Connect with us

Datenschutz & Sicherheit

Fußball-WM: FIFA-Streaming war einfach knackbar


BobDaHacker nennt sich die IT-Sicherheitsforscherin, die behauptet, sie habe Zugang zu einigen internen FIFA-Plattformen aufgrund einfacher Fehler im Sicherheitskonzept erlangen können. Damit wäre es möglich gewesen, das Live-Streaming der Spiele zu manipulieren – etwa mit einer Rickroll. Inzwischen hat die FIFA die Schwachstellen ausgebessert.

Weiterlesen nach der Anzeige

In einem Blog-Beitrag schreibt BobDaHacker, wie der Zugriff möglich wurde. Eine Anmeldung auf der FIFA-Beraterseite (FIFA Agent Platform) war ganz einfach mit einem Ausweis und dem Bestätigen einer E-Mail-Adresse möglich. Die Anmeldung legt das Konto im Microsoft-Entra-Tenant der FIFA an. Darüber laufen offenbar alle internen FIFA-Plattformen. Ein erster Versuch des Zugriffs auf die FIFA-Football-Daten-Plattform fdp.fifa.org schien eine Prüfung vorzunehmen und wies BobDaHacker mangels entsprechender Rolle ab. Allerdings handelte es sich um eine clientseitige Prüfung. Die Backend-API auf den Servern hingegen nimmt keinerlei Prüfung vor.

Die clientseitigen Abfragen lassen sich umgehen, und so war der Zugriff auf das Streaming-Management-Panel möglich – das echte Live-System, mit allen RTMP-URLs, Streaming-Keys und Ausgabe-URLs. Da landen die Streams aus den Stadion-Kameras, was eine Prüfung der URLs mit VLC bestätigte. Das Portal wies Schaltflächen auf, mit denen die Streams sich stoppen und starten lassen. Bösartige Angreifer hätten damit die Kamera-Streams umleiten und durch eigene Inhalte ersetzen können.

Der Zugriff war den Angaben BobDaHackers zufolge auf die komplette Plattform möglich, nicht nur auf das Streaming-Management. Teams, Tools, Exchange, Admin – alles zugreifbar. Es wäre auch möglich gewesen, die redaktionellen Kommentatoren-Notizen zu manipulieren, den Anstoß-Zeitpunkt zu ändern und die Punkte- und Spielstatistiken zu manipulieren. Die Meldung der Schwachstelle war etwas schwieriger, nach zehn Anläufen bekam BobDaHacker demnach jedoch Antwort von der US-amerikanischen IT-Sicherheitsbehörde CISA und dem FBI.

In der Nacht wurde die Lücke dann stillschweigend geschlossen, nun liefern auch die Server HTTP-403-Antworten auf Anfragen mit dem Konto mit „NO_ROLES“. Die FIFA hat sich jedoch nicht dazu gemeldet. BobDaHacker verpasst der FIFA aber noch virtuelle Ohrfeigen: Sie solle eine security.txt bereitstellen, es sei schließlich 2026. Clientseitige Autorisierung ist keine Autorisierung, das lerne bereits jeder Praktikant. Außerdem solle die FIFA ein Bug-Bounty-Programm starten, damit IT-Sicherheitsforscher nicht das FBI anrufen müssen, um der FIFA einen Gefallen zu tun. Die kommen inzwischen jedoch häufiger ohne Geldprämien daher.


(dmk)



Source link

Datenschutz & Sicherheit

Neuer EU-Aktionsplan: Frontex soll Schiffe und Flugzeuge in Ärmelkanal schicken


Die EU-Kommission hat einen Aktionsplan für die Migrationsroute über den Ärmelkanal vorgelegt. Darin beschreibt sie unter anderem geplante Unterstützungsmaßnahmen durch die Grenzagentur Frontex sowie die Polizeiagentur Europol. Hintergrund ist, dass weiterhin viele Menschen die Überfahrt von Frankreich oder Belgien nach Großbritannien mit kleinen Booten wagen. Nach Angaben der Internationalen Organisation für Migration kamen dabei in den Jahren 2024 und 2025 insgesamt 121 Menschen ums Leben oder gelten als vermisst.

