Connect with us

Datenschutz & Sicherheit

UN-Report zu KI-Umweltkosten: Gut gemeint, schlecht gerechnet


Ein neu veröffentlichter Report des „UNU Institute for Water, Environment and Health“ untersucht die Umweltkosten des KI-Booms. Er beziffert dabei nicht nur CO₂-Bilanz, sondern auch den Wasser- und Flächenverbrauch der Rechenzentren – also der Infrastruktur hinter weiten Teilen unseres digitalen Alltags.

Die Eckzahlen des UN-Berichts: Rechenzentren hätten im Jahr 2025 weltweit rund 448 Terawattstunden Strom verbraucht. KI-Workloads machten dabei bereits rund 20 Prozent ihres Stromverbrauchs aus. Würden die Rechenzentren als ein Land gelten, wäre es der elftgrößte Stromverbraucher der Welt. Bis zum Jahr 2030 könnte der KI-Anteil ihres Stromverbrauchs auf 40 Prozent steigen. Als Land betrachtet wären Rechenzentren dann mit einem Stromverbrauch von über 945 Terawattstunden der sechstgrößte Stromverbraucher der Welt.

Der Wasser-Fußabdruck der Rechenzentren wird für das Jahr 2030 auf 9,3 Billionen Liter prognostiziert. Dies sei genug, um den jährlichen Wasserbedarf aller 1,3 Milliarden Einwohner:innen in Subsahara-Afrika ein ganzes Jahr lang zu decken. Der mit dem Stromverbrauch verbundene Flächen-Fußabdruck für das Jahr 2030 werde ferner über 14.500 km² betragen, was etwa der doppelten Größe des Großraums Jakarta entspricht, in dem über 32 Millionen Menschen leben.

Den CO₂-Ausstoß der Rechenzentren beziffert die Studie für das Jahr 2025 auf 189 Millionen Tonnen und projiziert ihn für das Jahr 2030 auf 399 Millionen Tonnen. Der größte Teil des Energiebedarfs entfalle mit 80 bis 90 Prozent nicht auf das Training der Modelle (wie beispielsweise ChatGPT, Claude und DeepSeek), sondern auf die Inferenz – also auf den alltäglichen Betrieb mit milliardenfachen Anfragen der Nutzer:innen.

Veraltete Daten, fehlende Vergleiche

Das Science Media Center Germany hat insgesamt acht Forschende um eine wissenschaftliche Bewertung des UN-Reports gebeten. Die Expert:innen sehen darin einen hilfreichen Einstieg in ein relevantes Thema. Zugleich kritisieren sie den Report als oberflächlich, methodisch schwer nachvollziehbar, stellenweise undifferenziert und verkürzt. Er vernachlässige Vergleiche mit anderen Sektoren und konzentriere sich bei Lösungsvorschlägen auf das individuelle Nutzungsverhalten.

„Insgesamt stehe ich dem Bericht kritisch gegenüber. Es ist aktuell sehr wichtig, verlässliche und belastbare Zahlen zum Ressourcenverbrauch von künstlicher Intelligenz zu veröffentlichen, um die Fülle an Informationen richtig einzuordnen“, sagt David Kappel von der Universität Bielefeld. „Leider wird der Bericht diesem Anspruch nicht gerecht: Er ist teilweise schwer nachvollziehbar, beruht auf alten Daten oder stellt diese nicht im angemessenen Kontext dar.“

Alles netzpolitisch Relevante

Drei Mal pro Woche als Newsletter in deiner Inbox.

Der Bericht betone den Flächenverbrauch der erneuerbaren Energien, blende jenen der fossilen Energieträger aber weitgehend aus. „Die Rolle der Fotovoltaik wird gar nicht diskutiert. Obwohl sie bei den meisten Kennzahlen sehr gut abschneidet und in den vergangenen Jahren besonders stark gewachsen ist“, so Kappel. Auch arbeite der Bericht mit veralteten Energiemix-Zahlen von 2015.

