Late in a large enterprise SAP transformation, the strategic governance conversations began to drift. Instead of executive decisions, we found ourselves debating whether the program needed dedicated testing, whether cutover required a full weekend, whether twenty Agile teams really needed coordination support and whether offshore resources were adding value at all.

The questions were not coming from the delivery teams. They were coming from the executive sponsor.

The sponsor had recently been elevated into a senior leadership role and had never sponsored a technology transformation at this scale. The challenge was not authority. The sponsor had every right to ask any question they wanted. The challenge was that strategic governance had quietly turned into a debate about delivery practices, because the sponsor did not yet have the transformation context to focus the conversation anywhere else.

This is not a story about a bad sponsor. The executive in this case was a capable senior leader with strong judgment and authentic intent. They had been placed into a role they had not yet been prepared for, and the pattern that followed was structural, not personal. It is one of the more common patterns I have observed across enterprise transformation programs, and one of the most consistently misdiagnosed.

Most program failures are not execution failures. They are sponsor mismatches.

When governance becomes a debate about delivery practices

When the sponsor does not understand what an enterprise transformation actually requires, governance forums stop functioning as decision bodies and start functioning as practice debates.

You see it in the questions that get asked. Why do we need a dedicated testing phase? Can the Build timeline be compressed? Why does cutover need a full weekend? Why do we need more Scrum Masters across 20 product teams? Can the US team simply work longer hours instead of using offshore resources? On one program, the sponsor suggested shifting the entire project’s working hours to India time, despite roughly 85 percent of the delivery organization being based in the United States.

None of these questions are unreasonable in isolation. Each one targets a real cost or timeline pressure. The problem is what is missing underneath them: an understanding of the operational risks the original choices were designed to mitigate.

When sponsors ask delivery-practice questions without that context, the program leadership team ends up defending the work instead of advancing it. Decision velocity drops. Trust between the program and its sponsor erodes. Senior delivery talent disengages from governance forums where the conversation never reaches the decisions they need made. What looks from the outside like an active sponsor producing engagement is, from inside the program, an active drain on the cycles needed to deliver.

The compounding cost is not unique to any single program. PMI’s research on executive sponsorship consistently identifies sponsor engagement quality, rather than sponsor presence alone, as one of the strongest predictors of project success. The visible symptom is debate. The actual cost is unmade decisions.

Authority is rarely the issue. Literacy is

When transformations stall under a mismatched sponsor, the diagnostic instinct is to question the sponsor’s authority. Are they senior enough? Do they have the cross-functional reach? Can they unblock?

In most of the programs I have led or advised, authority was not the limiting factor. The sponsor in the SAP program above had ample authority. They could unblock any decision the program needed. What had not been developed was the transformation literacy to know which decisions mattered, which were technical noise and which were execution risks that should not be optimized away.

This is what I have come to think of as the literacy problem. Sponsors elevated into transformation roles often have deep functional expertise (finance, operations, business unit leadership) but limited exposure to the distinct functions of PMO, organizational change management, agile delivery, testing and cutover, and how each one reduces a specific category of implementation risk. They are not expected to be SAP configuration experts. But they need enough transformation literacy to recognize which questions actually belong in a steering committee.

Harvard Business Review’s research on effective executive sponsorship has emphasized that sponsorship effectiveness depends as much on judgment as on authority. Judgment is where literacy becomes operational. A sponsor with authority but limited transformation literacy will optimize for speed and cost in ways that consistently underestimate risk. A sponsor with both will make the tradeoffs the program actually needs.

Prosci’s longstanding benchmark studies on change management have ranked active and visible executive sponsorship as the single greatest contributor to change success for two decades. The word that matters in that finding is active. Active sponsorship without transformation literacy can introduce real cost. Not because the sponsor is acting against the program, but because the optimization choices they make are based on incomplete information about what the program is built to protect against.

Shift the conversation from delivery practices to business risk

When the sponsor relationship is already in place and cannot be changed, the program leadership team has one move that consistently works: shift the conversation.

On the SAP program above, we stopped explaining why the testing phase existed. We started explaining the business risk of reducing it. We stopped debating the number of Scrum Masters. We started connecting delivery capacity to coordination across more than twenty Agile teams and the business cost of losing that coordination. We reframed offshore support as a way to maintain delivery momentum around the clock rather than asking the U.S. team to sustain fifteen-hour days.

The shift is from defending delivery practice to explaining business risk. The sponsor does not need to understand why testing takes the time it does. They need to understand what the program is exposed to if testing is compressed. They do not need to know how many Scrum Masters are statistically optimal for twenty Agile teams. They need to know what coordination breaks when the number is wrong.

This reframing accomplishes two things. First, it brings the conversation back to the level at which sponsors actually make decisions: tradeoffs between business outcomes and business risks. Second, it builds transformation literacy in the sponsor over time, almost as a byproduct. By the third or fourth iteration of business-risk-framed conversations, the sponsor begins to ask the right questions on their own.

In practice, this happens through small but deliberate moves. When the sponsor asks why a phase needs the time it takes, the program lead names two or three things that could go wrong if the time is cut and what each would cost the business. When the sponsor asks why a role is needed, the program lead names the work that would not get done without it. Every delivery-practice question gets converted into a business-risk answer.

The program leadership team’s job is not to make the sponsor an expert in SAP delivery. It is to provide enough transformation context so that executive decisions reflect both business priorities and implementation realities.

There are a few phrases I have used with executive sponsors over the years that capture the underlying issue. The sharpest one:

If the decision has to go above the sponsor, they are not the sponsor.

Sponsorship is defined by what the sponsor can decide without asking someone else. That is the test. Anything else is the appearance of sponsorship, not the substance.

For CIOs supporting enterprise transformation, the implication is direct. Sponsor selection, or sponsor preparation when selection is not an option, is not a hierarchy question. It is a transformation capability question. The same execution discipline that goes into defining decision rights, structuring governance and protecting delivery momentum should apply, with equal rigor, to assessing sponsor fit and building sponsor literacy before the program begins.

A sponsor does not need to be the technical expert. They do need to know when to trust the people who are.

This article is published as part of the Foundry Expert Contributor Network.
Want to join?

Late in a large enterprise SAP transformation, the strategic governance conversations began to drift. Instead of executive decisions, we found ourselves debating whether the program needed dedicated testing, whether cutover required a full weekend, whether twenty Agile teams really needed coordination support and whether offshore resources were adding value at all.

The questions were not coming from the delivery teams. They were coming from the executive sponsor.

The sponsor had recently been elevated into a senior leadership role and had never sponsored a technology transformation at this scale. The challenge was not authority. The sponsor had every right to ask any question they wanted. The challenge was that strategic governance had quietly turned into a debate about delivery practices, because the sponsor did not yet have the transformation context to focus the conversation anywhere else.

This is not a story about a bad sponsor. The executive in this case was a capable senior leader with strong judgment and authentic intent. They had been placed into a role they had not yet been prepared for, and the pattern that followed was structural, not personal. It is one of the more common patterns I have observed across enterprise transformation programs, and one of the most consistently misdiagnosed.

Most program failures are not execution failures. They are sponsor mismatches.

When governance becomes a debate about delivery practices

When the sponsor does not understand what an enterprise transformation actually requires, governance forums stop functioning as decision bodies and start functioning as practice debates.

You see it in the questions that get asked. Why do we need a dedicated testing phase? Can the Build timeline be compressed? Why does cutover need a full weekend? Why do we need more Scrum Masters across 20 product teams? Can the US team simply work longer hours instead of using offshore resources? On one program, the sponsor suggested shifting the entire project’s working hours to India time, despite roughly 85 percent of the delivery organization being based in the United States.

None of these questions are unreasonable in isolation. Each one targets a real cost or timeline pressure. The problem is what is missing underneath them: an understanding of the operational risks the original choices were designed to mitigate.

When sponsors ask delivery-practice questions without that context, the program leadership team ends up defending the work instead of advancing it. Decision velocity drops. Trust between the program and its sponsor erodes. Senior delivery talent disengages from governance forums where the conversation never reaches the decisions they need made. What looks from the outside like an active sponsor producing engagement is, from inside the program, an active drain on the cycles needed to deliver.

The compounding cost is not unique to any single program. PMI’s research on executive sponsorship consistently identifies sponsor engagement quality, rather than sponsor presence alone, as one of the strongest predictors of project success. The visible symptom is debate. The actual cost is unmade decisions.

Authority is rarely the issue. Literacy is

When transformations stall under a mismatched sponsor, the diagnostic instinct is to question the sponsor’s authority. Are they senior enough? Do they have the cross-functional reach? Can they unblock?

In most of the programs I have led or advised, authority was not the limiting factor. The sponsor in the SAP program above had ample authority. They could unblock any decision the program needed. What had not been developed was the transformation literacy to know which decisions mattered, which were technical noise and which were execution risks that should not be optimized away.

This is what I have come to think of as the literacy problem. Sponsors elevated into transformation roles often have deep functional expertise (finance, operations, business unit leadership) but limited exposure to the distinct functions of PMO, organizational change management, agile delivery, testing and cutover, and how each one reduces a specific category of implementation risk. They are not expected to be SAP configuration experts. But they need enough transformation literacy to recognize which questions actually belong in a steering committee.

Harvard Business Review’s research on effective executive sponsorship has emphasized that sponsorship effectiveness depends as much on judgment as on authority. Judgment is where literacy becomes operational. A sponsor with authority but limited transformation literacy will optimize for speed and cost in ways that consistently underestimate risk. A sponsor with both will make the tradeoffs the program actually needs.

Prosci’s longstanding benchmark studies on change management have ranked active and visible executive sponsorship as the single greatest contributor to change success for two decades. The word that matters in that finding is active. Active sponsorship without transformation literacy can introduce real cost. Not because the sponsor is acting against the program, but because the optimization choices they make are based on incomplete information about what the program is built to protect against.

Shift the conversation from delivery practices to business risk

When the sponsor relationship is already in place and cannot be changed, the program leadership team has one move that consistently works: shift the conversation.

On the SAP program above, we stopped explaining why the testing phase existed. We started explaining the business risk of reducing it. We stopped debating the number of Scrum Masters. We started connecting delivery capacity to coordination across more than twenty Agile teams and the business cost of losing that coordination. We reframed offshore support as a way to maintain delivery momentum around the clock rather than asking the U.S. team to sustain fifteen-hour days.

The shift is from defending delivery practice to explaining business risk. The sponsor does not need to understand why testing takes the time it does. They need to understand what the program is exposed to if testing is compressed. They do not need to know how many Scrum Masters are statistically optimal for twenty Agile teams. They need to know what coordination breaks when the number is wrong.

This reframing accomplishes two things. First, it brings the conversation back to the level at which sponsors actually make decisions: tradeoffs between business outcomes and business risks. Second, it builds transformation literacy in the sponsor over time, almost as a byproduct. By the third or fourth iteration of business-risk-framed conversations, the sponsor begins to ask the right questions on their own.

In practice, this happens through small but deliberate moves. When the sponsor asks why a phase needs the time it takes, the program lead names two or three things that could go wrong if the time is cut and what each would cost the business. When the sponsor asks why a role is needed, the program lead names the work that would not get done without it. Every delivery-practice question gets converted into a business-risk answer.

The program leadership team’s job is not to make the sponsor an expert in SAP delivery. It is to provide enough transformation context so that executive decisions reflect both business priorities and implementation realities.

There are a few phrases I have used with executive sponsors over the years that capture the underlying issue. The sharpest one:

If the decision has to go above the sponsor, they are not the sponsor.

Sponsorship is defined by what the sponsor can decide without asking someone else. That is the test. Anything else is the appearance of sponsorship, not the substance.

For CIOs supporting enterprise transformation, the implication is direct. Sponsor selection, or sponsor preparation when selection is not an option, is not a hierarchy question. It is a transformation capability question. The same execution discipline that goes into defining decision rights, structuring governance and protecting delivery momentum should apply, with equal rigor, to assessing sponsor fit and building sponsor literacy before the program begins.

A sponsor does not need to be the technical expert. They do need to know when to trust the people who are.

This article is published as part of the Foundry Expert Contributor Network.
Want to join?

Der heimliche Cybercrime-Akt zweier KI-Modelle von OpenAI hat weltweit ein enormes Echo in Mainstream– und sozialen Medien hervorgerufen. Der Vorfall dürfte die Debatte über die allgemeine KI-Sicherheit und den verantwortungsvollen Umgang mit der Technologie neu befeuern.

Doch der Incident wirft auch spezifische Fragen auf. Etwa, wie genau die OpenAI-Modelle es geschafft haben, ihrer Sandbox zu entkommen und warum das beim ChatGPT-Erfinder zunächst niemandem aufgefallen ist. Oder, wie andere Unternehmen solche und ähnliche Vorkommnisse künftig verhindern können. Dazu haben wir die Einschätzung von Branchenexperten und Analysten eingeholt.

Zunächst werfen wir aber noch einen kurzen Blick darauf, was sich eigentlich abgespielt hat. Falls Sie bereits informiert sind, können Sie alternativ auch das nachfolgende Meme konsumieren, um sich den Vorfall noch einmal auf unkonventionellere Art und Weise vor Augen zu halten.

Der autonome Hugging-Face-Hack

Die KI-Plattform Hugging Face meldete Mitte Juli einen Cyberangriff auf ihre Produktions-Infrastruktur. Diese wurde offenbar vollständig autonom von einem agentenbasierten KI-System gefahren, das sich dabei sowohl Zugriff auf interne Datensätze als auch auf Zugangsdaten verschaffen konnte.  

Wie sich im Rahmen der folgenden Untersuchung herausstellte, stammte die autonom hackende KI von OpenAI. Eigentlich wollte der KI-Pionier lediglich zwei seiner neuen Modelle – GPT 5.6 Sol sowie ein nicht näher spezifiziertes Pre-Release-Modell – innerhalb einer Sandbox mit dem Benchmarking-Tool ExploitGym testen.

Die Aufgabe für die KI: Schwachstellen in tragfähige Exploits zu verwandeln. Die Testumgebung selbst war OpenAI zufolge mit beschränktem Netzwerkzugriff ausgestattet. Die KI sollte lediglich auf einen intern gehosteten Drittanbieter-Service zugreifen können, der als Proxy und Cache für eine Package-Registry fungierte. Die Guardrails auf Modellebene waren für den Test laut dem KI-Unternehmen reduziert worden.

Das war der KI aber offenbar nicht genug: Sie verkettete zunächst einige zuvor unbekannte Schwachstellen in der Testumgebung, um sich uneingeschränkten Internet-Zugriff zu verschaffen, wie OpenAI in einem Blogbeitrag offenlegt: „Mit diesem Zugriff führten unsere Modelle in unserer Forschungsumgebung eine Reihe von Privilege-Escalation- und Lateral-Movement-Aktionen aus, bis sie eine Node mit Internetzugang erreichten.“

Weil die OpenAI-Modelle bei Hugging Face offenbar Lösungen für ihre ExploitGym-Aufgaben vermuteten, suchten sie nach Möglichkeiten, Zugriff auf diese zu erhalten. Und fanden sie dann auch, wie OpenAI darlegt: „In einem Beispiel verkettete das Modell mehrere Angriffsvektoren, darunter gestohlene Zugangsdaten und Zero-Day-Schwachstellen, um auf den Servern von Hugging Face einen Remote-Execution-Pfad zu finden.“

Das Security-Team von OpenAI konnte diese Vorgänge im Nachgang identifizieren und schloss sich daraufhin mit dem Team von Hugging Face zusammen, welches die Attacke seinerseits bereits identifiziert und (mit einigen Anlaufschwierigkeiten) eingedämmt hatte.

„Wir betrachten dies als beispiellosen Cybervorfall mit hochentwickelten Fähigkeiten und reagieren entsprechend. Wir teilen zu diesem Zeitpunkt vorläufige Erkenntnisse, damit Sicherheitsverantwortliche nachvollziehen können, was passiert ist, und besser einschätzen können, wozu die Modelle inzwischen in der Lage sind“, schreibt OpenAI in seinem Blog – und verspricht, weitere Details zu veröffentlichen, sobald diese vorliegen.

KI-Ausbruch bei OpenAI – so reagieren Experten

Branchenexperten und Analysten bewerten den schlagzeilenträchtigen Incident um OpenAI und Hugging Face folgendermaßen:

• Alexei Balaganski, Lead Analyst bei KuppingerCole: „Dieser Vorfall sollte nicht als ‚Rogue AI‘-Geschichte betrachtet werden. Das Modell hat exakt das getan, wofür agentische Systeme gemacht sind: Es hat sich allen verfügbaren Tools und Wegen bedient, um das ihm gesetzte Ziel zu erreichen. Die Sicherheitsvorkehrungen, die es normalerweise in Zaum gehalten hätten, wurden von OpenAI selbst zu Testzwecken deaktiviert. Darin besteht die wahre Lektion.“
• Jonathan Care, Lead Analyst und AI Practice Lead bei KuppingerCole: „Es geht bei diesem Vorfall nicht darum, dass eine KI ausgebrochen ist und zum Angreifer wurde. Wir wussten, das würde passieren. Bemerkenswert ist allerdings, dass die Verteidiger – in diesem Fall das Team von Hugging Face – keine kommerziellen KI-Modelle nutzen konnten, um den Angriff zu analysieren. Denn deren Guardrails sorgen dafür, dass kein Exoploit-Code verarbeitet werden kann.“
• Gerald Beuchelt, CISO bei Acronis: „Der Vorfall verdeutlicht eine zentrale Herausforderung für Incident-Response-Teams: Angreifer sind nicht an Nutzungsrichtlinien gebunden. Verteidiger können hingegen an die Grenzen ihrer eigenen Tools stoßen, wenn diese genau jene Daten nicht verarbeiten, die für eine Untersuchung erforderlich sind. Im Ernstfall können daraus Verzögerungen mit unmittelbaren operativen Folgen entstehen.“
• Sabine Frömling, Experten-Autorin und Cybersecurity-Beraterin: „Der eigentliche Sicherheitsvorfall war nicht die KI – sondern die Sandbox, die aus Versehen eine Tür zum Internet hatte. Man hat ein Raubtier freigelassen und dem Zaun die Schuld gegeben.“
• Martin Zugec, Technical Solutions Director bei Bitdefender: „Was meiner Meinung nach für KI-generierte Malware galt, untermauert auch dieser Vorfall: Die Bedrohung ist real, KI ist aber keine Magie. Wer glaubt, es mit einer neuartigen Superwaffe zu tun zu haben, wartet auf eine neuartige Gegenmaßnahme. Wer jedoch erkennt, dass es sich um bereits bekannte, aber unerbittlich angewandte Angriffstechniken handelt, weiß bereits, was zu tun ist.“
• Richard Werner, Cybersecurity Platform Lead Europe bei TrendAI: „Das Narrativ von der ‚eigenmächtig handelnden KI‘ ist effizient darin, Verantwortung abzuwälzen. Das ist, als würden Sie eine autonome Waffe bauen, diese auf einem vermeintlich sicheren Testgelände erproben, sie außer Kontrolle geraten und jemanden treffen lassen – und der Welt anschließend erklären, die Waffe habe eigenständig gehandelt. Das ist zwar technisch korrekt. Dennoch bleibt es Ihre Waffe, Ihr Testgelände und Ihr Versagen.“

Was Unternehmen jetzt tun sollten

IT- und Sicherheitsentscheider können aus dem Hugging-Face-Hack mehrere Lektionen ziehen. Etwa, dass Sicherheitsvorkehrungen auf Modellebene nicht als primäre Security-Grenze für KI-Agenten geeignet sind, wie Biswajeet Mahapatra, Principal Analyst bei Forrester, festhält: „Prompt-Guardrails sind keine Sicherheits-, sondern Verhaltenskontrollmaßnahmen. Und diese können versagen, umgangen oder absichtlich deaktiviert werden.“

Der Forrester-Analyst rät Unternehmen deshalb dazu, KI-Agenten als hochriskante, nicht-menschliche Identitäten zu behandeln – und jeden einzelnen in einer isolierten Umgebung zu betreiben, in der Datenzugriff auf den jeweiligen Task beschränkt bleibt und die Zugangsdaten selbst möglichst schnell ablaufen: „Das sorgt für einen akzeptablen ‚Blast Radius‘: Wird ein Agent kompromittiert, kann er nur einen einzigen Workflow, Datensatz oder eine einzige Anwendung beeinträchtigen. Anstatt die gesamte Unternehmensinfrastruktur.“

Sanchit Vir Gogia, Chefanalyst bei Greyhound Research, warnt an dieser Stelle davor, (Drittanbieter-)Services unter den Tisch fallen zu lassen: „Dienste, die auf Package Registries, Update-Systeme oder andere externe Ressourcen zugreifen, können ebenfalls zu Einfallstoren werden, wenn sie nicht derselben, ausgiebigen Prüfung unterzogen werden wie der Agent selbst.“

Unabhängig davon sollten Unternehmen laut Gogia auch testen, ob ihre Containment-Grenzen auch funktionieren, anstatt sich allein auf Architekturdiagramme oder dokumentierte Richtlinien zu verlassen: „Im Rahmen dieser Tests sollte geprüft werden, ob Anmeldedaten erlangt, Trust-Grenzen überwunden und Systeme außerhalb der einem Agenten zugewiesenen Aufgabe erreicht werden können.“

KuppingerCole-Chefanalyst Care rät IT-Entscheidern und Unternehmen im Wesentlichen zu drei Maßnahmen, nämlich:

• ein fähiges Modell auf der eigenen Infrastruktur auszuführen, das unter der eigenen Kontrolle steht und mit Guardrails ausgestattet ist, die sowohl eine forensische als auch defensive Nutzung ermöglichen. Nur so ließen sich Angriffe dieser Art auch zuverlässig analysieren.
• jeden KI-Agent in der eigenen Umgebung als privilegierten Insider zu behandeln – statt als vertrauenswürdigen Benutzer: „Wenn die Modelle von OpenAI aus ihrer Sandbox ausgebrochen sind, sollten Sie davon ausgehen, dass Ihre Agenten dazu auch in der Lage sind.“
• den eigenen Incident-Response-Plan mit Blick auf Angriffe in maschineller Geschwindigkeit zu aktualisieren: „Hugging Face hatte einige Tage Zeit, um zu reagieren, Sie haben vielleicht nur Minuten.“   

Acronis-CISO Beuchelt rät Organisationen, die gehostete LLMs für Security-Untersuchungen einsetzen, dazu, deren Grenzen möglichst bereits im Vorfeld zu durchdringen und zu testen – sowie ein alternatives Modell auf der eigenen Infrastruktur bereitzuhalten: „So reduzieren Sie das Risiko, im entscheidenden Moment keinen Zugriff auf wichtige Analysefunktionen zu haben. Gleichzeitig bleiben sensible Incident-Daten und Zugangsinformationen innerhalb der eigenen Organisation.“

Udo Schneider, Governance, Risk & Compliance Lead Europe bei TrendAI weist darauf hin, dass die beiden naheliegendsten Lösungsansätze bei Angriffen wie dem der OpenAI-KI auf Hugging Face nur teilweise greifen. Human-in-the-Loop-Kontrollen funktionierten zwar, so der Experte, skalierten aber nicht für die langlaufenden, komplexen Workflows, denen Incidents dieser Art entspringen. Ebenso könnten engere Guardrails für Modelle oder Prompts zwar helfen, stellten jedoch keine Garantie dar: „Es handelt sich um probabilistische Systeme. Eine Guardrail ist insofern keine Mauer, sondern eher eine starke Wahrscheinlichkeitsannahme.“

Deshalb komme es laut Schneider vor allem auf die unspektakulären, nicht-KI-spezifischen Kontrollen an: „Zugriffsfilterung, Kontrolle darüber, was überhaupt als Input beim Modell ankommt, Sandboxes, die tatsächlich halten, und Berechtigungskonzepte nach dem Least-Privilege-Prinzip.“

In Panik zu verfallen, wäre nach Ansicht von Martin Zugec, Technical Solutions Director bei Bitdefender, in jedem Fall die falsche Reaktion:„Was gegen solche Angriffe wirkt, ist eine präventionsorientierte Security, die den Handlungsspielraum eines Angreifers von vorneherein einschränkt – und eine verhaltensbasierte Abwehr, die bösartige Muster kennzeichnet, unabhängig davon, mit welchen Tools diese generiert wurden.“

Dieser Artikel wurde mit Material unserer Schwesterpublikation CSOonline.com angereichert.