Der Aktionsplan, den die Kommission mit Blick auf die Tagung des Europäischen Rats Ende Juni vorlegt, sieht verschiedene Maßnahmenbündel mit dem „Schlüsselpartner“ Großbritannien vor. Dazu gehört die sogenannte Migrationsdiplomatie mit Herkunfts- und Transitländern, um irreguläre Ausreisen aus der EU zu verhindern und Rückführungen in diese Länder zu erleichtern. Strafverfolgungsbehörden werden angewiesen, Schleusernetzwerke systematischer zu zerschlagen. Außerdem soll das Grenzmanagement an den Küsten der am stärksten betroffenen Mitgliedstaaten ausgebaut werden. Dabei setzt die Kommission vor allem auf Frontex.

Frontex soll Küsten überwachen

Die Grenzagentur soll dem Vorschlag zufolge ihre Präsenz im Ärmelkanal und in der Nordsee deutlich ausbauen. Dazu soll Frontex auch Truppen seiner neuen „Ständigen Reserve“ an die Küsten entsenden. Zudem sollen „maritime und luftgestützte Überwachungsmittel“ bereitgestellt werden. Der Aktionsplan nennt konkret „Schiffe und Flugzeuge“, um verdächtige Bewegungen frühzeitig zu erkennen. Damit soll die „Küstenüberwachungsinfrastruktur“ der Mitgliedstaaten verbessert werden.

Bereits seit 2021 ist Frontex mit der Operation „Opal Coast“ im Ärmelkanal aktiv, Gaststaat ist Belgien. Dort ist bislang nur ein Frontex-Überwachungsflugzeug stationiert. Live-Videos von Einsätzen werden an das Frontex-Situationszentrum sowie ein belgisches Einsatzzentrum gestreamt. Offizielles Ziel der Mission ist auch, Such- und Rettungseinsätze der Anrainerstaaten zu unterstützen. Über Schiffe verfügt Frontex in „Opal Coast“ derzeit nicht.

Neben mehr Präsenz vor Ort soll Frontex künftig auch Risikoanalysen zum möglichen Missbrauch von Visa und Aufenthaltstiteln für die als „illegal“ erklärten Weiterreisen aus der EU nach Großbritannien erstellen. Die Kommission freut sich nach eigenen Angaben auf einen „wechselseitig vorteilhaften Austausch von operativen Informationen“ mit Behörden der Regierung in London, etwa zur Nutzung von Visa und Aufenthaltstiteln für illegale Weiterreisen.

Deine Daten landen bei der Polizei.

Wir decken es auf. Mit deiner Unterstützung.

Europol soll Internetauftritte von Schleusern löschen lassen

Zuständig für die Strafverfolgung von Schleuserkriminalität ist Europol. Im Zentrum des Aktionsplans steht das „Zentrum gegen Migrantenschmuggel“ bei Europol in Den Haag, das auch Geheimdienstinformationen analysieren soll. Europol soll Schleusernetzwerke entlang der gesamten Route der Migrant*innen umfassend „kartieren“.

Die Kommission kündigt außerdem an, dass Europol mit dem „EU Internet Forum“ sowie dem digitalen Ermittlernetzwerk „DigiNex“ die Nutzung des Internets durch Schleuser bekämpfen soll. Europol soll mit Betreibern von Online-Plattformen zusammenarbeiten, um „die Online-Präsenz von Schleusernetzwerken“ zu identifizieren und zu stören. Strafverfolgungsbehörden, Diensteanbieter und Nichtregierungsorganisationen sollten auch Möglichkeiten des Digital Services Act voll ausschöpfen, um die „Bekämpfung der Schleusungskriminalität, auch in ihrer Online-Dimension“, zu verstärken. Welche Möglichkeiten das sind, wird nicht ausgeführt, es dürfte sich um die Richtlinien der jeweiligen Plattformen handeln.

Visapolitik als Druckmittel

Mit der sogenannten „Migrationsdiplomatie“ will die EU außerdem Gespräche mit Herkunfts- und Transitländern in Asien, Afrika und dem Nahen Osten intensivieren, um irreguläre Abfahrten bereits im Vorfeld zu verhindern und Migrant*innen ohne Aufenthaltsrecht leichter zurückzuführen. Zur vereinfachten „Rücknahme“ gehören beschleunigte Identifizierungsverfahren und die zügige Ausstellung von Reisedokumenten.

