Connect with us

Künstliche Intelligenz

Citrix mit teils kritischen Sicherheitslecks in Netscaler und Apps


Vor Sicherheitslücken in mehreren Produkten warnt Citrix aktuell. In Netscaler ADC und Gateway klafft etwa ein kritisches Sicherheitsleck, aber auch der Citrix Secure Access Client und die Workspace App für Windows weisen Schwachstellen auf. Citrix hat aktualisierte Software bereitgestellt, die die Lücken schließt.

In Netscaler ADC und Gateway können Angreifer auf nicht näher erläutertem Wege Speicherbereiche außerhalb vorgesehener Grenzen lesen, was auf unzureichende Prüfung von übergebenen Daten zurückgeht (CVE-2025-5777 / EUVD-2025-18497, CVSS 9.3, Risiko „kritisch„). Zudem nutzt das Netscaler Management Interface unzureichende Zugriffskontrollen und ermöglicht dadurch offenbar unbefugte Zugriffe (CVE-2025-5349 / EUVD-2025-18494, CVSS 8.7, Risiko „hoch„). Die Schwachstellen haben die Entwickler laut Sicherheitsmitteilung in den Versionen Netscaler ADC und NetScaler Gateway 14.1-43.56 sowie 13.1-58.32, Netscaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.235 sowie in Netscaler ADC 12.1-FIPS 12.1-55.328 ausgebessert. Auch Secure Private Access on-prem und Secure Private Access Hybrid-Instanzen sind verwundbar.

In einer weiteren Sicherheitswarnung beschreibt Citrix eine Lücke in Netscaler Console und SDX, durch die Angreifer beliebige Daten lesen können (CVE-2025-4365 / EUVD-2025-18493, CVSS 6.9, Risiko „mittel„). Netscaler Console 14.1.47.46 und 13.1.58.32 stopfen das Leck ebenso wie Netscaler SDX (SVM) 14.1.47.46 und 13.1.58.32.

Außerdem berichtet Citrix von einer Sicherheitslücke in Secure Access Client für Windows. Aufgrund unzureichender Rechteverwaltung können lokale Nutzer ihre Rechte zu SYSTEM ausweiten (CVE-2025-0320 / EUVD-2025-18498, CVSS 8.5, Risiko „hoch„). Wie bei den anderen Lücken erörtern die Entwickler nicht, wie das konkret zustande kommt und wie Angriffe aussehen können. Das Problem korrigiert jedoch Citrix Secure Access Client für Windows 25.5.1.15.

Schließlich klafft noch in der Citrix Workspace App für Windows eine Sicherheitslücke. Auch hier nennen die Entwickler nur allgmein eine unzureichende Rechteverwaltung, die Nutzern die Ausweitung ihrer Rechte auf SYSTEM ermöglichen (CVE-2025-4879 / EUVD-2025-18569, CVSS 7.3, Risiko „hoch„). Citrix Workspace App für Windows 2409, 2402 LTSR CU2 Hotfix 1 und 2402 LTSR CU3 Hotfix 1 bringen Fehlerkorrekturen zum Ausbessern der Schwachstelle mit.

Im Februar hatte Citrix zuletzt größere Sicherheitslücken etwa in Netscaler gemeldet. Auch da gab es Schwachstellen im Citrix Secure Access Client – allerdings war die Mac- und nicht wie jetzt die Windows-Version betroffen.


(dmk)



Source link

Weiterlesen
Kommentar schreiben

Leave a Reply

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Künstliche Intelligenz

iOS 26: Einstellen eigener Klingeltöne wird deutlich vereinfacht


Mit iOS 26 wird das Erstellen eigener Klingeltöne auf dem iPhone von Apple deutlich vereinfacht. In dem Update, das im Herbst erscheinen soll, wird es künftig über das Teilen-Menü möglich sein, mit einem Button Musik und Töne in das geeignete Format zu exportieren und in den Klingeltönen aufzurufen.

Der Wunsch, eigene Klingeltöne einzustellen, ist bei vielen Nutzern groß. Im Netz finden sich etliche Anleitungen, wie das bei den bisherigen iOS-Versionen gemacht werden kann. Womöglich mit Blick auf urheberrechtliche Bedenken gab sich Apple lange keine Mühe, den Vorgang zu vereinfachen. Deshalb mussten Nutzer entweder ihr iPhone an einen Mac anschließen und Klingeltöne von dort aus auf ihr Gerät transferieren. Oder aber sie importierten Sounddateien in Apples App Garageband auf dem Gerät und exportieren den Ton dort direkt in die Klingeltöne.

