Connect with us

Datenschutz & Sicherheit

Patchday Android: Treiberlücke gefährdet Pixel-Smartphones


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Am Patchday im Februar hat Google nur ein Sicherheitsupdate für seine Pixel-Serie veröffentlicht. Nutzen Angreifer die Lücke erfolgreich aus, können sie sich höhere Rechte verschaffen.

Weiterlesen nach der Anzeige

Offensichtlich stuft Google diesen Monat keine Android-Schwachstelle als besonders bedrohlich ein. Dementsprechend finden sich in der Februar-Sicherheitsmitteilung keine Hinweise auf Sicherheitspatches. Seit Juli 2025 schließt Google monatlich ihrer Einschätzung nach nur noch sehr gefährliche Lücken. Die verbleibenden Updates werden seitdem quartalsweise verteilt. Kommenden Monat wird es dann wahrscheinlich wieder mehr Updates geben.

Eine Schwachstelle (CVE-2026-0106 „hoch“) findet sich dann aber doch in einer Warnmeldung für Pixel-Geräte. Die Lücke betrifft den VPU-Treiber und nach erfolgreichen Angriffen verfügen Angreifer über höhere Nutzerrechte. Weitere Informationen zur Lücke sind derzeit nicht verfügbar. Wer ein noch im Support befindliches Pixel-Smartphone besitzt, sollte sicherstellen, dass das Patch-Level 2026-02-05 installiert ist.


Android-Patchday

Android-Patchday

Neben Google veröffentlichen noch weitere Hersteller regelmäßig Sicherheitspatches – aber meist nur für einige Produktserien. Geräte anderer Hersteller bekommen die Updates erheblich später oder, im schlimmsten Fall, gar nicht.

Neben Google versorgen auch andere Hersteller wie Oppo und Samsung regelmäßig ausgewählte Geräte mit Sicherheitspatches. Diesen Monat hat etwa Samsung mehrere mit dem Bedrohungsgrad „hoch“ eingestufte Schwachstellen geschlossen. So können etwa Angreifer mit physischem Zugriff auf ein Smartphone unter Android 14, 15 und 16 eigene Befehle ausführen (CVE-2026-20980).

Besitzer von Androidgeräten des Herstellers sollten in den Einstellungen prüfen, ob das Sicherheitspatchpaket zum Download steht und es installieren. Bislang gibt es keine Berichte, dass Angreifer bereits an Schwachstellen ansetzen.

Weiterlesen nach der Anzeige


(des)



Source link

Datenschutz & Sicherheit

Pilotprojekt der Polizei Berlin: Ohne Plan und ohne Partner


Ein angekündigtes Projekt der Berliner Polizei zum „Früherkennungs- und Bedrohungsmanagement“ soll eigentlich im April starten. Doch weder eine Evaluation der Rechtsgrundlagen noch konkrete Risikoindikatoren scheinen fertig zu sein. Die Opposition warnt vor einer Stigmatisierung psychisch Erkrankter.

Graustufenbild eines Polizeiautos, das in der Straße "Unter den Linden" steht
Die Polizei Berlin will Risiken besser einschätzen können. – Gemeinfrei-ähnlich freigegeben durch unsplash.com Elena Crobu

Anfang Februar kündigte die Berliner Polizeipräsidentin Barbara Slowik ein neues Projekt an: Potenzielle Gewalttäter:innen sollen in einem Drei-Stufen-Modell früher identifiziert werden. Das bezieht sich auch, aber nicht nur, auf Menschen mit vermuteten psychischen Erkrankungen, die sich auffällig verhalten. Das Projekt, so Slowik, solle im April starten.

Bis April ist nur noch wenig Zeit. Doch eine Anfrage von netzpolitik.org bei der Berliner Polizei zeigt: Zu der vollmundigen Ankündigung gibt es kurz vor Projektstart auffallend wenig Konkretes. Viele Fragen sind ungeklärt, darunter die nach einer Rechtsgrundlage für den Datenaustausch oder um welche Daten es überhaupt geht. Außerdem hat sich die Polizei offenkundig mit kaum einer anderen relevanten Institution zu ihrem Vorhaben abgestimmt.

