Künstliche Intelligenz
AirPlay-Lücke steckt noch in zahllosen CarPlay-Autos
Im April sorgten sie für große Aufmerksamkeit: Experten der israelischen IT-Sicherheitsfirma Oligo Security hatten massive Angriffsflächen in Apples lokalem Streamingprotokoll AirPlay entdeckt, mit dem sich diverse Geräte angreifen lassen – und zwar einfach nur dadurch, dass man sich im gleichen WLAN befindet. Während Apple die Probleme in iOS, macOS, iPadOS und seinen anderen Betriebssystemen (inklusive HomePod-Software) schnell behoben hat, kommen Hersteller AirPlay-fähiger Geräte vom Heim-Unterhaltungssystem bis zum Lautsprecher nur langsam mit dem Patchen hinterher.
Einige Produkte werden wohl nie abgedichtet. Dabei kaum beachtet wurde allerdings, dass auch CarPlay betroffen ist, dessen Wireless-Protokoll ebenfalls auf AirPlay basiert. Zwar hat Apple hier ebenfalls gepatcht, die Software steckt aber (auch) in der sogenannten Headunit in Autos – und genau dafür gibt es noch erstaunlich wenige Updates. Das beschreiben die Oligo-Security-Sicherheitsforscher Uri Katz, Avi Lumelsky und Gal Elbaz in einem Paper, das bereits in der vergangenen Woche erschienen war.
AirPlay-Lücke steckt auch in CarPlay
Die Methodik namens „Pwn My Ride“ basiert auf dem Stack-Overflow-Fehler mit der CVE-ID 2025-24132. Er kann ausgenutzt werden, wenn ein Gerät mit dem Multimediasystem des Autos verbunden wird. Laufen verschiedene ältere SDKs (AirPlay Audio vor 2.7.1, AirPlay Video vor 3.6.0.126 und CarPlay Communication Plug-in vor R18.1) sind – je nach Fahrzeugmodell – sogar Zero-Click-Angriffe ohne Nutzerinteraktion möglich. Es ist das Erlangen von Root-Rechten möglich. Dies ist sowohl via WLAN als auch via Bluetooth möglich – letzteres muss dann allerdings aktiv sein. Unklar blieb zunächst, ob Angriffe auch kabelgebunden möglich sind, denn es gibt viele Fahrzeuge, die Wireless CarPlay nicht unterstützen. Die Forscher konzentrierten sich auf das Drahtlos-Szenario.
Mit dem Root-Zugriff auf das Unterhaltungssystem sind diverse Möglichkeiten verbunden – von der Manipulation des Systems über das Abgreifen von Daten bis zu Spionagemöglichkeiten. Der Angreifer muss sich dazu mit der CarPlay-Implementierung des Fahrzeugs beschäftigt haben, es gibt allerdings häufig verwendete Systeme. Bei der AirPlay-Lücke in Lautsprechern hatten die Oligo-Security-Forscher unter anderem gezeigt, wie sie auf deren gegebenenfalls vorhandenen Bildschirmen Schabernack treiben konnten – die Möglichkeiten sind breit. In einem Demonstrationsvideo zeigen die Forscher, wie sie nach Anmeldung auf dem WLAN-Hotspot des Autos ein „Hacked“-Bild auf dem Bildschirm des Unterhaltungssystems platzieren konnten. Dabei hilft das Auto den Angreifern, denn über das iAP2-Protokoll wird das WLAN-Passwort übertragen.
Patchen in der Werkstatt – wenn es einen Patch gibt
Um das Problem zu lösen, sind nun die Autohersteller gefragt. Es könnte, schätzen die Sicherheitsforscher, mehrere Millionen auf der Straße befindliche Fahrzeuge betreffen, die noch ungepatcht herumfahren. Oft sind Firmware-Updates zudem nicht Over-the-Air (OTA), sondern nur per USB-Stick und/oder auch nur in der Werkstatt möglich. Da die Zyklen oft unterschiedlich lang sind, kann dies eine kleine Ewigkeit dauern – wenn der Hersteller sich überhaupt darum kümmert.
