Connect with us

Datenschutz & Sicherheit

Klare Absagen zur Nutzung von Palantir in Sachsen


Über den US-Konzern Palantir und seine Polizeianalysesoftware wird gerade heftig gestritten. Anlass ist die Verfassungsbeschwerde gegen die bayerische Regelung zur automatisierten Datenanalyse in der letzten Woche sowie aktuelle Pläne von Bundesinnenminister Alexander Dobrindt (CSU) zur bundesweiten Nutzung von Palantir. In Sachsen kocht nun die Diskussion ebenfalls hoch.

Seit die Sächsische Zeitung berichtete, dass der dortige CDU-Innenminister Armin Schuster ebenfalls gern Palantir nutzen wolle, regt sich Widerstand. Der Ressortchef hatte sich für eine „Sicherheitsoffensive“ ausgesprochen, um die Möglichkeiten automatisierter Datenanalyse für die Polizei nutzen zu können.

Dabei gelten wegen eines Urteils aus Karlsruhe verfassungsrechtliche Anforderungen, die der polizeilichen Datenanalyse eigentlich quantitative und qualitative Grenzen setzen sollten. In den drei Bundesländern, die aktuell Palantir einsetzen, sind jeweils Verfassungsbeschwerden gegen die Polizeigesetze noch anhängig.

Die politischen Diskussionen und Beschlüsse in den restlichen Ländern sind durchwachsen: In Baden-Württemberg und Sachsen-Anhalt soll die Polizei die Palantir-Analysesoftware einsetzen dürfen, falls die dort aktuell diskutierten Polizeigesetze durch die Parlamente kommen. Dagegen hat Hamburg Palantir gestern der Überwachungssoftware eine deutliche Absage erteilt.

Palantir

Wir berichten mehr über Palantir als uns lieb wäre. Unterstütze unsere Arbeit!

Die politische Situation in Sachsen ist durch die Minderheitsregierung aus CDU und SPD geprägt, die bei Gesetzesänderungen mit anderen Parteien zusammenarbeiten muss. Ohne Zweifel wäre eine Nutzung von Palantir mit einer Änderung des Sächsischen Polizeivollzugsdienstgesetzes verbunden, da in hohem Maße in Grundrechte eingegriffen wird. Das Polizeigesetz ist seit einem Urteil des Sächsischen Verfassungsgerichtshofes (pdf) in Teilen verfassungswidrig und muss ohnehin bis Mitte 2026 überarbeitet werden.

Aber wird mit dieser Novellierung auch eine Regelung zur automatisierten Datenanalyse kommen? Auch wenn Sachsen über einen bestehenden Rahmenvertrag die in „VeRA“ umgetaufte Palantir-Software nutzen wollte, müsste eine Rechtsgrundlage im Sächsischen Polizeivollzugsdienstgesetz geschaffen werden. Wir haben daher nachgefragt, wie die Chancen für den nach Europa expandierenden US-Konzern in Sachsen stehen.

Klare Absage an Schuster

Albrecht Pallas
Albrecht Pallas, Innenexperte und Vizepräsident des Sächsischen Landtags. CC-BY-SA 4.0 Julian Hoffmann

Der Sprecher für Polizeifragen bei der SPD und Vizepräsident des Sächsischen Landtags, Albrecht Pallas, erteilt Ressortchef Schuster eine klare Absage, wenn es um Verträge mit dem milliardenschweren US-Konzern geht, der seit 2020 an der New Yorker Börse gehandelt wird.

Die sächsische Regierung habe die Nutzung von „VeRA“ nicht geplant, es gäbe auch keine Absichtserklärung. Die Äußerungen des sächsischen Innenministers seien lediglich „als CDU-Debattenbeitrag einzuordnen“, so Pallas. Die SPD im Bund und den Ländern habe sich „bereits mehrfach gegen die Nutzung von Palantir ausgesprochen“.

Sachsen hatte im Bundesrat für den Einsatz einer technologieoffenen polizeilichen Analysemöglichkeit gestimmt. Als Zielrichtung hatte das sächsische Innenministerium im April gegenüber netzpolitik.org angegeben, „auf Bundesebene bis 2030 ein gemeinsames Datenhaus zu implementieren“. Auf die Frage, ob sich der sächsische Innenminister für die Nutzung von Palantir oder „VeRA“ für die Polizei in Sachsen einsetze, gibt ein Sprecher aus Schusters Haus nur eine ausweichende Antwort. Der Freistaat plane „gegenwärtig keine eigenständige Beschaffung“. Man sehe aber „den Bedarf einer bundeseinheitlichen Lösung, bei der es sich herstellerunabhängig nicht um Palantir handeln muss“.

