Connect with us

Datenschutz & Sicherheit

Grundrechte: Gericht stoppt Massenüberwachung des Schweizer Geheimdienstes


Die weitgehende Praxis des Schweizer Nachrichtendienstes des Bundes (NDB), die grenzüberschreitende Kommunikation mittels Funk- und Kabelaufklärung flächendeckend zu erfassen, steht vor dem Aus. Das eidgenössische Bundesverwaltungsgericht (BVGer) hat in einem Urteil vom 19. November entschieden, dass die aktuelle Informationsbeschaffung nicht mit der Bundesverfassung und der Europäischen Menschenrechtskonvention (EMRK) vereinbar ist (Az.: A-6444/2020). Hauptgrund: Die in der Schweiz praktizierte Form der „strategischen Fernmeldeaufklärung“ (Sigint) biete keinen ausreichenden Schutz vor Missbrauch und verletze so die Grundrechte der Bürger.

Weiterlesen nach der Anzeige

Der NDB beschafft mit dem Abschnorcheln von Telekommunikation Informationen über sicherheitspolitisch bedeutsame Vorgänge im Ausland. Dazu wird die gesamte grenzüberschreitende Kommunikation erfasst und automatisiert anhand von Suchbegriffen (Selektoren) durchsucht. Rein schweizerische Kommunikation – also jeglicher Austausch, bei dem sich Sender und Empfänger in der Alpenrepublik befinden – darf zwar nicht verwendet werden. Doch die Erfassung breiter Datenströme als solche wurde bereits vom Bundesgericht (BGer) als Massenüberwachung eingestuft. Tatsächlich räumte der NDB auch selbst das Vornehmen einer verdachtsunabhängigen Rasterfahndung bereits ein.

Geklagt hatten der Verein Digitale Gesellschaft sowie mehrere Privatpersonen, darunter Journalisten und ein Rechtsanwalt. Sie monierten eine Verletzung ihrer Grundrechte: Aufgrund der anlasslosen Überwachung bestehe das Risiko, dass auch ihre Daten verarbeitet und möglicherweise ausgewertet würden. Das BGer hatte bereits 2019 festgestellt, dass die Beschwerdeführenden berechtigt sind, die Unterlassung der Funk- und Kabelaufklärung zu verlangen. Es wies das BVGer an, das System umfassend auf seine Konformität mit Verfassung und EMRK zu prüfen.

Keine wirksamen Garantien gegen Missbrauch

Das BVGer unterzog das Spionageregime einer strengen Überprüfung, orientiert an den Anforderungen des Europäischen Gerichtshofs für Menschenrechte (EGMR). Dieser verlangte im Urteil Big Brother Watch vs. Großbritannien durchgehende Garantien zum Schutz vor Missbrauch. Der EGMR legte dabei besonderes Gewicht auf die vorgängige unabhängige Genehmigung, die durchgehende Aufsicht durch eine unabhängige Behörde und das Bestehen eines wirksamen Rechtsmittels zur nachträglichen Überprüfung.

In seinem jetzt veröffentlichten Urteil hält das BVGer zwar fest, dass die Umstände, unter denen Kommunikation überwacht werden darf, hinreichend vorhersehbar seien. Es goutierte auch, dass die Kabelaufklärung vorab durch ein unabhängiges Gericht genehmigt werden muss. Dennoch kommt das Gericht zum Schluss, dass das anwendbare Recht keinen ausreichenden Schutz vor Missbrauch bietet. Insbesondere sei nicht gewährleistet, dass der NDB nur erhebliche und richtige Daten bearbeite.

Gravierend ist laut dem Beschluss, dass das Gesetz keine Instrumente zum Schutz journalistischer Quellen und anderer besonders schützenswerter Kommunikation wie etwa zwischen Rechtsanwalt und Mandant enthält. Ferner sei weder eine hinreichend effektive Kontrolle der Informationsbeschaffung sichergestellt, noch stehe Betroffenen ein tatsächlich wirksames Rechtsmittel für einen nachträglichen Check zur Verfügung. Die Beeinträchtigung der Grund- und Konventionsrechte der Beschwerdeführenden sei damit nicht gerechtfertigt.