SAP-Anwenderunternehmen stehen unter Druck, auf SAP S/4HANA zu wechseln, weil die Mainstream-Wartung für SAP ERP (SAP ECC 6.0) Ende 2027 ausläuft und die bis Ende 2030 geltende erweiterte Wartung kostenpflichtig ist.

Zwar stellt SAP mit der „SAP ERP, Private Edition, Transition Option“ eine weitere Wartungsverlängerung bis 2033 in Aussicht. Da diese einer Neuimplementierung gleichkommt, bleibt SAP-Kunden mehr Zeit für die Planung, die Analyse und das Changemanagement. Der Nachteil: Wer diese Option nutzt, läuft Gefahr, technologisch ins Hintertreffen zu geraten, da Innovationen nahezu ausschließlich für SAP S/4HANA bereitgestellt werden.

Zögerliche SAP-S/4HANA-Transformation trotz Wartungsdruck

Obwohl der Druck hoch ist, hat eine große Zahl der SAP-Bestandskunden die Transformation auf die seit 2015 verfügbare ERP-Suite offenbar noch nicht vollzogen. Eine COMPUTERWOCHE-Expertenrunde zeigte, wo die größten Hürden liegen und was erfolgreiche Projekte auszeichnet.

Warum etliche Unternehmen die Transformation vor dem regulären Wartungsende scheuen und stattdessen zwei Prozent Mehrkosten für die erweiterte Wartung einkalkulieren, brachte ein Teilnehmender auf den Punkt: Firmen haben über Jahrzehnte in ihre SAP-ERP-Lösung investiert und sie an individuelle Prozessanforderungen angepasst, damit die Abläufe entlang der Supply Chain reibungslos laufen. Er habe daher in den vergangenen zehn Jahren keinen Kunden erlebt, der freiwillig umsteigen wollte. Alle hätten gesagt, dass sie müssen.

Nach Erfahrungswerten eines weiteren Experten nutzen erst rund 20 Prozent der SAP-Kunden SAP S/4HANA als Kernapplikation produktiv, unter anderem, weil entsprechende Transformationsprojekte auf sieben bis neun Jahre angelegt sind.

Altlasten bremsen die SAP-S/4HANA-Transformation

Unternehmen, die sich für den Wechsel entscheiden, verzichten häufig auf jede Modernisierung. Sie vollziehen einen Eins-zu-eins-Umstieg ohne Code-Modifikation, sei es in Form einer System Conversion (Brownfield-Ansatz) oder per Lift and Shift in SAP Cloud ERP Private (früher: SAP S/4HANA Cloud Private Edition). Dabei ist eine große Zahl von SAP-ERP-Installationen gar nicht zukunftsfähig, weil sie auf Prozessen aus den 1990er Jahren basieren und im Lauf der Jahre durch zahlreiche Eigenentwicklungen erweitert wurden.

Nicht selten gibt es bis zu mehrere tausend kundeneigene Programme im Z/Y-Namensraum, die zum Teil nicht mehr genutzt werden und das System unnötig belasten. Die Experten waren sich einig, dass eine solche rein technische Migration, bei der Altlasten wie ABAP-Eigenentwicklungen mitgeschleppt werden, keinen Mehrwert für das Unternehmen bringt.

Es muss geprüft werden, welche Eigenentwicklungen beibehalten werden, weil sie wettbewerbsdifferenzierend und damit geschäftskritisch sind, und welche gelöscht werden müssen, weil sie nicht genutzt werden oder weil es dafür inzwischen SAP-Standardfunktionen gibt. Handlungsbedarf besteht auch bei einer dreistelligen Anzahl von Buchungskreisen, von denen niemand weiß, welche noch benötigt werden, oder bei zahlreichen Dubletten in den Kreditoren- und Debitorenstammdaten.

Studie “SAP S4HANA”: Sie können sich noch beteiligen!

Zum Thema SAP S4HANA führt die COMPUTERWOCHE derzeit eine Multi-Client-Studie unter IT-Verantwortlichen durch. Haben Sie Fragen zu dieser Studie oder wollen Partner bei dieser Studie werden, helfen wir Ihnen unter research-sales@foundryco.com gerne weiter.

Migrations-Tools und KI-Agenten beschleunigen den Umstieg

Um diesen Prüf- und Bereinigungsaufwand zu bewältigen, bietet SAP mehrere Tools, um die Transformation auf SAP S/4HANA zu vereinfachen: darunter SAP Activate, SAP Cloud ALM, Migration Cockpit, Readiness Check, Custom-Code-Check oder Modifikationsabgleich. Ergänzt werden sie durch Lösungen wie Signavio für die Prozessanalyse. Die Experten schätzen den Effizienzgewinn durch solche Migrationswerkzeuge auf 30 bis 50 Prozent.

Zusätzliche Produktivität versprechen KI-Agenten, die Altsysteme automatisiert analysieren, Code bereinigen und Datenflüsse transformieren. Das reduziert den Migrationsaufwand und beschleunigt den Umstieg.

Scope-Management als Schlüssel für den Projekterfolg

Einig waren sich die Teilnehmenden, dass SAP-S/4HANA-Transformationsprojekte in der Regel nicht an der Technologie scheitern, sondern an einer mangelhaften Scope-Definition und am unzureichenden Changemanagement.

Ein Scope-Management vor dem Projektstart, das berücksichtigt, wie viel Veränderung der IT-Organisation und den Fachbereichen zugemutet werden kann, sei essenziell für den Erfolg, sagte einer der Teilnehmenden. Es erfordert die Fähigkeit zu priorisieren und ein iteratives Vorgehen, bei dem zunächst geschäftskritische Must-haves und Quick Wins umgesetzt werden. Weniger wichtige Nice-to-haves folgen später. Wer dagegen in der Konzeptionsphase bereits den großen Wurf anstrebt, wird voraussichtlich scheitern. Als Beispiel wurde der direkte Umstieg auf ein SAP-S/4HANA-Kernsystem genannt, das nach dem Clean-Core-Ansatz von nicht mehr lauffähigen Programmen und obsoleten Erweiterungen bereinigt ist.

Genauso wichtig ist ein Change-Management, das Mitarbeitende von Beginn an einbezieht, die nötige Akzeptanz schafft und vom Top-Management aktiv unterstützt wird, sowie eine verbindliche Governance mit klaren Zielvorgaben. Unverzichtbar ist auch die Einbindung der Fachbereiche. Sie stellt die größte Herausforderung dar, da Unternehmen befürchten, dass durch die SAP-S/4HANA-Transformation zu viele personelle Ressourcen gebunden werden, die dann für Kernaufgaben fehlen. Kommt es vor, dass IT und Fachbereiche als Antipoden agieren, sollte ein Change-Coach als Vermittler eingesetzt werden.

Hybride Betriebsmodelle setzen sich langfristig durch

Bereits vor dem Projektstart muss abschließend geklärt sein, welches Betriebsmodell für SAP S/4HANA am besten zu einem Unternehmen und seinen Zielen passt, auch mit Blick auf regulatorische Anforderungen. Das ist häufig nicht der Fall, sodass das Projektteam unnötig Zeit damit verbringt, das passende Betriebsmodell zu ermitteln. Das bremst Transformationsvorhaben aus.

Nach Ansicht eines Teilnehmenden wird sich langfristig ein hybrides Betriebsmodell durchsetzen, bei dem der SAP-Kunde entscheidet, welche Elemente der SAP-S/4HANA-Landschaft in einer Hyperscaler-Cloud, einer souveränen Cloud und/oder On-Premises laufen. Eine weitere, weitgehend unbekannte Möglichkeit ist der Betrieb im Rahmen der Customer-Data-Center-Option (CDC) von SAP Cloud ERP Private (früher: SAP S/4HANA Cloud Private Edition), die aus Gründen wie Datenschutz, Leistung und Souveränität eine interessante Alternative sein kann.

Mehrere Experten stellen darüber hinaus fest, dass die vollwertige SaaS-Lösung SAP Cloud ERP Public (früher: SAP S/4HANA Cloud Public Edition) inzwischen verstärkt eingesetzt wird. Sie stellt vorkonfigurierte Kern-ERP-Funktionen (Best Practices) bereit und lässt sich relativ schnell einführen, ermöglicht aber kaum individuelle Anpassungen. Diese Abstriche nehmen Unternehmen in Kauf, um von regelmäßigen, automatischen Upgrades und technologischen Innovationen zu profitieren.

Kritisiert wurde allerdings, dass die Cloud-Diskussion häufig unter begrifflichen Unschärfen leidet. So macht der Betrieb von SAP S/4HANA in einer Hyperscaler- oder SAP-Cloud die Lösung noch lange nicht zum Software-as-a-Service-Angebot. Solche Ungenauigkeiten irritierten SAP-Kunden und bremsten die Entscheidungsfindung. Letztlich sind beim Cloud-Betrieb auch die Kosten entscheidend. Zwar wollen viele Unternehmen anfangs maximale Sicherheit mit Private Network und Confidential Computing, wählen dann aber günstigere Commercial-Cloud-Angebote. Ausnahmen bilden regulierte Branchen und der öffentliche Sektor.

Ob hybrides Betriebsmodell oder Kostenfrage, am Ende entscheidet über den Projekterfolg nicht allein die Technologie, sondern auch, wie diszipliniert Scope und Wandel im Unternehmen gesteuert werden.

Teilnehmer der Round-Table “SAP S4HANA 2027”

Selbst wenn Sie bei der Absicherung Ihres Rechenzentrums, Ihrer Cloud-Implementierungen und der physischen Sicherheit Ihres Firmengebäudes alle Register ziehen – mit Hilfe von Social Engineering finden gewiefte Cyberkriminelle meistens einen Weg, diese Maßnahmen zu umgehen.

Social Engineering – Definition

Social Engineering bezeichnet die “Kunst”, menschliche Schwächen auszunutzen, um sich Zugang zu Gebäuden, Systemen oder Daten zu verschaffen. Anstatt zu versuchen, eine Software-Schwachstelle zu finden und auszunutzen, wird ein Social Engineer beispielsweise einen Mitarbeiter anrufen und sich als IT-Support-Angestellter ausgeben, um ihn zur Herausgabe seines Passworts zu bewegen.

Der bekannte Hacker Kevin Mitnick hat den Begriff Social Engineering in den 1990er Jahren entscheidend mitgeprägt. Die Grundidee, sich menschliches Verhalten zunutze zu machen und die Techniken dahinter, gibt es allerdings schon so lange, wie es Betrüger gibt.

Social Engineering – Techniken

Social Engineering hat sich für Cyberkriminelle als besonders erfolgreich erwiesen, wenn es darum geht in Unternehmen einzudringen. Sobald ein Angreifer das Passwort eines vertrauenswürdigen Mitarbeiters erbeutet hat, kann er sich damit einloggen und sensible Daten auslesen. Mit einer Zugangskarte oder einem Code, der physischen Zugang gewährt, können Cyberkriminelle sogar noch größeren Schaden anrichten.

Im Artikel “Social Engineering: Anatomy of a Hack” beschreibt ein Penetrationtester, wie er aktuelle Ereignisse, öffentlich verfügbare Informationen aus sozialen Netzwerken und ein Hemd mit Cisco-Logo aus einem Second-Hand-Laden dazu nutzte, illegal in ein Unternehmen einzudringen. Das vier Dollar teure Gebrauchthemd half ihm, die Rezeptionisten und andere Mitarbeiter davon zu überzeugen, dass er im Auftrag von Cisco technischen Support leisten müsste. Einmal eingedrungen, war es für ihn ein Leichtes, auch anderen Teammitgliedern Zutritt zu verschaffen. Darüber hinaus gelang es dem Ethical Hacker, mehrere mit Malware verseuchte USB-Sticks in den Räumen zu platzieren und sich in das Unternehmensnetzwerk zu hacken. All das lief vor den Augen der Mitarbeiter ab.

Um einen erfolgreichen Social-Engineering-Angriff zu fahren, müssen Sie nicht unbedingt zuerst in einen Second-Hand-Laden gehen, diese Angriffe funktionieren ebenso gut per E-Mail, Telefon oder über soziale Netzwerke. Allen Angriffsarten ist dabei gemein, dass sie menschliche Eigenschaften zu ihrem Vorteil nutzen – beispielsweise Gier, Angst, Neugier oder auch das Bedürfnis, anderen zu helfen.

Cyberkriminelle nehmen sich dabei oft Wochen oder Monate Zeit, um ein Ziel auszukundschaften, bevor Sie einen persönlichen Besuch wagen, eine Nachricht senden oder einen Anruf tätigen. Zu den Vorbereitungen kann beispielsweise gehören, eine Telefonliste oder ein Organigramm des Zielunternehmens zu finden oder die Mitarbeiter über soziale Netzwerke zu recherchieren. Anschließend können Sie beispielsweise über folgende Wege aktiv werden.

• Am Telefon: Ein Social Engineer könnte anrufen und vorgeben, ein Mitarbeiter oder eine vertrauenswürdige externe Autorität zu sein (zum Beispiel ein Strafverfolgungsbeamter oder ein Wirtschaftsprüfer).

• Im Büro:“Können Sie mir die Tür aufhalten? Ich habe meinen Schlüssel/ meine Zugangskarte vergessen.” Diesen Satz haben Sie sicher auch schon einmal so vernommen. Auch wenn die fragende Person nicht verdächtig erscheinen mag – das ist eine beliebte Taktik beim Social Engineering.

• Online: Soziale Netzwerke erleichtern es, Social-Engineering-Angriffe zu fahren. Über Plattformen wie LinkedIn lassen sich schnell und einfach die meisten Mitarbeiter eines Unternehmens finden. Oft kommen noch viele andere Informationen dazu, die unter Umständen für weitere Angriffe nützlich sein können.

Beim Social Engineering werden regelmäßig auch aktuelle Ereignisse, Feiertage oder auch Popkultur-Phänomene dazu eingesetzt, Opfer in die Falle zu locken. Dabei passen die Cyberkriminellen ihre Phishing-Angriffe so an, dass sie auf bestimmte Interessen (Musik, Sport, Politik, etc.) abzielen. Das erhöht die Chance, dass die mit Malware verseuchten Anhänge angeklickt werden.

Social Engineering – Angriffsformen

• Phishing-Angriffe (zu denen auch SMS-basierte Smishing– und Voice-basierte Vishing-Attacken zählen) sind oft mit geringem Aufwand verbunden. Das Motto: “Die Masse macht’s”. Im Rahmen von Phishing-Kampagnen werden oft Tausende identischer E-Mails verschickt. Anschließend müssen die Angreifer nur noch darauf warten, dass jemand leichtgläubig genug ist, um auf den enthaltenen Anhang zu klicken.

• Spear Phishing oder auch Whaling bezeichnet Phishing-Angriffe, die ganz bewusst hochrangige Ziele ins Visier nehmen. Spear-Phishing-Angreifer verbringen im Regelfall viel Zeit damit, solche Ziele zunächst auszukundschaften. Das Ziel besteht dabei darin, einen möglichst überzeugenden, personalisierten Scam auf die Beine zu stellen.

• Baiting ist ein essenzieller Bestandteil aller Phishing-Formen – und anderen Betrügereien. Es bezeichnet die Verlockung, mit der die Ziele in Versuchung geführt werden – sei es eine SMS, die kostenlose Geschenkkarten verspricht oder eine E-Mail, die Kryptowährungen zu besonders attraktiven Preisen oder gar kostenlos in Aussicht stellt.

• Beim Pretexting handelt es sich um eine betrügerische Form von “Storytelling”. Die dabei erfundene Geschichte soll das Opfer zum Beispiel dazu bewegen, persönliche Informationen oder Zugangsdaten preiszugeben. Weiß ein Angreifer beispielsweise, bei welcher Bank sein Opfer Kunde ist, könnte er sich als Mitarbeiter des Kundendiensts ausgeben und unter einem Vorwand wie “Zahlungsverzug” versuchen, Finanzinformationen zu erhalten.

• Business Email Compromise (BEC), auch bekannt als CEO-Fraud, kombiniert mehrere der bislang genannten Techniken. Ein Angreifer erlangt entweder die Kontrolle über die E-Mail-Adresse eines Opfers oder schafft es, E-Mails zu versenden, die so aussehen, als kämen sie von dieser legitimen Adresse. Damit kontaktieren die Angreifer die Untergebenen des Angegriffenen in seinem Namen und ordnen beispielsweise dringliche Überweisungen an.

• Tailgating ist eine physische Social-Engineering-Form, bei der Angreifer den Mitarbeitern eines Unternehmens ins Firmengebäude folgen. Dazu könnten diese sich beispielsweise als Lieferant oder neuer Mitarbeiter, der den Ausweis vergessen hat, ausgeben.

Social Engineering – Beispiele

Um ein Gefühl dafür zu bekommen, auf welche Social-Engineering-Taktiken Sie besonders achten sollten, empfiehlt sich ein Blick auf erfolgreiche Angriffe der Vergangenheit. Hierbei konzentrieren wir uns auf drei spezifische Social-Engineering-Angriffe, die für Cyberkriminelle besonders einträglich ausgefallen sind:

1. Etwas Verlockendes anbieten

Jeder Trickbetrüger weiß: Am einfachsten ist es, aus der menschlichen Gier Profit zu schlagen. Das bildet die Grundlage des klassischen nigerianischen 419-Scams: Hierbei gaukeln Betrüger ihren Opfern vor, sie müssten hohe, unrechtmäßig erworbene Geldsummen aus dem eigenen Land zu einer sicheren Bank im Ausland transferieren. Dazu bräuchten sie Unterstützung: Gegen die Zahlung vermeintlicher Provisions-, Verwaltungs- oder Versicherungsgebühren könnten die Opfer einen Gutteil des oft millionenschweren Geldbetrags abbekommen, so dass betrügerische Versprechen.

Angriffe dieser Art sind seit Jahrzehnten bekannt und eigentlich eine Lachnummer, aber nichtsdestotrotz immer noch eine effektive Social-Engineering-Technik, auf die Menschen hereinfallen: Im Jahr 2007 überwies der Schatzmeister eines dünn besiedelten Bezirks im US-Bundesstaat Michigan einem solchen Betrüger 1,2 Millionen Dollar an öffentlichen Geldern – in der Hoffnung abkassieren zu können.

Ein weiterer gängiger Köder ist die Aussicht auf einen neuen, besseren Job: Im Rahmen einer äußerst peinlichen Kompromittierung traf es im Jahr 2011 das Sicherheitsunternehmen RSA auf diese Weise. Mindestens zwei Mitarbeiter öffneten eine Malware-verseuchte Datei, die an eine Phishing-E-Mail angehängt war. Der Dateiname: “2011 recruitment plan.xls”.

2. Fake it till you make it

Eine der simpelsten – und überraschenderweise auch erfolgreichsten – Social-Engineering-Techniken besteht darin, sich als ratlosen Mitarbeiter auszugeben. Bei einem seiner legendären frühen Betrugsversuche verschaffte sich Kevin Mitnick Zugang zu den Betriebssystem-Entwicklungsservern der Digital Equipment Corporation. Sein Vorgehen: Er rief bei DEC an, gab sich als leitender Entwickler aus und behauptete, er habe Probleme mit dem Login. Er wurde postwendend mit neuen Logindaten versorgt. Das spielte sich schon 1979 ab – man sollte also meinen, die Dinge hätten sich seitdem verbessert. Das ist allerdings nicht der Fall: Im Jahr 2016 erlangte ein Hacker die Kontrolle über ein E-Mail-Konto des US-Justizministeriums und nutzte es, um sich wie seinerzeit Mitnick Zugangsdaten zu verschaffen.

Zwar haben viele Organisationen Barrieren aufgebaut, die diese Art des dreisten Betrugs verhindern sollen, aber oft ist es nicht besonders schwer, sie zu umgehen. Als Hewlett-Packard (HP) im Jahr 2005 Privatdetektive damit beauftragte herauszufinden, welche Vorstandsmitglieder Informationen an die Presse durchstachen, versorgte das Unternehmen die Schnüffler mit den letzten vier Ziffern der Sozialversicherungsnummer ihrer Zielpersonen. Diese Daten akzeptierte der technische Support von HPs TK-Provider AT&T als Identitätsnachweis und händigte den Detektiven detaillierte Anrufprotokolle aus.

3. Autorität spielen

Viele Menschen sind daran gewöhnt, Autoritäten zu respektieren. Das wissen auch Cyberkriminelle. Sie spielen sich als Vorgesetzte oder Führungskräfte aus, um an ihr Ziel zu gelangen. So überwiesen im Jahr 2015 Finanzmitarbeiter von Ubiquiti Networks Firmengelder in Millionenhöhe an Social-Engineering-Betrüger, die sich als Führungskräfte des Unternehmens ausgegeben und ihre Glaubwürdigkeit mit gefälschten E-Mail-Absendern unterstrichen hatten.

Ein anderes Beispiel: Zur Jahrtausendwende gehörte es für (manche) britische Boulevard-Journalisten zum guten Ton, sich Zugang zu den Voicemail-Konten von für sie interessanten Personen zu verschaffen. So überzeugte ein Journalist den TK-Anbieter Vodafone davon, die Voicemail-PIN der Schauspielerin Sienna Miller zurückzusetzen, indem er dort anrief und sich als “Kollege John aus der Credit-Control-Abteilung” ausgab.

Ein weiteres prominentes Beispiel ist John Podesta, Hillary Clintons ehemaliger Wahlkampfleiter, der 2016 von russischen Spionen gehackt wurde. Die Cyberkriminellen hatten ihm im Vorfeld eine Phishing-E-Mail zugestellt, die als Nachricht von Google getarnt war und eine Aufforderung enthielt, sein Passwort zurückzusetzen. Statt sein Konto zu schützen, gab er damit seine Anmeldedaten preis.

Social Engineering – Zahlen & Statistiken

• Allein im Jahr 2024 konnten kriminelle Hacker durch BEC-Angriffe rund 6,3 Milliarden Dollar einstreichen. (Quelle: Verizon DBIR 2025)

• Smishing macht 39 Prozent aller mobilen Bedrohungen aus. (Quelle: SlashNext)

• Mit der Einführung von ChatGPT stieg die Zahl der Social-Engineering-Angriffe um 45 Prozent. (Quelle: SlashNext)

• Mit 17 Prozent aller Kompromittierungen ist Phishing der zweithäufigste, initiale Malware-Infektionsvektor. (Quelle: Mandiant M-Trends-Report 2024)

Social-Engineering-Angriffe abwehren

Wir haben fünf Tipps zur Abwehr von Social-Engineering-Attacken für Sie zusammengestellt:

1. Security Awareness

Security-Awareness-Schulungen sind der beste Weg, um Social Engineering zu verhindern. Nur wenn die Mitarbeiter wissen, welche Gefahr ihnen droht, können sie sich gegen solche Angriffe wappnen. Erarbeiten Sie ein umfassendes Schulungsprogramm, dass zu mehr Sicherheitsbewusstsein führt! Es sollte regelmäßig aktualisiert werden, um sowohl allgemeinen Phishing-Bedrohungen als auch neuen, gezielten Bedrohungen angemessen begegnen zu können.

Dabei sollten Sie von einer tiefgehenden Erklärung technischer Schwachstellen und Details absehen und stattdessen Beispiele nennen, die die Methoden der Angreifer in den Fokus stellen. Auch interaktive Elemente wie ein Quiz können dazu beitragen, Mitarbeiter vorzubereiten.

2. Security-Briefing für Mitarbeiter in Schlüsselpositionen

Unternehmen sollten Führungskräfte und leitende Angestellte in ihre Bemühungen einbeziehen, da sie für Cyberkriminelle die attraktivsten Social-Engineering-Ziele darstellen. Wichtig ist es auch Mitarbeiter, die die Berechtigung zu Finanztransaktionen haben, regelmäßig über die Gefahren aufzuklären.

3. Bestehende Prozesse prüfen

Für finanzielle und andere wichtige Transaktionen bietet es sich an, zusätzliche Kontrollmaßnahmen einzuziehen. Dabei gilt es im Auge zu behalten, dass einige Schutzmaßnahmen, beispielsweise eine Aufgabentrennung, sinnlos werden könnten, wenn es sich um eine Insider-Bedrohung handelt. Eine regelmäßige Risikoanalyse ist zu empfehlen.

