Connect with us

Datenschutz & Sicherheit

Berliner Behörde greift jetzt auch auf Cloud-Daten zu


Das Berliner Landesamt für Einwanderung greift zur Identitätsfeststellung von abzuschiebenden Personen nicht nur auf lokal gespeicherte Daten auf Smartphones, Laptops oder USB-Sticks zu. Wie aus einer Antwort des Senats auf eine parlamentarische Anfrage hervorgeht, durchsucht die Behörde inzwischen auch Daten in Cloud-Diensten wie iCloud oder Google Drive. Die betroffenen Personen sind dabei nicht anwesend.

Bereits seit 2015 durchsuchen Ausländerbehörden Datenträger, wenn sie die Identität von abzuschiebenden Personen nicht auf anderen Wegen feststellen können. So wollen sie Hinweise für Namen und Staatsangehörigkeit finden, damit die Herkunftsländer einen Pass ausstellen.

Das Aufenthaltsrecht verpflichtet die betroffenen Personen, dabei mitzuwirken. Im Klartext: Sie müssen Geräte und auch die dazugehörigen Zugangsdaten herausgeben. Passiert das nicht, darf die Behörde Personen oder ihre Wohnungen durchsuchen.

Zurück zur Handarbeit

Bis 2020 arbeitete die Berliner Behörde dabei von Hand: Mitarbeiter*innen haben die Smartphones entsperrt und darauf nach Hinweisen gesucht. In den Verfahrenshinweisen der Behörde heißt es dazu: „So können etwa die Adressdaten in dem Mobiltelefon eines ausreisepflichtigen Ausländers beziehungsweise gespeicherte Verbindungsdaten aufgrund der Auslandsvorwahl wesentliche Hinweise auf eine mögliche Staatsangehörigkeit geben.“ Auch gespeicherte Reiseunterlagen seien relevant.

Ab 2020 hatte die Behörde eine Vereinbarung mit dem Berliner Landeskriminalamt und hat die Geräte mit einer IT-forensischen Software durchsuchen lassen. Mit dieser konnte sie sich auch Zugang zu gesperrten Geräten verschaffen, deren Besitzer*innen keine Zugangsdaten herausgegeben haben.

Nachdem die Berliner Datenschutzaufsicht auf das Verfahren aufmerksam wurde und eine Untersuchung einleitete, löste die Ausländerbehörde die Vereinbarung wieder auf. Der Einsatz der Software habe sich nicht gelohnt, teilte die Senatsinnenverwaltung damals mit. Die Geräte durchsuchte die Behörde aber weiter: wieder von Hand.

Behörde sieht Dokumente, Chats, Bilder

So ist es bis heute. Der Berliner Linken-Abgeordnete Niklas Schrader fragte die Landesregierung, ob und welche Software das Landesamt derzeit für die Durchsuchungen einsetzt. Der Innensenat antwortet: „Es werden keine solchen Produkte oder Softwarelösungen genutzt.“

Auf Nachfrage bestätigte die Senatsverwaltung, dass bei der händischen Durchsicht von Mobiltelefonen auch Inhalte in Cloud-Diensten durchgesehen werden. Das bedeutet: Behördenmitarbeitende können auf gespeicherte Dokumente, Chatverläufe oder Standortdaten zugreifen, die gar nicht direkt auf dem Gerät gespeichert sind – sondern über Dienste wie Google Drive, iCloud oder WhatsApp-Backups abrufbar sind. Welche Apps und Dienste auf dem Handy durchsucht werden, „obliegt im Einzelfall dem Mitarbeiter“, der das Gerät durchsucht.

Die rechtliche Grundlage für diese Maßnahmen ist § 48 des Aufenthaltsgesetzes. Der Bundestag hat den Paragraf letztes Jahr mit den Stimmen der Ampel durch das sogenannte Rückführungsverbesserungsgesetz verschärft. Davor durften nur lokal gespeicherte Daten auf Smartphones oder Laptops ausgelesen werden. Die neue Fassung erlaubt nun ausdrücklich auch den Zugriff auf Daten in Cloud-Diensten.