Weiterlesen nach der Anzeige

Fünf Jahre Zeit für den Gesetzgeber

Mit diesem Ergebnis müsste die Funk- und Kabelaufklärung eigentlich als Ganzes unterlassen werden. Das Gericht gab dem Gesetzgeber aber eine großzügige Frist von fünf Jahren: Vor dem Hintergrund der Bedeutung der Aufklärung für die Informationsbeschaffung des NDB und der laufenden Gesetzesrevision sollen die Mängel bis dahin behoben werden. Sollte bis 2030 kein rechtskonformer Zustand bestehen, ist die Funk- und Kabelaufklärung zwingend einzustellen. Das Urteil kann beim Bundesgericht noch angefochten werden.

Die Digitale Gesellschaft zeigte sich erfreut über den Erfolg ihrer Beschwerde. Sie wertet das Urteil als historischen Entscheid. Nach Auffassung der Bürgerrechtsorganisation ist die Massenüberwachung durch den Geheimdienst ein Eingriff in die Freiheit, der sofort eingestellt werden müsse. Die gesetzlichen Fehler seien zu groß, um die Praxis aufrechtzuerhalten.

Der NBD erfüllt in der Schweiz die Aufgaben eines Auslandsgeheimdienstes sowie die eines Inlandsnachrichtendienstes zum Schutz der Verfassung. Er ist am ehesten mit einer Kombination aus dem deutschen Bundesnachrichtendienst (BND) und dem Bundesamt für Verfassungsschutz (BfV) vergleichbar. Hierzulande erklärte das Bundesverfassungsgericht den vom BND für Sigint-Zwecke verwendeten Datenstaubsauger im Nachgang der Snowden-Enthüllungen für verfassungswidrig. Der Bundestag hielt das Werkzeug aber prinzipiell für unverzichtbar und reformierte nur die Einsatzbedingungen.


(mki)



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Projekt Aegis: Niedersächsicher Cyberschutzschild basiert auf US-Technologie


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Die Aegis ist der mythische Schild des Zeus und der Athene – und nun auch des Landes Niedersachsen. Das verkündete Innenministerin Daniela Behrens am Mittwoch auf der Landespressekonferenz. Kernstück des „Projekts Aegis“ ist ein System zur automatischen Angriffserkennung und automatischen Abwehr, beigesteuert vom kalifornischen Unternehmen Palo Alto Networks. Das seit anderthalb Jahren laufende Projekt soll die Abwehrfähigkeit der Landeseinrichtungen, aber auch von Hochschulen und Kommunen im Flächenstaat erhöhen – zu einem stolzen Preis. Insgesamt habe man mit dreißig Millionen Euro „viel Geld in die Hand genommen“, sagten die Verantwortlichen.

Weiterlesen nach der Anzeige

Die Menge und Qualität von Cyberangriffen nehme stetig zu, erklärte die Ministerin – und auch die eigenen Systeme würden komplexer. Daher habe die Digitalisierungsabteilung des Innenministeriums gemeinsam mit der IT Niedersachsen den digitalen Schutzschirm konzipiert und eingeführt. Damit sei man im Vergleich mit den anderen Bundesländern führend, erläuterte Behrens. Till Beilstein von IT Niedersachsen zog für die Herausforderungen moderner IT-Sicherheit den bekannten Burg-Vergleich heran: Eine dicke Außenmauer genüge nicht mehr. Attacken durch mutmaßlich staatliche Akteure, etwa aus russischem Staatsgebiet, aber auch aus Südostasien und dem Nahen Osten, machten einen großen Anteil der Angriffe aus.