4. Neue Richtlinien für dringende Anfragen

Sendet der Vorstandsvorsitzende eine E-Mail von seinem Gmail-Konto, sollte das bei den Mitarbeitern Alarmsignale auslösen. Um vorschnelle Reaktionen zu vermeiden, die ins Unglück führen können, sollten Mitarbeiter ein klar definiertes Notfallverfahren an die Hand bekommen und im Zweifel direkt mit dem Absender kommunizieren können.

5. Incident Management

Überprüfen, verfeinern und testen Sie regelmäßig Ihre Incident-Management-Systeme. Dazu bieten sich Übungen mit der Geschäftsleitung und den wichtigsten Mitarbeitern an, in denen Kontrollmechanismen und potenzielle Schwachstellen auf den Prüfstand kommen.

Social Engineering – Toolkits

Es gibt am Markt einige Tools und Services, die Unternehmen bei Awareness-Kampagnen und Phishing-Simulationen unterstützen:

• Das Social Engineering Toolkit von TrustedSec steht als kostenloser Download zur Verfügung und hilft bei der Automatisierung von Penetrationstests. Zu den Features gehören neben Social Engineering auch Spear Phishing, Fake Websites und USB-basierte Angriffe.

• Das Social Engineering Framework ist eine weitere gute Ressource. Laut Aussage der Macher enthält es “aktuelle wissenschaftliche, technische und psychologische Informationen” zum Thema. Das Ziel sei es, “eine Informationssammlung für Sicherheitsexperten, Penetrationstester und Enthusiasten zu schaffen”. Das Framework wird regelmäßig aktualisiert.

(fm)

Dieser Beitrag ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

Node.js is a popular and versatile cross-platform JavaScript runtime environment. Node was the first runtime to allow developers to run JavaScript outside the browser, opening a new world of possibilities in server-side JavaScript. Its ease of use, massive ecosystem and performance characteristics have continued to secure its place as one of the most important technologies of the modern web.

Anytime you need to run JavaScript on the server—be it for a systems utility, a REST API, data processing, or anything else—Node is an excellent choice. There are newer runtimes, namely Deno and Bun, but Node remains the standard for server-side JavaScript.

Also see: 10 JavaScript concepts you need to succeed with Node.

Getting started with Node

If you haven’t already experienced Node, this article will introduce you. We’ll step through installing Node and the NPM package manager, spinning up a simple web server, and using the Node cluster module to take advantage of multiple CPU cores.

We’ll also look at using the NPM package manager to install additional Node modules and other JavaScript packages. And we’ll dip a toe into using a Node framework, in this case the ubiquitous Express server, to create more feature-rich and flexible Node.js servers. Let’s get started!

Installing Node and NPM

There are a few ways to install Node, including the installer that Node itself provides, but the recommended way is with a version manager. The most common version manager is NVM. This makes it easy to install Node and change versions when you need to. (There is also a Microsoft Windows-specific version called nvm-windows.)

NVM can be installed with an installer or using a CLI. In the following example, we use curl:

$ curl -o- https://raw.githubusercontent.com/nvm-sh/nvm/v0.40.3/install.sh | bash

Once you have NVM installed, installing the most recent version of Node is simple:

$ nvm install latest

The install latest command makes the latest version available. Mine is Node 24.9.0, so I activate it with:

$ nvm use 24.9.0

Anytime you need to install another version of Node, you can use nvm install and nvm use to switch between them.

You should now see Node available at your command prompt:

$ node -v

v24.9.0

When you install Node this way, the Node package manager (NPM) is also installed:

$ npm -v

11.6.0

Note that using NVM also avoids potential permissions issues with NPM packages when using the installer.

A simple web server in Node

To start simply, we can use an example from the Node homepage. Copy the Synopsis example code as directed there and paste it into your code editor, then save it as example.js:

const http = require('node:http');

const hostname = '127.0.0.1';
const port = 3000;

const server = http.createServer((req, res) => {
  res.statusCode = 200;
  res.setHeader('Content-Type', 'text/plain');
  res.end('Hello, InfoWorld!\n');
});

server.listen(port, hostname, () => {
  console.log(`Server running at http://${hostname}:${port}/`);
});

Open a shell in the directory where you saved the file, and run the file from your command line:

$ node example.js

Server running at http://127.0.0.1:3000/

You can now go to the browser and check it out at 127.0.0:3000, and you should see a simple greeting. Back at the terminal, press Control-C to stop the running server.

Before we go further, let’s pull apart the code.

Creating a simple HTTP server with Node

We start with the command:

const http = require(‘http’);

This is how you include a module in your code, in this case, the standard http module. (The http module ships with Node, so you don’t have to add it as a dependency.) This module provides the createServer and listen functions we’ll use later on.

You might have noted that this example used a CommonJS import. While older, this style of import is still very common in Node programs as well as some documentation. However, it’s gradually being phased out in favor of ES Modules (ESM), the standardized module system introduced in ECMAScript 2015. An ESM import would look like this:

import http from 'http';

After we import the http module, we define a couple of values we need (hostname and port):

const hostname = '127.0.0.1';

const port = 3000;

Next, we create the server:

const server = http.createServer((req, res) => {
  res.statusCode = 200;
  res.setHeader(‘Content-Type’, ‘text/plain’);
  res.end(‘Hello World\n’);
});

The creatServer command accepts a callback function, which we define using the fat arrow notation. The callback function passes two arguments, the request (req) and response (res) objects needed to handle HTTP requests. The req argument contains the incoming HTTP request, which in this case is ignored. The res.end method sets the response data to ‘Hello InfoWorld\n’ and tells the server that it is done creating the response.

Next, we have:

server.listen(port, hostname, () => {
  console.log(`Server running at http://${hostname}:${port}/`);
});

The server.listen function accepts three arguments. The first two are the port and hostname, and the third is a callback that is executed when the server is ready (in this case, it prints a message to the console).

Having all the event handlers defined as callbacks is one of the most subtle and powerful parts of Node. It’s key to Node’s asynchronous non-blocking architecture.

Node.js runs on an event loop, which always reverts to handling events when not otherwise engaged. It’s like a busy order-taker continually picking up orders and then updating the order-maker with their order. We receive updates via the callbacks.

A multi-process web server with Node

Node’s asynchronous, non-blocking nature makes it good at handling many parallel requests, but it’s not truly concurrent by default. There are a few ways to make a Node application use multiple threads for true concurrency. One of the simplest is to use the PM2 project, which lets you run the same Node application in many processes.

By launching each application instance in its own process, the operating system can make use of multiple cores on the machine. This is not usually a concern at first, but it’s a key performance consideration to bear in mind.

You can install PM2 globally like so:

$ npm install -g pm2

For our example, we want to make it obvious that the different processes are handling requests. We can achieve that goal with a small change to the server:

res.end(`Hello, InfoWorld! Handled by ${process.pid}`);

The process.pid field is a built-in environment variable, providing a unique ID for the currently running process in Node. Once PM2 is installed and the app is updated, we can run it like so:

$ pm2 start example.js -i max

That should launch several instances of the same program, as shown here:

Then, if you open multiple windows, you can see the unique ID of each instance:

An Express web server with Node

For our final example, we’ll look at setting up an Express web server in Node. This time we’ll use NPM to download Express and its dependencies. NPM is one of the greatest storehouses of software on the planet, with literally millions of libraries available. Knowing how to use it is essential for working with Node.

NPM works just like other package managers you may have used, letting you define and install dependencies in a structured way. To install Express, go to your project directory and type:

$ npm install express

Node should respond with something like: added 68 packages in 5s.

You will notice several directories have been added to a /node_modules directory. Those are all the dependencies needed for Express. You usually don’t have to interact with node_modules yourself, but it’s good to know that’s where things are saved.

Now look at the package.json file, which will have something like this in it:

{
  "dependencies": {
	"express": "^5.1.0"
  }
}

This is how dependencies are defined in NPM. It says the application needs the express dependency at version 5.1.0 (or greater).

Setting up the Express server in Node

Express is one of the most-deployed pieces of software on the Internet. It can be a minimalist server framework for Node that handles all the essentials of HTTP, and it’s also expandable using “middleware” plugins.

Since we’ve already installed Express, we can jump right into defining a server. Open the example.js file we used previously and replace the contents with this simple Express server:

import express from 'express';

const app = express();
const port = 3000;

app.get('/', (req, res) => {
  res.send('Hello, InfoWorld!');
});

app.listen(port, () => {
  console.log(`Express server at http://localhost:${port}`);
});

This program does the same thing as our earlier http module version. The most important change is that we’ve added routing. Express makes it easy for us to associate a URL path, like the root path (‘/’), with the handler function.

If we wanted to add another path, it could look like this:

app.get('/about', (req, res) => {
  res.send('This is the About page.');
});

Once we have the basic web server set up with one or more paths, we’ll probably need to create a few API endpoints that respond with JSON. Here’s an example of a route that returns a JSON object:

app.get('/api/user', (req, res) => {
  res.json({
	id: 1,
	name: 'John Doe',
	role: 'Admin'
  });
});

That’s a simple example, but it gives you a taste of working with Express in Node.

Conclusion

In this article you’ve seen how to install Node and NPM and how to set up both simple and more advanced web servers in Node. Although we’ve only touched on the basics, these examples demonstrate many elements that are required for all Node applications, including the ability to import modules.

Whenever you need a package to do something in Node, you will more than likely find it available on NPM. Visit the official site and use the search feature to find what you need. For more information about a package, you can use the npms.io tool. Keep in mind that a project’s health depends on its weekly download metric (visible on NPM for the package itself). You can also check a project’s GitHub page to see how many stars it has and how many times it’s been forked; both are good measures of success and stability. Another important metric is how recently and frequently the project is updated and maintained. That information is also visible on a project’s GitHub Insights page.

Googles mobiles Betriebssystem Android blickt auf bescheidene Anfänge zurück und wurde über die Jahre immens weiterentwickelt – sowohl auf optischer als auch konzeptioneller und funktioneller Ebene. Im Folgenden haben wir alle jemals erschienenen (relevanten) Android-Versionen im Zeitverlauf für Sie zusammengestellt – inklusive ihrer jeweiligen Highlights.

Android 1.0/1.1

Sein offizielles Debüt feierte Android mit Version 1.0 im Jahr 2008 – damals noch ohne aparten Codenamen mit Backwerk-Bezug. In der Smartphone-Frühzeit waren die Dinge bei Android vor allem eines: simpel.

Dennoch konnte das Google-Betriebssystem bereits mit integrierten Apps aufwarten, etwa Gmail, Google Maps, Kalender oder Youtube. Ein krasser Gegensatz zum heute gängigen (und besser aktualisierbaren) Standalone-App-Modell.

Android 1.5 Cupcake

Mit dem Release von Android 1.5 begann Google, die Versionen seines Mobile OS nach teigigen Leckereien zu benennen. Eine Tradition, die über etliche Jahre Bestand haben sollte. Mit Cupcake hielten diverse Optimierungen der Benutzeroberfläche Einzug – unter anderem in Form der ersten virtuellen Bildschirmtastatur.

Vor allem führte Google mit Cupcake aber das Framework für Drittanbieter-App-Widgets ein, was sich schnell zu einem Android-Alleinstellungsmerkmal entwickelte. Mit Android Version 1.5 war es außerdem erstmals möglich, auch Videoaufnahmen zu realisieren.

Android 1.6 Donut

Im Herbst 2009 erblickte Android Version 1.6 – Codename Donut – das Licht der Welt. Diese Android-Version optimierte Googles mobiles Betriebssystem weiter, zum Beispiel mit Support für diverse verschiedene Bildschirmauflösungen und -formate. Ein besonders zukunftskritisches Feature für Android hielt mit der Unterstützung des Mobilfunkstandards CDMA Einzug. Letzteres begünstigte die folgende explosionsartige Ausbreitung von Android.

Android 2.0/2.1 Eclair

Nur sechs Wochen nach Donut ließ Google Android 2.0 mit dem Codenamen Eclair auf die Nutzer los – einige Monate später folgte das 2.1-Update. Das erste Smartphone, das diese Android-Version nutzte, war Motorolas Milestone. Das Smartphone wurde in den USA unter der Bezeichnung “Droid” vermarktet und sollte den technikaffinen Gegenpol zu Apples iPhone bilden – zumindest legte das die relativ aggressive Marketingkampagne in den USA nahe:

Bei Apple dürfte jedoch vor allem für Verstimmung gesorgt haben, dass mit Eclair auch die bis dahin iOS-exklusive “Pinch-to-Zoom”-Funktionalität in Android eingeführt wurde. Die revolutionärsten Elemente dieser Android-Version waren jedoch sprachgesteuerte Turn-by-Turn-Navigation und Verkehrsinformationen in Echtzeit – bis dahin nicht realisierte Features in der Smartphone-Welt. Darüber hinaus hielten mit Eclair auch Live-Hintergrundbilder sowie die erste Speech-to-Text-Funktion Einzug.

Android 2.2 Froyo

Mit Android 2.2 widmete sich Google (vier Monate nach dem Release von Version 2.1) hauptsächlich Performance-Optimierungen unter der Haube. Android Froyo erweiterte jedoch die Benutzeroberfläche um einige praktische Funktionen – darunter das inzwischen zum Standard gewordene Dock am unteren Rand des Startbildschirms sowie die erste Version von Voice Actions. Letzteres erlaubte den Benutzern, einige grundlegende Funktionen wie Wegbeschreibungen oder Notizen abzurufen, indem sie ein Icon antippen und anschließend einen Sprachbefehl folgen lassen.

Bemerkenswert ist Android Version 2.2 vor allem auch deshalb, weil es den Android-Webbrowser mit Flash-Unterstützung ausstattete. Das war nicht nur wichtig, weil Flash damals im Web allgegenwärtig war, sondern auch weil Apple sich standhaft weigerte, das iPhone um Flash-Support zu erweitern. Das war eine ganze Zeit lang ein echter Vorteil für Android – bis sich die Flash-Dominanz schließlich in Luft auflöste.

Android 2.3 Gingerbread

Mit Gingerbread versuchte Google, Android im Jahr 2010 erstmals eine echte, “visuelle Identität” zu verleihen. Die Farbe des Android-Maskottchens breitete sich mit Android Version 2.3 über die gesamte Benutzeroberfläche aus. Der erste Schritt hin zu einer eigenständigen Designsprache.

Android 3.0/3.1/3.2 Honeycomb

Die Android-Honeycomb-Ära markierte ab 2011 einen weiteren Umbruch: Android 3.0 war ein Tablet-exklusives Betriebssystem, das zum Marktstart des iPad-Konkurrenten Motorola Xoom veröffentlicht wurde. Auch die Point-Updates 3.1 und 3.2 waren exklusiv auf die zu dieser Zeit stark gefragten Tablets ausgelegt.

Zwar hatte das Konzept der Tablet-spezifischen Oberfläche schon nach kurzer Zeit wieder ausgedient – allerdings wurden mit Android 3.0 zahlreiche Ideen umgesetzt, die das heute bekannte Android definiert haben: Honeycomb war die erste Android-Version, die die Nutzer essenzielle Navigationsbefehle über virtuelle Bildschirmtasten erledigen ließ und führte das Konzept einer “Karten-basierten” UI ein.

Android 4.0 Ice Cream Sandwich

Während Honeycomb so etwas wie eine “Brückenversion” darstellte, bildete Android 4.0 – Codename Ice Cream Sandwich – den offiziellen Einstiegspunkt in die neue Android-Designwelt. Veröffentlicht wurde diese Version ebenfalls im Jahr 2011 – und verfeinerte in erster Linie die mit Honeycomb eingeführten, visuellen Konzepte. Zudem vereinheitlichte Google mit dieser Android-Version sein Betriebssystem für Mobiltelefone und Tablets.

Mit Android 4.0 wurde zudem die Steuerung über Wischbewegungen als integrale Methode etabliert, um sich zurechtzufinden – eine damals weltbewegende Neuerung. Darüber hinaus markierte Ice Cream Sandwich auch den Beginn der Umstellung des Android-Ökosystems auf ein standardisiertes Design-Framework, auch bekannt als “Holo“.

Android 4.1/4.2/4.3 Jelly Bean

Die Jelly-Bean-Ära erstreckte sich über drei Android-Versionen und die Jahre 2012 und 2013. Dabei wurde das frische Fundament von Ice Cream Sandwich mit Bedacht, aber zielstrebig weiter optimiert und ausgebaut. Ergebnis war ein Android-Betriebssystem, das mit neuem Schwung und Glanz zunehmend auch Mobile-Durchschnittsbenutzer begeistern konnte.

Abgesehen von der Optik brachte Jelly Bean auch einen ersten Vorgeschmack auf Google Now (das leider inzwischen zu einem zweitklassigen Newsfeed verkommen ist). Weitere Benefits, die mit Android Jelly Bean Einzug hielten, waren unter anderem ein erweitertes (sprachbasiertes) Suchsystem und Multi-User-Support. Letzteres stand allerdings nur auf Tablet-Geräten zur Verfügung. Davon abgesehen, gab auch das Quick Settings Panel in dieser Android-Version sein Debüt – genauso wie Widgets für den Sperrbildschirm.

Android 4.4 KitKat

Mit Version 4.4 kam das Zeitalter der dunklen Farbgebung bei Android zu einem Ende. KitKat brachte Ende 2013 frischere, hellere Farben für Googles Betriebssystem und sorgte damit für eine umfassende, optische Modernisierung. Premiere feierte mit Android 4.4 außerdem das allseits bekannte “OK, Google”-Freihand-Feature (das damals nur funktionierte, wenn der Startbildschirm oder die Google-App bereits geöffnet war).

Die Nutzer von Google-eigenen (Nexus-)Smartphones durften sich zudem erstmals an einem Startbildschirm-Panel erfreuen, das exklusiv für Google-Dienste reserviert war.

Android 5.0/5.1 Lollipop

Mit Lollipop führte Google im Herbst 2014 den bis heute gültigen Material-Design-Standard bei Android ein, der sich nicht nur auf das Betriebssystem selbst, sondern auch auf Apps und andere Google-Produkte auswirkte. Das kartenbasierte User Interface, das bislang punktuell in Android eingesetzt wurde, wurde mit Android 5.0 zum zentralen Designaspekt.

Davon abgesehen, brachte Android Lollipop auch einige neue Funktionen in die Android-Welt – unter anderem den weiterentwickelten “Ok, Google”-Befehl, Multi-User-Support für Mobiltelefone sowie ein optimiertes Benachrichtigungsmanagement. Leider flossen mit Lollipop auch diverse Bugs ein, die in weiten Teilen erst mit der Android-Version 5.1 ab 2015 vollständig behoben werden konnten.

Android 6.0 Marshmallow

Im Großen und Ganzen war Marshmallow – ebenfalls im Jahr 2015 veröffentlicht – eine eher unbedeutende Android-Version, die mehr wie ein Point-Update wirkte. Allerdings setzte Marshmallow den Startpunkt dafür, dass Google jährlich eine große neue Android-Version veröffentlicht.

Das auffälligste Marshmallow-Feature war die vielversprechende Bildschirmsuchfunktion “Now On Tap” – die leider nie weiterentwickelt und 2016 still und heimlich beerdigt wurde. Android 6.0 enthielt jedoch auch einige subtilere Neuerungen, etwa granularere App-Berechtigungen sowie Support für Fingerabdruckscanner und USB-C.

Android 7.0/7.1 Nougat

Die Android-Versionen mit dem Codenamen Nougat wurden 2016 veröffentlicht und ergänzten Googles Mobile OS um einen nativen Split-Screen-Modus, ein neues System, um Benachrichtigungen zu managen, und eine Data-Saver-Funktion. Darüber hinaus hatte Android 7.0 bis 7.1 auch einige kleinere, aber dennoch wichtige Features an Bord – beispielsweise einen Shortcut, um zwischen Apps zu wechseln.

Die vielleicht wichtigste Neuerung von Android Nougat war jedoch die Möglichkeit, den Google Assistant zu integrieren, der etwa zwei Monate nach dem Nougat-Debüt (zusammen mit Google erstem Pixel-Smartphone) vorgestellt wurde. Der Assistant entwickelte sich in den kommenden Jahren zu einer wichtigen Android-Komponente (und den meisten anderen Google-Produkten).

Android 8.0/8.1 Oreo

Mit Version 8.0 und 8.1 – veröffentlicht im Jahr 2017 unter dem Codenamen Oreo – erhielt Android weitere Annehmlichkeiten. Unter anderem einen nativen Bild-in-Bild-Modus, eine Schlummerfunktion für Notifications sowie tiefgehendere Möglichkeiten, App-Benachrichtigungen zu kontrollieren.

Darüber hinaus war diese Android-Version auch ein Versuch von Google, Android und Chrome OS näher zusammenzubringen und die Nutzung von Android-Apps auf Chromebooks zu optimieren. Davon abgesehen war Android 8 auch vom ehrgeizigen Bestreben geprägt, mit “Project Treble” eine modulare Basis für den Android-Quellcode zu schaffen. Die Hoffnung: Es den Geräteherstellern einfacher zu machen, zeitnah Software-Updates bereitzustellen.

Android 9 Pie

Android-Version 9, auch bekannt unter dem Codenamen Pie, brachte im August 2018 frischen Wind in Googles Mobile-Ökosystem. Die wesentlichste Änderung war dabei ein hybrides Gesten-Button-Navigationssystem, das die traditionellen Navigationstasten mit einem großen, multifunktionalen “Home Button” ersetzte.

Android Pie enthielt allerdings auch einige bemerkenswerte neue Productivity-Funktionen, beispielsweise ein universelles System, um mit vorgeschlagenen Antworten auf Nachrichten zu reagieren oder ein intelligenteres Energiemanagement. Erwähnenswert sind bei dieser Android-Version zudem zahlreiche Optimierungen in Sachen Datenschutz und Sicherheit.

Android Version 10

Im September 2019 ereilte der nächste Umschwung auch die Backwerk-affine Nomenklatur: Android 10 war die erste Version, die ausschließlich mit einer Zahl bezeichnet wird. Dazu passend brachte die Betriebssystem-Software auch eine völlig neu gestaltete Oberfläche mit sich, die ab diesem Zeitpunkt vollständig auf Wischbewegungen ausgelegt war.

Zu den wichtigen Verbesserungen, die Android 10 darüber hinaus an Bord hatte, gehörten ein aktualisiertes App-Berechtigungssystem mit tioefergehenden Kontrollmöglichkeiten, eine “Darkmode”-Option, ein Fokusmodus sowie die Möglichkeit, abzuspielende Mediendateien automatisch mit Untertiteln zu versehen.

Android Version 11

Mit Android Version 11 veröffentlichte Google im September 2020 ein umfassendes Software-Update, das zahlreiche Neuerungen brachte. Die wichtigste Änderung drehte sich um das Thema Datenschutz: Das mit Android 10 eingeführte Berechtigungssystem wurde um die Möglichkeit erweitert, Apps einmaligen Zugriff auf Standortdaten, Kamera oder Mikrofon zu gewähren.

Mit Android 11 erschwerte Google außerdem, dass Apps den Standort der Nutzer im Hintergrund ermitteln können und führte eine Funktion ein, die Apps automatisch Berechtigungen entzieht, wenn diese für längere Zeit nicht genutzt wurden. Auf Interface-Ebene bot Android 11 außerdem einen vereinheitlichten Media Player, eine Benachrichtigungshistorie, die Möglichkeit, alle verbundenen Geräte in einer Übersicht anzuzeigen sowie eine native Screen-Recording-Funktion.

Android Version 12

Die finale Version von Android 12 präsentierte Google pünktlich zur Markteinführung seiner Smartphones Pixel 6 und Pixel 6 Pro im Oktober 2021. Die wesentlichen Fortschritte waren bei dieser Android-Version direkt sichtbar: Sie bot die wohl größte Interface-Überarbeitung bei Android seit Lollipop und führte einen aktualisierten Design-Standard namens “Material You” ein. Das fußt auf der Idee, das Erscheinungsbild des Betriebssystems mit dynamisch generierten Themes an die individuelle “Farbwelt” des Benutzers anzupassen.

Davon abgesehen hatte Android 12 auch ein (lange überfälliges) neues Widget-System sowie eine Reihe grundlegender Verbesserungen in den Bereichen Leistung, Sicherheit und Datenschutz zu bieten. In diesem Zuge erweiterte Google sein Betriebssystem auch um einen isolierten Bereich, der KI-Funktionen auch ohne Netzwerkzugriff und Datenexposition ermöglicht.

