Samsung hat das Security-Bulletin für Juli 2026 veröffentlicht und detailliert darin Sicherheitslücken, die mit einem Sicherheitspatch behoben werden. Der Hersteller ist damit in diesem Monat früher dran als Google, dessen Security-Bulletin noch weitgehend leer ist. Samsungs Sicherheitsupdate behebt neben eigenen Lücken auch jene, die Google in Android gefunden hat. Fünf der gestopften Sicherheitslücken stuft Samsung als „kritisch“ und 42 (inklusive der Samsung-Lücken) als „hoch“ ein.

Samsung fixt kritische Lücken

Wie Samsung in seinem Security-Bulletin erklärt, betreffen die meisten der durch diesen Sicherheitspatch behobenen Sicherheitslücken Geräte, auf denen Android 14, Android 15 oder Android 16 läuft. Insgesamt stopft das Update 57 Sicherheitslücken, von denen Google 41 und Samsung 16 beisteuert.

Zu den als kritisch eingestuften Lücken gehören CVE-2026-27280, CVE-2026-28590, CVE-2026-28618, CVE-2026-28639 und CVE-2026-33636. Dabei handelt es sich bei der CVE-2026-27280 um eine kritische Speicherfehler-Schwachstelle (Out-of-Bounds Write) in Adobes DNG-Software-Development-Kit (Version 1.7.1 2471 und älter). Falls ein Nutzer ein manipuliertes Bild im DNG-Format öffnet, kann ein Angreifer Schadcode ausführen (Remote Code Execution). CVE-2026-33636 ist eine Out-of-Bounds-Schwachstelle (Lese- und Schreibzugriff außerhalb der Grenzen) in der Bibliothek libpng in den Versionen 1.6.36 bis 1.6.55. Sie tritt laut NVD-Eintrag auf Systemen mit ARM/AArch64-Prozessoren auf, wenn die Hardwarebeschleunigung (Neon-Optimierung) für die Farbpaletten-Erweiterung aktiviert ist. Damit können Angreifer über präparierte PNG-Bilder ein System zum Absturz bringen (Denial of Service) oder unter Umständen vertrauliche Informationen auslesen.

Die drei von Google als kritisch eingestuften Sicherheitslücken CVE-2026-28590, CVE-2026-28618 und CVE-2026-28639 betreffen Kernkomponenten des Betriebssystems Android respektive des Media-Frameworks. Die mit dem Update verteilten Patches sollen verhindern, dass Angreifer ohne zusätzliche Berechtigungen erweiterten Systemzugriff erlangen oder Remotecode ausführen können.

Die Updates sollen im Laufe der kommenden Tage auf vielen Galaxy-Geräten angeboten werden. Samsung erklärt ferner, dass die Verfügbarkeit von Sicherheitspatches je nach Region und Modell variieren könne. Updates im monatlichen Rhythmus erhalten bei Samsung zudem nur „wichtige Flaggschiff-Modelle“, während weitere Galaxy-Geräte nur quartalsweise versorgt werden – hierfür bietet Samsung eine Übersicht an.

Die Google-seitigen Patches landen auch im Android Open Source Project (AOSP) und werden für Pixel-Geräte und je nach Hersteller in weiteren Modellen verteilt. Seit Juli 2025 schließt Google monatlich nur noch besonders gefährliche Sicherheitslücken und verteilt weitere Updates quartalsweise.

(afl)

Der Bundesnachrichtendienst hackt schon seit vielen Jahren. Und zuweilen geraten dabei Journalisten ins Visier des Auslandsgeheimdienstes, wie etwa die Spiegel-Reporterin Susanne Koelbl. Der BND darf mittlerweile bei drohenden Gefahren von internationaler erheblicher Bedeutung auf gesetzlicher Basis Staatstrojaner zum Einsatz bringen. Er kann die Schadsoftware etwa in Krisenregionen oder gegen Terrorgruppen anwenden, er beobachtet aber auch Themenfelder wie Migration und „Hacktivismus“. All das sind auch Berichterstattungs- und Recherchegebiete im Journalismus.

