Connect with us

Datenschutz & Sicherheit

Open VSX: Eclipse Foundation zieht Konsequenzen aus GlassWorm-Attacke


Die Eclipse Foundation hat ihren jüngsten Sicherheitsvorfall rund um Open VSX – den Open-Source-Marktplatz für VS-Code-Erweiterungen – aufgearbeitet. In den vergangenen Wochen war bekannt geworden, dass Zugangstokens versehentlich in öffentlichen Repositories gelandet waren. Ein Teil davon wurde missbraucht, um manipulierte Erweiterungen einzuschleusen.

Weiterlesen nach der Anzeige

Entwicklerfehler führten zu Token-Leak

Wie die Stiftung mitteilt, hatte das Cloud‑Sicherheitsunternehmen Wiz mehrere offengelegte Tokens gemeldet, die von Entwicklern unbeabsichtigt veröffentlicht worden waren. Einige davon betrafen Konten auf Open VSX. Die Token wurden unmittelbar nach Bekanntwerden gesperrt. Ein Hack der Infrastruktur habe zu keinem Zeitpunkt stattgefunden – der Vorfall sei allein auf menschliche Fehler zurückzuführen.

Um ähnliche Probleme künftig schneller zu erkennen, führte das Team in Abstimmung mit Microsofts Security Response Center ein neues Präfix‑Format für Tokens ein, das automatisierte Scans erleichtert.

„GlassWorm“-Kampagne missbrauchte Tokens

Zeitgleich meldete der Sicherheitsdienstleister Koi Security eine Malware-Welle mit dem Namen „GlassWorm“. Sie nutzte einige der geleakten Tokens, um bösartige Open‑VSX‑Erweiterungen zu veröffentlichen. Dabei handelte es sich jedoch laut Eclipse Foundation nicht um einen klassischen Wurm, der sich selbst verbreitet, sondern um Schadcode, der gezielt Entwickleranmeldedaten stahl.

Alle betroffenen Erweiterungen wurden umgehend entfernt, und sämtliche kompromittierten Tokens widerrufen. Die Berichte über rund 35.800 Downloads seien laut Eclipse übertrieben, da viele Abrufe von Bots oder durch Sichtbarkeits-Tricks erzeugt worden seien.

Neue Sicherheitsroutinen und Kooperationen

Weiterlesen nach der Anzeige

Die Foundation erklärt nun, der Vorfall sei seit dem 21. Oktober 2025 offiziell abgeschlossen. Es gebe keine Hinweise auf weiterhin aktive oder schadhafte Erweiterungen. Das Team arbeite jedoch weiter mit Sicherheitsforschern und Projektpartnern zusammen, um Transparenz und Schutzmaßnahmen zu verbessern.

In Zukunft setzt die Eclipse Foundation auf mehrere strukturelle Änderungen: Tokens sollen kürzere Lebensdauern erhalten und sich einfacher sperren lassen. Außerdem wird bei jeder Veröffentlichung ein automatischer Sicherheitscheck durchgeführt, um Schadcode oder versehentlich veröffentlichte Secrets frühzeitig zu entdecken.

Zudem strebt Open VSX stärkere Vernetzung mit anderen Marktplatzbetreibern an, darunter das VS‑Code‑Ökosystem. Die gemeinsame Auswertung von Bedrohungen und Best Practices soll das Risiko ähnlicher Vorfälle senken.

Gemeinsame Verantwortung für Open Source

Die Foundation nutzt den Abschlussbericht auch als Appell an die Entwicklergemeinschaft: Sicherheit in der Lieferkette sei eine geteilte Aufgabe. Wer Tokens nutzt, müsse sie sorgsam schützen. Die Plattformbetreiber wiederum hätten die Pflicht, Werkzeuge und Prozesse bereitzustellen, die Missbrauch verhindern.

Mit den nun gestarteten Maßnahmen will Open VSX seine Widerstandskraft stärken – damit die offene Entwicklergemeinschaft auch künftig sicher zusammenarbeiten kann.


