Datenschutz & Sicherheit
Schuldaten im Darknet veröffentlicht: Betroffener reicht Beschwerde ein
Zeugnisse, Anwesenheitslisten, Beurteilungen, Gesundheitsdaten – der Datensatz, den die Erpresser an über 40 rheinland-pfälzischen Schulen erbeuteten, umfasst alle Aspekte einer Schulverwaltung. Allein die Dateiliste umfasst 500 MByte und listet 2,2 Millionen Dateien von der Excel-Tabelle bis zum Video vom Schulausflug auf. Insgesamt veröffentlichten die Kriminellen Ende Januar über 2 Terabyte gestohlener Daten, viele davon höchst sensibel. Nun hat ein Betroffener mit seinem Anwalt Beschwerde bei der zuständigen Aufsichtsbehörde eingelegt und sowohl der betroffene IT-Dienstleister als auch die Stadt Speyer reagierten auf die Veröffentlichung.
Weiterlesen nach der Anzeige
In einer auf den 5. März datierten Pressemitteilung bestätigt die verantwortliche Topackt IT Solutions GmbH: „Seit gestern liegt nun die Bestätigung vor, dass die abgegriffenen Daten von einer bekannten Hackergruppierung im Darknet veröffentlicht wurden und dort zugänglich sind.“ Man sichte jetzt alle Daten und werde danach die „betroffenen Stellen gezielt und transparent über den Umfang der jeweiligen Daten informieren“. Überdies mahnt das Unternehmen zur Zurückhaltung, um „keine zusätzliche Aufmerksamkeit auf die Daten zu lenken und eine weitere Verbreitung zu verhindern“.
Schüler meldet Sicherheitsprobleme
Bereits einen Tag zuvor hatte die Stadt Speyer in einer knappen Erklärung ebenfalls eine Prüfung der geleakten Daten angekündigt. Einem Betroffenen ging diese „sorgfältige Prüfung“ jedoch nicht schnell genug. Der ehemalige Schüler einer Speyerer Schule begab sich im Darknet auf Spurensuche und entdeckte seine Kontaktdaten, Fehlstunden und weitere Informationen aus seiner Schullaufbahn auf der Leaksite der Lockbit-Ransomware. Er erhebt über seinen Anwalt in einer Beschwerde an den Datenschutzbeauftragten des Landes Rheinland-Pfalz schwere Vorwürfe.
So habe er bereits während seiner Schulzeit Ende 2023 Sicherheitsprobleme beim Server seiner Schule an den Dienstleister gemeldet, habe sich jedoch abgewimmelt gefühlt. Seine Eindrücke schildert der ehemalige Schüler heise security wie folgt: „Der IT-Dienstleister hat das aber sehr heruntergespielt – man brauche ja kriminelle Energie, um so etwas zu tun und es gebe ja nicht viele Schüler, die sowas können“. Getan habe sich überdies seinem Eindruck nach wenig. Das Schüler-WLAN sei eingeschränkt, eine Datei mit Klartextpasswörtern verschlüsselt und manche Benutzerpasswörter geändert worden. Ein Angebot des damaligen Schülers, die Sicherheit des Schulservers erneut zu testen, sei im Sande verlaufen.
Etwa ein Jahr später, im Januar 2025, griff ein „Affiliate“ der Lockbit-Ransomware den Dienstleister Topackt an und verschlüsselte insgesamt 45 Server. Wie für die Gruppierung üblich, legten die Kriminellen eine Kopie der Daten an und schleusten sie aus dem Netz – sie forderten Topackt zudem über ihre Leaksite auf, bis zum 30. Januar Kontakt aufzunehmen. Bereits damals bestätigte das Unternehmen heise security den Angriff und die Identität der Angreifer – warum man bei Lockbit über ein Jahr mit der Veröffentlichung wartete, bleibt unklar.

Lockbit hat terabyteweise Daten von rheinland-pfälzischen Schulen abgezogen und im Darknet veröffentlicht.
Der Beschwerdeführer ist mittlerweile kein Schüler mehr, sondern arbeitet bei einem Bamberger Unternehmen für IT-Sicherheit. Er wirft der Stadt Speyer sowie Topackt vor, nicht die notwendigen Schritte unternommen zu haben, um Datensicherheit herzustellen. Außerdem, so sein Anwalt in dem Schreiben, habe die Stadt Betroffene unvollständig informiert. So „wurden diese nicht über den Umfang des Vorfalls benachrichtigt und haben nicht (!) eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten erhalten“, schreibt Anwalt Maisch.
