Die Kurzdomain t.me ist derzeit nicht erreichbar. Die Adresse gehört zum Telegram-Messenger, der sie für Kurzlinks zu Kanälen oder Mitgliederprofilen verwendet. Die Ursache der Sperrung ist nicht vollends geklärt, könnte aber mit Sanktionen der USA gegen einen VPN-Anbieter zusammenhängen.

Die Domain ist derzeit von der Vergabestelle, dem NIC (Network Information Center) des Landes Montenegro, auf den Status „registryHold“ gesetzt. Dieser kann – so die Erklärung bei ICANN (Internet Corporation for Assigned Names and Numbers), auf ein Problem mit der Domain hinweisen, das durch den Inhaber gemeinsam mit der Vergabestelle geklärt werden muss.

Der Messengerdienst verwendet t.me, um das Teilen von Links zu Kanälen zu erleichtern – diese Funktion ist daher bei vielen Telegram-Clients derzeit nicht nutzbar. Zumindest in der aktuellen Version des Telegram-Messengers unter IOS und macOS verwendet die App noch die defekte Domain. Wer einen Telegram-Kanal per Link mit Freunden teilen möchte, kann hilfsweise t.me durch telegram.me ersetzen – diese Domain funktioniert noch.

War die OFAC schuld?

Wie Jonah Aragon, Mitarbeiter der NGO Privacy Guides, vermutet, könnte eine US-Sanktion schuld an der Sperrung sein. Die Kontrollbehörde des US-Finanzministeriums OFAC, zuständig für internationale Sanktionen, hat am 13. Juli den ukrainischen VPN-Anbieter FirstVPN auf die Sanktionsliste SDN (Specially Designated Nationals) gesetzt – und dieser Dienst verwendet neben Domains aus den Namensräumen .com, .net und .org auch den Direktlink zu seinem Telegram-Kanal als Kontaktadresse.

Bei der Umsetzung der Sanktionen durch das montenegrinische NIC kann es sich also um „Overblocking“ handeln. Ob es sich hierbei um den tatsächlichen Grund handelt, ist unklar, doch die Erklärung scheint plausibel. Auch die .org-Domain ist vom Domainregistrar Key-Systems auf „serverHold“ gesetzt worden, die .com-Domain des VPN-Anbieters wurde offenbar von Cloudflare durch Löschen der DNS-Einträge deaktiviert.

Telegram ist immer wieder von Sperren betroffen, zuletzt in Indien während der Prüfungsphase.

(cku)

Die Entwickler von SAP haben zum Patchday im Juli 16 neue Sicherheitsnotizen veröffentlicht. Davon behandeln drei als kritisches Risiko eingestufte Schwachstellen in mehreren Produkten.

In der Patchday-Übersicht listet SAP die einzelnen Meldungen säuberlich auf. Kurz vor Höchstwertung landet ein möglicher Speicherzugriffsfehler aufgrund von Logikfehlern in der Speicherverwaltung von SAP NetWeaver Application Server ABAP, durch den angemeldete Angreifer unbefugt auf Daten zugreifen und diese etwa verändern oder gar einen Denial-of-Service provozieren können (CVE-2026-44747, CVSS 9.9, Risiko „kritisch“). In SAP Approuter können hingegen bösartige Akteure HTTP-Anfragen einschleusen, durch die nicht authentifizierte Angreifer die Synchronisation von Anfragen und Antworten aus dem Tritt bringen können. Das führt zur Offenlegung von User-Antworten oder zum Lahmlegen des Systems (CVE-2026-27690, CVSS 9.1, Risiko „kritisch“). Ein voreingestelltes und öffentlich dokumentiertes Beispiel-Konto für den OAuth2-Client gefährdet zudem die Sicherheit der SAP Commerce Cloud. Angreifer können sich damit anmelden und Daten lesen und manipulieren, erklärt SAP (CVE-2026-44761, CVSS 9.1, Risiko „kritisch“).

Weitere verwundbare SAP-Produkte

Die Apache-Camel-Komponente der SAP Integration Suite reißt mehrere Sicherheitslücken auf (CVE-2026-40453, CVE-2026-33454; bis CVSS 8.8, Risiko „hoch“). Außerdem hat der SAProuter unter Windows eine DLL-Hijacking-Schwachstelle (CVE-2026-0487, CVSS 8.4, Risiko „hoch“). In SAP NetWeaver Application Server Java(Configuration Wizard) klafft eine Cross-Site-Scripting-Lücke (CVE-2026-44752, CVSS 8.2, Risiko „hoch“), zudem agiert der SAP Approuter unter Umständen als Open Redirect (CVE-2026-44745, CVSS 8.1, Risiko „hoch“). Der Apache-Tomcat-Server der SAP Commerce Cloud reißt ebenfalls mehrere Lücken auf (CVE-2026-43512, CVE-2026-41293, CVE-2026-43515; bis CVSS 8.1, Risiko „hoch“). Das SAP Change and Transport System Attach Tool (ctsattach) enthält zudem eine Codeschmuggel-Lücke (CVE-2026-58233, CVSS 7.6, Risiko „hoch“).

