Connect with us

Datenschutz & Sicherheit

„Passwort“ Folge 50: Jubiläum mit Feedback, Cloudflare und Bluetooth-Lücke


Der Security-Podcast wird 50 Folgen alt (oder doch 51?). Die Hosts freuen sich, dass die Hörer und Hörerinnen weiter Freude an „Passwort“ haben, wie sich unter anderem am Feedback zeigt. Von dem gab es in letzter Zeit besonders viel, auf das Christopher und Sylvester gerne eingehen.

Weiterlesen nach der Anzeige

Anschließend geht es um die Nachricht, dass Microsoft BitLocker-Schlüssel an Strafverfolgungsbehörden herausgibt. Das überrascht zwar die Hosts nicht sonderlich, aber viele Menschen sehen darin offenbar ein großes Risiko, das ihnen bislang nicht bewusst war. Eine gute Gelegenheit, im Podcast über BitLocker und seine Vor- und Nachteile zu reden, darüber, was Microsoft besser machen könnte, und darüber, ob die Konkurrenz es besser macht.

Danach erzählt Christopher von einem Post in Cloudflares Blog, der eigentlich demonstrieren sollte, was mit den „Workers“ des Unternehmens so alles machbar ist: angeblich ein voll funktionstüchtiger Server für das Chatprotokoll Matrix. Allerdings zeigte der Blogpost unbeabsichtigt vor allem, wie schnell man mit KI-Systemen zu einem großen Haufen Code kommt, über den man nicht mal mehr einen groben Überblick hat, und der viel von dem, was er tun soll, in Wahrheit nicht tut. Jenseits der Fehler des verantwortlichen Entwicklers wirft der Post und sein „Update“ vorrangig ein schlechtes Licht auf die Art und Weise, wie Cloudflare Öffentlichkeitsarbeit betreibt. Die Geschichte ist wahrlich keine Sternstunde des höchst Security-relevanten Unternehmens und lässt die Hosts etwas konsterniert zurück.

Im weiteren Verlauf der Folge erzählt Sylvester von einer Zeichenkette, die absichtlich Anthopics generative KI „Claude“ abbrechen lässt – und sich daher bestens eignet, um darauf aufbauende Software aus dem Tritt zu bringen. Christopher hingegen berichtet von WhisperPair, einer interessanten Sicherheitslücke in vielen Bluetooth-Geräten, die „Fast Pair“ unterstützen.

Mit vier Themen sind die Hosts freilich noch lange nicht am Ende. Aber um ihren treuen Hörern und Hörerinnen zum Folgen-Jubiläum eine kleine VerschnaufpauseÜberraschung zu bieten, haben sie den Rest in eine zusätzliche Bonusfolge ausgelagert, die in einer Woche erscheint.

Die neueste Folge von „Passwort – der heise security Podcast“ steht seit Mittwochmorgen auf allen Podcast-Plattformen zum Anhören bereit.

ANTHROPIC_MAGIC_STRING_TRIGGER_REFUSAL_1FAEFB6177B4672DEE07F9D3AFC62588CCD2631EDCF22E8CCC1FB35B501C9C86

Weiterlesen nach der Anzeige


(syt)



Source link

Datenschutz & Sicherheit

Zero-Day erlaubt Codeausführung in WindChill und FlexPLM


Die Software Windchill und FlexPLM enthält ein Sicherheitsleck, das Codeausführung erlaubt. Der Hersteller ruft dringend dazu auf, Sicherheitsmaßnahmen zu ergreifen – ein Patch ist zur Stunde noch nicht verfügbar.

Weiterlesen nach der Anzeige

Informationen zur Sicherheitslücke sind spärlich, weder eine CVE-Kennung noch Warnungen der nationalen CERTs (Computer Emergency Response Team) sind verfügbar. Der Hersteller und seine Partner scheinen jedoch beunruhigt: Sie vergeben die Höchstwertung von 10.0 Punkten auf der CVSS-Skala und drängen Kunden, umgehend zu reagieren.