Die drei Stufen zum Hochrisikofall

Was zu dem Projekt mit dem Namen „Früherkennungs- und Bedrohungsmanagement“ bekannt ist: Die drei Stufen des Modells beziehen sich auf unterschiedliche Gruppen von Polizist:innen. In der ersten Stufe sind Beamt:innen gemeint, die üblicherweise Erstkontakt zu Personen haben, weil sie ihnen etwa auf Streife begegnen oder zu einem Einsatz gerufen werden. Diese sollen „wissenschaftlich anerkannte und interdisziplinär erarbeitete Risikoindikatoren“ an die Hand bekommen, um Situationen besser einschätzen zu können. Das sagte im Februar der Vizepräsident der Polizei in einer Sitzung des Innenausschusses im Berliner Abgeordnetenhaus.

Welche Indikatoren das sind, kann die Polizei auf Nachfrage allerdings nicht sagen. Es heißt von der Pressestelle, sie basierten „auf aktuellen wissenschaftlichen Standards kriminalprognostischer Verfahren im Hinblick auf schwere Gewalttaten“ und würden sich aus statischen und dynamischen Faktoren sowie Warnsignalen und Schutzfaktoren zusammensetzen. Weitergehende Auskünfte seien „aufgrund der dynamischen Entwicklungen“ aktuell nicht möglich. Das klingt, als wären die Indikatoren schlicht noch nicht fertig formuliert.

Die zweite Stufe bezieht sich auf besonders geschulte Beamt:innen, die auf Basis von Meldungen der Kolleg:innen aus der ersten Stufe eine „umfassende und fortlaufende Risikobeurteilung“ durchführen. Sie könnten also vielleicht prüfen, ob eine Person, die gerade Menschen am Alexanderplatz beschimpft, schon öfter bei einem Polizeieinsatz aufgefallen ist. Kommen diese Beamt:innen zum Ergebnis, dass es ein Risiko für schwere Straftaten wie Tötungsdelikte gibt, leiten sie die Fälle an die dritte Stufe weiter: einen Dienstbereich für „Hochrisikofälle“.

Mit wem hat sich die Polizei abgestimmt?

Während es im Modell nicht speziell um mutmaßlich psychisch erkrankte Personen geht, lag der Fokus in der Ankündigung der Polizeipräsidentin auf diesen. „Wir sehen bereits seit längerem immer häufiger Menschen, die verhaltensauffällig sind, also unter Drogen stehen oder psychische Erkrankungen aufweisen, und in diesem Zusammenhang schwere Straftaten begehen“, sagte sie gegenüber der Deutschen Presseagentur. Es solle auch Fallkonferenzen geben und über die Einbindung sozialpsychiatrischer Dienste oder Zwangseinweisungen entschieden werden, wenn die Risikoanalyse das nahelege.

Der Vizepräsident der Polizei erläuterte in der Sitzung des Innenausschusses, es gehe „bei Menschen mit psychischen Verhaltensauffälligkeiten“ insbesondere auch darum, „über eine Zusammenarbeit mit dem Gesundheitssektor eine nachhaltige psychologische Versorgung sicherzustellen“. Das suggeriert: Kommt die Polizei in ihrer neuen Risikobewertung zum Ergebnis, dass eine Person medizinische oder therapeutische Hilfe benötigt, setzt sie sich mit anderen in Verbindung. Dafür braucht es eine geregelte Zusammenarbeit.

Zuständig für gesundheits- und damit auch psychiatriepolitische Themen ist in Berlin die Senatsverwaltung für Gesundheit. Die war jedoch, wie ein Sprecher der obersten Landesbehörde auf Anfrage von netzpolitik.org schreibt, nicht an den Abstimmungen zum Pilotprojekt beteiligt. Es gebe jedoch einen Austausch mit der Innenverwaltung über den „Umgang mit psychisch auffälligen Gewalttätern“.

