Datenschutz & Sicherheit
Polizeigesetz Niedersachsen: Verfassungsrechtliche Bedenken bei geplanten Überwachungsmaßnahmen
Der Landesdatenschutzbeauftragte und Polizeirechtler*innen sehen grundlegende Probleme in dem Entwurf des neuen Polizeigesetzes von Niedersachsen. Das wurde gestern bei einer Anhörung im Innenausschuss deutlich.

Die rot-grüne Landesregierung von Niedersachsen will ihrer Polizei vier verschiedene Arten KI-gestützter Überwachung erlauben. Der Landesdatenschutzbeauftragte Denis Lehmkemper bezog nun öffentlich dazu Position. Er schreibt, dass diese Befugnisse die Eingriffsintensität in die Grundrechte gegenüber bisherigen Maßnahmen „erheblich erhöhen“. Sie würden sich auf der kritischen Grenze zwischen verbotenen KI-Praktiken und Hochrisiko-KI-Systemen bewegen. Es bestünde die Gefahr, „dass die Regelungen aufgrund ihrer Eingriffstiefe einer verfassungsrechtlichen Bewertung nicht standhalten.“
Gestern nahmen Lehmkemper und weitere Expert*innen im Innenausschuss des Landtags Stellung zum aktuellen Entwurf des niedersächsischen Polizeigesetzes. In einer Presseerklärung, die er danach versandte, zweifelt Lehmkemper daran, dass der Entwurf die Grundrechte im Blick behält.
Als besonders eingriffsintensiv benennt er die Maßnahmen mit sogenannter Künstlicher Intelligenz, wie sie sich derzeit in etlichen umstrittenen deutschen Polizeigesetzentwürfen finden: „intelligente“ Videoüberwachung, biometrische Echtzeit-Fernidentifizierung, Abgleich mit öffentlich zugänglichen Daten und automatisierte Datenanalyse. In diesen Bereichen sieht Lehmkemper „erheblichen Nachbesserungsbedarf“ an den Regelungen.
„Ein Paradigmenwechsel“
„Aus unserer Sicht sind europäische Datenschutz- und KI-Vorgaben noch nicht ausreichend berücksichtigt, damit riskiert man Rechtsunsicherheit“, schreibt er netzpolitik.org zu dem Entwurf.
Die Landesregierung will mit dem Entwurf auch Datenanalysen ermöglichen, wie sie der Konzern Palantir anbietet und die US-Einwanderungsbehörde gerade zur Jagd auf Migrant*innen nutzt. Lehmkemper sieht hier einen tiefen Eingriff in die Bürgerrechte, sogar einen Paradigmenwechsel. Während Daten von Zeugen und Opfern bislang nur zweckgebunden und vorgangsbezogen erhoben wurden, wäre es danach möglich, eine Datenbank zu betreiben, die nicht nur nach polizeilichen Vorgängen, sondern auch nach Zeugen und Opfern, also gezielt nach Personen, durchsucht werden kann.
Die Landesregierung hat bereits bekundet, keine Software von Palantir einsetzen, sondern auf eine europäische Alternative warten zu wollen. Der Datenschutzbeauftragte fordert, „völlig unabhängig davon, welches Software-System dafür eingesetzt werden soll, eine klare Begrenzung auf anlassbezogene Analysen, kürzere Speicherfristen, umfassende Betroffenenrechte und eine eindeutige Definition des Einsatzes von Künstlicher Intelligenz im Sinne der KI-Verordnung.“
„Verstoß gegen Verfassungsrecht“
Kristin Pfeffer, Professorin an der Hochschule der Polizei Hamburg, hat ebenfalls gestern im Innenausschuss das Polizeigesetz eingeordnet. In einer schriftlichen Stellungnahme, die sie dazu eingereicht hat, kritisiert sie vor allem die Befugnisse zur Datenanalyse nach Palantir-Art. Sie sieht einen Verstoß gegen das Verfassungsrecht, weil die Politik der Polizei zur Nutzung des Tools zu wenige Regeln auferlegt.
Die Big-Data-Analyse sei „äußerst eingriffsintensiv“, deshalb brauche es, wenn man sie einführen wolle, Regelungen, die die Eingriffstiefe der Maßnahme abmildern. Die gäbe es kaum. Die Art der Daten, die einbezogen werden könnten, sei kaum limitiert. Die Polizei darf dem Entwurf nach „Vorgangsdaten, Falldaten, Daten aus den polizeilichen Auskunftssystemen, Verkehrsdaten, Telekommunikationsdaten, Daten aus Asservaten und Daten aus dem polizeilichen Informationsaustausch“ nutzen.
