Datenschutz & Sicherheit
39C3: Rollstuhl-Security – Wenn ein QR-Code alle Schutzmechanismen aushebelt
Die IT-Sicherheitsforscherin und Rollstuhlnutzerin Elfy beschäftigte sich aus persönlicher Betroffenheit intensiv mit dem e-motion M25 von Alber. Was sie dabei antrieb, war nicht zuletzt die Preispolitik des Herstellers: Für Funktionen wie das Umschalten des Fahrmodus (99 Euro), ein höheres Geschwindigkeitslimit (99 Euro) oder die Fernbedienung per App (99 Euro) werden saftige Aufpreise fällig; eine spezielle Bluetooth-Fernbedienung kostet sogar bis zu 595 Euro. Elfy wollte wissen, ob diese Komfortfunktionen technisch wirklich abgesichert sind – oder ob der Zugang in Wahrheit viel einfacher ist.
Weiterlesen nach der Anzeige
Komfortfunktionen hinter Bezahlschranken
In ihrem Vortrag auf dem 39. Chaos Communication Congress (39C3) erklärte Elfy, dass sämtliche Komfort- und Premiumfunktionen des M25 – wie etwa höhere Geschwindigkeit, der Wechsel zwischen Fahrmodi oder die App-basierte Fernsteuerung – ausschließlich per Software und kostenpflichtige Freischaltungen aktiviert werden. Elfy betonte, dass die Hardware ihrer Ansicht nach durchweg identisch sei und sich die Unterschiede nur durch die Software-Freischaltung ergäben. Zur Hardware sagte sie wörtlich: „Die Hardware ist eigentlich wirklich gut, sie tut, was sie soll, und funktioniert wirklich bequem und praktisch.“
Der Hersteller betone in offiziellen Dokumenten und gegenüber Behörden wie der der Food and Drug Administration (FDA) in den USA, dass sämtliche Bluetooth-Kommunikation „verschlüsselt“ und damit sicher sei. In einem Schreiben an die FDA heißt es: „All wireless communications is encrypted.“ (Alle kabellosen Kommunikationen sind verschlüsselt.) Für Nutzer bedeute dies jedoch in erster Linie eine Preisschranke, keine tatsächliche Sicherheit, so Elfy.
QR-Code als Generalschlüssel
Kern der Sicherheitsarchitektur beim e-motion M25 ist ein 22-stelliger QR-Code („Cyber Security Key“), der gut sichtbar auf jeder Radnabe angebracht ist. Die offizielle App scannt diesen Code bei der Ersteinrichtung und leitet daraus deterministisch den AES-128-Schlüssel für die Bluetooth-Kommunikation ab. Elfy erklärte dazu: „Der AES-Key für jedes Rad ist ein QR-Code, der auf der Radnabe aufgeklebt ist.“ Und weiter: „Mit diesem Key kann man komplett den Rollstuhl übernehmen.“
Es gebe keine zusätzliche Absicherung, etwa durch Salt, Hardwarebindung oder ein weiteres Geheimnis im Gerät. Jeder mit einer Kamera könne theoretisch den QR-Code abfotografieren und das Rad steuern. Elfy ergänzte: „Und das nennen die dann Cyber Security Key.“ Die genaue Methode der Schlüsselableitung und die technischen Details sind im zugehörigen GitHub-Repository dokumentiert.
Verschlüsselung: AES als Feigenblatt
Weiterlesen nach der Anzeige
Technisch kommt laut Hersteller und Analyse von Elfy eine standardisierte AES-128-Verschlüsselung im CBC-Modus zum Einsatz. Elfy sagte dazu: „Das Schöne daran ist, dass die Kryptografie eigentlich in Ordnung ist. Es ist AES-128-CBC.“ Doch entscheidend sei: Es gibt keine Integritäts- oder Authentizitätsprüfung der Nachrichten. „Sie benutzen einfach den Standardkram, PKCS7-Padding, und das war’s“, so Elfy. Weder ein Message Authentication Code (MAC) noch ein Authenticated Encryption-Modus (AEAD) werde verwendet.