Offenbar versteckt der Fehler sich in der Deserialisierung der Servlets /servlet/WindchillGW/com.ptc.wvs.server.publish.Publish und /servlet/WindchillAuthGW/com.ptc.wvs.server.publish.Publish. Sind diese für einen Angreifer zugänglich, etwa weil der Windchill-Server aus dem Internet erreichbar ist, kann er Code einschleusen und ausführen.

Die Lücke betrifft gemäß dem extrem knappen Sicherheitshinweis in der Knowledge Base des Herstellers PTC folgende Versionen:

  • Windchill PDMLink 11.0 M030
  • Windchill PDMLink 11.1 M020
  • Windchill PDMLink 11.2.1.0
  • Windchill PDMLink 12.0.2.0
  • Windchill PDMLink 13.0.2.0
  • Windchill PDMLink 13.1.0.0
  • Windchill PDMLink 13.1.1.0
  • Windchill PDMLink 13.1.2.0
  • Windchill PDMLink 13.1.3.0
  • Windchill PDMLink 12.1.2.0
  • FlexPLM 11.0 M030
  • FlexPLM 11.1 M020
  • FlexPLM 11.2.1.0
  • FlexPLM 12.0.0.0
  • FlexPLM 12.0.2.0
  • FlexPLM 12.0.3.0
  • FlexPLM 12.1.2.0
  • FlexPLM 12.1.3.0
  • FlexPLM 13.0.2.0
  • FlexPLM 13.0.3.0

Weiterlesen nach der Anzeige

Bis ein Patch zur Verfügung steht, sollen Admins zu einer Notlösung greifen. Wie der Windchill-Dienstleister EAC in einer Aussendung an seine Kunden beschreibt, ist dazu eine Konfigurationsänderung des Apache-Webservers notwendig. Das, so EAC, sollte unverzüglich geschehen, um die Gefahr eines Exploits zu neutralisieren.

  1. Erstellen einer neuen Konfigurationsdatei /conf/conf.d/90-app-Windchill-Auth.conf. sofern bereits eine Datei mit dem Präfix 90- oder höher existiert, sollte die neue Datei die höchste Ziffer erhalten, um als letzte Datei geladen zu werden)
  2. In diesen folgende Direktiven einbauen:
    Require all denied
  3. Webserver mittels der bekannten Befehle neustarten.

Obgleich der Hersteller behauptet, keine Kenntnis über erfolgreiche Angriffe zu haben, nennt Dienstleister EAC einige „Indicators of Compromise“ (IOC). Es muss also bereits Angriffe gegen Windchill- oder FlexPLM-Server gegeben haben. Aus den IOCs ergibt sich, dass Angreifer nach erfolgreichem Exploit Dateien mit Schadcode auf den Server hochladen, typischerweise Webshells. Von PTC selbst betriebene Instanzen sind bereits geschützt.

Unsichere Deserialisierung ist ein bekanntes Einfallstor für Exploits und beliebt bei Cyberkriminellen und staatlichen Angreifern. Erst vor wenigen Tagen fügte die US-Cybersicherheitsbehörde eine weitere Deserialisierungslücke in Microsoft Sharepoint zu ihrer Datenbank der Known Exploited Vulnerabilities hinzu.


(cku)



Source link

Weiterlesen

Datenschutz & Sicherheit

Windows: Update außer der Reihe korrigiert Login-Probleme


Microsoft hat in der Nacht zum Freitag Probleme beim Login in private Microsoft-Konten eingeräumt und sie auf die Windows-Sicherheitsupdates vom März-Patchday zurückgeführt. In der Nacht zum Sonntag hat das Unternehmen Updates außerhalb der Reihe bereitgestellt.