Android Version 13

Mit Android 13 veröffentlichte Google im August 2022 eine der bislang ungewöhnlichsten Android-Versionen: Sie ist eines der ehrgeizigsten Android-Updates überhaupt – beinhaltet gleichzeitig aber auch vornehmlich subtile Änderungen. Für das Nutzererlebnis spielte dabei auch eine tragende Rolle, auf welchem Device Android 13 installiert wurde. Für Tablets und faltbare Smartphones führte Android 13 ein gänzlich neues Interface-Design ein – mit dem Ziel, ein verbessertes Benutzererlebnis auf größeren Bildschirmen zu realisieren. Das schlug sich auch in einem auf Multitasking ausgelegten, aktualisierten Split-Screen-Modus und einer Taskbar im Chrome-OS-Stil nieder. Darüber hinaus schuf Android 13 auch die Vorraussetzung dafür, dass Pixel-Tablets als stationäres Smart Display fungieren konnten.

Mit Blick auf Smartphones war der Release von Android 13 weit weniger bedeutsam. Neben einigen kleineren visuellen Optimierungen führte diese Android-Version ein erweitertes System für die Zwischenablage ein, eine native Funktion, um QR-Codes zu scannen, sowie weitere Optimierungen in den Bereichen Datenschutz, Sicherheit und Leistung.

Android Version 14

Nach achtmonatiger Entwicklungsphase präsentierte Google Anfang Oktober 2023 Android 14 – zeitgleich zur Vorstellung seiner Pixel-8-Smartphones. Auch diese Android-Version kam eher subtil um die Ecke: Sie brachte zum Beispiel ein neues System zum Einsatz, um Text zwischen Apps im Drag-und-Drop-Verfahren auszutauschen, sowie native Anpassungsmöglichkeiten für den Android-Sperrbildschirm. Zudem durften die Nutzer mit Android 14 auf ein integriertes Dashboard zugreifen, um sämtliche ihrer Gesundheits- und Fitness-Daten zu managen.

Darüber hinaus enthält diese Android-Version eine Reihe wichtiger Erweiterungen für die Barrierefreiheit – etwa eine On-Demand-Lupe, verbesserten Support für Hörgeräte sowie die Möglichkeit, eingehende Nachrichten über den Kamerablitz zu visualisieren. Die Benutzer von Pixel 8 und Pixel 8 Pro durften mit Android 14 auch erstmals und exklusiv Googles KI-basierten Wallpaper Creator austesten.

Android Version 15

Technisch betrachtet hat Google Android 15 bereits im September 2024 veröffentlicht – allerdings tauchte die neue Android-Version erst ab Mitte Oktober auf den hauseigenen Pixel-Geräten auf.

Mit Android 15 hält eine ganze eine Reihe bemerkenswerter neuer Funktionen Einzug. Darunter eine „Private Space“-Option, die es ermöglicht, sensible Applikationen beziehungsweise Inhalte mit einer zusätzlichen Authentifizierungsebene auszustatten. Davon abgesehen verbessert Version 15 auch die mit Android 13 eingeführten Multitasking-Systeme weiter: Die Android Taskbar ist jetzt optional dauerhaft präsent. Außerdem lassen sich bestimmte App-Kombinationen ab Version 15 mit einem Fingertipp im Split-Screen-Modus aufrufen.

Weitere nennenswerte Neuerungen von Android 15 sind ein neu designtes Lautstärkeregelungs-Panel sowie ein (Pixel-exklusives) „Adaptive Vibration“-Feature, dass die Vibrationsintensität an der jeweils aktuellen Umgebung ausrichtet.

Android Version 16

Mit dem Jahr 2025 hat Google beschlossen, seinen bisherigen Android-Upgrade-Zyklus aufzubrechen: Beginnend mit der Veröffentlichung von Version 16 sollen künftig pro Jahr zwei Android-Versionen erscheinen. Den ersten Teil dieses Versprechens hat Google bereits mit der Veröffentlichung von Android 16 im Juni 2025 umgesetzt.

Zu den wichtigsten neuen Funktionen von Android 16 zählen unter anderem Live-Updates – eine neue Art von Benachrichtigungen, die ähnlich funktionieren wie die Live-Aktivitäten bei iOS. Darüber hinaus verspricht Version 16 des Google-Mobile-Betriebssystems auch eine Reihe von Verbesserungen für die Benutzeroberfläche, ein besseres Desktop-Erlebnis sowie Support für striktere Netzwerksicherheitsregeln.   

Android Version 17

Die erste Beta-Version von Android 17 wurde von Google Mitte Februar 2026 veröffentlicht. Eine zweite Beta folgte bereits wenig später. Die finale Version des aktuellen Google Mobil-Betriebssystems wurde Mitte Juni 2026 veröffentlicht. Ein Fokus liegt bei Android 17 auf einer optimierten User Experience für faltbare Devices und Tablets, ein weiterer auf KI.

🖐 Five things you need to know about Android 17:

1️⃣ The intelligence system
2️⃣ Adaptive-first
3️⃣ Performance improvements
4️⃣ Permissions through pickers
5️⃣ Pro-quality camera & media

Read the details → https://t.co/jiij02K3Gr pic.twitter.com/X7QcuvBJdo

— Android Developers (@AndroidDev) June 24, 2026

(fm)

Dieser Artikel ist im Original bei unserer Schwesterpublikation Computerworld.com erschienen.

Private browsing. Incognito. Privacy mode.

Web browser functions like those trace their roots back more than a decade, and the feature — first found in a top browser in 2005 — spread quickly as one copied another, made tweaks and minor improvements.

But privacy-promising labels can be treacherous. Simply put, going “incognito” is as effective in guarding online privacy as witchcraft is in warding off a common cold.

That’s because private browsing is intended to wipe local traces of where you’ve been, what you’ve searched for, the contents of forms you’ve filled. It’s meant to hide, and not always conclusively at that, your tracks from others with access to the personal computer. That’s it.

How to keep web browsing private

We’ve spelled out how to go into incognito or private browsing mode for the four major browsers in this order:

• Google Chrome’s Incognito mode
• Microsoft Edge’s InPrivate browsing
• Mozilla Firefox’s New Private Window mode
• Apple Safari’s New Private window mode

At their most basic, these features promise that they won’t record visited sites to the browsing history, save cookies that show you’ve been to and logged into sites, or remember credentials like passwords used during sessions. But your traipses through the web are still traceable by Internet providers – and the authorities who serve subpoenas to those entities – employers who control the company network and advertisers who follow your every footstep.

To end that cognitive dissonance, most browsers have added more advanced privacy tools, generically known as “anti-trackers,” which block various kinds of bite-sized chunks of code that advertisers and websites use to trace where people go in attempts to compile digital dossiers or serve targeted advertisements.

Although it might seem reasonable that a browser’s end game would be to craft a system that blends incognito modes with anti-tracking, it’s highly unlikely. Using either private browsing or anti-tracking carries a cost: site passwords aren’t saved for the next visit or sites break under the tracker scrubbing. Nor are those costs equal. It’s much easier to turn on some level of anti-tracking by default than it would be to do the same for private sessions, as evidenced by the number of browsers that do the former without complaint while none do the latter.

Private browsing will, by necessity, always be a niche, as long as sites rely on cookies for mundane things like log-ins and cart contents.

But the mode remains a useful tool whenever the browser — and the computer it’s on — are shared. To prove that, we’ve assembled instructions and insights on using the incognito features — and anti-tracking tools — offered by the top four browsers: Google Chrome, Microsoft’s Chromium-based Edge, Mozilla’s Firefox and Apple’s Safari.

How to go incognito with Google Chrome

Although incognito may be a synonym to some users for any browser’s private mode, Google gets credit for grabbing the word as the feature’s snappiest name when it launched the tool in late 2008, just months after Chrome debuted.

The easiest way to open an Incognito window is with the keyboard shortcut combination Ctrl-Shift-N (Windows) or Command-Shift-N (macOS).

Another way is to click on the menu on the upper right — it’s the three vertical dots — and select New Incognito Window from the list.

The new Incognito window can be recognized by the dark background and the stylized “spy” icon just to the left of the three-dots menu. Chrome also reminds users of just what Incognito does and doesn’t do each time a new window is opened. The message may get tiresome for regular Incognito users, but it may also save a job or reputation; it’s important that users remember Incognito doesn’t prevent ISPs, businesses, schools and organizations from knowing where customers, workers, students, and others went on the web or what they searched for.

Incognito’s introductory screen also displays a toggle — it’s on by default — along with text that states third-party cookies will be blocked while in the privacy mode. Although cookies are never saved locally as long as the user stays in Incognito, websites have been able to track user movements from site to site while within Incognito. Such tracking might be used, for example, to display ads to a user visiting multiple sites in Incognito. This third-party cookie blocking, which halts such behavior, debuted in May 2020.

Google has been experimenting with new language on Chrome’s Incognito introductory page, but it’s yet to make it to the desktop browser. In the Canary build of Chrome on Android, however, the intro now outlines “What Incognito does” and “What Incognito doesn’t do,” to make the mode’s capabilities somewhat clearer to the user. (Some have speculated that the changes were made in reaction to a still-ongoing class-action lawsuit file in 2020 that alleged Google continued to track users’ online behavior and movements in Incognito.)

Once a tab in Incognito has been filled with a website, Chrome continues to remind users that they’re in Incognito by the dark background of the address bar and window title.

A link on an existing page can be opened directly into Incognito by right-clicking the link, then choosing Open Link in Incognito Window from the resulting menu.

Pro tip: To close an Incognito window, shutter it like any other Chrome window by clicking the X in the upper right corner (Windows) or the red dot in the upper left (macOS).

How to privately browse with Microsoft Edge

Microsoft borrowed the name of its private browsing mode, InPrivate, from Internet Explorer (IE), the finally-being-retired legacy browser. InPrivate appeared in IE in March 2009, about three months after Chrome’s Incognito and three months before Firefox’s privacy mode. When Edge was first released in 2015 and then relaunched as a clone of Chrome in January 2020, InPrivate was part of the package, too.

At the keyboard, the combination of Ctrl-Shift-N (Windows) or Command-Shift-N (macOS) opens an InPrivate window.

A slower way to get there is to click on the menu at the upper right — it’s three dots arranged horizontally — and choose New InPrivate Window from the menu.

Edge does a more thorough job of explaining what its private browsing mode does and doesn’t do than any of its rivals, with on-screen paragraphs dedicated to describing what data the browser collects in InPrivate and how the strictest additional anti-tracking setting can be called on from within the mode. In addition, Edge uses the more informal “What Incognito does” and “What Incognito doesn’t do” language on its InPrivate introductory screen.

Microsoft’s browser also well marks InPrivate when the mode is operating: an oval marked “In Private” to the right of the address bar combines with a full-black screen to make sure users know where they’re at.

It’s also possible to launch an InPrivate session by right-clicking a link within Edge and selecting Open in InPrivate Window. That option is grayed out when already in a private browsing session but using Open Link in New Tab does just that within the current InPrivate frame.

To end InPrivate browsing, simply shut the window by clicking the X in the upper right corner (Windows) or click the red dot at the upper left (macOS).

Although Edge is based on Chromium, the same open-source project that comes up with the code to power Chrome, the Redmond, WA company integrated anti-tracking into its browser. Dubbed “Tracking Prevention,” it works both in Edge’s standard and InPrivate modes.

To set Tracking Prevention, choose Settings from the three-ellipses menu at the right, then at the next page, pick Privacy, Search and Services. Choose one of the three options — Basic, Balanced or Strict — and make sure the toggle for Tracking prevention is in the “on” position. If you want InPrivate to always default to the harshest anti-tracking — not a bad idea — toggle Always use “Strict” tracking prevention when browsing InPrivate to “on.”

Pro tip: To open Edge with InPrivate — rather than first opening Edge in standard mode, then launching InPrivate — right-click the Edge icon in the Windows taskbar and select New InPrivate Window from the list. There is no similar one-step way to do this in macOS.

How to privately browse with Mozilla Firefox

After Chrome trumpeted Incognito, browsers without something similar hustled to catch up. Mozilla added its take — dubbed Private Browsing — about six months after Google, in June 2009.

From the keyboard, a private browsing session can be called up using the combination Ctrl-Shift-P (Windows) or Command-Shift-P (macOS).

Alternately, a private window will open from the menu at the upper right of Firefox — three short horizontal lines — after selecting New private window.

A private session window is marked by the purple “mask” icon in the title bar of the Firefox frame. In Windows, the icon is to the left of the minimize/maximize/close buttons; on a Mac, the mask squats at the far right of the title bar. Unlike Chrome and Edge, Firefox does not color-code the top components of the browser window to signify the user is in privacy mode.

Like other browsers, Firefox warns users that private browsing is no cure-all for privacy ills but is limited in what it blocks from being saved during a session. “Private window: Firefox clears your search and browsing history when you close all private windows. This doesn’t make you anonymous,” the caution reads.

A link can be opened into a Firefox Private Window by right-clicking the link, then choosing Open Link in New Private Window from the menu.

To close a Private Window, shut it down just as one would any Firefox window by clicking the X in the upper right corner (Windows) or the red dot in the upper left (macOS).

Notable is that Firefox’s private browsing mode is accompanied by the browser’s superb “Enhanced Tracking Protection,” a suite of tracker blocking tools that stymie all sorts of ad-and-site methods for identifying users, then watching and recording their online behavior. While the earliest version of this was offered only inside Private Windows, the expanded technologies also work within standard mode.

Because Enhanced Tracking Protection is enabled by default within Firefox, it doesn’t matter which of its settings — Standard, Strict or Custom — is selected as far as private browsing goes; everything that can be blocked will be blocked.

Pro tip: Private Browsing sessions take place over the more secure HTTPS, not the once-standard HTTP protocol. Users don’t need to do anything: The new HTTPS-only policy is on by default. (If the destination site doesn’t support HTTPS, Firefox will go into fallback mode, connecting via HTTP instead.)

How to browse privately with Apple’s Safari

Chrome may get far more attention for its Incognito than any other browser — no surprise, since it’s by far the most popular browser on the planet — but Apple’s Safari was actually the first to introduce private browsing. The term private browsing was first bandied in 2005 to describe early Safari features that limited what was saved by the browser.

Side note: Early in private browsing, the label porn mode was often used as a synonym to describe what many writers and reporters assumed was the primary application of the feature. The term has fallen out of favor.

To open what Safari calls a Private Window on a Mac, users can do a three-key combination of Command-Shift-N, the same shortcut Chrome adopted. Otherwise, a window can be called up by selecting the File menu and clicking on New Private Window.

Safari tags each Private Window by darkening the address bar. It also issues a reminder of what it does — or more accurately — what it doesn’t do. “Safari will keep your browsing history private for all tabs of this window. After you close this window, Safari won’t remember the pages you visited, your search history or your AutoFill information,” the top-of-the-page note reads. The warning is more terse than those of other browsers and omits cautions about still-visible online activity.

Like Firefox, Safari automatically engages additional privacy technologies, whether the user browses in standard or private mode. Safari’s Intelligent Tracking Protection (ITP), which has been around for nearly a decade and repeatedly upgraded, now blocks all third-party cookies, among other components advertisers and services use to track people as they bounce from one site to another. ITP is controlled by a single on-off switch — on is the default — found in Preferences under the Privacy icon. If the Website tracking: box is checked to mark Prevent cross-site tracking, ITP is on.

A link can be opened directly to a Private Window by right-clicking, then selecting Open Link in New Private Window. Close a Private Window just as any Safari window, by clicking the red dot in the upper left corner of the browser frame.

Pro tip: Once in a Safari Private Window, opening a new tab — either by clicking the + icon at the upper right or by using the Command-T key combo — omits the Private Browsing Enabled notice. (The darkened address bar remains as the sole indicator of a private browsing session.) Other browsers, such as Firefox, repeat their cautionary messages each time a tab is opened in an incognito session.

Related reading:

• Chromium explained: How the open-source engine drives today’s browsers
• AI web browsers are cool, helpful, and utterly untrustworthy
• How AI will transform your Windows web browser

Deutschland fliegt bei der Fußball-WM im Sechzehntelfinale raus und in Berlin spekuliert man über die Reformpläne der Regierung – da kann ein Urteil in einem Trump-Verfahren vor dem Supreme Court, dem obersten Bundesgericht der USA, schonmal übersehen werden. Zumal das Gericht an diesem Tag gleich in vier Trump-Fällen urteilte.

Doch eines der vier Urteile, nämlich das im Fall Trump versus Slaughter, enthält viel wirtschaftspolitische Sprengkraft. Es hat das Potenzial dazu, den Datenaustausch zwischen den EU und der USA auf den Kopf zustellen. Zudem könnte die Cloud-Nutzung US-amerikanischer Anbieter – egal, ob in Europa gehostet – illegal sein.

FTC verliert Unabhängigkeit

Worum geht es? Trump hatte 2025 die demokratische FTC-Kommissarin Rebecca Kelly Slaughter (FTC = Federal Trade Commission) mit der Begründung gefeuert, dass ihre Tätigkeit im Widerspruch zu den Prioritäten seiner Regierung stehe. Damit verstieß er gegen das über 90 Jahre alte Grundsatzurteil Humphrey’s Executor v. United States, das Mitglieder unabhängiger Kommission vor politisch motivierten Entlassungen schützen soll.

Doch der Supreme Court gab Trump jetzt mit Verweis auf die Unitary Excutive Theory recht. Danach hat die gesamte Exekutivgewalt, auch über Behörden, Aufsichtsorganisationen etc. letztlich beim Präsidenten zu liegen. Oder anders ausgedrückt: Das Gericht hat die Unabhängigkeit der FTC als US-amerikanische Wettbewerbs- und Verbraucherschutzbehörde aufgehoben. Ein Schritt, der nach Ansicht der New York Times das Machtgefüge in Washington grundlegend verändert. Denn künftig kann ein US-Präsident zahlreiche Behörden stärker nach seinen politischen Vorstellungen besetzen und missliebige Behördenchefs einfacher feuern.

Data Privacy Framework in Gefahr

Ja und?, ist man versucht, als Europäer und Deutscher zu sagen. Was jucken uns US-interne Streitigkeiten um Behörden, solange wir unsere unabhängigen Institutionen haben. Auf den ersten Blick mag das stimmen. Doch die Sache hat einen gewaltigen Haken. Das EU-US Data Privacy Framework (DPF), das den Datenaustausch zwischen den USA und Europa regelt, stützt sich auf die FTC als unabhängige Aufsichtsbehörde für den Datenschutz in den USA.

Und das gleich 259-mal, wie Max Schrems nachgezählt hat. Wir erinnern uns, Schrems ist der Österreicher, der bereits 2020 das Privacy-Shield-Abkommen und 2015 Safe Harbor mit seinen Klagen vor dem EuGH zu Fall brachte. Der Schönheitsfehler an der Sache mit der FTC als Datenschutzaufsicht aus seiner Sicht: Das EU-Vertragsrecht verlangt, dass Datenschutzbehörden unabhängig sein müssen. Konkret findet sich diese Anforderung in Artikel 16(2) AEUV sowie Artikel 8(3) der Charta der Grundrechte der EU.

Schrems und noyb wollen klagen

Vor diesem Hintergrund liegen für Schrems und die NGO noyb die Konsequenzen auf der Hand: „Da es in den USA keine unabhängigen Behörden mehr gibt, fordern wir die Kommission auf, die Angemessenheitsentscheidung für die USA in einem geordneten Prozess aufzuheben.“ Einen entsprechenden Brief haben sie bereits an die EU-Kommission geschickt. Zudem werde man in den nächsten Wochen Klage beim EuGH einreichen.

Besteht nun Anlass zu Panik? Momentan sicher nicht. Zumal die USA bereits seit längerer Zeit auf die EU bezüglich Datenverarbeitung massiv Druck ausüben. Und bis der EuGH womöglich das Data Privacy Framework in einem Verfahren kippt, dürften zwei bis drei Jahre ins Land gehen.

Alternativen suchen

Also bequem zurücklehnen? Das sicher auch nicht. Das Urteil des Supreme Court sollte vielmehr als ein Weckruf für mehr Digitale Souveränität verstanden werden. Zumal es zeigt, wie sehr Datenschutz und Datensicherheit im Zusammenhang mit den USA von der Laune – pardon, Executive Order – des US-Präsidenten abhängen.

Handlungshektik ist also nicht angesagt. Allerdings sollten Unternehmen, die sich bei der Übermittlung personenbezogener Daten auf das DPF stützen, ihre Vorgehensweise zeitnah überprüfen. Eventuell eignen sich auch Standardvertragsklauseln (SCCs) und interne Datenschutzvorschriften (Binding Corporate Rules – BCRs) als Lösung. Ebenso stehen auch diese auf wackeligen Beinen, wenn es in den USA keine unabhängige Aufsicht mehr gibt.

Volatilität der Regulierung droht

Im US-Geschäft sollten sich Unternehmen in Bezug auf Daten auf eine größere regulatorische Volatilität einstellen. Ebenso gilt es genau zu prüfen, inwieweit die souveränen Cloud- und Serviceangebote der US-Anbieter in Europa wirklich sicher vor dem Zugriff der US-Behörden sind.

Und vor dem Hintergrund des Urteils sollte Datenverschlüsselung bei der Nutzung von US-Services zum Standard gehörten. Ferner sollte die Suche nach souveränen europäischen Alternativen eigentlich standardmäßig im Pflichtenheft jedes IT-Entscheiders stehen. Oder, um abschließend Bernie Wagner von Schwarz Digits, zu zitieren: „Wer Freiheit will, muss heute anfangen“.

Auch wenn Keylogger schon etliche Jahre auf dem Buckel haben: Sie sind immer noch beliebt und werden häufig im Rahmen großangelegter Cyberangriffe eingesetzt.

Keylogger – Definition

Der Begriff Keylogger bezeichnet eine Art von Überwachungssoftware, die die Tastatureingaben eines Benutzers aufzeichnet. Die Schadsoftware sendet die Daten, die beim Keylogging erfasst werden, an einen Dritten.

Cyberkriminelle nutzen Keylogger, um an persönliche Daten oder sensible Finanzinformationen zu gelangen, die sie dann verkaufen oder anderweitig gewinnbringend nutzen können. Es gibt jedoch auch legitime Verwendungszwecke für Keylogger in Unternehmen – zum Beispiel beim Troubleshooting, dem Optimieren der Benutzerfreundlichkeit oder um Mitarbeiter legal zu überwachen (je nachdem, welchen Gesetzen sie dabei unterliegen). Darüber hinaus nutzen Strafverfolgungsbehörden und Geheimdienste Keylogging zu Überwachungszwecken. Mehr dazu lesen Sie im Absatz “Einsatzzwecke”.

Keylogger – Funktionsweise

“Keylogger sind Programme, die Algorithmen nutzen, um die Tastaturanschläge durch Mustererkennung und andere Techniken zu überwachen”, erklärt Tom Bain, Vice President Security Strategy bei Morphisec. Der Umfang der von der Keylogger-Software gesammelten Informationen kann dabei variieren: Einfache Formen erfassen nur die Informationen, die auf einer (einzigen) Website oder in einer Anwendung eingegeben werden. Hochentwickelte Keylogging-Programme zeichnen hingegen alles auf (einschließlich der Daten, die bei Copy-Paste-Aktionen anfallen), unabhängig von der Anwendung. Einige Keylogger-Varianten – insbesondere solche, die auf mobile Geräte abzielen – gehen noch weiter und erfassen auch Anrufe (sowohl Anrufverlauf als auch Audio), Informationen aus Messaging-Anwendungen, GPS-Standorte, Screenshots und sogar Mikrofon- und Kameraaufnahmen.

Keylogger können hardware- oder softwarebasiert aufgebaut sein:

• Hardwarebasierte Keylogger werden einfach zwischen Tastatur und Computer geschaltet.

• Bei softwarebasierten Keyloggern kann es sich um Applikationen oder Tools handeln, die legal oder illegal installiert werden, in letzterem Fall also das Gerät unwissentlich mit Malware infizieren.

Die beim Keylogging erfassten Daten werden von der Software per E-Mail oder durch den Upload von Protokolldaten in vordefinierte Websites, Datenbanken oder FTP-Server an den Angreifer zurückgesendet. Ist der Keylogger Instument in einem großen Cyberangriff, ist es sehr wahrscheinlich, dass die Kriminellen sich per Fernzugriff einloggen können, um die Tastaturanschlagsdaten herunterzuladen.

