Datenschutz & Sicherheit
Digital Networks Act: Kleine Anbieter, große Sorgen
Für kleinere Netzbetreiber in der EU und ihre Kund:innen steht diesen Herbst viel auf dem Spiel. Wer derzeit einen Internetanschluss braucht, kann in der Regel zwischen mehreren Anbietern auswählen. Umgekehrt müssen Netzbetreiber nicht zwangsläufig eigene Infrastruktur besitzen, um Kund:innen mit konkurrenzfähigen Angeboten zu locken. Dieses Gefüge könnte mit dem geplanten Digital Networks Act (DNA) ins Wanken geraten, dessen Entwurf die EU-Kommission in den kommenden Monaten vorstellen will.
Der Dienstleister Transatel bringt die Sorgen weiter Teile der Branche auf den Punkt. In einer Stellungnahme an die EU-Kommission mahnt der zum japanischen Telekom-Riesen gehörende Anbieter: „Ohne Auflagen für Anbieter mit signifikanter Marktmacht könnten marktbeherrschende Festnetz- und Mobilfunkbetreiber den Zugang zu ihren Netzen einschränken und kleinere sowie virtuelle Anbieter aus dem Markt drängen. Dies würde die Monopolverhältnisse wiederherstellen, die die Liberalisierung eigentlich beseitigen sollte, und den Wettbewerb, die Innovation und die Wahlfreiheit der Verbraucher:innen einschränken.“
Historisch gewachsener Regulierungsrahmen
Seit der Abschaffung der staatlichen Monopole in den 1990er-Jahren ist die europäische Regulierung von Telekommunikation auf Wettbewerb und damit zu weiten Teilen auf die Bedürfnisse kleinerer oder zumindest nicht marktdominanter Anbieter ausgerichtet. Sie erhalten zu streng regulierten Konditionen Zugang zu den Netzen der ehemaligen Staatsbetriebe, um ihnen auch ohne eigene Leitungen Konkurrenz machen zu können. Zugleich soll das Modell des Infrastrukturwettbewerbs Anreize dafür schaffen, dass sich moderne Technik, beispielsweise Glasfaser, gegen zunehmend obsolete Lösungen wie Kupferleitungen durchsetzen kann.
Perfekt war dieser marktgetriebene Ansatz zwar nie. Immerhin hat er jedoch verkrustete Strukturen aufgebrochen und einen Markt mit einer Angebotsvielfalt geschaffen, die zuvor kaum vorstellbar war. In die Kritik ist das Modell mit der Zeit von unterschiedlichen Seiten aus geraten: Inzwischen subventionieren etwa viele EU-Länder, darunter Deutschland, den Netzausbau in ländlichen Regionen, in denen sich das teure Verbuddeln von Leitungen für die Betreiber finanziell nicht rechnet.
Dieses Internet der Zukunft wünschen sich die mächtigen Telekom-Konzerne
An anderer Stelle zeigt das sogenannte Überbau-Phänomen die Grenzen des Marktes auf, indem volkswirtschaftlich fragwürdig wiederholt Straßen aufgerissen werden, um neue Leitungen zu verlegen, anstatt kooperativ bereits vorhandene zu nutzen. Auf EU-Ebene wiederum wollen die Stimmen nicht verhallen, die sich „europäische Champions“ wünschen – also möglichst große Netzbetreiber, die auf einem harmonisierten EU-Markt und letztlich auf dem Weltmarkt mitmischen können. Was sich die ehemaligen Monopolisten vom DNA erwarten, haben wir hier zusammengefasst.
Ambitionierte Ausbauziele der EU
Über all dem steht das Ziel der Kommission, bis Ende des Jahrzehnts ganz Europa auf moderne Gigabit- und Mobilfunk-Verbindungen aufzurüsten. Ein Selbstzweck ist das nicht: Ohne schnelle und flächendeckend verfügbare Internetverbindungen ist ein modernes Leben kaum vorstellbar. Außerdem steigert eine bessere Breitbandversorgung das Wirtschaftswachstum, wie Studien immer wieder belegen. Letzteres hat die Kommission zu einer ihrer Prioritäten für die laufende Legislaturperiode erklärt.
