Darstellung der 15 Jahre mit zusätzlichen Großereignisse:

Die Zeit vergeht schnell in der Tech-Welt, und auch Betriebssystem-Updates haben ein Verfallsdatum. Microsoft hat für das Windows 11 Funktionsupdate 24H2 (Home- und Pro-Editionen) das offizielle Support-Ende (End of Life, EOL) bekannt gegeben.

Stichtag ist der 13. Oktober 2026.

Was bedeutet das Support-Ende (EOL)?

Das „End of Life“ bedeutet nicht, dass Ihr Computer ab diesem Datum plötzlich aufhört zu funktionieren. Ihr Windows 11 wird weiterhin hochfahren und Sie können wie gewohnt arbeiten. Das große „Aber“ liegt jedoch in der Sicherheit: Ab dem 13. Oktober 2026 wird Microsoft für die Version 24H2 keine neuen Sicherheitsupdates, Fehlerbehebungen oder technischen Patches mehr ausliefern.

Wer danach noch mit dieser Version im Internet unterwegs ist, setzt sich einem stetig wachsenden Risiko durch neue Sicherheitslücken und Malware aus, die nicht mehr vom Hersteller geschlossen werden.

Wen betrifft es?

Das Datum gilt primär für Heimanwender und kleinere Unternehmen, die folgende Editionen nutzen:

• Windows 11 Home
• Windows 11 Pro
• Windows 11 Pro Education
• Windows 11 Pro for Workstations
• Windows 11 SE

(Hinweis: Für Enterprise- und Education-Kunden gelten oft verlängerte Fristen.)

Was sollten Sie tun?

Keine Panik – es ist noch ausreichend Zeit. Microsoft veröffentlicht in der Regel einmal im Jahr ein großes Funktionsupdate (wie beispielsweise ein kommendes 25H2).

Um Ihr System sicher zu halten, müssen Sie lediglich sicherstellen, dass Sie rechtzeitig vor Oktober 2026 über die Windows-Update-Funktion auf eine neuere Version aktualisieren. In den meisten Fällen geschieht dies ohnehin automatisch im Hintergrund, sofern Sie automatische Updates aktiviert haben.

Nach dem Rekordmonat Juli, in dem Microsoft rund 570 Schwachstellen stopfen musste, fällt der August-Patchday auf den ersten Blick etwas kleiner aus. Doch „kleiner“ ist relativ: Mit über 400 behobenen Sicherheitslücken bewegt sich auch dieser Monat auf einem Niveau, das noch vor zwei Jahren als absoluter Ausnahmefall gegolten hätte. Dreistellige und mittlerweile fast vierstellige Patch-Zahlen sind zum Dauerzustand geworden.

Der Grund dafür ist strukturell und wird sich nicht mehr umkehren. Microsoft setzt inzwischen selbst auf KI-gestützte Systeme zur automatisierten Schwachstellensuche und hat angekündigt, dass genau das die Zahl der monatlichen Sicherheitsupdates dauerhaft nach oben treibt. Was der Codequalität langfristig guttut, bedeutet für Administratoren kurzfristig einen dauerhaft hohen Testaufwand.

Der eigentliche Unterschied zum Juli ist aber nicht die Menge, sondern die Brisanz einer einzelnen Lücke: Diesen Monat gibt es wieder einen Zero-Day, der bereits aktiv ausgenutzt wird, und zwar von einem staatlichen Akteur. Dieser Überblick zeigt, wo die Gefahr derzeit am größten ist und in welcher Reihenfolge Sie Ihre Systeme absichern sollten.

Die nackten Zahlen im Überblick

Bei den Gesamtzahlen lohnt ein genauer Blick, denn sie schwanken je nach Quelle erheblich. Microsoft selbst weist in seiner offiziellen Release-Note 421 Schwachstellen aus. Sicherheitsdienstleister wie Tenable kommen nach Abzug bestimmter Cloud- und Sonderfälle hingegen auf rund 398. Das ist eine reine Frage der Zählweise, die in den kommenden Tagen für unterschiedliche Zahlen in der Berichterstattung sorgen wird. Von diesen Lücken gelten 42 als kritisch, der ganz überwiegende Teil (355) als wichtig, eine einzelne als moderat. Innerhalb der kritischen Lücken dominiert erwartungsgemäß die Remotecodeausführung mit 37 Einträgen, hinzu kommen fünf kritische Rechteausweitungen. Für die Rollout-Planung hilfreich ist die Aufteilung nach Produkten: Allein 236 der Lücken entfallen auf Windows 11 und werden über das kumulative Update abgedeckt, weitere 98 auf Office (separate Office-Updates), gefolgt von SharePoint Server mit 30 und den Developer Tools mit 26.

Über alle Kategorien hinweg verteilen sich die Schwachstellen grob wie folgt: rund 176 Rechteausweitungen (Elevation of Privilege), etwa 110 Remotecodeausführungen (RCE), rund 86 Fälle von Informationsoffenlegung, 21 Spoofing-Lücken, 12 Denial-of-Service-Schwachstellen und 11 Umgehungen von Sicherheitsfunktionen. Besonders relevant sind in diesem Monat gleich drei Zero-Days: Eine davon wird bereits aktiv angegriffen, zwei weitere waren vor der Bereitstellung des Patches öffentlich bekannt.

Die kritischsten Brennpunkte im Detail

Wer diesen Patch-Zyklus überspringen möchte, sollte sich die folgende Liste genau ansehen. Mehrere Lücken betreffen zentrale Server-Rollen, die in praktisch jeder Windows-Domäne laufen: DNS-Server, DHCP und die Bereitstellungsdienste. Es folgt die detaillierte technische Aufarbeitung der wichtigsten Patches dieses Monats.

1. AFD.sys WinSock Elevation of Privilege (CVE-2026-68820)

CVSS-Score: 7,0

SCHWERWIEGENDKEIT: Hoch (aktiv ausgenutzt)

BEDROHUNG: Elevation of Privilege (Lokale Rechteausweitung auf SYSTEM)

EXPLOITS: Dies ist die einzige nachweislich aktiv ausgenutzte Schwachstelle dieses Monats und damit der wichtigste Patch überhaupt. Entdeckt und an Microsoft gemeldet wurde die Lücke von den Check-Point-Forschern Moshe Marelus und David Driker. Laut deren Analyse wurde sie im Rahmen gezielter Angriffe von der nordkoreanischen Lazarus-Gruppe eingesetzt, um über gefälschte Stellenangebote eine neue Variante des Kernel-Rootkits FudModule einzuschleusen. Auch Action1 stuft diese Schwachstelle als die mit Abstand wichtigste des gesamten Monats ein, schlicht weil die Ausnutzung bereits nachgewiesen ist. Kurios am Rande: Im CVSS-Vektor stuft Microsoft die Exploit-Reife formal als „unproven“ ein, benennt die Lücke gleichzeitig aber als aktiv ausgenutzt. Diesen Widerspruch hat unter anderem die Zero Day Initiative süffisant angemerkt.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle liegt im Ancillary Function Driver for WinSock (afd.sys), jenem Kernel-Treiber, der die Socket-Infrastruktur von Windows bereitstellt. Es handelt sich um einen Use-after-free-Fehler: Ein Speicherobjekt wird freigegeben und anschließend erneut referenziert. Ein lokal angemeldeter Angreifer mit niedrigen Rechten kann über eine speziell präparierte Anwendung eine Race Condition auslösen und diesen Zustand ausnutzen, um eigenen Code im Kontext des Kernels und damit mit SYSTEM-Rechten auszuführen. Eine Benutzerinteraktion ist nicht erforderlich.

AUSNUTZBARKEIT: Der Angriff setzt lokalen Zugriff und ein niedrig privilegiertes Konto voraus. Die Angriffskomplexität gilt als hoch, da der Angreifer das enge Zeitfenster der Race Condition treffen muss. Für einen staatlich unterstützten Akteur wie Lazarus ist das keine ernsthafte Hürde. Da afd.sys auf praktisch jedem Windows-System aktiv ist, ist die Angriffsfläche entsprechend groß.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Diese Lücke ist der klassische zweite Baustein einer Angriffskette. Nach dem initialen Zugang, etwa über ein manipuliertes Bewerbungsdokument, hebelt der Angreifer die Rechtetrennung des Systems aus und erlangt volle SYSTEM-Rechte. Mit dem nachgeladenen FudModule-Rootkit lassen sich anschließend Endpoint-Protection und Virenschutz blenden, Treiber manipulieren und dauerhafte, schwer auffindbare Persistenz verankern. Für Kommunen und KRITIS-nahe Einrichtungen ist der spionagegetriebene Hintergrund besonders brisant.

WORKAROUND: Einen sinnvollen technischen Workaround gibt es nicht; hier hilft nur das Einspielen des Updates. Flankierend sollte das EDR-System so konfiguriert werden, dass es verdächtige Kernel-Manipulationen und ungewöhnliche Kindprozesse erkennt. Ein konsequentes Least-Privilege-Prinzip und Application Control (zur Abwehr präparierter Dokumente aus Fake-Bewerbungen) senken das Restrisiko zusätzlich.

DRINGLICHKEIT: Höchste. Als einzige aktiv ausgenutzte Lücke des Monats gehört dieser Patch mit oberster Priorität auf alle Systeme, zuerst auf exponierte und besonders gefährdete Clients.

2. Windows User Profile Service – „LegacyHive“ (CVE-2026-62832)

CVSS-Score: 7,8

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Elevation of Privilege (Rechteausweitung auf Administrator)

EXPLOITS: Die Schwachstelle war bereits vor Verfügbarkeit des Patches öffentlich bekannt. Sie entspricht dem als „LegacyHive“ veröffentlichten Proof-of-Concept des Sicherheitsforschers Nightmare Eclipse, also derselben Quelle, die bereits im Juni mit ihren BitLocker- und GreenPlasma-Veröffentlichungen für Aufsehen gesorgt hatte. Microsoft stuft die Ausnutzung als „eher wahrscheinlich“ ein.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine fehlerhafte Link-Auflösung (Improper Link Resolution / Link Following) im Windows-Benutzerprofildienst. Ein authentifizierter Angreifer, der über Zugangsdaten für ein anderes lokales Konto verfügt, kann mit einer präparierten Anwendung erzwingen, dass die Registry-Hive eines anderen Benutzers geladen wird. Über symbolische Verknüpfungen wird der Dienst dabei auf geschützte Pfade umgelenkt. Meldet sich anschließend ein Administrator an dem kompromittierten Gerät an, lassen sich auf diesem Weg Befehle mit dessen Rechten ausführen.

AUSNUTZBARKEIT: Erforderlich ist ein lokaler, authentifizierter Zugriff. Besonders relevant ist die Lücke auf Mehrbenutzer-Systemen wie Terminalservern, Citrix-Umgebungen oder geteilten Arbeitsplätzen, auf denen ohnehin mehrere Benutzerkonten existieren.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Aus einem gewöhnlichen Standardbenutzer wird ein Administrator. In Kombination mit einer Phishing-Mail ergibt sich eine zuverlässige Rechteausweitung: Sobald der Angreifer einen Fuß in der Tür hat, kann er Virenschutz deaktivieren, Anmeldedaten aus dem LSASS-Speicher auslesen und sich lateral im Netzwerk ausbreiten.

