KI News der Woche KW 43/2026: Das Wichtigste

Diese Woche war ein Sicherheitsupdate wichtiger als jeder neue KI-Launch. Wer KI News aktuell nur nach neuen Modellen durchsucht, übersieht das. Deshalb steht die PHP-Meldung oben. Danach kommen fünf Meldungen zu Agenten, Datenverarbeitung, Kosten und Sprach-KI. Unter der Woche ist im Journal außerdem der Tagesartikel Gemini für Kleinunternehmen: Was die neuen Tools können erschienen. Den Rückblick der Vorwoche findest du unter KI-News KW 42/2026.

Alle Angaben: Stand Oktober 2026.

Kritische PHP-Lücken: Ist deine Website betroffen?

Was passiert ist: Das PHP-Projekt hat am 21. Oktober 2026 zwei kritische Sicherheitslücken (CVE-2026-109618 und CVE-2026-109619) gemeldet. Angreifer können damit ohne Login Code auf dem Server ausführen. Betroffen sind laut PHP alle Installationen, die Web-Anfragen bedienen, also PHP-FPM, Apache mod_php, php-cgi, FrankenPHP und LiteSpeed. In der Vorabwarnung vom 20. Oktober wurden beide mit CVSS 9.2 bewertet. Behoben sind sie in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter bekommen vom Projekt keine Updates mehr, und PHP 8.2 erreicht am 31. Dezember 2026 sein Lebensende.

Das größte Risiko sieht das PHP-Projekt bei mod_php: Dort wurde ein Angriff gezeigt, bei dem eine Anfrage ohne Login die Lücke auslöst, bevor überhaupt Code der Website läuft. Linux-Distributionen und LTS-Anbieter haben die Patches vorab bekommen. Für PHP 7.4, 8.0 und 8.1 stellt das Sicherheitsteam Quellcode-Backports bereit. Am 23. Oktober folgte eine weitere Meldung zu einem Problem mit Session Upload Progress (CVE-2026-115560). Es tritt nur in einer ungewöhnlichen Konfiguration auf. PHP empfiehlt trotzdem, session.upload_progress.enabled=0 zu setzen, bis das nächste reguläre Bugfix-Release erscheint.

Was es für dich bedeutet: Viele kleine Firmen-Websites laufen auf PHP, zum Beispiel jede WordPress-Seite. Schreib deinem Hoster oder deiner Agentur noch heute und frag, ob eine der gepatchten Versionen läuft. Das PHP-Projekt schreibt ausdrücklich, dass keine Konfigurationsänderung eine Installation sicher macht. Die genannten Einstellungen verringern das Risiko nur, bis das Update eingespielt ist. Läuft deine Seite noch auf PHP 8.1 oder älter, ist jetzt der Zeitpunkt für das Upgrade.

Damit die Mail an den Hoster kurz bleibt, reichen drei Fragen: Welche PHP-Version läuft auf meiner Seite? Ist das Update vom 21. Oktober eingespielt? Ist Session Upload Progress bis zum nächsten Release abgeschaltet? Die Umsetzung ist Sache des Hosters, nicht deine.

Quelle: php.net, News-Archiv 2026

Claude Duet: Was kann der neue Dauer-Agent?

Was passiert ist: Anthropic zeigt Claude Duet als Research Preview. Duet ist ein proaktiver Agent: Du gibst ihm Aufgaben per Nachricht, er arbeitet in einer eigenen Cloud-Umgebung mit den Apps, die du verbindest, und meldet sich, wenn etwas fertig ist oder du entscheiden musst. Vor heiklen Aktionen wie dem Versenden von Nachrichten oder Zahlungen fragt er nach. Duet läuft als eigene App für iOS und Android oder im Web auf claude.ai. Er teilt sich die Nutzungslimits mit dem Rest von Claude, und auch seine Hintergrundprüfungen zählen dazu. Zugang gibt es nur über eine Warteliste, und zwar für Pro- und Max-Abos in den USA. Team und Enterprise sind noch nicht dabei.

Laut Anthropic arbeitet Duet mit Opus 5.5 und lässt sich über mehr als 6.000 Konnektoren und Plugins anbinden, etwa Gmail, Google Calendar, Slack, Notion, Stripe oder HubSpot. Er erstellt morgens ein Briefing und bereitet Entwürfe vor, zum Beispiel Antworten, Rechnungserinnerungen oder Vertragsentwürfe. Anthropic schreibt selbst, dass Duet in der Research Preview Nachrichten falsch einordnen, Dringlichkeit falsch bewerten und Informationen übersehen kann.