Keylogger – Einsatzzwecke

Die ersten Keylogger wurden bereits in den 1970er Jahren vom sowjetischen Geheimdienst eingesetzt (mehr dazu später). Auch diese frühen Keylogger zeichneten auf, was getippt wurde und schickten die Informationen über Funksignale an den KGB zurück.

Wie Cyberkriminelle Keylogger einsetzen

Heute gehören Keylogger zum gängigen Instrumentarium Cyberkrimineller, um finanzielle Informationen wie Bank- und Kreditkartendaten, persönliche Informationen wie E-Mail-Adressen, Passwörter oder sensible Geschäftsinformationen über Prozesse und geistiges Eigentum zu entwenden. Je nach Art der gesammelten Daten (und den Motiven der Angreifer) werden die Informationen auf Darknet-Marktplätzen feilgeboten oder im Rahmen eines größeren Angriffs wiederverwendet.

“Wenn ein Keylogger in der Lage ist, die Tastenanschläge eines Datenbankadministrators in einem großen Unternehmen aufzuzeichnen, eröffnet das dem Angreifer Zugang zu Endpunkten und Servern, die wiederum viele sensible Informationen preisgeben können, die sich zu Geld machen lassen“, erklärt Security-Spezialist Bain.

Keylogger am Arbeitsplatz

Es gibt auch einen großen Markt für legale Keylogging-Apps, wenngleich diese meist ethisch fragwürdig sind. Sie können etwa genutzt werden, um Familienmitglieder, Partner oder Arbeitnehmer auszuspionieren. Wenn der Benutzer eines Geräts davon weiß, dass Spyware auf seinem Gerät läuft, ist das in vielen Ländern legal. Anwendungen, die Informationen über das Arbeitsverhalten sammeln, sind allerdings nicht nur aus moralischen, sondern auch aus Sicherheitsgründen mit Vorsicht zu genießen. Der Spyware-Anbieter mSpy wurde beispielsweise überführt, in mehreren Fällen unabsichtlich Millionen Datensätze von Opfern einer Ausspähung veröffentlicht zu haben.

Überwachungssoftware dieser Art, die manchmal auch als “Corporate Keylogging” bezeichnet wird, kann indes für Testing, Debugging und die Verbesserung der User Experience nützlich sein. “In einer seriösen Umgebung werden Keylogger beispielsweise eingesetzt, um zu überprüfen, ob IT-Sicherheits- und Compliance-Vorschriften eingehalten werden”, weiß Simon Sharp, International Vice President beim Sicherheitsanbieter ObserveIT. “Ein Administrator kann dann sofort feststellen, wer ein bestimmtes Wort oder einen bestimmten Wert eingegeben hat, der mit einem Sicherheitsvorfall in Verbindung steht. So kann er verstehen, wer wann und warum gegen eine Richtlinie verstoßen hat.”

Die IT-Abteilung kann die Tastaturanschlagsdaten nutzen, um Benutzerprobleme zu identifizieren und zu beheben. Darüber hinaus können die Keylogging-Daten möglicherweise zusätzliche forensische Informationen nach einem Sicherheitsvorfall bereitstellen. Keylogger können auch dazu genutzt werden, potenzielle Innentäter zu erkennen, die Produktivität der Mitarbeiter zu überwachen oder um sicherzustellen, dass die IT-Ressourcen des Unternehmens nur für berufliche Zwecke genutzt werden. Sämtliche erfassten Keylogging-Daten sollten verschlüsselt werden.

Keylogger – Infektionswege

Es gibt verschiedene Wege, wie Keylogger auf einem Zielsystem platziert werden können. Hardwarebasierte Keylogger erfordern eine physische Handlung des Angreifers vor Ort. Das ist meist schwierig zu bewerkstelligen – aber nicht unmöglich. Auch drahtlose Tastaturen können übrigens aus der Ferne ausspioniert werden.

Software-basierte Keylogger sind weiter verbreitet und eröffnen mehrere Zugangswege:

• Infizierte Domains sind eine gängige Angriffsmethode – im Oktober 2018 wurden die .com- und .eu-Domains der Online-Bürosoftware Zoho gesperrt, nachdem sie Keylogging-Malware an Nutzer ausgeliefert hatten. Auch Tausende von WordPress-Webseiten wurden bereits über gefälschte Google-Analytics-Skripte mit Keyloggern infiziert.

• Mit Malware infizierte Apps sind ebenfalls ein Problem. Der Google Play Store hatte in der Vergangenheit bereits des öfteren mit Apps zu kämpfen, die Keylogger enthielten.

• Wie viele andere Arten von Malware sind auch Keylogger oft in Phishing-E-Mails eingebettet. Eine Version des HawkEye-Keyloggers wurde beispielsweise über eine E-Mail-Kampagne mit infizierten Word-Dokumenten verbreitet.

• Einige andere Keylogger-Varianten, wie etwa Fauxspersky, können sich über infizierte USB-Laufwerke verbreiten.

“Die größte Innovation bei Keyloggern sind integrierte Ausweichtechniken, die es ermöglichen, die Malware an Erkennungsmechanismen wie Antivirus-Software vorbeizuschleusen”, sagt Bain. Viele Keylogger würden inzwischen in Kombination mit Ransomware, Cryptominer Malware oder Botnet-Code geliefert, so der Experte.

6 Wege, um Keylogger zu erkennen und entfernen

Die folgenden Ratschläge stellen die nach allgemeiner Auffassung wirksamsten Schritte dar, um die Auswirkungen unerwünschter Keylogger zu minimieren:

1. Ressourcen, Prozesse und Daten überwachen

Um einen Keylogger zu finden, kann es hilfreich sein, einen Blick auf die Ressourcenzuweisung, die Hintergrundprozesse und die Daten zu werfen, die vom betreffenden Gerät übertragen werden. Um zu funktionieren, benötigen Keylogger in der Regel Root-Zugriff auf den Zielrechner – ebenfalls ein verräterisches Anzeichen für eine Keylogger-Infektion.

2. Schutz aktualisieren

Da Keylogger oft mit anderen Formen von Malware gebündelt werden, kann die Entdeckung von Keylogger-Malware ein Hinweis auf einen umfassenderen Angriff sein. Aktuelle Virenschutz- und Anti-Rootkit-Lösungen entfernen bekannte Keylogger-Malware. Dennoch empfehlen sich weitere Untersuchungen, um festzustellen, ob der Vorfall Teil eines größeren Angriffs war.

3. Anti-Keylogger-Software einsetzen

Spezielle Anti-Keylogger-Software verschlüsselt Tastaturanschläge, sucht nach bekannten Keyloggern und entfernt sie. Bei ungewöhnlichem Keylogger-ähnlichem Verhalten schlägt sie Alarm. Hilfreich ist es auch, den Root-Zugriff für nicht autorisierte Anwendungen zu sperren und bekannte Spyware in die IT-Blacklist aufzunehmen.

4. Virtuelle Tastaturen nutzen

Virtuelle Onscreen-Keyboards vermindern das Keylogger-Risiko, weil sie Informationen auf andere Weise weitergeben als physische Tastaturen. Das kann sich allerdings auf die Produktivität der Benutzer auswirken. Außerdem wirkt es nicht gegen alle Arten von Keylogger und beseitigt auch nicht die Ursache des Problems.

5. Selbstausführende Dateien deaktivieren

Indem selbstausführende Dateien auf extern angeschlossenen Geräten wie etwa USB-Devices deaktiviert werden und Dateien lediglich eingeschränkt auf und von externen Rechnern kopiert werden können, lässt sich das Risiko einer Keylogger-Infektion ebenfalls verringern.

6. Strikte Richtlinien durchsetzen

Der beste Weg für Unternehmen, sich vor Keylogger-Malware zu schützen, besteht in vielschichtigen Kennwortrichtlinien und einer Mehr-Faktor-Authentifizierung für alle Unternehmenskonten und -geräte. Auch im Fall von Keylogging reicht durchschnittliche Antivirus-Technologie nicht mehr aus.

Keylogger-Historie – berühmte Beispiele

• Der älteste bekannte Keylogger entstammt dem Prä-Computerzeitalter: Der sowjetische Geheimdienst entwickelte in den 1970er Jahren ein Device, das in elektrischen IBM-Schreibmaschinen versteckt werden konnte und Informationen über Tastenanschläge per Funk übermittelte. Diese frühen Keylogger wurden in US-Botschaften in Moskau und Leningrad eingesetzt.

• Der erste Computer-Keylogger wurde 1983 vom damaligen Doktoranden Perry Kivolowitz als Proof of Concept entwickelt.

• Ein besonders bemerkenswertes Beispiel für einen Keylogger “in freier Wildbahn” wurde 2015 “im Bundle” mit einer Modifikation für das Videospiel Grand Theft Auto V verbreitet.

• Im Jahr 2017 wurde bekannt, dass Hunderte von Laptop-Modellen aus dem Hause Hewlett-Packard mit einem Keylogger ausgeliefert wurden. Das Unternehmen bestand allerdings darauf, dass es sich um ein Tool zur Diagnose der Tastaturleistung handelte, das vor der Auslieferung hätte gelöscht werden müssen.

Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

On February 17, 2026, the FDA’s final guidance on the use of real-world evidence to support regulatory decision-making for medical devices became operational. It asks sponsors to demonstrate that their real-world data is relevant, reliable, complete and traceable, for every clinical fact rather than each dataset as a whole. The first wave of submissions under the new rules is now landing at the agency, and a structural problem with how most secondary-use clinical data is built today is about to become visible.

The premise behind those pipelines is that structured electronic health record (EHR) fields plus claims data offer a defensible foundation for evidence. They are easier to extract and standardize, and map cleanly to common data models like OMOP. The implicit assumption is that what is missing from the structured fields is either marginal or available somewhere else. The peer-reviewed record says otherwise.

The clinical signal that matters lives in text

Across condition areas where regulatory submissions depend on completeness, structured fields capture a small fraction of what clinicians have documented.

Social determinants of health are the starkest case. A 2024 study in npj Digital Medicine compared natural language processing on clinical notes against ICD-10 Z-codes for the same patients: NLP identified adverse SDoH in 93.8% of patients, while the structured codes identified 2.0%. For a regulatory question about outcomes by housing, food or transportation security, structured data is not a partial view. It is absent.

Family history follows a similar shape. A 2015 study in the AMIA Annual Symposium Proceedings found specified family history in 58.7% of neurology admission notes against 5.2% in the structured record, a twelvefold gap. Any genetics-aware risk model that draws only from structured fields operates without most of its predictive signal.

In oncology, the data that drives staging, therapy and outcomes lives in pathology reports and clinic notes rather than discrete fields. A 2022 study in the Journal of Medical Internet Research reported 93.5–97.6% accuracy for cancer site and histology extracted directly from free-text pathology reports. Without that extraction, the structured oncology record is, on its own, incomplete enough that cancer registry and external-control-arm work cannot be defended.

For diagnoses more generally, a 2021 audit in the International Journal of Medical Informatics found that nearly 40% of important inpatient diagnoses appeared only in free-text notes and never reached the structured problem list. A 2025 study presented at the PHUSE/FDA Computational Science Symposium reported that observed suicidality and self-harm events doubled once unstructured EHR data was added to the surveillance window. This is consistent with earlier work showing that only about 3% of suicidal ideation events and 19% of suicide-attempt events documented in notes carry corresponding ICD codes. For pharmacovigilance and safety analyses, the gap is the difference between detecting a signal and missing it.

And what is captured is noisier than it looks

Treating the structured record as ground truth understates a second problem: the codes that are present are frequently wrong. A 2017 simulation study in the AMIA Annual Symposium Proceedings found that just over half of entered diagnosis codes were appropriate for the clinical scenario, and about a quarter of the codes expected from the chart were omitted entirely. A 2022 study in the Annals of Translational Medicine reported an average of 4.9 medication discrepancies per patient, with more than 90% of patients carrying at least one. And the CDC has documented that about one in five new prescriptions is never filled, and roughly half of those filled are taken incorrectly.

The structured layer is not only thin. It is also unreliable in ways that propagate silently into derived measures. This brings the discussion to the most uncomfortable finding.

Completeness changes the answer, not just the coverage

A 2018 study in the American Journal of Managed Care computed Charlson comorbidity scores (a widely used mortality-prediction index) from two sources for the same patients: from free-text clinical notes and from the structured problem list. The version computed from the notes predicted long-term mortality. The version computed from the structured record did not. The math was identical. The data layer changed which conclusions were valid.

This is the pattern the new FDA guidance is responding to. The agency’s relevance-and-reliability framework cares less about volume than about accuracy. The clinical facts in a submission have to accurately represent what happened to the patient, and critical information cannot be systematically missing. A submission whose underlying measure is built on the structured-only Charlson is, by the agency’s own framework, not fit for the regulatory question it is being used to answer.

What this means for the architecture, not just the dataset

The implication runs deeper than “add NLP to your pipeline.” It changes the unit of work. Under the new guidance, the question is no longer “is this dataset complete enough?” but “is this fact about this patient accurate, and where did it come from?” Every clinical assertion in a real-world evidence submission has to be treatable as a claim: sourced, dated, contextualized, scored for confidence and reconcilable when sources disagree.

That has architectural consequences. It means ingesting and parsing every modality losslessly, including text, FHIR, HL7, DICOM and PDFs, without throwing away the original. It means extraction with healthcare-specific language models that handle negation, assertion status, temporality and clinical context. It means terminology mapping that survives audit. It means a reconciliation layer that knows what to do when the chart says 80 mg and the pharmacy feed says 40 mg and surfaces the conflict rather than picking silently.

None of that is exotic engineering. But it is incompatible with pipelines whose first design assumption was that structured fields would carry the load. Sponsors operating under the new guidance will need to rebuild that assumption from the ground up.

Capturing the right data is the easier part. Proving you captured it correctly, fact by fact, is the harder one. The new guidance treats both as requirements, not options.

This article is published as part of the Foundry Expert Contributor Network.
Want to join?

Am 20. November 1985 veröffentlicht die damals noch kleine Softwarefirma Microsoft mit Windows 1.0 die erste grafische Benutzeroberfläche für ihr Betriebssystem MS-DOS. Zunächst nur als Erweiterung des Betriebssystems programmiert, legt Windows 1.0 den Grundstein für eine beispiellose Erfolgsgeschichte. Anwendungen auf MS-DOS-Rechnern lassen sich nun endlich mit der Maus bedienen und machen die grauen Kisten somit auch für den Consumer-Markt attraktiv.

Die Anfänge von Windows

Um die erste grafische Oberfläche für die Benutzung von PCs entbrennt vor 30 Jahren allerdings zunächst ein Wettlauf gegen die Zeit. Personal Computer werden zu dieser Zeit in der Regel in Unternehmen eingesetzt. Bill Gates wird schnell klar, dass eine grafische Oberfläche (Graphical User Interface, GUI) notwendig sein würde, damit der Computer eines Tages auf jedem Schreibtisch seinen Platz findet.

Unter Microsofts erstem Betriebssystem MS-DOS müssen Anwender schon über ein gewisses technisches Know-how verfügen, um den Rechner bedienen zu können. Grundkenntnisse in der Programmiersprache Basic sind damals von Vorteil. Die erste Version von Windows hat allerdings noch recht wenig Ähnlichkeit mit den grafischen Oberflächen, wie man sie heute kennt. Die Software ist sperrig, langsam und wird nur von wenigen Anwendungen überhaupt unterstützt. Will man ein kleines Programm wie den Taschenrechner starten, muss die dafür erforderliche Datei (calc.exe) erst in den Tiefen des Betriebssystems gesucht und anschließend über die Kommandozeile gestartet werden.

Die anfangs rudimentäre grafische Oberfläche ist damals revolutionär – von Microsoft stammt die Idee allerdings nicht. Bereits zwei Jahre zuvor – 1983 – bringt Apple-Gründer Steve Jobs mit der Lisa einen der ersten Computer mit grafischer Oberfläche auf den Markt. Das Gerät ist jedoch teuer und spricht schon deshalb nur einen kleinen Kreis von Computer-Enthusiasten an. Doch die Richtung ist vorgegeben, der Wettlauf beginnt.

Jobs und die Programmierer bei Apple lassen sich bei ihrer Entwicklung der GUI von der Arbeit am legendären kalifornischen Forschungszentrum Xerox PARC inspirieren. Dort wird die Idee der grafischen Benutzeroberfläche für PCs geboren. Bereits in den 1970er Jahren entsteht dort der Xerox Alto für Forschungszwecke. Nachdem 1981 der Xerox Star als erster kommerzieller Rechner floppt, gibt das Unternehmen sein Vorhaben auf.

Microsoft, Apple und das Urheberrecht

Durch Apple unter Zugzwang geraten, kündigt Bill Gates im November 1983 auf der Computermesse Comdex in Las Vegas sein Windows 1.0 an – lange bevor die Software überhaupt fertig ist. Als Anekdote ist überliefert, dass Gates’ Vater bei seinem Vortrag am Diaprojektor stand. Fast zwei Jahre braucht Microsoft anschließend, bis die erste Windows-Version auf den Markt kommt. In der Zwischenzeit stellt auch Apple seinen ersten PC auf die Beine: den Macintosh.

Gates nimmt sich für Windows relativ unverhohlen die Oberfläche des Jobs und die Programmierer bei Apple lassen sich bei ihrer Entwicklung der GUI von der Arbeit am legendären kalifornischen Forschungszentrum zum Vorbild. Die Anwälte der Apfel-Company kann er sich nur vom Hals halten, weil er für Apple dringend benötigte Mac-Anwendungen liefert. Als Microsoft aber Anfang 1988 mit dem nächsten größeren Versionssprung, Windows 2.03, auf den Markt stößt, reicht Apple wegen Verstoßes gegen das Urheberrecht Klage gegen seinen Rivalen ein. Den über Jahre erbittert geführten Rechtsstreit verliert Apple letztendlich im Jahr 1994 – auch deshalb, weil es sich in den 1980er Jahren selbst bei Xerox bedient hatte.

Erst im Sommer 1997 normalisiert sich die Beziehung zwischen Apple und Microsoft langsam wieder, als der zu Apple zurückgekehrte Steve Jobs die Hilfe von Microsoft in Anspruch nimmt, um das in Schwierigkeiten geratene Unternehmen wieder profitabel zu machen. Nichtsdestotrotz nimmt Apple seinen “Lieblings”-Kontrahenten und dessen “Kopierleidenschaft” auch Jahre später noch aufs Korn – mit Vorliebe in Form ironischer Werbespots.

Durchbruch und Millenium-Fluch

Zum Start von Windows 1.0 gibt es weltweit eine Basis von “lediglich” sechs Millionen Personal Computer. Erst rund fünf Jahre später, im Jahr 1990, gelingt der Software-Schmiede aus Redmond mit Windows 3.0 ein erster Erfolg. Den endgültigen Durchbruch beschert dem Unternehmen dann weitere fünf Jahre später der Release von Windows 95. Unter Windows 95 lassen sich Peripheriegeräte wie Drucker deutlich einfacher anschließen und in Betrieb nehmen. Ohne umständliche Installation von Treibersoftware kommen die Nutzer dennoch nur selten aus. Erstmals kommt Windows 1995 auch mit einem virtuellen Papierkorb auf der Schreibtischoberfläche daher – ein Icon, das Macintosh-Nutzer der ersten Stunde zu dieser Zeit längst kennen. Auch eine Verbindung zum Internet können Nutzer mit Windows 95 erstmals herstellen: mit dem Internet Explorer.

Das 1998 erschienene Windows 98 wird im Vergleich zu seinem Vorgänger nur in Details weiterentwickelt. Bei diesen Details handelt es sich konkret um die standardmäßige Einbindung des Internet Explorers in das Windows-Betriebssystem, sowie die Einführung der Schnellstartleiste und die Unterstützung der damals neuen USB-Schnittstelle. Mit der im Jahr 2000 erschienenen Windows Millenium Edition (ME) kann Microsoft bei PC-Nutzern dagegen nicht punkten. Das auf Multimedia-Support optimierte Betriebssystem soll Windows-User mit mehr Benutzerfreundlichkeit verwöhnen, in der Praxis “besticht” es vor allem mit Instabilität und mangelhafter Performance.

XP-Kult und Vista-Fehlschlag

Mit Windows XP erneuert Microsoft im Jahr 2001 die optische Präsentation von Windows. Und auch technisch halten viele Neuerungen Einzug. Insbesondere auf Notebooks macht Windows nun eine deutlich bessere Figur. Das weiß auch die schreibende Gilde zu schätzen: Pünktlich zum Release erhält Windows XP auch von der Presse gute Noten. Anwender schätzen insbesondere die Navigation über das Startmenü. Windows XP gibt es auch als Tablet PC Edition – aus gutem Grund: Im Jahr 2002 startet Microsoft in Kooperation mit einigen OEMs eine große Tablet-Offensive. Die Windows-Tablets können sich jedoch nur in vertikalen Märkten wie dem Gesundheitswesen etablieren.

Der Support von Windows XP endet im Jahr 2014 nach 13 Jahren. Dennoch können sich viele Unternehmen, Institutionen und Privatpersonen nur schwer vom äußerst beliebten Windows-Betriebssystem trennen. Für Microsoft ist Windows XP in diesen Jahren eines der meistverkauften Produkte. Der XP-Nachfolger Windows Vista wird dagegen von vielen Experten nicht gerade als Erfolgskapitel der Windows-Geschichte angesehen. Das Windows-OS soll zunächst bereits 2003 auf den Markt kommen, fertiggestellt wird das Projekt mit dem Codenamen “Longhorn” allerdings erst Ende 2006. Mit der umfangreichen, visuellen Neugestaltung von Windows Vista will Microsoft auch ein Zeichen setzen: Apples Betriebssystem Mac OS X macht zu diesem Zeitpunkt einen deutlich frischeren, moderneren Eindruck als Windows XP. Die neue “Aero”-Oberfläche, ein neu designtes Startmenü und zeitgemäß inszenierte Icons sowie viele technische Neuerungen zeichnen Windows Vista aus. Trotzdem kommt diese Windows-Version bei vielen Kunden nicht an – Stabilität und Performance können mit den Erwartungen vieler User nicht mithalten. So landet Vista oft nur bei Endkunden, die es mit neuen Systemen erwerben. Insbesondere im Unternehmensumfeld bleibt XP das Maß der Dinge.

Windows 7 und die Solidarität mit dem Start-Button

Windows 7 gilt entsprechend als der eigentlich legitime Nachfolger von Windows XP. Gegenüber Vista kann Windows 7 in Sachen Stabilität, Performance und Nutzerfreundlichkeit bei den Nutzern schnell punkten. Auch kurz vor dem Erscheinen von Windows 10 verzeichnet Windows 7 immer noch die höchsten Marktanteile unter den Windows-Betriebssystemen.

Mit Windows 8 ändert sich die Bedienung des Betriebssystems grundlegend: Die neue Kacheloberfläche lässt sich auf touch-fähigen Geräten zwar gut bedienen, stößt aber viele Desktop-Anwender vor den Kopf, die die Änderung der Benutzerführung oft als zu radikal empfinden. Drittanbieter-Tools die die beliebte Windows-Leiste mit Start-Button zurückbringen, haben zu diesem Zeitpunkt Hochkonjunktur. Nur ein Jahr später muss Microsoft reagieren und renoviert Windows 8 grundlegend. Das Ergebnis nennt man kurzerhand Windows 8.1. Der Startbildschirm ist unter Windows 8.1 nun flexibler konfigurierbar, auf Wunsch ist nun auch wieder die klassische Windows-Desktop-Ansicht verfügbar – inklusive Startknopf. Abseits der Diskussionen um das Für und Wider der Kachel-Oberfläche geht oft unter, dass Windows 8 – und insbesondere auch Windows 8.1 – einige spannende Neuerungen an Bord haben, wie etwa Speicherpools oder Arbeitsordner.

