Connect with us

Datenschutz & Sicherheit

BSI warnt vor Auswirkungen von KI auf Cybersicherheit


Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat sich mit den Auswirkungen von Künstlicher Intelligenz auf die IT-Sicherheitslage beschäftigt. Herausgekommen ist ein Papier, das die Lage zusammenfasst und Probleme benennt.

Weiterlesen nach der Anzeige

Das BSI sieht eine grundlegende Änderung der Cybersicherheitslage. Insbesondere die Reaktionsgeschwindigkeit hat demnach stark zugenommen. Wo zuvor Kriminelle arbeitsteilig KI genutzt haben, etwa um überzeugendere Phishing-Mails zu verfassen, sind aktuelle KI-Systeme in der Lage, Schwachstellen in Software in kurzer Zeit nahezu autonom zu erkennen, zu analysieren und selbsttätig in Angriffe umzusetzen. Es könne Organisationen „mit einer erheblich steigenden Zahl neu entdeckter Schwachstellen, Exploits, Patches und Folgevorfällen“ konfrontieren, führt das BSI aus.

In der Diskussion stehen die Fähigkeiten aktueller KI-Modelle, Schwachstellen in großen Mengen in Quellcode zu erkennen und gleich passenden Exploit-Code zu liefern. Jedoch sei ein massiver Zuwachs an Fähigkeiten auch beim Reverse Engineering zu beobachten. Neben den Top-Modellen („Frontier-Modellen“) wie Claude Opus und GPT-5.5 spielten auch kleinere und günstigere LLMs eine Rolle in der IT-Sicherheit.

Die oberste IT-Sicherheitsbehörde Deutschlands sieht einen klaren Trend. Künstliche Intelligenz senke Aufwand, Zeitbedarf und Einstiegshürden für Cyberangriffe signifikant. Angreifer können mit geringem Aufwand und höherer Geschwindigkeit ihre Kampagnen skalieren und automatisieren. Die Abwehrseite bleibt an „Betriebsgrenzen“ gebunden, etwa in Bezug auf Testaufwand, Freigabeprozesse, Wartungsfenster, Abhängigkeiten von Herstellern sowie rechtliche und organisatorische Abstimmungen – und nicht zuletzt eingeschränkten Personalressourcen. Die Angriffsfläche müsse daher grundsätzlich reduziert werden, um trotz der genannten Einschränkungen mit der Bedrohungslage Schritt zu halten, erklärt das BSI.

Das zehnseitige PDF des BSI geht etwas mehr ins Detail. Die Reaktionsgeschwindigkeit müsse sich verbessern, insbesondere, da mehr Zero-Days und IT-Vorfälle zu beobachten sind. Konkrete Maßnahmen schlagen die Beamten ebenfalls ab Seite 4 vor – IT-Verantwortliche sollten sich das Dokument einmal zu Gemüte führen und prüfen, ob sie noch blinde Flecken haben. Unter anderem verweist die Behörde auf den IT-Grundschutz und den Best-Practices zu Produkten. Ein Wandel in der Bewertung ist ebenfalls nötig. Das BSI rät, bei nachträglich gepatchten Zero-Day-Lücken davon auszugehen, dass diese zuvor bereits missbraucht wurden. Zudem ist KI nicht nur als Werkzeug für Täter eine Gefahr, sondern kann auch selbst als Einfallstor dienen.


(dmk)



Source link

Datenschutz & Sicherheit

Jugendschutz-Empfehlungen: Expert*innen-Kommission schlägt Alternativen zum Social-Media-Verbot vor


Schutz, Befähigung und Teilhabe – auf diesen drei Säulen bauen die Empfehlungen auf, die die Expert*innen-Kommission „Kinder- und Jugendschutz in der digitalen Welt“ heute vorgestellt hat.

Seit Herbst 2025 haben die 18 Mitglieder der vom Familienministerium einberufenen Kommission, darunter Jurist*innen, Bildungsforscher*innen und Mediziner*innen, an den Empfehlungen gearbeitet. Die Leitfragen: Was brauchen Kinder in den verschiedenen Phasen ihres Aufwachsens – und wer trägt die Verantwortung dafür?