Was es für dich bedeutet: In DACH kannst du Duet noch nicht nutzen. Die Richtung ist trotzdem klar: Weg vom Chatfenster, in dem du jede Frage selbst stellst, hin zu einem Agenten, der selbst Arbeit findet. Wenn du verstehen willst, wie so etwas grundsätzlich funktioniert und wo die Grenzen liegen, lies vorher was ein KI-Agent ist und wie er sich von einem Chatbot unterscheidet. Wichtig für die Planung: Hintergrundarbeit verbraucht dein Kontingent, auch wenn du gerade nichts eingibst. Und bei Rechnungserinnerungen oder Verträgen gilt: Jeden Entwurf selbst lesen, bevor er rausgeht.

Quelle: claude.com/duet

Claude über Google Cloud: Wer verarbeitet die Daten?

Was passiert ist: Seit dem 22. Oktober 2026 ist die von Anthropic betriebene Claude-Plattform auf Google Cloud allgemein verfügbar. Angeboten werden Claude Fable 5.1, Opus 5.5, Sonnet 5.5 und Haiku 5.5. In diesem Angebot ist Anthropic der Datenverarbeiter. Beim weiterhin verfügbaren, von Google betriebenen Angebot ist es Google. Gestartet wird mit US- und globalen Endpunkten. Abgerechnet wird über eine Google-Cloud-Rechnung, der Verbrauch wird auf bestehende Google-Cloud-Zusagen angerechnet. Rabatte musst du laut Anthropic vor dem Start mit deinem Ansprechpartner klären, rückwirkend gelten sie nicht.

Der Unterschied zwischen beiden Varianten liegt laut Anthropic nicht nur beim Datenverarbeiter: Die Anthropic-Variante bekommt neue Funktionen und Betas am Tag der Veröffentlichung und hat denselben Funktionsumfang wie die native Claude-Plattform. Die Google-Variante empfiehlt Anthropic, wenn Google als Datenverarbeiter gefordert ist oder strenge regionale Datenresidenz nötig ist.

Was es für dich bedeutet: Das betrifft dich nur, wenn dein Unternehmen schon Google Cloud nutzt. Dann musst du dich zwischen zwei Varianten mit unterschiedlichen Auftragsverarbeitern entscheiden. Das hat Folgen für Verträge und Datenschutzdokumentation. Eine EU-Region wird für die Anthropic-Variante nicht genannt. Brauchst du Daten in einer bestimmten Region, verweist Anthropic selbst auf die von Google betriebene Variante. Welche Punkte du beim Datenschutz grundsätzlich prüfen solltest, steht in Ist Claude DSGVO-konform? Ehrliche Antwort und Checkliste.

Quelle: Claude: Claude Models on Google Cloud (Anthropic managed)

Notion: Was ändert sich bei den KI-Credits?

Was passiert ist: Notion hat am 20. Oktober 2026 Details zum Modell-Router „Auto“ veröffentlicht. Auto verteilt Aufgaben auf verschiedene Modelle. Laut Notion erreicht er etwa 90 % der Leistung von Spitzenmodellen bei rund 90 % geringeren Kosten. Das sind Herstellerangaben aus eigenen Tests. Als Beispiel nennt Notion 5 Credits mit Auto statt 50 mit Opus 5.5 für eine einfache Aufgabe wie das Überarbeiten einer E-Mail. Laut Notion-Hilfe wechseln neue Business- und Enterprise-Workspaces seit dem 19. Oktober 2026 auf das neue Credit-System, bestehende ab dem 2. November 2026. KI-Meeting-Notizen verbrauchen ab dem 1. Dezember 2026 das monatliche Standard-Kontingent. Notion rechnet mit etwa 10 Credits für ein einstündiges Meeting.

Für mittlere Aufgaben wie einen Arbeitsbericht schätzt Notion 10 Credits mit Auto statt 85 mit Opus 5.5, für komplexe wie ein Strategiedokument 25 statt 150. Mit Auto verbraucht Notion Agent Standard-Credits. Wählst du ein Modell selbst, gehen Select-Credits weg. Ist ein Kontingent aufgebraucht, kann der Admin die Nutzung mit Notion-Credits freigeben. Workspace-Owner legen fest, welche Modelle im Team wählbar sind. Konkrete monatliche Kontingente pro Plan nennt die Hilfeseite nicht.

Was es für dich bedeutet: Wenn dein Team Notion Business nutzt, ändert sich die Abrechnung in gut einer Woche. Prüf vor dem 2. November, wie viele Meetings ihr im Monat aufzeichnet, und rechne grob nach, ob das Standard-Kontingent ab Dezember noch reicht. Wer im Team aus Gewohnheit ein Spitzenmodell auswählt, verbraucht nach Notions eigenen Schätzungen ein Vielfaches. Als Owner kannst du das über die Modellauswahl steuern.

Quelle: Notion-Blog, Notion-Hilfe: Auto

Voxtral 3: Günstige Sprach-KI aus Europa?

