Connect with us

Datenschutz & Sicherheit

Wie eine neue Verordnung zur Bedrohung für Betroffene wird


Es ist das Jahr 2045 und Dennis meldet sich nach einem Umzug in der neuen Stadt an. Laut Personalausweis ist Dennis ein Mann. Die Person auf dem Amt sieht allerdings mit einem Blick in seine Meldedaten, dass Dennis früher anders hieß und auch einen anderen Geschlechtseintrag hatte. Sie sieht, dass er zwanzig Jahre zuvor seine Daten nach dem Selbstbestimmungsgesetz hat ändern lassen. Sie sieht: Dennis ist trans.

So würde es in Zukunft ablaufen, wenn eine Verordnung aus dem Bundesinnenministerium an diesem Freitag verabschiedet wird. Sie soll die praktische Umsetzung des Selbstbestimmungsgesetzes im Meldewesen regeln. Also: Wie und wo wird in amtlichen Registern festgehalten, dass eine Person ihren Vornamen und Geschlechtseintrag geändert hat?

Bislang gilt: Ein neuer Datensatz wird angelegt, der alte mit einem Sperrvermerk versehen. Laut den Plänen aus dem Haus von Alexander Dobrindt (CSU) soll sich das ändern. Der alte Vorname, das frühere Geschlecht, das Datum der Änderung – all das soll jetzt in eigenen Datenfeldern im aktuellen Datensatz gespeichert werden.

Noch dazu für immer, denn die Daten sollen außerdem bei jedem Umzug automatisch mit auf die Reise gehen. Sie könnten von unzähligen weiteren Behörden jederzeit automatisiert abgerufen werden. Die Folgen für die Betroffenen wären weitreichend.

Ministerium nennt es notwendig, Verbände nennen es absurd

Das Bundesinnenministerium argumentiert, die Änderungen seien notwendig, um Menschen eindeutig identifizieren zu können. Außerdem würden die Informationen gebraucht, um das sogenannte Offenbarungsverbot einhalten zu können. Es soll Menschen vor unfreiwilligen Outings schützen, etwa am Arbeitsplatz oder im Sportverein.

Unter den Menschen, für deren Wohlergehen und Rechte das Selbstbestimmungsgesetz gedacht war, sorgen die Pläne hingegen für große Unruhe. Alle Verbände, die sich zum Entwurf geäußert haben, sind sich einig in ihrer Kritik. Das eigentliche Ziel des Gesetzes – ein Leben mit weniger Diskriminierung in der neuen Identität – wäre damit torpediert. Das sagt der Bundesverband Trans*, davor warnt auch die Deutsche Gesellschaft für Trans*- und Inter*geschlechtlichkeit.

Die Argumente des Ministeriums nennen sie fadenscheinig. Seit den 1980er-Jahren kann man in Deutschland den eigenen Geschlechtseintrag ändern. Nie sei es dabei zu Schwierigkeiten bei der Identifikation gekommen.

Was als Befreiung gedacht war, könnte zur Datenspur fürs Leben werden

„Aus unserer Sicht wäre die Einführung dieser Verordnung ein Bruch des Offenbarungsverbots“, sagt Gabriel_Nox Koenig vom Bundesverband Trans*. Dass die Daten laut der Begründung aus dem Innenministerium mitgeführt werden sollen, um das Offenbarungsverbot achten zu können, findet er unlogisch. „Personen können mich ja dann allein deswegen misgendern und mit meinem alten Namen ansprechen, weil diese dauerhaft in meinem Meldedaten sichtbar sind.“ Egal wie oft man dann innerhalb Deutschlands umziehe, diese Daten würden einen auf ewig verfolgen.

Auch der LSVD Verband Queere Vielfalt nennt die Begründung paradox. „Dadurch entsteht faktisch ein Mechanismus, der das ‚alte Geschlecht‘ dauerhaft mitführt, obwohl das SBGG gerade darauf abzielt, dass Menschen nach einer Änderung nicht mehr an ihren früheren Geschlechtseintrag gebunden sind.“

„Altes Ich zementiert“: Familienausschuss übt scharfe Kritik

Trotz der Kritik aus den Verbänden hat das Ministerium die Verordnung nahezu unverändert zur Abstimmung in den Bundesrat geschickt. Die Länderkammer muss zustimmen, weil die Umsetzung im Meldewesen Sache der Länder ist. Eine Abstimmung steht für diesen Freitag auf der Tagesordnung, Ausgang: ungewiss.