Keine statistische Erfassung, keine Transparenz

Im bundesweiten Vergleich ist die Zahl der in Berlin durchgeführten Handy-Auswertungen bislang eher gering. Zwischen 2018 und 2021 durchsuchte die Ausländerbehörde in insgesamt 64 Fällen Mobiltelefone, wie der Senat auf eine frühere Anfrage mitteilte. Nur in sechs Fällen habe die Maßnahme zur Klärung der Identität oder Staatsangehörigkeit beigetragen.

Wie häufig die Behörde seither auf Mobiltelefone oder Cloud-Konten zugegriffen hat, ist dagegen nicht bekannt. Die Senatsverwaltung teilte mehrfach mit, dass keine statistische Erfassung erfolgt – weder zur Anzahl der Fälle noch zu Alter, Geschlecht oder Herkunft der Betroffenen. Auch ob eine Auswertung erfolgreich war oder scheiterte, wird nicht systematisch erfasst.

Das gleiche gilt für die Frage, in wie vielen Fällen die Behörde Wohnräume der Betroffenen durchsucht hat, um Geräte zu finden.

Keine Beschwerden, aber Kritik

Trotz der tiefgreifenden Maßnahmen sind bislang keine Beschwerden bei der Berliner Datenschutzbeauftragten eingegangen, so der Senat. Eine rechtliche oder ethische Evaluation der Durchsuchung hat laut Senat nicht stattgefunden. Zwar sieht das Gesetz vor, dass nur Personen mit Befähigung zum Richteramt Zugriff auf die Daten erhalten. Sie sollen sicherstellen, dass keine besonders geschützten Daten zu den Akten genommen werden.

Die Datenschutzbeauftragte hatte im Rahmen ihrer Untersuchung allerdings darauf hingewiesen, wie sensibel die auf Smartphones und Computern gespeicherten Daten sein können. „Nicht nur lassen sich bspw. aufgrund der mit anderen Personen ausgetauschten Nachrichten Rückschlüsse auf sexuelle Orientierungen oder politische Ansichten ziehen; über Funktionen wie eine Terminverwaltung gelangen auch sehr schnell Gesundheitsdaten auf das Gerät.“ Die EU-Datenschutzregeln, deren Einhaltung die Behörde überwacht, schützen solche Daten besonders.

Dass die Behörde nach eigenem Ermessen auf die Daten zugreifen kann, wurde schon bei der Verabschiedung des Gesetzes kritisiert. Der Bundesrat etwa zweifelte an der Verhältnismäßigkeit der Maßnahme, sorgte sich um den Schutz des Kernbereichs privater Lebensgestaltung und schlug vor einen Richtervorbehalts einzufügen. 

Niklas Schrader, Sprecher für Innenpolitik der Linken-Fraktion, kritisiert, der Senat weiche Fragen aus und könne den Nutzen der Maßnahme nicht belegen. Dass sogar Daten auf Cloud-Diensten durchsucht werden, zeige, wie tief der Eingriff in die Intimsphäre der Betroffenen sei. „Wir fordern deshalb ein Ende dieser unverhältnismäßigen Praxis.“ Sie sei Teil eines entwürdigenden Regimes im Umgang mit Menschen, die in Deutschland Schutz suchten.


Drucksache 19 / 22 905

Schriftliche Anfrage des Abgeordneten Niklas Schrader (LINKE)

vom 12. Juni 2025 (Eingang beim Abgeordnetenhaus am 13. Juni 2025)

zum Thema: Instrumente für Handy-Forensik und Phone-Cracker bei den Berliner Sicherheitsbehörden und beim Landesamt für Einwanderung (Teil 4)

und Antwort vom 27. Juni 2025 (Eingang beim Abgeordnetenhaus am 2. Juli 2025)

Senatsverwaltung für Inneres und Sport

Herrn Abgeordneten Niklas Schrader (LINKE)

über die Präsidentin des Abgeordnetenhauses von Berlin

über Senatskanzlei – G Sen –

Antwort

auf die Schriftliche Anfrage Nr. 19/22905

vom 12. Juni 2025 über Instrumente für Handy-Forensik und Phone-Cracker bei den Berliner

Sicherheitsbehörden und beim Landesamt für Einwanderung (Teil 4)

Im Namen des Senats von Berlin beantworte ich Ihre Schriftliche Anfrage wie folgt:

1. Welche Produkte und Softwarelösungen werden derzeit (Stand Juni 2025) vom Landesamt für Einwanderung (LEA) bzw. anderen beteiligten Behörden für die forensische Auswertung von Mobilgeräten genutzt? (Bitte unter Angabe von Hersteller, Produktname, Version und Beschaffungsjahr auflisten!)