Die für das Jahr 2030 projizierte Verdopplung des CO₂-Ausstoßes aufgrund der Rechenzentren beruhe grundsätzlich auf nachvollziehbaren Daten der Internationalen Energieagentur, sagt Jens Gröger vom Verein Öko-Institut. Einzelne akademische Fallstudien seien aber ungeeignet, um den Stromverbrauch einer KI-Textantwort oder eines KI-Bildes auf die milliardenfache tägliche Nutzung hochzurechnen. Die KI-Anbieter selbst arbeiten in dieser Hinsicht sehr intransparent und veröffentlichen kaum Daten, so Gröger.

Big-Tech erklärt das Problem zur Lösung

Auch die Berechnungen zum Wasserverbrauch sehen drei Hydrolog:innen kritisch. „Leider wird aus dem Bericht nicht ersichtlich, woher die Daten für die Abschätzung des Wasserfußabdrucks stammen“, sagt Martina Flörke von der Ruhr-Universität Bochum. Ferner werde nicht zwischen verbrauchtem und gebrauchtem Wasser unterschieden, sagen auch Petra Döll von der Goethe-Universität Frankfurt und Thorsten Wagener von der Universität Potsdam. Die Begriffe seien nicht synonym zu verwenden, weil entnommenes Wasser wieder unmittelbar zur Verfügung steht, verbrauchtes Wasser hingegen nicht.

Auch der wiederkehrende Vergleich mit dem Wasserbedarf in Subsahara-Afrika sei wenig aussagekräftig. Besser wäre ein Vergleich mit industriellen Wassernutzern an dem Standort, wo der Wasserverbrauch tatsächlich entsteht, so Wagener. Auch Flörke sagt: „Der Bericht übt Vergleiche mit Trinkwasserbedarfen in Subsahara-Afrika, wobei ein globaler Wasserverbrauch verwendet wird. Dies ist nicht zielführend und wird den Ausbau digitaler Infrastrukturen und Rechenzentren in Afrika nicht stoppen.“

Wir sind ein spendenfinanziertes Medium.

Unterstütze auch Du unsere Arbeit mit einer Spende.

Einsparungspotenzial ist Machtfrage

Der wohl schärfste Einwand der Forscher:innen gilt aber der Stoßrichtung der Einsparungspotenziale. So sagt Gröger: „Die von diesem Boom profitierenden Tech-Unternehmen – insbesondere Amazon, Google, Meta und Microsoft – werden in der Studie nicht genannt. Es werden auch keine Vorschläge gemacht, wie deren Macht eingeschränkt und sie zur Verantwortung gezogen werden können.“ Stattdessen werde Software-Entwickler:innen und Konsument:innen Tipps gegeben, um ihren individuellen Umweltfußabdruck zu reduzieren, so Gröger. „Nachdem die Studie die dramatischen Probleme genannt hat, die durch den KI-Ausbau entstehen, hätte ich erwartet, dass wesentlich offensivere Lösungsvorschläge gemacht werden.“

Auch Wolfgang Maaß von der Universität des Saarlandes meint: „Das individuelle Nutzungsverhalten wie Länge der Anfrage, Modellwahl und Ausgabeformat hat messbare Auswirkungen auf den Energieverbrauch einer einzelnen Anfrage. Als gesellschaftliches Einsparpotenzial ist es aber gering.“

Die Forschenden selbst legen unterschiedliche Lösungsvorschläge vor: Routing-Systeme, die einfache KI-Anfragen automatisch auf kleinere Modelle umleiten, seien technisch ausgereift und würden vereinzelt bereits eingesetzt, sagt Maaß. Ein unterschätztes Problem sei die Informationsasymmetrie: Tech-Unternehmen hätten im Gegensatz zu den Kommunen, mit denen sie über Genehmigung und Ansiedlung der Rechenzentren verhandeln, oft spezialisierte Verhandlungsteams. Dies führe zur Unterbewertung der Knappheit von insbesondere Land, Wasser und Netzanschlusskapazitäten, weshalb es standardisierte Bewertungsrahmen auf Bundesebene brauche.