Zumindest der Familienausschuss hat jedoch bereits empfohlen, der Verordnung nicht zuzustimmen. Die Begründung deckt sich mit der vernichtenden Kritik aus den Verbänden. Um Menschen zu identifizieren und das Offenbarungsverbot einzuhalten, sei die Verordnung nicht erforderlich. „Vielmehr missachtet sie den besonderen Schutzbedarf der betroffenen Personengruppe und setzt sie einem erhöhten Diskriminierungsrisiko aus.“

Die Regelung zementiere faktisch ein „altes Ich“, das dauerhaft mitgeführt werden müsse. Personen blieben in zentralen amtlichen Registern „technisch und datenseitig mit ihrer früheren geschlechtlichen Identität verbunden“ – ohne dass dies ein konkreter Verwaltungszweck rechtfertige. Die Anerkennung der neuen Geschlechtsidentität werde dadurch dauerhaft erschwert, das Ziel des Selbstbestimmungsgesetzes konterkariert.

Kritisch sieht der Ausschuss auch, wie viele öffentlichen Stellen in Zukunft automatisiert Zugang zu den sensiblen Informationen haben werden. „In der Praxis bedeutet dies, dass Betroffene keinen Überblick mehr darüber haben, welche Stellen von der Änderung ihres Geschlechtseintrags Kenntnis erlangen.“

Dobrindt plant Zwangsouting per Verordnung

Wie leicht sensible Daten künftig zugänglich werden

Was dieser automatisierte Abruf in der Praxis bedeutet, dazu kann Rhandos Auskunft geben. Die Verwaltungsjuristin ist aktiv im Chaos Computer Club Hamburg und hat Einblick in das Handeln von Behörden. Wer bislang aus einer Behörde Zugriff auf Informationen wie den früheren Namen oder Geschlechtseintrag haben wollte, sagt sie, musste dafür beantragen, den Sperrvermerk zu umgehen. Solche Anfragen wurden von der Meldebehörde für jeden Einzelfall geprüft.

In Zukunft würde es hingegen ausreichen, das entsprechende Datenfeld „Geschlechtseintrag vor Änderung“ oder „Vornamen vor Änderung“ anzuklicken. Schon könne man sich diese Information anzeigen lassen – oder etwa eine Liste aller Personen in den Kommunen des eigenen Bundeslandes erstellen, bei denen dieses Feld befüllt ist.

„Aus eigener Erfahrung weiß ich, wie leicht dieser Zugriff theoretisch ist“, sagt Rhandos. Behörden dürften auf alle Daten aus dem Melderegister zugreifen, wenn es „erforderlich ist für die Erfüllung ihrer Aufgaben“. Das ließe sich weit auslegen. In der Suchmaske könnten alle im Datensatz für das Meldewesen vorhandenen Datenfelder einfach ausgewählt werden. Als Begründung müsse man nur einen beliebigen Text in ein Freitextfeld eingeben.

Zwar besteht eine Protokollierungspflicht, eine regelmäßige Kontrolle dieser Protokolle schreibt das Gesetz aber nicht vor. „Das ist ein Scheunentor“, sagt Rhandos, „Das ist die Büchse der Pandora, die hier geöffnet wird.“

Innenministerium ergänzt nur einen Satz

All diese Bedenken hatten Fachleute schon geäußert, nachdem der Entwurf Mitte Juli bekannt wurde. Im Bundesinnenministerium fanden sie damit kaum Gehör. Einen einzigen Satz hat man dort hinzugefügt, bevor der Entwurf an den Bundesrat ging. Im Teil, der den automatisierten Abruf der Daten zwischen Behörden regelt, steht nun: „Eine Suche zur Erstellung einer Ergebnisliste, die ausschließlich Personen anzeigt, die ihren Geschlechtseintrag geändert haben, ist ausgeschlossen.“

