Datenschutz & Sicherheit
Microsoft Authenticator: Kritische Sicherheitslücke ermöglicht Token-Diebstahl
In Microsofts Authenticator können Angreifer eine kritische Sicherheitslücke missbrauchen, um an Sign-in-Tokens zu gelangen. Damit gelingt der unbefugte Zugriff auf Ressourcen. Aktualisierte Apps stehen bereit.
Weiterlesen nach der Anzeige
Der Schwachstelleneintrag von Microsoft erörtert das Problem grob. Sensible Informationen können demnach an unbefugte Akteure gelangen, da Microsoft Authenticator Informationen an Angreifer über das Netzwerk preisgibt. In der FAQ erklärt Microsoft, dass die Schwachstelle das Sign-in-Token zum Arbeitskonto von Nutzerinnen und Nutzern offenlegen kann. Damit erlangen Unbefugte Zugriff auf Daten und Diensten, auf die das Benutzerkonto zugreifen darf, darunter potenziell auch sensible Unternehmensinformationen.
Zum Missbrauch der Lücke müssen Angreifer ein Opfer dazu bringen, mit einer legitim erscheinenden, bösartigen Anfrage zu interagieren. Sobald Nutzer die Anfrage bestätigen, können Angreifer die App dazu bringen, Zugriffstoken im Namen der Nutzer anzufordern, um sie an einen Dienst auszuliefern, der unter der Kontrolle der Angreifer steht. Betroffene erhalten keine klaren Informationen, welcher Zugriff gewährt wurde (CVE-2026-41615, CVSS 9.6, Risiko „kritisch“). Das NIST kommt im NVD-Listeneintrag jedoch mit CVSS 7.4 lediglich auf das Risiko „hoch“.
Microsoft Authenticator: Updates verfügbar
Aktualisierte Versionen des Authenticators von Microsoft stehen in den jeweiligen App-Stores bereit. Unter Android löst die Version 6.2605.2973 und neuer das Problem, unter iOS die Software ab Stand 6.8.47. Wer die automatischen App-Updates des Mobilbetriebssystems aktiviert hat, erhält das Update automatisch. Wer das deaktiviert hat, muss den Google Play Store oder den iOS-App-Store öffnen und dort die aktualisierten Apps herunterladen und installieren.
Microsoft führt weiter aus, dass die Schwachstelle bislang noch nicht missbraucht wurde. Es steht bislang auch kein Exploit öffentlich zur Verfügung. Dennoch sollten Nutzer und Nutzerinnen des Microsoft Authenticators sicherstellen, die aktuelle Fassung einzusetzen. Die aktuelle Version zeigt der Authenticator im App-Menü unter „Hilfe“ an, dort etwas tiefer unter „Info“ – „Anwendungsversion“.
(dmk)
Datenschutz & Sicherheit
Gemini Intelligence mit hohen Hardwareanforderungen an Smartphones
Schon im Zuge der Ankündigung von Gemini Intelligence während der Android Show I/O Edition deutete Google mit dem Satz an „Das Beste von Gemini auf unseren modernsten Geräten“, dass die On-Device-KI hohe Anforderungen an die Geräte haben wird. Konkrete Details dazu hat Google in den Fußnoten hinterlassen: Denen zufolge sind die Pixel-9-Serie und selbst das Galaxy Z Fold 7 vom vergangenen Jahr aus dem Rennen – offenbar selbst das Xiaomi 17 Ultra.
Weiterlesen nach der Anzeige
„Höchste Leistungs- und Systemanforderungen“
„Die Funktionen von Gemini Intelligence sind nur auf Android-Geräten verfügbar, die die höchsten Leistungs- und Systemanforderungen erfüllen“, schreibt Google in der Fußnote und gibt beim Arbeitsspeicher an, dass Geräte mindestens 12 GByte RAM verbaut haben müssen. Damit sind schon die meisten Einsteiger- und Mittelklasse-Geräte raus; auch Googles eigene a-Serie, die mit 8 GByte RAM versehen ist, kann Gemini Intelligence nicht ausführen.
Eine weitere Hürde ist der Prozessor: Google schreibt hier nur „qualifiziertes SOC“ und in Klammern „Flaggschiff-Chip“. Hier dürfte der Hersteller letztlich Qualcomms und MediaTeks Topmodelle – sowie die hauseigenen Tensor-Chips der aktuellen und kommenden Generation – meinen.
