Connect with us

Datenschutz & Sicherheit

Patchday: Microsoft schließt 100.000-$-Lücke in SharePoint aus Hacker-Wettbewerb


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Microsoft schließt mehrere Sicherheitslücken in seinem Softwareportfolio. Davon stuft der Hard- und Softwareentwickler mehrere Schwachstellen als „kritisch“ ein. In vielen Fällen kann Schadcode Computer vollständig kompromittieren.

Eine Lücke (CVE-2025-49719 „hoch„) in Microsoft SQL Server ist öffentlich bekannt und es können Angriffe bevorstehen. Daran können der Beschreibung der Schwachstelle zufolge Angreifer ohne Authentifizierung ansetzen, um über ein Netzwerk auf eigentlich abgeschottete Informationen zuzugreifen. Die dagegen geschützten Versionen sind in einem Beitrag aufgelistet.

Mehrere Schadcodelücken, die Angreifer aus der Ferne ausnutzen können sollen, stuft Microsoft als „kritisch“ ein, auch wenn die CVE-Einstufung niedriger ist. Davon sind unter anderem Office (etwa CVE-2025-49695hoch„), SharePoint (CVE-2025-49704hoch„) und Hyper-V (CVE-2025-48822hoch„) betroffen. Die Office-Sicherheitsupdates sind aber Microsoft zufolge bisher nicht komplett verfügbar. Sie sollen aber so schnell wie möglich folgen.

Die genannte SharePoint-Lücke haben Sicherheitsforscher während des Hacker-Wettbewerbs Pwn2Own in Berlin entdeckt. Dafür haben sie eine Prämie von 100.000 US-Dollar kassiert. 

Überdies können Angreifer noch an Softwareschwachstellen in unter anderem BitLocker, Edge und verschiedenen Windows-Komponenten wie dem Kernel ansetzen. An diesen Stellen können sie sich etwa höhere Nutzerrechte aneignen oder Dienste via DoS-Attacke abstürzen lassen.

Mit den aktuellen Updates reparieren die Entwickler einen Firewall-Fehler und die Update-Vorschau, die durch den Patchday im Juni kaputtgegangen sind. Zusätzlich hat Microsoft das im Zuge der April-Updates demolierte Windows-Recovery-Enviroment-Update unter Windows 10 und Server 2022 wieder zum Laufen gebracht.

Außerdem wurde die Kerberos-Authentifizierung gehärtet. Seit 8. Juli 2025 gelten standardmäßig nur noch Zertifikate als vertrauenswürdig, die von Zertifikatsausstellern signiert wurden, die Teil des NTAuth-Speichers sind. Bis 14. Oktober 2025 können Admins das über den Registryeintrag AllowNtAuthBypass noch umgehen. Ab dem zuletzt genannten Datum geht das dann nicht mehr.

Weitergehende Informationen zu allen an diesem Patchday geschlossenen Lücken listet Microsoft im Security Update Guide auf.


(des)



Source link

Weiterlesen
Kommentar schreiben

Leave a Reply

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Datenschutz & Sicherheit

Ameos-Kliniken: Wegen IT-Ausfall keine Röntgen- & Laboruntersuchungen möglich


Der Klinikkonzern Ameos kämpft aktuell mit einem massiven IT-Ausfall, der alle deutschen Standorte betrifft. Eine Sprecherin der Schweizer Konzerngruppe bestätigte auf Anfrage der dpa, dass alle deutschen Einrichtungen von einer Netzwerkstörung betroffen seien. Diese sei bereits Montagabend aufgetreten, auch bei heise online war ein entsprechender Hinweis eingegangen – auf eine Anfrage hatte das Unternehmen nicht reagiert.

Die Technik habe das Problem identifiziert, es sei aber noch nicht klar, wann die Störung behoben werden könne. Details nannte die Unternehmenssprecherin laut dpa nicht. Untersuchungen könnten teilweise nicht vorgenommen werden, die Patientenversorgung insgesamt sei nicht gefährdet.

Die Folgen sind spürbar: In mehreren Bundesländern, darunter Sachsen-Anhalt, können Rettungsdienste Ameos-Kliniken derzeit nur eingeschränkt anfahren. Teilweise könnten unter anderem keine Röntgen- oder Laboruntersuchungen mehr vorgenommen werden, hieß es. Das Unternehmen war hierzu zunächst nicht erreichbar.