Regulatorisch hat die Politik in den vergangenen Jahren bereits an einigen Stellschrauben gedreht: Seit der letzten Überarbeitung der EU-Regeln durch den sogenannten TK-Kodex sind selbst marktdominante Betreiber von besonders strenger Vorab-Regulierung befreit, solange sie in Zusammenarbeit mit anderen Anbietern oder Investoren moderne Netze neu bauen.
Noch weiter gingen manche EU-Länder, Frankreich etwa. Diese schwenken immer mehr auf sogenannte symmetrische Regulierung um, bei der alle Marktakteure, unabhängig von ihrer Größe, gleich behandelt werden. Auch die Strategie Deutschlands, den Ausbau mit öffentlichen Mitteln zu unterstützen, war alles andere als eine Selbstverständlichkeit: Ihr waren zähe Verhandlungen mit der EU-Kommission vorangegangen, die Sorge vor Marktverzerrungen hatte.
Bretons Weißbuch gibt Richtung vor
In dieses Umfeld platzte der inzwischen aus der Kommission ausgeschiedene Thierry Breton. Im Vorjahr stellte der damalige EU-Binnenmarktkommissar ein Weißbuch mit teils detaillierten Visionen zur Zukunft digitaler Infrastrukturen in Europa vor. Darin enthalten und potenziell wegweisend für den DNA: Vorschläge einer umfassenden Deregulierung und Konsolidierung des Marktes, einer Abschwächung der Netzneutralität unter dem Schlagwort „Fair Share“ sowie die Vorhersage eines weiteren Zusammenwachsens von Netz- und Diensteebene, was sich entsprechend in der Regulierung des Bereichs widerspiegeln müsse.
Schon damals musste Breton saftige Kritik für seine großindustrie-freundliche Sicht einstecken, sowohl aus der Zivilgesellschaft als auch von EU-Ländern. Künftige Regulierungspolitik müsse den Wettbewerb fördern und den Verbraucherschutz hochhalten, zudem müsse in bestimmten Zugangsmärkten die bewährte Vorab-Regulierung nicht leichtfertig aufgehoben werden, hieß es etwa in einer Erklärung des EU-Rats zu seinem Weißbuch.
Hinzu kommt die Sorge vor allzu harmonisierten Vorschriften, die der zersplitterten Betreiberlandschaft in der EU kaum gerecht werden könnten. So gibt sich der deutsche Glasfaser-Verband BUGLAS, der rund 180 deutsche Anbieter vertritt, überzeugt davon, dass „einheitliche Regelungen angesichts der Heterogenität der Märkte in den Mitgliedsstaaten nicht zielführend sind“.
Tatsächlich bringt jedes EU-Land unterschiedliche politische, regulatorische und wirtschaftliche Voraussetzungen mit: Der Ausbau verhält sich in Flächenländern anders als in gebirgigen Gegenden. In manchen Ländern ist die Marktkonsolidierung weiter fortgeschritten als in anderen, und einige Länder haben etwa den Zwischenschritt Vectoring übersprungen und gleich auf Glasfaser gesetzt, weil es keine verlegte Kupferinfrastruktur gab, die sich wie in Deutschland hätte aufmöbeln lassen.
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
EU-Länder sind nicht gleich
Wie teils fundamental unterschiedlich die Ausgangslagen und Bedürfnisse innerhalb der EU sind, zeigt beispielsweise die Stellungnahme von Epic Communications, eines kleinen Anbieters aus Malta. Generell sei das Land in vielen Bereichen dysfunktional, erklärt der Anbieter: Bis heute seien schon vor Jahren verabschiedete EU-Gesetze wie die Kostensenkungsrichtlinie oder der Gigabit Infrastructure Act nicht umgesetzt. Außerdem sei die Wettbewerbsbehörde des Landes seit über einem Jahr nicht mehr handlungsfähig.
