Mit vereinten Kräften gegen die Ausbeutung durch Big Tech
Sie wollen nicht länger unsichtbar bleiben: In Berlin haben sich vergangene Woche Datenarbeiter:innen und Content-Moderator:innen aus den USA, Kenia, Nigeria, Deutschland, Venezuela und Spanien für eine zweitägige Versammlung getroffen. Die Arbeiter:innen sind Fachleute für Daten-Aufbereitung und Online-Sicherheit. Ihre Arbeit spielt für den Erfolg von Künstlicher Intelligenz und Sozialen Medien eine unverzichtbare Rolle, trotzdem weiß kaum jemand von ihnen.
Beschäftigt sind die Arbeiter:innen häufig über Outsourcing-Firmen. Sie erhalten oft mickrige Gehälter. Am Arbeitsplatz werden sie konstant überwacht und sind permanentem Erfolgsdruck ausgesetzt. Die Tech-Konzerne, deren Probleme sie lösen, profitieren von ihrer Ausbeutung und nehmen in Kauf, dass sie alleingelassen werden, auch wenn sie potenziell traumatisierende Tätigkeiten wie die Moderation gewalttätiger Inhalte übernehmen müssen.
Das wollen die Arbeiter:innen nicht länger hinnehmen. In Berlin tauschten sie Erfahrungen aus, vernetzten sich und schmiedeten Pläne.
Große Lohnunterschiede
Sprechen dürfen die Arbeiter:innen über ihre Tätigkeit eigentlich nicht. Sie mussten Knebelverträge unterschreiben, um die Jobs zu erhalten, die ihr Überleben sichern. Deshalb bleiben alle, deren Statements wir wiedergeben, in diesem Artikel anonym.
Etwa die Person, die von den jüngsten Maßnahmen des Social-Media-Konzerns Tiktok berichtet, der seine Arbeiter:innen in Europa feuere, um woanders günstigere Arbeitskräfte anstellen zu können. So etwa in Casablanca, wo ein neues Moderationszentrum geplant werde. In anderen Fällen würden die Moderator:innen durch KI-Systeme ersetzt, die sie selbst trainieren mussten.
Eine weitere Person berichtet von den unterschiedlichen Gehältern, die global für die gleiche Arbeit gezahlt werden. Das sei auch innerhalb Europas der Fall: „Der Unterschied zwischen Ländern wie Spanien und den nordischen Ländern ist enorm“, sagt die Person, die in Barcelona bei einem Outsourcing-Unternehmen arbeitet. Dort könnten sich Datenarbeiter:innen oft kaum noch die Miete leisten, während Arbeiter:innen in Skandinavien sich von ihrem Gehalt eine eigene Wohnung kaufen könnten.
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Kritik an Gewerkschaften
Organisiert wurde das Treffen vom Forschungszentrum Weizenbaum-Institut und der Nichtregierungsorganisation superrr lab. „Die zwei Tage waren für uns etwas Besonderes, weil sie von transnationaler Solidarität geprägt waren“, schreiben Milagros Miceli und Julia Kloiber im Anschluss. „Die Arbeiter*innen schließen sich über Landesgrenzen hinweg zusammen, um den tückischen Taktiken von Big Tech entgegenzutreten, die darauf abzielen, Arbeiter:innen gegeneinander auszuspielen und sich ihrer rechtlichen Verantwortung zu entziehen.“
In den nächsten Jahren gehe es darum, etablierte Gewerkschaften und politische Vertreter:innen zu gewinnen, „damit sie diesen Kampf endlich unterstützen“, so die beiden Organisatorinnen. Dass das notwendig ist, zeigt auch Kritik der Arbeiter:innen vor Ort.
„Weil die Gewerkschaften sich nicht an unseren neuen Sektor angepasst haben, gibt es nichts, was sie für uns tun können, wofür wir nicht als Betriebsrat selbst kämpfen könnten“, sagte eine Person. Zu häufig würden Gewerkschaften Beschäftigte nur als Zahlen sehen. So sei es in der Vergangenheit vorgekommen, dass die deutsche Gewerkschaft ver.di Moderator:innen als Callcenter-Agenten dargestellt habe. „Das ist falsch und verschafft uns nicht die Anerkennung, die wir verdienen.“
Gemeinsamer Kampf für bessere Bedingungen
Anerkennung für ihre Leistungen ist schon lange ein großes Thema für die Arbeitskräfte, die oft lapidar als „Klickarbeiter:innen“ bezeichnet werden. Tatsächlich aber braucht es für viele ihrer Tätigkeiten intensives Training – ohne ihre Arbeit würden heute weder KI-Anwendungen noch Soziale Medien funktionieren. Zu ihrer Vision der kollektiven Emanzipation gehöre es, „unsere Arbeit als qualifizierte Arbeit anzuerkennen“, sagt deshalb eine:r der Arbeiter:innen. Außerdem müsse man Druck auf Arbeitgeber ausüben, damit sie betroffenen Arbeitnehmern angemessene psychologische Unterstützung bieten und diese auch bezahlen.
