Connect with us

Datenschutz & Sicherheit

Modern Solution: Verurteilter IT-Experte reicht Verfassungsbeschwerde ein


Der im Fall Modern Solution wegen strafbarer Computervergehen verurteilte Sicherheitsforscher hat nun Verfassungsbeschwerde eingelegt. Seine Anwälte halten die Verfahrensführung für unfair und sehen die verfassungsmäßigen Rechte ihres Mandanten verletzt. Die Verfassungsbeschwerde ist notwendig, weil der normale Rechtsweg ausgeschöpft ist.

Der selbstständige Programmierer hatte im Auftrag eines Dritten ein Problem mit der Software des Gladbecker Unternehmens Modern Solution GmbH & Co. KG untersucht und dabei eine Sicherheitslücke entdeckt, welche die Daten von knapp 700.000 deutschen Verbrauchern im Internet offengelegt hatte. Betroffen waren Shop-Plattformen unter anderem von Kaufland, Otto und Check24, die die Modern-Solution-Software einsetzten. Das Passwort zu dieser Datenbank war unverschlüsselt in einer ausführbaren Datei des Middleware-Produktes gespeichert und für alle Modern-Solution-Kunden gleich.

Nachdem der Programmierer die Sicherheitslücke an Modern Solution gemeldet hatte, machte er sie kurz darauf in Zusammenarbeit mit dem Betreiber eines branchennahen Blogs öffentlich. Modern Solution zeigte den Sicherheitsforscher daraufhin an, die Polizei durchsuchte seine Wohnung und beschlagnahmte sein Arbeitsgerät.

Oberlandesgericht Köln bestätigt Urteil

Ende Juli 2025 hatte das Oberlandesgericht Köln über die Revision des Angeklagten entschieden und das Urteil des Landgerichts Aachen vom 4. November 2024 bestätigt. Der Programmierer ist somit rechtskräftig zu einer Geldstrafe von 3000 Euro verurteilt und muss die Kosten des Verfahrens tragen.

Das Gericht sah es als erwiesen an, dass sich der Mann strafbar gemacht hatte, als er ein Passwort in der Software seines Kunden ausgelesen hatte, um Zugriff auf die dazugehörige Datenbank auf den Modern-Solution-Servern zu bekommen. Der Entwickler bestand bis zum Schluss darauf, er habe nur Zugriff auf diese Datenbank genommen, um einen Fehler in der Modern-Solution-Software zu finden, die zu Problemen bei seinem Kunden führte. Modern Solution hatte in seiner Anzeige bei der Polizei ausgesagt, der Programmierer habe dem Unternehmen Schaden zufügen wollen, da er selbst an einer Konkurrenz-Software zu dem Modern-Solution-Produkt arbeite.

Der Anwalt des Verurteilten hat nun in dessen Namen eine Beschwerde beim Bundesverfassungsgericht eingelegt. Diese stützt sich sowohl auf den Vorwurf, das Verfahren sei unfair geführt worden, als auch das Argument, das verfassungsmäßige Recht des Angeklagten auf freie Berufsausübung (Art. 12 GG) sei eingeschränkt worden. Als Nächstes muss das Bundesverfassungsgericht entscheiden, ob die Verfassungsbeschwerde überhaupt Aussicht auf Erfolg hat und angenommen wird. Erfahrungsgemäß kann das Monate dauern.

Auch Ablehnung könnte Fortschritt bringen

Der Anwalt des Programmierers sagte im Gespräch mit heise online, dass auch schon eine Ablehnung der Beschwerde ein Sieg für die Allgemeinheit der Juristen und IT-Beschäftigten in Deutschland sein könne. Für den Angeklagten wäre das zwar wenig hilfreich, aber eine Ablehnung durch das BVerfG könnte etwa Hinweise für den zukünftigen Umgang mit §202a StGB enthalten.

Das könnte das aktuelle Minenfeld, mit dem sich viele Sicherheitsforscher und andere IT-Experten konfrontiert sehen, wenigstens etwas entschärfen. Manche Sicherheitsforscher kommentierten den Fall so, dass sie in einer solchen Situation neue Sicherheitslücken nicht melden würden, um eine strafrechtliche Verfolgung der betroffenen Firma zu vermeiden. Wenn sich diese Haltung in der Branche durchsetzt, würde das unweigerlich zu einer landesweiten Verschlechterung der IT-Sicherheit führen.

