Das Active Directory (AD) bildet das Herzstück fast jeder Unternehmens-IT. Doch dessen Sicherheit fußt auf zwei überalterten und deshalb unsicheren Techniken: der Authentifizierung via NTLM und Kerberos. Wer hier nicht gezielt nachbessert, wird bestraft, denn Kriminelle nutzen diese Schwachstellen routinemäßig, um sich Zugang zu höheren Rechten und wichtigen Daten im Firmennetz zu verschaffen. Unser Webinar zeigt, wo die Probleme liegen, und was Sie dagegen machen können; noch bis zum 31. Januar können Sie Ihr Ticket zum reduzierten Frühbuchertarif buchen.

Obwohl Microsoft das Ende von Net-NTLM (kurz NTLM) bereits angekündigt hat, bleibt das veraltete Protokoll im Alltag allgegenwärtig – und wird Administratoren wohl noch Jahrzehnte begleiten. Da es sich leicht angreifen lässt, spielt NTLM bei Sicherheitsvorfällen oft eine entscheidende Rolle. Doch auch Kerberos, das eigentlich als sicher gilt, ist von Schwachstellen geplagt. Wegen des von Microsoft eingesetzten, veralteten Verschlüsselungsverfahrens RC4 lassen sich schwache Passwörter damit in kürzester Zeit offline knacken.

Praxisnahe Hilfe

Administratoren müssen daher genau verstehen, wo die Schwachstellen beider Protokolle liegen, welche Risiken sie für das eigene Netzwerk bedeuten und wie sie die Gefahren minimieren. Dieses dreistündige heise-security-Webinar erklärt Ihnen nicht nur, warum Kerberos und NTLM weiterhin Probleme bereiten. Referent Frank Ully demonstriert praxisnah, wie Angreifer im AD nicht nur die Kommunikation kapern (Attacker-in-the-Middle, AitM), sondern gezielt Anmeldeversuche erzwingen (Coercion). Er zeigt die verheerenden Folgen von Relaying-Angriffen auf Dateiserver, Domänencontroller und Zertifikatsdienste.

Anschließend erläutert Ully die bewährten Konzepte, um sich schrittweise aus der Gefahrenzone zu bringen. Dazu präsentiert er die notwendigen Gegenmaßnahmen und erklärt, warum deren Umsetzung in der Praxis oft hakt. Das mündet in ein Konzept, mit dem Sie Ihr eigenes Netz schrittweise absichern und verbleibende Restrisiken weitestmöglich einschränken. Ob erfahrener Sicherheitsexperte oder Administrator einer gewachsenen Domäne: Nach diesem Webinar verstehen Sie die Risiken der AD-Authentifizierung und wissen, wie Sie die Lücken effizient schließen.

Zu 100% unabhängig

Das Webinar findet statt am 26. Februar und dauert insgesamt etwa drei Stunden, in denen auch viel Raum für Fragen der Teilnehmer vorgesehen ist. Wie bei allen heise security Events ist die Veranstaltung komplett werbefrei und unabhängig. Sie richtet sich an Administratoren und Sicherheitsverantwortliche in Unternehmen und Behörden aller Größen, die ein AD betreiben. Die Teilnahme kostet aktuell 195 Euro; ab dem 1. Februar erhöht sich der Preis auf 225 Euro. Mitglieder von heise security PRO können natürlich kostenlos daran teilnehmen (ihr erhaltet die Informationen dazu wie üblich über den exklusiven Security-Newsletter am Donnerstag und im PRO-Forum).

Weitere Informationen zum Webinar und die Möglichkeit, sich anzumelden gibt es auf der Webseite zu:

Die Mitgliedschaft bei heise security PRO umfasst übrigens die kostenlose Teilnahme an allen heise security Webinaren und die alljährliche heise security Tour. Mehr Informationen zu heise security PRO finden Sie hier:

(ju)

Neben der staatlichen Kaufprämie für Privatkunden, die bis zu 6000 Euro betragen kann, gibt es für Elektroautos jährlich Geld aus dem CO₂-Handel. Das Stichwort ist die Treibhausgasminderungsquote, abgekürzt THG. Halter von Elektroautos können 2026 ein besseres Ergebnis als 2024 und 2025 erzielen: Statt teilweise weniger als 100 Euro gibt es unter Umständen mehr als 250. Dafür müssen sich die Halter lediglich bei einem Tradingpartner registrieren. Hinter der höheren Ausschüttung steht eine Gesetzesinitiative der Bundesregierung, die geeignet ist, einen üblen Betrug an der Umwelt auszuhebeln.