In der ersten Developer-Beta von iOS 26 ist der Export jetzt hingegen kinderleicht möglich. Der Export als Klingelton wird jetzt im Teilen-Dialog angeboten. Dort erscheint in iOS 26 ein neuer Button namens „Als Klingelton verwenden“ samt einer Musiknote als Symbol. So kann etwa über die Dateien-App via iCloud eine MP3-Datei aufgerufen und der Ton oder das Musikstück dort direkt als Klingelton in die Einstellungen transferiert werden. Das neue Vorgehen ist auch in Sprachmemos und etlichen weiteren Apps möglich.

Exportierte Klingeltöne erscheinen in den Einstellungen des iPhones auf der entsprechenden Seite ganz oben in der Liste. Sie können durch Swipen jederzeit wieder entfernt werden. Als Klingeltöne können verschiedene Formate verwendet werden. In Tests funktionierten unter anderem Dateien in den Formaten MP3, M4A und WAV.

Da sich iOS 26 noch in einem frühen Teststadium befindet und das System noch allerhand Fehler enthält, sollten Nutzer sich entweder bis zur finalen Version im Herbst gedulden oder zumindest die Public Beta abwarten, die für Juli erwartet wird.

Mit iOS 26 führt Apple auch ein neues Design namens „Liquid Glass“ ein, erweitert seine KI-Funktionen namens Apple Intelligence um neue Möglichkeiten wie Liveübersetzungen und richtet in der Telefon-App einen Schutz vor unerwünschten Anrufen ein.


(mki)



Source link

Weiterlesen

Künstliche Intelligenz

Deutsche Forscher dürfen Auskünfte von X vor deutschen Gerichten einklagen


Weil große Online-Plattformen starken Einfluss auf ihre Nutzer haben können, legt der europäische Digital Services Act (DSA) den Betreibern unter anderem Auskunftspflichten auf. Wollen etwa Wissenschaftler untersuchen, wie sich Algorithmen eines prägenden Social-Media-Portals auf demokratische Wahlen ausgewirkt haben, sollen sie die dafür nötigen Daten abfordern können. Forschung dieser Art ist wichtig, um beispielsweise Mechanismen auf die Spur zu kommen, die Plattformteilnehmer unbemerkt in ihrer politischen Willensbildung manipulieren. So hat eine Studie der internationalen Nichtregierungsorganisation Global Witness vor dem Hintergrund der Bundestagswahl 2025 statistische Hinweise darauf geliefert, dass auf Accounts bei TikTok und X überproportional viele Inhalte aus dem rechten Politikspektrum angezeigt worden sind.

Der europäische Gesetzgeber schreibt in Art. 34 Abs. 1 DSA vor, dass Betreiber sehr großer Plattformen und Suchmaschinen (VLOP beziehungsweise VLOSE) sorgfältig alle systemischen Risiken in der Europäischen Union ermitteln, analysieren und bewerten müssen, die sich aus der Konzeption, dem Betrieb oder der Nutzung ihrer Dienste und aus den damit verbundenen Systemen, einschließlich der verwendeten Algorithmen, ergeben. Dabei geht es vor allem um die Verbreitung rechtswidriger Inhalte und um etwaige nachteilige Auswirkungen auf die Ausübung von Grundrechten. Im Blick sind ebenso tatsächliche und absehbare Auswirkungen auf die gesellschaftliche Debatte, auf Wahlprozesse und auf die öffentliche Sicherheit. Dasselbe gilt für Auswirkungen in Bezug auf geschlechtsspezifische Gewalt, auf den Schutz der öffentlichen Gesundheit und von Minderjährigen sowie um alles, was schwerwiegende nachteilige Folgen für das körperliche und geistige Wohlbefinden von Personen hat.