Gesundheitsverwaltung hat eigene Pläne

Daneben setzt die Gesundheitsverwaltung auf eine Bestandsaufnahme. „Derzeit wird die gesamte psychiatrische Versorgung evaluiert“, schreibt ein Sprecher. „Dabei sollen die Strukturen, insbesondere im Hinblick auf die Versorgung von Menschen mit schweren psychischen Erkrankungen, analysiert werden.“

Ziel sei eine Landespsychiatrieplanung für Berlin. Die Gesundheitsverwaltung schreibt auch: „Die wirksamste Maßnahme der Gewaltprävention bei Menschen mit psychischen Erkrankungen ist eine fachgerechte psychiatrisch-psychotherapeutische Behandlung. Sie senkt nachweislich das Risiko für Gewalttaten.“ Der Sprecher betont, dass nur wenige Menschen mit einer psychischen Erkrankung überhaupt zu einer Risikogruppe gehören, „die ein erhöhtes Gewalt- bzw. Straftatpotenzial aufweist […] Ein simpler Kausalzusammenhang zwischen psychischer Erkrankung und Gewalt- beziehungsweise Straftaten besteht nicht.“

Außerdem sei eine Novellierung des Berliner Gesetzes über Hilfen und Schutzmaßnahmen bei psychischen Krankheiten (PsychKG) geplant. Das Gesetz regelt auf der einen Seite Unterstützungsmaßnahmen, definiert aber auch, wann eine Person gegen ihren Willen in eine Klinik eingewiesen werden kann. Die Reform wird die nächste Berliner Landesregierung nach den Wahlen im September 2026 in Angriff nehmen müssen. Dabei habe der Schutz der persönlichen Rechte von Menschen mit psychischer Erkrankung „höchste Priorität“, so der Sprecher.

In einer Antwort der Gesundheitsverwaltung auf eine Frage der Grünen-Fraktion im Abgeordnetenhaus positionierte diese sich bereits dazu, ob mit einer Novelle des Berliner PsychKGs künftig auch Daten über psychisch erkrankte Personen an Polizei und andere Sicherheitsbehörden übermittelt werden sollen. Derartige Regeln haben etwa Hessen und Niedersachsen in den letzten Monaten in ihre PsychKG-Reformen eingebracht, unter viel Kritik von medizinischen Fachleuten, Betroffenenverbänden und Datenschützer:innen. Das sei in Berlin nicht vorgesehen, der Senat berücksichtige das Recht auf Privatsphäre, schreibt die Gesundheitsverwaltung in ihrer Antwort.

Datenaustausch mit „Akteuren“

Die Polizei indes will in ihrem Pilotprojekt offenbar Daten mit anderen austauschen, anders wäre eine Zusammenarbeit mit dem „Gesundheitssektor“ kaum möglich. Aber um geht es genau? Dazu kann sie wenige Wochen vor dem geplanten Projektstart erstaunlich wenig sagen. Sie stehe bei ihrer Arbeit „im Rahmen der rechtlichen Möglichkeiten im Austausch mit relevanten staatlichen und nichtstaatlichen Akteuren“, antwortet ein Pressesprecher. Der könne „sowohl fallbezogen als auch auf die Abstimmung notwendiger Arbeitsprozesse gerichtet sein“. Das soll auch im „Früherkennungs- und Bedrohungsmanagement“ stattfinden, weitergehende Auskünfte seien aber nicht möglich, weil sich das „noch in Planung“ befinde.

Ebenso in der Planung – oder besser in der Findung – ist offenbar auch die Rechtsgrundlage, auf der Informationen ausgetauscht werden könnten: „Die Prüfung, auf welcher Rechtsgrundlage ein Daten- und/oder Erkenntnisaustausch zwischen den verschiedenen Akteuren erfolgen könnte, ist noch nicht abgeschlossen.“

Landesdatenschutzbeauftragte erfuhr aus der Presse vom Projekt

Helfen bei dieser Suche oder einer Einschätzung, ob das nach derzeitigen rechtlichen Regelungen überhaupt möglich ist, könnte vielleicht die Berliner Landesdatenschutzbehörde. Immerhin hieß es in der Sitzung des Innenausschusses im Februar, die neu geschaffenen Arbeitsprozesse würden einer datenschutzrechtlichen Kontrolle unterzogen. Doch die Landesdatenschutzbeauftragte Berlins war damit wohl nicht gemeint. „Wir wurden nicht einbezogen und haben erst aus der Presse von dem Projekt erfahren“, schreibt ein Sprecher auf Anfrage von netzpolitik.org.

Vielmehr meint die Polizei wohl eine Selbstkontrolle. „Die neu geschaffenen Arbeitsprozesse werden einer datenschutzrechtlichen Überprüfung durch Datenschutzbereiche der Polizei Berlin unterzogen, sofern datenschutzrechtliche Belange betroffen sind“, heißt es auf Anfrage.

