Connect with us

Datenschutz & Sicherheit

EU-Kommission stellt Netzneutralität zur Debatte


Es ist ein kurzer, unscheinbarer Nebensatz in einer laufenden EU-Konsultation. Angeblich gebe es „mangelnde Rechtsklarheit der Vorschriften für das offene Internet in Bezug auf die regulatorische Behandlung innovativer Dienste“, schreibt die EU-Kommission etwas sperrig.

Einfacher ausgedrückt: Netzneutralität nervt und bremst Innovation aus – zumindest aus Perspektive ihrer Kritiker:innen. Gerade Netzbetreibern, die auf Kosten des offenen Internets Geschäfte machen wollen, ist sie ein Dorn im Auge. Wohl deshalb will die EU-Kommission das Prinzip auf den Prüfstand stellen.

Dabei gilt die gesetzlich verankerte Netzneutralität in der EU als großer Erfolg. Das betont nicht zuletzt die EU-Kommission immer wieder öffentlich. Europa sei „Vorreiter beim Schutz eines offenen Internets“, klopfte sich etwa die amtierende Kommissionspräsidentin Ursula von der Leyen (CDU) im Jahr 2020 selbst auf die Schulter. Die Regeln seien „wichtig für Innovation und Fairplay“ und schützten sowohl Nutzer:innen als auch Online-Dienste, sagte von der Leyen. „Kein Betreiber kann bestimmten Verkehr blockieren, verlangsamen oder priorisieren“.

Branche lässt sich nicht in Karten schauen

Warum die EU-Kommission nun an den bewährten Regeln rütteln möchte, wird auf den ersten Blick nicht klar. Noch weniger erschließt sich, worin genau die behauptete Rechtsunsicherheit bestehen soll und welche Innovationen damit verhindert würden.

Für wenig Aufklärung sorgt die Telekommunikationsbranche. Mehrfache Presseanfragen an große deutsche Netzbetreiber blieben unbeantwortet. Einer bat um „Verständnis, dass wir uns dazu nicht äußern“. Andere Branchenquellen mussten notgedrungen spekulieren – aber eine verbindliche Antwort hatte niemand parat.

Freilich zeigt die Geschichte, wie Unternehmen regelmäßig an verschiedenen Stellen der Netzneutralität zu sägen versuchen. Zuletzt sind sie, womöglich nur vorerst, mit dem Konzept einer Datenmaut abgeblitzt. Die sollte den teuren Infrastrukturausbau mitfinanzieren helfen, so das Versprechen einiger weniger Netzbetreiber. Nun soll die Netzneutralität als angeblicher Innovationskiller herhalten. Das könnte letztlich zu einer digitalen Zweiklassen-Gesellschaft führen, warnen Fachleute.

Detailliertes Regelwerk

Eigentlich ist der Bereich penibel geregelt. Neben dem Gesetzestext selbst umreißen von europäischen Regulierungsbehörden (GEREK) erstellte Leitlinien den Geltungsbereich der Regeln. Im Detail beschreiben sie, so technologieoffen wie möglich, in welchen Situationen etwa Datenverkehr gedrosselt oder umgekehrt priorisiert werden darf.

Zuletzt wurden die Leitlinien im Jahr 2022 überarbeitet, um neuere technische Entwicklungen sowie die Rechtssprechung des Europäischen Gerichtshofs (EuGH) zu reflektieren. Dieser hatte in einem Grundsatzurteil tatsächlich eine Rechtsunsicherheit beseitigt: Sogenannte Zero-Rating-Angebote, die den Zugriff auf bestimmte Partnerdienste vom monatlichen Transfervolumen ausnehmen, sind demnach nicht mit der EU-Verordnung vereinbar.

