Connect with us

Datenschutz & Sicherheit

Anthropic launcht Claude Code Security – Cybersecurity-Aktien verlieren


Anthropic hat mit „Claude Code Security“ eine neue Funktion vorgestellt, die direkt in die webbasierte Version von Claude Code integriert ist. Das Werkzeug durchsucht Codebasen nach Sicherheitslücken und schlägt gezielte Software-Patches zur menschlichen Überprüfung vor, wie das Unternehmen auf seiner Website mitteilt. Die Funktion steht zunächst als limitierte Research Preview für Enterprise- und Team-Kunden zur Verfügung. Maintainer von Open-Source-Projekten können einen kostenlosen und beschleunigten Zugang beantragen.

Weiterlesen nach der Anzeige

Laut der Ankündigung von Anthropic soll das Werkzeug ein grundlegendes Problem in der IT-Sicherheit angehen: Es gebe zu viele Software-Schwachstellen und zu wenig Fachleute, die sich darum kümmern könnten. Während sich viele Analysetools auf die Suche nach bekannten Mustern konzentrieren, nutzen Angreifer immer häufiger subtile, kontextabhängige Sicherheitslücken aus.

Kontextbasierte Analyse statt Musterabgleich

Die weitverbreitete statische Codeanalyse arbeitet laut Anthropic regelbasiert: Sie gleicht Code mit bekannten Schwachstellenmustern ab und findet so etwa offengelegte Passwörter oder veraltete Verschlüsselung. Komplexere Fehler – etwa in der Geschäftslogik oder bei Zugriffskontrollen – blieben dabei jedoch oft unerkannt.

Claude Code Security verfolge einen anderen Ansatz: Statt nach bekannten Mustern zu suchen, lese und analysiere die KI den Code so, wie es ein menschlicher Sicherheitsverantwortlicher tun würde. Das System untersucht, wie Komponenten zusammenwirken und wie Daten durch eine Anwendung fließen. Jeder Fund durchlaufe einen mehrstufigen Verifikationsprozess. Laut der Ankündigung von Anthropic überprüfe Claude zudem seine eigenen Ergebnisse, versuche sie zu bestätigen oder zu widerlegen und filtere Falschmeldungen heraus. Den verbleibenden Funden ordne das System Schweregrade und Konfidenzwerte zu.

Die validierten Ergebnisse stellt das Werkzeug in einem Dashboard bereit, in dem Security-Teams die vorgeschlagenen Patches prüfen und freigeben können. Ohne menschliche Zustimmung werde nichts angewendet – die letzte Entscheidung liege stets bei den Entwicklern, betonen die Anthropic-Verantwortlichen.

Über 500 Schwachstellen in Open-Source-Projekten gefunden

Weiterlesen nach der Anzeige

Anthropic stellt Claude Code Security als Ergebnis von mehr als einem Jahr Forschung dar. Das hauseigene Frontier Red Team habe die Cybersecurity-Fähigkeiten von Claude systematisch getestet – unter anderem in Capture-the-Flag-Wettbewerben und in einer Partnerschaft mit dem Pacific Northwest National Laboratory zum Schutz kritischer Infrastruktur.

Mit dem Anfang des Monats veröffentlichten Modell Claude Opus 4.6 habe das Team nach eigenen Angaben über 500 Schwachstellen in produktiv genutzten Open-Source-Codebasen gefunden – Fehler, die trotz jahrzehntelanger Experten-Reviews unentdeckt geblieben seien. Die Offenlegung an die jeweiligen Maintainer laufe derzeit noch. Das Unternehmen nutze Claude auch zur Überprüfung des eigenen Codes und habe das Werkzeug dabei als „extrem effektiv“ eingestuft. Claude Code Security solle diese Fähigkeiten nun einem breiteren Anwenderkreis zugänglich machen.

In diesem Zuge räumt Anthropic allerdings ein, dass dieselben Fähigkeiten, die Verteidigern helfen, auch Angreifern nützen könnten. Claude Code Security solle jedoch gezielt Verteidiger dabei unterstützen, Code gegen eine „neue Kategorie KI-gestützter Angriffe“ zu schützen.

