Bürokratieabbau, Registermodernisierung, DeutschlandID: Auf diese Themen blickt Bundesdigitalminister Karsten Wildberger (CDU) schon seit längerem mit der KI-Brille. Spätestens seit Mittwoch weiß er die Länder dabei hinter sich. Auf der Pressekonferenz zur Digitalministerkonferenz (DMK) demonstrierten Wildberger, die hessische Digitalministerin Kristina Sinemus (CDU) und der Chef der Senatskanzlei Hamburg Jan Pörksen (SPD) Einigkeit bei diesem Thema. Alle drei betonten, dass man beim KI-Einsatz in der öffentlichen Verwaltung an einem Strang ziehe.

Seit 2024 treffen sich die Minister:innen, Senatoren und Staatssekretär:innen der Länder regelmäßig, um über digitalpolitische Entscheidungen zu diskutieren. Die fünfte DMK fand in Hamburg statt und knüpfte inhaltlich an die Föderale Modernisierungsagenda an. Die hatten Bundeskanzler Friedrich Merz (CDU) und die Regierungschef:innen der Länder im Dezember beschlossen. Die 200 Maßnahmen der Föderalen Modernisierungsagenda zielen vor allem darauf ab, Bürokratie abzubauen. Bund und Länder wollen etwa bis Ende 2026 Berichtspflichten für die öffentliche Verwaltung prüfen, um mindestens die Hälfte von ihnen zu streichen.

Ein weiteres Ziel ist ein durchgehend digitalisierter Staat. Zwar lehnte die DMK einen Antrag Schleswig-Holsteins zu „digital only“ ab. Demnach sollen Verwaltungsbehörden nur noch rein digitale Prozesse anbieten und auf papiergebundene Arbeit verzichten. Doch die Uneinigkeit sei nicht inhaltlich begründet, so Sinemus und Wildberger, sondern darin, bis wann dieses Ziel erreicht sein soll. Das Ziel digital only sehen der Koalitionsvertrag und die Föderale Modernisierungsagenda vor. „Der Weg führt klar in diese Richtung“, sagt Wildberger.

Mit KI zurück an die Spitze

Und dieser Weg ist gepflastert mit KI-Projekten. Nur so ließen sich laut Digitalminister ein durchgehend digitaler Staat erreichen und die Wettbewerbsfähigkeit Deutschlands stärken. Daher freut sich Wildberger nach eigenen Angaben auch über Deutschlands Wirkmacht beim KI-Omnibus auf EU-Ebene. Mit der jüngst erzielten Einigung erhalte die Industrie nun „mehr Freiraum“, so der Minister. Die Industrie solle auch bei der Umsetzung des Deutschland-Stacks eine wichtigere Rolle einnehmen.

Seinen Fokus auf generative KI hat Wildberger bereits zu seinem Amtsantritt eingenommen. Besonders deutlich wurde das etwa auf dem Gipfel zur Europäischen Digitalen Souveränität im November vergangenen Jahres und auf der Münchener Sicherheitskonferenz im vergangenen Februar. Im November begrüßte der Minister ausdrücklich die Kooperation des französischen KI-Start-ups Mistral und des deutschen Softwareunternehmens SAP, die nun gemeinsam eine KI-Lösung für die öffentliche Verwaltung bereitstellen wollen. Und er unterzeichnete die deutsch-kanadische Absichtserklärung für nachhaltige Rechenzentren und „wertebasierte KI-Politik“.

Diese wertebasierte Politik sieht der Minister etwa in der bundeseigenen KI-Plattform KIPITZ vom ITZBund und im „preisgekrönten Projekt SPARK“ umgesetzt. Damit sei Deutschland bei KI-basierten Verwaltungsanwendungen sogar „weltweit führend“, lässt sich der Minister auf der Projektwebsite zitieren. Unter dem Projekt SPARK seien demnach mehrere KI-gestützte Genehmigungsverfahren entwickelt worden, die Beschäftigte wirksam entlasten sollen. Neben der Bundesverwaltung würden sie bereits im Stadtstaat Hamburg und im Land Mecklenburg-Vorpommern zum Einsatz kommen, so Wildberger.

