Connect with us

Datenschutz & Sicherheit

„Abkehr von der grundrechtsfreundlichen Politik“


Die Berliner schwarz-rote Koalition will ein neues Polizeigesetz beschließen, das in Berlin unter dem Namen Allgemeines Sicherheits- und Ordnungsgesetz (ASOG) firmiert. Berlin folgt damit einer ganzen Reihe von Bundesländern, die ihre Polizeigesetze in den letzten Jahren verschärft haben. An der Berliner Gesetzesnovelle gibt es breite Kritik sowohl von der demokratischen Opposition im Parlament wie auch von der Berliner Datenschutzbeauftragten und Menschenrechtsorganisationen wie der GFF.

Anlässlich der Sachverständigenanhörung am Montag protestieren vor dem Roten Rathaus Lilly und Kiki. Sie verteilen Flyer mit der Aufschrift „Nein zu Massenüberwachung und der Kriminalisierung von Protesten“. Sie sind Teil eines Bündnisses zivilgesellschaftlicher Gruppen wie Amnesty International oder dem Komitee für Grundrechte und Demokratie.

„Überall werden Gelder gekürzt, aber für Videoüberwachung ist dann plötzlich Geld da. Dabei verhindert die keine Straftaten, sondern kriminalisiert marginalisierte Gruppen und spaltet den öffentlichen Raum“, sagt Lilly. Dass die Unverletzlichkeit der Wohnung durch die Gesetzesnovelle eingeschränkt wird, sehen die beiden ebenso kritisch.

„Abkehr von der grundrechtsfreundlichen Politik“

Auch in der Sachverständigen-Anhörung hagelt es Kritik für den Entwurf. So sieht die Berliner Datenschutzbeauftragte Meike Kamp eine Vielzahl neuer Datenverarbeitungsermächtigungen und eine erhebliche Ausweitung der Befugnisse der Polizei. Aufgrund der Detailtiefe – die Gesetzesnovelle ist 700 Seiten stark – habe ihre Behörde nicht einmal alle Vorschriften analysieren können.

Das Volumen der geplanten Änderungen kritisiert auch Innenpolitiker Niklas Schrader von der Linken. Denn so umfangreich wie der Gesetzentwurf sei auch der Überarbeitungsbedarf: „Ich bin mir nicht sicher, ob das in dem kurzen Zeitplan, den Sie uns gegeben haben, schaffbar ist“, sagt er bei der Anhörung.

Eine „Abkehr von der grundrechtsfreundlichen Politik“ in Berlin beklagte der Jurist David Werdermann von der GFF sowohl in seiner Stellungnahme (PDF) wie auch in der Anhörung. Zwar versuche der Entwurf die Rechtsprechung des Bundesverfassungsgerichts nachzuzeichnen, das gelinge allerdings nicht immer.

Ein Hauptkritikfeld an dem Gesetz ist laut Werdermann das Festhalten am Konstrukt der „krininalitätsbelasteten Orte“. An diesen dürfen in Zukunft nicht nur anlasslose Kontrollen durchgeführt werden, sondern auch Videoüberwachungsmaßnahmen. Das Gesetz erlaube zudem die Videoüberwachung von öffentlichen Veranstaltungen und die Auswertung des Videomaterials mit sogenannter KI. Werdermann warnt hier vor einem höheren Überwachungsdruck auf Menschen mit atypischen Verhalten wie beispielsweise Wohnungslosen oder Personen mit körperlichen Einschränkungen.

Berliner Senat will Verhaltenscanner gegen Bevölkerung einsetzen

Kritik hat die GFF auch am Einsatz von Staatstrojanern und daran, dass die Polizeibehörden in Zukunft heimlich Wohnungen betreten dürfen, um diese zu installieren. „Ich habe da große Bauchschmerzen mit“, sagt Werdermann. Insgesamt wird durch das neue ASOG die Schwelle zum Einsatz der Staatstrojaner und zur Überwachung von Wohnungen deutlich herabgesetzt.

Ebenso kritisch sieht Werdermann den nachträglichen biometrischen Abgleich mit öffentlich zugänglichen Daten: „Jedes Foto, das möglicherweise ohne das Wissen und Einverständnis der betroffenen Person ins Netz gestellt wird, kann zu Überwachungszwecken genutzt werden“, sagt Werdermann. Es sei nach der neuen Gesetzeslage nicht mehr möglich, an einer Versammlung teilzunehmen, ohne damit rechnen zu müssen, dass Fotos, die beispielsweise von der Presse veröffentlicht werden, anschließend von der Polizei für einen Abgleich genutzt würden.

„Freifahrtschein für Massenüberwachung“

„Die Vorschrift schließt zudem weder den Aufbau einer biometrischen Referenzdatenbanken auf Vorrat noch die Nutzung von kommerziellen Datenbanken aus“, schreibt Werdermann in seiner Stellungnahme. Beides sei jedoch mit der KI-Verordnung und dem Recht auf informationelle Selbstbestimmung nicht vereinbar.

