Kontroverse rund um Syncthing-Fork: Das GitHub-Repository des Projekts, einer beliebten Android-Variante der Dateisynchronisations-Software Syncthing, war erst nicht mehr verfügbar und tauchte dann unter zweifelhaften Umständen wieder auf. Wie Nutzer im offiziellen Syncthing-Forum berichten, verschwand das Projekt des Entwicklers Catfriend1 plötzlich. Der Maintainer selbst ist seitdem nicht erreichbar und hat sein Profil auf privat gestellt.

Syncthing ermöglicht die dezentrale Synchronisation von Dateien zwischen verschiedenen Geräten ohne Cloud-Anbieter. Da die Anwendung vollen Zugriff auf das Dateisystem hat, sorgt das plötzliche Verschwinden des Repositorys in der Community für erhebliche Verunsicherung.

Drei Repository-Resets

Laut Aussagen im Forum handelt es sich nicht um den ersten Vorfall dieser Art. Ein Nutzer berichtet, dass es 2025 bereits dreimal zu Repository-Resets gekommen sei. Syncthing-Mitbegründer Jakob Borg erklärte im Forum, dass es im Juli einen ähnlichen Ausfall gab, bei dem die Repository-History neu geschrieben wurde, um unangemessene Inhalte zu entfernen. Das Repository sei damals korrekt zurückgekehrt.

Jetzt ist die Situation jedoch anders: Ein neuer GitHub-Account namens researchxxl hat das Projekt offenbar übernommen. Es gibt jedoch keine öffentlich nachvollziehbare, verifizierbare Übergabe durch Catfriend1 – in bekannten Kanälen ist zumindest nichts dergleichen zu finden. Und das, obwohl der neue Maintainer theoretisch nun beliebigen Code unter der bisherigen Signatur auf eine große Zahl von Geräten bringen könnte. In der Community wird die Kommunikation des neuen Projektverantwortlichen wenigstens als ausweichend, beschwichtigend und wenig transparent wahrgenommen. Konkrete Fragen nach der Übergabe und nach mehr Offenlegung bleiben weitgehend unbeantwortet oder werden heruntergespielt.

Technisch wurden die bisherigen Änderungen von einigen Leuten geprüft und es wurden keine offensichtlichen bösartigen Modifikationen gefunden; F‑Droid baut die App zudem reproduzierbar und verifiziert, ob der veröffentlichte Code zu den Binaries passt. Dass „bisher nichts Böses gefunden“ wurde, ist aber explizit kein langfristiger Vertrauensbeweis – zum Beispiel könnten zukünftige Commits nach dem Abflauen der Kontroverse weniger genau kontrolliert werden und der neue Schlüsselhalter hat dauerhaft weitreichende Rechte.

In einem GitHub-Issue lassen sich die organisatorischen Fragen, etwa zur Einrichtung von Build-Prozessen, zur Freigabe über F-Droid und zur möglichen Umbenennung des Projekts, öffentlich nachvollziehen. Dabei meldet sich auch der bereits bekannte Entwickler und Play‑Store‑Verwalter nel0x, der bei der Weiterentwicklung helfen will – mehrere Syncthing‑Entwickler und Teile der Community erklären, dass sie eher seinen Builds vertrauen und hoffen, dass zum Beispiel F‑Droid künftig dorthin umzieht.

Signierschlüssel und Sicherheitsbedenken

Aus Sicherheitssicht besonders problematisch: Unklar ist, ob der neue Account Zugang zu den Signierschlüsseln der ursprünglichen App hat – diese Frage wird in der Community intensiv diskutiert. Allein die Möglichkeit wirft jedoch Fragen zur Sicherheit der App auf, da unklar ist, wie diese Schlüssel in die Hände des neuen Maintainers gelangt sind. Ohne offizielle Stellungnahme von Catfriend1 lässt sich nicht ausschließen, dass das Entwicklerkonto kompromittiert wurde. Hier werden böse Erinnerungen an die xz-Lücke 2024 wach.

