Künstliche Intelligenz
Malware, Betrug & Co.: Riskantes Domain-Chaos der Bundesregierung enthüllt
Wenn Bürger im digitalen Raum nach Informationen staatlicher Stellen suchen, ist Verlässlichkeit die wichtigste Währung. Eine offizielle Webseite muss nicht nur vertrauenswürdig, sondern auch zweifelsfrei als solche erkennbar sein. Doch wer in Deutschland nach staatlicher Expertise sucht, begibt sich oft auf eine digitale Schnitzeljagd. Anstatt einer klaren Kennzeichnung herrsche seit Jahren Intransparenz, kritisiert der IT-Sicherheitsforscher Tim Philipp Schäfers. Diese sei nicht nur verwirrend, sondern berge auch handfeste Sicherheitsrisiken wie das Verteilen von Schadsoftware.
Weiterlesen nach der Anzeige
Um diesem Zustand entgegenzuwirken und den Druck auf die Verantwortlichen zu erhöhen, hat Schäfers am Montag auf dem Portal FragDenStaat eine Liste mit über 2000 Domains des Bundes veröffentlicht. Diese Daten trug der Experte mühsam über Scraping-Verfahren und Suchmaschinenanalysen zusammen. Die Übersicht bietet nun erstmals einen umfassenden Einblick in den digitalen Fußabdruck des Bundes.
Diese Offenheit sei ein notwendiger Schritt für mehr digitale Souveränität, begründet Schäfers die Veröffentlichung. Sie ermögliche es der Öffentlichkeit und anderen staatlichen Stellen, die Authentizität von Webseiten zuverlässig zu prüfen. Zugleich zwinge sei die Behörden dazu, ihre Sicherheitsvorkehrungen auf ein zeitgemäßes Niveau zu heben. Nur wenn klar dokumentiert werde, welche Domains offiziell sind, ließen sich gefälschte Angebote effektiv entlarven.
„Domain-Kuddelmuddel“
Das Management der Bundes-Domains gleicht aktuell einem Wildwuchs. Während Nationen wie die USA mit .gov oder Großbritannien mit gov.uk auf eine einheitliche und unmissverständliche Endung setzen, verharrt Deutschland in einem dezentralisierten Flickenteppich.
Dieses „Domain-Kuddelmuddel“ zeigt sich laut Schäfers in einem verwirrenden Mix aus klassischen .de-Adressen, selten genutzten .bund.de-Strukturen und einer Vielzahl von Sonderdomains für kurzfristige Projekte oder Initiativen. Oft ist für Außenstehende kaum ersichtlich, ob eine Seite tatsächlich von einer Behörde oder einem Ministerium betrieben wird oder ob es sich um eine gut gemachte Kopie handelt. Die Unklarheit nutzten Betrüger in der Vergangenheit bereits aus. So wurden während der Corona-Pandemie staatliche Websites gezielt nachgeahmt, um Fördergelder abzugreifen. Ein weiteres Problem sind ausgelaufene Domains des Bundes, die in die Hände unbefugter Dritter gelangten, weil das Management der Adressen versagte. Werden solche Adressen nicht rechtzeitig verlängert oder nach einer Umstrukturierung vergessen, können sie zur Falle für Nutzer werden, die dort weiterhin offizielle Inhalte vermuten.
Besonders deutlich werde die Absurdität bei einem Blick auf die Namensänderungen von Ministerien nach Regierungsneubildungen, führt Schäfers aus. Als Beispiel nennt er das heutige Bundesdigitalministerium, das seit Ende der 1990er Jahre gleich fünf verschiedene Bezeichnungen getragen habe. Jede dieser Umbenennungen habe eine Spur an Domains hinterlassen – von bmvbs.de über bmvi.de bis hin zu unzähligen Variationen mit Endungen wie .net, .org oder .info. Sogar „Minister-Domains“ wie verkehrsminister.de seien registriert worden. Diese Flut an Adressen mache es Bürgern praktisch unmöglich, die Echtheit einer URL zu beurteilen.
