten Daten und löscht sie im Gegensatz zu bisheriger Praxis und anderen Unternehmen nicht sofort.

So nutzt auch Roblox Persona Identities zur Altersprüfung, aber die Daten sollen „unmittelbar nach der Verarbeitung gelöscht“ werden. Persona Identities stand auch im Mittelpunkt der Nutzerproteste bei der Altersprüfung von Discord, woraufhin sich die Social-Media-Plattform letztlich von dem Partner distanzierte.

(fds)

Prime Day 2026: Wir prüfen die besten Deals

Top 10: Der beste Ventilator im Test

Top 8: Die beste Kompressor-Kühlbox im Test

OpenAI und Broadcom kündigen neuen KI-Chip Jalapeño an

2026-06-24T20:07:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

OpenAI braucht für seinen Börsengang optimistische Stimmung. Da kommt eine Kooperation mit Broadcom gerade recht.

Mit KI schneller zu größeren Mikrochips: OpenAI CEO Sam Altman (links) und Broadcom-CEO Hock Tan (rechts)

(Bild: OpenAI)

24.06.2026, 22:07 Uhr

Lesezeit: 1 Min.

Von

Daniel AJ Sokolov

Broadcom arbeitet an einem Prozessor namens Jalapeño, der für Inferenzen Künstlicher Intelligenzen optimiert ist. OpenAI unterstützt Broadcom dabei. Ziel sind kürzere Latenz und geringerer Energieverbrauch. Jalapeño ist eine anwendungsspezifische integrierte Schaltung (ASIC), besteht also aus speziell auf OpenAIs Inferenz-Software zugeschnittenen Schaltkreisen. Nicht gedacht ist das Gerät für das Training großer Sprachmodelle.

OpenAI hat das Projekt am Mittwoch bekanntgegeben. Ziel ist wohl, vor OpenAIs Börsengang die Börsenphantasie anzuregen: Die wortreiche Mitteilung enthält keine konkreten Daten und auch keine Informationen über die Prozessorarchitektur.

Jalapeño wurde laut Mitteilung in neun Monaten von Grund auf neu entwickelt. Frühe, interne Tests sollen gezeigt haben, dass der neue Computerchip bei Inferenzen pro Watt mehr leisten werde als derzeit für diesen Zweck verfügbare Halbleiter. Die beiden Unternehmen wollen langfristig zusammenarbeiten, kündigen sie doch gleich mehrere Generationen Jalapeños an.

Videos by heise

Die ersten Auslieferungen der ersten Jalapeño-Generation sind für Jahresende geplant. „Wir beginnen 2026 damit, den Bau von Gigawatt-Rechenzentren mit Microsoft und anderen Partnern zu ermöglichen”, kündigt Broadcom-CEO Hock Tan an. Microsoft ist der größte Aktionär des operativen OpenAI-Arms.

Lesen Sie auch

Musk v Altman: Das Gfrett mit Geschworenen

Musk v Altman Teil 2: Jetzt muss Musk sich verteidigen

Prime Day 2026: Wir prüfen die besten Deals

Top 10: Der beste Ventilator im Test

Top 8: Die beste Kompressor-Kühlbox im Test

Funklöchern auf der Spur: Zweite bundesweite Mobilfunkmesswoche läuft

2026-06-24T18:40:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Bürger können erneut per App die Netzqualität messen. Die Bundesnetzagentur will so Lücken aufdecken.

(Bild: fizkes / Shutterstock.com)

24.06.2026, 20:40 Uhr

Lesezeit: 3 Min.

Von

Stefan Krempl

Die Erfassung des digitalen Alltags geht in die nächste Runde. Am Mittwoch hat die zweite bundesweite Mobilfunkmesswoche begonnen: Bürger sind aufgerufen, bis 1. Juli die tatsächliche Mobilfunkversorgung vor Ort auf den Prüfstand zu stellen. Mithilfe der aktualisierten und kostenlosen App „Mobilfunk-Check“ der Bundesnetzagentur können Smartphone-Nutzer unkompliziert Daten über die Netzqualität dort erfassen, wo sie gerade sind.

Ziel der Crowdsourcing-Aktion Check Dein Netz ist, ein flächendeckendes und realistisches Abbild der Mobilfunkversorgung aus Anwenderperspektive zu gewinnen, sowie weiße Flecken präzise zu lokalisieren. Die gesammelten Informationen sollen dazu beitragen, künftige Ausbau- und Unterstützungsmaßnahmen bedarfsgerecht zu planen, und den Druck auf Netzbetreiber erhöhen.

An der ersten Messwoche 2025 haben sich laut Regulierungsbehörde mehr als 100.000 Teilnehmer beteiligt und fast zweihundert Millionen Messpunkte geliefert. Im Ergebnisbericht heißt es, dass an weniger als einem Prozent der erfassten Punkte tatsächliche Funklöcher festgestellt worden seien. Dennoch besteht weiter Handlungsbedarf, da die offiziellen Versorgungsmeldungen der Netzbetreiber und die gefühlte Realität der Verbraucher, insbesondere abseits der großen Ballungsräume, oft stark voneinander abweichen.

Die Politik sieht die Netzbetreiber am Zug

Bundesdigitalminister Karsten Wildberger (CDU) hob zum Start der zweiten Kampagne hervor, dass Deutschland bei der Netzinfrastruktur noch besser werden müsse. Die Politik habe mit der Verankerung des überragenden öffentlichen Interesses am Netzausbau gesetzliche Rahmenbedingungen geschaffen. Nun liege der Ball bei den Mobilfunknetzbetreibern. Diese müssten die gewonnenen Daten nutzen, um ihre Netze zu optimieren. Die Ergebnisse stehen neben den Telcos auch den Bundesländern und Kommunen zur Verfügung. Daten sollen helfen, Ausbauvorhaben zu priorisieren, administrative Hindernisse abzubauen und den konkreten Bedarf für Verdichtung der Netze darzulegen.

Videos by heise

Ein Fokus liegt auf ländlichen Regionen, die am stärksten von Verbindungsproblemen betroffen sind. Laut Bundesheimatminister Alois Rainer (CSU) ist lückenlose Mobilfunkversorgung Basis dafür, dass ländliche Räume als Lebens- und Wirtschaftsräume attraktiv blieben. Schlechter Empfang entwickle sich schnell zu einem spürbaren Standortnachteil für Familien, Betriebe und Regionen. Er verwies explizit auf die Land- und Forstwirtschaft, die für digitale Anwendungen wie präzise, sensorgestützte Düngung oder Tierüberwachung in Echtzeit auf stabile Netze angewiesen sei. Am Ortsausgang dürfe der Anschluss an die digitale Welt nicht einfach abreißen.

Der Bundesrat fordert vollständige Flächendeckung. Die Bundesnetzagentur erhofft sich durch rege Beteiligung von Bürgern eine noch solidere Datenbasis als im Vorjahr. Unterstützt wird die Aktion von der Mobilfunkinfrastrukturgesellschaft (MIG). Sie hat schon im Vorfeld für #CheckDeinNetz geworben.