Die Community diskutiert intensiv über die Situation. Einige Nutzer hoffen auf eine Rückkehr des ursprünglichen Repositorys wie bei früheren Vorfällen, andere zeigen sich besorgt über die fehlende Transparenz. Hinzu kommt ein uraltes Problem freier Software: Borg wies im Forumsbeitrag darauf hin, dass die Wartung von Open-Source-Projekten eine weitgehend undankbare Aufgabe sei und jemand anderes die Gelegenheit nutzen könnte, einen Mirror anzubieten.

Für Nutzer der App bedeutet die Situation Unsicherheit: Updates könnten ausbleiben, und die Vertrauenswürdigkeit künftiger Versionen ist fraglich. Wer Syncthing-Fork installiert hat, sollte die Entwicklungen genau beobachten und sich gegebenenfalls mit Alternativen vertraut machen. Die zu finden, ist für Android-Nutzer derzeit schwierig, da die offizielle Syncthing-Android-App im Dezember 2024 eingestellt und das Repository archiviert wurde. Als mögliche Lösung hat nel0x angekündigt, seine Version weiterzuentwickeln – die Community hofft, dass F-Droid künftig auf diese Version umsteigt.

(fo)

Cloudflare hat den Bedrohungsbericht zum dritten Quartal 2025 veröffentlicht. Darin meldet das Unternehmen unter anderem einen neuen Spitzenwert bei einer DDoS-Attacke (Distributed Denial of Service), also einem Überlastungsangriff auf Server im Internet. Der hat eine Stärke von 29,7 Terabit pro Sekunde erreicht.

Wie Cloudflare im Blog-Beitrag dazu schreibt, ging dieser Angriff vom Aisuru-Botnetz aus. Das besteht aus geschätzten ein bis vier Millionen infizierten Geräten weltweit und zeichnete etwa im Mai für einen DDoS-Angriff auf die Webseite des IT-Sicherheitsjournalisten Brian Krebs verantwortlich. Routinemäßig entfessele Aisuru großvolumige DDoS-Angriffe, die die Stärke von 1 Terabit je Sekunde und 1 Milliarde Pakete pro Sekunde überschreiten, schreiben die IT-Forscher von Cloudflare. Hierbei haben sie eine Zunahme von mehr als 50 Prozent gegenüber dem Vorquartal beobachtet, im Schnitt 14 derart hochvolumige Angriffe am Tag. Den Höhepunkt markierte besagte Attacke, mit 29,7 TBit/s und 14,1 Milliarden Pakete je Sekunde. Es handelte sich um eine „UDP-Teppich-Bomben-Attacke“, die pro Sekunde auf 15.000 Zielports gerichtet war.

Deutlicher Anstieg bei DDoS-Angriffen

Einige weitere Höhepunkte sind laut Cloudflare die deutlich gestiegenen Angriffe gegen KI-Unternehmen. Gegenüber den Vormonaten sah das Unternehmen eine Zunahme von rund 350 Prozent im September 2025. Zudem sei ein signifikanter Anstieg bei Angriffen gegen Unternehmen aus Bergbau, Mineralien- und Metallgewinnung zu beobachten gewesen – zeitlich zusammentreffend mit den Spannungen zwischen EU und China bezüglich seltener Erden und Zöllen auf Elektroauto-Importe.

Insgesamt habe Cloudflare mit seinen automatischen Systemen 8,3 Millionen DDoS-Attacken im dritten Quartal 2025 abgewehrt. Das entspricht 3780 DDoS-Angriffen in jeder einzelnen Stunde. Im Quartalsvergleich stieg die Zahl der Angriffe um 15 Prozent – im Jahresvergleich hingegen sogar um 40 Prozent an.

