Datenschutz & Sicherheit
Cisco: Sicherheitslücken in mehreren Produkten
Cisco hat vier neue Sicherheitsmitteilungen veröffentlicht und eine ältere aktualisiert. Eine der behandelten Schwachstellen erhält die Einstufung als kritisches Risiko mit Höchstwertung. Eine weitere der Lücken gilt als hochriskant.
In Ciscos Identity Services Engine (ISE) können Angreifer aus dem Netz ohne vorhergehende Authentifizierung Befehle ins Betriebssystem einschleusen, die im Kontext des root-Users ausgeführt werden. Die Sicherheitsmitteilung stammt ursprünglich von Ende Juni. Jetzt hat Cisco ihr jedoch ein Update verpasst und den bislang bekannten Schwachstellen mit den Nummern CVE-2025-20281 und CVE-2025-20282 den neuen Eintrag CVE-2025-20337 / EUVD-2025-21708 beiseitegestellt. „Angreifer benötigen keinerlei gültige Zugriffsdaten, um die Lücke zu missbrauchen. [..] Sie können sie durch das Senden einer manipulierten API-Anfrage ausnutzen. Bei Erfolg erhalten Angreifer root-Rechte auf betroffenen Geräten“, erklärt Cisco dazu. Betroffen sind Cisco ISE und ISE-PIC 3.3 und 3.4, die Versionen 3.3 Patch 7 sowie 3.4 Patch 2 schließen die neu bekannt gewordene Sicherheitslücke.
In Ciscos Unified Intelligence Center können Angreifer mit gültigem Zugang hingegen aufgrund einer Schwachstelle im Web-basierten Management-Interface beliebige Dateien auf verwundbare Systeme hochladen. „Ein erfolgreicher Exploit erlaubt Angreifern, bösartige Dateien im System abzulegen und beliebige Befehle im Betriebssystem auszuführen“, erklärt Cisco in der Sicherheitsmitteilung. Zum Missbrauch müssen bösartige Akteure mindestens Zugriff auf Ebene „Report Designer“ haben (CVE-2025-20274 / EUVD-2025-21714, CVSS 6.3, Risiko laut Cisco jedoch „hoch„). Das höher eingestufte Risiko erklärt Cisco damit, dass Angreifer ihre Rechte zu root ausweiten können.
Weitere Sicherheitslücken in Cisco-Produkten
Cisco hat noch weitere Schwachstellen gemeldet, die der Hersteller mit Updates ausbessert.
- Cisco Identity Services Engine Authenticated Remote Code Execution and Authorization Bypass Vulnerabilities, CVE-2025-20283, CVE-2025-20284, CVE-2025-20285 / EUVD-2025-21712, EUVD-2025-21711, EUVD-2025-21709, CVSS 6.5, Risiko „mittel„
- Cisco Unified Intelligence Center Server-Side Request Forgery Vulnerability, CVE-2025-20288 / EUVD-2025-21710, CVSS 5.8, Risiko „mittel„
- Cisco Prime Infrastructure and Evolved Programmable Network Manager Blind SQL Injection Vulnerability, CVE-2025-20272 / EUVD-2025-21713, CVSS 4.3, Risiko „mittel„
IT-Verantwortliche sollten die Aktualisierungen für bei ihnen eingesetzte Geräte zeitnah anwenden.
(dmk)
Datenschutz & Sicherheit
Deutschland zahlte über 21 Millionen Euro an Elon Musk
21.470.900 Millionen Euro zahlte die Bundesregierung von Anfang 2022 bis Ende 2024 an Firmen von Elon Musk. Dieses Jahr sollen mindestens weitere 155.200 Euro dazukommen. In der Summe sind das 21.626.100 Euro.
Aus welchen Ressorts stammt das Geld? Und was kaufen sie damit? Eine Kleine Anfrage der Fraktion Die Linke liefert Antworten.
Von Elon Musks Firmen erhält Starlink am meisten Geld von der Bundesrepublik. Den größten Teil davon, 19.610.000 Euro, gab das Auswärtige Amt im Rahmen der Ukraine-Hilfen aus. Es bezahlte einen Teil der Satelliteninternet-Rechnung des von Russland angegriffenen Landes. Die Ukraine steuert über Starlink beispielsweise ihre Kampfdrohnen.
