Es ist eine beeindruckende Zahl. 130 „Datenträger“ hat das Ausländeramt der Stadt Köln seit Anfang des Jahres eingezogen, teilt ein Sprecher der Stadt mit. In der Regel handelt es sich um Mobiltelefone von ausreisepflichtigen Menschen. Das Amt darf sie durchsuchen, um nach Hinweisen auf die Identität zu suchen, wenn Menschen sich nicht anderweitig ausweisen können.
Die Besonderheit in Köln: Die Behörde nimmt den Menschen ihre Datenträger nicht nur ab. Sie behält sie auch ein – „bis zur Ausreise“. Die Rechtsgrundlage dafür hatte die Ampelregierung im vergangenen Jahr geschaffen, als sie das Aufenthaltsgesetz verschärfte.
Eine Anfrage von netzpolitik.org bei anderen Städten und dem zuständigen Fluchtministerium in Nordrhein-Westfalen zeigt: Das Ausländeramt befindet sich mit seiner Praxis auf einem zwar rechtlich gedeckten, aber auffälligen Alleingang. Die Ausländerbehörde in Düsseldorf etwa zieht gar keine Datenträger ein, schreibt eine Sprecherin.
In Dortmund durchsuche die Behörde zwar Datenträger, gebe sie aber unmittelbar nach dem Auslesen der Daten wieder zurück. Die jährlichen Zahlen lägen hier „im höheren einstelligen Bereich“.
In Essen hat die Ausländerbehörde im laufenden Jahr bislang nur einen Datenträger eingezogen. Auch hier teilt die Behörde mit: „Nach der Auswertung des Datenträgers erhalten die betroffenen Personen ihre Datenträger wieder zurück.“
Warum nimmt ausgerechnet das Ausländeramt in Köln so vielen Menschen ihre Handys ab? Zum Vergleich: In ganz Nordrhein-Westfalen hatten Ausländerbehörden von Jahresbeginn bis Ende Juni nur 344 Datenträger eingezogen.
Und warum behält das Amt in Köln die Datenträger laut der Einzugsbescheinigung „bis zur Ausreise“? Auch im bundesweiten Vergleich ist Köln mit dieser Praxis offenbar alleine. Das Aufenthaltsgesetz erlaubt diese Durchsuchungen bereits seit 2015, sie sind in fast allen Bundesländern inzwischen Standard. Anfragen von netzpolitik.org zeigen jedoch: Weder in München noch in Berlin, Bremen oder Stuttgart behalten die Behörden eingezogene Geräte nach der Auswertung weiter ein.
In der Praxis bedeutet „bis zur Ausreise“: auf unbestimmte Zeit. Denn wie lange ein Abschiebeverfahren dauert, kann sich stark unterscheiden, sagt etwa der Jurist Davy Wang von der Gesellschaft für Freiheitsrechte. „In bestimmten Fällen ist eine Abschiebung faktisch gar nicht möglich, etwa weil Herkunftsstaaten eine Rücknahme verweigern oder gesundheitliche Gründe eine Abschiebung verhindern.“ Die Wirkung des Paragrafen komme damit faktisch einer Enteignung gleich.
Die Betroffenen müssen unterdessen ohne ihr wichtigstes Kommunikationsmittel auskommen und verlieren die wichtigste Verbindung zu ihren Familien. Hinzu kommt: Ohne Handy geht heutzutage auch darüber hinaus fast nichts mehr – vom Online-Banking bis zum Fahrkartenkauf.
Aus technischer Sicht ist die Verschärfung im Aufenthaltsrecht zudem unnötig. Die Behörden fertigen beim Auslesen ohnehin eine digitale Kopie der Daten auf den Geräten an, selbst Daten aus der Cloud dürfen sie dabei mitspeichern. Danach ist es nicht mehr notwendig, das Gerät selbst weiter einzubehalten. „In dieser Reichweite wäre die Norm eine reine Repressionsmaßnahme“, sagt auch der auf Migrationsrecht spezialisierte Rechtsanwalt Matthias Lehnert.
