Connect with us

Datenschutz & Sicherheit

„Die Verantwortung für alles, was auf dem Kinderhandy passiert, liegt bei den Eltern”


Donnerstagmorgen, 8:30 Uhr in einer Grundschule in Berlin-Mitte. Julian Bühler steht auf der Bühne in der Aula, in den Reihen vor ihm sitzen Kinder aus der fünften und sechsten Klasse, Zehn- bis Elfjährige. In den kommenden anderthalb Stunden spricht Bühler mit ihnen über Dinge, die für die meisten von ihnen zum Alltag gehören: ihre liebsten Apps, die Zahl der Push-Benachrichtigungen, die sie pro Tag bekommen, über Gruselvideos und Nacktaufnahmen. Sie melden sich, als er fragt, ob sie schon mal Einladungen von Fremden auf WhatsApp gefolgt sind, und erkennen sofort ein Bild aus der blutrünstigen Netflix-Serie Squid Game.

„Wie alt seid ihr denn auf TikTok?“, will Bühler wissen. Die Kinder lachen auf, einige rufen rein: „18!“, „25!“. Bühler hat diese Antworten wohl schon erwartet. „Und wie habt ihr das gemacht? Ach so, ihr habt bei der Anmeldung gelogen!“, feixt er. „Anscheinend muss man das, wenn man TikTok benutzen will in eurem Alter.“ Gelächter und Zustimmung.

Mehrmals im Monat steht Bühler vor Schüler*innen, von der ersten Klasse bis zur Oberschule. Als Digitaltrainer spricht er mit den Kindern über ihre Erfahrungen im Internet und mit dem Smartphone, aber auch mit Eltern und Schulpersonal.

Er ist Kollege des Digitaltrainers Daniel Wolff, über dessen Buch wir bereits berichtet haben. Im Interview mit netzpolitik.org erzählt Bühler, was er aus den Gesprächen mit den Kindern mitgenommen hat, und warum technische Lösungen wie Alterskontrollen Eltern nicht die Verantwortung abnehmen können.

„Ohne Vertrauen geht es generell nicht“

netzpolitik.org: Julian Bühler, Sie arbeiten seit mehreren Jahren als Digitaltrainer an Schulen. Was wissen Sie über den Alltag von Kindern im Netz, das viele Erwachsene sich nie ausmalen würden?

Julian Bühler: Den Älteren ist nicht bewusst, wie komplett unterschiedlich die jüngere Generation das Smartphone benutzt. Zu vielen Smartphone-Themen kann ich vormittags bei den Schülern Fragen stellen und bekomme sofort eine Antwort von der ganzen Gruppe. Stelle ich die gleiche Frage abends vor den Eltern, gucken mich die Erwachsenen nur entgeistert an und verstehen oft schon die Frage nicht. Beide Seiten leben in verschiedenen Welten.

netzpolitik.org: Zum Beispiel?

Julian Bühler: „Wie viele Nummern habt ihr geblockt?“ oder: „Habt ihr schon mal eine Einladung in eine Gruppe bekommen und wusstet nicht von wem?“. Bei solchen Fragen melden sich fast alle Kinder. Das liegt daran, dass die Kinder ab der vierten, fünften Klasse alle WhatsApp haben und diesen Messenger für ihren Klassenchat und vieles mehr nutzen. Während Erwachsene mit WhatsApp meist einzelnen Personen schreiben, kommunizieren Kinder fast immer in Gruppen. Das macht einen starken Unterschied.

Ich sage den Eltern dann: Euer Kind hat ein Smartphone, wir müssen uns dringend über Horror, Gewalt und Pornografie unterhalten. Die sind entsetzt und antworten, ihre Kinder interessiere sich mit 10 oder 11 Jahren doch noch gar nicht für sowas. Aber das geht an der Realität vorbei, denn viele Kinder bekommen diese Inhalte, ohne je danach gesucht zu haben. Sie sind einfach in einem Gruppenchat, in dem ein anderes Kind Bilder oder Videos weiterleitet, die es zum Beispiel von älteren Freunden erhalten hat.

netzpolilitk.org: Was raten Sie Eltern in so einer Situation?