Zu 1.:

Es werden keine solchen Produkte oder Softwarelösungen genutzt.

2. Bestehen aktuell Verträge mit externen Anbietern wie Cellebrite? Wenn ja, seit wann, mit welchem Vertragsvolumen, welchen Laufzeiten und welchen Leistungsinhalten?

Zu 2.:

Auf die Antwort zu Frage 1. wird verwiesen. Es bestehen aktuell keine Verträge mit externen Anbietern wie Cellebrite.

3. Welche internen Dienstanweisungen, Leitfäden oder Schulungsunterlagen existieren zur Auswertung von Mobilgeräten im Rahmen von § 48 AufenthG/§ 48a AufenthG? Ich bitte um Übermittlung oder Zusammenfassung der zentralen Inhalte!

Zu 3.:

Die entsprechenden Verfahrenshinweise sind in den VAB A.48.3.1.-3c. veröffentlicht und können unter www.berlin.de/einwanderung/service/downloads/artikel.875097.php abgerufen werden.

4. Wurden in den Jahren 2023 und 2024 nach der Beendigung der Zusammenarbeit mit dem LKA weiterhin Mobiltelefone zur Identitätsfeststellung ausgewertet?

a) Wenn ja, in wie vielen Fällen und mit welchen technischen Mitteln wurden diese Auswertungen durchgeführt? b) In wie vielen Fällen scheiterte die Auswertung, etwa weil betroffene Personen keine Zugangsdaten herausgegeben haben?

Zu 4.:

Es erfolgt keine statistische Erfassung im Sinne der Fragestellung.

5. Gab es seit dem 1. Januar 2023 Änderungen im Verfahren zur Auswertung von Mobiltelefonen zur Identitätsfeststellung beim LEA? Wenn ja, bitte mit Angabe etwaiger neuer Verfahrensschritte, Zuständigkeiten oder technischer Systeme auflisten!

Zu 5.:

Der Gesetzgeber hat mit dem Inkrafttreten des Rückführungsverbesserungsgesetzes zum 27.02.2024 die gesetzliche Möglichkeit in § 48 Absatz 3 bis 3b AufenthG geschaffen, nicht nur mitgeführte Datenträger zu durchsuchen, sondern auch die Wohnung des Betroffenen. Die entsprechenden Verfahrenshinweise sind in den VAB A.48.3.1.-3c. veröffentlicht und können unter www.berlin.de/einwanderung/service/downloads/artikel.875097.php abgerufen werden.

6. In welchen Anwendungen auf einem Mobiltelefon suchen Mitarbeitende des LEA nach Hinweisen, wenn sie Mobiltelefone von Hand durchsuchen? Gibt es Anwendungen, die von der Durchsuchung ausgeschlossen sind?

Zu 6.:

Zur Feststellung der bislang ungeklärten Identität und Staatsangehörigkeit werden Anwendungen durchsucht, die dazu Anhaltspunkte geben können. Die Entscheidung obliegt im Einzelfall dem Mitarbeiter des Landesamts für Einwanderung mit Befähigung zum Richteramt, der diese Durchsuchung durchführt.

7. Durchsucht das LEA bei der händischen Durchsuchung von Mobiltelefonen auch Daten, die in Cloud- Diensten wie iCloud oder Google Drive gespeichert sind?

Zu 7.:

Ja.

8. Welche Personengruppen waren in den Jahren 2023–2025 von Handy-Auswertungen betroffen? Bitte aufschlüsseln nach Jahr, Geschlecht, Alter, Herkunftsland!

