Connect with us

Datenschutz & Sicherheit

„Passwort“ Folge 39: Vielfältiges Versagen in Redmond und andere News


Die sommerliche Urlaubszeit ist vorbei und die Hosts des Passwort-Podcasts machen sich gut erholt an die nächsten Folgen. Vom berüchtigten Sommerloch bemerken sie wenig: Gleich drei Folgen könnten sie mit den gesammelten Inhalten auf einen Schlag füllen.

Zunächst widmen Sylvester und Christopher sich einer Studie, die kürzlich auf der Security-Konferenz Black Hat vorgestellt wurde. Die großangelegte Untersuchung an einem kalifornischen Universitätsklinikum mit fast 20.000 Mitarbeitenden ergab, dass jährliche Awareness-Schulungen und Phishing-Tests per E-Mail praktisch wirkungslos sind. Christopher hatte eine Vorabversion der Studie bereits im vergangenen November unter die Lupe genommen und berichtet von den ernüchternden Ergebnissen.

Die weltgrößte CA Let’s Encrypt kann es gar nicht erwarten, ihr Verfahren zur Zertifikatsdokumentation umzustellen. Sie möchte ihre „Certificate Transparency Logs“ so schnell wie möglich vollständig vom alten Verfahren nach RFC 6962 auf die neuen „Static Logs“ umbauen und überschlägt sich in ihrer Ankündigung förmlich. Der Zeitplan war zunächst so knapp gewählt, dass offenbar auch die Browserhersteller nicht hinterherkamen.

Und dann war da noch Microsoft. Der Softwarehersteller aus Redmond hatte in den Sommermonaten mit einer haarsträubenden Lücke in seiner Kollaborationsplattform Sharepoint zu kämpfen – und Nutzer wie Redakteure mit dem eigenwilligen Verhalten rund um die Fehlerbehebung. Da ließen sich Patches mit einem simplen „/“ aushebeln, notwendige Konfigurationsänderungen wurden nicht automatisch ausgeführt und zu allem Überfluss ist Microsofts Kommunikationsstrategie auch maximal verwirrend. Das war sie auch bei einem aktuellen KI-Fehler, der zu unvollständigen Compliance-Protokollen führte. Aus Sicht des meldenden Sicherheitsforschers und auch nach Meinung der Hosts Christopher und Sylvester gab es auch in diesem Fall an der Reaktion des Konzerns einiges auszusetzen.

Die neueste Folge von „Passwort – der heise security Podcast“ steht seit Mittwochmorgen auf allen Podcast-Plattformen zum Anhören bereit.


(cku)



Source link

Datenschutz & Sicherheit

Elektronische Fußfesseln sollen Täter*innen auf Abstand halten


Künftig sollen Familiengerichte bundesweit elektronische Fußfesseln anordnen können, um gewaltsame Täter*innen auf Abstand zu halten. Auf das Vorhaben hatte sich die schwarz-rote Regierung bereits im Koalitionsvertrag geeinigt. Nun hat das Justizministerium einen Gesetzentwurf vorgelegt.

Die Fußfessel soll dabei helfen, Annäherungsverbote durchzusetzen, etwa bei häuslicher Gewalt. Die Geräte haben einen GPS-Sender und werden am Bein befestigt, beispielsweise bei einem gewaltsamen Ex-Partner. Sobald er sich etwa einer bedrohten Ex-Partnerin nähert, soll ein Alarm ausgelöst werden.

Eine solche Maßnahme gibt es bereits in einzelnen Bundesländern sowie in Spanien. Deshalb ist oft die Rede vom „spanischen Modell“. Die Ampel-Regierung hatte Ende 2024 eine bundesweite Regelung auf den Weg gebracht, aber nicht beschlossen. Fachleute lehnen die elektronische Fußfessel zwar nicht ab, verweisen aber auf den weitaus größeren Handlungsbedarf beim Gewaltschutz.

Elektronische Fußfesseln: So soll das ablaufen

Die Grundlage für elektronische Fußfesseln ist das Gewaltschutzgesetz. Es soll Menschen schützen, die bereits Gewalt erfahren haben, etwa Partner*innen oder Kinder. Demnach können Familiengerichte Täter*innen verbieten, sich einer Person erneut zu nähern. Die Fußfessel soll das nach Plänen des Justizministeriums kontrollieren und weitere Übergriffe durch einen Alarm verhindern.

Nicht nur Täter*innen sollen einen Peilsender bekommen. Auch zu schützende Personen können – auf eigenen Wunsch – ein Empfangsgerät tragen. Dann erhalten sie selbst eine Warnung, sobald der angeordnete Mindestabstand unterschritten wird.