Weiterlesen nach der Anzeige
Wir haben uns die veröffentlichten Daten stichprobenartig angesehen. Sie entsprechen dem, was wir auf PCs einer Schulverwaltung erwarten würden – und leider lassen einige Dateien tief ins Sicherheitsniveau der angeschlossenen Schulen, womöglich aber auch des Dienstleisters blicken. So vergaben viele Schulen offenbar die Kennwörter für ihre Schüler offenbar nach einem leicht erratbaren Muster, das nicht dem Stand der Technik entspricht, für jeden Mitschüler offensichtlich ist – wohl aber nervigen IT-Support ersparen hilft. Über sechshundert Konten hatten zudem dasselbe sechsstellige kleinbuchstabige Passwort und auch die berüchtigten Kennwörter „123456“, „start“ und „test“ gaben bei mehreren hundert Konten ein Stelldichein. Immerhin 31 Mal wurde das datensparsamste Passwort „1“ vergeben – es lässt sich notfalls in einer Datenstruktur von einem Bit speichern.
Wir fanden Beurteilungen und Dienstzeugnisse von Lehrkräften sowie Fotos und Videos von Schulausflügen. In den falschen Händen ergeben die Daten Ansatzpunkte für Identitätsdiebstahl und Cybermobbing. Zu Geld machen konnte Lockbit sie jedoch offenbar nicht. Zu begrenzt ist ihr Einsatzfeld.
Dienstleister wehrt sich gegen Vorwürfe
Wir baten Topackt um eine Stellungnahme zu unseren Beobachtungen und den Vorwürfen des ehemaligen Schülers. Topackt-Geschäftsführer Michael Nist antwortete uns sehr ausführlich und schilderte detailliert, wie es zu dem Sicherheits-Lapsus kommen konnte. So sei das sechsbuchstabige Standardpasswort für automatisch installierte Systeme voreingestellt gewesen und die Kennwortrichtlinien zum Teil mit Schulen individuell vereinbart. Das sei auch notwendig, um den unterschiedlichen IT-Fähigkeiten der Schüler und Schülerinnen Rechnung zu tragen. Bereits seit dem Angriff im Jahr 2025 habe man Schulen darauf hingewiesen, dringend alle Passwörter zu ändern.
Nist widersprach jedoch vehement der Darstellung des Betroffenen. Man sei respektvoll mit ihm umgegangen, habe jedoch darauf hingewiesen, dass nur wenige Mitschüler die Fachkenntnisse des damals 17-Jährigen besäßen. Und man habe unmittelbar reagiert – einige Änderungen hätten jedoch zu Störungen im Schulbetrieb geführt und nicht zuletzt erhebliche Kosten für die Schulträger verursacht. Nist sagte heise security: „Wir weisen daher die Anschuldigung, es habe sich nichts verändert, entschieden zurück.“ Zudem habe Topackt mittlerweile seine Sicherheitsarchitektur runderneuert, Zugriffe eingeschränkt und bei einigen Schulträgern EDR-Lösungen etabliert.
Wie der Lockbit-Affiliate ins Schulnetz habe eindringen können, habe weder Topackt noch das LKA ermitteln können, sagte Nist. Vermutlich habe der Täter über einen Phishingangriff Zugriff erhalten, der Angriff habe jedoch nichts mit der durch den Ex-Schüler Jahre zuvor demonstrierten Sicherheitslücke zu tun. Diese habe nämlich auf physischer Anwesenheit in einer Schule beruht.
(cku)
Datenschutz & Sicherheit
„Freiwillige Chatkontrolle“ wird vorerst nicht verlängert
Am 3. April wird eine Ausnahmeregel auslaufen, die Anbietern von Kommunikationsdiensten erlaubt, Nachrichten ihrer Nutzenden zu scannen. Sie sollen darin nach Missbrauchsdarstellungen von Kindern und Jugendlichen zu suchen, um diese an Behörden zu melden. Diese „Chatkontrolle 1.0“ genannte Regelung gibt es seit 2021, sie schafft eine Ausnahme von der europäischen ePrivacy-Richtlinie und wurde bereits ein Mal verlängert. Nun stand eine zweite Verlängerung an, doch die scheiterte: Das EU-Parlament und die Mitgliedstaaten konnten sich bei Verhandlungen am Montag nicht auf einen Kompromiss einigen.
