Datenschutz & Sicherheit
Darknet Diaries Deutsch: Fahrraddieben auf der Spur – Teil 1
Dies ist der ersteTeil von „Fahrraddieben auf der Spur“. Im Englischen Original von Jack Rhysider trägt diese Episode den Namen „Bike Index“.
Weiterlesen nach der Anzeige
Die deutsche Produktion verantworten Isabel Grünewald und Marko Pauli von heise online. Der Podcast erscheint wöchentlich auf allen gängigen Podcast-Plattformen und kann hier abonniert werden.
JACK (Intro): Ich habe einmal den Facebook-Campus besucht. Er liegt in der Bay Area in der Nähe von San Francisco, in Kalifornien. Ja, ich bin einfach mal hingefahren und auf dem Gelände herumgelaufen. Ein Freund war dabei und musste mal, also suchten wir nach einem Weg hinein, fanden aber keinen Zugang zu den Gebäuden. Wir waren auch einfach neugierig, wie es drinnen aussieht. Aber während ich über den Facebook-Campus lief, sah ich jede Menge Fahrräder, die im Facebook-Blau lackiert waren und das Facebook-Logo trugen. Anscheinend ist es im Silicon Valley üblich, dass Tech-Giganten wie Google und Facebook solche Fahrräder auf ihrem Campus einfach frei für alle zur Verfügung stellen. Falls man schnell zu einem Meeting in einem anderen Gebäude muss, schwingt man sich einfach auf eines der Firmenräder und fährt, wohin man will. Das ist super praktisch, um sich auf den großen Firmengeländen zu bewegen.
Nun, da ich schon mal da war und diese Fahrräder da waren, beschloss ich, aufzusteigen und eine Runde zu drehen. Sie sind nicht abgeschlossen und haben keinen Code oder so etwas. Sie stehen einfach rum und jeder kann sie benutzen. Dutzende davon sind über den ganzen Campus verteilt. Also nahm ich mir eines und fuhr damit herum, sauste die Gehwege entlang, heizte um die Ecken und für einen kurzen Moment fühlte ich mich wie eine Facebook-Mitarbeiterin, die an anderen Leuten vorbeizischte, von denen ich annahm, dass sie ebenfalls Angestellte waren. Niemand sagte etwas, und ich ließ das Fahrrad einfach am anderen Ende des Campus stehen. Je mehr Zeit ich im Silicon Valley verbrachte, desto mehr dieser Fahrräder sah ich überall. Leute waren mit Fahrrädern vom Google-Campus zum HP-Campus gefahren, oder man sah Facebook-Fahrräder bei den Cisco-Büros.
Die Fahrräder waren über die ganze Stadt verstreut, und ich nehme an, das liegt daran, dass die Leute von Büro zu Büro fahren und vielleicht drinnen in einem Meeting oder so etwas sind und später zurückfahren. Aber was ich nicht verstehen konnte, war: Warum werden diese Fahrräder, die so nah an San Jose und der Bay Area einfach ohne Kette oder Schloss herumstehen, nicht sofort gestohlen, sobald sie unbeaufsichtigt stehen gelassen werden? Ich meine, ich bin nicht nur eines gefahren, sondern jede Menge. Es wurde zu einer Gewohnheit. Jedes Mal, wenn ich eines sah, stieg ich für eine kleine Spritztour auf. Wenn ich also so einfach aufsteigen und wegfahren konnte, wohin ich wollte, was hält dann irgendjemanden davon ab, sie einfach alle zu stehlen?
Das geklaute Cannondale – wie alles begann
JACK: Ein Hinweis zum Inhalt: Da viele von euch es schätzen, wenn ich euch vorwarne, dass geflucht wird – in dieser Folge wird eine Menge geflucht. Also, vielleicht, ich weiß nicht, hört mit Kopfhörern zu oder was auch immer ihr tut, wenn in der Sendung Schimpfwörter vorkommen. Seid ihr bereit?
BRYAN: Mm-hm.
Weiterlesen nach der Anzeige
JACK: Welchen Namen sollen wir für dich verwenden?
BRYAN: Bryan ist okay, so cool bin ich jetzt nicht, dass ich einen Decknamen habe.
JACK: Bryan, wurde dir schon mal ein Fahrrad gestohlen?
BRYAN: Oh ja
JACK: Erzähl mir davon.
BRYAN: Ah, das Schlimmste war, ja, ich erinnere mich mit großem Schmerz daran, das Schlimmste war der Diebstahl meines Cannondale M300, ein Mountainbike. Eines der ersten Räder, für das ich ordentlich Geld ausgegeben hatte. Ich war an der University of Arizona, hab in ner kleinen, ziemlich schäbigen, schlauchförmigen Wohnung gewohnt, alles wurde vorne im Eingangsbereich gelagert. Die Dusche war ganz hinten. Jedenfalls, eines Tages kam ich nach Hause, ging duschen und als ich wieder in den vorderen Teil der Wohnung kam, dachte ich mir: Öh, irgendetwas ist hier anders. Und tatsächlich war jemand durch die Vordertür gekommen, während ich unter der Dusche stand …
JACK: Was?
BRYAN: … und hat mich ausgeraubt, das Fahrrad mitgenommen und war damit abgehauen.
JACK: Während du geduscht hast?
BRYAN: Während ich geduscht habe.
JACK: Wie ist das möglich?
BRYAN: Ich weiß es nicht, aber das war das eine – und es war eines von vielen Rädern, aber das hat mir endgültig den Rest gegeben. Und bis heute, immer wenn ich ein Cannondale M300 die Straße entlangfahren sehe, denke ich: Mistkerl. Ja, das sitzt wirklich tief.
JACK: Ich kann nicht glauben, dass jemand einfach in deine Wohnung gekommen ist, um sowas zu machen, während du geduscht hast.
BRYAN: Ja, das hat wehgetan.
JACK: Hast du versucht, das Fahrrad zu finden?
BRYAN: Ja, habe ich.
JACK: Wo hast du gesucht?
BRYAN: Na ja, man schaut sich um. Man schaut sich vor Ort um. Wir wussten so ungefähr, wo die zwielichtigen Ecken waren, und jedes Mal, wenn dir so etwas gestohlen wurde und du unterwegs bist und eines siehst, das auch nur annähernd die gleiche Farbe hat – da stellen sich dir die Nackenhaare auf und du denkst immer: Ist es das? Ist es das? Du schaust es dir genauer an, aber es gab da in dem Fall nicht viel. Die Kleinanzeigenseite Craigslist hab ich damals beobachtet. Man konnte mit lokalen Fahrradläden sprechen und einfach losziehen und nach dem verdammten Ding suchen, aber …
JACK: Was ist mit der Polizei?
BRYAN: Das war nicht wirklich ne Option. Das ist überhaupt so’ne Sache in Uni-Städten – es gibt die Campus-Polizei und es gibt die offizielle Polizei der Stadt. Ich habe es bei der Campus-Polizei gemeldet, die meinten aber, als ich fragte, was denn eigentlich passiert, wenn es die Stadtpolizei findet, dass das nicht passieren wird, solange ich’s denen nicht auch melde. Es sind zwei getrennte Systeme, zwei, die nicht miteinander kommunizieren – was blöd ist.