Auf die Frage danach, ob bis 2030 auf eine Palantir-„Zwischenlösung“ gesetzt werden sollte, antwortet Pallas knapp, aber deutlich: „Das wäre nicht sinnvoll.“

Das sieht das sächsische Innenministerium etwas anders. Eine Palantir-„Zwischenlösung“ schließt ein Sprecher nicht aus, allerdings würden „die internen Prüf- und Abstimmungsprozesse“ noch laufen.

Töten auf Basis von Metadaten

Keine Daten an „fragwürdige US-Tech-Oligarchen“

Valentin Lippmann
Valentin Lippmann, Innenexperte der Grünen im Sächsischen Landtag.

Valentin Lippmann, der innenpolitische Sprecher der oppositionellen grünen Fraktion im Landtag, hatte gegenüber der Sächsischen Zeitung von einem „Irrweg“ gesprochen, den der Innenminister einschlage. Gegenüber netzpolitik.org nannte der Innenpolitiker besonders zwei Gründe, die gegen den Einsatz derartiger Analysewerkzeuge sprechen würden. Zum einen handele es sich „um massenhaftes Data-Mining“ durch die Polizei, bei dem „auch die Daten von Bürgerinnen und Bürgern nach unklaren Kriterien verarbeitet werden, die sich vollkommen unverdächtig verhalten“. Das leiste „der Massenüberwachung Vorschub“. Lippmann hält dies „für verfassungsrechtlich unzulässig“.

Zum anderen sieht der Grüne darin eine „gefährliche Aufgabe der digitalen Souveränität“, wenn die Daten der Bürgerinnen und Bürger „in die Hände fragwürdiger US-Tech-Oligarchen“ gelangen würden, „ohne klar zu wissen, was mit diesen Daten geschieht“.

Rico Gebhardt, Portraet
Rico Gebhardt, Vorsitzender der Linksfraktion in Sachsen. – Alle Rechte vorbehalten Die Linke Sachsen

Der Fraktionsvorsitzende und innen- und rechtspolitische Sprecher der Linken in Sachsen, Rico Gebhardt, lehnt Schusters Ansinnen zur Nutzung von Palantir ebenfalls ab. Er betont gegenüber netzpolitik.org: „Hochsensible Daten müssen besonders geschützt werden.“ Auch „unabhängig vom konkreten Anbieter“ gebe es weitere Fragen, etwa was genau solche Software leistet. Gebhardt gibt bei Software zur automatisierten Datenanalyse zu bedenken: „Gibt es über Marketing-Behauptungen hinaus einen Nachweis, dass sie bei der Kriminalitätsbekämpfung und der Strafverfolgung wirkt?“

Er erklärt, dass er zwar noch keinen Entwurf für das zu überarbeitende Sächsische Polizeivollzugsdienstgesetz kenne. „Aber es kann gut sein, dass der Innenminister mit neuen Befugnissen liebäugelt und die Gelegenheit nutzt, hier die KI-Nutzung einzubeziehen.“ Der Palantir-Konzern wirbt damit, in seiner Software auch Künstliche Intelligenz (KI) einzusetzen.

Auch Lippmann befürchtet, dass die notwendige Anpassung des Polizeivollzugsdienstgesetzes von der schwarz-roten Minderheitskoalition genutzt werden wird, um „auch die Rechtsgrundlage für Palantir zu schaffen“.

Dafür bräuchte Schuster allerdings Stimmen der Opposition. Die könne er seitens seiner Fraktion „aktuell nicht in Aussicht stellen“, sagt der Linke Gebhardt. Aber der Innenminister hätte bisher auch noch nicht darum geworben.