(ds)

Prime Day 2026: Wir prüfen die besten Deals

Top 10: Der beste Ventilator im Test

Top 8: Die beste Kompressor-Kühlbox im Test

Elektronische Patientenakte: Zwischen KI-Ambitionen und Kritik am Ausbautempo

2026-06-24T16:38:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Beim parlamentarischen Abend der E-Rezept-Enthusiasten diskutierten Vertreter aus Politik und Gematik, wie es mit der elektronischen Patientenakte weitergeht.

Janos Dahmen (Die Grünen), Brenya Adjei (Gematik), Gudrun Kreutner-Reisinger (E-Rezept-Enthusiasten), Philipp Müller (BMG-Abteilungsleiter), Matthias Mieves (SPD), Christian Klose (HeptaSphere) (von links nach rechts)

(Bild: Marie-Claire Koch / heise medien)

24.06.2026, 18:38 Uhr

Lesezeit: 11 Min.

Von

Marie-Claire Koch

Ging es bei der elektronischen Patientenakte zunächst nur darum, ob die Infrastruktur überhaupt funktioniert, standen auf einem parlamentarischen Abend der E-Rezept-Enthusiasten nun die nächsten Ausbaustufen im Mittelpunkt. Zur Eröffnung machte die stellvertretende Vereinsvorsitzende Ruth Philipp deutlich, dass die ePA inzwischen mehr sein solle als ein Dokumentenspeicher.

„Am Ende setzt sich nicht die beste Technologie durch, sondern diejenige, die eben auch angenommen wird von den Leistungserbringern und von den Nutzern“, zitierte Philipp Gesundheitsministerin Nina Warken. „Dann soll es in der ePA eben nicht nur einen digitalen Aktenschrank geben, sondern eben auch einen Versorgungseinstieg.“ Gematik-Geschäftsführerin Brenya Adjei lobte den bisherigen Rollout: „Wir haben mittlerweile knapp 130 Millionen hochgeladene Dokumente, die mittlerweile in der ePA verfügbar sind.“ Als nächste Ausbaustufen nannte Adjei strukturierte Gesundheitsdaten, Volltextsuche sowie Push-Benachrichtigungen in den Apps der Krankenkassen.

Aus Sicht des Bundesgesundheitsministeriums soll die ePA künftig zunehmend zum digitalen Einstiegspunkt in die Versorgung werden. Philipp Müller, Leiter der Abteilung Digitalisierung und Innovation im Bundesgesundheitsministerium, skizzierte dazu erneut das bereits viel diskutierte Konzept einer digitalen Ersteinschätzung mit anschließender Terminvermittlung und telemedizinischer Versorgung.

Videos by heise

Was ist mit Oma Erna?

Für Matthias Mieves (SPD) entscheide sich der Erfolg der elektronischen Patientenakte zunächst nicht daran, wie viele Versicherte täglich ihre App öffnen. Das erklärte Ziel des BMG ist, dass sie 20 Millionen Menschen bis 2030 aktiv nutzen. Wichtig sei vor allem, dass Ärztinnen und Ärzte im Behandlungsalltag bessere Informationen erhielten. „Ich werde öfter gefragt: Wie sieht es denn mit der Oma Erna aus, die 80 Jahre alt ist? Kapiert die das überhaupt? Und dann sage ich immer: Die 80-Jährige kapiert das total. Die sagt mir zwar: ‚Ich habe selbst gar kein Smartphone, und ich will auch gar keins. Aber wenn ich mir sicher sein kann, dass meine Hausärztin die ePA zur Verfügung hat und dann bessere Daten zu dem hat, was mir vielleicht ein anderer Arzt verschrieben hat oder was im Krankenhaus gemacht wurde, dann hat die doch ein viel besseres Bild von mir und kann mich viel besser behandeln.‘“

Lesen Sie auch

Missing Link: Fünf Trends Digitaler Gesundheit und was sie bedeuten

"Höllenhamsterrad": Neues digitales Krankenaktensystem in Schweden vor dem Aus

E-Patienentenakte: Krankenhäuser tauschen sich in "Selbsthilfegruppe" aus

TI 2.0: Gematik setzt bei Gesundheits-Sicherheit auf Zero Trust, beauftragt EY

Prime Day 2026: Wir prüfen die besten Deals

Top 10: Der beste Ventilator im Test

Top 8: Die beste Kompressor-Kühlbox im Test

Figma: KI-Werkzeuge für Design, Code und Zusammenarbeit

2026-06-24T16:15:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Figma entwickelt Werkzeuge, mit denen Entwickler und Designer gemeinsam Apps und Webseiten erarbeiten, statt anfangs leere Entwürfe später in Code nachzubauen.

Mit der Web-App Figma entstehen digitale Produkte wie Websites, Apps und Bedienoberflächen. Statt lediglich ein Design- oder ein Programmiertool bereitzustellen, will der Hersteller beides miteinander verbinden.

(Bild: Figma)

24.06.2026, 18:15 Uhr

Lesezeit: 3 Min.

Von

Andre Kramer

Das US-Unternehmen Figma will seine gleichnamige Web-App stärker auf einen ganzheitlichen Entwicklungsprozess digitaler Produkte ausrichten. Auf der Hauskonferenz Config 2026 in San Francisco hat das Unternehmen Werkzeuge vorgestellt, die Design, Programmierung, Animation und künstliche Intelligenz enger als zuvor miteinander verbinden sollen. Figma will sie in den kommenden Wochen schrittweise veröffentlichen.

Statt beispielsweise eine Webseite in Photoshop zu entwerfen und später in Code nachbauen zu lassen, sollen Teams beim Bau von Apps und Seiten möglichst viele Arbeitsschritte innerhalb einer gemeinsamen Arbeitsfläche erledigen.

Die Figma Canvas steht dabei im Mittelpunkt, eine Arbeitsumgebung, in der man Apps, Websites und andere digitale Produkte entwirft. Figma integriert neben klassischen Designfunktionen auch solche für Programmierung, Animationen, visuelle Effekte und KI-Dienste.

Videos by heise

Programmcode auf der Designfläche bearbeiten

Eine der wichtigsten Neuerungen: Programmcode lässt sich direkt auf der Designfläche bearbeiten. Entwickler können Quellcode aus bestehenden Projekten übernehmen, ihn ändern und wieder mit dem ursprünglichen Codebestand synchronisieren. Ein integrierter KI-Agent soll dabei alternative Lösungswege vorschlagen oder Abläufe in bearbeitbare Designelemente überführen.

Effekte, Animation und 3D-Szenen

Mit „Figma Motion“ führt das Unternehmen ein Werkzeug für Animationen und dreidimensionale Szenen ein. Animationen entstehen entweder klassisch über eine Zeitleiste oder per Prompt über künstliche Intelligenz. Die erstellten Inhalte bleiben mit den verwendeten Designsystemen verknüpft und sollen sich einfacher in die spätere Entwicklung übernehmen lassen.

Animationen lassen sich nicht nur über KI-Prompts, sondern auch manuell in einer Zeitleiste entwerfen.

(Bild: Figma)

Auch bei visuellen Effekten setzt Figma auf künstliche Intelligenz. Über sogenannte Shader lassen sich Oberflächen, Farbverläufe und Effekte wie Pixelierung, Dithering oder Unschärfe per Texteingabe erzeugen.

Über Shader lassen sich Farbverläufe und Effekte per Texteingabe erzeugen.

