Chinesische Angreifer wie Salt Typhoon oder GhostEmperor nutzen zumeist bekannte, aber nicht geschlossene Sicherheitslücken aus, um Netzwerksysteme zu infiltrieren und auszuspähen. Jetzt gibt es einen offiziellen Leitfaden, den Sicherheitsbehörden verschiedener Länder gemeinsam erarbeitet und herausgegeben haben. Derweil möchte Kanadas Datenschutzbehörde eine auf konkrete Gefahr reduzierte Variante des „Rechts auf Vergessenwerden“ durchsetzen. Google spielt allerdings nicht mit, obwohl die Ergebnisse der Suchmaschine auf viele Jahre alte, überholte und teilweise unvollständige Berichte über eine HIV-positive, minderjährige Person verweisen. Konkret betrifft uns in Europa, dass Word für Windows neu abgefasste Inhalte automatisch in die Cloud speichert, wo auch Microsofts KI mitliest. Doch es gibt Abhilfe. Nutzer können die Autosave-Funktion abschalten oder die automatische Speicherung in andere Clouds oder eigene Laufwerke umleiten – die wichtigsten Meldungen im kurzen Überblick.

In den letzten Jahren sind immer wieder Cyberangriffe von mutmaßlich chinesischen Akteuren auf internationale Netzwerksysteme bekannt geworden. Dabei konnten die wohl staatlich unterstützten Cyberangreifer die globale Telekommunikationsinfrastruktur infiltrieren und ausspähen. Dagegen haben sich die Sicherheitsbehörden verschiedener Länder verbündet und jetzt einen gemeinsamen und umfassenden Cybersicherheitsleitfaden veröffentlicht, der das Vorgehen der Angreifer beschreibt, Hinweise zur Entdeckung der Attacken gibt und Gegenmaßnahmen empfiehlt. Vielen dieser Cyberangriffe gemein ist das Ausnutzen bereits bekannter, aber vom Betreiber nicht geschlossener Sicherheitslücken: Weltweite Warnung vor Cyberangriffen Chinas auf Telekommunikationsinfrastruktur.

Google weigert sich, die kanadische Version des „Rechts auf Vergessenwerden“ zu akzeptieren, obwohl dieses im Vergleich zur europäischen Variante deutlich reduziert und besser gegen Missbrauch geschützt ist. Googles Weigerung stellt die schwache Datenschutzbehörde der Monarchie vor ein Problem. Ausgangspunkt des Streits sind über Googles Suchmaschine zu findende Medienberichte über Verhaftung und Anklage einer HIV-positiven, minderjährigen Person, wohl vor über einem Jahrzehnt. Der Person wurde einst vorgeworfen, ihren HIV-Status vor einem sexuellen Kontakt nicht offengelegt zu haben. Darüber berichteten kanadische Medien unter Nennung des vollen Namens der Person und ihrer sexuellen Orientierung. Das schadet der Person noch heute: Google will HIV-Status minderjährigen Kanadiers in Suchergebnissen behalten.

Verweigern können Anwender erfreulicherweise Microsofts Drang von Office-Dateien zur Cloud. Zwar landen mit Microsoft Word für Windows erstellte Inhalte ab sofort automatisch in der Microsoft-Cloud Onedrive. Gleichzeitig bekommt Microsofts Künstliche Intelligenz Copilot samt deren Agenten Zugriff auf die automatisch auf Onedrive gespeicherten Dateien. Doch Nutzer, die das nicht möchten, können die automatische Speicherung (Autosave) deaktivieren. Alternativ können sie in den Einstellungen eine andere Cloud als automatischen Speicherort festlegen. Angeboten werden in den Einstellungen auch noch, ganz oldschool, der eigene Rechner oder gegebenenfalls ein Netzwerklaufwerk als Ort für das automatische Abspeichern: MS Word speichert unter Windows jetzt automatisch in die Cloud.

