What actually makes infrastructure independent? For Michiel Leenaars of the NLnet Foundation, the answer is not where technology comes from, but whether it can be controlled and replaced. One year after raising concerns about missing EU funding for initiatives like his own, the foundation’s Director of Strategy reflects on what has changed since then and what Europe still gets wrong about building a sovereign digital stack.

netzpolitik.org: What is NLnet currently doing to support open source infrastructure?

Michiel Leenaars: We do open calls to fund open infrastructure. On all layers of the stack, from people making open hardware chips to office suites, search engines and social media, like Mastodon.

People just knock on our door and tell us what’s wrong with the internet and if it’s a good idea, we will help them.

netzpolitik.org: With money?

Michiel Leenaars: Yes, but also with team building, legal questions, performance tuning, security audits, license compliance, accessibility scans…

We want to make sure that we’re not just talking about building a European stack, but that we’re actually supporting the people who are building it. It really boils down to paying the people who work on alternatives. And to do so in a way that it can actually scale.

And it works. We have already funded over 1.450 projects in about 80 countries. You can see them all on our website. And some of the best people apply to us.

netzpolitik.org: But you are a small team and have a limited budget, how do you manage?

Michiel Leenaars: Yes. We are a tiny team with a fairly limited budget compared to the size of the challenges we try to address, around 15 million Euro a year. But we work with targeted small grants, between 5.000 and 50.000 Euro.

Small budgets are often looked down upon. But there really isn’t a need for billion-dollar projects in most cases. You just need individual experts to solve the actual problems and for all these components to fit together in a very specific way.

netzpolitik.org: Where do you get your money from?

Michiel Leenaars: It’s a beautiful blend. The biggest share comes from the EU’s Next Generation Internet programme from the European Commission which has been our main driver in the last couple of years.

There is a company called Radically Open Security, and every year they give use their profits. We also receive some funding from governments, such as the Dutch and French governments, as well as just regular people that care about what we do, private donors and aligned organisations.

netzpolitik.org: The Next Generation Internet programme was discontinued. What is happening now with EU funding for open source projects?

Michiel Leenaars: There is now a successor initiative called the Open Internet Stack. The contours of that are still vague, and it has more constraints and a smaller budget. We are about to start the first programme, and that will allow us to at least continue tackle some of the work that needs to be done.

We of course applied for the new calls for 2026. We hope to be awarded some of that money, but these calls are massively oversubscribed. A lot of organisations apparently also want to take some of this budget to advance their own projects, but they don’t realise that this is all the budget there is to be had. We have a huge sense of urgency, but it is quite uncertain we’ll come out on top.

And then for 2027 there is no new budget. So without intervention from say the European Commissioner on digital sovereignty, the new opportunity will be the next EU budget, the Multiannual Financial Framework (MFF) in 2028. That would mean a big gap.

netzpolitik.org: The European Commission is planning an Open Source Strategy for end of May. What do you expect from it?

Michiel Leenaars: We are hoping that the Commission’s strategy will tackle all the long term interest of the European economy and design a strategic intervention for the benefit of all the European society, not just what it needs itself.

The difficult thing will be to operationalize it.

netzpolitik.org: The Commission also stated that the Open Source sector needs to be more commercial. Do you agree?

Michiel Leenaars: I think that there are many ways to be sustainable, and while there is certainly healthy profit to be made developing and maintaining critical infrastructure, there are not that many examples of where this works well in the long term. There is a tension.

Collective models are an interesting model. You can have a nonprofit which gets paid by the stakeholders. If you look at how many internet exchanges are organised, you see that such collective approaches are robust and allow for healthy independent organisations. As long as you get enough money to operate, you don’t need to go look for business.

Essential software should be treated as a shared public good and funded collectively, so it can be maintained securely and sustainably without the incentives of commercial tech markets to move super fast and get money.

netzpolitik.org: These days, the idea of “Buy European”, a European preference in procurement, is being discussed a lot. Do you believe that this would help Europe’s digital sovereignty?

Michiel Leenaars: Any dependency is a bad thing. The fact that something is owned by an entity with a European address doesn’t make it honest. The fact that you can leave when they do bad stuff keeps them honest.

Many digital services today are actually pseudo-infrastructure. Messaging services like WhatsApp or Signal can be switched off at any moment, if a single manager decides to do so.

