Connect with us

Künstliche Intelligenz

Das Meldeportal in der AWS-Cloud: Warum nur, BSI?


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Das neue Meldeportal des BSI ist da. Es ist als zentrale, gesetzlich vorgesehene Plattform gedacht: zur Registrierung von NIS2-Einrichtungen ebenso wie zur Entgegennahme, Verarbeitung und Koordination von Meldungen – sowohl von KRITIS-Unternehmen, die dazu verpflichtet sind, als auch von anderen Personen. Das Portal nimmt sensible Daten der kritischsten Unternehmen Deutschlands entgegen und ist für diesen Zweck obligatorisch einzusetzen.

Weiterlesen nach der Anzeige


Ein Kommentar von Tobias Glemser

Ein Kommentar von Tobias Glemser

Tobias Glemser ist BSI-zertifizierter Penetrationstester und Geschäftsführer der secuvera GmbH. Seit über 20 Jahren arbeitet er in der Cybersicherheit. Privat ist er unter anderem bei OWASP engagiert.

Die Security-Bubble schreit auf. Der Grund? Das Portal wird bei AWS betrieben. Platt gesagt: Nein, das ist kein Zeichen für die Stärkung der eigenen Digitalindustrie. Und damit auch keines für das, was viele unter nationaler digitaler Souveränität verstehen. Alternativen am deutschen Markt gibt es zuhauf. Sich wie BSI-Präsidentin Claudia Plattner gegenüber heise online auf „eine passende Infrastruktur mit Sicherheitseigenschaften nach dem Stand der Technik“ zurückzuziehen, greift zu kurz.

Rein formal ist alles sauber. Die Datenschutzerklärung des Portals ist transparent und ausführlich. Wenn dort aber steht „Dadurch kann es zu einer Übermittlung der IP-Adresse in die USA kommen“ und gleichzeitig freiwillige Meldungen „einfach und anonym“ erfolgen sollen, zucke ich innerlich zurück. Muss das wirklich sein? Ich denke nicht. Alternativen – siehe oben – gibt es doch.

Souverän oder autark

Der Fairness halber: Das BSI beziehungsweise seine Präsidentin unterscheidet schon seit Längerem zwischen „digital souverän“ und „digital autark“. Internationale Produkte sollen daher so eingebettet werden können, dass „Datenabfluss technisch unmöglich“ ist, wie Frau Plattner im BSI-Cybernation-Blog zur digitalen Souveränität schreibt. Das ist ein nachvollziehbarer Ansatz.

Warum im Falle des Portals nicht konsequent der erste Punkt der Doppelstrategie, den „EU-Markt und die eigene Digitalindustrie“ zu stärken, verfolgt wurde, bleibt bislang unkommentiert. Hier wünsche ich mir dringend einen Nachsatz bei dem zentralen und gesetzlich verpflichtenden Portal für KRITIS-Betreiber.

Auch technisch wirft die Umsetzung Fragen auf, selbst wenn eine Analyse naturgemäß nur eingeschränkt möglich ist. Warum etwa die security.txt nicht RFC-konform implementiert wurde – immerhin Stand der Technik, den das BSI in seinen FAQ für den Umgang mit Schwachstellen selbst empfiehlt –, erschließt sich mir nicht. Offensichtlich kommt zudem die Web Application Firewall (WAF) von AWS zum Einsatz.

Weiterlesen nach der Anzeige

„Datenabfluss technisch unmöglich“?

Üblicherweise terminiert eine WAF den verschlüsselten Datenstrom, damit sie den Inhalt analysieren kann. Auch die Vorfallsmeldung eines KRITIS-Unternehmens. Wie unter diesen Voraussetzungen sichergestellt wird, dass ein „Datenabfluss technisch unmöglich“ ist, interessiert mich als Informatiker brennend. Gleiches gilt für die Persistenz der Daten auf AWS und ihre Weiterverarbeitung in nachgelagerten Fachverfahren.