Nach einer IT-Attacke auf den Klinikkonzern Ameos im Juli hat der Verbund nun ein Auskunftsformular veröffentlicht, auf der Patienten Auskunftsersuchen stellen können. „Ob im Einzelfall personenbezogene Daten betroffen sind, muss jeweils aufwendig und individuell geprüft werden. Daher können wir keine verlässliche Aussage dazu machen, wie viele Personen tatsächlich betroffen sind“, sagte ein Sprecher gegenüber heise online. Nach Ausfüllen des auf der Informationswebpage verlinkten Auskunftsformulars werde individuell geprüft, welche Daten in welchem Zeitraum betroffen waren. Dazu müssen sich Patienten identifizieren und eine Kopie ihres Ausweisdokuments hochladen: Nach IT-Angriff auf Ameos Kliniken steht Auskunftsformular für Datenschutz bereit.

In der heutigen Ausgabe der #heiseshow sprechen wir unter anderem über Klickibunti und wie Windows 95 vor 30 Jahren den modernen PC prägte. Was machte Windows 95 so wegweisend? Welche Designprinzipien prägen noch heute unsere Computer? Derweil plant die Trump-Regierung angeblich Sanktionen gegen EU-Verantwortliche wegen des Digital Services Act. Wie ernst ist diese Drohung zu nehmen? Kann die EU ihre digitale Souveränität gegen US-Druck behaupten? Unter Druck stehen auch Rettungsleitstellen, denn smarte Geräte und automatisierte Systeme überlasten zunehmend die Notfall-Infrastruktur mit Fehlalarmen. Wie groß ist das Problem der automatisierten Notrufe wirklich? Welche technischen Lösungen gibt es, um echte Notfälle von Fehlalarmen zu unterscheiden? Darum geht es heute um 17 Uhr live in der #heiseshow: Windows 95, USA vs. EU, Notrufchaos.

Auch noch wichtig:

• Die Süddeutsche Zeitung berichtet, dass Deutsche Banken Zahlungen an Paypal gestoppt hatten. Auslöser war ein Sicherheitsproblem bei Paypal: Deutsche Banken blockierten offenbar Zahlungen von Milliarden Euro.
• In der US-Sozialkasse haben Angestellte von DOGE laut einer Whistleblower-Beschwerde eine hochsensible Datenbank in die Cloud kopiert. Das Risiko sei enorm, so der Whistleblower: DOGE hat Daten zu allen Menschen in den USA in die Cloud kopiert.
• Klimaanlage? Geht ja gar nicht! Wärmepumpe? Super. Clemens Gleich betrachtet die seltsame deutsche Tugendwahrnehmung an der Moralscheide des Klimakompressors in seinem Kommentar: Nur in Deutschland ist die Klimaanlage etwas Schlechtes.
• Nachdem drei Testflüge in Folge nicht geglückt waren, ist SpaceX beim zehnten Start der Riesenrakete Starship jetzt wieder alles gelungen, was geplant war: Beim zehnten Testflug hat die Riesenrakete Starship wieder alle Aufgaben absolviert.
• Amazon offeriert beim Retourenprozess neuerdings, manche Waren gegen Preisreduktion zu behalten statt zurückzuschicken. Lohnt sich das Eingehen auf das Modell? Das ist die Frage beim neuen Retourenmodell: Amazon bietet Nachlass statt Rücksendung.
• Die neue Toniebox bietet Spiele und soll noch jüngere Kinder ansprechen. Boxen der ersten Generationen bleiben voll funktionsfähig: Hersteller erweitert Altersgruppe bei Toniebox 2.
• Googles KI-Wettermodell stach bei der 72-Stunden-Vorhersage von Hurrikan Erin gegenüber etablierten Modellen hervor. Warum die KI etliche Vorteile bietet: Googles KI-Wettervorhersage für Hurrikan Erin übertrifft klassische Modelle.
• VW stellt den zweiten T-Roc vor, an dem wenig überrascht. Doch dahinter steckt kein mangelnder Mut, sondern kluges Kalkül: VW T-Roc weiterhin konservativ erfolgreich?
• Ein Märchen in CRUD zeigt, wie Fachsprache und Technik kollidieren, weil sich nicht alles über Create, Read, Updated und Delete abbilden lässt: Warum CRUD für Märchen und Unternehmen gleichermaßen ungeeignet ist.
• Die Theorien zur Planetenentstehung sind umfangreich, teils fehlen aber Nachweise. Nun wurde beobachtet, wie ein Exoplanet eine Lücke zwischen Ringen schafft: „Spektakulär klares Bild“ zeigt erstmals Babyplaneten beim Freiräumen des Orbits.