Generative KI versus Datenschutz

Mit SPARK will Wildberger auch die schleppende Verwaltungsdigitalisierung adressieren. Fachleute sehen den Ansatz des Ministers kritisch, weil er KI einsetzt, statt Informationen in maschinenlesbare Formate zu übertragen, was die Automatisierung der Verwaltung deutlich beschleunigen und effizienter machen würde. Der Minister füge dem Problemberg nur noch weitere Schichten hinzu, so die Kritik.

Gleichzeitig will Wildberger Hindernisse aus dem Weg räumen, die aus seiner Sicht einer Nutzung von KI-Sprachmodellen im Wege stünden. Ganz oben auf der Liste: der Datenschutz. Laut Föderaler Modernisierungsagenda will der Bund spätestens Ende 2027 eine neue Regelung im Bundesdatenschutzgesetz vorschlagen, „die es öffentlichen Stellen zum Zwecke des Trainings und Einsatzes von KI erlaubt, personenbezogene Daten zu anonymisieren oder zu pseudonymisieren“.

Auch brauche es „eine stärker risikobasierte Ausrichtung der Datenschutz-Grundverordnung“, heißt es in der Modernisierungsagenda weiter, um etwa die Arbeit von KI-Reallaboren zu erleichtern. Das betreffe unter anderem die Einwilligung von Betroffenen und die Zweckbindung der verwendeten Daten.

Nach der Datenschutzgrundverordnung (DSGVO) wie auch nach dem Bundesdatenschutzgesetz dürfen personenbezogene Daten grundsätzlich nicht verarbeitet werden, es sei denn die betroffene Person willigt ausdrücklich ein oder es gibt für den entsprechenden Fall eine gesetzliche Grundlage.

Offene Fragen spielen keine Rolle auf der Digitalministerkonferenz

Die bestehenden datenschutzrechtlichen Bestimmungen würden zu streng ausgelegt und übererfüllt, aus Angst, etwas falsch zu machen, sagte Wildberger am Mittwoch. Außerdem brauche es nicht 17 unterschiedliche Datenschutzgesetze und auch keine Pflicht für die Länder, eigene Datenschutzbeauftragte zu bestellen. Das alles bremse die Digitalisierung staatlicher Verwaltungsprozesse aus, etwa mit Blick auf den Datenaustausch zwischen Behörden.

Auch die Datennutzung, die für das Training von KI-Sprachmodellen eine wesentliche Voraussetzung ist, will der Minister erleichtern. Dazu müssten Bund und Länder an den geltenden Datenschutz-Rechtsrahmen ran, der sich mit dem Einsatz von KI nur schwer vereinbaren ließe, wie auch die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider im Dezember gegenüber netzpolitik.org sagte. So sei etwa unklar, wie man Betroffenenrechte und Löschansprüche bei KI-Systemen nach dem Training geltend macht, sagt Specht-Riemenschneider.

Derartige Fragen, die eigentlich einer größeren gesellschaftlichen Debatte bedürfen, tauchen im Beschluss zum „Paradigmenwechsel im Datenschutz“ der DMK allerdings nicht auf. Auch hier sind sich alle Beteiligten offenbar einig.

Google hatte zum Mittwoch das wöchentliche Browserupdate für Chrome veröffentlicht. Inzwischen liefern die Entwickler auch die damit geschlossenen Sicherheitslücken nach: 79 an der Zahl, 14 davon bedeuten ein kritisches Risiko.

In der Versionsankündigung reißt Google wie immer kurz an, in welcher Komponente die Schwachstellen zu finden sind und welchen Schweregrad sie haben. Weitere Details finden sich dort nicht, jedoch lassen sich die Schwachstellen im Regelfall durch das Anzeigen manipulierter Webseiten missbrauchen. Die kritischen und hochriskanten Lücken ermöglichen im Regelfall das Ausführen von Schadcode, das Ausbrechen aus der Sandbox oder das Abgreifen sensibler und anderweitig missbrauchbarer Informationen.