Eine Entscheidung des Bundesverfassungsgerichts zum Hackerparagrafen sehen Teile der Branche daher als wünschenswert. Im Jahr 2009 hatte das Gericht eine Verfassungsbeschwerde zu §202c StGB abgelehnt, aber dabei immerhin klargestellt, dass alleine die Tatsache, dass ein Programm zu illegalen Handlungen verwendet werden kann, dessen Einsatz noch nicht strafbar macht. Allerdings ist der Bezug einer solchen Software zu §202a StGB offensichtlich immer noch nicht abschließend geklärt.

Das zeigt unter anderem das Modern-Solution-Verfahren, in dem einer der Staatsanwälte als Begründung für die unlauteren Absichten des Angeklagten angeführt hatte, dass dieser eine Software zur Dekompilierung von Programmcode eingesetzt habe. Dabei handelt es sich genau um ein solches „dual use“-Produkt, wie es die Karlsruher Richter in ihrer Entscheidung von 2009 eigentlich für unbedenklich erklärt hatten.

Unverständnis bei IT-Profis

Der Fall Modern Solution betrifft zum einen die anhaltenden Unsicherheiten im Umgang mit Software, die sowohl für legitimes Troubleshooting eines IT-Beraters als auch für den Hackerangriff eines Kriminellen eingesetzt werden kann. Zum anderen ist dabei auch zu klären, ab wann sich ein Techniker schuldig macht, wenn er im Auftrag eines Kunden ein Computersystem einer Drittfirma untersucht. Und zwar, wenn er sich nach §202a StGB Zugang zu Daten verschafft, „die nicht für ihn bestimmt und die gegen unberechtigten Zugang besonders gesichert sind“.

Die Ansicht der Richter, dass schon ein im Quellcode im Klartext abgelegtes Standardpasswort genügt, um eine „besondere Sicherung“ zu gewährleisten, trifft in der Praxis auf das Unverständnis von Experten, die einen solchen Zustand eher als Sicherheitslücke und nicht als wirksame Sicherung begreifen.

Es sei überraschend gewesen, wie die Richter in Aachen und Köln entschieden hatten, sagte der Anwalt des Sicherheitsforschers im Gespräch mit heise online. Eine Motivation für die Verfassungsbeschwerde sei, dass der Beschluss des OLG Köln wenig Substanz habe. Zudem sei der Fall nicht nur in der IT-Branche, sondern auch aufseiten der juristischen Fachliteratur mit Interesse verfolgt worden.

Eine Orientierungshilfe vom Bundesverfassungsgericht scheint schon allein vor diesem Hintergrund wünschenswert. Auch deswegen, weil die im November angedachte Gesetzesänderung des Hackerparagrafen bisher anscheinend keine Fortschritte gemacht hat und vielen Experten ohnehin nicht weit genug ging.

Keine technische Untersuchung

In der Beweisaufnahme beschäftigte sich das Gericht in Jülich nicht direkt mit der Passwort-Datei und es wurde nicht versucht, die Angaben des Angeklagten zu überprüfen. Auch die Polizei scheint dies nach den im Prozess verlesenen Teilen der Ermittlungsakte nicht getan zu haben. Des Weiteren konnte das Gericht dem Angeklagten nicht nachweisen, das Passwort durch Dekompilieren erlangt zu haben.

Am Ende des Prozesses hatte aber auch dies kaum Auswirkungen auf das Urteil. Laut dem Vorsitzenden Richter bedeute allein das gesetzte Passwort, dass ein Blick in die Rohdaten des Programms und eine anschließende Datenbankverbindung zu Modern Solution den Straftatbestand des Hackerparagrafen erfülle. Dass dies, wie die Verteidigung mehrmals betont hatte, im Zuge einer „funktionalen Analyse“ der Software im Auftrag eines Kunden von Modern Solution geschah, schien bei dieser Entscheidung keine Rolle zu spielen. Das gilt auch für die Tatsache, dass das infrage kommende Passwort zusammen mit der Software ausgeliefert wurde.