Außerdem werden die Vorschriften regelmäßig von der Kommission und Regulierungsbehörden überprüft. Bislang fielen die Urteile stets positiv aus. Demnach würde die Verordnung „den Endnutzer wirksam schützen und das Internet als Innovationsmotor fördern“, schrieb etwa die EU-Kommission in ihrer ersten Evaluation des Gesetzes. Selbst Netzbetreiber würden das Gesetz sehr schätzen, da es „rechtliche Sicherheit“ biete.

Verunsichernde Überholspuren

Dennoch gibt es einen Bereich, der für die angebliche Verunsicherung unter Netzbetreibern in Frage kommen könnte: sogenannte Spezialdienste. Damit lassen sich vor allem im Mobilfunk Produkte anbieten, die nicht in der „objektiv“ notwendigen Qualität über das offene Internet garantiert realisierbar sind, beispielsweise datenbasierte Telefonie über das Mobilfunknetz oder ruckelfreie Telemedizin.

Zur Netzneutralität stehen solche über 5G-Mobilfunk abgewickelten Überholspuren „in einem deutlichen Spannungsverhältnis“, wie es einmal Daniel Jacob von der Stiftung Wissenschaft und Politik ausdrückte. Doch unter Auflagen sind sie seit gut zehn Jahren erlaubt.

Solange Spezialdienste nicht zu Lasten anderer Nutzer:innen gehen und das offene Internet einschränken, sollte es genug Spielraum für innovative Produkte geben – darunter etwa das mobile Spielepaket, das die Telekom Deutschland im Herbst vorgestellt hat. Dieses nutzt die in den aktuellen 5G-Mobilfunkstandard eingebauten „Network Slices“, um eine möglichst optimale, vom restlichen Internet getrennte Datenverbindung mit dem Spieledienst aufzubauen.

Beim Produktlaunch war von Verunsicherung des Netzbetreibers allerdings nicht viel zu spüren. Auf Anfrage teilte eine Unternehmenssprecherin damals mit, dass sich die Telekom „selbstverständlich an die rechtlichen Vorgaben“ halte. Das Produkt sei so ausgestaltet, dass die Bandbreite aller anderen Nutzer:innen einer Mobilfunkzelle dadurch nicht beeinflusst werde, so die Sprecherin. „Keinem wird etwas weggenommen.“

Ob hinter der PR-Kulisse nicht doch ein Stückchen Unsicherheit lauert, lässt sich nicht mit Gewissheit sagen. Die Presseabteilung des Anbieters reagierte nicht auf aktuelle und wiederholte Anfragen zu dem Thema.

Wacklige Produkte

Ganz abwegig würde die Sorge, Geld in ein womöglich illegales Produkt investiert zu haben, indes nicht scheinen. Nicht zuletzt die Telekom hat da einschlägige Erfahrungen: So zählte ihr StreamOn-Produkt zu einem der Angebote, dem das EuGH-Grundsatzurteil zu Zero Rating den Stecker gezogen hatte – nachdem es bereits Jahre auf dem Markt war.

Zudem ist bis heute nicht restlos geklärt, ob das aktuelle 5G-Spielepaket der Telekom mit den EU-Regeln vereinbar ist. Unter anderem Verbraucherschützer:innen haben ihre Zweifel; sie fürchten ein Zwei-Klassen-Netz durch die Hintertür. Tatsächlich untersucht die Bundesnetzagentur seit Oktober, ob das Produkt mit den europäischen Netzneutralitätsregeln konform geht.

Eine Pflicht zur Vorab-Kontrolle gebe es hierbei nicht, betont ein Sprecher der Regulierungsbehörde gegenüber netzpolitik.org. Darauf seien die EU-Regeln nicht ausgelegt. Allein lasse man potenziell verunsicherte Netzbetreiber jedoch nicht: Vor der Veröffentlichung neuer Dienste oder Tarife biete man ihnen an, etwaige Unklarheiten gemeinsam zu besprechen. „Marktteilnehmern steht es frei, von diesem Angebot Gebrauch zu machen.“ Mehr will die Behörde über das laufende Verfahren nicht preisgeben.

