Das JavaScript-Framework Next.js hat angekündigt, Sicherheitswarnungen künftig regelmäßig etwa einmal im Monat herauszugeben. Wichtige Updates kommen aber nach wie vor sofort. Das soll die Update-Planung für die Next-Anwenderinnen und -Anwender vereinfachen.

Die neuen monatlichen Sicherheitsnachrichten im Blog liefern einen Zeitplan, für welche Next-Versionen wann Updates zu erwarten sind. Die angekündigten Fixes sind außerdem nach Relevanz sortiert. Vor kritischen und schon verwendeten Lücken warnt Next nach wie vor ad hoc im Blog. Diese Lücken sollten Anwender sofort beseitigen.

Die erste Meldung soll am 20. Juli erscheinen und über kommende Updates für Next 15.5 und 16.2 mit hoher und mittlerer Relevanz informieren.

Next.js reagiert mit der Umstrukturierung wie viele andere Open-Source-Projekte auch auf die durch LLM-Reviews gesteigerte Menge an Sicherheits-Pull-Requests. Im Gegensatz zu anderen Teams hält der Next-Herausgeber Vercel aber am Bug-Bounty-Programm auf Hackerone fest.

(who)

Der Widerstand gegen die kürzlich im Koalitionsausschuss von Schwarz-Rot verabredete De-Facto-Abschaffung der Informationsfreiheit wächst weiter. Nicht nur haben sich mehr als 120 Organisationen aus der Zivilgesellschaft gegen die Pläne gestellt und zahlreiche Medien für das wichtige Gesetz Partei ergriffen, auch eine Petition von FragDenStaat hat ungewöhnlich viel Zulauf erreicht: Sie hat innerhalb einer guten Woche gerade die Marke von 500.000 Unterzeichner:innen geknackt.

Schon in der letzten Woche war ein Positionspapier aus der SPD-Bundestagsfraktion bekannt geworden, das netzpolitik.org im Volltext veröffentlicht hat. In diesem Papier der AG Inneres, AG Digitales und AG Recht heißt es deutlich: „Es darf nicht zu einer Reduzierung der bestehenden Auskunftsansprüche für Bürgerinnen und Bürger, für Presse und Zivilgesellschaft kommen.“

Gegenüber der eigenen Koalition machen die SPD-Abgeordneten eine klare Ansage: „Für eine Abschaffung des bisherigen Transparenzniveaus des Informationsfreiheitsgesetzes wird es keine Zustimmung der SPD-Bundestagsfraktion geben.“

„Völlig überfahren“

Der Tagesspiegel hatte zudem erfahren, dass die SPD-Politiker:innen von dem Vorstoß des Koalitionsausschusses offenbar überrascht wurden. „Wir wurden völlig überfahren“, sagte einer gegenüber dem Medium.

Johannes Schätzl, der für die SPD-Fraktion im Innenausschuss sitzt, sagte dem Medium: „Die Beschlüsse des Koalitionsausschusses sehen vor, Kernelemente dieses Gesetzes so einzuschränken, dass es einer De-facto-Abschaffung des IFG gleichkäme“. Weiter erklärte der Abgeordnete: „Ich werde einer solchen Gesetzesänderung meine Zustimmung verweigern.“. Auch andere SPD-Abgeordnete haben laut dem Bericht angekündigt, dass die Pläne mit ihnen „nicht zu machen“ seien.

Der Tagesspiegel berichtet zudem von Vermutungen, die Bundesregierung sei vom Ausmaß des Widerstandes überrascht worden. Man munkle im Regierungsviertel, sie habe die Sprengkraft des Themas unterschätzt und wohl gehofft, dass die Sache zwischen all den anderen Großvorhaben untergehe.

Behörden stellen sich gegen Bundesregierung

Kritik an den Plänen kommt auch von den für die Informationsfreiheit zuständigen Behörden. Die Bundesbeauftragte für Datenschutz und Informationsfreiheit (BfDI) sowie die Konferenz der Informationsfreiheitsbeauftragten hatten die Pläne mit deutlichen Worten abgelehnt. Letztere bezeichneten die Argumente für die Einschränkung der Transaprenz wie etwa Bürokratieabbau und Sicherheit als Vorwand.

Die BfDI Louisa Specht-Riemenschneider sieht in dem Vorhaben nicht nur „im Ergebnis die Abschaffung“ der Informationsfreiheit, sondern kritisiert auch, dass der Grundgedanke eines grundsätzlich voraussetzungslosen Zugangs zu amtlichen Informationen in sein Gegenteil verkehrt würde. Denn in Zukunft sollen Anfragende ein „berechtigtes Interesse“ an den abgefragten Dokumenten darlegen. Bislang muss der Staat begründen, wenn er Informationen nicht herausgeben will.

Specht-Riemenschneider kritisiert zudem, dass die Pläne in Zukunft eine große Anzahl von Menschen in Deutschland ausschließen würde. Die Koalition plant das Auskunftsrecht auf Deutsche und EU-Bürger:innen zu beschränken. Die BfDI sagt, dies führe zu einer undemokratischen Zwei-Klassen-Informationsfreiheit.

