Connect with us

Datenschutz & Sicherheit

Sieben Werkzeuge für den Online-Rabatz


Wir haben ein Problem im Stadtbild. Vor allem in den Zentren großer Städte. Menschen fühlen sich dort bedroht. Und die Gründe dafür bedrohen unsere demokratische Gesellschaft.

Anders als Friedrich Merz glaubt, heißt das Problem nicht Migration, sondern Videoüberwachung, Gesichtserkennung und Verhaltensscanner. Denn dazu kommen Vorratsdatenspeicherung, Chatkontrolle, Palantir-Datenanalyse und vieles mehr. Das ergibt eine Welt voller Kontrolle und Misstrauen – und gepaart mit dem Rechtsruck: ein dystopisches Szenario.

Die gute Nachricht: Wir stehen der autoritären Entwicklung nicht wehrlos gegenüber. Es gibt viele Möglichkeiten, sich dagegen zu engagieren. Wenn Einzelne etwas tun, sind es Nadelstiche. Wenn viele mitmachen, kann daraus ein digitaler Riot werden. Wir alle können der Glitch sein, die Störung in der Matrix.

1. Politiker*innen kontaktieren

Findest du, das Bundesverfassungsgericht sollte ein AfD-Verbot prüfen? Dann schreib das doch Politiker*innen in Bundestag, -rat und -regierung. Die können eine solche Prüfung einleiten. Baden-Württemberg soll die Finger von Palantir-Überwachungssoftware lassen? Kontaktiere Grüne aus dem Ländle, die regieren da. Willst du, dass der Jugendclub in deiner Gegend weiter existiert? Dann teil das kommunalen Politiker*innen mit, die finanzieren ihn mit.

Deutsche und europäische Politik wird von Menschen gemacht, die interessiert, was Wähler*innen wollen. Und sämtliche Politiker*innen von der Kommissionspräsidentin bis zum kommunalen Abgeordneten nutzen E-Mail-Adressen und haben Profile auf verschiedensten Plattformen. Gerade der*die Abgeordnete deines Wahlkreises hat sicher ein Ohr für dich. Und selbst wenn deine Nachricht es nicht bis zu einem Regierungs- oder Parlamentsmitglied schafft, erreicht dein Anliegen zumindest dessen Mitarbeiter*innen.

Wer sein Anliegen mit einer Frage verbindet, kann Politiker*innen auch über abgeordnetenwatch.de kontaktieren. Die Antwort wird dann dort veröffentlicht. Auch so könnt ihr Politiker*innen zeigen, womit sie sich beschäftigen sollen – und gleichzeitig für mehr Transparenz sorgen.

So geht’s: Regierungs- oder Parlaments-Website der gewünschten Ebene (EU, Bund, Land, Kommune) suchen (zum Beispiel mit DuckDuckGo), mit den Namen der Abgeordneten zu deren Website, dort auf „Kontakt“ oder „Impressum“ klicken, da ist meist eine E-Mail-Adresse zu finden. Social Media: Name dort suchen. Deine Abgeordneten: wahlkreissuche.de und dann etwa im Bundestag nach dem Wahlkreis suchen. Anschließend Nachricht tippen, abschicken. Und/oder: abgeordnetenwatch.de.

2. Staatliches Handeln durchleuchten

Das Informationsfreiheitsgesetz ist wie eine Taschenlampe, mit der sich staatliche Behörden durchleuchten lassen. Bundesbehörden und -organe müssen viele Dokumente auf Anfrage herausgeben. Personen- und firmenbezogene Informationen werden dabei meist geschwärzt.

So kann jede*r von uns Informationen befreien, die im Kampf für eine offene und demokratische Gesellschaft nützlich sein können: Dokumente zu Pfeffersprayeinsätzen gegen Demonstrierende, Beschwerden wegen Rassismus gegen Beamt*innen, Unterlagen zu Treffen mit Lobbyist*innen.


