Connect with us

Datenschutz & Sicherheit

Auf Crash-Kurs mit digitalen Grundrechten


Die Europäische Kommission hat heute Nachmittag Pläne für die Überarbeitung mehrerer Digitalgesetze vorgestellt. Der „digitale Omnibus“, wie das Sammelgesetz genannt wird, soll unter anderem die KI-Verordnung, IT-Sicherheitsgesetze, den Data Act und die Datenschutzgrundverordnung (DSGVO) anpassen. Von uns veröffentlichte Entwürfe hatten Befürchtungen genährt, die EU-Kommission plane „den größten Rückschritt für digitale Grundrechte in der Geschichte der EU“, vor allem beim Datenschutz.

Diese Sorgen bestätigen sich nun weitgehend. Auch wenn ein paar Regeln weniger unter die Räder kommen, ist der digitale Omnibus tatsächlich auf Crash-Kurs mit digitalen Grundrechten.

Unter anderem sollen KI-Unternehmen eine Art Freifahrtschein für das Training ihrer Systeme mit personenbezogenen Daten erhalten. Die Kommission will klarstellen, dass Menschen hierfür nicht gefragt werden müssen, sondern lediglich über eine Widerspruchsmöglichkeit verfügen. Zudem sollen Regeln für gefährliche KI-Systeme aus dem AI Act aufgeschoben werden.

Die wohl weitreichendste Änderung wäre eine Neudefinition dessen, was als personenbezogene Daten verstanden wird. So sollen pseudonymisierte Daten teilweise ausgenommen werden. Die Kommission will zudem Betroffenenrechte schleifen: Unternehmen und Behörden sollen zudem weitreichende Möglichkeiten bekommen, Auskunfts- oder Löschanfragen von Betroffenen abzuweisen.

Getriebene im KI-Rennen

Dass diese Pläne hochgradig problematisch sind, darauf haben bereits im Vorfeld der heutigen Vorstellung mehr als 120 zivilgesellschaftliche Organisation sowie Sozialdemokraten, Liberale und Grüne im Europäischen Parlament hingewiesen. Und auch jetzt hagelt es Kritik von Verbraucherschutz- und Grundrechtsorganisationen.

Motiviert sind die Pläne durch den Wunsch der EU-Kommission, Europas Wettbewerbsfähigkeit zu steigern. Sie treibt vor allem die Sorge um, im globalen KI-Wettrennen den Anschluss zu verlieren, wie Kommissionsvizepräsidentin Henna Virkkunen und die Kommissare Valdis Dombrovskis und Michael McGrath auf einer Pressekonferenz heute deutlich machten. „Europa muss sich verändernden Technologien und Märkten anpassen“, so Virkkunen.


Bild von einem Plakat. Daneben Text: Kunstdrucke kaufen.

Mal abgesehen davon, dass viele Europäer:innen wohl lieber weniger als mehr KI in ihrem Leben haben wollen: Die Kommission kann auch auf explizite Nachfrage nicht erklären, wie der Abbau von Datenschutzregeln europäischen Unternehmen in einem Markt helfen soll, der von US-amerikanischen und chinesischen Firmen dominiert wird.

Reform ja, aber bitte nicht so

Um das einmal klar zu sagen: Die Datenschutzgrundverordnung ist nicht perfekt. Es gibt Reformbedarf. Das zeigen nicht zuletzt unsere Recherchen bei netzpolitik.org. Seit Jahren decken wir auf, dass das Schutzversprechen der DSGVO in manchen Bereichen unerfüllt bleibt, allen voran bei Online-Tracking und Datenhandel. Verantwortlich dafür ist vor allem die schleppende Durchsetzung, aber auch der Gesetzestext selbst.

Das Grundproblem der DSGVO ist der falsch verteilte Nerv-Faktor. Während kleine Unternehmen, Menschen in Vereinen oder Blogger:innen sich oft überfordert fühlen, haben große Digitalkonzerne leichtes Spiel. Allen voran Big Tech mit seinen Heeren an Anwält:innen weigert sich bis heute beharrlich, die DSGVO umzusetzen. Strafzahlungen, die ihnen die Kommission aufbrummt, preisen Meta, Google und Co. ein – was sind schon ein paar Milliarden Bußgeld bei einem Jahresgewinn von 100 Milliarden Dollar?

