Datenschutz & Sicherheit
Per Dekret in die dunkle Vergangenheit

Die Feierstimmung über das neue Jahr hielt in Argentinien gerade einmal einen Tag an. Am 2. Januar wurde bekannt, dass die Regierung Milei zwei Tage zuvor in den letzten Minuten des alten Jahres das Notstandsdekret 941/2025 erlassen hatte. Das Dekret erweitert die Befugnisse des argentinischen Geheimdienst SIDE (Secretaría de Inteligencia del Estado) deutlich.
Demnach können ab sofort alle Aktivitäten des SIDE „verdeckt“ erfolgen. Agent*innen können zudem Verhaftungen ohne Haftbefehl vornehmen, zur Unterstützung kann der SIDE die Armee für Inlandseinsätze anfordern und Personenregister-Behörden müssen Daten an den Geheimdienst herausgeben.
Das Vorgehen weckt Erinnerungen an die argentinische Militärdiktatur. Argentinien hatte sich jahrelang vorbildlich darum bemüht, die Diktatur aufzuarbeiten, Milei dreht das Rad nun wieder zurück. „Dieses Dekret führt zur bisher gravierendsten Veränderung, da den Geheimdiensten seit der zivil-militärischen Diktatur keine derartigen Befugnisse eingeräumt wurden“, zeigt sich Beatriz Busaniche von der Stiftung Vía Libre besorgt.
Auch die Organisation La Coordinadora Contra la Represión Policial e Institucional (CORREPI) erinnert die Maßnahme „an die schlimmsten Praktiken der dunkelsten Periode unserer Geschichte, der zivil-militärischen Diktatur von 1976-1983“, wie sie auf Instagram schreibt.
Inlandsspionage gegen Regierungskritiker*innen
SIDE verteidigt die Notwendigkeit der Reform auf X mit Verweis auf „die aktuellen globalen Herausforderungen und die neue Rolle, die die Argentinische Republik unter der Führung von Präsident Javier G. Milei auf der Weltbühne einnimmt“. Laut der Stellungnahme des Geheimdienstes, die auch die Tageszeitung Pagina 12 veröffentlichte, streben SIDE und Mileis Regierung „ein modernes, professionelles und effizientes nationales Nachrichtendienstsystem [an], das den höchsten demokratischen und republikanischen Standards entspricht.“
Diesem Ziel seien laut Regierung auch jene Teile der Reform verpflichtet, die den Umbau weiterer Behörden vorsehen. Die Regierung brüstet sich, damit der staatlichen Verfolgung von Journalist*innen und Bürger*innen ein Ende zu setzen.
Die Bürgerrechtsorganisation Centro de Estudios Legales y Sociales (CELS) kritisiert, dass es genau anders herum sei: Durch den Wechsel des Schwerpunkts des SIDE vom Schutz der nationalen Sicherheit auf Spionageabwehr insbesondere im Inland erlaube die Reform die Verfolgung von Aktivist*innen, Journalist*innen, Indigenen und anderen Regierungskritiker*innen überhaupt erst.
Diese Schlussfolgerung zieht auch Via Libre. Zudem erschwere der komplexer werdende Zuschnitt der Behörden und Sekretariate eine Kontrolle des Geheimdienstes, beklagt Busaniche.
Wie Javier Milei die Zivilgesellschaft systematisch schwächt
Die Reform steht für die wachsende Repression und Überwachung durch die argentinische Regierung seit dem Amtsantritt Mileis im Dezember 2023.
Der rechts-libertäre Politiker trat als Außenseiter zu Wahl an und kam nur durch die Unterstützung rechter Parteien an die Macht. Seither hat seine Regierung die Zivilgesellschaft in Argentinien systematisch geschwächt.