WORKAROUND: Primär gilt: patchen. Flankierend helfen ein striktes Least-Privilege-Prinzip, der Verzicht auf gemeinsam genutzte Konten sowie ein Monitoring auf das ungewöhnliche Laden fremder Registry-Hives.

DRINGLICHKEIT: Hoch. Öffentlich bekannter PoC, von Microsoft als „eher wahrscheinlich“ eingestuft.

3. Container Isolation FS Filter Driver (CVE-2026-72971)

CVSS-Score: 5,5

SCHWERWIEGENDKEIT: Hoch (öffentlich bekannt)

BEDROHUNG: Tampering (Lokale Manipulation)

EXPLOITS: Auch diese Lücke wurde vor Verfügbarkeit des Patches öffentlich bekannt; Microsoft schreibt die Entdeckung den Forschern „yhw & txz“ zu. Anders als bei den beiden vorgenannten Zero-Days stuft Microsoft die Ausnutzung hier als „unwahrscheinlich“ ein.

TECHNISCHE ZUSAMMENFASSUNG: Betroffen ist der Container Isolation FS Filter Driver (unionfs.sys), der das Overlay-Dateisystem für Windows-Container bereitstellt. Erneut liegt die Ursache in einer fehlerhaften Link-Auflösung: Über Link-Following lässt sich die Dateizugriffslogik des Treibers umlenken und für Manipulationen missbrauchen.

AUSNUTZBARKEIT: Der Angriff erfordert lokalen, authentifizierten Zugriff und ist praktisch nur auf Hosts relevant, die tatsächlich Windows-Container betreiben. Für reine Client-Arbeitsplätze ohne Container-Workloads ist das Risiko gering.

AUSWIRKUNGEN AUF DAS GESCHÄFT: In Container-Umgebungen kann die Lücke als Baustein dienen, um Dateien zu manipulieren oder Isolationsgrenzen aufzuweichen. Wo keine Container zum Einsatz kommen, ist die Angriffsfläche jedoch nicht gegeben.

WORKAROUND: Patch einspielen, insbesondere auf Container-Hosts. Umgebungen ohne Container haben hier keinen akuten Handlungsdruck.

DRINGLICHKEIT: Mittel. Öffentlich bekannt, aber als „unwahrscheinlich“ eingestuft und mit stark begrenzter Angriffsfläche.

4. Windows DNS Server Remote Code Execution (CVE-2026-62878)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / wurmfähig)

EXPLOITS: Bislang wurden weder aktive Angriffe noch eine öffentliche Veröffentlichung beobachtet, und Microsoft bewertet die Ausnutzung offiziell als „unwahrscheinlich“. Die Zero Day Initiative hält diese Einschätzung allerdings für zu optimistisch, da die Lücke wurmfähig ist. In diesem Monat wurden gleich mehrere DNS-Server-RCEs geschlossen, darunter CVE-2026-62817 (Out-of-Bounds-Write, CVSS 8,8) und CVE-2026-62820 (Race Condition, CVSS 8,1). CVE-2026-62878 ist aber mit Abstand die schwerste.

TECHNISCHE ZUSAMMENFASSUNG: Es handelt sich um einen Stack-based Buffer Overflow im Windows-DNS-Server. Ein nicht authentifizierter Angreifer kann durch ein speziell präpariertes Paket an den DNS-Dienst Code mit erhöhten Rechten ausführen, ohne jede Benutzerinteraktion.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert, ohne Anmeldung und ohne Interaktion. Entscheidend für die Tragweite: Der Windows-DNS-Server läuft in aller Regel auf den Domänencontrollern. Eine erfolgreiche Ausnutzung trifft damit direkt das Herz des Active Directory.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf einem Domänencontroller ist der Worst Case. Der Angreifer kontrolliert damit sowohl die Namensauflösung als auch das Verzeichnis selbst und kann sich praktisch beliebig domänenweit ausbreiten. Durch die Wurmfähigkeit besteht zudem die Gefahr, dass ein einmal entwickelter Exploit sich selbstständig von System zu System weiterträgt.

WORKAROUND: Höchste Priorität beim Patchen der Domänencontroller und DNS-Server. Der DNS-Dienst sollte niemals unnötig aus dem Internet erreichbar sein, und auch die interne Exposition sollte über Segmentierung so weit wie möglich reduziert werden.

DRINGLICHKEIT: Kritisch. Domänencontroller zuerst patchen.

5. Windows Deployment Services TFTP Server RCE (CVE-2026-62893)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind bislang nicht bekannt, allerdings stuft Microsoft die Ausnutzung als „eher wahrscheinlich“ ein. Sowohl Action1 als auch die Zero Day Initiative heben diese Lücke ausdrücklich als besonders beachtenswert hervor.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle ist ein Use-after-free-Fehler im TFTP-Server-Bestandteil der Windows-Bereitstellungsdienste (Windows Deployment Services, WDS). Ein nicht authentifizierter Angreifer kann durch präparierte Pakete an den TFTP-/WDS-Dienst eine Codeausführung auf dem Server auslösen.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert und ohne Authentifizierung. Betroffen sind Umgebungen, die WDS für PXE-Boot und die automatisierte Betriebssystem-Bereitstellung einsetzen, in der öffentlichen Verwaltung und in größeren Domänen keineswegs selten.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem Deployment-Server ist deshalb so gefährlich, weil dieser Server Betriebssystem-Images an neue Clients verteilt. Ein kompromittierter WDS-Server eignet sich hervorragend für eine flächendeckende Kompromittierung, gewissermaßen eine Supply-Chain-Attacke innerhalb des eigenen OS-Rollouts.

WORKAROUND: Patch einspielen. Der WDS-/TFTP-Dienst sollte nicht exponiert werden; PXE-Netzsegmente gehören isoliert. Wird WDS nicht benötigt, sollte der Dienst deaktiviert werden.

DRINGLICHKEIT: Hoch bis kritisch, insbesondere überall dort, wo WDS aktiv im Einsatz ist.

6. Windows DHCP Server Remote Code Execution (CVE-2026-62823)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind derzeit nicht bekannt, Microsoft bewertet die Ausnutzung jedoch als „eher wahrscheinlich“.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist ein Heap-based Buffer Overflow im Windows-DHCP-Server. Ein nicht authentifizierter Angreifer im benachbarten Netzwerk kann durch ein manipuliertes Paket eine Codeausführung auslösen. Ergänzend hat Microsoft in diesem Monat 13 weitere, jeweils als „wichtig“ eingestufte DHCP-Server-Lücken geschlossen, darunter acht Schwachstellen zur Informationsoffenlegung (CVSS 6,5) und fünf Rechteausweitungen (CVSS 7,8).

AUSNUTZBARKEIT: Der Angriff setzt einen Standort im benachbarten Netzsegment voraus, benötigt aber keine Authentifizierung. Da der DHCP-Server-Dienst üblicherweise auf zentraler Server-Infrastruktur betrieben wird, nicht selten auf einem Domänencontroller, ist die Tragweite erheblich.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem DHCP-Server bringt einen zentralen Netzdienst unter die Kontrolle des Angreifers. Von dort aus lässt sich die weitere Ausbreitung im Netzwerk vorbereiten, bis hin zur vollständigen Kompromittierung der Server-Infrastruktur.

WORKAROUND: Patch einspielen und den Zugriff auf den DHCP-Dienst konsequent auf vertrauenswürdige Netzsegmente beschränken.

DRINGLICHKEIT: Hoch.

Weitere kritische Schwachstellen im Überblick

Neben den sechs ausführlich behandelten Lücken lohnt ein Blick auf mehrere weitere kritische Schwachstellen, die alle über das Netzwerk und ohne Authentifizierung angreifbar sind. Die Microsoft QUIC Remote Code Execution (CVE-2026-62815) und die Windows iSCSI Target Service Remote Code Execution (CVE-2026-65791) erreichen ebenfalls jeweils einen CVSS-Score von 9,8. Action1 weist bei der QUIC-Lücke ausdrücklich darauf hin, dass exponierte, verwundbare Dienste ein erhebliches Risiko darstellen, da weder Authentifizierung noch Benutzerinteraktion erforderlich sind. Bei den Active Directory Certificate Services wurde mit CVE-2026-62818 eine kritische RCE geschlossen (CVSS 8,8, Use-after-free), für alle Betreiber einer eigenen PKI ein Pflicht-Patch.

Aufmerksamkeit verdient auch SharePoint. CVE-2026-65665 (CVSS 8,8, Deserialisierung nicht vertrauenswürdiger Daten) ist als „eher wahrscheinlich“ eingestuft. Das wiegt schwer, denn bereits die aktiv ausgenutzte SharePoint-RCE des Vormonats wurde genutzt, um Machine Keys von On-Premises-Servern zu stehlen. Bei Exchange sticht CVE-2026-62911 heraus, eine kritische Rechteausweitung über einen Authentifizierungs-Bypass (CVSS 8,0). Action1 skizziert das Schadenspotenzial drastisch: Aus dem Zugriff auf ein einzelnes Exchange-Konto könne die Kontrolle über sämtliche Postfächer werden, samt E-Mails, Anhängen und vertraulichem Schriftverkehr. Ebenfalls beachtenswert ist eine kritische Office-RCE (CVE-2026-64898, Heap-based Buffer Overflow): Hier genügt bereits die Anzeige einer präparierten Datei im Vorschaufenster (Preview Pane), ein Klick zum Öffnen ist nicht nötig. Hinzu kommen kritische RCEs in der Grafik-Komponente (GDI+, CVE-2026-62822) sowie in der Device Health Attestation (CVE-2026-71331, CVE-2026-66802).

Ein interessanter Sonderfall ist der High Performance Computing (HPC) Pack (CVE-2026-59124): technisch ein CVSS-9,8-Fehler und als „eher wahrscheinlich“ eingestuft, aber nur als „wichtig“ klassifiziert, weil HPC nicht standardmäßig aktiv ist. Wer HPC einsetzt, sollte diese Lücke dennoch nicht auf die lange Bank schieben. Bemerkenswert ist außerdem, dass gleich drei Schwachstellen im AFD.sys-WinSock-Treiber behoben wurden. Der Treiber hat sich zu einem verlässlichen Einfallstor für Rechteausweitungen entwickelt.

Auch abseits von Microsoft war der August ein arbeitsreicher Monat. Die schwerste Lücke überhaupt fand sich bei SAP: eine Autorisierungsschwachstelle im Data Hub Adapter der SAP Commerce Cloud (CVE-2026-58231) mit dem Höchstwert CVSS 10,0. Hinzu kamen weitere kritische SAP-Fixes, darunter eine Code-Injection in Manufacturing Integration and Intelligence (CVE-2026-44772, CVSS 9,9). N-able patchte eine bereits aktiv ausgenutzte Authentifizierungs-Umgehung in N-central, Metabase eine aktiv ausgenutzte SQL-Injection. Dazu kamen Updates von Adobe, Cisco (unter anderem ClamAV), VMware (Avi Load Balancer) und TP-Link (Omada).

Patchmanagement im Zeitalter von KI: Die Spielregeln ändern sich

Der August bestätigt, was sich seit Monaten abzeichnet: Manuelles Patchmanagement „mal eben am Wochenende“ ist endgültig Geschichte. Wenn Microsoft selbst KI einsetzt, um Schwachstellen schneller zu finden, dann tun Angreifer das erst recht. Sie nutzen dieselbe Technologie, um veröffentlichte Patches per Reverse Engineering in kürzester Zeit zu analysieren und passende Exploits zu bauen. Das Zeitfenster zwischen Veröffentlichung und aktiver Ausnutzung schrumpft rasant, wie die AFD.sys-Lücke in diesem Monat einmal mehr zeigt.