Diesem Scheitern ging eine Parlamentsabstimmung am Freitag voraus. Dabei hatten die Abgeordneten zwar einer Verlängerung zugestimmt, aber gleichzeitig Einschränkungen beschlossen: Das Scannen solle nur zielgerichtet bei bestimmten Nutzenden stattfinden, wenn eine Verdacht bestehe. Außerdem solle die Verlängerung bis August 2027 gelten, ein halbes Jahr weniger als von der EU-Kommission ursprünglich vorgeschlagen. Bürgerrechtler:innen begrüßten dieses Ergebnis.
Doch die Mitgliedstaaten waren offenbar nicht bereit, auf die Einschränkungen des Parlaments einzugehen. Die SPD-Europaabgeordnete Birgit Sippel, die für das Gesetz zuständig ist, kritisierte die Verhandler:innen: „Sie nehmen in Kauf, dass es den Anbietern bald nicht mehr möglich sein wird, der Verbreitung von Material über sexuellen Kindesmissbrauch entgegenzuwirken.“
Druck auf Trilog wächst
Dem Parlament sei wichtig gewesen, dass „bereits identifiziertes oder gemeldetes Material über sexuellen Kindesmissbrauch auffindbar und für Strafverfolgung verwendbar“ ist. Sippel, die zugleich innenpolitische Sprecherin der Sozialdemokrat:innen im Parlament ist, sagt: „Unser Ziel bleibt: Kinder schützen, ohne die Privatsphäre von digitaler Kommunikation komplett aufzuheben.“
Hintergrund sind parallele Verhandlungen über eine dauerhafte Regelung dazu, wie Missbrauchsmaterial im Netz bekämpft werden kann – die „Chatkontrolle 2.0“. Dazu verhandeln derzeit Kommission, Mitgliedstaaten und Parlament im Trilog. Auch dort liegen die Positionen der EU-Organe nicht gerade nah beieinander: Die EU-Kommission sah in ihrem ursprünglichen Vorschlag weitreichendes Scannen auch verschlüsselter Kommunikation vor; die Mitgliedstaaten brauchten mehrere Jahre, um eine Einigung ohne Aufdeckungspflichten zu finden, und das Parlament beschloss bereits 2023 eine Position, die sowohl verpflichtendes Scannen als auch verschlüsselte Kommunikation ausschließt.
Der Trilog-Prozess ist sehr intransparent, es soll jedoch erste Einigungen zu strittigen Punkten gegeben haben. Doch wie lange der Trilog dauert und ob der durch die gescheiterte Verlängerung der freiwilligen Chatkontrolle gestiegene Druck den Prozess beschleunigt, ist noch nicht abzusehen.
Datenschutz & Sicherheit
Gefahr im Schacht: Viele Aufzüge ohne Schutz gegen Hacker
Aufzüge in Wohn- und Geschäftsgebäuden werden zunehmend digital gesteuert – und sind damit potenzielle Angriffsziele für Cyberkriminelle. Doch zu wenige Anlagen sind ausreichend dagegen geschützt, wie der Tüv-Verband in seinem aktuellen Anlagensicherheitsreport mitteilt. Demnach wiesen knapp zwei Drittel der untersuchten Aufzüge im vergangenen Jahr geringfügige Mängel auf. Das waren mehr als 4 Prozentpunkte mehr als im Vorjahr und sogar fast 22 Prozentpunkte mehr als 2023.
Weiterlesen nach der Anzeige
Ein wesentlicher Grund für diesen Anstieg seien Defizite bei der Cybersicherheit, betont der Tüv. „Die Betreiber sind seit mehreren Jahren dazu verpflichtet, entsprechende Schutzmaßnahmen umzusetzen und diese zu dokumentieren“, hieß es. Fehle der Nachweis, führe das zu einem geringfügigen Mangel. „Hersteller und vor allem Betreiber sollten die Cybersicherheit ernst nehmen und ihren Pflichten nachkommen.“
„Immer wieder kommt es zu schweren Unfällen“
Insgesamt wurden im vergangenen Jahr knapp 723.300 Aufzugsanlagen überprüft. Mehr als jeder zehnte Aufzug wies dabei sogenannte erhebliche Mängel auf. Bei 0,8 Prozent beziehungsweise 5.800 Anlagen wies der Tüv gar gefährliche Mängel auf. 3.000 dieser Aufzüge wurden unverzüglich stillgelegt, weil sie eine Gefahr für Leib und Leben darstellten.
