Connect with us

Datenschutz & Sicherheit

Apple präsentiert „Trusted OS Agent“ als Alternative zu EU-KI-Vorgaben


Apple hat sich mit einer ungewöhnlichen und umfangreichen Stellungnahme in das laufende DMA-Verfahren der EU-Kommission gegen Google eingeschaltet. Obwohl der iPhone-Konzern formal nicht Partei des Verfahrens ist, warnt er auf 38 Seiten eindringlich vor den vorläufigen Interoperabilitätsmaßnahmen (Draft Measures, DMs), die Brüssel Ende April an Google übermittelt hatte – und nutzt die Gelegenheit, erstmals öffentlich ein alternatives KI-Sicherheitsmodell vorzustellen. Die EU-Kommission hatte Google im Rahmen von Artikel 6(7) des Digital Markets Act (DMA) im Januar 2026 eine Frist von sechs Monaten gesetzt, um Konkurrenten tieferen Zugang zu Android-Kernfunktionen zu verschaffen – insbesondere für KI-Assistenten, die auf Android derzeit schlechter gestellt seien als Googles eigener Gemini-Assistent. Interessierte Parteien konnten bis zum 13. Mai dazu Stellung nehmen.

Weiterlesen nach der Anzeige

Apple: Ein Sicherheitsexperiment an Europäern

Apple bezeichnet die vorgeschlagenen Maßnahmen als ernste Bedrohung für Privatsphäre, Sicherheit und Gerätestabilität europäischer Nutzer. Die Regelungen würden jene Funktionen offenlegen, die böswillige Akteure und kompromittierte KI-Systeme ausnutzen wollten: dauerhaften Mikrofonzugang, Live-Bildschirminhalte, App-übergreifende Steuerung und privilegierte Systemressourcen. Gleichzeitig würden die Maßnahmen die zentralen Schutzfunktionen eines Betriebssystems aushebeln. Die EU-Kommission führe damit „ein großangelegtes Sicherheits- und Datenschutzexperiment an europäischen Nutzern durch – genau in dem Moment, in dem KI-getriebene Bedrohungen am schnellsten zunehmen.“

Apples Stellungnahme kritisiert, dass andere Teile der Kommission selbst aktiv an KI-Sicherheitsinitiativen arbeiteten – während die zuständige Abteilung diese Risiken im Falle Googles vollständig ignoriere. Apples Regulierungschef Kyle Andeer hatte bereits zuvor Apples tiefe Frustration mit dem DMA öffentlich gemacht und der EU-Kommission vorgeworfen, Datenschutz- und Sicherheitsbedenken systematisch zu ignorieren. Weder der Europäische Datenschutzausschuss (EDPB) noch die EU-Cybersicherheitsbehörde ENISA seien trotz wiederholter Bitten in das Verfahren einbezogen worden.

Wake-Words, Phishing und Spyware-Risiken

Im Detail benennt Apple vier gravierende Sicherheitsprobleme. Erstens bei der Sprach-Aktivierung: Die Maßnahmen würden verlangen, dass beliebige Drittanbieter-Apps eigene Aktivierungswörter registrieren könnten und selbst bestimmen dürften, wann eine Audioaufnahme endet. Das öffne Tür und Tor für unbeabsichtigte oder absichtliche Daueraufzeichnung.

Zweitens beim Datenzugriff: Die Maßnahmen würden Drittanbieter-Apps unbegrenzten Zugriff auf die sensibelsten Nutzerdaten ermöglichen – Benachrichtigungen, SMS, Kontakte, Bildschirminhalte und installierte Apps. Diese Datenkombination reiche aus, um Nutzerprofile zu erstellen, die etwa Gesundheitszustand, Religion, sexuelle Orientierung, politische Überzeugungen und finanzielle Lage offenbarten. Apple schreibt, die Maßnahmen öffneten eine „Büchse der Pandora“: So würde diskriminierende Preisgestaltung ermöglicht, die zum Beispiel auf Signalen für Sucht oder Notlagen gründet.

Drittens bei so genannten Overlay-Angriffen: Die Maßnahmen würden verlangen, dass Apps Inhalte über die Benutzeroberfläche anderer laufender Apps legen könnten. Genau diese Technik werde seit Jahren für Banking-Trojaner missbraucht. iOS verfüge über keine API, die derartige Overlays erlaube – aus genau diesem Sicherheitsgrund.