Das ist aber nicht alles: Denn auch hinsichtlich der erforderlichen On-Device-KI-Version legt Google die Messlatte hoch an: Es muss mindestens das Modell Gemini Nano v3 oder neuer unterstützt werden. Hier trennt sich dann auch bei den performanteren Modellen die Spreu vom Weizen: Auf der Entwicklerwebseite zu GenAI-APIs von ML Kit listet Google auf, welche Geräte mit v3 kompatibel sind und welche auf der älteren Version 2 verharren.
Weiterlesen nach der Anzeige
Lediglich Smartphones aus dem Jahr 2025 und neuer sind mit Gemini Nano v3 kompatibel – das heißt unter anderem, dass Googles Pixel-9-Serie, Honors Magic V5, Magic 7 und Magic 7 Pro sowie das OnePlus 13 und weitere raus sind. Aber auch Geräte des vergangenen Jahres und selbst topaktuelle Geräte sind der Liste zufolge nicht mit Gemini Intelligence kompatibel: So sind etwa Samsungs Galaxy Z Fold 7 als auch die 2026er-Geräte Xiaomi 17 und 17 Ultra und eine ganze Reihe weiterer Xiaomi-Modelle nicht in der Lage, Gemini Intelligence auszuführen.
Updategarantie, sichere Virtualisierung
Abseits der hard- und softwareseitigen Anforderungen macht Google für Gemini Intelligence klare Vorgaben hinsichtlich der Updates: Wenn Hersteller die neue KI auf ihren Geräten nutzen wollen, müssen diese mindestens 5 Jahre lang Android-Updates und sechs Jahre lang quartalsweise Sicherheitspatches garantieren.
Lesen Sie auch
Überdies schreibt Google Unternehmen die Nutzung von im vergangenen Jahr angekündigten Virtualisierungstechniken pKVM (protected Kernel-based Virtual Machine) zur Absicherung der von der KI verarbeiteten Daten vor. Diese sollen garantieren, dass die Informationen nur lokal verarbeitet werden und keine unbefugten Apps direkten Zugriff haben.
Vorteil von Gemini Intelligence ist übrigens, dass die Aufgaben nicht in der Cloud, sondern direkt auf dem Gerät ausgeführt werden, was im Hinblick auf die Privatsphäre ein Pluspunkt ist. Wer keine KI nutzen will, muss es nicht: wie der bisherige Gemini-Assistent dürfte auch Gemini Intelligence optional bleiben.
(afl)
Datenschutz & Sicherheit
Microsoft Edge: Keine Klartext-Passwörter mehr im Browserprozess
Vor zwei Wochen schlug hohe Wellen, dass Microsofts Webbrowser Edge beim Start alle Passwörter aus dem Passwort-Manager lädt – und im Klartext im Prozessspeicher vorhält. Die Entwickler haben nach den Medienberichten reagiert, aktualisierte Browser-Versionen machen das nicht mehr.
Weiterlesen nach der Anzeige
In den Update-Notizen zu Microsoft Edge für das Update vom Freitag haben die Entwickler angegeben, das Problem gelöst zu haben. Dort schreiben sie, sie haben Änderungen am Passwort-Manager vorgenommen. Die sollen sicherstellen, dass Passwörter nicht mehr beim Browser-Start in den Speicher geladen werden. Ein Blog-Post liefert zudem weitere Informationen. Zunächst erklären die Programmierer, dass das Verhalten von Edge zuvor basierend auf den bestehenden Kriterien ins erwartete Bedrohungsmodell passe. Das Risiko entstehe dadurch, dass ein Angreifer das Gerät bereits kompromittiert habe. Dennoch sehe man Verbesserungspotenzial.
Als erste Maßnahme lädt Microsoft Edge nun beim Start die Passwörter nicht mehr in den Speicher. Die Verteilung des Updates erfolgt mit Priorisierung, für Microsoft Edge Version 148 und neuere. Wer den Edge-Passwort-Manager nutze, müsse nichts weiter machen, die Änderung solle durch den regulären Update-Kanal eintrudeln.
Behandlung der Fehlermeldung nicht so prickelnd
Die Entwickler schreiben auch, dass sie die Behandlung derartiger Fehlerberichte noch mal genauer unter die Lupe nehmen. Die erste Reaktion auf den Fehlerbericht von Tom Jøran Sønstebyseter Rønning basierte auf bestimmten Kriterien für das Chromium-Projekt. Das sei als Grundlinie zu verstehen, Microsoft wolle die Latte für sich aber höher legen. Der Prozess zur Behandlung von Fehlerberichten von IT-Forschern soll noch einmal überprüft werden. Die Entwickler wollen einen Fokus auf Geschwindigkeit, Klarheit und einen Defense-in-depth-Denkansatz stärken und früher damit ansetzen.