Gericht: „Hacken ist generell strafbar“

Der Jülicher Richter begründete seine Entscheidung, dass der Gesetzgeber mit der Verschärfung von § 202a StGB im Jahre 2007 offensichtlich bezweckt habe, „das Hacken als solches unter Strafe zu stellen.“ Unter diesem Aspekt sei ein Schutz, der „nicht für jedermann“ einfach zu umgehen sei, ausreichend, um den Straftatbestand zu erfüllen. Da der Angeklagte nicht vorbestraft war, wurde er zu einer Geldstrafe verurteilt und kam um eine Haftstrafe herum.

Der Mann legte Berufung beim Landgericht Aachen ein. Im November 2024 entschied das Gericht, diese als unbegründet abzuweisen. In dem Prozess übernahm das LG Aachen durchgängig die Einschätzung des AG Jülich, dass der Zugriff auf die gesicherte Datenbank den Straftatbestand erfülle, weil das Passwort nicht ohne Weiteres zu erraten oder öffentlich bekannt gewesen sei. Die kleine Strafkammer des Gerichts betonte, dass sich der Angeklagte nicht strafbar gemacht hätte, wenn er den Zugriff bei Sicht fremder Kundendaten abgebrochen hätte. Die erstellten Screenshots besiegelten demnach seine Strafbarkeit.

Die Verteidigung beantragte daraufhin eine Revision des Prozesses beim Oberlandesgericht Köln. Dessen 1. Strafsenat entschied am 3. Juli 2025, dass die Entscheidung des LG Aachen keine Rechtsfehler enthalte und somit rechtskräftig sei. Wie bei Revisionen üblich wurden in diesem Verfahren die tatsächlichen Umstände des Falles nicht noch einmal untersucht.


(nie)



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Spiele-Engine Unity: Lücke bedroht Android, Linux, macOS und Windows


Die Laufzeitumgebung für die Spiele-Engine Unity steckt in diversen populären Spielen. Microsoft meldet nun eine schwerwiegende Sicherheitslücke darin, die Angreifern das Ausführen von Schadcode erlaubt. Bis zur Verfügbarkeit von Updates sollen Nutzerinnen und Nutzer betroffene Software deinstallieren, rät der Hersteller.

Microsoft beschreibt die Schwachstelle als „nicht vertrauenswürdigen Suchpfad“, was sich mit der Beschreibung des Herstellers Unity zwar deckt, jedoch laut Fehlerbericht des Schwachstellenentdeckers mit dem Handle RyotaK zu kurz greift. Die Unity-Laufzeitumgebung nutzt demnach Intents zur Kommunikation zwischen Komponenten von Apps, und das anscheinend nicht nur unter Android. Angreifer können bösartige Intents nutzen, um Kommandozeilen-Parameter zu kontrollieren, die an Unity-Apps durchgereicht werden. Dadurch können sie beispielsweise beliebige Bibliotheken laden und Schadcode ausführen. Bösartige Apps auf demselben Gerät wie die Unity-Apps können dadurch die Rechte davon erlangen. Dies sei in manchen Fällen sogar aus dem Internet ausnutzbar (CVE-2025-59489 / EUVD-2025-32292, CVSS 8.4, Risko „hoch„).

Betroffen sind Apps und Spiele, die mit dem Unity Gaming Engine Editor in Version 2017.1 oder neuer erstellt wurden. Allerdings nicht auf allen Plattformen: Während Nutzerinnen und Nutzer unter Android, Linux, macOS und Windows aktiv werden müssen, können sich jene mit Hololens, iOS, Xbox-Cloud-Gaming und XBox-Konsolen entspannt zurücklehnen; letztere sind nicht anfällig.

Jetzt Gegenmaßnahmen ergreifen

Exploit-Code ist laut Microsoft verfügbar. Daher sollten potenziell betroffene Nutzer aktiv werden. Wer verwundbare Microsoft-Apps oder -Spiele einsetzt, sollte diese bis zur Verfügbarkeit eines Updates deinstallieren, empfiehlt der Hersteller. Der arbeitet an Aktualisierungen, nennt jedoch kein geplantes Datum für deren Verfügbarkeit. Entwickler sollen die korrigierte Software von Unity installieren und Updates für ihre Apps oder Spiele so schnell wie möglich veröffentlichen. Neben Spielen sind von Microsoft auch „Mesh PC“-Programme betroffen. Die Version 5.2513.3.0 oder neuer stopft die Sicherheitslücken und soll bereits bei aktiviertem Auto-Update auf betroffenen Maschinen angekommen sein.