Weiterlesen nach der Anzeige

Viertens beim Gerätezugriff: Die vorgeschriebene Gleichzeitigkeit mehrerer immer-aktiver Wake-Word-Modelle von Drittanbietern auf dem digitalen Signalprozessor (DSP) sei technisch problematisch. Auf einem Amazon Echo etwa verbrauche die Erkennung allein bereits rund 50 Prozent der CPU-Leistung. Mehrere parallele Implementierungen ohne zentrale Koordination würden zu Ressourcenkonflikten, Systemverlangsamungen, thermischen Problemen und deutlich verkürzter Akkulaufzeit führen.



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

„Passwort“ Folge 57: Fail-News mit KI-Fail, copy.fail und S/MIME-Fail


Die Linuxwelt ist in Aufruhr: Da hat jemand eine Sicherheitslücke im Kernel gefunden, die zuverlässig zur Ausweitung der Nutzerrechte auf Root-Ebene führt. Und ihr einen Namen gegeben. Und eine Website! Das zementiert die Gravitas von „copy.fail“, also müssen Christopher und Sylvester diesem Thema den gebotenen Raum – mit der gebotenen Ironie – im Podcast einräumen. Doch hinter copy.fail steckt eine ganze Kategorie von Sicherheitslücken, derer es seit Aufnahme der Folge mehrere weitere gab, nämlich Dirty Frag, Copy Fail 2 und den Abschluss der Trilogie, Copy Fail 3.

Weiterlesen nach der Anzeige

Irrungen und Wirrungen von KI bis CA

Auch die Unzulänglichkeiten künstlicher Intelligenz finden im Passwort-Podcast von heise security wieder statt: In Form der Mär um PocketOS, das weder mit Hosentaschen noch mit einem Betriebssystem viel gemein hat. Der Hersteller der SaaS-Software für Autovermietungen hatte allzu stark auf agentische Entwicklung und Administration gesetzt und der künstliche Kollege Claude hatte Produktions-Datenbank nebst Backup gelöscht.

In der PKI-Ecke geht es erneut um die deutsche Certificate Authority D-Trust, die Administratoren einen kurzfristigen Zertifikatsrückruf ins Osternest hatte legen müssen. Im Gefolge dieser Aktion war den Auditoren bei der Bundesdruckerei-Tochter aufgefallen, dass auch die automatische Überprüfung von S/MIME-Zertifikaten für verschlüsselte E-Mail nicht den Anforderungen des gestrengen CA/Browser-Forums genügte. Und so kam es, wie es kommen musste: Viele S/MIME-Zertifikate wurden kurzfristig zurückgezogen und neu ausgestellt, ein weiteres Ungemach für D-Trust-Kunden.

Die neue Folge von „Passwort – der Podcast von heise security“ steht seit Mittwoch auf den üblichen Podcast-Plattformen bereit.


(cku)



Source link

Weiterlesen

Datenschutz & Sicherheit

Fortinet stopft elf Sicherheitslücken in mehreren Produkten


Fortinet hat im Laufe des zweiten Dienstag des Monats – gemeinhin auch als „Patch Tuesday“ oder kurz Patchday etwa aus der Microsoft-Welt bekannt – elf Mitteilungen zu Sicherheitslücken in diversen Produkten veröffentlicht. Davon gelten zwei als kritische Schwachstellen und eine als hochriskant.

Weiterlesen nach der Anzeige

Im FortiAuthenticator klafft eine kritische Schwachstelle aufgrund von unzureichenden Zugriffskontrollen. Sie ermöglicht Angreifern ohne vorherige Authentifizierung, mit manipulierten Anfragen unbefugt Code oder Befehle auszuführen (CVE-2026-44277, CVSS 9.1, Risiko „kritisch“). FortiAuthenticator 6.5.7, 6.6.9 und 8.0.3 sowie neuere Fassungen korrigieren das. Mit manipulierten HTTP-Anfragen können bösartige Akteure ohne vorherige Anmeldung unbefugt Code oder Befehle in FortiSandbox, FortiSandbox Cloud und FortiSandbox PaaS Web UI aufgrund einer fehlenden Autorisierung ausführen (CVE-2026-26083, CVSS 9.1, Risiko „kritisch“).

Im FortiOS CAPWAP-Daemon können Angreifer, die Kontrolle über authentifizierte FortiAP FortiExtender oder FortiSwitches haben, Ausführungsrechte auf den FortiGate-Geräten erlangen. Das geht auf mögliche Schreibzugriffe außerhalb vorgesehener Speichergrenzen zurück. Wie die sich provozieren lassen, erklärt Fortinet jedoch nicht (CVE-2025-53844, CVSS 8.3, Risiko „hoch“).