Art. 40 Abs. 12 DSA verpflichtet zudem Social-Media-Plattformen, Forschern gegebenenfalls unverzüglich Zugang zu relevanten Daten über eine technische Schnittstelle zu gewähren. Voraussetzung dafür ist, dass diese Forscher das Material ausschließlich zu Zwecken verwenden, die zur Aufdeckung, Identifizierung und zum Verständnis systemischer Risiken in der Europäischen Union im Sinne des zuvor genannten Art. 34 Abs. 1 beitragen. Sie dürfen dabei auch mit gemeinnützigen Einrichtungen, Organisationen und Vereinigungen verbunden sein. Dieser Anspruch ist deswegen nötig, weil Forscher nicht ohne Weiteres über die Schnittstellen der Anbieter auf die Daten zugreifen können. Eine repräsentative Datenerhebung für Studien scheitert häufig daran, dass Plattformbetreiber den Zugang blockieren. Das gilt besonders für TikTok und X.


Das war die Leseprobe unseres heise-Plus-Artikels „Deutsche Forscher dürfen Auskünfte von X vor deutschen Gerichten einklagen“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.



Source link

Weiterlesen

Künstliche Intelligenz

Warum im Netz Checkboxen für AGB und Datenschutz meist überflüssig sind


Jeder kennt es: Wenn man sich in ein öffentliches WLAN einloggt, muss man oft eine Checkbox anklicken, dass man die Allgemeinen Geschäftsbedingungen akzeptiert. Wenn man etwas online bestellt, muss man ebenso oft außerdem noch die Datenschutzhinweise akzeptieren. Nur: Solche Ankreuzfelder sind genauso nervig wie unnötig. Sie werden dennoch häufig in dem Irrglauben eingebaut, man bräuchte sie, um „rechtssicher“ zu sein – und die Rechtsabteilungen vieler Organisationen tun nichts dagegen – auch auf den Websites großer Unternehmen sieht man immer wieder sinnlose Ankreuzfelder für AGB und Datenschutzhinweise. In der Konsequenz klicken Nutzer in ganz Deutschland täglich zu Hunderttausenden auf überflüssige Ankreuzfelder. Zeit, mit diesem Irrglauben aufzuräumen.

Ein schönes Beispiel bietet die Deutsche Bahn: Im ICE gab es auf der Anmeldeseite für das Zug-WLAN jahrelang eine solche sinnlose Checkbox, bis sich offenbar endlich jemand aus der Rechtsabteilung des Unternehmens der Sache annahm und es abschaffte. Das Bahnhofs-WLAN der Deutschen Bahn zwingt die Nutzer dagegen weiterhin, beim Login ein unnötiges Ankreuzfeld anzuklicken. Der Hintergrund ist wohl, dass die WLAN-Zugänge von zwei verschiedenen Bahn-Tochterunternehmen betrieben werden, die – wie es in großen Konzernen leider üblich ist – wenig miteinander kommunizieren: DB Fernverkehr und DB InfraGO.


Das Zug-WLAN der Deutschen Bahn macht es richtig und enthält kein Ankreuzfeld für die Nutzungsbedingungen, sondern nur einen (rechtlich völlig ausreichenden) verlinkten Hinweis direkt über der Schaltfläche zum Verbinden, über welche die AGB mit-akzeptiert werden …

Das deutsche Recht trifft zur Frage der Ankreuzfelder eine eindeutige Regelung: Nach dem Bürgerlichen Gesetzbuch muss ein Unternehmen lediglich einen ausdrücklichen Hinweis auf die AGB erteilen und den Nutzerinnen und Nutzern erlauben, deren Wortlaut zur Kenntnis zu nehmen – in der Praxis geschieht das durch einen kurzen Satz mit einem Link. Durch den Klick auf die Schaltfläche zum Vertragsschluss unter dem Hinweis erklären die Anwender dann ihr Einverständnis mit den AGB, die auf diese Weise rechtswirksam vereinbart werden. Juristisch spricht man von einem „konkludenten“ Einverständnis (ein Ankreuzfeld wäre dagegen ausdrückliches Einverständnis, welches nach dem Gesetz eben nicht erforderlich ist).

Für den Datenschutzhinweis ist die gesetzliche Regelung noch einfacher: Die DSGVO erfordert, wie der Begriff es schon besagt, nur einen Hinweis auf die Datenschutzerklärung, die typischerweise einfach am unteren Ende der Website verlinkt wird. Ein Einverständnis mit dem Datenschutzhinweis ist nicht erforderlich. Der europäische Datenschutzausschuss hat 2022 sogar entschieden, dass die Abfrage einer Zustimmung zur Datenschutzerklärung für sich genommen einen DSGVO-Verstoß darstellt, der mit einem Bußgeld geahndet werden kann.