(mdo)



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

KW 5: Die Woche, als die Regierung sich an Automatisierung berauschte


Die 5. Kalenderwoche geht zu Ende. Wir haben 16 neue Texte mit insgesamt 117.090 Zeichen veröffentlicht. Willkommen zum netzpolitischen Wochenrückblick.

– Fraktal, generiert mit MandelBrowser von Tomasz Śmigielski

Liebe Leser:innen,

eine Kommission hat in dieser Woche Arbeitsministerin Bärbel Bas Empfehlungen übergeben, wie der Sozialstaat „modernisiert“ werden könnte.

Digitalisierung spielt darin eine zentrale Rolle: Behörden sollen untereinander mehr Daten austauschen, dafür soll der komplexe Datenschutz weg und eine Personenkennziffer her. Verfassungsrechtlich ist das höchst fragwürdig.

Außerdem schlägt die Kommission vor, Verwaltungsvorgänge mit sogenannter Künstlicher Intelligenz zu automatisieren. Auch bei Ermessensspielräumen – also wenn es etwa darum geht, wie viel Unterstützung eine Person vom Amt bekommt. Und weil bei „KI“ bekanntlich immer Wahres, Schönes, Gutes rauskommt, sollen die Ergebnisse weniger gegengeprüft werden. Die Wohlfahrtsverbände halten davon herzlich wenig, sondern befürchten zusätzliche Diskriminierung.

Auch Bundesdigitalminister Karsten Wildberger sieht es buchstäblich als seine Mission an, tausende „outdated“ Fachverfahren in der Verwaltung zu automatisieren. Helfen soll dabei Agentische Künstliche Intelligenz, die so eine Art KI-Heinzelmännchen für Behördenprozesse antreiben soll.

Dafür brachte das Digitalministerium in dieser Woche den Agentic AI Hub an den Start. Man habe „eine große Tasche“, versicherte Wildberger den anwesenden „Start-up- und Scale-up-Vertreter:innen“ bei der Auftaktveranstaltung. Und man wolle Pilotprojekte möglichst schnell skalieren, sekundierte sein Staatssekretär Thomas Jarzombek.

Bei allem Automatisierungsrausch fehlte auch hier der Raum, um über Risiken, Kontrolle und – ja – Ethik zu sprechen. Dabei haben andere Länder KI-Systemen bereits das Steuer in der Verwaltung überlassen und sind damit alles andere als gut gefahren. Vielleicht skalieren wir das mal.

Habt ein schönes Wochenende!

Daniel

Breakpoint: Grundrechte sind nicht FSK 16

Kinder und Jugendliche haben ein Recht auf Information und Teilhabe – auch auf sozialen Medien. Wenn Erwachsene sie per Social-Media-Verbot von solchen Orten der Meinungsbildung ausschließen, werden sie ihrer Verpflichtung nicht gerecht. Von Carla Siepmann –
Artikel lesen

Deepfake-Skandal: EU-Kommission leitet Untersuchung gegen Grok und X ein

Nach einer Flut sexualisierter Grok-Deepfakes auf X prüft nun die EU-Kommission, ob Elon Musks Unternehmen gegen den Digital Services Act verstoßen haben. Erste Studien liefern derweil Details über das Ausmaß der produzierten sexualisierten Bilder. Von Laura Jaruszewski –
Artikel lesen

ADINT: Überwachungsfirmen können Menschen mit „anonymen“ Werbe-IDs ausspionieren

Meist im Verborgenen bereiten Unternehmen Daten aus der Online-Werbung für Geheimdienste auf. Manche prahlen damit, praktisch jedes Handy verfolgen zu können. Eine Recherche von Le Monde gewährt seltene Einblicke in eine Branche, die auch europäische Sicherheitsbehörden umwirbt. Von Ingo Dachwitz –
Artikel lesen