So schränkte die Regierung gleich zu Beginn das Recht auf öffentlichen Straßenprotest stark ein („Ley Antipiquetes“, zu Deutsch: Kundgebungsverbot). Es folgten Gesetze, die vordergründig den Drogenhandel bremsen sollen, dabei jedoch auch Aktivisti treffen („Ley Antimafia“) sowie eine Reform der Online-Überwachung („Ley Ciberpatrullaje“). Außerdem erhielt die Polizei eine neue „KI-Einheit“, die Unidad de Inteligencia Artificial Aplicada a la Seguridad, UIAAS.
Zivilgesellschaft ist unvorbereitet
Die Zivilgesellschaft Argentiniens ist insbesondere auf die zunehmende Online-Überwachung nicht ausreichend vorbereitet. Weil es keine Netzneutralität gibt, sind die Meta-Plattformen WhatsApp und Instagram weit verbreitet, Signal ist hingegen kaum bekannt, Mastodon schon gar nicht.
Zwar gibt es Nichtregierungsorganisationen, die Aufklärung zu digitalen Themen betreiben. Doch NGOs wie Via Libre, Asociación por los Derechos Civiles (ADC) oder Observatorio de Derecho Informático Argentino (ODIA) sind zu klein, um hier wirklich Einfluss geltend machen zu können.
Andere Organisationen wie CELS und Amnesty International Argentina sind zwar größer, haben jedoch alle Hände voll damit zu tun, die fortwährenden Attacken aus der Casa Rosada, dem Regierungssitz in Buenos Aires, gegen die Bevölkerung abzuwehren, Klagen einzureichen und Gerichtsprozesse zu führen. Dabei können sie durchaus Erfolge vorweisen. So erzielten CELS und andere Organisationen im vergangenen Jahr einen juristischen Sieg, als ein Bundesverwaltungsgericht das Kundgebungsverbot nach zwei Jahren für verfassungswidrig erklärte.
Gesichtserkennung wird ausgeweitet
Zivilgesellschaftliche Klagen führten im Jahr 2023 auch zu einem Verbot von Gesichtserkennung im öffentlichen Raum (Sistema de Reconocimiento Facial de Prófugos, SRFP). Allerdings gilt dieses Verbot nur für die damalige Anwendung in der argentinischen Hauptstadt Buenos Aires. In anderen Städten kommt die Gesichtserkennung weitgehend ungehindert zum Einsatz.
Auf der Karte „Surveillance under Surveillance“ vom Chaos Computer Club Hamburg sind die Orte von Kamera-Überwachung weltweit kartografiert, auch argentinische Städte sind darunter. Wie viele Kameras es genau in Argentinien gibt und welche davon Gesichtserkennung einsetzen, ist unbekannt. Verschiedene Organisationen kommen dabei zu unterschiedlichen Einschätzungen.
Und laut der „SurveillanceWatch“ operieren in Argentinien aktuell 25 internationale Unternehmen der Überwachungs-Industrie. Unter ihnen sind Unternehmen wie Cellebrite, Clearview AI und Hikvision, deren Anwendungen in anderen Ländern für massive Kritik sorgen. In Buenos Aires wird die Gesichtserkennung im öffentlichen Raum wahrscheinlich schon bald wieder angewandt, die dortige Staatsanwaltschaft hat im vergangenen Jahr Clearview-Lizenzen eingekauft.
Tausende Opfer durch Polizeigewalt
Die zunehmende Überwachung ist für die meisten Menschen in Argentinien nicht das größte Problem. Sie sind vielmehr damit beschäftigt, gegen die alltägliche Polizeigewalt sowie die Kürzungen im Gesundheits- und Bildungswesen zu kämpfen. Und auch die hohe Arbeitslosigkeit und steigenden Lebenshaltungskosten lassen die staatliche Überwachung und Repression in den Hintergrund rücken. „Sie verhaften uns sowieso, wenn sie wollen“, lautet der Tenor der politisch Aktiven.
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Tatsächlich kommt es bei Demonstrationen regelmäßig zu willkürlichen Verhaftungen. Die Personen werden zwar meist schnell wieder freigelassen, harmlos ist der Kontakt zur argentinischen Polizei aber keineswegs.