Man wolle, so die Verantwortlichen, schneller in Erkennung und Reaktion werden und bediene sich dafür auch KI- und Cloud-gestützter Verfahren. Das XSIAM (eXtended Security Intelligence and Automation Management) des US-Unternehmens Palo Alto Networks soll hier helfen. Es ist so großzügig ausgelegt, dass es durch Land, Hochschulen und Kommunen genutzt werden kann, ist sich Ministerin Behrens sicher. Interessenten würden ab dem zweiten Halbjahr 2026 sukzessive unter den „Cyber-Schutzschild“ geholt.

Ein weiteres Ziel des Projekts ist ein ganzheitliches Lagebild der IT-Sicherheit für Niedersachsen. XSIAM soll das N-CERT (Niedersachsen Computer Emergency Response Team) bei Warn- und Meldeaufgaben unterstützen.

Digital wenig souverän – aus Sachzwang?

Von heise security gefragt, ob dies nicht dem Ziel der digitalen Souveränität widerspräche, entgegnete Ministerin Behrens: Zwar sei Palo Alto Networks ein US-Anbieter, doch habe die digitale Souveränität ihre Grenzen in der Anbieterqualität. In Ermangelung europäischer Alternativen habe man sich für den, so Behrens, weltweit führenden Firewall-Anbieter aus dem kalifornischen Santa Clara entschieden.

Fachbereichsleiter Beilstein sekundierte: Es sei über technisch-organisatorische Maßnahmen sichergestellt, dass keine Daten aus dem Landesnetz ins Ausland flössen, etwa in die Analysecloud von Palo Alto Networks.

Weiterlesen nach der Anzeige


(cku)



Source link

Weiterlesen

Datenschutz & Sicherheit

Sicherheitspatches: Atlassian sichert Confluence & Co. gegen mögliche Attacken


Atlassian hat für Bamboo, Bitbucket, Confluence, Crowd, Jira und Jira Service Management Data Center und Server wichtige Sicherheitsupdates veröffentlicht. Nach erfolgreichen Attacken können Angreifer in erster Linie DoS-Zustände und somit Abstürze auslösen.

Weiterlesen nach der Anzeige

In diesem Kontext wohl nicht kritisch

Aus einer Warnmeldung geht unter anderem hervor, dass die Entwickler zwei „kritische“ Lücken (CVE-2025-12383, CVE-2025-66516) geschlossen haben. Diese betreffen Eclipse Jersey und Apache Tika, die Bamboo und Confluence Data Center und Server einsetzen. Die Entwickler führen aus, dass die Schwachstellen die Atlassian-Anwendungen nicht unmittelbar betreffen und demzufolge ein geringerer Bedrohungsgrad gilt. Sind Attacken erfolgreich, können beispielsweise eigentlich nicht vertrauenswürdige Server als vertrauenswürdig eingestuft werden.

Die verbleibenden Sicherheitslücken sind mit dem Bedrohungsgrad „hoch“ eingestuft. Hier können Angreifer etwa für DoS-Attacken (zum Beispiel CVE-2025-52999) ansetzen. Es kann aber auch Schadcode auf Systeme gelangen (etwa CVE-2025-55752). Außerdem können sich Angreifer als Man-in-the-Middle in Verbindungen einklinken (CVE-2025-49146).

In Atlassians Warnmeldung gibt es keine Hinweise, dass Angreifer die Lücken bereits ausnutzen. So etwas kann sich aber schnell ändern und Admins sollten zeitnah die zum Download stehenden Sicherheitsupdates installieren. Alle vorigen Versionen sind den Entwicklern zufolge verwundbar.

