Die weitgehende Praxis des Schweizer Nachrichtendienstes des Bundes (NDB), die grenzüberschreitende Kommunikation mittels Funk- und Kabelaufklärung flächendeckend zu erfassen, steht vor dem Aus. Das eidgenössische Bundesverwaltungsgericht (BVGer) hat in einem Urteil vom 19. November entschieden, dass die aktuelle Informationsbeschaffung nicht mit der Bundesverfassung und der Europäischen Menschenrechtskonvention (EMRK) vereinbar ist (Az.: A-6444/2020). Hauptgrund: Die in der Schweiz praktizierte Form der „strategischen Fernmeldeaufklärung“ (Sigint) biete keinen ausreichenden Schutz vor Missbrauch und verletze so die Grundrechte der Bürger.
Weiterlesen nach der Anzeige
Der NDB beschafft mit dem Abschnorcheln von Telekommunikation Informationen über sicherheitspolitisch bedeutsame Vorgänge im Ausland. Dazu wird die gesamte grenzüberschreitende Kommunikation erfasst und automatisiert anhand von Suchbegriffen (Selektoren) durchsucht. Rein schweizerische Kommunikation – also jeglicher Austausch, bei dem sich Sender und Empfänger in der Alpenrepublik befinden – darf zwar nicht verwendet werden. Doch die Erfassung breiter Datenströme als solche wurde bereits vom Bundesgericht (BGer) als Massenüberwachung eingestuft. Tatsächlich räumte der NDB auch selbst das Vornehmen einer verdachtsunabhängigen Rasterfahndung bereits ein.
Geklagt hatten der Verein Digitale Gesellschaft sowie mehrere Privatpersonen, darunter Journalisten und ein Rechtsanwalt. Sie monierten eine Verletzung ihrer Grundrechte: Aufgrund der anlasslosen Überwachung bestehe das Risiko, dass auch ihre Daten verarbeitet und möglicherweise ausgewertet würden. Das BGer hatte bereits 2019 festgestellt, dass die Beschwerdeführenden berechtigt sind, die Unterlassung der Funk- und Kabelaufklärung zu verlangen. Es wies das BVGer an, das System umfassend auf seine Konformität mit Verfassung und EMRK zu prüfen.
Das BVGer unterzog das Spionageregime einer strengen Überprüfung, orientiert an den Anforderungen des Europäischen Gerichtshofs für Menschenrechte (EGMR). Dieser verlangte im Urteil Big Brother Watch vs. Großbritannien durchgehende Garantien zum Schutz vor Missbrauch. Der EGMR legte dabei besonderes Gewicht auf die vorgängige unabhängige Genehmigung, die durchgehende Aufsicht durch eine unabhängige Behörde und das Bestehen eines wirksamen Rechtsmittels zur nachträglichen Überprüfung.
In seinem jetzt veröffentlichten Urteil hält das BVGer zwar fest, dass die Umstände, unter denen Kommunikation überwacht werden darf, hinreichend vorhersehbar seien. Es goutierte auch, dass die Kabelaufklärung vorab durch ein unabhängiges Gericht genehmigt werden muss. Dennoch kommt das Gericht zum Schluss, dass das anwendbare Recht keinen ausreichenden Schutz vor Missbrauch bietet. Insbesondere sei nicht gewährleistet, dass der NDB nur erhebliche und richtige Daten bearbeite.
Gravierend ist laut dem Beschluss, dass das Gesetz keine Instrumente zum Schutz journalistischer Quellen und anderer besonders schützenswerter Kommunikation wie etwa zwischen Rechtsanwalt und Mandant enthält. Ferner sei weder eine hinreichend effektive Kontrolle der Informationsbeschaffung sichergestellt, noch stehe Betroffenen ein tatsächlich wirksames Rechtsmittel für einen nachträglichen Check zur Verfügung. Die Beeinträchtigung der Grund- und Konventionsrechte der Beschwerdeführenden sei damit nicht gerechtfertigt.
Weiterlesen nach der Anzeige
Mit diesem Ergebnis müsste die Funk- und Kabelaufklärung eigentlich als Ganzes unterlassen werden. Das Gericht gab dem Gesetzgeber aber eine großzügige Frist von fünf Jahren: Vor dem Hintergrund der Bedeutung der Aufklärung für die Informationsbeschaffung des NDB und der laufenden Gesetzesrevision sollen die Mängel bis dahin behoben werden. Sollte bis 2030 kein rechtskonformer Zustand bestehen, ist die Funk- und Kabelaufklärung zwingend einzustellen. Das Urteil kann beim Bundesgericht noch angefochten werden.
