Connect with us

Künstliche Intelligenz

„Freitag auf dem Sofa rechnet man nicht unbedingt mit einer Zero-Day-Lücke“


Die Ausnutzung einer kritischen Sicherheitslücke in Microsoft SharePoint gehörte zu den größten Cybervorfällen des Jahres 2025. Über eine bis dahin unbekannte Schwachstelle, eine so genannte Zero-Day-Lücke, konnten Angreifer weltweit hunderte Organisationen kompromittieren, darunter Unternehmen, Universitäten und Behörden. Wie sich später herausstellte, war es offenbar der chinesische Geheimdienst, der die Gelegenheit zur Spionage nutzte.

Weiterlesen nach der Anzeige

Entdeckt wurde die Angriffswelle ausgerechnet von einer Studentin: von der niederländischen Security-Analystin Ilse Versluis. Sie hatte Bereitschaftsdienst an einem Freitagabend im Juli 2025 im Security Operations Center des Sicherheitsanbieters Eye Security, ein Job, den sie parallel zum Studium absolvierte. Im c’t-Podcast „They Talk Tech“ spricht sie nun erstmals öffentlich darüber, was ihr an jenem Freitagabend auffiel, wie sie die ersten Spuren aufdeckte und wie ihr Team den Angriff schließlich analysierte und versuchte, die Welt in Echtzeit zu informieren. Denn die Lücke wurde bereits in großem Stil ausgenutzt, jede Minute zählte.



Ilse Versluis

(Bild: eye security)

In der aktuellen Folge rekonstruieren die Hosts Eva Wolfangel und Svea Eckert gemeinsam mit Versluis die entscheidenden Stunden, als eine Warnmeldung zu einem verdächtigen PowerShell-Kommando auf einem SharePoint-Server einging, den das Unternehmen betreute.

Die Warnmeldung habe zunächst ausgesehen wie viele ihrer Art. In einem Bereitschaftsdienst in einem Security Operations Center besteht die Kunst darin, im richtigen Moment hellhörig zu werden. Aber auch als Versluis die ersten Ungereimtheiten auffielen, ahnte sie nicht, dass sie an diesem Freitagabend auf dem Sofa den chinesischen Staatshacker in den Netzen ihres Kunden in flagranti erwischt hatte. „Das Skript war verschleiert“, erzählt sie im Podcast, „das machen typischerweise Angreifer.“

Sie analysierte genauer, was hier gerade vor sich ging und stellte fest, dass das Skript versuchte, sogenannte Machine Keys auszulesen. Diese kryptografischen Schlüssel bilden die Grundlage für die Authentifizierung in Webanwendungen. Wer sie besitzt, kann im Prinzip gültige Login-Tokens erzeugen. „Das ist im Grunde die Vertrauensbasis eines Servers“, erklärt Versluis. Und das auf einem Sharepoint-Server, auf dem potenziell jede Menge sensible und vertrauliche Daten liegen! Sie rief ihre Kollegen zurück aus dem Wochenende.

Und es zeigten sich weitere Auffälligkeiten: In den Serverlogs fand sich eine verdächtige .aspx-Datei, die offenbar als Webshell diente – also als Hintertür, über die Angreifer aus der Ferne Befehle ausführen können. Noch merkwürdiger war ein Detail in den HTTP-Headern der Anfragen: Als Herkunftsseite war die SharePoint-Logout-Seite angegeben. Mit anderen Worten: Jemand, der sich gerade abgemeldet hatte, schrieb gleichzeitig Dateien auf den Server. „Das dürfte eigentlich nicht möglich sein“, sagt Versluis. Irgendjemand umging hier die Authentifizierung komplett.

Weiterlesen nach der Anzeige

Natürlich habe sie nicht mit einer Zero-Day-Lücke gerechnet, sagt Versluis. Das war einfach zu unwahrscheinlich, schließlich entdeckt man nicht alle Tage eine bis dato unbekannte Sicherheitslücke. Erst einige Stunden später sollte klar werden, dass es sich bei weitem nicht um einen einzelnen kompromittierten Server handelte.

Das Team von Eye Security begann daraufhin, weltweit nach verwundbaren SharePoint-Systemen zu suchen. Mehr als 23.000 Server identifizierten die Forscher im Internet, mehr als 400 Organisationen weltweit waren bereits kompromittiert. Microsoft ordnete die Kampagne später staatlich unterstützten chinesischen Hackergruppen zu.