(Bild: Figma)

KI-Werkzeuge: Figma Agent und Figma Weave

Nutzer können über die Arbeitsfläche auf den Figma Agent zugreifen. Der KI-Assistent beantwortet Fragen, erstellt Designs und erledigt wiederkehrende Aufgaben. Arbeitsabläufe lassen sich künftig als „Agent Skills“ speichern und innerhalb eines Teams verwenden. Mit dem KI-Agenten lassen sich außerdem eigene Plugins erstellen.

Der Figma-Agent erhält Zugriff auf Informationsquellen wie Websuchen, Dateianhänge und Schnittstellen zu externen Diensten. Dadurch soll die KI bei ihren Vorschlägen mehr Kontext berücksichtigen können.

Wiederkehrende Aufgaben speichert der KI-Assistent von Figma auf Wunsch als Agent Skills.

(Bild: Figma)

Außerdem soll er auf weitere Produkte des Unternehmens ausgeweitet werden. In FigJam unterstützt er bei der Strukturierung, Analyse und Visualisierung von Ideen. In Figma Slides hilft er beim Erstellen und Überarbeiten von Präsentationen sowie beim Zusammenfassen von Rückmeldungen.

Hinzu kommen die „Figma Weave Workflows“, eine Sammlung von gut 20 KI-Werkzeugen. Dazu gehören das Entwickeln eines Designstils aus Referenzbildern, das automatische Anpassen von Motiven an verschiedene Formate, das Freistellen von Bildern, das Umwandeln von Bildern in kurze Videos sowie das Erstellen von 3D-Modellen und mehrstufigen Bildkompositionen.

(akr)

Prime Day 2026: Wir prüfen die besten Deals

Top 10: Der beste Ventilator im Test

Top 8: Die beste Kompressor-Kühlbox im Test

Bund in der Abhängigkeitsfalle: Kostenexplosion bei Microsoft-Lizenzen

2026-06-24T15:16:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Neue Regierungszahlen offenbaren hohe Ausgaben für US-Software. Die Kosten für Microsoft-Produkte steigen rasch. Open Source kommt in der Verwaltung kaum voran.

(Bild: mindea / Shutterstock.com)

24.06.2026, 17:16 Uhr

Lesezeit: 5 Min.

Von

Stefan Krempl

Die Ausgaben der öffentlichen Hand für Produkte und Dienstleistungen des US-Konzerns Microsoft fallen noch weitaus höher aus als bisher bekannt. Das lässt sich einer heise online vorliegenden Antwort des Bundesfinanzministeriums auf eine Frage des Bundestagsabgeordneten Sascha H. Wagner von der Linksfraktion entnehmen. Demnach offenbaren neue Berechnungsmaßstäbe, dass die schon 2019 konstatierte tiefe Abhängigkeit der deutschen Verwaltung von proprietärer Software historisch hohe, kontinuierlich wachsende Summen an Steuergeldern verschlingt. Bundeseigene Open-Source-Alternativen fristen weiter ein Nischendasein.

Die teils drastisch abweichenden Summen resultieren aus einer weiterreichenden Definition der anfallenden Kosten. In der Vergangenheit hatte die Bundesregierung auf Anfragen des Abgeordneten Victor Perli stets die Ausgaben der unmittelbaren Bundesverwaltung, also der Ministerien und ihrer direkt nachgeordneten Behörden, ausgewiesen. Nach dieser isolierten Lesart beliefen sich die Lizenzgebühren zwischen 2017 und 2024 auf insgesamt rund 1,3 Milliarden Euro.

Eine neue Datengrundlage, die auf eine vorausgegangene Anfrage der Grünen-Abgeordneten Rebecca Lenhard zurückgeht, zieht auch den Handelspartner-Rahmenvertrag der Zentralstelle IT-Beschaffung (ZIB) des Beschaffungsamtes voll mit heran. Dieser schließt neben der unmittelbaren auch die mittelbare Bundesverwaltung sowie sämtliche Zuwendungsempfänger mit ein.

Allein 2022 flossen nach dieser Definition netto knapp 211 Millionen Euro in Richtung Redmond. Für 2025 kletterten die Ausgaben nach der neuen Statistik auf über 481 Millionen Euro. Insgesamt summierten sich die Kosten nach dieser Lesart zwischen 2017 und 2025 auf mehr als 1,9 Milliarden Euro.

Methodische Unterschiede und veränderte Maßstäbe

Dass sich die alten und neuen Zahlenpaare nur bedingt in Deckung bringen lassen, liegt an mehreren Faktoren, wie das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) erläutert. So seien in der Vergangenheit bei den Perli-Anfragen Bruttobeträge gemeldet und eigene Ausschreibungen der Ressorts abseits des ZIB-Rahmenvertrags berücksichtigt worden. Gleichzeitig fehlen in der neuen Auflistung die Jahre 2015 und 2016, da der ZIB-Rahmenvertrag erst im Juni 2017 geschlossen wurde. Ungeachtet dieser methodischen Differenzen zeigt der finanzielle Trend in der Gesamtbetrachtung steil nach oben.

Der Linken-Politiker Wagner fordert Konsequenzen: „Die Abhängigkeit von US-Software kostet die Steuerzahler jedes Jahr hunderte Millionen“, moniert er gegenüber heise online. „Der Umstieg auf europäische Lösungen muss schneller gehen, damit Trumps Tech-Bros uns nicht irgendwann mit dem Zugang zu Software und Cloud-Diensten erpressen können.“ Bund und Länder müssten dem Vorbild Frankreichs folgen, die Zusammenarbeit mit umstrittenen Firmen wie Palantir stoppen und für Office-Anwendungen künftig primär Produkte der bundeseigenen Softwareschmiede Zendis nutzen.

Videos by heise

Kritik auch aus der Wirtschaft

Die Open Source Business Alliance (OSBA) warnt ebenfalls vor einer gefährlichen und teuren Abhängigkeit, die die staatliche IT-Modernisierung bedrohe. OSBA-Vorstandsvorsitzender Peter Ganten zeigte sich schon im Februar alarmiert, dass sich die Bundesverwaltung scheinbar wehrlos der Marktmacht von Microsoft ergebe. Besonders die Kostensteigerung um rund 38 Prozent von 2024 auf 2025 zeige, wie riskant die Bindung an einen einzelnen marktbeherrschenden Anbieter sei.

Ganten beklagt, dass dies dringend nötige Gelder verschlinge, die dann bei der Modernisierung der staatlichen IT fehlten. Zudem warnt er vor Sicherheitsrisiken, da weite Teile der Verwaltungsdaten de facto nicht vor dem Zugriff der US-Regierung geschützt seien. Der Bund müsse konsequent in offene und souveräne Lösungen investieren.

Um die teils ausufernden IT-Ausgaben des Bundes überhaupt besser kontrollieren zu können, hat das BMDS einen Zustimmungsvorbehalt für wesentliche IT-Beschaffungen etabliert. Dieser greift bei Vorhaben, die ein jährliches Volumen von mindestens 500.000 Euro oder Gesamtkosten von über drei Millionen Euro aufweisen, sowie bei Projekten von besonderer strategischer Tragweite, etwa zur Cybersicherheit oder großen Digitalisierungsprogrammen.

