Connect with us

Datenschutz & Sicherheit

Groupware Zimbra: Updates stopfen mehrere Sicherheitslücken


Die Entwickler der Groupware Zimbra haben aktualisierte Softwarepakete veröffentlicht. Sie schließen gleich mehrere Sicherheitslücken. IT-Verantwortliche sollten die Updates zügig anwenden.

Weiterlesen nach der Anzeige

Die Changelogs zu den nun verfügbaren Versionen 10.0.18 und 10.1.13 weisen eine größere Zahl an Sicherheitslücken aus, die darin geschlossen wurden. Für Version 10.0.18 sind das:

  • AntiSamy auf Version 1.7.8 aktualisiert und Stored-Cross-Site-Scripting-Lücke entfernt
  • Pfadprüfung in die ExportAndDeleteItemsRequest API eingeführt, um unsichere Dateiexporte zu verhindern
  • Ein CSRF-Enforcement-Problem in bestimmten Authentifizierungs-Flüssen angegangen
  • Lokale File-Inclusion-Schwachstelle ohne vorherige Authentifizierung in RestFilter gelöst
  • Nginx-Modul aktualsiiert, um Sicherheitsstandards und Compliance zu folgen

Version 10.1.13 stopft noch mehr Sicherheitslücken, zusätzlich zu den vorgenannten:

  • Hartkodierte Flickr-API-Zugangsdaten vom Flickr-Zimlet entfernt und diese zurückgezogen
  • Stored Cross-Site-Scripting-Lücke im Zimbra Mail-Client für E-MAils mit PDF-Anhängen korrigiert
  • Eingabe- und „null“-Prüfungen im PreAuthServlet ergänzt, um Preisgabe interner Fehler durch fehlformatierte Anfragen zu verhindern
  • Ein Admin-Konto-Auflistungsproblem gelöst
  • Apache HttpClient-Bibliothek auf Version 4.5.14 aktualisiert

Genaue Details zu den geschlossenen Sicherheitslücken und die Schwachstelleneinträge (CVE) nennen die Entwickler bislang nicht. Allerdings sind Schwachstellen in Zimbra oftmals Ziel von Angriffen Cyberkrimineller – auch, weil einige Regierungseinrichtungen etwa in der EU mit der Groupware Zimbra arbeiten.

Das CERT-Bund des Bundesamts für Sicherheit in der Informationstechnik (BSI) schätzt den Schweregrad der Schwachstellen jedoch bis hinauf zum CVSS-Wert 9.8, also Risiko „kritisch“ ein. Die Analysten gehen davon aus, dass Angreifer durch die Sicherheitslücken unter anderem auch beliebigen Schadcode ausführen und Sicherheitsmaßnahmen umgehen können.

Weiterlesen nach der Anzeige


(dmk)



Source link

Datenschutz & Sicherheit

VLC-Mitentwickler erhält Preis für Freie Software



Jean-Baptiste Kempf erhält den Europäischen South Tyrol Free Software Award (European SFS Award) 2025. Der Preis für besondere Beiträge zur „Kultur der Freien Software“ wird seit 2023 jährlich auf der South Tyrol Free Software Conference (SFSCon) im NOI Techpark in Bozen, Südtirol, vergeben.

Kempf wird ausgezeichnet für seine Mitentwicklung des VLC Media Players und die Gründung des zugehörigen Vereins und Unternehmens VideoLAN und Videolabs. Der VLC Player ist eine quelloffene Anwendung, die viele Multimedia-Formate abspielen kann.

Die Entwicklung begann als Studenten-Projekt an der École Centrale Paris. Jean-Baptiste Kempf erhielt die Software nach dem Abschluss der Hauptgründer am Leben überführte die Entwicklung später in die beiden oben genannten Organisationen. „Für viele Menschen, die herstellergebundene Betriebssysteme verwendeten, war es die allererste Freie Software, die sie jemals installiert haben“, sagt einer der Laudatoren über das Programm.

Verteidiger der Freien Software

Der Europäische SFS Award ist ein Ableger des SFS Awards, der seit 2004 von der Linux User Group Bozen-Bolzano-Bulsan vergeben wird. Der SFS Award hebt besondere Beiträge zur Einführung Freier Software in der Bozen-Region hervor und ging dieses Jahr an Adrian Kuntner. Der Europäische SFS Award erweitert diesen Wirkraum auf ganz Europa und wird von der Linux User Group Bozen-Bolzano-Bulsan in Zusammenarbeit mit der Free Software Foundation Europe (FSFE) seit 2023 vergeben.

Beide Preise werden auf der SFSCon vergeben, einer internationale Open-Source-Konferenz, die dieses Jahr zum 25. Mal Entwickler*innen, Forschende und Interessierte zusammenbringt. Die SFSCon 2025 dreht sich um Gesundheit, digitale Souveränität, IT-Sicherheit und mehr, immer mit Bezug zu Freier Software. Insgesamt 150 Expert*innen versammeln sich zu Vorträgen und Workshops.