Anhörung zum Gesetzentwurf: Bundespolizei soll Staatstrojaner nutzen dürfen

Der neue Anlauf zur Reform des Bundespolizeigesetzes traf im Innenausschuss des Bundestags auf Kritik. Die Bundespolizei soll künftig Staatstrojaner nutzen dürfen, ohne dass für diese Hacking-Werkzeuge ein IT-Schwachstellenmanagement existiert. Von Constanze –
Artikel lesen

Hinweise gesucht: „Wir wollen die Verbreitung sexualisierter Deepfakes einschränken“

Per Mausklick lassen sich Fotos bekleideter Personen in Nacktbilder verwandeln. Die Organisation AlgorithmWatch bittet nun um Hinweise auf solche Apps und Websites, um systematisch dagegen vorzugehen. Wie das klappen soll, erklärt Forschungsleiter Oliver Marsh im Interview. Von Sebastian Meineck –
Artikel lesen

Österreichische Datenschutzbehörde: Microsoft hat illegal Minderjährige getrackt

Microsoft hat auf dem Rechner einer österreichischen Schülerin ohne deren Zustimmung Tracking-Cookies installiert und so persönliche Daten abgegriffen. Die österreichische Datenschutzbehörde hat nun festgestellt, dass der Datenabfluss illlegal war. Auch andere Microsoft-Nutzende können von illegalen Microsoft-Cookies betroffen sein. Von Martin Schwarzbeck, Ben Kumi –
Artikel lesen

Phishing-Angriff: Zahlreiche Journalist:innen im Visier bei Attacke über Signal-Messenger

Mit einem Phishing-Angriff versucht ein bislang unbekannter Akteur, offenbar gezielt Zugriff auf die Signal-Konten von Journalist:innen und Aktivist:innen zu bekommen. Wir erklären, wie der Angriff funktioniert und wie man sich vor ihm schützen kann. Von Markus Reuter –
Artikel lesen

Kehrtwende in UK: Pornhub widersetzt sich britischen Alterskontrollen

Ein halbes Jahr lang hat sich Pornhub den britischen Alterskontrollen gebeugt und massenhaft Nutzer*innen überprüft. Jetzt macht der Konzern eine Kehrtwende und kündigt seinen Rückzug aus dem Vereinigten Königreich an. Dahinter steckt ein geschickter PR-Stunt. Die Analyse. Von Sebastian Meineck –
Artikel lesen

Phishing attack: Numerous journalists targeted in attack via Signal Messenger

In a phishing attack, unknown actors are apparently attempting to gain access to accounts of journalists and activists on the Signal messaging service. We explain how the attack works and how you can protect yourself against it. Von Markus Reuter –
Artikel lesen

Diskussionspapier: Tech-Unternehmen sollen legalen Extremismus suchen

Internet-Dienste sollen nicht nur sexuellen Kindesmissbrauch suchen, sondern auch andere Inhalte wie Extremismus. Das fordern Deutschland, Frankreich und die Niederlande in einem Diskussionspapier. Tech-Unternehmen lehnen es ab, ihr System zum Datenaustausch auf solche Inhalte auszuweiten. Von Andre Meister –
Artikel lesen

ChatGPT: Polizeigewerkschaft bebildert Pressemitteilung mit generiertem Schockerfoto

Der sächsische Landesverband der Gewerkschaft der Polizei nutzt ein KI-generiertes Bild mit einem blutenden Polizisten, um eine Pressemitteilung zu illustrieren. Begründet wird dies mit Persönlichkeitsrechten und laufenden Ermittlungen, das Bild sei eine „symbolische Illustration“. Von Markus Reuter –
Artikel lesen

Sozialstaatsreform: Kommission empfiehlt Abbau von Grundrechten

Eine Fachkommission der Bundesregierung hat Empfehlungen vorgelegt, die den Sozialstaat bürgernäher und digitaler machen sollen. Dafür will sie den Datenschutz aufweichen und Verfahren mit Hilfe sogenannter Künstlicher Intelligenz automatisieren. Wohlfahrtsverbände warnen vor zusätzlicher Diskriminierung. Von Daniel Leisegang –
Artikel lesen