9. Welche konkreten Datentypen (z. B. Kontakte, Messenger-Verläufe, Fotos, Standortdaten, Gesundheitsdaten) werden bei der forensischen Auswertung regelmäßig extrahiert und ausgewertet?

Zu 8. und 9.:

Es erfolgt keine statistische Erfassung im Sinne der Fragestellung.

10. In welcher Form werden die gefundenen Hinweise protokolliert? Existieren hierfür Vorlagen? Ich bitte um Übermittlung der Vorlagen!

Zu 10.:




Die Protokollierung erfolgt durch einfachen Aktenvermerk in der Ausländerakte des Betroffenen. Eine gesonderte Vorlage nur für den Zweck der Handy-Auswertung besteht nicht.

11. In wie vielen Fällen seit Januar 2023 hat die Auswertung von Mobilgeräten zur zweifelsfreien Feststellung von Identität oder Staatsangehörigkeit beigetragen? In wie vielen Fällen blieb die Maßnahme ergebnislos?

Zu 11.:

Es erfolgt keine statistische Erfassung im Sinne der Fragestellung.

12. In welcher Form wird in welchen Akten dokumentiert, wenn Betroffene die Herausgabe von Zugangsdaten verweigern?

Zu 12:

Eine entsprechende Verweigerung wird durch einfachen Aktenvermerk in der Ausländerakte des Betroffenen dokumentiert.

13. Inwiefern hat eine mögliche Verweigerung Auswirkungen auf aufenthaltsrechtliche Verfahren, insbesondere im Hinblick auf eine angeblich fehlende Mitwirkungspflicht?

Zu 13.:

Das Aufenthaltsgesetz sieht im Fall der Verweigerung der Mitwirkung der Ausländerin bzw. des Ausländers bei der Feststellung seiner Identität und Staatsangehörigkeit vor, dass ein Bußgeld verhängt werden kann. In Betracht kommt zudem der Erlass einer Ausweisung auf der Grundlage des § 54 Abs. 2 Nr. 8 b) AufenthG. Die bzw. der Betroffene muss zuvor auf die Rechtsfolgen hingewiesen worden sein und in Kenntnis dessen seine Verweigerung aufrechterhalten haben.

14. Wie viele Beschwerden, Hinweise oder rechtliche Einwände gegen die Handy-Auswertung wurden seit 2023 bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit (BlnBDI) eingereicht? Welche Empfehlungen oder Prüfungen resultierten daraus?

Zu 14.:

Bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit sind seit 2023 keine Beschwerden, Hinweise oder rechtlichen Einwände gegen die Handy-Auswertung eingegangen.

15. Wurde die Praxis der Handy-Auswertung durch die Landesregierung oder Fachbehörden einer rechtlichen oder ethischen Evaluation unterzogen, insbesondere im Hinblick auf Grundrechte (Art. 1, 2 GG), Datenschutz (DSGVO) und aktuelle Rechtsprechung des Bundesverfassungsgerichts bzw. des Europäischen Gerichtshofs für Menschenrechte zur digitalen Privatsphäre? Wenn ja, mit welchen Ergebnissen? Bitte unter Angabe konkreter technischer, organisatorischer oder prozeduraler Schutzmaßnahmen (z. B. Protokollierung, Zugriffsbeschränkung, Speicherfristen) auflisten!

Zu 15.:

Die Datenträgerauswertung erfolgte nach den Vorgaben des Gesetzes. § 48 Abs. 3b S. 6 AufenthG sieht vor, dass der Datenträger nur von einem Bediensteten ausgewertet werden darf, der die Befähigung zum Richteramt hat. Damit ist der Schutz der Rechte bereits gesetzlich gewährleistet. Erkenntnisse aus dem Kernbereich privater Lebensgestaltung wurden durch die Auswertung von Datenträgern zudem weder erlangt noch verwertet.

16. Welche Maßnahmen trifft der Senat, um sicherzustellen, dass datenschutzrechtliche und menschenrechtliche Standards bei der Auswertung von Mobilgeräten von ausreisepflichtigen Personen eingehalten werden?