Bis zur Ausreise verwahrt
Im zuständigen Ministerium für Familie, Flucht und Integration in NRW, geführt von der Grünen Josefine Paul, will man von einer Weisung, die Datenträger einzubehalten, nichts wissen. „Die Ausländerbehörden entscheiden in eigener Zuständigkeit, ob sie von dieser Möglichkeit Gebrauch machen“, schreibt eine Sprecherin. Es sei also nicht so, dass Datenträger im Land grundsätzlich bis zur Ausreise einbehalten würden.
Dass Mobiltelefone durchsucht und ausgewertet werden, stehe zudem erst als „Ultima Ratio“ am Ende einer Reihe von anderen Maßnahmen, betont die Sprecherin. Es gelte der Grundsatz der Verhältnismäßigkeit. Das Aufenthaltsgesetz erlaubt die Durchsuchung nur, wenn andere „mildere Mittel“ ausgeschöpft sind.
Das Ausländeramt Köln kümmert sich als zentrale Anlaufstelle um die Belange von Ausländer*innen in der Stadt. Seit 2022 leitet die Juristin Christina Boeck die Behörde.
Dass das Amt die Datenträger nicht nur einzieht, sondern auch einbehält, ist erst durch den Hinweis einer betroffenen Geflüchteten an die Linken-Abgeordnete Clara Bünger aufgefallen. Bünger, die auch im Innenausschuss des Bundestags sitzt, hat daraufhin die Bundesregierung gefragt, wie das Einziehen der Handys mit dem Recht auf Privatsphäre vereinbar sei. Die Antwort war knapp: Der Vollzug des Aufenthaltsrechts sei Ländersache.
Doch zumindest lenkte sie die Aufmerksamkeit auf die neue Gesetzeslage. Auf Nachfrage von netzpolitik.org bestätigte ein Sprecher der Stadt Köln Anfang September, dass das Ausländeramt seit Jahresbeginn 130 Datenträger auf Grundlage der neuen Regelung eingezogen habe. Das Gesetz ist schon seit Februar 2024 in Kraft, aus dem Jahr davor gebe es jedoch keine Zahlen.
„Sobald andere Maßnahmen zur Identitätsfeststellung ausgeschöpft oder nicht erfolgversprechend sind, wird der Person bei ihrer Vorsprache angeboten, den Datenträger freiwillig zur Durchsicht vorzulegen“, schreibt der Sprecher. „Ist die freiwillige Mitwirkung nicht zielführend oder wird sie abgelehnt, wird die Person zur Herausgabe des Datenträgers aufgefordert. Wenn sie dieser Verpflichtung nicht nachkommt und tatsächliche Anhaltspunkte für den Besitz vorliegen, können die Person, die von ihr mitgeführten Sachen und die Wohnung durchsucht werden.“
Die betroffene Frau aus Köln hat ihr Smartphone nach unserer Berichterstattung über den Fall doch noch zurück bekommen – entgegen dem, was auf der Einzugsbescheinigung stand. Sie lebt derzeit mit einer monatlichen Duldung in Köln. An der Gesetzeslage ändert das allerdings nichts. Laut Aufenthaltsgesetz können Ausländerbehörden weiterhin selbst entscheiden, ob sie die eingezogenen Geräte wieder aushändigen oder „bis zur Ausreise“ verwahren.
Mehrmals hat Tim Philipp Schäfers in den vergangenen Monaten gezeigt, welche Folgen ein leichtfertiger Umgang mit Domains haben kann: Anfang des Jahres entdeckte der Sicherheitsforscher von Mint Secure, dass sich das Bundesamt für Migration und Flüchtlinge (BAMF) ein Sicherheitsproblem schuf, weil es Test-Accounts für seine Systeme mit fiktiven E-Mail-Adressen auf einer Domain anlegte, die das Bundesamt nicht kontrollierte: testtraeger.de. Schäfers holte sich die bis dahin unregistrierte Domain und erhielt so Zugriff auf einen Administrator-Account eines Test-Systems.