„Was wir brauchen, ist eine solide, transnationale und branchenübergreifende Vernetzung der Arbeitnehmer:innen in Form einer neuen repräsentativen Gewerkschaft“, sagte eine andere Person vor Ort. Daran wollen gemeinsamen mit den Arbeiter:innen auch Kloiber und Miceli in den kommenden Jahren arbeiten. Außerdem wollen sie gemeinsam Anforderungen an ein maßgeschneidertes Mental-Health-Programm entwickeln und Wissenstransfer rund um Arbeitskämpfe verbessern.
Vier Jahre langes Hin und Her zwischen Sicherheitsforscher und Vasion Print
Ein Sicherheitsforscher gibt an, bereits Ende 2021 83 Sicherheitslücken in der Druckerautomatisierungssoftware Vasion Print (ehemals PrinterLogic) an den Softwarehersteller gemeldet zu haben. Seitdem gab es ihm zufolge einen stetigen Kontakt, aber ob mittlerweile alle Sicherheitsprobleme gelöst sind, ist kaum durchschaubar.
Nun listen das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das National Institute of Standards and Technology (NIST) einige der Schwachstellen auf. Eine Antwort zur Anfrage von heise security an den Softwarehersteller zum Status quo der Sicherheitsprobleme steht noch aus.
Hintergründe
In einem im April dieses Jahres veröffentlichten Beitrag führt der Sicherheitsforscher den zeitlichen Ablauf und detaillierte Informationen zu den Sicherheitslücken auf. Daraus geht unter anderem hervor, dass er den Softwarehersteller erstmals im November 2021 kontaktiert hat. Seitdem stand er eigenen Angaben zufolge bis Frühling 2025 im stetigen Kontakt, und man habe sich über die Sicherheitsprobleme ausgetauscht. Von den Softwareschwachstellen sind die Linux-, macOS- und Windows-Clients betroffen.
Wie aus dem Beitrag hervorgeht, wurden für einige Lücken noch keine CVE-Nummern vergeben. Bei anderen steht auch noch die Einstufung des Bedrohungsgrads aus. Für andere Lücken sind wiederum ausführlichere Informationen vorhanden.
Alle Sicherheitsprobleme gelöst?
So können Angreifer unter Linux oder macOS an einer Schwachstelle (CVE-2025-34192 „kritisch“) ansetzen und eine schon seit 2019 nicht mehr im Support befindliche Kryptografie-Komponente in Vasion Print Virtual Appliance Host ausnutzen, um TLS-Verbindungen zu schwächen. Dagegen sollen die Versionen ab 20.0.2140 und 22.0.893 gerüstet sein.
Durch das erfolgreiche Ausnutzen einer weiteren Lücke (CVE-2025-34193 „hoch“) können sich Angreifer Systemrechte verschaffen. An dieser Stelle bleibt unklar, ob es bereits ein Sicherheitsupdate gibt. Aus dem Sicherheitsbereich der Vasion-Website zur SaaS-Version und zu Virtual Appliance Host ist nicht konkret ersichtlich, ob mittlerweile alle vom Sicherheitsforscher gemeldeten Lücken geschlossen wurden.
Er gibt an, dass der Softwareanbieter im Zuge der Kommunikation manche Schwachstellen nicht als Gefahr anerkannt und die Lösungen dafür als Verbesserungsvorschlag und nicht als Sicherheitspatch an die Entwicklungsabteilung weitergegeben hat.
Weil der Patchstatus aller vom Sicherheitsforscher genannten Probleme derzeit noch unklar ist, sollten Admins sicherstellen, dass sie die aktuelle Ausgabe installiert haben. Wenn Vasion sich mit einer Stellungnahme meldet, aktualisieren wir diese Meldung.
Nach IT-Angriff: Produktionsstopp bei Jaguar Land Rover noch bis Oktober
Der britische Automobilhersteller Jaguar Land Rover (JLR) kann die Produktion auch fast einen Monat nach einem IT-Vorfall nicht wieder aufnehmen, das ist jetzt für den 1. Oktober geplant. Eigentlich sollten die Werke am 24. September wieder hochgefahren werden, aber der Konzern benötigt mehr Zeit für den stufenweisen Neustart des Betriebs und die internen Untersuchungen, heißt es in einer Stellungnahme.
Die BBC ergänzt, dass die wochenlange Produktionsunterbrechung zu einem immer größeren Problem für Zulieferbetriebe wird und das Risiko steigt, dass einige die Folgen finanziell nicht stemmen können. Ein Wirtschaftsexperte hat dem Nachrichtensender bereits erklärt, dass JLR selbst schon umgerechnet 140 Millionen an Gewinn und fast zwei Milliarden Euro an Umsatz verloren hat.