Kommt es zu einem Alarm, landet er bei einer zentralen Anlaufstelle, etwa der HZD (Hessische Zentrale für Datenverarbeitung) oder der GÜL (Gemeinsame elektronische Überwachungsstelle der Länder). Dort müssen die Angestellten je nach Kontext eine Entscheidung treffen: Ist es ein technischer Fehlalarm? Sollten Täter*in oder Opfer kontaktiert werden? Muss die Polizei direkt vor Ort einschreiten?

Das Justizministerium rechnet damit, dass die Fußfesseln vor allem bei Partnerschaftsgewalt zum Einsatz kommen; also bei Menschen, die aktuell in einer Beziehung sind oder sich getrennt haben. Möglich sein sollen Fußfesseln allerdings auch im Eltern-Kind-Verhältnis, bei Stalking oder Konflikten unter Nachbar*innen.

Die Anordnung für elektronische Fußfesseln soll zunächst für sechs Monate gelten und sich danach beim Familiengericht um jeweils drei Monate verlängern lassen. Eine Strafandrohung soll verhindern, dass Täter*innen die Fußfessel ablehnen, entfernen oder zerstören. Das geplante Strafmaß ist eine Freiheitsstrafe bis zu drei Jahren oder eine Geldstrafe.

Kritik am begrenzten Nutzen

Die zentrale Kritik an elektronischen Fußfesseln ist ihr begrenzter Nutzen. So rechnet das Justizministerium selbst aufgrund bisheriger Erfahrungen damit, dass die elektronische Fußfessel bei jährlich 160 Fällen zum Einsatz kommt.

Allerdings gab es im Jahr 2023 rund 256.000 dokumentierte Fälle häuslicher Gewalt in Deutschland. Das entspricht in etwa einem neuen Fall alle zwei Minuten. Besonders betroffen sind Frauen. Sie machen mehr als zwei Drittel der Betroffenen aus. 155 Frauen sind 2023 durch ihren Partner oder Ex-Partner getötet worden.

Auf Anfrage von netzpolitik.org zeigt sich der Verein Frauenhauskoordinierung skeptisch zu den Plänen für Fußfesseln. Der Verein unterstützt die bundesweit 280 Frauenhäuser und mehr als 285 Fachberatungsstellen. „Bevor neue Maßnahmen eingeführt werden, sollten die bereits geltenden Rechtsinstrumente voll ausgeschöpft werden“, schreibt eine Sprecherin. So würden Richter*innen und Polizist*innen die Frauen nicht immer ernst nehmen; bei Verfahren würden gründliche Prüfungen fehlen.

Nur ein Bruchteil der Bewohnerinnen von Frauenhäusern (10 Prozent) würde überhaupt Anträge nach dem Gewaltschutzgesetz stellen. „Es bräuchte nicht nur mehr Personal, sondern vor allem intensiv und besser geschultes Personal – bei Polizei, Gerichten und Jugendämtern“, schreibt die Sprecherin.

Der oft zitierte Vergleich mit dem spanischen Modell greife zu kurz. „Dort werden gewaltbetroffene Frauen ganz anders begleitet – mit kontinuierlichen Kontrollanrufen, Polizeibesuchen und engmaschiger Überwachung der Gefährdungslage“, erklärt die Sprecherin. Diese Infrastruktur fehle in Deutschland vollständig.

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Ähnliche Kritik übte der Deutsche Juristinnenbund (djb) zu einem ähnlichen Gesetzentwurf der Union aus dem Jahr 2024. Der Einsatz der Fußfessel sei nur „eine situationsbezogene, kurzfristige Form der Prävention“, heißt es in einer 15-seitigen Stellungnahme. Weder würde die Maßnahme die Ursachen der Gewalt adressieren, noch langfristigen Schutz gewähren. Nur selten könnten von Gewalt betroffene Frauen und Kinder eine Wohnung alleine nutzen. Das heißt: Vielen fehlt die Möglichkeit, einfach so auf Abstand zum Täter zu gehen. Das Fazit der Jurist*innen: Der flächendeckende Ausbau von Beratungsstellen und Schutzunterkünften sei „unabdingbar“.

Wie viel Geld ist dem Staat der Gewaltschutz wert?

Dass elektronische Fußfesseln allein nicht genügen, ist dem Justizministerium offenbar bewusst. Der Gesetzentwurf sieht weitere Maßnahmen zum Gewaltschutz vor. So sollen Familiengerichte auch Täter*innen zu Anti-Gewalt-Trainings verpflichten können. Spätestens fünf Jahre nach Inkrafttreten soll das neue Gesetz zudem überprüft werden. Weitere Maßnahmen seien geplant, teilt das Ministerium mit, etwa im Sorge- und Mietrecht.

