Bei der Nextcloud GmbH, dem Unternehmen hinter der gleichnamigen Opensource-Kollaborationslösung, gab es womöglich ein Datenleck. Wie Sicherheitsforscher herausfanden, stand eine ElasticSearch-Datenbank mit über 360.000 Einträgen offen und hätte von jedermann ausgelesen werden können.

Bereits am 18. Mai stießen die Forscher auf die Datenbank mit etwa 8 GByte Informationen zu Nextcloud-Kunden, -Partnern und Mitarbeitern. Auch Verträge und Scripte für Nextcloud-Firmenkunden sollen sich in dem offenen ElasticSearch-Cluster befunden haben.

Nachdem die Finder das Unternehmen erst eine Woche darauf auf das Problem hingewiesen hatten schloss die Nextcloud GmbH die Lücke zwei Tage später. Sie informierte die zuständigen Aufsichtsbehörden.

Die Forscher von Cybernews schreiben: „Wenn unser Team den exponierten Datensatz finden konnte, dann hätten Angreifer das auch tun können“. Die Nextcloud GmbH stellt gegenüber heise security klar: „Uns ist derzeit kein Fall bekannt, in dem die Daten missbraucht wurden.“

Fatale Fehlkonfiguration

Ursache des potenziellen Lecks ist nach Angaben des Unternehmens eine Fehlkonfiguration der Hostingstruktur der Nextcloud GmbH. Die Open-Source-Kollaborationssoftware sowie ihre Nutzer seien nicht in Mitleidenschaft gezogen worden: „ Andere Nextcloud-Server unserer Kunden, Partner oder anderer Nutzer sind von diesem Problem nicht betroffen.“

Nextcloud positioniert sich als quelloffene Alternative zu proprietären Lösungen wie Microsofts M365. Das Land Mecklenburg-Vorpommern will zugunsten von Nextcloud auf Sharepoint verzichten.

(cku)

Über seinen Warn- und Informationsdienst hat das Computer Emergency Response Team (CERT) des BSI in einem aktuellen Sicherheitshinweis nochmals auf die Dringlichkeit des seit Ende Juni verfügbaren Portal for ArcGIS Security 2026 Update 2 Patches für Esri ArcGIS Enterprise hingewiesen.

Das auf Geoinformationssysteme (GIS) spezialisierte Softwareunternehmen Esri hatte Administratoren in einem auf den 18. Juni datierten und im Anschluss offenbar mehrfach aktualisierten Security-Bulletin dringend dazu geraten, das Update innerhalb von zwei Wochen einzuspielen.

Wer dies bislang noch nicht getan hat, sollte jetzt handeln: Die Aktualisierung schließt zwei Sicherheitslücken, von denen eine als kritisch eingestuft wurde und für die mittlerweile auch CVE-IDs und weiterführende Informationen vorliegen. Im Bulletin berichtet Esri zudem, dass laut Kundenberichten unsichere Account-Wiederherstellungsmechanismen für gezielte Angriffe missbraucht worden seien.

Verwundbar sind laut Bulletin „Portal for ArcGIS“-Versionen bis einschließlich 12.1 – und zwar grundsätzlich nur dann, wenn im ArcGIS-Enterprise-Deployment vorangelegte (“built-in“) Accounts aktiviert sind.

Remote-Angriffe ohne Authentifizierung

Die beiden Sicherheitslücken mit den IDs CVE-2026-13019 (CVSS-Base-Score 9.8, „critical“) und CVE-2026-13020 (8.1, „high“) fußen auf einem fehlenden Authentifizierungsmechanismus für eine nicht näher bezeichnete kritische Funktion beziehungsweise auf schwachen Passwort-Wiederherstellungsmechanismen. Beide könnten aus der Ferne und ohne vorherige Authentifizierung missbraucht werden, um auf eine ungeschützte Programmbibliothek zuzugreifen (CVE-2026-13019) oder um sich Zugriff auf den angegriffenen Nutzeraccount zu verschaffen (CVE-2026-13020).

Laut Esris Security Bulletin bannt der verfügbare Sicherheitspatch die Gefahr unter anderem dadurch, dass er die bisherige, auf einer Sicherheitsabfrage („recovery question“) basierende Passwortwiederherstellungsfunktion aus der Software entfernt. Dies führe unter Umständen dazu, dass je nach Konfiguration die verantwortlichen Admins oder aber die Nutzer selbst ihre bisherigen Passwörter zurücksetzen müssen.

Hinweise zur Vorgehensweise sowie grundsätzliche Tipps zur besseren Absicherung und Konfiguration von ArcGIS Enterprise sind dem Bulletin sowie auch den detaillierten Relase-Notes zum Patch zu entnehmen.