Hier müsste die EU-Kommission ansetzen, wenn sie ihr Mantra von der wertegeleiten Digitalisierung ernstnimmt. Gerne auch mit echten Vereinfachungen. Stattdessen räumt sie vor allem den Überwachungskapitalisten und KI-Räuberbaronen weitere Hürden aus dem Weg. Von den vorgeschlagenen Änderungen, so die Einschätzung der Datenschutzorganisation noyb, würden die großen Tech-Konzerne am meisten profitieren. Für die meisten anderen bringe die Reform eher mehr Rechtsunsicherheit als weniger.

Das eine tun, das Gegenteil behaupten

Das alles versucht die Kommission in ein Verfahren zu pressen, das eigentlich nur für technische Änderungen und Vereinfachungen gedacht ist. Ein Omnibus, das sagen selbst Freunde der Datenindustrie, ist kein geeignetes Werkzeug für eine derart umfassende Reform. Noch vor wenigen Wochen kommunizierte die Kommission deshalb in alle Richtungen, die DSGVO solle erst 2026 im Rahmen eines Digital Fitness Checks wohlgeordnet überarbeitet werden.

In anderen Teilen hält der Omnibus zwar, was er verspricht. Vier verschiedene Gesetze zur Datennutzung will er zu einem zusammenfassen. Die Regeln für Cookies und Tracking sollen fortan nicht mehr in zwei unterschiedlichen Rechtsakten stehen. Und Unternehmen sollen IT-Sicherheitsvorfälle nur noch einer Stelle melden müssen. All das vereinfacht die Dinge und ist zu begrüßen.

Bei der Datenschutzgrundverordnung aber liefert die EU-Kommission einen überhasteten und verstolperten Reformvorschlag, der im Eiltempo die Arbeit eines Jahrzehnts europäischer Digitalpolitik einzureißen droht. Selbst Vorschläge, die die Flut an Cookie-Bannern reduzieren sollen, wirken unausgegoren und enthalten riesige Schlupflöcher für Medienunternehmen.

Derweil behauptet die Kommission steif und fest, sie schlage lediglich Vereinfachungen vor. Gleichzeitig wahre sie „die höchsten europäischen Standards in Bezug auf Grundrechte, Datenschutz, Sicherheit und Fairness“. Von Vereinfachung sprechen, während man einen Kahlschlag plant und von Werten, wenn man an Wertschöpfung denkt, – diese Form des orwellschen Neusprech kennen wir sonst eigentlich von Populisten und Diktatoren wie Trump oder Putin.

Wobei: Dass sie die Konseqeunzen der eigenen Vorschläge lieber nicht klar kommuniziert, kann man durchaus nachvollziehen. Die EU-Kommission opfert hier dem KI-Hype Europas Position als globales Vorbild bei der demokratischen Gestaltung der digitalen Welt.

Wo bleibt die Digitalisierung, die den Menschen dient?

Mit ihrem Vorschlag verlässt die EU-Kommission jenen Pfad, der als ein dritter Weg der Digitalisierung galt. Nicht der Wild-West-Kapitalismus der USA sollte Vorbild sein, nicht der staatlich gesteuerte Digitalkapitalismus Chinas, sondern etwas Eigenes. Europa ist die einzige digitale Großmacht, die Freiheit und Fairness garantieren will. Das droht nun vorbei zu sein.

Die Kommission kann sich bei ihrem Kurs der Unterstützung Deutschlands und Frankreichs sicher sein. Auf dem gestrigen „Gipfel zur Europäischen Digitalen Souveränität“ beschworen Vertreter:innen beider Regierung die Stärke Europas. Unabhängigkeit durch Innovation und Innovation durch Deregulierung, so lautet jetzt das neue Mantra. Merz, Wildberger und Co. merken offenbar gar nicht, wie sehr ihr „Erst machen, dann regulieren“-Ansatz dem Sound des Silicon Valley ähnelt.

Für Stimmen aus der Zivilgesellschaft war auf dem Gipfel kein Platz. Es könnte wohl den Innovationsgeist stören, wenn jemand darauf hinweist, dass beim KI-Wettrennen bereits die Prämisse verkehrt ist, weil Big Tech die Regeln vorgibt. Jetzt lässt man die USA gewinnen, von denen man sich doch gerade unabhängig machen wollte.