Zu 16.:

Die nachgeordneten Behörden, die zur Datenträgerauswertung befugt sind, handeln nach den geltenden Normen.

17. Wie lange werden die Mobiltelefone der betroffenen Personen im Durchschnitt für die Durchsuchung einbehalten?

Zu 17.:

Es erfolgt keine statistische Erfassung im Sinne der Fragestellung.

18. Werden die Mobiltelefone im Beisein der betroffenen Personen durchsucht?

Zu 18.:

Nein.

19. In wie vielen Fällen wurden Räumlichkeiten der betroffenen Personen durchsucht, um Mobiltelefone oder andere Datenträger für die Durchsuchung einzuziehen?

Zu 19.:

Es erfolgt keine statistische Erfassung im Sinne der Fragestellung.

Berlin, den 27. Juni 2025



Source link

Datenschutz & Sicherheit

Widerstand gegen Ausbau von Überwachungs-Pflichten


Geht es nach der Schweizer Regierung, sollen Internetdienste mit über 5.000 Nutzer*innen diese per Ausweis identifizieren – und deren Identität auf Anfrage gegenüber Behörden offenlegen müssen. Möglich wäre auch eine Identifizierung per Kreditkarte oder Telefonnummer, für die gesetzesgemäß ja ebenfalls eine Ausweiskopie hinterlegt ist.

Der Bundesrat – die Regierung der Schweiz – hat das Vorhaben Ende Januar vorgeschlagen. Konkret geht es um eine Änderung der Verordnung über die Überwachung des Post- und Fernmeldeverkehrs. Die Regierung erlässt Regierungsverordnungen ohne Parlamentsbeschluss.

Bis zum Mai konnten Organisationen Stellungnahmen dazu abgeben. Das taten sie auch vielfältig, insgesamt gibt es 830 Seiten Feedback. Doch der Bundesrat scheint an dem Vorhaben festzuhalten.

Deshalb hat nun der Schweizer Verein Digitale Gesellschaft gemeinsam mit der Kampagnenplattform Campax über 15.000 Unterschriften eingereicht. Sie wollen das Projekt noch aufhalten oder zumindest entschärfen.

Überwachung wie in autoritären Staaten

Laut der Petition droht „eine anlasslose, massenhafte Überwachung, wie man sie sonst nur aus autoritären Staaten kennt.“ Das Vorgehen des Bundesrates untergrabe demokratische Institutionen und stelle den Willen der Bevölkerung, des Parlaments und der Justiz in Frage. Durch die Verordnung würden „Risiken von Datenlecks steigen, während Geschäftsmodelle, die auf Datenschutz und Anonymität beruhen (Proton, Threema, …), nicht mehr möglich sind.“

Proton, das unter anderem E-Mail-Adressen und VPNs anbietet, überlegt aufgrund der Verordnung, einen Teil seiner technischen Infrastruktur aus der Schweiz abzuziehen und in Deutschland und Norwegen anzusiedeln. Robin Simon, Chef des datenschutzfreundlichen Messengers Threema, sagte gegenüber dem Tages-Anzeiger, dass der Bundesrat versuche, die Überwachungsmöglichkeiten, die das Bundesgericht 2021 zurückgewiesen habe, „durch die Hintertür wieder einzuführen“.

Laut dem Medium Republik überlegt Threema sogar, wenn nötig eine Volksinitiative gegen die Verordnung zu lancieren. Dort wird auch Alexis Roussel, COO des Technologie-Start-ups Nym zitiert: „In der Schweiz wird es keine private, digitale und datenschutzfreundliche Kommunikation mehr geben“, sagt er.