Weiterlesen nach der Anzeige
Die eigentlich geplante „digitale Dachmarke“ mit der Endung gov.de, die der IT-Planungsrat bereits im März 2024 beschloss, lässt derweil auch Jahre später auf ihre vollständige Umsetzung warten. Bisher sind nur verschwindend wenige dieser eindeutigen Domains tatsächlich im Einsatz.
Probleme mit bund.ee
Inmitten dieser Unübersichtlichkeit verfolgt die Bundesregierung eine Strategie, von der Schäfers gar nichts hält: Security by Obscurity. Behörden stufen Listen ihrer betriebenen Domains teils als Verschlusssache ein, in der Hoffnung, dass unbekannte Systeme seltener angegriffen werden. Doch dieses Prinzip gilt in der modernen IT-Landschaft als überholt. Geheimhaltung bietet keinen Schutz vor gezielten Angriffen, da automatisierte DNS-Scans, Suchmaschinen und Transparenz-Logs für Zertifikate solche Adressen ohnehin früher oder später aufspüren. Ein Angreifer benötige keine offizielle Liste, um den Adressraum einer Behörde systematisch zu erfassen, gibt Schäfers zu bedenken. Vielmehr wiege die Geheimhaltung auch die Betreiber in einer trügerischen Sicherheit.
Die Risiken dieser Intransparenz untermauerten kürzlich Vorfälle rund um die Endung „bund.ee“, wie Schäfers am Sonntag auf dem 39. Chaos Communication Congress (39C3) in Hamburg berichtete. Ein einfacher Tippfehler oder eine falsch assoziierte Endung wie bei dieser von ihm testweise gesicherten Domain könnten dazu führen, dass Nutzer auf privaten oder gar bösartigen Seiten landeten, die offiziell wirkten. Versäume es der Staat, seine digitale Identität klar zu definieren und zu kommunizieren, überlasse er den Raum Desinformationskampagnen und Betrugsversuchen. Echte Sicherheit entstehe durch robuste technische Schutzmaßnahmen wie starke Authentifizierung und eine kontinuierliche Bestandskontrolle.
Die Einführung der gov.de-Domain für alle Bundesbehörden dürfe nicht länger aufgeschoben werden, verlangt der Forscher. Es brauche ein öffentliches Verzeichnis aller offiziellen Domains, damit die digitale Identität des Staates nicht länger ein Ratespiel bleibe.
(uma)
Künstliche Intelligenz
Was Wi-Fi 7 kann | c’t uplink
Der Funkstandard Wi-Fi 7 ist inzwischen breit verfügbar – zumindest Notebooks und Smartphones ab dem mittleren Preissegment sprechen den schnelleren Standard, der auch unter dem Namen 802.11be bekannt ist. Und auch bei Routern und Access Points steigt die Verbreitung langsam aber sicher an.
Weiterlesen nach der Anzeige

Den wöchentlichen c’t-Podcast c’t uplink gibt es …
Doch warum genau ist Wi-Fi 7 eigentlich besser als der Vorgängerstandard 6E? Was bringt die Nutzung von 320 MHz breiten Kanälen? Was ist der Vorteil von MLMR? Und warum wird der 2,4-GHz-Band auf absehbare Zeit unersetzlich bleiben? Das und mehr besprechen wir in dieser Folge des c’t uplink.
Zu Gast im Studio: Ernst Ahlers, Andrijan Möcker
Host: Jan Schüßler
Produktion: Tobias Reimer
► Unsere Artikel zu Wi-Fi 7 sind bei heise+ erschienen (€)
► sowie in c’t 25/2025 (€).
In unserem WhatsApp-Kanal sortieren Torsten und Jan aus der Chefredaktion das Geschehen in der IT-Welt, fassen das Wichtigste zusammen und werfen einen Blick auf das, was unsere Kollegen gerade so vorbereiten.
Weiterlesen nach der Anzeige
► c’t Magazin
► c’t auf Mastodon
► c’t auf Instagram
► c’t auf Facebook
► c’t auf Bluesky
► c’t auf Threads
► c’t auf Papier: überall, wo es Zeitschriften gibt!