Das mache das System nicht nur anfällig für Replay- und Manipulationsangriffe, sondern ermögliche auch das gezielte Bit-Flipping in verschlüsselten Nachrichten. Auch Initialisierungsvektoren würden nicht für jede Nachricht neu generiert. Elfy sagte: „An mehreren Stellen hatte ich das Gefühl, sie kennen die Grundlagen, aber haben dann aufgehört, über Probleme nachzudenken.“ Die Implementierung der Verschlüsselung ist offen einsehbar.
Protokoll und Reverse Engineering
Das proprietäre Protokoll zwischen App, Fernbedienung und Antrieb sei laut Elfy überraschend einfach aufgebaut. Im Vortrag sagte sie: „In der Theorie ist das wirklich keine komplizierte Sache. Es gab ein paar lustige Designentscheidungen, aber es ist grundlegendes Zeug. Es ist nicht kompliziert.“ Nachrichten enthalten Service-IDs, Parameter und Nutzdaten. Die gesamte Struktur hat Elfy auf GitHub dokumentiert.
Für die Analyse habe Elfy die Android-App dekompiliert, Firmware und Traffic mitgeschnitten und daraus ein Python-Toolkit erstellt. Elfy berichtete: „Ich habe die Fernbedienung ersetzt, das sind mehrere hundert Zeilen Python-Code, die mit meinem Rollstuhlantrieb sprechen. Ich konnte die Parkfunktion ersetzen. Ich konnte einige Wartungsfunktionen ersetzen. Ich habe den Dealer Mode ersetzt, und dieser Selbstfahr-Modus kann auch komplett gemacht werden.“
Elfy wies darauf hin, dass sich die teuren Fernbedienungen in der Hardware kaum von günstigeren Varianten unterscheiden: „Die Hardware dieser Fernbedienung ist nahezu identisch. Die teurere Variante ist ein Boolean-Flag in der Konfigurations-Software des Herstellers. Und sie vermarkten das als zwei verschiedene Produkte.“
Lesen Sie auch
Software-Paywalls und Händlerfunktionen
Die Premiumfeatures würden rein softwareseitig durch die App freigeschaltet. Elfy sagte dazu: „Die Bezahlung schaltet nur die grafischen Benutzeroberflächen in der App frei. Am Antrieb selbst ändert sich nichts. Es werden nur bestimmte Teile der Anwendung sichtbar, die ohne Bezahlung nicht sichtbar sind.“
Auch Händler- und Wartungsfunktionen seien nicht durch Hardware geschützt. Elfy erklärte: „Man muss das Passwort kennen. Es war nicht besonders gut versteckt. Das Passwort war in einigen PDFs im Internet. Aber ich habe das Passwort im Klartext aus der Android-App bekommen.“
Universelle Schwachstelle mit weitreichenden Folgen
Elfy wies darauf hin, dass diese Schwachstelle alle M25-Systeme betreffe: „Ich habe auf diesem Kongress schon zwei oder drei andere außer meinem gesehen. Also scannt bitte nicht die QR-Codes anderer Leute. Denn ihr könntet Schaden anrichten.“
Die Verschlüsselung werde so zur reinen Formsache, während die Zugangskontrolle auf einem offen einsehbaren Sticker beruht. Elfy betonte, dass AES-128 nur so lange sicher sei, wie der Schlüssel geheim bleibe – im Falle des M25 sei der Schlüssel aber ganz offen als QR-Code auf dem Rad sichtbar.
Kritischer Blick auf Medizintechnik
Elfys Vortrag machte deutlich, dass starke Algorithmen allein keine Sicherheit garantieren. Ohne durchdachtes Schlüsselmanagement und robuste Protokolle bleibe die Kontrolle über das eigene Gerät letztlich beim Hersteller – es sei denn, Nutzer greifen selbst zu Werkzeugen wie Elfys offenen Python-Toolkit. Die vollständige Analyse, Skripte und Dokumentation finden sich ebenfalls im GitHub-Repository.
