Datenschutz & Sicherheit
Schwere Sharepoint-Lücke: Schon am Wochenende 100 Organisationen kompromittiert
Noch bevor Microsoft die ersten Patches für die schwere Sicherheitslücke „ToolShell“ in selbst gehosteten Versionen von Sharepoint veröffentlicht hat, sind die Installationen von etwa 100 Organisationen kompromittiert worden. Das berichtet die Nachrichtenagentur Reuters unter Berufung auf das Sicherheitsunternehmen Eye Security, das die Lücke publik gemacht hat und die Angriffe darauf analysiert. Derweil ergänzt die Washington Post unter Berufung auf Googles Sicherheitsabteilung Mandiant, dass mindestens einer der Akteure, die für die erste Angriffswelle verantwortlich waren, nach China zurückverfolgt worden sei. Die meisten kompromittierten Installationen haben sich einer dieser ersten Analysen zufolge in den USA und Deutschland befunden.
Das Vorhandensein der kritischen Sicherheitslücke in den on-premise-Versionen von Sharepoint wurde am Wochenende von Microsoft publik gemacht. Schon da erklärte der US-Konzern, dass man von Angriffen auf die verwundbaren Server wisse, einen Patch gab es anfangs aber nicht. Microsoft erklärte lediglich, dass man sich mit „Microsoft Defender Antivirus“ schützen solle. Später waren für zwei Sharepoint-Versionen die ersten Updates verfügbar gemacht worden, deren Installation alleine reicht aber nicht für eine Absicherung. Microsoft weist ausdrücklich darauf hin, dass nach dem Update in jedem Fall die ASP.Net „Machine Keys“ rotiert werden müssen, was mit einem IIS-Neustart einhergeht.
Während Microsoft, die Verantwortlichen der Sharepoint-Installationen und die IT-Sicherheitsbranche weiter mit der Absicherung beschäftigt sind, läuft die Suche nach denjenigen, die sich die Lücke zunutze gemacht haben. TechCrunch zitiert einen IT-Sicherheitsexperten, der beobachtet hat, dass sich die ersten Angriffe gegen eine vergleichsweise kleine Zahl von Zielen gerichtet haben. Nach dem Bekanntwerden der Lücke dürften sich längst viel mehr an den Angriffsversuchen beteiligen. Mehrfach war die Rede von etwa 9000 bis 10.000 verwundbaren Sharepoint-Instanzen vor der Verfügbarkeit der Patches. Zu den ersten Opfern gehörte ein großes Energieunternehmen und mehrere Regierungseinrichtungen in Europa, zitiert die Washington Post noch Erkenntnisse von Eye Security.
(mho)
Datenschutz & Sicherheit
Bundesregierung darf bei Zuckerberg bleiben
Das Presse- und Informationsamt der Bundesregierung darf seine „Facebook-Fanpage“ weiterbetreiben. Dies hat das Verwaltungsgericht Köln aufgrund der mündlichen Verhandlung vom 17. Juli 2025 entschieden und damit den gegen die Bundesbeauftragte für den Datenschutz und die Informationssicherheit (BfDI) gerichteten Klagen des Bundes und vom Konzern Meta stattgegeben.
Der ehemalige Bundesdatenschutzbeauftragte Ulrich Kelber hatte im Juni 2023 dem Bundespresseamt untersagt, eine Facebook-Fanpage für die Bundesregierung zu betreiben. Dagegen haben sich sich sowohl das Amt wie auch der Meta-Konzern gewehrt – und geklagt. Der Fall wurde vor dem Verwaltungsgericht Köln verhandelt.
Das Gericht hat nun entschieden, dass nicht das Bundespresseamt, sondern allein Meta zur Einholung einer Einwilligung der Endnutzenden für die Platzierung von Cookies verpflichtet sei. „Es besteht kein ausreichender Ursachen- und Wirkungszusammenhang zwischen dem Betrieb der Fanpage durch das Bundespresseamt und dem mit der Speicherung und dem Auslesen der Cookies verbundenen Fernzugriff auf die Endgeräte der Nutzer“, so das Gericht. Die Cookies könnten zwar bei Gelegenheit des Besuches einer Fanpage, ebenso jedoch bei dem Besuch einer jeden anderen „Facebook-Seite“ platziert werden.