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Meta oder Google sind nicht betroffen

Laut Republik fiele jede Website, über die sich Personen Direktnachrichten zuschicken können, unter die neue Bestimmung. „Also beispielsweise auch die Marktplätze Ricardo, Tutti und der Onlinehändler Digitec. Aber auch Videospiel-Betreiber, bei denen sich Gamerinnen über Text- und Videokommunikation austauschen können.“

In der Petition heißt es dazu: „Ausländische Anbieter wie Meta oder Google sind von der Verordnung nicht betroffen. Schweizer Anbieter werden hingegen massiv belastet – das ist ein klarer Wettbewerbsnachteil für unsere Tech-Branche. Damit wird ausgerechnet in einer geopolitisch kritischen Zeit die digitale Souveränität der Schweiz untergraben.“

Neben der Pflicht zur Identifizierung der Nutzer*innen droht mit der Verordnung auch eine Mitwirkungspflicht der Dienste-Anbieter bei der Entschlüsselung von Inhalten. In Artikel 50a heißt es, die Anbieterinnen „entfernen die von ihnen oder für sie angebrachten Verschlüsselungen. Sie erfassen und entschlüsseln dafür den Fernmeldeverkehr der überwachten Person an geeigneten Punkten“. Ende-zu-Ende-verschlüsselte Nachrichten sind dabei allerdings ausgenommen.

„Die Regelungen gehören in ein Gesetz“

Für Dienste mit über einer Million Nutzer*innen weltweit würden sogar noch weitergehende Pflichten gelten. So müssten sie beispielsweise speichern, wer wann wie lange von wo mit wem kommuniziert.

Der Verein Digitale Gesellschaft kritisiert vor allem den Versuch, eine derart weitreichende Veränderung per Verordnung durchzusetzen. „Die Regelungen gehören zwingend in ein Gesetz, müssen vom Parlament erlassen und einer demokratischen Legitimation mittels Referendum unterstellt werden“, schreibt er in einer Stellungnahme.

Das Medium Republik sieht in der Verordnung eine große Gefahr für die zu speichernden persönlichen Daten. In dem genannten Artikel heißt es: „KMU müssten einen enormen Aufwand leisten, um jene neuen Datenbanken auch gebührend gegen kriminelle Cyberattacken abzusichern, damit sie nicht im Darknet landen. Dass das möglich sein wird, dürfte eine Illusion sein. Denn Studien aus den letzten Jahren zeigen, dass viele kleine und mittlere Unternehmen das Risiko von Cyberattacken unterschätzen und sich entsprechend zu wenig schützen.“



Source link

Weiterlesen

Datenschutz & Sicherheit

Vermeintliche Paypal-Zugangsdaten: Quelle nicht Paypal


Berichte machen derzeit die Runde, dass es bei Paypal zu einem massiven Datenabfluss gekommen sei. In einem Untergrundforum verkauft ein Krimineller mit dem Handle „Chucky_BF“ angeblich rund 15,8 Millionen Zugangsdaten zu Paypal – einschließlich Klartext-Passwörtern.


Angebot im Darknet-Forum

Angebot im Darknet-Forum

In einem Untergrundforum bietet der Hehler die Zugangsdaten zu Paypal an.

(Bild: heise medien)

Die Daten sollen einen Umfang von 1,1 GByte haben und die Log-in-E-Mail-Adressen, Klartextpasswörter sowie verknüpfte URLs enthalten. Dazu gehören API-Endpunkte und URLs wie /signin und /signup. Ordentlich sortiert scheinen die Daten nicht zu sein, denn „Chucky_BF“ räumt ein, dass Varianten davon Paypal-Links mit eingebetteten Zugangsdaten umfassen sowie länderspezifische Domains oder Mobil-Formate. Sie seien jedoch „ein hohes Risiko für Credential Stuffing, Phishing oder Betrugskampagnen“, bewirbt der Täter sein Angebot. Das behauptete Datum des Datenlecks war am 6. Mai dieses Jahres.

Auf X ordnet Troy Hunt, der das Have-I-Been-Pwned-Projekt betreibt, das Datenleck ein. An Paypal selbst als Ursprung glaubt er nicht.