Daher erhob Reporter ohne Grenzen eine Beschwerde beim Europäischen Gerichtshof für Menschenrechte (EGMR): Die deutsche Gesetzgebung verstoße gegen die Menschenrechtskonvention, weil die Regelungen zur heimlichen Überwachungssoftware das Recht auf Achtung des Privat- und Familienlebens, das Recht auf freie Meinungsäußerung und die Pressefreiheit nicht ausreichend schützten. Gerade Journalisten bräuchten die Vertraulichkeit ihrer Chat-Gespräche oder E‑Mails. Das Hacken mit Staatstrojanern könne Informanten abschrecken. Das habe das Gesetz nicht ausreichend berücksichtigt.

Eine heimliche Überwachungsmaßnahme mit einem Staatstrojaner macht den Rechtsschutz für Betroffene und deren Kommunikationspartner fast unmöglich, da die geheime Schadsoftware beim Einsatz möglichst unentdeckt bleiben soll. Auch im Nachhinein werden Betroffene nur in Ausnahmefällen benachrichtigt. Die Kontrolle dieser mächtigen Hacking-Instrumente ist damit nur sehr eingeschränkt möglich.

Die Straßburger Richter des EGMR, die nur einen Bruchteil der an sie gerichteten Beschwerden annehmen, werden sich mit dem Anliegen von Reporter ohne Grenzen wohl näher befassen. Darauf deutet ein Schreiben des Höchstgerichts hin, in dem es die Bundesregierung zu einer Stellungnahme auffordert. Dieser Fragenkatalog vom Juni könnte ein Hinweis darauf sein, dass der Gerichtshof ein priorisiertes Musterverfahren einleitet.

Wir sprechen über die Beschwerde mit Niko Härting, der Reporter ohne Grenzen vor dem Gerichtshof vertritt. Härting ist Rechtsanwalt und Honorarprofessor an der Hochschule für Wirtschaft und Recht in Berlin.

Einsatz von Staatstrojanern wird geprüft

netzpolitik.org: Die Richter in Straßburg prüfen nun das deutsche Gesetz, das dem BND den Einsatz von Staatstrojanern erlaubt. Ist der geheimdienstliche Einsatz von Staatstrojanern überhaupt mit der notwendigen Vertraulichkeit bei der Arbeit von Berufsgeheimnisträgern vereinbar?

Niko Härting: Beim Einsatz des Staatstrojaners durch die Geheimdienste kommen mehrere Eingriffsrisiken zusammen. Erstens erfolgt der Einsatz heimlich, ohne dass die Betroffenen dies merken und steuern oder eine gerichtliche Prüfung erwirken können. Zweitens ist der Rechtsweg gesetzlich ausdrücklich ausgeschlossen, so dass eine nachträgliche gerichtliche Überprüfung der Rechtmäßigkeit nach geltendem Recht unmöglich ist. Und drittens ist die Streubreite des Trojaners groß, da nicht nur Daten und Informationen des Besitzers des Endgeräts, sondern auch die Kommunikation überwacht wird, die mit Dritten – auch etwa Journalistinnen und Anwälte – geführt wird. Dies ist mit dem Berufsgeheimnis nicht zu vereinbaren.

netzpolitik.org: Ist das Ziel der Beschwerde auch, dass der Gerichtshof neue Standards beim staatlichen Hacken setzt?

Niko Härting: Ja, zum Trojaner gibt es bislang keine Rechtsprechung des EGMR. Der Gerichtshof interessiert sich jetzt ausweislich seiner Fragen sehr für die technische Funktionsweise der Spyware und für die Auswirkungen auf das Schwachstellenmanagement. Das lässt auf eine Grundsatzentscheidung hoffen.

Wie kann ein Rechtsschutz für Journalisten aussehen?

netzpolitik.org: Wie sähe aus Ihrer Sicht ein moderner effektiver Rechtsschutz für Journalisten aus, die gehackt worden oder als Dritte mitbetroffen sind?

Niko Härting: Es bedarf – jedenfalls im Nachhinein – strenger, gerichtlich überwachter Mitteilungspflichten, und es muss – anders als heute – zur seltenen Ausnahme werden, dass der betroffene Journalist nichts von dem Eingriff erfährt. Auch der pauschale Ausschluss des Rechtswegs gehört abgeschafft.

netzpolitik.org: Sollten Menschen, die mit Staatstrojanern gehackt wurden, sowie mitbetroffene Dritte generell im Nachgang benachrichtigt werden, auch bei einer „Quellen-TKÜ“, also wenn der BND ein IT-System hackt, um danach laufende Kommunikation auszuleiten? Und sollte bei einer unrechtmäßigen Überwachung Anspruch auf eine Entschädigung bestehen?

