Datenschutz & Sicherheit
Klare Absagen zur Nutzung von Palantir in Sachsen
Über den US-Konzern Palantir und seine Polizeianalysesoftware wird gerade heftig gestritten. Anlass ist die Verfassungsbeschwerde gegen die bayerische Regelung zur automatisierten Datenanalyse in der letzten Woche sowie aktuelle Pläne von Bundesinnenminister Alexander Dobrindt (CSU) zur bundesweiten Nutzung von Palantir. In Sachsen kocht nun die Diskussion ebenfalls hoch.
Seit die Sächsische Zeitung berichtete, dass der dortige CDU-Innenminister Armin Schuster ebenfalls gern Palantir nutzen wolle, regt sich Widerstand. Der Ressortchef hatte sich für eine „Sicherheitsoffensive“ ausgesprochen, um die Möglichkeiten automatisierter Datenanalyse für die Polizei nutzen zu können.
Dabei gelten wegen eines Urteils aus Karlsruhe verfassungsrechtliche Anforderungen, die der polizeilichen Datenanalyse eigentlich quantitative und qualitative Grenzen setzen sollten. In den drei Bundesländern, die aktuell Palantir einsetzen, sind jeweils Verfassungsbeschwerden gegen die Polizeigesetze noch anhängig.
Die politischen Diskussionen und Beschlüsse in den restlichen Ländern sind durchwachsen: In Baden-Württemberg und Sachsen-Anhalt soll die Polizei die Palantir-Analysesoftware einsetzen dürfen, falls die dort aktuell diskutierten Polizeigesetze durch die Parlamente kommen. Dagegen hat Hamburg Palantir gestern der Überwachungssoftware eine deutliche Absage erteilt.
Palantir
Wir berichten mehr über Palantir als uns lieb wäre. Unterstütze unsere Arbeit!
Die politische Situation in Sachsen ist durch die Minderheitsregierung aus CDU und SPD geprägt, die bei Gesetzesänderungen mit anderen Parteien zusammenarbeiten muss. Ohne Zweifel wäre eine Nutzung von Palantir mit einer Änderung des Sächsischen Polizeivollzugsdienstgesetzes verbunden, da in hohem Maße in Grundrechte eingegriffen wird. Das Polizeigesetz ist seit einem Urteil des Sächsischen Verfassungsgerichtshofes (pdf) in Teilen verfassungswidrig und muss ohnehin bis Mitte 2026 überarbeitet werden.
Aber wird mit dieser Novellierung auch eine Regelung zur automatisierten Datenanalyse kommen? Auch wenn Sachsen über einen bestehenden Rahmenvertrag die in „VeRA“ umgetaufte Palantir-Software nutzen wollte, müsste eine Rechtsgrundlage im Sächsischen Polizeivollzugsdienstgesetz geschaffen werden. Wir haben daher nachgefragt, wie die Chancen für den nach Europa expandierenden US-Konzern in Sachsen stehen.
Klare Absage an Schuster

Der Sprecher für Polizeifragen bei der SPD und Vizepräsident des Sächsischen Landtags, Albrecht Pallas, erteilt Ressortchef Schuster eine klare Absage, wenn es um Verträge mit dem milliardenschweren US-Konzern geht, der seit 2020 an der New Yorker Börse gehandelt wird.
Die sächsische Regierung habe die Nutzung von „VeRA“ nicht geplant, es gäbe auch keine Absichtserklärung. Die Äußerungen des sächsischen Innenministers seien lediglich „als CDU-Debattenbeitrag einzuordnen“, so Pallas. Die SPD im Bund und den Ländern habe sich „bereits mehrfach gegen die Nutzung von Palantir ausgesprochen“.