Julian Bühler: Bei jüngeren Kindern würde ich dazu raten, den Chat regelmäßig gemeinsam anzusehen und über problematische Inhalte zu diskutieren. Jeder Mensch hat allerdings auch ein Recht auf Privatsphäre, und spätestens mit dem Beginn der Pubertät sollte man diese auch dem eigenen Kind immer mehr zugestehen. Ohne Vertrauen geht es generell nicht. Eltern müssen sich bewusst sein, dass sie gegen den Willen ihrer Kinder vieles nie erfahren werden. Dabei sind zwei Punkte für Eltern besonders wichtig: Ich muss glaubhaft vermitteln, dass ich nicht in Panik geraten werde, wenn mein Kind mir komische Sachen zeigt und, dass ich das Smartphone dann nicht wegnehmen werde.

netzpolitik.org: Warum nicht?

Julian Bühler: Ich höre ständig von Kindern: „Wenn meine Eltern wüssten, was auf meinem Smartphone ist, wäre das Ding sofort weg“. Wenn Kinder dann früher oder später schlimme Dinge erleben, gemobbt werden oder Inhalte sehen, die für sie belastend sind, werden sie diese Dinge ihren Eltern nicht zeigen. Einfach aus Angst, dass sie dann ihr Smartphone verlieren. Und diese Sorge ist für Kinder immens groß, denn dieses Gerät bedeutet für sie nicht nur Spielen, Spaß haben, Blödsinn machen – es ist die soziale Schnittstelle zu allen anderen Kindern! Wer nicht im Klassenchat dabei ist, wer nicht auf den Plattformen ist, kriegt nicht mit, was der Rest der Gruppe macht. Und darum geht es für viele Kinder. Deswegen ist die ganz große Aufgabe, dem Kind immer wieder zu sagen: Egal was passiert, du kannst zu mir kommen, ich bin da und wenn es Probleme gibt, kannst du mich ansprechen ohne Angst zu haben.

„Wir brauchen eine Altersüberprüfung im Gerät“

Mann lächelt mit gekreuzten Armen
Julian Bühler – Alle Rechte vorbehalten privat

netzpolitik.org: Derzeit diskutieren Politiker*innen in Deutschland und in der EU über mehrere gesetzliche Maßnahmen, die Kinder schützen sollen, etwa ein Social-Media-Verbot für alle unter 16. Halten Sie solche Regelungen für sinnvoll?

Julian Bühler: Die Debatte und auch die Berichterstattung ist oft undifferenziert. Da heißt es etwa: Australien hat jetzt ein Social-Media-Verbot für alle unter 16, deswegen brauchen wir das auch. Doch wenn man dann genau hinschaut, sieht man: WhatsApp wird dort gar nicht als Social-Media-App erfasst, verursacht aber oft viele Probleme. Generell gibt es jede Menge Problem-Apps, die nicht in die Kategorie Social Media fallen. Sowas ist also gerade mal eine kleine Teil-Lösung.

Ich bin der Meinung, dass wir dringend mehr Regulierung benötigen, doch es sollte klar sein, dass wir das Problem nicht allein über Verbote geregelt bekommen. Wir brauchen eine bewusste und detailreiche Auseinandersetzung mit dem Thema – für Erwachsene und für Kinder und Jugendliche.

netzpolitik.org: Welche Regeln braucht es Ihrer Meinung nach konkret?

Julian Bühler: Ich würde grundsätzlich dafür plädieren, dass Kinder bis zum 12. Lebensjahr kein eigenes Smartphone haben. Das sollte verboten werden – nicht nur während der Schulzeit, sondern grundsätzlich. Die Kinder, mit denen ich spreche, verbringen schon ab der fünften Klasse im Schnitt zwei bis drei Stunden am Handy, teils auch sieben oder acht Stunden. Und das auch an Schulen, die Handys gar nicht erlauben.

netzpolitik.org: Wie soll so ein Smartphone-Verbot für unter 12-Jährige funktionieren? In der Regel kaufen ja Erwachsene das Handy.