Es ist damit nur konsequent, dass der deutsche Digitalminister auf dem Gipfel von Europäer:innen vor allem als „Kunden“ und nicht als „Bürgern“ spricht. In einem Punkt allerdings hat er durchaus Recht: Europa darf sich nicht aufs Regulieren beschränken, sondern muss auch selbst gestalten. Das Ziel muss eine Digitalisierung sein, die nicht Konzernen, sondern Menschen dient. Dafür aber fehlt sowohl der deutschen Regierung als auch der EU-Kommission jeglicher Plan.



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Chatbot-inspirierte Gewalt: KI-Hersteller entschädigen Familien



In den US-Bundesstaaten Florida, Texas, Colorado and New York handeln Google und Character Technologies Vergleiche mit fünf Familien aus, deren Kinder angeblich durch Chatbot-Nutzung zu Schaden gekommen sind. Der Fall, der die meiste Aufmerksamkeit erhielt, behandelt den Suizid eines 14-Jährigen Jungen. Der Jugendliche hatte eine emotionale Beziehung zum Chatbot „Dany“ von Character Technologies aufgebaut, der den Suizid des Jungen befürwortete.

In anderen Fällen hatten Chatbots von Character Technologies angeblich Jugendliche zu Gewalt gegen ihre Eltern oder selbstverletzendem Verhalten inspiriert. Die Bedingungen der Vergleiche sind bisher öffentlich nicht bekannt und werden nach Angaben von TechCrunch weiter verhandelt. Demnach wollen sich weder Sprecher*innen von Character Technologies, noch die Anwältin der Anklage dazu äußern.

Haften Techkonzerne für ihre Chatbots?

Zwei ehemalige Google-Mitarbeiter gründeten 2021 den Chatbot-Hersteller Character Technologies. Drei Jahre später kehrten sie zu Google zurück. Im gleichen Zug erwarb der Konzern Lizenzen in Höhe von 2,7 Milliarden US Dollar von Character Technologies. Beide Gründer stehen als Angeklagte vor Gericht. Die Mutter des toten 14-Jährigen hat ebenfalls Googles Mutterkonzern Alphabet angeklagt. Sie argumentiert, dass das Unternehmen den Chatbot mitentwickelt hat. Google beteiligt sich nun auch an dem Vergleich.

Im Mai des vergangenen Jahres hatte die verantwortliche US-Bezirksrichterin Anne C. Conway entschieden, dass KI-Chatbots rechtlich als Produkte zu behandeln sind. Ihre Ausgaben seien nicht als geschützte Meinungsäußerung zu werten. Andernfalls hätte das die Chancen einer Haftungsklage stark verringert.

Gegenmaßnahme Altersbeschränkungen

Aktuell laufen in den USA sieben Verfahren gegen den Tech-Konzern OpenAI. Eine Anklage stammt von den Eltern eines 16-Jährigen Jungen. Auch sie werfen dem Unternehmen vor, dass die KI den Jugendlichen bei der Selbsttötung unterstützt habe. OpenAI zieht sich bisher aus der Verantwortung. Der KI-Hersteller verweist auf die Missachtung der Sicherheitsmaßnahmen durch den 16-Jährigen.

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Gleichzeitig führt das Unternehmen neue Tools zur Alterskontrolle und „Kindersicherung“ ein. Auch der KI-Hersteller Character Technologies hat neue Regelungen zur Altersüberprüfung eingeführt.

Präzedenzfall steht aus

Character Technologies und Google streben die nicht-öffentlichen Vergleiche wohl auch deshalb an, um Präzedenzfälle zu vermeiden, auf die sich Kläger*innen bei zukünftigen Verstößen berufen können. Außerdem ist der Schaden für die Reputation bei einem Vergleich vermutlich geringer als bei einer juristischen Niederlage.