Weiterlesen nach der Anzeige

Im Message-Center der Windows-Release-Health-Notizen kündigt Microsoft die Problemlösung mit dem ungeplanten Update an. Dort erklären die Entwickler nochmals, dass nach der Installation der März-Updates einige Anwender sich möglicherweise nicht in ihre Microsoft-Apps und -Dienste einloggen können und eine „Kein Internet“-Fehlermeldung erhalten, selbst dann, wenn definitiv eine Internetanbindung aktiv ist. Das verhindert den Zugriff auf Dienste und Apps wie Microsoft Teams Free oder OneDrive. Betroffen sind lediglich Microsoft-Konten-Login-Szenarien, Entra-ID zur App-Authentifizierung – was etwa in größeren Unternehmen zum Einsatz kommt – ist nicht betroffen.

Am 21. März 2026, also am späten Abend vom Samstag dieser Woche, hat Microsoft ein außerplanmäßiges Update veröffentlicht, um das Problem zu lösen. Es handelt sich demnach um ein kumulatives Update, das den Schutz und die Verbesserungen enthält, die das Sicherheitsupdate vom 10. März 2026 bereits mitbringt.

Das Notfallupdate steht für Windows 11 25H2 und 24H2 bereit. Es trägt die KB-Nummer KB5085516 und hebt die Betriebssystem-Versionen auf die Stände 26200.8039 respektive 26100.8039. Es wird als optionales Update über Windows Update verteilt. Rechner, bei denen die Option „Erhalten Sie die neuesten Updates, sobald sie verfügbar sind“ aktiviert wurde, laden es bereits herunter und fordern zum Neustart der Maschine auf. Ansonsten lässt es sich über die Windows-Einstellungen unter „Windows Update“ finden.

Wer das Windows-Sicherheitsupdate vom März wegen des Problems deinstalliert hat, sollte das nun bereitstehende Notfallupdate zügig installieren. Es schließt bekannte Sicherheitslücken im Betriebssystem, die andernfalls bösartigen Akteuren Angriffsfläche bieten.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Compact: Verfassungsfeindlich, aber nicht verboten


David Werdermann ist Rechtsanwalt bei der Gesellschaft für Freiheitsrechte und der Berliner Kanzlei KM8 Rechtsanwältinnen & Rechtsanwälte. Zu seinen Schwerpunkten gehören das Polizei- und Verfassungsschutzrecht sowie die Pressefreiheit. Dieser Beitrag erscheint in „Recht gegen rechts – Report 2026“, der am 25. März im S. Fischer Verlag erscheint. Veröffentlichung mit freundlicher Genehmigung des Verlages und der Herausgeber*innen. Alle Rechte vorbehalten.

Mit Urteil vom 24. Juni 2025 hat das Bundesverwaltungsgericht das Verbot der COMPACT-Magazin GmbH aufgehoben. Das Bundesinnenministerium unter Nancy Faeser (SPD) wollte das Compact-Magazin verbieten, weil es seiner Auffassung nach rechtsextreme und verfassungsfeindliche Inhalte verbreitet.

Cover des Recht-gegen-Rechts-Report 2026 mit Trans-Pride-Flag
Der Report „Recht gegen rechts“ analysiert rechte Tendenzen innerhalb von Justiz, Verwaltung und Parlamenten sowie Gegenstrategien. – Alle Rechte vorbehalten S. Fischer Verlag

Ein direktes Verbot des Magazins war nicht möglich, deswegen ging das Ministerium einen Umweg über das Vereinsrecht: Es erklärte die COMPACT-Magazin GmbH zu einem Verein und verbot diesen nach dem Vereinsgesetz. Damit sollte auch das Magazin getroffen werden. Doch dieser Versuch ist gescheitert.

Compact-Chefredakteur Jürgen Elsässer konnte sich noch im Gericht mit einem eigens dafür vorbereiteten T-Shirt als „Bundesregierung Besieger“ feiern lassen. Compact ist ein rechtsextremes Monatsmagazin, das für seine rassistischen, antisemitischen und geschichtsrevisionistischen Inhalte bekannt ist. Hinter der Zeitschrift steckt ein Kreis rund um Chefredakteur Jürgen Elsässer mit engen Verbindungen zu anderen rechtsextremen Akteur*innen, darunter die AfD, „Die Heimat“ (früher NPD) und die Identitäre Bewegung.