Die Empfehlungen reichen vom Babyalter bis zur Volljährigkeit und richten sich an verschiedene Menschen und Institutionen, die Kinder beim Aufwachsen im Digitalen begleiten – Eltern ebenso wie Schulen, Kitas, Ärzt*innen oder Jugendhilfe. Vor allem enthalten sie aber zahlreiche Handlungsempfehlungen für die Politik.

In der öffentlichen Debatte geht es allerdings vor allem um eine Frage: Sollten Kinder und Jugendliche aus Sozialen Medien ausgesperrt werden? Und falls ja: bis zu welchem Alter? Bereits vor der Vorstellung der Empfehlungen hatten sich Politiker*innen beider Regierungsparteien für ein solches Verbot ausgesprochen – bis hin zu Bundeskanzler Merz, der erst Sympathien bekundete und später zu einem „Nein“ umschwenkte.

Schutz, Befähigung und Teilhabe: „Die drei Dimensionen bedingen einander“, heißt es dazu in den Empfehlungen: „Schutz darf nicht in pauschalen Ausschluss münden, Befähigung darf nicht strukturelle Verantwortung auf Kinder abwälzen, Teilhabe darf nicht heißen, junge Menschen unbegleitet zu lassen.“ Verantwortung dürfe nicht allein auf Eltern oder die Kinder selbst geschoben werden. Vielmehr müssten auch Plattformen dafür geradestehen, wenn es um die Gestaltung ihrer Produkte geht.

Das klingt nach einem salomonischen Urteil, das die Interessen und Bedürfnisse aller Seiten abwägt und zu einem Mittelweg kommt. Aber was heißt das konkret?

Was sagt die Kommission zum Social-Media-Verbot?

Die Kommission empfiehlt, Social Media für Kinder unter einem Mindestalter von 13 Jahren zu verbieten – allerdings nur als eine von zwei Alternativen. Unter der Überschrift “Risiko- und designorientiert regulieren” empfiehlt sie, das bereits existierende Gesetz für digitale Dienste (DSA) weiter zu schärfen.

Der DSA sieht bereits vor, dass Plattformen in der EU Kinder und Jugendliche besonders vor Gefahren schützen müssen, allerdings kritisieren die Expert*innen die Vorschriften als zu allgemein. Auch bemängeln sie, dass der DSA Plattformen nicht zu strengen Alterskontrollen verpflichtet. Zugleich schreiben sie, dass pauschale Social-Media-Verbote ab 15 oder 16 Jahren nach australischem Vorbild zu kurz greifen, “weil sie sehr unterschiedliche Dienste gleich behandeln, Teilhabe behindern und Umgehung fördern”.

Sie schlagen daher für die Konkretisierung der EU-Regeln zwei Alternativen vor und verschieben damit die Entscheidung für oder gegen ein Verbot an die Politik:

Alternative 1: gesetzliche Mindestaltersgrenze von 13 Jahren für Social-Media-Accounts mit wirksamer Altersprüfung und abgestuften Schutzstandards für 13–16 und 16–18 Jahre.

Alternative 2: keine einheitliche Altersgrenze, sondern dienst- und funktionsspezifische Beschränkungen nach Risikobewertung des jeweiligen Angebots (z. B. algorithmische Feeds, offene Kontaktfunktionen, Livestreams).

In beiden Fällen gelte: „Nationale Alleingänge“ sollten vermieden werden und die Regeln EU-weit einheitlich sein.

Bundesfamilienministerin Karin Prien (CDU) bevorzugt offenbar den ersten Vorschlag: „Für die eigenständige Nutzung sozialer Medien sehe ich grundsätzlich in dem Vorschlag einer gesetzlichen Altersgrenze von 13 Jahren den richtigen Weg – in Verbindung mit einer wirksamen Altersüberprüfung und abgestuften Schutzvorkehrungen für Jugendliche bis 18 Jahre.“ Für Kinder jünger als 13 solle ein „gesetzlicher Erlaubnisvorbehalt“ gelten, der nur nachweislich kindgerechte und risikoarme Angebote zulässt.