Diese Ministerien haben Starlink-Internet gekauft
Auch Deutschland nutzt das Musksche Satelliteninternet. Das Auswärtige Amt hat in der Vergangenheit – abseits der Ukraine-Hilfen – 12.000 Euro für Starlink bezahlt, für das laufende Jahr sind weitere 4.000 Euro eingeplant. Das Innenministerium buchte für 10.000 Euro Starlink-Dienste, das BKA für 15.800 Euro, zum Teil zur Nutzung in Einsatzfahrzeugen, weitere 10.500 Euro sind für dieses Jahr vorgesehen. Das Verteidigungsministerium zahlte 700 Euro und hat für dieses Jahr weitere 500 Euro veranschlagt.
Und das ist vermutlich nicht alles. Denn wie viel Geld die Zentrale Stelle für Informationstechnik im Sicherheitsbereich und die Bundespolizei für Starlink ausgegeben haben, erklärt die Bundesregierung in der Antwort auf die Kleine Anfrage zur Verschlusssache.
Das BKA erstand zwei Teslas „zur Testung“
Die Musk-Firma, die am zweitstärksten von der Bundesregierung profitiert, ist Tesla. 1.815.000 Euro hat sie seit 2022 kassiert. Das BKA hat beispielsweise 123.000 Euro für zwei Teslas ausgegeben, unter anderem „zur Testung von herstellerseitigen Funktionalitäten“. Das Bundesministerium für Wirtschaft und Klimaschutz förderte zwei Projekte mit 870.000 Euro, eines zum kabellosen Laden, eines zu autonomen Fahrzeugen. Laut Bundesrechnungshof „bestehen erhebliche Zweifel am politisch gewünschten Erfolg der Sonderprogramme.“
Tesla erhielt noch weitere Gelder vom Bundeswirtschaftsministerium: 9.000 Euro als Förderung des Absatzes von elektrisch betriebenen Fahrzeugen (Umweltbonus) sowie 813.000 Euro als Förderung für energieeffiziente Gebäude. Dieses Jahr kommen weitere 140.000 Euro zur Förderung für Energie- und Ressourceneffizienz dazu.
Die dritte Musk-Firma, die in den vergangenen Jahren Geld von der Bundesrepublik erhielt, ist die Social-Media-Plattform X, wenn auch nur vergleichsweise magere 7.600 Euro. Das Statistische Bundesamt zahlte 200 Euro für einen Premium-Account, für dieses Jahr sind weitere 100 Euro verplant. Die Bundeszentrale für politische Bildung schaltete für 6.000 Euro Anzeigen auf der Plattform, das Bundesamt für Strahlenschutz für 1.000 Euro. Das Finanzministerium verbuchte 200 Euro für Accountverifizierung, dieses Jahr kommen 100 Euro für einen Premium-Account hinzu.
Datenschutz & Sicherheit
Es geht nicht um Messer
Waffen- und Messerverbotszonen, die Idee klingt erst einmal vernünftig. Wir alle haben keinen Bock auf Messer in der Hand von Leuten, die sie gegen Menschen einsetzen wollen. Kein Bock auf Stresser mit Springmessern oder auch Deppen mit Schreckschusspistolen. Die Argumentation der Verbotszonenbefürworter ist: Angriffe solcher Menschen werden wir damit verhindern. Das macht uns sicher. Doch der Sicherheitsgewinn ist im Vergleich zur Grundrechtseinschränkung minimal.
Seit heute sind alle öffentlichen Nahverkehrsmittel samt Bahnhöfen in Berlin Waffen- und Messerverbotszonen. Die Ampel-Regierung hatte im Fahrwasser von Messer-Angriffen den Bundesländern eine weitreichende Einführung solcher Zonen erlaubt. Das Bundesland Berlin macht von diesem Recht nun Gebrauch. Das bedeutet: Die Polizei kann ohne konkreten Verdacht Menschen durchsuchen.
Auf der Informationsseite der Polizei Berlin heißt es:
Die Polizei ist gemäß § 42c Waffengesetz befugt, zur Kontrolle der Waffen- und Messerverbotszone Personen kurzzeitig anzuhalten, zu befragen, mitgeführte Sachen in Augenschein zu nehmen und Personen zu durchsuchen. Die Kontrolle setzt keinen konkreten Verdacht oder Anlass voraus. Die Auswahl der kontrollierten Person anhand eines Merkmals im Sinne des Artikels 3 Absatz 3 des Grundgesetzes ohne sachlichen, durch den Zweck der Maßnahme gerechtfertigten Grund, ist unzulässig.
Es ist ein wichtiges demokratisches Recht und ein Kennzeichen einer freien Gesellschaft, dass der Staat uns unbescholtene Menschen nicht einfach so ohne Verdacht durchsuchen kann. Bislang ist eine solche Schleierfahndung nur in der Nähe von Außengrenzen und an bestimmten gefährlichen Orten möglich.