Im Podcast ordnen Wolfangel und Eckert auch den technischen Hintergrund der Lücke ein und mögliche Versäumnisse von Microsoft selbst. Bereits im Mai 2025 hatte ein Sicherheitsforscher auf der Hackerkonferenz Pwn2Own eine verwandte Schwachstelle in SharePoint demonstriert. Microsoft veröffentlichte daraufhin einen Patch, der aber offenbar nicht vollständig war. Das entdeckten nicht nur Sicherheitsforscher, die daraufhin teilweise in den sozialen Netzwerken warnten, dass die Lücke weiterhin ausnutzbar war – sondern offenbar auch die chinesischen Angreifer.

Wie diese letztlich auf die Idee kamen, rund um die bereits gepatchte Lücke weiter zu suchen, oder ob sie gar an Informationen aus dem Hackercontest gelangt waren, ist bis heute unklar. Der Fall zeigt damit auch ein grundlegendes Dilemma der IT-Sicherheitsforschung: Schwachstellen müssen öffentlich gemacht werden, damit sie geschlossen werden können. Gleichzeitig können veröffentlichte Details oder unvollständige Patches Angreifern Hinweise liefern, wo es sich lohnen könnte, weiter zu suchen.

„Das ausgerechnet ich einen staatlichen Cyberangriff entdecke, das klingt immer noch surreal“, sagt Versluis rückblickend. Schließlich sei sie mehr oder weniger zufällig in der IT-Sicherheit gelandet – nachdem sie lange gedacht hatte, dass sie dort eigentlich nicht hineinpasse. Aber Cybersecurity sei ein Feld, in dem sehr unterschiedliche Fähigkeiten gebraucht würden. „Man muss nicht unbedingt der Hardcore-Hacker sein“, sagt sie. Wichtig sei eher analytisches Denken, „und die Fähigkeit, Dinge miteinander zu verbinden.“ Und natürlich Neugier. Denn Angreifer entwickeln ständig neue Methoden. „Man hört nie auf, zu lernen.“

„They Talk Tech“ erscheint jeden Mittwoch überall, wo es Podcasts gibt. Svea Eckert und Eva Wolfangel diskutieren ein Tech-Thema oder treffen inspirierende Frauen aus und rund um die Tech-Welt.


(mond)



Source link

Künstliche Intelligenz

Kommentar zu Spritpreisen: Nachhaltiges Handeln ist gerade jetzt gefragt


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Vielleicht sollte es uns alle nicht wundern. Gerade in einem Superwahljahr in Deutschland mit acht Urnengängen besteht stets die Gefahr, dass politisch Verantwortliche in hektische Betriebsamkeit verfallen, zumal es an Vorschlägen von außen wahrlich nicht mangelt. In der Debatte um Spritpreise, die schon seit Jahrzehnten ein gehöriges Erregungspotenzial bieten, können gerade Kandidaten im Vorfeld einer Wahl viel falsch machen. Dabei ist es jetzt wichtig, mit Augenmaß vorzugehen.

Weiterlesen nach der Anzeige


Martin Franz

Martin Franz

Martin Franz ist der stellvertretende Chefredakteur von heise/Autos. Das berufliche Schrauben hat er hinter sich gelassen, um sich dem Thema Mobilität auf andere Art und Weise widmen zu können: beschreibend. Die Begeisterung für das Auto hat sich verändert, ohne abzunehmen.

Der Liter Diesel kostete in dieser Woche auf der A99 nahe der Redaktion schon 2,50 Euro pro Liter. Abseits der Autobahn waren es aktuell bundesweit 2,16 Euro, was nur im direkten Vergleich irgendwie nicht ganz dramatisch erscheint. Autofahrer bekommen am eigenen Portemonnaie eine Folge des eskalierenden Konflikts im Nahen Osten ab. Viele wird es nur begrenzt trösten, dass sie noch immer auf der gemütlichen Seite einer Politik stehen, die den Frieden nicht bewahren konnte. Tauschen mit den Verhältnissen vor Ort möchte vermutlich niemand.

In den Allerwertesten gekniffen sind jene, die auf das Auto angewiesen sind und kurzfristig nicht einfach auf ein sparsameres Modell oder ein E-Auto umsteigen können. Ihnen wird die Arroganz einiger Weniger, die sich einerseits die Kombination aus PV-Anlage und E-Auto geleistet haben und gleichzeitig anderseits nun jene verhöhnen, die dazu keine Chance hatten, sauer aufstoßen. Gesellschaftlich sollte es uns allen nicht egal sein, dass gerade Menschen mit geringem Einkommen unter der aktuellen Entwicklung leiden. Denn individuelle, motorisierte Mobilität bei gleichzeitiger Eigenversorgung mit Fahrenergie ist eine feine Sache, die man sich allerdings erst mal leisten können muss.