(vza)
Datenschutz & Sicherheit
Diese Werke sind ab heute gemeinfrei
Am 1. Januar gibt es etwas zu feiern, und zwar den „Public Domain Day“. Tausende und Abertausende Kunstwerke von Autor*innen, Künstler*innen und Musiker*innen werden gemeinfrei. Sie sind damit nicht mehr urheberrechtlich geschützt, sondern gehen in die Public Domain über, also gewissermaßen in den Besitz der Allgemeinheit. Ab sofort dürfen sie ohne Einschränkungen kopiert, wiederverwendet, angepasst und weiterverbreitet werden.
Im europäischen Urheberverwertungsrecht gilt größtenteils das Prinzip „Leben + 70 Jahre“. Die sogenannte Regelschutzfrist schützt Werke für die Dauer von 70 Jahren nach dem Tod der Urheber*innen. Erst danach dürfen sie ohne Genehmigung veröffentlicht werden. Mit dem heutigen Jahresanfang werden somit Werke von Urheber*innen gemeinfrei, die im Jahr 1955 verstorben sind.
Lesenswertes
Darunter sind in diesem Jahr die Werke des bedeutenden deutschen Schriftstellers Thomas Mann. Für seinen ersten Roman „Buddenbrooks“ erhielt er den Nobelpreis für Literatur, sein umfassendes Werk besteht aber auch aus Kurzgeschichten, Essays und Gedichten.

Weniger bekannt, politisch aber mindestens spannend ist der französische Schriftsteller Léon Werth. Mit seiner kriegskritischen Erzählung „Clavel Soldat“ sorgte er kurz nach dem Ersten Weltkrieg für Aufsehen, seine Flucht vor den Nazis hielt er in „33 Tage“ und sein Zeugnis der Besatzungsjahre aus seinem Versteck im fast tausendseitigen Buch „Als die Zeit stillstand. Tagebuch 1940 – 1944“ fest. In „Cochinchine“ übte er außerdem Kritik am französischen Kolonialismus. Es ist eben jener Léon Werth, dem Antoine de Saint-Exupéry den „Kleinen Prinzen“ gewidmet hat.
In den Romanen der britischen Autorin und Holzschnitzerin Clemence Housman können Lesende Werwölfinnen und meerjungfrauenähnlichen Gestalten begegnen. Ihre Werke tragen Titel wie „The Were-Wolf“, „Unknown Sea“ und „The Life of Sir Aglovale De Galis“. Housman war in der Suffragettenbewegung aktiv und beschäftigte sich mit den sich wandelnden Geschlechterrollen am Ende des 19. und zu Beginn des 20. Jahrhunderts.
Sehens- und Hörenswertes
Neben den Werken des Franzosen Ferdinand Léger werden auch die Arbeiten des deutschen Malers Karl Hofer gemeinfrei. Er zählt zu den bedeutendsten Maler*innen der Moderne in Deutschland.
Aus dem musikalischen Bereich sind der Schweizer Komponist Arthur Honegger und der italienische Musiker Francesco Balilla Pratella zu nennen.
Urheberrecht: Alles andere als einfach
Die Schutzfristen unterscheiden sich von Land zu Land. So werden die Werke des spanischen Philosophen José Ortega y Gasset in verschiedenen europäischen Ländern bereits gemeinfrei, nicht aber in seinem eigenen Herkunftsland Spanien. Dort sind seine Schriften erst in zehn Jahren frei nutzbar.

In den USA werden zum Jahreswechsel Werke für alle zugänglich, die im Jahr 1930 veröffentlicht wurden – unabhängig vom Todeszeitpunkt der Autor*innen. Darunter der Krimi „Mord im Pfarrhaus“ von Agatha Christie, in dem Miss Marple zum ersten Mal vorkommt.
Außerdem gehen dort gleich zwei Filme des Regisseurs Josef von Sternberg in die Public Domain über, in denen Marlene Dietrich mitgespielt hat: „Der blaue Engel“ und „Marokko“, in dem Dietrich in einer berühmten Szene, elegant gekleidet mit Zylinder und Frack, eine Frau küsst.
Albert Einstein und noch viele mehr
Neben der hier vorgestellten kleinen Auswahl gibt es viel mehr in die Gemeinfreiheit entlassene Werke zu entdecken. Listen mit Urheber*innen, die im Jahr 1955 verstorben sind, stellt die deutschsprachige und die englischsprachige Wikipedia zusammen.