Aline Blankertz von Rebalance Now, einem Verein der sich gegen Monopolisierung einsetzt, sagt: „Die kollektive Schutzwirkung der Gesetze wird dadurch untergraben, denn es bleibt offen, ob das Verhalten illegal war. Wir beobachten diese Tendenz in verschiedenen Rechtsbereichen.“

Blankertz erklärt auch, warum sich Kläger*innen auf Vergleiche einlassen: „Aus Sicht der einzelnen Geschädigten ergeben Vergleiche Sinn: Sie geben ihnen ein sicheres Ergebnis innerhalb kürzerer Zeit.“



Source link

Weiterlesen

Datenschutz & Sicherheit

Dr. Ansay: Neue Sicherheitslücke legte 1,7 Millionen Datensätze offen


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Bei dem Telemedizinanbieter Dr. Ansay hat es eine Sicherheitslücke gegeben, durch die rund 1,7 Millionen Rezepte von rund einer halben Million Kunden potenziell einsehbar waren. Betroffen sind vor allem Cannabis-Rezepte mit Gesundheits- und personenbezogenen Daten, darunter Namen, Adressen, E-Mail-Adressen, Telefonnummern und Angaben zu den rund 15 verschreibenden Ärzten, die meist nicht aus Deutschland kommen. Außerdem waren dort Daten zu Medikamenten, Dosierungen sowie ausgewählten Apotheken einsehbar sowie beispielsweise auch Bestellungen zu Schmerzmitteln. Fragen dazu, ob Daten abgeflossen sind, beantwortet das Unternehmen nicht.

Weiterlesen nach der Anzeige

Bei heise online gingen Hinweise darauf ein, dass die Lücke auf einer Fehlkonfiguration der Zugriffsregeln einer Firebase-Firestore-Datenbank basiert. heise online konnte das bestätigen. Durch die Fehlkonfiguration konnten eingeloggte Nutzer mit einem gültigen Token nicht nur auf ihre eigenen Rezepte, sondern auf sämtliche Datensätze zugreifen. Trotz mehrerer Meldeversuche an das Unternehmen blieb eine Reaktion zunächst aus, die Daten waren bis Anfang Januar weiterhin ungeschützt. Am Abend, nachdem heise online eine Anfrage an das Unternehmen gestellt hatte, wurde die Lücke geschlossen.

Bug-Bounty-Programm

Zentrale Fragen von heise online lässt Dr. Ansay unbeantwortet und begründet den Fund mit dem Auflegen eines neu aufgelegten Bug-Bounty-Programms: „Wir gehen davon aus, dass die Lücke aufgrund eines von uns initiierten Bug-Bounty-Programm gefunden wurde“. Die Frage, ob eine Meldung an die Betroffenen gemäß Art. 34 der DSGVO erfolgt ist, lässt Dr. Ansay unbeantwortet.

Gegenüber dem Sicherheitsforscher, der die Lücke gefunden hat, hatte Dr. Ansay angegeben, eine DSGVO-Meldung an die zuständige Behörde initiiert zu haben. Anfragen von heise online an die Datenschutzbehörden in Malta und Hamburg, wo Dr. Ansay seinen deutschen Sitz hat, wurden noch nicht beantwortet.

Die Kontaktaufnahme des Sicherheitsforschers hatte sich über die Feiertage leider verzögert“, sagte eine Sprecherin. Inzwischen funktioniere die Kommunikation und das Problem habe sofort gelöst werden können. „Wir danken dem Sicherheitsforscher für die Arbeit und behandeln den Vorfall intern weiter“. Weitere Details wolle Dr. Ansay „aktuell nicht teilen, da in Zukunft Black-Hat-Hacker diese nutzen könnten und wir unsere Systeme schützen“.

Unklar bleibt, seit wann die Sicherheitslücke bestand und ab wann das Unternehmen davon wusste, ob und in welchem Umfang Daten tatsächlich abgeflossen sind, wie viele Personen konkret betroffen sind und ob diese bereits informiert wurden. Offen bleibt auch, welche konkreten Risiken für Betroffene bestehen, welche Schutzmaßnahmen geplant sind und warum die Lücke nicht durch eigene Sicherheitsprüfungen entdeckt wurde.

Weiterlesen nach der Anzeige

Viele heise-investigativ-Recherchen sind nur möglich dank anonymer Informationen von Hinweisgebern.