Dazu will die Kommission notfalls Druck ausüben. Ausdrücklich als Hebel genannt wird die Visapolitik, um Drittstaaten zur Kooperation zu bewegen. Der Aktionsplan sieht außerdem vor, dass die EU und Großbritannien gemeinsame „Aufklärungskampagnen“ zu Gefahren der illegalen Überfahrt durchführen.

Pakt zwischen Großbritannien und Frankreich

Zur verstärkten Zusammenarbeit gegen Migrant*innen auf der Ärmelkanalroute haben Großbritannien und Frankreich vor einem Jahr ein bilaterales Abkommen geschlossen. Der britische Premierminister Keir Starmer bezeichnete es damals als „bahnbrechendes Rückführungs-Pilotprojekt“ nach dem Prinzip: „Einer raus, einer rein.“ Migrant*innen, die im Boot nach Großbritannien kommen, sollen sofort nach Frankreich „zurückgeschafft“ werden. Im Gegenzug nimmt Großbritannien für jede abgeschobene Person einen Flüchtling über eine reguläre Asylroute auf.

Alles netzpolitisch Relevante

Drei Mal pro Woche als Newsletter in deiner Inbox.

Die französischen Behörden melden für Mai 2026, dass sie 53 von 82 Versuchen, mit kleinen Booten den Ärmelkanal zu überqueren, vereiteln konnten; das entspricht einem Anteil von 65 Prozent. Die französische Präfektur für den Ärmelkanal und die Nordsee hat bei den jüngsten Einsätzen verschiedene Wasserfahrzeuge sowie einen Jetski eingesetzt, um Migrant*innen abzufangen. Dies ist erst seit einer neuen Gesetzesänderung erlaubt. Trotzdem gelang nach Angaben des britischen Innenministeriums am vergangenen Montag 710 Migrant*innen in elf Booten die Überfahrt.

Razzien in Deutschland

Auch Deutschland ist in die gemeinsame Schleuserbekämpfung mit den Ärmelkanal-Anrainern eingebunden, sogar mit einer zentralen Rolle. Zum zweiten Mal führte die Bundespolizei im März Razzien durch, um Lieferketten zu stören, über die Ausrüstung für Überfahrten beschafft, gelagert und weiterverteilt worden sein soll. Zwölf der Durchsuchungen erfolgten in Deutschland, zwei in Belgien. Dabei stellte die Polizei elf Schlauchboote, einen Außenbordmotor sowie Kisten mit Schwimmwesten und Fahrradschläuchen sicher.

Für die Ermittlungen gründeten die Polizeibehörden aus Belgien, Frankreich, den Niederlanden und Großbritannien eine gemeinsame Ermittlungsgruppe unter dem Dach von Europol. Neben der Bundespolizei waren vor allem Behörden aus Nordrhein-Westfalen beteiligt, wo die Razzien stattfanden. Die EU-Agentur für justizielle Zusammenarbeit koordinierte die grenzüberschreitende Rechtshilfe, darunter Europäische Haftbefehle und Europäische Ermittlungsanordnungen, mit denen im Ausland Durchsuchungen und Überwachungen angeordnet werden können.

Studie: Mehr Todesfälle trotz weniger Boote

Die Organisation Border Forensics hatte dieses Jahr eine neue Studie veröffentlicht. Darin heißt es, dass die neue britische Politik und Zahlungen von umgerechnet 726 Millionen Euro an Frankreich zu einem starken Anstieg von Todesfällen im Ärmelkanal geführt hätten, obwohl die Anzahl der Boote und Ankünfte zurückging. Geografische Auswertungen belegten, dass die Todesfälle näher an der französischen Küste auftreten.

Als Ursachen identifiziert die Studie extreme Überfüllung der Boote sowie chaotische Ablegemanöver wegen gewaltsamer Polizeieinsätze. Ein weiterer wichtiger Grund seien die Razzien wie in Deutschland, die den Zugang zu Bootsmaterialien und Rettungsmitteln erschweren. Migrant*innen und ihre Helfer*innen müssten daher auf minderwertige Schlauchboote zurückgreifen.



