Alterskontrollen im Internet gefährden das Recht auf Anonymität. Sie schaffen eine umfassende Kontroll-Infrastruktur. Und zusätzlich scheinen sie weitgehend nutzlos zu sein. Jugendliche in Großbritannien umgehen sie mit falschen Schnurrbärten, elterlichen Ausweisen und der Nutzung von VPN-Diensten.

Diese Virtual Private Networks leiten Datenverkehr um und gaukeln den Diensteanbietern vor, dass sich die Nutzer*innen mit einer IP-Adresse aus einem Land einwählen, in dem keine Alterskontrollen gelten. Mit VPNs lassen sich auch staatliche Zensurmaßnahmen umgehen. Deswegen gehen autoritäre Regime, beispielsweise in Russland und China schon lange repressiv gegen sie vor.

Europa will den Zugang von Jugendlichen zu Social Media reglementieren. Eine dazu nötig App, mit der alle Nutzer*innen dann ihre Gesichter und Ausweise scannen müssten, ist laut Kommissionspräsidentin Ursula von der Leyen (CDU) angeblich bereits fertig.

Nun richtet sich auch in Europa der Blick auf die VPN-Anbieter. Der Wissenschaftliche Dienst des Europäischen Parlaments hat eine Analyse über VPNs und den „Schutz von Kindern“ geschrieben. Er sieht „eine Gesetzeslücke, die geschlossen werden muss“, so die Analyse, und stellt die Option vor, auch VPN-Anbietern Alterskontrollen aufzuzwingen. Er problematisiert, dass VPN-Dienste in Großbritannien enorm populär geworden seien, seit Jugendliche bestimmte Seiten nicht mehr betreten dürfen.

Das Ende der Anonymität im Netz?

In Großbritannien wird gerade verhandelt, welche Dienste künftig mit Alterskontrollen und Zugangssperren für Minderjährige versehen werden sollen. Im Gespräch sind auch VPN-Dienste. Gegen die Ausweitung von Alterskontrollen über die Big-Tech-Plattformen hinaus stellten sich kürzlich zivilgesellschaftliche Akteure wie die Electronic Frontier Foundation und Unternehmen wie Mozilla oder Proton. James Baker von der Open Rights Group schreibt in einem Statement: „Die Ausweitung der Altersverifizierung wird die Vormachtstellung großer Technologieunternehmen festigen und kleine sowie ehrenamtlich betriebene Dienste schädigen, die sich die Einhaltung der Vorschriften möglicherweise nicht leisten können.“

Tatsächlich ist das Problem noch deutlich größer: Müssten Menschen zur Nutzung von VPN tatsächlich ihren Personalausweis vorlegen, ginge beispielsweise Whistleblower*innen oder Oppositionellen ein wichtiges Werkzeug verloren, ihre Anonymität zu gewährleisten. Journalist*innen könnten nicht mehr undercover oder in regional beschränkten Inhalten im Netz recherchieren, zivilgesellschaftliche Akteur*innen ihre Daten nicht vor staatlichen Zugriffen schützen.

Alle datenschutzinteressierten Privatpersonen verlören eine populäre und einfach zu nutzende Möglichkeit, ihre Identität gegenüber Plattform- und Websitebetreibern zu verschleiern. Die Möglichkeit, anonym und frei kommunizieren zu können, ist grundlegende Eigenschaft einer Demokratie.

Vergangene Woche hat Trellix, das IT-Sicherheitsunternehmen, das aus dem Zusammenschluss von FireEye und McAfee hervorging, einen IT-Vorfall gemeldet: Angreifer haben Zugriff auf Quellcode-Repositories erlangt. Da war noch unklar, wer dafür verantwortlich zeichnet. Nun hat sich die kriminelle Vereinigung RansomHouse auf ihrer Darknet-Webseite zu dem Datenklau bekannt.

Der konkrete Darknet-Eintrag hält einen Download-Link auf ein Sample vor. Angeblich hat die Bande die Daten von McAfee am 17. April 2026 „encrypted“, also verschlüsselt. Davon schreibt Trellix jedoch nichts. Die fein geschliffenen Formulierungen von Trellix schließen konkret eine Verschlüsselung der Repositories jedoch nicht aus. Das Unternehmen schreibt lediglich, dass es keine Belege dafür gebe, dass Quellcode-Releases oder der Verteilungsprozess betroffen sind oder dass der Quellcode missbraucht wurde.

Immerhin kommt mit dem Bekenntnis von RansomHouse etwas Licht ins Dunkel, wer bei dem IT-Sicherheitsunternehmen eingebrochen ist und sich den Quellcode von Software beschafft hat. Der Umfang der kopierten Daten bleibt jedoch weiter unklar, ebenso, welche Repositories und damit Informationen nun genau offenliegen.

Zumindest Klarheit über Täter

In der vergangenen Woche schrieb Trellix, dass das Unternehmen unbefugte Zugriffe auf einen Teil der Quellcode-Repositories bemerkt hatte. Es zog daraufhin den eigenen Angaben nach führende Forensikexperten zur Klärung hinzu. Auch die Strafverfolgungsbehörden hat Trellix demnach informiert. Es blieb zu dem Zeitpunkt unklar, wer für den IT-Einbruch verantwortlich war.

(dmk)

Die Integrationssoftware für unter anderem Geschäftsinformationen IBM App Connect Enterprise und IBM Integration Bus for z/OS sind über eine Softwareschwachstelle angreifbar. Schadcode kann Systeme kompromittieren.

Schadcode-Sicherheitslücke

Davor warnen die Entwickler in einem Beitrag. Im Zuge einer Directory-Traversal-Attacke (CVE-2026-67030 „hoch“) können Angreifer auf eigentlich abgeschottete Daten und Verzeichnisse zugreifen, um Schadcode abzuladen und auszuführen. Bislang gibt es keine Berichte, dass Angreifer die Sicherheitslücke schon ausnutzen.

Die Entwickler geben an, dass davon die folgenden Versionen bedroht sind: IBM App Connect Enterprise 12.0.1.0 bis 12.0.12.24 und 13.0.1.0 bis 13.0.7.0 und IBM Integration Bus for z/OS 0.1.0.0 bis 10.1.0.6. Die Lücken seien in den folgenden Ausgaben geschlossen:

• IBM App Connect Enterprise v12- Fix Pack Release 12.0.12.25
• IBM App Connect Enterprise v13- Fix Pack Release 13.0.7.1
• IBM Integration Bus for z/OS v10.1 – Fix Pack Release 10.1.0.7

(des)