JACK: Bryan war frustriert, dass es für ihn kaum oder gar keine Hilfe gab, und er wusste, dass er nicht der Einzige war, dem ein Fahrrad gestohlen wurde. Viele Leute müssen sich ebenfalls so frustriert fühlen. Was kann man schon tun? Zu jedem Fahrrad- und Pfandleihgeschäft in der Stadt gehen, ihnen die Seriennummer geben und sagen: „Hey, ruft mich an, wenn jemand versucht, euch dieses Fahrrad zu verkaufen“? Und dann die Polizei und die Campus-Polizei anrufen und in der ganzen Stadt Plakate aufhängen? Es ist wirklich schwer, die Info zu verbreiten, dass einem das Fahrrad gestohlen wurde, und so sieht es aus, falls ihr es seht. Da muss es doch sicher eine bessere Lösung für dieses Problem geben.
BRYAN: In gewisser Weise war dieses Fahrrad der Anstoß für die ganze Sache, die Entstehungsgeschichte. Es war so um die Jahrtausendwende rum, und ich hatte das Glück, genau da Informatik zu studieren. Es war alles neu und die ganze Technik gerade erst da, SMS z.B., es gab viele kostenlose Datenbanken, die Webentwicklung, bei der allerhand Leute mitmachten, PHP – es war einfach das perfekte Zusammentreffen von Umständen, wo jemand wie ich sagen konnte: „Ey, wisst ihr, was ich jetzt mache? Ich erstell einfach ne Datenbank für gestohlene Fahrräder. Warum nicht?“ Es war ja technisch gerade erst möglich geworden. Jeder, der halbwegs durchblickte, konnte sehen, dass Handys in fünf Jahren richtig abgehen würden. Man wusste es, selbst wenn man selbst am Anfang nur diese kleine, miese Webseite hatte. Ich startete also diese Seite namens Stolen Bicycle Registry.
Eine Datenbank gegen Fahrraddiebe
JACK: Was war das – was hat die gemacht?
BRYAN: Man konnte da einfach Marke, Modell, Farbe und Seriennummer eingeben, ein paar Fotos und eine Beschreibung hinzufügen. Es war damals echt die erste kostenlose, offene Datenbank für gestohlene Fahrräder. Es ging allein darum. Alles in dieser Datenbank ist gestohlen.
JACK: Seine Idee war: Wenn dein Fahrrad gestohlen wird, sag ihm Bescheid, und er wird versuchen, jedem in der Stadt zu sagen: „Hey, bevor ihr ein Fahrrad kauft, verkauft oder repariert, schaut zuerst in dieser Datenbank nach.“ Es ist also ein Ort, an dem man ein gestohlenes Fahrrad einfach melden und auch einfach nach gestohlenen Fahrrädern suchen kann. Fahrradläden und Pfandhäuser fingen an, diese Seite zu schätzen, denn sie konnten leicht überprüfen, ob ein Fahrrad als gestohlen gemeldet wurde. Es ist quasi unmöglich, bei jeder Polizeidienststelle im Land nachzufragen, ob dieses Fahrrad gestohlen ist. Aber wenn es eine nette, einfache Webseite gibt, die einem das sagt, macht das die Überprüfung einfacher. Aber würde das wirklich funktionieren? Würde tatsächlich jemand die Seite nutzen, um vor dem Kauf zu prüfen, ob ein Fahrrad gestohlen ist?
BRYAN: Jemand wollte ein Fahrrad über Craigslist kaufen, ließ vorher die Seriennummer durchlaufen, und es war auf meiner Seite gelistet.
JACK: Er konnte dem Opfer sagen: „Hey, jemand hat dein Fahrrad gefunden. Es wird jetzt gerade auf Craigslist angeboten. Schau mal.“ Daraufhin konnte das Opfer sein Fahrrad zurückbekommen.
BRYAN: Wir haben ein Fahrrad wiedergefunden.
JACK: Es hat funktioniert. Die Seite hat einem Besitzer sein gestohlenes Fahrrad zurückgebracht. Und tatsächlich, nicht lange danach wurde ein weiteres gestohlenes Fahrrad gefunden und zurückgegeben. Das war offensichtlich eine gute Idee. Die Seite funktionierte. Das gab Bryan neue Energie, um noch härter daran zu arbeiten, die Seite bekannt zu machen. Er war begeistert, dass er zwei Leuten geholfen hatte, ihre Fahrräder wiederzubekommen.
BRYAN: Ja, es war super, es war ziemlich großartig. Ich meine, damit lässt sich kein Geld verdienen, aber es bringt viel Karma. Es fühlt sich einfach gut an, etwas gebaut zu haben, das die Leute nutzen wollen und das gut funktioniert.
JACK: Er hat es so eingerichtet, dass man, wenn man ein gestohlenes Fahrrad fand, direkt die Person kontaktieren konnte, die es verloren hatte.
BRYAN: Damals konnte man auf der Seite einfach auf einen Button klicken und schreiben: „Hey, ich hab dein Fahrrad gefunden.“ Das schickte eine E-Mail an den Besitzer und stellte den Kontakt her. Ich will ja nicht persönlich jeden einzelnen dieser Fälle bearbeiten. Es ist einfach: Finder trifft Besitzer. Ihr regelt das dann unter euch.
JACK: Er betrieb die Seite weiter und half immer mehr Menschen, ihre Fahrräder wiederzufinden. Nach einer Weile wurde es aber viel Arbeit, um dranzubleiben. Die Seite brachte kein Geld ein. Es war reine Liebhaberei, und er brauchte irgendwie Hilfe.
BRYAN: Ich hab mich ja immer nur um die gestohlenen Räder gekümmert. Aber um 2013 rum gab es einen Fahrradmechaniker aus Chicago namens Seth Herr, der eine Kickstarter-Kampagne ins Leben gerufen hat, die sozusagen das Gegenteil war. Er arbeitete in Fahrradläden, und da verkauften sie jede Menge Fahrräder, und einige wurden gestohlen, dann kamen die Leute zurück, um an die Daten des Fahrrads zu kommen, für die Versicherung, dann mussten immer die Akten durchwühlt werden, Und Seth hat das so richtig genervt. Es war einfach ein echt mühseliger Prozess. Er lernte aber gerade die Programmiersprache Ruby und dann ging er die Sache von der anderen Seite an, er meinte: Lasst uns die die Räder doch einfach in dem Moment registrieren, in dem ich deine Kreditkarte durchziehe und es ‚piep‘ an meinem Kassensystem macht. In dem Moment soll das die Registrierung dann einfach festgehalten sein.“ Du musst dir keine Arbeit machen. Ich muss mir keine Arbeit machen. Es landet einfach in diesem System. Ich dachte mir: „Oh, coole Idee.“
Dann startete er also die Kickstarter-Kampagne und sammelte um die 50.000 Dollar ein. Und ich dachte mir: „Oh Mann, verdammter Mistkerl, ich mach das seit zehn Jahren, und mir hat nie jemand irgendwas gespendet.“ Ich hab ihn dann aber kontaktiert, wir haben uns getroffen und unterhalten und einfach gemerkt, dass wir eigentlich an derselben Sache arbeiten. Ich meinte zu ihm: Du machst den ersten Teil, den nervigen Teil, von meiner Warte aus, bei dem es darum geht, Menschen dazu zu bringen, etwas Neues zu tun, aber du machst es auf ne coole Art, indem du‘s in die Kassensysteme integrierst, und das bringt die Leute einfach zum Mitmachen. Ich mache all diese schräge, kleinteilige, furchtbare Drecksarbeit, die Jagd auf die Bösen – keiner von uns beiden scherte sich jeweils wirklich um den Teil des anderen. Er wollte nichts mit gestohlenen Sachen zu tun haben, und ich nichts mit der Vorab-Registrierung. Also haben wir uns zusammengetan, und vom ersten Tag an hat es funktioniert, es wurde erfolgreich, schrittweise haben wir’s dann zu einem immer besseren System ausgebaut.
