Connect with us

Datenschutz & Sicherheit

„Kontrolle darf nicht davon abhängen, ob der Geheimdienst freiwillig kooperiert“


Am Mittwoch hat das Bundesverwaltungsgericht eine Klage der Bundesdatenschutzbeauftragten als unzulässig zurückgewiesen. Grund der Klage war eine verweigerte Einsichtnahme durch den Bundesnachrichtendienst, der Anordnungen des BND-Präsidenten nicht kontrollieren lassen wollte.

Nach der durch den BND bei einem Kontrolltermin abgelehnten Einsichtnahme hatte die Kontrollbehörde diese Verweigerung formal beanstandet. Das passiert gegenüber dem Bundeskanzleramt, das für den BND zuständig und quasi rechtliche Oberhoheit über den Geheimdienst hat. Doch das Bundeskanzleramt wies die Beanstandung zurück. So blieb nur der Klageweg.

Louisa Specht-Riemenschneider als aktuelle Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) bewertete das Ergebnis der Klage ihrer Behörde, die ihr Vorgänger Ulrich Kelber losgetreten hatte: „Meine Möglichkeiten zur Durchsetzung der Betroffenenrechte sind mit dem heutigen Urteil massiv beschränkt.“

„Keinerlei Konsequenzen“

Mit den Betroffenen sind diejenigen gemeint, die beispielsweise durch technische Überwachungsmaßnahmen des BND abgehört oder gehackt werden. Die BfDI soll durch ihre unabhängigen Kontrollen auch ein strukturelles Defizit des Rechtsschutzes ausgleichen. Denn wegen der Geheimhaltung beim BND laufen Auskunfts- und Benachrichtigungspflichten für Betroffene ins Leere oder existieren gar nicht erst. Der individuelle Rechtsschutz ist daher stark eingeschränkt.

Doch eine Kontrollbefugnis durch die BfDI als einzige unabhängige Datenschutz-Aufsichtsbehörde kann nichts kompensieren, wenn mangels Informationen aus dem BND faktisch gar keine Kontrolle stattfinden kann. Da die Klage der BfDI keinen Erfolg hatte, existiert jetzt ein Tätigkeitsfeld des BND, das keine Aufsichtsbehörde unabhängig prüft.

David Werdermann, Rechtsanwalt und Verfahrenskoordinator der Gesellschaft für Freiheitsrechte (GFF), sagt gegenüber netzpolitik.org, dass die Entscheidung des Bundesverwaltungsgerichts „eine grundlegende Schwäche der deutschen Geheimdienstkontrolle“ offenlege. „Wenn die Bundesdatenschutzbeauftragte den Zugang zu relevanten Informationen beim BND nicht gerichtlich durchsetzen kann, entsteht faktisch ein kontrollfreier Raum“.

Werdermann betont: „Der BND verstößt mit der Verweigerung der Akteneinsicht zwar gegen geltendes Recht, das hat jedoch keinerlei Konsequenzen.“ Die Möglichkeit der BfDI, den Rechtsverstoß beim Bundeskanzleramt zu beanstanden, genüge nicht, „denn das Bundeskanzleramt ist keine unabhängige Stelle, sondern Teil der Exekutive und politisch für den BND verantwortlich“.

Das sieht auch die BfDI selbst so: „Aus meiner Sicht muss es immer eine Instanz geben, die über strittige Fragen entscheidet. Diese Instanz kann aber nicht das Bundeskanzleramt sein, denn innerhalb der Exekutive bin ich vollständig unabhängig und weisungsfrei.“

Computer Network Exploitation

Was vor der Entscheidung des Bundesverwaltungsgerichts weder BND noch BfDI öffentlich machten: Es ging um Anordnungen von sogenannten CNE-Maßnahmen für das Hacken von nicht näher spezifizierten informationstechnischen Systemen. Diese Anordnungen gibt der BND-Präsident. CNE steht für Computer Network Exploitation. Als CNE-Operationen werden im Geheimdienstjargon Hacking-Angriffe auf Computersysteme bezeichnet. Der BND nennt das im Beamtendeutsch auch „Aufklärung von Computernetzwerken“ zur „Zugangsgewinnung“ und „Materialerhebung“.