Julian Bühler: Wir brauchen eine Hardware-basierte Altersüberprüfung im Gerät. Die EU könnte vorschreiben, dass jedes verkaufte Handy einen „Kinderschutz-Chip“ enthalten muss. Im Verkaufszustand könnte man dann sämtliche Webseiten und Inhalte ab 18 damit nicht anzeigen. Erwachsene könnten den Chip in einem Geschäft gegen Vorlage ihres Personalausweises freischalten lassen, Kinder nicht.

„Viel schlechte Symbolpolitik“

netzpolitik.org: Das EU-Parlament hat sich gerade in einer Resolution für eine verpflichtende Alterskontrolle im Netz ausgesprochen. 13- bis 16-Jährige sollten demnach nur mit Zustimmung der Eltern Zugang zu sozialen Medien erhalten. Allerdings sollen diese Kontrollen nicht auf Geräteebene, sondern über eine App passieren, die das Alter für einzelne Webseiten und Plattformen nachweisen soll.

Julian Bühler: Der Ansatz geht in die richtige Richtung. Ich finde, für Jugendliche ab 13 sollten wir nicht von einem auf den anderen Tag alles zugänglich machen, sondern über ein Heranführen an die Technik und den Aufbau von Medienkompetenz reden. Was die App-Überprüfung angeht: Wenn man sich etwa die Altersüberprüfung auf TikTok heute anschaut, dann ist das nicht ernst zu nehmen. Da werde ich bei der Anmeldung nach meinem Geburtsjahr gefragt; und wenn es beim ersten Mal nicht klappt, verstehen die Kinder sofort, dass sie sich beim nächsten Versuch einfach älter machen müssen. Das ist lächerlich. Eine App-Kontrolle muss hier schon mehr leisten. Aber auch strengere Alterskontrollen werden uns nicht darum herumbringen, die Kinder und Jugendlichen zu begleiten.

netzpolitik.org: Schaffen technische Maßnahmen wie Alterskontrollen eher ein falsches Sicherheitsgefühl bei Eltern und Politik?

Julian Bühler: Zweifellos. Eltern müssen hier endlich ihre Verantwortung erkennen und annehmen. Und die Politik muss endlich konkrete Maßnahmen vorlegen – bisher hatten wir in diesem Bereich nur schlechte Symbolpolitik. Ernsthafter Kinderschutz im Web wurde bisher nicht umgesetzt.

netzpolitik.org: Das Gesetz für digitale Dienste der EU sieht heute schon vor, dass Plattformen für die Sicherheit ihrer minderjährigen Nutzer*innen sorgen und diese vor illegalen Inhalten schützen müssen – etwa per Altersschranke. Das betrifft nicht nur Pornoseiten, sondern auch TikTok oder Instagram.

Julian Bühler: Das ist richtig so. Ich bin äußerst skeptisch, dass die Firmen von allein zu einer sinnvollen Lösung kommen. Die großen Konzerne wie zum Beispiel Meta haben über die letzten Jahre immer wieder klar gezeigt, dass sie gar kein Interesse an einer sinnvollen Kinderschutzlösung haben. Man wird sie dazu zwingen müssen.

„Man muss für das Kind da sein“

netzpolitik.org: Es gibt heute schon eine Reihe von Möglichkeiten, um Kinderhandys abzusichern. Apple und Google bieten in ihren Betriebssystemen einen begleiteten Elternmodus an. Was halten Sie davon?



Uns fehlen dieses
Jahr noch 244.546 Euro.


Bist Du auch Feuer und Flamme für Grundrechte?
Dann unterstütze jetzt unsere Arbeit mit einer Spende.


Bist Du auch Feuer und Flamme für Grundrechte?
Dann unterstütze jetzt unsere Arbeit mit einer Spende.

