Diese Woche hatte zwei Sorten von Nachrichten. Die eine ist ein Datum, das seit Jahren feststeht und trotzdem gern übersehen wird: Unterschriften laufen an einem Tag ab, an den niemand im Betrieb denkt. Die andere ist ein Gerät für 720 Euro, das ohne fremde Server nicht funktioniert. Beides lässt sich vor dem Schadensfall messen, beides haben wir getan.

Deep Dive: Ablaufdaten, die 2027 unsere Infrastruktur treffen

Zwei Windows-Zertifikate, zwei Daten im Jahr 2027

Microsoft tauscht die Signaturverfahren für Windows Update in einem Rhythmus, der für Außenstehende unsichtbar ist, bis ein Client nicht mehr durchkommt. Für uns stehen zwei Daten im Kalender: der 17. Mai 2027 und der 19. Juni 2027. Wer Windows-10-Client-Images mit Stand 14. Oktober 2025 und Server-2019-Maschinen im Bestand hat, bekommt es mit der kürzeren Frist zu tun, weil die verlängerte Unterstützung für Windows 10 erst am 9. Januar 2029 endet, die Zertifikatsfrage aber vorher greift. Ausführlich sortiert sind die Fristen nach Betriebssystem in Windows Update: zwei Zertifikate laufen 2027 aus, inklusive des WSUS-Pfads, der betroffen ist.

Zwei Zahlen aus unserem eigenen SIEM machen die Theorie handfest. Zwischen dem 7. und dem 11. September 2026 haben wir 12.728 relevante Events auf 100 Hosts gezählt, davon 97 mit Windows-Stand. Davon trugen 8.918 Events kein Betriebssystemfeld, die Zuordnung ist also für einen erheblichen Teil der Menge offen. Hinzu kommt die Grenze, dass LTSC-2019 und LTSC-2021 in den Daten nicht sauber zu trennen sind. Wer solche Fristen verwalten will, braucht erst die Felder, dann den Termin.

OneDrive und SharePoint: Tempauth-URLs verschwinden bis April 2027

Die zweite Ablaufspur ist jünger und trifft Automatisierung. Microsoft kündigt an, temporär authorisierte Download-URLs abzuschaffen; die Frist steht am 1. April 2027. Für uns ist das kein Randthema, sondern ein Eintrag im Backup-Betrieb: Unsere M365-Konsole arbeitet mit Tempauth-Adressen, der Download-Pfad fällt auf /content mit Token zurück, und die Restore-Stelle hat drei Aufrufe ohne Fallback. Festgehalten sind Frist und betroffene Aufrufe in OneDrive und SharePoint: Tempauth-URLs verschwinden.

Bewertung: Ablaufdaten sind ein Inventur-Thema, kein Patch-Thema. Wer die Zertifikatsfristen und die Tempauth-Frist nicht mit einer Hostliste verknüpft hat, die mindestens Betriebssystem und Version trägt, wird 2027 zum ersten Mal davon erfahren, wenn ein Update oder ein Backup nicht mehr durchkommt. Diese Liste ist in drei Tagen gebaut, ein Backup-Job, der ohne Token auskommen muss, ist eine Umbauarbeit.

Deep Dive: Rechenleistung, die wir selbst bezahlen

Ein 125-Milliarden-Agent auf einer Grafikkarte von 2020

Die Zahlen zu Niko1221/Strata haben wir selbst nachgemessen. Stand 11. Oktober 2026: angelegt am 24. September 2026, zuletzt gedrückt am 11. Oktober um 14:37:54 UTC, 21.461 Sterne, 2.021 Forks, 690 offene Issues und Merge Requests zusammen, MIT-Lizenz, Version 0.1.43. Die Angabe, ein 125-Milliarden-Modell mit 50 bis 60 Tokens pro Sekunde auf einer AMD Radeon RX 6800 mit 16 GB zu bewegen, stammt aus dem Repository selbst. Gemessen haben wir das auf unserer eigenen RX 6800 nicht, und die Methodik der Gegenstelle fehlt. Was wir belegen können, ist die Substanz des Projekts und die Tatsache, dass die Zahl auf einer Karte dieser Klasse eine Ansage ist. Beide Ebenen trennt Strata: ein 125B-Agent auf einer RX 6800.