Microsoft listet folgende Apps und Spiele als verwundbar auf:

  • Microsoft Mesh PC Applications
  • Pillars of Eternity
  • Hearthstone
  • Grounded 2 Artbook
  • Zoo Tycoon Friends
  • The Elder Scrolls: Legends
  • Mighty Doom
  • Halo Recruit
  • Gears POP!
  • Forza Customs
  • DOOM II (2019)
  • DOOM (2019)
  • Wasteland Remastered
  • Wasteland 3
  • Warcraft Rumble
  • The Elder Scrolls: Castles
  • The Elder Scrolls: Blades
  • The Elder Scrolls IV: Oblivion Remastered Companion App
  • The Bard’s Tale Trilogy
  • Starfield Companion App
  • Pillars of Eternity: Hero Edition
  • Pillars of Eternity: Definitive Edition
  • Pillars of Eternity II: Deadfire – Ultimate Edition
  • Pillars of Eternity II: Deadfire
  • Knights and Bikes
  • Ghostwide Tokyo Prelude
  • Fallout Shelter
  • DOOM: Dark Ages Companion App
  • Avowed Artbook

In der Tabelle im CVE-Eintrag von Microsoft listet das Unternehmen auch die fehlerkorrigierten Versionen auf. Allerdings ist bislang lediglich für die Mesh-PC-Software ein Update verfügbar. Wer die betroffene Software nutzt, sollte sie daher deinstallieren und im Anschluss regelmäßig prüfen, ob eine Aktualisierung verfügbar ist. Mit neuem Stand können sie die Software dann wieder installieren.

Zuletzt fiel Microsoft mit einer kritischen Entra-ID-Lücke auf. Dadurch waren alle Tenant global kompromittierbar.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

WhatsApp und Threema sind strikt gegen Chatkontrolle



Der Messenger-Gigant WhatsApp spricht sich ebenso wie der schweizerische Messenger Threema vehement gegen die Chatkontrolle aus. Am vergangenen Mittwoch hatte schon der Messenger Signal angekündigt, dass er in letzter Konsequenz sogar den europäischen Markt verlassen würde, wenn durch das geplante EU-Gesetz keine private, verschlüsselte Kommunikation mehr möglich sei.

Auch beim Branchen-Riesen WhatsApp teilt man die grundlegende Kritik. Eine Sprecherin von Meta, dem Mutter-Konzern des Messengers, sagte gegenüber netzpolitik.org: „Trotz gegenteiliger Behauptungen untergräbt der neueste Vorschlag der Ratspräsidentschaft der EU nach wie vor die Ende-zu-Ende-Verschlüsselung und gefährdet die Privatsphäre, Freiheit und digitale Sicherheit aller.“ WhatsApp setze sich weiterhin für stärkere Sicherheit ein und sei der Überzeugung, dass Regierungen weltweit dies ebenfalls tun sollten.

„Entschieden gegen Massenüberwachung jeder Form“

In eine ähnliche Richtung argumentiert der Messenger Threema: „Wir sind nach wie vor entschieden gegen Massenüberwachung in jeder Form“, sagt Pressesprecher Philipp Rieger gegenüber netzpolitik.org. „Wie man im physischen Raum vertrauliche Konversationen führen kann, sollte das nach unserem Verständnis auch online möglich sein.“

Das Unternehmen hat seine Position auch in einem Blog-Beitrag dargelegt. Demnach sei Massenüberwachung kein taugliches Mittel zur Kriminalitätsbekämpfung und unvereinbar mit demokratischen Grundsätzen. Darüber hinaus macht Threema auch auf das technologische Sicherheitsrisiko aufmerksam.

Würde die Chatkontrolle gemäß dem aktuellen Vorschlag von Dänemark durchkommen, würde Threema die Ausformulierung nach den Trilog-Verhandlungen abwarten und alle Optionen gründlich prüfen. In diesem Gesetzgebungsschritt versuchen sich EU-Parlament, Kommission und Rat auf einen gemeinsamen Gesetzesentwurf zu einigen. Threema geht davon aus, dass die Chatkontrolle in der gegenwärtig propagierten Form nicht mit EU-Grundrechten vereinbar ist und letzten Endes vom EuGH kassiert werden würde.