JACK: Zusammen gründeten sie die Webseite bikeindex.org, und mit vereinten Kräften wurde ihre Reichweite viel größer, was bedeutete, dass mehr Leute die Seite nutzten und mehr gestohlene Fahrräder wiedergefunden wurden. Sobald Leute von dieser Seite erfuhren, gingen sie dorthin und prüften, ob ein Fahrrad gestohlen war, bevor sie es jemandem abkauften. Und wenn es einen Treffer gab, sagten sie dem Fahrradbesitzer: „Hey, ich glaube, ich habe dein Fahrrad gefunden.“
BRYAN: Zehn Jahre lang haben wir die Leute angebettelt: „Bitte nutzt dieses Ding. Wir sind eine gemeinnützige Organisation. Es ist kostenlos. Wir finden’s einfach gut, Menschen zu helfen. Ihr findet es gut, euren Kunden zu helfen, die Beklauten sind begeistert, ihre Fahrräder zurückzubekommen. Alle gewinnen damit. Es gibt keinen Haken. Wir mussten Blog-Posts schreiben, Vorbereitungen treffen, es war viel – denn es funktioniert nur, wenn eine Menge Leute es nutzen.
JACK: Ist das auf bestimmte Städte beschränkt, oder …?
BRYAN: Es existiert auf der ganzen Welt. Ich mein, der Fokus liegt schon auf den USA und Kanada, aber wir haben auch schon Fahrräder in Australien oder Belgien wiedergefunden. Es gab da einen echten Wendepunkt, ich würde sagen, das war vielleicht 2018, 2019, wo es nicht mehr hieß: „Bitte, bitte, bitte nutzt den Dienst.“
Es wurde zu: Wir haben so viele Daten und so viele Informationen – ich jage jetzt die Bösen. Wenn du zu mir kommst und sagst: „Mir wurde in Seattle mein Fahrrad gestohlen“, war es vorher so: „Bitte nutz Bike Index.“ Jetzt ist es so: „Das sind die vier Ganoven, die du im Auge behalten musst. Pass auf – das sind die Bösen in deiner Postleitzahl, und das weiß ich, weil wir diese Typen schon so lange beobachten.“
Wir hatten einfach so viele Daten darüber, wo Sachen gestohlen wurden, wo sie auftauchten, bei wem sie auftauchten, welche grenzüberschreitend waren – [Musik] es wechselte einfach von „Bitte nutz meinen Dienst“ zu „Ich bin jetzt tatsächlich in der Lage, Muster zu erkennen – ich kann wirklich einige der Abläufe identifizieren.“
Das Szenario, das ich den Leuten immer erzähle, ist: Sagen wir, jemand raubt am Montag dein Haus aus. Bis Montagabend, bevor du überhaupt eine Anzeige bei der Polizei erstatten kannst, je nachdem, in welcher Stadt du bist, ist all dein Kram schon irgendwo zum Verkauf, normalerweise online. Es ist auf ner Kleinanzeigenseite, es ist auf dem Facebook Marketplace oder auf irgendeiner anderen, womöglich zwielichtigen Verkaufs-App. Sie nehmen ja oft alles mit, deine Computer, deine Fahrräder, einfach alles.
Jemand scrollt dann durch eine Kleinanzeigen-App und sieht: „ProllPeter420Bongmeister7 hat all diese Sachen zum Verkauf. Und das da ist, glaube ich, dein Fahrrad.“ Dann geht der zu Bike-Index, schickt ne Nachricht, dass man gerade diesen super-zwielichtigen Typen bei den Kleinanzeigen gesehen hat, und es sieht so aus, als hätte er dein Fahrrad, du hattest ja eines gemeldet und es sieht genau so aus.“ Dann ruft das Opfer des Diebstahls die Kleinanzeigenseite auf und sagt: „Oh ja, das ist mein Fahrrad, aber nicht nur das, da ist auch all mein anderer Kram. Das ist der Typ, der mich ausgeraubt hat.“ Man ist noch nicht mal dazu gekommen, eine Anzeige bei der Polizei zu erstatten.
Manchmal rufen die Opfer dann die Polizei an, und die sagen: „Ja, lasst uns den Kerl holen.“ Boom, alles wird erledigt, und alle sind zum Abendessen wieder da, und es ist ein großartiger Tag, und dann …
JACK: Das muss ein irre tolles Gefühl sein– du kommst nach Hause, merkst, dass deine Sachen gestohlen wurden, und denkst: „Oh mein Gott, oh mein Gott, was soll ich machen?“ Du schaust auf dein Handy und da steht: „Hey, ich glaube, ich hab Dein Zeug gefunden.“ Und du denkst: „Ich habe es doch noch nicht einmal jemandem erzählt.“
BRYAN: Die verrückteren Fälle allerdings sind die, bei denen wir Einbrecher geschnappt haben, bevor die Opfer überhaupt wussten, dass sie ausgeraubt wurden.
JACK: Wow.
BRYAN: Also, der Fall, an den ich denke, das war in Seattle. Es war ein Colnago, ein sehr hochwertiges Fahrrad, das von diesem zwielichtigen Typen zum Verkauf angeboten wurde. Es war auf Bike Index gelistet, aber nicht als gestohlen markiert. Es war nur …
JACK: Also nur registriert.
BRYAN: … vorher registriert worden. Und ein Typ, ein Fahrradjäger, der dieser Sache nachging, fängt an, den Verkäufer zu durchleuchten, und dabei wird das Ganze immer interessanter. Irgendwann denkt er sich: „Ich ruf den Fahrradbesitzer einfach mal an.“ Er erreicht ihn dann auf Hawaii, im Urlaub. Und der, der das Fahrrad und die Sachen entdeckt hat, schickt ihm den Link zu der Kleinanzeigenseite. Und tatsächlich sagt der Mann auf Hawaii dann: „Das ist mein ganzes Zeug. Ich bin nicht Hause. Ich wusste nicht mal – rufen Sie die Polizei.“ Ja, ihm war also nicht mal klar, dass er ausgeraubt worden war. Die Typen hatten es buchstäblich in der Nacht zuvor getan und versuchten nun über die Kleinanzeigen, das Zeug so schnell wie möglich loszuwerden. Das ist dann echt super, ein großartiges Gefühl. Ein Volltreffer. Ich mein, ich hab sonst einen normalen Job und ich mag den, aber er ist jetzt nicht besonders, sagen wir mal die Seele bereichernd. Aber wenn ich ein oder zwei Fahrräder zurückbekomme, bin ich quasi im siebten Himmel, denn man zieht die Nadeln aus dem Heuhaufen.
Die Jagd auf Fahrraddiebe
JACK: Nachdem bikeindex.org ein Jahrzehnt lang bekannt gemacht wurde, hatte es nun seine eigene Energie und Dynamik. Es hatte die kritische Masse erreicht, die es braucht, um Hunderten und sogar Tausenden von Menschen zu helfen, ihre gestohlenen Fahrräder wiederzubekommen.