Wenn Sie Kenntnis von einem Missstand haben, von dem die Öffentlichkeit erfahren sollte, können Sie uns Hinweise und Material zukommen lassen. Nutzen Sie dafür bitte unseren anonymen und sicheren Briefkasten.

Interne Sicherheits- und Monitoringprozesse

Gegenüber heise online und auf Reddit hatte Dr. Ansay noch im Dezember zugesichert, dass „interne Sicherheits- und Monitoringprozesse […] kontinuerlich“ laufen würden und es „keine Hinweise auf unautorisierten Zugriff oder einen Abfluss von Daten“ gebe. Zu dem Zeitpunkt wurden in einem Untergrundforum vermeintlich von Dr. Ansay stammende Datensätze zum Verkauf angeboten. Woher die Daten kommen, ist unklar. Denkbar ist auch ein Mix aus bereits veröffentlichten Leaks anderer oder ähnlicher Plattformen. Bisher konnte die Echtheit der Daten nicht bestätigt werden.


Dr. Ansays Antwort bei Reddit

Dr. Ansays Antwort bei Reddit

Dr. Ansay legt großen Wert auf die Sicherheit seiner Systeme.

(Bild: Reddit)

Datenschutz habe „oberste Priorität“, gibt Dr. Ansay an. „Die Systeme werden fortlaufend überprüft. Vor dem Hintergrund der aktuell vermehrt auftretenden Phishing- und Smishing-Versuche wurden die internen Kontrollen zusätzlich noch einmal intensiviert, ohne Befund“.

Datenpanne im Mai 2024

Bereits im Mai 2024 hatte es bei Dr. Ansay eine öffentlich bekannte Datenpanne gegeben, bei der Cannabis-Rezepte über Suchmaschinen abrufbar waren. Damals meldete das Unternehmen den Vorfall an die Datenschutzbehörde, sprach von einer behobenen Lücke und informierte Betroffene per E-Mail.


(mack)



Source link

Weiterlesen

Datenschutz & Sicherheit

Sieben kritische Sicherheitslücken mit Höchstwertung bedrohen Coolify


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Admins von Platform-as-a-Service-Umgebungen auf der Basis von Coolify sollten ihre Instanzen zügig auf den aktuellen Stand bringen. Geschieht das nicht, können Angreifer unter anderem an sieben „kritischen“ Sicherheitslücken mit Höchstwertung (CVSS Score 10 von 10) ansetzen, um Server vollständig zu kompromittieren.

Weiterlesen nach der Anzeige

Scans von Sicherheitsforschern von Censys zeigen, dass sich der Großteil verwundbarer Systeme in Deutschland befindet. Weltweit sind es mehr als 52.000 Instanzen. Hierzulande fanden sie knapp über 14.800 Systeme. Ob es bereits Attacken gibt, ist zurzeit unklar. Admins sollten mit dem Patchen aber nicht zu lange zögern.

Ansatzpunkte für Angreifer

Auch wenn Angreifer in den meisten Fällen authentifiziert sein müssen, ist der Großteil der Schwachstellen mit dem Bedrohungsgrad „kritisch“ eingestuft. Setzen Angreifer erfolgreich an den Lücken an, können sie etwa als Rootnutzer Schadcode ausführen und so die volle Kontrolle über Systeme erlangen (etwa CVE-2025-64424). Außerdem sind Zugriffe auf eigentlich geschützte private SSH-Schlüssel möglich (CVE-2025-64420), sodass sich Angreifer unbefugt Zugriff verschaffen können.

Fehlende Sicherheitspatches

Insgesamt sind 16 Lücken bekannt. Laut Einträgen auf GitHub (siehe Ende dieser Meldung) sind derzeit aber nur Sicherheitsupdates für acht Schwachstellen verfügbar. Wann die Entwickler die verbleibenden Lücken schließen, ist derzeit unklar.

Diese Patches sind zurzeit verfügbar:

Weiterlesen nach der Anzeige

  • v4.0.0-beta.420.7
  • >= 4.0.0-beta.451

Weiterführende Informationen zu den Lücken bedrohten Ausgaben und Sicherheitsupdates finden Admins in den verlinkten Warnmeldungen. Liste nach Bedrohungsgrad absteigend sortiert:


(des)



Source link

Weiterlesen

Beliebt