Julian Bühler: Eltern fragen mich oft nach diesen technischen Lösungen. Die sind auch gut, um die Bildschirmzeit und die Auswahl der Apps zu begrenzen. Allerdings werden hier keine Inhalte in den Apps kontrolliert oder beschränkt. Die traurige Wahrheit ist, dass sich das Problem nicht mit der Anschaffung einer Sicherheitssoftware lösen lässt. Die Aufgabenstellung ist, das Kind über Jahre hinweg in der Auseinandersetzung mit digitalen Medien zu begleiten. Dafür muss man als Elternteil wesentlich mehr machen als Schutz-Software zu installieren. Man muss für das Kind da sein.

netzpolitik.org: Wenn Kinder statt technischer Lösungen vor allem Erwachsene brauchen, die sich Zeit nehmen – was halten Sie von politischen Maßnahmen wie verlässlicher Betreuung, mehr Möglichkeiten für Teilzeit oder höheres Kindergeld?

Julian Bühler: Der mangelnde Kenntnisstand von Eltern ist nicht unbedingt an mangelnder Zeit festzumachen. Wir brauchen eher mehr digitale Bildung. Oft kennen sich ja schon die Erwachsenen nicht gut mit den Geräten aus, die sie benutzen und kennen die Gefahren gar nicht. Wie sollen sie dann einen verantwortungsvollen Umgang mit dem Smartphone an die Kinder vermitteln? Hier brauchen wir ein anderes Bewusstsein.

Um das einmal klar zu sagen: Die Verantwortung für alles, was auf dem Kinderhandy passiert, liegt bei den Eltern. Die meisten Eltern haben diese Verantwortung nicht erkannt und nicht angenommen. Wir müssten erst mal durchsetzen, dass Eltern das verstehen.

Was Kinder im Netz erleben, und was Politik daraus lernen kann

netzpolitik.org: Hätte es einen Vorteil, wenn der Klassenchat wenigstens von WhatsApp auf alternative Messenger wie Signal verlegt würde?

Julian Bühler: Das wäre positiv, doch an der Grundthematik, dass Kinder problematische Inhalte teilen können, ändert das nichts – weil auch da keine Inhaltskontrolle stattfindet. Aus Sicht des Kinderschutzes müssten die Inhalte in der App irgendwie maschinell kontrolliert werden. Da gibt es natürlich viele Gegenstimmen, die das auf keinen Fall wollen, weil sie fürchten, das könnte auch außerhalb des Kinderschutzes zum Tragen kommen.

„Wir lassen da eine ganze Generation gegen die Wand laufen“

netzpolitik.org: Das führt uns zur Debatte um die sogenannte Chatkontrolle in der EU. Die EU-Kommission und einzelne Mitgliedstaaten wollten, dass Anbieter auf Anordnung die verschlüsselten Inhalte in Messengern durchsuchen müssen, um darin nach Darstellungen sexualisierter Gewalt an Kindern zu suchen. Dazu müsste allerdings die Verschlüsselung umgangen werden mit Folgen für die Grundrechte aller. Nach eindringlichen Warnungen aus der Zivilgesellschaft und der Wissenschaft haben sich, Stand aktuell, sowohl der Rat als auch das Parlament der Europäischen Union hierzu kritisch positioniert.

Julian Bühler: Technisch können wir alle möglichen Dinge diskutieren. Es ist ein politisches Versagen, dass bei digitalen Medien seit Jahren kein sinnvoller Kinderschutz umgesetzt wurde und wir die jungen Menschen einfach schutzlos lassen. Laut der gerade erschienenen Studie der Landesanstalt für Medien NRW hat mittlerweile bereits jedes dritte Kind im Alter von 11 bis 13 Jahren Kontakt zu Pornos. Viele ungewollt, weil sie die Inhalte einfach zugeschickt bekommen. Das gleiche gilt für extreme Horror- und Gewalt-Videos. Diese Zahlen steigen seit Jahren, doch wir tun nichts dagegen und nehmen hin, dass sich die Kinder daran gewöhnen. Welche Folgen das hat, werden wir wahrscheinlich erst in vielen Jahren erkennen. Aus meiner Sicht lassen wir da eine ganze Generation gegen die Wand laufen und das ist verantwortungslos.

netzpolitik.org: Was würden Sie sich wünschen?