Bis Ende März hat das Ressort in diesem Rahmen über 200 IT-Vorhaben der Ministerien gesichtet. In gut 50 Fällen erteilte es Auflagen oder Hinweise, vereinzelt stoppte es Vorhaben komplett. Aufgrund der anstehenden Haushaltsaufstellung für 2027 hat sich die Anzahl der zur Prüfung vorgelegten Vorhaben im April verzehnfacht. Über konkrete finanzielle Einsparungen durch dieses Instrument kann die Regierung mit Verweis auf das laufende Haushaltsverfahren aber noch keine fundierten Angaben machen.

Ernüchternde Bilanz für digitale Souveränität

Das für digitale Souveränität zuständige Zendis stellt der Bundesverwaltung die Kollaborationssuite OpenDesk sowie die Entwicklungsplattform OpenCode zur Verfügung. Während letztere laut der Regierung mit rund 5700 aktiven Projekten und etwa 13.500 Nutzern aus Bund, Ländern und Kommunen föderal übergreifend eingesetzt wird, fallen die Verbreitungszahlen für OpenDesk ernüchternd aus. Aktuell nutzen die Behörden in Summe hier nur 8756 Lizenzen, von denen sich 8475 im Produktivbetrieb befinden.

Den Löwenanteil macht dabei das Robert-Koch-Institut (RKI) aus, das allein 7904 Lizenzen für sein Projekt Agora im Kontext des Öffentlichen Gesundheitsdienstes verwendet. Im BMDS selbst sind lediglich 571 Lizenzen im produktiven Einsatz sowie 137 in einem Pilotprojekt. Auch das Auswärtige Amt und das Bundesamt für Sicherheit in der Informationstechnik (BSI) erproben die Software bislang nur homöopathisch mit je rund 70 Lizenzen.

(mma)

Prime Day 2026: Wir prüfen die besten Deals

Top 10: Der beste Ventilator im Test

Top 8: Die beste Kompressor-Kühlbox im Test

Mistral OCR 4: Dokumentenanalyse für 170 Sprachen

2026-06-24T15:13:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Mistral AI hat OCR 4 vorgestellt. Das Modell liest nicht nur Text aus, sondern strukturiert Inhalte für Enterprise Search und RAG-Pipelines.

(Bild: Mehaniq/Shutterstock.com)

24.06.2026, 17:13 Uhr

Lesezeit: 5 Min.

iX Magazin

Von

Moritz Förster

Mistral AI hat mit OCR 4 eine neue Version seines Dokumentenerkennungsmodells vorgestellt. Die Software soll nicht mehr nur Text aus PDFs und anderen Dokumenten auslesen, sondern den Inhalt zugleich strukturieren. Neu sind unter anderem Positionsangaben für Textblöcke, eine Klassifizierung der erkannten Elemente und Vertrauenswerte für einzelne Wörter und Seiten. Damit zielt das Modell auf Dokumentenverarbeitung in Unternehmenssuchsystemen, RAG-Pipelines und ähnlichen Workflows.

OCR 4 liefert mehr als reinen Text

Bisherige Systeme für die Optical Character Recognition (OCR) geben vor allem den reinen Text einer Seite aus. OCR 4 geht weiter: Das Modell markiert jedes erkannte Element mit einer Bounding Box, also einem Begrenzungsrahmen auf der Seite. Zusätzlich ordnet es Inhalte bestimmten Blocktypen zu, etwa Überschriften, Tabellen, Gleichungen oder Signaturen. Confidence Scores zeigen an, wie sicher das Modell bei der Erkennung ist.

So sollen sich Dokumente besser weiterverarbeiten lassen. Eine Suchanwendung kann etwa nicht nur den Wortlaut indexieren, sondern auch erkennen, ob ein Textabschnitt eine Überschrift oder ein Tabellenwert ist. Ein Prüfsystem kann die unsicheren Stellen an einen Menschen geben. Und ein Redaktions- oder Compliance-Workflow kann Textpassagen im Originaldokument exakt hervorheben oder schwärzen.

Einsatz in Suche, RAG und Agenten

Mistral sieht OCR 4 als Baustein für Enterprise Search, Retrieval-Augmented Generation und domänenspezifische Suchpipelines vor. Die strukturierte Ausgabe soll dabei helfen, Dokumente in sinnvolle Such- und Antwortbausteine zu zerlegen. Mistral bezeichnet das als semantisches Chunking: Nicht die Seitenlänge entscheidet über die Aufteilung, sondern die Struktur des Dokuments. Eine Tabelle oder ein Absatz bleiben dann eher als Einheit erhalten.

Auch für agentische Workflows plant Mistral den Einsatz – also in KI-Systemen, die nicht nur Informationen lesen, sondern auf Basis davon Aufgaben anstoßen, etwa Formulare ausfüllen, Rechnungen verarbeiten oder Compliance-Prüfungen vorbereiten. Entsprechend hilfreich ist es hierbei, wenn ein OCR-System nicht bloß Text liefert, sondern zugleich die strukturelle Funktion eines Inhaltselements kennt.

Mehrsprachigkeit und Self-Hosting

OCR 4 unterstützt nach Angaben von Mistral 170 Sprachen in zehn Sprachgruppen. Zu den genannten Gruppen zählen Englisch, westeuropäische und osteuropäische Sprachen, chinesische und ostasiatische Sprachen, ferner eine Sonderkategorie für Sprachen wie Hindi, Japanisch, Georgisch, Bengalisch oder Tamil. Das Unternehmen verweist dabei besonders auf bessere Ergebnisse bei Sprachen seiner Sonderkategorie sowie bei weniger verbreiteten Sprachen, bei denen andere Systeme häufiger Schwächen zeigen.

Das Modell lässt sich laut Mistral auf Wunsch in einer eigenen Container-Instanz betreiben, damit OCR 4 auch bei hohen Anforderungen an Datensouveränität, Datenschutz oder Compliance verwendet werden kann. Unterstützt werden gängige Formate wie PDF, DOC, PPT und OpenDocument.

Einordnung der Benchmarks

Mistral verweist bei OCR 4 auf eigene und externe Benchmarks. In einer Blindbewertung durch unabhängige Prüfer soll das Modell im Mittel besser abgeschnitten haben als konkurrierende OCR- und Document-AI-Systeme. Auf dem öffentlichen Benchmark OlmOCRBench erreichte OCR 4 laut Mistrals Ankündigung einen Spitzenwert von 85,20 Punkten. Auf OmniDocBench nennt das Unternehmen 93,07 Punkte.

Mistral weist aber selbst darauf hin, dass Benchmark-Ergebnisse bei mathematischen Formeln, mehrspaltigen Dokumenten oder fehlerhaften Referenzdaten verzerrt sein können. Ein Modell kann also in der Praxis richtig liegen, aber im Test trotzdem als falsch gewertet werden. Für eine belastbare Bewertung empfiehlt das Unternehmen deshalb eigene Dokumente und Workflows.

Videos by heise

API, Document AI und Preise

OCR 4 lässt sich per API anbinden. Die Grundfunktion liefert immer extrahierten Inhalt, Bounding Boxes, Blocktypen, Confidence Scores und Markdown-ähnlich strukturierten Text. Wer mehr Struktur braucht, kann zusätzliche Document-AI-Funktionen aktivieren. Dann lässt sich etwa eine JSON-Ausgabe nach einem vorgegebenen Schema erzeugen oder das Modell interpretiert Inhalte mit einem zusätzlichen Prompt.