Dieses Jahr sprechen dort unter anderem Karen Sandler, Direktorin der Software Freedom Conservancy, Martin Häuer, der Wissenschaftliche Direktor der deutschen Martin-Luther-Universität und Preisträger Jean-Baptiste Kempf selbst. Zu den Workshops zählen ein Hackathon und die Weiterbelebung von ausrangierten Rechnern, die nicht für ein Windows-11-Update geeignet sind, durch die Installation von Linux-Betriebssystemen.



Source link

Weiterlesen

Datenschutz & Sicherheit

Stadt Mannheim bedroht die Versammlungsfreiheit


Viele Demonstrationen in Mannheim starten oder enden auf dem Alten Messplatz. Am Rand des Platzes, an der Alten Feuerwache, hängen acht Überwachungskameras, weitere sind über den Platz verteilt. Insgesamt filmen 70 Kameras die Innenstadt, 46 davon sind an eine KI-Verhaltenserkennung gekoppelt.

Das ist spätestens dann ein Problem, wenn Menschen hier demonstrieren wollen. David Werdermann, Jurist bei der Gesellschaft für Freiheitsrechte, sagt: „Die Versammlungsfreiheit lebt davon, dass Menschen ohne Angst und Einschüchterung ihre Meinung auf der Straße kundtun können.“ Videoüberwachung und KI-gestützte Auswertung könne Menschen von der Versammlungsteilnahme abhalten, „zumal sie sich wegen des Vermummungsverbots nicht gegen eine mögliche Erfassung wehren können“, sagt Werdermann.

Beständige Unsicherheit

Um eine Einschränkung des Versammlungsrechts zu vermeiden, schaltet die Polizei einzelne Kameras angeblich aus, wenn im Überwachungsbereich angemeldete Versammlungen stattfinden – und keine erheblichen Gefahren für die innere Sicherheit und Ordnung bestehen. Protokolle dazu, wann welche Kamera ab- und wieder angeschaltet wurde, will die Mannheimer Polizei allerdings nicht herausgeben. Für Versammlungsteilnehmer*innen bleibt somit die beständige Unsicherheit, ob sie nicht gerade doch gefilmt werden.

„Schon der bloße Eindruck, während einer Demonstration gefilmt zu werden, entfaltet eine erhebliche abschreckende Wirkung – auch wenn die Kameras tatsächlich ausgeschaltet sind“, sagt David Werdermann. Die deutsche Rechtsprechung unterstützt seine Argumentation.

Teilnehmer*innen können nicht hinreichend verlässlich erkennen, ob Kameras in Betrieb sind oder nicht, entschied das Oberverwaltungsgericht Nordrhein-Westfalen 2020. Damit bestätigte es die vorgelagerte Entscheidung, dass öffentliche Videokameras während Versammlungen verhüllt werden müssen. Das Oberverwaltungsgericht Niedersachsen entschied schon 2015, dass auch eine halbausgefahrene Mastkamera eines Polizeifahrzeugs während einer Demonstration nicht rechtens ist, egal ob sie läuft. Allein die Präsenz der Kamera ist zu viel.

Es gibt technische Lösungen

Eigentlich müssten Mitarbeiter*innen der Stadt Mannheim vor jeder Demonstration entlang der Route Kameras vorübergehend außer Betrieb setzen. Dazu könnten sie mit Leitern zu allen Kameras hinaufsteigen und Blenden vor die Linsen schrauben oder einfach Säcke über die Geräte stülpen.

Es gibt allerdings smartere Lösungen: Ein deutscher Hersteller produziert für seine Videoüberwachungssysteme beispielsweise neongelbe Jalousien, die per Mausklick vor die Linsen fahren.



Source link

Weiterlesen

Datenschutz & Sicherheit

Ohne Pflicht zum Scheitern verurteilt


In einer an Datenschutznachrichten nicht gerade armen Woche wäre die Meldung fast untergegangen: Deutschland hat seinen ersten offiziellen Einwilligungs-Manager! Das teilte die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider am Dienstag mit. Ihre Behörde hat den Dienst zertifiziert.

Mit Consenter sollen Menschen einfach und übersichtlich darüber entscheiden können, wem sie im Internet eine Erlaubnis zur Nutzung ihrer Daten erteilen und wem nicht. Das gilt insbesondere für Cookies, die auf Computern und Telefonen gespeichert werden und dafür verwendet werden können, das Online-Verhalten von Menschen zu verfolgen.

Menschen wollen selber bestimmen

Cookies bleiben ein leidiges, aber wichtiges Thema. Eine repräsentative Umfrage im Auftrag der Bundesdatenschutzbeauftragten zeigt: 83 Prozent der Menschen in Deutschland wollen selbst festlegen können, ob und wofür ihre Daten im Internet verwendet werden. Doch nur 43 Prozent der Internetnutzer:innen wissen überhaupt, was genau Cookies sind und wofür sie eingesetzt werden.

