Connect with us

Datenschutz & Sicherheit

Europarechts- und verfassungswidrig: Schwarz-Rot soll Pläne für biometrische Internetfahndung zurückziehen


Die Pläne der Bundesregierung, die digitalen Ermittlungsbefugnisse von Sicherheitsbehörden auszuweiten, sind nach Meinung der Organisation AlgorithmWatch europarechtswidrig und stehen im Konflikt mit verfassungsrechtlichen Mindestanforderungen und datenschutzrechtlichen Grundsätzen.

Dabei kommt AlgorithmWatch – wie auch schon zuvor die Gesellschaft für Freiheitsrechte (GFF) – zu dem Schluss, dass man dieses Gesetz nicht mit ein paar Änderungen verbessern könnte. Die verfassungs- und menschenrechtliche Unverhältnismäßigkeit lasse „ausschließlich die Empfehlung zu, die Gesetzentwürfe zurückzuziehen und ein grundsätzliches gesetzliches Verbot des Einsatzes biometrischer Massenerkennungssysteme für öffentliche und private Stellen einzuführen“, so die Zusammenfassung der Stellungnahme zum Gesetz (PDF).

„Flächendeckende Verfolgung aller Menschen im digitalen Raum“

Die schwarz-rote Koalition plant in ihrem „Sicherheitspaket“ einerseits eine biometrische Massenfahndung im Internet zu erlauben sowie andererseits die Zusammenführung und Auswertung polizeilicher Daten mittels automatisierter Datenbankanalyse. Die Stellungnahme der Nichtregierungsorganisation fokussiert sich auf die biometrische Fahndung.

Diese biometrische Internetfahndung sieht die NGO sehr kritisch:

Der biometrische Abgleich ermöglicht die Identifizierung von Personen im öffentlichen Raum und im Internet auf Basis biometrischer Merkmale und schafft somit die technischen Voraussetzungen für eine flächendeckende Verfolgung aller Menschen im (digitalen) öffentlichen Raum.

Laut AlgorithmWatch berührt die Überwachungsmaßnahme zwangsläufig die Grundrechte aller Menschen, sie sei weder erforderlich noch verhältnismäßig. Betroffen seien dabei insbesondere die Grundrechte auf informationelle Selbstbestimmung und freie Meinungsäußerung.

Rückschlüsse auf politische Einstellungen

Die NGO kritisiert, dass die Maßnahme heimlich erfolgt und eine extrem hohe Streubreite hat: Es seien einfach alle Menschen betroffen, deren Gesichtsbilder im Internet zu finden sind. Das ist heute ein großer Teil der Bevölkerung. Zudem gebe es erhebliche Diskriminierungsrisiken, wenn sensible Daten erfasst und verarbeitet werden, wie Aufnahmen von Demonstrationen, Parteiveranstaltungen, Pride-Events, Gewerkschaftskundgebungen oder Gottesdiensten. Solche Aufnahmen lassen Rückschlüsse zu auf politische Haltungen, Parteizugehörigkeit, sexuelle oder religiöse Einstellungen.

Darüber hinaus könnten durch die biometrische Internetfahndung auch Bilder aus dem Kernbereich privater Lebensführung ausgewertet werden wie etwa Kindergeburtstage oder private Familienfeiern. Dieser Kernbereich ist verfassungsrechtlich besonders geschützt. Die öffentliche Verfügbarkeit der Daten, die für einen Abgleich herangezogen werden, ändere nichts daran, dass Schutzbereiche der Grundrechte berührt sind.

In der Stellungnahme verweist AlgorithmWatch darauf, dass das Bundesverfassungsgericht bei Kfz-Kennzeichen, die deutlich weniger sensibel als biometrische Merkmale seien, hohe verfassungsrechtliche Anforderungen aufgestellt habe.

Auch seien die Anforderungen für die geplante massenhafte Verarbeitung biometrischer Daten zu unspezifisch sowie die Einsatzzwecke und Tatbestandsmerkmale zu breit und nicht gewichtig genug, als dass eine grundrechtskonforme Anwendung realistisch erscheine. Hier verweist die Organisation auf den Straftatenkatalog des § 100a Abs. 2 StPO , der regelmäßig erweitert und angepasst werde und sich deshalb nicht zur klaren Begrenzung der Maßnahmen auf schwerwiegende Straftaten eigne. Diese Kritik hatte auch die GFF geäußert.

Technische Ausgestaltung unklar

Der Gesetzentwurf lege außerdem „völlig unzureichend“ dar, wie die Überwachungsmaßnahme technisch vonstattengehen soll. Einerseits sollen die die im Rahmen des biometrischen Abgleichs erhobenen und verarbeiteten Daten nach dessen Durchführung „unverzüglich” gelöscht werden, auf der anderen Seite bleibe der Gesetzentwurf schuldig, wie die Sache technisch funktionieren soll.