Digitalministerium hält Regeln für „klar und sachgerecht“

Auch das deutsche Digitalministerium (BMDS) vermutet, dass bezahlte Überholspuren hinter dem Nebensatz aus der EU-Konsultation stecken dürften. Die Passage „ist nach unserem Verständnis vor dem Hintergrund der Hinweise einiger Netzbetreiber zu sehen, die Vorgaben der EU-Verordnung, insbesondere zu Spezialdiensten, würden Innovationen erschweren, vor allem Innovationen auf Basis des 5G-Network Slicings“, teilt ein Sprecher des Ministeriums mit.

Allerdings folgt gleich eine Einschränkung: Dem BMDS seien bisher keine Fälle bekannt, in denen aufgrund der EU-Vorgaben innovative Geschäftsmodelle im Zusammenhang mit Network Slicing untersagt wurden, so der Sprecher. „Wir halten die Vorgaben der EU-Verordnung und die diese erläuternden Leitlinien des GEREK auch grundsätzlich für klar und sachgerecht.“

Dennoch sollten die Sorgen der Netzbetreiber beachtet werden, sagt der BMDS-Sprecher. „Es sollte insbesondere geprüft werden, ob und wie die Rechtssicherheit jenseits gesetzlicher Vorgaben noch weiter verbessert werden kann, ohne die bestehenden Prinzipien der Netzneutralität anzurühren.“

Vorstoß in Richtung Konsolidierung

Ist das Grund zur Entwarnung? Vermutlich nicht, schließlich ist Deutschland nicht das einzige Land in der EU. Vor allem aber spielt sich die aktuelle EU-Konsultation vor dem Hintergrund des anstehenden Digital Networks Act (DNA) ab. Mit dem geplanten Gesetz will die EU-Kommission die Regeln im Telekommunikationsbereich weitflächig umbauen, ein Entwurf ist für Ende des Jahres angekündigt.

Gleich mehrere, teils umfassende EU-Gesetze könnten dann im DNA zusammengeführt werden, wie die Kommission in Aussicht stellt: Der sogenannte TK-Kodex, der erst vor wenigen Jahren vier EU-Richtlinien in eine einzige gegossen hatte und der die Grundlage für die Regulierung der EU-Telekommunikationsmärkte bildet; die GEREK-Verordnung, welche die Kompetenzen des EU-Gremiums absteckt; das Programm für die Funkfrequenzpolitik; sowie die Verordnung über den Zugang zum offenen Internet, die darüber hinaus auch noch Roaminggebühren regelt.

Ein ganz schönes Knäuel, das der DNA entwirren soll. In einem Begleitschreiben zur Konsultation fasst die EU-Kommission ihre Zukunftsvision so zusammen: „Von entscheidender Bedeutung sind ein moderner und einfacher Rechtsrahmen, der Anreize für den Übergang von herkömmlichen Netzen zu Glasfaser-, 5G- und Cloud-Infrastrukturen schafft, sowie ein Größenzuwachs durch die Bereitstellung von Diensten und einen grenzüberschreitenden Betrieb.“




Zeichen stehen auf Deregulierung

Den Boden für den geplanten Umbau haben mehrere Berichte aus den Vorjahren aufbereitet, mit einer gemeinsamen Stoßrichtung: Neben einem Weißbuch von Ex-Kommissar Thierry Breton drängen auch im Auftrag der EU erstellte Papiere von Ex-EZB-Chef Mario Draghi und des italienischen Ex-Premiers Enrico Letta auf Deregulierung, Liberalisierung und generell mehr Markt.

Damit soll nicht nur der Ausbau moderner Infrastruktur, vor allem von Glasfaser und 5G-Mobilfunk, schneller gelingen. Es soll auch die Wettbewerbsfähigkeit großer europäischer Unternehmen stärken, die sich dann besser auf dem Weltmarkt behaupten könnten, so die Hoffnung.