Auch international Befürchtungen

Die Pläne der Bundesregierung lösen nun auch international Befürchtungen aus. Die Menschenrechtsorganisation Human Rights Watch fordert die Bundesregierung in scharfen Worten auf, die geplante Abschaffung der Informationsfreiheit zu stoppen. Die Pläne würden „grundlegende Menschenrechte gefährden, die für Transparenz und die Beteiligung der Öffentlichkeit in einer rechtsstaatlichen Demokratie unerlässlich sind.“

Der Südwestrundfunk berichtet, dass Deutschland bei der Transparenz schon heute nur auf Platz 127 rangiere – oftmals sogar noch hinter autoritären Staaten. Die Pläne der Bundesregierung würden hier zu einem weiteren Absinken des Standards führen.

Der Europäische Rat hat am Montag eine scharfe Rüge gegen Russland ausgesprochen. Er wirft Moskau vor, ein komplexes Netzwerk aus staatlichen und privaten Akteuren für verheerende Cyberoperationen zu nutzen. Laut einer Erklärung der EU-Außenbeauftragten Kaja Kallas und der Mitgliedstaaten reicht dieses System von Geheimdiensten über Cyberkriminelle und Hacktivisten bis hin zu Unternehmen. Die EU verurteilt diese Aktivitäten und reagiert mit Sanktionen, um die Verantwortlichen für weltweite Sabotage- und Spionagekampagnen zur Rechenschaft zu ziehen, die teils bis 2010 zurückreichen.

Im Mittelpunkt der Vorwürfe steht das sogenannte 16. Zentrum des russischen Inlandsgeheimdienstes FSB. Diese Einheit soll laut dem Rat zahlreiche bekannte Cybergruppen wie Turla steuern.

Dem FSB wird vorgeworfen, seit Jahren bösartige Cyberangriffe zu führen, deren Intensität und Schwere zunehmen. Ziele seien die EU, ihre Mitgliedstaaten sowie internationale Partner, insbesondere die Ukraine. Das Spektrum reiche von der Unterwanderung staatlicher Netzwerke bis zur Sabotage kritischer Infrastruktur.

Angriff auf die Energie- und Verkehrsinfrastruktur

Zu den betroffenen Staaten zählen Deutschland, Frankreich, Polen, Zypern, die Niederlande, Österreich, die Slowakei, Rumänien und Finnland. Hierzulande richteten sich die Angriffe vor allem gegen staatliche Einrichtungen. In Polen soll die FSB-Einheit Sabotageakte gegen Heizkraftwerke und Schienennetze verübt haben. Solche Attacken zeigen für den Rat die wachsende Bereitschaft Moskaus, zivile Kernbereiche des täglichen Lebens im Westen zu stören.

Neben den Geheimdiensten spielen laut EU auch kriminelle Gruppen und Technologieunternehmen eine wichtige Rolle. Viele stünden in direkter Verbindung zu Russland oder handelten unter Anleitung und Kontrolle des Kreml. Sie ermöglichten oder führten Angriffe auf öffentliche Einrichtungen und sensible Wirtschaftsbereiche aus. Die EU wolle diese Form hybrider Kriegsführung nicht länger hinnehmen.

Tarnung durch gekaperte iranische Server

Frankreich hat nähere Erkenntnisse über die Arbeitsweise der Turla-Gruppe publik gemacht. Demnach kompromittierte diese bereits 2017 unklassifizierte E-Mail-Systeme des Verteidigungsministeriums, infiltrierte 2018 die französische Botschaft in Moskau und betrieb 2025 Industriespionage gegen ein Hightech-Unternehmen. Zur Verschleierung sollen die Angreifer Infrastruktur in Drittstaaten wie dem Iran genutzt haben. Frankreichs Außenminister Jean-Noël Barrot kündigte an, den russischen Botschafter einzubestellen.

Die EU verhängte nun Sanktionen gegen neun Personen und vier Organisationen. Grundlage ist das EU-Regime für Cybersanktionen, das 2020 erstmals gegen Offiziere des russischen Militärgeheimdienstes GRU eingesetzt wurde – als Reaktion auf NotPetya und den Cyberangriff auf den Bundestag. Später wurde die Sanktionsliste unter anderem wegen Angriffen auf Estland sowie russischer Sabotage- und Desinformationskampagnen erweitert.

Die neuen Maßnahmen umfassen Einreiseverbote und das Einfrieren von Vermögenswerten. Betroffen sind auch russische Technologieunternehmen, die den Geheimdienst unterstützen. So dürfen Advanced System Technology (AST) und NPP Gamma künftig keine Geschäfte mehr in der EU tätigen. AST war bereits 2021 von den USA sanktioniert worden.

Internationale Allianz gegen russische Attacken

Die EU verweist auf die enge Abstimmung mit Großbritannien, das parallel ebenfalls Sanktionen gegen 24 mit russischen Geheimdiensten verbundene Personen und Organisationen verhängte. Beide Seiten sehen die Grenzen zwischen staatlichen Akteuren und angeblich unabhängigen Cyberkriminellen im russischen Cyberraum zunehmend verschwimmen.

Um dieser Entwicklung zu begegnen, plant die EU die internationale Zusammenarbeit auszubauen – vor allem mit der NATO. Ziel ist ein freier, offener, stabiler und sicherer Cyberspace. Zugleich appelliert sie an alle Staaten inklusive Russland, den UN-Rahmen für verantwortungsvolles staatliches Handeln im Cyberraum einzuhalten und das Völkerrecht zu respektieren.

(cku)