(jss)
Künstliche Intelligenz
Neue Macs im Anflug: Apple lädt zur „Apple Experience“ nach Los Angeles
Die Hinweise darauf, dass Apple noch in diesem Monat frische Macs vorstellen wird, verdichten sich. Nach ersten Spekulationen, dass der Konzern die Rechner zusammen mit dem neuen Creator-Studio-Abopaket präsentieren könnte, sowie schlechter Verfügbarkeiten der alten Modelle im Apple Online Store kommt nun eine dritte Information hinzu. Denn Apple hat zu einem speziellen Event geladen: YouTuber, TikToker und andere „Creators“ aus dem Influencer-Segment sollen vom 27. bis 29. Januar nach Los Angeles kommen. Worum es bei der Veranstaltung geht, die der Konzern schlicht als „Apple Experience“ tituliert, ist unklar. Auch deutsche Vlogger sind wohl unter den Eingeladenen. Ob klassische Medien dabei sein werden, blieb zunächst unklar.
Weiterlesen nach der Anzeige
Drei Tage Los Angeles
Interessant an der Veranstaltung ist die Länge: An den drei Tagen könnte Apple nicht nur sein Creator Studio und neue Hardware vorstellen, sondern auch Seminare und Kurse zum direkten Ausprobieren der Produkte abhalten. Neu ist dieser Ansatz, bei dem „Creators“ als Erstes gebrieft werden, nicht: Der Konzern agierte bereits im vorvergangenen Jahr bei seinen M4-Maschinen ähnlich. Damals gab es zusätzlich aber auch Keynote-Videos, die die Rechner vorstellten. Ob das dieses Mal so sein wird, bleibt unklar.
Mit dem Creator Studio vermarktet Apple seine macOS-Programme Final Cut Pro, Logic Pro, Pixelmator Pro sowie Tools wie Motion oder MainStage erstmals in einem Abo-Paket (12,90 Euro im Monat oder 129 Euro im Jahr), das um zusätzliche „Premium-Inhalte“ für iWork-Programme ergänzt wird. Es wäre ungewöhnlich, einem solchen Produkt ein dreitägiges Kreativen-Event zu gönnen – entsprechend wahrscheinlich ist neue Hardware.
Welche Macs erwartet werden
Aktuell geht die Gerüchteküche von mindestens zwei neuen MacBook-Pro-Baureihen aus, die vorgestellt werden könnten. Nachdem nur das Midrange-Modell MacBook Pro M5 mit 14 Zoll im Herbst präsentiert wurde, stehen noch MacBook Pro M5 Pro und MacBook Pro M5 Max aus – jeweils mit 14 und 16 Zoll. Weitere Rechner mit M5-Chip könnten ebenfalls kommen, wobei diese – etwa MacBook Air M5 und Mac Mini M5 und M5 Pro – aktuell eher Richtung Jahresmitte erwartet werden. Schließlich steht Beobachtern zufolge auch noch ein neues Kompakt-MacBook mit iPhone-Chip aus, doch davon hat man seit längerem nichts mehr gehört.
Die neuen Macs sollen etwa lokale Sprachmodelle (noch) schneller ausführen können. Momentan gibt es nur die einfachen M5-Chips. Diese stecken neben dem erwähnten MacBook Pro M5 auch im iPad Pro M5 sowie der Vision Pro M5.
Weiterlesen nach der Anzeige
(bsc)
Künstliche Intelligenz
iPhone-Daten an Apple trotz Opt-Out: Richter verwirft Teile von Sammelklage
Schon seit fast vier Jahren läuft der Versuch, Apple per Sammelklage dazu zu bewegen, weniger iPhone-Daten zu sammeln – oder zumindest eine Entschädigung an die Nutzer zu zahlen, falls dies nachweislich getan wurde. Doch nun hat der zuständige US-Richter zumindest Teile des Klage abgewiesen. Apple hatte stets mitgeteilt, dass die Annahme der Kläger „völlig falsch“ sei. Dem schloss sich der US District Court for the Northern District of California laut einem Bericht des Justizfachdienstes Bloomberg Law nun teilweise an.