Geheimdienste

Wir berichten mehr über Geheimdienste als uns lieb wäre. Unterstütze unsere Arbeit!

Reporter ohne Grenzen (RSF) und GFF legten im März 2025 eine Beschwerde beim Europäischen Gerichtshof für Menschenrechte gegen das aktuelle BND-Gesetz ein. Der Schutz von Medienschaffenden sei im Gesetz nicht hinreichend enthalten. Auch gegen das Hacken mit Staatstrojanern durch den BND geht RSF bereits mit gerichtlichen Schritten vor.

Zu dem Urteil erklärt RSF nun gegenüber netzpolitik.org, dass die Kontrolle der Datenschutzbeauftragten besonders wichtig sei, da Medienschaffende „geheime Überwachungsmaßnahmen kaum selbst überprüfen“ könnten. Das Urteil des Bundesverwaltungsgerichts offenbare, wie „wirkungslos“ die Kontrolle der Geheimdienste mitunter sei. RSF fordert, die Bundesregierung müsse hier „nachbessern und die Aufsicht über die Dienste stärken, um eine wirksame Kontrolle zu ermöglichen“.

Jurist Werdermann betont: „Gerade im Bereich geheimdienstlicher Überwachung sind starke unabhängige Kontrollen unverzichtbar. Der Staat greift hier besonders tief in Grundrechte ein – deshalb darf die Kontrolle nicht davon abhängen, ob der Geheimdienst freiwillig kooperiert.“

Es ist absurd

Das fordert auch Lena Rohrbach, Expertin für Menschenrechte im digitalen Zeitalter bei Amnesty International in Deutschland. Sie sieht ebenfalls bei der Bundesregierung nun eine Handlungspflicht. Denn der BND soll wieder mit „weitreichenden neuen Befugnissen“ ausgestattet werden, wie kürzlich bekannt wurde. „Umso wichtiger ist eine Stärkung der Kontrolle, um nicht in eine noch weitere Schieflage zu geraten“, sagt Rohrbach gegenüber netzpolitik.org. „Bei den sich abzeichnenden Reformen der Kontrollarchitektur“ sollte daher die Rolle der BfDI bestätigt und „weiter gestärkt werden“.

Rohrbach fordert dabei auch, „die Möglichkeit, Maßnahmen verbindlich anordnen zu können“. Dies sei auch in anderen EU-Ländern der Fall. „Wenn der BND dem oder der BfDI die Kontrolle von Vorgängen verweigert, sollte es eine Möglichkeit geben, diese Konflikte unabhängig gerichtlich entscheiden zu lassen. Diese Möglichkeit sollte daher nun geschaffen werden. Kontrolle kann nicht effektiv erfolgen, wenn sie vom Wohlwollen des Kontrollierten abhängig ist.“

Die BfDI hätte schließlich „langjährige Erfahrung“ bei der Kontrolle der Geheimdienste und „genießt ein Vertrauen in der Bevölkerung in ihrer Schutzfunktion für unwissentlich Betroffene“. Außerdem hätte die BfDI als einzige Kontrollbehörde „einen Gesamtüberblick über die Sicherheitsbehörden“, so Rohrbach.

Louisa Specht-Riemenschneider steht im Türrahmen zu einem Büro.
Die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider. – Alle Rechte vorbehalten Johanna Wittig

Tatsächlich hat die Behörde immer wieder bewiesen, dass unabhängige Geheimdienstkontrolle erhebliche Defizite und Verfehlungen aufdecken kann. Allerdings hat der BND die Kontrollen auch immer wieder rechtswidrig beschränkt und eine umfassende Kontrolle verhindert. Specht-Riemenschneider als heutige Behördenchefin und oberste Kontrolleurin bleibt nicht viel mehr, als die Bundesregierung in ihrer Pressemitteilung mit einem Appell direkt anzusprechen: „Ich muss meine Kontrollrechte im Interesse des Grundrechtsschutzes vor Gericht durchsetzen können. Ich appelliere an den Gesetzgeber, mir für Streitigkeiten über meine Kontrollrechte und -pflichten beim BND einen Rechtsweg zu geben.“