Vor rund zwei Wochen konnten wir das Problem einfach nachstellen. Ein frisch im Passwort-Manager von Microsoft angelegtes Konto führte dazu, dass nach einem Browser-Neustart das Passwort im Klartext im Dump des Prozessspeichers auffindbar war. Der Test mit einer aktuellen Microsoft-Edge-Version, konkret 148.0.3967.70, liefert nach Suche im Prozessspeicher das Passwort nicht mehr einfach aus. Wer den Chromium-basierten Edge nutzt, sollte daher sicherstellen, dass der Browser auf aktuellem Stand ist.
(dmk)
Datenschutz & Sicherheit
Pushback-Dokumentar: Norwegisches Gericht lehnt Auslieferung von Tommy Olsen an Griechenland ab
Das norwegische Berufungsgericht Hålogaland hat die Auslieferung des Aktivisten und Pushback-Dokumentars Tommy Olsen an Griechenland einstimmig abgelehnt. Das Gericht befand, dass die Handlungen, die griechische Behörden Olsen vorwerfen, nach norwegischem Recht keine Straftaten darstellen. Zudem erkannte es eine Gefahr der Verletzung des Rechts auf freie Meinungsäußerung, das in Artikel 10 der Europäischen Menschenrechtskonvention festgeschrieben ist. Der Beschluss eines Verwaltungsgerichts, das im März die Auslieferung Olsens grundsätzlich erlaubte, ist damit nichtig.
Der Norweger Tommy Olsen kam 2015 als Freiwilliger auf die Insel Lesbos, um Schutzsuchende auf Booten als Ersthelfer in Empfang zu nehmen und ihre Ankunft zu dokumentieren. 2017 gründete er dazu von Tromsø aus Aegean Boat Report, zunächst als Facebook-Seite und auf Twitter mit zehntausenden Followern, seit 2018 als formell registrierte Nichtregierungsorganisation.
Postings gegen das Verschwinden
Aegean Boat Report empfängt über Handy und andere digitale Kanäle Videos, GPS-Koordinaten und Lageberichte von Geflüchteten auf See und veröffentlicht sie umgehend. Die Logik dahinter: Wenn die Ankunft der Menschen auf dem Festland oder Inseln in Griechenland öffentlich nachvollziehbar ist, können Behörden sie schwerer zurückweisen – oder die Betroffenen leichter dagegen gerichtlich vorgehen.
Griechische Grenztruppen sind seit Jahren dafür berüchtigt, Geflüchtete in türkische Gewässer oder über die Landgrenze in Richtung der Türkei zu entführen, damit diese keinen Asylantrag stellen können. In der Ägäis kommt es dabei immer wieder zu vielen Toten. Zuletzt hatten Küstenwächter im Februar ein Schlauchboot vor Chios gerammt, 15 Menschen starben dabei.
Vor zwei Wochen wurde ein Frontex-Bericht öffentlich, wonach auch die EU-Grenzagentur bestätigt, wie die Besatzung eines griechischen Patrouillenbootes bei einem Vorfall vor einem Jahr in der Ägäis mit Stöcken auf ein Boot mit 31 Migrant:innen einschlug. Dieses sei daraufhin gesunken, sieben Menschen starben, darunter ein Kind.
Alles netzpolitisch Relevante
Drei Mal pro Woche als Newsletter in deiner Inbox.
Vorwurf wegen „krimineller Vereinigung“
Griechische Behörden hatten Olsen im Dezember 2025 mit einem Europäischen Haftbefehl verfolgen lassen. Am 16. März klingelten schließlich vier Polizist:innen an seiner Wohnung in Tromsø und nahmen ihn vorübergehend in Auslieferungshaft. Die Vorwürfe gehen auf griechische Ermittlungen aus dem Jahr 2022 zurück. Darin geht es um die angebliche Mitgliedschaft in einer kriminellen Vereinigung, Schleusung sowie Beihilfe zur irregulären Einreise.
Die Anklage bezieht sich auf einen Vorfall, bei dem ein Geflüchteter, der zweimal von griechischen Behörden in die Türkei zurückgedrängt worden war, die Vorfälle auf Videos öffentlich machte. Als er beim dritten Versuch gemeinsam mit weiteren Schutzsuchenden in Griechenland ankam, informierten Olsen und der Aktivist Panayote Dimitras von der griechischen NGO Helsinki-Monitor – der ebenfalls angeklagt ist – die griechischen Behörden. So wollten sie sicherstellen, dass die Neuangekommenen Zugang zum Asylverfahren erhalten.
