Connect with us

Datenschutz & Sicherheit

Der Fall Collien Fernandes ist eine Chance


Von ungefähr 13.000 Menschen sprachen die Veranstalter*innen, von 6.700 die Polizei. Am Sonntag protestierten Tausende vor dem Brandenburger Tor in Berlin für besseren Schutz vor digitaler Gewalt. Sie zeigten Plakate mit der Aufschrift: „Nicht wütend genug“ oder „Gewalt gegen Frauen gefährdet Demokratie“. Der Grund dafür ist der Fall der Schauspielerin Collien Fernandes.

Seit Jahren kursieren von ihr nicht-einvernehmliche sexuelle Deepfakes. Bereits 2024 erschien eine ZDF-Dokumentation mit Fernandes: Jagd nach den Tätern. Seit einem Bericht des Spiegel sind ihre Erfahrungen wieder in den Schlagzeilen, und Reaktionen aus Politik und Zivilgesellschaft überschlagen sich. Früher als geplant will das Justizministerium ein Gesetz vorlegen zum Schutz vor digitaler Gewalt.

Eine wertvolle Gelegenheit

Mit dem Fall Fernandes bekommt ein Thema Momentum, das lange unter dem Radar der breiten Öffentlichkeit war. Rund ein Vierteljahrhundert nach den ersten Spuren des Begriffs steht digitale Gewalt in Deutschland wie nie zuvor im Fokus. Verschiedene Formen digitaler und häuslicher Gewalt bekommen mit Collien Fernandes ein Gesicht und eine Fürsprecherin. Damit bietet sich eine seltene und wertvolle Gelegenheit, Betroffenen eine Stimme zu geben – und ihren politischen Forderungen.

Ein solches politisches Momentum ist mächtig, es lauern aber zwei Gefahren. Erstens kann das Momentum schnell wieder verpuffen, denn Nachrichtenzyklen sind oft kurzlebig. Zweitens kann sich das Momentum an Forderungen festmachen, die Betroffenen wenig oder nur scheinbar helfen.

Innerhalb kürzester Zeit hat sich Bundesjustizministerin Stefanie Hubig (SPD) geäußert. Sie hat auf ihre – bereits länger laufende – Arbeit an einem Gesetz gegen digitale Gewalt verwiesen. Geplant ist unter anderem eine neue Strafbarkeit für sexualisierte Deepfakes, die seit der neuen EU-Richtlinie zur Bekämpfung von Gewalt gegen Frauen allerdings ohnehin Pflicht ist. Vor klaffenden Lücken beim Schutz vor bildbasierter Gewalt warnen Fachleute bereits seit Jahren. Erste Teile des Entwurfs kursieren schon, wir werden ihn zeitnah analysieren.

Achtung: Vorratsdatenspeicherung

Verwiesen hat die Justizministerien allerdings auch auf die bereits im Koalitionsvertrag vereinbarte Einführung der Vorratsdatenspeicherung. Mit Vorratsdatenspeicherung gegen digitale Gewalt? Wenn Netzbetreiber IP-Adressen und Portnummern auf Vorrat speichern müssen, ist das grundrechtlich kritisch. Das sehen auch Fachleute für digitale Gewalt so. Ende 2024 hat die Initiative „Ein Team gegen digitale Gewalt“ gemeinsam mit 60 weiteren Organisationen und Projekten ein umfassendes Forderungspapier vorgelegt. Darin heißt es:

Schutz vor digitaler Gewalt begründet keine Grundrechtseinschränkungen. Es ist im Interesse der Betroffenen, auf Repressions- und Verfolgungsmaßnahmen zu verzichten, die zwar den Straftäter aufspüren, aber auch die Betroffenen und die Gesamtgesellschaft vulnerabler machen.

Stattdessen sollten „Möglichkeiten ausgeschöpft und erprobt werden, die keine oder weniger negative Effekte haben“. Als konkrete Maßnahmen nennt das Papier Werkzeuge mit weniger Kollateralschäden wie etwa Login-Falle und Quick-Freeze-Verfahren.

Wie viel ist dem Staat der Schutz vor digitaler Gewalt wert?

