Datenschutz & Sicherheit
Checkmk: Hochriskante Cross-Site-Scripting-Lücke in Netzwerk-Monitor-Software
Aktualisierte Versionen der Netzwerk-Überwachungssoftware Checkmk stopfen ein Sicherheitsleck. Angreifer können bösartiges JavaScript in Logs schmuggeln, das etwa mittels Phishing-Links zugreifbar wird.
Weiterlesen nach der Anzeige
Laut Schwachstellenbeschreibung auf Github führt unzureichende Filterung von Eingaben in Checkmk dazu, dass Angreifer, die die Ausgaben von Host-Checks manipulieren und darin bösartiges JavaScript schleusen können, das in den „Synthetic Monitoring“ HTML-Logs landet. Klicken Admins auf einen präparierten Phishing-Link, kann das beim Rendern der Log-Einträge in der Checkmk-UI den eingeschleusten Code ausführen – mit Phishing-Links ließe sich die Sandbox aushebeln (CVE-2025-64999, CVSS4 7.3, Risiko „hoch“).
Checkmk-Lücke: Abweichende Risikoeinstufung
Abweichend von der Einstufung von Checkmk sieht das CERT-Bund des Bundesamts für Sicherheit in der Informationstechnik (BSI) das Risiko jedoch als „kritisch“ an. Die IT-Sicherheitsexperten kommen in ihrer Schwachstellenmeldung auf den CVSS-Wert 9.0.
Betroffen sind Checkmk-Versionen vor 2.4.0p22 aus der vergangenen Woche sowie vor 2.3.0p43. Laut Mitteilung von Checkmk haben die Entwickler die Schwachstelle auch in den Beta-Versionen zu Checkmk 2.5.0 und 2.6.0 ausgebessert. IT-Verantwortliche sollten zügig auf die fehlerkorrigierten Builds aktualisieren.
Bereits Ende Oktober 2025 hatte ein Update eine Cross-Site-Scripting-Schwachstelle in Checkmk geschlossen. Sie wurde dort aber auch von den Entwicklern als kritisches Sicherheitsrisiko eingestuft. Die Beschreibung der Sicherheitslücke liest sich recht ähnlich. Beim verteilten Monitoring-Betrieb konnten verbundene Remote-Sites JavaScript-Code in das Userinterface der zentralen Instanz injizieren. Allerdings war dort kein Anklicken eines Phishing-Links nötig, um den Schadcode zu starten.
(dmk)
Datenschutz & Sicherheit
Windows-Insider-Vorschauen: Sicherere Batch-Dateien und Rotieren in Paint
In den aktuellen Windows-Insider-Vorschauversionen ergänzt Microsoft Sicherheitsmaßnahmen für Batch-Dateien. Außerdem bekommt geteiltes Bluetooth-Audio mehr Einstellungsmöglichkeiten und Paint lernt die Drehung von ausgewählten Bereichen.
Weiterlesen nach der Anzeige
Die neuen Vorschau-Versionen stehen auf den Insider-Kanälen Beta (Build 26220.7934) und Developer (Build 26300.7939) bereit. Darin hält ein neuer Sicherheitsmechanismus Einzug: „Lock Batch Files“. Der ermöglicht Admins und Erstellern von „Application Control for Business“-Regeln zusätzliche Kontrollmöglichkeiten bei der Verarbeitung von .bat- und .cmd-Skriptdateien. Diese lassen sich grundsätzlich während der Ausführung manipulieren, sodass bei aktivierter Code-Integrity-Funktion (CI) jede Zeile vor der Ausführung überprüft werden muss. Das bremst die Ausführungsgeschwindigkeit deutlich.
Aktivieren Admins im Registry-Schlüssel „HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor“ das DWORD „LockBatchFilesWhenInUse“ – erlaubte Werte sind 0 (deaktiviert) oder 1 (aktiviert) –, sperrt Windows Batch-Dateien während der Ausführung gegen Schreibzugriffe. Die Signaturen von Batches müssen nur noch einmal zum Startzeitpunkt geprüft werden und nicht jedes einzelne Mal, wenn dadurch ein Befehl gestartet wird. Die Funktion lässt sich auch in Manifest-Dateien zu Apps nutzen.