Bild von einem Plakat. Daneben Text: Kunstdrucke kaufen.

So gehts: fragdenstaat.de besuchen, ab da ist es fast selbsterklärend.

3. Informationen durchstechen

In deiner Behörde, Firma, Partei oder Religionsgemeinschaft passieren Sachen, die du nicht mit deinem Gewissen vereinbaren kannst? Dann werde doch Whistleblower*in. Oft hilft es, wenn die Öffentlichkeit von einem Missstand erfährt, im besten Fall wird er beendet. Informationen und Beratung für potenzielle Whistleblower*innen bietet der Verein Whistleblower Netzwerk.

So geht’s: Laut des Hinweisgeberschutzgesetzes darfst du Informationen über Vergehen ungestraft weitergeben, ja nicht einmal gekündigt werden, wenn du dich an eine interne oder externe Meldestelle wendest. Die muss laut Gesetz deine Identität vertraulich behandeln.

Alternativ kannst du dich dazu entscheiden, die Presse über den Missstand zu informieren. Dabei solltest du mit Bedacht vorgehen, um Betroffene und dich selbst zu schützen. Du kannst – wenn es um Netzpolitik geht – uns eine verschlüsselte E-Mail schicken. Kolleg*innen von beispielsweise SZ, Spiegel, taz, Stern, NDR oder WDR nehmen auch Hinweise zu anderen Themen über das Hinweisgebertool SecureDrop entgegen. Es schützt die Identität der Einreichenden etwa so effektiv wie eine über den Tor-Browser verschickte, verschlüsselte Mail von einer frischen, nicht personalisierten E-Mail-Adresse.

4. Daten löschen

Eine ganze Industrie arbeitet daran, unsere persönlichen Daten zu erheben und damit Geld zu verdienen. Auch Polizeien und Geheimdienste interessieren sich dafür. Wenn dieser Datenschatz in die Hände autoritärer Regime fällt, lässt sich ein sehr gefährliches Kontrollniveau erreichen. Was gegen die Bedrohung hilft? Daten anfordern, Daten löschen lassen und bei Missständen womöglich die Datensammelnden verklagen.

So geht’s: Wie man Selbstauskünfte anfordert, haben wir ausführlich beschrieben. Über datenschmutz.de kannst du die Informationen anfordern, die Polizeien und Geheimdienste über dich speichern. Bei Daten, die unrechtmäßig erhoben wurden, kannst du die Löschung einfordern. Informationen aus privatwirtschaftlichen Datensammlungen bekommst du mit Hilfe von datenanfragen.de. Der Dienst unterstützt auch bei Lösch-Ersuchen. Wenn Konzerne bei der Datensammlung zu weit gegangen sind, kannst du sie auch verklagen. Aktuell laufen beispielsweise Klagen gegen Facebook und Google, die für die Klagenden 2.000 Euro bringen können. Wenn du keine Rechtsschutzversicherung hast, kannst du deine Ansprüche auch für 50 beziehungsweise 40 Euro verkaufen.

5. Demos anmelden

Straßenprotest ist unverzichtbar, um ordentlich Rabatz zu machen. Gemeinsam mit der massenhaften persönlichen Präsenz für ein Anliegen einzutreten, sendet ein deutliches Zeichen an Entscheider*innen. Nicht selten in der Geschichte sind sogar Regierungen durch Proteste auf der Straße gestürzt worden.

Straßenprotest gibt es nicht vom Endgerät aus. Aber zumindest die Anmeldung und Bewerbung von Demonstrationen lässt sich online erledigen. Und praktische Tipps für deine erste Demo haben wir auch.

Was du vorhast, musst du der zuständigen Versammlungsbehörde mitteilen – und zwar in der Regel mindestens 48 Stunden, bevor du anfängst, öffentlich dafür zu werben. Eine Mail reicht aus, viele Städte und Kommunen bieten auch Onlineformulare zur Demo-Anmeldung. Berlin veröffentlicht die angemeldeten Demonstrationen sogar. So könnt ihr schauen, welche Anliegen ihr gerne unterstützen möchtet.