Immer wieder erschießen Polizist*innen Menschen. Im Sommer 2025 töteten Beamt*innen in Buenos Aires ein siebenjähriges Kind; zuletzt kamen in den Tagen nach Weihnachten zwei Personen ums Leben. CORREPI zählt seit Ende 2023 mehr als 1.000 Tote und 1.500 Verletzte – inklusive Pressevertreter*innen – als Opfer staatlicher Gewalt.
Für 2024 hat CORREPI errechnet, dass die Stadtpolizei von Buenos Aires wegen ihrer Schusswaffeneinsätze zu den tödlichsten in ganz Argentinien zählt. Eine Polizeieinheit, mit der übrigens die Bayerische Landespolizei kooperiert, ohne das verwerflich zu finden.
Opposition will Dekret abwehren
Durch die Reform der Regierung Milei wird die Überwachung, die Repression und die Gewalt im Land weiter zunehmen. Die neue KI-Einheit UIAAS untersteht zwar dem Sicherheitsministerium und die Gesichtserkennung steht auf der Agenda der Staatsanwaltschaft der Hauptstadt. Doch es muss davon ausgegangen werden, dass es auch Verknüpfungen zur SIDE geben wird.
Manuel Tufró, Direktor für Justiz und Sicherheit bei CELS, ist wenig optimistisch, dass Parlament, Justiz und Zivilgesellschaft Transparenz herstellen können: „Es wird äußerst schwierig sein, die eingesetzten Werkzeuge der Gesichtserkennung, Spyware, KI und Techniken wie der Cyber-Patrouille zu ermitteln“, sagt Tufró, „da der Erlass festgelegt hat, dass alle Aktivitäten im Zusammenhang mit der SIDE ‚verdeckt‘ erfolgen müssen.“
Die parlamentarische Opposition will das jüngste Dekret zur Geheimdienst-Reform im Kongress abwehren. Wann und ob ihr das gelingt, ist allerdings offen. Nach der Zwischenwahl im Oktober ist sie geschwächt. Zugleich verfügt aber auch Milei über keine eigene Mehrheit im Kongress. Außerdem ist Sommerpause in Argentinien, der Kongress tagt erst wieder im März.
Am vergangenen Montag haben daher einige Abgeordnete eine gerichtliche Intervention beantragt. Sie fordern, dass das Dekret früher für verfassungswidrig erklärt wird, und ersuchen eine einstweilige Verfügung zu seiner sofortigen Aussetzung.
Internationale Aufmerksamkeit könnte diesem Widerstand guttun, damit dieses Dekret nicht wie das Kundgebungsverbot zwei Jahre in Kraft bleibt, bevor es dann gerichtlich annulliert wird.
Nina Galla ist Pressesprecherin für AlgorithmWatch in Berlin. In ihrer Freizeit beschäftigt sie sich mit den Auswirkungen von KI in der Schule und schreibt seit 2025 über die digital-politische Entwicklung in Argentinien.
Datenschutz & Sicherheit
Chatbot-inspirierte Gewalt: KI-Hersteller entschädigen Familien

In den US-Bundesstaaten Florida, Texas, Colorado and New York handeln Google und Character Technologies Vergleiche mit fünf Familien aus, deren Kinder angeblich durch Chatbot-Nutzung zu Schaden gekommen sind. Der Fall, der die meiste Aufmerksamkeit erhielt, behandelt den Suizid eines 14-Jährigen Jungen. Der Jugendliche hatte eine emotionale Beziehung zum Chatbot „Dany“ von Character Technologies aufgebaut, der den Suizid des Jungen befürwortete.
In anderen Fällen hatten Chatbots von Character Technologies angeblich Jugendliche zu Gewalt gegen ihre Eltern oder selbstverletzendem Verhalten inspiriert. Die Bedingungen der Vergleiche sind bisher öffentlich nicht bekannt und werden nach Angaben von TechCrunch weiter verhandelt. Demnach wollen sich weder Sprecher*innen von Character Technologies, noch die Anwältin der Anklage dazu äußern.