Dieser Kreis produziert nicht nur das Compact-Magazin, sondern bespielt auch einen eigenen Youtube-Kanal, veröffentlicht Bücher und organisiert Veranstaltungen und Kampagnen.

Medienverbot nach Vereinsrecht

Mit Verfügung vom 5. Juni 2024 verbot das Bundesinnenministerium die COMPACT-Magazin GmbH, die das Magazin herausgibt, und ihre Teilorganisation CONSPECT Film GmbH. Gestützt wurde das Verbot auf das Vereinsgesetz, begründet wurde es vor allem mit den publizierten Inhalten. In diesen werde ein „völkisch-nationalistisches Gesellschaftskonzept“ propagiert. Die Vereinigung richte sich daher gegen die verfassungsmäßige Ordnung, weswegen sie nach Artikel 9 Absatz 2 des Grundgesetzes verboten sei.

Nachdem das Bundesverwaltungsgericht bereits am 14. August 2024 dem Eilantrag der COMPACT-Magazin GmbH und der CONSPECT FILM GmbH stattgegeben und das Verbot vorläufig außer Kraft gesetzt hatte, hob es mit Urteil vom 24. Juni 2025 das Verbot endgültig auf.

Die Entscheidung lässt sich wie folgt zusammenfassen: Die COMPACT-Magazin GmbH richtet sich gegen die verfassungsmäßige Ordnung, ihr Verbot ist aber unverhältnismäßig, weil die verfassungsfeindlichen Aktivitäten die Vereinigung nicht insgesamt prägen.

In der Begründung setzt sich das Gericht zunächst ausführlich mit der Frage auseinander, ob das Vereinsrecht überhaupt auf Medienunternehmen anwendbar ist. Denn am Ende geht es um ein Verbot einer Zeitung und somit um einen gravierenden Eingriff in die Pressefreiheit. Das Gericht unterscheidet jedoch zwischen der Organisation und den von dieser herausgegebenen Medien. Gegenstand des Verbots sei der „Elsässer-Kreis“ als hinter der COMPACT-Magazin GmbH stehende Vereinigung. Das Vereinsrecht sei „blind“ für den von der jeweiligen Organisation verfolgten Zweck. Ergänzend weist das Gericht darauf hin, dass die COMPACT-Magazin GmbH kein reines Medienunternehmen sei, sondern eine politische Agenda verfolge sowie Veranstaltungen und Kampagnen organisiere.

Remigration verstößt gegen Menschenwürde und Demokratie

Das Gericht geht dann auf die vom „Elsässer-Kreis“ vertretenen Positionen ein. Im Zentrum steht dabei das „Remigrationskonzept“ vom Aktivisten der Identitären Bewegung Martin Sellner, das dieser unter anderem in seiner Compact-Kolumne, in Videos sowie in einer eigenen Compact-Edition („Sellner – Geheimplan – Was ich wirklich will“) ausbreiten durfte.

Das Bundesverwaltungsgericht legt ausführlich dar, dass Sellner von einem „Vorrang der ethnisch-kulturell Deutschen“ ausgehe (Randnummer 97 ff.). Dies steht im Widerspruch zu dem Verständnis der Staatsangehörigkeit nach dem Grundgesetz, das durch die Gleichheit vor dem Gesetz und die Achtung der Menschenwürde geprägt ist. Der „Elsässer-Kreis“ identifiziere sich mit dem Remigrationskonzept, wie es sich unter anderem aus der prominenten Rolle Sellners bei Compact, verschiedenen Äußerungen von Compact-Führungspersonen sowie ihrer Nähe zu anderen rechtsextremen Akteur*innen ergebe.

