Connect with us

Datenschutz & Sicherheit

EU-Kommission will mit USA geheim verhandeln


Die US-Regierung verlangt von allen Teilnehmenden ihres Visa-Waiver-Programms (VWP), eine „Enhanced Border Security Partnership“ (EBSP) abzuschließen. Das VWP ermöglicht Bürger*innen aus derzeit über 40 Ländern – darunter 24 von 27 EU-Mitgliedstaaten – eine visafreie Einreise in die USA für bis zu 90 Tage. Künftig soll dieses Privileg jedoch an neue Bedingungen geknüpft werden: Die USA fordern einen direkten Zugriff auf nationale Polizeidatenbanken mit Fingerabdrücken und Gesichtsbildern von Teilnehmerstaaten.

Von derartigen Abfragen betroffen wären nicht nur Reisende, sondern grundsätzlich alle Personen, deren Daten im Zuständigkeitsbereich von Grenz- und Polizeibehörden der USA verarbeitet werden. Weigern sich Staaten, diese „Grenzpartnerschaft“ einzugehen, sollen sie aus dem VWP ausgeschlossen werden.

Kommission erhält Verhandlungsmandat

Selbst innerhalb der Europäischen Union existiert kein System, das Polizeibehörden anderer Mitgliedstaaten einen unmittelbaren Zugriff auf nationale Datenbanken erlaubt. In Deutschland allein könnten davon fast sechs Millionen Menschen betroffen sein, die im polizeilichen Informationssystem INPOL mit Gesichtsbildern und Fingerabdrücken gespeichert sind. Rund die Hälfte der erfassten Personen sind Asylsuchende oder ausreisepflichtige Personen.

Kurz vor Weihnachten 2025 erteilten die EU-Staaten der Kommission in Brüssel trotzdem das Mandat, über ein Rahmenabkommen mit den USA zu verhandeln. Dieses soll die Grundlinien für die US-Datenabfragen festlegen. Die konkreten technischen, rechtlichen und organisatorischen Details müssen anschließend in bilateralen Umsetzungsabkommen geregelt werden.

Die Verhandlungsposition der EU bleibt jedoch geheim. Auf eine Anfrage nach dem Informationsfreiheitsgesetz verweigerte die Kommission den Zugang zu dem entsprechenden Dokument. Zur Begründung hieß es, eine Freigabe würde „die Position der Europäischen Kommission bei den Verhandlungen mit den USA schwächen“ und „den Schutz der internationalen Beziehungen beeinträchtigen“.

Erhebliche rechtliche Bedenken

Der Fachanwalt für Strafrecht und IT-Recht Jens Ferner bewertet das geplante Rahmenabkommen mit der EU äußerst kritisch. Die vom Europäischen Gerichtshof (EuGH) geforderten Standards – ein im Wesentlichen gleichwertiges Schutzniveau, die Verhältnismäßigkeit von Überwachungsmaßnahmen und effektiver Rechtsschutz – stünden in „deutlichem Spannungsverhältnis zu den in den USA bestehenden Überwachungsbefugnissen“, schreibt Ferner in einem Gastkommentar für das Magazin „Beck Online“.

Ferner verweist auf die „Schrems II“-Entscheidung des EuGH, in der das Gericht das EU-US-Privacy-Shield für ungültig erklärt hatte, weil US-Überwachungsprogramme nicht auf das zwingend erforderliche Maß beschränkt seien und Betroffene keinen ausreichenden Rechtsschutz genössen. Eine EBSP, die US-Behörden „einen quasi unmittelbaren Online-Zugriff auf biometrische Polizeidaten von Millionen Menschen“ einräume, sei mit dem „tradierten europäischen Daten- und Grundrechtsverständnis“ nicht vereinbar.

Ein unionskonformes Modell müsste mindestens strikte Zweckbindungen vorsehen und sensible Personengruppen wie Zeug*innen, Opfer und Berufsgeheimnisträger ausnehmen, so Ferner. Außerdem müsse eine EBSP am Treffer/Kein-Treffer-Prinzip anknüpfen: Zunächst wird abgefragt, ob ein Datensatz vorhanden ist, danach kann unter engen rechtlichen Voraussetzungen eine Übermittlung beantragt werden. Würden diese Vorgaben nicht eingehalten, sei „mit rechtlichen Auseinandersetzungen vor den Verfassungsgerichten und dem EuGH zu rechnen“.