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Chatkontrolle als Bedrohung für Privatsphäre und Demokratie

Bei der sogenannten Chatkontrolle geht es um eine EU-Verordnung, die sich gegen die Verbreitung von Darstellungen sexuellen Kindesmissbrauchs (sogenannte Kinderpornografie) richten soll. Sie wird seit drei Jahren kontrovers in der EU verhandelt, weil die Verordnung Vorschriften enthält, die Messenger wie WhatsApp, Signal, Threema oder Telegram auf Anordnung verpflichten sollen, Inhalte von Nutzer:innen ohne jeden Verdacht zu durchsuchen.

Dieses Durchleuchten von Dateien würde dazu führen, dass eine verschlüsselte und sichere Kommunikation untergraben wird. Die komplette IT-Fachwelt, führende Sicherheitsforscher, Wissenschaftler:innen aus aller Welt sowie zivilgesellschaftliche Organisationen aller Art lehnen daher die Chatkontrolle als Bedrohung für die Demokratie vehement ab. Außerdem könne die Suche nach Missbrauchsdarstellungen mit wenigen Handgriffen auch auf andere, etwa politisch missliebige Inhalte ausgeweitet werden.

Druck auf Ministerien nötig

Die Bundesregierung wird sich vermutlich vor dem 14. Oktober auf eine Position für die Verhandlungen im EU-Rat einigen. Zur Debatte steht der dänische Vorschlag, der eine verpflichtende Chatkontrolle und Scannen der Inhalte auf den Geräten der Nutzer:innen beinhaltet.

Das Bündnis „Chatkontrolle stoppen“ ruft dazu auf, die im akutellen Schritt relevanten Personen und Organisationen zu kontaktieren. Das sind vor allem die beteiligten Bundesministerien (Innen, Justiz, Digital, Familie) sowie die Fraktionen und Abgeordneten der Regierungsparteien im Bundestag. Am besten wirken direkte E-Mails und Telefonanrufe oder auch rechtzeitig ankommende Briefe. Auf der Website des Bündnisses gibt es Tipps und Adressen, um selbst aktiv zu werden.



Source link

Weiterlesen

Datenschutz & Sicherheit

Datenleck bei Discord: Support-Dienstleister erfolgreich attackiert


Ein Support-Dienstleister für die Messaging- und Social-Media-Plattform Discord ist Opfer eines Cyberangriffs geworden. Dabei sollen Kriminelle auf Kundendaten zugegriffen haben und diese als Druckmittel für eine Erpressung einsetzen.

In einer Stellungnahme weisen die Discord-Betreiber auf die Attacken hin. Sie versichern, dass davon ausschließlich Kunden betroffen seien, die in Kontakt mit dem Support waren. Demzufolge hätten die Angreifer auch nur auf diesen Kontext betreffende Nutzerdaten Zugriff gehabt. Sie versichern, dass Discord direkt nicht betroffen war. Demzufolge konnten die Angreifer keine Chatnachrichten einsehen.

Die Betreiber stellen klar, den IT-Sicherheitsvorfall mittlerweile im Griff zu haben und betroffene Nutzer zu kontaktieren. Wie viele Opfer konkret betroffen sind, ist derzeit nicht bekannt. Die Verantwortlichen geben an, dass die Angreifer unter anderem Ausweisnummern, IP-Adressen, Nachrichten an den Support und Zahlungsinformationen kopieren konnten. Darunter sollen sich aber keine vollständigen Kreditkartennummern und Passwörter befinden.

Mögliche Folgen der Attacke

Sicherheitsforscher legen nahe, dass die erbeuteten Daten weitreichende Folgen haben können. Schließlich können die Angreifer daraus vergleichsweise überzeugend Phishing-Mails für etwa Kryptowährungsbetrug stricken. Demzufolge sollten Discord-Nutzer E-Mails ab sofort noch kritischer beäugen und nicht auf Links in Mails klicken oder sogar Dateianhänge öffnen. Die Angreifer geben an, den Support-Dienstleister Zendesk attackiert zu haben. Das wurde aber von offizieller Seite bislang nicht bestätigt.

Hinter den Attacken sollen die Cyberkriminellen von Scattered Lapsus$ Hunters stecken. Die wollen sich eigenen Angaben zufolge eigentlich aus dem Cybercrimegeschäft zurückziehen. In der Vergangenheit haben sie unter anderem Jaguar und Marks & Spencer erfolgreich attackiert und Schäden in Millionenhöhe verursacht.


(des)



Source link

Weiterlesen

Beliebt