„Wenn eine Schwachstelle in einem weitverbreiteten SDK wie Apples AirPlay entdeckt wird, besteht die Herausforderung nicht nur darin, den Fehler zu beheben, sondern auch darin, sicherzustellen, dass jeder Anbieter, der auf das SDK angewiesen ist, die Korrektur tatsächlich implementiert und an die Endbenutzer weitergibt“, schreibt Oligo Security. Bei Autos sei dies besonders schwierig. „Im Gegensatz zu einem Smartphone oder Laptop, das über Nacht aktualisiert wird, sind die Aktualisierungszyklen bei Fahrzeugen langsam, fragmentiert und erfordern oft einen Besuch beim Händler oder eine manuelle Installation über USB.“
Update
17.09.2025,
10:21
Uhr
(bsc)
Künstliche Intelligenz
Vibe Coding Cleanup Specialists: Diese Menschen reparieren schlechten KI-Code
Vibe-Coding ist ein neuer Trend, der es mithilfe von KI-Tools wie ChatGPT, Claude oder Gemini ermöglicht, ganz ohne Vorkenntnisse zu programmieren. Das birgt allerdings auch neue Risiken. Wie 404 Media berichtet, hat sich daraus sogar schon eine neue Berufsbezeichnung entwickelt: Vibe Coding Cleanup Specialists haben sich auf die Reparatur schlechter KI-Programmierung spezialisiert – und die Nachfrage nach ihren Diensten steigt.
Programmierung leicht gemacht
In der Regel haben Programmierer viele Jahre damit verbracht, ihre Fähigkeiten zu perfektionieren. Beim Vibe-Coding wird der Quellcode für Software aber fast ausschließlich durch Prompts generiert. Das bedeutet, dass dank KI-Tools praktisch jeder in der Lage ist, komplette Programme erstellen zu lassen. Vibe-Coding kann also vor allem unerfahrenen Programmierern dabei helfen, ihre Vision mit wenig Aufwand und Budget umzusetzen. Den Großteil der Arbeit übernimmt die KI – die Nutzer müssen lediglich beschreiben, was genau sie umsetzen wollen.
Die Vorteile bringen allerdings auch Risiken mit sich: Sicherheitsprobleme können beispielsweise dazu führen, dass eine mithilfe von Vibe-Coding programmierte App für Hobbyköche nicht nur Rezepte für Thai Curry oder Bananenbrot generiert, sondern auch Schritt für Schritt erklärt, wie sich giftige Zyanid-Eiscreme herstellen lässt.
Auch Cyberangriffe sind keine Seltenheit: So berichtete ein Nutzer auf X beispielsweise stolz von seiner Software-as-a-Service, die er komplett von dem KI-Code-Editor Cursor erstellt hatte. Nur wenige Tage später schrieb er in einem weiteren Beitrag, dass seine Software in der Zwischenzeit von unzähligen Cyberangriffen betroffen gewesen sei: „Es passieren komplett zufällige Dinge, die Anzahl der API-Schlüssel ist ausgereizt und Leute umgehen das Abonnement.“
Vibe-Coding schafft neue Jobs
Der Begriff des Vibe-Codings hat erst Anfang 2025 Andrej Karpathy geprägt, der zuvor unter anderem die KI-Abteilung bei Tesla geleitet hatte. Auf Fiverr, einem Online-Marktplatz für Freelancer, gab es aber auch schon davor Programmierer, die sich darauf spezialisiert haben, schlechten KI-Code zu reparieren.
