Connect with us

Datenschutz & Sicherheit

Bundestag macht Weg frei für „Datenautobahn“


Um Verwaltungsleistungen zu beantragen, müssen Bürger*innen den Behörden Nachweise vorlegen – etwa den Reisepass oder die Kopie eines Mietvertrags. Die Daten halten Behörden des Bundes, der Länder und Kommunen in eigenen Registern vor.

Diese Register bestehen derzeit getrennt voneinander und sind im Laufe der vergangenen Jahrzehnte deutlich angewachsen. Denn das Grundgesetz sieht weder eine Mischverwaltung noch einen registerübergreifenden Datenaustausch unter den Behörden vor. Das soll der Staatsvertrag zum National-Once-Only-Technical-System (NOOTS) nun ändern. Dem Staatsvertrag stimmte der Bundestag gestern mit großer Mehrheit zu.

Einmal für alle

NOOTS ist Teil des übergeordneten Vorhabens von Bund und Ländern, die Registerlandschaft in Deutschland zu modernisieren. Das Ziel ist, den Datenaustausch zwischen Behörden zu erleichtern. Dazu gibt es mehrere Einzelprojekte, etwa ein Identifikationsmanagement für das einheitliche Personenkennzeichen oder ein Datenschutzcockpit. Auf die gemeinsame Infrastruktur für den Datenaustausch hatten sich der damalige Bundeskanzler Olaf Scholz (SPD) und die Regierungschef*innen der Länder bereits im vergangenen Dezember geeinigt.

Konkret sollen öffentliche Stellen elektronische Nachweise aus verschiedenen Registern künftig rechtssicher abrufen können. Im Namen von NOOTS steckt das sogenannte Once-Only-Prinzip. Die Idee dahinter: Bürger*innen und Unternehmen geben ihre Daten nur ein einziges Mal an die Verwaltung weiter. Anschließend tauschen Behörden benötigte Daten untereinander aus, ohne Bürger*innen und Unternehmen – deren grundsätzliches Einverständnis vorausgesetzt – dafür erneut um Erlaubnis bitten zu müssen.

Laut Staatsvertrag soll das Once-Only-Prinzip zunächst für Verwaltungsleistungen gemäß Onlinezugangsgesetz (OZG) umgesetzt werden. Damit wäre es dann Teil der Leistungsverwaltung; die weitere Implementierung und Nutzung soll der IT-Planungsrat steuern.

Warnung vor Missbrauch

Markus Reichel (CDU) pries das Vorhaben in der gestrigen Debatte als „Datenautobahn“, die die digitale Verwaltung schneller und effizienter machen werde. Er versprach, dass der Datenaustausch zwischen öffentlichen Stellen künftig „automatisiert, schnell, kostengünstig und bürokratiearm“ erfolgen könne, weil nicht mehr „die Bürger wandern, sondern die Daten“.

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Als einzige Fraktion stimmte Die Linke gegen den Gesetzentwurf. Bereits bei der ersten Lesung Ende Juni hatte deren Digitalpolitikerin Sonja Lemke davor gewarnt, dass das System in die Eingriffsverwaltung ausgeweitet werden könnte. Außerdem befürchtet sie Datenabfluss und Datenmissbrauch. Es drohe ein Szenario, bei dem auch Sicherheitsbehörden Daten zusammenführen, so Lemke.

Der Begriff Eingriffsverwaltung ist ein Gegenbegriff zur Leistungsverwaltung. Bei letzterer geht es darum, dass Ämter etwa auf einen Antrag hin Elterngeld bewilligen oder eine Geburtsurkunde ausstellen. Die Leistungsverwaltung gewährt den Bürger*innen also vor allem Vorteile oder Unterstützung. Die Eingriffsverwaltung beschränkt hingegen autoritativ die Rechte von Bürger*innen, indem sie ihnen Vorgaben macht oder Sanktionen auferlegt und damit tendenziell stärker in ihre Grundrechte eingreift.

Das Anliegen der Registermodernisierung sei zwar grundsätzlich legitim, sagte Lemke, der Schutzbedarf personenbezogener Daten stehe jedoch nicht im Vordergrund. Vielmehr werde die Steuer-ID als einheitliches Personenkennzeichen eingesetzt. „Was passiert, wenn der Zugang zu Verwaltungsdaten in die falschen Hände kommt, sehen wir gerade auf der anderen Seite des Atlantiks“, so Lemke, „und wir wissen das auch aus unserer Geschichte.“

So geht’s weiter

Der Staatsvertrag gibt den rechtlichen Rahmen für das NOOTS vor. Etliche Fragen etwa zur technischen Umsetzung oder zur IT-Sicherheit der Infrastruktur sind bislang noch ungeklärt.