Zum Nutzen der Maßnahmen äußert sich das Justizministerium teils irreführend. In der Pressemitteilung zum Gesetzentwurf heißt es etwa: „Die Justiz soll häusliche Gewalt besser verhindern können“ und „Jeder Fall von häuslicher Gewalt ist einer zu viel.“ Aber die vorgeschlagenen Maßnahmen – Fußfesseln und Anti-Gewalt-Trainings – greifen erst, nachdem es bereits zu Gewalt gekommen ist. Nur wenn Betroffene die Ressourcen haben, Hilfe beim Familiengericht zu suchen, können die Neuerungen weitere Gewalt verhindern.

Der Knackpunkt beim Gewaltschutz sind die Kosten. Wie viel Geld ist es dem Staat wert, Menschen, insbesondere Frauen, vor Gewalt zu schützen? Immer wieder beklagen Fachleute: Es gebe nicht genug Hilfe für alle, die Hilfe benötigen; die Finanzierung sei unsicher. Schätzungen zufolge fließen ins Hilfesystem aus Schutzeinrichtungen und Beratungsstellen jährlich rund 270 Millionen Euro. Nötig seien allerdings 1,6 Milliarden Euro, wie der Verein Frauenhauskoordinierung festhält. Zum Vergleich: Für die neuen, elektronischen Fußfesseln rechnet das Justizministerium mit jährlich laufenden Kosten von rund 11 Millionen Euro.

Eine weitere konkrete Hochrechnung liefert der Verein Frauenhauskoordinierung in seiner bundesweiten Statistik für das Jahr 2023. Demnach gebe es in Deutschland rund 7.700 Plätze in Frauenhäusern; benötigt würden aber rund 21.000. Das heißt, der Bedarf ist nur zu rund einem Drittel gedeckt.

Im Februar hatten sich Bundestag und Bundesrat auf ein Gewalthilfegesetz geeinigt. Darin steht ein Rechtsanspruch auf Schutz und Beratung bei geschlechtsspezifischer und häuslicher Gewalt für Frauen und ihre Kinder. Für die Umsetzung wurde den Ländern viel Zeit eingeräumt: Der Anspruch soll erst 2032 in Kraft treten.



Source link

Weiterlesen

Datenschutz & Sicherheit

Paypal: Deutsche Banken blockierten offenbar Zahlungen von Milliarden Euro


Ein „technisches Problem“ bei Paypal führte offenbar dazu, dass Sicherheitssysteme ausgefallen sind. Die dienen der Erkennung und Filterung von betrügerischen Transaktionen. Deutsche Banken hatten deshalb laut Süddeutscher Zeitung Paypal-Lastschriften in einem Umfang von mehreren Milliarden Euro gestoppt.

Wie die SZ berichtet, haben am Montag mehrere deutsche Banken Zahlungen von Paypal in Höhe von möglicherweise mehr als zehn Milliarden Euro gestoppt. Demnach sei den Banken aufgefallen, dass in der Vorwoche „viele Millionen Lastschriften“ von Paypal eingingen, die jedoch verdächtige oder betrügerische Merkmale getragen hätten. Paypal hat in Deutschland mehr als 30 Millionen Kunden, deren Zahlungen Paypal von hinterlegten Bankverbindungen oder Kreditkarten abbucht.

Paypal ist immer wieder Ziel von kriminellen Betrugsmaschen – kurz vor Weihnachten vergangenen Jahres warnte die Verbraucherzentrale Nordrhein-Westfalen etwa davor, dass Kriminelle mit fremden Kontodaten über Paypal auf Einkaufstour gingen. Informationen der SZ zufolge sind „Ende vergangener Woche“ Sicherheitssysteme bei Paypal „komplett oder größtenteils“ ausgefallen, die etwa solche betrügerischen Zahlungen ausfiltern sollen. In der Folge hat Paypal offenbar ungeprüft sämtliche Lastschriften an die Banken durchgereicht.

Daraufhin sind die Sicherheitssysteme mancher Banken angesprungen, die Ungereimtheiten feststellten. Diese Banken haben dann alle Paypal-Zahlungen blockiert, um die unrechtmäßige Abbuchung von Kundenkonten zu verhindern. Demnach haben etwa die Bayerische Landesbank, die Hessische Landesbank und die DZ Bank so reagiert, letztere ist Zahlungsabwickler für die Genossenschaftsbanken. Händler haben dadurch ihr Geld nicht erhalten, und es ist derzeit unklar, ob sich dadurch auch die Lieferungen der bestellten Waren verzögern.