Olsen bestreitet alle Vorwürfe. Bereits nach seiner Festnahme hatte er auf dem X‑Account von Aegean Boat Report geschrieben: „Griechische Behörden wollen mich zum Schweigen bringen und haben deshalb eine Geschichte fabriziert, in der sie mich beschuldigen, mit Schleusern zusammenzuarbeiten.“
Griechenland wegen Pushbacks verurteilt
Das norwegische Berufungsgericht stützte sich bei seiner Entscheidung auch auf Erkenntnisse des Europäischen Gerichtshofs für Menschenrechte, auf Berichte von UN-Sonderberichterstattern sowie EU-Rechtsstaatsberichte, die ebenfalls schwerwiegende Bedenken bezüglich der Pushback-Praxis Griechenlands dokumentieren. Kritisiert wird darin auch die gezielte Verfolgung von Menschenrechtsverteidiger:innen in Griechenland.
Erst im Juni 2025 war Athen wegen illegaler Pushbacks vom Europäischen Gerichtshof für Menschenrechte verurteilt worden. Das Berufungsgericht erkannte ausdrücklich an, dass die Tätigkeiten, wie sie griechische Behörden auch Olsen anlasten, durch das Völkerrecht und die Meinungsfreiheit geschützte Aktivitäten sind.
Urteil mit europäischer Tragweite
Das Urteil kommentierte die Organisation am Freitag: „Dies ist nicht nur ein wichtiger persönlicher Sieg für Tommy Olsen. Es ist auch eine wichtige Entscheidung für Journalist:innen, Menschenrechtsverteidiger:innen, humanitäre Helfer:innen und alle, die Rechtsverletzungen an Europas Grenzen dokumentieren.“
Wir sind ein spendenfinanziertes Medium.
Unterstütze auch Du unsere Arbeit mit einer Spende.
Olsens norwegischer Verteidiger Brynjulf Risnes sieht in der aktuellen Entscheidung des Berufungsgerichts eine Weichenstellung mit europäischer Tragweite, die „sowohl in Griechenland als auch in anderen Ländern Beachtung finden“ werde.
Auch sein griechischer Anwalt Zacharias Kesse kommentierte das Urteil als „deutliche Botschaft an die griechischen Gerichte und Staatsanwaltschaften hinsichtlich der Grenzen des Rechtsstaats, der Meinungsfreiheit und des Missbrauchs des Strafverfahrens“.
Kampf noch nicht beendet
Bereits in allen früheren, ähnlichen Prozessen gegen ihn in Griechenland war Olsen freigesprochen worden. „Das ist eine enorme Erleichterung“, sagte Olsen unmittelbar nach Bekanntgabe der aktuellen Entscheidung. „Auch meine Familie ist unglaublich erleichtert.“
Trotz des Erfolgs bleibt Olsens Bewegungsfreiheit eingeschränkt: Der Europäische Haftbefehl Athens kann in anderen EU-Staaten vollstreckt werden. „Das macht meine Arbeit schwierig, und ich kann auch meine Familie nicht in den Urlaub ins Ausland mitnehmen“, sagte Olsen am Freitag.
Ob die Staatsanwaltschaft Revision einlegen und das griechische Auslieferungsersuchen vor den Obersten Gerichtshof bringen wird, war zunächst offen. Auch muss sich zeigen, ob die Justiz in Athen womöglich in Abwesenheit gegen Olsen verhandelt. Zunächst feierte der Aktivist mit seiner Familie. „Dieser Prozess war wohl schlimmer für sie als für mich“, sagte Olsen.
-
Künstliche Intelligenzvor 3 Monaten
Top 10: Die beste kabellose Überwachungskamera im Test – Akku, WLAN, LTE & Solar
-
Social Mediavor 3 MonatenCommunity Management und Zielgruppen-Analyse: Die besten Insights aus Blog und Podcast
-
Entwicklung & Codevor 2 MonatenCommunity-Protest erfolgreich: Galera bleibt Open Source in MariaDB
-
Künstliche Intelligenzvor 2 MonatenBlade‑Battery 2.0 und Flash-Charger: BYD beschleunigt Laden weiter
-
Künstliche Intelligenzvor 2 Monaten
Top 10: Der beste Luftgütesensor im Test – CO₂, Schadstoffe & Schimmel im Blick
-
Apps & Mobile Entwicklungvor 2 MonatenMähroboter ohne Begrenzungsdraht für Gärten mit bis zu 300 m²
-
Künstliche Intelligenzvor 2 MonateniPhone Fold Leak: Apple spart sich wohl iPad‑Multitasking
-
Social Mediavor 2 MonatenVon Kennzeichnung bis Plattformpflichten: Was die EU-Regeln für Influencer Marketing bedeuten – Katy Link im AllSocial Interview