Julian Bühler: Es braucht den politischen Willen, sich von plakativen Forderungen zu trennen und sich ernsthaft mit dem Thema zu beschäftigen. Weder Social Media ab 16 noch andere Verbotsforderungen sind eine vollständige Lösung. Bei mir rufen Grundschulen an und berichten von Fällen, bei denen sich 9-jährige Mädchen ausziehen, sich nackt filmen und das im Klassenchat teilen. Weil sie halt nachmachen, was sie in Videos gesehen haben. Das wäre ohne Smartphones alles nicht denkbar. Da komme ich auch an meine Grenzen. Dass die Politik hier nichts unternimmt, ist absurd.

netzpolitik.org: Die Bundesregierung hat im Herbst eine Expert*innenkommission für „Kinder- und Jugendschutz in der digitalen Welt“ eingesetzt. Die soll ein Jahr lang Empfehlungen erarbeiten.

Julian Bühler: Das ist toll, wenn daraus auch bald konkrete Maßnahmen entstehen. Die Zeit drängt.



Source link

Datenschutz & Sicherheit

WhatsApp und Signal: Privatsphäre angreifbar, Tracker-Software verfügbar


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Der Messenger WhatsApp und auch Signal verraten durch Laufzeiten für Nachrichtenbestätigungen viel über die Nutzer. Eine Proof-of-Concept-Implementierung zeigt das Problem auf und ermöglicht, aus diesen Meta-Informationen etwa Nutzerprofile zu erstellen. Eingeschränkte Abhilfe ist jedoch möglich.

Weiterlesen nach der Anzeige

Basierend auf einem Forschungspapier der Universität Wien (erstmals im November 2024 vorgestellt) steht jetzt eine Proof-of-Conecpt-Implementierung (PoC) mit dem Namen „WhatsApp-Device-Activity-Tracker“ auf GitHub bereit. Sie missbraucht die Empfangsbestätigungen, die Messenger wie Signal oder WhatsApp als Reaktion auf Nachrichten senden. Durch die Messung der Laufzeiten lassen sich Rückschlüsse auf die Nutzerinnen und Nutzer ziehen. Der PoC nutzt dabei sorgsam präparierte Nachrichten, die solche Empfangsbestätigungen auslösen, ohne dass Nutzer etwas davon mitbekommen.

Die Messung der sogenannten Rundlaufzeit (Round-Trip-Time, RTT) der WhatsApp-Empfangsbestätigungen erlaubt festzustellen, wann Nutzer ihr Gerät aktiv nutzen, wann es im Standby- oder Idle-Modus ist, mögliche Standortänderungen anhand von mobilen Daten oder WLAN und schließlich im Zeitverlauf das Anlegen und Erkennen von Aktivitätsmustern. Das stellt einen potenziell tiefgreifenden Eingriff in die Privatsphäre dar und lässt sich zur Überwachung missbrauchen, schlussfolgern die Programmierer des PoC.

Der Proof-of-Concept führt diese Angriffe für WhatsApp vor. Zwei Sondierungsmethoden setzt er um: Die eine schickt eine Lösch-Anforderung für eine nicht existierende Message-ID, die andere sendet ein Reaktions-Emoji für eine nicht existierende Message-ID. Der PoC misst die Zeit zwischen dem Absenden der Nachricht und dem Empfang der ACK-Nachricht vom Client (Acknowledge, also die „Bestätigung“ vom Opfer). Den Gerätestatus berechnet die Software anhand der Abweichung vom Median der Rundlaufzeit – unter 90 Prozent des Medians deutet auf aktive Gerätenutzung hin. Das Tool legt einen Verlauf an, wodurch es den Median fortwährend anpasst und so auch geänderte Netzwerkumgebungen berücksichtigt.