Sachsen hatte im Bundesrat für den Einsatz einer technologieoffenen polizeilichen Analysemöglichkeit gestimmt. Als Zielrichtung hatte das sächsische Innenministerium im April gegenüber netzpolitik.org angegeben, „auf Bundesebene bis 2030 ein gemeinsames Datenhaus zu implementieren“. Auf die Frage, ob sich der sächsische Innenminister für die Nutzung von Palantir oder „VeRA“ für die Polizei in Sachsen einsetze, gibt ein Sprecher aus Schusters Haus nur eine ausweichende Antwort. Der Freistaat plane „gegenwärtig keine eigenständige Beschaffung“. Man sehe aber „den Bedarf einer bundeseinheitlichen Lösung, bei der es sich herstellerunabhängig nicht um Palantir handeln muss“.
Auf die Frage danach, ob bis 2030 auf eine Palantir-„Zwischenlösung“ gesetzt werden sollte, antwortet Pallas knapp, aber deutlich: „Das wäre nicht sinnvoll.“
Das sieht das sächsische Innenministerium etwas anders. Eine Palantir-„Zwischenlösung“ schließt ein Sprecher nicht aus, allerdings würden „die internen Prüf- und Abstimmungsprozesse“ noch laufen.
Töten auf Basis von Metadaten
Keine Daten an „fragwürdige US-Tech-Oligarchen“

Valentin Lippmann, der innenpolitische Sprecher der oppositionellen grünen Fraktion im Landtag, hatte gegenüber der Sächsischen Zeitung von einem „Irrweg“ gesprochen, den der Innenminister einschlage. Gegenüber netzpolitik.org nannte der Innenpolitiker besonders zwei Gründe, die gegen den Einsatz derartiger Analysewerkzeuge sprechen würden. Zum einen handele es sich „um massenhaftes Data-Mining“ durch die Polizei, bei dem „auch die Daten von Bürgerinnen und Bürgern nach unklaren Kriterien verarbeitet werden, die sich vollkommen unverdächtig verhalten“. Das leiste „der Massenüberwachung Vorschub“. Lippmann hält dies „für verfassungsrechtlich unzulässig“.
Zum anderen sieht der Grüne darin eine „gefährliche Aufgabe der digitalen Souveränität“, wenn die Daten der Bürgerinnen und Bürger „in die Hände fragwürdiger US-Tech-Oligarchen“ gelangen würden, „ohne klar zu wissen, was mit diesen Daten geschieht“.

Der Fraktionsvorsitzende und innen- und rechtspolitische Sprecher der Linken in Sachsen, Rico Gebhardt, lehnt Schusters Ansinnen zur Nutzung von Palantir ebenfalls ab. Er betont gegenüber netzpolitik.org: „Hochsensible Daten müssen besonders geschützt werden.“ Auch „unabhängig vom konkreten Anbieter“ gebe es weitere Fragen, etwa was genau solche Software leistet. Gebhardt gibt bei Software zur automatisierten Datenanalyse zu bedenken: „Gibt es über Marketing-Behauptungen hinaus einen Nachweis, dass sie bei der Kriminalitätsbekämpfung und der Strafverfolgung wirkt?“
Er erklärt, dass er zwar noch keinen Entwurf für das zu überarbeitende Sächsische Polizeivollzugsdienstgesetz kenne. „Aber es kann gut sein, dass der Innenminister mit neuen Befugnissen liebäugelt und die Gelegenheit nutzt, hier die KI-Nutzung einzubeziehen.“ Der Palantir-Konzern wirbt damit, in seiner Software auch Künstliche Intelligenz (KI) einzusetzen.
Auch Lippmann befürchtet, dass die notwendige Anpassung des Polizeivollzugsdienstgesetzes von der schwarz-roten Minderheitskoalition genutzt werden wird, um „auch die Rechtsgrundlage für Palantir zu schaffen“.
Dafür bräuchte Schuster allerdings Stimmen der Opposition. Die könne er seitens seiner Fraktion „aktuell nicht in Aussicht stellen“, sagt der Linke Gebhardt. Aber der Innenminister hätte bisher auch noch nicht darum geworben.