Grund dafür waren unter anderem verschlissene Tragseile. „Immer wieder kommt es zu schweren Unfällen“, teilte der Tüv weiter mit. „Deren Zahl kann mit dem bewährten Zusammenspiel von regelmäßiger Wartung durch den Betreiber, unabhängiger Prüfung und behördlicher Überwachung auf einem Minimum gehalten werden.“
(mho)
Datenschutz & Sicherheit
Frankfurts Polizei identifiziert Menschen per Foto-App
Donnerstag der 12. März, abends, Bahnhofsviertel von Frankfurt am Main. Die Polizei macht mal wieder Razzia, mit 200 Mann. Als der hessische CDU-Ministerpräsident Boris Rhein und sein CDU-Innenminister Roman Poseck die Szene betreten, haben die Polizist*innen schon alles angerichtet: 40 bis 50 Menschen stehen mit der Stirn zur Wand, die Hände auf dem Rücken, sie werden von Polizist*innen durchsucht, so berichtet es die Frankfurter Neue Presse.
Demnach wurden an dem Abend 414 Menschen kontrolliert, bei 36 fand man illegale Drogen, stellte Verstöße gegen die Waffenverbotszone oder das Aufenthaltsgesetz fest. Solche Großrazzien gibt es im Frankfurter Bahnhofsviertel regelmäßig. Für die zwei CDU-Landespolitiker bot die Inszenierung dennoch etwas ganz Besonderes.
Dabei wurde nämlich ein neues Polizei-Instrument vorgestellt. Eine App, die Menschen identifizieren kann. GES-App heißt die. Frankfurt ist seit einigen Wochen Testgelände dafür. Angeblich wurde sie bereits mehrfach erfolgreich eingesetzt. Dass die Polizei so etwas nutzt, ist bundesweit einmalig. Bisher kennt man es vor allem von us-amerikanischen ICE-Beamt*innen, dass sie bei Kontrollen Menschen mit Handykameras identifizieren.
Foto-Datenbank von 5,5 Millionen Menschen
Frankfurter Polizist*innen fotografieren Verdächtige, die sich nicht ausweisen können oder wollen, mit ihren Dienst-Telefonen. Die GES-App wirft die Bilder in die Gesichtersuchmaschine des BKA, die gleicht sie mit Bildern von fast 5,5 Millionen Menschen ab. Sie stammen aus der Polizeidatenbank INPOL. Dort sind Menschen mit Bild gespeichert, die erkennungsdienstlich behandelt wurden, aber auch weitere Bilder, die die Polizei im Rahmen von Ermittlungen erstellt oder beschlagnahmt hat.
Gibt es einen Treffer, erscheinen auf dem Display des Dienst-Telefons Name und Geburtsdatum der fotografierten Person und womöglich weitere Informationen. In INPOL werden unter anderem gespeichert: Vergleichsfotos, die Info, ob nach der Person gefahndet wird, personengebundene Hinweise wie etwa „Ansteckungsgefahr“ oder „Psychische und Verhaltensstörung“.
Die App ist ein Gemeinschaftsprojekt des hessischen Landeskriminalamts, des Bundeskriminalamts und einer Innovations-Abteilung der hessischen Polizei. Der hessische Innenminister berichtet bei seinem Besuch in Frankfurt, dass man bundesweit neidisch auf die High-Tech-Überwachung schaue, die dort aufgebaut wird. Es ist wohl nicht unwahrscheinlich, dass auch weitere hessische und bundesdeutsche Polizeipräsidien die GES-App einführen.
Frankfurt, das Reallabor für die GES-App, war auch ohne diese schon Gesichtserkennungs-Frontstadt. Im Bahnhofsviertel ist seit Sommer 2025 – ebenfalls bundesweit einmalig – Live-Gesichtserkennung mit festinstallierten Videokameras im Einsatz.
-
Künstliche Intelligenzvor 3 MonatenSchnelles Boot statt Bus und Bahn: Was sich von London und New York lernen lässt
-
Social Mediavor 2 WochenCommunity Management und Zielgruppen-Analyse: Die besten Insights aus Blog und Podcast
-
Social Mediavor 1 MonatCommunity Management zwischen Reichweite und Verantwortung
-
Künstliche Intelligenzvor 4 Wochen
Top 10: Die beste kabellose Überwachungskamera im Test – Akku, WLAN, LTE & Solar
-
Social Mediavor 3 MonatenDie meistgehörten Gastfolgen 2025 im Feed & Fudder Podcast – Social Media, Recruiting und Karriere-Insights
-
UX/UI & Webdesignvor 2 MonatenEindrucksvolle neue Identity für White Ribbon › PAGE online
-
Künstliche Intelligenzvor 2 MonatenAumovio: neue Displaykonzepte und Zentralrechner mit NXP‑Prozessor
-
Künstliche Intelligenzvor 3 MonatenÜber 220 m³ Fläche: Neuer Satellit von AST SpaceMobile ist noch größer