Das bestehende Portal MIP-2 wird übrigens von der Swiss IT Security Deutschland GmbH betrieben – immerhin in Schweizer Hand – und steht KRITIS-Betreibern „voraussichtlich sogar bis 31.12.2026“ zur Verfügung. Funfact am Rande: Im Zuge der Recherche für diese Zeilen habe ich eine klassische Webschwachstelle in MIP-2 gefunden. Gemeldet habe ich sie lieber PGP-verschlüsselt per E-Mail statt über das neue Portal. Nur wenn ich mich selbst darum kümmere, ist technisch sichergestellt, dass ein „Datenabfluss technisch unmöglich“ bleibt. Schade eigentlich.

Dieser Kommentar ist das Editorial zur neuen iX-Ausgabe 02/2026, die ab 22. Januar 2026 erhältlich ist.


(axk)



Source link

Verwandte Themen:
Weiterlesen

Künstliche Intelligenz

Wetterballon im Selbstbau | c’t uplink


Es ist ein Bastelprojekt der etwas größeren Art, und es will gut vorbereitet werden: Es geht um Herstellung, Bestückung und Start eines eigenen Wetterballons. Damit kann man nicht nur einiges an Messdaten sammeln. Man bekommt auch tolle Videoaufnahmen aus den oberen Schichten der Erdatmosphäre.

Weiterlesen nach der Anzeige


Logo mit dem Schriftzug "c't uplink – der Podcast aus Nerdistan"

Logo mit dem Schriftzug "c't uplink – der Podcast aus Nerdistan"

Den wöchentlichen c’t-Podcast c’t uplink gibt es …

In dieser Remote aufgezeichneten Folge des c’t uplink erzählen wir, was es vorab zu beachten und zu beantragen gilt, welche Technik wir dem Ballon mitgegeben haben, und wo wir ihn nach der Landung wieder eingesammelt haben.

Zu Gast: Andrijan Möcker, Anne-Dorette Ziems
Host: Jan Schüßler
Produktion: Tobias Reimer

► Teil 1 der Wetterballon-Videostrecke von annesnerdnight und heise & c’t:

► Mehr zum Thema Wetterballon lesen Sie bei heise+ (€):
https://www.heise.de/ratgeber/Ein-Myonendetektor-zum-Selberbauen-11102499.html?seite=all
https://www.heise.de/ratgeber/Einen-eigenen-Wetterballon-basteln-und-starten-10250817.html

► sowie in c’t (€):
https://www.heise.de/select/ct/2026/6/2533809272716342850
https://www.heise.de/select/ct/2025/4/2432508255737374520

Weiterlesen nach der Anzeige

In unserem WhatsApp-Kanal sortieren Torsten und Jan aus der Chefredaktion das Geschehen in der IT-Welt, fassen das Wichtigste zusammen und werfen einen Blick auf das, was unsere Kollegen gerade so vorbereiten.

► c’t Magazin
► c’t auf Mastodon
► c’t auf Instagram
► c’t auf Facebook
► c’t auf Bluesky
► c’t auf Threads
► c’t auf Papier: überall, wo es Zeitschriften gibt!


(jss)





Source link

Weiterlesen

Künstliche Intelligenz

Aufstellort Solar-Batteriespeicher: Was bei Lebensdauer und Sicherheit zählt


Wer sich einen Batteriespeicher zur PV-Anlage anschafft, steht vor einer praktischen Frage: Wohin mit ihm? Meist hat man im Einfamilienhaus gar nicht so viel Spielraum und die Entscheidung fällt häufig zwischen (Heizungs-)Keller, Garage und Hauswirtschaftsraum.