Berlin: Undurchsichtige Gesundheitsdatenbank-Pläne nach Brandbrief vorerst gestoppt

CDU und SPD wollen in Berlin eine zentrale Gesundheitsdatenbank an der Charité aufbauen. Doch die Berliner Datenschutzbeauftragte kritisierte das Vorhaben der Koalition scharf und fordert Nachbesserungen. Wir veröffentlichen ihren Brandbrief. Von Laura Jaruszewski –
Artikel lesen

Digitaler Omnibus: „Die EU-Kommission rüttelt an den Grundpfeilern des Datenschutzes“

Die EU-Kommission will pseudonymisierte Daten teilweise von der Datenschutzgrundverordnung ausnehmen. Jetzt äußert sich erstmals eine deutsche Datenschutzbeauftragte. Meike Kamp übt deutliche Kritik an den Plänen und glaubt, die Kommission habe ein Urteil des Europäischen Gerichtshofes missverstanden. Von Ingo Dachwitz –
Artikel lesen

EUDI-Wallet: Digitale Brieftasche geht in Testphase

Anfang 2027 soll in Deutschland eine staatliche EUDI-Wallet bereitstehen. In einer Testumgebung können Behörden und Unternehmen deren Funktionen nun testen. Parallel dazu läuft ein Pilotprojekt in Sachsen. Von Daniel Leisegang –
Artikel lesen

Trilog zu Alterskontrollen: Warnung vor „Ausweispflicht für weite Teile des Internets“

Sowohl der Rat als auch das EU-Parlament haben Nein gesagt zur verpflichtenden Chatkontrolle. Aber die umstrittene Verordnung birgt weitere Risiken für digitale Grundrechte – und zwar flächendeckende Alterskontrollen. Worüber Kommission, Parlament und Rat jetzt verhandeln. Von Sebastian Meineck, Chris Köver –
Artikel lesen

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.



Source link

Weiterlesen

Datenschutz & Sicherheit

Sicherheitslücke: Tausch weiterer elektronischer Heilberufsausweise in Arbeit


Infolge der Umstellung der Verschlüsselung von RSA auf Elliptic Curve Cryptography (ECC) müssen zahlreiche Komponenten wie elektronische Heilberufsausweise ausgetauscht werden. Nach einer Fristverlängerung muss dies bis spätestens Ende Juni 2026 passieren. Einigen Ärzten, die bereits über ECC-Karten verfügen, droht jedoch ein weiterer Tausch: „Karten mit dem betroffenen Infineon-Chip, die das ECC-Verfahren nutzen, dürfen nur noch bis spätestens 30. Juni 2026 für qualifizierte elektronische Signaturen eingesetzt werden“, heißt es in der Information von D-Trust. Wie viele das betrifft, sagen die Verantwortlichen nicht.

Weiterlesen nach der Anzeige

Die Gematik schreibt dazu: „Die Schwachstelle betrifft ausschließlich den Verschlüsselungsalgorithmus ECC eines Kartenproduktes eines bestimmten Herstellers und ist mittlerweile behoben. Alle betroffenen Karten sind also bereits ECC-fähig. Im Rahmen der Umstellung von RSA zu ECC wurden den Kund:innen Karten ausgeliefert, die nicht von der Schwachstelle betroffen sind“.

Die Maßnahmen erfolgen in enger Abstimmung zwischen BSI, Bundesnetzagentur und Gematik. Aus regulatorischen und technischen Gründen werden alle betroffenen eHBAs sukzessive bis zu dem genannten Datum gesperrt.

Betroffen sind eHBA der Generation 2.1 der Anbieter SHC+Care und D-Trust, die auf Karten des Herstellers Idemia mit Infineon-Chips basieren. Für diese Chips war im September 2024 eine Schwachstelle in der ECDSA-Implementierung der Infineon-Kryptobibliotheken bekannt geworden (EUCLEAK). Die Gematik entzog den betroffenen Karten daraufhin im Januar 2025 durch einen Verwaltungsakt die Zulassung.