Prien will sich für eine europäische Lösung einsetzen.

Deine Daten landen bei der Polizei.

Wir decken es auf. Mit deiner Unterstützung.

Was sagt die Kommission zu Alterskontrollen?

Als Teil der ersten Alternative – Social-Media-Verbot – geben die Expert*innen auch eine Empfehlung für strenge Alterskontrollen ab – denn ohne diese lässt sich ein Mindestalter von 13 Jahren nicht durchsetzen.

Zugleich kritisieren sie, dass Plattformen derzeit weitgehend selbst entscheiden können, wie sie das Alter von Nutzer*innen prüfen. „Biometrische oder verhaltensdatenbasierte Verfahren gefährden Privatsphäre und Selbstbestimmung.“ EU und Bund sollten daher klare Vorgaben dafür machen, mit welchen Methoden Alterskontrollen stattfinden dürfen und dabei bestimmte Mindeststandards festlegen. So solle etwa nur das Erreichen eines Mindestalters an die Plattform kommuniziert oder das biometrische Daten nur auf dem Endgerät verarbeitet werden.

Nimmt die Kommission auch Plattformen in die Pflicht?

Ja, ergänzend zu den genannten Alternativen für die Schärfung der europäischen Regeln im DSA. Weil die Gefahren für Minderjährige nicht nur in einzelnen Inhalten, sondern in der Gestaltung der Dienste selbst liegen, müssten auch diese für einen „Jugendschutz by Design and Default“ sorgen, schreiben die Expert*innen.

Konkret empfehlen sie, für die Accounts von Minderjährigen einen verbindlichen Katalog von sicheren Voreinstellungen einzuführen. Er soll beispielsweise algorithmisch gesteuerte Feeds, personalisierte Werbung, suchtverstärkenden Funktionen oder manipulative Designs wie Endlos-Scrolling verbieten.

Dadurch verlagere sich der Schutz auf die Gestaltung der Plattform und sei nicht mehr davon abhängig, wie medienkompetent einzelne Kinder oder Eltern sind.

Was sagt die Kommission zu einem Handyverbot an Schulen?

Politiker*innen hatten in der Vergangenheit immer wieder ein bundesweites Handyverbot an Schulen gefordert. „Die private Gerätenutzung im Unterricht lenkt erheblich ab, erschwert eine konzentrierte Lernatmosphäre und schränkt in den Pausen das soziale Miteinander ein“ schreibt die Expert*innenkommission dazu. „In Mobbingsituationen kann sie verstärkend wirken.“

Die Fachleute kritisieren, dass die Regeln je nach Bundesland oder Schulform derzeit unterschiedlich ausfallen und empfehlen eine „weitgehende Einschränkung“ von privaten Handys an Schulen, die auch in den Schulgesetzen verankert wird.

An Grundschulen und bis einschließlich der siebten Klasse sollen private Geräte im Unterricht wie in den Pausen bundesweit verboten werden, so die Empfehlung. Ab der achten Klasse sollen Schulen gemeinsam mit ihren Schüler*innen Nutzungskonzepte erarbeiten.

Welche Empfehlungen spricht die Kommission für Eltern aus?

Um die Bildschirmzeit in den ersten Lebensjahren zu reduzieren, sollen Eltern nach der Geburt bessere Beratungsangebote erhalten, die generell ausgebaut und besser unterstützt werden sollen. Es außerdem sinnvoll, Eltern im Umgang mit den Bildern ihrer Kinder zu sensibilisieren.

Zugleich empfehlen die Expert*innen, ähnlich wie bei der Einführung der gewaltfreien Erziehung, auch eine gesetzliche Regelung, die die Rechte von Kindern um einen „Schutz vor digitaler Vernachlässigung“ erweitert. Eltern sollen also im Zweifel auch dafür verantwortlich gemacht werden können, wenn sie ihre Erziehungspflichten im Digitalen vernachlässigen.