Niklas Schrader, innenpolitischer Sprecher der Linken im Berliner Abgeordnetenhaus, kann all das nicht verstehen. „Es ist mir vollkommen unverständlich, warum die Berliner Polizei mit einem derart unausgegorenen Vorhaben an die Öffentlichkeit gegangen ist“, schreibt der Abgeordnete gegenüber netzpolitik.org. „Weder sind Rechtsgrundlagen oder datenschutzrechtliche Fragen geklärt, noch hat eine Abstimmung mit dem Gesundheitsbereich stattgefunden.“ Er befürchtet, dass aus dem Projekt Stigmatisierung und eine Abschreckung für Hilfesuchende folgen könnten. „Wenn gleichzeitig die Versorgung mit therapeutischen und anderen Hilfsangeboten so mangelhaft ist wie derzeit in Berlin, ist das eine absolut besorgniserregende Entwicklung.“

Auch Vasili Franco, innenpolitischer Sprecher der Grünen, hat ähnliche Kritik. Er versuchte mit einer parlamentarischen Anfrage im Februar, mehr über die Pläne der Polizei zu erfahren. „Menschen mit psychischen Erkrankungen brauchen in erster Linie Hilfe. Diese Hilfebedarfe treffen schon heute auf ein System der Unterversorgung“, so der Abgeordnete. „Die entscheidende Frage ist, wie man Menschen mit psychischen Erkrankungen von einer polizeilichen Bearbeitung in eine regelhafte und nachhaltige Gesundheitsversorgung überführt. Davon scheint das Pilotprojekt der Berliner Polizei noch weit entfernt zu sein.“

Es sei unter medizinischen und ethischen Standards nicht vertretbar, der Polizei zukünftig die Beurteilung von psychischen Erkrankungen zu überlassen. „Eine psychisch erkrankte Person darf nicht mit einem Sicherheitsrisiko gleichgesetzt werden.“

Zusammenfassend lässt sich wenig sagen. Es wirkt, als habe die Polizeipräsidentin ein Projekt angekündigt, das noch weit von einer konkreten Umsetzbarkeit entfernt ist. Bis jetzt ist noch nicht einmal geklärt, wie lange der angekündigte „zeitlich begrenzte Probebetrieb“ überhaupt dauern soll. „Der konkrete Zeitrahmen für den Probebetrieb zur gezielten Testung spezifischer interner Arbeitsabläufe befindet sich derzeit noch in der Abstimmungsphase“, heißt es von der Polizei. Ob es also im April überhaupt losgeht, wird sich zeigen müssen.


Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.



Source link

Weiterlesen

Datenschutz & Sicherheit

Qnap löst kritische Sicherheitsprobleme in NAS-Software


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Mehrere Softwareschwachstellen gefährden NAS-Systeme von Qnap. Angreifer können auf Geräte zugreifen und im schlimmsten Fall die volle Kontrolle erlangen. Sicherheitspatches schaffen Abhilfe. Bislang gibt es keine Berichte, dass Angreifer die Lücken bereits ausnutzen. Wer ein Qnap-NAS besitzt, sollte sicherstellen, dass alle installierten Komponenten auf dem aktuellen Stand sind.

Weiterlesen nach der Anzeige

Wie aus dem Sicherheitsbereich der Qnap-Website hervorgeht, betreffen die Sicherheitsprobleme die Komponenten Media Streaming Add-on, QuFTP Service, QuNetSwitch (ADRA NDR), QuRouter und QVR Pro.

Am gefährlichsten gilt eine „kritische“ Lücke (CVE-2026-22898) in der IP-Videoüberwachungssoftware QVR Pro. Weil einer Warnmeldung zufolge die Authentifizierung im Kontext einer kritischen, nicht näher beschriebenen Funktion fehlt, können entfernte Angreifer Zugriff auf Systeme erlangen. Die Entwickler versichern, die Schwachstelle in QVR Pro 2.7.4.1485 geschlossen zu haben.

Die von vier Lücken in QuNetSwitch (ADRA NDR) ausgehende Gefahr schätzt Qnap als „kritisch“ ein. Hier können Angreifer unter anderem aufgrund von hartcodierten Zugangsdaten auf Netzwerkspeicher zugreifen (CVE-2026-22900 „mittel“). Durch das erfolgreiche Ausnutzen der verbleibenden Schwachstellen können Angreifer unter anderem eigene Befehle ausführen (etwa CVE-2026-22901 „mittel“). An dieser Stelle müssen Admins QuNetSwitch 2.0.4.0415 oder QuNetSwitch 2.0.5.0906 installieren.