(ovw)

Mit Hilfe Künstlicher Intelligenz prüfen, ob eingereichte Anträge vollständig sind? Nicht alles, was technisch möglich ist, darf die öffentliche Verwaltung rechtlich tun. Wollen Behörden Technologien testen, brauchen sie sogenannte Erprobungs-Klauseln in einzelnen Gesetzen.

Ende Juni verabschiedete der Bundestag ein Gesetz, das Erprobungen auch dann erlaubt, wenn es eine solche Klausel nicht gibt: das „Gesetz zur Verbesserung der Rahmenbedingungen für die Erprobung von „Innovationen“ in Reallaboren und zur Förderung des regulatorischen Lernens“. Der kurze Name: Bundeserprobungsgesetz, auch Reallabore-Gesetz. Den Entwurf des Bundeserprobungsgesetzes haben die Bundesregierung und Regierungsfraktionen wortgleich eingebracht.

Die Verwaltung soll also auch dann Technologien testen können, wenn es das jeweilige Gesetz wie etwa das Registerzensus-Erprobungsgesetz nicht explizit vorsieht. „Die allgemeine Erprobungsklausel ist wirklich ein Novum im Bundesrecht“, sagt Philipp Amthor (CDU), Parlamentarischer Staatssekretär beim Bundesministerium für Digitales und Staatsmodernisierung. Sie erlaube es Bundesbehörden, von Bundesrecht abzuweichen. „Dadurch können Verwaltungsverfahren unter anderem digitaler und bürgerfreundlicher gestaltet werden“, so Amthor.

Drei gravierende Probleme

Erprobungs-Klauseln in Gesetzen gibt es seit den 1960er-Jahren. Neu ist der umfassende Ansatz des Bundeserprobungsgesetzes. Im Vorfeld bewarb die parlamentarische Initiative um Ralph Brinkhaus (CDU) das Gesetz damit, man könne dringend benötigtem Fortschritt schneller den Weg ebnen. Kürzere Wege, damit Gesetze schneller angepasst werden können. Das läuft unter dem Schlagwort „regulatorisches Lernen“.

Laut Gesetz ist damit gemeint, dass die Verwaltung „Wissen über die Auswirkungen der erprobten Technologien, Produkte, Dienstleistungen, Verwaltungsverfahren“ erwirbt und anhand des Wissens das Gesetz „möglichst schnell“ angepasst werden kann. Das Wissen generiert die Verwaltung in sogenannten Reallaboren, also unter „möglichst realen“ Bedingungen. Die Erprobungsphasen sind dabei zeitlich begrenzt.

Doch hat das Gesetz mindestens drei gravierende Probleme, die der Forderung nach Innovation zuwiderlaufen und demokratische Mechanismen stören: Das Bundeserprobungsgesetz greift erstens empfindlich in den Grundsatz der Gewaltenteilung ein. Zweitens müssen Behörden ihre Erprobungen nicht wissenschaftlich evaluieren. Und schließlich verpflichtet das Gesetz sie auch nicht dazu, ihre Erprobungen öffentlich einsehbar zu dokumentieren. Wie und was die Verwaltung erprobt, entzieht sich damit weitgehend öffentlicher Kontrolle.

Im Widerspruch zur Gewaltenteilung

„Gewaltenteilung schützt die Grundrechte und dient damit dem Schutz der Freiheit der Bürgerinnen und Bürger vor Machtmissbrauch“, so erklärt es das Bundesministerium der Justiz. Doch dieser demokratische Grundsatz wurde im Gesetz aufgeweicht. Der ursprüngliche Gesetzentwurf sah nur Spezial-Erprobungsklauseln vor, etwa für die EUDI-Wallet, der digitalen Brieftasche für Bürger:innen, mit der sie sich ab dem 2. Januar 2027 online ausweisen können.

Erst über die Formulierungshilfe hat der Gesetzgeber einen allgemeinen Teil hinzugefügt und damit den Anwendungsbereich für die Erprobungsklauseln ausgeweitet: Demnach könnten Verwaltungen mit behördlicher Genehmigung für einen bestimmten Zeitraum aus dem normalen Verwaltungsverfahren ausscheren.

Dass eine Behörde als Teil der Exekutiven eine solche Entscheidung treffen darf, lasse sich „schwer mit unseren Gewaltenteilungsgrundsätzen in Einklang bringen“, sagt Sabine Fuhrmann, Rechtsanwältin und Vizepräsidentin der Bundesrechtsanwaltskammer (BRAK). Denn verbindliche Regelungen des Verfahrensrechts auszusetzen, obliegt normalerweise dem Parlament als Teil der Legislative.