We hate that idea. That’s why we are funding all these alternatives.

netzpolitik.org: So, it doesn’t matter if it is a European product or a US product if it’s proprietary?

Michiel Leenaars: I think there is a benefit in hosting services in Europe.

Although what is important is the jurisdiction, not the locality. That other jurisdictions can’t turn it off, don’t have a kill switch. Like, if Microsoft or Amazon puts up a datacentre in Europe, they could still be forced to turn off the service.

netzpolitik.org: What is your take on digital sovereignty, then?

Michiel Leenaars: From a societal perspective, my idea is that at least the basic stuff should not be dependent on anybody. Governments should own their infrastructure, or be owned.

I believe that it is fundamental to be self-sustaining and to choose the conditions under which we run society – without having to ask for permission or fearing to be degraded in terms of functionality, because someone else decides so.

netzpolitik.org: What should Europe focus on if it wants to strengthen its digital independence?

Michiel Leenaars: Europe needs to invest in open source infrastructure and long-term maintenance.

In the artificial intelligence field, I believe the vast majority of investment in AI now is a disinvestment because you’re just pumping up the Nvidia shares while pursuing a dead end. We should instead increase our capacity, build our own chips and shift gear towards the AI models we believe in.

And stop the economic haemorrhaging from our insane dependency on rented computers and proprietary software, if you follow the money, that is absolutely clear. The „AI Race“ frame is tempting, but wrong: it is not a fair sprint, it is long term economic sustainability and societal health we are seeking in the face of a skewed and broken market.

We therefore need to enforce the legislation, to remove bad actors, and force competitors to have interoperability, allowing the Digital Markets Act (DMA) to do its work.

Im vergangenen Jahr erbeuteten Betrüger in sozialen Netzwerken rund 2,1 Milliarden Dollar von US-Bürgern. Das geht aus einem Bericht der Federal Trade Commission (FTC) hervor, die unter anderem Betrugsmeldungen aus den USA sammelt und auswertet.

Laut der FTC verursachte Betrug über Social Media höhere Verluste als jeder andere Kontaktweg. Knapp 30 Prozent der durch Betrug Geschädigten gaben an, dass dieser auf sozialen Netzwerken begann. Die daraus entstehenden Verluste haben sich seit 2020 verachtfacht, schreibt die Behörde.

Soziale Netzwerke seien die erste Wahl für Betrüger, da sie von überall aus einen einfachen Zugang zu Milliarden von Menschen bieten und Betrug so mit minimalem Aufwand möglich machen. Die FTC schätzt, dass die tatsächlichen Verluste durch Betrug weit höher liegen, da längst nicht alle Betrugsfälle bei der Behörde gemeldet werden.

Die höchsten Verluste würden auf Kontakte entfallen, die über Facebook angebahnt wurden (siehe Diagramm unten). Die weiteren Meta-Plattformen wie WhatsApp und Instagram folgen mit großem Abstand auf den Plätzen zwei und drei. Auf anderen Plattformen wie Telegram, TikTok, LinkedIn und X findet laut Diagramm ebenfalls Betrug statt, aber in geringerem Ausmaß. Laut der FTC entstand allein auf Facebook ein größerer Betrugsschaden als durch Betrug per SMS oder E-Mail.

Drei typische Betrugsmaschen auf Social Media

Die FTC nennt drei verbreitete Betrugsmuster in sozialen Netzwerken. Den größten finanziellen Schaden (1,1 Milliarden Dollar) verursachten Anlagebetrugsfälle. Solche Maschen beginnen oft mit Anzeigen oder Beiträgen, die beim Investieren helfen sollen, oder mit fingierten Beratern und manipulierten WhatsApp-Gruppen, die Erfolg vortäuschen.

Am weitesten verbreitet sind Fake-Shops und Kaufbetrug. Mehr als 40 Prozent derjenigen, die durch Betrug auf sozialen Netzwerken Geld verloren, gaben an, Produkte aus Social-Media-Anzeigen bestellt zu haben. Diese werden oft nicht geliefert oder stammen von gefälschten Shops, die bekannte Marken imitieren.