(fds)

Google weigert sich, die kanadische Version des „Rechts auf Vergessenwerden“ zu akzeptieren, obwohl dieses im Vergleich zur europäischen Variante deutlich reduziert und besser gegen Missbrauch geschützt ist. Googles Weigerung stellt die schwache Datenschutzbehörde der Monarchie vor ein Problem. Ausgangspunkt des Streits sind über Googles Suchmaschine zu findende Medienberichte über Verhaftung und Anklage einer HIV-positiven, minderjährigen Person, wohl vor über einem Jahrzehnt.

Der Person wurde einst vorgeworfen, ihren HIV-Status vor einem sexuellen Kontakt nicht offengelegt zu haben. Darüber berichteten kanadische Medien unter Nennung des vollen Namens der Person und ihrer sexuellen Orientierung. In den Berichten erblickt die Datenschutzbehörde keinen Rechtsverstoß.

Die Anklage gegen die minderjährige Person wurde jedoch rasch ruhend gestellt, weil die Ermittlungsergebnisse zeigten, dass von der Person nie Gefahr für die Gesundheit anderer ausgegangen ist. Kanadas Bundesstaatsanwalt verfolgt grundsätzlich keine Fälle, bei denen kein realistisches Ansteckungsrisiko bestanden hat. Doch wer den Namen der Person in Googles Suchmaschine eingibt, findet bis heute ganz oben die Medienberichte über Verhaftung und Anklage wegen des behaupteten Sexualdelikts.

Die Folgen für die Person sind schlimm: körperliche Angriffe, Schwierigkeiten bei der Arbeitssuche, soziale Ächtung. Sie hätte gerne, dass bei der Eingabe ihres Namens die Hyperlinks auf veraltete Medienberichte in Googles Suchergebnissen nicht mehr auftauchen. Als Google sich weigerte, wandte sich der Beschwerdeführer 2017 an die kanadische Bundesdatenschutzbehörde (Office of the Privacy Commissioner of Canada).

Jahrelanger Streit über Zuständigkeit

Diese eröffnete ein Verfahren, doch behauptete Google, die Behörde dürfe die Suchmaschine gar nicht untersuchen. Sie diene journalistischen Zwecken, wofür das kanadische Bundesdatenschutzgesetz PEPIDA eine Ausnahme kenne. Die Behörde ging zu Gericht und erstritt sowohl in erster (2021) als auch zweiter Instanz (2023) die Feststellung, dass „jeder Teil“ der Suchmaschine vom kanadischen Bundesdatenschutzgesetz PEPIDA erfasst ist, zumal die Suche nicht ausschließlich journalistischen Zwecken dient.

Dennoch weigert sich Google bis heute, bei Eingabe des Personennamens die Hyperlinks auf die Medienberichte zu unterdrücken. Dabei fordert die Behörde keineswegs, die Medienberichte überhaupt aus dem Index zu löschen. Sie dürfen bei Eingabe anderer Suchbegriffe weiterhin verlinkt werden, nur bei Eingabe des Namens der betroffenen Person soll das nicht mehr passieren. Dazu verweist die Datenschutzbehörde auf einen zentralen Gummiparagrafen des Gesetzes (PEPIDA Paragraph 5 Absatz 3): „An organization may collect, use or disclose personal information only for purposes that a reasonable person would consider are appropriate in the circumstances.“ (Etwa: Organisationen dürfen personenbezogene Daten nur für Zwecke, die eine verständige Person unter den gegebenen Umständen als passend erachten würde, sammeln, nutzen und preisgeben.)

Personenschutz vs öffentliches Interesse

Unter bestimmten, eingegrenzten Bedingungen folge daraus, dass Suchergebnisse unzulässig sein können: Wenn die Suchergebnisse einem Individuum wahrscheinlich signifikanten Schaden zufügen, und das schwerer wiegt, als das öffentliche Interesse an den Suchergebnissen bei Eingabe des Namens des Individuums.