Für Organisationen, gerade in der öffentlichen Verwaltung und im KMU-Umfeld, ist ein strukturierter, automatisierter und priorisierter Rollout-Prozess damit keine Kür mehr, sondern überlebenswichtig. Nicht zuletzt die verschärften Anforderungen der NIS-2-Richtlinie machen einen nachweisbaren, dokumentierten Patch-Prozess zur Pflicht.

Handlungsempfehlungen für Ihre IT-Infrastruktur

Priorisieren Sie in diesem Monat zuerst Ihre zentrale Server-Infrastruktur. Die kritischen RCE-Lücken in DNS-Server, DHCP-Server und den Bereitstellungsdiensten betreffen Rollen, die typischerweise auf Ihren Domänencontrollern und zentralen Servern laufen. Ein kompromittierter DC bedeutet den Verlust der gesamten Domäne. Diese Systeme gehören daher an den Anfang jeder Rollout-Welle.

Kümmern Sie sich unmittelbar danach um die aktiv ausgenutzte AFD.sys-Zero-Day-Lücke auf Ihren Clients. Da diese Schwachstelle bereits nachweislich für Angriffe verwendet wird, sollten insbesondere exponierte und risikobehaftete Endgeräte zeitnah abgesichert werden. Ein reines „Später erledigen wir das im normalen Zyklus“ ist bei einer aktiv ausgenutzten Lücke keine vertretbare Option.

Führen Sie den Rollout trotz der Dringlichkeit unbedingt in kontrollierten Wellen durch. Bei über 400 Schwachstellen und dem entsprechend großen Umfang an Codeänderungen ist das Risiko von Kompatibilitätsproblemen erhöht. Testen Sie die Updates zuerst auf einer repräsentativen Gruppe von Testgeräten, bevor Sie sie in der Fläche verteilen. Die Priorisierung nach Kritikalität und die schnelle Verteilung dürfen nicht zu Lasten der Betriebsstabilität gehen.

Verifizieren Sie zuletzt den tatsächlichen Update-Status. Verlassen Sie sich nicht allein auf die Standardanzeige von Windows Update, sondern nutzen Sie professionelle Asset- und Compliance-Werkzeuge, um sicherzustellen, dass die KB-Stände auf allen Systemen lückenlos aktiv sind. Gerade bei den serverseitigen Lücken zählt jeder ungepatchte Host.

Neuerungen abseits der Sicherheit

Neben den reinen Sicherheitsfixes bringt das August-Update auch die Funktionsneuerungen des optionalen Juli-Vorschauupdates in die Fläche und erreicht mit dem Pflichtupdate nun alle Nutzer. Die sichtbarste Änderung betrifft den Datei-Explorer: Dateigrößen werden endlich nicht mehr ausschließlich in Kilobyte angezeigt, sondern je nach Umfang auch in Megabyte und Gigabyte. Zusätzlich lassen sich Ordner jetzt per mittlerer Maustaste direkt als neuer Tab im selben Fenster öffnen, und auch die Dateivorschau wurde überarbeitet.

Darüber hinaus verbessert Microsoft die Windows-Suche, die nun auch bei unklaren oder fehlerhaften Eingaben treffsicherer arbeitet und erstmals Dateinamen mit nur zwei Zeichen unterstützt. Windows Hello Enhanced Sign-in Security (ESS) unterstützt ab sofort kompatible externe Fingerabdruckleser, für Umgebungen mit biometrischer Anmeldung eine praktische Erweiterung. Und die Sprachsteuerung Voice Access erhält mit „Voice Isolation“ eine Funktion, die Hintergrundgeräusche und fremde Stimmen herausfiltert, um Sprachbefehle zuverlässiger zu erkennen. Wie immer bündeln die Updates zudem neue Secure-Boot-Zertifikate, deren Verteilung sich über die kommenden Monate erstreckt.

Exchange Server: ein separates Sicherheitsupdate

Für Exchange Server liefert Microsoft am August-Patchday wie üblich ein eigenständiges Sicherheitsupdate aus, das unabhängig von den kumulativen Windows-Updates eingespielt werden muss. Das August-SU schließt sieben Schwachstellen in Exchange Server, von denen Microsoft genau eine als kritisch einstuft: die bereits erwähnte Rechteausweitung CVE-2026-62911 (CVSS 8,0). Aktiv ausgenutzt wird nach aktuellem Stand keine der sieben Lücken.

Bereitgestellt werden die Updates für Exchange Server 2016, Exchange Server 2019 sowie die Exchange Server Subscription Edition (SE). Exchange Online ist bereits geschützt. Hier besteht kein Handlungsbedarf, abgesehen von der Aktualisierung vorhandener On-Premises-Server und der Workstations mit den Exchange-Verwaltungstools. Wichtig für Bestandsumgebungen: Für Exchange 2016 und 2019 gibt es die Updates ausschließlich über das kostenpflichtige ESU-Programm (Phase 2). Wer dort keine Lizenz gebucht hat, erhält das August-SU nicht und verbleibt sicherheitstechnisch auf dem Stand von Juli 2025, ein weiterer deutlicher Fingerzeig, den Umstieg auf Exchange Server SE einzuplanen.

Für das August-Update selbst sind bislang keine Probleme bekannt. Bestehen bleibt allerdings ein bereits mit dem Juni-SU eingeführtes Verhalten: In Hybrid-Umgebungen können nach dessen Installation sogenannte Wrapper-Nachrichten in Shared Mailboxes auftauchen; Microsoft führt dies weiterhin als bekanntes Problem. Wer eine Hybrid-Konfiguration betreibt, sollte nach der Installation ein Auge darauf haben. Wie bei jedem Exchange-SU gilt außerdem: Das Update über eine administrative Eingabeaufforderung installieren, um unvollständige Installationen durch fehlende Berechtigungen zu vermeiden.

Wer mehrere Exchange-Server betreibt, sollte den Patchday ohnehin zum Anlass nehmen, den Exchange Health Checker laufen zu lassen. Das Skript zeigt neben dem Patchstand auch gleich, ob noch manuelle Schritte offen sind. Seit dem Juli-2026-Update prüft es zusätzlich, ob die längst abgekündigten Sicherheitsgruppen Exchange Domain Servers und Exchange Enterprise Servers noch im Active Directory existieren. Beide stammen aus Zeiten von Exchange 2000/2003, werden seit Exchange 2007 nicht mehr verwendet und liegen in über Jahre gewachsenen Umgebungen häufig noch in der OU „Users“. Das ist ausdrücklich kein reines Aufräumthema: Die Gruppen besitzen im Active Directory teils weitreichende Berechtigungen wie Write All Properties, ListChildren oder vereinzelt WriteDacl auf OUs und Domänenobjekten, deutlich mehr, als die aktuellen Exchange-Sicherheitsgruppen benötigen. Solange sie existieren, sind sie ein lohnendes Angriffsziel: Wer ihre Mitgliedschaft manipulieren kann, erbt diese Altrechte gleich mit. Microsoft empfiehlt daher, die Gruppen zu entfernen, und zwar selbst dann, wenn der letzte On-Premises-Exchange bereits abgebaut wurde.

Update-Pakete für Windows-Clients und -Server

Die folgende Übersicht fasst die kumulativen Updates dieses Patchdays für die noch unterstützten Windows-Versionen zusammen. Alle Pakete sind kumulativ und enthalten sämtliche Sicherheitsfixes bis zum Patchday.

Zu beachten: Windows 10 22H2 ist seit Oktober 2025 aus dem regulären Support gefallen; Sicherheitsupdates gibt es nur noch im Rahmen des ESU-Programms. Für Windows Server 2012/R2 ist ebenfalls eine ESU-Lizenz erforderlich, und Windows Server 23H2 hat den Support im Mai 2026 verlassen.

Ausgewählte kritische Sicherheitsupdates vom Patch Tuesday im August 2026

Die folgende Tabelle listet eine Auswahl der wichtigsten kritischen Schwachstellen dieses Monats. Die vollständige Liste aller rund 400 behobenen CVEs finden Sie im Microsoft Security Update Guide sowie in der Gesamtübersicht bei BleepingComputer.

Hinweis: Diese Tabelle stellt eine kuratierte Auswahl dar und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets der offizielle Microsoft Security Update Guide.

Es gibt diese Frage, die jeden Tag mehrfach gestellt wird und für die es keine gute Antwort gibt: Ist der Raum frei?

Man kann in den Outlook-Kalender schauen — wenn man einen Rechner dabei hat. Man kann die Tür aufmachen und hineinsehen — was unangenehm ist, wenn drinnen jemand sitzt. Oder man klebt einen ausgedruckten Wochenplan neben die Tür, der ab Dienstag nicht mehr stimmt.

RaumInfo ist die dritte Möglichkeit: ein 8-Zoll-Tablet neben der Tür, das den Raumkalender aus Exchange anzeigt. Grün heißt frei, rot heißt belegt, und das ist schon aus zehn Metern Entfernung erkennbar.

Was daran anders ist

Es läuft gegen den eigenen Exchange. Kein Cloud-Dienst, kein Konto bei irgendwem, keine Server-Komponente, die man betreiben und aktualisieren müsste. Die App spricht direkt mit den Exchange Web Services im eigenen Netz — mit NTLM-Anmeldung, wie sie in gewachsenen Windows-Umgebungen üblich ist.

Ein Dienstkonto für alle Räume. Über die Exchange-Rolle ApplicationImpersonation arbeitet ein einziges Konto im Namen der Raumpostfächer. Man braucht nicht deren Passwörter, und man muss sie nicht verteilen.

Die Farbe ist die Botschaft. Links und rechts läuft je ein senkrechter Balken über die volle Bildschirmhöhe. Er ist der einzige Teil der Oberfläche, der aus dem Gang heraus lesbar sein muss — deshalb ist er kräftig, ganzflächig und ohne Beschriftung.

• Grün — frei
• Gelb — der nächste Termin beginnt in weniger als 15 Minuten (pulsierend)
• Rot — in Nutzung
• Grau — der Kalender ist nicht erreichbar

Buchen, ohne den Rechner zu holen

Ist der Raum frei, führt ein großer Knopf zur Buchung vor Ort. Betreff eintippen, Dauer wählen, fertig — der Termin steht als regulärer Eintrag im Raumkalender und ist in Outlook sofort sichtbar.

Die angebotenen Dauern enden dort, wo der nächste Termin beginnt. Am Display lässt sich also keine Überschneidung erzeugen; wer 90 Minuten will, aber nur 40 frei sind, bekommt 40 gar nicht erst überschritten.

Umgekehrt geht es auch: Endet die Besprechung früher, gibt ein Knopf den Raum wieder frei. Der Termin wird auf „jetzt“ verkürzt, der nächste sieht sofort Grün.

Der Teil, über den niemand nachdenkt: die Nacht

Ein Tablet an der Wand hängt dauerhaft am Strom und soll tagsüber immer an sein. Nachts soll es dunkel sein — aber auf Berührung sofort wieder da.

Das klingt trivial und ist es nicht. Android kann ohne Root-Rechte den Bildschirm weder per Programm abschalten noch per Berührung aufwecken. Wer das Display wirklich ausschaltet, braucht danach die Power-Taste — und die sitzt hinter dem Metallgehäuse.