Milliardäre „mit zweifelhafter politischer Agenda“
SPD-Mann Pallas weiß über das neue Sächsische Polizeivollzugsdienstgesetz: „Aktuell wird ein Gesetzentwurf durch die Sächsische Staatsregierung erarbeitet.“ Danach gefragt, ob er die Nutzung von Palantir für die Polizei in Sachsen für sinnvoll hält, wird der SPD-Innenexperte deutlich: „Wenn es um die Sicherheit unseres Landes und den Schutz der Bevölkerung geht, lehnen wir den Einsatz kommerzieller Software grundsätzlich ab, auch weil der Staat keine effektive Kontrolle ausüben kann.“
Ein Vertragspartner wie der US-Konzern, der zweifellos kommerzielle Software anbietet, kommt also für Pallas nicht in Frage. Mit Bezug auf die zwei Milliardäre, nämlich Peter Thiel als Palantir-Mitgründer und Alexander Karp als Palantir-CEO, erklärt der SPD-Mann unzweideutig: „In diesen sensiblen Bereichen dürfen wir uns nicht von Milliardären mit zweifelhafter politischer Agenda abhängig machen.“
Innenminister Schuster muss wohl nicht nur um die Stimmen die Opposition buhlen, sondern auch um die des eigenen Koalitionspartners. Sein Ministerium erklärt gegenüber netzpolitik.org: „Eine Änderung der Rechtsgrundlage für eine Befugnis zur anlassbezogenen automatisierten Datenanalyse ist in Vorbereitung.“
SPD-Man Pallas hingegen betont gegenüber netzpolitik.org, dass für die Gesetzesnovellierung eine neue Rechtsgrundlage für eine solche Analysesoftware in der Minderheitskoalition aus CDU und SPD „nicht vereinbart“ sei.
Datenschutz & Sicherheit
Sicherheitsupdate: Schwachstellen gefärhden HCL BigFix Remote Control
Die Endpoint-Management-Plattform HCL BigFix ist verwundbar, und Angreifer können unbefugt Daten einsehen oder mit viel Aufwand und richtigem Timing sogar auf einen privaten Schlüssel zugreifen. Die Schwachstellen finden sich konkret in HCL BigFix Remote Control. Eine abgesicherte Version steht zum Download bereit.
Zwei Gefahren
In einer Warnmeldung führen die Entwickler aus, dass sie die Sicherheitslücken in BigFix Remote Control 10.1 Fix Pack 3 geschlossen haben. Weil die Zugriffsbeschränkung nicht korrekt funktioniert, können Angreifer über das WebUI von BigFix Remote Control auf Server zugreifen und Informationen und bestimmte Websites einsehen (CVE-2025-31965 „hoch„). Wie so ein Angriff im Detail ablaufen könnte, erläutern die Entwickler derzeit nicht.
Setzen Angreifer erfolgreich an der zweiten Schwachstelle (CVE-2025-13176 „mittel„) an, können sie über eine Seitenkanal-Timing-Attacke bei der ECDSA-Signaturberechnung möglicherweise einen privaten Schlüssel wiederherstellen. Dafür öffnet sich den Entwicklern zufolge ein Zeitfenster von lediglich 300 Nanosekunden. Weiterhin ist eine solche Attacke nur bei bestimmten elliptischen Kurven wie NIST P-521 möglich. Demzufolge ist ein derartiger Angriff mit vergleichsweise viel Aufwand verbunden.
In der Warnmeldung gibt es keine Hinweise, dass Angreifer die Lücken bereits ausnutzen. Unklar bleibt auch, woran Admins erfolgreich attackierte Instanzen erkennen können.
(des)
Datenschutz & Sicherheit
Broadcom reduziert den Bitnami-Katalog auf gehärtete Images
Broadcom stellt den Bitnami-Katalog um, der künftig nur noch gehärtete Images enthält. Die anderen Images wandern in einen Legacy-Katalog, den Broadcom nicht mehr pflegt. Zusätzlich gibt es mit Bitnami Secure Images kostenpflichtige Premium-Pakete mit speziellen Update-, Transparenz- und Sicherheitsgarantien.