Weiterlesen nach der Anzeige
Tracking durch den App Store
Bei der Klage geht es unter anderem um die Frage, ob Apple sich an Opt-In/Opt-Out-Regeln hält. Die deutsch-kanadischen Sicherheitsforscher der Gruppe Mysk hatten im Herbst 2022 herausgefunden, dass Apple Analysedaten aus seinem App Store auch dann zu erfassen scheint, wenn Nutzer diesem widersprochen hatten. Dazu gibt es in iOS (und Apples anderen Betriebssystemen) einen zentralen Schalter, der Analytics durch den Konzern aktivieren oder unterbinden soll.
Dass die App-Store-Anwendung auf Apples Server zugreifen muss, liegt schon in der Natur der Sache – diese liefern schließlich deren Inhalte. Allerdings gingen die Requests laut der Mysk-Analyse, die den Datenverkehr entschlüsselt hatte, in beide Richtungen. Es gab demnach Session-IDs, die mit einem Profil verknüpft seien. Es würden Geräteinformationen übertragen, darunter Spracheinstellungen der Tastatur und vorhandener Speicherplatz. Apple speichere zudem, welche App wann und wie lange betrachtet wurde. Ungewöhnliche Analytics-Daten sind das keineswegs, doch sie wurden offenbar eben auch dann erfasst, wenn das Tracking eigentlich abgedreht sein sollte.
Kläger bekommen einen letzten Versuch
Richter Edward J. Davila entschied laut Bloomberg Law nun am Dienstag, Teile der Sammelklage wegen einer möglichen Verletzung der Privatsphäre abzuweisen. Die Kläger hatten unter anderem Verstöße gegen das kalifornische Gesetz zum Schutz der Privatsphäre, die kalifornische Verfassung und das Gesetz des US-Bundesstaates gegen unlauteren Wettbewerb gestützt. Auch gegen ein Gesetz des US-Bundesstaates Pennsylvania, das elektronische Überwachungsmaßnahmen einschränkt, sollte Apple verstoßen haben.
„Es gibt ernsthafte Zweifel daran, ob die Kläger ihre abgewiesenen Ansprüche angesichts der in diesem Beschluss angesprochenen Mängel ausreichend geltend machen können“, so Davila. Gänzlich gegessen ist das Verfahren für Apple aber dennoch nicht. Er handele lieber übervorsichtig, so der Richter, und erlaube den Sammelklägern, ihre Klage „ein letztes Mal“ abzuändern und neu einzureichen. Die Sammelkläger repräsentieren allesamt Nutzer, die die Analytics-Funktion auf iPhone und iPad abgeschaltet hatten. Die Klage wirft Apple unter anderem vor, Nutzer in die Irre geführt zu haben, indem es ihnen vorgaukelte, dass durch die Deaktivierung verhindert wird, dass Apple Daten aus den eigenen Apps sammelt. Erwähnt werden neben dem App Store auch Apple Music, Apple TV, die Bücher-App und die Aktien-App.
Weiterlesen nach der Anzeige
(bsc)
-
Entwicklung & Codevor 2 MonatenKommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
-
UX/UI & Webdesignvor 3 MonatenArndt Benedikt rebranded GreatVita › PAGE online
-
Künstliche Intelligenzvor 4 WochenSchnelles Boot statt Bus und Bahn: Was sich von London und New York lernen lässt
-
Entwicklung & Codevor 1 MonatKommentar: Anthropic verschenkt MCP – mit fragwürdigen Hintertüren
-
Künstliche Intelligenzvor 3 MonatenGoogle „Broadwing“: 400-MW-Gaskraftwerk speichert CO₂ tief unter der Erde
-
Apps & Mobile Entwicklungvor 2 MonatenFast 5 GB pro mm²: Sandisk und Kioxia kommen mit höchster Bitdichte zum ISSCC
-
Apps & Mobile Entwicklungvor 2 MonatenHuawei Mate 80 Pro Max: Tandem-OLED mit 8.000 cd/m² für das Flaggschiff-Smartphone
-
Social Mediavor 1 MonatDie meistgehörten Gastfolgen 2025 im Feed & Fudder Podcast – Social Media, Recruiting und Karriere-Insights