Auch nach der Datenschutzgrundverordnung (DSGVO) seien Meta und das Bundespresseamt nicht gemeinsam für die beanstandeten Datenverarbeitungen verantwortlich, heißt es weiter. Der Beitrag des Bundespresseamtes zur Speicherung und zum Auslesen der Cookies erschöpfe sich in dem Betrieb der Fanpage. Insbesondere könne das Bundespresseamt keine Parameter für die Platzierung der Cookies und die Auswertung der erhobenen Daten vorgeben. Die bloße Ermöglichung einer Datenverarbeitung begründet nach Auffassung der Kammer indessen nicht die notwendige gemeinsame Festlegung der Mittel der Datenverarbeitung.
Datenschutzbeauftragte hatten Deaktivierung gefordert
Fanpages sind Webseiten auf dem sozialen Netzwerk Facebook, die technisch vom Meta-Konzern betrieben werden – mit all den Datenschutz-Nachteilen, die das auf einer Plattform wie Facebook so mit sich bringt.
Der Bundesdatenschutzbeauftragte ging davon aus, dass ein datenschutzkonformer Betrieb von Facebook-Fanpages nicht möglich ist. Das sahen auch die unabhängigen Datenschutzbehörden der Länder so und haben schon 2022 einen Kurzgutachten (PDF) verfasst, in dem sie die Deaktivierung von offiziellen Behördenseiten fordern, wenn diese einen datenschutzkonformen Betrieb nicht nachweisen können. Behörden hätten eine Vorbildfunktion und müssten sich an den Datenschutz halten, so der Tenor.
Der ehemalige Datenschutzbeauftragte Kelber ging wie schon der Europäische Gerichtshof davor davon aus, dass nicht nur Facebook, sondern auch die Bundesregierung für die Verarbeitung der Daten verantwortlich sei. Das liege daran, dass Facebook den Betreibern von Fanpages Statistiken, so genannte Insights, zur Verfügung stellt.
Diese Funktion stellte jedoch das Bundespresseamt ab. Kelber ließ das nicht gelten und sah weiterhin eine Verantwortung der Bundesregierung. Seine Nachfolgerin Louisa Specht-Riemenschneider hatte im Spiegel-Interview aber angedeutet, dass das Ausschalten der Statistik ausreichen könnte.
Das Verwaltungsgericht hat die Berufung zugelassen, über die das Oberverwaltungsgericht für das Land Nordrhein-Westfalen mit Sitz in Münster entscheiden würde, wenn die Beteiligten dieses Rechtsmittel einlegen.
Politisch verbiete sich die Fanpage
Kelber sieht die Nutzung der Fanpages des US-Konzerns weiterhin kritisch. Er bezweifelt, dass dort nur die Daten eingesammelt werden, „die für den Service notwendig sind“. Es ginge auch nicht nur um die Frage der geteilten Verantwortung.
Es müsse nämlich auch zwischen datenschutzrechtlicher und politischer Bewertung unterschieden werden, so Kelber. Er fragt etwas provokant: „Kein Koalitionspolitiker gibt z.B. der Jungen Freiheit ein Interview. Aber auf X und Meta präsent sein, das soll ok sein?“
Er schreibt, dass schon die Tatsache, „dass Meta Daten über Bürger:innen sammelt, die mit der Regierung kommunizieren“, kritisch sei. Politisch verbiete dies den Betrieb der Fanpage. „Und keine Bundesregierung hat bisher wirklich Druck ausgeübt, dass dies unterbleibt“, so Kelber. Das sei unverständlich.
