Nach dem Bündnis „Offene Netzwerke“ hat nun auch die Agora Digitale Transformation ein Policy Paper veröffentlicht und empfiehlt mehr Investitionen in und Projekte für offene Plattformen. Europas digitale Öffentlichkeit hänge heute an der Infrastruktur weniger globaler Plattformkonzerne. Was als Komfort begonnen habe, sei längst ein sicherheits-, wirtschafts- und demokratiepolitisches Risiko geworden. Deswegen bestehe Handlungsbedarf, um die digitale Souveränität zu stärken. Der Zeitpunkt für die Veröffentlichung ist bewusst gewählt, denn am 18. November findet in Berlin der „Gipfel zur Europäischen Digitalen Souveränität“ des Digitalministeriums statt.

Grundidee der Empfehlungen ist, dass „bestehende, funktionierende Lösungen aus der Nische in den Mainstream“ geführt werden sollen. Die bestehenden „Nischen-Plattformen“ könnten aufgrund einer Reihe von Mängeln und Herausforderungen ihr Marktpotenzial nicht verwirklichen. Dazu gehören laut dem Papier (PDF) unter anderem Design, Produktentwicklung, Rechtssicherheit, Skalierbarkeit oder auch der Schutz vor Desinformation.

Geld für Entwicklung

Die Agora zählt sowohl das Fediverse wie auch das auf dem AT-Protokoll aufbauende BlueSky zu den offenen Plattformen. Um diese zu fördern, seien mehrere Schritte nötig. Dazu zählt der Thinktank Innovationsförderung und Wissensaustausch. Zur Koordination des Themengebietes empfehlen die Autor:innen die Gründung einer „Agentur für resiliente Kommunikation (ARK)“, diese könne Synergien mit der Bundesagentur für Sprunginnovationen SPRIND und der ebenfalls dort angesiedelten Sovereign Tech Agency (STA) nutzen.

Bei der Innovationsförderung sollen konkrete Verbesserungen offener Plattformen bei der Nutzbarkeit oder der Produktentwicklung angeschoben werden, ebenso sollen Ressourcen für den Aufbau eigener Plattform-Instanzen öffentlicher und zivilgesellschaftlicher Träger bereitgestellt werden.

Beim Thema Rechtssicherheit erwarten sich die Autoren unter anderem Rechtshilfe für Startups im Bereich der offenen Plattformen, ebenso wie eine Art Open-Source-Datenbank zur Erkennung von Darstellungen sexualisierter Gewalt gegen Kinder sowie die Anerkennung der Gemeinnützigkeit des Unterhalts offener Plattforminfrastruktur.

Mehr öffentliche Inhalte auf offene Plattformen

Gleichzeitig solle zu den offenen Plattformen geforscht werden. Hierbei stellt sich Agora unter anderem Potenzialanalysen vor, die Chancen und Bedarfe gemeinwohlorientierter Plattformen und Protokolle für Wirtschaft, Sicherheit und Demokratie in Deutschland und Europa konkret aufzeigen und identifizieren.

Auf der Inhaltsebene empfehlen die Autor:innen, dass öffentlich-rechtliche Inhalte nicht nur über die Mediatheken, sondern auch über offene Plattforminfrastrukturen zugänglich gemacht werden. Wie auch das Bündnis „Offene Netzwerke“ fordert Agora die Einführung des „+1-Prinzips“. Dieses zielt auf die Bundesregierung, Behörden sowie öffentliche Institutionen ab, die öffentliche Mittel nutzen, um auf kommerziellen Plattformen zu kommunizieren.

Sie sollen mindestens eine gemeinwohlorientierte Plattform gleichwertig aktiv bespielen müssen. Nutzer:innen, die auf dem Laufenden bleiben möchten, wären damit nicht gezwungen, Accounts bei kommerziellen Plattformen anzulegen. Gleichzeitig könne das „+1-Prinzip“ dezentrale Netzwerke zusätzlich beleben und stärken, so die Hoffnung.

IBMs IT-Schutzlösung QRadar SIEM und das Serverbetriebssystem AIX sind verwundbar. Die Entwickler haben unter anderem eine „kritische“ Sicherheitslücke mit Höchstwertung geschlossen.

Bislang gibt es keine Berichte, dass Angreifer die Lücken bereits ausnutzen. Um Systeme vor möglichen Attacken zu schützen, sollten Admins die verfügbaren Sicherheitspatches jedoch zeitnah installieren.