Während D-Trust nach dem Entzug der Zulassung kurzfristig auf Karten des Herstellers Giesecke+Devrient umstellen konnte, ging SHC+Care juristisch gegen die Entscheidung der Gematik vor. Das Unternehmen klagte gegen den Zulassungsentzug der betroffenen Idemia-Karten und bekam vor dem Sozialgericht Schleswig Recht. Später bestätigte das Landessozialgericht Schleswig-Holstein das Urteil (Aktenzeichen: L 5 KR 38/25 B ER). Das Sozialgericht habe zudem festgestellt, dass die Telematikinfrastruktur selbst nicht betroffen sei und keine akute Gefahr bestehe.

Auch mit den betroffenen Karten ließen sich weiterhin gültige qualifizierte elektronische Signaturen erzeugen. Für die erfolgreiche Seitenkanalattacke EUCLEAK wären sowohl physischer Zugriff auf den Ausweis als auch die Kenntnis der individuellen PIN sowie Spezialausrüstung und Expertenwissen erforderlich.

Weiterlesen nach der Anzeige

So erkennen Betroffene ihre Karte

Nach Angaben von D-Trust lassen sich betroffene Karten einfach identifizieren: Auf der Rückseite ist der Schriftzug „Idemia“ aufgedruckt. Karten mit dem Schriftzug „G&D“ stammen vom Hersteller Giesecke+Devrient und sind nicht betroffen. Diese liefert D-Trust bereits seit Februar 2025 aus. Kunden mit betroffenen Karten werden laut D-Trust direkt per E-Mail informiert und müssen nicht selbst aktiv werden. Erste Ärzte sind nach Kenntnissen von heise online bereits von D-Trust informiert worden.

„Der Austausch der betroffenen eHBAs hat im Januar 2026 gestartet. Dafür werden alle Kundinnen und Kunden persönlich kontaktiert und über die Austauschmöglichkeiten informiert“, heißt es von D-Trust auf Anfrage. Betroffene könnten „ihren bisherigen eHBA kostenfrei gegen eine Ersatzkarte mit identischer Laufzeit eintauschen. Alternativ kann auch eine Folgekarte mit einer neuen Laufzeit von fünf Jahren bestellt werden. Für die meisten Berufsgruppen gilt für Folgekarten auch ein Preisnachlass von 20 Prozent. Ebenfalls von der Schwachstelle betroffene Signatur- und Siegelkarten der D-Trust wurden bereits bis Ende 2025 ausgetauscht“, so D-Trust und verwies auf seine FAQ.

Laut SHC betreffe der Austausch „nur einen begrenzten Teil der von uns ausgegebenen eHBA“. Der Austausch sei bereits 2025 gestartet. „Ein signifikanter Teil der betroffenen Karten wurde bereits ausgetauscht, die verbleibenden erfolgen sukzessive“. Das Unternehmen will sicherstellen, alle Karten vor Fristende auszutauschen. „Der Austausch erfolgt so, dass den betroffenen Kundinnen und Kunden keinerlei Nachteile finanzieller Art oder im Praxisbetrieb entstehen“, sagte SHC gegenüber heise online.


(mack)



Source link

Weiterlesen

Datenschutz & Sicherheit

Cybersecurity Act: Netzbetreiber kritisieren Huawei-Bann scharf


Europäische Netzbetreiber kritisieren die Pläne der EU-Kommission, bestimmte Hersteller vollständig aus den Netzen herauszuhalten. Der Entwurf des zweiten Cybersecurity Acts (CSA) sieht vor, dass risikoreiche Zulieferer auch vollständig vom Markt und aus den Netzen verbannt werden sollten. Namen nennt die Kommission nicht, doch richtet sich der Vorstoß offensichtlich gegen chinesische Anbieter wie Huawei oder ZTE.