BRYAN: Jeder Fahrradmechaniker, jeder Fahrradladen, zumindest in den USA nutzt uns, und jede große Marke. Wir haben im Grunde versucht, uns an jedem Ort zu positionieren, an dem ein gestohlenes Rad landen könnte, sei es zur Wartung, zum Neu- oder Gebrauchtverkauf. Wir sind auch an ein Pfandleih-Suchsystem angebunden, sodass, wenn ich dich ausrauben würde und dein Fahrrad nach New York bringe und versuche, es da zu verpfänden, dass es bei uns auftauchen würde. Wir haben einfach jeden in der Rad-Community kontaktiert und gesagt: „Hier ist dieses kostenlose Ding. Bitte sei ein Knotenpunkt in unserem Netzwerk, um nach nach gestohlenen Rädern Ausschau zu halten und bei der Wiederbeschaffung zu helfen“ – und es funktioniert auch immer wieder.
Nehmen wir z.B. an, ein Dieb hat’n Platten, rollt in einen Fahrradladen und sagt da: „Können Sie mir bitte mein Fahrrad flicken?“ Die sagen dann: „Klar“, ziehen nebenbei ihr aber Handy raus, suchen das Rad per Nummer in Bike Index und sehen: Es ist gestohlen.
Wir haben Bike Index für die Gemeinschaft gebaut, wir halten alles zusammen. Jede einzelne Person in dem Rad-Ökosystem kann es nutzen. Wir werden dabei, wie gesagt, nicht bezahlt, wir verdienen kein Geld. Wir wollen nur die Fahrräder sichern und dafür sorgen, dass nicht irgendwelche Diebe Räder verkaufen und dann Tausende damit verdienen.
JACK: Aber auch wenn sie manchmal gestohlene Fahrräder fanden, konnten sie die nicht immer zurückbekommen. Zum Beispiel funktionierte es nicht jedes Mal, die Polizei anzurufen. Selbst wenn man beweisen konnte, dass es das eigene Fahrrad ist und hier die Person ist, die es verkauft, reichte das den Polizisten nicht aus, um das Fahrrad für einen zurückzuholen. Also sagten die Opfer zu Bryan: „Mann, was zum Teufel? Wie bekomme ich mein Fahrrad zurück?“
BRYAN: Was ich den Leuten immer sage, ist: „Okay, dieses Mal haben wir ihn nicht erwischt. Aber wir kriegen ihn beim nächsten Mal.“ Da kommen dann nämlich beobachtete Muster ins Spiel, wir können dem nächsten Opfer sagen: „Oh, wenn du die Polizei anrufst, sag ihnen auch, dass er mit diesen anderen – den ersten paar Leuten – in Verbindung steht.“ Das baut sozusagen einen Fall auf, aber es ermöglicht uns auch, Taktiken und Methoden zu überwachen. Zum Beispiel: Wie schnell postest du das Diebesgut, nachdem du jemanden ausgeraubt hast? Zeigst du Sachen im Hintergrund, die verraten, wo du bist?
Können wir nachforschen, wer du bist, und Informationen darüber finden, wo du sein könntest? Bist du so unclever, Fotos an einem Ort zu machen, der deinen tatsächlichen Standort verrät?
Einmal waren welche echt super lustig – die haben ein Foto von dem Fahrrad zum Verkauf vor ihrem Haus gemacht – das ist in Vancouver passiert – im Hintergrund des Bildes ist tatsächlich die Hausnummer zu sehen.
Wenn wir wissen, wo die Diebe wohnen, können wir dem Diebesopfer erzählen, dass dieser Typ seine Sachen hat. Wenn das Opfer sie wiedererkennt, wird der Dieb in eine Falle gelockt. Die Beklauten melden sich dann bei ihm mit: „Oh, ich bin total an dem Fahrrad interessiert, sieht super aus. Meine Frau würde gerne vorbeikommen“. Der Verkäufer will sich dann natürlich nicht bei sich zu Hause treffen, sondern bei irgendeinem Supermarkt in der Nähe.
Aber stattdessen sind die Beklauten etwa vierzig Minuten da und klopfen einfach direkt an seine Haustür, erschrecken ihn, er kann sich nur wundern: „Woher weißt du, wo ich wohne?“ Aber sie checken’s nie. Man erwischt sie unvorbereitet. Man bringt sie aus dem Konzept. Sie hatten keine Zeit, sich umzusehen, und es jagt ihnen einfach einen Höllenschrecken ein. Normalerweise übergeben sie das Rad dann einfach: „Hier, bitte.“
Die große Mehrheit der Diebe befindet sich übrigens im Umkreis von zwanzig Meilen vom Tatort. Sie verlassen nicht wirklich denselben Bundesstaat oder dieselbe Stadt. Viele Räder werden einfach ein paar Postleitzahlen weiter transportiert und sie versuchen, sie online zu verkaufen oder an ihre Freunde zu verhökern, oder …
JACK: Wo sind also die klassischen Orte, an denen man sie zum Verkauf sieht?
BRYAN: In den USA ist es meistens OfferUp, ohne Zweifel. Scheiß auf die Typen. Sie sind einfach eine chronische, schreckliche Plage – sie sind furchtbar.
JACK: Warum? Warum sagst du, scheiß auf die Typen?
BRYAN: Weil wir seit einem Jahrzehnt versuchen, sie dazu zu bringen, sich um die riesige Menge an gestohlenen Sachen zu kümmern, die bei ihnen angeboten werden. Wir konnten ihnen mit unserem System, mit all unseren Daten zeigen, dass ihre Plattform von vorne bis hinten missbraucht wird. Da treiben sich so viele Gauner rum.
Wenn sie nur etwas für Fahrräder einrichten würden, wie es für Autos schon lange existiert – da werden z.B. die Fahrgestellnummern registriert. Aber für Räder gibt es das nicht, dabei sind einige Fahrräder 10.000 Dollar oder mehr wert. Aber sie lassen es MethFürst472 verkaufen – in Sachen Fahrräder wird da nichts überprüft.
Es ist einfach ein zügellos missbrauchter Ort, und das schon so lange, und es ist ihnen einfach egal, und ich weiß, dass es ihnen egal ist, weil wir seit Jahren mit ihnen in Kontakt stehen und versuchen, sie dazu zu bringen, sich zu kümmern.
Also, OfferUp, Facebook Marketplace, und dann gibt es eine ganze Menge Kleinanzeigananbietern. Es gibt ein paar physische Märkte, aber das ist seltener. In Oakland gibt es zum Beispiel ein paar Flohmärkte, die klassischerweise als echte, super-verrückte Brutstätten voller geklauter Räder bekannt sind. Die große Mehrheit taucht wie gesagt ziemlich nah am eigenen Wohnort wieder auf.
JACK: Er lernte, dass es ein ganzes Lieferketten-Netzwerk für den Markt für gestohlene Fahrräder gibt. Viele gestohlene Fahrräder werden nicht von der Person weiterverkauft, die sie stiehlt. Sie werden gestohlen und dann zu einer Person gebracht, die sie den Dieben schnell abkauft, ohne Fragen zu stellen.