Inferenz unter Proxmox: VM oder Container

Die zweite Zahlengruppe kommt aus eigenem Betrieb. GPU-Inferenz unter Proxmox: Was LXC statt einer VM wirklich bringt vergleicht beide Betriebsarten auf unseren Hosts, inklusive der Passthrough-Falle, die nur auf den Nodes mit durchgereichter Karte überhaupt testbar ist. Dazu passt Zwei GB300-Stationen, zwei 400-G-Kupferkabel für das andere Ende des Regals und Zwei vLLM-Cache-Lücken im Eigenbetrieb für den Betrieb selbst.

Bewertung: Eine fremde Zahl ist kein Grund, die eigene Karte neu zu bestücken. Der erste Schritt ist die Frage, was ein Container statt einer VM an Inferenz auf unserer Hardware wirklich bringt. Diese Antwort macht die Hardwareplanung billiger als jeder Benchmark.

Deep Dive: Consumer-Hardware im Netz

Ein Saugroboter für 720 Euro und vier Adressen

Ich habe privat einen Ecovacs DEEBOT X12 OmniCyclone gekauft, 720 Euro, zwei Tage vor der Lieferung. Der Anlass war der Kauf selbst, dahinter die Frage, was so ein Gerät im Hausnetz wirklich tut. Die Messung steht in Saugroboter im Netz: was der Ecovacs X12 meldet.

Der Preis zuerst, weil er die Diskussion erst ehrlich macht. Im eigenen Shop stehen 999,00 Euro mit durchgestrichener UVP von 1.399,00 Euro. Der österreichische Preisvergleich zeigte am Abend des 11. Oktober 2026 um 21:24 Uhr einen Bestpreis von 698,82 Euro bei 20 Angeboten und eine Preisänderung von minus 22 Prozent in dreißig Tagen. 720 Euro sind also ein guter Preis, kein Schnäppchen unterhalb des Marktes, und der Vergleich gegen 1.399 Euro wäre eine Zahlenspielerei.

Die Netzfrage ist die interessantere und ohne Messaufgabe zu beantworten, weil die Bibliothek für genau diese Roboter offenliegt. Für ein österreichisches Konto ergeben sich vier Ziele: portal-eu.ecouser.net, gl-at-api.ecovacs.com, gl-at-openapi.ecovacs.com und als dauerhafte Verbindung mq-eu.ecouser.net. Die Konstante für die Anmeldedomäne heißt ecouser.net und nicht ecovacs.com, ein Filter auf den Firmennamen sieht also die meiste Verbindung nicht. Dazu kommt eine User-Agent-Kennung, die ein Android-Telefon vorgibt.

Die Datenschutzerklärung des Herstellers, Stand 24.11.2025, nennt die SSID des WLAN und das WLAN-Passwort als erhobene Felder, außerdem die Arbeitsumgebungskarte. Die Kamera ist an eine Bedingung geknüpft: Ein Foto bei einem unbekannten Objekt geht nur dann nach China, wenn die Objekterkennung aktiviert ist und der Kunde dem Programm Produktverbesserungsplan zugestimmt hat. Diese Bedingung gehört zu dem Satz dazu, sonst wird der Text schlechter gemacht als das Dokument.

Drei weitere Messungen aus derselben Recherche: Die öffentliche Schwachstellendatenbank nennt 16 Einträge für den Hersteller, keiner davon erwähnt den X12 in seinem Text. Das Werkzeug Valetudo, mit dem sich Saugroboter anderer Hersteller von der Cloud trennen lassen, führt Ecovacs auf seiner Unterstützungsliste nirgends. Und im Juli 2026 meldete die Community den Fehlercode 1013 mit dem Hinweis, eine neue Version zu installieren, nachdem der Hersteller serverseitig ein anderes Prüfverfahren verlangt hatte; das Issue #176484 in home-assistant/core trägt den Titel „1013 Error, Change within EcovacsAPI?".

Bewertung: Wer Consumer-Hardware ins Haus lässt, sollte vorher die vier Namen im DNS-Log wiederfinden und danach wissen, was ohne Cloud noch funktioniert. Ein Gerät, das für Steuerbefehle einen fremden MQTT-Vermittler braucht, ist im Betrieb so abhängig wie ein Dienst im Rechenzentrum, nur ohne eigenen Notbetrieb. Genau das ist die Frage, die vor dem Kauf billiger ist als danach.

