Datenschutz & Sicherheit
Digitalsteuer: EU im Zugzwang
Bevor Ursula von der Leyen heute ihren EU-Budgetvorschlag präsentiert, war die erste Hälfte der Arbeit schon getan. Einstimmig müssen die EU-Länder dem mehrjährigen Finanzrahmen zustimmen, der von 2028 bis 2034 gelten soll. Da ist bereits im Vorfeld politisches Fingerspitzengefühl gefragt, trotz der eingeplanten zweijährigen Verhandlungszeit: Welche Vorschläge haben überhaupt eine Chance im EU-Rat, und welchem erscheinen politisch so hoffnungslos, dass sie gar nicht erst auf den Tisch kommen?
In letztere Kategorie scheint die Digitalsteuer zu fallen. Sie soll als ernstzunehmende Option in einem frühen Budgetentwurf gestanden haben, hatte Politico unter Berufung auf interne Dokumente berichtet. In der finalen Fassung soll eine Digitalsteuer inzwischen nicht mehr enthalten sein. Stattdessen soll es neue Abgaben auf Elektroschrott und Tabakprodukte geben – sowie eine Steuer für Unternehmen ab einem Umsatz von 50 Millionen Euro, unabhängig von ihrem Geschäftsmodell.
„Erfahrungsgemäß haben Vorschläge zu neuen Eigenmitteln für die Kommission große Probleme, im Rat bei den Mitgliedstaaten eine Mehrheit zu finden“, sagt der EU-Abgeordnete Tiemo Wölken zu netzpolitik.org. Schon jetzt würden zwei bestehende Pakete zu Eigenmitteln im Rat blockiert, so der sozialdemokratische Politiker. Es habe die Gefahr bestanden, dass „die neuen Vorschläge sich einfach zu den bestehenden, blockierten Vorschlägen dazugesellen“, vermutet Wölken.
Dauerstreitthema Digitalsteuer
Die Debatte über eine Digitalsteuer flammt alle paar Jahre auf, das Problem ist allgemein bekannt und gut dokumentiert. Vor allem multinationale, meist aus den USA stammende Techkonzerne wie Alphabet, Meta oder Apple erzielen Milliardengewinne innerhalb der EU, zahlen aber kaum Steuern. Trotzdem fällt es offenkundig schwer, für mehr Gerechtigkeit zu sorgen: Der letzte Anlauf der Kommission für eine EU-weite Digitalsteuer scheiterte an Ländern wie Irland oder Schweden, während die USA unter Donald Trump jüngst aus der Ersatzlösung auf OECD-Basis ausgestiegen sind.
Ohnehin schwebt der US-Präsident über der Debatte, seit er praktisch der ganzen Welt den Handelskrieg erklärt hat. Einfuhren aus der EU sollen dem letzten Stand nach ab August mit mindestens 30 Prozent besteuert werden. Über potenzielle Retourkutschen verhandelt die EU intern noch, sie könnte etwa Flugzeuge von Boeing oder Whiskey aus Kentucky mit Strafzöllen belegen. Derweil eilte der EU-Chefverhandler, Handelskommissar Maroš Šefčovič, zu Gesprächen nach Washington, um in letzter Sekunde vielleicht doch noch etwas zu bewegen.
Ob dabei die Digitalsteuer vollends aus dem Rennen ist, lasse sich angesichts der Geheimhaltung, mit der die Zollverhandlungen mit den USA geführt werden, schwer beantworten, sagt die grüne EU-Abgeordnete Alexandra Geese. Allerdings sei es „ein schlechtes Zeichen, dass die EU-Kommission die Digitalsteuer offenbar nur als Verhandlungsmasse genutzt hat, aber bereits vor einer Einigung im Zollstreit darauf verzichtet“, sagt die Abgeordnete gegenüber netzpolitik.org.
Tech-Konzerne sollen blechen
Gefruchtet hat die abwiegelnde Haltung der EU-Kommission, die weiterhin eine Verhandlungslösung bevorzugt, bislang kaum – so die US-Zölle tatsächlich in zwei Wochen zu greifen beginnen. Trump wiederum dürfte sich in seinem Vorgehen bestätigt fühlen. Zuletzt hatte das US-Finanzministerium Rekordeinnahmen aus Zollgebühren verkündet, allein im Juni sollen deshalb fast 30 Milliarden US-Dollar in die Staatskasse geflossen sein.