Auch für diese Empfehlung äußerst Familienministerin Prien „große Sympathie“.

Was war der Arbeitsauftrag?

Ende 2025 hatte das Bundesfamilienministerium die Kommission einberufen. Die 18 Mitglieder kommen aus den Bereichen Rechtswissenschaft, Medizin, Psychologie, Kriminologie, Pädagogik und Bildungsforschung.

Ihre Arbeit wurde zuletzt vor allem vor dem Hintergrund eines diskutierten Social-Media-Verbotes wahrgenommen. Der eigentliche Arbeitsauftrag ist jedoch wesentlich breiter und beginnt schon mit der Frage, wie die digitale Welt auf Kleinkinder wirkt.

Alles netzpolitisch Relevante

Drei Mal pro Woche als Newsletter in deiner Inbox.

Der Auftrag an die Fachleute war, zunächst eine Bestandsaufnahme der Forschungslage zu machen und darauf basierend Empfehlungen abzugeben. Die Leitfrage lautet: Wie können Kinder und Jugendliche die beste Chance auf Teilhabe im Netz bekommen und zugleich vor Gefahren geschützt werden?

Warum wurden die Ergebnisse vorgezogen?

Ursprünglich war geplant, dass die Kommission ein Jahr lang arbeitet. Dann hat zum Jahresbeginn die Diskussion um ein Social-Media-Verbot in Deutschland und in der EU stark angezogen – nachdem Australien im Januar ein solches Verbot eingeführt hat. Der Bundeskanzler bekundete seine „Sympathien“ für ein Social-Media-Verbot und schwenkte später zu einem Nein um, Fachpolitiker*innen der SPD veröffentlichten ein Forderungspapier.

Das Familienministerium geriet unter Druck und entschied, den Bericht auf einen Termin vor der Sommerpause vorzuziehen.

Bereits Ende April erschien außerdem ein Zwischenbericht zum Forschungsstand. Er schloss ein Social-Media-Verbot nicht aus. Zugleich ging daraus hervor, dass ein pauschales Verbot nach australischem Vorbild Kindern und Jugendlichen eher nicht hilft. Dafür seien die Gefahren und Vorteile des Internets zu komplex.

Was passiert auf Ebene der EU?

Wichtiger als die Entwicklung in Deutschland ist im Zweifel ohnehin, was die EU-Kommission festlegt, denn die Regulierung des Internets erfolgt überwiegend gesamteuropäisch. Auch dort machen Politiker*innen jedoch massiven Druck für ein Verbot und Alterskontrollen.

Die EU-Kommission hat ebenfalls ein Gremium eingesetzt, das Empfehlungen zum Jugendschutz abgeben soll. Teils sitzen darin die gleichen Personen wie in der Expert*innenkommission des Familienministeriums. Die Ergebnisse werden zum 13. Juli erwartet. Danach wird die EU-Kommission ihr weiteres Vorgehen planen.

Kommissionspräsidentin Ursula von der Leyen machte allerdings schon vor der Veröffentlichung klar, wohin die Reise gehen soll. „Ohne Ergebnisse des Gremiums vorwegzunehmen: Es ist meine Überzeugung, dass wir einen zeitlichen Aufschub für soziale Medien in Betracht ziehen müssen“, sagte sie im Mai. Mit „Aufschub“ ist in diesem Fall gemeint: Ein Social-Media-Verbot für Kinder und Jugendliche unterhalb einer bestimmten Altersgrenze.

Warum würde ein Social-Media-Verbot das Internet für alle umkrempeln?

Um Jugendliche unterhalb eines bestimmten Alters von Plattformen fernzuhalten, müsste das Alter aller Internet-Nutzer*innen verlässlich geprüft werden. Nach derzeitigem Stand der Technik passiert das entweder über die Kontrolle von Ausweispapieren, über eine biometrische Erfassung des Gesichts, mit der das Alter geschätzt wird, oder mit einer Kombination aus beiden Verfahren.