Sicherheitslücken mit mittlerem Bedrohungsgrad betreffen SAP NetWeaver Enterprise Portal, ui5/webcomponents-base, SAP S/4HANA Project Management (PPM-PRO), SAP NetWeaver Application Server ABAP (applications based on Business Server Pages), SAP S/4HANA (Draft operation), S/4 HANA (Create Single Payment) sowie SAP CRM (WebClient UI). In SAP HANA Extended Application Services classic model (User Self Service) haben die Programmierer zudem eine als „niedriges“ Risiko eingestufte Lücke geschlossen.

IT-Verantwortliche sollten die bereitstehenden Updates zügig anwenden, um die Angriffsfläche in ihren Netzen zu minimieren. Der SAP-Patchday im Juni hatte einen ähnlichen Umfang. Dort hatten die Programmierer 15 Sicherheitslücken ausgebessert, wovon ebenfalls drei als kritisch eingestuft wurden.

(dmk)

Der Anbieter, der Berlin mit KI-gestützter Videoüberwachung aufrüsten wird, heißt Adesso SE. Das gab die Polizei Berlin gegenüber netzpolitik.org bekannt. Adesso SE ist eine international agierende IT-Holding mit Hauptsitz in Dortmund. In den deutschen Städten, in denen die Polizei bereits Verhaltensscanner betreibt, in Mannheim und Hamburg, hat sie das Fraunhofer IOSB entwickelt. Das ist ein Teil der Fraunhofer Gesellschaft, eines gemeinnützigen Vereins.

Mit Adesso SE baut nun erstmals ein privatwirtschaftliches Unternehmen eine derartige Infrastruktur für den Produktivbetrieb in den öffentlichen Raum. Laut des Ende 2025 verabschiedeten Berliner Polizeigesetzes darf auch kommerzielle Überwachungstechnologie mit den personenbezogenen Daten von Berliner*innen trainiert werden.

Schon am 1. Juni berichtete Oliver Türpe von der Berliner Polizei im Innenausschuss des Abgeordnetenhauses, dass der Zuschlag für die Errichtung von Videoüberwachung mit automatisierter Verhaltenskontrolle an sogenannten kriminalitätsbelasteten Orten in Berlin an die Adesso SE ging. Laut Ausschreibung stehen dafür vier Millionen Euro zur Verfügung. Gegenüber netzpolitik.org wollte die Polizei den Hersteller zunächst nicht nennen, bestätigte auf Nachfrage den Zuschlag für Adesso SE nun aber doch.

Adesso fungiert als Generalunternehmer

Adesso SE darf zur Erfüllung des Auftrages auch Hard- und Software anderer Hersteller einkaufen, so lange diese in Europa ansässig sind. Das Unternehmen hat dieses Jahr seinen Firmenhauptsitz in Dortmund mit einer KI-gestützten Überwachungslösung ausgerüstet. Dabei arbeitet Adesso SE mit dem Video-KI-Unternehmen Staige zusammen, an dem Adesso SE Anteile hält.

Die Videoüberwachung am Firmensitz beschreibt das Unternehmen so: „Die integrierte KI analysiert die Videodaten in Echtzeit, erkennt Bewegungsmuster automatisch und erstellt fortlaufend ein vollständiges Lagebild […] Erkennt die KI im Livestream Auffälligkeiten entlang der vorab definierten Regeln, informiert sie das Sicherheitspersonal.“ Das klingt ziemlich genau wie das, was Berlin will.

Das ausführende Video-KI-Unternehmen Staige hat sich unter anderem auf Sicherheitslösungen für Nahverkehr und öffentlichen Raum spezialisiert. Über 1.400 dieser Systeme habe man bereits installiert. Die Software detektiert beispielsweise Schläge, Tritte und andere Bewegungen, die auf einen Kampf hindeuten – so wie es in Berlin gefordert ist. Sie kann aber angeblich auch Menschenströme tracken und Personen über mehrere Kameras hinweg verfolgen.

Adesso SE, die Holding hinter Staige, ist für einen beeindruckenden Sicherheitsvorfall bekannt. Von Mitte 2022 bis Anfang 2023 waren Angreifer*innen im IT-System des Unternehmens unterwegs. Sie installierten manipulierte Komponenten und hatten so weitreichenden Zugriff.