Haften Techkonzerne für ihre Chatbots?
Zwei ehemalige Google-Mitarbeiter gründeten 2021 den Chatbot-Hersteller Character Technologies. Drei Jahre später kehrten sie zu Google zurück. Im gleichen Zug erwarb der Konzern Lizenzen in Höhe von 2,7 Milliarden US Dollar von Character Technologies. Beide Gründer stehen als Angeklagte vor Gericht. Die Mutter des toten 14-Jährigen hat ebenfalls Googles Mutterkonzern Alphabet angeklagt. Sie argumentiert, dass das Unternehmen den Chatbot mitentwickelt hat. Google beteiligt sich nun auch an dem Vergleich.
Im Mai des vergangenen Jahres hatte die verantwortliche US-Bezirksrichterin Anne C. Conway entschieden, dass KI-Chatbots rechtlich als Produkte zu behandeln sind. Ihre Ausgaben seien nicht als geschützte Meinungsäußerung zu werten. Andernfalls hätte das die Chancen einer Haftungsklage stark verringert.
Gegenmaßnahme Altersbeschränkungen
Aktuell laufen in den USA sieben Verfahren gegen den Tech-Konzern OpenAI. Eine Anklage stammt von den Eltern eines 16-Jährigen Jungen. Auch sie werfen dem Unternehmen vor, dass die KI den Jugendlichen bei der Selbsttötung unterstützt habe. OpenAI zieht sich bisher aus der Verantwortung. Der KI-Hersteller verweist auf die Missachtung der Sicherheitsmaßnahmen durch den 16-Jährigen.
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Gleichzeitig führt das Unternehmen neue Tools zur Alterskontrolle und „Kindersicherung“ ein. Auch der KI-Hersteller Character Technologies hat neue Regelungen zur Altersüberprüfung eingeführt.
Präzedenzfall steht aus
Character Technologies und Google streben die nicht-öffentlichen Vergleiche wohl auch deshalb an, um Präzedenzfälle zu vermeiden, auf die sich Kläger*innen bei zukünftigen Verstößen berufen können. Außerdem ist der Schaden für die Reputation bei einem Vergleich vermutlich geringer als bei einer juristischen Niederlage.
Aline Blankertz von Rebalance Now, einem Verein der sich gegen Monopolisierung einsetzt, sagt: „Die kollektive Schutzwirkung der Gesetze wird dadurch untergraben, denn es bleibt offen, ob das Verhalten illegal war. Wir beobachten diese Tendenz in verschiedenen Rechtsbereichen.“
Blankertz erklärt auch, warum sich Kläger*innen auf Vergleiche einlassen: „Aus Sicht der einzelnen Geschädigten ergeben Vergleiche Sinn: Sie geben ihnen ein sicheres Ergebnis innerhalb kürzerer Zeit.“
Datenschutz & Sicherheit
Dr. Ansay: Neue Sicherheitslücke legte 1,7 Millionen Datensätze offen
Bei dem Telemedizinanbieter Dr. Ansay hat es eine Sicherheitslücke gegeben, durch die rund 1,7 Millionen Rezepte von rund einer halben Million Kunden potenziell einsehbar waren. Betroffen sind vor allem Cannabis-Rezepte mit Gesundheits- und personenbezogenen Daten, darunter Namen, Adressen, E-Mail-Adressen, Telefonnummern und Angaben zu den rund 15 verschreibenden Ärzten, die meist nicht aus Deutschland kommen. Außerdem waren dort Daten zu Medikamenten, Dosierungen sowie ausgewählten Apotheken einsehbar sowie beispielsweise auch Bestellungen zu Schmerzmitteln. Fragen dazu, ob Daten abgeflossen sind, beantwortet das Unternehmen nicht.