Windows 10 und das “neue” Microsoft

Mit Windows 10 veröffentlichte Microsoft Ende Juli 2015 nicht nur einfach eine neue Windows-Version. Das aktuelle Windows-OS verkörpert die neue “One-Platform”-Strategie des Redmonder IT-Konzerns, der mit Windows 10 und Windows 10 Mobile künftig eine geräteklassenübergreifende Plattform etablieren will. Windows 10 läuft also nicht nur auf PCs, sondern auch auf Tablet-PCs, Notebooks, Windows Phones, der Spielkonsole Xbox One und dem kommenden AR-Device Hololens. Weitergeführt werden soll diese Strategie von plattformübergreifenden “Universal”-Apps. Doch auch sonst ändert sich Einiges: Windows 10 wurde als erstes OS der Windows-Geschichte allen Nutzern von Windows 7, 8 und 8.1 als kostenloses Upgrade zur Verfügung gestellt und wird kontinuierlich über Software-Updates erweitert. Das heißt bei Microsoft “Windows-as-a-Service” – und sorgt dafür, dass der traditionelle Patch-Day endgültig Geschichte ist. Dass Microsoft mit Windows 10 neue Wege beschreitet, zeigte sich bereits während des Entwicklungsprozesses: Über das “Insider Program” waren beziehungsweise sind Millionen von Anwender mit ihrem Feedback in die Entwicklung des Betriebssystems involviert.

Mit Windows 10 beschreitet Microsoft auch beim Thema Open Source neue Wege und öffnet sich der Community. So soll das Win 10 Anniversary Update auch mit integriertem Ubuntu Bash kommen, während Windows Server 2016 weitergehende Linux-Virtualisierungen erlaubt. Doch nicht nur Linux, auch andere Open-Source-Projekte werden künftig unterstützt: Sowohl das .NET-Framework, als auch die Entwicklungsumgebung Visual Studio stellt Microsoft für Entwickler kostenlos zur Verfügung.

Windows 10 Creators Update

Ende Oktober 2016 kündigt Microsoft das nächste umfassende Update für sein Betriebssystem an. Das Creators Update soll im Frühjahr 2017 gewichtige Neuerungen auf alle Windows-10-Geräte bringen – insbesondere was die Bereiche Mixed- und Virtual-Reality angeht. Geht es nach den Redmondern, soll künftig jeder Windows 10 User ganz einfach und schnell eigene 3D-Inhalte erstellen und bearbeiten können. Das soll in erster Linie über eine Erweiterung von Paint funktionieren, das künftig Paint 3D heißt. Auch beliebige, abfotografierte Objekte sollen künftig per App auf Knopfdruck in 3D-Modelle verwandelt werden können. Konsumiert werden sollen die MR- und VR-Inhalte zum einen über Microsofts Hololens, zum anderen auch über VR-Brillen diverser Partnerhersteller, etwa Lenovo, Dell und HP. Auch die Windows 10 Community soll künftig noch stärker zusammenwachsen, wenn es nach Microsoft geht. Deswegen stellen die Redmonder im Rahmen des Creators Update auch eine Schnittstelle zur Verfügung, die zahlreiche Kommunikationstools miteinander vereinen soll.

Windows 10 S und Creators Update, Part 2

Anfang Mai 2017 stellte Microsoft mit dem Surface Laptop nicht nur ein weiteres Gerät der Surface-Reihe vor, sondern enthüllte auch soll im Frühjahr 2017 gewichtige Neuerungen auf alle Windows-10-Geräte bringen – insbesondere was die Bereiche Mixed- und Virtual-Reality angeht. Geht es nach den Redmondern, soll künftig jeder Windows 10 User ganz einfach und schnell eigene 3D-Inhalte erstellen und bearbeiten können. Das soll in erster Linie über eine Erweiterung von Paint funktionieren, das künftig Paint 3D heißt. Auch beliebige, abfotografierte Objekte sollen künftig per App auf Knopfdruck in 3D-Modelle verwandelt werden können. Konsumiert werden sollen die MR- und VR-Inhalte zum einen über. Die cloudbasierte Version von Windows 10 läuft ausschließlich mit Apps aus dem Windows Store, ist jedoch upgrade-fähig. Die abgespeckte Windows-Version ist mit dem eingestellten RT vergleichbar und richtet sich in erster Linie an Bildungseinrichtungen. Schließlich will Microsoft dieses Feld nicht alleine den , zum anderen auch über VR-Brillen diverser Partnerhersteller, etwa Lenovo, Dell und HP. Auch die Windows 10 Community soll künftig noch stärker zusammenwachsen, wenn es nach Microsoft geht. Deswegen stellen die Redmonder im Rahmen des Creators Update auch eine Schnittstelle zur Verfügung, die zahlreiche Kommunikationstools miteinander vereinen soll. überlassen.

Auf der Entwicklerkonferenz Build 2017 kündigte Microsoft den Nachfolger zum Creators Update an: das Fall Creators Update. Unsere US-Kollegin Melissa Riofrio klärt Sie über die besten, neuen Features auf:

Seit April 2018 verzichtete Microsoft auf besondere Nomenklatur bei Windows 10 Updates, verbessert sein Betriebssystem aber konsequent weiter und liefert dazu im Regelfall zwei große Updates pro Jahr. Die aktuelle Version (20H2) wurde im Okotober 2020 veröffentlicht.

Aufmerksame Leser werden bemerkt haben, dass in diesem Text nicht auf jede Windows-Version eingegangen wird. Natürlich haben wir auch Windows NT, 2000 und wie sie alle heißen nicht vergessen – in unserer Bildergalerie bekommen Sie einen umfassenden Überblick über die wichtigsten Windows-Versionen.

Windows 11 21H2

Es begann mit einer überraschenden Ankündigung von Microsoft-CEO Satya Nadella auf der Entwicklerkonferenz Build 2021: “Wir werden bald eines der bedeutendsten Updates für Windows des letzten Jahrzehnts vorstellen. Ich selbst habe es in den letzten Monaten schon ausprobiert und bin unglaublich aufgeregt, was die nächste Generation von Windows betrifft.” Damit befeuerte der Manager eine regelrechte Flut an Spekulationen rund um ein neues Windows. Am 24. Juni lösten sich dann alle bis dahin noch bestehenden Rätsel. Microsoft stellte mit Windows 11 offiziell eine neue Generation seines Betriebssystems vor und erklärte, damit eine neue Ära einläuten zu wollen.

Die Idee, ein neues Windows zu bauen, entstand wohl in der Corona-Pandemie. Die vergangenen 18 Monate hätten die Art und Weise, wie Menschen den PC nutzen, komplett verändert, konstatierte Panos Panay, Chief Product Officer für den Bereich Windows und Devices bei Microsoft. Der PC habe das Leben in der Krise maßgeblich mitbestimmt. Man habe Windows 11 darauf ausgelegt, auf verschiedenen Gerätetypen zu laufen und unterschiedliche Bedienmodi zu unterstützen, hieß es von Seiten Microsofts. Beispielsweise sei der Abstand zwischen den Icons in der Taskleiste vergrößert worden, um eine Touch-Bedienung auf Tablets zu erleichtern. Auch die Erkennung von Spracheingaben sei Microsoft zufolge verbessert worden. Alle aktuell im Handel verkauften PCs und Notebooks sollen Windows-11-tauglich sein, hieß es. Wie schon beim Umstieg auf Windows 10 will Microsoft Anwendern mit der PC Health Check App ein Tool anbieten, um zu prüfen, ob ihr Rechner für das neue Windows-System geeignet ist.

Microsoft hat bei Windows 11 vor allem Design und Bedienerführung vereinfacht. Mithilfe neuer Tools wie “Snap Layouts”, “Snap Groups” und “Desktops” sollen Nutzer ihren Arbeitsplatz besser organisieren können, verspricht der Softwarehersteller. So ließen sich beispielsweise mehrere separate Arbeitsoberflächen einrichten und mit Apps und Tools bestücken – etwa für die Arbeit, den Privatbereich oder die Schule. Darüber hinaus verzahnt Microsoft Windows 11 enger mit dem in der Pandemie so erfolgreichen Communication- und Collaboration-Tool Teams.

Wieder zurück in Windows 11 sind die aus der Version 7 bekannten Widgets. Damit können Nutzer personalisierte Feeds mit beispielsweise Nachrichten oder Wetterinformationen einrichten. Der Redmonder Konzern bewirbt sein neues Betriebssystem darüber hinaus als besonders sicher. Die Architektur sei als Zero Trust angelegt, zudem sei das System Secure by Design. Wichtige Sicherheits-Features wie zum Beispiel Verschlüsselung seien von Haus aus aktiviert.

Überarbeitet hat Microsoft auch den Windows-Appstore, der laut Panay nun übersichtlicher und auch einfacher zu nutzen sein soll. Darüber hinaus ließen sich künftig auch Android-Apps über den Amazon Appstore in Windows herunterladen. App-Entwicklern winken mit Windows 11 laut Panay mehr Freiheiten. Sie könnten beliebige App-Frameworks für ihre Entwicklungen nutzen. Apps ließen sich beispielsweise als Win32-, Progressive-Web-App (PWA) oder Universal-Windows-App (UWA) in den Store einstellen.

Um mehr Entwickler auf die Windows-Plattform zu locken, hat Microsoft auch seine Abrechnungsmodalitäten angepasst: Bringt ein Entwickler seine eigene Abrechnungs-Engine mit in den Windows-Store, will der Konzern keine Gebühren verlangen. Wird die im Windows-Store von Microsoft angebotene Commerce-Service genutzt, werden 15 Prozent vom Umsatz fällig. Die erste Version von Windows 11 – 21H2 – wurde im Oktober 2021 veröffentlicht.

Windows 11 22 H2

Im September 2022 erfolgte schließlich mit der Version 22H2 das erste große Update des neuen Microsoft-Betriebssystems, das zahlreiche Überarbeitungen beziehungsweise Optimierungen beinhaltete, sowohl auf Design- als auch auf Funktionsebene. Hervorzuheben ist dabei vor allem die von den Nutzern lange herbeigesehnte Möglichkeit, innerhalb des Windows Datei-Explorers Registerkarten zu öffnen. Unsere Kollegen von der PC-Welt haben das erste Windows-Update, beziehungsweise dessen Betaversion, ausgiebig getestet und erklärt.

Windows 11 23H2

Ende Oktober 2023 veröffentlichte Microsoft schließlich die Version 23H2. Diese zeichnet sich in erster Linie durch die Integration generativer KI-Funktionen auf GPT-4-Basis aus – Stichwort Copilot. Das wirkt sich vielfältig auf diverse Bereiche des Windows-Ökosystems aus, wie eine Microsoft-Expertin in diesem Videobeitrag ausführlich erklärt.

Windows 11 24H2

Seit Oktober 2024 ist das 2024er-Update von Windows 11 allgemein verfügbar. Mit 24H2 halten zahlreiche Neuerungen in Windows 11 Einzug – insbesondere neue KI-Features (bei Copilot+-PCs). Darüber hinaus verspricht 24H2 auch WiFi-7-Support, einen optimierten Datei-Explorer sowie verbesserte Konnektivität. In der Praxis hat sich dieses Windows-Update leider vor allem dadurch ausgezeichnet, dass es bei der Nutzerbasis für umfassende (teilweise nur manuell zu lösende) Probleme gesorgt hat.

Knapp vier Jahre nach seiner Veröffentlichung ist der Erfolg von Windows 11 mit Blick auf die Nutzerakzeptanz noch ausbaufähig. Immerhin hat Win 11 seinen Vorgänger inzwischen nach Marktanteil überholt. Aktuell (Stand: Februar 2026) steht Windows 11 bei 62 Prozent. Der Vorgänger Windows 10 bringt es noch auf 36 Prozent.

Windows 11 25H2

Seit dem 30. September 2025 steht Windows 11 25H2 zur Verfügung und zeichnet sich durch diverse neue, teilweise Hardware-exklusive Features aus. Letztere beinhalten vor allem neue KI-Funktionen für Copilot+-PCs. Darüber hinaus bietet 25H2 auch Support für WLAN-7-Zugriffspunkte, Windows-Sicherung für Organisationen sowie zahlreiche Optimierungen für Datei-Explorer und Task Manager. Die vollständige Auflistung finden Sie direkt bei Microsoft.

Windows 11 26H1

Bei Win 11 26H1 handelt es sich um eine Version, die am 10. Februar 2026 veröffentlicht wurde und speziell auf neue, ARM-basierte Windows Devices abgestimmt ist, die laut den Redmondern Anfang 2026 auf den Markt kommen. (dpa/tc/mje/fm/ba)

What a long, strange trip it’s been.

From its inaugural release to today, Android has transformed visually, conceptually and functionally — time and time again. Google’s mobile operating system may have started out scrappy, but holy moly, has it ever evolved.

Here’s a fast-paced tour of Android version highlights from the platform’s birth to present. (Feel free to skip ahead if you just want to see what’s new in the most recent Android 17 update.)

Android versions 1.0 to 1.1: The early days

Android made its official public debut in 2008 with Android 1.0 — a release so ancient it didn’t even have a cute codename.

Things were pretty basic back then, but the software did include a suite of early Google apps like Gmail, Maps, Calendar, and YouTube, all of which were integrated into the operating system — a stark contrast to the more easily updatable standalone-app model employed today.

Android version 1.5: Cupcake

With early 2009’s Android 1.5 Cupcake release, the tradition of Android version names was born. Cupcake introduced numerous refinements to the Android interface, including the first on-screen keyboard — something that’d be necessary as phones moved away from the once-ubiquitous physical keyboard model.

Cupcake also brought about the framework for third-party app widgets, which would quickly turn into one of Android’s most distinguishing elements, and it provided the platform’s first-ever option for video recording.

Android version 1.6: Donut

Android 1.6, Donut, rolled into the world in the fall of 2009. Donut filled in some important holes in Android’s center, including the ability for the OS to operate on a variety of different screen sizes and resolutions — a factor that’d be critical in the years to come. It also added support for CDMA networks like Verizon, which would play a key role in Android’s imminent explosion.

Android versions 2.0 to 2.1: Eclair

Keeping up the breakneck release pace of Android’s early years, Android 2.0, Eclair, emerged just six weeks after Donut; its “point-one” update, also called Eclair, came out a couple months later. Eclair was the first Android release to enter mainstream consciousness thanks to the original Motorola Droid phone and the massive Verizon-led marketing campaign surrounding it.

Verizon’s “iDon’t” ad for the Droid.

The release’s most transformative element was the addition of voice-guided turn-by-turn navigation and real-time traffic info — something previously unheard of (and still essentially unmatched) in the smartphone world. Navigation aside, Eclair brought live wallpapers to Android as well as the platform’s first speech-to-text function. And it made waves for injecting the once-iOS-exclusive pinch-to-zoom capability into Android — a move often seen as the spark that ignited Apple’s long-lasting “thermonuclear war” against Google.

Android version 2.2: Froyo

Just four months after Android 2.1 arrived, Google served up Android 2.2, Froyo, which revolved largely around under-the-hood performance improvements.

Froyo did deliver some important front-facing features, though, including the addition of the now-standard dock at the bottom of the home screen as well as the first incarnation of Voice Actions, which allowed you to perform basic functions like getting directions and making notes by tapping an icon and then speaking a command.

Notably, Froyo also brought support for Flash to Android’s web browser — an option that was significant both because of the widespread use of Flash at the time and because of Apple’s adamant stance against supporting it on its own mobile devices. Apple would eventually win, of course, and Flash would become far less common. But back when it was still everywhere, being able to access the full web without any black holes was a genuine advantage only Android could offer.

Android version 2.3: Gingerbread

Android’s first true visual identity started coming into focus with 2010’s Gingerbread release. Bright green had long been the color of Android’s robot mascot, and with Gingerbread, it became an integral part of the operating system’s appearance. Black and green seeped all over the UI as Android started its slow march toward distinctive design.

Android 3.0 to 3.2: Honeycomb

2011’s Honeycomb period was a weird time for Android. Android 3.0 came into the world as a tablet-only release to accompany the launch of the Motorola Xoom, and through the subsequent 3.1 and 3.2 updates, it remained a tablet-exclusive (and closed-source) entity.

Under the guidance of newly arrived design chief Matias Duarte, Honeycomb introduced a dramatically reimagined UI for Android. It had a space-like “holographic” design that traded the platform’s trademark green for blue and placed an emphasis on making the most of a tablet’s screen space.

While the concept of a tablet-specific interface didn’t last long, many of Honeycomb’s ideas laid the groundwork for the Android we know today. The software was the first to use on-screen buttons for Android’s main navigational commands; it marked the beginning of the end for the permanent overflow-menu button; and it introduced the concept of a card-like UI with its take on the Recent Apps list.

Android version 4.0: Ice Cream Sandwich

With Honeycomb acting as the bridge from old to new, Ice Cream Sandwich — also released in 2011 — served as the platform’s official entry into the era of modern design. The release refined the visual concepts introduced with Honeycomb and reunited tablets and phones with a single, unified UI vision.

ICS dropped much of Honeycomb’s “holographic” appearance but kept its use of blue as a system-wide highlight. And it carried over core system elements like on-screen buttons and a card-like appearance for app-switching.

Android 4.0 also made swiping a more integral method of getting around the operating system, with the then-revolutionary-feeling ability to swipe away things like notifications and recent apps. And it started the slow process of bringing a standardized design framework — known as “Holo” — all throughout the OS and into Android’s app ecosystem.

Android versions 4.1 to 4.3: Jelly Bean

Spread across three impactful Android versions, 2012 and 2013’s Jelly Bean releases took ICS’s fresh foundation and made meaningful strides in fine-tuning and building upon it. The releases added plenty of poise and polish into the operating system and went a long way in making Android more inviting for the average user.

Visuals aside, Jelly Bean brought about our first taste of Google Now — the spectacular predictive-intelligence utility that’s sadly since devolved into a glorified news feed. It gave us expandable and interactive notifications, an expanded voice search system, and a more advanced system for displaying search results in general, with a focus on card-based results that attempted to answer questions directly.

Multiuser support also came into play, albeit on tablets only at this point, and an early version of Android’s Quick Settings panel made its first appearance. Jelly Bean ushered in a heavily hyped system for placing widgets on your lock screen, too — one that, like so many Android features over the years, quietly disappeared a couple years later.

Android version 4.4: KitKat

Late-2013’s KitKat release marked the end of Android’s dark era, as the blacks of Gingerbread and the blues of Honeycomb finally made their way out of the operating system. Lighter backgrounds and more neutral highlights took their places, with a transparent status bar and white icons giving the OS a more contemporary appearance.

Android 4.4 also saw the first version of “OK, Google” support — but in KitKat, the hands-free activation prompt worked only when your screen was already on and you were either at your home screen or inside the Google app.

The release was Google’s first foray into claiming a full panel of the home screen for its services, too — at least, for users of its own Nexus phones and those who chose to download its first-ever standalone launcher.

Android versions 5.0 and 5.1: Lollipop

Google essentially reinvented Android — again — with its Android 5.0 Lollipop release in the fall of 2014. Lollipop launched the still-present-today Material Design standard, which brought a whole new look that extended across all of Android, its apps and even other Google products.

The card-based concept that had been scattered throughout Android became a core UI pattern — one that would guide the appearance of everything from notifications, which now showed up on the lock screen for at-a-glance access, to the Recent Apps list, which took on an unabashedly card-based appearance.

Lollipop introduced a slew of new features into Android, including truly hands-free voice control via the “OK, Google” command, support for multiple users on phones and a priority mode for better notification management. It changed so much, unfortunately, that it also introduced a bunch of troubling bugs, many of which wouldn’t be fully ironed out until the following year’s 5.1 release.

Android version 6.0: Marshmallow

In the grand scheme of things, 2015’s Marshmallow was a fairly minor Android release — one that seemed more like a 0.1-level update than anything deserving of a full number bump. But it started the trend of Google releasing one major Android version per year and that version always receiving its own whole number.

Marshmallow’s most attention-grabbing element was a screen-search feature called Now On Tap — something that, as I said at the time, had tons of potential that wasn’t fully tapped. Google never quite perfected the system and ended up quietly retiring its brand and moving it out of the forefront the following year.

Android 6.0 did introduce some stuff with lasting impact, though, including more granular app permissions, support for fingerprint readers, and support for USB-C.

Android versions 7.0 and 7.1: Nougat

Google’s 2016 Android Nougat releases provided Android with a native split-screen mode, a new bundled-by-app system for organizing notifications, and a Data Saver feature. Nougat added some smaller but still significant features, too, like an Alt-Tab-like shortcut for snapping between apps.

Perhaps most pivotal among Nougat’s enhancements, however, was the launch of the Google Assistant — which came alongside the announcement of Google’s first fully self-made phone, the Pixel, about two months after Nougat’s debut. The Assistant would go on to become a critical component of Android and most other Google products and is arguably the company’s foremost effort today.

Android version 8.0 and 8.1: Oreo

Android Oreo added a variety of niceties to the platform, including a native picture-in-picture mode, a notification snoozing option, and notification channels that offer fine control over how apps can alert you.

The 2017 release also included some noteworthy elements that furthered Google’s goal of aligning Android and Chrome OS and improving the experience of using Android apps on Chromebooks, and it was the first Android version to feature Project Treble — an ambitious effort to create a modular base for Android’s code with the hope of making it easier for device-makers to provide timely software updates.

Android version 9: Pie

The freshly baked scent of Android Pie, a.k.a. Android 9, wafted into the Android ecosystem in August of 2018. Pie’s most transformative change was its hybrid gesture/button navigation system, which traded Android’s traditional Back, Home, and Overview keys for a large, multifunctional Home button and a small Back button that appeared alongside it as needed.

Pie included some noteworthy productivity features, too, such as a universal suggested-reply system for messaging notifications, a new dashboard of Digital Wellbeing controls, and more intelligent systems for power and screen brightness management. And, of course, there was no shortage of smaller but still-significant advancements hidden throughout Pie’s filling, including a smarter way to handle Wi-Fi hotspots, a welcome twist to Android’s Battery Saver mode, and a variety of privacy and security enhancements.

Android version 10

Google released Android 10 — the first Android version to shed its letter and be known simply by a number, with no dessert-themed moniker attached — in September of 2019. Most noticeably, the software brought about a totally reimagined interface for Android gestures, this time doing away with the tappable Back button altogether and relying on a completely swipe-driven approach to system navigation.

Android 10 packed plenty of other quietly important improvements, including an updated permissions system with more granular control over location data along with a new system-wide dark theme, a new distraction-limiting Focus Mode, and a new on-demand live captioning system for any actively playing media.

Android version 11

Android 11, launched at the start of September 2020, was a pretty substantial Android update both under the hood and on the surface. The version’s most significant changes revolve around privacy: The update built upon the expanded permissions system introduced in Android 10 and added in the option to grant apps location, camera, and microphone permissions only on a limited, single-use basis.

Android 11 also made it more difficult for apps to request the ability to detect your location in the background, and it introduced a feature that automatically revokes permissions from any apps you haven’t opened lately. On the interface level, Android 11 included a refined approach to conversation-related notifications along with a new streamlined media player, a new Notification History section, a native screen-recording feature, and a system-level menu of connected-device controls.

Android version 12

Google officially launched the final version of Android 12 in October 2021, alongside the launch of its Pixel 6 and Pixel 6 Pro phones.

In a twist from the previous several Android versions, the most significant progressions with Android 12 were mostly on the surface. Android 12 featured the biggest reimagining of Android’s interface since 2014’s Android 5.0 (Lollipop) version, with an updated design standard known as Material You — which revolves around the idea of you customizing the appearance of your device with dynamically generated themes based on your current wallpaper colors. Those themes automatically change anytime your wallpaper changes, and they extend throughout the entire operating system interface and even into the interfaces of apps that support the standard.

Surface-level elements aside, Android 12 brought a (long overdue) renewed focus to Android’s widget system along with a host of important foundational enhancements in the areas of performance, security, and privacy. The update provided more powerful and accessible controls over how different apps are using your data and how much information you allow apps to access, for instance, and it included a new isolated section of the operating system that allows AI features to operate entirely on a device, without any potential for network access or data exposure.

Android version 13

Android 13, launched in August 2022, was simultaneously one of the most ambitious updates in Android history and one of the most subtle version changes to date.

On tablets and foldable phones, Android 13 introduced a slew of significant interface updates and additions aimed at improving the large-screen Android experience — including an enhanced split-screen mode for multitasking and a ChromeOS-like taskbar for easy app access from anywhere.

On regular phones, Android 13 brought about far less noticeable changes — mostly just some enhancements to the system clipboard interface, a new native QR code scanning function within the Android Quick Settings area, and a smattering of under-the-hood improvements.

Android version 14

Following a full eight months of out-in-the-open refinement, Google’s 14th Android version landed at the start of October 2023, in the midst of the company’s Pixel 8 and Pixel 8 Pro launch event.

Like the version before it, Android 14 didn’t look like much on the surface. That’s in part because of the trend of Google moving more and more toward a development cycle that revolves around smaller ongoing updates to individual system-level elements year-round — something that’s actually a significant advantage for Android users, even if it does have an awkward effect on people’s perception of progress.