Die richtige Intervention laut Maaß sei die Internalisierung externer Kosten durch die CO₂-Bepreisung von Rechenzentren-Strom. Der KI-Energieverbrauch wachse zwar, die globalen Treibhausgasemissionen von Rechenzentren (1,5 Prozent Anteil) seien jedoch mit Sektoren wie Landwirtschaft und Schwertransport ins Verhältnis zu setzen (jeweils mehr als 10 Prozent Anteil). Dekarbonisierung sei dort dringender.

Tilmann Rabl vom Hasso-Plattner-Institut plädiert für gesetzliche Interventionen: „Ohne Regulierung wird aufgrund der hohen Investitionen in KI keine Verringerung des Stromverbrauchs möglich sein.“ Der UN-Report bringe nicht zum Ausdruck, dass die aktuellen Entwicklungen „stark durch Interessen von Investoren“ sowie die industrielle und kommerzielle KI-Nutzung getrieben werden.

„Der Verbrauch von Endbenutzerinnen und Endbenutzern ist gesteuert vom Angebot der Internetkonzerne, die sich in einem Wettrüsten untereinander befinden“, so Rabl. Kleinere Modelle und angepasste Nutzung von KI seien Aufgabe der Softwarehersteller und Internetkonzerne. „Die haben aufgrund ihrer bestehenden Geschäftsmodelle allerdings kein Interesse daran. Das größte Einsparungspotenzial ist die Reduzierung von KI-Anwendungen und IT generell.“



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Comodo Internet Security: Crash-Lücke in Firewall, Update nicht in Sicht


Im Firewall-Treiber aus Comodo Internet Security 2025 klafft eine Sicherheitslücke, die die Software zum Absturz bringen kann. Das gelingt Angreifern aus dem Netz. Ein Update ist derzeit nicht in Sicht. Nutzerinnen und Nutzer sollten die Software besser deinstallieren. Da Sicherheitslücken immer öfter einen Spitznamen haben, hat auch diese einen verpasst bekommen: „ComoDoS“.

Weiterlesen nach der Anzeige

In einem Beitrag schreibt der Entdecker der Schwachstelle, Marcus Hutchins, dass er „Bring Your Own Vulnerable Driver“-Lücken untersucht hat und dabei auf die Schwachstelle gestoßen ist. Er hat dabei eine Künstliche Intelligenz genutzt, die seiner Ansicht nach erstaunlich oft bei Treibern von IT-Sicherheitssoftware anschlägt. Insbesondere bei Software wie Antivirus und Firewalls. Wenn schon die KI so gut ist, darin Probleme ausfindig zu machen, die zur lokalen Rechteausweitung taugen, wollte Hutchins auch mit einer manuellen Analyse herausfinden, ob sich interessante Sicherheitslücken finden lassen.

Zufallstreffer in Comodos Firewall-Treiber

Der Firewall-Treiber „inspect.sys“ kam eher zufällig ins Visier des IT-Forschers, da die KI bei der Untersuchung aus Versehen eine sehr alte Version dieses Treibers untersucht hat. Eigentlich sollte nur der jüngste Treiber in die Analyse gehen, in diesem Fall war es jedoch eine Version aus 2014. Darin fand er eine Reihe bereits geschlossener Sicherheitslücken, stieß aber auch auf einige unglückliche Designentscheidungen. Das Aufspüren von Fehlern war demnach sehr leicht, schwieriger jedoch war die Entdeckung von nützlichen im Sinne von angreifbaren Schwachstellen. Im IPv6-Code wurde er dann fündig. Im Beitrag erklärt er detailliert, was er gefunden hat.