Werdermann verweist in der Stellungnahme darauf, dass der Aufbau einer umfassenden biometrischen Referenzdatenbank – bestehend aus öffentlich zugänglichen Lichtbildern, Videos und Tonaufnahmen aus dem Internet – unverhältnismäßig in Grundrechte eingreift. Das Bundesverfassungsgericht habe mehrfach herausgestellt, dass biometrische Daten besonders schutzwürdig seien. „Durch den Aufbau einer Datenbank, um biometrische Daten vorzuhalten, wären Grundrechte von Millionen, wenn nicht Milliarden von unbeteiligten Personen betroffen, die keinen Anlass für polizeiliche Überwachung gegeben haben“, so Werdermann weiter.

Sachverständige bei Anhörung.
Von Seiten der Sachverständigen gab es teilweise massive Kritik. CC-BY-SA 4.0 Martin Schwarzbeck / netzpolitik.org

Statt konsequent gegen rechtswidrige Angebote wie PimEyes vorzugehen, schaffe der Senat mit dem Entwurf eine Grundlage für biometrische Massenüberwachung durch die Berliner Polizei, schreibt Werdermann. Diese kritisiert auch die grüne Innenpolitikerin Gollaleh Ahmadi. Sie sieht in der Gesetzesnovelle einen „Freifahrtschein für Massenüberwachung“.

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Berlins Datenschutzbeauftragte Meike Kamp kritisiert auch die Verarbeitung von Daten zum Training von KI-Systemen. Hier dürfe zuviel Material ohne Eingriffsschwelle und Löschfristen genutzt werden, sie gehe zudem davon aus, dass auch nicht-anonymisierte Klardaten verarbeitet würden. Daten, die einmal zum Training von Künstlicher Intelligenz genutzt wurden, ließen sich nicht mehr löschen, betont Kamp. Zudem vermute sie, dass solche Daten auch in automatisierten Analyseplattformen landen, deren Nutzung der Berliner Polizei künftig erlaubt sein soll. Zu solchen Plattformen gehört auch die Software „Gotham“ vom umstrittenen US-Unternehmen Palantir.

Präventive Funkzellenabfrage

Ebenso zu wenig geregelt seien die Funkzellenabfragen, wo die Eingriffsschwellen zu niedrig seien. Hier sei auch davon auszugehen, dass Funkzellendaten für KI-Training genutzt werden. „Durch die Verknüpfung der erhobenen Daten mit automatisierten Analyseplattformen lassen sich detaillierte Bewegungsprofile erstellen. Dies ermöglicht Rückschlüsse auf politische Aktivitäten, soziale Beziehungen und persönliche Gewohnheiten der Betroffenen“, schreibt die Berliner Datenschutzbeauftragte in ihrer Stellungnahme (PDF).

Der grüne Innenpolitiker Vasili Franco kritisiert, dass die Funkzellenabfragen in Zukunft auch gegen Personen gerichtet sein können, die nur vermutlich an einer Straftat teilnehmen werden. Damit verschiebt das neue Polizeigesetz die Funkzellenabfragen von der nachträglichen Ermittlung in den präventiven Raum.

Sowohl Sachverständige wie auch Oppositionspolitiker:innen verwiesen in der Anhörung darauf, dass man das verschärfte Polizeigesetz auch vor dem Hintergrund des Rechtsrucks sehen müsse – und dass man damit einer möglichen autoritären Regierung Werkzeuge in die Hand gebe.


Dokumente


Stellungnahmen von Sachverständigen zur Novelle des Berliner ASOG

 



Source link

Datenschutz & Sicherheit

Datenlecks: Cybergang cl0p will Daten von Carglass, Fluke und NHS erbeutet haben


Die Cybergang cl0p bleibt umtriebig und stiehlt weiter Daten bei vielen Unternehmen und Einrichtungen. Jetzt sind die namhafteren Carglass.de, Fluke.com und die britische Gesundheitsverwaltung NHS dazugekommen.

Weiterlesen nach der Anzeige

Die Bande cl0p ist dafür bekannt, durch Schwachstellen etwa in Datenübertragungssoftware Daten bei Unternehmen abzuzweigen und sie im Anschluss damit um Geld zu erpressen. Wer nicht zahlt, dessen Daten landen dann im Darknet. Es ist unklar, auf welchem Wege cl0p nun an die Daten gekommen sein will. Zuletzt scheint jedoch öfter eine Sicherheitslücke in Oracles E-Business-Suite (EBS) als Einfallstor gedient zu haben.

Auf den Webseiten der nun betroffenen Einrichtungen finden sich keine Hinweise zu den Datenabflüssen. Carglass ist eine bekannte deutsche Werkstatt-Kette mit Spezialisierung auf Reparaturen von Steinschlägen in Autoscheiben. Sie war am Freitagnachmittag telefonisch nicht erreichbar, und auf die diesbezügliche E-Mail-Anfrage haben alle drei betroffenen Organisationen noch nicht umgehend reagiert.