Mistral trennt damit zwischen reiner Extraktion und strukturierter Weiterverarbeitung. Für Entwickler heißt das: Wer nur den OCR-Output benötigt, bleibt bei der Basiskonfiguration. Wer Rechnungen, Formulare oder andere Dokumente direkt in feste Felder überführen will, ergänzt die Document-AI-Parameter in derselben Anfrage. Nach Angaben von Mistral kostet die OCR-API 4 US-Dollar pro 1000 Seiten, im Batch-Betrieb 2 Dollar pro 1000 Seiten. Document AI liegt bei 5 Dollar pro 1000 Seiten.

Verfügbarkeit

Mistral OCR 4 und die darauf aufsetzenden Document-AI-Funktionen sind laut dem Unternehmen über Mistral Studio, Amazon SageMaker und Microsoft Foundry verfügbar. Zudem hat Mistral OCR 4 in das eigene Search Toolkit eingebunden, das sich derzeit in einer öffentlichen Vorschau befindet.

Lesen Sie auch

Mistrals Chatbot heißt jetzt „Vibe“ und erhält neue Fähigkeiten

Mistral und Harvey AI: Den Rechtssektor im Visier

Mistral AI: Neues Sprachmodell Medium 3.5 und Cloud-Coding-Agenten

KI-Update: 122 Milliarden für OpenAI, Regulierung, KI in der Musik, KI-Drohnen

Europäische KI-Autonomie: Mistral investiert 830 Mio. US-Dollar in Rechenzentrum

Prime Day 2026: Wir prüfen die besten Deals

Top 10: Der beste Ventilator im Test

Top 8: Die beste Kompressor-Kühlbox im Test

Sichere API-Zugriffe für Agenten mit Postman Passport

2026-06-24T13:04:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Mit Passport führt Postman ein sicheres Zugangssystem für APIs ein, das nicht mehr auf Credentials, sondern auf Access Control basiert.

(Bild: Wolf Hosbach / heise medien / KI)

24.06.2026, 15:04 Uhr

Lesezeit: 2 Min.

Developer

Von

Wolf Hosbach

Postman, Hersteller des gleichnamigen API-Entwicklungs-Tools, führt mit Passport ein sicheres Zugangssystem für APIs ein. Es basiert nicht mehr auf Zugangsschlüsseln (API-Keys, Credentials), die jeder verwenden kann, der sie besitzt – also auch Einbrecher. Sondern es führt eine Zugangskontrolle mit individuellen Zertifikaten ein.

API-Nutzer sind dabei kryptografisch eindeutig identifiziert und bekommen Zugänge von Postman granular und kontrolliert freigeschaltet. Der private Schlüssel verbleibt jeweils beim Nutzer, sodass niemand anderes die zugehörigen Zugangsschlüssel verwenden kann. Die Zugangsprüfung findet in einem speziellen Postman-Proxy innerhalb des Kundennetzwerks statt.

Privater Schlüssel und der Zugangs-Proxy verbleiben in der Umgebung des API-Nutzers.

(Bild: Postman)

Postman prüft das Zertifikat des Kunden und erteilt dauerhaften oder temporären Zugang zu API-Endpunkten. Agenten können Zugänge an Unteragenten weitergeben, aber nur kurzzeitig im zertifizierten Bereich. Unternehmensweite Access Points lassen sich ebenfalls in das System integrieren.

Videos by heise

Ein Zugriff am Proxy vorbei ist nicht möglich. Über die Zertifikate lassen sich auch feingranulare Zugriffsmodelle auf Endpunkte umsetzen.

Immer mehr API-Aufrufe durch Agenten

Postman reagiert damit auf die zunehmende und unkontrollierte Verbreitung von API-Credentials, die oft nur in Profilen, Textdateien oder YAML-Konfigurationen vorliegen und von Entwicklern im Alltag oft schnell hin- und herkopiert werden, gerne auch über Git, MS Teams oder Slack. Während eines Einsatzes findet sich ein Schlüssel laut Postman an acht Plätzen in einem Rechner und wird so zur leichten Beute für Angreifer.

Der zunehmende Einsatz von KI-Agenten im Entwicklungszyklus von Software erhöht diese Risiken noch, da Agenten selbsttätig mit den Schlüsseln umgehen und diese eventuell in der Infrastruktur oder an Unteragenten weitergeben.

Das neue System von Postman erhöht durch den Proxy zwar den Aufwand im Unternehmen, löst aber eine Reihe von Sicherheitsproblemen.

Lesen Sie auch

Secure-Boot: Zertifikatablauf steht an, Microsoft gibt weitere Hilfestellung

Vom Postweg ins BundID-Konto: Bundestag stimmt für digitales Führungszeugnis

C3A: Der neue BSI-Maßstab für souveräne Clouds im Überblick

BSI aktualisiert C5-Kriterienkatalog für Cloud-Sicherheit

„Passwort“ Folge 56: Unwirksame Beweise, ungültige Zertifikate, unverplante CVEs

Prime Day 2026: Wir prüfen die besten Deals

Top 10: Der beste Ventilator im Test

Top 8: Die beste Kompressor-Kühlbox im Test

KI-Coding-Tools: Geschwindigkeit ohne Kontrolle als Risiko

2026-06-24T12:25:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Der GitLab AI Accountability Report zeigt: Der Einsatz von KI macht das Coding schneller, aber ohne Kontrolle entstehen neue Risiken und technische Schulden.

(Bild: Manuel Masiero / KI / iX)

24.06.2026, 14:25 Uhr

Lesezeit: 4 Min.

Developer

Von

Manuel Masiero

Für die meisten Unternehmen zahlt sich der Einsatz von KI‑Coding‑Tools stärker aus als erwartet. Das hohe Tempo agentischer Softwareentwicklung wirft aber die Frage auf, inwieweit Teams noch kontrollieren können, was sie an Code ausliefern. Zu diesen Ergebnissen kommt der AI Accountability Report von GitLab.

Im Unternehmensumfeld ist KI-gestützte Softwareentwicklung längst Standard. Laut dem GitLab-Report haben 91 Prozent der DevSecOps‑Befragten mindestens zwei Coding-Tools im Einsatz, 54 Prozent drei oder mehr. Dabei berichten 60 Prozent von einer höheren Investmentrendite als ursprünglich erwartet, 78 Prozent von schnellerem Code-Output und 73 Prozent sagen, dass sich die Codequalität verbessert habe.

Die beiden Bereiche Compliance & Audits sowie Sicherheit profitieren laut Umfrage am wenigsten von KI.

(Bild: GitLab)

Die Umfrage-Teilnehmerinnen und -Teilnehmer wenden lediglich 16 Prozent ihrer Arbeitszeit dafür auf, neuen Code zu schreiben. Eine deutliche Mehrheit von 85 Prozent sagt, dass sich der Fokus stattdessen auf Review und Validierung von KI-Output verschoben hat. Dort trägt KI allerdings am wenigsten dazu bei, die Geschwindigkeit oder Effizienz zu steigern.

Das KI-Produktivitäts-Paradoxon spüren deshalb 79 Prozent der Befragten: Die individuelle Produktivität hat nach ihrem Empfinden zugenommen, die Geschwindigkeit des Software‑Lieferprozesses als Ganzes hingegen kaum.