Niko Härting: Wenn man das Gesetz liest, ist die Benachrichtigung der Betroffenen schon jetzt eigentlich vorgeschrieben. Allerdings gibt es viel zu viele Ausnahmegründe, die in der Praxis dazu führen, dass die Regel, nämlich die Benachrichtigung, zur seltenen Ausnahme wird. Der EGMR wird sich damit befassen müssen, ob diese Rechtspraxis menschenrechtswidrig ist. Entschädigungen, die auch jetzt bereits denkbar sind, sind demgegenüber nur ein schwacher Trost.

netzpolitik.org: Welche Konsequenzen müssten in Deutschland folgen, wenn Reporter ohne Grenzen in dem Beschwerdefall erfolgreich ist?

Niko Härting: Der EGMR wird dem deutschen Gesetzgeber hoffentlich klare Grenzen beim Einsatz des Staatstrojaners setzen und den Schutz der Journalisten und anderen Berufsgeheimnisträger vor Überwachung stärken. Gleichfalls ist zu hoffen, dass der Gerichtshof gerichtlichen Rechtsschutz gegen geheimdienstliche Maßnahmen in Deutschland einfordert und der absurden Lage ein Ende setzt, die wir derzeit haben.

Denn es wird immer behauptet, die Geheimdienste würden in Deutschland besonders „engmaschig“ kontrolliert. Das genaue Gegenteil ist der Fall. Die Kontrolle in Deutschland ist im internationalen Vergleich äußerst lax und soll jetzt durch die geplante Reform des Rechts der Nachrichtendienste weiter gelockert werden, indem man bei den Geheimdiensten die Datenschutzkontrolle bei der Bundesdatenschutzbeauftragten abschafft und dort Stellen streicht.

Sicherheit von Systemen gefährdet

netzpolitik.org: In Deutschland gilt das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, das vom Bundesverfassungsgericht im ersten Staatstrojaner-Beschwerdeverfahren etabliert wurde. Ist es aus Ihrer Sicht in der deutschen Gesetzgebung ausreichend berücksichtigt?

Niko Härting: Nein, das Computer-Grundrecht, das das Bundesverfassungsgericht 2008 geschaffen hat, ist nie so richtig mit Leben gefüllt worden: weder durch spätere Entscheidungen des Bundesverfassungsgerichts oder anderer Gerichte noch durch den Gesetzgeber. Und beim Staatstrojaner ist das Computer-Grundrecht natürlich eigentlich ein zentrales Thema. Schauen wir einmal, was der EGMR jetzt zum menschenrechtlichen Schutz sagt.

netzpolitik.org: Angesichts des Fragenkatalogs des EGMR an die Bundesregierung: Wie fällt Ihre Bilanz aus, wenn es um die Risiken von Staatstrojanern geht? Wird die IT-Sicherheit von Privaten und von der Wirtschaft durch die Ausnutzung von Sicherheitslücken, die eben nicht gemeldet und geschlossen werden, so strukturell geschwächt, dass staatliches Hacken gar nicht zu rechtfertigen ist?

Niko Härting: Das ist eine Frage, die ein Computer Scientist besser beantworten kann als ein Jurist. Aber von den Experten hört man immer wieder die Warnung, dass unbemerkte Schwachstellen, die für staatliche Überwachung genutzt werden, die ganze Sicherheitsarchitektur von Systemen gefährden können.

netzpolitik.org: Vielen Dank für die Beantwortung der Fragen!

Der kanadische Nachrichtendienst und Kryptographie-Behörde CSE (Communications Security Establishment) hat im vergangenen Jahr eine Reihe staatlich genehmigter Cyberangriffe durchgeführt, um die Aktivitäten von Drogenhändlern, gewalttätigen Extremisten und einer Ransomware-Gruppe zu stören. Den seltenen Einblick in das Vorgehen der Behörde liefert der CSE-Jahresbericht.