RaumInfo löst das mit einem Umweg: Das Display bleibt technisch an, wird aber nach Dienstschluss auf Helligkeit 0 gesetzt und mit einer schwarzen Fläche überdeckt. Die erste Berührung weckt nur auf und wird nicht an die Oberfläche durchgereicht — es bucht also niemand versehentlich einen Raum, nur weil er das Display wecken wollte.

Dazu ein Schalter für das Wochenende: Standardmäßig bleibt die Anzeige samstags und sonntags dunkel, statt zwei Tage lang auf volle Helligkeit zu leuchten.

Kiosk — aber freiwillig

Auf Wunsch sperrt sich RaumInfo als Device Owner auf sich selbst: keine Statusleiste, kein Sperrbildschirm, keine Home-Taste, keine Deinstallation. Nach einem Stromausfall startet das Tablet direkt wieder in die Anzeige.

Das ist keine Voraussetzung. Ohne diesen Modus laufen Anzeige, Buchung und Nachtabsenkung vollständig — es fehlt allein die Sperre. Wer ein Display im öffentlichen Gang betreibt, will sie; für einen Testaufbau im Büro ist sie überflüssig.

Wichtig zu wissen: Den Kiosk-Modus kann sich keine Android-App selbst geben. Er lässt sich nur auf einem Gerät ohne eingerichtetes Konto setzen — bei fabrikneuen Tablets genügt es, den Einrichtungsassistenten ohne Google- und Samsung-Anmeldung zu durchlaufen. Zurücksetzen muss man nur ein bereits angemeldetes Gerät.

Was es nicht kann

Damit niemand eine falsche Erwartung mitnimmt, die wichtigsten Grenzen vorweg:

• Kein Microsoft 365. RaumInfo spricht EWS mit NTLM — das ist On-Prem-
  Exchange. Exchange Online verlangt moderne Authentifizierung und wird nicht
  unterstützt.
• Kein Terminmanagement. Buchen und vorzeitig beenden, mehr nicht. Kein
  Verschieben, kein Verlängern, keine Teilnehmerverwaltung.
• Ein Raum je Gerät. Keine Übersicht mehrerer Räume, keine Suche nach einem
  freien Raum im Haus.
• Keine zentrale Verwaltung. Jedes Tablet wird einmal eingerichtet; danach
  gibt es keinen Fernzugriff auf die Konfiguration.

Die vollständige Aufstellung — samt Voraussetzungen und der Einrichtung mit und ohne Kiosk-Modus — steht auf der Projektseite.

Kurz gefasst

Entwickelt für die Räume, für die eine Excel-Liste zu wenig und ein Raumbuchungssystem zu viel ist.

Stellen Sie sich folgende Szene vor: Es ist Freitagnachmittag. Das Neonlicht im fensterlosen Serverraum surrt leise, während die Lüfter der Racks ohrenbetäubend aufheulen. Dazwischen steht ein Mann, schweißgebadet, die Hände tief in einem unentwirrbaren Dschungel aus gelben und blauen Ethernet-Kabeln.

Draußen vor der Glastür drückt sich die halbe Belegschaft die Nasen platt. Manager gestikulieren wild, Kollegen klopfen ungeduldig gegen die Scheibe. Das ERP-System ist down, keine Mails gehen raus, die Produktion steht. Und alle Blicke richten sich auf eine einzige Person: den Systemadministrator.

Dieses Bild ist keine Hollywood-Dramatik. Es ist für viele IT-Verantwortliche, besonders in kleinen und mittelständischen Unternehmen, knallharte Realität. Wir nehmen funktionierende Technik als selbstverständlich hin. Doch wenn der Bildschirm schwarz bleibt, offenbart sich schlagartig, wie sehr wir am seidenen Faden der IT hängen. Werfen wir einen ehrlichen Blick auf den Job, der unser modernes Leben überhaupt erst möglich macht.

Mehr als nur „Haben Sie es schon mit einem Neustart versucht?“

In den Köpfen vieler Menschen existiert ein veraltetes Klischee. Der IT-Typ sitzt im Keller, trinkt Energydrinks und tauscht ab und zu eine kaputte Maus aus. Die Wahrheit sieht völlig anders aus.

Ein moderner Systemadministrator ist Architekt, Feuerwehrmann und Wachhund in einer Person. Er baut die unsichtbaren Straßen, auf denen unsere Daten fließen. Er konfiguriert nicht einfach nur Rechner, er entwirft komplexe Netzwerke. Er sorgt dafür, dass hunderte oder tausende Geräte reibungslos miteinander kommunizieren.

Dabei geht es längst nicht mehr nur um Blech und Kabel. Die Aufgaben haben sich in den letzten Jahren massiv verschoben. Cloud-Dienste müssen integriert, hybride Arbeitsmodelle für das Homeoffice nahtlos bereitgestellt und virtuelle Serverumgebungen überwacht werden. Der Job verlangt ständiges Lernen. Was vor zwei Jahren Best Practice war, ist heute oft schon ein Sicherheitsrisiko.

Die Evolution der Aufgaben: Vom Kabelstecker zum Cybersecurity-Experten

Früher reichte es aus, wenn der Server lief und das Backup auf Band geschrieben wurde. Heute ist das nur noch das absolute Minimum. Die Anforderungen sind geradezu explodiert.

Die unsichtbare IT-Infrastruktur

Das Rückgrat jedes Unternehmens ist seine IT-Infrastruktur. Administratoren planen Kapazitäten, verwalten den Speicherplatz, richten virtuelle Maschinen ein und orchestrieren Datenbanken. Sie sorgen dafür, dass die Software, die Sie täglich nutzen, die nötigen Ressourcen hat, um schnell und fehlerfrei zu laufen. Wenn Sie in Ihrer Buchhaltungssoftware auf „Speichern“ klicken und der Vorgang in Millisekunden abgeschlossen ist, hat ein SysAdmin im Vorfeld seinen Job richtig gemacht.

Cyberangriffe als Dauerzustand

Der wohl größte Stressfaktor heute ist die IT-Sicherheit. Die Bedrohungslage hat sich radikal verschärft. Ransomware-Banden greifen gezielt Unternehmen an, verschlüsseln Daten und erpressen Millionenbeträge. Der Systemadministrator steht an der vordersten Front dieses unsichtbaren Krieges.

Er konfiguriert Firewalls, überwacht den Datenverkehr auf Anomalien und spielt in Nachtschichten kritische Sicherheits-Patches ein. Er plant das Schlimmste: das Disaster Recovery. Wenn der Ernstfall eintritt und ein Hacker ins System eindringt, ist es der SysAdmin, der die Systeme isoliert und die Backups wiederherstellen muss. Dieser psychologische Druck ist immens. Ein einziger unbedachter Klick eines Mitarbeiters auf einen Phishing-Link [Interner Link: So erkennen Sie Phishing-Mails] kann die Existenz der ganzen Firma gefährden.

Warum unser Leben am seidenen IT-Faden hängt

Wir haben uns so sehr an die permanente Verfügbarkeit digitaler Dienste gewöhnt, dass uns die Komplexität dahinter nicht mehr bewusst ist. Doch unsere Abhängigkeit ist total.

Der Stillstand im Arbeitsalltag

Fällt ein zentraler Switch im Firmennetzwerk aus, passiert heute Folgendes: Nichts. Die Telefone bleiben stumm, weil Voice-over-IP genutzt wird. Die Kassen im Einzelhandel streiken. Die Logistik weiß nicht, welches Paket wohin muss, weil der Zugriff auf das Warenwirtschaftssystem fehlt.

Ein Serverausfall bedeutet oft den sofortigen Stillstand der gesamten Wertschöpfungskette. Jede Minute Downtime kostet das Unternehmen bares Geld und massiv Reputation. Genau das wissen die Menschen, die vor der Glastür des Serverraums stehen und ungeduldig auf ihre Uhren schauen.

Die unsichtbare Stütze im Privatleben

Aber auch fernab des Büros dominiert die Arbeit der SysAdmins unseren Alltag. Sie streamen abends entspannt eine Serie? Tausende Server und Load-Balancer, gewartet von Administratoren, sorgen dafür, dass der Stream nicht ruckelt. Sie bezahlen an der Tankstelle mit dem Smartphone? Komplexe, hochsichere Netzwerke verarbeiten die Transaktion in Sekundenbruchteilen. Fällt diese von Menschen gewartete Infrastruktur aus, fallen wir gesellschaftlich in wenigen Stunden Jahrzehnte zurück.

Die dunkle Seite des Serverraums: Druck und Erwartungshaltung

Das Bild des schwitzenden IT-Mitarbeiters aus unserer Einleitung fängt ein Gefühl ein, das viele in der Branche nur allzu gut kennen: die unbarmherzige Erwartungshaltung. IT darf keine Fehler machen. Läuft alles perfekt, wird die Arbeit der Administratoren nicht bemerkt. Niemand ruft beim Helpdesk an, um sich für das funktionierende WLAN zu bedanken.

Fällt jedoch ein Dienst aus, ist der IT-Support sofort der Sündenbock. Die psychologische Belastung entsteht oft aus dieser Asymmetrie. Man ist der „verdeckte Retter“, der ständig Katastrophen verhindert, aber nur dann ins Rampenlicht gezerrt wird, wenn es brennt.

Der Fluch der „One-Man-Show“

Besonders dramatisch ist die Situation für Einzelkämpfer in der IT. In vielen kleinen bis mittelgroßen Betrieben gibt es genau eine Person oder ein winziges Team von zwei, drei Leuten, die für alles zuständig sind. Vom streikenden Drucker im Vertrieb bis hin zur Konfiguration der hochkomplexen Cloud-Infrastruktur – alles landet auf demselben Schreibtisch.

Diese Administratoren stehen unter einem fast unmenschlichen Druck. Urlaub ist oft ein Fremdwort, denn das Firmenhandy klingelt trotzdem, wenn der Chef sein Passwort vergessen hat. Krankheit bedeutet, dass Arbeit liegen bleibt, die später in der Freizeit nachgeholt werden muss. Ein „Single Point of Failure“ bei der Technik ist schlecht – ein menschlicher „Single Point of Failure“ ist für ein Unternehmen schlichtweg fahrlässig.

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) warnt immer wieder davor, dass unterbesetzte IT-Abteilungen ein massives Sicherheitsrisiko darstellen. Ein übermüdeter Administrator macht Fehler. Und in der IT-Sicherheit können Fehler existenzbedrohend sein.

Ein Plädoyer für mehr Wertschätzung

Wir müssen aufhören, IT als reine Kostenstelle zu betrachten. Die Menschen, die unsere Systeme am Laufen halten, sind keine reaktiven Handlanger, sondern das Fundament unserer Wirtschaft.

Wenn Sie das nächste Mal an einem Serverraum vorbeigehen und das monotone Rauschen der Lüfter hören, denken Sie an den enormen Aufwand, der betrieben wird, damit Sie morgens einfach Ihren Rechner aufklappen und losarbeiten können.

• Beziehen Sie Ihre IT-Abteilung frühzeitig in neue Projekte ein, nicht erst, wenn die Software schon gekauft ist.
• Akzeptieren Sie Wartungsfenster am Wochenende.
• Und vor allem: Haben Sie Geduld, wenn der SysAdmin mal wieder mit Taschenlampe und Patchkabel bewaffnet das Netzwerk rettet.