In konkreten Fall sei dieses öffentliche Interesse, wenn überhaupt, gering, weil es sich um keine Person des öffentlichen Interesses handle und sich die Medienberichte um hochsensible Informationen des Privatlebens drehen, nicht um öffentliches Wirken oder Arbeitsleben. Außerdem sei die Anklage flott ruhend gestellt worden; nach heute geltenden Richtlinien wäre sie kaum je erhoben worden.

Zwar gäbe es öffentlichen Diskurs über strafrechtliche Ahndung nicht offengelegter HIV-Status, doch könne die Öffentlichkeit die konkreten Medienberichte über thematische Suchbegriffe finden; die Auffindbarkeit über den Personennamen trage nicht bedeutend zum Diskurs bei.

Die meisten verlinkten Artikel würden unvollständig und irreführend berichten, da sie die spätere Ruhestellung der Anklage nicht erwähnen. Auch die auf Bundesebene und in mehreren Provinzen gültigen Richtlinien, ohne Ansteckungsrisiko keine Anklagen zu erheben, würden nicht erwähnt. Ohne diesen Kontext könnten Leser einen falschen Eindruck gewinnen, was der genannten Person schwer schaden könne. Überhaupt seien die Artikel vor vielen Jahren erschienen, was ebenfalls das öffentliche Interesse an deren Verlinkung reduziere.

Rechtsverletzung bleibt ohne Folgen

Durch die fortdauernde Verbreitung der Links nach Eingabe des Personennamens verletze Google dauerhaft die zitierte Gesetzesbestimmung. Doch kann die kanadische Bundesdatenschutzbehörde weder Geldstrafen verhängen noch Auflagen machen; sie ist auf Empfehlungen beschränkt. Die möchte Google nicht umsetzen.

„Einzelpersonen haben nach kanadischem Datenschutzrecht das Recht, Informationen über sich aus Onlinesuchergebnissen nach Eingabe ihres Namens unter bestimmten Umständen entfernen zu lassen, wenn es signifikantes Schadensrisiko gibt, dass dem öffentlichen Interesse an dieser über so eine Suche zugänglichen Information überwiegt“, hält Kanadas Datenschutz-Commissioner Philippe Dufresne fest. Seine Behörde werde „alle verfügbaren Optionen erwägen, um Googles Einhaltung des Gesetzes sicherzustellen.“ Wie das aussehen wird, ist offen.

Vergleich zu Europa

Der Zugang der kanadischen Datenschutzbehörde zu einem „Recht auf Vergessenwerden“ hat gegenüber dem europäischen Modell den Vorteil geringeren Missbrauchspotenzials. Legale Webinhalte sollen nämlich nicht grundsätzlich aus dem Suchindex gelöscht werden; im Zentrum steht vielmehr der Schutz Betroffener. Wer gezielt nach ihnen sucht, soll die für die Betroffenen gefährlichen Inhalte nicht leicht finden, während andere Suchbegriffe weiterhin zum Ziel führen. Dass dort dann auch der Name einer Person steht, hat bei weithin unbekannten Menschen kaum Auswirkungen auf diese.

Im europäischen Modell wird regelmäßig die Webpage insgesamt aus den Suchergebnissen gefiltert, unabhängig vom Suchbegriff. Das führt zu Missbrauch, wenn auf derselben Webpage Nutzerkommentare veröffentlicht werden. Wem etwa ein Medienbericht nicht gefällt, verfasst darunter ein „besoffenes“ Posting. Dem Poster ist das bald „peinlich“, weshalb er bei den Suchmaschinen die Unterdrückung der Webpage beantragt. Die Suchmaschinen müssen gehorchen. Die Betreiber der betroffenen Webseite erfahren nie von der Auslistung, die der europäische „Betroffene“ ohne Gerichtsurteil erzwungen hat.

(ds)

Es klang nach einem für die Europäische Union teuren, aber friedlichen Deal: Auf Importe von EU-Produkten in die USA sollen künftig in den meisten Fällen 15 Prozent Zoll erhoben werden, zudem verpflichtet sich die EU zur Abnahme von US-Energieträgern. Doch statt die Einigung zwischen Europäischer Union und seiner Administration wirken zu lassen, hat Donald Trump gleich zur nächsten Runde der EU-US-Auseinandersetzungen geblasen.