Doch bisher war das nicht Teil der bekanntgewordenen Pläne zum Ausbau der Befugnisse des BND. Da ging es um noch mehr Hacking und Überwachung, nicht aber um ausgewogenere Kontrollrechte oder das Austarieren von Betroffenenrechten. Im Gegenteil, die Kontrolle durch die BfDI könnte gestrichen werden, wie Specht-Riemenschneider befürchtet: „Wenn mir dann demnächst die Aufsicht über die Nachrichtendienste komplett entzogen wird, wie es der Gesetzgeber plant, hat das Märchen von der Behinderung der Nachrichtendienste durch das Datenschutzrecht und durch meine Behörde endgültig verfangen.“

Auf LinkedIn wird Specht-Riemenschneider noch deutlicher: „Eine gesetzliche Regelung, die einer unabhängigen Behörde Kontrollpflichten auferlegt und ihr dann die Durchsetzung versagt, ist absurd. So kann ich meine Arbeit nicht machen, meine Pflichten nicht erfüllen. So können wir es mit dem Grundrechtsschutz auch gleich lassen.“



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Schadcode-Lücke mit Höchstwertung bedroht Firebird


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Admins von Firebird-Instanzen sollten aus Sicherheitsgründen zeitnah die verfügbaren Sicherheitspatches installieren. Geschieht das nicht, können Angreifer Abstürze auslösen oder Systeme sogar nach der Ausführung von Schadcode vollständig kompromittieren. Bislang gibt es keine Berichte, dass Angreifer die Schwachstellen bereits ausnutzen.

Weiterlesen nach der Anzeige

Schadcode-Attacken möglich

Wie aus dem Sicherheitsbereich der GitHub-Website des Projektes hervorgeht, haben die Entwickler insgesamt neun Sicherheitslücken geschlossen. Eine davon gilt als „kritisch“ und sie ist mit dem maximalen CVSS Score 10 von 10 eingestuft (CVE-2026-40342). Davon sind die Plattformen Linux, macOS und Windows betroffen. Damit Angreifer an der Lücke ansetzen können, müssen sie aber Zugriff auf den folgenden Befehl haben:

An dieser Stelle ist CREATE FUNCTION ... ENGINE "" nicht ausreichend gehärtet und Angreifer können damit eine Bibliothek außerhalb des Plug-in-Ordners laden (Path-Traversal-Attacke). Das dürfte eigentlich nicht möglich sein. Weil Firebird den Initialisierungscode nicht ausreichend überprüft, können Angreifer so Schadcode ausführen. Aufgrund der Einstufung ist davon auszugehen, dass Angreifer im Anschluss die volle Kontrolle über Computer erlangen.

Die verbleibenden Softwareschwachstellen sind mit dem Bedrohungsgrad „hoch“ eingestuft. An diese Stellen sind DoS- und weitere Schadcode-Attacken möglich (etwa CVE-2026-28224, CVE-2026-33337).

Sicherheitsupdates verfügbar

Die Entwickler versichern, die Lücken in den Ausgaben 3.0.14, 4.0.7, 5.0.4 und 6.0 geschlossen zu haben. Welche Versionen konkret bedroht sind, können Admins in den auf der GitHub-Seite verlinkten Warnmeldungen nachschauen.

Weiterlesen nach der Anzeige


(des)



Source link

Weiterlesen

Datenschutz & Sicherheit

Uneingelöstes Versprechen auf digitale Souveränität: Europäischer Bezahldienst Wero nutzt Amazon-Server


Direkt Geld an Freunde und Bekannte überweisen, jederzeit und in Sekundenschnelle. Das verspricht Wero. Der neue Bezahldienst startete im Juli 2024 und will sich als europäische Alternative zu US-Bezahldiensten wie Visa, Mastercard und PayPal etablieren.

Hinter dem Angebot steht die European Payments Initiative (EPI), ein Zusammenschluss europäischer Banken und Finanzdienstleistungsunternehmen. In Deutschland machen unter anderem die Deutsche Bank, die Postbank, die ING, die GLS, die Sparkassen sowie Volks- und Raiffeisenbanken mit.