Im Dezember folgte eine weitere Recherche: Frühere Behörden-Domains wurden leichtfertig abgestoßen, auch hier im Fall des BAMF. Das hieß früher BAFl und ließ die Domain bafl.de offenbar einfach auslaufen. Als Schäfers die Domain einige Jahre später für sich registrierte, stellte er fest, dass weiterhin regelmäßig automatisierte sowie manuelle Anfragen aus dem IP-Adress-Bereich von Bundesbehörden bei der Domain ankamen. Mittlerweile hat Schäfers die Domain zum BAMF zurückübertragen, berichtete er in einem Vortrag zum Thema auf dem 39. Chaos Communication Congress.
Eine Kleine Anfrage zeigte außerdem, dass Dritte abgelegte Behörden-Domains für sich registrieren und offenbar deren vormalige Vertrauenswürdigkeit ausnutzen, um dort Werbung für illegales Glücksspiel zu platzieren oder gar Schadsoftware zu verteilen. Eine Liste aller Bundesdomains zu veröffentlichen, verweigerte die Bundesregierung jedoch.
All das zeigt: Ein achtloser Umgang mit Domains ist sowohl ein Risiko für IT-Sicherheit als auch ein Einfallstor für Manipulation und Desinformation.
Auf dem 39. Chaos Communication Congress fasst Schäfers seine Erkenntnisse zusammen und präsentiert ein neues Problem: die Gefahr durch sogenannte Typosquatting- und Bitsquatting-Domains. Also Domains, die echten Web-Adressen ähnlich sind und die schnell durch Tippfehler und Fehler in der Datenverarbeitung entstehen.
Schäfers registrierte eine solche Domain. Sie heißt: bund.ee. Nur ein Buchstabe unterscheidet sie von bund.de, einer wichtigen Domain, die die deutsche Bundesregierung verwaltet und mindestens seit 1998 nutzt. Statt der Länder-Domain von Deutschland steht also dort diejenige von Estlands.
Bei einem Besuch von bund.de leitet die Seite auf das Bundesportal weiter. Darüber sollen Bürger:innen auf Verwaltungsleistungen von Bund, Ländern und Kommunen zugreifen können. Auf den zahlreichen Subdomains von bund.de finden sich beispielsweise Websites von Ministerien wie die des Innenministeriums unter bmi.bund.de. Auf anderen Unterseiten wie id.bund.de können sich Bürger:innen mit der BundID anmelden. Das ist ein zentrales Konto, über das sie etwa Bescheide von Behörden empfangen oder sich online ausweisen können. Unter gesund.bund.de befindet sich eine Service-Seite des Gesundheitsministeriums mit Informationen zur Arztsuche oder zu Diagnosen.
Schäfers war also gespannt, welche Anfragen bei bund.ee ankommen würden.
Dass Menschen aus Versehen versuchen würden, eine bund.ee-Adresse aufzurufen, war absehbar: Die Buchstaben D und E liegen auf den meisten Tastaturen direkt nebeneinander, schnell hat man sich vertippt und eine Mail nicht an beispielsweise „bewerbung@bmg.bund.de“, sondern „bewerbung@bmg.bund.de“ verschickt. Das sind menschliche Fehler. Treten die nicht nur bei einmaligen Vertippern auf, sondern haben sie sich in eine Konfigurationsdatei geschlichen, besteht der Fehler permanent, solange er nicht entdeckt wird.
Aber auch Maschinen versuchen teils, die falsche Domain bund.ee zu erreichen, etwa wenn es durch eine Fehlfunktion in der Übertragung zu einem falschen Bit kommt. In ASCII-Kodierung entspricht die „00110100“ einem „d“, die „00110101“ einem „e“. Also nur das letzte Bit ist anders, ein „Bitflip“. Damit liegen „d“ und „e“ auf Bitebene ähnlich nah aneinander wie auf vielen Tastaturen.
