Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und Anbieter von E-Mail-Diensten melden erste Erfolge bei einer gemeinsamen Aktion für mehr E-Mail-Sicherheit. Vor allem zwei technische Richtlinien des BSI sollen für eine bessere Absicherung sorgen, ohne dass die Endnutzer selbst etwas tun müssten.

Auch über 40 Jahre nach der ersten E-Mail in Deutschland ist Mail „nach wie vor der wichtigste Kanal“, sagte BSI-Chefin Claudia Plattner am Freitag in Berlin. „Es ist aber leider auch das wichtigste Einfallstor für Cyberangriffe.“

Sensibilisierung nicht ausreichend

Von Phishing über Fake News bis hin zu Sabotageaktionen spiele E-Mail eine wichtige Rolle, sagte die BSI-Präsidentin. Die in vielen Organisationen gelebte Sensibilisierung der Nutzer sei zwar wichtig, allein aber nicht ausreichend. Genau da setze die Kampagne des BSI zur Erhöhung der E-Mail-Sicherheit an.

Deren Zwischenstand präsentierte Plattner am Freitag zusammen mit den Branchenverbänden und Bitkom. Für den Eco betont Norbert Pohlmann die Relevanz von E-Mail. Trotz aller Alternativen von Slack über Teams und Messenger sei Mail nach wie vor das Mittel der Wahl, da sie ein globaler Akteur ohne dominierende Akteure sei.

Doch bei der Sicherheit sieht Pohlmann viel Luft nach oben: „Wir haben ein echtes Problem mit unserer E-Mail-Infrastruktur.“ Pohlmann, der auch Inhaber einer Professur für IT-Sicherheit ist, sieht dabei auch die Unternehmen in der Pflicht, deutlich mehr zu tun.

Ähnlich sieht es auch Susanne Dehmel, Vorstandsmitglied beim Bitkom: Die Verantwortung dürfe nicht länger ausschließlich bei Empfängerinnen und Empfängern der E-Mails gesehen werden. Korrekt implementierte Standards würden dabei helfen, die Risiken etwa durch Phishing und Spoofing deutlich zu reduzieren.

BSI bittet um freiwillige Verbesserung

150 Unternehmen, vor allem E-Mail-Anbieter, aber auch Hoster, hätten sich freiwillig bereit erklärt, hieran mitzuwirken, sagte Plattner. Auch ohne gesetzliche Regelung sei es also möglich, Wirkung in der Praxis zu erzielen.

Das BSI hat ab Februar 2025 eine Bestandsaufnahme durchgeführt, inwiefern Anbieter die empfohlenen Maßnahmen der technischen Richtlinien 03108 und 03182 umsetzen.

Nur 20 Prozent der Unternehmen haben demnach etwa DNSSEC korrekt eingesetzt; die DNS-basierte Authentisierung von Namen (DANE) sogar nur 11 Prozent. Das BSI habe daraufhin die Unternehmen aktiv angesprochen – und im Juni seien die Zahlen bereits deutlich besser gewesen. Hinzugekommen seien zudem zahlreiche Unternehmen, die sich von sich aus gemeldet hätten.

Während das BSI auf der einen Seite Unternehmen öffentlich lobt, die sich der Initiative angeschlossen haben, nutzt es an anderer Stelle seine gesetzlichen Befugnisse: eine öffentliche Liste von E-Mail-Anbietern und ihrer Entsprechung der BSI-Kriterien. Apples mac.com und me.com etwa erfüllen nur fünf der derzeit sieben BSI-Kriterien – etwa weil alte TLS-Versionen weiter zugelassen würden. Auf gleichem Niveau sieht die Bonner IT-Sicherheitsbehörde auch gmail.com, outlook.com und msn.com.

Verschlüsselung: BSI und Verbände einig

Was E-Mail auch nach über 40 Jahren nicht flächendeckend leisten kann, ist die Ende-zu-Ende-Verschlüsselung. Geht es nach Pohlmann, sollte sich das jedoch ändern. Derzeit aber sind hier Messenger wie Signal, Threema oder Wire gängig – und zugleich politisch unter Beschuss. Unklar ist derzeit, wie sich künftig Bundesinnenminister Alexander Dobrindt bei den Debatten um ein mögliches Brechen von Verschlüsselung positionieren wird.

„Wir sollten erstmal schauen, dass wir uns absichern, Prozesse absichern, Unternehmen absichern“, sagte Pohlmann. „Wir können nicht auf die Wahrscheinlichkeit, dass wir ein Prozent der Kriminellen identifizieren können, unsere ganze Gesellschaft unsicherer machen.“ Auch für den Bitkom gelte, dass Verschlüsselung das wichtigste Instrument für sichere Kommunikation sei, und das solle auch nicht angetastet werden, betonte Susanne Dehmel.

Für BSI-Präsidentin Plattner, deren Behörde in weiten Teilen dem Bundesinnenministerium unterstellt ist, gibt es technologisch hierbei eine klare Sicht: „Wir müssen immer dafür sorgen, dass wir sichere Infrastrukturen haben.“ Ende-zu-Ende-Verschlüsselung sei dafür ein wichtiges Mittel. Plattner warnte vor den möglichen Folgen künstlich eingebauter Abhörschnittstellen: Salt Typhoon habe gezeigt, welche Risiken mit solchen Herangehensweisen verbunden seien.