Auf der Wero-Website präsentiert sich der Dienst farbenfroh als „DIE starke und unabhängige europäische Lösung beim digitalen Bezahlen“. Mehr als 50 Millionen Menschen nutzen Wero bereits. Auch im Online- und im Einzelhandel soll der Dienst eine Alternative zur US-Konkurrenz bieten.

Auf Anfrage von netzpolitik.org muss EPI allerdings einräumen, dass Wero seine Dienste teilweise über das US-Unternehmen Amazon Web Services abwickelt. Das aber widerspricht nicht nur dem selbst gestellten Anspruch der digitalen Unabhängigkeit, sondern die bei AWS hinterlegten Daten sind auch potenziell dem Zugriff von US-Behörden ausgesetzt.

Cloud „made in Europe“

Nach eigenen Angaben greift EPI „auf eine Kombination aus europäischen und internationalen Technologieanbietern“ zurück, darunter auch „Managed-Infrastructure- und Software-Services von AWS“. Zugleich betont die Initiative, dass sie „die volle Kontrolle über deren Architektur, Sicherheitsmodell und Betrieb“ habe. Doch diese Kontrolle stößt an rechtliche Grenzen.

Mit Beginn von Trumps zweiter Amtszeit gewann in der EU die Debatte um die „digitale Souveränität“ an Fahrt. Einige US-Tech-Konzerne passten daraufhin ihre Angebote an.

So auch AWS. Das Unternehmen ist ein US-amerikanischer Cloud-Anbieter und Tochterunternehmen des Online-Versandhändlers Amazon.com. Zu Beginn dieses Jahres hat es die „AWS European Sovereign Cloud“ in Betrieb genommen. Das Versprechen steckt im Produktnamen: Die Daten der Kunden sollen hier nicht in Übersee, sondern innerhalb der EU gespeichert werden.

Nach eigenen Angaben will AWS seine Kunden so dabei unterstützen, „ihre sich wandelnden Souveränitätsanforderungen zu erfüllen“ – inklusive rechtlicher Schutzmaßnahmen, „die dem Bedarf von Behörden und Unternehmen in Europa gerecht werden“.

Wir sind communityfinanziert

Unterstütze auch Du unsere Arbeit mit einer Spende.

US-Behörden könnten Zugriff auf Daten erhalten

EPI hat unter anderem „aus Sicherheitsgründen“ nicht sagen wollen, welche Infrastruktur- und Plattformanbieter Wero im Detail nutzt. Doch selbst wenn der Dienst Daten in der „AWS European Sovereign Cloud“ speichert, bliebe das Souveränitätsversprechen uneingelöst. Vor allem aber wären die Daten dann wohl nicht vor dem Zugriff US-amerikanischer Behörden sicher.

Dafür sorgt der US-amerikanische Clarifying Lawful Overseas Use of Data Act, kurz CLOUD Act, aus dem Jahr 2018. Das Gesetz verpflichtet US-Tech-Anbieter unter bestimmten Bedingungen dazu, Daten gegenüber US-Behörden offenzulegen – auch wenn sich diese außerhalb der Vereinigten Staaten befinden. Schließt ein Unternehmen den Zugriff technisch aus, kann dies Geldbußen oder strafrechtliche Konsequenzen nach sich ziehen.

Zu diesem Schluss kommt ein Gutachten der Universität Köln aus dem März 2025, welches das Bundesinnenministerium (BMI) in Auftrag gegeben hatte. Es wurde im Rahmen einer Anfrage nach dem Informationsfreiheitsgesetz auf FragdenStaat veröffentlicht. Ein Sprecher des Ministeriums bestätigte nach der Veröffentlichung gegenüber Tagesspiegel Background, dass die Nutzung von US-Clouddiensten ein „erhebliches Risiko des Datenabflusses“ bedeute.

Das Risiko „extraterritorialer Zugriffsanfragen“

AWS bestreitet, jemals außerhalb der USA gespeicherten Kundeninhalte gegenüber der US-Regierung offengelegt zu haben, wenn es Anfragen erhalten hat, die sich auf den CLOUD Act bezogen – zumindest für die vergangenen sechs Jahre, „seit wir 2020 mit der statistischen Erfassung begonnen haben“.