Für den Aufbau, den Betrieb und die Weiterentwicklung des NOOTS zeichnet sich das Bundesverwaltungsamt (BVA) verantwortlich. Die Kosten tragen Bund und Länder gemeinsam; sie nutzen dafür die Haushaltsmittel der Föderalen IT-Kooperation (FITKO). Ab 2027 soll die FITKO 53,4 Prozent der Kosten tragen, der Bund übernimmt 46,6 Prozent. Laut Bundesregierung entstehe beim BVA ein „dauerhafter finanzieller und stellenmäßiger Mehrbedarf in Höhe von 2,8 Millionen Euro“.

Bis Ende 2025 soll der IT-Planungsrat einen Prototyp für NOOTS entwickeln und vorstellen, so Reichel. Er betonte gestern zudem, dass die EUDI-Wallet hier „als europäische Brücken- und Ergänzungstechnologie“ eine zentrale Rolle einnehmen werde.



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Bitdefender: Sicherheitsleck ermöglicht Rechteausweitung im Virenschutz


In der Virenschutzsoftware von Bitdefender wurde eine Sicherheitslücke entdeckt, die Angreifern das Ausweiten ihrer Rechte im System ermöglicht. Betroffen sind diverse Bitdefender-Varianten. Aktualisierungen zum Ausbessern der Schwachstelle sind verfügbar.

Weiterlesen nach der Anzeige

Bitdefender warnt in einer Sicherheitsmitteilung vor dem Sicherheitsleck. Die Schwachstelle befindet sich im „Active Threat Control“-Modul, erklärt der Hersteller. „Das Problem entsteht dadurch, dass ‚bdservicehost.exe‘ Dateien aus einem von Nutzern beschreibbaren Verzeichnis löscht (’C:\ProgramData\Atc\Feedback’), ohne korrekt auf smybolische Verknüpfungen zu prüfen, was das Löschen beliebiger Dateien ermöglicht. Dieses Problem ist mit einer Datei-Kopier-Operation während Netzwerk-Ereignissen und einer Umgehung des Filter-Treibers mittels einer DLL-Injection verkettet und führt zur Ausführung von Code als Nutzer mit erhöhten Rechten“, erklären die Autoren der Sicherheitsmitteilung.

Die Schwachstelle hat den Eintrag CVE-2025-7073 erhalten. Der von Bitdefender angenommene Angriffsvektor nach CVSS 4 erreicht den Wert 8.8 und damit als Risikoeinstufung „hoch“.

Betroffene Versionen

Als betroffene Versionen nennt Bitdefender die Free-Fassung vor 30.0.25.77, Internet Security Antivirus Plus sowie Total Security vor 27.0.46.231 und die Endpoint Security Tools for Windows vor Version 7.9.20.515. Der automatische Update-Mechanismus sollte die Software bereits auf diesen Stand gebracht haben. Ob die eigene Software bereits aktuell ist, lässt sich gemäß einer Anleitung des Herstellers herausfinden. Gegebenenfalls sollten Betroffene das automatische Update aktivieren und die ausstehenden Updates nachholen.

Zuletzt wurde im April eine Sicherheitslücke im Business-Schutz Bitdefender GravityZone bekannt. Auch die haben die Entwickler als kritisches Risiko eingeordnet.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Linux-Kernel: Rust-Support offiziell abgesegnet | heise online


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Rust soll die „Versuchsphase“-Einstufung bei Linux ablegen und damit eine vollwertige Sprache zur Programmierung des Kernel werden. Das haben zentrale Linux-Entwickler inklusive Linus Torvalds gestern auf dem jährlichen Kernel Maintainers Summit beschlossen, wie über eine sehr knappe Meldung bei LWN.net bekannt wurde.

Weiterlesen nach der Anzeige

Rust-Support hat noch viel zu tun

Rust steigt damit praktisch neben Assembler und C zur drittwichtigsten Sprache bei der Entwicklung des Linux genannten Kernels auf. Das Ganze heißt aber keineswegs, dass Programmierer jetzt sofort beliebige Kernel-Treiber in Rust schreiben können: Vielen Subsystemen fehlt dazu noch Überbückungscode (Bindings). Der ist an vielen Stellen erforderlich, beispielsweise, damit ein in Rust geschriebener WLAN-Treiber die in C geschriebene Basis-Infrastruktur für WLAN-Treiber und PCIe-Geräte nutzen kann.