Jeder dieser Orte hat seine Vorzüge und Nachteile. Um es gleich damit aufzuräumen: Das Brandrisiko eines Heimspeichers liegt statistisch im Bereich anderer Haushaltsgeräte und deutlich unter dem eines Autos. Doch der Aufstellort entscheidet nicht nur mit über die Sicherheit, sondern ist auch für die Lebensdauer der Batterie relevant.

  • Das Brandrisiko von Heimspeichern ist sehr gering und nicht höher als bei anderen Haushaltsgeräten.
  • Qualität ist der beste Schutz: Ein Batteriebrand entsteht durch eine Verkettung technischer Fehler. Hochwertige Systeme mit präziser Sensorik und Hersteller-Monitoring sind entscheidend.
  • Entgegen hartnäckiger Mythen und teils fehlerhafter Bedienungsanleitungen ist die Feuerwehr auf Heimspeicher-Havarien vorbereitet und kühlt die Anlagen im Ernstfall regulär mit Wasser.
  • Ein ebenerdiger, gut belüfteter Raum ohne zusätzliche Brandlasten ist sicherer als der Keller (schwerer Abtransport, Überflutungsgefahr), wobei ein eigens abgetrennter Batterieraum den Idealzustand darstellt.
  • Da extreme Kälte beim Laden gefährlich ist und Hitze die Batteriealterung massiv beschleunigt, bietet ein moderat temperierter Raum im Haus den besten Kompromiss aus Sicherheit und Effizienz.

Der Artikel zeigt auf, wie man die Risiken durch die Wahl der richtigen Produktqualität minimiert, warum Mythen über die Feuerwehr falsch sind und wie man zu einem Kompromiss zwischen Brandschutz und optimalen Betriebsbedingungen gelangen kann.


Das war die Leseprobe unseres heise-Plus-Artikels „Aufstellort Solar-Batteriespeicher: Was bei Lebensdauer und Sicherheit zählt“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.



Source link

Weiterlesen

Künstliche Intelligenz

London: Bei Cyberangriff auf Verkehrsbehörde zehn Millionen Datensätze gestohlen


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Bei einem Cyberangriff auf Transport for London (TfL) wurden 2024 sensible Daten von etwa zehn Millionen Kundinnen und Kunden entwendet. Die Behörde ist für das Verkehrssystem in London zuständig. Unter den gestohlenen Daten seien Namen, E-Mail-Adressen, Telefonnummern und Adressen, berichtet die BBC.

Weiterlesen nach der Anzeige

Eine anonyme Person hat den britischen Nachrichtensender demnach kontaktiert und ihm die Daten zur Verfügung gestellt. Sie habe zuvor eine Kopie der gestohlenen TfL-Datenbank erlangt. Die BBC gibt an, die Daten untersucht und anschließend gelöscht zu haben. Die rund 15 Millionen Zeilen hätten schätzungsweise Informationen von zehn Millionen TfL-Kundinnen und Kunden enthalten.

Der Angriff von 2024 sei auf die kriminelle Gruppierung „Scattered Spider“ zurückzuführen, so die BBC. Unter anderem seien viele Informationstafeln und Online-Dienste ausgefallen, was einen Schaden von 39 Millionen britischen Pfund (umgerechnet knapp 45 Millionen Euro) verursacht hätte. Es sei einer der größten Hackerangriffe in der britischen Geschichte gewesen. Die mutmaßlichen Täter, zwei junge Erwachsene, stehen in Großbritannien vor Gericht.

Die BBC wirft TfL vor, unzureichend auf den Cyberangriff reagiert zu haben. Die Behörde habe nicht genug getan, um betroffene Kundinnen und Kunden zu warnen. Mehrere Millionen von ihnen hätten keine Warnung erhalten oder diese nicht zur Kenntnis genommen. Es sei jedoch wahrscheinlich, dass die gestohlenen Daten noch nicht dafür verwendet wurden, weitere Angriffe durchzuführen, berichtet die BBC unter Berufung auf die anonyme Quelle.


(mho)



Source link

Weiterlesen

Beliebt