Das ist keine Gewähr dafür, dass es nicht doch noch dazu kommt. Zumal Jeff Bezos, Gründer von Amazon und heute geschäftsführender Vorsitzender des Verwaltungsrats, inzwischen als „Fanboy“ von Präsident Donald Trump gilt.

Dieses Risikos ist sich offenbar auch EPI bewusst.“Potenzielle extraterritoriale Zugriffsanfragen“ sehe die Initiative „als relevantes rechtliches und geopolitisches Risiko“. Sie verfüge „bereits über Notfall- und Ausstiegspläne für kritische Technologiedienstleistungen“.

Außerdem verfolgt die Initiative nach eigenen Angaben das Ziel, künftig mit mehr europäischen Anbietern zusammenarbeiten und „dabei die für eine kritische Zahlungsinfrastruktur erforderliche Sicherheit, Ausfallsicherheit und Skalierbarkeit zu gewährleisten“.

Welche europäischen Dienstleister das sind, verrät EPI nicht. Ebenso bleibt die Frage offen, wann Wero sein Versprechen nach digitaler Unabhängigkeit einlösen wird.



Source link

Weiterlesen

Datenschutz & Sicherheit

Bluesky-Ausfall: DDoS-Angriff angeblich von iranischer Gruppe „313 Team“


Der Ausfall des sozialen Netzwerks Bluesky am Donnerstag vergangener Woche geht offenbar auf einen verteilten Überlastungsangriff (DDoS, Distributed Denial of Service) zurück. Die iranische Cyberbande „313 Team“ reklamiert die Attacke für sich.

Weiterlesen nach der Anzeige

Ab dem vergangenen Donnerstagmorgen gegen 9 Uhr mitteleuropäischer Sommerzeit war der Bluesky-Dienst nur noch sehr sporadisch erreichbar. Dort war die Ursache der Störung noch unbekannt, sie hielt noch den ganzen Tag an. Inzwischen ist klar, dass sich die geäußerte Vermutung, es könnte sich um einen DDoS-Angriff handeln, bestätigt hat. Bluesky hat Freitag mitgeteilt, dass das Team die Nacht durchgearbeitet habe, um eine ausgeklügelte Distributed-Denial-of-Service-Attacke abzuwehren. Diese habe sich im Laufe des Tages noch verstärkt. Das Unternehmen ergänzt, dass es keine Hinweise auf unbefugte Zugriffe auf Nutzerdaten gebe.

Ein weiteres Status-Update von Bluesky vom Montagabend dieser Woche bestätigt, dass seit etwa Freitagmorgen, 6 Uhr hiesiger Zeit (was Donnerstagabend, 21 Uhr an der US-amerikanischen Pazifikküste entspricht), die Dienste wieder verlässlich zugreifbar sind. Im Blog erwähnt das Unternehmen jedoch eine weitere DDoS-Attacke am Montagnachmittag, also in unseren Breitengraden in der Nacht zum Dienstag, die jedoch keine Stabilitätsbeeinträchtigungen zur Folge hatte.

Iranische kriminelle Gruppe übernimmt Verantwortung

Die Gruppe „Islamic Cyber Resistance in Iraq – 313 Team“ gibt auf Telegram an, die Angriffe auf Bluesky ausgeführt zu haben. Ihre Motivation zu den DDoS-Attacken erörtern die Täter jedoch nicht, sondern vermelden selbst nur ihre vermeintlichen Erfolge.


Telegram-Eintrag von 313 Team

Telegram-Eintrag von 313 Team

Auf Telegram brüstet sich das „313 Team“ mit den DDoS-Angriffen auf Bluesky.

(Bild: heise medien)

Die Cybergang wird von IT-Sicherheitsexperten dem Iran zugeordnet. Sie ist offenbar für zahlreiche DDoS-Angriffe verantwortlich und liegt ideologisch mit dem Regime des Iran auf einer Linie. Die Auswahl der Angriffsziele wirkt jedoch willkürlich. Konkrete Forderungen sind nicht erkennbar.

Weiterlesen nach der Anzeige


(dmk)



Source link

Weiterlesen

Beliebt