Eine Abschaffung der Vorab-Regulierung und Umstellung auf nachträgliche Kontrolle würde schnell an ihre Grenzen stoßen und wohl zu einer Remonopolisierung des Sektors führen, warnt der Anbieter: „Malta ist als kleiner Inselstaat mit erheblichen Hindernissen konfrontiert, darunter eine schwache Durchsetzungskapazität, begrenzte institutionelle Ressourcen, dominante Martakteure und im Verhältnis zu seiner Wirtschaftsgröße unverhältnismäßig hohe Kapitalausgaben.“
Ganz anders die Situation in Schweden, das zumindest in Ballungsgebieten, wo der überwiegende Teil der Bevölkerung lebt, schon früh auf Glasfaser gesetzt hatte und heute über eine entsprechend gute und über dem EU-Schnitt liegende Versorgung verfügt. Basierend auf eigenen Erfahrungen dämpft etwa der schwedische Anbieter Stokab die Erwartungen der EU-Kommission, dass eine Konsolidierung des Marktes und Reduzierung des Wettbewerbs große Effekte hätte.
Infrastruktur und Netzwerke wie Glasfasernetze hätten den „gleichen lokalen Charakter“ wie Wasserleitungen und Straßen, führt Stokab in seiner Stellungnahme aus. Dies gelte für das Verlegen neuer Leitungen sowie für den Betrieb und Wartung. „Der landesweite oder multinationale Ausbau und die Bereitstellung solcher Infrastrukturen und Netzwerke bieten grundsätzlich keine Skalenvorteile – die Hauptkosten (Erdarbeiten) bleiben die gleichen.“
Lob für TK-Kodex
Demnach würde eine Abkehr vom bisherigen Regulierungsrahmen kaum den Ausbau beschleunigen oder billiger machen. Der Ansatz sei „weder passend noch angebracht“, so Stokab, zumal die im TK-Kodex enthaltenen Regulierungserleichterungen für Wholesale-Anbieter wie Stokab „positive Auswirkungen auf Investitionen und die Marktentwicklung“ gehabt haben sollen. Gleichwohl würden diese Einwände nicht bei der grenzüberschreitenden Bereitstellung von Diensten gelten, wo sich die erwünschten Skaleneffekte mittels harmonisierter Regeln vermutlich umsetzen ließen, so der Netzbetreiber.
In eine ähnliche Kerbe schlägt der französische Wholesale-Anbieter Altitude. Der gegenwärtige Regulierungsrahmen samt der im TK-Kodex enthaltenen Anreize zur Kooperation habe das Ausrollen von Glasfasernetzen begünstigt und sollte schon allein aus Gründen der Rechtssicherheit beibehalten werden, schreibt Altitude. Und der Anbieter erinnert daran, wer eigentlich den initialen Ausbau bezahlt hat – bevor der einstige Monopolist France Télécom teilprivatisiert und zu Orange umbenannt wurde: „Die Leitungen von Orange, die größtenteils von der öffentlichen Hand für den Bau des Kupfernetzes finanziert werden, umfassen das gesamte Gebiet und sind nicht replizierbar. Sie sind die Hauptstütze für die Netze der nächsten Generation, und daher ist es notwendig, die asymmetrische Regulierung dieser Infrastruktur aufrechtzuerhalten.“
Datenschutz & Sicherheit
Sicherheitspatch für SolarWinds Web Help Desk abermals repariert
Die Supportticket-Management-Software Web Help Desk (WHD) von SolarWinds ist trotz mehrer Sicherheitspatches seit rund einem Jahr verwundbar. Nun gibt es abermals ein Update. Ob es zwischenzeitlich Attacken gegeben hat, ist bislang nicht bekannt.
Finaler Patch?
In den Versionshinweisen von WHD 12.8.7 hotfix 1 versichern die Entwickler, eine „kritische“ Schwachstelle (CVE-2025-26399) geschlossen zu haben. Sie betrifft der Beschreibung zufolge die AjaxProxy-Komponente. An dieser Stelle können Angreifer ohne Authentifizierung für Schadcode-Attacken ansetzen, um Hostsysteme zu kompromittieren.