Der Mechanismus des CO₂-Handels ist im Grundsatz simpel: Die sogenannten Inverkehrbringer von fossilen Kraftstoffen – also Shell, BP und andere – sind verpflichtet, eine jährlich höhere CO₂-Reduzierung der Produkte nachzuweisen. 2020 lag der vorgeschriebene Minderungsanteil bei sechs Prozent gegenüber den ausschließlich rohölbasierten Kraftstoffen von 2016. 2025 betrug das vorgeschriebene Minus 10,6 Prozent. In diesem Jahr sind es 12,1 Prozent. Die Vorgabe von 25,1 Prozent für 2030 entspricht nochmals mehr als einer Verdopplung gegenüber heute. Gelingt es den Ölkonzernen nicht, diese Quoten einzuhalten, sind im Rahmen der EU-Richtlinie „RED III“ 600 Euro Strafzahlung pro Tonne Kohlendioxid fällig, die die Minderungsquote überschreitet. Hier ist also ein Marktmechanismus in Kraft, der preisgünstigere Lösungen als diese 600 Euro pro Tonne belohnt, die wiederum untereinander im Wettbewerb stehen.

Betrugsverdacht bei „fortschrittlichen Biokraftstoffen“

Die bekannteste Maßnahme zur CO₂-Minderung von Dieselkraftstoff und Superbenzin ist die Beimischung von „Biokraftstoffen“. Gemeint ist zum Beispiel Rapsmethylester (Diesel B7) oder Ethanol (Super E5 oder E10). Dieses Verfahren ist aber nicht mehr ausreichend, um die THG-Quote zu erfüllen. Die Konzerne mussten und müssen THG-Zertifikate zukaufen, wovon Elektroautohalter profitieren.

Das war die Leseprobe unseres heise-Plus-Artikels „THG-Quote 2026: Mehr Geld fürs Elektroauto“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.

Wie viel Schuld tragen die Betreiber Sozialer Netze am Leid von Kindern und deren Umfeld? Bauen sie absichtlich Funktionen ein, die Kinder süchtig machen? Welche Verantwortung tragen sie für die Auswahl der Kindern vorgesetzten Inhalte? Solche Fragen sollen Gerichte und Geschworene in den USA entscheiden. Über tausend Klagen sind anhängig, meist von Kindern, deren (hinterbliebenen) Eltern oder Schulverwaltungen. Zudem führt die Mehrheit der US-Staaten Klage. Beklagt sind regelmäßig Alphabet/Google/YouTube, Bytedance/TikTok, Meta Platforms/Facebook/Instagram und Snapchat-Betreiber Snap. In Kalifornien tritt jetzt ein erster Prozess in die Gerichtssaalphase ein.

Alphabet samt Google und YouTube sowie Facebook müssen sich den Vorwürfen einer als K.G.M. bezeichneten 19-Jährigen stellen. Snap und TikTok haben sich durch Vergleiche aus der Affäre gezogen. Wie viel sie dafür zahlen und ob sie Änderungen versprochen haben, ist streng geheim. Schließlich wollen sie nicht, dass sich das herumspricht, denn es sind ja noch über tausend weitere Klagen anhängig.

Durch ihre Vergleiche haben sich Snapchat und TikTok einen Vorteil verschafft: Sie können zuschauen, wie sich YouTube und Facebook vor Gericht schlagen, und beobachten, was bei den Geschworenen gut ankommt und was nicht. Gleichzeitig können sie auf Äußerungen verzichten, die ihnen sonst in einem späteren Verfahren vorgehalten werden könnten.

Testfall KGM

Erkenntnisgewinn ist ganz offiziell der Zweck dieses ersten Prozesses. Weil so viele Klagen anhängig sind, werden sie gebündelt. Bei Bundesgerichten nennt sich das MDL (Multi-District Litigation), bei kalifornischen Gerichten JCCP (Judicial Council Coordination Proceedings). Ausgewählt wurde dort der Superior Court des County Los Angeles, der zahlreiche Klagen in einer Akte zusammenfasst: Im Gerichtsenglisch heißt sie Christina Arlington Smith individually and as successor-interest to Lalani Walton, deceased, et al v Tiktok et al (Az. 22STCV 2135, JCCP5255). „et al“ ist eine lateinische Abkürzung und steht auf beiden Seiten für „und andere“.