Update 17:18 Uhr:
In einer Pressemitteilung schreibt die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider: „Ich werde mir die Urteilsbegründung sehr gründlich ansehen und entscheiden, ob ich die Sache der nächsthöheren Instanz, dem Oberverwaltungsgericht Münster, zur Entscheidung vorlege.“
Datenschutz & Sicherheit
Senat prescht vor: Hamburg will Bezahlkarten ausweiten
Hamburg plant, das Modell von Bezahlkarten auszuweiten. Wie aus einer Antwort des Senats auf eine parlamentarische Frage der Linken-Abgeordneten Carola Ensslen hervorgeht, bereitet die Finanzbehörde der Stadt „ein Vorprojekt in Hamburg vor, in dem die Prozesse in den bezirklichen Dienststellen mit Barauszahlungen an den Zahlstellen aufgenommen werden sollen“.
Eingeführt hatte Hamburg zunächst Bezahlkarten für Geflüchtete Anfang des Vorjahres. Dabei handelt es sich um eigens geschaffene Zahlungskarten, üblicherweise geknüpft an restriktive Bedingungen, etwa Limits für Bargeldabhebungen. Inzwischen gibt es seit dem Asylbewerberleistungsgesetz eine bundesweite Regelung, Bundesländer haben jedoch weitreichenden Gestaltungsspielraum.
In Hamburg ist etwa der maximale Abhebebetrag auf 50 Euro im Monat beschränkt, zudem sind Online-Käufe mit der dortigen Bezahlkarte nicht möglich. Das Modell ist umstritten, weil es diskriminiert und den „Charakter einer Schikanemaßnahme“ hat, wie die Grundrechteorganisation Gesellschaft für Freiheitsrechte (GFF) ausführt.
Bezahlkarte als „Verwaltungsmodernisierung“
Ob und mit welchen Einschränkungen eine ausgeweitete Bezahlkarte verknüpft wäre, steht noch nicht fest. Allerdings prüfe die Stadt Hamburg seit 2023, wie „die Bargeldausgabe durch die Stadt an Leistungsempfängerinnen und Leistungsempfänger aber auch für andere Prozesse durch den Einsatz moderner Zahlungsmittel reduziert werden kann“, teilt die hamburgische Behörde für Finanzen auf Anfrage mit. Generell gehe es um „Bürokratieabbau und Verwaltungsmodernisierung“, indem Menschen nicht mehr in die Zahlstellen kommen müssten, um ihr Geld zu erhalten, so ein Sprecher der Behörde.
Tatsächlich hat der Prozess bereits begonnen. „Auch wenn aktuell die Nutzung dieser Karten für Asylbewerbende im Fokus steht, wurden erste Sozialarbeiterinnen und Sozialarbeiter bereits mit Karten ausgestattet, um darüber zum Beispiel Taschengeld an Jugendliche in betreuten Einrichtungen auszahlen zu können“, so der Sprecher weiter. In den nächsten Monaten werde die Behörde nun „weitere geeignete Prozesse und Leistungen gemeinsam mit den Bezirken und der Sozialbehörde aufnehmen und die Kartennutzung sukzessive ausrollen“.
Davor warnt Carola Ensslen, die die Anfrage gestellt hatte. „Es war absehbar, dass die repressive Bezahlkarte auch auf andere Leistungsempfänger*innen ausgedehnt würde“, schreibt die Abgeordnete in einer Pressemitteilung. Bei der Ausdehnung auf die Altersgrundsicherung und Sozialhilfe werde es nicht bleiben, vermutet sie. „Was harmlos mit der Abschaffung von Bargeldauszahlungen beginnt, schafft die Möglichkeit für Einschränkungen der Geldnutzung wie bei Geflüchteten“, sagt Ensslen.
„Möglichkeit für Einschränkungen der Geldnutzung“
Dabei sei bisher völlig unklar, was mit einer kostspieligen Bezahlkarte in der Sozialhilfe bezweckt werden soll, sagt Lena Frerichs von der GFF. Schließlich würden vor allem Menschen Sozialhilfeleistungen beziehen, die nicht erwerbsfähig sind oder schon das Rentenalter erreicht hätten. „An der fehlenden Erwerbsfähigkeit oder gar dem Alter wird eine Bezahlkarte nichts ändern“, sagt Frerichs. Die kostengünstigste, digitale Lösung mit geringem Verwaltungsaufwand sei es, die Geldbeträge – wie bisher auch – auf das normale Konto dieser Personen zu überweisen, damit sie ein selbstbestimmtes Leben führen können, sagt die Juristin.