Diese „Klarstellung“ solle den Bedenken aus den Verbänden Rechnung tragen, heißt es auf Nachfrage, „insbesondere um die gezielte Suche in den Melderegistern durch Behörden oder öffentliche Stellen nach allen Personen, die ihren Geschlechtseintrag und ihre Vornamen nach den Vorschriften des SBGG, geändert haben, auszuschließen.“

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Auf die Frage, wie das Verbot technisch umgesetzt werden soll, antwortet das Innenministerium nur ausweichend: Es bestehe bereits heute Erfahrung im Meldewesen im Umgang mit besonders schutzbedürftigen Daten.

Der Staat sollte Betroffene schützen, nicht ihre sensiblen Daten breiter teilen

Verbände hatten gewarnt, dass mit der neuen Verordnung faktisch jene Personen im Register markiert werden, für die das Selbstbestimmungsgesetz eigentlich Diskriminierung abbauen soll.

Trans-, intergeschlechtliche und nicht binäre Menschen würden dadurch einem höheren Risiko von Diskriminierung ausgesetzt, zu einer Zeit, in der queer- und transfeindliche Straftaten zunehmen. „In dieser Lage ist der Staat verpflichtet, die Betroffenen zu schützen – nicht, ihre sensibelsten Daten breiter zu verteilen“, schreibt etwa der Bundesverband Trans*.

Auch Rhandos sieht als betroffene Person zwei Bedrohungsszenarien: Mitarbeitende bei Behörden könnten die Daten einzelner für rechtsextreme und transfeindliche Organisationen abfragen. Technisch wäre mit der Verordnung zudem vorbereitet, dass eine künftige autoritäre Regierung Menschen anhand der Daten aus dem Melderegister verfolgen könnte.

Betroffen wären alle, die das Selbstbestimmungsgesetz in Anspruch nehmen

Welche Behörden jeweils automatisierten Zugriff auf die Daten bekommen, das legen die einzelnen Bundesländer fest. Auch deswegen herrscht weiter große Verwirrung in der Frage, wer nun was zu sehen bekäme. Was sieht die Person beim Jobcenter, was der Sachbearbeiter auf dem Bürgeramt, was die Polizistin, bei der man eine Zeugenaussage macht?

Das BMI zeigt sich auf diese Fragen wortkarg: Ein Abruf der Daten sei nur dann zulässig, soweit sie der jeweiligen Stelle „zur Erfüllung ihrer Aufgaben bekannt sein müssen“.

Verwirrung herrschte auch zur Frage, wer genau von den neuen Regeln betroffen wäre: Greifen sie erst mit dem Inkrafttreten der Verordnung ab November 2026 oder auch rückwirkend für all jene, die bereits vorher ihre Daten ändern lassen? Hier macht das Ministerium eine klare Aussage: Die neue Verordnung zeichne lediglich die Entscheidungen technisch nach, die mit der Verabschiedung des Selbstbestimmungsgesetzes schon getroffen wurden. Die Regelung würde somit alle Menschen betreffen, die das Selbstbestimmungsgesetz seit seinem Inkrafttreten im November 2024 in Anspruch genommen haben – egal zu welchem Zeitpunkt.

Wer hingegen nach dem alten „Transsexuellengesetz“ seit 1981 seinen Vornamen und Geschlechtseintrag hat ändern lassen, für den gelten weiterhin die Auskunftssperren.

Chaos Computer Club Hamburg warnt vor “Kartei”

Mit offenen und persönlichen Briefen an die Minister*innen im Rat versuchen Aktivist*innen und Organisationen die Änderungen noch abzuwenden. So fordert etwa der Chaos Computer Club Hamburg die dortige Landesregierung dazu auf, den Entwurf abzulehnen.

Eine Kartei von Personen, die das Selbstbestimmungsgesetz in Anspruch genommen hätten, stelle trans* Personen unter Generalverdacht, heißt es dort. Dass Informationen zu vorherigen Namen und Geschlechtseinträgen praktisch sämtlichen Mitarbeitenden aller Behörden mit Zugriff auf das Melderegister zugänglich würden, verstoße gegen jedes Verständnis von Datenschutz.