So geht’s: Suche im Internet, bei welcher Behörde du eine Demonstration in der Stadt deiner Wahl anmelden kannst. Im Zweifelsfall frag die Polizei (nicht via 110). Dann schreibst du der Behörde eine Mail mit Namen, Geburtsdatum und Adresse der anmeldenden und der versammlungsleitenden Person sowie Ort, Zeit und Thema der Demo, gegebenenfalls noch Streckenverlauf und Zahl der Ordner*innen und (Lautsprecher-)Wagen. Anschließend meldet sich meist jemand bei dir, um Details abzusprechen. Danach darfst du dein Anliegen auf die Straße tragen. Was du sonst noch beachten musst – und was du tun kannst, damit du nicht alleine demonstrieren musst, steht hier.

6. Mitstreiter*innen unterstützen

Zum Glück gibt es eine starke Zivilgesellschaft, die für die Grund- und Freiheitsrechte und für die Einhegung autoritärer Bestrebungen eintritt. Menschen und Organisationen, die intensiv in diese Auseinandersetzung eingebunden sind, kann man unterstützen. Die Liste der organisierten Streitenden für eine freie, offene und demokratische Gesellschaft ist lang – mit welchen Gruppen und welchen Kämpfen man sich solidarisch erklärt, ist eine ganz persönliche Entscheidung. Manche von uns sind Fans von (unter anderem!) SeaWatch, Cadus, democ, FragDenStaat, Correctiv, dem Adenauer SRP+, der Gesellschaft für Freiheitsrechte oder European Digital Rights.

So geht’s: Sende ihnen Geld (lieber per Online-Überweisung als per PayPal) oder verbreite ihre Inhalte über Social Media und Nachrichten an Bekannte und Freunde.

7. Petitionen einreichen

Du hast der Regierung etwas zu sagen, willst Druck machen für ein Anliegen, das dich interessiert oder dich gegen ein geplantes Vorhaben aussprechen? Reich eine Petition ein!

Das geht per Online-Tool der Bundesregierung. Deine Petition muss geprüft und – mindestens mit der Art der Erledigung – beantwortet werden. Wenn du dich für eine öffentliche Petition entscheidest und innerhalb von sechs Wochen 30.000 digitale Unterstützer*innen findest, darfst du in einer Sitzung des Petitionsausschusses des Bundestages für dein Anliegen werben – und der Ausschuss muss dann öffentlich darüber beraten.

Auch die Bundesländer müssen sich mit Petitionen befassen. Das Recht, dass deine Petition angehört wird, gilt für sämtliche öffentlichen Stellen: Bürgermeister*innen, Schulamt, Ausländerbehörde und so weiter. Petitionen an das Europäische Parlament könnt ihr über dessen Petitionsportal einreichen. Und wer mit einer Europäischen Bürgerinitiative eine Million Stimmen sammelt, sorgt dafür, dass sich die Europäische Kommission mit dem Anliegen beschäftigen muss.

Es gibt auch nicht-staatliche Anbieter von Petitionsplattformen. Die dort gehosteten Anliegen sind ebenfalls gelegentlich Bestandteil von Kampagnen, die Entscheidungen beeinflussen.

So geht’s: Die verschiedenen Petitionsplattformen durchscrollen und digital signieren, was du für wichtig hältst. Oder selbst eine Petition aufsetzen, zum Beispiel bei Bundestag und Ländern. Bekannte private Petitionsplattformen sind unter anderen WeAct von Campact, innn.it oder openpetition.org.