Geteiltes Bluetooth-Audio
Microsoft hat bereits in früheren Insider-Versionen aus dem November 2025 Bluetooth-Audio um „Shared Audio“ erweitert. Mit unterstützten Bluetooth-LE-Kopfhörern können zwei Personen die Soundausgabe teilen. Neu ist nun ein getrennter Lautstärkeregler für die einzelnen verbundenen Bluetooth-Kopfhörer, nicht mehr nur ein gemeinsamer. In der Taskleiste weist ein Symbol auf aktivierte Sound-Ausgabeteilung hin. Zudem unterstützt die Funktion jetzt weitere Geräte, namentlich die neuen Samsung Galaxy Buds 4 und Galaxy Buds 4 Pro, Sonys Flaggschiff-In-Ear-Stöpsel WF-1000XM6 und das Xbox Wireless Headset.
Außerdem kommt Paint in der neuen Version 11.2601.391.0 mit. Besonders stolz sind die Entwickler auf die Freiform-Drehung, die sie als häufig angefragte Funktion ergänzt haben. Formen, Text oder jedwede aktive Auswahl lassen sich dadurch in beliebigem Winkel drehen. Bei einem ausgewählten Objekt erscheint ein „Rotieren“-Symbol darüber. Damit lässt sich die Auswahl frei drehen. Wer gezieltere Kontrolle haben möchte, kann jedoch aus dem „Rotieren“-Menü die benutzerdefinierte Drehung auswählen und einen bestimmten Winkel angeben.
Microsoft stellt außerdem eine aktualisierte Insider-Version im Canary-Insider-Kanal (Build 28020.1673) bereit. Dort ziehen im Wesentlichen die Neuerungen ein, die Microsoft derzeit in der allgemein verfügbaren Update-Vorschau für den Microsoft-Patchday in der kommenden Woche testet.
Weiterlesen nach der Anzeige
(dmk)
Datenschutz & Sicherheit
Angreifer können IBMs IT-Sicherheitslösung QRadar SIEM crashen lassen
Angreifer können insgesamt an elf Sicherheitslücken in IBM QRadar SIEM ansetzen. Eigentlich soll die IT-Sicherheitslösung PCs vor Attacken schützen. Installieren Admins die Sicherheitspatches nicht, wird sie aber selbst zum Ansatzpunkt für Attacken.
Weiterlesen nach der Anzeige
DoS-Attacken
IBM listet weiterführende Informationen zu den Schwachstellen in einer Warnmeldung auf. Darin gibt es keine Hinweise, dass Angreifer die Lücken bereits ausnutzen. Das kann sich aber schnell ändern. Dementsprechend müssen Admins sicherstellen, dass das Sicherheitsupdate IBM QRadar SIEM 7.5.0 UP14 IF05 installiert ist. Andernfalls können Angreifer Systeme attackieren. Die Entwickler versichern, dass ausschließlich die Ausgabe 7.5.0 verwundbar ist.
Am gefährlichsten gilt eine „kritische“ Schwachstelle (CVE-2025-68615). Hier können Angreifer mit präparierten Anfragen an der verwundbaren net-snmp-Komponente ansetzen, um einen Speicherfehler auszulösen. Das führt zu Abstürzen. Oft kann unter diesen Rahmenbedingungen auch Schadcode auf Systeme gelangen.
Die verbleibenden Lücken sind mit dem Bedrohungsgrad „hoch“ eingestuft (etwa CVE-2025-13601). Auch an diesen Stellen lösen erfolgreiche Angriffe Speicherfehler aus.
Zuletzt hat IBM Ende Februar mehrere Lücken in App Connect Enterprise geschlossen.