(vbr)

Das aktuelle „Bundeslagebild Sexualdelikte zum Nachteil von Kindern und Jugendlichen 2024“ (PDF) ist nun öffentlich. Teil der Pressekonferenz waren neben BKA-Präsident Holger Münch auch Bundesinnenminister Alexander Dobrindt (CSU) und die Bundesbeauftragte gegen sexuellen Missbrauch von Kindern und Jugendlichen, Kerstin Claus.

Laut dem Bericht ging die Zahl der Betroffenen im Zusammenhang mit Sexualdelikten zum Nachteil von Kindern und Jugendlichen für das Jahr 2024 im Vergleich zum Vorjahr leicht zurück.

Dobrindt und Münch nutzten die gestrige Pressekonferenz dazu, einmal mehr die rasche Einführung der sogenannten Vorratsdatenspeicherung zu fordern. Die Verständigung auf einen Gesetzestext zwischen dem Justiz- und Innenministerium erfolge laut Dobrindt bereits „in den nächsten Wochen“.

Zahl der Betroffenen leicht rückläufig

Dem Bundeslagebild zufolge ist die Zahl der polizeilich registrierten Straftaten des sexuellen Missbrauchs von Kindern und Jugendlichen 2024 im Vergleich zum Vorjahr nahezu konstant geblieben. Die Zahl der registrierten Opfer beim Verdacht des sexuellen Kindesmissbrauchs sank dagegen im gleichen Zeitraum um 2,2 Prozent. Beim sexuellen Missbrauch von Jugendlichen im Alter von 14 bis 17 Jahren ging sie um 1,4 Prozent zurück.

Auch wenn damit ein Rückgang zu verzeichnen ist, liegen diese Zahlen über dem Schnitt der vergangenen fünf Jahre, betont das BKA.

Die Bundeslagebilder des BKA basieren auf einer Auswertung der Daten der Polizeilichen Kriminalstatistik (PKS). Sie erfasst alle Fälle, die der Polizei bekannt sind und von ihr bearbeitet werden. Die Zahlen sind daher auch vom Anzeigeverhalten beeinflusst.

Aufgehelltes Dunkelfeld durch mehr Personal

Dass die Zahl der erfassten Straftaten insgesamt weiterhin hoch ausfällt, hängt laut BKA auch mit einem wachsenden Fahndungs- und Ermittlungsdruck zusammen. So sei „die Anzahl der Mitarbeitenden, die sich in den Polizeibehörden von Bund und Ländern mit Fällen des sexuellen Missbrauchs von Minderjährigen befassen, in den vergangenen Jahren merklich erhöht worden“.

Die zusätzlichen Kapazitäten hätten dazu beigetragen, die polizeiliche Arbeit zu intensivieren und das sogenannte Dunkelfeld etwa im familiären Umfeld aufzuhellen. „Der weiterhin starke Fokus der Strafverfolgungsbehörden in diesem Bereich kann daher mit ein Grund für die nach wie vor hohen Fallzahlen sein“, schreibt das BKA. Laut Bundeskriminalamt bestand in knapp 57 Prozent der Fälle zwischen der betroffenen Person und den jeweiligen Tatverdächtigen nachweislich eine Vorbeziehung.

Hinzu kommt, dass 14- bis 17-Jährige bei sogenannten jugend­pornografischen Inhalten fast die Hälfte der Tatverdächtigen ausmachen. In diesen Fällen dürfte es sich vornehmlich um selbsterstellte Aufnahmen handeln, die sich Minderjährige untereinander zuschicken. „Straffällige Kinder und Jugendliche sind häufig dem Phänomen der ‚Selbst­filmenden‘ zuzurechnen“, schreibt das BKA und ergänzt: „Solche Motive können Teil einer normalen jugendlichen Entwicklung sein.“

Forderung nach Vorratsdatenspeicherung

Ungeachtet dessen forderte Dobrindt gestern erneut, die Speicherung für IP-Adressen einzuführen – „als zentrales Werkzeug, um Kinder besser zu schützen und Täter vor Gericht zu bringen“.

Bereits in ihrem Koalitionsvertrag haben CDU, CSU und SPD vereinbart, eine Vorratsdatenspeicherung für Telekommunikationsdaten einzuführen. Demnach sollen Internetanbieter für einen Zeitraum von drei Monaten protokollieren, welche IP-Adresse und Portnummer zu einem bestimmten Zeitpunkt einzelnen Kund:innen zugewiesen war. Die Kombination aus IP-Adresse und Portnummer ermöglicht es, Internetzugriffe individuellen Anschlussnutzer:innen zuzuordnen, auch wenn mehrere Kund:innen über sogenannte „Shared IPs“ (geteilte IP-Adressen) eine gemeinsame öffentliche Adresse nutzen.