Source link

Datenschutz & Sicherheit

Linux-Kernel: Rust-Support offiziell abgesegnet | heise online


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Rust soll die „Versuchsphase“-Einstufung bei Linux ablegen und damit eine vollwertige Sprache zur Programmierung des Kernel werden. Das haben zentrale Linux-Entwickler inklusive Linus Torvalds gestern auf dem jährlichen Kernel Maintainers Summit beschlossen, wie über eine sehr knappe Meldung bei LWN.net bekannt wurde.

Weiterlesen nach der Anzeige

Rust steigt damit praktisch neben Assembler und C zur drittwichtigsten Sprache bei der Entwicklung des Linux genannten Kernels auf. Das Ganze heißt aber keineswegs, dass Programmierer jetzt sofort beliebige Kernel-Treiber in Rust schreiben können: Vielen Subsystemen fehlt dazu noch Überbückungscode (Bindings). Der ist an vielen Stellen erforderlich, beispielsweise, damit ein in Rust geschriebener WLAN-Treiber die in C geschriebene Basis-Infrastruktur für WLAN-Treiber und PCIe-Geräte nutzen kann.

Ein paar Subsysteme haben solche Bindings aber schon, oder die Entwickler arbeiten bereits daran. Darunter jenes für Kernel-Grafiktreiber, wo mit Nova gerade ein in Rust geschriebener Treiber für moderne Nvidia-Grafikkerne entsteht, der mittelfristig vermutlich auf vielen PCs zum Einsatz kommen dürfte.

Erste Teile des Rust-Support waren nach langen Vorarbeiten vor drei Jahren bei Linux 6.1 dazugestoßen. Die Entwickler erhoffen sich vom Rust-Support unter anderem, die Anzahl der Sicherheitslücken zu reduzieren – Rust-Features wie der Schutz vor Speicherzugriffsfehlern, Pufferüberläufen oder Problemen bei nebenläufigen Prozessen sei Dank. Ferner soll die moderne Sprache aber auch die Entwicklung erleichtern und Linux zugänglicher für jüngere Programmierer machen.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Ivanti stopft kritische Sicherheitlücke im Endpoint Manager


In der Netzwerk-Softwareverwaltungs-Lösung Endpoint Manager von Ivanti klaffen mehrere Sicherheitslücken. Eine davon gilt dem Hersteller sogar als kritisches Risiko. Updates schließen die Lecks.

Weiterlesen nach der Anzeige

In einer Sicherheitsmitteilung schreibt Ivanti, dass sich die Sicherheitslücken sowohl im Endpoint Manager Core als auch in den Remote-Konsolen finden. Von den vier Schwachstellen ist die gravierendste eine vom Typ „Stored Cross-Site-Scripting“ (Stored XSS), bei dem nicht authentifizierte Angreifer aus dem Netz auf verwundbaren Servern Javascript-Code einschleusen und speichern können, der im Kontext etwa einer Administrator-Sitzung zur Ausführung gelangt (CVE-2025-10573, CVSS 9.6, Risiko „kritisch“). Wie Attacken im Speziellen aussehen würden, erklärt Ivanti nicht. Der Hersteller erklärt jedoch, dass Ivanti EPM nicht dazu gedacht ist, aus dem Internet erreichbar zu sein; sofern Kunden das System nicht im öffentlichen Internet betreiben, sei das Risiko dieser Schwachstelle signifikant geringer.

Nicht angemeldete bösartige Akteure aus dem Netz können zudem beliebige Dateien auf Server schreiben und dadurch möglicherweise Schadcode einschleusen und ausführen. Das geht auf unzureichende Prüfungen von „dynamisch verwalteten Code-Ressourcen“ zurück (CVE-2025-13659, CVSS 8.8, Risiko „hoch“). Die Einstufung als kritische Bedrohung verpasst das Problem nur knapp. Ivanti erläutert, dass als Voraussetzung für einen Missbrauch Kunden zu einem nicht vertrauenswürdigen Core-Server verbinden müssten; gemäß der „Best-Practices“-Empfehlungen sollten Kunden ihr Ivanti EPM jedoch ausschließlich an vertrauenswürdige Server anbinden.