Source link

Datenschutz & Sicherheit

Kritische Lücke in Automatisierungstool: n8n erlaubt Codeschmuggel


Die No-Code-Automatisierungslösung n8n erfreut sich großer Beliebtheit, erlaubt sie doch auch Programmieranfängern, mit einem grafischen Werkzeug komplexe Abläufe einzurichten, API-Anfragen zu stellen und LLMs automatisiert zu nutzen. Vier kritische Sicherheitslücken, eine davon gar mit der Maximalwertung von 10 Punkten, verleiden Systemverwaltern jedoch aktuell die Freude an dem Werkzeug. Experten sind uneins, wie kritisch die Lücke ist.

Weiterlesen nach der Anzeige

Wenn Sicherheitslücken mit griffigen, möglichst gruselig klingenden Namen auftauchen, ahnt der geneigte Leser oft nichts Gutes, so auch bei „Ni8mare“. So nannte die Sicherheitsfirma Cyera den Fehler mit der CVE-ID CVE-2026-21858 und stufte ihn als kritisch ein – nebst CVSS-Maximalwertung von 10. Sobald ein per n8n erstelltes Webformular aus dem Web zugänglich ist, sei es Angreifern möglich, beliebige Dateien des n8n-Servers auszulesen.

Doch eine neue Analyse der Lücke durch Horizon3.ai relativiert das Risiko: Zwar sei die Sicherheitslücke tatsächlich vorhanden und aus der Ferne ausnutzbar, doch gebe es mehrere Vorbedingungen, die bei keinem Kunden des Unternehmens erfüllt seien. So fehle es meist an einer Möglichkeit, die gewonnenen Daten zu exfiltrieren. Admins sollten ihre n8n-Instanzen flicken, Panik sei jedoch unangebracht.

Zusätzlich zu „Ni8mare“ gibt es noch „N8scape“ (CVE-2025-68668, CVSS 9,9, kritisch), eine bereits in der Weihnachtszeit publizierte Lücke, die angemeldeten Nutzern ungeplant erlaubt, Python-Code auf dem n8n-Hostsystem auszuführen. Dafür müssen sie jedoch ausreichend Berechtigungen besitzen, um Arbeitsabläufe zu erstellen oder zu verändern. Ebenfalls ungeplante Codeausführung bietet CVE-2027-21877 (CVSS 9,9, kritisch).

Die aktuell größte Gefahr geht jedoch von einer Lücke aus, die gar nicht als kritisch ausgewiesen ist: CVE-2025-68613 stellt zwar mit einem CVSS-Punktwert von 8,8 „nur“ eine „hohe“ Gefahr dar, lässt sich aber mit „Ni8mare“ verknüpfen, wie ein „Proof of Concept“-Exploit (PoC) beweist. Setzt man diesen auf eine verwundbare n8n-Instanz an, so lassen sich nicht nur Dateien des Hostsystems auslesen, sondern zusätzlich beliebige Systemkommandos ausführen (Remote Code Execution, RCE). Die abwiegelnde Analyse von Horizon3.ai mag also für „Ni8mare“ allein stimmen, erweist sich aber im Zusammenspiel mit einer zusätzlichen Sicherheitslücke als trügerisch.


PoC für n8n-Lücke CVE-2026-21858 + CVE-2025-68613

PoC für n8n-Lücke CVE-2026-21858 + CVE-2025-68613

Bin ich drin? Das war ja einfach! Dieser Exploit verkettet zwei Sicherheitslücken zur Codeausführung bei n8n, hier in einem Docker-Container.

Weiterlesen nach der Anzeige

Wer n8n auf eigenen Systemen einsetzt, etwa als Docker-Container, sollte direkt ein Update auf Version 2.0.0 erwägen. Zwar sind einige der kritischen Sicherheitslücken auch in Versionen des 1.x-Baums behoben, doch dessen Produktunterstützung endet bald: Am 15. März 2026 ist Schluss, drei Monate nach Veröffentlichung von n8n 2.0.0.