Zu den Aufgaben des CSE, der dem kanadischen Verteidigungsministerium und dem kanadischen Militär untersteht, gehören die Informationsgewinnung sowie der Schutz der regierungseigenen Informations- und Kommunikationsnetzwerke durch Verschlüsselungstechniken, aber auch das Vorgehen gegen Bedrohungen durch bösartige Online-Akteure. Dass Geheimdienste Cyberangriffe auf Gegner verüben, ist nicht ungewöhnlich; allerdings werden solche Operationen selten öffentlich gemacht, so das US-Portal TechCrunch.

Das CSE ist nach eigenen Angaben per Gesetz zu zwei Arten von ausländischen Cyberoperationen ermächtigt: defensiven und aktiven. Sie dürfen sich weder gegen Kanadier im In- oder Ausland noch gegen sonstige Personen in Kanada richten. Sie dürfen sich ausschließlich gegen ausländische Ziele richten, die einen Bezug zu internationalen Angelegenheiten, zur Landesverteidigung oder zur Sicherheit (einschließlich wirtschaftlicher Interessen) aufweisen. Sämtliche Cyberoperationen bedürfen der Genehmigung durch den Verteidigungsminister. Für aktive Cyberoperationen ist zudem die Zustimmung des Außenministers erforderlich, während bei defensiven Cyberoperationen eine Konsultation des Außenministers stattfinden muss.

„Aktive Cyberoperationen“ im Ausland

Laut dem Bericht führte das CSE im vergangenen Jahr mehrere „aktive Cyberoperationen“ im Ausland durch. Eine dieser Operationen richtete sich gegen Cyberkriminelle im Ausland, um die Lieferung von Fentanyl und seinen Vorläufersubstanzen nach Kanada zu unterbinden. Das CSE sammelte Informationen über die Vermittler und führte anschließend „autorisierte aktive Cyberoperationen“ durch, „die deren Handlungsfähigkeit beeinträchtigten und einschränkten“, wie es im Bericht heißt.

Eine weitere Operation umfasste Aufklärungsarbeit und Cyberoperationen zur Bekämpfung von gewalttätigem Extremismus. Dabei gewann das CSE Informationen durch elektronische Aufklärung, sogenannte Signals Intelligence (SIGINT), über eine ausländische extremistische Gruppierung, die eine gewaltverherrlichende Ideologie verbreitete und Mitglieder in westlichen Ländern, darunter Kanada, anwarb. CSE-Mitarbeiter analysierten Netzwerk, Reichweite und Schwachstellen der Gruppierung und führten eine „aktive Cyberoperation“ durch, „die erfolgreich die Glaubwürdigkeit der Gruppierung untergrub und deren Fähigkeit zur Radikalisierung sowie zur Rekrutierung neuer Mitglieder einschränkte“.

Vorgehen gegen Phishing und Ransomware

Darüber hinaus arbeitete die Cyberabwehr des CSE mit der Auslandsaufklärung und ausländischen Cyberoperationen zusammen, um Bedrohungen für Kanada abzuwehren. Der Bericht nennt eine auf kanadische Bundesbehörden und als kritisch eingestufte Systeme abzielende Phishing-Kampagne. Teams für SIGINT-Auslandsaufklärung analysierten demnach die Kampagne und identifizierten die verwendeten Werkzeuge. Diese Erkenntnisse wiederum ermöglichten eine defensive Cyberoperation, durch die die Infrastruktur des Bedrohungsakteurs gestört und dessen Fähigkeit, Schaden anzurichten, erheblich eingeschränkt wurde, wie es heißt.

Bei einer weiteren Operation ging es um das Vorgehen gegen eine berüchtigte „Ransomware-as-a-Service“-Cyberkriminellengruppe, die laut CSE für mehr als 25 Vorfälle in den Bereichen Verkehr, Gesundheitswesen, Pharmazie und Wirtschaft in Kanada verantwortlich war. In Zusammenarbeit mit „Five-Eyes“-Partnern und Strafverfolgungsbehörden führte das CSE eine aktive Cyberoperation durch, „die die Infrastruktur der Gruppe außer Betrieb setzte und eine große Menge gestohlener Daten löschte, die im Dark Web zum Verkauf angeboten worden waren“. Zu der sogenannten „Five Eyes“-Allianz gehören Geheimdienste Australiens, Großbritanniens, Kanadas, Neuseelands und der USA. Zum Standort der bekämpften Cyberkriminellen und Extremisten machte der Bericht indes keine Angaben, ebenso wenig zu den angewandten spezifischen Methoden des CSE.

(akn)