In der Patch-Management-Komponente führt eine unzureichende Prüfung kryptografischer Signaturen dazu, dass nicht angemeldete Angreifer aus dem Netz beliebigen Code ausführen können (CVE-2025-13662, CVSS 7.8, Risiko „hoch“). Außerdem können angemeldete Nutzer aufgrund einer Path-Traversal-Lücke beliebige Dateien außerhalb vorgesehener Verzeichnisse speichern (CVE-2025-13661, CVSS 7.1, Risiko „hoch“).

Wie Angriffe auf die Schwachstellen konkret aussehen können, führt Ivanti nicht aus, betont jedoch, dass für einen erfolgreichen Missbrauch bei allen Nutzerinteraktionen nötig sind. Bislang hat der Hersteller auch keine Kenntnisse darüber, dass die Schwachstellen bereits in freier Wildbahn missbraucht wurden. Daher könne Ivanti auch keine Indicators of Compromise (IOCs) nennen.

Die Aktualisierung auf Ivanti Endpoint Manager 2024 SU4 SR1 schließt alle genannten Sicherheitslecks. IT-Verantwortliche sollten es daher zügig installieren.

Weiterlesen nach der Anzeige

Auch im November dieses Jahres hatte Ivanti eine Sicherheitslücke im Endpoint Manager schließen müssen. Sie galt ebenfalls als hochriskant und ermöglichte Angreifern, Dateien auf Festplatten von Opfer-PCs zu schreiben.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Fortinet-Patchday: SSO-Login in vielen Produkten umgehbar


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Angreifer können verschiedene Fortinet-Produkte attackieren und sich unter anderem unbefugt Zugriff verschaffen. Sicherheitsupdates stehen zum Download bereit. Bislang sind keine Berichte zu laufenden Attacken bekannt. Admins sollten mit dem Patchen aber nicht zu lange warten.

Weiterlesen nach der Anzeige

Als besonders gefährlich gelten zwei „kritische“ Lücken (CVE-2025-59718, CVE-2025-59719) in FortiOS, FortiProxy, FortiSwitchManager und FortiWeb. Unter bestimmten Bedingungen können Angreifer die Authentifizierung umgehen. In einer Warnmeldung führen die Entwickler aus, dass die Schwachstellen konkret den SSO-Login von FortiCloud betrifft. Dieses Feature ist standardmäßig nicht aktiv.

Die Entwickler weisen aber darauf hin, dass wenn Admins Geräte über die Bedienoberfläche des jeweiligen Gerätes bei FortiCare registrieren und dabei die Option „Allow administrative login using FortiCloud SSO“ nicht deaktivieren, FortiCloud SSO-Login aktiv ist. Ist das gegeben, können Angreifer mit präparierten SAML-Nachrichten an der Lücke ansetzen und sich so ohne korrekte Anmeldung Zugriff verschaffen.

Temporär können Admins Geräte durch die Deaktivierung dieses Anmeldeverfahrens schützen. Dauerhafte Abhilfe schafft aber nur die Installation von verfügbaren Sicherheitspatches. Deren Auflistung sprengt den Rahmen dieser Meldung. Informationen dazu finden Admins in der Warnmeldung.

Weiterhin sind noch unter anderem FortiAuthenticator, FortiExtender und FortiPortal verwundbar. Der Großteil der verbleibenden Sicherheitslücken ist mit dem Bedrohungsgrad „mittel“ eingestuft. Sind Attacken erfolgreich, können Angreifer etwa eigene Befehle ausführen oder auf eigentlich abgeschottete private Schlüssel zugreifen.

Im Sicherheitsbereich der Fortinet-Website finden sich weitere Details zu den Sicherheitsproblemen. Am vergangenen Patchday haben die Entwickler unter anderem bereits ausgenutzte Lücken in FortiWeb geschlossen.

Weiterlesen nach der Anzeige


(des)



Source link

Weiterlesen

Beliebt