Auch für einen Altersnachweis mit der App, die die EU-Kommission vor einigen Wochen als „datensparsame“ Alternative und vermeintlichen „Goldstandard“ vorgestellt hat, müssten Nutzer*innen zunächst ihr Gesicht biometrisch scannen lassen.

Fachleute kritisieren, dass mit den Voraussetzungen für solche Alterskontrollen auch die technische Infrastruktur geschaffen wird, um Menschen im Netz verlässlich zu identifizieren. Anonym könnte dann niemand mehr auf den Plattformen unterwegs sein. Das ist allerdings eine wichtige Voraussetzung für eine freie Meinungsäußerung und viele weitere wichtige Grundrechte in einer Demokratie.

Für Jugendliche hätte eine solche Deanonymisierung ebenfalls negative Folgen. Auch sie profitieren davon, freien und anonymen Zugang zu Informationen im Netz zu bekommen, etwa zu sexueller Orientierung oder Aufklärung.

Eine weitere, womöglich noch größere Gefahr: Mit der gleichen Infrastruktur könnten nach einem Regierungswechsel auch weitere Nutzergruppe aus dem Netz ausgesperrt oder politisch unliebsame Inhalte blockiert werden. Das kritisierte kürzlich auch der Deutsche Ethikrat, der ebenfalls beauftragt war, sich zu einem Social-Media-Verbot zu äußern. Die Fachleute in diesem Gremium sprachen sich – aus den genannten Gründen – klar gegen ein solches Verbot aus.



Source link

Weiterlesen

Datenschutz & Sicherheit

„Passwort“ Folge 60: Sinn und Unsinn von CVSS, SSVC, EPSS und Co


Sicherheitslücken sollte man beheben – besonders gravierende Sicherheitslücken sollte man besonders schnell beheben. An sich eine Selbstverständlichkeit, aber woher weiß man, welche Lücken man sich besonders dringend ansehen muss? CVE-Nummern eignen sich dafür nicht, sie dienen lediglich der eindeutigen Identifizierung von Lücken. Aber um diese Nummern herum hat sich eine Vielzahl an Bewertungssystemen, Zusatzmetriken und Entscheidungsbäumen gebildet, die selbst Fachleute regelmäßig ins Grübeln bringt. In Folge 60 nimmt sich der Podcast eine ganze Episode Zeit für diverse verbreitete Sicherheits-Kennzahlen.

Weiterlesen nach der Anzeige

Als roter Faden dient eine konkrete, recht kritische Sicherheitslücke der jüngeren Vergangenheit: CVE-2026-41940. Anhand dieses Beispiels (und ein paar anderer Anekdoten) arbeiten sich die Hosts durch die verschiedenen Bewertungssysteme, angefangen bei CVSS, dem Common Vulnerability Scoring System: Christopher erklärt, was diese Scores in Version 3.1 und 4.0 jeweils abbilden – und was eben nicht. Denn zumindest der Base-Score von CVSS beschreibt die theoretische Gefährlichkeit einer Lücke auf einem System ohne jegliche Schutzmaßnahmen. Mit dem tatsächlichen Risiko in einer konkreten Umgebung und zu einem konkreten Zeitpunkt hat das oft wenig zu tun.

Daher versuchen optionale Erweiterungen von CVSS, solche veränderlichen Faktoren zu erfassen. Noch weiter gehen die ebenfalls im Podcast thematisierte Stakeholder-Specific Vulnerability Categorization (SSVC) und EPSS, das Exploit Prediction Scoring System. Letzteres soll die Wahrscheinlichkeit der tatsächlichen Ausnutzung einer Lücke berechnen. Auch die Common Weakness Enumeration (CWE) und die Common Platform Enumeration (CPE) kommen, einschließlich ihrer Probleme, zur Sprache.