Die Digitale Gesellschaft zeigte sich erfreut über den Erfolg ihrer Beschwerde. Sie wertet das Urteil als historischen Entscheid. Nach Auffassung der Bürgerrechtsorganisation ist die Massenüberwachung durch den Geheimdienst ein Eingriff in die Freiheit, der sofort eingestellt werden müsse. Die gesetzlichen Fehler seien zu groß, um die Praxis aufrechtzuerhalten.
Der NBD erfüllt in der Schweiz die Aufgaben eines Auslandsgeheimdienstes sowie die eines Inlandsnachrichtendienstes zum Schutz der Verfassung. Er ist am ehesten mit einer Kombination aus dem deutschen Bundesnachrichtendienst (BND) und dem Bundesamt für Verfassungsschutz (BfV) vergleichbar. Hierzulande erklärte das Bundesverfassungsgericht den vom BND für Sigint-Zwecke verwendeten Datenstaubsauger im Nachgang der Snowden-Enthüllungen für verfassungswidrig. Der Bundestag hielt das Werkzeug aber prinzipiell für unverzichtbar und reformierte nur die Einsatzbedingungen.
(mki)
Liebe Leser:innen,
das Wort des Jahres ist „KI-Ära“. Das Thema Künstliche Intelligenz „ist aus dem Elfenbeinturm der wissenschaftlichen Forschung herausgetreten und hat die Mitte der Gesellschaft erreicht“, begründet die Gesellschaft für deutsche Sprache ihre Wahl.
Die Bundesdruckerei hockt derweil in ihrer ganz eigenen Abgeschiedenheit. Sie setzt den Datenatlas um, der „souveräne Datenkatalog für die Bundesverwaltung“. Mitarbeitende verschiedener Ministerien und Behörden sollen hier nachschlagen können, wo welche Daten liegen.
Eigentlich eine gute Sache. Doch das Projekt ist offenbar Lichtjahre von der technischen Gegenwart, geschweige denn von irgendeiner „KI-Ära“ entfernt. Zu diesem Schluss kommt zumindest der Wissenschaftler David Zellhöfer in einem Gutachten, über das meine Kollegin Esther diese Woche berichtet hat. Demnach biete der Datenatlas weniger Funktionen als Datenbanken aus dem Jahr 1986, so das markige Urteil. Damals war das Wort des Jahres übrigens „Tschernobyl“. So lange ist das her.
Auf Platz 2 kam vor knapp vierzig Jahren das Wort „Havarie“, was so viel wie Fehler oder Schaden bedeutet. Den will die Bundesdruckerei nun offenbar noch vergrößern. Als wir sie mit den Ergebnissen des Gutachtens konfrontieren, schrieb die bundeseigene GmbH zurück, gegebenenfalls rechtliche Schritte gegen Zellhöfer einzuleiten.
Zellhöfer nahm sein Gutachten daraufhin offline, um sich rechtlich abzusichern. „Ich war unmittelbar eingeschüchtert“, sagte er gegenüber netzpolitik.org, „obwohl die Antwort der Bundesdruckerei in keiner Weise sachlich nachvollziehbar ist.“
Inzwischen ist das Gutachten wieder abrufbar. Und Zellhöfer kann mit mehr Humor auf die Sache schauen. Positiv gesehen könne der Datenatlas auch „als Projekt eines Retro-Computing-Enthusiasten“ durchgehen, sagt er.
Ein bisschen mehr Humor wünsche ich auch der Bundesdruckerei. Dann trägt sich die Atlas-Last gleich leichter.
Habt ein schönes Wochenende!
Daniel
Am Freitagvormittag gibt es offenbar erneut Probleme beim CDN-Anbieter Cloudflare. Verschiedene Webseiten sind nicht verfügbar – sie liefern lediglich einen HTTP-Fehler 500 aus. Die Ursache ist unklar, der Anbieter spricht von „API-Problemen“.