Klar ist: Für einen biometrischen Abgleich braucht es eine Datenbank, die mit einem gesuchten Bild verglichen werden muss. Bisherige Systeme von privaten Firmen zur Gesichtssuche im Internet wie beispielsweise PimEyes funktionieren so, dass sie meist illegal alle möglichen Gesichtsbilder aus dem Internet sammeln, auswerten und die biometrischen Merkmale sowie die Fundstellen und Metadaten und Zusatzinformationen dieser Bilder in einer Datenbank hinterlegen. Suche ich nun nach einem Gesicht, werden die biometrischen Merkmale dieses Gesichts mit den in der Datenbank hinterlegten Daten abgeglichen – und die jeweiligen Ergebnisse ausgespuckt.

Bundesregierung will biometrische Fotofahndung im Netz

Wir sind communityfinanziert

Unterstütze auch Du unsere Arbeit mit einer Spende.

Ein durch AlgorithmWatch beauftragtes Gutachten hat festgestellt, dass ein biometrischer Abgleich zwischen Bildern gesuchter Personen und im Internet verfügbaren Fotos ohne Verwendung einer Datenbank nicht sinnvoll umsetzbar ist. Für die NGO ist damit klar, dass das Vorhaben verboten ist, weil die KI-Verordnung der EU eine mittels Künstlicher Intelligenz erstellte Gesichterdatenbank verbieten würde.

Ein Gutachten der Wissenschaftlichen Dienste des Deutschen Bundestages kommt allerdings zu einem leicht anderen Schluss. Demnach verbiete die KI-Verordnung nicht den Aufbau einer Datenbank, sondern nur das „ungezielte Auslesen von Gesichtsbildern mittels KI […], da es die Privatsphäre und den Datenschutz der Betroffenen erheblich beeinträchtigt und das Gefühl ständiger Überwachung erzeugt“.

Das in der KI-Verordnung festgelegte Verbot gelte demnach nur dann, wenn die Strafverfolgungsbehörden die Datenbanken mit Hilfe von KI-Systemen erstellen. Werden dafür keine solchen Systeme verwendet, greife die Verordnung nicht. Genau dieses Schlupfloch könnte die Bundesregierung nutzen wollen, sie lässt aber offen, wie das technisch funktionieren soll.

Auslagerung an Private als Schlupfloch?

AlgorithmWatch kritisiert, dass der Gesetzentwurf eine Art Auslagerungsbefugnis enthalte, für den Fall, dass Polizei- und Strafverfolgungsbehörden den Abgleich technisch nicht selbst durchführen können. Sie erlaubt ausdrücklich eine Übermittlung von Daten zum Zweck eines biometrischen Abgleichs an öffentliche Stellen und private Anbieter sowohl im Inland als auch im Ausland sowie innerhalb wie außerhalb der Europäischen Union.

Auch das könnte ein Schlupfloch sein. Die NGO sagt dazu: „Eine Erlaubnis für solch eine Auslagerung des biometrischen Abgleichs ins (Nicht-EU-)Ausland führt sämtliche durch die Gesetzestexte eingeführten Beschränkungen ad absurdum.“ Damit würde  der in den Gesetzentwürfen beschriebene Vorgang des Löschens aller verarbeiteten Daten nach jeder einzelnen Suchanfrage zur theoretischen Fassade, heißt es in der Stellungnahme. „Aus diesem Grund, so die Vermutung, wird auf die Übermittlung von Daten an Dritte verwiesen, welche den Abgleich im Auftrag deutscher Behörden durchführen würden. Ins Spiel kommen könnten dann solche Anbieter wie PimEyes oder Clearview AI.

Der Staat dürfe aber, so die Stellungnahme, selbst keine rechtswidrigen Angebote Dritter nutzen. „Ein Delegieren der Umsetzung ins Ausland stellt entsprechend keine europa- und grundrechtskonforme Lösung dar.“ Dazu komme, dass derart  schwerwiegende Grundrechtseingriffe nicht an private Unternehmen oder öffentliche Stellen in Drittstaaten ausgelagert werden dürften.



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Warnung vor gefälschten FIFA-Webseiten vor der Fußball-WM 2026


Das FBI warnt vor gefälschten FIFA-Webseiten, die Cyberkriminelle aufsetzen, um damit etwa an Daten oder Geld von potenziellen Opfern zu gelangen. IT-Sicherheitsunternehmen haben etwa die Kampagne der kriminellen Gruppe „Ghost Stadium“ analysiert.