Der bekannteste auf der Liste dürfte der Physiker Albert Einstein sein. Aber auch Veröffentlichungen des Mediziners und Mitentdeckers des Antibiotikums Penicillin, Alexander Fleming, sowie des Mathematikers Hermann Weyl sind nun zur freien Nutzung freigegeben.
Datenschutz & Sicherheit
MongoBleed: Mehr als 11.500 verwundbare MongoDB-Instanzen in Deutschland
IT-Admins kommen „zwischen den Jahren“ nicht zur Ruhe. Zu Weihnachten wurde eine hochriskante Sicherheitslücke in MongoDB mit dem Spitznamen „MongoBleed“ bekannt, durch die Angreifer aus dem Netz ohne vorherige Authentifizierung etwa an Zugangsdaten gelangen können, was an das „CitrixBleed“-Desaster Ende 2023 erinnert. Global sind zigtausende Systeme derzeit noch anfällig – und Deutschland landet mit mehr als 11.500 anfälligen Instanzen auf dem unrühmlichen dritten Platz.
Weiterlesen nach der Anzeige
Das berichten IT-Sicherheitsforscher von Resecurity in einem Blogbeitrag. Nachdem für die Schwachstelle CVE-2025-14847 (CVSS 8.7, Risiko „hoch“) Proof-of-Concept-Code zum Missbrauch öffentlich wurde, sind massenhafte Angriffe zu erwarten. Umso schwerer wiegt, dass Resecurity mit der Shodan-Datenbank bei der Suche nach MongoDB-Instanzen, die sich mit verwundbaren Versionen melden, weltweit fast 90.000 Instanzen gefunden hat.
Am meisten verwundbare Systeme stehe in China, 16.576 hat Shodan am Dienstag dieser Woche dort gefunden. An zweiter Stelle folgen die USA mit 14.486 anfälligen Instanzen, und auf Platz drei liegt bereits Deutschland mit 11.547 angreifbaren und im Netz erreichbaren MongoDB-Servern. Abgeschlagen geht es mit Hongkong weiter, wo immerhin noch 5.521 anfällige MongoDBs zu finden sind.
Deutscher Provider weltweit an der Spitze
Besonders auffällig ist Deutschland bei der Verteilung nach Providern. Weltweit auf Platz eins steht Hetzner Online GmbH, dort liegen 6.828 verwundbare MongoDB-Server. Erst danach folgt Alibaba Cloud (Aliyun) mit 6.226 attackierbaren Instanzen. Weitere namhafte Größen wie Google landen mit 3.364 exponierten, anfälligen MongoDB-Servern auf Platz fünf.
Eine Einschränkung nennt Resecurity noch: Um verwundbar zu sein, muss die zlib-Kompression aktiviert sein – was jedoch laut IT-Sicherheitsforschern oftmals die Standardkonfiguration darstellt. Admins sollten spätestens jetzt die verwundbaren Instanzen auf eine sichere Softwareversion aktualisieren, dafür steht MongoDB in Fassung 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 und 4.4.30 und neuer bereit. Ältere Versionen sind am End-of-Life angelangt und erhalten keinen Patch mehr. Wer nicht umgehend aktualisieren kann, soll laut Resecurity etwa die zlib-Kompression als temporäre Gegenmaßnahme deaktivieren oder zu einer alternativen Kompression wechseln sowie den Zugriff auf den MongoDB-Netzwerkport (standardmäßig 27017) etwa mittels Firewalls oder VPN beschränken.
(dmk)
Datenschutz & Sicherheit
Neutralität und Grundgesetz: Widerstand ist Pflicht

Zum Christopher-Street-Day wehte in den vergangenen Jahren die Pride-Flagge auf dem Dach des Reichstagsgebäude – außer in diesem Jahr. Im Juni machte Bundestagspräsidentin Julia Klöckner (CDU) Schlagzeilen, weil sie entschied, dass die Flagge nicht gehisst werden darf. „Wir müssen neutral sein, auch wenn das manchmal weh tut“, begründete Klöckner ihren Bruch mit der Tradition, Solidarität mit queeren Minderheiten zu demonstrieren.