Die gängigen Tipps zum Spritsparen kennen die meisten ohnehin. Reifen sollten einen leicht erhöhten Luftdruck bekommen, unnützes Zeug nicht mitgeschleppt und Kurzstrecken vermieden werden. Meist ist auch über einen anderen Fahrstil noch etwas rauszuholen – bei einigen mehr, bei anderen weniger. Wer das alles beherzigt, könnte vom eigenen Auto überrascht werden.

Bundeswirtschaftsministerin Katherina Reiche (CDU) will die österreichische Idee übernehmen, nach der Spritpreise nur einmal am Tag angehoben werden dürfen. Experten sind sich uneins, ob das langfristig zu niedrigeren Preisen führt. Konkret beschlossen hat die Bundesregierung, einen Teil der strategischen Ölreserven freizugeben, um Druck aus dem Markt zu nehmen – eine Idee, die naheliegenderweise ein natürliches Ende hat, also bestenfalls kurzfristig einen Effekt mit sich bringt.

Weiterlesen nach der Anzeige

Von einem Tankrabatt raten Experten ab. Der lande zum größten Teil ohnehin in den Taschen der Mineralölkonzerne, argumentiert Claudia Kemfert, Leiterin der Abteilung Energie, Verkehr und Umwelt des Deutschen Instituts für Wirtschaftsforschung. Sie plädiert für ein Klima- und Energiegeld, um Menschen mit geringem Einkommen zu entlasten. Vor allem müsse der Staat aber die Alternativen zum Auto stärken, beispielsweise über ein vergünstigtes Deutschlandticket.

Mittelfristig sollte sich jeder nochmals klarmachen, dass die Nutzung von fossilen Energieträgern perspektivisch teuer wird – in allen Lebensbereichen. Dazu wird in der aktuellen Weltlage überdeutlich, wie rasch einige Lieferketten stocken können. Strom können wir selbst herstellen, bei Öl und Gas ist Deutschland weitgehend auf Importe angewiesen. Daraus folgt, beim nächsten Autokauf das batterieelektrische Modell nicht gedanklich sofort wieder auszuschließen.

Wenn gedröhnt wird, das Ende des Verbrenners sei beerdigt, sollte schon angesichts der vorgetragenen Lautstärke der Verkündung alle Warnlampen angehen. Denn für den nach 2035 noch erlaubten Flottenverbrauch von 11 Gramm CO₂/km müssten die Hersteller eine Kompensation schaffen, die sie sehr viel kosten dürfte. Man darf gespannt sein, wie viele Anbieter von der Freiheit, ein paar wenige Neuwagen mit Verbrenner in der EU noch verkaufen zu dürfen, überhaupt Gebrauch machen werden. Zur Wahrheit gehört, dass die vermeintlich neu errungene Technologieoffenheit für den, der sie nutzen möchte, erstaunlich teuer werden dürfte.



Source link

Weiterlesen

Künstliche Intelligenz

KI-Bilder ohne Kennzeichnung: ZDF reagiert mit Fünf-Punkte-Programm


Das ZDF will mit einem Fünf-Punkte-Programm erneute Fehler mit KI-generierten Bildern und dem Umgang mit Quellen verhindern. Dazu zählen unter anderem Schulungsprogramme zu Künstlicher Intelligenz und Verifikation von Quellen und Informationen sowie verbesserte interne Abläufe, wie ZDF-Chefredakteurin Bettina Schausten in einer Sitzung des Fernsehrats des öffentlich-rechtlichen Senders in Mainz erläuterte. Auch das interne Frühwarnsystem solle verbessert werden, um Hinweise auf Fehler in Sendungen schneller zu erkennen und ihnen nachgehen zu können.

Weiterlesen nach der Anzeige

In einem Beitrag für das ZDF-„heute journal“ wurden Mitte Februar Videosequenzen gezeigt, die mit Künstlicher Intelligenz (KI) erzeugt und nicht als solche gekennzeichnet waren. Es ging um Einsätze der US-Migrationsbehörde ICE und Abschiebungen von Minderjährigen. Zum anderen wurde eine Szene mit realen Aufnahmen gezeigt, die jedoch aus einem anderen Kontext aus dem Jahr 2022 stammten und nicht von einem aktuellen ICE-Einsatz. Das ZDF entschuldigte sich später für den Fehler.