„Unterwürfige Verhandlungsstrategie“
„Es erscheint gerade sehr unwahrscheinlich, dass die EU einen Vorschlag für eine Digitalsteuer macht“, sagt die Ökonomin Aline Blankertz von der Nichtregierungsorganisation Rebalance Now. Das liege an zwei Punkten: Erstens sei die deutsche Bundesregierung nach dem Vorstoß von Kulturstaatsminister Wolfram Weimer schon zurückgerudert, und ohne deutsche Unterstützung sei so ein Vorhaben viel schwerer denkbar. Zweitens fahre die EU gegenüber der US-Regierung eine „unterwürfige Verhandlungsstrategie“, um zu einem vorteilhafteren Handelsabkommen zu kommen, und stelle „selbst die Durchsetzung bestehender Gesetze wie der Digital Markets Act zur Disposition“, sagt Blankertz.
Weimer war Ende Mai mit einem eigenen Vorschlag vorgeprescht und hatte eine Digitalabgabe für große Tech-Unternehmen ins Spiel gebracht. Obwohl im Koalitionsvertrag ausdrücklich vermerkt, hatte er die Koalitionspartner damit sichtlich überrascht. Vor allem aus der Union, die den parteilosen Konservativen nominiert hatte, kommt viel Unmut über den unabgestimmten Vorstoß. „Wir sollten nicht über mehr, sondern über weniger Handelshemmnisse sprechen“, sagte etwa CDU-Bundeswirtschaftsministerin Katherina Reiche dem Redaktionsnetzwerk Deutschland.
Ob und wann Weimar tatsächlich einen Entwurf für eine deutsche Digitalsteuer vorlegen wird, bleibt vorerst offen. Einen Rückzieher hat er zumindest bislang nicht gemacht. Vergangene Woche bekräftige er gegenüber den Sendern RTL/ntv, weiterhin die „Macht der Tech-Giganten adressieren“ zu wollen. Ihre faire Besteuerung habe „die EU schon seit Jahren nicht wirklich hinbekommen, sodass wir auf nationaler Ebene vorangehen und das dann integrieren in eine europäische Lösung“, sagte Weimer.
Andere EU-Staaten machen es vor
Deutschland wäre damit nicht das einzige Land mit einer Digitalsteuer, als Vorbild soll ohnehin das österreichische Modell mit seiner Steuer auf Online-Werbung dienen. „Prinzipiell können Digitalsteuern national gut funktionieren, das zeigen ja schon Frankreich, Österreich, Spanien und Italien“, sagt die Ökonomin Blankertz. Wenn die EU aktuell keine Digitalsteuer angehen möchte, spreche das erst recht dafür, eine Umsetzung in den Mitgliedsstaaten anzustreben. Gleichzeitig sei allerdings auch die deutsche Bundesregierung darauf bedacht, sich mit Trump bloß gut zu stellen, sagt Blankertz.“ Im besten Fall werde das Thema also verschoben, bis sich die Wogen im Handelsstreit geglättet haben.
Was die EU gegen Donald Trump in der Hand hat
Ein nationaler Vorstoß würde den gleichen Gegenwind aus den USA zu spüren bekommen wie ein europäischer Ansatz, vermutet der Abgeordnete Wölken, der eine EU-Lösung bevorzugt. „Die Bundesregierung wäre deshalb gut beraten, Mehrheiten im Rat zu bauen“. Nationale Alleingänge sollten erst an allerletzter Stelle stehen, wenn kein gemeinsamer Weg mehr denkbar ist. Indes lebt die EU von ihren Mitgliedstaaten: „Die Drohung eines Alleingangs kann natürlich auch ab und zu hilfreich sein, um Mehrheiten im Rat herbeizuführen oder die Kommission zum Handeln zu animieren“, sagt Wölken.
Das Drohszenario eines zersplitterten Marktes
Im Kampf für mehr Steuergerechtigkeit brauche es Vorreiter, sagt der EU-Linkenabgeordnete Martin Schirdewan – insbesondere, wenn internationale Abkommen scheitern. Länder wie Frankreich und Italien hätten es bereits vorgemacht, jetzt müsse Deutschland nachziehen. „So können wir Druck auf die US-Regierung aufbauen, um sie dazu zu bewegen, entweder wieder beim OECD-Abkommen einzusteigen oder eine EU-weite Digitalsteuer zu akzeptieren“, sagt Schirdewan.
