Mit dem Digital Services Act (DSA) verpflichtet die EU sehr große Online-Plattformen, Risiken ihrer Angebote zu identifizieren und zu beheben. Weil der chinesische Fast-Fashion-Händler Shein diesen Vorgaben möglicherweise nicht ausreichend nachgekommen ist, hat die EU-Kommission nun ein Verfahren gegen das Unternehmen eröffnet. Das teilte sie am heutigen zweijährigen Geburtstag der EU-Verordnung über digitale Dienste mit.

Die Shopping-Plattform soll monatlich etwa 126 Millionen aktive Nutzer*innen in der EU haben. Seit Juni 2024 hatte die Kommission mehrfach Informationen von Shein angefragt. Die Entscheidung, eine Untersuchung einzuleiten, basiert auf diesen Auskunftsersuchen, auf einer vorläufigen Analyse der von Shein vorgelegten Risikobewertungsberichte und auf Einschätzungen dritter Parteien.

In Frankreich hatte sich im letzten Jahr bereits Widerstand gegen den Online-Händler geregt, jedoch war die französische Regierung mit dem Versuch gescheitert, die Plattform für drei Monate zu sperren.

„Illegale Produkte sind verboten“

Die Kommission attestiert dem Konzern Handlungsbedarf in drei Bereichen. An erster Stelle steht der Verkauf illegaler Waren, wegen dem der Fast-Fashion-Händler in der Vergangenheit bereits in Kritik stand. Zum Beispiel konnten genehmigungspflichtigen Waffen oder kinderähnliche Sexpuppen auf dem Marktplatz erworben werden.

Bei der Untersuchung geht es jedoch nicht darum, dass die EU gezielt den Verkauf einzelner Produktgruppen kontrollieren will. Vielmehr will sie dafür sorgen, dass die Plattform selbst ihre Systeme so gestaltet, dass Risiken minimiert werden. Konkret muss Shein also dafür sorgen, dass auf dem Marktplatz keine illegalen Waren gehandelt werden können.

„In der EU sind illegale Produkte verboten – egal, ob sie im Ladenregal oder auf einem Online-Marktplatz angeboten werden“, so EU-Kommissionsvizepräsidentin Henna Virkkunen zu dem Verfahren. „Der Digital Services Act schützt die Sicherheit und das Wohlergehen von Käufern und versorgt sie mit Informationen über die Algorithmen, mit denen sie interagieren.“

Ein zweiter Kritikpunkt betrifft mutmaßlich süchtig machendes Design des Online-Händlers. Er vergibt unter anderem Verbraucherpunkte oder Belohnungen für Engagement auf der Plattform. Das könne Suchtpotenzial entwickeln, welches sich negativ auf das Wohlbefinden der Nutzer*innen und den Verbraucherschutz im Internet auswirkt.

Außerdem kritisiert die Kommission mangelnde Transparenz des algorithmischen Empfehlungssystems von Shein. Dieses muss nach dem DSA zudem so gestaltet sein, dass sich Nutzer*innen optional für ein nicht-personalisiertes Empfehlungssystem entscheiden können.

EU ermittelt auch gegen Temu

Shein ist die zweite sehr große Plattform im Bereich Online-Handel, gegen die eine Untersuchung wegen süchtig machender Designpraktiken besteht. Bereits im Jahr 2024 hatte die EU-Kommission aus den gleichen Gründen ein Verfahren gegen Temu eröffnet.

Sollte die Kommission im Zuge der formalen Untersuchung zu einer Nichteinhaltungsentscheidung kommen, also einen tatsächlichen Verstoß gegen den DSA feststellen, kann sie zum Beispiel Bußgelder gegen das Unternehmen verhängen. Bis dahin ist es der Online-Plattform aber möglich, auf Forderungen zu reagieren und Anpassungen vorzunehmen. Wann es zu einer Entscheidung in dem Verfahren kommt, bleibt jedoch offen, denn der DSA schreibt hierfür keine Frist vor.