Dabei kann es weitreichende Folgen haben, ob wir zustimmen oder nicht. Firmen sehen die Einwilligung oft als Freifahrtschein für sie und ihre 845 Partner, die behaupten, den Datenschutz sehr ernst zu nehmen, aber uns komplett durchleuchten wollen. Wir können aufgrund unseres Online-Verhaltens in eine von hunderttausenden Kategorien gesteckt werden, zum Beispiel in „Moms who shop like crazy“, „Spielsüchtig“ oder „LGBTQ“. Unsere Standortdaten können bei Datenhändlern landen und Fremden unsere Bewegungsmuster offenbaren. Der Umgang mit unseren Daten ist vollkommen außer Kontrolle geraten.

Gegen Kontrollverlust und Einwilligungsmüdigkeit

Einwilligungsmanager sollen nicht nur diesem Kontrollverlust ein Ende bereiten, sondern auch der sogenannten Einwilligungsmüdigkeit. Die hat sich im Laufe all der Jahre bei vielen einstellt, die tagein tagaus scheinbar sinnlose Cookie-Banner wegklicken mussten, die einerseits das Wegklicken mit manipulativen Design erschweren und andererseits nicht gut informieren, was mit den Daten passiert. Es nervt einfach: Ich möchte nicht jeden Tag auf jeder Webseite immer wieder aufs Neue klicken müssen, wenn doch klar ist, dass ich immer die für mich datenschutzfreundlichste Variante haben will. Wieviele Stunden meines Lebens habe ich mit sinnlosem Klicken verbracht?

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Hier könnten Einwilligungsmanager eigentlich helfen. Deutschland ist auf dem Feld Pionier, denn es ist das erste Land in der EU, das dem schon lange bestehenden Konzept einen rechtlichen Rahmen gegeben hat. Es gibt gesetzliche Anforderungen an die Consent-Manager und eine Prüfung durch die BfDI, an deren Ende eine offizielle Zertifizierung stehen kann. Geregelt wird das vom Telekommunikation-Telemedien-Datenschutz-Gesetz (TDDDG) und von der Einwilligungsverwaltungsverordnung. Innovation made in Germany halt.

Spaß beiseite: Es ist natürlich richtig, dass die Dienste klaren Regeln folgen, schließlich sollen die Menschen ihnen vertrauen. So schreibt das TDDDG zum Beispiel vor, dass Einwilligungsmanager „kein wirtschaftliches Eigeninteresse an der Erteilung der Einwilligung und an den verwalteten Daten haben und unabhängig von Unternehmen sind, die ein solches Interesse haben können“.

Ausgerechnet vom guten Willen der Tracking-Industrie abhängig

Die Sache hat nur einen Haken, und zwar einen ziemlich großen, der das ganze Konzept zum Scheitern verurteilt: Die Einwilligungsverwaltungsverordnung regelt auch, dass die „Einbindung von anerkannten Diensten zur Einwilligungsverwaltung durch Anbieter von digitalen Diensten“ freiwillig erfolgen soll.

Mit anderen Worten: Nutzer:innen können so viel managen wie sie wollen – keine Website und keine Tracking-Firma muss die Einwilligungsdienste anerkennen.

Webseiten und Medien leben aber vom Cookie-Werbezirkus, sie setzen auf dieses invasive Erlösmodell auf Kosten unserer Privatsphäre. Hunderte Datenunternehmen profitieren von der Ausleuchtung der Internetnutzer:innen per Cookie und Tracking, sie existieren nur, weil es dieses Modell gibt. Und sie handeln völlig schamlos mit den Daten, wie unsere Recherchen immer wieder zeigen.

Ausgerechnet diesen Firmen wollen wir mit Freiwilligkeit beikommen? Das ist lächerlich: Es gibt keinen Grund dafür, warum sie sich freiwillig dem Regime eines Einwilligungsmanagers unterwerfen sollten, der letztlich ihr Geschäftsmodell angreifen würde. Ohne Verpflichtung bleibt das Modell ein Papiertiger.

Bundesregierung könnte es einfach ändern

Man kann darüber streiten, ob Einwilligungsmanager wirklich ein gutes Werkzeug sind. Ich habe das mit einem der Köpfe hinter Consenter, Maximilian von Grafenstein, neulich in unserem Podcast Off/On getan. Was man nicht tun kann: Einwilligungsmanager als Lösung für ein Problem darstellen und dann darauf hoffen, dass die Tracking-Industrie schon freiwillig den Willen der Nutzer:innen akzeptieren wird.

Wenn die Bundesregierung wollen würde, dass Einwilligungsmanager überhaupt eine Chance haben und nicht zu noch mehr Pseudo-Selbstbestimmung führen, dann müsste sie ihre Anerkennung schnellstmöglich verpflichtend machen. Sie kann das jederzeit und einfach zu tun, wenn sie wollte – denn die Verordnung muss nicht einmal vom Bundestag beschlossen werden.

Tut sie es nicht, verurteilt sie die Dienste zum Scheitern, bevor diese überhaupt ihre Arbeit aufnehmen können.



Source link

Weiterlesen

Beliebt