Digest: Weitere wichtige Nachrichten

Sicherheit

CISA nimmt fünf Lücken auf, Frist elf Tage Der Katalog mit Stand 8. Oktober 2026 enthält fünf neue Einträge vom selben Tag mit Beseitigungsfrist 11. Oktober: CVE-2015-3306 (ProFTPD), CVE-2015-5477 (ISC BIND), CVE-2016-3081 (Apache Struts), CVE-2021-3199 (ONLYOFFICE Docs) und CVE-2023-22894 (Strapi). | verifiziert
Flax Typhoon nutzt genau diese Lücken CISA, FBI und NSA warnen mit Partnern aus AT, CA, JP, NZ, ES und UK. Von den acht missbrauchten Schwachstellen standen drei, darunter Shellshock, schon vorher im Katalog. | gemeldet
Zammad 7.2.1 und 7.2.2 in zwei Tagen Die erste Fassung schließt eine Umgehung der Zwei-Faktor-Pflicht im Verifizierungs-Workflow, die zweite vom 8. Oktober die lokale Eskalation zu root in den DEB- und RPM-Paketen (CVE-2026-102490, seit 2. Oktober im CISA-Katalog). | verifiziert
LMCache-Lücke bleibt ungepatcht CVE-2026-105192, CVSS 9,8, Pickle-Deserialisierung auf dem unauthentifizierten ZeroMQ-Port 5555 des Multiprocess-Modus, in offiziellen Containern als root. Betroffen sind 0.3.9 bis 0.5.5, ein Fix existiert nicht, Gegenmaßnahme ist das nicht routbare Binden des Ports. | gemeldet
Docker Engine 29.9.0 mit Go-Laufzeit-Heft Der Sprung auf Go 1.26.9 behebt fünf CVEs am Daemon, vier davon HTTP/2-Angriffe auf Daemon und BuildKit-gRPC, dazu Klartext im verschlüsselten Overlay-Netz bei fehlgeschlagener Schlüsselprogrammierung. Freigegeben am 8. Oktober. | verifiziert
Graylog-Advisory nach vier Wochen offengelegt Wer die Nutzerverwaltung delegieren durfte, konnte Rechte bis Admin vergeben, users:create genügte. Behoben in 7.1.9 und 7.0.13, Advisory vom 5. Oktober. | verifiziert

Regulierung

WKO-Überblick zum NISG 2026 mit Fristenplan Die Übersicht der Fachgruppe datiert auf 6. Oktober 2026 und führt die Kette: NISG 2026 seit 1. Oktober 2026 in Kraft, Registrierung bis 1. Jänner 2027, Selbstdeklaration bis 1. Oktober 2027, Prüfbericht einer unabhängigen Stelle bis 30. September 2030. Im Fließtext derselben Seite steht für die Registrierung abweichend der 31. Dezember 2026, die USP-Redaktion nennt 1. Jänner 2027. Wer die Frist nachführt, sollte die Diskrepanz kennen. | verifiziert
BSI kündigt eine Durchsetzungsinitiative zu NIS-2 an Nach Worten von Abteilungsleiter Timo Hauschild geht die Behörde im vierten Quartal 2026 aktiv auf nicht registrierte Einrichtungen zu, mit Anhörung vor dem Bußgeld, Audits per Anordnung ab dem ersten Quartal 2027. Auf bsi.bund.de fehlt dazu jede Mitteilung. | gemeldet
BSI erklärt die CRA-Pflichten für vernetzte Geräte Hersteller müssen mit sicheren Voreinstellungen ausliefern und über einen vorher anzugebenden Zeitraum kostenlos aktualisieren. Meldepflichten gelten seit 11. September 2026, die meisten Vorgaben ab 11. Dezember 2027. Die Update-Dauer nennt das BSI als Kaufkriterium. | verifiziert
Österreichs Recht auf Reparatur in Kraft, die AK kritisiert die Mindestlösung Seit 1. Oktober 2026 läuft die Gewährleistung drei statt zwei Jahre. Für Mobiltelefone, Waschmaschinen und Geschirrspüler muss der Hersteller auch danach zum Repair zum angemessenen Preis verpflichtbar sein und Richtpreise frei zugänglich nennen. Die AK kritisiert die bloße EU-Mindestlösung. | verifiziert