Vorgangsdaten umfassen dabei, so Pfeffer, „Anzeigen, Ermittlungsberichte und Vermerke, die nicht nur Daten zu Verdächtigen, Beschuldigten oder sonstigen Anlasspersonen enthalten, […] sondern etwa auch Daten zu Anzeigeerstattern, Hinweisgebern oder Zeugen.“ Falldaten würden zudem „Beziehungen zwischen Personen, Institutionen, Objekten und Sachen“ sichtbar machen.
Dazu kommen „Datensätze aus gezielten Abfragen in gesondert geführten staatlichen Registern sowie einzelne gesondert gespeicherte Datensätze aus Internetquellen.“ Solche Register können laut Pfeffer Melde- oder Waffenregister oder das zentrale Verkehrsinformationssystem (ZEVIS) sein. Zudem sei die Verarbeitung von Daten, die durch besonders schwere Grundrechtseingriffe erlangt wurden, zum Beispiel durch die Wohnraumüberwachung oder den Einsatz verdeckter Ermittler*innen, nicht ausgeschlossen, sondern nur eingeschränkt.
Eine Superdatenbank
Die Politik habe es bislang auch verpasst, so Pfeffer, die Eingriffstiefe durch die Beschränkung auf inländische Quellen zu beschränken. Nach der aktuellen Fassung könnten auch Daten verarbeitet werden, die ausländische Sicherheitsbehörden erhoben haben.
Der Polizeigesetzentwurf ermöglicht es zudem, eine „Superdatenbank“ anzulegen. Pfeffer sähe eine solche aber unvereinbar mit dem aktuellen Verfassungsrecht. „Sollte das Anlegen einer vorsorglichen Datenbank gar nicht beabsichtigt sein, müsste dies in der Norm noch klargestellt werden“, schreibt sie.
Pfeffer kritisiert auch die Eingriffsschwelle für die Datenanalyse: Die liegt bereits im Vorfeld einer Gefahr für eine terroristische Straftat. Das Tool darf demnach genutzt werden, noch bevor eine Gefahr konkret wird.
Racial Profiling ist für Rot-Grün kein Thema
Matthias Fischer, Professor an der Hessischen Hochschule für öffentliches Management und Sicherheit, wurde ebenfalls gestern im Innenausschuss angehört und schreibt in einer schriftlichen Stellungnahme dazu: „Als eine besonders auffällige Leerstelle erweist sich die Thematik „Racial Profiling“.“
Zahlreiche Landesgesetzgeber hätten sich in den vergangenen Jahren bei den Novellierungen ihrer Polizeigesetze dieses Themas angenommen. „Sie haben erkannt, dass rechtswidriges oder als rechtswidrig erlebtes Polizeihandeln zu nachhaltigen Vertrauensverlusten in die Institution Polizei führen kann“, schreibt Fischer. In der Diskussion über den Reformbedarf des niedersächsischen Polizeigesetzes habe Racial Profiling aber offenbar trotzdem keine Rolle gespielt.
„Wer mit dem Anspruch antritt, das modernste Polizeigesetz Deutschlands vorlegen zu wollen, darf das Thema diskriminierender Kontrollen nicht ausblenden“, schreibt Fischer. Um der Gefahr von Racial Profiling zu begegnen, empfiehlt er eine Pflicht für Polizist*innen, Personenkontrollen vor deren Beginn zu begründen.
Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.
Datenschutz & Sicherheit
Cisco: Kritische Codeschmuggel-Lücken in ISE und mehr geschlossen
Cisco warnt vor teils kritischen Sicherheitslücken in den eigenen Produkten. Das Unternehmen hat in der Nacht zum Donnerstag zehn Sicherheitsmitteilungen veröffentlicht.
Weiterlesen nach der Anzeige
Am schwerwiegendsten sind demnach Sicherheitslücken in Ciscos Identity Services Engine (ISE), die das Einschleusen von Schadcode aus dem Netz ermöglichen. In ISE und ISE Passive Identity Connector (ISE-PIC) können angemeldete Administratoren Schadcode aus dem Netz oder Path-Traversal-Angriffe auf verwundbare Instanzen ausführen (CVE-2026-20147, CVSS 9.9, Risiko „kritisch“; CVE-2026-20148, CVSS 4.9, Risiko „mittel“). Haben Angreifer wenigstens Nur-Lese-Admin-Zugangsdaten, können sie damit aus dem Netz beliebige Befehle an das Betriebssystem von ISE-Instanzen schleusen und damit Codeschmuggel aus dem Netz betreiben (CVE-2026-20180, CVE-2026-20186, beide CVSS 9.9, Risiko „kritisch“). Updates zum Schließen der Lücken stehen bereit.