BRYAN: Wir hatten Leute, die brechen in ein Wohnhaus in der Innenstadt ein, fahren einfach nur zum Hafen und verkaufen es da. Das dauert vielleicht zwölf Minuten. Wir haben auch Fälle, wo sie es mitnehmen, verstecken und in den nächsten Tagen verkaufen oder das Ding nach South Portland fahren – zu dem Haus gehen, weil dieser Typ ihnen Drogen im Tausch für das Fahrrad gibt, nicht einmal in Geld umgerechnet. Einfach nur: „Hier sind Drogen. Danke für das Fahrrad.“ Das ist ein Typ, der weiß – du hast mir gerade ein 3.000-Dollar-Fahrrad gegeben. Ich habe dir Drogen im Wert von 30 Dollar gegeben. Ich kann das für einen Tausender verkaufen. Also, all sowas passiert wirklich.
JACK: Es sind aber nicht nur Drogensüchtige, die gestohlene Fahrräder verkaufen. Manche Leute sind einfach naiv.
BRYAN: Hast du dich jemals tief in die Welt der Reseller-Kultur begeben, wie r/flipping?
JACK: Nein.
BRYAN: Das ist im Grunde, du findest einen Artikel, den du vielleicht in Portland kaufen kannst. Sagen wir, so süße Pullover mit Katzen drauf oder so, und es gibt eine Dame, die sie in Portland herstellt. Du kaufst dir zehn davon und gibst 200 Dollar aus – dann stellst du sie auf Etsy und tust so, als wären sie von dir, und machst 2.000 Dollar. Es gibt viele Leute, die sowas machen – die betreiben das als Sport. Sie sagen: „Ich hab diese blöden Puppen bei Walmart für was auch immer gefunden, und dann online verkauft und 28 Dollar daran verdient.“ Es gibt da eine ganze Kultur um dieses Reselling, eine Sache kaufen, sie sofort auf irgendeinem Markt einstellen, weil sie auf diesem Markt nicht verfügbar ist oder was auch immer, und etwas Geld verdienen. Günstig kaufen, teuer verkaufen. Das ist alles. Das ist die ganze Reseller-Kultur.
Aber was daneben ist, ist, dass sie sich wirklich auf Fahrräder eingeschossen haben. Da haben wir also diese sechzehn-, siebzehnjährigen Kids, die nicht verstehen, dass irgendein Junkie ein 3.000-Dollar-Fahrrad auf OfferUp stellt, und es heißt: „Muss so schnell wie möglich weg. Melde dich in den nächsten fünf Stunden“, und es kostet da 200 Dollar. Der Jugendliche denkt sich: „Das kaufe ich für 200 Dollar, denn ich habe ja gerade recherchiert und gesehen, dass ich es für 3.000 Dollar verkaufen kann“ – und sie sind einfach naiv oder dumm, oder es ist ihnen einfach egal, dass es womöglich Diebesgut ist. Alles, was sie wissen, ist: Ich habe 200 Dollar für dieses Ding ausgegeben. Ich bin mir verdammt sicher, dass ich es für 3.000 Dollar verkaufen kann.
Wenn die Polizei nicht hilft, hilft die Community
JACK: Immer wieder entdeckte Bryan Muster, die genau enthüllten, wer die Fahrraddiebe in einer bestimmten Stadt sind.
BRYAN: Was typischerweise passiert, ist: Du wirst ausgeraubt, trägst dein Fahrrad in mein System ein, jemand findet es schließlich und sagt: „Hey Mann, ich glaube, ich habe dein Fahrrad gefunden. Es ist hier und bei diesem Typen.“ Zehn Minuten später kann ich sagen: „Oh ja, den Typen haben wir schon eine Million Mal gesehen.“
Ich kann aber nicht die Polizei anrufen und sagen: „Hey, der Räuber ist XYZ.“ Das Opfer muss es tun. Sie sind diejenigen, die das Verbrechen erlitten haben. Sie sind diejenigen mit der Aktenzeichennummer.
Aber ich kann ihnen die bereits gesammelten Informationen geben, z.B. wenn du anrufst, erwähne diesen oder jenen Namen. Wir können ihnen sozusagen die Zusatzinfos geben, die vielleicht den Ausschlag geben könnten, ob‘s heißt „Wir nehmen nur Ihre Anzeige auf“ oder „Ah, der Typ! Gegen den haben wir einen Haftbefehl. Lasst ihn uns holen.“
Aber tatsächlich ist das bei den Behörden so – weißt du, ich könnte dir Typen zeigen, die wir mit mehreren gestohlenen Gegenständen erwischt haben, doch es ist ihnen meist einfach scheißegal. Niemand kümmert sich darum.
JACK: Das ist so frustrierend – all diese Beweise zu haben, all diese Belege, dass das die Kerle sind und das ist genau, wo sie leben und all diese Dinge, und dann sagt die Polizei einfach …
BRYAN: Da sind Selfies mit lauter belastenden Gegenständen im Hintergrund, quasi eine große Leuchtreklame mit der Aufschrift: Lasst uns Verbrechen begehen. Sie verhalten sich echt nicht besonders schlau. Man bekommt sie eigentlich auf dem Silbertablett serviert, ach, es ist einfach wirklich ärgerlich.
JACK: Warum gibt es dabei solche Probleme?
BRYAN: Ich weiß es nicht. Es gibt einfach kein System, kein echtes Regelwerk, wie damit umzugehen ist.
JACK: Es gibt ein Rechtssystem.
BRYAN: Ja, es gibt die Polizei und ein Rechtssystem. Aber beide sind überlastet. Diese kleineren Geschichten sind einfach nicht so wichtig. Aber selbst wenn wir einem Polizisten den Tipp geben, dass es da diesen Typen gibt, der gestohlene Sachen im Wert von Hunderttausenden von Dollar hat und sie dann tatsächlich entscheiden, sich ihn zu holen – selbst dann behält dieser Type deinen OfferUp-Account. Die Polizei ruft nicht bei OfferUp an und sagt: „Ey, der Kerl ist ein Bösewicht. Sperrt ihn für eure Seite.“ – aber dieser Mechanismus existiert nicht, verstehst du. Wir selbst probieren’s erst gar nicht mehr, fuck it. Es ist klar ersichtlich, dass die Leute in böser Absicht handeln, dass sie Geld verdienen mit gestohlenen Waren. Wir leiten jetzt jedes einzelne Opfer an den Generalstaatsanwalt des Bundesstaates weiter.
Wir empfehlen zugleich eine Beschwerde einzulegen. Wenn Tausende von Leuten Beschwerden einreichen, kriegt dieser verdammte Generalstaatsanwalt vielleicht irgendwann seinen Arsch hoch und tut endlich etwas dagegen.
Aber versucht nicht, mit OfferUp oder dem Facebook Marketplace oder wo auch immer eure gestohlenen Sachen gelistet sind, zu interagieren. Die machen nichts, bestenfalls sperren sie den Account für ne Weile. Wir haben hier einen Typen gefunden, der Drogen verkauft hat, und er hatte ein gestohlenes Fahrrad, das einem Krebspatienten gestohlen wurde, einem 65-jährigen Krebspatienten mit einem blauen Tern-Bike – das ich mit einigen der lokalen Jungs hier zurückgeholt habe. Der Account des Typen war jetzt immer noch aktiv. Dabei verkaufte er Drogen auf der Plattform und er hatte das gestohlene Fahrrad, das wir ihm wieder abgenommen haben. Wir haben Mails geschickt, wo drin stand, was los war.