KI und Entwicklung

vLLM 0.31.0 mit vorgeladenen Gewichten 717 Commits von 307 Mitwirkenden, freigegeben am 5. Oktober um 06:44 UTC. Neu ist vllm preload, das post-quantisierte Gewichte über Engine-Neustarts im GPU-Speicher hält; NVFP4-KV-Cache wird SM100-Standard. Die Schnell-Kernel gelten SM100 und SM103, also GB200 und GB300, unsere RTX 5090 (SM120) lassen sie aus. Brechend: Online-FP8 heißt fp8_per_tensor, tokenizer_mode="slow" ist entfernt, --swap-space abgekündigt. | verifiziert
DeepSeek-V4.1-Flash mit fünffachem Agentendurchsatz 890 Byte KV-Cache pro Token in FP4, NVFP4-KV um 45 % kleiner als FP8, bis etwa 5,3-facher Durchsatz unter der Grenze von 150 Tokens pro Sekunde. Gemessen vom Anbieter auf SemiAnalysis AgentX mit GB300 und GB200 NVL72, auf unserer 5090-Klasse nicht nachgemessen. | Anbietermessung
llama.cpp b11556: ein 27B-Modell auf einer 16-GB-Karte Mainline-Support für Prism Bonsai 2 27B. Die PTQ1_0-Datei ist 5,95 GB, die F16-Stufe 53,81 GB, über die Hub-API gemessen, die Gewichte liegen seit 16. September. Die erste ternäre 27B-Stufe auf einer einzelnen 16-GB-Karte. | verifiziert

Hardware

DDR5 im Einzelhandel innerhalb eines Jahres beim Fünffachen Dazu Micron mit rund 256 % mehr Umsatz year-over-year und etwa 85 Mrd. US-Dollar Nettogewinn im Geschäftsjahr 2026. Hintergrund ist die Zuteilung der Fertigung an KI-Aufträge. | gemeldet
PC-Absatz im dritten Quartal um mehr als 20 Prozent eingebrochen IDC meldet minus 20,1 %, Omdia minus 21,2 % auf 58,1 Millionen Systeme. RAM und SSD stiegen nach Omdia von rund 15 % auf nahe 40 % der Bauteilkosten, die Preise liegen beim Mehrfachen des früheren Niveaus, fürs vierte Quartal erwartet Omdia weitere minus 24 %. | gemeldet
TrendForce: Speicher frisst die Notebookkalkulation CPU, DRAM und SSD machten im dritten Quartal 2026 rund 68 % der Materialkosten eines Notebooks mit 900 US-Dollar Listenpreis aus. Die Fertigung außerhalb Chinas sinkt von 24 % (2025) auf unter 20 % (2027). | verifiziert

Consumer-Hardware

Synology neo+ der Plus-Serie: Preise und nur noch Nicht-ECC-RAM DS725neo+ 549 €, DS925neo+ 599 €, DS1525neo+ 899 €, DS1825neo+ 1.099 € UVP netto. Als Reaktion auf den Speichermarkt wird nur noch Nicht-ECC-RAM ausgeliefert. | verifiziert
Der Arbeitsspeicher kostet das Doppelte des Gehäuses Der MS-A2 Barebone steht mit 839 Euro da, das verbaute 64-GB-Kit DDR5-5600 mit 1.118,93 Euro, zusammen 2.295,93 Euro. Unter stress-ng maß Deskmodder maximal 88,9 °C. | gemeldet
devolo WiFi 7 BE9300 ab 249,90 Euro Triband-Router mit 2,5-Gbit-WAN, Mesh-Zweierpack 479,90 €, Dreierpack 699,90 €. | verifiziert
MikroTik RouterOS: SSH-Lücke wird aktiv ausgenutzt CVE-2026-67279, CVSS 6,9, seit 25. September im CISA-Katalog, versetzt den SSH-Server beim Rekey ohne Anmeldung in den Angemeldt-Zustand. Behoben in 6.49.21, 7.23.4 und 7.24.2. | verifiziert
FritzOS 8.50 kommt auf die zweite Fritzbox AVM gibt die Fassung für die Glasfaser-5630 nach der 7690 frei, mit netzwerkweitem DNS-Filter gegen Werbe- und Schad-Domains in Heim- und Gastnetz. Das 8.40er-Labor beginnt bei 7510, 6860 5G und 6860 5G v2. | gemeldet

Software-Releases

Next.js 16.4.0 Freigegeben am 7. Oktober um 10:03, mit waitForAllReady als neuem Namen der Stream-Option für statische Erzeugung, resolveAlias: false für Turbopack und historischen Snapshots im Bundle-Analyzer. Auf dem Zweig seither 82 Commits. | verifiziert
Stalwart v0.16.26 gegen unnötiges Umschreiben Der Blob-Fresser ist im Fixed-Block benannt: die Garbage Collection schrieb bei jeder Compaction der Blobs-Spalte sämtliche gespeicherten Blobs neu um, etwa alle 128 MB neue Mail. Am 11. Oktober, ohne Sicherheitseintrag. | verifiziert
Technitium DNS 15.6.1 Das Changelog nennt 11. Oktober 2026. Operatorrelevant ist ein Cache-Fix, der eine negative Antwort auf eine im Cache vorhandene CNAME lieferte, dazu IXFR-Doppel-Löschungen gegen Microsoft DNS und verlorene NOTIFY bei ausgefallenem Secondary. | verifiziert

Selbstcheck: Was davon uns selbst trifft

Die Advisories der Woche habe ich am Sonntagabend gegen unseren Bestand gemessen.