Grundsätzlich erläutern die Hosts, warum es oft schwierig bis unmöglich ist, Sicherheitslücken unstrittig Schweregrade zuzuweisen. Unter anderem am Beispiel des berüchtigten „Scope“-Parameters in CVSS 3.1 illustriert Sylvester, dass die Bewertung mitunter zum Münzwurf verkommt. Am Ende steht die Frage, was all diese Kennzahlen letztlich nützen, und ob es nicht ein Irrweg ist, immer noch mehr Kennzahlen aus noch mehr Parametern zu errechnen. Einig sind sich die Hosts, dass Scores bei der Triage helfen mögen, aber keine der Metriken die Frage beantwortet, ob und wie schwer eine Lücke die eigene Organisation betrifft.

Die neue Folge von „Passwort – der Podcast von heise security“ steht seit Mittwoch auf den üblichen Podcast-Plattformen bereit.

Weiterlesen nach der Anzeige


(syt)



Source link

Weiterlesen

Datenschutz & Sicherheit

Home Assistant: Update stopft Informationsleck


In Home Assistant haben die Entwickler zwei hochriskante Sicherheitslücken ausgebessert. Jetzt veröffentlichte Schwachstelleneinträge erörtern die Probleme. Außerdem hat das Projekt ein Update für das Home Assistant OS auf Version 18 vorgelegt.

Weiterlesen nach der Anzeige

Die gravierendste Schwachstelle betrifft einen API-Endpunkt, der zwar Schreibzugriffe (PUT und POST) korrekt auf vorherige Authentifizierung prüft, das für lesende Zugriffe (GET) jedoch unterlässt. Dadurch können bösartige Akteure mit Zugriff auf den Home-Assistant-HTTP-Port – standardmäßig 8123 im lokalen Netz – unbefugt den Status des Alarm-Panels und die Topologie der Geräte einsehen, erklären die Home-Assistant-Programmierer (CVE-2026-54317, CVSS 7.6, Risiko „hoch“). Die Lücke schließt Home Assistant 2026.6.0, das Anfang des Monats erschien.

Jede installierte App in Home Assistant kann auch ohne weitere Rechte Informationen an den BroadcastReceiver des LocationSensorManager senden, etwa Broadcasts mit gefälschtem LocationResult vom Google Play Service. Der Empfänger vertraut der Information und nimmt sie als reale Position des Geräts an. Dadurch könnten Angreifer Zonen-basierte Automatisierungen auslösen, etwa das Aufsperren von Türen, Alarmanlage abschalten oder Garage öffnen, schreiben die Home-Assistant-Entwickler in ihrer Sicherheitsmitteilung. Im Home Assistant Companion 2026.5.3 und neuer soll das korrigiert sein (CVE-2026-54318, CVSS 7.1, Risiko „hoch“).

Zudem hat das Home-Assistant-Projekt nun das Betriebssystem Home Assistant OS in Version 18 veröffentlicht. Es handelt sich dabei um ein kleines Wartungsrelease, die Release-Ankündigung zeigt nur wenig Neues. Der Linux-Kernel ist auf den aktuellen 6.18er-Zweig gewechselt. Docker kommt in Version 29.5.3 mit, containerd auf Stand 2.2.4; das darunterliegende Buildroot haben die Programmierer auf 2025.02.14 aktualisiert. Die Abbilder sollen sich nun deutlich schneller flashen lassen, und zudem haben die Entwickler die Logik zur Größe der Swap-Datei überarbeitet. Der Raspberry-Pi-Bootloader lässt sich direkt aus Home Assistant heraus aktualisieren. Raspberry Pi 5 muss nun mindestens Firmware 2025-02-12 installiert haben. Weitere Details und Download-Links finden Interessierte in der Release-Ankündigung.

Anfang des Monats wurden bereits Schwachstellen in den Home Assistant Companion Apps bekannt. Eine der Lücken hätte Angreifern das Abgreifen von Zugriffstoken und damit die Übernahme der Home-Assistant-Instanz ermöglicht.


(dmk)



Source link

Weiterlesen

Beliebt