Dass es zu einem Datenverarbeitungsfehler kommt, ein Bit „umkippt“ und dann ein Gerät die falsche Adresse ansteuert, kann unterschiedliche Ursachen haben. Große Hitze beeinträchtigt mitunter die Funktion von Computern und Bauteilen, sodass es zu Fehlern kommt. Intensive kosmische Strahlung, etwa nach Sonnenstürmen, ebenfalls. IT-Sicherheitsforscher von Cisco zeigten auf einer Konferenz im Jahr 2021, dass Bitsquatting-Domains ein Problem werden können.
Welche genauen Ursachen die Anfragen hatten, die Schäfers an bund.ee erfasste, lässt sich nicht feststellen. Sie zeigen aber: Würde ein böswilliger Angreifer Tipp- und Verarbeitungsfehler ausnutzen, sich eine entsprechende Domain registrieren und eine Weile mitlauschen, was auf der Adresse passiert, könnte er eine Menge Informationen erfahren, die nicht für ihn bestimmt sind.
So zeigte Schäfers in seinem Vortrag, dass er Anfragen von einem Webmail-System des Bundesamtes für Risikoermittlung erhielt und Hostnamen interner Systeme mitgeteilt bekam. Außer wurden offenbar Mails versucht zuzustellen – unter anderem zu bnd.bund.ee.
Schäfers Sicherheitsforschung zeigt: Behörden – und andere – sollten sorgfältig mit Domains umgehen. Aus den Problemen, die er in diesem Jahr fand, lassen sich einige hilfreiche Lehren ziehen.
Um etwas Licht ins Dunkle zu bringen, veröffentlicht Tim Philipp Schäfers gemeinsam mit FragDenStaat nun eine Liste mit 2.000 derzeit bekannten Behörden-Domains und Subdomains: von 60-jahre-sozialstaat.de über brexit-training.it.bund.de bis punktereform.de.
Die Liste ergänzt bereits bestehende Domain-Listen, die Menschen teils mit Informationsfreiheitsanfragen erhalten hatten. Strukturiert Domains mithilfe des Informationsfreiheitsgesetzes herauszufinden, ist jedoch nicht erfolgversprechend. Das Verwaltungsgericht Köln urteilte in einem Verfahren gegen das Bundesgesundheitsministerium, dass Behörden ihre Domain-Listen nicht offenbaren müssen.
Doch auch alternative Methoden geben Informationen über die Web-Adressen des Staates: „Suchmaschinen, automatisierte DNS-Scans, Zertifikatstransparenz-Logs, Fehlkonfigurationen oder einfache Leaks führen häufig dazu, dass solche Domains früher oder später entdeckt werden“, schreibt Schäfers auf FragDenStaat. „Die Annahme, eine unbekannte Domain bleibe dauerhaft unsichtbar, ist daher realitätsfern.“
Generell lehnt er den Ansatz der Geheimhaltung ab. Die bringe keine Sicherheit vor gezielten Angriffen. „Moderne IT-Sicherheit folgt deshalb dem Grundsatz, dass Systeme auch dann sicher sein müssen, wenn ihre Architektur und ihre Adressen bekannt sind“, so Schäfers. Denn: „Sicherheit entsteht nicht durch Verbergen – sondern durch Transparenz.“
Die Vision ist verlockend: Humanoide Roboter sollen uns in naher Zukunft „schmutzige“ oder gefährliche Arbeiten abnehmen. Konzerne wie Tesla und dessen Eigentümer Elon Musk treiben das Thema voran, doch der Marktführer bei den Stückzahlen ist oft der chinesische Hersteller Unitree. Dessen Modell G1 wird bereits massiv vertrieben – laut den Forschern Shipei Qu, Zikai Xu und Xuangan Xiao sind über 50.000 Einheiten verkauft. Doch während die Hardware beeindruckende Fortschritte macht, scheint die IT-Sicherheit in der Entwicklung kaum eine Rolle zu spielen. Unter dem provokanten Titel „Skynet Starter Kit“ zerlegten die Experten auf dem 39. Chaos Communication Congress (39C3) in Hamburg das Ökosystem der Roboter.