Der zentrale Bitnami-Katalog – eine Sammlung sofort einsetzbarer Anwendungspakete – wird nur noch Images mit geringerer Angriffsfläche enthalten, die laut Blog-Eintrag „weniger“ CVE-Schwachstellen aufweisen. Ferner darf das Verzeichnis jetzt nur noch Pakete mit dem latest
-Tag anbieten. Alle anderen verschiebt Broadcom in einen Legacy-Katalog, dessen Inhalte der Hersteller jedoch nicht mehr pflegt. Ausgenommen davon sind die Projekte Sealed Secrets und minideb. Das neue Angebot entspricht dem bisherigen Secure-Katalog.
Legacy oder Premium?
Anwendern, deren Helm-Pulls ins Leere laufen, empfiehlt Broadcom, ein Upgrade auf dieselbe Version durchzuführen und den Repository-Parameter auf das Legacy-Verzeichnis umzustellen. Alternativ lassen sich die neuen Premium-Images nutzen. Welche Pakete konkret nur noch legacy sind, oder ein Premiumkonto benötigen, geht aus der Ankündigung von Broadcom nicht hervor.
Die 280 Premiumpakete gibt es über den Broadcom-Distributor Arrow. Der Anbieter managt sie und hat sie auf hohe Sicherheit optimiert. Er verspricht minimale CVE-Angriffsflächen, Updates innerhalb von Stunden und volle Transparenz auch für nicht gepatchte CVE-Schwachstellen. Das soll Lieferkettenangriffe erschweren und IT-Verantwortlichen ein echtes Risikomanagement ermöglichen. Neu sind auch minimale, distroless Helm-Charts, die bis zu 83 Prozent kleiner sind und nur die Hälfte der Pakete zur Laufzeit benötigen.
Hinzu kommen ein Long-Time-Support, eine Metadaten-API (mit SBOMs und VEX) und die Unterstützung von Photon OS.
Bitnami gehört seit der VMware-Übernahme zu Broadcom. Der Virtualisierungsanbieter hatte Bitnami Mitte 2019 übernommen.
Lesen Sie auch
(who)
Datenschutz & Sicherheit
NIS2: Kabinett überantwortet Bundestag offene Baustellen
Das Bundeskabinett hat sich auf einen Entwurf für die Umsetzung der überarbeiteten EU-Netzwerk- und Informationssicherheitsrichtlinie (NIS2) geeinigt. Damit verschiebt die Bundesregierung die meisten ungelösten Probleme der seit bald einem Jahr überfälligen deutschen Umsetzung zur weiteren Debatte in den Bundestag.
„Höheres Sicherheitsniveau“
„Mit dem neuen Gesetz schaffen wir ein deutlich höheres Sicherheitsniveau für unsere Wirtschaft und Verwaltung“, meint Bundesinnenminister Alexander Dobrindt (CSU). Diese würden durch die neuen Vorschriften widerstandsfähiger gegen Cyberangriffe. Damit sollen künftig fast 30.000 statt bisher 4500 Stellen verschärften Cybersicherheitsvorgaben unterliegen.
Während der gescheiterte Versuch der Ampel noch über die europäischen Vorgaben hinausgehen sollte, hat sich Schwarz-Rot auf die Fahne geschrieben, die EU-Richtlinie möglichst ohne jede Übererfüllung umsetzen zu wollen. „Wir setzen dabei auf klare Regeln ohne unnötige Bürokratie“, betont Dobrindt.
Allerdings sind viele der nun in dem Kabinettsentwurf enthaltenen Formulierungen keineswegs klar und unumstritten. So bemängelt etwa der Internetwirtschaftsverband Eco, dass „zentrale Fragen“ offen bleiben, etwa bei geplanten Ausnahmen für Unternehmen, deren kritische Rolle „vernachlässigbar“ ist. „Was politisch pragmatisch klingt, ist europarechtlich heikel“, kritisiert Ulrich Plate für den Eco-Verband.