Auch in der Webkonferenz-Software Cisco Webex können Angreifer Schaden anrichten. Aufgrund einer unzureichenden Zertifikatsprüfung in der Single-Sign-on-Integration (SSO) mit Control Hub in die Webex-Dienste können bösartige Akteure aus dem Netz beliebige User in dem Dienst imitieren. Das können Angreifer ohne vorherige Anmeldung durch das Verbinden auf einen Dienst-Endpunkt durch Senden eines manipulierten Token ausnutzen, um unbefugten Zugang zu legitimen Webex-Diensten zu erlangen (CVE-2026-20184, CVSS 9.8, Risiko „kritisch“). Da es sich um einen Cloud-Dienst handelt, hat Cisco das Problem bereits serverseitig gelöst. Allerdings sollen Kunden, die SSO einsetzen, ein neues Identity-Provider-Zertifikat (IdP SAML) hochladen, um eine Dienstunterbrechung zu verhindern. Cisco erwähnt, dass bislang keine Berichte über Missbrauch der Lücken im Netz vorliegen.
Cisco schließt weitere Sicherheitslücken
Der Netzwerkausrüster listet zudem noch weitere Sicherheitslücken auf, die allesamt die Risikoeinstufung „mittel“ erhalten haben:
Admins sollten prüfen, ob sie verwundbare Cisco-Produkte einsetzen und die bereitstehenden Aktualisierungen zeitnah anwenden.
Zuletzt hatte Cisco vor zwei Wochen mehrere Sicherheits-Warnungen veröffentlicht. Auch sie haben teils kritische Sicherheitslücken behandelt.
Weiterlesen nach der Anzeige
(dmk)
Datenschutz & Sicherheit
Booking.com: Unbefugte Zugriffe von Kriminellen entdeckt
Seit Kurzem verschickt Booking.com E-Mails an Kunden, in denen das Unternehmen unbefugte Fremdzugriffe auf Buchungsinformationen einräumt. In weiteren E-Mails erhalten Betroffene neue Sicherheits-PINs für ihre Buchungen.
Weiterlesen nach der Anzeige
Auf der Webseite von Booking.com finden sich keine Hinweise dazu, jedoch räumte das Unternehmen auf Anfrage von heise security unbefugte Datenzugriffe ein. „Wir haben kürzlich verdächtige Aktivitäten festgestellt, bei denen unbefugte Dritte Zugriff auf Buchungsinformationen von einigen unserer Gäste erlangt haben“, erklärt Booking.com. Bei Entdeckung der Aktivitäten habe das Unternehmen Maßnahmen zur Eindämmung des Problems ergriffen. „Wir haben die PIN-Nummern für diese Reservierungen aktualisiert und unsere Gäste informiert“, erklärt das Unternehmen weiter.
Mögliche Zugriffe auf persönliche Daten
Booking.com räumt weiter ein, dass „möglicherweise auf E-Mail-Adressen, Telefonnummern und Buchungsdaten in Zusammenhang mit den betroffenen Reservierungen zugegriffen“ wurde, jedoch auf physische Adressen oder Postanschriften keine Zugriffe erfolgten. Das Unternehmen ist sich zudem sicher, dass keine Zahlungsdetails oder Finanzinformationen von Kunden in falsche Hände geraten sind.
Das Unternehmen gibt noch praktische Tipps und rät den Kunden, stets aufmerksam bezüglich potenzieller Phishing-Versuche zu sein. Booking.com würde niemals zur Weitergabe von Kreditkarteninformationen über Telefon, E-Mail, WhatsApp oder SMS auffordern. Ebenso wenig würde es zu Banküberweisungen auffordern, die von den Zahlungsbedingungen in den Buchungsbestätigungen abweichen. Sollten Kunden und Kundinnen Bedenken haben, sollen sie den Kundendienst kontaktieren, der rund um die Uhr erreichbar sein soll.