Der Online-Händler zeigt sich nach Angaben von Zeit.de bisher kooperationswillig: „Wir teilen das Ziel der Kommission, eine sichere und vertrauenswürdige Online-Umgebung zu gewährleisten, und werden uns weiterhin konstruktiv an diesem Verfahren beteiligen.“ Bei altersbeschränkten Produkten habe man bereits weitere Sicherheitsvorkehrungen ergriffen.

IT-Sicherheitsforscher der ETH Zürich haben drei populäre Passwort-Manager genauer untersucht. Sie stießen dabei auf einige Sicherheitslücken. Deren Missbrauch setzt jedoch die volle Kompromittierung der Server voraus, das Risiko ist daher nach Einschätzung eines Herstellers lediglich mittel bis niedrig. Viele Lücken sind offenbar bereits seit Langem gestopft.

In ihrem Forschungspapier, das die Schweizer IT-Forscher auf der Konferenz „Usenix Security 2026“ vorstellen wollen, erörtern sie detaillierter, wie sie Bitwarden mit zwölf Angriffen (zunächst zehn, später auf zwölf aufgesplittet), LastPass mit sieben und Dashlane mit sechs Attacken konfrontiert haben. Die Auswahl erfolgte anhand der Nutzerzahlen. Zusammen haben diese Passwort-Manager mehr als 60 Millionen Nutzer und Nutzerinnen und einen Marktanteil von 23 Prozent. „Die Schwere der Angriffe reicht von Verletzungen der Integrität gezielter Benutzer-Tresore bis hin zur vollständigen Kompromittierung aller mit einer Organisation verbundenen Tresore. Bei den meisten Angriffen können Passwörter wiederhergestellt werden“, erklären die IT-Forscher. Das breche das Zero-Knowledge-Prinzip, die Ende-zu-Ende-Verschlüsselung (E2EE), wodurch doch unbefugter Zugang zu Passwörtern möglich werde.

Die Angriffe benötigen nebst vollständig kompromittierter Server-Infrastruktur, bei der Angreifer die Antworten im Netz kontrollieren, in der Regel auch die Interaktion von Nutzern. Im Januar vergangenen Jahres haben die IT-Sicherheitsanalysten die Hersteller mit den Ergebnissen konfrontiert und einen 90-Tage-Zeitraum für ein Responsible Disclosure eingeräumt. Die Anbieter haben jedoch mehr Zeit benötigt, um die Schwachstellen auszubessern, und einige erachten sie zudem nicht als zu korrigierendes Problem.

Sicherheitslücken bereits gestopft

Die betroffenen Hersteller haben ihrerseits mit Veröffentlichungen zu den Schwachstellen reagiert. Bitwarden erklärt in einem Blogbeitrag, dass „alle Probleme, die in dem Bericht identifiziert wurden, vom Bitwarden-Team gelöst wurden“. Die Entwickler haben zudem einen vollständigen 35-seitigen Bericht mit Zusammenfassung, eigener Analyse und den Lösungen zu den gemeldeten Problemen zusammengestellt; neun Seiten behandeln die eigene Analyse. „Sieben Probleme wurden oder werden derzeit aktiv behoben, während drei als bewusste Designentscheidungen akzeptiert wurden, die für die Produktfunktionalität erforderlich sind“, erklären die Entwickler dort zu den ursprünglich als zehn Probleme gemeldeten Lücken, die später nochmals aufgesplittet wurden.