Neben den vier kritischen Lücken finden sich in der Sicherheitslücken-Übersicht auf GitHub weitere Sicherheitsprobleme, die in den letzten Tagen und Wochen bereinigt wurden.

n8n ist eine deutsche Start-up-Erfolgsgeschichte. Das Projekt gewann kürzlich mit einem Zuwachs von 112.400 GitHub-Sternen im Jahr 2025 die „Rising Stars“ des beliebtesten JavaScript-Projekts, die dahinterstehende n8n GmbH gilt nach einer neunstelligen Finanzspritze als „Einhorn“ mit einer Bewertung von 2,5 Milliarden US-Dollar.


(cku)



Source link

Weiterlesen

Datenschutz & Sicherheit

Kein Patch im BMW: ”Pwn My Ride“-Lücke in CarPlay und AirPlay bleibt bestehen


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Kein Patch trotz teurem Schlitten: BMW hat sich offenbar dazu entschlossen, für seine Car-Entertainment-Systeme keine Fehlerbehebungen für die sogenannte Pwn-My-Ride-Lücke an die Kundschaft zu geben. Das im Frühjahr 2025 entdeckte Problem ist massiv, betrifft Apples Streamingprotokoll AirPlay sowie bei Fahrzeugen auch CarPlay – und kann zur Übernahme ganzer Geräte genutzt werden. Apple hatte seine eigene Hardware verhältnismäßig schnell gepatcht, doch viele Anbieter von Unterhaltungselektronik mit AirPlay- und CarPlay-Fähigkeit zogen entweder nicht nach oder brauchten Monate. Im September hieß es etwa, dass noch zahlreiche Autohersteller betroffen sind. Unklar war zum damaligen Zeitpunkt, welche Marken Patches ganz unterlassen. Das wird nun langsam deutlich.

Weiterlesen nach der Anzeige

Ein Mac & i-Leser, der einen BMW i3s besitzt, der im Februar 2024 übernommen wurde, versuchte seit vielen Monaten, eine Antwort vom Hersteller zu bekommen. Nachdem bei Werkstatt und Kundenservice wenig auszurichten war, wendete er sich an das BMW-Beschwerdemanagement. Das Ergebnis war ernüchternd. Zwar räumte BMW ein, dass das Fahrzeug von der grundsätzlichen Lücke (CVE-2025-24132) betroffen ist. Allerdings sieht der Konzern keine Gefahr.

Man habe das Leck „kurz nach Veröffentlichung“ von „unseren Experten“ prüfen lassen. Dabei ergab sich dann Folgendes: „Die gemeldete Sicherheitslücke erfordert, dass ein Angreifer mit einem böswilligen Gerät aktiv eine Kopplung mit der Headunit des Fahrzeugs via Bluetooth durchführt.“ Dieser Kopplungsprozess setzte sowohl eine direkte Initiierung aus dem Kopplungsmenü des Fahrzeugs als auch eine PIN-basierte Validierung voraus. „Dieser mehrstufige Prozess stellt sicher, dass eine unbeabsichtigte oder unautorisierte Kopplung praktisch ausgeschlossen [ist].“ Angesichts dieser „strengen Voraussetzungen“ wird „das Sicherheitsrisiko für unsere Kunden als äußerst gering“ eingeschätzt.

Und da das Ausnutzen der Sicherheitslücke „von unseren Security-Experten als äußerst gering eingeschätzt“ wurde, sei eben „kein weiteres Software-Update für Ihr Fahrzeugmodell geplant“. Er hoffe, „dass diese Erklärung Klarheit und Sicherheit in Bezug auf die bestehenden Maßnahmen zum Schutz der Kundensicherheit bietet“, so der Bearbeiter weiter. Der Mac & i-Leser ist mit der Entscheidung nicht einverstanden: „Für meine Wenigkeit trägt das Verhalten von BMW nicht zur Kundenbindung bei.“