Es gibt da keinen Mechanismus, um solcherart Bösewichte zu entfernen. Na klar, es gibt größere Probleme auf der Welt. Aber es ist einfach echt ungut, wenn wir ihnen einen Gefallen tun, weißt du? Man könnte ja denken, dass man den Brandstifter, Vergewaltiger, Mörder oder Dieb – eben diese echt bösen Jungs, denen wir da begegnen und von denen wir ihnen erzählen, man würde denken, dass sie doch ein Interesse haben könnten, etwas gegen sie tun. Aber tatsächlich existiert das nicht.
JACK: Das Verrückte ist, wenn jemand ein gestohlenes Fahrrad bei der Polizei meldet, sagt die Polizei oft: „Gehen Sie zu bikeindex.org und registrieren Sie Ihr Fahrrad.“ Aber wenn Bike Index dann der Polizei meldet: „Hey, wir haben den Dieb gefunden“, ignoriert die Polizei sie einfach.
BRYAN: Wir haben einige kanadische Partner, die phänomenal sind, und ich will nicht stereotypisieren, weil man das ja immer über Kanadier sagt, aber sie sind echt super nett. Sie machen ihren Job und sind wirklich engagiert. Und dann haben wir es hier mit amerikanischen Städten zu tun, denen es einfach scheißegal ist. Sie lassen sich nicht stören. Das ist ein Unterschied wie Tag und Nacht. Es gibt da ein paar Beamte, die typischerweise selbst Radfahrer sind, Triathleten oder Wettkampffahrer oder Downhill-Fahrer. Hier und da gibt es da dann mal einen, der sich kümmert, aber insgesamt gesehen, nein, es interessiert niemanden.
JACK: Hier wird dein Dienst also noch wichtiger, denn das ist ja wie Selbstjustiz.
BRYAN: Ja, manchmal. Manches ist super einfach, so Fälle wie, dieser Junge da hat dein gestohlenes Fahrrad gekauft, um es weiterzuverkaufen, um damit Profit zu machen. Wir sagen dann einfach, triff dich mit ihm, verpass ihm eine verbale Abreibung und sag ihm, er soll kein Idiot sein und hol dir dein Fahrrad zurück. Aber wir geben den Leuten auch anderen Rat: „Den Kerl hier haben wir überprüft; und er hat jemanden ermordet. Gib das Fahrrad lieber auf. Nimm den Verlust hin und deine Versicherung in Anspruch, wenn du eine hast. Bei dem solltest du lieber an die Haustür klopfen, er hat echt jemanden umgebracht.
JACK: Die Seite funktioniert so: Opfer geben die Details ihres Fahrrads in die Datenbank ein, wie Farbe, Beschreibung, Seriennummer, alles, was sie haben. Fotos davon sind auch gut. Dann hinterlassen sie ihre Kontaktdaten, E-Mail und manchmal eine Telefonnummer für SMS, mit der Bitte: „Wenn ihr mein Fahrrad seht, lasst es mich wissen.“ Aber das System ist so eingerichtet, dass Bryan alle E-Mails sehen kann, die über die Seite gesendet werden. So kann er sich ab und zu einschalten und alles hinzufügen, was er darüber wissen könnte.
Eine heiße Spur nach Mexiko
BRYAN: 2020, ich arbeite in meinem Keller, überstehe Covid. Mir ist etwas langweilig. Im Sommer 2020 gab’s echt viel Zeit totzuschlagen. Dann kommt ne E-Mail über die Seite rein, gerichtet an einen Nutzer. „Hallo, mein Name ist soundso. Ich bin ein Radfahrer aus Mexiko. Tut mir wirklich leid, Ihnen mitteilen zu müssen, dass Ihr Fahrrad in Mexiko ist. Das Fahrrad wird über eine Facebook-Seite verkauft“, und sie verlinken sie zu einem Typen. „Hier finden Sie Ihr Fahrrad mit dem FOX Transfer-Sattel, der in einem aktuellen Beitrag gepostet wurde. Ich hoffe, diese Information hilft Ihnen. Ich habe übrigens viele weitere Nachrichten an andere gemeldete Räder auf dieser Seite gesendet. Dieser Mistkerl verkauft nur gestohlene Fahrräder, und alle stammen aus Ihrer Gegend. Hoffe, Sie können es wiederbekommen.“
JACK: Dem Opfer wurde sein Fahrrad in der Bay Area gestohlen, in der Nähe von San Francisco. Sein gestohlenes Fahrrad wurde dann in Mexiko auf Facebook zum Verkauf angeboten. Das war nicht die einzige E-Mail. Bryan sah fünf weitere E-Mails von demselben Mann, der verschiedene Opfer benachrichtigte und ihnen allen mitteilte, dass ihr Fahrrad jetzt in Mexiko zum Verkauf stehe. Das fand Bryan seltsam. Er hatte so etwas noch nie über die Grenze gehen sehen.
BRYAN: Weißt du, wir haben ab und zu gesehen, dass sie über die Grenze gehen, aber fünf auf einmal, so boom, boom, boom, alle vom selben Ort, alle aus derselben Gegend – und in der Minute, als wir uns diesen Kerl ansahen, war es einfach nur Treffer, Treffer, Treffer.
JACK: Was er meint, ist, dass er sich die anderen Angebote des Mannes angesehen hat. Er hatte auch andere Fahrräder zum Verkauf, und als Bryan Bike Index durchsuchte, fand er einen Treffer nach dem anderen. Es waren nicht nur fünf Fahrräder. Auf dieser Facebook-Seite wurden viele gestohlene Fahrräder zum Verkauf angeboten, und sie waren alle aus der Bay Area gestohlen worden. Also schrieb einer der Leute, dessen Fahrrad gestohlen worden war, diesem Facebook-Verkäufer in Mexiko. So nach dem Motto: „Hey, du Arsch, du hast mein gestohlenes Fahrrad. Gib es zurück.“
BRYAN: Der Verkäufer hat auf Facebook diese Funktion genutzt, mit der man seine Seite regional sperren kann – man kann im Grunde sagen: „Ich möchte nur, dass Leute aus diesen Ländern meine Seite sehen können.“ Also dachte sich dieser Typ: „Mist, ich habe diese Amerikaner, die sauer auf mich sind.“ Er hat die Seite regional auf Mexiko beschränkt.
JACK: Eine Zeit lang dachte Bryan also, der Typ hätte das Angebot gelöscht, weil es nicht mehr sichtbar war. Aber dann kam jemand auf die Idee, ein VPN zu benutzen, sich nach Mexiko zu verbinden und zu sehen, ob die Angebote noch sichtbar waren. Ja, die Fahrräder standen immer noch zum Verkauf, und man konnte sehen, dass zu diesem Zeitpunkt sogar noch mehr Fahrräder gelistet waren, und auch die waren aus der Bay Area gestohlen.
BRYAN: Wir versuchten gerade, uns einen Reim darauf zu machen – was ist das? Ist das derjenige – kommt er tatsächlich hierher und raubt diese Leute aus? Wer ist das? Warum hat er so viele? Das hat eine ganze Reihe von Dominosteinen ins Rollen gebracht, und man muss es so sagen: das waren die nächsten vier Jahre meines Lebens.
Hier endet der erste von zwei Teilen der Geschichte von Bryan und seinem Bike Index. In der nächsten Woche kommt Teil 2. Darin wird deutlich, dass dieser Dieb da in Mexiko von einem ganz besonderen Kaliber ist und ihr werdet sehen, wie sich Bryan auf seine Spur begibt, um ihn irgendwie zu fassen.