Dashlane schreibt in einem Blog-Beitrag, dass die Entwickler die Forschungsergebnisse ebenfalls überprüft und „Fehlerkorrekturen verteilt haben, wo das angemessen war“. Der Bugfix wurde am 5. November 2025 ab Version 6.2544.1 der Dashlane-Erweiterung verteilt. Sie ergänzen: „Es ist wichtig zu beachten, dass die Ausnutzung dieses Problems eine vollständige Kompromittierung der Server eines Passwort-Managers erfordern würde, gepaart mit äußerst fähigen Angreifern, die in der Lage sind, kryptografische Angriffe auszuführen, sowie einem extrem langen Zeitraum.“

Auch LastPass reagiert mit einem Blog-Beitrag. Demnach haben die Entwickler bereits ein Problem mit dem Icon- und URL-Handling behoben und arbeiten aktuell an Verbesserungen der Passwort-Stärke. Weitere Änderungen sind für die Konto-Wiederherstellung und Passwort-Sharing geplant. Auch die Integrität der Passwort-Vaults und der Schutz von Metadaten steht demnach auf der To-Do-Liste.

Alle Hersteller betonen, dass es sich um ein hypothetisches Szenario handelt und keine derartigen Exploits in freier Wildbahn beobachtet wurden. Es gebe auch keinen unmittelbaren konkreten Handlungsbedarf. Sie danken einhellig den IT-Forschern für ihre Arbeit und die übermittelten Ergebnisse.

Das BSI hat im vergangenen Dezember ebenfalls Passwort-Manager unter die Lupe genommen. Zwar fand die IT-Sicherheitsbehörde Verbesserungspotenzial, jedoch gibt es demnach keinen Grund, auf ihren Einsatz zu verzichten.

(dmk)

Wer mit KI-Assistenten ClawBot arbeitet, sollte sicherstellen, dass die aktuelle Version installiert ist. Ist das nicht der Fall, können Angreifer an mehr als 60 Schwachstellen ansetzen und PCs im schlimmsten Fall vollständig kompromittieren.

ClawBot ist ein äußerst mächtiger KI-Assistent, der unter anderem eigenständig Software nachinstallieren und etwa E-Mail-Programme bedienen kann. Um sein volles Potenzial zu entfalten, benötigt ClawBot weitreichende Systemrechte, was natürlich Gefahren brigt.

Verschiedene Bedrohungen

Eine Auflistung aller jüngst geschlossenen Lücken sprengt den Rahmen dieser Meldung. Das CERT Bund vom BSI zeigt in einem Beitrag insgesamt 67 Sicherheitsprobleme auf. Der Großteil der Schwachstellen ist mit dem Bedrohungsgrad „hoch“ eingestuft. Es gibt aber auch „kritische“ Schwachstellen. Trotz der Einstufung des Schweregrads finden sich in den Warnmeldungen auf der OpenClaw-GitHub-Seite keine CVE-Nummern.

Am gefährlichsten gilt eine „kritische“ Schadcode-Lücke mit maximalem CVSS Score 10 von 10. Damit eine solche Attacke klappt, muss ein Angreifer als authentifizierter Nutzer auf ein Gateway zugreifen können. Ist das gegeben, kann er auf einem nicht näher beschriebenen Weg Schadcode auf Hosts schieben und ausführen. Das führt der Beschreibung zufolge zu einer vollständigen Kompromittierung eines Systems.

Durch das erfolgreiche Ausnutzen einer weiteren „kritischen“ Lücke können Angreifer im Kontext der voice-call-Erweiterung die Authentifizierung umgehen und so nicht genehmigte oder anonyme Anrufe auslösen.

Setzen Angreifer an den verbleibenden Softwareschwachstellen an, können sie unter anderem unbefugt auf Dateien zugreifen oder durch DoS-Zustände Abstürze auslösen.

Sicherheitsupdate

Derzeit erscheinen regelmäßig neue OpenClaw-Versionen, in denen oft auch Sicherheitsprobleme gelöst werden. Die in dieser Meldung angesprochenen Lücken wurden in der Ausgabe 2026.2.15 geschlossen.

Für mehr Sicherheit hat OpenClaw jüngst den Online-Virenscanner VirusTotal an die Seite bekommen.

(des)