Datenschutz & Sicherheit
Bald greifen die neuen EU-Regeln für politische Online-Werbung
Ab dem 10. Oktober gelten in der Europäischen Union neue Regeln für politische Werbeanzeigen im Internet. Mit der 2023 beschlossenen Verordnung über die Transparenz und das Targeting politischer Werbung will die EU demokratische Wahlen und die politische Öffentlichkeit vor Manipulation schützen. Ausschlaggend waren der Cambridge-Analytica-Skandal und wiederholte Berichte über verdeckte Einflusskampagnen auf Social-Media-Plattformen.
Unter anderem müssen Werbetreibende und Werbeplattformen künftig mehr Transparenz über die Finanzierung und das Targeting von zielgerichteter politischer Werbung schaffen. Als solche versteht die EU Anzeigen von Parteien, Politiker:innen und anderen politischen Akteur:innen, die auf Wahlen, Volksabstimmungen und Regulierungsprozesse abzielen. Für sie wird in den kommenden Jahren bei der EU-Kommission eine Transparenzdatenbank aufgebaut werden, in der entsprechende Werbeanzeigen dokumentiert und durchsuchbar gemacht werden.
Um ausländische Einflussnahmen zu verhindern, sollen einschlägige Anzeigen nur noch von innerhalb der EU geschaltet werden dürfen. Ganz verboten wird das Targeting mit sensiblen Daten wie solchen zur sexuellen Orientierung, zum Gesundheitszustand oder zu politischen und religiösen Überzeugungen.
Neue Befugnisse für BfDI und DSC
Nun hat das Bundesministerium für Digitales und Staatsmodernisierung einen Gesetzentwurf vorgelegt, der das deutsche Recht an die Vorgaben der EU anpassen soll. Der Entwurf befindet gerade in der sogenannten Verbändeanhörung, bei der wirtschaftlichen, akademischen und zivilgesellschaftlichen Organisationen die Möglichkeit zur Stellungnahme gegeben wird. Wir veröffentlichen den Entwurf an dieser Stelle im Volltext [PDF], damit sich die gesamte Öffentlichkeit ein Bild davon machen kann.
Größere Überraschungen scheint der Entwurf nach unserer ersten Analyse nicht zu enthalten. Dem deutschen Gesetzgeber bleibt auch nicht viel Spielraum für eigene Schwerpunkte, denn die EU-Verordnung ist in den Mitgliedstaaten unmittelbar wirksam. Das deutsche Gesetz soll vor allem klarstellen, wer die neuen Regeln mit welchen Mitteln durchsetzen darf.
Die relevanten Aufsichtsbehörden sind die Bundesbeauftragte für Datenschutz und Informationsfreiheit (BFDI) sowie der Digital Services Coordinator (DSC), der auch für die Durchsetzung des Digital Services Act zuständig ist und in Deutschland bei der Bundesnetzagentur angesiedelt ist. Beide erhalten mit dem neuen Gesetz beispielsweise Durchsuchungs- und Beschlagnahmungsbefugnisse, um mögliche Verstöße gegen die Werbeverordnung aufzuklären.
Solche Verstöße gelten dem Gesetz zufolge als Ordnungswidrigkeiten. Die Aufsichtsbehörden erhalten die Möglichkeit, diese durch Anordnungen oder die Verhängung von Zwangsgeldern abzustellen. Diese Strafzahlungen sollen in der Regel recht milde ausfallen und je nach Verstoß nur bis zu dreißigtausend oder dreihunderttausend Euro betragen. Lediglich für juristische Personen mit einem Jahresumsatz von mehr als fünf Millionen Euro können die Strafen deutlich höher ausfallen, nämlich bis zu sechs Prozent des Umsatzes.
Dass das Gesetz noch rechtzeitig vor dem Wirksamwerden der EU-Verordnung am 10. Oktober in Kraft tritt, ist unwahrscheinlich. Es sollte ursprünglich noch von der Ampel-Koalition auf den Weg gebracht werden, fiel jedoch dem vorzeitigen Ende des Regierungsbündnisses zum Opfer. Die Verbändeanhörung dauert noch bis 29. August, der Bundestag kommt am 8. September erstmalig nach der Sommerpause wieder zusammen.
Google und Meta wollen politische Werbung abschaffen
Unterdessen bereiten sich auch die großen Tech- und Werbekonzerne aus den USA auf die neuen Regeln vor – auf ihre ganz spezielle Art. Nach Google hat nämlich inzwischen auch Meta angekündigt, ab Oktober keine politische Werbung mehr zu erlauben, weil dem Konzern die Verordnung nicht gefällt.