But despite the subtle nature of its first impression, Android 14 delivered a fair amount of noteworthy new goodies. The software introduced a new system for dragging and dropping text between apps, for instance, as well as a number of new improvements to privacy and security — including a new settings-integrated dashboard for managing health and fitness data and a more info-rich and context-requiring system for seeing exactly why apps want access to your location. And it brought about a new set of native customization options for the Android lock screen.

Android version 15

Though Android 15 followed the trend of significant advancements arriving as their own separate rollouts — outside of and even ahead of its arrival, as an official operating system update — 2024’s new Android version was certainly no slouch.

The software introduced a number of noteworthy new features — including a redesigned system volume panel, an option to automatically re-enable a device’s Bluetooth radio a day after it’s been disabled, and a Pixel-specific Adaptive Vibration feature that intelligently adjusts a phone’s vibration intensity based on the environment. It also marked the debut of a system-level Private Space area that lets you keep sensitive apps out of sight and accessible only with authentication.

Add in handy touches like a space-saving app archiving option and a predictive back visual that lets you sneak a peek at where you’re headed before you get there, and this small-seeming update shaped up to be a pretty hefty progression.

Android version 16

In a marked change from recent Android upgrade cycles, Google decided to go with two new Android versions per year as of 2025 — starting with Android 16 in the spring and then following that with a smaller release in the fall.

True to that promise, Android 16 catapulted into the world in early June, creating the framework for future-facing systems such as Live Updates — a new type of notification designed to support persistent, ongoing alerts, similar to what Apple does with iOS’s Live Activities — and introducing an Advanced Protection security supermode that provides a simple single-switch way to activate a whole slew of advisable Android security settings in one fell swoop.

The update included a sprawling series of other new security strengtheners, too, making protection seem like the true centerpiece of Android 16 — even if other touches, such as a more advanced standard for hearing aid support, helped flesh out the software into a rounded and feature-rich release.

Android version 17

With its relatively low-key arrival in June 2026, Android 17 officially brings the long under-development Bubbles multitasking system to the Android-owning masses — adding an interesting new way to keep any app available on demand in a floating, collapsible window for easy ongoing access.

Speaking of bubbliness, Android 17 also includes the creator-aimed option of showing a cutout of your face from a front-facing camera over an active screen recording — because why not, right? — along with such practical touches as a more dynamic and consistent system-wide dark mode and a more nuanced and effective way to track and control app location access.

While those features and the inevitable slew of under-the-hood security, performance, and privacy improvements add up to form a compelling final picture, it’s hard not to notice that much of Google’s focus in this era is now on the AI layers surrounding Android as opposed to being on Android itself, as an operating system. The company’s I/O conference in May showcased many such measures, appropriately noting that Android was transitioning from being “an operating system” into being “an intelligence system” (whatever that means).

Most of those “intelligence system” items remain limited in ability or not yet available as of the time of Android 17’s release — like the new and improved speech-to-text system for Gboard, the custom-widget-creating system for Android phones, and the multistep automation system for allowing AI to complete complex tasks on your behalf (assuming that you (a) trust such a system to act on your behalf and (b) don’t find the level of access and resulting manner of assumptions it makes about your life to be overly creepy).

But even at its foundational level and without any AI-laden Halo effect included, Android 17 manages to hold its own — with Bubbles acting as an anchor and bringing some much-appreciated new productivity potential our way.

This article was originally published in November 2017 and most recently updated in June 2026.

Haben Sie sich jemals gefragt, warum Hochzeitsplaner so viel Geld verlangen können? Der Grund liegt in der Komplexität der Aufgabe: Es gilt die unterschiedlichsten Bausteine zu organisieren und viele potenzielle Fehlerquellen zu vermeiden. Viele große Unternehmensprojekte ähneln in ihrem Komplexitätsgrad einer Hochzeit: Auch sie bestehen aus zahlreichen Aufgaben mit vielen potenziellen Schwachstellen und enthalten oft Abhängigkeitsbeziehungen, die so kompliziert sind, dass ein kleines Detail das gesamte Vorhaben zum Scheitern bringen oder verzögern kann – mit katastrophalen Folgen.

Projektmanager haben sich schon immer auf Hilfsmittel verlassen, um Projektteams zusammenzuhalten, den Überblick zu wahren und Fortschritte zu überwachen. In der Vergangenheit waren das Spreadsheets, Schautafeln und sogar maßstabsgetreue Modelle. Heutzutage läuft das digital. Projektmanagement-Software bietet heute eine breite Palette an Tools, wobei die verschiedenen Werkzeuge mehr oder weniger gut für unterschiedliche Aufgaben geeignet sind. Manager großer Projekte verlassen sich oft auf Microsoft Project, aber diese Option steht Anwendern mit Apple-basierter Unternehmenstechnologie nicht ohne weiteres zur Verfügung.

Im Folgenden stellen wir Ihnen drei Mac- und iPhone-freundliche Alternativen für Projektmanagement und Collaboration vor, die die wesentlichen Funktionen von Microsoft Project bieten.

MeisterTask

MeisterTask wurde erstmals im Jahr 2015 veröffentlicht und ist eine leistungsstarke Projektmanagement-Software, die auf drei primären Interfaces basiert: Dashboard, Projekte und Aufgaben. Das 2006 in Deutschland gegründete Softwareunternehmen Meister hat MeisterTask als europäische Alternative zu Trello in Stellung gebracht, die dem Hersteller zufolge vollständig DSGVO-konform ist.

MeisterTask bietet eine Reihe von Ansichten, darunter sowohl Gantt-/Timeline-Ansichten als auch Kanban-Boards, die dabei helfen, den Fortschritt eines Projekts in einem eingängigen visuellen Stil zu verfolgen. Die Tafeln sind anpassbar, so dass Sie die Art der Projektdurchführung an der Arbeitsweise Ihrer Teams ausrichten können. Tasks werden mit Hilfe von Karten verwaltet (zum Beispiel “Offen”, “In Bearbeitung” und “Erledigt”), die über Spalten auf der Projekttafel verschoben werden können. Sie fügen neue Projekte hinzu, indem Sie auf die Schaltfläche “+” tippen und sich dann durch zahlreiche Einrichtungsoptionen arbeiten. MeisterTask unterstützt eine unbegrenzte Anzahl von Projekten, Aufgaben und Beteiligten und verfügt über ein Benachrichtigungssystem.

Darüber hinaus bietet das Tool auch folgende leistungsfähige Features: Die Aufgabenautomatisierung hilft Ihnen dabei, Workflows zu erstellen. Die Möglichkeit, relevante Kommunikation und Dateien innerhalb Ihrer Aufgabe zu speichern, ist sehr komfortabel. Zur Kontrolle wichtiger Projektziele kann die Option, bestimmte Aufgaben zu beobachten, herangezogen werden. Verknüpfungen zwischen einzelnen Aufgaben zu erstellen, ist ebenfalls hilfreich. Wenn Sie etwas tiefer graben, finden Sie außerdem Tools zur Zeiterfassung, zur Berichterstellung und zur Recherche. Bei den meisten Projekten verwenden mehrere Teams gleich mehrere Anwendungen für ihren Arbeitsablauf. MeisterTask unterstützt das mit Integrationen zu anderen vielgenutzten Apps, darunter:

• Zendesk,

• Slack,

• Spark,

• Teams,

• Microsoft 365 Groups,

• Outlook,

• Google Workspace,

• Dropbox,

• Box,

• IFTTT,

• GitHub,

• Harvest und mehr.

Es unterstützt auch Zapier, mit dem Sie komplexe Workflows erstellen können, die in Ihre Projektmanagement-Matrix einfließen. Die meistgenutzten Funktionen von MeisterTask sind wahrscheinlich, E-Mails automatisch in Tasks umzuwandeln, sowie Benachrichtigungen zu erhalten, wenn eine Aufgabe verschoben wird.

Das kürzlich eingeführte Reporting-Tool kann helfen, potenzielle Probleme in einem Projekt zu identifizieren, Aufgaben neu zuzuordnen und die Produktivität des Teams zu messen. Anhand dieser Berichte können Sie sich schnell einen Überblick darüber verschaffen, was gerade für Sie ansteht. Die Agenda-Funktion funktioniert ähnlich wie Trello: Sie können Aufgaben aus jedem Projekt in Ihrer Agenda anheften und Abschnitte für verschiedene Aufgaben oder Bedürfnisse erstellen. Die Agenda schlägt zudem Aufgaben vor, die Sie hinzufügen könnten. Diese Funktion ist nützlich, um mehrere Aufgaben aus unterschiedlichen Projekten zu verfolgen. Sie ist aber den kostenpflichtigen Versionen vorbehalten.

Bei der Arbeit mit MeisterTask gibt es auch einige Hürden: Zwar ist die Benutzeroberfläche ansprechend und intuitiv, aber das erste Projekt zu erstellen, dauert oft länger als erdacht. Detaileinstellungen und bestimmte Funktionen sind schwer zu finden. MeisterTask ist zwar ein sehr guter Helfer in Sachen Projektmanagement, wahrscheinlich werden Sie sich dennoch hin und wieder mehr mit der App selbst als mit dem eigentlichen Projekt beschäftigen müssen.

Pro:

• mit dem Dashboard können Sie in alle Ihre Projekte hineinzoomen

• die Agenda-Funktion ist sehr nützlich, aber nur in den Pro-Versionen verfügbar

• Collaboration-Tools sind integriert

Contra:

• komplizierter Einstieg

• noch nicht im Mac App Store erhältlich, obwohl eine iOS-App existiert

Preis:

• kostenlos für bis zu drei Projekte; kostenpflichtige Versionen ab 13,50 Euro monatlich

Unterstützte Plattformen:

• Windows- und macOS-Nutzer können von vielen Browsern aus auf die Webversion zugreifen, und für beide Plattformen ist ein nativer Wrapper verfügbar; eine mobile App ist für iOS, iPadOS und Android verfügbar

Merlin Project

Merlin Project wurde eigens für Mac-, iPad– und iPhone-User entwickelt und ist ein gut ausgestattetes, professionelles Projektmanagement-Tool mit einer breiten Palette von Funktionen, die Ihnen bei der Erstellung effektiver Arbeits- und Projektgliederungen zur Hand gehen. Das Tool des deutschen Herstellers ProjectWizards bietet Nutzern eine große Auswahl an leicht zugänglichen Projektdarstellungen, darunter Gantt-Diagramme, PERT, Kanban und viele mehr. Besonders ansprechend ist die Option, eine Mind Map zur Visualisierung Ihres Projekts zu verwenden, welche dann zur weiteren Verfeinerung in ein Gantt-Diagramm umgewandelt werden kann.

Die Funktionen von Merlin Project für Ressourcenmanagement und Abhängigkeitsbeziehungen sind leicht zu finden und zu verstehen. Teamleiter sollten auch das Zuweisungstool erkunden, mit dem sich alles von Budget und Zeitplan bis hin zur Verteilung von Aufgaben nachvollziehen lässt. Aufgaben werden über ein Inspektionsfenster bearbeitet, das sich intuitiv anfühlt. Sie wählen ein Element aus und sehen dessen relevante Details oder Sie geben die Kosten für jede Projektkomponente ein und können die Verfügbarkeit analysieren. Die Fenster sind im Allgemeinen übersichtlich gehalten, obwohl nicht immer auf Anhieb ersichtlich ist, welchen Button man betätigen muss. Dankenswerterweise haben die Entwickler einen umfangreichen Pool an Tutorial-Ressourcen zusammengestellt.

Die meisten Projekte bestehen aus verschiedenen Organisationsebenen. Da die Arbeitswelt immer asynchroner wird, müssen Remote-Projektmanagement-Tools diesem Umstand Rechnung tragen. Merlin Project unterstützt diese Entwicklung unter anderem, indem es Multi-User-Support bereitstellt. So können Mitarbeiter auch offline an Projektdateien weiterarbeiten, die Änderungen werden synchronisiert, wenn sie das nächste Mal online sind. Etwas eingeschränkt funktioniert das projektinterne Kommunikationssystem.

Sie können zwar zu nahezu überall Kommentare oder Anmerkungen hinzufügen und das Projektmanagement automatisieren, aber die Integration anderer Messaging- oder Notiz-Apps würde mehr Flexibilität ermöglichen. Die Integration von anderen Anwendungen scheint insgesamt etwas begrenzt zu sein. Zwar sind alle Basisanwendungen von Apple, sowie Microsoft Office und Microsoft Project integriert, aber Merlin arbeitet nicht optimal mit Slack und anderen Collaboration Tools zusammen.

Sie können Merlin Project mit Cloud-Diensten wie iCloud Drive, Dropbox und Box synchronisieren (aus irgendeinem Grund allerdings nur Dropbox und iCloud Drive auf dem iPad). Die Funktion “MagicSync” synchronisiert Änderungen über mehrere Benutzer hinweg.

Pro:

• bietet zahlreiche Optionen, um ein Projekt ausgehend von der Visualisierung umzusetzen

• enthält Mind-Mapping-Tools sowie Kanban-, Projekt- und Gantt-Ansichten

• Import und Export in Microsoft Project, Excel, XML, OPML, MindManager und andere Formate möglich

Contra:

• relativ eingeschränktes In-App-Nachrichten- und Kommentarsystem

• fehlende Integration von anderen Apps wie Slack

Preis:

• 199,99 Euro pro Anwender und Jahr auf dem Mac und 9,99 Euro pro User und Monat auf iPhone und iPad; die abgespeckte Basis-Version Merlin Project Express steht ab 4,99 Euro zur Verfügung

Unterstützte Plattformen:

• macOS, iPadOS und iOS

OmniPlan

OmniPlan ist ein Tool, das laut dem US-Hersteller Omni Group alles bieten soll, was Sie für die Projektabwicklung benötigen. Wenn Sie Erfahrung im Umgang mit Software auf den Apple-Plattformen haben, hilft Ihnen OmniPlan dabei, schnell loszulegen, denn alle komplexen Werkzeuge, die Sie im Projektmanagement erwarten, sind bei Bedarf verfügbar. Das soll mitnichten heißen, dass es sich bei OmniPlan um ein simples Stück Software handelt. Trotz der übersichtlichen Oberfläche ist nämlich nicht jede Einstellung leicht zu finden. Glücklicherweise wird OmniPlan von einem umfangreichen Handbuch flankiert, das Ihnen hilft, den Weg zu den benötigten Funktionen zu finden.

Die Anwendung verfügt über Werkzeuge für die Ressourcenzuweisung, Projektplanung, Diagramme, Gantt-Ansichten, wiederkehrende und manuelle Aufgaben sowie ein Dateiformat, das für eine bessere Kompatibilität mit Cloud-Diensten von Drittanbietern und mit iCloud entwickelt wurde. Auch der Wechsel zwischen iPad und Mac funktioniert problemlos – die Benutzeroberfläche ist auf beiden Plattformen nahezu identisch. OmniPlan ist daneben ein gutes Tool für die effektive Verwaltung komplexer Aufgaben, unter anderem, indem es Ansichten verwendet, die Abhängigkeitsbeziehungen und Kollisionen sichtbar machen. Eine hinreichende Datenbasis vorausgesetzt, lassen sich mit OmniPlan sogar Ihre Nebenkosten, die Produktivität Ihrer Mitarbeiter und die Verfügbarkeit wichtiger Geräte erfassen.

Die Projektmanagement Software bietet auch einige außergewöhnliche Funktionen. Mit OmniPlan können Sie beispielsweise jedem Teammitglied ein Maß für die Effektivität zuweisen. Dies soll dem Umstand Rechnung tragen, dass erfahrenere Mitarbeiter effizienter und mitunter in der Lage sind, auch schwierige Tasks an einem Tag zu bewältigen, während ein unerfahrener Mitarbeiter vielleicht eine Woche braucht. Rechts vom Hauptfenster befindet sich der Projektinspektor mit den Werkzeugen, die Sie für die Konfiguration der einzelnen Aufgabenkomponenten benötigen. Außerdem werden wertvolle Informationen wie die Dauer der Aufgabe, ihr Fälligkeitsdatum und der Gesamtaufwand der Mitarbeiter für diesen Projektteil in einer Übersicht erfasst.

Die Dashboard-Ansicht berücksichtigt die simultane Arbeit an mehreren Projekten und präsentiert Ihre aktuellen Projekte und deren Fortschritt. Wenn Sie feststellen, dass ein Projekt nicht planmäßig verläuft, können Sie die einzelnen Elemente in dieser Ansicht vergrößern, um Probleme zu erkennen und Ressourcen neu zuzuweisen. OmniPlan bietet auch eine Monte-Carlo-Simulation, also einen integrierten Stresstest, der die Wahrscheinlichkeit dafür errechnet, dass Sie Ihr Projekt pünktlich fertigstellen. Das geschieht auf Grundlage einer Fehleranalyse, sobald einzelne Schritte Ihres Plans ins Stocken geraten.

Die Automatisierungoption ist eine weitere Spezialfunktion, die für Projektmanager mit Programmierkenntnissen eine große Hilfe sein dürfte. Damit können Sie direkt in Ihrem Projekt Automatisierungen erstellen, die plattformübergreifend zur Verfügung stehen: Mac-Automatisierungen in JavaScript laufen auch auf iPad und iPhone. Was OmniPlan hingegen fehlt, ist eine Mind-Mapping-Ansicht.

Pro:

• leicht zugängliche Benutzeroberfläche für PowerUser

• enthält mehrere Projektansichten, darunter Kanban, Netzplan und Gantt

• spezielle Automatisierungswerkzeuge für fortgeschrittene Benutzer

Contra:

• kein integriertes Mindmapping Tool

• fehlende Integration von Apps wie Slack

• kein Web-Interface für plattformübergreifende Zusammenarbeit

Preis:

• Klassische Lizenz für 399 Dollar (Pro-Version) beziehungsweise Subscription für 199,99 Dollar pro Jahr

Unterstützte Plattformen:

• macOS, iPadOS, iOS

Dieser Artikel ist im Original bei unserer Schwesterpublikation Computerworld.com erschienen.

Security-Profis und -Entscheider mit Hang zur Filmkunst müssen auch nach Feierabend nicht auf ihr Leib-und-Magen-Thema verzichten – einer Fülle cineastischer Ergüsse sei Dank.

Das Film-Pflichtprogramm für Security-Profis

Wir haben die unserer Meinung nach besten (Achtung: Nerd-Brille erforderlich) Hacker-Filme nachfolgend für Sie zusammengestellt – in chronologischer Reihenfolge und inklusive Trailer der jeweiligen Originalfassung. Vielleicht entdecken Sie ja die ein oder andere Perle in unserer Zusammenstellung, die Sie noch nicht kennen – oder einfach viel zu lange nicht mehr gesehen haben.

War Games (1983)

Plot: Ein jugendlicher Hacker (Matthew Broderick) entdeckt durch Zufall eine Backdoor in einem Militärcomputer. Als er dort ein vermeintliches Spiel startet, droht eine nukleare Katastrophe.

Genre: Action/Drama/Sci-Fi

Bewertungen:

• IMDb 7,1/10

• Rotten Tomatoes 94 %

• Metacritic 77/100

Sneakers (1992)

Plot: Ein (physischer) Penetration Tester (Robert Redford) und sein Team (unter anderem Sidney Poitier, Ben Kingsley und Dan Aykroyd) erhalten von der NSA einen Spezialauftrag und geraten zwischen die Fronten.

Genre: Comedy/Krimi/Drama

Bewertungen:

• IMDb 7,1/10

• Rotten Tomatoes 80 %

• Metacritic 65/100

Hackers (1995)

Plot: Zwei berüchtigte Hacker (Angelina Jolie und Johnny Lee Miller) legen sich mit der Regierung an, entdecken dann jedoch die wahre Gefahr: bösartigere Hacker.

Genre: Krimi/Drama/Romantik

Bewertungen:

• IMDb 6,2/10

• Rotten Tomatoes 33 %

• Metacritic 46/100

The Net (1995)

Plot: Nachdem einer Softwareentwicklerin (Sandra Bullock) eine ominöse Diskette zugespielt wird, ist nichts wie es vorher war: Ihre Identität wird gestohlen, Menschen in ihrem Umfeld sterben unter mysteriösen Umständen.

Genre: Action/Thriller/Krimi

Bewertungen:

• IMDb 6,0/10

• Rotten Tomatoes 43 %

• Metacritic 51/100

23 (1998)

Plot: Der 19-jährige Hacker Karl Koch (August Diehl) ist davon überzeugt, im vom Kalten Krieg geprägten Deutschland der 1980er Jahre einer weltweiten Verschwörung auf der Spur zu sein. Als er vom russischen Geheimdienst rekrutiert wird, gerät sein Leben aus den Fugen.

Genre: Biografie/Thriller/Drama

Bewertungen:

• IMDb 7,2/10

• Rotten Tomatoes —

• Metacritic —

The Matrix (1999)

Plot: Der junge Hacker Neo (Keanu Reeves) erhält über seinen Computer mysteriöse Botschaften. Wenig später kämpft er mit den verbündeten Hackern Trinity (Carrie-Anne Moss) und Morpheus (Larence Fishburne) um das Überleben der Menschheit.

Genre: Action/Sci-Fi

Bewertungen:

• IMDb 8,7/10

• Rotten Tomatoes 83 %

• Metacritic 73/100

Takedown (2000)

Plot: Der Hacker Kevin Mitnick (Skeet Ulrich) verschätzt sich bei einem Angriffsversuch und gerät ins Visier des FBI.

Genre: Biografie/Drama

Bewertungen:

• IMDb 6,2/10

• Rotten Tomatoes —

• Metacritic —

Pulse (2001)

Plot: Eine Gruppe junger Leute entdeckt Hinweise darauf, dass Geistwesen versuchen, über das Internet in die reale Welt zu gelangen. Im Jahr 2006 entstand ein gleichnamiges US-amerikanisches Remake des japanischen Originals.

Genre: Horror/Sci-Fi

Bewertungen:

• IMDb 6,5/10

• Rotten Tomatoes 76%

• Metacritic 68/100

Swordfish (2001)

Plot: Ein Hacker (Hugh Jackman) wird von einem Gangster (John Travolta) engagiert, um einen Computerwurm für einen Bankraub zu erschaffen. Bald merkt er jedoch, dass die Dinge anders sind, als sie scheinen.

Genre: Action/Thriller

Bewertungen:

• IMDb 6,5/10

• Rotten Tomatoes 26%

• Metacritic 32/100

Firewall (2006)

Plot: Ein IT-Chef (Harrison Ford) gerät ins Visier von Erpressern, die seine Familie bedrohen. Ein Kampf auf Leben und Tod entbrennt – der mit viel technologischem Knowhow geführt wird.

Genre: Action/Thriller

Bewertungen:

• IMDb 5,8/10

• Rotten Tomatoes 19%

• Metacritic 45/100

Live Free or Die Hard (2007)

Plot: Cybercrime-Terroristen bringen die Ostküste der USA unter ihre Kontrolle. Zeit für Cop-Ikone John McClane (Bruce Willis) wieder einmal den Tag zu retten. Dazu braucht er die Unterstützung eines technisch talentierten aber ansonsten eher tollpatschigen Hackers (Justin Long).

Genre: Action/Thriller

Bewertungen:

• IMDb 7,1/10

• Rotten Tomatoes 82%

• Metacritic 69/100

Untraceable (2008)

Plot: Eine FBI-Agentin (Diane Lane) stößt durch Zufall auf eine verstörende Webseite. Die Jagd auf den Webmaster wird zu einer mörderischen Jagd.

Genre: Krimi/Thriller

Bewertungen:

• IMDb 6,2/10

• Rotten Tomatoes 16%

• Metacritic 32/100

The Girl with the Dragon Tattoo (2009)

Plot: In Deutschland besser bekannt unter dem Titel “Verblendung”, erzählt der erste Teil von Stig Larssons Millenium-Trilogie die Geschichte der jungen Hackerin Lisbeth Salander (Noomi Rapace), die einen Kriminalkommissar (Mikael Nyqvist) bei der Aufklärung einer Mordserie unterstützt. Im Jahr 2011 entstand ein Remake des schwedischen Originals mit Beteiligung von James-Bond-Darsteller Daniel Craig.

Genre: Krimi/Drama

Bewertungen:

• IMDb 7,8/10

• Rotten Tomatoes 85%

• Metacritic 76/100

Skyfall (2012)

Plot: Geheimagent James Bond (Daniel Craig) nimmt es mit einem Cyberterroristen (Javier Bardem) auf. Dabei wird seine Loyalität zu M (Judi Dench) auf eine harte Probe gestellt.