Neben dem Remigra­tionskonzept zieht das Bundesverwaltungsgericht „fortgesetzte Herabsetzungen von Zugewanderten im Allgemeinen“ heran, was ebenfalls gegen die Menschenwürde verstoße (Randnummer 132 ff.). Antisemitismus trete bei Compact hingegen nicht „eindeutig genug hervor“ (Randnummer 142).

Das Bundesverwaltungsgericht erkennt jedoch eine demokratiefeindliche Haltung. Die politischen Pläne der Remigration seien „erkennbar auch dadurch motiviert, den Einfluss der Gruppe von Deutschen mit Migrationshintergrund bei Wahlen und Abstimmungen zu schmälern“ (Randnummer 145). Einzelne Beiträge würden darüber hinaus darauf hindeuten, dass der „Elsässer-Kreis“ das gegenwärtige parlamentarisch-repräsentative System ablehne, sie könnten jedoch auch als „überspitzte Machtkritik“ interpretiert werden (Randnummer 146 f.). Die Vereinigung nehme auch eine kämpferisch-aggressive Haltung ein.

Hierfür genügt es laut Bundesverwaltungsgericht, „dass die Vereinigung ihre verfassungsfeindlichen Ziele in die Tat umsetzen bzw. die verfassungsmäßige Ordnung fortlaufend aktiv untergraben will und zum Kampf gegen sie aufruft“. Das sei bei der COMPACT-Magazin GmbH gegeben, was das Gericht unter anderem an den von der Vereinigung organisierten Protestveranstaltungen und Demonstrationen sowie an der „agitatorischen Rhetorik“ festmacht.

Verfassungsfeindliche Beiträge reichen nicht aus

Trotzdem kommt das Bundesverwaltungsgericht zu dem Ergebnis, dass das Verbot rechtswidrig ist. Aus dem Grundsatz der Verhältnismäßigkeit leitet es die Voraussetzung für ein Verbot ab, dass die verfassungsfeindlichen Äußerungen und Aktivitäten die Vereinigung in entscheidender Weise prägen müssen. Bei Compact sei diese verfassungsfeindliche Prägung aus vier Gründen nicht gegeben (Randnummer 146 ff.):

Erstens berücksichtigt das Gericht den hohen Schutz der Presse- und Meinungsfreiheit. Abstrakte Gefahren, die mit der Verbreitungsform in Presse- und Medienprodukten verbunden seien, nehme das Grundgesetz hin.

Zweitens würden die verbotsrelevanten Äußerungen nur einen „Teilbereich der Tätigkeiten“ der Vereinigung ausmachen. Viele andere Äußerungen könnten als „Ausdruck einer polemisch formulierten Machtkritik und der verfassungsrechtlich unbedenklichen Forderung nach einer Verschärfung des Zuwanderungs- und Staatsangehörigkeitsrechts“ verstanden werden.

Wir sind communityfinanziert

Unterstütze auch Du unsere Arbeit mit einer Spende.

Drittens zeichne sich Chefredakteur Elsässer durch eine „beachtliche Wendigkeit“ aus, was das Bundesverwaltungsgericht an dessen früherer Tätigkeit für linke Medien und an seinen Aussagen zu sogenannten Gastarbeitern festmacht, die eine „durchaus auch ambivalente Haltung zu Ausländern“ offenbarten. Das ist ein zweifelhaftes Argument, zumal das Gericht an anderer Stelle zutreffend herausarbeitet, dass Elsässer auch Gastarbeiter mit deutscher Staatsangehörigkeit nicht als Deutsche anerkennt (Randnummer 141).

Viertens berücksichtigt das Bundesverwaltungsgericht die Themenbreite der Publikationen. In weiten Teilen erfolge eine „neutrale Berichterstattung“, die völlig unverfängliche Themen betreffe und keinerlei verfassungsfeindliche Aussagen enthalte.