„Hilferufe“ von Zulieferbetrieben
JLR hat den „Cybervorfall“ Anfang September publik gemacht und erklärt, dass die eigenen Systeme „proaktiv heruntergefahren“ wurden. Anfangs hieß es, dass es keine Hinweise darauf gebe, dass Kundendaten gestohlen wurden, „aber unser Verkauf und die Produktion wurden erheblich gestört.“ Tage später erklärte der zum indischen Tata-Konzern gehörende Automobilhersteller, dass doch „einige Daten“ betroffen sein dürften, die Behörden seien informiert. Jetzt versichert JLR, dass man um die Schwierigkeiten wisse, die die anhaltende Produktionsunterbrechung mit sich bringt, man konzentriere sich darauf, die Kundschaft, die Zulieferbetriebe und die Vertriebsstellen zu unterstützen. Von dort kommen laut BBC immer mehr Hilferufe, teilweise könnten Angestellte nicht mehr bezahlt werden.
Zu dem IT-Angriff hat sich schon unmittelbar nach Bekanntwerden die Bande Scattered Lapsus$ Hunters bekannt und als Beweis Screenshots veröffentlicht, die darauf hindeuten, dass JLR erpresst wird. Die Gruppe will den Eindruck erwecken, dass sie sich aus versprengten Mitgliedern dreier krimineller Gruppen zusammensetzt, die vor allem aus jungen Briten bestanden. Dazu gehört Scattered Spider, die im April und Mai die Einzelhändler M&S (Marks & Spencer), Co-op und Harrods angegriffen hat. Lapsus$ wiederum ist seit Jahren bekannt und hat beispielsweise Rockstar Games, das brasilianische Gesundheitsministerium, Nvidia, Samsung, Ubisoft, T-Mobile, Microsoft, Uber und die British Telecom angegriffen. Beide Gruppen sind vorwiegend mittels Social Engineering in Firmennetze eingedrungen.
So verhinderst du, dass LinkedIn mit deinen Daten KI trainiert
Die Erlaubnis zum KI-Training ist bei LinkedIn voreingestellt. – Alle Rechte vorbehalten IMAGO / Zoonar
Was steht im Lebenslauf, wer postet was, wer sucht schon wie lange einen Job? Die Social-Media-Plattform LinkedIn hat sehr aufschlussreiche Informationen über ihre Nutzer*innen. Normalerweise lässt sich einstellen, wer was sehen darf, aber eine Nutzerin bekommt demnächst Zugang zu vielen vorhandenen Datensätzen: die hauseigene Künstliche Intelligenz, die automatisiert Inhalte erstellen soll. Die wird ab dem 3. November mit Informationen der Nutzer*innen gefüttert.
Nicht zu diesen Informationen gehören laut einer Infoseite private Nachrichten oder Inhalte von minderjährigen Nutzenden. Wer volljährig ist und das KI-Training deaktivieren möchte, muss jetzt tätig werden. Dem Unternehmen diese Verwendung der eigenen Daten zu verbieten, geht so: Wer sich mit einem Browser in seinen Account einloggt, findet auf der Profilseite ganz unten den Link zu „Konto und Datenschutz verwalten“. Dort, in den Profileinstellungen, gibt es den Reiter „Datenschutz“ und unter „So verwendet LinkedIn Ihre Daten“ die Einstellung „Daten zur Verbesserung generativer KI“. Die ist standardmäßig auf „Ein“ gestellt, lässt sich aber mit einem Klick deaktivieren.
Noch mehr Wege, persönliche Informationen vor LinkedIn zu schützen
Die KI soll etwa Arbeitgeber*innen dabei unterstützen, mit Job-Kandidat*innen in Kontakt zu kommen und Nutzer*innen bei Profilaktualisierungen, Nachrichten und Beiträgen helfen. Sie lässt sich auch verwenden, wenn man LinkedIn die Erlaubnis zur Datennutzung zum KI-Training eintzogen hat.
LinkedIn beruft sich bei dem KI-Training auf ein berechtigtes Interesse nach DSGVO. Bei bestimmten Änderungen der Nutzungsbedingungen, beispielsweise wenn ein neues Produkt eingeführt wird, will LinkedIn die Nutzer*innen künftig nicht mehr vorab über die Änderung informieren. Gleichzeitig verkündete das Unternehmen auch, dass es zu Werbezwecken künftig mehr Daten an die Muttergesellschaft Microsoft weitergeben will. Unter dem Reiter „Anzeigendaten“ in den Profileinstellungen lässt sich angesichts verschiedener Datenarten festlegen, dass LinkedIn diese künftig nicht mehr zum Ausspielen personalisierter Werbung nutzen darf.