Berüchtigte US-Behörde ICE könnte Daten nutzen

Der Austausch im EBSP soll auch Personen betreffen, die in „Grenz- und Migrationskontexten“ angetroffen werden. Damit könnten die Daten auch der Einwanderungs- und Zollbehörde ICE zur Verfügung stehen. Unter Präsident Donald Trump wurde diese Behörde massiv ausgebaut. Mit einem zweistelligen Milliarden-Dollar-Budget sind pauschal eine Million Abschiebungen pro Jahr avisiert.

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Zum Einsatz kommen dabei unter anderem umstrittene Überwachungssoftware von Palantir sowie weitere fragwürdige IT-Werkzeuge. Ein direkter Zugriff auf europäische Polizeidaten würde diesen Überwachungs- und Abschiebeapparat erheblich stärken. Das hätte Folgen auch für linke politische Aktivist*innen, deren biometrische Daten nach erkennungsdienstlichen Behandlungen ebenfalls in nationalen oder europäischen Systemen gespeichert sind.

Im Herbst hatte die Trump-Administration eine vermeintliche deutsche „Antifa Ost“ auf eine Terrorliste gesetzt. Möglicherweise unter Befolgung damit verbundener Sanktionen kündigte die GLS Bank daraufhin der Solidaritätsorganisation Rote Hilfe ihre Konten. Ein EBSP-Abkommen könnte in diesem Gefüge auch Einzelpersonen bei der US-Reise Repressalien bescheren.

Frist läuft Ende 2026 ab

Bislang hat nach öffentlich bestätigten Informationen lediglich Bahrain ein EBSP-Abkommen mit den USA abgeschlossen. Laut dem Heimatschutzministerium in Washington umfasst es den „automatisierten“ Austausch biometrischer Daten zur Bekämpfung von Terrorismus, organisierter Kriminalität sowie Drogen- und Migrantenschmuggel.

Die EU-Mitgliedstaaten müssen nun entscheiden, ob und unter welchen Bedingungen sie einen solch weitgehenden Datendeal unterzeichnen wollen, um den visafreien Reiseverkehr im Rahmen des Visa-Waiver-Programms fortzuführen – oder daraus auszusteigen. Die von den USA gesetzte Frist endet am 31. Dezember 2026.



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Fortinet: Sicherheitslücken in FortiOS, FortiSIEM, FortiFone und weiteren


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Fortinet verteilt aktualisierte Software, um teils kritische Sicherheitslücken unter anderem in FortiSIEM und FortiFone zu schließen. IT-Verantwortliche sollten sie rasch installieren, da Schwachstellen in Fortinet-Produkten häufig im Visier von Cyberkriminellen stehen.

Weiterlesen nach der Anzeige

In FortiSIEM können Angreifer aus dem Netz über gezielt präparierte TCP-Anfragen beliebige Befehle und Code einschleusen (CVE-2025-64155, CVSS 9.4, Risiko „kritisch“). Grund ist eine unzureichende Filterung von Elementen, die in Betriebssystembefehlen verwendet werden. Die Fehler korrigieren die Versionen FortiSIEM 7.4.1, 7.3.5, 7.2.7 und 7.1.9. Wer ältere Fassungen einsetzt, muss auf eine der fehlerkorrigierten Stände migrieren. FortiFone 7.0.2 und 3.0.24 oder neuer stopfen zudem eine Lücke, über die nicht autorisierte Angreifer per manipulierten HTTP- oder HTTPS-Anfragen sensible Informationen aus dem FortiFone-Webportal ausspähen können – ohne sich vorher anmelden zu müssen (CVE-2025-47855, CVSS 9.3, Risiko „kritisch“).

Weitere Sicherheitslücken

Eine hochriskante Sicherheitslücke stopfen Updates in FortiOS und FortiSwitchManager. Mit präparierten Anfragen an den cw_acd-Daemon können nicht authentifizierte Angreifer aus dem Netz einen Heap-basierten Pufferüberlauf provozieren. Dabei kann eingeschleuster Schadcode zur Ausführung gelangen (CVE-2025-25249, CVSS 7.4, Risiko „hoch“).