Dadurch, dass alle Nutzer:innen des öffentliche Nahverkehrs einer großen Stadt nun unter Generalverdacht stehen, wird es sehr schwer, sich in der Stadt zu bewegen ohne sich den anlasslosen Kontrollbefugnissen auszusetzen. Ab jetzt müssen wir immer davon ausgehen, jederzeit und überall im Nahverkehr anlasslos angehalten, befragt und durchsucht zu werden.
Peinliche Situationen und Beifang
Klar ist auch, dass eine solche Kontrollbefugnis nicht nur „Waffen“ zu Tage fördern wird. Unbescholtene Bürger werden ihre Taschen und Rucksäcke öffnen müssen. Es geht gar nicht darum, dass dort vielleicht illegale Dinge sind. Es ist unangenehm genug, irgendwelchen dahergelaufenen Polizist:innen Einkäufe, Tampons, Sextoys, Unterwäsche oder sonst irgendwelche privaten Inhalte zeigen zu müssen, die dann womöglich noch von Beamt:innen doof kommentiert werden.
Jeder junge Mensch mit einer Sprühdose in der Tasche wird zum möglichen Sprayer und muss sich unangenehme Fragen gefallen lassen. Dazu kommen Bagatelldelikte: Der harmlose Ecstasy-Tourist auf dem Weg nach Hause aus dem Techno-Club muss sich in Zukunft Sorgen machen, als Waffen-Beifang in den Fokus der Polizei zu geraten. Und wer auf dem Weg zu einer Demonstration ist, kann in Zukunft davon ausgehen, dass die Taschen auf dem Weg dorthin durchsucht werden.
Kontrollen fördern rassistische Praxis
Dazu kommt die diskriminierende Dimension von anlasslosen Kontrollen, auch wenn die Berliner Verordnung dies verhindern will. Wer kontrolliert wird, das entscheidet einzig und allein die Polizei. Diese Institution hat erwiesenermaßen rassistische Muster bei solchen Kontrollen (Racial Profiling) oder meint auf Basis äußerlicher Vorurteile „ihre Pappenheimer“ zu kennen.
Das heißt: Bestimmte Gruppierungen der Gesellschaft werden jetzt noch häufiger als andere in Kontrollen geraten. Während Otto Normalbürger und Oma Elfriede vom vermeintlichen Sicherheitsgewinn schwärmen, wird der Weg durch die Stadt für Jugendliche und junge Erwachsene sowie vor allem für ausländisch oder abweichend gelesene Personen jetzt noch mehr zum Spießrutenlauf.
Der Sicherheitsgewinn durch diese Ausweitung von Kontrollen steht nicht im Verhältnis zur Tiefe des Grundrechtseingriff und dem Verlust der Freiheit.
Datenschutz & Sicherheit
Kommentar: 77 Verantwortliche – aber kein Sprit für den Notstromdiesel
Die Worte, die der Bundesrechnungshof kürzlich in einem internen, geleakten Bericht für die Cybersicherheit des Bundes fand, sind hart, aber notwendig: „Die IT des Bundes ist nicht bedarfsgerecht geschützt. Haushaltsmittel alleine schaffen keine Cybersicherheit.“
Kornelius Kindermann ist Volontär bei iX und interessiert sich für Netzwerke, Systemmanagement und den Rückschlag der Technik auf die Gesellschaft.
Danach folgt Backpfeife um Backpfeife in einem Bericht, der nicht nur ITlern die Haare zu Berge stehen lässt. Nicht einmal zehn Prozent der über einhundert deutschlandweit verteilten Rechenzentren, auf denen die IT des Bundes aufbaut, erfüllen die Mindeststandards für den Krisenfall.
Soweit man weiß jedenfalls, denn bereits die Informationslage ist mangelhaft: Dem BSI, das die Sicherheit der staatlichen Rechenzentren überprüft, fehlt es an Kontrolleuren. Erst 20 von 112 Prüfer-Stellen sind besetzt, nur drei kümmern sich um das gesamte Bundesgebiet. Dass manche Rechenzentren noch nicht einmal genug Treibstoff für die vorgeschriebene Notstromversorgung besitzen, ist daher nur die Spitze des Eisbergs. Wie viele der tragenden IT-Säulen marode sind, ist also nicht einmal völlig klar.