Dabei könnte das Damoklesschwert eines fragmentierten Marktes sogar zum Vorteil für die EU werden, sagt der Linken-Abgeordnete. „Die US-Digitalkonzerne haben in der Vergangenheit das OECD-Abkommen über einen Flickenteppich von vielen unterschiedlichen nationalen Digitalsteuern bevorzugt. So ein Flickenteppich mit vielen unterschiedlichen Regeln und Steuerraten ist ihr Horrorszenario. Das können wir uns zunutze machen“, so Schirdewan.
Diesem Ansatz steht der EU-Abgeordnete Andreas Schwab von der CDU eher skeptisch gegenüber. „Ein Flickenteppich nationaler Digitalsteuern in den Mitgliedstaaten könnte den Binnenmarkt zersplittern und Vergeltungsmaßnahmen im Handel provozieren“, warnt Schwab. Stattdessen bevorzugt er die neu auf dem Tisch liegende Abgabe für größere Unternehmen – eine „politisch tragfähigere und wirtschaftlich effektivere Alternative“, sagt Schwab. Damit ließen sich geopolitische Spannungen vermeiden, die durch eine gezielte Besteuerung US-amerikanischer Technologiekonzerne entstehen könnten, so der EVP-Abgeordnete.
EU eingekeilt zwischen Problemen
Freilich hängt dies entscheidend davon ab, wie so eine Abgabe konkret ausgestaltet wäre und wie sich die Parteien in der weiteren Debatte aufstellen würden. „Der Vorschlag über eine neue Unternehmensabgabe wird von der hiesigen Unternehmenslobby und auch der EVP im Parlament jetzt schon stark kritisiert“, sagt der SPD-Abgeordnete Wölken. Angesichts der politischen Mehrheiten glaube er derzeit nicht daran, dass dies so kommen werde.
Zugleich ist die EU im Zugzwang: Denn die Lücke, die durch die Tilgung des Wiederaufbaufonds gerissen wurde, muss irgendwie geschlossen werden. Wölken hätte eine Digitalsteuer oder auch eine Sonderabgabe für Kleinstpakete von Alibaba und Temu aus China für die bessere Alternative gehalten. „Denn so wären wir gezielt auf bestehende Probleme eingegangen, nämlich die Steuervermeidung von Big Tech-Unternehmen auf der einen Seite und den unfairen Wettbewerb durch chinesische Billig-Marktplätze auf der anderen Seite“, sagt Wölken.
Datenschutz & Sicherheit
Kommentar: 77 Verantwortliche – aber kein Sprit für den Notstromdiesel
Die Worte, die der Bundesrechnungshof kürzlich in einem internen, geleakten Bericht für die Cybersicherheit des Bundes fand, sind hart, aber notwendig: „Die IT des Bundes ist nicht bedarfsgerecht geschützt. Haushaltsmittel alleine schaffen keine Cybersicherheit.“
Kornelius Kindermann ist Volontär bei iX und interessiert sich für Netzwerke, Systemmanagement und den Rückschlag der Technik auf die Gesellschaft.
Danach folgt Backpfeife um Backpfeife in einem Bericht, der nicht nur ITlern die Haare zu Berge stehen lässt. Nicht einmal zehn Prozent der über einhundert deutschlandweit verteilten Rechenzentren, auf denen die IT des Bundes aufbaut, erfüllen die Mindeststandards für den Krisenfall.
Soweit man weiß jedenfalls, denn bereits die Informationslage ist mangelhaft: Dem BSI, das die Sicherheit der staatlichen Rechenzentren überprüft, fehlt es an Kontrolleuren. Erst 20 von 112 Prüfer-Stellen sind besetzt, nur drei kümmern sich um das gesamte Bundesgebiet. Dass manche Rechenzentren noch nicht einmal genug Treibstoff für die vorgeschriebene Notstromversorgung besitzen, ist daher nur die Spitze des Eisbergs. Wie viele der tragenden IT-Säulen marode sind, ist also nicht einmal völlig klar.
Kennen Sie schon den kostenlosen iX-Newsletter? Jetzt anmelden und monatlich zum Erscheinungsdatum nichts verpassen: heise.de/s/NY1E. In der nächsten Ausgabe geht’s ums Titelthema der August-iX: modernes Testmanagement.
Das ist aber nicht die wichtigste Erkenntnis aus dem Bericht des Bundesrechnungshofs, es wäre zu kurz gegriffen, hier nur den Kopf über fehlende Redundanzen, Treibstoffkanister und Prüfer zu schütteln. Der Kern des Berichts besagt: Ihr zäumt den Gaul von der falschen Seite auf.