Hamid Siddiqi ist einer von ihnen – er ist schon seit Ende 2023 als Vibe Coding Cleanup Specialist tätig. „Derzeit arbeite ich regelmäßig mit etwa 15 bis 20 Kunden zusammen und habe zusätzlich noch weitere Einzelprojekte im Laufe des Jahres“, erklärte er gegenüber 404 Media. „Ich habe angefangen, Projekte mit Vibe-Coding zu reparieren, weil mir aufgefallen ist, dass immer mehr Entwickler und kleine Teams Schwierigkeiten hatten, den von KI generierten Code zu optimieren. Dieser war zwar funktional, hatte aber nicht den Feinschliff oder den ‚Vibe‘, den sie für ihre Vision brauchten. Ich sah eine Chance, diese Lücke zu schließen, indem ich mein Programmier-Know-how mit meinem Blick für Ästhetik und Nutzungserfahrung kombinierte.“
KI macht häufig die gleichen Fehler
Laut Siddiqi gibt es einige Probleme, die er immer wieder behebt. Dazu zählen unter anderem ein inkonsistentes UI/UX-Design und falsch ausgerichtete Branding-Elemente. Aber auch schlecht optimierter Code, der die Leistung beeinträchtigt, ist ein typischer Grund, weshalb sich Kunden an ihn wenden.
Auch Swatantra Sohni hat sich inzwischen auf das Bereinigen schlechten Codes spezialisiert. Er sagt, viele, die sich mit dem neuen KI-Trend befassen, seien Produktmanager oder Kleinunternehmer, die mithilfe von Vibe-Coding ihre Ideen umsetzen wollen. Für sie gehe es eher um die Erstellung eines Prototypen. „Vibe-Coding steckt derzeit noch in den Kinderschuhen. Es ist sehr praktisch, um den gewünschten Prototyp zu vermitteln, aber ich glaube nicht, dass es wirklich dafür ausgelegt ist, eine produktionsreife App zu erstellen.“ Vibe-Coding ist damit ein gutes Beispiel dafür, wie KI Jobs nicht nur ersetzt – sondern gleichzeitig auch neue schafft.
Dieser Beitrag ist zuerst auf t3n.de erschienen.
(jle)
Künstliche Intelligenz
Europarecht: Diese Pflichten bringt die E-Evidence-Verordnung
Seit 2023 gilt die „Verordnung über die grenzüberschreitende Sicherung und Herausgabe elektronischer Beweismittel in Strafverfahren“ europaweit als Rechtsgrundlage für Strafverfolgungsbehörden aller Mitgliedsländer. Sie berechtigt Behörden, sich aus jedem anderen Unionsstaat ermittlungsrelevante Daten zu beschaffen, sofern die höchste Haftstrafe für einen Tatbestand mindestens drei Jahre beträgt. Noch gelten Übergangsfristen, aber spätestens in einem Jahr muss der gesamte Prozess einer automatisierten Bearbeitung und Übermittlung funktionieren: Die Anordnungen zur Herausgabe (European Production Order Certificate, EPOC) oder vorsorglichen Speicherung (European Preservation Order Certificate, EPOC-PR) digitaler Beweismittel müssen den Auskunftsverpflichteten elektronisch zustellbar sein und ihre Beantwortung muss mittels technisch standardisierter Verfahren erfolgen – je nach Schwere des Verdachtsfalls binnen acht Stunden bis maximal zehn Tagen.
Zwischen den Behörden der EU-Mitglieder gibt es solche Abkommen schon lange, auch die technischen Rahmenbedingungen sind dort weitgehend etabliert. Neu ist, dass die Adressaten der E-Evidence-Verordnung nicht Amtskollegen, sondern Provider im weitesten Sinne sind – ein Ermittlungshilfeersuchen der Staatsanwaltschaft Barcelona an einen E-Mail-Dienst in München ist ein realistisches Szenario. Denn die berechtigten Stellen, die eine solche grenzüberschreitende Datenübermittlung anfordern können, sind genauso weit zu fassen wie ihr Gegenüber, die Betreiber der Kommunikationsdienste. Auskunftspflichtig sind nicht nur Telekommunikationsunternehmen und Internetprovider, sondern prinzipiell alle Organisationen, die kontenbasiert die Verarbeitung und Speicherung von Daten und Kommunikation ihrer Nutzer ermöglichen.