„Dies ist eine schwierige Entscheidung, die wir als Reaktion auf die bevorstehende EU-Verordnung über Transparenz und Targeting bei politischer Werbung (TTPA) getroffen haben“, teilte Meta vor wenigen Tagen in einem englischsprachigen Blogpost. Die Verordnung bringe „erhebliche operative Herausforderungen und rechtliche Unsicherheiten“ mit sich und sei „eine weitere Bedrohung für die Grundlagen personalisierter Werbung“, so Meta weiter. Sie ignoriere die Vorteile, die Targeting für Werbetreibende und für die Menschen bringen würden, die sie erreichen wollen.
Es ist nicht das erst Mal, dass Google und Meta damit drohen, aus Protest gegen die demokratische Regulierung ihrer Geschäftstätigkeiten bestimmte Funktionen einzustellen. So drehte Google etwa vor Jahren seinen Dienst Google News in Spanien ab, weil es keine Lizenzgebühren an dort ansässige Presseverlage zahlen wollte. Meta wiederum unterband in Australien und Kanada zeitweilig die Verlinkung von journalistischen Medien auf Facebook.
Falls Google und Meta die Ankündigung nicht nur als politisches Druckmitten nutzen, sondern tatsächlich umsetzen, wären sie allerdings nicht die ersten großen Plattformen ohne politische Werbung. So verbietet TikTok bereits seit Jahren politische Anzeigen und verwehrt insbesondere Politiker:innen und Parteien den Zugang zur Werbefunktion – auch wenn die Durchsetzung der Regeln nicht immer gelingt.
Die Plattform X wiederum hatte in Vergangenheit mehrere Jahre lang keine politischen Werbeanzeigen zugelassen, damals noch unter dem Namen Twitter. Nach der Übernahme des Unternehmens durch Elon Musk erlaubt dieser politische Anzeigen jedoch wieder. Sehr zur Freude konservativer US-Republikaner, die es sich auf der rechtsradikalen Plattform heimelig eingerichtet haben.
Datenschutz & Sicherheit
Jugendschutz: Brandenburg will Belästigung im Netz im Unterricht thematisieren
Durch eine Thematisierung im Schulunterricht sollen Kinder in Brandenburg künftig besser vor den Gefahren von Cybergrooming und anderen Formen der Online-Kriminalität geschützt werden. Die Koalitionsfraktionen von SPD und Bündnis Sahra Wagenknecht (BSW) fordern mit einem Landtagsantrag, dass Schüler besser auf die Gefahren vorbereitet werden. Die Themen sollten im Schulunterricht verankert werden. Dazu soll es bis Ende 2026 ein Konzert geben, kündigte die Bildungsexpertin der SPD-Landtagsfraktion, Katja Poschmann, im Landtag in Potsdam an. Auch die Lehrkräfte sollen mithilfe von Fortbildungen geschult werden.
Jedes vierte Kind in Deutschland hat laut einer repräsentativen Befragung schon sexuell motivierte Annäherungsversuche Erwachsener im Internet erlebt. „Diese Zahlen müssen uns alarmieren“, sagte Landtagsabgeordnete Poschmann. In Deutschland ist Cybergrooming als eine Form des sexuellen Missbrauchs von Kindern verboten. Experten warnen auch vor Sextortion (sexuelle Erpressung) und „Taschengeld-Dating über sogenannte Sugardaddy-Plattformen“ – Plattformen, über die für Geld oder Geschenke Treffen mit Minderjährigen angebahnt werden.
(kbe)
Datenschutz & Sicherheit
Neuer NPM-Großangriff: Selbst-vermehrende Malware infiziert Dutzende Pakete
Verschiedene IT-Sicherheitsunternehmen warnen vor neuen Angriffen auf das npm-Ökosystem rund um node.js. Mehrere Dutzend Pakete (mindestens 40, in einem Bericht gar an die 150) sind mit einer Malware infiziert, die geheime Daten stiehlt und über einen Webhook ausleitet. Zudem repliziert sich die Schadsoftware selbsttätig – und ist somit ein Wurm.
npm, der Node Package Manager, kommt nicht zur Ruhe. Nachdem erst kürzlich unbekannte Angreifer die Zugangsdaten eines prominenten Entwicklers abgephisht und manipulierte Pakete eingeschleust hatten, hat die Verteilstation für node.js-Bibliotheken nun mit einem ausgewachsenen Wurm zu kämpfen.
Wie StepSecurity und Socket übereinstimmend berichten, befindet sich unter den kompromittierten Paketen auch @ctrl/tinycolor
, das etwa zwei Millionen Mal pro Woche heruntergeladen wird. Auch etwa ein Dutzend weitere Pakete des Entwicklers @ctrl
sind betroffen, einige der Nativescript-Community und wie Aikido auflistet, sogar solche des Security-Unternehmens Crowdstrike.
Der Schadcode nutzt „TruffleHog“, um interessante Daten zu erschnüffeln, etwa API-Credentials und Zugangsdaten für GitHub sowie die Clouds von Google und Amazon. Er erstellt dann GitHub-Repositories und -Workflows und exfiltriert seine Beute über einen Webhook auf der Domain webhook.site
. Und er hat offenbar die Fähigkeit, sich selbst zu replizieren, indem er weitere Pakete infiziert und trojanisierte Paketversionen hochlädt.