Milliardäre „mit zweifelhafter politischer Agenda“

SPD-Mann Pallas weiß über das neue Sächsische Polizeivollzugsdienstgesetz: „Aktuell wird ein Gesetzentwurf durch die Sächsische Staatsregierung erarbeitet.“ Danach gefragt, ob er die Nutzung von Palantir für die Polizei in Sachsen für sinnvoll hält, wird der SPD-Innenexperte deutlich: „Wenn es um die Sicherheit unseres Landes und den Schutz der Bevölkerung geht, lehnen wir den Einsatz kommerzieller Software grundsätzlich ab, auch weil der Staat keine effektive Kontrolle ausüben kann.“

Ein Vertragspartner wie der US-Konzern, der zweifellos kommerzielle Software anbietet, kommt also für Pallas nicht in Frage. Mit Bezug auf die zwei Milliardäre, nämlich Peter Thiel als Palantir-Mitgründer und Alexander Karp als Palantir-CEO, erklärt der SPD-Mann unzweideutig: „In diesen sensiblen Bereichen dürfen wir uns nicht von Milliardären mit zweifelhafter politischer Agenda abhängig machen.“

Innenminister Schuster muss wohl nicht nur um die Stimmen die Opposition buhlen, sondern auch um die des eigenen Koalitionspartners. Sein Ministerium erklärt gegenüber netzpolitik.org: „Eine Änderung der Rechtsgrundlage für eine Befugnis zur anlassbezogenen automatisierten Datenanalyse ist in Vorbereitung.“

SPD-Man Pallas hingegen betont gegenüber netzpolitik.org, dass für die Gesetzesnovellierung eine neue Rechtsgrundlage für eine solche Analysesoftware in der Minderheitskoalition aus CDU und SPD „nicht vereinbart“ sei.



Source link

Datenschutz & Sicherheit

Jugendschutz: Brandenburg will Belästigung im Netz im Unterricht thematisieren


Durch eine Thematisierung im Schulunterricht sollen Kinder in Brandenburg künftig besser vor den Gefahren von Cybergrooming und anderen Formen der Online-Kriminalität geschützt werden. Die Koalitionsfraktionen von SPD und Bündnis Sahra Wagenknecht (BSW) fordern mit einem Landtagsantrag, dass Schüler besser auf die Gefahren vorbereitet werden. Die Themen sollten im Schulunterricht verankert werden. Dazu soll es bis Ende 2026 ein Konzert geben, kündigte die Bildungsexpertin der SPD-Landtagsfraktion, Katja Poschmann, im Landtag in Potsdam an. Auch die Lehrkräfte sollen mithilfe von Fortbildungen geschult werden.

Jedes vierte Kind in Deutschland hat laut einer repräsentativen Befragung schon sexuell motivierte Annäherungsversuche Erwachsener im Internet erlebt. „Diese Zahlen müssen uns alarmieren“, sagte Landtagsabgeordnete Poschmann. In Deutschland ist Cybergrooming als eine Form des sexuellen Missbrauchs von Kindern verboten. Experten warnen auch vor Sextortion (sexuelle Erpressung) und „Taschengeld-Dating über sogenannte Sugardaddy-Plattformen“ – Plattformen, über die für Geld oder Geschenke Treffen mit Minderjährigen angebahnt werden.


(kbe)



Source link

Weiterlesen

Datenschutz & Sicherheit

Neuer NPM-Großangriff: Selbst-vermehrende Malware infiziert Dutzende Pakete


Verschiedene IT-Sicherheitsunternehmen warnen vor neuen Angriffen auf das npm-Ökosystem rund um node.js. Mehrere Dutzend Pakete (mindestens 40, in einem Bericht gar an die 150) sind mit einer Malware infiziert, die geheime Daten stiehlt und über einen Webhook ausleitet. Zudem repliziert sich die Schadsoftware selbsttätig – und ist somit ein Wurm.

npm, der Node Package Manager, kommt nicht zur Ruhe. Nachdem erst kürzlich unbekannte Angreifer die Zugangsdaten eines prominenten Entwicklers abgephisht und manipulierte Pakete eingeschleust hatten, hat die Verteilstation für node.js-Bibliotheken nun mit einem ausgewachsenen Wurm zu kämpfen.

Wie StepSecurity und Socket übereinstimmend berichten, befindet sich unter den kompromittierten Paketen auch @ctrl/tinycolor, das etwa zwei Millionen Mal pro Woche heruntergeladen wird. Auch etwa ein Dutzend weitere Pakete des Entwicklers @ctrl sind betroffen, einige der Nativescript-Community und wie Aikido auflistet, sogar solche des Security-Unternehmens Crowdstrike.