Dass alle Klagen irgendwann im Gerichtssaal verhandelt werden, ist ausgeschlossen. Bis dahin wären viele der Kinder in Pension. Das Gericht in LA hat aus den vielen tragischen Fällen drei unterschiedliche für echte Verhandlungen vor Geschworenen ausgewählt: KGM, RKC und Moore. An diesen Urteilen sollen sich später die Vergleichsverhandlungen der vielen anderen Klagen orientieren. Für die beklagten Datenkonzerne steht in den drei Prozessen also viel auf dem Spiel. Die Auswahl der Geschworenen in Los Angeles hat am Dienstag begonnen und wird mindestens bis Donnerstag dauern.

KGM gibt an, seit dem Alter von sechs Jahren YouTube zu nutzen, seit dem Alter von elf Jahren Instagram. Sie wirft den Betreibern vor, ihr schwere psychologische Schäden zugefügt zu haben, insbesondere durch Merkmale wie endlose Webseiten (infinite scroll) und automatisch ablaufende Videos (autoplay). Die Folgen seien Angstzustände, Depressionen, Selbstschädigungen und Suizidalität.

Plattformen sollen sich bessern

Nicht nur fordert sie für sich und ihre Familie Schadenersatz und Strafschadenersatz, der die Sozialen Netze zu Änderungen drängen soll, sondern auch prominente Warnungen auf den Plattformen selbst. Diese sollen die Eltern der Kinder ansprechen. KGMs Mutter hat ausgesagt, dass sie bei entsprechender Warnung die Nutzung durch ihre Tochter eingeschränkt hätte. Die Beklagten stellen die Vorwürfe in Abrede. Tatsächlich würden sie besonderes Augenmerk auf Kinderschutz legen und zahlreiche Maßnahmen ergreifen.

Die Datenkonzerne haben vergeblich versucht, KGMs Klage im Keim zu ersticken. Die Mutter habe die Nutzungsbedingungen gar nicht gelesen, lautete ein Vorbringen; sie hätte die verlangten Warnhinweise also gar nicht wahrgenommen. Natürlich fordert KGM nicht mehr Kleingedrucktes, sondern prominente Einblendungen, die nicht zu übersehen sind. Bytedance meinte (vor dem Vergleich), KGM sei schon vor dem Einstieg in TikTok psychisch geschädigt gewesen.

Ein anderes Argument war, dass für den Leidensweg des Mädchens nicht die Sozialen Netze, sondern schikanierende Mitschüler (Bullies) und Schwierigkeiten in der Familie verantwortlich seien. Und juristisch seien die Klagen ohnehin unzulässig: Tatsächlich verleiht US-Bundesrecht in Section 230 Immunität für Inhalte, die Webseitenbetreiber nicht selbst bereitstellen, sondern die von Dritten gepostet werden (mit Ausnahmen, die hier nichts zur Sache tun). Die erhobenen Vorwürfe stünden allesamt in engem, untrennbarem Zusammenhang mit solchen Inhalten. Nur in bestimmten Fällen haften Betreiber für die Auswahl der Drittinhalte, die sie ihren Nutzern vorsetzen.

Schwierige Beweisführung

Die Richterin hat jedoch alle Anträge auf schnelle Verfahrenseinstellung abgelehnt: KGM habe genügend Beweise vorgelegt, um zu zeigen, dass die Schädigung durch die Gestaltung der Plattformen eingetreten ist, unabhängig von deren konkreten Inhalten.

Darauf werden sich die Anwälte der jungen Frau wohl konzentrieren. Besonders herausfordernd ist, dass sie nicht bloß die Geschworenen davon überzeugen müssen, dass es wirklich die Funktionen Facebooks und YouTubes waren, die die Mandantin geschädigt haben. Und, wenn möglich, dass die Konzerne von der Schädlichkeit wussten. Die Beweisführung muss zudem darlegen, welche Plattform in welchem Umfang zu welcher Schädigung beigetragen hat.

Hinweis: In Deutschland finden Sie Hilfe und Unterstützung bei Problemen aller Art, auch bei Fragen zu Suizid und Mobbing, bei der telefonseelsorge.de und telefonisch unter 0800 1110111. Die Nummer gegen Kummer (Kinder- und Jugendtelefon) lautet 116 111. In Österreich gibt es ebenfalls kostenfreie Hilfsangebote, darunter speziell für Kinder der Kindernotruf unter 0800 567 567 sowie Rat auf Draht unter 147. Dieselbe Telefonnummer führt in der Schweiz zu Pro Juventute.

(ds)