ZDF-Intendant Norbert Himmler sprach in der Sitzung des Gremiums von einem „gravierenden Vorgang“. „Glaubwürdigkeit ist unser höchstes Gut“, sagte er. Auch mit entsprechender Kennzeichnung hätten die KI-Bilder in diesem Kontext nicht verwendet werden dürfen. Die Verstöße gegen Richtlinien und Standards seien so schwerwiegend gewesen, dass die für den Beitrag verantwortliche New-York-Korrespondentin abberufen worden sei. „Ein harter, aber meiner Ansicht nach an dieser Stelle auch sehr notwendiger Schritt“, sagte Himmler.

Es habe auch große Mängel bei der Aufarbeitung des Fehlers am ersten Tag gegeben, sagte der Intendant. „Es hat einfach zu lange gedauert, bis die handwerklichen Fehler im ‚heute journal‘ vom 15. Februar und auch deren Tragweite erkannt wurden. Auch daraus müssen wir lernen und unsere Konsequenzen ziehen.“ Der Fernsehrat hat Himmler am Freitag für eine weitere Amtszeit bis 2032 im Amt bestätigt.

Chefredakteurin Bettina Schausten stellte die Bedeutung von selbstgedrehtem Material in den Fokus. „Denn wir drehen ja viel selbst im Inland und im Ausland.“ Sie sehe eine Chance als öffentlich-rechtlicher Rundfunk, wenn man mit einer „stärkeren Betonung des Eigenmaterials“ sagen könne, das sei alles „handmade“.

Weiterlesen nach der Anzeige

Schausten sprach auch davon, dass es eine Lernkultur brauche, „in der Fehler schnell zugegeben werden und nicht erst noch mal Erklärungen gesucht werden“. Man müsse diese Fehler dann anschließend auch sehr konsequent aufarbeiten und korrigieren.


(nen)



Source link

Weiterlesen

Künstliche Intelligenz

VR hat laut Meta mehr Nutzer denn je – aber das Problem liegt woanders


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Meta hat auf der Entwicklerkonferenz GDC einen Einblick in den aktuellen Stand des Quest-Ökosystems gegeben, dem bei weitem größten VR-Marktplatz.

Weiterlesen nach der Anzeige

Entgegen aller Untergangsszenarien betonte der Spielechef Chris Pruett bei einem Vortrag, dass Virtual Reality weiterhin wachse: 2025 habe das Quest-Ökosystem die bislang höchste Zahl an individuellen Nutzern erreicht. „Die Gerüchte über den Tod von VR sind stark übertrieben“, schrieb Pruett in einem Blogbeitrag, der auf seinen GDC-Vortrag vom Mittwoch folgte.

Das Nutzerwachstum allein ist jedoch noch kein Grund zum Jubeln. Dass ein Ökosystem mit der Zeit wächst, statt schrumpft, ist das Mindeste, was man erwarten darf. Und zur tatsächlichen Zahl aktiver VR-Nutzer schweigt Meta auch nach mehr als zehn Jahren. Ein Umstand, der Bände spricht.

Unklar bleibt auch, wie häufig und intensiv Menschen ihre Quest-Headsets heutzutage nutzen. Erst solche Metriken zeigen, wie vital ein Ökosystem wirklich ist.

Bei den Software-Erlösen hat sich im vergangenen Jahr nicht viel getan: Nachdem der Umsatz in 2024 noch um 12 Prozent gestiegen war, hat er 2025 nur leicht zugelegt, sagt Pruett. Dass die langjährige Meta-Führungskraft keine Zahl nennt und stattdessen auf das ohnehin langsame Wachstum der Spieleindustrie verweist, lässt nichts Gutes vermuten.

Schon im vergangenen Jahr räumte Meta ein, dass es um das Ökosystem nicht zum Besten bestellt ist: Die Enthusiasten, die Meta Quest 2 einst zum Erfolg verholfen haben, beteiligen sich heute deutlich weniger am Ökosystem und geben nicht mehr so viel Geld aus wie noch vor einigen Jahren. An ihre Stelle sind Teenager getreten, die inzwischen die aktivste Nutzergruppe darstellen, jedoch längst nicht so kaufkräftig sind und sich eher für meme-getriebene Free-to-Play-Spiele als für aufwendig produzierte VR-Titel vom Schlage eines „Batman Arkham Shadow“ oder „Marvel’s Deadpool VR“ (beides Meta-Produktionen) interessieren.

Weiterlesen nach der Anzeige

„Großbudgetierte AAA-Spiele mit Hollywood-artiger Inszenierung sind für den heutigen Markt schlicht zu teuer“, räumt Pruett ein und sagt zugleich, dass Premium-Apps und nicht Mikrotransaktion der größte Umsatztreiber sind.