Die Entwickler führen aus, dass der aktuelle Sicherheitspatch die Lücke jetzt endgültig schließen soll. Die Schwachstelle ist nämlich schon seit rund einem Jahr bekannt (CVE-2024-28986, CVE-2024-28988). Die vorigen Sicherheitspatches ließen sich den Entwicklern zufolge umgehen.
In einer Warnmeldung beschreiben sie, wie Admins ihre Instanzen aktualisieren können
(des)
Datenschutz & Sicherheit
„Passwort“ Folge 41: Visionen der CISA, Niedergang von XSLT, Makel von NPM
Die Podcast-Hosts haben kurzfristig, aber wohlüberlegt umdisponiert und reden in dieser Folge noch nicht wie angekündigt über Phrack. Stattdessen arbeitet der Podcast weiter aktuelle Entwicklungen auf, angefangen bei Plänen der US-amerikanischen IT-Sicherheitsbehörde CISA. Die möchte vermeiden, dass sich eine Situation wie im Mai 2025 wiederholt, als das CVE-System und insbesondere die zentrale Datenbank für diese Schwachstellen-IDs kurz vor dem Aus stand, weil die Finanzierung auslief. Das hat global viel Aufregung verursacht und Vertrauen zerstört – auch weil der Vertrag einstweilen nur für ein Jahr verlängert wurde. Nun hat die CISA veröffentlicht, wie sie sich die Zukunft des CVE-Systems vorstellt. Christopher und Sylvester sehen sich das Positionspapier an und diskutieren, ob das gute Pläne oder gar hinterlistige Taktiken sind.
Außerdem geht es in Folge 41 um die Idee, XSLT aus der „web platform“ zu verbannen, die von einem Chrome-Mitarbeiter öffentlich vorgeschlagen wurde. Das weckte vielfach Befürchtungen, Google würde hier mal wieder mit seiner Marktmacht Eigeninteressen forcieren. Bei genauerem Hinsehen zeigt sich jedoch, dass der Vorschlag durchaus gute Gründe hat – und offenbar auch nicht von Google ausging. Die Hosts erklären erst mal (mit leichten Anfällen von Verklärung Nostalgie), was XSLT überhaupt ist, und diskutieren dann das Für und Wider des Vorschlags.
Zum Schluss werfen Christopher und Sylvester einen Blick auf aktuelle Angriffe auf npm. In mehreren Wellen wurden Pakete in dem gigantischen Fundus dieses JavaScript-Paketmanagers unterwandert; zuletzt sogar mit einem Wurm, also einer Malware, die sich selbst weiter verbreiten kann. Shai-Hulud heißt das Biest, so wie die gigantischen Sandwürmer in Frank Herberts „Dune“-Zyklus. Im Verhältnis zum Schadenspotenzial fiel das tatsächlich angerichtete Ungemach aber bei allen Angriffswellen überraschend gering aus. Allerdings ist weder der Wurm aus der Welt geschafft, noch ist klar, wer hinter den Angriffen steckte. Die Hosts sind sich einig, dass das npm-Ökosystem gut daran täte, seine generelle Anfälligkeit für solche Supply-Chain-Angriffe zu verringern. Immerhin: Das hat auch die Betreiberfirma GitHub erkannt und kurz vor Veröffentlichung dieser Podcastfolge ihre Ideen für eine Absicherung von npm skizziert.
Die neueste Folge von „Passwort – der heise security Podcast“ steht seit Mittwochmorgen auf allen Podcast-Plattformen zum Anhören bereit.
(syt)
Datenschutz & Sicherheit
Nach npm-Großangriff: Github verschärft Sicherheitsmaßnahmen
GitHub hat einen umfassenden Plan zur Verbesserung der npm-Sicherheit (Node Package Manager) vorgestellt. Die Maßnahmen sind eine direkte Reaktion auf den npm-Großangriff von Mitte September, bei dem eine selbst-replizierende Malware über kompromittierte Maintainer-Accounts Dutzende JavaScript-Pakete infizierte.