China-Klausel viel breiter?
Weitere Kritik an der NIS2-Umsetzung übt etwa der Bundesverband Breitbandkommunikation (Breko): Die Regelungen zu sogenannten „kritischen Komponenten“, die die Bundesregierung nun neu formuliert, können deutlich über das hinausgehen, was bislang unter dem „Huawei“-Paragrafen 9b des BSI-Gesetzes verstanden wurde. Breko-Chef Stephan Albers fürchtet, dass damit „nicht nur bei 5G-, sondern auch bei Glasfasernetzen eine Untersagungsmöglichkeit für den Einsatz von geplanten oder bereits in Betrieb befindlichen Bauteilen“ vorgesehen sei.
Sprich: Das Innenministerium könnte in Zukunft viel häufiger den Betrieb von Technologie aus dem nicht immer freundlich gesinnten Ausland untersagen – und Anbieter zum Austausch verpflichten. Allerdings sind die Kriterien für kritische Komponenten durchaus anspruchsvoll, dem Gesetzesentwurf zufolge müssen gleich mehrere erfüllt sein. Genauere Angaben zu der Frage, ob hier eine Ausweitung der Pflichten auf den letzten Millimetern vor dem Kabinettsbeschluss stattgefunden hat, konnte das Innenministerium am Mittag vorerst nicht machen.
Auch bei der Frage, welche öffentlichen Stellen am Ende tatsächlich unter die NIS2-Umsetzung fallen werden, dürften sich die Bundestagsabgeordneten in den kommenden Wochen noch einigen Auseinandersetzungen stellen müssen. Noch während der parlamentarischen Sommerpause sollen die zuständigen Abgeordneten vorarbeiten. Der Bundestag tagt offiziell erst ab dem 10. September wieder. Anschließend soll die deutsche NIS2-Umsetzung dann allerdings schnell durch das parlamentarische Verfahren gehen – ein Versprechen, das in der Vergangenheit bereits mehrfach an der Komplexität der Regelungsmaterie scheiterte.
Kritis-Dachgesetz soll bald folgen
Weiter auf diesen Zwischenschritt warten muss das Komplementärgesetz: Mit dem Kritis-Dachgesetz sollte die Richtlinie zum besseren physischen Schutz kritischer Einrichtungen (CER-Richtlinie) umgesetzt werden – also Vorschriften zu Zäunen, Videoüberwachung, Meldung von Vorfällen und anderen Sicherheitsmaßnahmen. An diesem Gesetz werde weiterhin unter Hochdruck gearbeitet, hieß es am Mittag von einem Sprecher des Bundesinnenministeriums.
(vbr)
-
Datenschutz & Sicherheitvor 2 Monaten
Geschichten aus dem DSC-Beirat: Einreisebeschränkungen und Zugriffsschranken
-
Online Marketing & SEOvor 2 Monaten
TikTok trackt CO₂ von Ads – und Mitarbeitende intern mit Ratings
-
Apps & Mobile Entwicklungvor 2 Monaten
Metal Gear Solid Δ: Snake Eater: Ein Multiplayer-Modus für Fans von Versteckenspielen
-
UX/UI & Webdesignvor 2 Monaten
Philip Bürli › PAGE online
-
Digital Business & Startupsvor 1 Monat
80 % günstiger dank KI – Startup vereinfacht Klinikstudien: Pitchdeck hier
-
Apps & Mobile Entwicklungvor 1 Monat
Patentstreit: Western Digital muss 1 US-Dollar Schadenersatz zahlen
-
Social Mediavor 2 Monaten
LinkedIn Feature-Update 2025: Aktuelle Neuigkeiten
-
Social Mediavor 2 Monaten
Aktuelle Trends, Studien und Statistiken