WhatsApp kennt eine Konfigurationsoption, mit der sich Nutzerinnen und Nutzer zumindest ein Stück weit vor solchen Attacken schützen können. In WhatsApp müssen sie dazu das Symbol mit den drei übereinander gestapelten Punkten oben rechts in der Ecke auswählen und dort auf „Einstellungen“ tippen. Weiter geht es über „Datenschutz“ weit unten zu „Erweitert“. Das Aktivieren von „Nachrichten von unbekannten Konten blockieren“ führt dazu, dass WhatsApp „Nachrichten von unbekannten Konten“ blockiert, „wenn sie eine bestimmte Anzahl überschreiten“. Da es keinen Hinweis dazu gibt, wie hoch diese Anzahl an Nachrichten ist, liefert das jedoch keinen umfassenden Schutz. Für Signal nennen sie keine Einstellung, die Abhilfe schaffen könnte.

Die Autoren weisen explizit darauf hin, dass das naheliegende Deaktivieren von Empfangsbestätigungen bei herkömmlichen Nachrichten helfe, jedoch nicht vor dieser speziellen Attacke schütze. „Stand Dezember 2025 bleibt diese Schwachstelle in WhatsApp und Signal missbrauchbar“, führen sie aus. Damit sind WhatsApp und Signal in der Pflicht, zügig eine Aktualisierung zu veröffentlichen, die diese Attacken verhindert.

Weiterlesen nach der Anzeige

Wir haben sowohl bei Signal als auch bei WhatsApp nachgefragt, ob und wann die Organisationen das Problem lösen wollen. Von WhatsApp kam umgehend eine KI-generierte Antwort, in der kein Zeitraum genannt und keine Aussage zu möglichen Problemlösungen genannt wurde. Auch zu der Anzahl von Nachrichten, bis die Sicherheitsfunktion weitere Anfragen blockiert, bleibt die Reaktion unkonkret: Dies hängt „von verschiedenen Faktoren ab, wie z.B. der Art der Nachrichten und dem Verhalten des Angreifers. Wir können Ihnen keine spezifische Zahl nennen, da dies von Fall zu Fall variieren kann.“

Lesen Sie auch

Grundsätzlich arbeitet WhatsApp an der Verbesserung der Privatsphäre. Ende April haben die Entwickler etwa die Funktion „Advanced Chat Privacy“ vorgestellt.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Jetzt patchen! Angreifer nutzen kritische Lücke in Fortinet-Produkten aus


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Wenn in FortiOS, FortiProxy, FortiSwitchManager und FortiWeb der SSO-Login aktiviert ist, sind Systeme verwundbar. Zurzeit nutzen Angreifer zwei „kritische“ Sicherheitslücken in diesem Kontext aus und attackieren PCs.

Weiterlesen nach der Anzeige

Standardmäßig ist die Authentifizierung via SSO nicht aktiv. Admins sollten zügig prüfen, ob sie SSO nutzen. Ist das der Fall, sollten sie die seit wenigen Tagen verfügbaren Sicherheitsupdates installieren. Geschieht das nicht, setzen Angreifer mit präparierten SAML-Nachrichten an den Lücken (CVE-2025-59718, CVE-2025-59719) an, umgehen so die Authentifizierung und greifen auf Appliances zu.

Die verwundbaren Versionen und die Sicherheitsupdates listet Fortinet in einer Warnmeldung auf. FortiOS 6.4, FortiWeb 7.0 und 7.2 sind von den Schwachstellen nicht betroffen. Ist eine Installation nicht sofort möglich, müssen Admins zum Schutz von Systemen den SSO-Login temporär deaktivieren. Das funktioniert etwa über das Command-Line-Interface mit diesen Befehlen:

config system global

set admin-forticloud-sso-login disable

end

Weiterlesen nach der Anzeige

Vor den Attacken warnen Sicherheitsforscher von Artic Wolf in einem Beitrag. In welchem Umfang die Attacken ablaufen, ist derzeit nicht bekannt. In ihrem Beitrag führen die Sicherheitsforscher verschiedene Parameter wie IP-Adressen auf, an denen Admins bereits attackierte Instanzen erkennen können.