Weiterlesen nach der Anzeige
Fehler 500 beim Besuch von cloudflare.com
Stichproben einiger Webseiten wie cloudflare.com, aber auch die beliebten Störungsmelder downdetector.com und allestoerungen.de sind fehlerhaft oder komplett defekt: Mal fehlt die Startseite komplett, in anderen Fällen lediglich die per Cloudflare-CDN ausgelieferten Assets wie Bilder und Stylesheets
Cloudflares Statusseite hingegen ist, anders als beim vorherigen Ausfall im November, noch immer verfügbar. Sie spricht von Fehlern bei der Cloudflare API und dem Dashboard. „Customers using the Dashboard / Cloudflare APIs are impacted as requests might fail and/or errors may be displayed.“
Wie Cloudflare nun erläuterte, handelte es sich beim Ausfall um eine Auswirkung der kürzlich bekannt gewordenen kritischen „React2Shell“-Sicherheitslücke im React-Framework. Das Unternehmen habe für die Web Application Firewall, die neben Kundendomains offenbar auch die eigene Webseite schützt, eine Änderung eingespielt, um vor CVE-2025-55182 zu schützen. Was genau schiefgegangen sei, werde man später bekanntgeben, so das Unternehmen. Ein Cyberangriff liege nicht vor.
Weiterlesen nach der Anzeige
Der Cloudflare-eigene DNS-Resolver 1.1.1.1 war für viele Telekom-Kunden offenbar am Abend des 3. Dezember nicht erreichbar. Wie Betroffene auf Reddit beklagten, führte das zu Internetausfällen – weil auch die Alternative 1.0.0.1 nicht funktionierte. Mittlerweile scheint diese Störung jedoch behoben, die Ursache ist unklar.
Am Abend des 3. Dezember erreichte keiner der 150 Messpunkte des Monitoringnetzes „RIPE Atlas“ im Netz der Telekom den DNS-Server 1.1.1.1.
(Bild: Reddit-User lordgurke)
Update
05.12.2025,
10:16
Uhr
Cloudflare hat laut eigenen Angaben Problembehebungen vorgenommen und beobachtet die Störung weiter.
Update
05.12.2025,
11:08
Uhr
Erste Fehleranalyse seitens Cloudflare ergänzt.
(cku)
Kaum ist öffentlicher Exploitcode in Umlauf, gibt es erste Berichte zu Angriffen auf React-Server. Sicherheitspatches sind verfügbar.
Weiterlesen nach der Anzeige
Die „kritische“ Lücke (CVE-2025-55182 CVSS Score 10 von 10) ist erst seit wenigen Tagen bekannt und betrifft ausschließlich React-Server. Attacken sollen aus der Ferne und ohne Authentifizierung möglich sein. Durch das Versenden von präparierten HTTP-Anfragen können Angreifer Schadcode auf Systeme schieben und diese so vollständig kompromittieren.
Die Entwickler versichern, die Schwachstelle in den React-Ausgaben 19.0.1, 19.1.2 und 19.2.1 geschlossen zu haben.
Wie aus einem Beitrag eines Sicherheitsforschers auf X hervorgeht, ist mittlerweile Exploitcode in Umlauf. Im gleichen Zeitraum meldet das IT-Sicherheitsteam von Amazon AWS bereits die ersten Attacken. Sie geben in einem Beitrag an, dass ihre AWS-Services von der Lücke nicht betroffen sind.
Die AWS-Sicherheitsforscher ordnen die Attacken staatlichen-chinesischen beziehungsweise chinafreundlichen Bedrohungsakteuren wie Earth Lamia und Jackpot Panda zu. Diese Gruppen haben weltweit primär staatliche Einrichtungen und kritische Infrastrukturen aus dem Energiesektor im Visier.
Dabei sollen die Gruppen äußerst professionell und zügig vorgehen. Dafür nutzen sie den Forschern zufolge unter anderem automatisierte Scan- und Angriffstools. Außerdem verfeinern sie ihre Angriffstechniken stetig, um die Erfolgsquote ihrer Attacken zu steigern. In welchem Umfang die Angriffe ablaufen und ob sie territorial begrenzt sind, ist derzeit nicht bekannt.
Weiterlesen nach der Anzeige
Admins sollten umgehend handeln und ihre React-Server durch die Sicherheitspatches schützen. In ihrem Beitrag führen die Sicherheitsforscher Parameter (Indicators of Compromise, IoC) auf, an denen Admins bereits attackierte Systeme erkennen können.
(des)
Illustrierte Reise nach New York City › PAGE online
Jetzt patchen! Erneut Attacken auf SonicWall-Firewalls beobachtet
Aus Softwarefehlern lernen – Teil 3: Eine Marssonde gerät außer Kontrolle
Top 10: Die beste kabellose Überwachungskamera im Test
Fake It Untlil You Make It? Trifft diese Kampagne den Nerv der Zeit? › PAGE online
Kommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
SK Rapid Wien erneuert visuelle Identität
Schluss mit FOMO im Social Media Marketing – Welche Trends und Features sind für Social Media Manager*innen wirklich relevant?