Weiterlesen nach der Anzeige

Die US-amerikanische Bundesbehörde [Link auf https://www.ic3.gov/PSA/2026/PSA260527]FBI verbreitet eine öffentliche Bekanntmachung zu betrügerischen, gefälschten FIFA-Webseiten. Die imitieren die legitime Webseite mitsamt des Brandings, Produktangeboten und weiterem. Sie dienen den bösartigen Akteuren dazu, persönliche Daten zu stehlen oder Finanzbetrug zu begehen.

Die Strafverfolger des FBI haben dabei beobachtet, dass die Täter persönliche Informationen sammeln, gefälschte Tickets und Merchandise verkaufen und möglicherweise noch weitere Straftaten begehen. Mit den persönlichen Daten können die Angreifer neue Konten im Namen der Opfer anlegen und diese letztlich betrügen, schreibt das FBI. Die falschen Webseiten imitieren auch die legitime URL, indem sie Typosquatting-Domains verwenden, etwa „fiffa[.]com“. Sie setzen aber auch thematisch passende Domains wie „jobs-fifa[.]com“.

Zig betrügerische Domains

Das FBI listet bereits zig bekannte betrügerische Domains auf, zu viele, um sie hier abzubilden. Die Ermittler betonen, dass es weitere geben wird und Interessierte daher wachsam bleiben sollen.

Die IT-Forscher von Group-IB haben zudem noch viel mehr betrügerische Webseiten entdeckt. Laut deren Erkenntnissen gibt es bereits mehr als 4300 betrügerische Domains seit August 2025, die die FIFA-Seite fälschen. Die Drahtzieher hinter einer solchen Kampagne nennen die Analysten „Ghost Stadium“. Sie sprechen der Group-IB-Analyse zufolge chinesisch und handeln aus finanziellen Motiven. Sie haben eine pixelgenaue Kopie der FIFA-Webseite erstellt, auch mit einer Single-Sign-on-Authentifizierung, die zudem elf Sprachen unterstützt.

Mehr als 300 Domains laufen mit der betrügerischen Infrastruktur im Hintergrund. Sie greifen das Ping-Identity-SSO-System der FIFA an, um Zugangsdaten abzugreifen. 140 weitere Domains gelten als verdächtig und 3800 sind noch geparkt und warten nur auf ihre Aktivierung. Insgesamt 2513 FIFA-Kontenzugangsdaten für die Domains fifa.com und fifa.org haben die IT-Forscher bereits im Darknet gefunden. Insgesamt hat Group-IB vier unabhängige Betrügerbanden ausgemacht und eine Phishing-as-a-Service-Lieferkette, die vorgefertigte „Betrugsbaukästen“ verkauft und auch automatisierte Ticket-kaufende Bots betreibt. Werbung für die Betrugsseiten läuft etwa über Facebook. Die verlinkte Analyse beleuchtet die betrügerischen Seiten und Hintergründe tiefgehend.

Als Sicherheitshinweise gibt das FBI die bekannten Tipps, etwa die FIFA-Webseite durch manuelle Eingabe der korrekten Adresse in die Adresszeile des Webbrowsers oder aus den Lesezeichen heraus zu besuchen. Bei der Nutzung von Suchmaschinen sollten die Treffer mit der Markierung „Sponsored“ gemieden werden, da die Betrüger oft Werbung für die falschen Domains schalten. Subdomains sollten nur von der offiziellen FIFA-Webseite aus angesteuert werden, nicht über Webseiten von Dritten.

Weiterlesen nach der Anzeige

Nach einer Vereinbarung zwischen FIFA und YouTube wird die Videoplattform offizieller Partner und zur bevorzugten Plattform der anstehenden Fußball-Weltmeisterschaft. Die c’t hat zudem einige Tipps für das heimische Public Viewing des Turniers zusammengestellt.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

UK-Visa-Portal: Großes Datenleck bei falscher ETA-Antragsseite


Für die Einreise nach Großbritannien ist seit dem vergangenen Frühling oftmals eine Einreisegenehmigung namens „ETA“ (Electronic Travel Authorisation) nötig. Neben der offiziellen Webseite gov.uk/eta sind inzwischen zahlreiche Glücksritter mit eigenen Antragsseiten und deutlich überzogenen Preisen online gegangen. Eine dieser Seiten hat nun hunderttausende Dokumente von Antragstellern offen im Netz gelagert.