Dass dabei eine Reihe bisheriger Säulen europäischer Regulierungspolitik fallen könnte, hatte schon viele EU-Länder in Alarmbereitschaft versetzt. Zur Debatte stellt die Kommission unter anderem die Vorabregulierung marktdominanter Anbieter, insbesondere von Ex-Monopolisten wie Telekom Deutschland oder Orange, vormals France Télécom. Diese Unternehmen sollen zudem einfacher wachsen und grenzüberschreitend operieren können.

Netzneutralität als Verhandlungsmasse

Darüber steht die Sorge um die Wettbewerbsfähigkeit der EU, die der Kommission offenkundig ein Herzensanliegen ist. Mit entschlackten Berichtspflichten etwa, die ebenfalls auf ihrer Wunschliste stehen, wird es nicht getan sein. Dabei droht die Gefahr, dass die Netzneutralität zur Verhandlungsmasse gerät.

„Die Telko-Industrie versucht hier, mit dem Narrativ der Innovationsbremse die Open-Internet-Verordnung anzugreifen und die Kommission zu umfassender Deregulierung zu bewegen“, sagt Nikola Schiefke vom Bundesverband der Verbraucherzentralen (vzbv). Aus Verbrauchersicht sei zu befürchten, dass in diesem Zuge auch das Netzneutralitätsgebot zur Debatte steht.

Dabei müsse das Prinzip der Gleichbehandlung und Nichtdiskriminierung „unbedingt aufrechterhalten werden, um eine digitale Zweiklassen-Gesellschaft zu verhindern“, sagt Schiefke. „Offener Wettbewerb ist und bleibt der stärkste Motor für technologische Weiterentwicklung und Innovation“, so die Verbraucherschützerin.

Die von der Kommission behauptete Rechtsunsicherheit kann auch Schiefke mit Blick auf die verschiedenen Evaluierungsstudien nicht nachvollziehen. „Zudem genügt der aktuell verfolgte fallbasierte Ansatz, da bisher nur wenige Spezialdienste eingeführt wurden“, sagt Schiefke. Für eine ausreichende Klarheit der Vorgaben spreche auch die begrenzte Anzahl an streitigen Verfahren über ihre Auslegung. „Gäbe es tatsächlich erhebliche Unsicherheiten, käme es vermehrt zu gerichtlichen Auseinandersetzungen“, sagt Schiefke.

Endstation EU-Kommission

Was aber sagt nun die EU-Kommission darüber, die muss es ja schließlich wissen? Nicht viel, zumindest nicht öffentlich. Auf Anfrage verweist eine Kommissionssprecherin lediglich auf den letzten Evaluationsbericht aus dem Jahr 2023.

Tatsächlich finden sich darin abstrakte Verweise auf die Sorgen bestimmter Marktakteure: „Viele größere Anbieter von Internetzugangsdiensten“, schreibt die Kommission – und meint damit wohl die europäischen Ex-Monopolisten –, seien der Ansicht, „dass die derzeitigen Vorschriften und das derzeitige Konzept keine ausreichende Sicherheit böten, um sie in die Lage zu versetzen, Dienste auf der Grundlage von Network-Slicing einzuführen oder Spezialdienste zu definieren.“

Damals ließ die Kommission noch offen, ob es sich wirklich um ein Problem handelt oder nicht. Dagegen spricht etwa die im gleichen Bericht diskutierte Empfehlung von Regulierungsbehörden, es beim fallbezogenen Ansatz zu belassen. Offen blieb damals zudem, ob gegebenenfalls ein tieferer gesetzlicher Eingriff oder ein simples Update der GEREK-Leitlinien angemessen wäre.