- Die E-Evidence-Verordnung verpflichtet europaweit Provider und Plattformbetreiber zur Herausgabe elektronischer Beweismittel bei Ermittlungsverfahren – mit Fristen von acht Stunden bis zehn Tagen.
- In Deutschland sind rund 300.000 Stellen auskunftspflichtig, von TK- und Cloud-Providern über Marktplätze und Spieleplattformen bis zu Foren und Smarthome‑Diensten. International tätige Plattformen kommen hinzu.
- Betroffene Unternehmen stecken in der Zwickmühle zwischen schneller Lieferung und DSGVO‑Risiken. Unterschiedliche nationale Rechtslagen, privilegierte Kommunikation und überlastete Staatsanwaltschaften erschweren rechtssichere Entscheidungen.
- Die zu erwartende Anfrageflut wird enorm und reicht durch die Budapester Konvention über Europa hinaus. Betroffene Organisationen müssen jetzt Zuständigkeiten klären und Prozesse etablieren, statt auf Ausnahmen zu hoffen.
Die Anzahl der Betroffenen, die nach der E-Evidence-Verordnung zur Herausgabe elektronischer Beweismittel im Strafverfahren verpflichtet wären, beläuft sich allein in Deutschland auf rund 300.000, darunter Unternehmen, öffentliche Einrichtungen, Vereine und sogar Einzelpersonen. Primär sind zwar „interpersonelle Kommunikationsdienste“ wie Voice over IP, SMS und andere Messenger sowie E-Mail-Dienste benannt, darüber hinaus sind für die E-Evidence-Abfragen aber auch „beispielsweise Online-Marktplätze, die es Verbrauchern und Unternehmen ermöglichen, miteinander zu kommunizieren, und andere Hosting-Dienste, einschließlich Cloud-Computing-Diensten, sowie Plattformen für Online-Spiele und Online-Glücksspiele“ relevant. Zu den 300.000 deutschen Adressaten der Verordnung käme dann eine kaum zu beziffernde Zahl international tätiger Plattformen hinzu, sofern die ihre Dienste auch deutschen Nutzern anbieten.
Das war die Leseprobe unseres heise-Plus-Artikels „Europarecht: Diese Pflichten bringt die E-Evidence-Verordnung“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
Künstliche Intelligenz
Vodafone erweitert Sortiment an Refurbished-Smartphones
Das Tochterunternehmen des britischen Telekommunikationsunternehmens Vodafone baut sein Sortiment an Refurbished-Smartphones mit dem Partner Recommerce aus. Eigenen Angaben zufolge biete man nun rund 500 Modelle in „allen gängigen Farben und verschiedenen Zustandskategorien“ an. Das Angebot sei sowohl für Kunden als auch Nicht-Kunden zugänglich – und sei nicht mit einem Vertragsabschluss verbunden.
Buntes Sortiment
Smartphones ein zweites Leben zu schenken, liegt laut den Marktforschern von Nielsen IQ (Niq, ehemals GfK) im Trend. Im Vergleich zum Vorjahr sei der Markt für Refurbished-Smartphones gewachsen: Im zweiten Quartal 2025 wurden im Vergleich zum ersten Quartal 33 Prozent mehr Refurbished-Geräte verkauft. In diesem Bereich will nun auch Vodafone stärker mitmischen, der besonders in Deutschland noch viel Potenzial hat, wie aus einer Umfrage hervorgeht. Die von Vodafone in Auftrag gegebene und vom Wuppertal-Institut durchgeführte Umfrage zeigte auf, dass hierzulande nur 25 Prozent der Befragten schon einmal ein Refurbished-Smartphone gekauft hätten.