Fortinet: Mittelschwere Sicherheitslücken

Fortinet warnt zudem vor weiteren Schwachstellen. Nach Schweregrad sortiert handelt es sich um folgende:

IT-Verantwortliche sollten prüfen, ob sie verwundbare Fortinet-Appliances einsetzen und die verfügbaren Aktualisierungen zeitnah anwenden.

Weiterlesen nach der Anzeige

Zum „Patchday“ im April hatte Fortinet noch 18 Sicherheitslücken behandelt. Auch die haben die Entwickler zum Teil als kritisches Risiko eingestuft. Da Fortinet direkt mit Netzwerken in Verbindung steht, sind Schwachstellen in der Software ein begehrtes Ziel von Kriminellen. Anfang April haben bösartige Akteure etwa eine kritische Sicherheitslücke im FortiClient EMS attackiert.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Google erweitert Android-Sicherheitsfunktionen gegen Gerätediebstahl


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Google hat neue Anti-Diebstahlfunktionen für Android vorgestellt. Einige erfordern das neue Android 17, andere funktionieren auch mit älteren Versionen.

Weiterlesen nach der Anzeige

Biometrie als zweiter Faktor

Um Langfingern den Gerätediebstahl möglichst unattraktiv zu machen, hat Google hier nachgebessert: Denn ein verlorenes Gerät kostet etwa nicht nur den Wert des Telefons, sondern auch finanzielle Verluste, die durch Betrug entstehen können.

Die neuen Vorkehrungen bauen auf den im Januar 2026 eingeführten Funktionen auf – darunter zusätzliche Einstellungen für die Sperre bei fehlgeschlagener Authentifizierung und einem erweiterten Schutz durch die Identitätsprüfung. Das bedeutet, dass Diebe, die möglicherweise an das Gerätepasswort oder an die PIN gelangt sind, die Geräteortung nicht deaktivieren oder erneut auf das Telefon zugreifen können, wenn Besitzerinnen und Besitzer es als verloren markieren.

Keine neuen WLAN- und Bluetooth-Verbindungen

Laut Google aktiviert das Auslösen von „Als verloren markieren“ ferner zusätzliche Schutzmaßnahmen wie das Ausblenden der Schnelleinstellungen und das Deaktivieren neuer WLAN- und Bluetooth-Verbindungen. Überdies erzwingt das Gerät eine biometrische Authentifizierung zum Entsperren des Geräts – heißt: nur die Eigentümerin oder der Eigentümer des Geräts kann das Gerät etwa mit dem Fingerabdruck entriegeln.

Überdies erklärt Google, dass die neuen Diebstahlschutzfunktionen unter Android 17 standardmäßig aktiviert werden. Dies habe man nach einem erfolgreichen Pilotprojekt in Brasilien entschieden. Zudem erweitert Google in Märkten wie Argentinien, Chile, Kolumbien, Mexiko und Großbritannien diese Schutzmaßnahmen auf alle Geräte mit Android 10 oder höher. Funktionen wie „Remote-Sperre“ und „Diebstahlschutz-Sperre“ seien automatisch aktiviert.

Weiterlesen nach der Anzeige

Mit Android 17 will Google Dieben außerdem den Zugriff auf Nutzerdaten erschweren. Auf unterstützten Geräten werde die Anzahl der Versuche, die PIN oder das Passwort zu erraten, deutlich reduziert und zudem längere Wartezeiten zwischen fehlgeschlagenen Versuchen eingeführt. Dies soll verhindern, dass Angreifer sich durch schnelles Ausprobieren Zugang zum gestohlenen Smartphone verschaffen können. Außerdem hat Google Verbesserungen daran vorgenommen, wie der Sperrbildschirm Informationen nach fehlgeschlagenen Versuchen anzeigt, erklärt das Unternehmen.

Um eine mögliche Rückgabe von Geräten zu vereinfachen, könne die IMEI eines Geräts nun über den Sperrbildschirm auf Geräten mit Android 12 oder neuer abgerufen werden. Laut Google können Strafverfolgungsbehörden, Gerätehersteller oder Mobilfunkbetreiber diese eindeutige Gerätekennung nutzen, um die Eigentumsverhältnisse einfach zu überprüfen und das Gerät den rechtmäßigen Besitzern zurückzugeben. Diese Funktion könne jederzeit in den Geräteeinstellungen deaktiviert werden.


(afl)



Source link

Weiterlesen

Beliebt