Ameos zählt mit mehr als 100 Einrichtungen an über 50 Standorten und rund 18.000 Beschäftigten zu den größten privaten Klinikbetreibern in Deutschland. Jährlich werden nach eigenen Angaben über 500.000 Patientinnen und Patienten behandelt. So betreibt der Konzern etwa Kliniken in Aschersleben, Bernburg, Haldensleben, Halberstadt und Schönebeck, daneben auch mehrere Polikliniken. Mehr als 18.000 Menschen sind bei Ameos beschäftigt.


(mack)



Source link

Weiterlesen

Datenschutz & Sicherheit

Mehr WLAN oder mehr Mobilfunk?


Man kann sie mit bloßem Auge nicht sehen, trotzdem ist ihre Nutzung genau reguliert: elektromagnetische Wellen für kabellose Kommunikation. Das betrifft etwa WLAN, Mobilfunk, Bluetooth, Rundfunk oder Radar. Damit sich die Technologien nicht in die Quere kommen, sind ihnen eigene Frequenzbereiche zugeteilt. Das heißt, sie funken mit verschiedenen Wellenlängen. Jetzt ringen Politik und Wirtschaft darum, wer einen bestimmten Frequenzbereich nutzen darf.

Dabei geht es um das obere 6-GHz-Frequenzband, konkret um den Bereich zwischen 6.425 und 7.125 MHz. Die Bundesregierung hält weiterhin daran fest, dieses Frequenzband gemeinsam durch „WLAN und Mobilfunk sowie durch die bestehenden Dienste“ nutzen zu lassen. Das geht aus einer Antwort des Bundesministeriums für Digitales und Staatsmodernisierung (BMDS) auf eine parlamentarische Frage der Linken-Abgeordneten Donata Vogtschmidt hervor.

Über diesen Bereich haben Fachleute unter anderem auf der Weltfunkkonferenz in Dubai im Jahr 2023 (WRC-23) diskutiert. Diese von der Internationalen Fernmeldeunion (ITU) veranstalteten Treffen koordinieren auf internationaler Ebene die Verteilung der knappen Ressource „Funkspektrum“. Eine abschließende Regelung des betroffenen Bereichs ging daraus indes nicht hervor. Es wurde lediglich festgeschrieben, dass sich das Frequenzband künftig für WLAN und Mobilfunk und, wie bisher, unter anderem für gewisse Satellitenfunkdienste nutzen lassen soll. Diese Position hatte auch die damals amtierende Ampelkoalition vertreten, die in Dubai an den Verhandlungen beteiligt war.

Lobbyschlacht um Frequenzband

Seitdem ist eine Lobbyschlacht rund um den Frequenzbereich ausgebrochen. Auf der einen Seite drängen Hardware-Hersteller darauf, den Bereich vollständig für WLAN freizugeben, etwa AVM oder Broadcom, sowie verhältnismäßig kleine Netzbetreiber und Interessenvertretungen wie das FTTH Council Europe. Die lizenzfreie Funktechnik eigne sich ideal dazu, um etwa billig hochleistungsfähige Anwendungen zu ermöglichen, schrieb ein breites Industriebündnis im Mai an die EU-Digitalkommissarin Henna Virkkunen.

Auf der anderen Seite warnen vor allem große europäische Mobilfunkanbieter wie die Deutsche Telekom, Orange und Vodafone davor, dass eine geteilte Nutzung die Wirtschaftlichkeit des Mobilfunkausbaus gefährden würde und reklamieren ihrerseits den gesamten Bereich für sich. „Ohne uneingeschränkten Zugang zu den gesamten 700 MHz im oberen 6-GHz-Band für die Mobilfunkindustrie würde das Potenzial dieses Bandes für die europäische Gesellschaft verloren gehen“, appellierten sie im Oktober des Vorjahres und zuletzt im Mai an die EU.

Dort wird derzeit um Klärung gerungen. Zuständig ist die Radio Spectrum Policy Group (RSPG), in die auch Deutschland Vertreter:innen entsendet. Auf ein vollständiges Überlassen des Bandes für den Mobilfunk deutet vorerst nichts hin: So könnte dies beispielsweise satellitengestützte Messungen wie jenen der Meerestemperatur stören, schrieb die Arbeitsgruppe in ihrem letzten Bericht aus dem Juni. Entschieden ist jedoch noch nichts; bis Ende August läuft eine Konsultation rund um den begehrten Frequenzbereich.