Weiterlesen nach der Anzeige
Der Unitree G1 wird standardmäßig per App oder einer Game-Controller-ähnlichen Funkfernbedienung gesteuert. Shipei Qu von der chinesischen IT-Sicherheitsfirma Darknavy erklärte am Sonntag, dass das Team das Funkmodul per Blackbox-Reverse-Engineering untersuchte, da der Hersteller die Chip-Beschriftungen entfernt hatte. Durch den Einsatz von Software Defined Radio (SDR) und „educated guessing“ fand das Trio heraus, dass der Roboter auf dem LoRa-Protokoll im 2,4-GHz-Band funkt.
Das Ergebnis der Analyse war erschreckend: Es gibt keine Verschlüsselung und nur eine extrem schwache Authentifizierung. Die Forscher konnten den sogenannten „Sync-Word-Parameter“ (2 Bytes) per Brute-Force knacken und so die Kontrolle über fremde Roboter übernehmen. In einer aufgezeichneten Demo zeigten sie, wie ein Angreifer einen G1 fernsteuern kann, ohne jemals physischen Zugriff oder das Pairing-Passwort gehabt zu haben. Die Antwort von Unitree auf diesen Fund: Die Lücke könne erst in der nächsten Hardware-Generation geschlossen werden.
Zikai Xu beleuchtete die Netzwerkschnittstellen. Über Protokolle wie WebRTC und MQTT kommuniziert der Roboter mit dem Internet und der Smartphone-App. Hier stießen die Forscher auf fundamentale Designfehler. So wird das Passwort für den Fernzugriff oft trivial aus der Seriennummer des Geräts abgeleitet.
Noch brisanter ist der Angriff auf den „Embodied AI Agent“. Der G1 nutzt das große Sprachmodell (LLM) von ChatGPT, um Sprachbefehle zu interpretieren und in Aktionen umzusetzen. Den Forschern gelang ein Prompt-Injection-Angriff: Durch gezielte Sätze brachten sie die KI dazu, Systembefehle mit Root-Rechten auszuführen. Damit wird die KI, die eigentlich die Interaktion erleichtern soll, zum Trojanischen Pferd, das Angreifern vollen Zugriff auf das Betriebssystem (einen Root-Shell) gewährt. Von hier aus lässt sich nicht nur der Videostream der Kopfkamera abgreifen, sondern theoretisch auch ein Botnetz aus tausenden Robotern koordinieren.
Weiterlesen nach der Anzeige
Eindrucksvoll ist auch die Arbeit von Xuangan Xiao, der sich mit der Manipulation der Bewegungssteuerung beschäftigte. Die günstigere „Air“-Version des G1 ist softwareseitig so beschnitten, dass sie bestimmte komplexe Bewegungen nicht ausführen kann. Um diese Sperren zu umgehen, analysierte das Team die tief verschleierten Binärdateien der Steuerung.
(Bild: CC by 4.0 media.ccc.de)
Die Tüftler entdeckten eine virtuelle Maschine (VM) mit rund 80 eigenen Instruktionen, die nur dazu dient, die eigentliche Logik vor Reverse Engineering zu schützen. Nach zwei Wochen intensiver Arbeit konnten sie die VM disassemblieren und die Firmware patchen. Damit schalteten sie nicht nur gesperrte Funktionen frei, sondern „lehrten“ den Roboter auch gefährliche Bewegungen. In einer zweiten Demo nutzten sie diese Kontrolle, um den Roboter auf ein Codewort hin gezielte, kraftvolle Boxschläge gegen eine Testpuppe ausführen zu lassen. Terminator lässt grüßen!