Beifall für ihren Entschluss bekam Klöckner von der rechtsextremistischen Partei Alternative für Deutschland (AfD). Die wiederum nutzt die Rhetorik der Neutralität inzwischen als Waffe. Regelmäßig bringt sie Klagen vor Gericht, mit denen sie versucht, eine autoritäre Definition von Neutralität durchzusetzen.
Doch wieviel Neutralität gebietet das Grundgesetz (GG) eigentlich wirklich? Und wann ist laut GG statt Neutralität vielmehr Widerstand gegen rechte Angriffe auf demokratische Werte Pflicht?
Mit diesen Fragen beschäftigten sich Hannah Vos und Vivian Kube in ihrem Talk „Wer hat Angst vor dem Neutralitätsgebot?“ auf dem 39. Chaos Communication Congress in Hamburg. Die Juristinnen Vos und Kube kommen von der Initiative Gegenrechtsschutz, die zu FragDenStaat gehört. Sie berät und unterstützt Menschen und Organisationen aus Kultur, Journalismus oder Wissenschaft, die von rechts außen in Gerichtsverfahren verwickelt werden.
Neutralität hat Grenzen
Vos und Kube fragen: „Müssen wir neutral sein, auch wenn es weh tut, während sich andere Teile der Gesellschaft immer weiter nach rechts außen bewegen?“ Laut GG gebe es klare Vorgaben, wo Neutralität geboten ist und wo nicht. Dazu stellen Vos und Kube zunächst klar: Das eine Neutralitätsgebot gibt es im GG nicht. Stattdessen macht das GG für verschiedene Bereiche wie öffentliche Verwaltung, Schule oder Zivilgesellschaft konkrete Vorgaben zur Neutralität, setzt aber auch klare Grenzen.
Unterm Strich: Wenn es darum geht, demokratische Werte zu verteidigen und Angriffe auf diese abzuwehren, geht es nicht mehr um Neutralität, sondern um gebotenen Widerstand. Das mache unsere wehrhafte Demokratie aus.
In der öffentlichen Verwaltung haben Beamt:innen die Pflicht zur Verfassungstreue. Wenn Dienstanweisungen oder Vorgaben etwa gegen die Menschenwürde verstoßen, müssten Beamt:innen dagegen halten. Dabei sind sie nicht allein auf sich gestellt, im Rücken haben sie das NPD-Urteil des Bundesverfassungsgerichts von 2017. Demnach seien neben der Garantie auf Menschenwürde die Kernelemente der freiheitlich-demokratischen Grundordnung das Demokratieprinzip sowie das Rechtsstaatsprinzip.
Ganz konkret listen Vos und Kube auf, was als Verstoß gegen die Menschenwürde gilt. Dazu zählen Aussagen wie: „Zugezogene können nie Teil der Gemeinschaft werden, denn ihnen fehlt die gemeinsame Geschichte, Kultur etc.“ Sie unterstellen etwa einen „gemeinsamen Volkswillen“ und negieren Interessenvielfalt.
Außerdem verstoßen alle rassistischen, frauenfeindlichen, antimuslimischen, antisemitischen, antiziganistischen, ableistischen und transfeindlichen Forderungen gegen die Menschenwürde. Als Malu Dreyer (SPD) nach den Veröffentlichungen des Recherche-Kollektivs Correctiv Anfang 2024 zu Demonstrationen gegen Rechts aufrief, habe sie mit Rückendeckung des GG gehandelt.
Freiheitlich-demokratische Grundordnung ist der Maßstab
Damals war Dreyer Ministerpräsidentin von Rheinland-Pfalz und bezog über ihren Instagram-Account Stellung: „Der Begriff ‚Remigration‘ verschleiert, was die AfD und andere rechtsextreme Verfassungsfeinde vorhaben: Sie planen die Vertreibung und Deportation von Millionen Menschen aus rassistischen Motiven. So verschieben sie die Grenze weiter nach rechts und radikalisieren den gesellschaftlichen Diskurs.“
Den folgenden Rechtsstreit entschied das Bundesverfassungsgericht eindeutig zugunsten Dreyers, als die rheinland-pfälzische AfD eine Verfassungsbeschwerde gegen das Urteil des rheinland-pfälzischen Verfassungsgerichtshofs einreichen wollte.