Das hinter den Erwartungen zurückbleibende Wachstum des Ökosystems veranlasste Meta Anfang des Jahres zu einer radikalen Schrumpfkur: Rund 1.500 Mitarbeiter der VR-Abteilung wurden entlassen, zudem schloss das Unternehmen fast alle First-Party-Spielestudios.

Die Sparmaßnahmen gingen mit einem strategischen Kurswechsel einher: Meta Quest soll sich künftig wieder stärker auf klassische VR-Erlebnisse konzentrieren, statt auf das von vielen Nutzern ungeliebte Metaverse. Zu diesem Zweck soll weiter Geld in VR-Spiele fließen, allerdings in die von Drittentwicklern statt in Eigenproduktionen. Im vergangenen Jahr half Meta bei der Veröffentlichung von rund 140 Spielen, und 2026 sollen es noch mehr werden, sagte Pruett auf der GDC.

Ob Meta mit dieser Rückkehr zu alten Werten frühere Nutzer zurückgewinnen und zum Geldausgeben bewegen kann, ist fraglich. Zumal das Unternehmen eigene Spieleproduktionen eingestampft hat und VR-Hardware künftig teurer anbieten will.

Statt auf die nur langsam wachsende Gruppe der Enthusiasten zu bauen, setzt Meta auf weitere Investitionen – und das Prinzip Hoffnung.

Das Unternehmen vermutet, dass sich die zahlreichen Teenager, die mit VR aufwachsen und diese als natürlichen Teil ihrer Unterhaltungswelt betrachten, zu zahlungskräftigen Kernnutzern von morgen entwickeln könnten. „Meine Vermutung – und es ist nur eine Vermutung – lautet, dass Anspruch, Feinschliff und Qualität für ein junges Publikum wichtiger werden, je älter es wird“, schreibt Pruett im Hinblick auf die Gruppe der ersten „VR-Natives“.


Tomislav Bezmalinovic

Tomislav Bezmalinovic

Tomislav Bezmalinović ist fasziniert von Computerbrillen aller Art. Seit 2025 schreibt er für heise online über die neuesten Trends im Bereich Smart Glasses, VR-Headsets und AR-Brillen.

Eine weitere hypothetische Zielgruppe, auf die Meta wettet, sind medienaffine Erwachsene. Das Unternehmen erwartet, dass diese Kohorte in den kommenden Jahren an Bedeutung gewinnt. Sie sollen VR-Brillen zunächst als Fernseherersatz kaufen, um Filme und Serien zu schauen, dabei aber auch VR-Spiele entdecken, die auf Handtracking statt auf Controller setzen.

Metas nächste beiden VR-Brillen dürften genau auf diese beiden Zielgruppen zugeschnitten sein: eine ultraleichte VR-Brille für Medienkonsumenten, die ohne Controller auf den Markt kommen könnte und laut jüngsten Berichten 2027 erscheinen soll, sowie eine darauffolgende Meta Quest 4 für erwachsene VR-Enthusiasten und erwachsen gewordene VR-Natives. Offiziell bestätigt ist nur, dass Meta an zwei neuen VR-Brillen arbeitet.

Herangereifte VR-Natives und medienaffine Erwachsene als künftige Wachstumstreiber des Quest-Ökosystems: Beide Gruppen existieren bislang vor allem in den Köpfen der Unternehmensführung. Ob sie tatsächlich eine Rolle spielen werden und Meta Quest wieder zum Erfolg verhelfen können, muss sich in den kommenden Jahren zeigen.

heise online XR-Briefing abonnieren

Jeden zweiten Montag, liefern wir Ihnen die wichtigsten Entwicklungen der XR-Branche. Damit Sie alles im Blick behalten.

E-Mail-Adresse

Ausführliche Informationen zum Versandverfahren und zu Ihren Widerrufsmöglichkeiten erhalten Sie in unserer Datenschutzerklärung.

Vorerst bleibt alles beim Alten: Meta investiert weiter kräftig in Hardware und Inhalte und versucht, neue Nutzergruppen zu erschließen. Meta bleibt damit der bei weitem größte Investor in Virtual Reality, ohne den die VR-Branche kaum vorstellbar wäre.

Metas größte Konkurrenten zögern derweil: Die Zukunft der Apple Vision Pro ist derzeit ungewiss, Samsung Galaxy XR hat seit seinem Erscheinen kaum Software-Updates erhalten und ist weiterhin auf die USA und Südkorea beschränkt, und von Sony hört man keinen Mucks in Richtung einer Playstation VR 3. Immerhin wollen ByteDance und Valve noch in diesem Jahr mit Project Swan und Steam Frame zwei neue VR-Brillen auf den Markt bringen.


(tobe)



Source link

Weiterlesen

Beliebt