Es hat sich ein größeres Backlog angestaut, das teils manuell abgearbeitet werden muss. Das könne noch einige Tage in Anspruch nehmen. Paypal gibt gegenüber heise online an, dass alles wieder im grünen Bereich sei. Es habe ein technisches Problem gegeben, kein Sicherheitsproblem, nannte ein Unternehmenssprecher als Ursache – eine recht kreative Beschreibung dafür, dass ein Sicherheitssystem „technisch“ nicht verfügbar war.

Gegenüber der SZ sagte der Finanzdienstleister: „PayPal hatte eine vorübergehende Serviceunterbrechung, die bestimmte Transaktionen unserer Bankpartner und möglicherweise deren Kunden beeinträchtigte. Wir haben die Ursache schnell identifiziert und arbeiten eng mit unseren Bankpartnern zusammen, um sicherzustellen, dass alle Konten aktualisiert wurden.“

Am gestrigen Dienstagabend konnte eine Transaktion mit Paypal über die Sparkasse Gütersloh nicht erfolgreich abgewickelt werden. Auch im Netz finden sich Berichte, dass das Problem offenbar noch nicht vollständig gelöst ist.


Von Abnk abgelehnte Paypal-Transaktion

Von Abnk abgelehnte Paypal-Transaktion

Wurde die Transaktion von der Bank blockiert, zeigte Paypal in der Regel eine angebliche Unterdeckung des Bankkontos an.

(Bild: heise medien)

Bei blockierten Lastschriften ging Paypal von einer Unterdeckung des Bankkontos aus und versucht dem Text zur Transaktion zur Folge, innerhalb der folgenden vier Werktage den ausstehenden Betrag einzuziehen – „einschließlich Bankbearbeitungsgebühr“. Ob das Unternehmen darauf besteht, obwohl der Fehler auf die eigene ausgefallene IT zurückzuführen ist, ist derzeit unklar. Im Paypal-Konto wird zudem in roter Alarmfarbe darauf hingewiesen: „Achtung: Das Guthaben Ihrer PayPal-Wallet ist im Minus.“ mit der Aufforderung, den Betrag auszugleichen.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Qnap File Station 5: Zwei hochriskante Schwachstellen ausgebessert


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Qnap hat zwei Sicherheitslücken in der NAS-Weboberfläche File Station 5 entdeckt und geschlossen. Angreifer können dadurch Speicherbereiche verändern oder die Geräte mit Denial-of-Service-Attacken lahmlegen.

In einer Sicherheitsmeldung erörtert Qnap, dass eine Sicherheitslücke auf einer NULL-Pointer-Dereference (zum Schmunzeln anregender Tippfehler bei Qnap: Deference, auf Deutsch „Ehrerbietung“) basiert und Angreifer, die Zugriff auf ein Nutzerkonto auf dem Qnap-System erlangen, die Lücke für einen Denial-of-Service missbrauchen können. Schwachstellen dieses Typs führen in der Regel zum Absturz – der Programmcode erwartet einen gültigen Zeiger, der jedoch bereits auf NULL verweist, wodurch er bei erneutem Zugriff in undefinierte Bereiche führt (CVE-2025-29901 / EUVD-2025-25777, CVSS4 7.1, Risiko „hoch„).

Die zweite Schwachstelle hingegen ermöglicht Angreifern, außerhalb vorgesehener Speicherbereiche zu schreiben und damit Speicherbereiche zu stören oder gezielt zu modifizieren. Qnap schreibt es nicht explizit, aber damit lässt sich in der Regel etwa (bösartiger) Programmcode im Speicher ablegen. Jedoch müssen Angreifer zuvor Zugriff auf ein Qnap-Konto erhalten (CVE-2025-47206 / EUVD-2025-25778, CVSS4 7.1, Risiko „hoch„).

In der Sicherheitsmitteilung stuft Qnap die Lücken als „moderat“ ein, obwohl die Bewertung nach CVSS-Standard ein hohes Risiko darin sieht. Wer den „Datei-Explorer“ File Station 5 oder 5.5 nutzt, sollte dennoch zügig die aktualisierte Firmware installieren. Qnap gibt an, die Fehler in File Station 5 Version 5.5.6.4933 und neueren behoben zu haben. Das Update steht wie üblich bereits etwas länger bereit. Dass es Sicherheitslücken schließt, erklärt der Hersteller erst jetzt.

Ende vergangenen Jahres fielen ebenfalls Sicherheitslücken in Qnaps Netzwerkspeichern auf. Angreifer konnten sie missbrauchen, um eigene Befehle einzuschleusen und Geräte zu kompromittieren.


(dmk)



Source link

Weiterlesen

Beliebt