Ein neues Bündel an Forderungen steht in einem neuen 10-Punkte-Papier, das mehr als 250 namhafte Frauen unterzeichnet haben. Manche der Forderungen sind spezifisch, andere breit. Die Strafbarkeit für sexualisierte Deepfakes (Forderung eins) zum Beispiel zielt auf jene konkrete Reform im Strafgesetzbuch, die das Justizministerium bereits plant. Weitaus größer ist allerdings Forderung fünf: Hier geht es um „Schutzstrukturen“ in der Breite nach dem Vorbild des spanischen Modells.

Dieses spanische Modell umfasst Prävention, Schutz und Strafverfolgung; ein Netz aus Unterstützungsdiensten und spezialisierten Staatsanwaltschaften, wie es der Verein Frauenhauskoordinierung zusammenfasst. Im Vergleich zu einer Strafrechtsreform geht es hier also auch um viel Geld für Personal, Behörden und Fortbildungen. Es geht um Menschen in Polizei und Justiz, die Zeit und Expertise brauchen, um Betroffene und ihre Erlebnisse ernst nehmen zu können. Um Menschen in Beratungsstellen, die Betroffenen Zeit und Rat geben sollen. Um Frauenhäuser, bei denen Betroffene Schutz und Zuflucht finden.

Wir sind communityfinanziert

Unterstütze auch Du unsere Arbeit mit einer Spende.

Bezeichnenderweise soll Fernandes ihre Anzeige nicht in Deutschland eingereicht haben, sondern in Spanien. Nicht nur, weil sie auf Mallorca einen Wohnsitz habe, sondern auch aufgrund der besseren Rechtslage. Für das deutsche Schutzsystem ist das ein bitteres Zeugnis. Selbst wenn sich jetzt ein politischer Wille formt, das System zu verbessern: Das wird Jahre dauern, länger als ein typischer Nachrichtenzyklus.

Erst vor wenigen Wochen hatten wir acht deutsche Organisationen gefragt: „Was brauchen Betroffene digitaler Gewalt am dringendsten?“ Aus den zahlreichen Antworten lässt sich eine wichtige Forderung kondensieren: Es muss mehr Geld ins Hilfesystem fließen.

Dieser Aspekt kann schnell unter den Tisch fallen, wenn Politik und Nachrichtenmedien über vergleichsweise kostengünstige Verschärfungen im Strafrecht sprechen. Oder über Vorratsdatenspeicherung, die ohnehin längst auf dem Wunschzettel der schwarz-roten Koalition stand.

Wie viel ist dem Staat der Schutz vor digitaler Gewalt wirklich wert? Genau hier gilt es den Finger in die Wunde zu legen, wenn es darum geht, das Momentum des Falls Fernandes im Sinne der Betroffenen zu nutzen.



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

BSI warnt vor Auswirkungen von KI auf Cybersicherheit


Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat sich mit den Auswirkungen von Künstlicher Intelligenz auf die IT-Sicherheitslage beschäftigt. Herausgekommen ist ein Papier, das die Lage zusammenfasst und Probleme benennt.

Weiterlesen nach der Anzeige

Das BSI sieht eine grundlegende Änderung der Cybersicherheitslage. Insbesondere die Reaktionsgeschwindigkeit hat demnach stark zugenommen. Wo zuvor Kriminelle arbeitsteilig KI genutzt haben, etwa um überzeugendere Phishing-Mails zu verfassen, sind aktuelle KI-Systeme in der Lage, Schwachstellen in Software in kurzer Zeit nahezu autonom zu erkennen, zu analysieren und selbsttätig in Angriffe umzusetzen. Es könne Organisationen „mit einer erheblich steigenden Zahl neu entdeckter Schwachstellen, Exploits, Patches und Folgevorfällen“ konfrontieren, führt das BSI aus.

In der Diskussion stehen die Fähigkeiten aktueller KI-Modelle, Schwachstellen in großen Mengen in Quellcode zu erkennen und gleich passenden Exploit-Code zu liefern. Jedoch sei ein massiver Zuwachs an Fähigkeiten auch beim Reverse Engineering zu beobachten. Neben den Top-Modellen („Frontier-Modellen“) wie Claude Opus und GPT-5.5 spielten auch kleinere und günstigere LLMs eine Rolle in der IT-Sicherheit.