Alleine acht der kritischen Lecks basieren auf „Use-after-free“, also dem Zugreifen auf Ressourcen, nachdem sie bereits freigegeben wurden, wodurch ihr Inhalt undefiniert ist und oft Codeschmuggel erlaubt. Dazu kommen zwei Integer-Überläufe, ein Heap-basierter Pufferüberlauf, einmal unzureichende Prüfung von nicht vertrauenswürdigen Nutzereingaben, einmal ein Problem mit einem Objekt-Lebenszyklus sowie eine Race Condition ausgerechnet in der Payments-Komponente, die zum automatischen Ausfüllen dient und Google Pay und die darin gespeicherten Kreditkarteninformationen einbindet.

Weitere 37 Lücken stufen Googles Entwickler als Risiko „hoch“ ein, 28 immerhin noch als „mittleres“. Immerhin: Google erwähnt nicht, dass eine davon in freier Wildbahn attackiert würde. Dennoch sollten Nutzer und Nutzerinnen von Chrome und auf dem Chromium-Projekt basierenden Browsern zügig prüfen, ob die Updates inzwischen angewendet wurden.

Aktualisierte Versionen

Google gibt an, dass Chrome 148.0.7778.167 für Android, 148.0.7778.166 für iOS, 148.0.7778.167 für Linux und 148.0.7778.167/168 für macOS und Windows die zahlreichen sicherheitsrelevanten Fehler ausbügeln. Das Update liefert etwa der Versionsdialog aus, der sich durch Öffnen des Browser-Menüs und den weiteren Klick-Pfad über „Hilfe“ zu „Über “ öffnet. Unter Linux ist in der Regel die distributionseigene Softwareverwaltung aufzurufen. Auf Mobilgeräten finden sich die Updates im jeweiligen App-Store – oftmals jedoch mit deutlicher Verzögerung.

Auf Chromium basierende Browser wie Microsofts Edge dürften in Kürze ebenfalls Sicherheitsupdates liefern. Allerdings steht insbesondere für Edge zum Meldungszeitpunkt noch kein entsprechender Hinweis auf Microsofts Auflistung der Sicherheitsupdates.

In der vergangenen Woche hatten Googles Programmierer sogar noch mehr Sicherheitslücken behandelt, insgesamt ​127 Stück. Da waren allerdings lediglich drei als kritisches Risiko eingestuft.

Siehe auch:

(dmk)

Nutzen Angreifer eine Schwachstelle in VMware Fusion erfolgreich aus, können sie sich unter bestimmten Bedingungen Root-Nutzerrechte verschaffen. Nun haben die Entwickler die Lücke geschlossen.

Attacke mit weitreichenden Folgen

Mit VMware Fusion erstellt man unter macOS virtuelle Maschinen. Angreifer können an einer Race-Condition-Schwachstelle (TOCTOU, Time-of-Check to Time-of-Use) ansetzen [–] in einer Binärdatei mit SETUID. In so einem Fall passen Angreifer eine bestimmte Zeitspanne zwischen der Prüfung und Nutzung einer Ressource ab, um die Ressource zu manipulieren und so Schindluder zu treiben.

In diesem Fall können sie sich auf einem nicht näher ausgeführten Weg root-Rechte verschaffen und im Anschluss mit hoher Wahrscheinlichkeit die volle Kontrolle erlangen (CVE-2026-41702 „hoch“). Als Voraussetzung für eine Attacke müssen Angreifer aber bereits authentifiziert sein.

Davon ist die Ausgabe 25H2 von VMware Fusion bedroht. Die Entwickler versichern, die Version 26H1 repariert zu haben. Bislang gibt es keine Berichte über Attacken.

(des)