Unklar ist noch, wo der Angriff begann – einen klaren „Patient Null“ nennen die drei analysierenden Unternehmen nicht. Auch sind die Urheber der Attacke nicht bekannt, möglicherweise sind es dieselben wie beim letzten Angriff.
Gottgleicher npm-Wurm?
Kurios: Die Angreifer sind offenbar Science-Fiction-Fans. Die Wurmkomponente ihrer Malware legt ein GitHub-Repository namens „Shai-Hulud“ sowie entsprechende Workflows an. „Shai-Hulud“, ursprünglich Arabisch für „Ding der Unsterblichkeit“, ist der Name der monumentalen Sandwürmer in Frank Herberts Epos „Dune“. Die Einwohner des Wüstenplaneten verehren die Sandwürmer als gottgleich.
Die Sandwürmer in „Dune“
(Bild: Warner Bros. Pictures)
JavaScript-Entwickler und insbesondere die Verwalter von auf npm gehosteten Paketen sollten größte Vorsicht walten lassen und die umfangreiche Liste infizierter Pakete konsultieren. Wer in eigenen Projekten infizierte Versionen vorfindet, sollte diese unmittelbar löschen, alle Zugangskennungen ändern, Tokens invalidieren und in eigenen GitHub-Repositories aufräumen. In StepSecuritys Blogeintrag finden sich detaillierte Handreichungen.
(cku)
Datenschutz & Sicherheit
Patchstatus unklar: Angreifer attackieren Fertigungsmanagementtool DELMIA Apriso
Durch eine „kritische“ Sicherheitslücke in DELMIA Apriso kann Schadcode schlüpfen und Computer schädigen.
DELMIA Apriso ist eine Manufacturing-Operations-Management-Software (MOM) und ein Manufacturing Execution System (MES), das auch hierzulande unter anderem im Automobilbereich genutzt wird. Darüber werden etwa globale Produktionsabläufe gesteuert. Es ist davon auszugehen, dass eine erfolgreiche Attacke für Firmen weitreichende Folgen haben kann.
Hintergründe
Der Anbieter der Software, Dassault Systèmes, erwähnte die Sicherheitslücke (CVE-2025-5086 „kritisch„) bereits im Juni dieses Jahres in einer äußerst knapp formulierten Warnmeldung. Daraus geht hervor, dass entfernte Angreifer Schadcode in diversen Releases aus den Jahren 2020 bis einschließlich 2025 ausführen können. Aufgrund der kritischen Einstufung ist davon auszugehen, dass Angreifer nicht authentifiziert sein müssen, um Attacken einzuleiten
Anfang September warnte nun ein Sicherheitsforscher des SANS-Institut Internet Strom Center in einem Beitrag vor Exploitversuchen. Ihm zufolge versenden Angreifer SOAP-Requests mit Schadcode an verwundbare Instanzen. Was Angreifer konkret nach erfolgreichen Attacken anstellen, ist zurzeit unklar.
Mittlerweile warnt auch die US-Sicherheitsbehörde CISA vor Angriffen. In welchem Umfang die Attacken ablaufen, ist derzeit nicht bekannt. Unklar bleibt auch, ob es einen Sicherheitspatch gibt. Das geht weder aus der offiziellen Warnmeldung, noch aus den Warnungen des Sicherheitsforschers und der CISA hervor. heise security steht in Kontakt mit dem Softwareanbieter und wartet derzeit auf ein Feedback zum Sicherheitspatch. Wir aktualisieren die Meldung, wenn uns konkrete Informationen vorliegen.
(des)
-
UX/UI & Webdesignvor 4 Wochen
Der ultimative Guide für eine unvergessliche Customer Experience
-
UX/UI & Webdesignvor 2 Wochen
Adobe Firefly Boards › PAGE online
-
Social Mediavor 4 Wochen
Relatable, relevant, viral? Wer heute auf Social Media zum Vorbild wird – und warum das für Marken (k)eine gute Nachricht ist
-
Entwicklung & Codevor 4 Wochen
Posit stellt Positron vor: Neue IDE für Data Science mit Python und R
-
Entwicklung & Codevor 2 Wochen
EventSourcingDB 1.1 bietet flexiblere Konsistenzsteuerung und signierte Events
-
Digital Business & Startupsvor 3 Monaten
10.000 Euro Tickets? Kann man machen – aber nur mit diesem Trick
-
Digital Business & Startupsvor 3 Monaten
80 % günstiger dank KI – Startup vereinfacht Klinikstudien: Pitchdeck hier
-
Apps & Mobile Entwicklungvor 3 Monaten
Patentstreit: Western Digital muss 1 US-Dollar Schadenersatz zahlen