Wie fragil die getroffenen Vereinbarungen sind, zeigte sich Mitte August, als die USA einseitig zusätzliche Zölle auf verarbeiteten Stahl und Aluminium verhängten. Sobald diese Materialien in Produkten enthalten sind, gilt nun ein höherer Zoll. Scharfe Kritik an EU-Kommissionspräsidentin Ursula von der Leyens Verhandlungsergebnis kommt vom Präsidenten des Verbands Maschinen- und Anlagenbau (VDMA) Bertram Kawlath: die Wettbewerbsfähigkeit würde massiv leiden. Der VDMA sieht wichtige Teile des Maschinenbaus am „Rand einer existenziellen Krise“. Und damit ist er nicht allein – auch zahlreiche andere Wirtschaftssektoren stehen vor neuen Problemen.

Auch die Deutsche Industrie- und Handelskammer fordert heute von der EU-Kommission, die in der Handelspolitik allein für alle Mitgliedstaaten verhandelt, für klare Verhältnisse zu sorgen. „Gerade bei der Umsetzung der vereinbarten Punkte muss die EU klar ihre regulatorische Autonomie und wirtschaftliche Souveränität bewahren und darf sie nicht für kurzfristige Handelsdeals aufs Spiel setzen“, sagt der für Außenwirtschaft zuständige Volker Treier.

Deal ohne echte Verbindlichkeit

Das Grundsatzproblem dabei: „Es gibt keinen finalen Deal. Deswegen muss man immer damit rechnen, dass da etwas passiert“, sagt Bernd Lange im Gespräch mit heise online. Der SPD-Politiker ist Vorsitzender des Handelsausschusses des Europäischen Parlaments und sieht die Verhandlungsführung durch Ursula von der Leyen höchst kritisch.

Zölle auf Waren sind das eine – der eigentliche Konflikt zwischen den USA und der EU betrifft jedoch nicht nur die Import- und Exporthöhen, sondern auch den Bereich, in dem die USA verletzlich und die EU abhängig ist: die digitalen Dienstleistungen. Der Kern des Streits: Die Trump-Regierung betrachtet die EU-Digitalregeln als Behinderung für US-Technologiekonzerne und wirft Brüssel vor, diese gezielt gegen US-Unternehmen einzusetzen. Die Digitalregulierungen wurden deshalb ausdrücklich aus der EU-US-Vereinbarung ausgeklammert. Aus EU-Sicht heißt das: Sie können nicht Teil von Zollkonflikten sein. Aus US-Perspektive jedoch offenbar: Darüber wird separat verhandelt.

Digital Services Act im Zentrum der Kritik

Dass Donald Trump nun insbesondere den Digital Services Act in den Fokus nimmt und laut Berichterstattung zum einen überlegt, EU-Verantwortliche für das Gesetz zu sanktionieren, hat dabei nicht zuletzt innenpolitische Gründe. Der Justizausschuss des Repräsentantenhauses hatte Ende Juli einen Bericht zum DSA veröffentlicht. Und der enthielt starken Tobak: Das Digitale-Dienste-Gesetz würde von den Anbietern Zensur verlangen, und diese sei, „fast ausschließlich auf politisch Konservative ausgerichtet“. Der gesamte Bericht enthält zahlreiche Vorwürfe, wie der DSA die freie Meinungsäußerung angeblich unterdrücke – und NGOs und Think Tanks dabei mithelfen würden.