2026.07.26.0907

• Verlaufsdiagramme (Graphen): Die dynamischen Polyline-Graphen für die GPU-Gesamtauslastung extrem ressourcenschonend und passen sich bei der GPU der gewählten Akzentfarbe an.
• Viele Optimierungsmaßnahmen in der Code Basis und Nutzung der Ressourcen des Systems

Hier geht es zur Projektseite mit mehr Informationen und Download.

Ich weiß, das Thema Rente sorgt meistens für schlechte Laune. Ständig lesen wir neue Hiobsbotschaften über sinkende Bezüge und ein immer höheres Rentenalter. In den letzten Wochen hat der Bericht der sogenannten Alterssicherungskommission für viel Wirbel und unzählige Schlagzeilen gesorgt.

Ich habe mir die 80 Seiten dieses Berichts durchgelesen, damit Sie es nicht tun müssen. Ganz ehrlich: Ich bin bei einigen Vorschlägen zwiegespalten. Die Pläne greifen tief in unsere Lebensplanung ein. Aber Panik ist jetzt die falsche Reaktion. Wir schauen uns hier ganz sachlich an, was die Rentenreform 2026 wirklich bringt, wer genau betroffen ist und wo die Politik uns die bittere Pille mit etwas Zucker versüßt.

Warum das System umgebaut wird

Die Mathematik hinter unserem Rentensystem funktioniert nicht mehr so wie früher. Wir werden glücklicherweise immer älter. Zwischen 1960 und 2024 hat sich die Zeit, in der wir Rente beziehen, von knapp 10 auf über 20 Jahre verdoppelt. Gleichzeitig rutschen jetzt die geburtenstarken Jahrgänge, die sogenannten Babyboomer, in den Ruhestand.

Das bedeutet, dass immer weniger arbeitende Menschen für immer mehr Rentner aufkommen müssen. Wenn wir jetzt nicht handeln, müssen unsere Kinder später die Hälfte ihres Lohns an die Rentenkasse abgeben, oder das Rentenniveau stürzt ins Bodenlose. Die Reform soll dieses Problem lösen.

Das ominöse Zwei-zu-eins-Modell beim Renteneintrittsalter

Der Punkt, der die meisten Menschen am meisten aufregt, ist das künftige Rentenalter. Aktuell steigt die Grenze ohnehin schon schrittweise an. Wer 1964 geboren ist, muss laut Gesetz bis zum 67. Geburtstag arbeiten, um regulär in Rente zu gehen. Das bleibt auch so.

Für alle, die 1965 oder später geboren sind, hat sich die Kommission aber etwas Neues ausgedacht: das Zwei-zu-eins-Modell.

Die Regel ist eigentlich simpel. Wenn die durchschnittliche Lebenserwartung in Deutschland statistisch um ein Jahr steigt, wird diese gewonnene Lebenszeit aufgeteilt. Acht Monate (also zwei Drittel) verbringen wir länger im Job. Die restlichen vier Monate (ein Drittel) bekommen wir als längere Rentenzeit obendrauf.

Bedeutet das nun die sofortige „Rente mit 70“, von der in den Medien oft die Rede ist? Nein. Die Lebenserwartung steigt nur sehr langsam. Experten rechnen damit, dass das Eintrittsalter vielleicht um einen Monat alle zwei Jahre ansteigt. Für den Jahrgang 1965 würde die Grenze also voraussichtlich bei 67 Jahren und einem Monat liegen. Eine Rente mit 69 Jahren würden wir rechnerisch erst in den 2070er Jahren erreichen.

Das Ende der Rente mit 63 tut weh

Hier wird es schmerzhaft, und ich halte diesen Punkt für extrem kritisch. Bisher konnten Menschen, die 45 Jahre lang Beiträge eingezahlt haben, ohne finanzielle Abzüge etwas früher in Rente gehen. Das lief früher unter dem Begriff „Rente mit 63“, auch wenn das Alter dafür mittlerweile schon in Richtung 65 Jahre geklettert ist.

Die Kommission schlägt vor, diese abschlagsfreie Rente für besonders langjährig Versicherte komplett und ersatzlos zu streichen.

Der Gedanke dahinter ist wirtschaftlich nachvollziehbar: Uns fehlen an allen Ecken und Enden Fachkräfte. Die Wirtschaft kann es sich kaum leisten, erfahrene Leute frühzeitig in den Ruhestand zu schicken. Aus menschlicher Sicht finde ich das jedoch schwierig. Ein Dachdecker oder eine Pflegekraft schafft es körperlich oft einfach nicht bis 67. Die Kommission spricht zwar vage von „Schutzrenten“ für gesundheitlich belastete Menschen, bleibt aber konkrete Antworten schuldig. Hier muss der Gesetzgeber unbedingt nachbessern, sonst trifft es genau die Falschen.

Auch wer „nur“ 35 Versicherungsjahre auf dem Konto hat und bereit ist, lebenslange Abschläge in Kauf zu nehmen, muss sich umstellen. Der früheste Ausstieg soll zeitnah von 63 auf 64 Jahre angehoben werden.

Ein Stück Schweden für unsere Altersvorsorge

Kommen wir zu den guten Nachrichten. Das reine Umlagesystem (die Jungen zahlen heute direkt für die Alten) reicht nicht mehr aus. Deshalb will die Regierung eine neue „Kapitalsäule“ aufbauen.

Die Idee stammt aus Schweden. Künftig sollen wir alle – Arbeitgeber und Arbeitnehmer teilen sich die Kosten – einen kleinen Zusatzbeitrag zahlen. Geplant sind zunächst ein Prozent des Bruttolohns, später zwei Prozent. Dieses Geld geht aber nicht in den großen Konsumtopf der Rentenkasse. Es wird in einem staatlich verwalteten Fonds weltweit am Kapitalmarkt angelegt. Jeder bekommt ein eigenes Kapitalkonto.

Schweden macht das mit seinem Fonds „AP7 Såfa“ seit Jahren vor und erwirtschaftet dort Renditen, von denen wir in Deutschland bei herkömmlichen Sparprodukten nur träumen können. Ich halte diesen Schritt für absolut überfällig. Die internationalen Finanzmärkte werfen langfristig einfach mehr ab als unser schrumpfender heimischer Arbeitsmarkt.

Selbstständige müssen jetzt auch mitmachen

Eine weitere große Neuerung betrifft die Selbstständigen. Bisher konnten sich viele von ihnen aussuchen, ob sie für das Alter vorsorgen oder nicht. Das ändert sich. Alle neu gegründeten Selbstständigkeiten sollen künftig verpflichtend in die gesetzliche Rentenversicherung einzahlen.

Wer bereits selbstständig ist, bekommt ein Wahlrecht. Das ist ein wichtiger Schritt, um Altersarmut zu verhindern, denn aktuell stehen viele Solo-Selbstständige am Ende ihres Berufslebens ohne nennenswerte Absicherung da. Auch Politiker, also Bundestags- und Landtagsabgeordnete, sollen künftig in den gemeinsamen Topf einzahlen. Das schafft Vertrauen und stärkt die Kasse.

Ein kritischer Blick: Nur ein Flickenteppich statt echter Lösung?

Bei all diesen Vorschlägen bleiben gewaltige blinde Flecken, die mich wirklich frustrieren.

Erstens: Warum zahlen Beamte nicht endlich auch in den gemeinsamen Rententopf ein? In Österreich klappt das schließlich auch, und es ist seit Jahren eine absolute Standardforderung in jeder Rentendebatte. Die Kommission traut sich an dieses heiße Eisen aber nicht wirklich heran. Es heißt lediglich vage, die Reformen sollen „wirkungsgleich“ auf die Pensionen übertragen werden. Ein echtes, faires System für alle sieht für mich anders aus.

Zweites großes Fragezeichen: der Fachkräftemangel und die Demografie. Wir wissen seit Jahrzehnten von der sogenannten „Altersglocke“ – also dass wir in Deutschland immer mehr ältere und immer weniger junge Menschen haben. Die Kommission schreibt selbst, dass Zuwanderung dringend nötig wäre, um die Finanzierungsbasis der Rentenkasse zu stützen. Wenn uns an allen Ecken die Leute fehlen, verstehe ich schlichtweg nicht, warum das Thema Migration politisch oft so massiv bekämpft wird. Wer soll unsere Renten erarbeiten, wenn wir aktiv verhindern, dass junge Menschen zu uns kommen und hier arbeiten? Anstatt die demografische Schieflage mutig und strukturell zu lösen, wird nur am Ende der Kette herumgedoktert.

Ist das Ganze nun der große, langfristige Wurf? Ich habe da ehrliche Zweifel. Kritiker von gewerkschaftsnahen Instituten wie dem WSI warnen ausdrücklich davor, dass die neue Kapitalsäule Milliarden aus der heimischen Wirtschaft abzieht, was unser Wirtschaftswachstum sogar bremsen könnte. Und unterm Strich ist die Erhöhung des Rentenalters vor allem eins: eine massive Belastung für die jüngere Generation, die ohnehin schon unter Druck steht. Für mich wirkt das alles weniger wie eine zukunftssichere Jahrhundertreform und mehr wie ein politischer Flickenteppich, der die eigentlichen, unbequemen Probleme einfach nur in die Zukunft verschiebt.

Fazit: Was das für Ihre Planung bedeutet

Die Zeiten, in denen der Staat allein uns einen sorgenfreien Ruhestand garantiert hat, sind endgültig vorbei. Die neue politische Zielgröße ist, dass wir im Alter 70 Prozent unseres letzten Nettoeinkommens zur Verfügung haben. Aber Vorsicht: Diese 70 Prozent setzen sich künftig aus der gesetzlichen Rente, Betriebsrenten und der neuen Kapitalrente zusammen. Die gesetzliche Rente allein wird das nicht stemmen.

Was Sie jetzt tun sollten:

1. Verfallen Sie nicht in Aktionismus. Die Vorschläge sind aktuell genau das – Vorschläge. Der Bundestag muss diese erst noch in ein Gesetz gießen.
2. Besorgen Sie sich Ihre aktuelle Rentenauskunft. Prüfen Sie, welche Regelungen für Ihren Geburtsjahrgang heute gelten.
3. Kümmern Sie sich aktiv um Ihre betriebliche oder private Vorsorge. Verlassen Sie sich nicht allein auf die Politik.

Es ist eine kuriose technische Realität, dass wir im Jahr 2026 unsere wichtigste digitale Kommunikation über eine Infrastruktur abwickeln, deren Fundament aus dem Jahr 1986 stammt. Das Internet Message Access Protocol (IMAP) wurde für eine Welt konzipiert, in der stationäre Desktop-Rechner über kabelgebundene Netzwerke E-Mails abriefen. Damals gab es weder Smartphones noch flächendeckendes WLAN.

Trotz unzähliger Erweiterungen und Pflasterlösungen ächzt IMAP heute unter den Anforderungen der modernen Mobil- und Cloud-Ära. Verbindungsabbrüche beim Wechsel zwischen Mobilfunkzellen, ein hoher Akkuverbrauch durch ständiges Polling und die Notwendigkeit, drei völlig verschiedene Protokolle (IMAP, SMTP, CalDAV) für einfache Groupware-Funktionen zu nutzen, frustrieren Entwickler und Nutzer gleichermaßen.