Doch welche Innovationen die Netzneutralität angeblich verhindert, kann oder will die Kommission bis heute nicht beantworten. Selbst in besagtem Evaluationsbericht nicht: „Bislang haben weder das GEREK noch die Kommission Kenntnis von konkreten Beispielen, bei denen die Umsetzung der 5G-Technologie durch die Verordnung behindert wird.“



Source link

Datenschutz & Sicherheit

Angreifer können auf Servern mit Supermicro-Boards Hintertüren verankern


Server-Motherboards und Rechenzentrumshardware von Supermicro sind verwundbar. Nach erfolgreichen Attacken können Angreifer sich dauerhaft über eine Hintertür Zugriff verschaffen. Admins sollten ihre Instanzen zeitnah absichern.

Wie aus einem Beitrag hervorgeht, sind Sicherheitsforscher von Binarly auf zwei Sicherheitslücken (CVE-2025-7937 „hoch„, CVE-2025-6198 „hoch„) gestoßen. In beiden Fällen können Angreifer Sicherheitsprüfungen des Baseboard Management Controllers (BMC) umgehen und mit Schadcode präparierte Firmwareimages installieren. Im Anschluss sind Systeme dauerhaft vollständig kompromittiert.

Supermicro listet die Schwachstellen, die betroffenen Motherboards und die Sicherheitsupdates in einer Warnmeldung auf. In dem Beitrag versichern sie, dass sie bislang keine Hinweise auf laufende Attacken entdeckt haben.

Die erste Lücke geht auf eine Schwachstelle (CVE-2025-10237hoch„) von Anfang dieses Jahres zurück. Wie die Sicherheitsforscher eigenen Angaben zufolge herausfanden, war der Sicherheitspatch unvollständig und sie konnten den Schutz umgehen. Die zweite Schwachstelle haben sie neu entdeckt.

Aufgrund von Fehlern bei der Überprüfung von Firmwareimages ist es nach wie vor möglich, Images mit Schadcode zu versehen, ohne dass Sicherheitschecks anschlagen. Den Sicherheitsforschern zufolge stuft der BMC manipulierte Images als korrekt signiert und gültig ein und installiert sie.

Durch das erfolgreiche Ausnutzen der neuen Lücke können Angreifer zusätzlich die BMC-Sicherheitsfunktion Root of Trust (RoT) umgehen. Die prüft beim Booten, ob die Firmware legitim ist. Wie das im Detail abläuft, führen die Sicherheitsforscher in einem Beitrag aus.


(des)



Source link

Weiterlesen

Datenschutz & Sicherheit

Jetzt patchen! Schadcode-Attacken auf ASA/FTD-Firewalls von Cisco


Derzeit nutzen unbekannte Angreifer zwei Sicherheitslücken in Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und Cisco Secure Firewall Threat Defense (FTD) Software aus. Darüber verschaffen sie sich Zugriff auf eigentlich geschützte Bereiche oder führen sogar Schadcode aus. Sicherheitsupdates sind verfügbar.

In welchem Umfang die Attacken ablaufen, ist zurzeit unklar. Um passende Patches zu finden, müssen Admins in den unterhalb dieses Beitrags verlinkten Warnmeldungen bestimmte Rahmenbedingungen in Formularfelder eingeben, sodass als Ergebnis das jeweils passende Update angezeigt wird.

Die beiden ausgenutzten Schwachstellen (CVE-2025-20333 „kritisch„, CVE-2025-20362 „mittel„) betreffen die VPN-Web-Server-Komponente von ASA und FTD. In beiden Fällen sind Attacken aus der Ferne möglich, zum Ausnutzen der kritischen Lücke müssen Angreifer aber bereits authentifiziert sein.

Verfügt ein Angreifer über gültige VPN-Zugangsdaten, kann er präparierte HTTP(S)-Anfragen an verwundbare Instanzen schicken. Im Anschluss ist die Ausführung von Schadcode mit Root-Rechten möglich. Das führt in der Regel zu einer vollständigen Kompromittierung von Systemen.

Im Fall der anderen attackierten Lücke ist keine Authentifizierung vonnöten, und Angreifer können über einen identischen Angriffsweg auf eigentlich abgeschottete URL-Endpoints zugreifen.