Cloudflare erörtert auch die Verteilung auf die unterschiedlichen DDoS-Angriffswege. Die meisten sind vergleichsweise kurz und endeten nach etwa 10 Minuten. UDP-DDoS-Angriffe stiegen zum Vorquartal um 231 Prozent an und machten damit den Hauptanteil an Angriffen auf Netzwerkebene aus. An zweiter Stelle standen DNS-Floods, an dritter SYN-Floods sowie auf Platz vier ICMP-Floods. Über das gesamte Jahr 2025 gab es 10,3 Millionen HTTP-DDoS-Angriffe sowie 25,9 L3/L4-DDoS-Attacken, also jene auf Netzwerkebene, die Cloudflare mit seinen Systemen beobachten konnte.

Die bekannten Rekordwerte bei DDoS-Angriffen meldete zuvor Mitte November Microsoft mit 15,7 TBit/s und 3,64 Milliarden Paketen in der Sekunde. Nur wenige Monate vorher, im September, lag der Spitzenwert noch bei 11,5 TBit/s mit 5,1 Milliarden Paketen pro Sekunde.

(dmk)

Googles Tracking-Netzwerk „Mein Gerät finden“ soll besser werden. Dazu ergänzt Google beim Pixel 10 die Einstellungen bereits im Android-Setup-Assistenten. Bei vielen Android-Geräten läuft der Assistent aber nicht nachträglich – hier müssen Nutzerinnen und Nutzer selbst aktiv werden und die Teilnahme anschalten. Mit optimierter Einstellung könnte es gelingen, in kürzester Zeit die Nützlichkeit auf das Niveau von Apples „Wo ist“-Netz zu heben oder es gar zu überflügeln.

Googles Ansatz ist derzeit ein besonderer Privatsphärenschutz. Die Funktion hatte Google im Mai 2024 mit einem Hinweis auf Android-Smartphones angekündigt und auch aktiviert, sofern Betroffene an den Voreinstellungen nichts geändert haben. Allerdings nutzt die Standardkonfiguration die Option „Mit Netzwerk nur an stark frequentierten Orten“. Es müssen also mehrere Android-Geräte etwa einen Bluetooth-Tracker erkannt und gemeldet haben, damit der auch im inzwischen zu „Find Hub“ umbenannten Tracking-Netz auftaucht.

Einstellungsänderung für Tracking auch in einsamen Gegenden

Leider hat Google die Konfiguration dazu ziemlich gut versteckt. Sie liegt unter „Einstellungen“ – „Google“, dort muss zunächst die Schaltfläche „Alle Dienste“ ausgewählt werden. Dort unter „Persönliche Sicherheit & Gerätesicherheit“ finden sich die Optionen „Benachrichtigungen über unbekannte Bluetooth-Tracker“ sowie „Mein Gerät finden“ – die Umbenennung in „Find Hub“ ist in der deutschen Oberfläche noch nicht angekommen. Dort schließlich können Interessierte unter „Geräte finden, die offline sind“ die Konfiguration auf „Mit Netzwerk überall“ stellen, damit Geräte auch an wenig frequentierten Orten gefunden werden können.

Wenn mehr Android-Nutzer diese Option aktivieren, lassen sich Tracker auch dann aufspüren, wenn lediglich ein einzelnes Android-Smartphone ihn gesehen hat. Der bessere Privatsphärenschutz durch aggregierte Daten (also die Option, nur an stark frequentierten Orten Tracker zu zeigen) bezieht sich auf Standortinformationen, die unter Umständen bei einem einzelnen meldenden Android-Gerät Rückschlüsse auf eine Person zulassen könnten. Für die allermeisten Nutzerinnen und Nutzer dürfte das jedoch kein ernst zu nehmendes Problem darstellen. Als Voraussetzung für die Nutzung von „Mein Gerät finden“ nennt Google Android Version 6.

Die Tracker-Netzwerke lassen sich auch von Kriminellen missbrauchen. Ende 2023 etwa gelang das Ausschleusen von Daten wie Passwörtern mittels manipulierter Keylogger-Tastatur über Apples „Wo ist“-Netz. Google hat Android inzwischen einen verbesserten Schutz vor heimlichem Bluetooth-Tracking verpasst, mit dem bösartige Akteure etwa Taten vorbereiten oder Menschen stalken könnten.

(dmk)