Die Lösung für dieses Problem ist seit einigen Jahren als offizieller Internet-Standard verabschiedet, fliegt aber oft noch unter dem Radar: Das JSON Meta Application Protocol, kurz JMAP. JMAP ersetzt den historischen Protokoll-Flickenteppich durch eine einheitliche, zustandslose und auf JSON basierende Schnittstelle.

In diesem Artikel analysieren wir die technischen Schwächen von IMAP und SMTP, vergleichen sie detailliert mit der Architektur von JMAP und klären, warum moderne Software-Projekte zunehmend auf diesen neuen Standard setzen.

Die historischen Schwächen von IMAP und SMTP

Um zu verstehen, warum ein neues Protokoll notwendig ist, müssen wir uns ansehen, wie E-Mail-Clients aktuell mit Servern kommunizieren. Wenn Sie auf Ihrem Smartphone eine E-Mail lesen oder versenden, nutzt Ihr Gerät einen Stack aus mehreren getrennten Technologien.

IMAP ist verbindungs- und zustandsorientiert. Der Client baut eine TCP-Verbindung (Transmission Control Protocol) zum Server auf und muss diese permanent offen halten, um über neue Nachrichten informiert zu werden. Diese Technik wird als IMAP IDLE bezeichnet.

Das funktioniert in einem stabilen Büro-Netzwerk gut, aber in mobilen Umgebungen ist es problematisch. Wenn Sie das Haus verlassen und Ihr Smartphone vom heimischen WLAN in das 5G-Netz wechselt, bricht die zugrundeliegende TCP-Verbindung ab. Der E-Mail-Client verliert seinen Zustand, muss eine neue kryptografische Verbindung aushandeln, sich neu authentifizieren und die Verzeichnisstrukturen mit dem Server erneut abgleichen.

Dieser ständige Neuaufbau kostet Zeit, verbraucht wertvolles Datenvolumen und verhindert, dass das Mobilgerät in tiefe Energiesparmodi (Deep Sleep) wechseln kann, was den Akku extrem belastet.

Hinzu kommt die Trennung der Datenwege. IMAP ist ausschließlich für das Lesen und Verwalten von E-Mails zuständig. Wenn Sie auf Antworten klicken, muss Ihr Client eine völlig neue, getrennte Verbindung über das Simple Mail Transfer Protocol (SMTP) aufbauen, um die Nachricht zu versenden. Das verdoppelt den Implementierungsaufwand für Entwickler und führt oft zu Synchronisationsfehlern. Sie kennen das Problem vielleicht: Eine E-Mail wird über SMTP versendet, taucht aber erst Minuten später oder nach manuellem Aktualisieren im „Gesendet“-Ordner des IMAP-Kontos auf.

Das Datenformat selbst ist eine weitere Hürde. IMAP nutzt ein textbasiertes, schwer zu lesendes Format, das komplexe Parser erfordert. Um Anhänge oder Inline-Bilder zu extrahieren, muss der Client oft große Teile des MIME-Codes (Multipurpose Internet Mail Extensions) herunterladen und lokal mühsam zerlegen.

Was ist JMAP (JSON Meta Application Protocol)?

Die Entwickler des australischen E-Mail-Providers Fastmail erkannten diese strukturellen Grenzen. Im Jahr 2014 begannen sie mit der Entwicklung eines eigenen, modernen Protokolls, um ihre Web- und Mobil-Schnittstellen zu beschleunigen. Aus diesem internen Projekt entstand JMAP. Die Internet Engineering Task Force (IETF) übernahm die Spezifikation und veröffentlichte im Juli 2019 die grundlegenden Standards: RFC 8620 für das Kernprotokoll und RFC 8621 für das E-Mail-Modell.

JMAP ist ein generisches Framework für die Datensynchronisation über HTTPS. Es definiert, wie Daten im JSON-Format strukturiert, abgerufen und verändert werden. Dabei ist JMAP nicht nur auf E-Mails beschränkt, sondern konzeptionell darauf ausgelegt, alle Daten des Personal Information Management (PIM) – also Kontakte, Kalender, Aufgaben und Dateien – über eine einzige, konsistente API abzuwickeln.

Architektur und Funktionsweise: Ein technischer Einblick

JMAP bricht radikal mit der Architektur klassischer Protokolle. Anstatt eine offene TCP-Verbindung zu erzwingen, nutzt JMAP einfache, zustandslose HTTP-POST-Anfragen.

Das hat enorme Vorteile für die Skalierbarkeit serverseitiger Infrastrukturen. Ein JMAP-Server blockiert keine Systemressourcen für Millionen untätiger Verbindungen, sondern arbeitet Requests ab, sobald sie eintreffen. Der Traffic lässt sich problemlos durch Standard-Webkomponenten wie Load Balancer, Proxys und Content Delivery Networks (CDNs) leiten.

Die Kommunikation beginnt mit der sogenannten Session Discovery. Der Client ruft einen standardisierten Endpunkt unter /.well-known/jmap auf. Der Server antwortet mit einem JSON-Objekt, das alle verfügbaren API-URLs und die vom Server unterstützten Kapazitäten (Capabilities) auflistet. Der Client weiß sofort, welche Erweiterungen, wie etwa Sieve-Filter oder Quota-Abfragen, das Benutzerkonto nutzen darf.

Ein weiteres Kernkonzept ist das Method Batching. Bei IMAP erfordert jede Aktion (Nachrichten suchen, Header abrufen, Gelesen-Status setzen) oft einzelne Befehle und mehrere Round-Trips zwischen Client und Server. JMAP bündelt diese Methoden. Ein Client kann in einem einzigen JSON-Payload verlangen: „Suche alle E-Mails von Kontakt X, gib mir deren Betreff und markiere sie gleichzeitig als gelesen.“

JMAP unterstützt dabei komplexe Rückbezüge (Back-References). Der zweite Befehl in einem Payload kann dynamisch auf die Ergebnisse des ersten Befehls zugreifen. Das spart massiv Latenzzeit, da der Client nicht erst auf die Suchergebnisse warten muss, bevor er den Download der eigentlichen Nachrichten auslöst.

Effiziente Delta-Synchronisation

Die größte Leistungssteigerung erzielt JMAP durch seine intelligente Zustandsverfolgung. Die gesamte Synchronisationslogik ist delta-basiert.

Jeder Datentyp auf dem Server besitzt einen Status-Token (State String). Wenn Ihr Smartphone aus dem Funkloch zurückkehrt, fragt es den Server nicht: „Hier ist meine Liste von 10.000 E-Mails, welche fehlt?“ Stattdessen sendet es nur seinen letzten bekannten Status-Token. Der Server berechnet daraufhin ein minimales Delta und liefert ausschließlich die IDs der Objekte zurück, die in der Zwischenzeit neu erstellt, geändert oder gelöscht wurden.

Dieser Ansatz reduziert den Bandbreitenbedarf im Vergleich zu IMAP drastisch und beschleunigt den Startvorgang von E-Mail-Apps spürbar.

Echte Push-Benachrichtigungen ohne Batterie-Drain

Um Echtzeit-Benachrichtigungen zu realisieren, ohne den Akku mobiler Geräte zu leeren, bietet JMAP native Push-Mechanismen. Für Desktop-Clients oder Web-Apps im Browser nutzt das Protokoll Server-Sent Events (SSE) oder das standardisierte JMAP-WebSocket-Protokoll (RFC 8887).

Für mobile Apps im Hintergrund, bei denen offene Verbindungen vom Betriebssystem gekappt werden, definiert RFC 9749 die Integration von VAPID Web Push. Der Server weckt die App über die native Push-Infrastruktur von Apple oder Google. Die App wacht kurz auf, ruft via Delta-Sync nur die neuen Änderungen ab und legt sich wieder schlafen.

Der Paradigmenwechsel beim E-Mail-Versand (Submission)

Einer der deutlichsten Vorteile für Entwickler ist die Integration des Nachrichtenversands in das JMAP-Kernprotokoll. Der Client muss keine separate SMTP-Sitzung mehr aushandeln.

Der Vorgang wird in JMAP durch den Datentyp EmailSubmission abgebildet. Der Workflow ist simpel:

1. Der Client erstellt ein Email-Objekt im JSON-Format und speichert es auf dem Server (meist im Entwurfsordner).
2. Er erstellt ein EmailSubmission-Objekt, das diese E-Mail-ID referenziert und eine definierte Absenderidentität (Identity) festlegt.

Der JMAP-Server übernimmt ab diesem Punkt die volle Verantwortung. Er prüft die Identität, modifiziert bei Bedarf die Header, signiert die Nachricht kryptografisch (z.B. mit DKIM) und übergibt sie an den Mail Transfer Agent (MTA) für den Transport in das öffentliche Internet.

Das bedeutet nicht, dass SMTP ausstirbt. Für den Transport zwischen verschiedenen Servern (MTA-to-MTA) bleibt SMTP zwingend erforderlich. JMAP ersetzt lediglich die fehleranfällige und redundante Kommunikation zwischen dem Endgerät des Nutzers (Client) und dem eigenen Mailserver.

JMAP vs. IMAP/SMTP: Der direkte Vergleich

Die strukturellen Unterschiede spiegeln sich in realen Leistungsmessungen wider. Hier ist ein direkter Vergleich der beiden Paradigmen basierend auf Architekturdaten und Benchmarks:

Format und Protokoll JMAP nutzt maschinenlesbares JSON über Standard-HTTPS (Port 443). Das vermeidet Firewall-Probleme, da HTTPS-Verkehr überall zugelassen ist. IMAP verwendet ein komplexes, benutzerdefiniertes Textprotokoll über persistente TCP-Verbindungen (Port 993), das in strikt reglementierten Unternehmensnetzwerken häufig blockiert wird.

Benachrichtigung bei neuen E-Mails Während IMAP auf unzuverlässige IDLE-Befehle oder das periodische Abfragen (Polling) angewiesen ist, was Latenzen von bis zu 15 Minuten verursachen kann, liefert JMAP durch nativen WebPush oder Server-Sent Events Benachrichtigungen in unter einer Sekunde aus.

Datensynchronisation und Bandbreite IMAP zwingt Clients oft dazu, ganze Ordnerstrukturen und Header neu zu scannen, um Änderungen zu erkennen. JMAP sendet durch den Delta-Abgleich nur exakt die Informationen, die sich geändert haben. Das führt zu einer nachweisbaren Reduzierung der Bandbreite um 80 bis 90 Prozent für typische E-Mail-Checks.

Batterieverbrauch auf Mobilgeräten Die Notwendigkeit, bei IMAP eine TCP-Verbindung offen zu halten, verringert die Akkulaufzeit erheblich. JMAP verhält sich extrem sparsam. Messungen auf realen Geräten zeigen, dass JMAP durch seine Zustandslosigkeit den Stromverbrauch für das Mail-Syncing im Vergleich zu IMAP halbiert bis drittelt.

Das Ökosystem wächst: Kontakte, Kalender und mehr

Die ursprüngliche Motivation für JMAP war die E-Mail-Kommunikation, aber das Design zielte von Anfang an auf die Ablösung aller veralteten PIM-Protokolle ab. Die IETF-Arbeitsgruppe hat in den letzten Jahren ein umfassendes Set an Erweiterungen standardisiert.

Kontakte mit JSContact (RFC 9610)

Die Verwaltung von Adressbüchern basiert heute meist auf CardDAV und dem Textformat vCard. Letzteres leidet unter historischen Altlasten: benutzerdefinierte Trennzeichen, komplizierte Regeln für Zeilenumbrüche und schwerfälliges Parsing von Binärdaten wie Kontaktbildern.