Der Schadcode nutzt „TruffleHog“, um interessante Daten zu erschnüffeln, etwa API-Credentials und Zugangsdaten für GitHub sowie die Clouds von Google und Amazon. Er erstellt dann GitHub-Repositories und -Workflows und exfiltriert seine Beute über einen Webhook auf der Domain webhook.site. Und er hat offenbar die Fähigkeit, sich selbst zu replizieren, indem er weitere Pakete infiziert und trojanisierte Paketversionen hochlädt.

Unklar ist noch, wo der Angriff begann – einen klaren „Patient Null“ nennen die drei analysierenden Unternehmen nicht. Auch sind die Urheber der Attacke nicht bekannt, möglicherweise sind es dieselben wie beim letzten Angriff.

Kurios: Die Angreifer sind offenbar Science-Fiction-Fans. Die Wurmkomponente ihrer Malware legt ein GitHub-Repository namens „Shai-Hulud“ sowie entsprechende Workflows an. „Shai-Hulud“, ursprünglich Arabisch für „Ding der Unsterblichkeit“, ist der Name der monumentalen Sandwürmer in Frank Herberts Epos „Dune“. Die Einwohner des Wüstenplaneten verehren die Sandwürmer als gottgleich.


Screenshot mit den Sandwürmern aus Dune

Screenshot mit den Sandwürmern aus Dune

Die Sandwürmer in „Dune“

(Bild: Warner Bros. Pictures)

JavaScript-Entwickler und insbesondere die Verwalter von auf npm gehosteten Paketen sollten größte Vorsicht walten lassen und die umfangreiche Liste infizierter Pakete konsultieren. Wer in eigenen Projekten infizierte Versionen vorfindet, sollte diese unmittelbar löschen, alle Zugangskennungen ändern, Tokens invalidieren und in eigenen GitHub-Repositories aufräumen. In StepSecuritys Blogeintrag finden sich detaillierte Handreichungen.


(cku)



Source link

Weiterlesen

Datenschutz & Sicherheit

Patchstatus unklar: Angreifer attackieren Fertigungsmanagementtool DELMIA Apriso


Durch eine „kritische“ Sicherheitslücke in DELMIA Apriso kann Schadcode schlüpfen und Computer schädigen.

DELMIA Apriso ist eine Manufacturing-Operations-Management-Software (MOM) und ein Manufacturing Execution System (MES), das auch hierzulande unter anderem im Automobilbereich genutzt wird. Darüber werden etwa globale Produktionsabläufe gesteuert. Es ist davon auszugehen, dass eine erfolgreiche Attacke für Firmen weitreichende Folgen haben kann.

Der Anbieter der Software, Dassault Systèmes, erwähnte die Sicherheitslücke (CVE-2025-5086 „kritisch„) bereits im Juni dieses Jahres in einer äußerst knapp formulierten Warnmeldung. Daraus geht hervor, dass entfernte Angreifer Schadcode in diversen Releases aus den Jahren 2020 bis einschließlich 2025 ausführen können. Aufgrund der kritischen Einstufung ist davon auszugehen, dass Angreifer nicht authentifiziert sein müssen, um Attacken einzuleiten

Anfang September warnte nun ein Sicherheitsforscher des SANS-Institut Internet Strom Center in einem Beitrag vor Exploitversuchen. Ihm zufolge versenden Angreifer SOAP-Requests mit Schadcode an verwundbare Instanzen. Was Angreifer konkret nach erfolgreichen Attacken anstellen, ist zurzeit unklar.

Mittlerweile warnt auch die US-Sicherheitsbehörde CISA vor Angriffen. In welchem Umfang die Attacken ablaufen, ist derzeit nicht bekannt. Unklar bleibt auch, ob es einen Sicherheitspatch gibt. Das geht weder aus der offiziellen Warnmeldung, noch aus den Warnungen des Sicherheitsforschers und der CISA hervor. heise security steht in Kontakt mit dem Softwareanbieter und wartet derzeit auf ein Feedback zum Sicherheitspatch. Wir aktualisieren die Meldung, wenn uns konkrete Informationen vorliegen.


(des)



Source link

Weiterlesen

Beliebt