Die allgemeine und wahllose Speicherung von Verkehrsdaten ist juristisch hoch umstritten. Das Bundesverfassungsgericht erklärte sie erstmals im Jahr 2010 für verfassungswidrig; hohe europäische Gerichte haben ihr enge Grenzen gesetzt. Auch ein Urteil des Europäischen Gerichtshofs aus dem Jahr 2024 hält im Grundsatz an der Position fest, dass eine allgemeine, anlasslose Vorratsdatenspeicherung europarechtswidrig ist.

Lagebild stützt Forderung nach Massenüberwachung nicht

Die Zahlen des aktuellen Bundeslagebildes rechtfertigen die Einführung der Vorratsdatenspeicherung nicht. So gibt es beim „sexuellen Missbrauch zum Nachteil von Kindern“ in mehr als drei Viertel aller Fälle einen Tatverdächtigen. Bei anderen Deliktfeldern liegt die Zahl sogar weit über 80 Prozent. Zum Vergleich: Die durchschnittliche Aufklärungsquote aller Straftaten in Deutschland liegt laut PKS bei etwa 58 Prozent.

Auf Nachfrage zeigte sich der Bundesinnenminister gestern optimistisch, dass die im Koalitionsvertrag vereinbarte Vorratsdatenspeicherung bald umgesetzt werde. Federführend für das Thema ist hier das Bundesjustizministerium, die Gespräche zwischen Innen- und Justizministerium verliefen „sehr positiv“, so Dobrindt.

Justizministerin Stefanie Hubig (SPD) äußert sich derweil zurückhaltender als ihr Kabinettskollege. Laut Medienberichten ist sie zuversichtlich, „dass wir beim Schutz von Kindern und Jugendlichen in dieser Wahlperiode Wichtiges erreichen können“.

Anfang August 2025 wurde das Mandala Bay Hotel in Las Vegas zum Treffpunkt der internationalen Security-Community. Im Rahmen der alljährlich stattfindenden Black-Hat-Konferenz kamen rund 20.000 Teilnehmer zusammen, um aktuelle Schwachstellen, spannende Security-Innovationen und künftige Cyberbedrohungen zu diskutieren. Unser Artikel stellt einige der diesjährigen Highlights vor und unternimmt zusätzlich einen Abstecher zu den auf der DEF CON verliehenen Pwnie Awards.

Lukrative Ransomware-Pakete

Malware und die Motivation ihrer Programmierer haben sich sehr gewandelt. Seien in den Anfängen vor allem Teenager am Werk gewesen, die einfach Spaß haben wollten, rückten ab etwa 2003 finanzielle Absichten in den Fokus, schilderte der finnische Computersicherheitsexperte Mikko Hypponen zum Auftakt der 28. Black Hat USA. Heute werde die Schadcode-Landschaft von Kriminellen dominiert, die ihre lukrativen Geschäfte immer rücksichtsloser abwickelten und sich laufend weiter professionalisierten.

Um das zu unterstreichen, zeigte Hypponen in seiner Keynote eine Art Werbespot der Ransomware-as-a-Service-Gang Global – mit durchdachtem Corporate Design und Einblicken in das schicke Nutzerinterface des Erpresserwerkzeugs. Ein spezielles Feature des Rundum-Sorglos-Erpresserpakets: ein KI-Assistent, der die Lösegeldverhandlungen übernimmt, damit Angreifer sich besser auf neue Opfer konzentrieren können.

Künstliche Intelligenz findet Schwachstellen

Hypponen sieht künstliche Intelligenz als Herausforderung und Chance zugleich – sowohl für Angreifer als auch für IT-Verteidiger. Während erstere jedoch (wenigstens im Schadcode-Bereich) gerade erst mit der Nutzung begönnen, seien KI-gestützte Sicherheitskonzepte bereits fester Bestandteil des Repertoires letzterer.

Wie man große KI-Sprachmodelle (Large Language Models, LLM) effizient zur Schwachstellensuche einsetzen kann, erläuterte Brendan Dolan-Gavitt, Sicherheitsforscher von XBOW. Um Fehlalarme zu vermeiden, etwa weil ein LLM eine nicht wirklich vorhandene Sicherheitslücke halluziniert hat, nutzt Dolan-Gavitts Team spezielle, nicht KI-basierte Validierungsmechanismen. Die bestehen aus eindeutigen UUID-Strings (Universally Unique Identifier), die die Forscher etwa in Programmcode oder auch in SQL-Tabellen von Datenbanken platzieren – in Bereichen, die für Angreifer unzugänglich sein sollten.

Mit der KI spielt XBOW dann eine Art Capture-the-Flag-Spiel: Ist sie in der Lage, den String einzusammeln, ist sie definitiv durch eine Sicherheitslücke geschlüpft. Auf Basis dieser Strategie will das Team beim Testen tausender Webanwendungen auf der Plattform Docker Hub insgesamt 174 echte Schwachstellen gefunden und gemeldet haben; 22 CVE-Nummern (Common Vulnerabilities and Exposures) wurden bereits zugewiesen. Überdies existiere noch ein Rückstau von rund 650 weiteren Lücken, deren Meldung oft an fehlenden Möglichkeiten zur Kontaktaufnahme scheiterte.