Ansatz der Regierung berge „sozialen Sprengstoff“

Aus Sicht der Linken-Abgeordneten Vogtschmidt sollte sich die Bundesregierung dafür einsetzen, das obere 6 GHz-Frequenzband für WLAN zu sichern. Selbst eine teilweise Nutzung dieser Frequenzen durch Mobilfunk sei „nicht nur technisch gesehen unsinnig, sondern es birgt sozialen Sprengstoff“, sagt Vogtschmidt gegenüber netzpolitik.org.

So wird der Löwenanteil des Datenverkehrs weiterhin über Festnetzanschlüsse und damit wohl auch zu einem guten Teil über WLAN abgewickelt, wie aus Berichten der Bundesnetzagentur hervorgeht. Solche Anschlüsse sind in aller Regel günstiger und leistungsfähiger als mobile Verbindungen. Doch derart kostengünstiger Datenverkehr für Verbraucher:innen, öffentliche Einrichtungen, für Bildung und Gesundheit sowie „die Wirksamkeit des Gigabit-Ausbaus an sich“ hänge unmittelbar davon ab, dass entsprechende Frequenzbänder für WLAN „großzügig bereitgestellt“ werden, so Vogtschmidt.

Statt den Mobilfunkern unter die Arme zu greifen, sollte die Bundesregierung lieber „zuverlässige Mobilfunkversorgung auch im ländlichen Raum“ priorisieren, auch mit Hilfe von nationalem Roaming. Für eine Flächenversorgung seien die fraglichen Frequenzbereiche ohnehin denkbar ungeeignet, weil die Reichweite und Gebäude-Durchdringung im oberen 6 GHz-Frequenzbereich besonders schlecht sei. „Funklöcher wird man so kaum stopfen können“, sagt Vogtschmidt.

Frage nach Lobby-Treffen unbeantwortet

Warum die Bundesregierung diese Strategie verfolgt, konnte oder wollte sie zumindest kurzfristig nicht beantworten. Eine zeitgleich, also Anfang Juli, ebenfalls an den parlamentarischen Staatssekretär Thomas Jarzombek (CDU) gestellte schriftliche Frage nach Kontakten mit Unternehmen, Verbänden oder anderen Interessenvertretern seit der Weltfunkkonferenz 2023 blieb unbeantwortet – „aufgrund des abgefragten Zeitraums von mehreren Jahren, des breiten Abfragekreises (…) sowie der erbetenen Detailtiefe“.

Tatsächlich hat die Regierung nur wenige Tage Zeit, sogenannte schriftliche Fragen zu beantworten, anders als etwa bei Kleinen oder Großen Anfragen. Deshalb werde Vogtschmidt weitere parlamentarische Anfragen nachlegen, um „Licht ins Dunkel“ zu bringen, kündigt die Abgeordnete an. Schließlich hatte der neu bestellte Digitalminister Karsten Wildberger (CDU) vor seiner Zeit in der Politik unter anderem für die Mobilfunkanbieter T-Mobile und Vodafone gearbeitet.

Warum die Bundesregierung eine so „unplausible Strategie“ rund um das obere 6-GHz-Frequenzband verfolge, wisse Vogtschmidt nicht. Aber sie äußert eine Vermutung: „Die Kontakte Herrn Wildbergers in die Mobilfunkbranche dürften sich als hervorragend bezeichnen lassen.“ Jedenfalls sei die ausgebliebene Antwort „entlarvend“, sagt die Linken-Abgeordnete. „Anstatt Geheimniskrämerei muss Lobbyismus schonungslos transparent gemacht und eine unsoziale Digitalisierung verhindert werden.“



Source link

Weiterlesen

Datenschutz & Sicherheit

Jobs für IT-Security-Experten: Berufsausbildung wird attraktiver


Bei Stellenausschreibungen für IT-Sicherheits-Experten sind die Arbeitgeber laut dem aktuellen Dekra-Arbeitsmarktreport nicht mehr so sehr auf Hochschulabsolventen fixiert. Zwar werde ein Informatik-Studium in rund 61 Prozent der Stellenanzeigen immer noch am häufigsten als Qualifikation genannt. Die IT-Berufsausbildung folge darauf aber mit fast 43 Prozent und in rund 37 Prozent der Fälle komme eine Berufsausbildung auch als Alternative zu einem Studium infrage. Bei der dualen IT-Ausbildung präzisierten Arbeitgeber oft auch nicht, welche Spezialisierung sie wünschen.

