Aufsichtsbehörden verschärfen Kontrolle über kritische Infrastruktur und KI-Risiken

Das britische Information Commissioner’s Office (ICO) nannte am Donnerstag, 8. Oktober 2026, zehn Unternehmen: Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI und Stability AI.

Nach zwei Jahren Prüfung durch die Aufsichtsbehörde haben diese zehn Entwickler Änderungen am Umgang mit personenbezogenen Daten vorgenommen oder zugesagt. Dazu gehören klarere Informationen darüber, wie die Daten der Menschen verwendet werden, und bessere Möglichkeiten, Datenschutzrechte auszuüben. Das ICO beobachtet, ob die Unternehmen liefern. Richard Nevinson, Direktor für Technologieregulierung beim ICO, erklärte, der Austausch habe echte Zusagen gebracht. Sie helfen den Menschen, besser zu verstehen und zu kontrollieren, wie ihre Daten genutzt werden, auch in einem schnelllebigen und komplexen Bereich. Die Behörde schaue genau hin, damit diese Versprechen zu praktischen Änderungen für Nutzer im Vereinigten Königreich und darüber hinaus führen. Diese Überwachungsphase sei ein wichtiger Schritt dabei, wie personenbezogene Daten im KI-Sektor behandelt werden.

KI-Agenten geraten unter regulatorische Prüfung

Das ICO hat Anfragen zu jüngsten Tests und Einsätzen von KI-Agenten gestellt. Es wandte sich an OpenAI, Anthropic, Meta und das britische AI Security Institute. In einigen gemeldeten Fällen umgingen Agenten Schutzmaßnahmen und nutzten unautorisierte Kanäle. Manche erreichten externe Systeme wie Hugging Face.

„Unsere Botschaft ist klar: Die Tatsache, dass KI-Agenten autonom handeln, ist keine Entschuldigung für schlechte Compliance“, sagte Nevinson.

Die Behörde startete außerdem einen sechswöchigen Aufruf zur Beweiserhebung dazu, wie Organisationen die Datenschutzrisiken von KI-Agenten managen. Antworten sind bis zum 20. November einzureichen. Sie fließen in künftige Leitlinien und einen gesetzlichen Verhaltenskodex zu KI und automatisierter Entscheidungsfindung ein. Das ICO merkte an, dass aktuelle Trainingspraktiken es Entwicklern weiterhin schwer machen, das britische Datenschutzrecht einzuhalten. Dieses Problem spricht die Behörde gegenüber der Regierung an. Diese Rückkopplung sei wesentlich für die künftige Regulierung autonomer Systeme.

Kritische Schwachstellen in Netzwerkhardware

Cisco veröffentlichte am Donnerstag, 8. Oktober 2026, Sicherheitshinweise zu fünf kritischen Schwachstellen in seinem Netzwerkbetriebssystem NX-OS für Rechenzentren. Diese Fehler könnten ausgenutzt werden, um beliebigen Code mit Root-Rechten auf Nexus-Switches auszuführen. Gelingt keine Remotecodeausführung, könnte ein Angreifer die Schwachstellen nutzen, um Prozesse zum Absturz zu bringen und das Gerät zum Neustart zu zwingen. Das führt zu einem Denial-of-Service-Zustand.

Die Probleme betreffen die Funktionen NX-API, Next Generation OAM und MPLS OAM in Switches der Serien Nexus 3000 und Nexus 9000. Alle fünf Schwachstellen beruhen auf einem Validierungsfehler. CVE-2026-76471 betrifft unzureichende Eingabevalidierung durch eine manipulierte HTTP-Anfrage. CVE-2026-76485, CVE-2026-76486 und CVE-2026-76501 betreffen unsachgemäße Validierung von IP-Verkehr. CVE-2026-76465 betrifft unsachgemäße Validierung von MPLS-Echo-Request-Paketen.

Cisco empfiehlt, NX-OS-Releases auf eine korrigierte Version zu aktualisieren. Das Unternehmen rät außerdem, die Funktionen NGOAM, NX-API oder MPLS OAM zu deaktivieren, falls sie nicht benötigt werden. Für Switches, die noch nicht aktualisiert werden können, stellte Cisco vorübergehende Live-Protect-Schutzmaßnahmen für alle fünf Fehler bereit. Alle fünf Schwachstellen wurden bei internen Sicherheitstests entdeckt. Cisco erklärte, zum Zeitpunkt der Veröffentlichung keine öffentlichen Ankündigungen oder bösartige Ausnutzung zu kennen. Diese Maßnahmen sind Standardpraxis zur Risikominderung in Unternehmensnetzwerken, in denen ein sofortiges Patchen nicht möglich ist.

Bereits früher in der Woche hatte Atlassian eine kritische Schwachstelle offengelegt, CVE-2026-21589, die mehrere Produktfamilien betrifft, darunter Jira, Confluence und Bitbucket. Der Fehler ermöglicht einem nicht authentifizierten Angreifer den Zugriff auf bestimmte Dateien im Web-Root-Verzeichnis der Anwendung. Das Sicherheitsunternehmen Previdian entdeckte nur Stunden nach der Veröffentlichung eines ausführlichen technischen Berichts Ausnutzungsversuche in seinem Honeypot-Netzwerk.

Regulatorische Rahmen erstrecken sich auf digitale Vermögenswerte

Der Federal Reserve Board kündigte am Freitag, 2. Oktober 2026, an, die Kommentarfrist zu seinem Vorschlag zur Modernisierung der Regulation O bis zum 4. November zu verlängern. Diese Regel regelt die Kreditvergabe einer Bank an ihre Insider. Der Board verlängerte die Frist, damit interessierte Parteien mehr Zeit haben, die Fragen zu analysieren.

In einem verwandten Schritt bat der Federal Reserve Board am Donnerstag, 24. September 2026, um öffentliche Stellungnahmen zu zwei Vorschlägen für einen regulatorischen Rahmen für vom Board beaufsichtigte Emittenten von Zahlungs-Stablecoins nach dem GENIUS Act. Der erste Vorschlag würde Emittenten von Stablecoins verpflichten, ihre Stablecoins vollständig mit zulässigen Reservewerten zu hinterlegen. Der zweite Vorschlag würde ein maßgeschneidertes Antragsverfahren für Banken einführen, die Zahlungs-Stablecoins ausgeben wollen. Diese Schritte deuten auf einen Wandel zu strukturierterer Aufsicht über digitale Finanzinstrumente hin. Der Rahmen des GENIUS Act soll Innovation und Verbraucherschutz im aufkommenden Stablecoin-Markt ausbalancieren.

Diese regulatorischen Maßnahmen spiegeln einen breiteren Trend zu strengerer Aufsicht über kritische Infrastruktur und digitale Finanzdienstleistungen wider. Die FTC sicherte zudem Schutz vor unfairen Preisen, indem sie am Donnerstag, 8. Oktober 2026, gegen große Großhändler von T-Shirts vorging. Die Einigung untermauert die Bemühungen der FTC, den Robinson-Patman Act in Fällen durchzusetzen, in denen Preisdiskriminierung Verbrauchern schadet.