Denn der nunmehr dritten Cybersicherheitsstrategie des Bundes lag keine Analyse der Defizite zugrunde. Statt Probleme zu ermitteln, die zu beheben wären, rief der Bund zahlreiche Einrichtungen ins Leben, die alle irgendwie auch für Cybersicherheit mitverantwortlich sind. Nun zeichne sich die Cybersicherheitsarchitektur „durch einen Dschungel von Institutionen und Zuständigkeiten aus“.
Auch dieses vernichtende Verdikt: notwendige Härte. Denn ganze 77 Einrichtungen zählt der Bundesrechnungshof mittlerweile auf Bundesebene, die bei der IT-Sicherheit mitreden. Die verfügen aber weder über eine gemeinsame Datenbasis, noch kommunizieren sie überhaupt groß miteinander. Das Überborden der Zuständigkeiten lässt die Grafik erahnen, die Dr. Sven Herpig und Frederic Dutke unter cybersicherheitsarchitektur.de zusammengestellt haben.
77 EInrichtungen bundesweit, 230 zusammen mit den EU-Einrichtungen – die interaktive Grafik gibt’s auch wahlweise als Taschen- oder Sockenaufdruck, oder gleich als Strampler, um die Zuständigkeiten bis zur Volljährigkeit zu verinnerlichen.
(Bild: Sven Herpig, Frederic Dutke über Stiftung Neue Verantwortung e. V.)
Und während Innen- und Digitalministerium dem Fazit, dass hier eindeutig zu viele Akteure im Spiel sind, „im Wesentlichen zustimmen“, geben sie den Schwarzen Peter noch einmal nach oben weiter. Viele ins Leben gerufene Institutionen wären durch EU-Vorgaben bedingt. Das klingt zwar durchaus nachvollziehbar (die EU-Institutionen bilden den großen Block im oberen Drittel der Grafik), wirkt aber auch wie das Eingeständnis, eine effektive Umsetzung verbaselt zu haben – siehe aktuell NIS2.
Der Fisch hat in dem Fall also nicht einen, sondern viele Köpfe, die aber alle nicht mehr so gut riechen. Wenn es mehr Sicherheits-Behörden als Sicherheits-Kontrolleure gibt, dann läuft da etwas falsch. Wer möchte, kann auch einmal in seinem Erfahrungsschatz kramen, wie bereit man wäre, ein Projekt mit 77 beteiligten Parteien und ohne einheitliche Datenbasis voranzutreiben. Digitalminister Wildberger drückte es kürzlich im Interview mit den Tagesthemen ganz treffend aus: „Alles wieder etwas zurückbauen, damit einfach wieder Sauerstoff reinkommt“. Das wäre sinnvoll. Und etwas mehr Sprit für das Notstromaggregat bitte auch.
Bei diesem Kommentar handelt es sich um das Editorial der neuen iX 8/2025, die am 25. Juli erscheint.
(kki)
Datenschutz & Sicherheit
Oracle: 309 Sicherheitsupdates für alle möglichen Produkte
Oracle hat in der Nacht zum Mittwoch seinen quartalsweise stattfindenden „Critical Patch Update“ genannten Patchday begangen. Dabei hat das Unternehmen 309 Sicherheitspatches für Produkte quer durch sein Portfolio veröffentlicht.
In der Übersicht zum Oracle CPU im Juli listet das Unternehmen die einzelnen Schwachstellen in den Produkten auf. Von den 309 Schwachstellen stufen Oracles Entwickler neun als kritisches Risiko ein. Weitere 144 gelten als hochriskant und haben einen CVSS-Wert von 7.0 bis 8.9. Die meisten dieser Lücken lassen sich von Angreifern aus dem Netz missbrauchen, in weiten Teilen ohne Privilegien am System, also etwa ohne vorherige Authentifizierung.
Insgesamt 111 Produkte sind laut Oracles Auflistung von Sicherheitslücken betroffen. IT-Verantwortliche sollten prüfen, ob sie davon welche einsetzen, und die verfügbaren Updates zügig installieren. Oracle weist zudem darauf hin, dass ausschließlich für Produkte Updates bereitstehen, die noch „Premier Support“ erhalten oder in der erweiterten Support-Phase sind; wer ältere Softwarestände einsetzt, sollte zunächst auf noch unterstützte Fassungen aktualisieren.
Der vorherige Oracle CPU fand im April statt. Da musste der Hersteller sogar 378 Schwachstellen ausbessern. Der Großteil davon ließ sich da aus der Ferne ohne vorherige Anmeldung ausnutzen.