Weiterlesen nach der Anzeige
Bei heise online gingen Hinweise darauf ein, dass die Lücke auf einer Fehlkonfiguration der Zugriffsregeln einer Firebase-Firestore-Datenbank basiert. heise online konnte das bestätigen. Durch die Fehlkonfiguration konnten eingeloggte Nutzer mit einem gültigen Token nicht nur auf ihre eigenen Rezepte, sondern auf sämtliche Datensätze zugreifen. Trotz mehrerer Meldeversuche an das Unternehmen blieb eine Reaktion zunächst aus, die Daten waren bis Anfang Januar weiterhin ungeschützt. Am Abend, nachdem heise online eine Anfrage an das Unternehmen gestellt hatte, wurde die Lücke geschlossen.
Bug-Bounty-Programm
Zentrale Fragen von heise online lässt Dr. Ansay unbeantwortet und begründet den Fund mit dem Auflegen eines neu aufgelegten Bug-Bounty-Programms: „Wir gehen davon aus, dass die Lücke aufgrund eines von uns initiierten Bug-Bounty-Programm gefunden wurde“. Die Frage, ob eine Meldung an die Betroffenen gemäß Art. 34 der DSGVO erfolgt ist, lässt Dr. Ansay unbeantwortet.
Gegenüber dem Sicherheitsforscher, der die Lücke gefunden hat, hatte Dr. Ansay angegeben, eine DSGVO-Meldung an die zuständige Behörde initiiert zu haben. Anfragen von heise online an die Datenschutzbehörden in Malta und Hamburg, wo Dr. Ansay seinen deutschen Sitz hat, wurden noch nicht beantwortet.
Die Kontaktaufnahme des Sicherheitsforschers hatte sich über die Feiertage leider verzögert“, sagte eine Sprecherin. Inzwischen funktioniere die Kommunikation und das Problem habe sofort gelöst werden können. „Wir danken dem Sicherheitsforscher für die Arbeit und behandeln den Vorfall intern weiter“. Weitere Details wolle Dr. Ansay „aktuell nicht teilen, da in Zukunft Black-Hat-Hacker diese nutzen könnten und wir unsere Systeme schützen“.
Unklar bleibt, seit wann die Sicherheitslücke bestand und ab wann das Unternehmen davon wusste, ob und in welchem Umfang Daten tatsächlich abgeflossen sind, wie viele Personen konkret betroffen sind und ob diese bereits informiert wurden. Offen bleibt auch, welche konkreten Risiken für Betroffene bestehen, welche Schutzmaßnahmen geplant sind und warum die Lücke nicht durch eigene Sicherheitsprüfungen entdeckt wurde.
Weiterlesen nach der Anzeige
Viele heise-investigativ-Recherchen sind nur möglich dank anonymer Informationen von Hinweisgebern.
Wenn Sie Kenntnis von einem Missstand haben, von dem die Öffentlichkeit erfahren sollte, können Sie uns Hinweise und Material zukommen lassen. Nutzen Sie dafür bitte unseren anonymen und sicheren Briefkasten.
Interne Sicherheits- und Monitoringprozesse
Gegenüber heise online und auf Reddit hatte Dr. Ansay noch im Dezember zugesichert, dass „interne Sicherheits- und Monitoringprozesse […] kontinuerlich“ laufen würden und es „keine Hinweise auf unautorisierten Zugriff oder einen Abfluss von Daten“ gebe. Zu dem Zeitpunkt wurden in einem Untergrundforum vermeintlich von Dr. Ansay stammende Datensätze zum Verkauf angeboten. Woher die Daten kommen, ist unklar. Denkbar ist auch ein Mix aus bereits veröffentlichten Leaks anderer oder ähnlicher Plattformen. Bisher konnte die Echtheit der Daten nicht bestätigt werden.

Dr. Ansay legt großen Wert auf die Sicherheit seiner Systeme.