Demnach schätzt er: „Da die Passwörter definitiv nicht als Klartext von Paypal kommen, wurden sie entweder auf einem anderen Weg ergattert (Info-Stealer, Credential Stuffing) oder es gibt eine andere Erklärung für diese Behauptung.“

Auch das angekündigte „Durcheinander“ der Daten spricht dafür, dass diese nicht von Paypal selbst stammen, sondern eben aus anderen (älteren) Dumps zusammengestellt wurden, die etwa Info-Stealer, also Malware auf Rechnern von Opfern, gesammelt haben. Ein weiterer Hinweis für die eher maue Qualität der Daten ist der Preis, den „Chucky_BF“ sich vorstellt. Er möchte 750 US-Dollar dafür haben. Das ist eher wenig für echte, aktuelle Paypal-Zugangsdaten.

Auch wenn die Daten nicht bei Paypal entwendet wurden, sollten Paypal-Nutzer prüfen, ob es unbefugte Zugriffe mit ihren Zugangsdaten gab. Außerdem sollten sie entweder die Mehr-Faktor-Authentifizierung aktivieren oder gleich zu Passkeys wechseln.

In jüngerer Vergangenheit machen öfter derartige Funde von Zugangs-Datenhalden die Runde. Sie entpuppen sich regelmäßig als Wiederveröffentlichung oder Remixe alter Daten aus früheren Leaks. So war auch im Juni die Aufregung um einen Datenfund von 16 Milliarden Zugangsdaten deutlich überzogen.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Angriffe auf N-able N-central laufen, mehr als 1000 Systeme ungepatcht


In der Remote-Monitoring-und-Management-Software (RMM) N-central von N-able wurden zwei Sicherheitslücken entdeckt, die Angreifern das Einschleusen von Befehlen ins Betriebssystem respektive das Ausführen von eingeschmuggelten Schadcode erlauben. Diese werden bereits im Internet angegriffen. IT-Forscher sehen noch mehr als tausend ungepatchte N-central-Instanzen, darunter auch viele in Deutschland.

Tiefgehende Details nennt N-able in den Schwachstelleneinträgen nicht. Zum einen können Angreifer lokal beliebigen Code ausführen, da N-central nicht vertrauenswürdige Daten deserialisiert (CVE-2025-8875 / EUVD-2025-24823, CVSS 9.4, Risiko „kritisch„). Zum anderen filtert N-central Benutzereingaben nicht ausreichend, sodass bösartige Akteure Befehle ans Betriebssystem einschleusen können (CVE-2025-8876 / EUVD-2025-24822, CVSS 9.4, Risiko „kritisch„).

Die US-amerikanische IT-Sicherheitsbehörde CISA hat in der vergangenen Woche die Sicherheitslücken in den „Known Exploited Vulnerabilities“-Katalog aufgenommen. Wie die Angriffe aussehen, ist derzeit unklar, auch der Umfang und das Ausmaß verrät die CISA nicht.

Die Sicherheitslecks stopft N-able mit dem Update auf N-central 2025.3.1. Der Hersteller schweigt sich in der Versionsankündigung – darin enthalten auch der Download-Link auf die Aktualisierung – zu den laufenden Attacken aus, ergänzt jedoch den Hinweis, dass eine Authentifizierung zum Missbrauch der Schwachstellen nötig sei. Aufgrund des hohen Schweregrads scheint das jedoch eine einfach zu erklimmende Hürde zu sein.

Die Shadowserver Foundation hat am Wochenende eine Auswertung der Internet-Scans auf X veröffentlicht. Demnach waren am vergangenen Freitag 1077 IP-Adressen für die Schwachstellen CVE-2025-8875 und CVE-2025-8876 anfällig.

Der Großteil verteilt sich auf die USA, Kanada, die Niederlande und das Vereinigte Königreich. Jedoch waren auch in Deutschland etwa 50 Systeme im Netz erreichbar und nicht gegen die Sicherheitslecks abgesichert. IT-Verantwortliche sollten die Aktualisierung umgehend installieren, um die Angriffsfläche zu reduzieren.

Cyberkriminelle sind oftmals sehr zügig dabei, neu entdeckte Sicherheitslücken zum Einbruch in Netzwerke zu missbrauchen. Auch in Trend Micros Apex One wird derzeit eine Schwachstelle aktiv angegriffen, für die erst jetzt ein finaler Patch bereitsteht, um die Lücke korrekt zu schließen.


(dmk)



Source link

Weiterlesen

Beliebt