Im Klartext: Normalerweise dürfen Verwaltungen nur auf Grundlage von geltendem Recht handeln. Mit dem neuen Gesetz können Behörden nun aber ihr Handeln auf der Basis interner Verwaltungsentscheidungen wesentlich ändern.

Erproben ohne System

Wie mehrere Sachverständige bei einer Anhörung im Mai anmerkten, sei außerdem nicht nachvollziehbar, dass das Gesetz keine Pflicht zur wissenschaftlichen Evaluierung enthalte. Die sei für „regulatorisches Lernen“ jedoch Voraussetzung, so etwa Carlo Zensus von der Bitkom. Wie geht es weiter, wenn das Reallabor erfolgreich war? Wie werden die Reallabore ausgewertet? Wann mündet eine erfolgreiche Erprobung in ein Gesetz? Diese Fragen lasse das Gesetz offen, kritisierte auch Moritz Heuberger von den Grünen bei der zweiten Lesung im Bundestag.

Warum Behörden nicht dazu verpflichtet sind, ihre Erprobungen wissenschaftlich auszuwerten, fragte Sonja Lemke von der Linkspartei im Digitalausschuss. „Es ist unsere Freiheit als Parlament zu entscheiden, wie wir mit der Sache umgehen oder nicht“, so die Antwort von Ralph Brinkhaus (CDU). „Wir halten sehr wenig davon, verpflichtende Mechanismen einzubringen, die die Souveränität des Parlamentes in seiner Entscheidungsfindung unterhöhlen. Das heißt, wir gucken uns an, was passiert ist, wir entscheiden dann, wie wir damit umgehen. Das ist unsere Aufgabe als höchster Souverän.“

Brinkhaus’ Aussage sei ungewöhnlich, erklärt Fuhrmann gegenüber netzpolitik.org. Das Parlament sei nicht dazu gezwungen, Empfehlungen in einem Evaluationsbericht umzusetzen. Das folge aus der bloßen Pflicht zur Evaluation nicht. Ein solcher Bericht sei vielmehr dazu gedacht, den Souverän inhaltlich zu unterstützen. Auch mit einer Pflicht, die Ergebnisse aus Reallaboren wissenschaftlich zu bewerten, liege die Entscheidung klar beim Parlament.

Eigenwillige Definition

Dass die Definition der „Reallabore“ im Gesetz von der wissenschaftlichen Definition abweicht, die sich im Wissenschaftsbetrieb durchgesetzt hat, lässt zudem Zweifel am Innovationswillen der Gesetzgeber aufkommen. Das merkte etwa Oliver Parodi vom Karlsruher Institute of Technology bei der Sachverständigen-Anhörung im Digitalausschuss an. Wissenschaftliche Reallabore seien „Forschungs- und Entwicklungseinrichtungen, die dazu dienen, in einem räumlich abgegrenzten gesellschaftlichen Kontext unter anderem wissenschaftliche wie gesellschaftliche Lernprozesse zu verstetigen.“

Dabei sei es wesentlich, dass Wissenschaft und Gesellschaft zusammenarbeiten. „Reallabore forschen in der, mit der und für die Gesellschaft und vereinen stets Forschungs‑, Gestaltungs- und Bildungsziele“, so Parodi in seiner Stellungnahme. Laut Bundeserprobungsgesetz sei die Beteiligung der Wissenschaft am Prozess der Erprobung aber nur optional.

Tests im Verborgenen

Was die Verwaltung erprobt und zu welchem Zweck, bleibt mit dem Gesetz zudem im Verborgenen. Denn das Gesetz enthält keine Pflicht zur Transparenz. Zwar gibt es eine Reallabore-Innovationsportal vom Bundesministerium für Wirtschaft und Energie, bei dem auch die Federführung für das Bundeserprobungsgesetz liegt. Laut Ministerin Katharina Reiche soll die Plattform Vernetzung und Austausch von Wissen unterstützen und umfasst unter anderem die Themen Bildung, Energie und Klimaschutz, Gesundheitsdigitalisierung und eGovernment. Allerdings müssen die erprobenden Stellen ihre Projekte dort nicht melden, die Teilnahme ist freiwillig.

Von einem Transparenzregister, mit dem Bürger:innen etwa nachvollziehen können, ob der Bund oder ihre Gemeinde bestimmte Technologien erprobt und welche Verwaltungsdaten sie dabei verwenden, ist dieses Portal weit entfernt. Praktisch teste die öffentliche Verwaltung hier unter Ausschluss der Öffentlichkeit, kritisierte die Abgeordnete Lemke im Digitalausschuss.