Eine andere beliebte Masche ist der Liebesbetrug – und soziale Netzwerke spielen dabei eine zentrale Rolle: Fast 60 Prozent der Menschen, die 2025 durch Liebesbetrug Geld verloren, gaben an, der Kontakt habe auf einer Social-Media-Plattform begonnen. Täter sprechen hier gezielt Personen über deren Profile an, bauen Vertrauen auf und nutzen anschließend erfundene Notlagen oder vermeintliche Investmentchancen, um an Geld zu kommen. Andere Betrüger wiederum bringen Menschen dazu, intime Fotos zu senden, und drohen anschließend, diese an deren Social-Media-Kontakte zu senden, falls sie nicht zahlen.

Die FTC gibt basierend darauf naheliegende Tipps zur Vermeidung von Betrug: Nutzer sollten ihre Privatsphäre-Einstellungen einschränken, keine Anlageentscheidungen auf Basis reiner Online-Kontakte treffen und Anbieter vor dem Kauf online gezielt auf Betrugshinweise oder Beschwerden prüfen.

(tobe)

Microsoft hat eine Sicherheitslücke in der Windows Shell zum Februar-Patchday ausgebessert – CVE-2026-21510, die von der Cybergang APT28 – besser unter dem Namen Fancy Bear bekannt – in freier Wildbahn angegriffen wurde. Der Patch war unzureichend und hinterließ eine weitere Sicherheitslücke. Und die wird nun ebenfalls im Internet attackiert.

Microsoft hat die neue Schwachstelle CVE-2026-32202 (CVSS 4.3, Risiko „mittel“) am April-Patchday mit Softwareflicken ausgebessert. Im Laufe des Montags haben die Entwickler den Schwachstelleneintrag jedoch aktualisiert: Die Spoofing-Lücke in der Windows Shell wird demzufolge inzwischen ebenfalls von bösartigen Akteuren in freier Wildbahn missbraucht. Die Auswirkungen scheinen nicht so gravierend wie vor dem unzureichenden Patch aus dem Februar.

Angreifer können einige sensible Informationen abgreifen, jedoch keine Informationen verändern oder Ressourcen blockieren. Microsoft erklärt weiter, dass ein Schutzmechanismus nicht korrekt greift, sodass bösartige Akteure Spoofing-Angriffe über das Netz ausführen können. Laut Microsoft müssen Opfer jedoch dazu eine bösartige Datei ausführen, die Angreifer ihnen zusenden. Die Installation des Updates vom Patchday schützt vor dem Missbrauch der Lücke.

Hintergründe zur Schwachstelle

Akamai hat im Blog jedoch eine weitergehende Analyse veröffentlicht. Die IT-Analysten stufen die neue Schwachstelle anders als Microsoft als Zero-Click-Schwachstelle ein. Rechner der Opfer authentifizieren sich dadurch am Server der Angreifer ohne Nutzerinteraktion. Der ursprüngliche Angriff ermöglichte die Ausführung von Schadcode aus dem Netz (RCE, Remote Code Execution). Der erste Patch blockierte unsignierte oder nicht vertrauenswürdige LNK-Dateien, die etwa auf CPL-Dateien verweisen, mittels SmartScreen. Allerdings haben die Programmierer eine Stelle im Codepfad übersehen: Der Windows Explorer versucht, aus Dateien wie .lnk für die Zieldatei – .cpl – ein Icon zu extrahieren. Und hier findet eine Pfadprüfung statt, mitsamt der Verbindung zu fremden SMB-Servern. Das passiert beim Anzeigen des Verzeichnisses, ohne weitere Klicks durch Nutzer.

Beispielhaft enthält die LNK-Datei eine Verknüpfung auf „\\attacker.com\share\payload.cpl“, wodurch der Rechner beim Auflisten des Verzeichnisses eine Verbindung zum SMB-Server „\\attacker.com\“ aufbaut und dabei eine automatische NTLM-Authentifizierung startet, wodurch der Net-NTLMv2-Hash des Opferrechners an die Angreifer gesendet wird. Der lasse sich dann in NTLM-Relay-Attacken und für Offline-Cracking missbrauchen, erklärt Akamai weiter.

Das heise-security-Pro-Webinar „Authentifizierung im Active Directory absichern: Mit Microsofts veralteten Konzepten (über)leben“ liefert Admins Handreichungen zur Absicherung mit vertiefenden Erklärungen und Hintergründen zu Net-NTLM.

(dmk)