Sind Attacken erfolgt, sollten Admins neben der Installation des Patches alle Zugangsdaten zurücksetzen. Was Angreifer konkret nach einer erfolgreichen Attacke anstellen, ist derzeit unbekannt. Allgemein gilt, dass man Zugriffe von außen über Firewallregeln und VPN-Tunnel reglementieren sollte.


(des)



Source link

Weiterlesen

Datenschutz & Sicherheit

Microsoft will unsichere RC4-Verschlüsselung loswerden


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Eigentlich sollte RC4-Verschlüsselung bereits Geschichte sein, doch wird es bis heute noch vereinzelt genutzt. Jetzt hat Microsoft angekündigt, den Rivest Cipher 4 aus Kerberos zu entfernen. Dies soll die Sicherheit verbessern, da die geknackte Verschlüsselung Angriffe wie „Kerberoasting“ zum Stehlen von Zugangsdaten und Kompromittieren von Netzwerken ermöglicht.

Weiterlesen nach der Anzeige

„Es ist von entscheidender Bedeutung, die Verwendung von RC4 einzustellen“, erklärt der Program Manager Matthew Palko in einem Beitrag im Windows-Server-Blog. Mitte 2026 will Microsoft demnach die Standardeinstellungen des Kerberos Key Distribution Center (KDC) von Domain-Controllern ab Windows Server 2008 aktualisieren, sodass sie nur noch AES-SHA1-Verschlüsselung erlauben. RC4 wird dann standardmäßig deaktiviert und lässt sich nur noch dann nutzen, wenn Domain-Admins einen Zugang oder das KDC explizit so konfigurieren, dass der RC4 verwendet.

„Sichere Windows-Authentifizierung benötigt kein RC4; AES-SHA1 lässt sich über alle unterstützten Windows-Versionen nutzen, seit es in Windows Server 2008 eingeführt wurde“, erklärt Microsoft. Sofern bislang bestehender RC4-Einsatz bis zur Standard-Konfigurationsänderung nicht angegangen wird, klappt danach die Authentifizierung nicht mehr, die auf dem veralteten Algorithmus basiert.

Anhand der Hilfestellungen in dem Blog-Beitrag lässt sich herausfinden, wie RC4 noch zum Einsatz kommt. RC4 könnte für Legacy-Apps oder Interoperabilität mit Nicht-Windows-Geräten nötig sein, worum sich Admins kümmern müssen. Um die RC4-Nutzung zu erkennen, erweitert Microsoft die Informationen im Security-Event-Log. Außerdem stehen neue Powershell-Auditing-Skripte für die Analyse bereit. Die Verbesserungen stehen für Windows Server 2019, 2022 und 2025 zur Verfügung. Der Blog-Beitrag erläutert die neuen Felder in den erweiterten Security-Log-Ereignissen und stellt zwei Powershell-Skripte vor.

Weiter erklärt Palko in dem Beitrag, wie Admins mit den Funden umgehen können. Microsoft stellt neben der Übersicht noch einen tiefergehenden Support-Beitrag zur Verfügung, mit dem IT-Verantwortliche das dräuende RC4-Ende in Kerberos vorbereiten sollten.

Die RC4-Verschlüsselung gilt schon sehr lange als geknackt. Bereits im Jahr 2013 hat Microsoft empfohlen, RC4 zu deaktivieren – für die Web-Verschlüsselung. Im Jahr 2015 hat die IETF (Internet Engineering Task Force) mit dem RFC 7465 den Einsatz von RC4 für TLS-Verschlüsselung praktisch verboten; auch nicht als optionale oder Fallback-Lösung. RC4 nun in der Windows-Domänen-Authentifizierung abzudrehen, ist in dem Lichte betrachtet eigentlich überfällig.

Weiterlesen nach der Anzeige


(dmk)



Source link

Weiterlesen

Beliebt