Die Schwachstellenbeschreibung selbst ist etwas knapper: In der IPv6-Paket-Verarbeitung kann ein sogenannter Integer-Unterlauf auftreten – noch bevor Firewall-Regeln greifen. Angreifer können deshalb aus der Ferne ohne vorherige Authentifizierung ein manipuliertes IPv6-Paket senden, um einen Lesezugriff außerhalb vorgesehener Speichergrenzen zu provozieren, was am Ende zu einem Absturz des Systems führt (BSOD). Das klappt auch dann, wenn alle Ports in der Firewall blockiert sind (CVE-2026-49494, CVSS 7.5, Risiko „hoch“).

Hutchins hat Comodo einen vollständigen Fehlerbericht geschickt, eine Ursachenanalyse und sogar mit Vorschlägen, wie die Entwickler das patchen könnten. Auch einen Proof-of-Concept-Exploit hat Hutchins veröffentlicht. Nur – der Hersteller reagierte zunächst nicht, es gab keine Antwort. Comodo Internet Security ist bis einschließlich Version 12.3.4.8162 anfällig für die Attacke. Das ist laut Forum auch die derzeit aktuelle Fassung davon.

Um das System nicht dem Risiko von Abstürzen mit Bluescreen-of-Death (BSOD) auszusetzen, sollten Comodo-Nutzerinnen und -Nutzer die Software deinstallieren. Der Microsoft Defender erkennt Malware ebenfalls ordentlich. Die Windows-Firewall leistet ebenfalls brauchbaren Dienst.

Weiterlesen nach der Anzeige

Vor rund einem Jahr fiel Comodo Internet Security ebenfalls durch Sicherheitslücken auf. Die ermöglichten Angreifern, Schadcode einzuschleusen und auszuführen. Betroffen damals: Version 12.3.4.8162. Derart schlecht gewartete Software sollten Nutzer zeitnah entfernen.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

VMware: Mehrere Produkte mit Stored-Cross-Site-Scripting-Lücken


In VMware Cloud Foundation und damit arbeitenden Produkten klaffen Stored-Cross-Site-Scripting-Lücken. Angreifer können damit Opfern Script-Code unterschieben.

Weiterlesen nach der Anzeige

In einer Sicherheitsmitteilung warnt Broadcom vor den Schwachstellen. Mehrere Sicherheitslücken dieses Schwachstellentyps finden sich in der Virtualisierungssoftware. Die Entwickler fassen das nur knapp zusammen: VMware Cloud Foundation Operations enthält demnach mehrere Stored-Cross-Site-Scripting-Lücken. Angreifer mit Rechten, Richtlinien, Views oder Text-Widgets anzulegen, können dadurch Scripte einschleusen – die als administrative Aktionen in VMware Cloud Foundation Operations ausgeführt werden (CVE-2026-41722, CVE-2026-41723 und CVE-2026-41724; alle CVSS 8.0, Risiko „hoch“).

Betroffen ist eine Handvoll an VMware-Lösungen. Die Sicherheitslücken stopfen VMware Cloud Foundation und vSphere Foundation ab Version 9.1.0 und 9.0.2.0 EP2, VMware Aria Operations 8.18.6 sowie VMware Cloud Foundation und VMware Aria Operations 8.18.7. Für VMware Telco Cloud Platform stellt Broadcom einen eigenen Knowledgebase-Beitrag bereit.

Kein Missbrauch gemeldet

Die Schwachstellen werden offenbar noch nicht in freier Wildbahn ausgenutzt, da Broadcom diesbezüglich nichts erwähnt. Es gibt keine temporären Gegenmaßnahmen, die Admins als Zwischenlösung umsetzen könnten. Lediglich die Aktualisierung auf die fehlerkorrigierten Softwarestände hilft dem Sicherheitsproblem ab. IT-Verantwortliche sollten nicht lange zögern, sondern die Aktualisierungen zeitnah anwenden.