Die Episode wurde im englischen Original von Jack Rhysider erstellt. Den Text haben Isabel Grünewald und Marko Pauli übersetzt und gesprochen.
(igr)
Datenschutz & Sicherheit
„GPUBreach“: Systemübernahme mit Bitflips in der Nvidia-GPU
Rowhammer-Angriffe waren 2015 ein Novum: Durch gezieltes häufiges Lesen lassen sich benachbarte Speicherzellen in DRAM kippen. Das klingt erst mal unspektakulär, lässt sich jedoch zum unbefugten Zugriff auf Speicherbereiche missbrauchen und etwa beim Hauptprozessor zum Verschaffen von root-Rechten oder Ausbrechen aus einer Sandbox missbrauchen. Derartige hardwarebasierte Angriffe haben IT-Forscher inzwischen häufiger aufgespürt, und das Problem ist schlimmer, als zunächst angenommen wurde. Im vergangenen Jahr zeigten IT-Forscher Rowhammer-Angriffe auch auf den inzwischen populären GPUs und nannten das GPUHammer. Nun zeigen IT-Sicherheitsforscher, dass sich mit GPUHammer-Angriffen nicht nur Daten zerstören und so etwa Machine Learning durch Manipulation der Gewichte kompromittieren lassen, sondern echte Rechteausweitung erreichen lässt.
Weiterlesen nach der Anzeige
Auf einer eigens dafür angelegten Webseite stellen sie ihren „GPUBreach“ genannten Angriff vor. In der knappen Zusammenfassung erklären sie, dass durch Störung der GPU-Page-Tables CUDA-Kernel ohne weiterreichende Rechte beliebigen GPU-Speicher lesen und beschreiben könne. Das wiederum lasse sich mit neu entdeckten Speicherschutzfehlern der Nvidia-Treiber CPU-seitig verknüpfen. Im Ergebnis kommen die Angreifer so an eine root-Shell, mit der sich das System vollständig kompromittieren lässt. Dazu müsse die IOMMU (Input-Output Memory Management Unit: CPU-Schnittstelle zur Adressübersetzung mit gleichzeitigem DMA-Zugriffsschutz etwa für die Anbindung von PCIe-Geräten) nicht deaktiviert werden, was den Angriff gefährlicher mache.
Mehrere Probleme durch GPUBreach
Die IT-Forscher geben an, dass sie auf einer Nvidia RTX A6000 mit GDDR6-RAM mehrere Angriffe zeigen können. Dazu gehören die GPU-seitige Rechteausweitung, wodurch auch Szenarien mit mehreren Prozessen und Zeit-Teilung (Time-sliced Sharing) betroffen sind. Das Auslesen von geheimen Schlüsseln etwa für Post-Quanten-Kryptografie mit der Nvidia-cuPQC-Bibliothek soll möglich sein. Die Wissenschaftler geben an, dass sie die LLM-Genauigkeit von 80 Prozent auf 0 durch Speichermanipulationen herabsetzen können. Die Rechteausweitung auf der Host-CPU soll mit DMA-Zugriffen möglich sein, da Zugriffe auf Puffer des GPU-Treibers erfolgen. Dabei lässt sich der Treiberstatus stören und ein Fehler im Speicherschutz des Nvidia-Kernel-Treibers ausnutzen, um Schreibzugriff auf den Kernel zu erhalten, mit dem sich wiederum eine root-Shell öffnen lässt.
Zwei weitere GPU-Rowhammer-Angriffe sollen ebenfalls auf dem Symposium vorgestellt werden. Sie nennen sich GDDRHammer und GeForge. GDDRHammer ermöglicht jedoch keine Rechteausweitung zur root-Shell. GeForge könne das zwar auch erreichen, benötige dafür jedoch die Abschaltung der IOMMU, erläutern die IT-Forscher.
Reale Gefährdung
Die IT-Sicherheitsforscher haben Nvidia im Rahmen eines Responsible-Disclosure-Prozesses informiert und im Anschluss auch Google, AWS und Microsoft. Nvidia reagierte mit der Ankündigung einer möglichen Aktualisierung ihrer Sicherheitsmitteilung zur Abwehr von Rowhammer-Angriffen darauf. Google hat dafür eine Belohnung von 600 US-Dollar springen lassen. Um das in Relation zu setzen, sind hochriskante Sicherheitslücken in Google Chrome dem Unternehmen auch mal 43.000 US-Dollar wert. Die Gefahr durch GPUBreach schätzt Google daher nicht sonderlich hoch ein. Das Risiko solcher Schwachstellen ist meist in Cloud-Umgebungen am größten, wo sich Nutzer Rechnerressourcen mit anderen Unbekannten teilen. Unbefugte können die Angriffe dort für bösartige Zwecke missbrauchen und unbefugt auf fremde Ressourcen zugreifen.
Als Schutzmaßnahme hilft das Aktivieren von ECC für den Speicher. Wenn Angriffsmuster mehr als zwei Bits kippen können, was den IT-Forschern zufolge für DDR4- und DDR5-Systeme demonstriert wurde, hilft ECC jedoch auch nicht mehr. Insbesondere auf Laptops und Desktops ist ECC in der Regel ohnehin nicht verfügbar, sodass auf diesen Systemen derzeit kein Schutz besteht.
Weiterlesen nach der Anzeige
Links auf das umfassende PDF sowie Codebeispiele laufen derzeit noch ins Leere. Die IT-Forschergruppe will sie aktivieren, wenn sie auf dem 47. „IEEE-Symposium on Security & Privacy“ in Oakland die GPUBreach-Attacken vorgestellt haben, ab dem 13. April 2026.
(dmk)
Datenschutz & Sicherheit
„BlueHammer“: Zero-Day-Lücke in Windows verschafft erhöhte Rechte
Eine Zero-Day-Lücke in Windows verschafft Angreifern erweiterte Rechte im System. Der Entdecker hat ihr den Spitznamen „BlueHammer“ verpasst. Der anonyme mutmaßliche Entdecker hat auf einem eigens dafür eingerichteten Blog einen Link zu einem GitHub-Repository mit dem Handle-Namen „Nightmare Eclipse“ veröffentlicht, das als Proof-of-Concept den Quellcode zum „BlueHammer“-Exploit enthält. Der Entwickler will nicht erklären, wie der Exploit funktioniert: „Ihr Genies könnt das selbst herausfinden.“
Weiterlesen nach der Anzeige
Der renommierte IT-Sicherheitsforscher Will Dormann bestätigt auf Mastodon, dass der Exploit funktioniert. Er sei zwar nicht zu hundert Prozent verlässlich, aber gut genug. Dormann vermutet Frust mit dem Microsoft Security Response Center (MSRC) hinter den Umständen der Veröffentlichung. Früher sei mit dem MSRC eine exzellente Zusammenarbeit möglich gewesen. „Um Geld zu sparen, hat Microsoft die begabten Leute gefeuert, was nur noch Paragrafenreiter übrig ließ“. Er wäre nicht überrascht, wenn Microsoft den Fall des Berichterstatters geschlossen hat, weil der kein Video des Exploits übermittelt hat, was inzwischen offenbar eine Anforderung des MSRC sei.