Kurse von Cybersecurity-Aktien brechen deutlich ein

Die Ankündigung hatte unmittelbare Auswirkungen an der Börse. Laut Bloomberg fielen die Aktienkurse zahlreicher Cybersecurity-Unternehmen am 20. Februar 2026 deutlich. So verloren etwa die Papiere von CrowdStrike 8 Prozent, Cloudflare 8,1 Prozent, Zscaler 5,5 Prozent, SailPoint 9,4 Prozent und Okta 9,2 Prozent. Der Global X Cybersecurity ETF gab um 4,9 Prozent nach und schloss damit auf dem niedrigsten Stand seit November 2023.

Der Ausverkauf reiht sich Bloomberg zufolge in einen breiteren Trend ein: Der iShares Expanded Tech-Software Sector ETF hat seit Jahresbeginn rund 23 Prozent verloren und steuert auf seinen größten prozentualen Quartalsrückgang seit der Finanzkrise 2008 zu. Viele Investoren fürchten demnach, dass die Möglichkeit des sogenannten „Vibe Codings“ – also der KI-gestützten Softwareentwicklung – die Nachfrage nach etablierten Softwareprodukten verringern und das Wachstum, die Margen sowie die Preisgestaltung der Anbieter unter Druck setzen könnte.

Analysten: Kurzfristiger Gegenwind, langfristig Chancen

„Es gibt einen stetigen Abverkauf bei Software, und heute trifft es die Security-Branche mit einem Mini-Flash-Crash auf eine Schlagzeile“, sagte Dennis Dick, Head Trader bei Triple D Trading, gegenüber Bloomberg. „Diese Art von Markt ist beängstigend für Investoren, weil die Kurse unerbittlich nach unten gehen, sobald auch nur ein Hauch von Disruption auftaucht.“

Jefferies-Analyst Joseph Gallo erwartet laut Bloomberg hingegen, dass der Cybersecurity-Sektor letztlich ein Netto-Gewinner durch KI sein werde. Allerdings dürften sich Rückschläge durch „Schlagzeilen“ zunächst noch verstärken, bevor Klarheit herrsche und sich die Absicherung von KI-Systemen selbst als Wachstumstreiber für die Branche auszahle. Die mittel- bis langfristigen Implikationen von Anthropics Ankündigung seien, dass KI-Anbieter weitere Produkte auf den Markt bringen und um zusätzliche Cybersecurity-Budgets konkurrieren würden.

Anthropic hat in den vergangenen Monaten die Fähigkeiten von Claude kontinuierlich ausgebaut – von der Veröffentlichung von Claude Sonnet 4.6 mit einem Kontextfenster von einer Million Token bis hin zur Bereitstellung von Claude Code als webbasierte Plattform. Unterdessen befeuert der Abgang eines leitenden IT-Sicherheitsforschers bei Anthropic die Bedenken gegen den zunehmenden Einsatz von KI und die Gefahren durch deren Missbrauch.


(map)



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Keycloak 26.6 bringt Zero-Downtime-Updates und Workflows


Das Keycloak-Projekt hat Version 26.6.0 des Open-Source-Identity-Providers veröffentlicht. Im Mittelpunkt stehen fünf Features, die den Preview-Status verlassen und nun als vollständig unterstützt gelten. Für Unternehmen, die Keycloak in Kubernetes-Umgebungen betreiben, dürften dabei vor allem die Zero-Downtime-Patch-Releases und die Federated Client Authentication relevant sein.

Weiterlesen nach der Anzeige

Die wohl praxisrelevanteste Neuerung laut Ankündigung: Patch-Releases lassen sich künftig als Rolling Updates innerhalb eines Minor-Release-Streams einspielen, ohne dass der Dienst unterbrochen wird. Zusammen mit dem ebenfalls verbesserten Graceful HTTP Shutdown, der Fehlermeldungen beim Abschalten einzelner Nodes verhindert, greift das Entwicklungsteam damit eine zentrale Anforderung containerisierter Deployments auf. Um von den Zero-Downtime-Patch-Releases profitieren zu können, genügt es laut Release Notes, die Update-Strategie für den Keycloak Operator auf „Auto“ zu setzen.

Daneben hat das Projekt die Federated Client Authentication in den produktiven Status befördert. Das Feature erlaubt es Clients, vorhandene Credentials eines externen Issuers zu nutzen, sobald eine Vertrauensbeziehung besteht. Individuelle Client-Secrets in Keycloak entfallen damit. Unterstützt werden Client-Assertions externer OpenID-Connect-Identity-Provider sowie Kubernetes Service Accounts. Organisationen mit mehreren Identity-Providern reduzieren so den Verwaltungsaufwand für Secrets erheblich. Die OAuth-SPIFFE-Client-Authentication bleibt allerdings im Preview-Status, da die zugrunde liegende Spezifikation noch nicht finalisiert ist.