Kennen Sie schon den kostenlosen iX-Newsletter? Jetzt anmelden und monatlich zum Erscheinungsdatum nichts verpassen: heise.de/s/NY1E. In der nächsten Ausgabe geht’s ums Titelthema der August-iX: modernes Testmanagement.
Das ist aber nicht die wichtigste Erkenntnis aus dem Bericht des Bundesrechnungshofs, es wäre zu kurz gegriffen, hier nur den Kopf über fehlende Redundanzen, Treibstoffkanister und Prüfer zu schütteln. Der Kern des Berichts besagt: Ihr zäumt den Gaul von der falschen Seite auf.
Denn der nunmehr dritten Cybersicherheitsstrategie des Bundes lag keine Analyse der Defizite zugrunde. Statt Probleme zu ermitteln, die zu beheben wären, rief der Bund zahlreiche Einrichtungen ins Leben, die alle irgendwie auch für Cybersicherheit mitverantwortlich sind. Nun zeichne sich die Cybersicherheitsarchitektur „durch einen Dschungel von Institutionen und Zuständigkeiten aus“.
Auch dieses vernichtende Verdikt: notwendige Härte. Denn ganze 77 Einrichtungen zählt der Bundesrechnungshof mittlerweile auf Bundesebene, die bei der IT-Sicherheit mitreden. Die verfügen aber weder über eine gemeinsame Datenbasis, noch kommunizieren sie überhaupt groß miteinander. Das Überborden der Zuständigkeiten lässt die Grafik erahnen, die Dr. Sven Herpig und Frederic Dutke unter cybersicherheitsarchitektur.de zusammengestellt haben.
77 EInrichtungen bundesweit, 230 zusammen mit den EU-Einrichtungen – die interaktive Grafik gibt’s auch wahlweise als Taschen- oder Sockenaufdruck, oder gleich als Strampler, um die Zuständigkeiten bis zur Volljährigkeit zu verinnerlichen.
(Bild: Sven Herpig, Frederic Dutke über Stiftung Neue Verantwortung e. V.)
Und während Innen- und Digitalministerium dem Fazit, dass hier eindeutig zu viele Akteure im Spiel sind, „im Wesentlichen zustimmen“, geben sie den Schwarzen Peter noch einmal nach oben weiter. Viele ins Leben gerufene Institutionen wären durch EU-Vorgaben bedingt. Das klingt zwar durchaus nachvollziehbar (die EU-Institutionen bilden den großen Block im oberen Drittel der Grafik), wirkt aber auch wie das Eingeständnis, eine effektive Umsetzung verbaselt zu haben – siehe aktuell NIS2.
Der Fisch hat in dem Fall also nicht einen, sondern viele Köpfe, die aber alle nicht mehr so gut riechen. Wenn es mehr Sicherheits-Behörden als Sicherheits-Kontrolleure gibt, dann läuft da etwas falsch. Wer möchte, kann auch einmal in seinem Erfahrungsschatz kramen, wie bereit man wäre, ein Projekt mit 77 beteiligten Parteien und ohne einheitliche Datenbasis voranzutreiben. Digitalminister Wildberger drückte es kürzlich im Interview mit den Tagesthemen ganz treffend aus: „Alles wieder etwas zurückbauen, damit einfach wieder Sauerstoff reinkommt“. Das wäre sinnvoll. Und etwas mehr Sprit für das Notstromaggregat bitte auch.
Bei diesem Kommentar handelt es sich um das Editorial der neuen iX 8/2025, die am 25. Juli erscheint.
(kki)
-
Online Marketing & SEOvor 1 Monat
TikTok trackt CO₂ von Ads – und Mitarbeitende intern mit Ratings
-
Apps & Mobile Entwicklungvor 1 Monat
Metal Gear Solid Δ: Snake Eater: Ein Multiplayer-Modus für Fans von Versteckenspielen
-
Digital Business & Startupsvor 3 Wochen
80 % günstiger dank KI – Startup vereinfacht Klinikstudien: Pitchdeck hier
-
UX/UI & Webdesignvor 1 Monat
Philip Bürli › PAGE online
-
Datenschutz & Sicherheitvor 1 Monat
Geschichten aus dem DSC-Beirat: Einreisebeschränkungen und Zugriffsschranken
-
Social Mediavor 1 Monat
Aktuelle Trends, Studien und Statistiken
-
Social Mediavor 1 Monat
LinkedIn Feature-Update 2025: Aktuelle Neuigkeiten
-
Online Marketing & SEOvor 1 Monat
#WantaFanta: Warum Fanta und Nico Santos der Gen Z Wünsche erfüllen