Im Jahr 2024 veröffentlichte die IETF den Standard RFC 9610 (JMAP for Contacts). Anstatt vCard in JMAP zu zwängen, wurde parallel das Format JSContact (RFC 9553) entwickelt. Es deckt alle Funktionen von vCard ab, nutzt aber native JSON-Typen. Namen werden in klare Komponenten (Vorname, Nachname, Präfix) zerlegt, und Telefonnummern sowie E-Mails sind in simplen Arrays strukturiert. Clients können Adressbücher und Kontakte mit exakt derselben Delta-Sync-Logik abfragen, die sie für E-Mails verwenden.

Kalender und Aufgaben (JSCalendar)

Analog zur Kontaktverwaltung kämpft die Kalenderwelt mit CalDAV und iCalendar (RFC 5545). Das Parsen von iCalendar-Dateien, speziell bei wiederkehrenden Terminen mit Ausnahmen, ist berüchtigt für seine Komplexität.

Das neue Format JSCalendar (RFC 8984) löst diese Probleme durch eine saubere JSON-Repräsentation von Terminen. Die dazu passende JMAP-Erweiterung „JMAP for Calendars“ (draft-ietf-jmap-calendars-26) befindet sich aktuell in der finalen Prüfungsphase der IETF und wird in Kürze als offizieller Standard erwartet. Diese Erweiterung erlaubt es Clients, Kalender, Events und Einladungen (RSVP) hochperformant zu synchronisieren, ohne die ressourcenintensiven XML-Abfragen (REPORT) von CalDAV nutzen zu müssen.

Erweiterte Groupware-Funktionen

Um Microsoft Exchange oder komplexe Groupware-Suiten vollständig abzulösen, wurden weitere Spezialfunktionen in das Protokoll integriert:

• JMAP Sharing (RFC 9670): Ein universelles Modell, um Postfächer, Kalender oder Adressbücher sicher mit anderen Nutzern oder Teams zu teilen, inklusive feingranularer Zugriffsrechte.
• Sieve Scripts (RFC 9661): Erlaubt die direkte Verwaltung von serverseitigen Filterregeln über die JMAP-API, ohne das alte ManageSieve-Protokoll nutzen zu müssen.
• Quotas (RFC 9425): Ermöglicht Clients die strukturierte Abfrage von Speicherplatzlimits.
• Blob Management (RFC 9404): Trennt große Binärdaten (wie Dateianhänge) vom JSON-Metadaten-Strom. Anhänge werden separat hochgeladen und über eine ID im JSON referenziert.

Aktuelle Software-Unterstützung: Wer nutzt JMAP bereits?

Trotz der massiven technischen Vorteile von JMAP verläuft die Marktdurchdringung eher langsam. Große Anbieter wie Google oder Microsoft haben viel in ihre eigenen proprietären APIs (Gmail API, Microsoft Graph) investiert und haben wenig kommerzielles Interesse daran, einen offenen Standard zu fördern, der den Wechsel zu anderen Anbietern erleichtert. Dennoch etabliert sich aktuell ein starkes Ökosystem, getrieben von Open-Source-Projekten und datenschutzfokussierten Entwicklern.

Auf Serverseite ist Fastmail, der ursprüngliche Entwickler des Protokolls, der größte Anbieter in der Praxis. Der Apache James Server (Java) bietet JMAP-Unterstützung ab der Version 3.0. Ebenfalls stark vertreten ist der Cyrus IMAP Server, der JMAP in seiner 3.0-Serie tief integriert hat.

Die wohl spannendste aktuelle Entwicklung im Server-Bereich ist der Stalwart Mail Server. Dieser moderne, in Rust geschriebene Open-Source-Server unterstützt als eines der ersten Systeme alle veröffentlichten JMAP-Erweiterungen (E-Mail, Kontakte, Sieve, Sharing) und sogar die Drafts für Kalender und Dateispeicherung. Er wird wegen seiner hohen Performance und Speichersicherheit zunehmend als Backend für neue Projekte gewählt.

Bei den Clients war die Auswahl lange Zeit begrenzt, aber das Bild wandelt sich drastisch. Nischen-Clients wie Ltt.rs (Android) oder Mailtemi (iOS/Android) beweisen bereits, wie schnell eine App reagieren kann, wenn sie nativ auf JMAP und JSContact setzt. Webmail-Lösungen wie Bulwark oder Cypht integrieren das Protokoll erfolgreich im Browser.

Der größte Katalysator für die Zukunft ist jedoch Mozilla Thunderbird. Das Entwicklerteam arbeitet derzeit an einer massiven Modernisierung der Codebasis. Für das Jahr 2026 plant Thunderbird die Integration von JMAP in seine neuen mobilen Apps (Android und iOS) sowie die Desktop-Version. Parallel dazu startet das Projekt den kostenpflichtigen Premium-Service „Thundermail“ (ehemals Thunderbird Pro), der auf Basis des Stalwart Servers direkt JMAP-Hosting aus einer Hand anbietet. Dies dürfte dem Protokoll in den kommenden Jahren zu einem enormen Schub in der Breite verhelfen.

Fazit und Ausblick

Das JSON Meta Application Protocol ist weit mehr als nur ein experimenteller Entwurf – es ist die dringend benötigte Modernisierung der globalen Kommunikationsinfrastruktur. JMAP löst elegante und performante Probleme, für die IMAP und SMTP nie konzipiert wurden.

Die Reduzierung von Latenzen, die Einsparung von mobiler Bandbreite, die Verlängerung von Akkulaufzeiten durch natives Push-Verhalten und die Abstraktion komplexer Parser-Logiken in standardisiertes JSON machen JMAP technisch überlegen. Mit der Ausweitung auf Kontakte (RFC 9610) und Kalender entwickelt sich JMAP zu einer vollwertigen, protokollübergreifenden Groupware-Alternative, die proprietäre APIs und veraltete DAV-Konstrukte ersetzen kann.

Entwickler und Systemarchitekten, die heute neue Kommunikationslösungen, Webmailer oder Automatisierungs-Skripte bauen, sollten IMAP getrost hinter sich lassen. Die Arbeit mit einer konsistenten JSON-API über HTTP beschleunigt die Entwicklung enorm. Mit der zunehmenden Unterstützung durch robuste Server wie Stalwart und der strategischen Ausrichtung von Marktgrößen wie Thunderbird ist JMAP nicht mehr nur ein Konzept für Enthusiasten, sondern das E-Mail-Protokoll der Zukunft.

Eigentlich dachte ich, die Zeiten der ganz großen politischen Märchen sind vorbei. Aber was Kanzler Friedrich Merz und Finanzminister Lars Klingbeil uns derzeit als wirtschaftspolitischen Befreiungsschlag verkaufen wollen, verschlägt mir wirklich die Sprache. Da stellt sich die Koalition vor die Kameras und spricht von Investitionen und einer starken Zukunft. Wenn man sich die echten Zahlen ansieht, bleibt von dieser Inszenierung nur ein gigantischer Haufen Schulden und ein Frontalangriff auf den Geldbeutel der normalen Bürger übrig.

Die Regierung ist in eine absolute Sackgasse manövriert. Anstatt echte Reformen anzugehen, bedient man sich schamlos bei denen, die sich am wenigsten wehren können. Ich rede von absurden Mehrwertsteuerexperimenten, einer Gasreserve auf Ihre Kosten und einem Bundeshaushalt, der kommende Regierungen durch eine erdrückende Zinslast komplett handlungsunfähig machen wird.

Die 21-10-0-Mogelpackung an der Supermarktkasse

Besonders dreist ist das Vorhaben bei der Umsatzsteuer. In den Ministerien kursiert die sogenannte „21-10-0-Formel“. Der Plan: Die reguläre Mehrwertsteuer steigt von 19 auf satte 21 Prozent, der ermäßigte Satz klettert von 7 auf 10 Prozent und Lebensmittel sollen im Gegenzug steuerfrei werden.

Klingt auf den ersten Blick fast sozial. Ist es aber nicht. Das Ganze ist ein gigantischer Umverteilungstrick von unten nach oben. Allein die Erhöhung des Regelsatzes spült dem Finanzminister rund 31 Milliarden Euro in die Kasse. Die angebliche Entlastung bei Lebensmitteln kostet den Staat hingegen nur 12,5 Milliarden Euro. Bleiben unterm Strich bequeme 18,5 Milliarden Euro Mehreinnahmen für die Regierung.

Wer zahlt diese Zeche? Sie ahnen es. Die Mehrwertsteuer ist die brutalste aller Steuern, weil sie den Supermarktkassierer relativ zu seinem Einkommen viel härter trifft als den Spitzenverdiener. Wer ein kleines Budget hat, gibt fast sein gesamtes Geld für den Konsum aus.

Und glauben Sie wirklich, dass die Supermarktketten die 0-Prozent-Steuer auf Lebensmittel brav an Sie weitergeben? Erinnern Sie sich an den Tankrabatt oder die gesenkte Gastro-Steuer. Das Geld versickerte in den Bilanzen der Konzerne. Am Ende zahlen Singles und Familien Hunderte Euro im Jahr mehr für Strom, Kleidung und Dienstleistungen, während die Lebensmittelpreise wundersam stabil bleiben.

Ihre Gasrechnung finanziert die staatliche Panikmarge

Beim Thema Energie wird es nicht besser. Weil der Markt in Krisenzeiten nicht funktioniert, plant das Bundeswirtschaftsministerium nun eine eigene strategische Gasreserve in Höhe von rund 24 Terawattstunden. Das entspricht etwa zehn Prozent der gesamten deutschen Speicherkapazität.

Grundsätzlich ist es keine schlechte Idee, sich gegen plötzliche Importausfälle abzusichern. Der Haken an der Sache ist die Finanzierung. Die geschätzten 1,2 bis 1,5 Milliarden Euro für den Aufbau und die 180 Millionen Euro an jährlichen Betriebskosten zahlt nicht etwa der Staat aus seinem ohnehin aufgeblähten Haushalt. Nein, diese Kosten werden über eine neue Umlage direkt auf Ihre Gasrechnung abgewälzt.

Der Staat feiert sich für die garantierte Versorgungssicherheit, aber Sie dürfen die Rechnung begleichen. Oben drauf kommen noch der steigende CO2-Preis und die explodierenden Netzentgelte. Heizen wird für Normalverdiener so langsam zum absoluten Luxusgut.

200 Milliarden Schulden und das Märchen der Solidität

Wenn man sich den Haushaltsentwurf 2027 ansieht, muss man sich fragen, ob die Verantwortlichen den Bezug zur Realität komplett verloren haben. Wir sprechen hier von Ausgaben in Höhe von 555,4 Milliarden Euro.

Und wie finanziert Herr Klingbeil das Ganze? Mit einer Kreditkarte, die auf den Namen künftiger Generationen ausgestellt ist. Allein im Kernhaushalt nimmt der Bund 118,7 Milliarden Euro an neuen Schulden auf. Rechnet man die Schattenhaushalte und Sondervermögen für die Bundeswehr sowie für Infrastruktur und Klimaneutralität dazu, landen wir bei einer gigantischen Neuverschuldung von knapp 200 Milliarden Euro in einem einzigen Jahr.

Bis 2030 wird jeder achte Euro aus dem Etat nur noch für den Schuldendienst draufgehen. Das bedeutet schlichtweg, dass künftige Regierungen handlungsunfähig sein werden. Es ist kein Geld mehr da für echte Investitionen, weil wir von Zinszahlungen erdrückt werden.