Verschiedene Gefahren

In einer Warnmeldung listen die Entwickler vier Schwachstellen in AIX und VIOS auf. Eine davon (CVE-2025-36250) ist mit dem höchstmöglichen CVSS Score 10 von 10 eingestuft. Die Schwachstelle betrifft konkret NIM Server und erlaubt es entfernten Angreifern, eigene Befehle auszuführen. Aufgrund der kritischen Einstufung ist davon auszugehen, dass Systeme nach einer erfolgreichen Attacke als vollständig kompromittiert gelten.

Zwei weitere „kritische“ Schwachstellen (CVE-2025-36251, CVE-2025-36096) erlauben Schadcode-Attacken oder den Zugriff auf private Schlüssel. Setzen Angreifer an einer weiteren Lücke (CVE-2025-36236 „hoch„) an, können sie Dateien ins System schreiben. Die dagegen gerüsteten Versionen sind in der Warnmeldung aufgeführt.

Eine „kritische“ Schwachstelle (CVE-2025-16971) betrifft die Azure-SDK-for-Java-Komponente von QRadar SIEM. Darüber können Angreifer Sicherheitsfeatures umgehen. Was das konkret bedeutet und wie so ein Angriff ablaufen könnte, führen die Entwickler derzeit nicht aus.

Eine weitere Schwachstelle (CVE-2025-33119 „mittel) betrifft die Anmeldung. Sind Angreifer authentifiziert, können sie in Konfigurationsdateien auf Zugangsdaten zugreifen. Die Entwickler geben an, die Sicherheitsprobleme in QRadar 7.5.0 UP14 IF01 gelöst zu haben.

Zuletzt haben die Entwickler eine Root-Sicherheitslücke in IBM Db2 geschlossen.

(des)

Holger Bleich, Joerg Heidrich und Falk Steiner bilden in Episode 147 des c’t-Datenschutz-Podcasts ironisch eine „Selbsthilfegruppe der Überforderten“. Und das nicht ohne Grund: Mit dem digitalen Omnibusgesetz will die EU-Kommission den Berg an Digitalvorschriften lichten – vom Data Act über die E-Privacy-Richtlinie bis hin zur DSGVO. Der Plan: aufräumen, vereinheitlichen und die Compliance-Kosten senken. Die Realität: ein neuer, komplexer Riesenentwurf, der alles verändern könnte.

Besonders die geplanten Änderungen an der DSGVO sorgen für Gesprächsstoff. So soll der Begriff der personenbezogenen Daten enger gefasst werden. Ob eine Information als personenbezogen gilt, hinge künftig davon ab, ob die verarbeitende Stelle selbst eine Person identifizieren kann. Das könnte weitreichende Folgen haben. Positiv bewerten die Experten die geplante Anhebung der Schwelle für die Meldepflicht von Datenschutzpannen. Diese soll künftig erst bei einem „hohen Risiko“ greifen, was Unternehmen und Behörden von Bürokratie entlasten würde. Die Meldefrist würde von 72 auf 96 Stunden verlängert.

Bahn frei fürs KI-Training?

Auch die Regeln für missbräuchliche Auskunftsanträge sollen angepasst werden. Gesundheitsdaten nach Art. 9 DSGVO sollen restriktiver definiert werden. Die Diskutanten sehen diese Entwicklung kritisch, da sie Tür und Tor für umfangreiches Tracking öffnen könnte. Brisant sind die geplanten Erleichterungen für KI-Training: Für die Verarbeitung personenbezogener Daten für maschinelles Lernen soll grundsätzlich ein „berechtigtes Interesse“ ausreichen, statt einer Einwilligung. Steiner und Bleich befürchten, dass von dieser Senkung des Schutzniveaus vor allem große Tech-Konzerne wie Meta und Google profitieren würden.

Große Unklarheit herrscht beim Versuch, das Cookie-Chaos zu beenden. Künftig soll es möglich sein, Tracking mit einem Klick abzulehnen – und diese Entscheidung muss dem Entwurf zufolge sechs Monate lang respektiert werden. Allerdings ist offen, wie Webseiten das technisch erkennen sollen, ohne selbst wieder Daten zu speichern. Steiner fasst das Dilemma trocken zusammen: „Man kann’s einfacher machen – oder komplizierter. Die Kommission hat sich offenbar für Letzteres entschieden.“

Das Fazit der Runde fällt skeptisch aus. Obwohl der Entwurf einige sinnvolle Anpassungen enthält, wirft er vor allem neue Fragen auf und stellt etablierte Praktiken infrage. Statt Rechtsfrieden zu schaffen, drohen jahrelange, neue Auseinandersetzungen vor den Gerichten. Für Steiner ist klar: Dies ist erst der Anfang eines langen und komplizierten Gesetzgebungsprozesses.

Episode 147:

Hier geht es zu allen bisherigen Folgen:

(hob)