Fluke ist einer der größten und renommiertesten Messegerätehersteller aus den USA. Der NHS England ist der dortige nationale Gesundheitsdienst. Gegenüber The Register wollte der NHS weder bestätigen noch abstreiten, dass es zu einem solchen IT-Vorfall gekommen ist. Ein Sprecher des NHS sagte dem Medium jedoch: „Wir sind uns bewusst, dass der NHS auf einer Website für Cyberkriminalität als von einem Cyberangriff betroffen aufgeführt wurde, aber es wurden keine Daten veröffentlicht. Unser Cybersicherheitsteam arbeitet eng mit dem National Cyber Security Centre zusammen, um dies zu untersuchen.“ Das steht jedoch im Widerspruch zu einem BitTorrent-Link, den cl0p inzwischen veröffentlicht hat, der zum Download der gestohlenen Daten führen soll.

Derzeit ist unklar, ob tatsächlich sensible Daten abgeflossen sind und wer alles davon betroffen ist. Ende Februar hatte die kriminelle Vereinigung cl0p insgesamt 230 neue Einträge zu Datendiebstählen bei Unternehmen aufgelistet, darunter auch bekanntere Unternehmen wie HP und HPE.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Fortinet: Neuer Exploit missbraucht Zero-Day-Lücke in Firewalls


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

IT-Sicherheitsforscher haben aus ihrem Honeypot Exploit-Code gefischt, der offenbar eine bislang unbekannte Sicherheitslücke in Fortinet-Web-Application-Firewalls angreift. Die attackierte Schwachstelle erinnert an eine, die Fortinet bereits 2022 mit einem Update geschlossen hatte.

Weiterlesen nach der Anzeige

In einem Blog-Beitrag auf pwndefend erörtert der Autor, dass er zusammen mit einem befreundeten IT-Sicherheitsforscher Daten aus einer neuen Honeypotumgebung ausgewertet und dabei Schadcode, der gegen FortiWeb-Firewalls wirkt, bemerkt hat. Erste Untersuchungen ergaben laut einem X-Beitrag von dem Freund, dass der Schadcode auf Virustotal von keinem Malware-Schutz erkannt wurde. Es scheint sich um eine Schwachstelle des Typs Path Traversal zu handeln. Sie erinnert die IT-Forscher an die Fortinet-Schwachstelle CVE-2022-40684 (CVSS 9.8, Risiko „kritisch„), bei der Angreifer die Authentifizierung auf dem Admin-Interface umgehen und mit manipulierten Anfragen ansonsten Admins vorbehaltene Aktionen ausführen können.

Zum Schutz potenzieller Opfer will der Autor nicht zu sehr in die Details der entdeckten Payload gehen. Die Angreifer senden den Schadcode mittels HTTP-Post-Anfrage an den Endpunkt „/api/v2.0/cmdb/system/admin%3F/../../../../../cgi-bin/fwbcgi“. Darin eingebettet ist eine Befehlssequenz zum Anlegen eines Nutzerkontos. Im Blog-Beitrag liefert der Autor noch Indizien für eine Kompromittierung (Indicators of Compromise, IOCs); die Liste umfasst IP-Adressen, von denen beobachtete Attacken ausgingen, sowie einige Usernamen- und Passwort-Kombinationen, die die analysierte Malware anlegen wollte.

Die IT-Forensiker von watchTowr zeigen auf X in einem kurzen Film, wie der Exploit gegen eine FortiWeb-Firewall ausgeführt wird und dabei ein Admin-Konto anlegt. Sie bestätigten damit die Funktionsfähigkeit des Zero-Day-Exploits. Außerdem haben sie ihn ihrem ‚Detection Artefact Generator‘ hinzugefügt. Von Fortinet gibt es bislang noch keine Hinweise – das letzte Sicherheitsupdate für ein Produkt datiert auf der Webseite auf den 3. November. Als Gegenmaßnahme sollten Admins von FortiWeb-Firewalls sicherstellen, Zugriffe zumindest vorerst auf vertrauenswürdige IP-Adressen zu beschränken, insbesondere dann, wenn das Admin-Interface im Netz zugänglich sein sollte.


Update

14.11.2025,

09:23

Uhr

Der Exploit scheint sich gegen FortiWeb-Web-Application-Firewalls zu richten, präzisiert der aktualisierte Pwndefend-Blog-Beitrag inzwischen. Wir haben die Meldung dahingehend präzisiert.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Autodesk 3ds Max: Präparierte JPG-Datei kann Schadcode auf Systeme schieben


Wenn Autodesk 3ds Max bestimmte Dateien verarbeitet, kann es zu Speicherfehlern kommen. In so einem Kontext können Angreifer oft Schadcode auf PCs schieben und ausführen. Nun haben die Entwickler zwei derartige Sicherheitslücken geschlossen.

Weiterlesen nach der Anzeige

Wie aus dem Sicherheitsbereich der Autodesk-Website hervorgeht, können Angreifer das Fehlverhalten durch präparierte JPG- (CVE-2025-11795 „hoch„) oder DWG-Dateien (CVE-2025-11797 „hoch„) auslösen.

Davon ist die Version 2026 bedroht. Die Entwickler versichern, die Schwachstellen in der Ausgabe 2026.3 geschlossen zu haben. Auch wenn es noch keine Attacken gibt, raten die Entwickler zu einem zügigen Update.


(des)



Source link

Weiterlesen

Beliebt