Weiterlesen nach der Anzeige

Darüber berichtet TechCrunch. Demnach seien mindestens 100.000 Dokumente in einem Amazon-Cloudspeicher (Bucket) zugreifbar gewesen, von Antragstellern, die etwa ihren Ausweis und Selfies im Rahmen des Antragsstellungsprozesses hochgeladen haben. Der Name der betroffenen Webseite lautet demnach „UK Visa Portal“. In der Nacht zum Mittwoch wurden die Daten abgesichert, jetzt sind sie nicht mehr einfach zugreifbar.

Das Amazon-Bucket hatte hochgeladene Daten nicht direkt aufgelistet, die Daten waren nur zugreifbar, wenn die Adresse bekannt war. Die hat jedoch das Backend hinter der „UK Visa Portal“-Webseite offenbar preisgegeben, sodass ein Zugriff möglich war. Die Seite ist dem Bericht zufolge auch unter „UK Visit“ und „ETA-Pass“ erreichbar. Eine Stichprobe von TechCrunch bestätigte die Echtheit der Daten, das Medium hat einige betroffene Individuen kontaktiert.

Möglicher Identitätsdiebstahl

Mit den Ausweiskopien können Angreifer etwa Identitätsdiebstahl begehen. Die weiteren Daten erleichtern zudem echter wirkendes Phishing. Wer diese Webseiten zum Einreichen des ETA-Antrags genutzt hat, sollte daher künftig besondere Vorsicht walten lassen.

Diese Webseiten waren bereits Grund zur Warnung, etwa durch das LKA Niedersachsen oder Verbraucherzentralen. Diese Webseiten sind im Regelfall mindestens überteuert und verlangen ein Vielfaches der eigentlichen Gebühren. Das LKA warnte auch vor betrügerischen Webseiten.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Warnung vor Malware aufgrund von Lieferkettenangriffen


Die US-amerikanische IT-Sicherheitsbehörde CISA hat eine Warnung vor den kürzlich entdeckten Supply-Chain-Angriffen auf mehrere Produkte veröffentlicht. IT-Verantwortliche sollten das zum Anlass nehmen, zu prüfen, ob sie unwissentlich mit Malware verseuchte Pakete einsetzen.

Weiterlesen nach der Anzeige

Insgesamt warnt die CISA vor drei Vorfällen. An erster Stelle stehen die Daemon Tools, die zwischen dem 8. April und 5. Mai 2026 mit Malware infizierte Installer von Daemon Tools Lite ausgeliefert haben. Die Version 12.6 und neuere der Daemon Tools Lite enthalten keinen Schadcode mehr, versichert der Anbieter. Der Vorfall hat einen CVE-Schwachstelleneintrag erhalten (CVE-2026-8398, CVSS 9.8, Risiko „kritisch“). Ungewöhnlich ist die Dringlichkeit, die die CISA zum Fixen vorgibt: Statt der üblichen zwei Wochen haben US-amerikanische Behörden lediglich bis zum 30. Mai Zeit, die bereinigte Software zu verteilen.

Ein weiterer Lieferkettenangriff erfolgte auf TanStack. Dabei haben die bösartigen Akteure 42 Pakete kompromittiert, mit 84 kompromittierten Versionen. Nach nur 20 Minuten sind die infizierten Pakete aufgeflogen (der CVE-Eintrag spricht gar nur von 6 Minuten am 11. Mai 2026, von 19:20 bis 19:26 Uhr UTC) und seitdem als „deprecated“ markiert, es ist jedoch unklar, wie oft sie installiert wurden. Betroffene sollten ihre Zugangsdaten auf jeden Fall erneuern. Der zugehörige CVE-Schwachstelleneintrag hat die Nummer CVE-2026-45321 erhalten (CVSS 9.8, Risiko „kritisch“).

Dritte Supply-Chain-Attacke

Auch das Entwickler-Tool Nx Console wurde im Mai 2026 Opfer eines Supply-Chain-Angriffs. Die Version 18.95.0 war betroffen, zwischen 12:30 und 13:09 Uhr UTC stand kompromittierte Software zum Download bereit. Das Problem ging offenbar von einer vereinzelten Entwickler-Maschine aus, die eine Woche zuvor ein manipuliertes TanStack-Paket gezogen und dann eingebaut hat. Ein Postmortem-Bericht der Nx-Console-Maintainer geht in die Details. Der Schwachstelleneintrag lautet CVE-2026-48027 (CVSS 9.8, Risiko „kritisch“).

Der letzte Vorfall zeigt, dass eine Kompromittierung durch die Lieferkette rasch und zunächst unbemerkt erfolgen kann. Entwickler sollten gegebenenfalls die eingesetzten Pakete einmal prüfen, ob dort bekannt kompromittierte Pakete hereingerutscht sind.


(dmk)



Source link

Weiterlesen

Beliebt