Tatsächlich lässt sich die Entscheidung BMWs nur schwer nachvollziehen. Zur Anwendung eines potenziellen Exploits – also der Übernahme des Car-Entertainment-Systems mit möglicherweise schweren Folgen – reicht es aus, physischen Zugriff (also samt Schlüssel) auf das Fahrzeug zu haben. Die Kopplung ist weder durch ein Nutzerpasswort geschützt noch auf andere Art – das kennt man etwa aus Mietfahrzeugen, in denen zig Bluetooth-Profile zu finden sind. BMW reagierte auf eine Anfrage an die Pressestelle zunächst nicht. Mit „Pwn My Ride“ ist ein Root-Zugriff auf das Unterhaltungssystem samt aller sich daraus ergebender Möglichkeiten verbunden: Von der Manipulation des Systems über das Abgreifen von Daten bis zu Spionage. Die Firma Oligo, die das Problem entdeckt hat, veröffentlichte dazu mehrere recht beeindruckende Beispiele, die auch über CarPlay laufen.

Weiterlesen nach der Anzeige


(bsc)



Source link

Weiterlesen

Datenschutz & Sicherheit

Mediaplayer VLC: Aktualisierte Version stopft zahlreiche Lücken


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Das VideoLAN-Projekt hat mit den Versionen 3.0.22 und 3.0.23 des VLC Player diverse Sicherheitslücken beim Verarbeiten von unterschiedlichen Medienformaten ausgebessert. Wer die Software zum Streamen und zur Medienwiedergabe einsetzt, sollte auf die jüngste Version aktualisieren.

Weiterlesen nach der Anzeige

In einer Sicherheitsmitteilung erörtert das VideoLAN-Projekt die Sicherheitslücken, die VLC 3.0.22 bereits schließt. Die Schwachstellen können VLC abstürzen lassen, die Entwickler schließen jedoch nicht aus, dass sie sich verknüpfen lassen, um Schadcode auszuführen oder Nutzerinformationen preiszugeben. Immerhin haben sie keine Hinweise darauf, dass die Lücken bereits missbraucht würden.

Die Schwachstellen betreffen die Verarbeitung der Formate und Verarbeitungsmodule MMS, OggSpots, CEA-708-Untertitel, ty, CVD-Untertitel, Ogg-Demuxer, WebVTT, NSV-Demuxer, SRT-Untertitel, ASF, MP4-Demuxer, SPU-Decoder, SVCD-Untertitel-Decoder, tx3g-Untertitel-Decoder und schließlich den Audio-Ausgabe-Puffer auf dem Stack. In den News listen die Programmierer in den Änderungen zwischen VLC 3.0.22 und 3.0.21 unter „Security“ noch weitere Schwachstellen auf und merken an, dass auch diese Liste nicht erschöpfend ist.

Die jüngere Version VLC 3.0.23 ist laut Release-Notes nur ein kleines nachgeschobenes Fix-Release. Allerdings korrigiert auch sie einige weitere Sicherheitslücken, wie in den VLC-News nachzulesen ist. Etwas stakkatoartig listen die Entwickler dort auf, dass sie eine „Null Deref“ in libass behoben haben, was vermutlich eine Null-Pointer-Dereferenzierung meint. In den Modulen zur Verarbeitung von Theora und CC-708 gab es offenbar undefinierte Shifts, in Daala hingegen einen Integer-Überlauf. Der h264-Parser konnte in eine Endlosschleife geraten. Zudem korrigierten sie darin einen Pufferüberlauf in PNG sowie mehrere „Format-Überläufe“.

Auf der Download-Seite von VLC steht die Software vorkompiliert für diverse Plattformen zum Herunterladen bereit. Inzwischen wurde die Software 6 Milliarden Mal heruntergeladen; die Entwickler planen zudem die Ergänzung von lokalen KI-Funktionen.


(dmk)



Source link

Weiterlesen

Beliebt