(des)
Datenschutz & Sicherheit
Trugbild: Flucht aus der Entfremdung

Ein Pinguin verlässt seine Kolonie am Südpol. Zielstrebig läuft er in Richtung der Berge. Es ist ein einsamer Gang in den sicheren Tod. „Aber warum?“, fragt Werner Herzog gewohnt dramatisch, während er den über das Eis wandernden Pinguin mit der Kamera festhält. Die Szene stammt aus seinem Dokumentarfilm „Begegnungen am Ende der Welt“ aus dem Jahr 2007.
Knapp zwanzig Jahre nach seinem ersten Auftritt geht der Pinguin viral. In den sozialen Medien setzt sich der Spitzname „Nihilist Penguin“ durch. Die Kommentarspalten lassen darauf schließen, dass sich Tausende Menschen in dem selbstmörderischen Vogel wiedererkennen. Es ist nicht das erste Mal, dass ein derartiges Verhalten im Netz als Spektakel romantisiert wird.
Fragwürdige Idole
Kurz vor der berühmt gewordenen Szene fragt Werner Herzog in der Doku einen Tierforscher, ob Pinguine wahnsinnig werden können, wenn sie genug von ihrer Kolonie haben. „Sie verlieren die Orientierung und landen dort, wo sie eigentlich nicht sein sollten“, antwortet der Forscher lakonisch.
Auf YouTube, TikTok und Instagram interpretieren viele Nutzer den Pinguin dagegen als einen mutigen Ausreißer, der sich aus den Fesseln der Gesellschaft befreit. „Dieser Pinguin ging nicht in die Berge, um zu sterben. Er machte diese Reise, um zu leben“, vermutet etwa ein Zuschauer. „Die Menschen verstehen die Abgründe der Kolonie nicht. Gesichtslos, starr, monoton“, ergänzt ein anderer. Wenige Tage nach dem viralen Erfolg des Pinguins gab es bereits T-Shirts zu kaufen mit der Aufschrift „Colony Dropout“.
Die mit unzähligen Daumen nach oben versehenen Beiträge heben den Pinguin damit auf eine Ebene mit fragwürdigen Internet-Idolen wie Marvin Heemeyer oder Richard Russell.
Heemeyer ist zu zweifelhaftem Ruhm gelangt, weil er mit einer modifizierten Planierraupe mehrere Gebäude, darunter das Haus des ehemaligen Bürgermeisters und die Polizeistation, im US-amerikanischen Ort Granby zerstörte. Anschließend erschoss sich der Täter. Seine Fans übernahmen den von den Medien etablierten Spitznamen „Killdozer“ für ihn. „Ist es nicht irre, wie viel besser du diesen Mann verstehst, je älter du wirst?“, sagt ein Bewunderer über den Killdozer und sammelt dafür über zwanzigtausend Likes auf YouTube.
Richard „Sky King“ Russell gehörte dem Bodenpersonal auf einem internationalen Flughafen in Seattle an. Der 28-Jährige entwendete dort ein unbesetztes Flugzeug und steuerte die Maschine nach einem 70-minütigen „Ausflug“ auf eine dünn besiedelte Insel. Den Absturz überlebte er nicht. Im Gespräch mit dem Kontrollturm sagte Russell zuvor: „Ich habe nicht geplant, wieder zu landen.“
In den sozialen Medien wurde er dafür ähnlich gefeiert wie Heemeyer und der Pinguin. Unter pathetischen Gedenkvideos und Lobreden am Jahrestag von Russells Flug, unter anderem von einem Kongressmitglied, finden sich Sprüche wie: „Am Boden war er tot, als er abhob, war er lebendig.“
Aus der Entfremdung ausbrechen wollen
Unter den Videos taucht immer wieder ein Zitat der Anime-Serie Cowboy Bebop auf: „Ich gehe da nicht hin, um zu sterben. Ich will herausfinden, ob ich wirklich lebe.“ Das Gefühl der Entfremdung ist offenbar ein essenzieller Teil der Online-Kultur. Und tatsächlich gibt es Tage, an denen sich die Netzwelt wie ein morbides Projekt zur Desensibilisierung der Menschheit anfühlt.