  • Bamboo Data Center and Server:

12.0.2 Data Center Only

Weiterlesen nach der Anzeige

10.2.13 to 10.2.14 (LTS) recommended Data Center Only

9.6.21 to 9.6.22 (LTS) Data Center Only

  • Bitbucket Data Center and Server:

10.1.1 to 10.1.4 Data Center Only

9.4.15 to 9.4.16 (LTS) recommended Data Center Only

8.19.26 to 8.19.27 (LTS) Data Center Only

  • Confluence Data Center and Server:

10.2.2 (LTS) recommended Data Center Only

9.2.13 (LTS) Data Center Only

  • Crowd Data Center and Server:

7.1.3 recommended Data Center Only

6.3.4 Data Center Only

  • Jira Data Center and Server:

11.3.0 to 11.3.1 (LTS) recommended Data Center Only

11.2.1 Data Center Only

10.3.16 (LTS) Data Center Only

9.12.26 to 9.12.31 (LTS)

  • Jira Service Management Data Center and Server:

11.3.1 (LTS) recommended Data Center Only

11.2.1 Data Center Only

10.3.16 (LTS) Data Center Only

5.12.29 to 5.12.31 (LTS)


(des)



Source link

Weiterlesen

Datenschutz & Sicherheit

Weitere Probleme mit Windows Updates aus dem Januar


Microsoft hat weitere Probleme aufgrund der Windows-Sicherheitsupdates vom Januar-Patchday eingeräumt. Einige Anwendungen können dadurch nicht mehr reagieren oder Fehlermeldungen ausgeben.

Weiterlesen nach der Anzeige

Das hat Microsoft jetzt in den Windows-Release-Health-Notizen bekannt gegeben. Nach Installation der Windows-Sicherheitsupdates aus dem Januar „können einige Anwendungen nicht mehr reagieren oder unerwartete Fehler auftreten, wenn sie Dateien von cloudbasiertem Speicher öffnen oder dorthin speichern, etwa wie OneDrive oder Dropbox“, erklärt Microsoft.

Als Beispiel führt das Unternehmen auf, dass in einigen Konfigurationen, in denen Outlook PST-Dateien in OneDrive speichert, Outlook nicht mehr reagieren könne und das erneute Öffnen fehlschlage, bis der Prozess mit dem Taskmanager beendet oder das System neu gestartet wird. Zudem können versendete E-Mails dadurch nicht im Gesendet-Ordner erscheinen und bereits heruntergeladene E-Mails erneut heruntergeladen werden.

Temporäre Gegenmaßnahmen

Microsoft schlägt vor, dass Betroffene die Entwickler der nicht korrekt reagierenden App kontaktieren und sie nach alternativen Zugriffsmethoden auf die Dateien befragen sollen. Für Outlook soll etwa das Verschieben der PST-Datei aus OneDrive das Problem lösen. Dafür stellt Microsoft eine eigene Anleitung bereit. Außerdem ließen sich E-Mail-Konten noch mittels Webmailer zugreifen, sofern der E-Mail-Provider das unterstützt. IT-Verantwortliche, die dringend Hilfe zur Behebung dieser Probleme benötigen, sollen sich an den Microsoft-Business-Support wenden.

Betroffen sind laut Microsofts Erklärung Windows 11 25H2, 24H2 und 23H2, Windows 10 22H2, Enterprise LTSC 2021 und LTSC 2019 sowie Windows Server 2025, 23H2, 2022 und 2019. Microsoft arbeitet an einer Lösung und will sie so schnell wie möglich bereitstellen.

Die Updates aus dem Januar haben jetzt schon einige unerwünschte Seiteneffekte. So kann Outlook etwa einfrieren oder hängen bleiben, wenn es für die Verwaltung von POP3-Mailkonten eingesetzt wird. Zum Ausbügeln zweier Fehler hat Microsoft am Wochenende bereits Notfallupdates außerhalb der Reihe veröffentlicht. Sie korrigieren, dass Windows 11 23H2 durch die Updates nicht mehr korrekt in den Schlafmodus gehen oder herunterfahren konnte. Außerdem konnte die Windows-App nicht mehr mittels Remote-Desktop-Verbindung auf Windows 365 oder Azure Virtual Desktop zugreifen.

Weiterlesen nach der Anzeige


(dmk)



Source link

Weiterlesen

Beliebt