Wo man wirklich Geld sparen könnte

Mir platzt bei diesen Plänen wirklich der Kragen, denn es gäbe genügend echte Alternativen, um die Staatskassen zu füllen, ohne die arbeitende Mitte auszuquetschen. Ökonomen wie der DIW-Präsident Marcel Fratzscher und der Deutsche Gewerkschaftsbund machen seit Monaten konkrete Vorschläge.

Hier ist eine kurze Liste von Dingen, die man sofort ändern könnte, wenn man den politischen Mut dazu hätte:

• Vermögen und Erbschaften besteuern: Wir haben eine extreme Ungleichheit im Land. Eine reformierte Erbschaftsteuer und eine maßvolle Vermögensteuer für Multimillionäre könnten Milliarden bringen. Kanzler Merz blockiert eine höhere Besteuerung von Spitzenverdienern jedoch kategorisch.
• Klimaschädliche Subventionen streichen: Warum subventionieren wir immer noch das Dienstwagenprivileg? Warum erhöhen wir die Pendlerpauschale sogar noch auf 38 Cent, wie es die Regierung gerade erst getan hat? Das kostet den Staat Unsummen und fördert falsche Anreize.
• Minijobs reformieren: Wie Experten fordern, sollten diese prekären Arbeitsverhältnisse abgeschafft oder zumindest drastisch eingeschränkt werden. Das würde Menschen in sozialversicherungspflichtige Jobs bringen und die Kassen füllen.

Stattdessen kürzt die Regierung lieber beim Klimaschutz. Aus dem Klima- und Transformationsfonds werden mal eben 2,7 Milliarden Euro zweckentfremdet, um Lücken im Kernhaushalt zu stopfen. Das ist eine offene Kampfansage an jede Form von Zukunftsplanung.

Wir müssen uns ernsthaft fragen, wie lange wir uns diese Politik noch leisten wollen. Eine Regierung, die 200 Milliarden Euro Schulden macht und sich das Geld über höhere Supermarktpreise bei den Normalverdienern zurückholt, hat den Kompass verloren.

Vergessen Sie alles, was Sie über Fair Play zu wissen glauben. Streichen Sie das Wort „Regelwerk“ aus Ihrem Gedächtnis. Was wir bei der Fußball-Weltmeisterschaft 2026 in den USA erlebt haben, war kein Sport mehr. Es war eine politische Machtdemonstration, die das internationale Völkerrecht des Sports vor den Augen von Milliarden Zuschauern hingerichtet hat.

Ich spreche nicht von einer umstrittenen Abseitsentscheidung. Ich spreche davon, wie Donald Trump zum Telefonhörer griff, um eine korrekte Rote Karte gegen seinen Stürmer Folarin Balogun aus den Geschichtsbüchern streichen zu lassen. Und ich spreche von einem FIFA-Präsidenten, Gianni Infantino, der sich so tief vor der Macht im Weißen Haus bückte, dass man das Brechen seiner Wirbelsäule bis nach Zürich hören konnte.

Das hier ist kein normaler Skandal. Das ist der Punkt, an dem wir uns ernsthaft fragen müssen, ob Verbände wie der DFB noch Teil dieses Zirkus sein dürfen. Aber lassen Sie uns vorn anfangen.

Der Tatort: Ein Pfiff und die Illusion von Regeln

1. Juli 2026. San Francisco. USA gegen Bosnien-Herzegowina.

US-Star Folarin Balogun tritt dem bosnischen Verteidiger Tarik Muharemovic in der 64. Minute voll auf den Knöchel. Der Schiedsrichter konsultiert den VAR. Er sieht die Zeitlupe. Er zieht glatt Rot.

In einer Welt, in der Regeln existieren, ist die Sache damit beendet. Das Völkerrecht der FIFA ist hier ausnahmsweise mal unmissverständlich: Artikel 66.4 des Disziplinarreglements besagt, dass ein Feldverweis automatisch eine Sperre nach sich zieht. Keine Ausnahmen.

Das wusste der US-Trainer. Das wusste der nächste Gegner Belgien. Wir alle wussten es. Wir hatten nur nicht mit dem gekränkten Ego von Donald Trump gerechnet.

Die Erpressung: Wie das Weiße Haus die FIFA einknickte

Donald Trump gefiel die Karte nicht. Also rief er laut übereinstimmenden Berichten Gianni Infantino an. Nicht einmal, sondern mehrfach. Er bat nicht. Er forderte.

Gleichzeitig brachte eine Taskforce des Weißen Hauses juristische Schritte in Stellung, um die Nutzung des VAR bei der Weltmeisterschaft generell verbieten zu lassen. Die US-Regierung drohte allen Ernstes, das gesamte Turnier juristisch zu torpedieren, weil ihr Lieblingsstürmer duschen gehen musste. Das ist keine Diplomatie, das ist Schutzgelderpressung.

Und die FIFA? Die Organisation, die unentwegt von „Integrität“ schwafelt? Sie kapitulierte bedingungslos. Keine 24 Stunden vor dem Achtelfinale wurde Baloguns Sperre wie von Zauberhand aufgehoben. Trump feierte sich auf Truth Social sofort selbst für die Beseitigung dieser „großen Ungerechtigkeit“.

Mir dreht sich der Magen um. Die Ungerechtigkeit bestand darin, dass ein Staatschef die Regeln eines globalen Turniers diktiert.

Die absurde Ironie des „Ankerbabys“

Man muss den Zynismus dieser Aktion lieben. Balogun ist der Sohn nigerianischer Eltern, wuchs in London auf und darf nur für die USA spielen, weil er zufällig in New York geboren wurde, als seine Mutter nicht mehr fliegen durfte (Birthright Citizenship).

Trump hasst dieses Prinzip abgrundtief. Er nennt solche Kinder „Ankerbabys“ und wollte das Gesetz erst kürzlich vor dem Supreme Court kippen. Aber wenn das „Ankerbaby“ plötzlich Tore bei der Heim-WM schießt, wirft Trump seine rassistische Ideologie über Bord und rettet den Jungen per Telefonjoker. Prinzipien? Fehlanzeige. Es geht nur um den billigen patriotischen Effekt.

Juristische Akrobatik für Superstars

Wie hat die FIFA diesen eklatanten Regelbruch verpackt? Mit Artikel 27. Man wandelte die zwingende Sperre einfach in eine „Bewährungsstrafe“ um.

Balogun behielt die Karte auf dem Papier, durfte aber trotzdem gegen Belgien spielen. Dieser Artikel war nie dafür gedacht, glasklare Tatsachenentscheidungen auf Zuruf von Politikern zu annullieren. Aber das Völkerrecht der FIFA ist eben flexibel, wenn man Macht hat. Cristiano Ronaldo durfte sich vor der letzten WM über eine ähnliche Sonderbehandlung freuen – zufällig kurz nachdem auch er im Weißen Haus zu Gast war. Die Botschaft: Bist du ein Star oder kennst den US-Präsidenten, baut dir Infantino eine Extrawurst.

Der „FIFA Peace Prize“: Die Anzahlung für den Verrat

Warum riskiert Infantino den letzten Rest Glaubwürdigkeit für Trump? Gehen wir zurück in den Dezember 2025 zur WM-Auslosung in Washington.

Dort überreichte Infantino dem US-Präsidenten den völlig erfundenen „FIFA Peace Prize“. Zu den Klängen von „YMCA“ hängte sich Trump eine wertlose Blechmedaille um den Hals, während Infantino ihm für seine „Friedensbemühungen“ dankte.

Es war eine geopolitische Schmiergeldzahlung. Die FIFA braucht Steuerbefreiungen, Visa und Polizeischutz für das Turnier. Infantino kaufte sich Trumps Kooperation, indem er dessen Obsession für Preise fütterte, die er sonst nie gewinnt. Im Juli 2026 hat Trump dann einfach die Rendite für diese Medaille eingefordert: Du behältst deine Steuervorteile, ich bekomme meinen Stürmer zurück. Quid pro quo.

Die karmische Ohrfeige

Gott sei Dank hat der Fußball manchmal einen grandiosen Sinn für Humor. Trotz der aufgehobenen Sperre, trotz der mafiösen Methoden, fegte ein vor Wut schäumendes Belgien die USA im Achtelfinale mit 5:2 vom Platz. Balogun spielte 70 Minuten, traf nichts und flog raus. Poetische Gerechtigkeit auf dem Rasen, während die Büros in Zürich in Schande versinken.

Der unausweichliche Schluss: Infantino muss weg, sofort.

Wer nach diesem Balogun-Vorfall noch von einem „Betriebsunfall“ spricht, hat die Kontrolle über sein Leben verloren. Unter Sepp Blatter flossen Bargeldkuverts. Unter Gianni Infantino operiert die Korruption auf Staatsebene.

Die Rote Linie ist nicht überschritten worden; Infantino hat sie mit einem Bulldozer planiert. Er hat die ohnehin fragile Autonomie des Sports auf dem Silbertablett serviert. Wenn Trump heute die WM manipulieren kann, wer ruft dann bei der WM 2034 in Saudi-Arabien an? Mohammed bin Salman? Welche Regeln werden dann gelöscht?

Deshalb gibt es nur eine einzige Konsequenz: Gianni Infantino muss zurücktreten. Sofort.

Nicht morgen, nicht nach einer „internen Untersuchung“ durch seine hauseigene, zahnlose Ethikkommission. Heute. Wenn in diesem Verband auch nur ein mikroskopisch kleiner Funken Restanstand existiert, muss der Präsident noch am selben Tag seinen Schreibtisch räumen. Er hat das Regelwerk an die Politik verkauft. Er ist als Hüter des Fußballs untragbar geworden.

Ein Ultimatum an den DFB

Und was macht Europa? Man murmelt etwas von „Bedenken“. Das reicht nicht mehr.

Es ist an der Zeit, dass Verbände wie der Deutsche Fußball-Bund (DFB) endlich Rückgrat zeigen. DFB-Präsident Bernd Neuendorf und seine Kollegen in der UEFA müssen sich eine sehr simple Frage stellen: Wollen wir wirklich weiterhin Teil eines kriminellen Syndikats sein, das sich als Sportverband tarnt?

Wie viel Demütigung braucht der DFB noch? Nach dem peinlichen Einknicken bei der „One Love“-Binde in Katar lässt man sich jetzt von Trump und Infantino vorschreiben, wer bei einer WM spielberechtigt ist?

Es ist Zeit für ein Ultimatum. Der DFB, gemeinsam mit der UEFA, muss unmissverständlich erklären: Entweder Infantino tritt zurück, oder wir treten aus. Dann gibt es eben keine europäischen Teams mehr bei der FIFA-WM. Dann gründen wir einen neuen Weltverband. Einen, in dem das sportliche Völkerrecht wieder für alle gilt – vom Kreisligaspieler bis zum US-Superstar.

Die Belgier haben es auf dem Platz vorgemacht. Sie haben nicht diskutiert, sie haben Taten sprechen lassen (5:2). Es wird Zeit, dass die europäischen Funktionäre diese Wut endlich in die Konferenzräume tragen. Der Fußball, wie wir ihn kannten, ist tot. Aber vielleicht können wir auf seinen Trümmern etwas Neues aufbauen – vorausgesetzt, wir jagen die Totengräber endlich aus dem Amt.