Workflows und JWT Authorization Grant

Mit den nun unterstützten Workflows bringt Keycloak zentrale Funktionen aus dem Bereich Identity Governance and Administration (IGA) mit. Administratoren können Realm-Aufgaben wie das Lifecycle-Management von Benutzern und Clients in YAML-Dateien definieren und anhand von Ereignissen, Bedingungen oder Zeitplänen automatisiert ausführen lassen. Das Release enthält zudem neue Built-in-Steps, einen Troubleshooting-Guide sowie diverse Verbesserungen an der Workflow-Engine.

Auch der JWT Authorization Grant nach RFC 7523 gilt nun als produktionsreif. Er ermöglicht den Austausch externer JWT-Assertions gegen OAuth-2.0-Access-Token und hilft somit bei Anwendungsfällen, in denen externe Token in interne überführt werden müssen. Komplettiert wird das Quintett durch das neue Keycloak Test Framework, das den bisherigen Arquillian-basierten Ansatz ablöst.

Weiterlesen nach der Anzeige

Experimentelle MCP-Unterstützung und Java 25

Jenseits der fünf Haupt-Features liefert das Release weitere Neuerungen. Experimentell unterstützt Keycloak nun das OAuth Client ID Metadata Document (CIMD) – ein aufkommender Standard zur Beschreibung von OAuth-2.0-Client-Metadaten. Da das Model Context Protocol (MCP) ab Version 2025-11-25 CIMD voraussetzt, lässt sich Keycloak künftig als Authorization Server für MCP-Szenarien nutzen.

Als Preview erscheinen zudem die Identity Brokering APIs V2, die den Legacy Token Exchange V1 ablösen sollen, sowie Step-up Authentication für das SAML-Protokoll. Organisationen profitieren außerdem von isolierten Gruppenhierarchien pro Organisation, die Namenskonflikte innerhalb eines Realms vermeiden.

Auf der Infrastrukturseite unterstützt Keycloak inzwischen OpenJDK 25. Das Container-Image setzt allerdings weiterhin auf Java 21, um FIPS-Kompatibilität zu gewährleisten – für Unternehmen in regulierten Umgebungen bleibt damit alles beim Alten. Bestehende Deployments mit Java 21 sollen unverändert weiter funktionieren. Weitere Verbesserungen betreffen die automatische Truststore-Initialisierung auf Kubernetes und OpenShift, neue Client-Certificate-Lookup-Provider für Traefik und Envoy sowie überarbeitete HTTP-Access-Logs, die sensible Informationen wie Token und Cookies ausfiltern.

Hinweise zum Upgrade

Vor dem Update auf Keycloak 26.6.0 sollten Administratoren die Breaking Changes im Upgrading Guide prüfen. JavaScript-basierte Policies erfordern nun ein aktiviertes Scripts-Feature. Client-URIs müssen HTTPS verwenden, und die Issuer-Konfiguration für JWT Authorization Grant und Client Assertions muss eindeutig einen Provider identifizieren.


(map)



Source link

Weiterlesen

Datenschutz & Sicherheit

CISA-Notbetrieb: Gehaltszahlungen für vergangene sechs Wochen versprochen


Mitte Februar lief in den USA die Finanzierung für das Heimatschutzministerium DHS (Department of Homeland Security) und damit der IT-Sicherheitsbehörde CISA aus. Die läuft seitdem im Notbetrieb mit eingeschränkten Ressourcen weiter.

Weiterlesen nach der Anzeige

Wie CBS News jetzt berichtet, sollen alle DHS-Angestellten bis Ende dieser Woche das Gehalt für die vergangenen sechs Wochen des Shutdowns erhalten. Das hat Markwayne Mullin, Minister für Heimatschutz, demnach am Dienstag dieser Woche angekündigt. Er sagte, dass die meisten dieser Schecks bis Freitag bei den Banken angekommen sein sollten. Einige Finanzinstitute müssten bis Montag warten, aber die Mehrheit von allen solle bis dahin bezahlt worden sein.