Ein paar Subsysteme haben solche Bindings aber schon, oder die Entwickler arbeiten bereits daran. Darunter jenes für Kernel-Grafiktreiber, wo mit Nova gerade ein in Rust geschriebener Treiber für moderne Nvidia-Grafikkerne entsteht, der mittelfristig vermutlich auf vielen PCs zum Einsatz kommen dürfte.

Dreijähriges Experiment erfolgreich abgeschlossen

Erste Teile des Rust-Support waren nach langen Vorarbeiten vor drei Jahren bei Linux 6.1 dazugestoßen. Die Entwickler erhoffen sich vom Rust-Support unter anderem, die Anzahl der Sicherheitslücken zu reduzieren – Rust-Features wie der Schutz vor Speicherzugriffsfehlern, Pufferüberläufen oder Problemen bei nebenläufigen Prozessen sei Dank. Ferner soll die moderne Sprache aber auch die Entwicklung erleichtern und Linux zugänglicher für jüngere Programmierer machen.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Ivanti stopft kritische Sicherheitlücke im Endpoint Manager


In der Netzwerk-Softwareverwaltungs-Lösung Endpoint Manager von Ivanti klaffen mehrere Sicherheitslücken. Eine davon gilt dem Hersteller sogar als kritisches Risiko. Updates schließen die Lecks.

Weiterlesen nach der Anzeige

In einer Sicherheitsmitteilung schreibt Ivanti, dass sich die Sicherheitslücken sowohl im Endpoint Manager Core als auch in den Remote-Konsolen finden. Von den vier Schwachstellen ist die gravierendste eine vom Typ „Stored Cross-Site-Scripting“ (Stored XSS), bei dem nicht authentifizierte Angreifer aus dem Netz auf verwundbaren Servern Javascript-Code einschleusen und speichern können, der im Kontext etwa einer Administrator-Sitzung zur Ausführung gelangt (CVE-2025-10573, CVSS 9.6, Risiko „kritisch“). Wie Attacken im Speziellen aussehen würden, erklärt Ivanti nicht. Der Hersteller erklärt jedoch, dass Ivanti EPM nicht dazu gedacht ist, aus dem Internet erreichbar zu sein; sofern Kunden das System nicht im öffentlichen Internet betreiben, sei das Risiko dieser Schwachstelle signifikant geringer.

Nicht angemeldete bösartige Akteure aus dem Netz können zudem beliebige Dateien auf Server schreiben und dadurch möglicherweise Schadcode einschleusen und ausführen. Das geht auf unzureichende Prüfungen von „dynamisch verwalteten Code-Ressourcen“ zurück (CVE-2025-13659, CVSS 8.8, Risiko „hoch“). Die Einstufung als kritische Bedrohung verpasst das Problem nur knapp. Ivanti erläutert, dass als Voraussetzung für einen Missbrauch Kunden zu einem nicht vertrauenswürdigen Core-Server verbinden müssten; gemäß der „Best-Practices“-Empfehlungen sollten Kunden ihr Ivanti EPM jedoch ausschließlich an vertrauenswürdige Server anbinden.

Weitere Sicherheitslücken

In der Patch-Management-Komponente führt eine unzureichende Prüfung kryptografischer Signaturen dazu, dass nicht angemeldete Angreifer aus dem Netz beliebigen Code ausführen können (CVE-2025-13662, CVSS 7.8, Risiko „hoch“). Außerdem können angemeldete Nutzer aufgrund einer Path-Traversal-Lücke beliebige Dateien außerhalb vorgesehener Verzeichnisse speichern (CVE-2025-13661, CVSS 7.1, Risiko „hoch“).

Wie Angriffe auf die Schwachstellen konkret aussehen können, führt Ivanti nicht aus, betont jedoch, dass für einen erfolgreichen Missbrauch bei allen Nutzerinteraktionen nötig sind. Bislang hat der Hersteller auch keine Kenntnisse darüber, dass die Schwachstellen bereits in freier Wildbahn missbraucht wurden. Daher könne Ivanti auch keine Indicators of Compromise (IOCs) nennen.

Die Aktualisierung auf Ivanti Endpoint Manager 2024 SU4 SR1 schließt alle genannten Sicherheitslecks. IT-Verantwortliche sollten es daher zügig installieren.

Weiterlesen nach der Anzeige

Auch im November dieses Jahres hatte Ivanti eine Sicherheitslücke im Endpoint Manager schließen müssen. Sie galt ebenfalls als hochriskant und ermöglichte Angreifern, Dateien auf Festplatten von Opfer-PCs zu schreiben.


(dmk)



Source link

Weiterlesen

Beliebt