Lesen Sie auch
Laut Vodafone sollen die generalüberholten Telefone bis zu 40 Prozent günstiger als neue Geräte sein und über eine 24-monatige Garantie verfügen. Als Beispiel führt der Hersteller ein aufbereitetes iPhone 16 an: Dieses gebe es in Vodafones Refurbished-Shop ab etwa 626 Euro. Für ein Neugerät müsse man direkt bei Apple 849 Euro zahlen. Der Straßenpreis für ein neues iPhone 16 liegt indes etwa niedriger, wenn man sich in den einschlägigen Preisvergleichen umsieht; Amazon verlangt noch um die 760 Euro.
In Vodafones Refurbished-Shop sollte man ähnlich wie in jenen anderer Anbieter nicht nach einem x-beliebigen günstigen Smartphone schauen, sondern darauf achten, dass es sich noch um ein relativ aktuelles Gerät handelt. Denn der Netzbetreiber bietet im Recommerce-Laden auch bisweilen uralte Modelle an, die seit Jahren keine Softwareupdates mehr bekommen und potenziell unsicher sind. Eine Stichprobe zeigte, dass im Vodafone-Shop Uralt-Geräte wie Huaweis sechs Jahre altes Mate 20 Pro, Apples iPhone 8 Plus von 2017 oder Samsungs Galaxy S20 FE aus dem Jahr 2020 angeboten werden – diese sollte man links liegen lassen.
Generell ist der Ansatz von Refurbished-Geräten sinnvoll, vor allem seit der Einführung der verpflichtenden Updates gemäß der EU-Ökodesign-Verordnung. Diese schreibt für Neugeräte ab dem 20. Juni 5 Jahre Updates vor, sodass Geräte länger genutzt werden können.
Auch Deutsche Telekom und O2 bieten Refurbished-Geräte
Neben Vodafone bieten die Mitbewerber wie die Deutsche Telekom und O2 auch eine Auswahl an Refurbished-Geräten an. Das Angebot ist bei beiden jedoch recht übersichtlich: Die Telekom bietet nur ältere iPhones an, während O2 ein kleines Sortiment an iPhones und Samsung-Geräten hat.
Vodafone hat durch die Partnerschaft mit der Recommerce-Group, derzeit wohl das größte Angebot unter den Netzbetreibern. Jedoch sollte man wissen, was man sucht, und gegebenenfalls Preise mit dem Angebot der Refurbished-Konkurrenz wie Refurbed, Swappie und Co. vergleichen – und sich bei Vorjahresmodellen auch auf dem Neugerätemarkt umschauen. Denn bisweilen sind die Straßenpreise für diese Modelle auch recht niedrig.
(afl)
-
UX/UI & Webdesignvor 4 Wochen
Der ultimative Guide für eine unvergessliche Customer Experience
-
UX/UI & Webdesignvor 3 Wochen
Adobe Firefly Boards › PAGE online
-
Social Mediavor 4 Wochen
Relatable, relevant, viral? Wer heute auf Social Media zum Vorbild wird – und warum das für Marken (k)eine gute Nachricht ist
-
Entwicklung & Codevor 4 Wochen
Posit stellt Positron vor: Neue IDE für Data Science mit Python und R
-
Entwicklung & Codevor 2 Wochen
EventSourcingDB 1.1 bietet flexiblere Konsistenzsteuerung und signierte Events
-
Digital Business & Startupsvor 3 Monaten
10.000 Euro Tickets? Kann man machen – aber nur mit diesem Trick
-
Digital Business & Startupsvor 3 Monaten
80 % günstiger dank KI – Startup vereinfacht Klinikstudien: Pitchdeck hier
-
Apps & Mobile Entwicklungvor 3 Monaten
Patentstreit: Western Digital muss 1 US-Dollar Schadenersatz zahlen