Weiterlesen nach der Anzeige

Damit würde die EU die Lage für europäische Netzbetreiber deutlich verschärfen. Und nicht nur für die: Die Mobilfunker sind bei weitem nicht die einzigen, die Produkte dieser chinesischen Hersteller nutzen. Auch in anderen kritischen Bereichen wie bei der Bahn, im Energiesektor oder in städtischen Netzen sind Produkte dieser Firmen im Einsatz. Darüber hinaus ist Huawei Weltmarktführer bei Wechselrichtern für Solaranlagen.

Deutscher Kompromiss

Für die deutschen Mobilfunknetze gibt es einen Kompromiss zwischen Politik und Wirtschaft: Die Chinesen fliegen aus den Kernnetzen raus und werden auf der Funkseite in absehbarer Zeit dort ersetzt, wo es kritisch werden kann – etwa bei der Software für das Netzwerkmanagement. Antennen und andere Hardware von Huawei & Co. bleiben im Einsatz. Geht es nach den Vorstellungen der EU-Kommission, wäre damit Schluss: Sobald die EU einen Ausrüster wie Huawei als Hochrisiko einstuft, müssten bereits aktive Komponenten zurückgebaut werden.

Noch ist das EU-Gesetz ein Entwurf, doch die betroffenen Branchen bringen sich in Brüssel bereits in Stellung. „Wir warnen vor Maßnahmen, die genau den Sektor erheblich schwächen würden, den sie eigentlich schützen sollen”, heißt es in einer Stellungnahme des Verbands Connect Europe, in dem vor allem die ehemals staatlichen Netzbetreiber wie Telekom, Orange und Telefónica vertreten sind.

Pauschale Eingriffe in die Lieferkette würden sich „erheblich und nachteilig auf den Netzausbau, die Betriebskontinuität und die Investitionsplanung auswirken“, mahnt der Verband und fordert vorausschauend schon einmal „mildernde Maßnahmen wie Kostenerstattungsmechanismen“. Grundsätzlich müssten Maßnahmen „risikobasiert, verhältnismäßig und praktikabel sein“.

„Unnötig und unverhältnismäßig“

Weiterlesen nach der Anzeige

Auch der Dachverband der Mobilfunkbranche meldet sich scharf zu Wort und wehrt sich gegen eine pauschale Regulierung auf EU-Ebene. „Nicht alle Ausrüstungskomponenten sind gleichermaßen sensibel, sodass pauschale Ansätze unnötig und unverhältnismäßig sind”, warnt die GSMA und betont, für Fragen der nationalen Sicherheit müssten die Mitgliedstaaten zuständig bleiben.

Zwar hätten Sicherheit und Resilienz oberste Priorität, doch könnte der Plan der EU-Kommission die für den weiteren Netzausbau zur Verfügung stehenden Ressourcen verknappen, warnt die GSMA. Gesetzgeberische Maßnahmen müssten „zielgerichtet und risikobasiert“ sein sowie den betroffenen Unternehmen „langfristige Vorhersehbarkeit“ bieten. Dem EU-Vorschlag mangele es an Verhältnismäßigkeit und er berge die Gefahr erheblicher Störungen und Kosten.

Auch Huawei selbst kritisiert den EU-Plan als undifferenziert. „Ein Gesetzesvorschlag, der Nicht-EU-Lieferanten aufgrund ihres Herkunftslandes und nicht aufgrund von Fakten und technischen Standards einschränkt oder ausschließt, verstößt gegen die grundlegenden Rechtsprinzipien der EU in Bezug auf Fairness, Nichtdiskriminierung und Verhältnismäßigkeit sowie gegen ihre Verpflichtungen gegenüber der Welthandelsorganisation WTO“, sagte ein Sprecher gegenüber der Nachrichtenagentur Reuters.


(vbr)



Source link

Weiterlesen

Beliebt