Zammad läuft bei uns auf 7.2.0-0011 (Image-Tag auf dem Host, gemessen 11. Oktober 2026). Von den zwei Fassungen der Woche trifft uns die erste, die Umgehung der Zwei-Faktor-Pflicht sitzt im Verifizierungs-Workflow. Die root-Eskalation aus 7.2.2 ist im Advisory auf die DEB- und RPM-Pakete von packager.io begrenzt, Docker ist ausgenommen, wir laufen Docker. Hochziehen bleiben wir trotzdem, 7.2.1 erwischt uns.
vLLM läuft bei uns auf vllm/vllm-openai:v0.30.0, das Fix für die Codeausführung über code_revision steckt erst in 0.31.0. Die Bedingung des Advisory ist bei uns erfüllt: Der Container embed-fallback auf dem GPU-Host startet mit --trust-remote-code, vllm-27b-standby mit demselben Image nicht.
LMCache ist auf keiner unserer Inferenz-Hosts installiert (Suche im Python-Pfad der beiden GPU-Hosts, Treffer: keiner). Die ungepatchte Lücke mit CVSS 9,8 betrifft uns damit nicht.
Docker auf dem Mail-Host ist 26.1.5+dfsg1 aus dem Ubuntu-Paketbestand, das Docker-Engine-Heft vom 8. Oktober betrifft uns also über die Distributionspakete und über kein eigenes Docker-Repository.
Technitium DNS läuft bei uns auf 15.4.0 (Image-Tag auf dns1). Die Sicherheitskorrekturen aus 15.6 vom 3. Oktober sind bei uns damit noch nicht eingerollt.
Von Proxmox VE, Proxmox Backup Server, LINSTOR und DRBD kam in diesem Fenster nichts mit Sicherheitsinhalt. Stalwart v0.16.25 und v0.16.26 sind reine Fehlerbehebungen, Metabase 0.63.19.6 vom 9. Oktober ebenso.

Aus dem Blog

Sechzehn Beiträge in dieser Woche, alle am Sonntagmorgen auf 200 und index, follow geprüft:

Quellen dieser Ausgabe

Jede Adresse war am 11. Oktober 2026 aufrufbar, die Belege zu den Blogbeiträgen stehen jeweils dort. Die Versionsstände unserer Systeme (Zammad, Technitium, Stalwart, Metabase, vLLM, Docker) sind am selben Tag auf den Hosts abgelesen, der Preisvergleich zum Saugroboter um 21:24 Uhr.

CISA KEV, Flax Typhoon, Zammad 7.2.2 mit GHSA-p97w-927q-8vxq und GHSA-f3qr-94c2-7mx2, JFrog zu LMCache, Docker 29.9.0, Graylog-Advisory
WKO zum NISG 2026, USP-Anwendung NIS2 Services, Tagesspiegel Background, BSI zur CRA, ORF zum Recht auf Reparatur
vLLM v0.31.0, vLLM-Blog zu DeepSeek-V4.1-Flash, llama.cpp b11556, Strata-Repository, Microsoft zur Zertifikatsrotation 2027, Graph-API zu driveItem download
Geizhals-Preisvergleich X12, Datenschutzerklärung des Herstellers, Schwachstellendatenbank zur Herstelleranfrage, Valetudo-Unterstützungsliste, Issue #176484 in home-assistant/core
heise, igorslab, TrendForce, stadt-bremerhaven, Deskmodder, ComputerBase, security-insider, BleepingComputer sowie die Release-Notes und Changelogs von Next.js, Stalwart und Technitium wie oben verlinkt

Zusammengestellt am Sonntag, 11.10.2026. Was danach dazukommt, steht in der nächsten Ausgabe.

IT-News KW42/2026: Windows-Zertifikate enden 2027, Saugroboter mit vier Cloud-Adressen, 125 Milliarden auf einer Radeon