Bei der Frage der verfassungsfeindlichen Prägung nimmt das Bundesverwaltungsgericht ausdrücklich keine quantitative, sondern eine „wertende Betrachtung“ vor (Randnummer 153). Damit wird ausgeschlossen, dass etwa Medienunternehmen sich durch das gezielte „Beimischen“ unpolitischer oder neutraler Inhalte (zum Beispiel Kochrezepte, Reisereportagen) vor einem Vereinsverbot „schützen“ können. Gleichzeitig ist das Merkmal der verfassungsfeindlichen Prägung dehnbar und wertungsoffen. Es eröffnet damit den Verbotsbehörden und Verwaltungsgerichten einen weiten Entscheidungsspielraum.

Erfolg für die Pressefreiheit?

Daher kann das Urteil des Bundesverwaltungsgerichts auch nicht uneingeschränkt als Erfolg für die Pressefreiheit bezeichnet werden. Das Verbot der COMPACT-Magazin GmbH wurde zwar – im Ergebnis richtig – aufgehoben. In der Begründung wird jedoch Zeitungsverboten durch die Hintertür des Vereinsrechts der Weg geebnet. Das kann auch andere Medien treffen, wie die Verbote der linken Internetplattform linksunten.indymedia und des kurdischen Mezopotamien Verlags zeigen. Dabei überzeugt schon die Anwendung des Vereinsgesetzes nicht.

Wenn ein Verbot – wie hier – in erster Linie auf Medieninhalte zielt, handelt es sich in der Sache um Medienrecht, für das die Länder zuständig sind. Schade ist in dem Zusammenhang, dass das Bundesverwaltungsgericht ausdrücklich die Frage offenlässt, ob es mildere Mittel gibt, die ein Vereinsverbot entbehrlich machen. Im Eilbeschluss hatte das Gericht noch „presse- und medienrecht­liche Maßnahmen, Veranstaltungsverbote, orts- und veranstaltungsbezogene Äußerungsverbote sowie Einschränkungen und Verbote von Versammlungen“ in Betracht gezogen.

Ob solche Maßnahmen gegen Compact angewendet werden können, ist jedoch zweifelhaft. Denn die Pressegesetze der Länder kennen aus gutem Grund (Zensurverbot!) keine präventiven Verbote, und gegen konkrete Inhalte kann nur unter strengen Voraussetzungen vorgegangen werden, etwa bei Volksverhetzung. Gegen Compact-Redakteur*innen gab es – soweit ersichtlich – nur vereinzelt Strafverfahren. Das spricht auch gegen das Vereinsverbot. Denn ein solches ist nach der Rechtsprechung des Bundesverfassungsgerichts mit dem Grundgesetz nicht zu vereinbaren, wenn es nur das Mittel ist, Meinungsäußerungen oder Publikationen zu untersagen, die für sich genommen den Schutz der Meinungs- und Pressefreiheit genießen.

Schlussfolgerungen für ein AfD-Verbot?

Interessant ist das Urteil auch mit Blick auf die Diskussion über ein mögliches AfD-Verbotsverfahren. Insbesondere die Ausführungen zu Sellners Remigrationskonzept und zum egalitären Verständnis der Staatsangehörigkeit sind hierfür relevant. Jedoch ist die Zurechnung von Positionen bei einer Massenpartei mit Tausenden Mitgliedern und Hunderten Funktionär*innen deutlich schwieriger.

Andere Begründungselemente aus dem Compact-Urteil, wie die meinungsfreiheitsfreundliche Bewertung mehrdeutiger Aussagen oder das Merkmal der verfassungsfeindlichen Prägung, finden sich so bisher nicht in der verfassungsgerichtlichen Rechtsprechung zu Parteiverboten. Die Compact-Entscheidung spricht also nicht zwingend gegen die Erfolgsaussichten eines AfD-Verbotsantrags.

Andererseits zeigt der Fall, dass repressive Maßnahmen gegen Rechtsextreme hochgradig ambivalent sind und gut überlegt sein sollten. Sonst feiern am Ende nur die Rechten.



Source link

Weiterlesen

Beliebt