Skandalös sei es, so Frerichs, wenn Sozialhilfeberechtigte durch solche Forderungen in ein schlechtes Licht gerückt werden. Es entstehe der Eindruck, als wären sie nicht in der Lage, selbstbestimmt mit Geld umzugehen oder hätten andere Optionen, ihren Lebensunterhalt zu decken. „Das ist diffamierend und gerade im Sozialhilferecht völlig fehl am Platz“, sagt Frerichs.
Außerdem bleibe ebenfalls offen, welche Beschränkungen eine Bezahlkarte im Sozialhilferecht haben soll. Aus rechtlichen Gründen kämen allenfalls Bezahlkarten ohne Bargeldbeschränkung in Betracht. „Das ist allerdings völlig sinnlos, denn diese kostet die Kommunen viel Geld, das gespart werden könnte, wenn die Sozialleistung einfach auf normale Konten überwiesen werden würde“, sagt Frerichs.
Datenschutz & Sicherheit
Stadt Kenzingen zieht Rechnung für Demonstration zurück
Die südbadische Stadt Kenzingen zieht die Rechnung zurück, die sie einem Demo-Anmelder Ende Juni gestellt hatte. Der Familienvater hatte Anfang Juni eine Demonstration gegen höhere Kinderbetreuungsgebühren angemeldet, die Stadt hatte ihm danach die Kosten für die Verkehrsregelung in Rechnung gestellt. Der Fall, bei dem der Anmelder 374 Euro hätte zahlen sollen, hatte bundesweit Wellen geschlagen, weil Gebühren für Demonstrationen die Versammlungsfreiheit einschränken und eine einschüchternde Wirkung haben können.
Nun hat Dirk Schwier, der Bürgermeister der 11.000-Einwohner-Stadt, nach einer juristischen Prüfung seine Meinung geändert. „Nach der rechtlichen Einschätzung des Landratsamtes ist die Erhebung einer Gebühr für die Durchführung der Versammlung am 5. Juni nicht mit dem Grundrecht auf Versammlungsfreiheit vereinbar“, sagt er gegenüber netzpolitik.org. Die von der Stadt geltend gemachte Grundlage greife nicht, da es an einem dem Anmelder individuell zurechenbaren Gefahrentatbestand fehle, der die Erhebung einer Gebühr rechtfertigen würde.
„Wir werden die bestehende Rechnung stornieren“, sagt Schwier. Weil die Rechnung nicht zulässig sei, fielen die Kosten an die Allgemeinheit. Durch die jetzt erfolgte rechtliche Prüfung sei zudem klar, wie zukünftig mit den Kosten umgegangen werde, die bei Demonstrationen anfallen können.
Fall politisch noch nicht erledigt
„Mit der Rücknahme der Rechnung ist mein Fall juristisch erledigt, politisch jedoch nicht“, sagt der Anmelder der Demonstration, Alexander Feldberger, gegenüber netzpolitik.org. Der Fall habe eine strukturelle Schwäche im baden-württembergischen Recht offengelegt: Anders als in Berlin oder Bayern fehle hier eine klare gesetzliche Regelung, dass Demonstrationen nach Artikel 8 GG grundsätzlich kostenfrei sein müssen.