Aussichten: Angriffe einfacher durch KI

Die oberste IT-Sicherheitsbehörde Deutschlands sieht einen klaren Trend. Künstliche Intelligenz senke Aufwand, Zeitbedarf und Einstiegshürden für Cyberangriffe signifikant. Angreifer können mit geringem Aufwand und höherer Geschwindigkeit ihre Kampagnen skalieren und automatisieren. Die Abwehrseite bleibt an „Betriebsgrenzen“ gebunden, etwa in Bezug auf Testaufwand, Freigabeprozesse, Wartungsfenster, Abhängigkeiten von Herstellern sowie rechtliche und organisatorische Abstimmungen – und nicht zuletzt eingeschränkten Personalressourcen. Die Angriffsfläche müsse daher grundsätzlich reduziert werden, um trotz der genannten Einschränkungen mit der Bedrohungslage Schritt zu halten, erklärt das BSI.

Das zehnseitige PDF des BSI geht etwas mehr ins Detail. Die Reaktionsgeschwindigkeit müsse sich verbessern, insbesondere, da mehr Zero-Days und IT-Vorfälle zu beobachten sind. Konkrete Maßnahmen schlagen die Beamten ebenfalls ab Seite 4 vor – IT-Verantwortliche sollten sich das Dokument einmal zu Gemüte führen und prüfen, ob sie noch blinde Flecken haben. Unter anderem verweist die Behörde auf den IT-Grundschutz und den Best-Practices zu Produkten. Ein Wandel in der Bewertung ist ebenfalls nötig. Das BSI rät, bei nachträglich gepatchten Zero-Day-Lücken davon auszugehen, dass diese zuvor bereits missbraucht wurden. Zudem ist KI nicht nur als Werkzeug für Täter eine Gefahr, sondern kann auch selbst als Einfallstor dienen.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

„Passwort“ Folge 60: Sinn und Unsinn von CVSS, SSVC, EPSS und Co


Sicherheitslücken sollte man beheben – besonders gravierende Sicherheitslücken sollte man besonders schnell beheben. An sich eine Selbstverständlichkeit, aber woher weiß man, welche Lücken man sich besonders dringend ansehen muss? CVE-Nummern eignen sich dafür nicht, sie dienen lediglich der eindeutigen Identifizierung von Lücken. Aber um diese Nummern herum hat sich eine Vielzahl an Bewertungssystemen, Zusatzmetriken und Entscheidungsbäumen gebildet, die selbst Fachleute regelmäßig ins Grübeln bringt. In Folge 60 nimmt sich der Podcast eine ganze Episode Zeit für diverse verbreitete Sicherheits-Kennzahlen.

Weiterlesen nach der Anzeige

Als roter Faden dient eine konkrete, recht kritische Sicherheitslücke der jüngeren Vergangenheit: CVE-2026-41940. Anhand dieses Beispiels (und ein paar anderer Anekdoten) arbeiten sich die Hosts durch die verschiedenen Bewertungssysteme, angefangen bei CVSS, dem Common Vulnerability Scoring System: Christopher erklärt, was diese Scores in Version 3.1 und 4.0 jeweils abbilden – und was eben nicht. Denn zumindest der Base-Score von CVSS beschreibt die theoretische Gefährlichkeit einer Lücke auf einem System ohne jegliche Schutzmaßnahmen. Mit dem tatsächlichen Risiko in einer konkreten Umgebung und zu einem konkreten Zeitpunkt hat das oft wenig zu tun.

Daher versuchen optionale Erweiterungen von CVSS, solche veränderlichen Faktoren zu erfassen. Noch weiter gehen die ebenfalls im Podcast thematisierte Stakeholder-Specific Vulnerability Categorization (SSVC) und EPSS, das Exploit Prediction Scoring System. Letzteres soll die Wahrscheinlichkeit der tatsächlichen Ausnutzung einer Lücke berechnen. Auch die Common Weakness Enumeration (CWE) und die Common Platform Enumeration (CPE) kommen, einschließlich ihrer Probleme, zur Sprache.