(Bild: Reddit)
Datenschutz habe „oberste Priorität“, gibt Dr. Ansay an. „Die Systeme werden fortlaufend überprüft. Vor dem Hintergrund der aktuell vermehrt auftretenden Phishing- und Smishing-Versuche wurden die internen Kontrollen zusätzlich noch einmal intensiviert, ohne Befund“.
Datenpanne im Mai 2024
Bereits im Mai 2024 hatte es bei Dr. Ansay eine öffentlich bekannte Datenpanne gegeben, bei der Cannabis-Rezepte über Suchmaschinen abrufbar waren. Damals meldete das Unternehmen den Vorfall an die Datenschutzbehörde, sprach von einer behobenen Lücke und informierte Betroffene per E-Mail.
(mack)
Datenschutz & Sicherheit
Sieben kritische Sicherheitslücken mit Höchstwertung bedrohen Coolify
Admins von Platform-as-a-Service-Umgebungen auf der Basis von Coolify sollten ihre Instanzen zügig auf den aktuellen Stand bringen. Geschieht das nicht, können Angreifer unter anderem an sieben „kritischen“ Sicherheitslücken mit Höchstwertung (CVSS Score 10 von 10) ansetzen, um Server vollständig zu kompromittieren.
Weiterlesen nach der Anzeige
Scans von Sicherheitsforschern von Censys zeigen, dass sich der Großteil verwundbarer Systeme in Deutschland befindet. Weltweit sind es mehr als 52.000 Instanzen. Hierzulande fanden sie knapp über 14.800 Systeme. Ob es bereits Attacken gibt, ist zurzeit unklar. Admins sollten mit dem Patchen aber nicht zu lange zögern.
Ansatzpunkte für Angreifer
Auch wenn Angreifer in den meisten Fällen authentifiziert sein müssen, ist der Großteil der Schwachstellen mit dem Bedrohungsgrad „kritisch“ eingestuft. Setzen Angreifer erfolgreich an den Lücken an, können sie etwa als Rootnutzer Schadcode ausführen und so die volle Kontrolle über Systeme erlangen (etwa CVE-2025-64424). Außerdem sind Zugriffe auf eigentlich geschützte private SSH-Schlüssel möglich (CVE-2025-64420), sodass sich Angreifer unbefugt Zugriff verschaffen können.
Fehlende Sicherheitspatches
Insgesamt sind 16 Lücken bekannt. Laut Einträgen auf GitHub (siehe Ende dieser Meldung) sind derzeit aber nur Sicherheitsupdates für acht Schwachstellen verfügbar. Wann die Entwickler die verbleibenden Lücken schließen, ist derzeit unklar.
Diese Patches sind zurzeit verfügbar:
Weiterlesen nach der Anzeige
- v4.0.0-beta.420.7
- >= 4.0.0-beta.451
Weiterführende Informationen zu den Lücken bedrohten Ausgaben und Sicherheitsupdates finden Admins in den verlinkten Warnmeldungen. Liste nach Bedrohungsgrad absteigend sortiert:
(des)
-
UX/UI & Webdesignvor 3 MonatenIllustrierte Reise nach New York City › PAGE online
-
Künstliche Intelligenzvor 3 MonatenAus Softwarefehlern lernen – Teil 3: Eine Marssonde gerät außer Kontrolle
-
Künstliche Intelligenzvor 3 Monaten
Top 10: Die beste kabellose Überwachungskamera im Test
-
UX/UI & Webdesignvor 3 MonatenSK Rapid Wien erneuert visuelle Identität
-
Künstliche Intelligenzvor 3 MonatenNeue PC-Spiele im November 2025: „Anno 117: Pax Romana“
-
Entwicklung & Codevor 2 MonatenKommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
-
Künstliche Intelligenzvor 3 MonatenDonnerstag: Deutsches Flugtaxi-Start-up am Ende, KI-Rechenzentren mit ARM-Chips
-
UX/UI & Webdesignvor 2 MonatenArndt Benedikt rebranded GreatVita › PAGE online