Governance wichtiger als Geschwindigkeit

GitLab macht AI Accountability, sinngemäß die Verantwortung eines Unternehmens im Umgang mit KI, an der Fähigkeit fest, drei Fragen beantworten zu können: Woher kommt der KI-generierte Code, wofür war er gedacht und wer ist dafür verantwortlich, sobald er Produktionsstatus erreicht hat?

Laut GitLab haben die meisten Unternehmen keine Antworten darauf. „Die Ereignisse der letzten Monate, die von Lieferketten-Angriffen über Zuverlässigkeitsprobleme bis hin zu strengeren behördlichen Auflagen hinsichtlich Nachverfolgbarkeit und Herkunft von KI reichen, zeigen, dass Geschwindigkeit ohne Kontrolle kein Vorteil, sondern ein Risiko ist“, so Manav Khurana, Chief Product and Marketing Officer von GitLab.

Videos by heise

Im Report äußern 73 Prozent der Teilnehmerinnen und Teilnehmer Bedenken hinsichtlich der langfristigen Wartbarkeit von KI-generiertem Code; 80 Prozent meinen, dass ihr Unternehmen die KI-Werkzeuge schneller eingeführt hat, als Richtlinien zu deren Steuerung entwickelt wurden. Zudem birgt KI-generierter Code für 82 Prozent das Risiko, dass neue technische Schulden entstehen, auf die ihr Unternehmen noch nicht vorbereitet ist.

Besserung ist jedoch in Sicht: So wollen 91 Prozent der Teilnehmenden in den nächsten 12 Monaten Tools für KI-Code-Governance anschaffen. Ein Budget dafür haben 98 Prozent entweder bereits vorliegen oder zumindest eingeplant.

Wurde das Softwareproblem von KI-generiertem Code mitverursacht? 34 Prozent der Befragten konnten das im konkreten Fall nicht beantworten.

(Bild: GitLab)

Mensch oder Maschine: Wer hat’s geschrieben?

Bereits jetzt sind 87 Prozent der Befragten zuversichtlich, dass sie innerhalb von 24 Stunden feststellen könnten, ob KI-Code ein Produktionsproblem mitverschuldet hat. Allerdings waren 34 Prozent der Unternehmen genau dazu nicht in der Lage, als es zu einem solchen Vorfall kam. Als größte Hürden für Kontrolle und Nachverfolgbarkeit nennen 43 Prozent die Schwierigkeit, KI-generierten Code von manuell geschriebenem Code zu unterscheiden. Auf Platz zwei und drei folgen fragmentierte Toolchains (40 %) und Systeme, die die Code-Herkunft nicht erfassen (39 %).

Für den AI Accountability Report befragte GitLab im Februar 2026 insgesamt 1528 Personen, die sich zu etwa gleichen Anteilen aus sechs Ländern rekrutieren: USA, Deutschland, Großbritannien, Frankreich, Japan und Australien. Davon ordnen sich 43 Prozent dem Bereich IT Operations zu, 37 Prozent zu IT-Security und 20 Prozent zum Bereich Softwareentwicklung. Die vollständige Umfrage steht auf der GitLab-Webseite gegen Registrierung kostenlos zum Download bereit.

(mro)

Prime Day 2026: Wir prüfen die besten Deals

Top 10: Der beste Ventilator im Test

Top 8: Die beste Kompressor-Kühlbox im Test

Ubiquiti UniFi OS-Sicherheitslücken werden angegriffen

2026-06-24T12:13:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Ende Mai wurden kritische Sicherheitslücken in Ubiquiti UniFi OS bekannt. Inzwischen haben Angreifer diese im Visier.

(Bild: Titima Ongkantong/Shutterstock.com)

24.06.2026, 14:13 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

Seit Ende Mai 2026 sind kritische Sicherheitslücken in Ubiquiti UniFi OS bekannt. Der Hersteller hat dort aktualisierte Software bereitgestellt, um die Lecks abzudichten. Das nehmen einige Admins offenbar nicht ernst, denn nun wurden Angriffe in freier Wildbahn auf die Schwachstellen beobachtet.

Davor warnt die US-amerikanische Cybersicherheitsbehörde CISA nun. Sie hat die drei kritischen Sicherheitslücken im Ubiquiti-Betriebssystem in den „Known Exploited Vulnerabilities“-Katalog aufgenommen, was heißt, dass die Behörde Kenntnis von darüber attackierten Installationen hat. Es handelt sich gleich um drei kritische Sicherheitslücken in Ubiquiti UniFi OS, die nun angegriffen werden.

Drei kritische Sicherheitslücken

Angreifer mit Zugriff auf das Netzwerk können etwa an einer unzureichenden Zugriffskontrolle von UniFi-OS-Geräten ansetzen und unbefugt Änderungen daran vornehmen (CVE-2026-34908, CVSS 10.0, Risiko „kritisch“). Eine Path-Traversal-Schwachstelle ermöglicht bösartigen Akteuren zudem, auf Dateien aus dem zugrundeliegenden Betriebssystem zuzugreifen und diese zu manipulieren, um so Zugriff auf das Konto im System zu erlangen (CVE-2026-34909, CVSS 10.0, Risiko „kritisch“). Angreifer können zudem eine unzureichende Eingabevalidierung ausnutzen, um Befehle einzuschleusen (CVE-2026-34910, CVSS 10.0, Risiko „kritisch“).

Die Sicherheitsmitteilung von Ubiquiti weist noch keine Informationen zu den beobachteten Angriffen aus. IT-Verantwortliche sollten prüfen, ob ihre Ubiquiti-UniFi-OS-Instanzen bereits auf Version 5.1.12 oder neuer respektive Version 5.0.8 für UniFi OS Server aktualisiert wurden oder ob das Update noch fällig ist – und dieses gegebenenfalls umgehend installieren. Die CISA nennt keine Details zu den Angriffen, sodass Art und Umfang unbekannt bleiben. Es gibt daher auch keine Hinweise für erfolgreiche Angriffe (Indicators of Compromise, IOC), mit denen Admins die Systeme auf Einbruchsspuren untersuchen könnten.

Videos by heise

Die CISA warnt noch vor einer weiteren angegriffenen Schwachstelle in Lantronix EDS5000. Das HTTP-RPC-Modul protokolliert mittels Shell-Befehlen mit, wenn Login-Anfragen fehlschlagen. Durch den Nutzernamen-Parameter können Angreifer Befehle einschleusen, die mit root-Rechten ausgeführt werden (CVE-2025-67038, CVSS 9.8, Risiko „kritisch“). Betroffen ist die Version EDS5000 2.1.0.0R3, wer die Server einsetzt, sollte nach Aktualisierungen Ausschau halten und diese installieren.

(dmk)

Prime Day 2026: Wir prüfen die besten Deals

Top 10: Der beste Ventilator im Test

Top 8: Die beste Kompressor-Kühlbox im Test

Zoho Corp. ManageEngine: Kritische SSO-Lücke ermöglicht Kontenübernahme

2026-06-24T11:16:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Alert!

Angreifer können eine kritische Sicherheitslücke in mehreren Zoho Corp. ManageEngine-Produkten missbrauchen, um Konten zu übernehmen.