Grundsätzlich erläutern die Hosts, warum es oft schwierig bis unmöglich ist, Sicherheitslücken unstrittig Schweregrade zuzuweisen. Unter anderem am Beispiel des berüchtigten „Scope“-Parameters in CVSS 3.1 illustriert Sylvester, dass die Bewertung mitunter zum Münzwurf verkommt. Am Ende steht die Frage, was all diese Kennzahlen letztlich nützen, und ob es nicht ein Irrweg ist, immer noch mehr Kennzahlen aus noch mehr Parametern zu errechnen. Einig sind sich die Hosts, dass Scores bei der Triage helfen mögen, aber keine der Metriken die Frage beantwortet, ob und wie schwer eine Lücke die eigene Organisation betrifft.

Die neue Folge von „Passwort – der Podcast von heise security“ steht seit Mittwoch auf den üblichen Podcast-Plattformen bereit.

Weiterlesen nach der Anzeige


(syt)



Source link

Weiterlesen

Datenschutz & Sicherheit

Home Assistant: Update stopft Informationsleck


In Home Assistant haben die Entwickler zwei hochriskante Sicherheitslücken ausgebessert. Jetzt veröffentlichte Schwachstelleneinträge erörtern die Probleme. Außerdem hat das Projekt ein Update für das Home Assistant OS auf Version 18 vorgelegt.

Weiterlesen nach der Anzeige

Die gravierendste Schwachstelle betrifft einen API-Endpunkt, der zwar Schreibzugriffe (PUT und POST) korrekt auf vorherige Authentifizierung prüft, das für lesende Zugriffe (GET) jedoch unterlässt. Dadurch können bösartige Akteure mit Zugriff auf den Home-Assistant-HTTP-Port – standardmäßig 8123 im lokalen Netz – unbefugt den Status des Alarm-Panels und die Topologie der Geräte einsehen, erklären die Home-Assistant-Programmierer (CVE-2026-54317, CVSS 7.6, Risiko „hoch“). Die Lücke schließt Home Assistant 2026.6.0, das Anfang des Monats erschien.

Jede installierte App in Home Assistant kann auch ohne weitere Rechte Informationen an den BroadcastReceiver des LocationSensorManager senden, etwa Broadcasts mit gefälschtem LocationResult vom Google Play Service. Der Empfänger vertraut der Information und nimmt sie als reale Position des Geräts an. Dadurch könnten Angreifer Zonen-basierte Automatisierungen auslösen, etwa das Aufsperren von Türen, Alarmanlage abschalten oder Garage öffnen, schreiben die Home-Assistant-Entwickler in ihrer Sicherheitsmitteilung. Im Home Assistant Companion 2026.5.3 und neuer soll das korrigiert sein (CVE-2026-54318, CVSS 7.1, Risiko „hoch“).

Betriebssystem auf neuem Stand

Zudem hat das Home-Assistant-Projekt nun das Betriebssystem Home Assistant OS in Version 18 veröffentlicht. Es handelt sich dabei um ein kleines Wartungsrelease, die Release-Ankündigung zeigt nur wenig Neues. Der Linux-Kernel ist auf den aktuellen 6.18er-Zweig gewechselt. Docker kommt in Version 29.5.3 mit, containerd auf Stand 2.2.4; das darunterliegende Buildroot haben die Programmierer auf 2025.02.14 aktualisiert. Die Abbilder sollen sich nun deutlich schneller flashen lassen, und zudem haben die Entwickler die Logik zur Größe der Swap-Datei überarbeitet. Der Raspberry-Pi-Bootloader lässt sich direkt aus Home Assistant heraus aktualisieren. Raspberry Pi 5 muss nun mindestens Firmware 2025-02-12 installiert haben. Weitere Details und Download-Links finden Interessierte in der Release-Ankündigung.

Anfang des Monats wurden bereits Schwachstellen in den Home Assistant Companion Apps bekannt. Eine der Lücken hätte Angreifern das Abgreifen von Zugriffstoken und damit die Übernahme der Home-Assistant-Instanz ermöglicht.


(dmk)



Source link

Weiterlesen

Beliebt