Als temporäre Maßnahme können Admins den „fabric“-Access auf allen Interfaces entfernen. Korrekt dichten die Versionen FortiOS 7.6.4, 7.4.9, 7.2.12, 7.0.18 und 6.4.17, FortiSASE 25.2.c sowie FortiSwitchManager 7.2.7 und 7.0.6 oder neuer das Sicherheitsleck ab. FortiSASE 25.1.a.2 ist verwundbar, jedoch ist zum Ausbessern der Schwachstelle die Migration auf 25.2.c erforderlich.

Zudem korrigiert Fortinet noch sicherheitsrelevante Fehler mit mittlerer oder niedriger Risikoeinstufung in FortiClientEMS, FortiVoice und FortiSandbox.

Die Liste der einzelnen Sicherheitsmitteilungen:

Weiterlesen nach der Anzeige

Fortinet-Sicherheitslücken sind immer wieder im Visier von Angreifern. Vergangene Woche hatte die US-amerikanische IT-Sicherheitsbehörde CISA etwa vor laufenden Attacken im Internet auf eine kritische Sicherheitslücke aus dem Jahr 2020 gewarnt. Mitte Dezember erfolgten zudem Angriffe in freier Wildbahn auf eine Lücke im Single-Sign-On von FortiOS, FortiProxy, FortiSwitchManager und FortiWeb.

Lesen Sie auch


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Malware-Masche: Jobangebote jubeln Entwicklern bösartige Repositories unter


Ein Leser hat uns kontaktiert und einen konkreten Fall auf einem Marktplatz geschildert, der Unternehmen und Freelancer zusammenbringt. Dort erhielt er ein Jobangebot, das mit einem Zugang zu einem Git-Repository versehen war. Ein beim Start des Projekts aufgerufenes, unscheinbares Node-Script lädt dann Schadcode nach und verankert diesen persistent im System.

Weiterlesen nach der Anzeige

Das Klonen des beim Jobangebot mitgeteilten Repositories ist noch harmlos. Erst beim Starten, etwa mittels „npm run“, kommt das bösartige Skript zur Ausführung. Der Analyse des Lesers zufolge lädt das Node-Script mittels HTTP JavaScript-Code aus dem Netz nach. Den wertet es mittels eval() aus – das übersetzt eine übergebene Zeichenkette in Code, der schließlich ausgeführt wird und sich im Benutzerverzeichnis des Systems einnistet. Der Schadcode startet im Hintergrund und verbindet sich zu einem Command-and-Control-Server.

Der nachgeladene Schadcode umfasst Infostealer-Funktionen. Er durchsucht den Rechner nach Profilen von Webbrowsern wie Brave, Chrome, Edge, Opera und weiteren und entschlüsselt die darin abgelegten Zugangsdaten mittels Windows-Data-Protection-API (DPAPI). Zudem sucht und sammelt er Cookies, Wallets etwa von Electrum, Exodus und MetaMask sowie .env-Dateien und überträgt sie dann an die Command-and-Control-Server, ergab die Auswertung unseres Lesers. Die Angreifer können zudem Backdoor-Funktionen zum Ausführen von Shell-Befehlen, das Hochladen von Dateien und das Herunterladen weiterer Dateien nutzen.

GitHub kann im konkreten Fall nichts ausrichten, da es sich um ein privates Repository handelt, teilte Microsoft dem Leser offenbar mit. Im konkreten Fall gab es für das vermeintliche Projekt keine öffentliche Ausschreibung, etwa auf Freelancermap oder bei anderen vergleichbaren Anbietern. Der Betrüger hat sich jedoch die Mühe gemacht und einen Namen ausgewählt, der zu einem Entwicklerprofil passt, wenn man mit der Suchmaschine danach sucht.

Masche global bereits gesichtet

Derartige Git-Repositories kennt Kaspersky seit etwa drei Jahren und nennt die Masche „GitVenom“, für vergiftete Git-Repositories. Ein Artikel auf dev.to beschreibt die Masche im englischsprachigen Raum. Dort nennt der Autor auch einige Alarmzeichen, die auf möglicherweise unheilvolle Jobangebote hindeuten. Etwa unaufgefordert angebotene Jobs, die einfach zu gut klingen, oder Druck, Aufgaben so schnell wie möglich zu erledigen. Die Aufforderung, Code als Teil eines Vorstellungsgesprächs herunterzuladen und auszuführen, ist ebenfalls eine „Red Flag“.