Beispielhafte Mail-Texte aus Informationen an betroffene Kunden finden sich etwa auf Reddit. Es handelt sich um echte Nachrichten – das Unternehmen aktualisiert die Buchungs-PINs tatsächlich. Wie es zu den unbefugten Zugriffen kommen konnte, erklärt Booking.com hingegen nicht. Das Portal hat seit Längerem mit derartigen Problemen zu kämpfen. Mitte vergangenen Jahres wurden etwa Extranet-Zugänge von Südtiroler Hotels zu Booking.com kompromittiert, wobei es zu ungeklärten Phishing-Vorfällen kam. Es scheint sogar so zu sein, dass die gesamte Hotelbranche betroffen ist. Auch Best Western Hotels beklagen seit Februar dieses Jahres weltweite Cyberangriffe auf touristische Buchungssysteme.
(dmk)
Datenschutz & Sicherheit
Ubiquiti UniFi Play: Codeschmuggel in Audiosystem möglich
In UniFi-Play-Netzen mit Ubiquiti UniFi High-End-Audiogeräten können Angreifer eine Sicherheitslücke missbrauchen, um Schadcode einzuschleusen und auszuführen. Aktualisierte Firmware steht bereit, um die Schwachstelle auszubessern.
Weiterlesen nach der Anzeige
Gleich fünf Sicherheitslücken listet die Sicherheitsmeldung von Ubiquiti aus der vergangenen Woche auf. Die zugehörigen Schwachstelleneinträge wurden jedoch erst in der Nacht zum Dienstag veröffentlicht. Drei als kritisch eingestufte Lücken sind am gravierendsten: Als erstes eine Path-Traversal-Lücke in der Firmware von UniFi Play PowerAmp und Audio Port, die Angreifer im gleichen Netzwerk zum Schreiben von Dateien im System missbrauchen können. Damit können sie auch Schadcode einschleusen und ausführen (CVE-2026-22562, CVSS 9.8, Risiko „kritisch“). Außerdem können Angreifer mit Zugriff auf das UniFi-Play-Netzwerk eine unzureichende Prüfung von Eingaben zum Einschleusen von Befehlen missbrauchen (CVE-2026-22563, CVSS 9.8, Risiko „kritisch“).
Ubiquiti UniFi Play: Weitere Sicherheitslücken
Das dritte kritische Sicherheitsleck beruht auf unzureichenden Zugriffskontrollen und ermöglicht bösartigen Akteuren mit Zugriff auf das UniFi-Play-Netz, SSH dazu zu bringen, unbefugte Änderungen am System vorzunehmen (CVE-2026-22564, CVSS 9.8, Risiko „kritisch“). Eine unzureichende Prüfung von Eingaben kann zudem dazu führen, dass Angreifer Geräte dazu bringen, nicht mehr zu reagieren (CVE-2026-22565, CVSS 7.5, Risiko „hoch“). Aufgrund unzulänglicher Zugriffskontrollen können sich bösartige Akteure mit Zugriff auf das UniFi-Play-Netz zudem WLAN-Zugangsdaten verschaffen (CVE-2026-22566, CVSS 7.5, Risiko „hoch“).
Die Sicherheitslücken betreffen UniFi Play PowerAmp 1.0.35 sowie UniFi Play Audio Port 1.0.24 und vorherige. Die Aktualisierung auf Update UniFi Play PowerAmp Version 1.0.38 sowie Update UniFi Play Audio Port Version 1.1.9 oder jeweils neuere korrigiert die zugrundeliegenden Fehler.
Mitte März wurde zuletzt eine Sicherheitslücke in Ubiquitis UniFi Network Application bekannt. Angreifer konnten sich dadurch unbefugt Zugang verschaffen.
(dmk)
-
Künstliche Intelligenzvor 2 Monaten
Top 10: Die beste kabellose Überwachungskamera im Test – Akku, WLAN, LTE & Solar
-
Social Mediavor 1 MonatCommunity Management und Zielgruppen-Analyse: Die besten Insights aus Blog und Podcast
-
Social Mediavor 2 MonatenCommunity Management zwischen Reichweite und Verantwortung
-
UX/UI & Webdesignvor 3 MonatenEindrucksvolle neue Identity für White Ribbon › PAGE online
-
Entwicklung & Codevor 1 MonatCommunity-Protest erfolgreich: Galera bleibt Open Source in MariaDB
-
Künstliche Intelligenzvor 3 MonatenInterview: Massiver Anstieg der AU‑Fälle nicht durch die Telefon‑AU erklärbar
-
Künstliche Intelligenzvor 2 MonatenSmartphone‑Teleaufsätze im Praxistest: Was die Technik kann – und was nicht
-
Entwicklung & Codevor 3 MonatenKommentar: Entwickler, wacht auf – oder verliert euren Job