Was passiert ist: Mistral hat Voxtral 3 vorgestellt, eine Modellfamilie für Spracherkennung und Sprachausgabe, dazu ein SDK für Sprachagenten auf Basis von LiveKit. Die Transkription unterstützt laut Mistral mehr als 50 Sprachen, die Sprachausgabe mehr als 35. Die Preise: Voxtral Mini Transcribe 3 kostet 0,0035 US-Dollar pro Minute, die Echtzeit-Variante 0,008 US-Dollar pro Minute, die Sprachausgabe 13 US-Dollar pro Million Zeichen. Die Sprachagenten-API mit Mistral Small 4 kostet 0,04 US-Dollar pro Minute. Verfügbar ist das über die Mistral-API mit europäischen, US- und globalen Endpunkten.

Dazu kommt laut Mistral Voxtral Small Transcribe 3 für 0,004 US-Dollar pro Minute. Diese Variante erkennt, wer wann spricht, und lässt sich mit Fachbegriffen füttern, damit sie diese ohne eigenes Training besser erkennt. Unter den Transkriptionssprachen sind die 24 EU-Amtssprachen. Das SDK lässt sich über SIP ans Telefon und über WebRTC an Browser und Apps anbinden. Die Modelle können auch auf eigener Infrastruktur laufen.

Was es für dich bedeutet: Für Transkription von Kundengesprächen, Diktaten oder Sprachnachrichten ist das eine Option mit europäischem Endpunkt. Eine Stunde Batch-Transkription liegt nach Listenpreis bei rund 0,21 US-Dollar. Sprecher trennen laut Mistral beide Transkriptionsmodelle, auch das günstigere Mini. Small nennt Mistral sein genauestes Transkriptionsmodell, beim Erkennen der Sprecher liegt es im Test des Herstellers aber nur knapp vor Mini (18,4 % gegenüber 18,6 % cpWER). Du brauchst allerdings jemanden, der die API anbindet. Eine fertige App für Endnutzer ist Voxtral nicht.

Quelle: Mistral: Voxtral 3

ElevenLabs: Live-Übersetzung am Telefon

Was passiert ist: ElevenLabs hat am 21. Oktober 2026 Realtime Translation angekündigt. Zwei Personen sprechen in unterschiedlichen Sprachen und hören die andere jeweils in ihrer eigenen. Die Stimme bleibt über das Gespräch gleich. Unterstützt werden laut ElevenLabs mehr als 90 Sprachen mit automatischer Spracherkennung. Die Funktion ist eine Alpha und nur für Enterprise-Kunden der ElevenAPI verfügbar. Preise nennt ElevenLabs nicht.

Grundlage ist laut ElevenLabs das Modell Eleven v4 Turbo. Teams können einstellen, ob die Übersetzung schneller einsetzt oder dafür mehr Qualität liefert, etwa bei Gesprächen über Abrechnungen oder Schadensfälle. Als Referenzkunden nennt ElevenLabs die Deutsche Telekom, die die Technik für neue Anruffunktionen im Magenta AI Call Assistant nutzt.

Was es für dich bedeutet: Für kleine Betriebe mit internationalen Kunden ist das spannend, aktuell aber nicht buchbar. Behalte es im Blick. Bis daraus ein Produkt für kleinere Kunden wird, kann es dauern, und ob es dazu kommt, ist offen. Mit der Telekom ist ein großer Anbieter aus DACH dabei. Wann und zu welchen Bedingungen die Funktion bei Telekom-Kunden ankommt, schreibt ElevenLabs nicht.

Quelle: ElevenLabs: Realtime Translation

Was heißt die Woche für Selbstständige und KMU?

Erledige zuerst die PHP-Frage bei deinem Hoster, das kostet dich fünf Minuten. Wenn du Notion Business nutzt, prüf vor dem 2. November dein Credit-Kontingent. Die Agenten-Meldungen wie Claude Duet zeigen, wohin die Tools sich entwickeln. In DACH sind sie diese Woche aber noch nicht nutzbar.

Häufige Fragen

Muss ich meine Website wegen der PHP-Lücken selbst updaten?

Wenn deine Website auf PHP läuft (zum Beispiel WordPress), muss die PHP-Version auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisiert werden. Bei Shared Hosting erledigt das meist der Hoster. Frag nach, ob die Updates eingespielt sind. Laut PHP-Projekt macht keine Konfigurationsänderung eine Installation sicher, nur das Update.

Kann ich Claude Duet in Deutschland nutzen?

Noch nicht. Claude Duet ist eine Research Preview mit Warteliste und laut Anthropic nur für Pro- und Max-Abos in den USA verfügbar. Team und Enterprise sind noch nicht dabei.

Wo finde ich KI News aktuell jede Woche?

Im Journal auf nerdvonnebenan.de erscheinen Wochenrückblicke wie dieser, zuletzt zur KW 42/2026.