Es gibt für Beamt:innen sogar eine Pflicht zur sogenannten Remonstration: Wenn eine Weisung von oben gegen die freiheitlich-demokratische Grundordnung und das GG verstößt, müssen sich Beamt:innen verweigern. Wenn sie das nicht tun, tragen sie die volle Verantwortung.
Wie das aussehen kann, zeigen mehrere Mitarbeiter:innen des Bundesamts für Migration und Flüchtlinge nach Informationen der Süddeutschen Zeitung (€). Diese sollen der Behörde Paroli geboten haben. Dabei geht es um afghanische Ortskräfte, die unter der alten Bundesregierung eine Aufnahmezusage bekommen hatten. Obwohl Verwaltungsgerichte bereits entschieden haben, dass diese Menschen nach Deutschland kommen müssen, um in Afghanistan nicht Folter und Tod ausgesetzt zu sein, lehnt die schwarz-rote Bundesregierung eine Aufnahme ab. Alexander Dobrindt (CDU) veranlasste entsprechende Widerruf-Schreiben. Doch mehrere BAMF-Mitarbeiter:innen verweigerten ihre Unterschrift.
Neutralität in der Schule
Auch in der Schule will die AfD ihr Neutralitätsregime durchsetzen. Dabei legt das GG auch hier klar fest: Lehrkräfte in der Schule dürfen etwa keine Parteiwerbung machen oder Schüler:innen gar dazu auffordern, eine bestimmte Partei zu wählen. Diese Neutralität hat aber Grenzen. Laut GG kann und soll es keine neutrale Schulbildung geben. Lehrkräfte sind demnach dazu verpflichtet, Schüler:innen im Sinne demokratischer Werte über faschistische und rassistische Inhalte aufzuklären. Sie müssen ihnen dabei helfen, kontroverse Inhalte einzuordnen.
Umso widersprüchlicher die Einschüchterungskampagne „Neutrale Schule“ von der AfD. Sie wollte ein sogenanntes Meldeportal einführen, auf dem Schüler:innen Lehrkräfte melden sollten, wenn die ihrer Meinung nach keinen neutralen Unterricht machen. Die Gewerkschaft für Erziehung und Wissenschaft sprach von einer „Denunziationsplattform“.
Was Klöckner betrifft, habe sie suggeriert, es gebe für die Bundestagsordnung eine rechtliche Pflicht zur Neutralität. Nur das habe sie dazu veranlasst, die Pride-Fahne auf dem Reichtagsgebäude zu verbieten. Doch diese Pflicht gebe es nicht, so Vos und Kube.
Zwar sei die Bundestagspräsidentin nicht verpflichtet, die Fahne hissen zu lassen. Aber sie ist auch nicht dazu verpflichtet, das Hissen der Fahne zu verbieten.
-
UX/UI & Webdesignvor 3 MonatenIllustrierte Reise nach New York City › PAGE online
-
Künstliche Intelligenzvor 3 MonatenAus Softwarefehlern lernen – Teil 3: Eine Marssonde gerät außer Kontrolle
-
Künstliche Intelligenzvor 3 Monaten
Top 10: Die beste kabellose Überwachungskamera im Test
-
UX/UI & Webdesignvor 3 MonatenSK Rapid Wien erneuert visuelle Identität
-
Künstliche Intelligenzvor 3 MonatenNeue PC-Spiele im November 2025: „Anno 117: Pax Romana“
-
Entwicklung & Codevor 1 MonatKommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
-
Künstliche Intelligenzvor 3 MonatenDonnerstag: Deutsches Flugtaxi-Start-up am Ende, KI-Rechenzentren mit ARM-Chips
-
UX/UI & Webdesignvor 2 MonatenArndt Benedikt rebranded GreatVita › PAGE online