Die Forscher ziehen ein düsteres Resümee. Aktuelle kommerzielle Roboter sind ihnen zufolge vernetzte, KI-gesteuerte cyber-physische Systeme, denen grundlegende Schutzmechanismen fehlen. Während Hersteller wie Boston Dynamics (Spot) detaillierte Sicherheitskonzepte vorlegten, priorisierten Massenhersteller wie Unitree den Schutz ihrer Immaterialgüterrechte vor dem der Nutzer. Dass Unitree erst in diesem Jahr damit begonnen hat, ein dediziertes Sicherheitsteam aufzubauen, unterstreicht laut den Darknavy-Testern, wie weit die Branche der Humanoiden-Bauer noch hinter gängigen IT-Sicherheitsstandards zurückbleibt. Die „drei Gesetze der Robotik“ von Asimov sind in der Welt von Unitree & Co. derzeit eine ferne Illusion.
(Bild: CC by 4.0 media.ccc.de)
(kbe)
Der Website Have I been Pwned, dem Cybersecurity-Experten Alon Gal und databreaches.net zufolge sind sensible Kundendaten von 2,3 Millionen Wired-Nutzern im Netz veröffentlicht worden. Weitere Millionen könnten folgen, da die Daten mutmaßlich aus einem umfassenderen Datendiebstahl bei der Wired-Mutterfirma „Condé Nast“ stammen sollen. Betroffen könnten dann auch Daten von bekannten Magazinen wie Vogue, The New Yorker, GQ, Glamour und Vanity Fair sein. In entsprechenden Foren wird bereits gedroht, Daten von mehr als 40 Millionen Nutzern zu veröffentlichen.
Weiterlesen nach der Anzeige
Demnach wurde der Blog databreaches.net schon im November von einer Person mit dem Alias „Lovely“ kontaktiert, die Wege suchte, mit Wired in Kontakt treten zu können. Die Kontaktaufnahme mit Wired und auch der Mutterfirma Condé Nast sei zunächst gescheitert, mithilfe des databreaches-Blogs konnte Lovely aber schlussendlich mit Wired kommunizieren. Wired gegenüber soll Lovely sechs Sicherheitslücken gemeldet und die erbeuteten Daten als Druckmittel für Zahlungen eingesetzt haben. Gemäß dem databreaches-Blog sind diese Informationen allerdings mit Vorsicht zu genießen, da sich Lovely unter falschen Angaben an den Blog wandte und auch im Kommunikationsverlauf weitere falsche Angaben machte.
Dass die bisher geleakten Daten sehr wahrscheinlich echt sind und tatsächlich von Wired stammen, wurde unter anderem von Alon Gal verifiziert. Sie umfassen mithin 2,3 Millionen E-Mail-Adressen, 285.936 Namen, 32.426 Telefonnummern und 102.479 Wohnadressen. Laut Have I Been Pwned sind aber auch Geburtsdaten, Angaben zum Geschlecht, sowohl Anzeigennamen als auch bürgerliche Namen und Ortsdaten Teil der Sammlung. Die letzten Datenbankeinträge sollen vom 8. September 2025 sein.
Wired und Condé Nast haben sich zu dem Vorfall bisher nicht öffentlich geäußert.
(kbe)
Illustrierte Reise nach New York City › PAGE online
Aus Softwarefehlern lernen – Teil 3: Eine Marssonde gerät außer Kontrolle
Top 10: Die beste kabellose Überwachungskamera im Test
SK Rapid Wien erneuert visuelle Identität
Neue PC-Spiele im November 2025: „Anno 117: Pax Romana“
Kommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
Donnerstag: Deutsches Flugtaxi-Start-up am Ende, KI-Rechenzentren mit ARM-Chips
Arndt Benedikt rebranded GreatVita › PAGE online