(dmk)
Datenschutz & Sicherheit
Cisco: Sicherheitslücken in mehreren Produkten
Cisco hat vier neue Sicherheitsmitteilungen veröffentlicht und eine ältere aktualisiert. Eine der behandelten Schwachstellen erhält die Einstufung als kritisches Risiko mit Höchstwertung. Eine weitere der Lücken gilt als hochriskant.
In Ciscos Identity Services Engine (ISE) können Angreifer aus dem Netz ohne vorhergehende Authentifizierung Befehle ins Betriebssystem einschleusen, die im Kontext des root-Users ausgeführt werden. Die Sicherheitsmitteilung stammt ursprünglich von Ende Juni. Jetzt hat Cisco ihr jedoch ein Update verpasst und den bislang bekannten Schwachstellen mit den Nummern CVE-2025-20281 und CVE-2025-20282 den neuen Eintrag CVE-2025-20337 / EUVD-2025-21708 beiseitegestellt. „Angreifer benötigen keinerlei gültige Zugriffsdaten, um die Lücke zu missbrauchen. [..] Sie können sie durch das Senden einer manipulierten API-Anfrage ausnutzen. Bei Erfolg erhalten Angreifer root-Rechte auf betroffenen Geräten“, erklärt Cisco dazu. Betroffen sind Cisco ISE und ISE-PIC 3.3 und 3.4, die Versionen 3.3 Patch 7 sowie 3.4 Patch 2 schließen die neu bekannt gewordene Sicherheitslücke.
In Ciscos Unified Intelligence Center können Angreifer mit gültigem Zugang hingegen aufgrund einer Schwachstelle im Web-basierten Management-Interface beliebige Dateien auf verwundbare Systeme hochladen. „Ein erfolgreicher Exploit erlaubt Angreifern, bösartige Dateien im System abzulegen und beliebige Befehle im Betriebssystem auszuführen“, erklärt Cisco in der Sicherheitsmitteilung. Zum Missbrauch müssen bösartige Akteure mindestens Zugriff auf Ebene „Report Designer“ haben (CVE-2025-20274 / EUVD-2025-21714, CVSS 6.3, Risiko laut Cisco jedoch „hoch„). Das höher eingestufte Risiko erklärt Cisco damit, dass Angreifer ihre Rechte zu root ausweiten können.
Weitere Sicherheitslücken in Cisco-Produkten
Cisco hat noch weitere Schwachstellen gemeldet, die der Hersteller mit Updates ausbessert.
- Cisco Identity Services Engine Authenticated Remote Code Execution and Authorization Bypass Vulnerabilities, CVE-2025-20283, CVE-2025-20284, CVE-2025-20285 / EUVD-2025-21712, EUVD-2025-21711, EUVD-2025-21709, CVSS 6.5, Risiko „mittel„
- Cisco Unified Intelligence Center Server-Side Request Forgery Vulnerability, CVE-2025-20288 / EUVD-2025-21710, CVSS 5.8, Risiko „mittel„
- Cisco Prime Infrastructure and Evolved Programmable Network Manager Blind SQL Injection Vulnerability, CVE-2025-20272 / EUVD-2025-21713, CVSS 4.3, Risiko „mittel„
IT-Verantwortliche sollten die Aktualisierungen für bei ihnen eingesetzte Geräte zeitnah anwenden.
(dmk)
-
Online Marketing & SEOvor 1 Monat
TikTok trackt CO₂ von Ads – und Mitarbeitende intern mit Ratings
-
Apps & Mobile Entwicklungvor 1 Monat
Metal Gear Solid Δ: Snake Eater: Ein Multiplayer-Modus für Fans von Versteckenspielen
-
Digital Business & Startupsvor 3 Wochen
80 % günstiger dank KI – Startup vereinfacht Klinikstudien: Pitchdeck hier
-
UX/UI & Webdesignvor 1 Monat
Philip Bürli › PAGE online
-
Datenschutz & Sicherheitvor 1 Monat
Geschichten aus dem DSC-Beirat: Einreisebeschränkungen und Zugriffsschranken
-
Social Mediavor 1 Monat
Aktuelle Trends, Studien und Statistiken
-
Social Mediavor 1 Monat
LinkedIn Feature-Update 2025: Aktuelle Neuigkeiten
-
Online Marketing & SEOvor 1 Monat
#WantaFanta: Warum Fanta und Nico Santos der Gen Z Wünsche erfüllen