Die Startseiten von YouTube, TikTok, Instagram und Pornhub sind laut, überreizt und voller Gewalt. Nach der Entdeckung eines sehenswerten Videos lauert bereits ein brutaler Konterclip auf den Zuschauer. Darauf folgt penetrante Werbung – und der Kreislauf beginnt von neuem.
Ein Teil der Online-Gemeinschaft macht bizarre Figuren wie den Nihilist Penguin, den Sky King oder den Killdozer zu ihren Stellvertretern, die für sie aus einer feindlichen Umwelt und dem als fade wahrgenommenen Leben ausbrechen. Der Himmel oder die Berge dienen dabei als Symbole für eine verloren geglaubte Freiheit.
Wir sind communityfinanziert
Unterstütze auch Du unsere Arbeit mit einer Spende.
Im Streben nach „echten“ Erfahrungen außerhalb des digitalen Raums liegt wohl auch ein produktiver Aspekt des Herzogschen Pinguins. Das Buch „Reinhold Messners Philosophie – Sinn machen in einer Welt ohne Sinn“ beschreibt Messners Verlangen nach Grenzgängen in den Bergen als einen lebensnotwendigen Impuls. Dieser ereilt ihn ausgerechnet dann, wenn er sich am sichersten fühlt: zu Hause, bei der Familie. Woher dieser Trieb kommt, weiß Messner selbst nicht.
Es sind wohl diese weißen Flecken auf der Landkarte der menschlichen Bedürfnisse, die als Inspiration für einen nachhaltigen Ausbruch aus der Entfremdung dienen können. Herzogs Frage nach dem großen „Warum?“ sollte deshalb vielleicht gar nicht erst beantwortet werden.
Alarmierende Signale
Wo ein kleines Tier so große Aufmerksamkeit erregt, kreisen selbstverständlich schon die Marketing-Geier. Von Politikern und Präsidenten bis hin zu deutschen Discountern oder einer Schuhhandelskette möchten alle den Penguin für die eigenen Zwecke instrumentalisieren – etwa händchenhaltend mit Trump oder auf der Suche nach europäischen Werten am Südpol.
Diese vom „Nihilist Penguin“ inspirierten Marketing-Clips treffen den Nerv der Zeit. Auf die Schulter klopfen sollten sich die Werbeleute allerdings nicht. Denn dass eine beachtliche Zahl von Menschen online Selbstmorde romantisiert und so gleichzeitig ihr eigenes Leben abwertet, ist ein alarmierendes gesellschaftliches Signal. Dabei führt ein System, das menschliche Bedürfnisse mit leicht konsumierbaren Bildchen zu kompensieren versucht, zwangsläufig zur Entfremdung.
Und dem Wunsch, aus diesem System auszubrechen, kann eine erfahrungsarme Welt nichts weiter entgegensetzen als einen Pinguin, der auf eine KI-generierte Lidl-Filiale in den Bergen zuwatschelt.
-
Künstliche Intelligenzvor 2 MonatenSchnelles Boot statt Bus und Bahn: Was sich von London und New York lernen lässt
-
Social Mediavor 3 WochenCommunity Management zwischen Reichweite und Verantwortung
-
Künstliche Intelligenzvor 2 Wochen
Top 10: Die beste kabellose Überwachungskamera im Test – Akku, WLAN, LTE & Solar
-
Datenschutz & Sicherheitvor 3 MonatenSyncthing‑Fork unter fremder Kontrolle? Community schluckt das nicht
-
Entwicklung & Codevor 3 MonatenKommentar: Anthropic verschenkt MCP – mit fragwürdigen Hintertüren
-
Künstliche Intelligenzvor 3 MonatenGame Over: JetBrains beendet Fleet und startet mit KI‑Plattform neu
-
Social Mediavor 2 MonatenDie meistgehörten Gastfolgen 2025 im Feed & Fudder Podcast – Social Media, Recruiting und Karriere-Insights
-
Künstliche Intelligenzvor 3 MonatenDigital Health: „Den meisten ist nicht klar, wie existenziell IT‑Sicherheit ist“