„Das führt zu großer Unsicherheit. Wer demonstriert, muss bei uns im Ländle jederzeit mit einem Gebührenbescheid rechnen. Das hat eine abschreckende Wirkung und schränkt die Versammlungsfreiheit faktisch ein“, so Feldberger weiter. Immerhin habe der Fall etwas angestoßen: Die Oppositionsparteien FDP und SPD hätten das Thema inzwischen aufgegriffen, im Landtag könnte nun über eine gesetzliche Klarstellung diskutiert werden. „So gesehen hat die unrechtmäßige Rechnung am Ende doch noch für dringend nötige Aufklärung gesorgt.“
„Originäre Polizeiaufgabe“
Die Durchführung von Demonstrationen ist im Regelfall kostenlos – und das aus gutem Grund. Der Rechtsanwalt David Werdermann von der Gesellschaft für Freiheitsrechte (GFF) hält es bereits für zweifelhaft, ob das baden-württembergische Gebührenrecht eine Grundlage für Kostenbescheide an Versammlungsleiter:innen enthält. Aus seiner Sicht könnten Versammlungsleiter:innen nur in Anspruch genommen werden, wenn sie selbst für eine Gefahr verantwortlich sind, die durch eine polizeiliche Maßnahme abgewehrt wird.
„Das ist hier erkennbar nicht der Fall“, sagt Werdermann gegenüber netzpolitik.org. „Der Aufbau der Absperrungen sollte offenbar den reibungslosen Ablauf der Versammlung gewährleisten. Das ist eine originäre Polizeiaufgabe“, so der Jurist weiter.
„Einschränkende und einschüchternde Wirkung“
Bisher sei die Pflicht für Nichtverantwortliche, entstehende Kosten zu tragen, nur ausnahmsweise bei kommerziellen Großveranstaltungen anerkannt, insbesondere bei Fußballspielen. Hier dürfen die Veranstalter auf Grundlage einer speziellen gesetzlichen Grundlage auch für Polizeikosten herangezogen werden, wenn sie selbst nicht für die Gefahren verantwortlich sind, erklärt Werdermann. Das habe das Bundesverfassungsgericht Anfang des Jahres entschieden – das sei aber nach wie vor sehr umstritten.
„Auf Versammlungen ist das nicht übertragbar. Im Gegenteil: Das Bundesverfassungsgericht betont an mehreren Stellen, dass sich aus speziellen Freiheitsrechten strengere Anforderungen ergeben“, so Werdermann weiter. Das Bundesverfassungsgericht verweist zudem auf eine Entscheidung von 2007. Darin heißt es: „Eine grundsätzliche Gebührenpflicht für Amtshandlungen aus Anlass von Versammlungen würde dem Charakter des Art. 8 Abs. 1 GG als Freiheitsrecht widersprechen“.
Auch der Staats- und Verwaltungsrechtsprofessor Clemens Arzt hält die Gebührenerhebung mindestens für umstritten. Zwar habe der Verwaltungsgerichtshof Mannheim 2009 eine Gebührenerhebung für zulässig erklärt, dem stünden jedoch andere Urteile entgegen, so Arzt gegenüber netzpolitik.org. „Ein Rückgriff auf das Landesgebührenrecht, in dem Artikel 8 des Grundgesetzes nicht zitiert wird, ist mit Blick auf die faktischen Auswirkungen einer Gebühr und deren einschränkender und einschüchternder Wirkung mit Blick auf die Versammlungsfreiheit aus Sicht des Verwaltungsgericht Karlsruhe nicht zulässig.“
-
Datenschutz & Sicherheitvor 1 Monat
Geschichten aus dem DSC-Beirat: Einreisebeschränkungen und Zugriffsschranken
-
Online Marketing & SEOvor 1 Monat
TikTok trackt CO₂ von Ads – und Mitarbeitende intern mit Ratings
-
Apps & Mobile Entwicklungvor 1 Monat
Metal Gear Solid Δ: Snake Eater: Ein Multiplayer-Modus für Fans von Versteckenspielen
-
Digital Business & Startupsvor 4 Wochen
80 % günstiger dank KI – Startup vereinfacht Klinikstudien: Pitchdeck hier
-
UX/UI & Webdesignvor 1 Monat
Philip Bürli › PAGE online
-
Apps & Mobile Entwicklungvor 4 Wochen
Patentstreit: Western Digital muss 1 US-Dollar Schadenersatz zahlen
-
Social Mediavor 1 Monat
LinkedIn Feature-Update 2025: Aktuelle Neuigkeiten
-
Social Mediavor 1 Monat
Aktuelle Trends, Studien und Statistiken