Source link

Weiterlesen

Datenschutz & Sicherheit

Splunk Enterprise: Angriffe auf Codeschmuggel-Lücke


Angreifer missbrauchen eine noch junge Sicherheitslücke in Splunk Enterprise. Die Sicherheitslücke erlaubt, Schadcode aus dem Netz einzuschleusen und auszuführen. Nicht alle Konfigurationen sind betroffen, Updates stehen bereit.

Weiterlesen nach der Anzeige

Eine Sicherheitsmitteilung von Splunk hat das Unternehmen am Donnerstag aktualisiert und ergänzt darin, dass Angriffe auf die Schwachstelle im Netz beobachtet wurden. Die in der vergangenen Woche gemeldete Schwachstelle betrifft Splunk Enterprise vor Version 10.2.4 und 10.0.7. Nicht authentifizierte Nutzer können über einen sogenannten PostgreSQL-Sidecar-Dienst-Endpunkt beliebige Dateien anlegen oder beschneiden. Der betroffene Endpunkt hat keine Authentifizierungsmaßnahmen, sodass alle mit Netzwerkzugriff Dateioperationen ohne Angaben von Zugangsdaten ausführen können (CVE-2026-20253, CVSS 9.8, Risiko „kritisch“).

Die Aktualisierung der Mitteilung vom Donnerstag besagt nun, dass das Splunk Product Security Incident Response Team (PSIRT) von „begrenztem Missbrauch dieser Schwachstelle“ Wind bekommen hat. Das Unternehmen empfiehlt daher dringend, dass Kunden auf einen korrigierten Software-Stand aktualisieren, um den sicherheitsrelevanten Fehler auszubessern. Nicht betroffen sind Splunk Enterprise 10.4, 9.4 und 9.3.

Wo ein Upgrade nicht unmittelbar möglich ist, können Admins das Problem eindämmen, indem sie den PostgreSQL-Sidecar-Dienst deaktivieren. Es handelt sich dabei um einen containerisierten Hilfsdienst für die Datenbank. Das sollten IT-Verantwortliche jedoch nicht auf Edge-Processor-, OpAmp- oder SPL2-Data-Pipelines einer Instanz tun, da das Deaktivieren von PostgreSQL die Funktionen aushebelt und sich das auf davon abhängige Sidecar-Prozesse auswirken kann. Obwohl Angriffe beobachtet worden sind, nennt Splunk jedoch keine Hinweise auf erfolgreiche Angriffe (Indicators of Compromise, IOC).

Die watchTowr​-Labs haben sich die Schwachstelle auch genauer angeschaut und eine eigene Analyse vorgelegt. Die liefert Admins hilfreiche Handreichungen, etwa um herauszufinden, ob die eigenen Instanzen anfällig sind. Sie führen zudem auf gewohnt unterhaltsame Art den Missbrauch der Schwachstelle vor.

Splunk-Admins hatten etwa im vergangenen Dezember mit gravierenden Schwachstellen in Splunk Enterprise, Universal Forwarder oder Secure Gateway App zu tun. Die ermöglichten Angreifern etwa Zugriff auf eigentlich nicht zugängliche Systembereiche.

Weiterlesen nach der Anzeige


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

INPOL-Datei: Eine Million Menschen in Deutschland in größter Polizeidatenbank ausgeschrieben


Deutsche Behörden haben aktuell über eine Million Menschen zur Fahndung ausgeschrieben. Dabei geht es nicht nur um Fest- oder Ingewahrsamnahmen, sondern auch um Aufenthaltsermittlung oder heimliche Beobachtung. Die Einträge erfolgen im INPOL-System, das vom Bundeskriminalamt (BKA) in Wiesbaden geführt und aus den Bundesländern befüllt wird. Auch Überwachungen zur Führungsaufsicht nach einer Haftentlassung oder im Zuständigkeitsbereich des Zolls können zu einer Speicherung führen.

Die Zahlen stammen aus der Antwort auf eine Kleine Anfrage der Linksfraktion im Bundestag. Darin gibt das Innenministerium auch Auskunft zu weiteren Polizeidatenbanken. So sind etwa im Vorgangsbearbeitungssystem des BKA fast 34 Millionen Fälle aktenkundig. Diese müssen nicht unbedingt aktuell sein: Alle Einträge unterliegen Löschfristen, die von den Behörden aber nach einer Prüfung verlängert werden können.