Auf technischer Ebene sollte „überall verteilter base64-kodierter Müll“ aufhorchen lassen oder mitgelieferte Dateien, die niemals genutzt werden. Stutzig machen sollten Beschreibungen im README, die komplett davon abweichen, was der Code tatsächlich macht oder etwa Abhängigkeiten, die keinen Sinn in dem Projekt ergeben. Ganz neue GitHub-Konten ohne nennenswerten Verlauf sind ebenfalls verdächtig, ebenso mehrere gleichartige Projekte vom gleichen Account.

Weiterlesen nach der Anzeige

Entwickler sollen sich schützen, indem sie etwa alles unabhängig überprüfen und nicht der E-Mail blind vertrauen: Gibt es die Firma tatsächlich, wer steckt dahinter? Gibt es die Stellenausschreibung auch auf der Webseite der Organisation? Ist die Firma bereit, auch Video-Anrufe zu machen und antwortet sinnvoll auf Detailfragen zum Unternehmen? Das Isolieren von solchen Entwicklungsumgebungen in virtuelle Maschinen kann helfen, potenziellen Schaden einzuschränken. Auf jeden Fall müssen Entwickler inzwischen ebenfalls sehr vorsichtig sein, um nicht auf fortgeschrittene Malware-Maschen hereinzufallen.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Interrail meldet Datenleck: Auch Ausweisdaten betroffen


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Seit über fünfzig Jahren ermöglicht der Interrail-Pass günstige Bahnreisen quer durch Europa. Verwaltet wird das Pauschalangebot, das sich zunächst primär an junge Leute richtete, von der Eurail B.V. im niederländischen Utrecht. Diese warnt nun ihre Kunden vor einem Datenleck: Ein Unbekannter hatte Zugriff auf die Kundendatenbank des Unternehmens und konnte so womöglich Stamm- und Ausweisdaten der Interrail-Nutzer abgreifen.

Weiterlesen nach der Anzeige

Viele Einzelheiten gibt es zum Vorfall nicht, doch gibt Eurail an, der unbekannte Angreifer hätte auf folgende Daten zugreifen können:

  • Bestell- und Reservierungsinformationen,
  • Kontakt- und Identitätsdaten sowie
  • Nummer, ausstellendes Land und Ablaufdatum von Reisepass oder Personalausweis.

Man speichere bei Interrail-Kunden keine Kopie des Ausweisdokuments, sondern nur die angegebenen Daten, erläutert Eurail. Das gilt jedoch nicht für alle Kunden. Wer eine Fahrkarte im Rahmen des „DiscoverEU“-Programms erworben hat, muss zusätzlich damit rechnen, dass Ausweiskopien, IBAN-Nummer und Gesundheitsdaten in fremde Hände geraten seien, gibt eine separate Meldung an.

Details sind unklar, Ermittlungen laufen

Wann der Vorfall sich ereignete und wen man konkret des Einbruchs verdächtigt, erläutert Eurail nicht. Offenbar ist das Unternehmen jedoch sicher, es handele sich lediglich um eine Einzelperson. Man ermittle weitere Details gemeinsam mit IT-Sicherheitsspezialisten und Forensikern, habe die Sicherheitslücken geschlossen, missbrauchte Zugangsdaten geändert und Sicherheitsmaßnahmen verstärkt. Alle direkt betroffenen Kunden habe man informiert, auch die zuständige Aufsichtsbehörde, die niederländische Autoriteit Persoonsgegevens, sei im Bilde.

Eurail mahnt seine Kunden zur Wachsamkeit: Die Angreifer könnten mit den erbeuteten Daten Phishing- oder Betrugsversuche starten, auch Identitätsdiebstahl sei denkbar. Das Unternehmen hat eine FAQ eingerichtet, um weitere Unterstützung zu leisten.

Weiterlesen nach der Anzeige

Bahntickets zum Pauschal- oder Monatspreis sind attraktive Ziele für Betrüger und Fälscher. Das Deutschlandticket wurde über illegale Shops angeboten, was den Verkehrsunternehmen einen Schaden von bis zu einer halben Milliarde Euro seit 2024 bescherte. Auch Ausweiskopien sind beliebt, weil sie bei Identitätsbetrug helfen – sie werden bisweilen zu Tausenden im Darknet gehandelt.


(cku)



Source link

Weiterlesen

Beliebt