(Bild: Shutterstock/chanpipat)

24.06.2026, 13:16 Uhr

Lesezeit: 2 Min.

Security

Von

Dirk Knop

Mehrere Produkte von Zoho Corp. ManageEngine sind anfällig für eine Schwachstelle, die die Single-Sign-on-Integration (SSO) mitbringt. Angreifer könnten dadurch Konten übernehmen.

Das schreibt Zoho Corp. ManageEngine in einer Sicherheitsmitteilung. Sofern User sich mittels SSO in ManageEngine ADSelfService Plus, RecoveryManager Plus, M365 Manager Plus oder ADAudit Plus einloggen und diese Produkte als integrierte Komponenten innerhalb ManageEngine AD360 eingebunden sind, kann das Problem auftreten. Die erstellten SSO-Tickets, mit denen die Sitzungen authentifiziert werden, können von Angreifern vorhergesagt werden, wodurch diese Konten übernehmen können (CVE-2026-11374, CVSS 9.0, Risiko „kritisch“).

Betroffen sind den Angaben zufolge ADSelfService Plus bis einschließlich Build 6528, RecoveryManager Plus bis inklusive 6320, M365 Manager Plus bis einschließlich 4816 und ADAudit Plus bis inklusive 8702. Die Versionen ADSelfService Plus 6529, RecoveryManager Plus 6321, M365 Manager Plus 4817 und ADAudit Plus 8703 sowie neuere Pakete schließen diese Sicherheitslücke.

Servicepacks installieren

Zohocorp stellt die Updates als Servicepack zum Herunterladen bereit. Die sind jeweils für die einzelnen betroffenen Produkte verfügbar:

Die Sicherheitslücke scheint noch nicht in freier Wildbahn angegriffen zu werden, darüber schreiben die Autoren der Mitteilung nichts. Die Schwachstelle hat ein IT-Forscher mit dem Handle 0xmanhnv über das Zoho-Bug-Bounty-Programm an den Hersteller gemeldet.

Videos by heise

Zuletzt wurden im vergangenen November mehrere teils kritische Sicherheitslücken in unterschiedlichen Produkten von Zohocorp ManageEngine bekannt. Angreifer konnten etwa dadurch SQL-Befehle aufgrund einer SQL-Injection-Schwachstelle oder generell Befehle einschleusen.

(dmk)

Prime Day 2026: Wir prüfen die besten Deals

Top 10: Der beste Ventilator im Test

Top 8: Die beste Kompressor-Kühlbox im Test

Minimus stellt tausende CVE-freie Container-Images kostenlos bereit

2026-06-24T10:46:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

Entwickler erhalten uneingeschränkten Zugriff auf tausende nahezu CVE-freie Images aus dem Minimus-Katalog distroloser, gehärteter Container-Images.

(Bild: cybrain / Shutterstock.com)

24.06.2026, 12:46 Uhr

Lesezeit: 4 Min.

Developer

Von

Matthias Parbel

Das auf Containersicherheit spezialisierte Unternehmen Minimus stellt den kompletten Katalog seiner gehärteten Container-Images ohne Registrierung für alle Softwareentwickler frei zur Verfügung. Im Rahmen der Community Edition liegen tausende distrolose Images bereit, die nahezu frei von bekannten CVEs sein sollen – darunter Images für Anwendungen wie nginx, Python, PostgreSQL, Elasticsearch, RabbitMQ, Argo CD und cert-manager. Für den Zugriff auf die Image-Gallery-Bibliothek sind laut Minimus weder ein Login noch Budgetfreigaben erforderlich, auch auf Download-Limits verzichtet der Anbieter.

Wie Minimus in seiner Ankündigung erläutert, reagiert das Unternehmen damit auf eine dramatisch wachsende Zahl entdeckter Schwachstellen. CEO Ben Bernstein verweist in diesem Zusammenhang auf KI-Modelle und -Programme von Anthropic: „Modelle wie Mythos und (das Projekt) Glasswing haben den Umfang und das Tempo der Schwachstellenentdeckung erheblich gesteigert, während die Fähigkeiten zur Behebung nicht Schritt halten“, so Bernstein. Tatsächlich belegen Analysen, etwa von VulnCheck, massiv gestiegene CVE-Volumina unter anderem bei GitHub-Projekten, teils getrieben durch KI-gestützte Discovery. Für DevSecOps-Teams bedeutet das: Klassische „Alles patchen“-Strategien stoßen an ihre Grenzen. Stattdessen rücken risikobasierte Priorisierung – etwa entlang der CISA-KEV-Liste oder bekannter Exploits – und der Einsatz minimaler Baselines in den Vordergrund.

Die auf Developer Experience (DX) und Platform Engineering spezialisierte CLC-Konferenz findet vom 11. bis 12. November 2026 in Mannheim statt. Ein besonderer Fokus liegt darauf, wie Agentic AI die Arbeit von Developern, Software-Architekten, DevOps- und Platform Engineers verändert und wie sich digitale Souveränität nachhaltig erreichen lässt.

Ab sofort sind Tickets zum Frühbucherpreis verfügbar.

Distrolos, gehärtet und als Drop-in-Ersatz konzipiert

Die Minimus-Images werden laut Anbieter kontinuierlich aus Upstream-Quellcode auf einer distrolosen Basis neu gebaut, gescannt und gehärtet. Sie enthalten ausschließlich die Komponenten, die eine Anwendung zur Laufzeit tatsächlich benötigt – Shells, Paketmanager und Debug-Tools fehlen bewusst. Minimus gibt an, dass die Images oft bis zu 95 Prozent kleiner als herkömmliche Standard-Images seien und als API-kompatible Drop-in-Replacements dienen sollen. Im einfachsten Fall genüge die Änderung einer einzigen Zeile im Dockerfile.

Wie praxistauglich distrolose Ansätze in produktiven Kubernetes-Umgebungen sind, beleuchtet ein mehrteiliger Artikel zu minimalen und sicheren Docker-Images sowie zum Selbstbauen sicherer Container-Images. Der Kernbefund: Funktional können solche Images klassische „Full-Fat“-Varianten in vielen Fällen ersetzen, sofern Debugging-Workflows auf Kubernetes-Bordmittel wie Ephemeral Containers umgestellt werden. Gerade für regulierte Branchen in Deutschland – etwa Finanzwesen, Gesundheitssektor oder KRITIS-Betreiber – kann der Wegfall unnötiger Angriffsfläche ein erheblicher Vorteil sein.

Videos by heise

Compliance-Fokus: FIPS, CIS, NIST und STIG

Minimus wirbt damit, dass sämtliche Images die Anforderungen nach FIPS, CIS, NIST und STIG erfüllen. FIPS zielt dabei auf die Validierung kryptografischer Module, NIST liefert mit Publikationen wie SP 800-190 konkrete Leitlinien für Container-Sicherheit, CIS stellt Härtungs-Benchmarks bereit und STIG definiert detaillierte Konfigurationsvorgaben des US-Verteidigungsministeriums. Für Compliance- und Datenschutzbeauftragte in der DACH-Region vereinfacht das potenziell Audits erheblich – insbesondere wenn Nachweise sicherer Konfigurationen, SBOM-Dokumentation und Provenance-Attestierungen gefordert sind, wie sie etwa ISO 27001 oder BSI-Grundschutz verlangen. Minimus stellt nach eigenen Angaben signierte SBOMs und kryptografische Signaturen für jedes Build bereit und nennt als Ziel SLSA Level 3, was reproduzierbare Builds mit gesicherten CI/CD-Pipelines impliziert.