Zehntausende Fälle zu politischen „Phänomenbereichen“

In einer Datei „Innere Sicherheit“ sind außerdem Zehntausende Personen zu unterschiedlichen politischen „Phänomenbereichen“ erfasst. Die größte Gruppe entfällt auf den Bereich „Rechts“ mit 39.513 Personen. Dem Bereich „Links“ werden 11.988 Personen zugeordnet, „Religiöse Ideologie“ enthält weitere 5.746 Personen. 5.393 Personen sind mit „Ausländische Ideologie“ gespeichert. Weitere 15.476 Personen sind keinem der genannten „Phänomenbereiche“ eindeutig zugeordnet; dazu gehören etwa militante Coronaleugner*innen oder selbsternannte „Reichsbürger*innen“.

Derzeit sind außerdem rund 5,7 Millionen Menschen mit 7,6 Millionen Fotos in INPOL gespeichert, darunter über die Hälfte Asylsuchende. Diese können damit von Landeskriminalämtern, Zollbehörden oder den Verfassungsschutzämtern über ein Gesichtserkennungssystem beim BKA abgefragt werden. Die Behörden nutzen das System zur Identifizierung unbekannter Personen.

In einer Finger- und Handflächenabdruckdatei liegen 2,9 Millionen Personendatensätze. 2,8 Millionen Datensätze sind von „Asylsuchenden und sonstigen Ausländern, die erkennungsdienstlich behandelt wurden“, digital gespeichert. Weitere 1,16 Millionen Personen sind in einer „DNA-Analyse-Datei“ erfasst.

Alles netzpolitisch Relevante

Drei Mal pro Woche als Newsletter in deiner Inbox.

Heimliche Kontrollen im Schengen-Raum

Polizeien des Bundes und der Länder sowie der deutsche Inlandsgeheimdienst können Personen auch zur Fahndung im Schengener Informationssystem (SIS) eintragen. Diese können dann in allen Mitgliedstaaten vollstreckt werden. Insgesamt wird im SIS derzeit nach über zwei Millionen Personen und 93 Millionen Dokumenten oder anderen Gegenständen wie Fahrzeugen oder Kennzeichen gefahndet.

Auffällig sind dort besonders die – wie jedes Jahr gestiegenen – Ausschreibungen zur gezielten und verdeckten Kontrolle nach Artikel 36 der SIS-Verordnung. Bei der verdeckten Kontrolle sollen die Betroffenen davon möglichst nichts erfahren, die interessierte Behörde erhält aber einen Hinweis, wann und warum die Person im SIS abgefragt wurde – etwa bei einer Grenzkontrolle oder der Beantragung eines Reisepasses. Derzeit sind von allen Schengen-Staaten rund 108.000 Personen zu einer solchen heimlichen Fahndung ausgeschrieben. Weitere 92.000 Personen sollen beim Antreffen auch durchsucht werden. Aus Deutschland stammten im Jahr 2025 zusammen 4.200 dieser Artikel-36-Fahndungen.

„Auskunftsgenerator“ der Roten Hilfe

Personen können bei den Behörden anfragen, welche Daten über sie gespeichert sind – allerdings gibt es nicht immer Auskünfte, etwa wenn diese auf Polizeispitzel oder Informant*innen zurückgehen oder gegen die Person aktuell ermittelt wird. Beispielsweise über einen „Auskunftsgenerator“ der Roten Hilfe können diese Abfragen selbst vorgenommen werden.

In der Antwort an die Linksfraktion nennt das BKA Zahlen für Auskunftsersuchen für das Jahr 2023: Damals wurden 5.916 Ersuchen zu polizeilichen Systemen gestellt. Möglich ist auch die Auskunft zum Schengener Informationssystem und dem EU-Passagierdatensystem. In 159 Fällen hat das BKA die Auskunft „eingeschränkt“, in 25 Fällen „in Gänze verweigert“, hieß es in einer früheren Antwort. Bei der Bundespolizei wurden im Jahr 2023 insgesamt 1.297 Ersuchen auf Erteilung von Auskunft über gespeicherte personenbezogene Daten gestellt.



Source link

Weiterlesen

Beliebt