Wie GitHub in einem Blogbeitrag mitteilte, werden künftig nur noch drei Authentifizierungsmethoden für das Veröffentlichen von Paketen unterstützt: lokales Publishing mit verpflichtender Zwei-Faktor-Authentifizierung, zeitlich begrenzte Granular-Token mit maximal sieben Tagen Gültigkeit sowie Trusted Publishing.
Drastische Änderungen bei Token und 2FA
Die geplanten Sicherheitsverbesserungen gehen weit über bisherige Maßnahmen hinaus. GitHub will klassische Legacy-Token vollständig abschaffen und zeitbasierte Einmalpasswörter (TOTP) für die Zwei-Faktor-Authentifizierung durch FIDO-basierte Verfahren ersetzen. Granular-Token mit Publishing-Berechtigung erhalten eine deutlich verkürzte Gültigkeitsdauer.
Besonders einschneidend: Publishing-Zugriff wird standardmäßig Token-basierte Authentifizierung verbieten. Entwickler sollen stattdessen auf Trusted Publishing oder lokales Publishing mit 2FA-Pflicht umsteigen. Die Option, die Zwei-Faktor-Authentifizierung beim lokalen Paket-Publishing zu umgehen, entfällt komplett.
Trusted Publishing als Schlüsseltechnologie
GitHub setzt verstärkt auf Trusted Publishing, eine von einer Arbeitsgruppe der Open Source Security Foundation empfohlene Sicherheitstechnologie. Das Verfahren eliminiert die Notwendigkeit, API-Token in Build-Systemen zu verwalten, und wurde bereits von PyPI, RubyGems, crates.io und NuGet implementiert.
Ursprünglich wollte GitHub das organische Wachstum von Trusted Publishing abwarten. Die jüngsten Angriffe haben jedoch gezeigt, dass schnelleres Handeln erforderlich ist. Das Unternehmen plant daher, die Anzahl der unterstützten Provider für Trusted Publishing zu erweitern.
Sofortige Gegenmaßnahmen nach Shai-Hulud
Als Reaktion auf den Shai-Hulud-Wurm hatte GitHub bereits über 500 kompromittierte Pakete aus der npm-Registry entfernt und das Hochladen neuer Pakete mit entsprechenden Indikatoren blockiert. Der Wurm hatte sich durch das Einschleusen bösartiger Post-Install-Skripte in beliebte JavaScript-Pakete verbreitet und dabei verschiedene Arten von Geheimnissen gestohlen.
GitHub kündigte an, die Sicherheitsänderungen schrittweise einzuführen, um Störungen zu minimieren. Das Unternehmen will Entwickler mit klaren Zeitplänen, Dokumentation, Migrationsleitfäden und Support-Kanälen durch den Übergang begleiten. Maintainer können bereits jetzt auf Trusted Publishing umsteigen und ihre Publishing-Einstellungen für Accounts, Organisationen und Pakete verschärfen.
(mack)
-
UX/UI & Webdesignvor 1 Monat
Der ultimative Guide für eine unvergessliche Customer Experience
-
UX/UI & Webdesignvor 4 Wochen
Adobe Firefly Boards › PAGE online
-
Social Mediavor 1 Monat
Relatable, relevant, viral? Wer heute auf Social Media zum Vorbild wird – und warum das für Marken (k)eine gute Nachricht ist
-
Entwicklung & Codevor 1 Monat
Posit stellt Positron vor: Neue IDE für Data Science mit Python und R
-
Entwicklung & Codevor 3 Wochen
EventSourcingDB 1.1 bietet flexiblere Konsistenzsteuerung und signierte Events
-
UX/UI & Webdesignvor 1 Woche
Fake It Untlil You Make It? Trifft diese Kampagne den Nerv der Zeit? › PAGE online
-
Digital Business & Startupsvor 3 Monaten
10.000 Euro Tickets? Kann man machen – aber nur mit diesem Trick
-
Digital Business & Startupsvor 3 Monaten
80 % günstiger dank KI – Startup vereinfacht Klinikstudien: Pitchdeck hier