Dass gehärtete Container-Images zunehmend zum wettbewerbsentscheidenden Thema werden, zeigte bereits zum vergangenen Jahreswechsel die Entscheidung von Docker Inc., seine Hardened Images kostenlos anzubieten. Gleichzeitig verdeutlichen Befunde wie die Entdeckung von geheimen Zugangsdaten in über 10.000 Docker-Hub-Images, wie groß der Handlungsbedarf bei Container-Sicherheit bleibt.

Enterprise Edition mit SLAs und KI-Integrationen

Neben der kostenlosen Community Edition bietet Minimus eine Enterprise Edition mit vertraglich zugesicherten Remediation-SLAs: 24 Stunden für kritische und hohe CVEs auf der CISA-KEV-Liste, 48 Stunden für alle übrigen kritischen und hohen Schwachstellen. Enterprise-Kunden erhalten zudem einen Image Creator für kundenspezifische Images, Enterprise-SSO, rollenbasierte Zugriffskontrolle sowie die Möglichkeit, Images in bestehende Registries – auch in Air-Gap-Umgebungen – zu synchronisieren.

Entwicklerinnen und Entwicklern stellt Minimus darüber hinaus das CLI-Tool minicli bereit, das als „agent-ready“ beschrieben wird. Es soll sich in Workflows mit KI-Assistenten wie Claude, Codex oder Cursor einbinden lassen, um Migrationen auf gehärtete Images zu automatisieren. Minimus wurde 2022 von Ben Bernstein, Dima Stopel und John Morello gegründet – alle drei waren bei Twistlock tätig; John Morello war zudem Mitautor des NIST-Dokuments SP 800-190 zur Container-Sicherheit.

(map)

Prime Day 2026: Wir prüfen die besten Deals

Top 10: Der beste Ventilator im Test

Top 8: Die beste Kompressor-Kühlbox im Test

Serverless mit Pausenfunktion: AWS stellt Lambda MicroVMs vor

2026-06-24T10:23:00.000Z

${intro} ${title}

${lead}

${intro} ${title}

${lead}

AWS führt Lambda MicroVMs ein, die VM-Isolation mit schnellen Startzeiten und Zustandserhaltung für serverlose Workloads verbinden.

(Bild: Michael Vi / Shutterstock.com)

24.06.2026, 12:23 Uhr

Lesezeit: 2 Min.

iX Magazin

Von

Moritz Förster

AWS hat mit Lambda MicroVMs eine neue Laufzeitumgebung für serverlose Workloads vorgestellt. Die MicroVMs sollen VM-Level-Isolation mit sehr schnellen Start- und Fortsetzungszeiten verbinden und den Zustand einer laufenden Session erhalten. Amazon zielt damit auf Anwendungen, die Nutzer- oder KI-generierten Code ausführen und für jeden Nutzer oder Job eine eigene, abgeschottete Umgebung brauchen. Bisher mussten Entwickler laut AWS zwischen starker Isolation, schnellen Startzeiten und der Möglichkeit wählen, den Zustand einer Sitzung zu speichern.

Start aus Dockerfile, Zugriff per HTTPS

Zum Einstieg erzeugen Entwickler ein MicroVM-Image aus einem Dockerfile. Auf Basis dieses Images lassen sich MicroVMs starten. Jede MicroVM erhält eine dedizierte HTTPS-URL. Die Umgebung unterstützt laut Ankündigung HTTP/2, gRPC und WebSockets. Zudem gibt AWS an, dass sich die Ausführung für bis zu acht Stunden anhalten und später fortsetzen lässt.

Technisch basiert Lambda MicroVMs auf Firecracker, der Virtualisierungstechnik, die auch AWS Lambda selbst nutzt. Firecracker bildet aktuell die Grundlage für mehr als 15 Billionen Lambda-Aufrufe pro Monat, so Amazon.

Videos by heise

Verfügbarkeit und Preis

Lambda MicroVMs ist laut AWS ab sofort in fünf Regionen verfügbar: US East (N. Virginia), US East (Ohio), US West (Oregon), Asia Pacific (Tokyo) und Europe (Ireland). Die Steuerung ist über die AWS Lambda Console, CloudFormation, das Cloud Development Kit und das Agent Toolkit for AWS möglich.

Beim Preis berechnet AWS die Baseline-Compute-Ressourcen, solange die MicroVM läuft. Zusätzliche Ressourcen fallen nur für die Zeit an, in der eine Workload über dieses Baseline-Niveau hinausgeht.

(fo)

iX News

Rust startet kommerzielles Netzwerk

Kostenlose Mitgliedschaft

OAuth für alle: Cloudflare öffnet sein Ökosystem

Mehr Kontrolle für Entwickler und Anwender

Aufwendiger Umbau im Hintergrund

Token-Verhalten und Migrationseffekte

PowerToys 0.100.1: Bugfix-Release bügelt nervende Fehler aus

Aktualisierte PowerToys erhalten

Software Testing: Was KI mit Vertrauen und Teamgefüge wirklich anrichtet

Empfohlener redaktioneller Inhalt

Softwarequalität im Gespräch

Sicherheitsupdate: Kritische Client-Handshake-Lücke bedroht IBM Db2

Drei Gefahren

Angriffe auf Cisco Unified CM beobachtet

Angriffe installieren Server-Dienste

Anthropic beschuldigt Alibaba des KI-Modell-Diebstahls

Umstrittene Methode

Härtere Gangart gefordert

Streit mit US-Regierung um neues KI-Modell

Anthropic darf für die Nutzung von Claude künftig einen Ausweis verlangen

Ausweisprüfung „unter Umständen“

Zweifel am Datenschutz von Persona Identities

OpenAI und Broadcom kündigen neuen KI-Chip Jalapeño an

Funklöchern auf der Spur: Zweite bundesweite Mobilfunkmesswoche läuft

Die Politik sieht die Netzbetreiber am Zug

Elektronische Patientenakte: Zwischen KI-Ambitionen und Kritik am Ausbautempo

Was ist mit Oma Erna?

Figma: KI-Werkzeuge für Design, Code und Zusammenarbeit

Programmcode auf der Designfläche bearbeiten

Effekte, Animation und 3D-Szenen

KI-Werkzeuge: Figma Agent und Figma Weave

Bund in der Abhängigkeitsfalle: Kostenexplosion bei Microsoft-Lizenzen

Methodische Unterschiede und veränderte Maßstäbe

Kritik auch aus der Wirtschaft

Ernüchternde Bilanz für digitale Souveränität

Mistral OCR 4: Dokumentenanalyse für 170 Sprachen

OCR 4 liefert mehr als reinen Text

Einsatz in Suche, RAG und Agenten

Mehrsprachigkeit und Self-Hosting

Einordnung der Benchmarks

API, Document AI und Preise

Verfügbarkeit

Sichere API-Zugriffe für Agenten mit Postman Passport

Immer mehr API-Aufrufe durch Agenten

KI-Coding-Tools: Geschwindigkeit ohne Kontrolle als Risiko

Governance wichtiger als Geschwindigkeit