Die Zahlungen sollen durch Flexibilität in der Mittelverwendung und Exekutivmaßnahmen möglich gemacht worden sein. Mullin warnte jedoch zugleich, dass die künftigen Zahlungen für DHS-Angestellte – mit Ausnahme von Strafverfolgungsbeamten – vollständig vom US-Kongress abhingen. CBS News zufolge kritisierte Mullin die Demokraten scharf wegen der Verzögerungen. Er warf ihnen vor, dazu bereit zu sein, 22 Behörden die Mittel zu entziehen, die zur Aufgabe haben, die innere Sicherheit zu gewährleisten, vom Pentagon bis zum DHS.

Lob für Angestellte

Zugleich lobte er die Angestellten der Behörden, die trotz Unsicherheiten bezüglich der Gehaltszahlungen weiter zur Arbeit erschienen. Das sei ein unglaubliches Engagement. Auf Rückfragen, wie die Mittel verfügbar gemacht wurden, verwies Mullin auf Notfallbefugnisse, die dem Präsidenten die begrenzte Umschichtung von Mitteln erlauben.

Der Behörden-Shutdown ist Folge eines Streits zwischen Republikanern und Demokraten über das Verhalten von Beamten der Polizei- und Zollbehörde United States Immigration and Customs Enforcement (ICE). Sie konnten sich infolgedessen nicht auf Bedingungen für eine weitere Finanzierung des DHS einigen.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Cloudflare will bis 2029 vollständig quantensicher sein


Cloudflare beschleunigt seine Post-Quantum-Migration und plant bis 2029 die vollständige Umstellung – inklusive quantensicherer Authentifizierung. Das Unternehmen reagiert damit auf aktuelle Fortschritte in der Quantencomputer-Forschung, die den Zeitrahmen für die Bedrohung durch Quantenangriffe verkürzen.

Weiterlesen nach der Anzeige

Post-Quantum-Kryptografie bezeichnet Verfahren, die auch Angriffen durch Quantencomputer standhalten sollen. Weit verbreitete Public-Key-Verfahren wie RSA oder Elliptic Curve Cryptography (ECC) lassen sich mit Quantenalgorithmen wie Shor prinzipiell brechen. Sicherheitsforscher warnen zudem vor dem Szenario „Harvest now, decrypt later“ (HNDL): Angreifer könnten bereits heute verschlüsselte Daten abgreifen und sie später mit Quantencomputern entschlüsseln. Das macht eine frühzeitige Umstellung auf neue Verfahren dringlich.

Verschlüsselung steht, Authentifizierung folgt

Im Kern setzt Cloudflare bereits seit 2022 auf hybride Verschlüsselung (Kyber + ECDHE), um HNDL-Angriffe zu verhindern. Sollte sich eines der beiden Verfahren künftig als unsicher erweisen, bleibt die Verbindung durch das jeweils andere geschützt. Gleichzeitig ermöglicht der Ansatz eine schrittweise Migration, ohne bestehende Infrastruktur zu brechen. Jetzt folgt die Umstellung der Authentifizierung auf das gitterbasierte Verfahren Dilithium.

Dabei greift Cloudflare auf Algorithmen aus dem Standardisierungsprozess des National Institute of Standards and Technology (NIST) zurück, allen voran das gitterbasierte Verfahren Kyber für den Schlüsselaustausch. Gitterbasierte Verfahren gelten als aussichtsreich, weil sie auf mathematischen Problemen beruhen, die auch Quantencomputer nicht effizient lösen können.

Roadmap bis 2029 in mehreren Etappen

Die Post-Quantum-Verschlüsselung ist seit 2022 standardmäßig aktiv. Über 65 Prozent des menschlichen Datenverkehrs zu Cloudflare ist damit bereits post-quantum-verschlüsselt. Die Umstellung der Authentifizierung auf Dilithium erfolgt in mehreren Etappen: Mitte 2026 für Origin-Verbindungen, Mitte 2027 für Besucher-Verbindungen, Anfang 2028 für Enterprise-Netzwerke und vollständig bis 2029. Kunden müssen dafür keine Einstellungen ändern. Cloudflare unterstützt bereits hybride Verschlüsselung, aber Clients müssen Post-Quanten-Verfahren ebenfalls implementieren, um sie zu nutzen.

Weiterlesen nach der Anzeige

Für HTTPS bleibt klassische Kryptografie vorerst aktiv, um Kompatibilität zu wahren. Cloudflare nutzt Mechanismen wie PQ HSTS und Certificate Transparency, um Downgrade-Angriffe zu verhindern.

Weitere Informationen zur neuen Roadmap finden sich in der Ankündigung von Cloudflare.


(fo)



Source link

Weiterlesen

Beliebt