Schwachstelle wohl durch Windows-Defender-Updates
Der Exploit scheint beim Update-Prozess des Windows Defender anzusetzen. Im weiteren Programmfluss setzt der Code dann ein neues Passwort und offenbar Rechte für den Benutzer mittels Zugriff auf die Security Account Manager (SAM)-Datenbank. Im Screenshot, den Will Dormann zum Beleg der Funktionsfähigkeit des Exploits mitliefert, ist auch ein Fenster „Windows Security“ mit einem Scan des Windows Defender zu sehen, was ebenfalls auf den Windows Defender als Einfallstor deutet. Dormann bestätigt das gegenüber BleepingComputer und erklärt, dass der Exploit eine „Time-of-Check Time-of-Use“-Schwachstelle (TOCTOU) und Dateipfad-Wirrungen missbrauche.
Der Exploit verschafft unter Windows 11 Systemrechte. Auf Windows Server haben andere Kommentatoren weniger Erfolg, Dormann zeigt aber auch da, dass Angreifer dadurch immer noch Administratorrechte erlangen können. Der Autor des PoCs räumt auf GitHub auch ein, dass der Code einige Bugs habe, wodurch er nicht funktionieren könne, die er möglicherweise später korrigieren würde.
Weiterlesen nach der Anzeige
Microsoft hat derzeit noch kein Update in petto, mit dem sich die Schwachstelle ausbessern ließe. Ein CVE-Schwachstelleneintrag liegt bislang ebenfalls noch nicht vor. Gegenüber BleepingComputer sagte ein Microsoft-Sprecher am Dienstag dieser Woche, dass das Unternehmen sich verpflichtet fühle, Schwachstellenberichten nachzugehen und betroffene Geräte zu aktualisieren, um Kunden so schnell wie möglich zu schützen. Zudem unterstütze Microsoft die koordinierte Schwachstellenveröffentlichung, die am Ende Kunden und IT-Sicherheitsforschern helfe.
Am März-Patchday hatte Microsoft bereits zwei Sicherheitslücken der Kategorie „Zero Day“ geschlossen. Unklar ist, ob die Entwickler sich bis zur kommenden Woche zum nächsten Patchday um die Sicherheitslücke kümmern.
(dmk)
Datenschutz & Sicherheit
Update-Status der Secure-Boot-Zertifikate in Windows-Sicherheit-App
Die Zeit drängt, die ersten Secure-Boot-Zertifikate von Microsoft laufen ab Juni 2026 ab. Die Verteilung der aktualisierten Zertifikate erfolgt schrittweise für Desktop-Systeme, bei Servern und in Unternehmensumgebungen müssen Admins dazu aktiv werden. Ab dieser Woche will Microsoft Updates für die Windows-Sicherheit-App verteilen, die danach den Status des Secure-Boot-Zertifikatsupdates auf Maschinen anzeigt.
Weiterlesen nach der Anzeige
Microsoft hat das kommende App-Update im Message-Center der Windows-Release-Health-Notizen angekündigt. Eine grüne, gelbe oder rote Markierung soll dann am Symbol von „Sicherer Start“ anzeigen, ob Maßnahmen nötig sind. Weitere Details liefert ein Support-Beitrag von Microsoft dazu. Auf verwalteten Maschinen deaktiviert Microsoft die Erweiterungen für Secure-Boot-Zertifikate standardmäßig. Auf Servern startet der Windows-Sicherheitsbenachrichtigungsdienst nicht automatisch. Wenn Admins hier Infos angezeigt bekommen möchten, müssen sie das erst aktivieren. Das gelingt durch das Anlegen des Registry-Schlüssels „HideSecureBootStates“ unter dem Zweig „HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Device security“. Bei „0“ zeigt die App den Secure-Boot-Zertifikat-Status, „1“ deaktiviert die Anzeige. Ist der Eintrag nicht vorhanden, wählt Windows demnach die Standardvorgabe.
Mehrphasige Warnstufen
Die erste Phase zeigt den Status lediglich unter der Gerätesicherheitsseite an, zudem lediglich als grün oder gelb, was für „Achtung“ stehen soll und sich von Nutzern durch Wegklicken in den grünen Status versetzen lässt. Das kommt für Windows 11 ab 23H2 und Windows Server 2025 ab dem 8. April 2026 als App-Update, für Windows 10 ab 22H2 und Windows Server 2019 und 2022 ab dem 14. April als kumulatives Update, offensichtlich zum Microsoft-Patchday.
Die Phase 2 bringt App-Benachrichtigungen für den Fall, dass Aktionen seitens der Nutzer oder Admins nötig werden oder wenn der Secure-Boot-Status nicht funktionsfähig ist. Der gelbe Status erlaubt weiterhin das Verwerfen als Option. Hinzu kommt für den kritischen Status „rot“ die Auswahl „Ich akzeptiere die Risiken, erinnere mich nicht erneut“. Das App-Update für die zweite Phase für Windows 11 und Server 2025 plant Microsoft am 16. Mai 2026, für Windows 10 und Server 2019 und 2022 visiert das Unternehmen das kumulative Patchday-Update am 13. Mai 2026 an.
Die Windows-Sicherheit-App lässt sich durch Eingabe des Namens im Startmenü oder über die Windows-Einstellungen, dort unter „Datenschutz und Sicherheit“ – „Windows-Sicherheit“ mit einem Klick auf die Schaltfläche „Windows-Sicherheit öffnen“ starten. Sie liefert einen umfassenden Überblick über den Status diverser Sicherheitskomponenten und -subsysteme von Windows. Unter „Gerätesicherheit“ ist der Bereich „Sicherer Start“ zu finden, wo die Markierung künftig zu finden ist.
Lange Vorbereitung
Weiterlesen nach der Anzeige
Microsoft hat Ende Juni 2025 angefangen, IT-Verantwortliche ebenso wie Windows-Nutzer und -Nutzerinnen auf den notwendigen Zertifikatsaustausch für Secure-Boot vorzubereiten. „Bereite dich auf das erste globale, großflächige Secure-Boot-Zertifikat-Update vor“, warnte Microsoft da. Die aktualisierten Secure-Boot-Zertifikate landen inzwischen mit eigenen Windows-Updates sowie seit den Windows-Update-Vorschauen aus dem Februar als Bestandteil von Windows-Updates zum regulären Microsoft-Patchday auf Windows-Rechnern.
(dmk)
-
Künstliche Intelligenzvor 2 Monaten
Top 10: Die beste kabellose Überwachungskamera im Test – Akku, WLAN, LTE & Solar
-
Social Mediavor 1 MonatCommunity Management und Zielgruppen-Analyse: Die besten Insights aus Blog und Podcast
-
Social Mediavor 2 MonatenCommunity Management zwischen Reichweite und Verantwortung
-
UX/UI & Webdesignvor 2 MonatenEindrucksvolle neue Identity für White Ribbon › PAGE online
-
Künstliche Intelligenzvor 3 MonatenAumovio: neue Displaykonzepte und Zentralrechner mit NXP‑Prozessor
-
Künstliche Intelligenzvor 3 MonateneHealth: iOS‑App zeigt Störungen in der Telematikinfrastruktur
-
Apps & Mobile Entwicklungvor 3 MonatenX3D² bestätigt: Der AMD Ryzen 9 9950X3D2 mit doppeltem 3D V-Cache kommt!
-
Entwicklung & Codevor 4 WochenCommunity-Protest erfolgreich: Galera bleibt Open Source in MariaDB