2018 sah das laut Dekra noch ganz anders aus – nur ein Viertel der IT-Security-Stellen habe damals Bewerbern ohne Studium offen gestanden. Berufserfahrung falle inzwischen einfach mehr ins Gewicht als formale Abschlüsse, folgert die Prüfgesellschaft. Für die Analyse des Security-Jobmarkts, die Teil eines umfassenderen Arbeitsmarktreports ist, hat die Dekra eigenen Angaben nach 250 Stellenangebote untersucht.

Unabhängig vom Abschluss sind Zertifizierungen und Weiterbildungen für Bewerber im Security-Bereich von Vorteil: In jedem fünften Fall müssten Jobinteressierte IT-Security-Weiterbildungen und Zertifizierungen vorweisen. Die internationalen Zertifizierungen CISSP Certified Information Systems Security Professional (14 Prozent) sowie CISM Certified Information Security Manager (11 Prozent) führten als konkrete Nennungen die Liste an.

Trotz des allgegenwärtigen Hypes spielt KI in den Ausschreibungen für Security-Pros weder bei den Kenntnissen noch bei den Aufgaben eine Rolle. Am häufigsten würden bei den Kenntnissen „Allgemeinwissen“ in der IT und Cybersicherheit verlangt (84 Prozent), ferner in Normen, Gesetze und Standards (63 Prozent) sowie in Netzwerktechnik (59 Prozent). In 44 Prozent der Fälle werde von Jobsuchenden auch erwartet, mit dem Konzept eines Managementsystems für Informationssicherheit vertraut zu sein sowie mit der ISO/IEC-27000-Reihe. In den Stellenangeboten finden sich einige weitere Normen und Standards, wie IT-Grundschutz (BSI), NIST, ITIL, NIS2 und vereinzelt branchenspezifische Standards.

Bei den gefragten Softskills hat die Dekra leichte Verschiebungen festgestellt: 2018 waren Eigenschaften wie Durchsetzungsfähigkeit und sicheres Auftreten noch bei einem Drittel der Anzeigen gewünscht – inzwischen aber noch bei 17 Prozent. Auch die früher bei fast einem Viertel geforderte Reisebereitschaft wird derzeit nur noch bei rund 10 Prozent gefragt – was der veränderten Bürokultur mit Videotelefonaten und Homeoffice geschuldet sein dürfte. Weiterhin gefragt sind Kommunikationsstärke, Teamfähigkeit, analytisches Denken, strukturiertes Arbeiten und inzwischen mit 32 Prozent doppelt so häufig wie 2018: Verantwortungsbewusstsein.

Um die potenziellen Kandidaten von sich zu überzeugen, stellen die Arbeitgeber laut Dekra vor allem Work-Life-Balance und die persönliche Weiterentwicklung in den Vordergrund. Flexible Arbeitszeiten (fast 63 Prozent), Homeoffice (62 Prozent) sowie Gesundheits- und Fitnessangeboten (43 Prozent) sollen bei den begehrten Fachkräften punkten. Mehr als die Hälfte (58 Prozent) verspricht auch, bei Weiterbildung und Entwicklung zu unterstützen. Mit 27 Prozent stellen allerdings bemerkenswert wenige Unternehmen ein „attraktives Gehalt“ in Aussicht, obwohl dies laut verschiedenen Umfragen meist der wichtigste Faktor für Jobinteressenten und Wechselwillige ist. Die IT ist aber ohnehin eins der Berufsfelder, in denen Arbeitgeber selten Gehaltsangaben machen.

Insgesamt sieht die Dekra rosige Zeiten für IT-Sicherheits-Fachleute. „Wer hier sein Handwerk beherrscht, muss sich keine Sorgen um die berufliche Zukunft machen“, schätzt Katrin Haupt, Geschäftsführerin der Dekra-Akademie, die Arbeitsmarktlage ein.


(axk)



Source link

Weiterlesen

Beliebt