Unnötige Ankreuzfelder können ganz einfach durch einen Hinweis ersetzt werden:

❌ falsch
(unnötiges Ankreuzfeld)
✅ richtig
(einfacher Hinweis ohne Ankreuzfeld)
● Ich habe die Datenschutzerklärung zur Kenntnis genommen.

oder (doppelt unnötig, weil ein Einverständnis zur Datenschutzerklärung abgefragt wird, das es rechtlich überhaupt nicht gibt)

● Ich bin mit der Verarbeitung meiner personenbezogenen Daten gemäß der Datenschutzerklärung einverstanden.

Bitte beachten Sie unseren Datenschutzhinweis.

oder

Informationen über die Verarbeitung Ihrer personenbezogenen Daten finden Sie in unserem Datenschutzhinweis.

oder (besonders elegant)

Datenschutz (im Fuß der Website)

● Ich akzeptiere die Allgemeinen Geschäftsbedingungen.

oder

● Ich habe die Allgemeinen Geschäftsbedingungen gelesen und bin mit ihrer Geltung einverstanden.

Bitte beachten Sie unsere Allgemeinen Geschäftsbedingungen.

oder

Es gelten unsere Allgemeinen Geschäftsbedingungen.

oder (für Onlineshops)

Mit Ihrer Bestellung akzeptieren Sie unsere Allgemeinen Geschäftsbedingungen.

oder (für Online-Plattformen oder Veranstaltungen)

Mit meiner Anmeldung akzeptiere ich die Allgemeinen Geschäftsbedingungen.

oder (besonders elegant!)

Allgemeine Geschäftsbedingungen

Alle unter „richtig“ aufgeführten Beispiele sind gleichermaßen valide und rechtswirksam, die konkrete Gestaltung auf Ihrer Website ist also eine reine Geschmacksfrage. Die Begriffe „Datenschutzerklärung“ und „Datenschutzhinweis“ sind austauschbar; statt „Allgemeine Geschäftsbedingungen“ kann man ebenso „Nutzungsbedingungen“ sagen – die Bezeichnung ist rechtlich vollkommen egal, solange sie für die Nutzer verständlich ist. Wichtig ist dabei natürlich immer, dass die AGB und der Datenschutzhinweis ordnungsgemäß verlinkt sind.

Für die AGB und für den Datenschutzhinweis ist ein Ankreuzfeld also schlicht nie erforderlich. Es gibt aber eine Konstellation, in der doch eines benötigt wird, nämlich wenn eine Einwilligung für eine Newsletter-Anmeldung abgefragt werden soll – von dieser Anforderung gibt es aber im eCommerce auch eine Ausnahme für Marketing-E-Mails an Bestandskunden. Ein anderes Thema ist außerdem die „Cookie-Einwilligung“ für das Website-Tracking, die man über entsprechend beschriftete Schaltflächen (also auch nicht über Ankreuzfelder) in einer Consent Management Platform (umgangssprachlich „Cookie-Banner“) einholt.

Hunderttausende Nutzer verschwenden wegen eines juristischen Irrglaubens tagtäglich Zeit mit dem Anklicken unnötiger Checkboxen. Dabei könnten sie durch einen einfachen und gleichermaßen rechtssicheren Hinweistext ersetzt werden. Denn Ankreuzfelder für AGB und Datenschutzhinweise sind ein Stück rechtlicher Aberglauben: unwirksam, aber trotzdem immer noch weitverbreitet. Es ist zu hoffen, dass es sich mit der Zeit herumspricht, dass man sie ganz einfach weglassen kann.

Dr. Lukas Mezger ist Rechtsanwalt für IT- und Medienrecht und Partner in der Kanzlei Unverzagt Rechtsanwälte sowie Senior Legal Advisor bei der Datenschutz-Beratung ePrivacy in Hamburg. Er veröffentlicht regelmäßig Fachbeiträge zu aktuellen rechtlichen Fragen mit Bezug zur Online-Wirtschaft.


(vza)



Source link

Weiterlesen

Beliebt