Genre: Action/Thriller

Bewertungen:

• IMDb 7,8/10

• Rotten Tomatoes 92%

• Metacritic 81/100

The Fifth Estate (2013)

Plot: Daniel Domscheit-Berg (Daniel Brühl) und Julian Assange (Benedict Cumberbatch) tun sich zusammen, um die Whistleblower-Onlineplattform WikiLeaks aus der Taufe zu heben. Das bleibt nicht ohne Folgen.

Genre: Biografie/Drama

Bewertungen:

• IMDb 6,2/10

• Rotten Tomatoes 35%

• Metacritic 49/100

Blackhat (2015)

Plot: Als ein Hacker (Chris Hemsworth) von einem Freund um Unterstützung bei der Untersuchung einer Malware gebeten wird, kommen sie einem weltumspannenden Cybercrime-Netzwerk auf die Spur.

Genre: Action/Thriller

Bewertungen:

• IMDb 5,5/10

• Rotten Tomatoes 33%

• Metacritic 52/100

Snowden (2016)

Plot: Der ehemalige CIA- und NSA-Mitarbeiter Edward Snowden (Joseph Gordon-Levitt) entschließt sich, über die Cyber-Methoden und -Praktiken der Geheimdienste auszupacken. Das macht ihn in den USA zum Staatsfeind Nummer Eins.

Genre: Biografie/Drama

Bewertungen:

• IMDb 7,3/10

• Rotten Tomatoes 61%

• Metacritic 58/100

Ocean’s Eight (2018)

Plot: Eine erfahrene Kriminelle (Sandra Bullock) plant ihren nächsten großen Coup. Dabei erhält sie unter anderem Unterstützung durch eine Hackerin (Rihanna).

Genre: Action/Comedy

Bewertungen:

• IMDb 6,3/10

• Rotten Tomatoes 69%

• Metacritic 61/100

Silk Road (2021)

Plot: Uni-Absolvent Ross Ulbricht (Nick Robinson) baut einen illegalen Marktplatz im Darknet auf, der es zu ungeahnter Popularität bringt. Das ruft jedoch auch die Behörden auf den Plan.

Genre: Biografie/Drama/Thriller

Bewertungen:

• IMDb 6,0/10

• Rotten Tomatoes 51%

• Metacritic 41/100

Kimi (2022)

Plot: Tech-Spezialistin Angela Childs (Zoë Kravitz) entdeckt Aufnahmen, die auf ein Verbrechen hindeuten. Als sie versucht die Behörden einzuschalten, muss sie selbst um ihr Leben fürchten.

Genre: Drama/Thriller

Bewertungen:

• IMDb 6,3/10
• Rotten Tomatoes 92%
• Metacritic 79/100

The Creator (2023)

Plot: In einer postapokalyptischen Welt tobt ein vernichtender Krieg zwischen Menschheit und künstlicher Intelligenz. Joshua (John David Washington) will den “Creator”, der die feindliche KI erschaffen hat, zur Strecke bringen.

Genre: Science Fiction/Thriller

Bewertungen:

• IMDb 6,7/10
• Rotten Tomatoes 68%
• Metacritic 63/100

Unlocked (2023)

Plot: Ein Stalker mit ausgeprägten Cybercrime-Fähigkeiten (Yim Si-wan) findet das Smartphone der Büroangestellten Na-mi (Chun Woo-hee), was deren gesamtes Leben auf den Kopf stellt.

Genre: Thriller

Bewertungen:

• IMDb 6,4/10
• Rotten Tomatoes 50%
• Metacritic —

As quoted by Doug Conant, “To win in the marketplace, you must first win in the workplace.”

For many years, I treated this quote as motivational wall art, a nice sentiment, but not exactly a business strategy. Employee engagement for me was always an HR checkbox, which is important but ultimately unimportant to revenue and growth.

Old me always felt that EX (employee experience) was a “nice to have,” not something that could move the financial needle.

But now this perspective has fundamentally changed. 

With years of experience, I now understand that motivated and empowered employees don’t just perform better, they directly impact the bottom line, i.e., your overall revenue.

I have seen that engaged employees innovate faster. They are experienced enough to resolve customer issues in half the time and create the kind of brand loyalty that turns customers into advocates.

Organizations that invest strategically in employee experience are seeing measurable returns: Gallup’s research shows that highly engaged teams achieve 23% greater profitability.

Based on this experience, I thought I must pen down my learning with my fellow leaders on how this realization reshaped my perspective.

What once seemed secondary is now a core business driver, changing how priorities are set, how teams are led and how performance is measured.

The turning point

The shift wasn’t gradual. As a matter of fact, it was fast and has changed everything.

We’ve been consistently hitting our numbers.

Revenue targets? Met.

Quarterly projections? On track.

But still something felt fundamentally off.

The warning signs were everywhere, hiding in plain sight. But it was I who was unaware of them.

Let’s go through some of them:

• High-performing employees were leaving without clear reasons (three senior engineers in four months, two mobile app developers in a quarter).
• Teams that once moved with vision, speed and ownership have started showing signs of fatigue.
• Communication across teams started to weaken, leading to misalignment.

On paper, everything looked healthy and stable, but…When we ran the numbers, the financial reality became impossible to ignore.

Replacing each departing senior employee costs us between 70%, including recruitment fees, onboarding, lost productivity during the ramp period and the knowledge gap left behind.

Can you imagine we had spent a significant portion of our overall hiring budget in just 9 months backfilling roles?

On the other hand, the hidden costs were even more alarming:

• Lost revenue from disrupted client relationships: When our customer success lead left mid-cycle, we experienced gaps in follow-ups, overscheduling of client calls and changing points of contact, resulting in the account not being renewed.
• Delayed product launches: Our new product version release was delayed by 2 quarters. The reason behind this was that the original technical lead left and the replacement needed 5 months just to understand the workflows.
• Declining win rates: A lack of team alignment, untimely responses and frequent task rescheduling disrupted workflows, making it harder for teams to deliver the new product version on time.

Finding all these hidden costs, I was staring at an invisible tax on every business outcome.

We analyzed that if this continued for another year, we would be looking at a 42%  decline in our expected revenue. This cost is equivalent to losing nearly half of our annual growth target, not from market forces or competitive pressure, but from internal attrition.

The hidden mechanics: 4 pathways from employee experience to revenue

After finding the challenges, I focused on understanding its structure, not just that employee experience mattered, but also how EX impacted each part of the business.

What I discovered wasn’t a simple cause-and-effect relationship. It was an interconnected system in which employee experience served as the underlying operating system for every revenue-generating function.

In my discovery, I found four distinct pathways, each either accelerating growth or quietly reducing it. 

Pathway 1: Retention = institutional knowledge = execution velocity

When an employee leaves, they are not just walking out the door but taking their skills and your company’s accumulated intelligence.

I can relate to this fact, when our lead developer left, she didn’t just take her coding ability. She took:

• The unwritten knowledge of why certain architectural decisions were made a few months ago
• Relationships with the internal team who trusted her skills 
• The shortcuts and workarounds that made our deployment process 40% faster
• The ability to look at a bug and immediately spot the integration issues that our documentation never covered

The revenue impact was surgical and devastating: New hires require 3-4 months to reach full productivity in any complex or executive roles, which means everything moves more slowly during that entire ramp period.

Deal cycles that took 60 days stretched to 90. Strategic decisions made in real time now needed additional review layers because the new person didn’t have the context to move with confidence.

We measured the delta: Employees with over two years of experience delivered 34% better customer retention and 28% more contracts than newer joinees. But the gap wasn’t just about skill, it was about trust velocity.

Experienced employees operated with well-established client trust and there was flawless cross-functional collaboration between them.

But now, with new employees, this had to be recreated from scratch.

What fundamentally changed my thinking: I had always budgeted for direct replacement costs, 14% for recruiting, the 15% for onboarding and training. What I never budgeted for was the invisible tax of having B-level productivity in A-level seats for 3-4 months while new hires ramped.

The main gap between what an experienced, old employee produces and what a new joiner (with 10% of product knowledge) produces was costing us 15–20% of potential output across affected teams.

Retention wasn’t an HR metric. It was a margin protection strategy.

Pathway 2: Engagement = innovation = competitive differentiation

The truth I took too long to accept is that “disengaged employees still do their jobs, but engaged employees improve their jobs.”

This difference is everywhere, especially in renovation, where small, regular improvements add up to a big competitive edge.

The innovation gap emerged in our product roadmap: I asked our development team to trace the origins of our new versions over the past two years.

The results were unexpected: 73% ideas originated from developers who felt psychologically safe enough to propose ideas outside their sprint commitments.

In a nutshell, most creative ideas didn’t come from structured sessions. They mainly came from casual internal chat where people felt confident that their ideas would be heard.

The remaining 27% came from leadership demands, customer problems, driven by urgency. 

The customer-facing gap was the most painful: The support team had been highly proactive, often resolving issues before they arose. During the disengagement period, that proactive momentum dropped significantly, leading to growing misalignment among team members.

What fundamentally changed my thinking: Old me believed that a strong resume drove creation, but my experience taught me otherwise. My best hire was a self-taught developer who transformed our CI/CD pipelines not just through skills, but because she could experiment freely without waiting for approval. 

Pathway 3: Disengagement = lost upsell opportunity = revenue left on the table

In my experience, this pathway has been one of the trickiest and, frankly, the one that took the longest to identify.

Disengaged employees don’t just underperform; they stop seeing opportunities altogether.

I’ll share one experience that I only fully understood later. One of our disengaged employees was running a renewal drip email campaign for a key customer. On the surface, everything looked fine: emails were going out on time, reminders were sent and the process was being followed. But the employee in question never went beyond the script and never asked about the client’s growth plans, changing needs, or future direction.

The breaking point came during a customer email when we lost one of our major customers, not through churn, but through a missed opportunity. They moved to a competitor offering a more comprehensive solution.

The real issue surfaced during the account exit discussion. One of their C-level leaders wrote something that made the gap painfully clear. He said:

“We would have upgraded to your ultimate control plan months ago if someone had consistently followed up or even asked about our growth plans. We assumed you weren’t interested in expanding with us because every interaction felt limited to renewal emails.”

We left significant revenue on the table, not due to product limitations. Because of our overwhelmed and disengaged team, which simply missed discussing or asking follow-up questions over emails and didn’t ask the right questions to surface the opportunity.

After this, we decided to track “missed expansion opportunities,” and the numbers were brutal:

• Customer success teams reported that a substantial portion of churned customers had expressed needs during support calls that our premium features could have addressed, but nobody connected those dots or escalated them as expansion opportunities
• In account reviews, we found multiple instances where customers were building workarounds or buying complementary tools from other vendors to solve problems our existing product could handle, but we just never offered them.

What fundamentally changed my thinking: I had always viewed the customer success team as a retention function that helps organizations keep customers happy, renew contracts and avoid customer churn. That separation was strategically flawed.

Retention without expansion is defensive. Expansion is how you turn customers into compounding revenue streams.

But expansion requires two things disengagement destroys:

1. Deep product and customer knowledge (which walks out the door when experienced people leave)
2. Proactive energy and investment (which evaporates when people are overwhelmed and checked out)

The new joiners can reach this point yet, as they are new to the product and still need a lot of knowledge to acknowledge clients’ needs.

As a result, expansion opportunities slowed and revenue from existing accounts remained untapped.

Pathway 4: Attrition = talent scarcity = higher acquisition costs

When experienced employees leave, you don’t just lose their output; you reset the talent bar for every future hire.

When we lost senior engineers and account managers, we didn’t just need “replacements,” we needed people with specific technical expertise. People who deeply understand how product companies operate and have the ability to hit the ground running in complex environments.

The talent acquisition challenge compounded quickly: Our recruiters had to dig much deeper to find candidates who met our requirements. We needed engineers proficient in specific technology, familiar with our industry’s norms and experienced enough to navigate difficult problems without constant hand-holding.

The challenge: those candidates are rare, expensive and have multiple offers.

The margin erosion was measurable:

• Cost-per-hire increased dramatically as we competed for scarce specialized talent
• Time-to-fill stretched as we rejected underqualified candidates, leaving revenue-generating roles empty longer
• Recruiting resources shifted from growth hiring to backfilling attrition

The compounding effect: Poor retention → higher talent requirements → longer searches → more expensive offers → pressure to lower standards → weaker hires → worse outcomes → more attrition → repeat.

What fundamentally changed my thinking: Retention isn’t an HR metric. It’s a talent acquisition cost-avoidance strategy. Every senior employee who stays is one fewer impossible-to-fill role your recruiters have to source in a competitive market.

The multiplier effect: Why small drops create cascading failures

What blindsided me was that these four pathways don’t operate independently. In fact, they amplify and accelerate each other.

When one senior engineer left, the damage didn’t stop:

• The replacement took 4 months to reach full productivity (Pathway 1: Retention = institutional knowledge = execution velocity)
• During that 3-4 month gap, the team experienced a 17% slowdown in development because we lost institutional knowledge and had to onboard a new person (Pathway 2: Innovation).
• Two customers cited concerns about account management in exit surveys because the new account manager couldn’t identify upsell opportunities the way the experienced manager had (Pathway 3: Disengagement = lost upsell opportunity)
• Three other team members saw the lack of backfill support, felt the increased workload and started interviewing elsewhere—making the already-difficult talent search even harder (Pathway 4: Attrition = talent scarcity = higher acquisition costs)

One departure accounted for 70% of the measurable cascading impact across all four pathways.

But here’s the insight that changed everything: Employee experience isn’t linear; it’s exponential.

• One toxic manager can infect three teams in a single quarter
• One great manager can elevate an entire division in six months
• One highly visible departure can trigger a race if people interpret it as “the best people are leaving.”
• One highly visible retention (turning down a competitor’s offer) can stabilize a nervous team

Employee Experience isn’t overhead. It’s a revenue multiplier with a 4-5 month lag, and most leaders never measure it until the damage is irreversible.

The results: What changed

Four months after we committed to treating employee experience as a revenue strategy, the data told a story that even the most skeptical members of our leadership team couldn’t dismiss.

But the journey wasn’t a smooth upward curve; it was messy, nonlinear and full of surprises.

The quantified outcomes: What the metrics actually showed

Here’s what changed across our core employee experience and business metrics:

Employee-side metrics:

• Voluntary turnover dropped from 18% to 9%, cutting our attrition rate in half
• Internal mobility doubled from 22% to 41%, meaning we were filling nearly half of open roles with internal candidates who already understood our culture and systems
• Time-to-productivity for new hires decreased from 5 months to 3 months, and people were ramping 32% faster because they had better onboarding and more engaged teams supporting them

Business-side metrics (the ones that actually matter to the board):

• Enterprise sales close rate recovered from 26% back to 33% (nearly returning to our pre-crisis levels).
• Average contract value increased by 19% (engaged customer success leads were upselling and expanding accounts instead of just managing renewals).
• Customer churn dropped from 8.2% to 5.1% (a direct result of more consistent, invested customer service).

Financial impact: The combined effect of reduced attrition, faster ramp times, improved sales performance and lower customer churn translated into an approximately 42% increase in the annual revenue run rate over 6 months.

What I wish I’d known going in

If I could go back to the beginning of this transformation, here’s what I’d tell myself:

• The first two months will test your commitment. Metrics will get worse as you expose hidden problems. Don’t panic. Don’t retreat. Trust the process.
• You’ll lose some people, and that’s okay. Some managers won’t adapt. Some employees thrived in the old dysfunction. Letting them go is part of the healing.
• The ROI is real, but it’s not immediate. Build a coalition of believers on your leadership team and board who understand that this is a 4-5-month investment, not a quick fix.
• Employees are watching for consistency, not perfection. You’ll make mistakes. What matters is whether you acknowledge them, adjust and keep moving forward.
• The moment you treat employee experience as optional, it becomes worthless. This only works if it’s a non-negotiable strategic priority, measured and managed like revenue.

Conclusion: Employee experience as infrastructure, not initiative

Doug Conant was right: to win in the marketplace, you must first win in the workplace. But I’d added a critical line to this: “your employees are your first customers and they’re either selling for you or quietly selling against you.”

Eighteen months into this transformation, employee experience moved from an HR metric to a core business driver in my organization. Leadership conversations, performance metrics and strategic decisions now reflect its impact. In a talent-driven environment, this shift created an advantage that competitors cannot easily replicate because culture requires sustained commitment, not just investment.

Neglect carries a real cost. Disengagement, attrition and broken trust compound quietly before showing up in revenue, customer relationships and execution speed.

A clear conclusion emerged from this journey. Investing in employee experience strengthens the business’s foundation, while ignoring it guarantees a far more expensive rebuild later.

This article is published as part of the Foundry Expert Contributor Network.
Want to join?

Nicht nur der Jahreswechsel ist eine willkommene Gelegenheit, um Vorsätze zu fassen. Man kann sich schließlich immer etwas Neues vornehmen. Aber ganz unabhängig vom Zeitpunkt ist das Ergebnis häufig gleich: Nach kurzer Zeit werden die guten Vorsätze nach und nach aufgeben, bis gar nichts oder nicht mehr viel davon übrig ist. Was viele jedoch nicht wissen: Es gibt eine (wissenschaftlich untermauerte) Methode, mit der sich Ziele in vier einfachen Schritten umsetzen lassen – die WOOP-Methode.

WOOP-Methode: Die Ursprünge

Die Psychologieprofessorin Gabriele Oettingen hat sich über viele Jahre intensiv mit Fragen wie “Wie erreiche ich meine Ziele” und “Wie schaffe ich es, motiviert bei der Sache zu bleiben?” auseinandergesetzt. Besonders interessiert hat sie dabei die Fragestellung, was Menschen davon abhält, ihre Ziele zu erreichen. Das Ergebnis: Allein eine positive Grundeinstellung hilft nicht wirklich weiter, wenn man ein bestimmtes Ziel erreichen möchte.

Eine bemerkenswerte Feststellung der Professorin, denn damit widerlegte sie mit ihrer Forschung, was jahrelang propagiert wurde: Wer nur positiv genug denke, der werde es auch schaffen, in der Zukunft positive Ergebnisse zu erzielen. Im schlimmsten Fall kann die positive Einstellung sogar hinderlich sein. Einen Hinweis darauf fand Oettingen in einer Studie mit Frauen, die ihr Gewicht reduzieren wollten. Dabei zeigte sich, dass gerade diejenigen Frauen, die sich ihr neues Leben mit weniger Kilos besonders schön und erstrebenswert vorgestellt hatten, am wenigsten abnahmen.

Die Hochschullehrerin erklärt das damit, dass wir uns durch unsere positiven Gedanken vom eigentlichen Ziel ablenken lassen. Vereinfacht gesagt: Wer sich sein Ziel zu positiv ausmalt, könnte gewissermaßen auf die Idee kommen, das Ziel bereits erreicht zu haben. Und das wiederum führt dazu, dass wir uns weniger anstrengen und die Hindernisse, die in Wirklichkeit vor uns liegen, nicht beachten. Ein neuer Ansatz musste also her und den fand Oettingen auf der Grundlage ihrer weiteren Forschungsergebnisse. Sie entwickelte daraus die sogenannte WOOP-Strategie, die aus vier einfachen Schritten besteht.

WOOP-Methode umsetzen: 4 Schritte

WOOP ist ein Akronym, das sich aus den Anfangsbuchstaben der folgenden englischen Begriffe zusammensetzt:

• Wish (Wunsch)

• Outcome (Ergebnis)

• Obstacle (Hindernis)

• Plan (Planung)

Was aber bedeutet das konkret?

1. Wish

Klar, wer etwas erreichen möchte, der sollte sich zunächst ein klares Ziel setzen. Diffuse Vorgaben lassen sich eben deutlich schwerer in die Realität umsetzen. Der erste Schritt der WOOP-Strategie besteht also darin, ein möglichst klares Ziel zu formulieren. Das muss übrigens gar keine weltbewegende Angelegenheit sein. Wenn Sie sich vornehmen, fortan zweimal wöchentlich eine halbe Stunde spazieren gehen zu wollen, ist das ein ebenso gutes Ziel, wie das Vorhaben, bis zum nächsten Sommerurlaub die Landessprache halbwegs fließend sprechen zu können.

2. Outcome

Wie bereits erwähnt, kann es schwierig sein, wenn man sich Ziele zu euphorisch ausmalt. Das soll aber nicht bedeuten, dass es verboten ist zu träumen. Im Gegenteil. Die Psychologin weist darauf hin, dass es durchaus Vorteile hat, sich ein Ergebnis möglichst positiv vorzustellen. Auf diese Weise wird eine offene Grundstimmung erzeugt und das Vorhaben mit einem guten Gefühl angegangen. Sich die Zukunft möglichst rosig auszumalen, kann bei einigen Menschen dazu beitragen, die Dinge entspannter anzupacken. Alles durchaus wünschenswerte Effekte. Die Gefahr liegt aber darin, dass übertriebener Optimismus lähmen kann. Wer es bei dem Schritt belässt, sich seine Zukunft möglichst positiv auszumalen, vergisst häufig den nächsten Schritt – und der ist zentral dafür, wenn wir es zum Beispiel schaffen wollen, unsere Neujahrsvorsätze einzuhalten.

3. Obstacle

Was viele nämlich vergessen, wenn sie sich ihr neues Leben vorstellen, sind die Hindernisse, die noch vor ihnen liegen. Das ist leicht nachzuvollziehen. Schließlich ist es viel schöner, von einer Zukunft zu träumen, in der man im Vorstellungsgespräch nicht mehr schwitzen muss, wenn der Personaler auf die Fremdsprachenkenntnisse zu sprechen kommt – und dabei außenvorzulassen, wie viel Zeit für Vokabel- und Grammatiktraining aufgewendet werden müsste. Doch leider gehört genau das dazu. Und an dieser Stelle scheitern viele Vorhaben und Vorsätze.

Wer seine Pläne erfolgreich in die Tat umsetzen möchte, der sollte sich daher vorab möglichst detailliert Klarheit darüber verschaffen, was ihn oder sie davon abhalten könnte. Ein Blick auf bereits gescheiterte Vorhaben kann helfen, die Hindernisse zu finden, die gemeinhin der Grund für das Misslingen sind. Vielleicht entdeckt man beim Blick zurück bestimmte Gewohnheiten oder Glaubenssätze, die hinderlich sind. Einige von uns tragen Glaubenssätze aus Kindheit und Jugend mit sich herum, die Hindernisse auf dem Weg zu unserem Ziel sein können. All das gilt es möglichst konkret zu benennen.

Gabriele Oettingen nennt diesen Schritt “mentales Kontrastieren” – und genau das ist zentral dafür, dass wir unsere Pläne erfolgreich umsetzen können. Dieser Erkenntnis liegen die Forschungsergebnisse der Psychologin zugrunde. In ihren Studien stellte sie fest, dass diejenigen Personen am erfolgreichsten ihre Ziele umsetzen konnten, die sich im Vorfeld auch mit den Problemen und Hindernissen beschäftigt haben, die ihnen im Weg stehen. Das Hindernis beziehungsweise die Überwindung des Hindernisses liefert dann nämlich die nötige Energie und Antriebskraft, um das Vorhaben anzugehen und das zu erreichen, was man sich vorgenommen hat.

4. Plan

Man weiß nun, wie die eigene Zukunft aussehen soll und welche Hindernisse im Weg stehen. Damit ist schon einiges erreicht. Damit die WOOP-Strategie funktioniert, fehlt jedoch noch der letzte Schritt. Nämlich ein konkreter Plan, wie man das Hindernis überwinden kann. Dazu kann man sich beispielsweise überlegen, wie es gelingen könnte, alte Gewohnheiten abzulegen und durch neue zu ersetzen, die dazu beitragen, das Ziel zu erreichen.

Zum Beispiel: Statt jeden Morgen beim Warten auf den Zug oder die Straßenbahn gelangweilt durch den Instagram-Feed zu scrollen, könnte man die Zeit nutzen, indem man Vokabeln lernt oder sich ein wenig die Grammatik der zu lernenden Fremdsprache ansieht. Glücklicherweise ist auch das alles digital möglich – es gibt also keine Ausrede mehr, warum man beim Warten auf die Bahn, den Zahnarzttermin oder den Kunden nicht daran arbeitet, sein Ziel zu erreichen. (pg)