Weiterhin haben die Entwickler noch eine weitere „kritische“ Schwachstelle (CVE-2025-20363) in ASA, FTD, IOS, ISO XE und IOS XR geschlossen. Auch hier werden HTTP-Anfragen nicht ausreichend überprüft, sodass Schadcode auf Instanzen gelangen kann.

Erst kürzlich sorgten Root-Sicherheitslücken in Ciscos Netzwerkbestriebssystem IOS und IOS XE für Schlagzeilen.

Liste nach Bedrohungsgrad absteigend sortiert:


(des)



Source link

Weiterlesen

Datenschutz & Sicherheit

Zu unsicher: IT-Dienstleister NTT Data trennt sich wohl von Ivanti-Produkten


Der IT-Dienstleister NTT Data will künftig nicht mehr mit dem Hersteller für Security-Appliances Ivanti zusammenarbeiten. Das schreibt das Unternehmen in einer internen E-Mail, die heise security auszugsweise vorliegt. Der Dienstleister geht hart mit seinem Lieferanten ins Gericht und bezeichnet dessen Geräte dank verschiedener Sicherheitslücken als „inakzeptables Risiko“.

In der Nachricht, die offenbar NTT-Data-intern versandt wurde, heißt es wörtlich: „Trotz kontinuierlicher Überwachung und Kontaktaufnahme konnten wir keine wesentliche Verbesserung der Sicherheitslage feststellen. Daher stellt die weitere Nutzung ein inakzeptables Risiko für unseren Betrieb, die Datenintegrität und das Vertrauen unserer Kunden dar“.

Ivanti fällt immer wieder durch teilweise schwere Sicherheitslücken in seinen Security Appliances auf, zuletzt vor zwei Wochen. Im vergangenen Jahr hatte die US-Cybersicherheitsbehörde CISA gar angeordnet, dass ihr unterstellte Behörden bestimmte Ivanti-Geräte abschalten müssen. Der CEO des Unternehmens hatte dann in einem offenen Brief Besserung gelobt. Die ist jedoch offenbar nur teilweise eingetreten: Zwar hat Ivanti im Vorjahresvergleich etwa zwei Drittel weniger CVE-Nummern für Sicherheitslücken veröffentlicht. Das kann an weniger Fehlern, aber auch weniger Fehlersuche liegen. Doch auch im Jahr 2025 musste die CISA vor einer Schadsoftware warnen, die sich direkt auf den Geräten des Herstellers einnistet – dessen eigenes Sicherheitsteam übersah eine kritische Sicherheitslücke und stufte sie als normalen Programmfehler ein.

Die Sicherheitsprobleme bei Ivanti sind also bereits seit Jahren bekannt, dennoch ist die nun angeblich erfolgende Auslistung bei NTT Data ein ungewöhnlicher Schritt. Das Unternehmen will künftig, so die interne Mitteilung weiter, auf alle Ivanti-Produkte verzichten. Das gelte nicht nur für die eigenen Systeme, sondern insbesondere auch für den Weiterverkauf an Dritte. Auch Verlängerungen für bestehende Verträge sollen unterbleiben und interne Security-Spezialisten würden bei der Umstellung unterstützen, so das Memo. Die japanische NTT Data ist mit ihrer Tochterfirma in Deutschland an mehreren Standorten aktiv und bietet unter anderem Security-Dienstleistungen wie „Managed SOC“ an.

Eine offizielle Bestätigung des Unternehmens steht noch aus. Auf die E-Mail angesprochen, versprach eine Sprecherin des Unternehmens am gestrigen Mittwoch interne Klärung – sowie diese erfolgt ist, werden wir diese Meldung aktualisieren. Ivanti war kurzfristig nicht für eine Stellungnahme zu erreichen.


(cku)



Source link

Weiterlesen

Beliebt