Ende Februar hat Broadcom bereits drei Sicherheitslücken in VMware Aria Operations und Cloud Foundation schließen müssen. Auch hier hätten Angreifer Schadcode einschleusen und ausführen können. Damals handelte es sich aber um unterschiedliche Schwachstellen, die konkret das Einschleusen von Befehlen ermöglichten, das Ausweiten von Rechten im System und in einem Fall ebenfalls Stored-Cross-Site-Scripting.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Passwortmanager Dashlane: Angreifer kopieren fast 20 Passwort-Vaults


Kriminelle haben Brute-Force-Angriffe auf Dashlane-Nutzerkonten ausgeführt, meldet der Anbieter. Dabei gelang es ihnen, etwa 20 Passwort-Vaults von Nutzerinnen und Nutzern zu kopieren. Die Daten seien verschlüsselt und nicht zugreifbar, versichert der Support.

Weiterlesen nach der Anzeige

In einem Support-Beitrag informiert Dashlane über den Vorfall. Die Untersuchungen habe der Anbieter demnach gegen Ende vergangener Woche abgeschlossen. Die Autoren beschreiben in der Mitteilung, dass am Sonntag, den 31. Mai 2026, jemand Brute-Force-Angriffe gegen bestimmte, nicht näher erläuterte Dashlane-Konten gestartet hat. Ziel war dabei, die Zwei-Faktor-Authentifizierung mittels Brute-Force zu umgehen, um so neue Geräte in bestehende Nutzerkonten zu registrieren.

Brute-Force-Angriffe abgewehrt

Die schiere Menge an Anfragen führte dazu, dass die automatischen Sicherheitssysteme angeschlagen sind und die betroffenen Nutzerkonten gesperrt haben, die Ziel der Angriffe waren. Das Dashlane-Team erhielt eine Warnung vom System und untersuchte den Vorfall. Als Ergebnis der Angriffe hatten viele Nutzer mit temporär gesperrten Konten zu tun. Der Zugang wurde inzwischen wiederhergestellt, versichert Dashlane.

Die Angreifer waren in einigen Fällen offenbar erfolgreich und konnten weniger als 20 Passwort-Vaults herunterladen, von Nutzern mit einem „Personal“-Abo (im Gegensatz zu „Business“-Abos). Dashlane habe Betroffene bereits direkt informiert – wer keine Benachrichtigung erhalten habe, sei daher nicht betroffen, versichert der Anbieter. Zudem seien Dashlane-Vaults nicht ohne das Master-Passwort zugreifbar, die Verschlüsselung stelle sicher, dass Zugangsversuche statistisch unwahrscheinlich gelingen – auch über längere Zeiträume.

Die Untersuchungen hätten keine weiteren Einflüsse auf die Dashlane-Systeme gezeigt. Die Angreifer haben versucht, den Mechanismus zur Geräteregistrierung zu missbrauchen. Der fragt einen sechsstelligen 2FA-Code ab, entweder mittels Authenticator erstellt oder als E-Mail gesendet. Passt der Code, lädt das Gerät den Passwort-Vault herunter. Der lässt sich jedoch nur mit dem Master-Passwort öffnen und setzt auf zeitgemäße Verschlüsselungsalgorithmen. Dashlane nennt eine verwendete Kombination aus Argon2, AES-256-CBC und HMAC-SHA256.

Dass die Passwort-Vaults ordentlich verschlüsselt sind, ist unbedingt erforderlich – es handelt sich nicht um den ersten Vorfall, bei dem Cloud-gespeicherte Passworttresore in die Hände von Online-Kriminellen gefallen sind. Etwa Ende 2022 hatte der Passwort-Manager-Dienst LastPass eingeräumt, dass Unbefugte in die Cloudsysteme eingedrungen sind und dabei Zugriff auf Kundendaten erlangt haben. E-Mail-Adressen und Passwörter waren darunter: Die Rede war davon, dass aus Backups kopierte Passworttresore von Kunden unverschlüsselte URLs und verschlüsselte Informationen wie Nutzernamen und Passwörter enthielten.

Weiterlesen nach der Anzeige

Rund ein Jahr später schienen die Angreifer dann die Passworttresore zu knacken. Mit den Zugangsdaten darin konnten sie offenbar Zugang zu bestimmten Konten erlangen und Kryptowallets leerräumen.


(dmk)



Source link

Weiterlesen

Beliebt