Luise Quaritsch vom Berliner Jacques-Delors-Center sieht den Bericht als „verzerrte bis falsche Darstellung des DSA, wie er funktioniert und welche Rolle die Kommission hier einnimmt.“ Weder würden Unternehmen zur globalen Anwendung europäischer Regeln gezwungen, noch würden bestimmte Meinungen zensiert. „Die EU-Kommission kann keine bestimmten politischen Meinungen zensieren und der Bericht liefert auch keine Beweise dafür“, sagt Quaritsch. „Der DSA selbst schreibt gar nicht vor, was legale und was illegale Inhalte sind – lediglich, wie Plattformen mit solchen Inhalten verfahren müssen.“

Anfang August besuchte eine Delegation von Abgeordneten beider Parteien den Sitz der EU-Kommission in Brüssel. Die Parlamentarier um den Ausschussvorsitzenden Jim Jordan trafen dort unter anderem die Verantwortlichen der Digitalgesetzgebung – zeigten jedoch nach Angaben von Teilnehmern wenig Interesse am tatsächlichen Regelungsgehalt. „Nichts von dem, was wir in Europa gehört haben, hat unsere Bedenken abgemildert“, ließ der Republikaner aus Ohio anschließend wissen. Geht es der US-Seite tatsächlich um Meinungsfreiheit? Oder gar um Schützenhilfe für jene Akteure in der EU, die sich den heutigen, primär Trump-loyalen Republikanern eng verbunden fühlen, wie etwa die AfD in Deutschland? „Kritik wie die, die im Congress Report hervorgebracht wird, dient der US-Regierung dazu, ein ihr politisch nützliches Narrativ zu stärken und die ökonomischen Interessen von US-Tech-Unternehmen zu verteidigen“, sagt Luise Quaritsch vom Berliner Jacques-Delors-Centre.

Und plötzlich wird alles durcheinander geworfen

Der für Handel und viele Digitalgesetze wie den DSA zuständigen EU-Kommission jedenfalls fällt der Umgang mit dem schwer vorausberechenbaren US-Vorgehen schwer. „Die Trump-Regierung versucht mit Drohungen und Zwangsmaßnahmen die EU zu erpressen“, erklärt Torsten Benner vom Think Tank Global Public Policy Institute. Das Problem für die EU, so erklärten es in den vergangenen Monaten auch EU-Offizielle immer wieder: Trump, sein Vizepräsident J. D. Vance und die anderen Akteure vermischen inhaltlich alles mit allem. Schon im Februar sorgte Vance mit der Verknüpfung von angeblichen Angriffen auf Free Speech durch Verbündete und davon abhängig gemachte militärische Unterstützung durch die USA für massive Irritationen.

„Bislang gibt sich die EU standfest“, analysiert Torsten Benner vom Think Tank GPPI die Situation. Die Frage sei jedoch, wie standfest die EU sein könne, wenn Trump Ernst mache. Dessen angedrohter Exportstopp für Chiptechnologie sei dabei noch das kleinere Problem. „Hier kann Europa Trump mit dem Hinweis, dass die Wertschöpfungsketten zentral von niederländischer und deutscher Technologie abhängen, etwa ASML, Zeiss und Trumpf, Paroli bieten. Doch wie sähe es aus, wenn Trump bei den NATO-Sicherheitsgarantien, der Geheimdienstzusammenarbeit und bei Ukraine-Russland droht?“

Handelsausschuss-Chef Lange fordert Selbstbewusstsein

„Alles immer in einem Topf“, das beklagt auch Bernd Lange, der Vorsitzende des Handelsausschusses im EU-Parlament. Für den Sozialdemokraten ist klar, dass eine Einmischung der USA in EU-Gesetze und deren Vollzug nicht passieren darf. „Da ist wirklich das Ende der Fahnenstange erreicht“, sagt er im Gespräch mit heise online. Wenn Trump ernst machen würde, wäre es an der Zeit, das schärfste verfügbare Mittel der EU einzusetzen: Das „Anti-Erpressungs-Instrument“, die „ACI“-Verordnung. Die war zwar eigentlich mal für China gedacht, könnte aber auch auf die USA angewandt werden. Und sieht für so einen Fall vor, dass die EU mit vielen Mitteln das Gegenüber abstrafen darf. Zumindest für die Industrie- und Handelskammer scheint das durchaus eine Option zu sein. „Im Notfall sollte die EU auch vor Gegenmaßnahmen nicht zurückschrecken und hier robust verhandeln“, fordert deren stellvertretender Hauptgeschäftsführer Treier. Von ruhigen Zeiten jedenfalls scheinen die transatlantischen Beziehungen wieder weiter entfernt als noch vor wenigen Wochen.

(mack)