Für die Sicherheitslücken in QuRouter vergibt Qnap ebenfalls eine kritische Einstufung. Auch hier kann es zur Ausführung von Schadcode kommen. Dafür benötigen lokale Angreifer aber bereits Adminrechte (etwa CVE-2025-62845 „mittel“). Die Entwickler geben an, QuRouter 2.6.3.009 repariert zu haben.


(des)



Source link

Weiterlesen

Datenschutz & Sicherheit

Zero-Day erlaubt Codeausführung in WindChill und FlexPLM


Die Software Windchill und FlexPLM enthält ein Sicherheitsleck, das Codeausführung erlaubt. Der Hersteller ruft dringend dazu auf, Sicherheitsmaßnahmen zu ergreifen – ein Patch ist zur Stunde noch nicht verfügbar.

Weiterlesen nach der Anzeige

Informationen zur Sicherheitslücke sind spärlich, weder eine CVE-Kennung noch Warnungen der nationalen CERTs (Computer Emergency Response Team) sind verfügbar. Der Hersteller und seine Partner scheinen jedoch beunruhigt: Sie vergeben die Höchstwertung von 10.0 Punkten auf der CVSS-Skala und drängen Kunden, umgehend zu reagieren.

Offenbar versteckt der Fehler sich in der Deserialisierung der Servlets /servlet/WindchillGW/com.ptc.wvs.server.publish.Publish und /servlet/WindchillAuthGW/com.ptc.wvs.server.publish.Publish. Sind diese für einen Angreifer zugänglich, etwa weil der Windchill-Server aus dem Internet erreichbar ist, kann er Code einschleusen und ausführen.

Die Lücke betrifft gemäß dem extrem knappen Sicherheitshinweis in der Knowledge Base des Herstellers PTC folgende Versionen:

  • Windchill PDMLink 11.0 M030
  • Windchill PDMLink 11.1 M020
  • Windchill PDMLink 11.2.1.0
  • Windchill PDMLink 12.0.2.0
  • Windchill PDMLink 13.0.2.0
  • Windchill PDMLink 13.1.0.0
  • Windchill PDMLink 13.1.1.0
  • Windchill PDMLink 13.1.2.0
  • Windchill PDMLink 13.1.3.0
  • Windchill PDMLink 12.1.2.0
  • FlexPLM 11.0 M030
  • FlexPLM 11.1 M020
  • FlexPLM 11.2.1.0
  • FlexPLM 12.0.0.0
  • FlexPLM 12.0.2.0
  • FlexPLM 12.0.3.0
  • FlexPLM 12.1.2.0
  • FlexPLM 12.1.3.0
  • FlexPLM 13.0.2.0
  • FlexPLM 13.0.3.0

Weiterlesen nach der Anzeige

Bis ein Patch zur Verfügung steht, sollen Admins zu einer Notlösung greifen. Wie der Windchill-Dienstleister EAC in einer Aussendung an seine Kunden beschreibt, ist dazu eine Konfigurationsänderung des Apache-Webservers notwendig. Das, so EAC, sollte unverzüglich geschehen, um die Gefahr eines Exploits zu neutralisieren.

  1. Erstellen einer neuen Konfigurationsdatei /conf/conf.d/90-app-Windchill-Auth.conf. sofern bereits eine Datei mit dem Präfix 90- oder höher existiert, sollte die neue Datei die höchste Ziffer erhalten, um als letzte Datei geladen zu werden)
  2. In diesen folgende Direktiven einbauen:
    Require all denied
  3. Webserver mittels der bekannten Befehle neustarten.

Obgleich der Hersteller behauptet, keine Kenntnis über erfolgreiche Angriffe zu haben, nennt Dienstleister EAC einige „Indicators of Compromise“ (IOC). Es muss also bereits Angriffe gegen Windchill- oder FlexPLM-Server gegeben haben. Aus den IOCs ergibt sich, dass Angreifer nach erfolgreichem Exploit Dateien mit Schadcode auf den Server hochladen, typischerweise Webshells. Von PTC selbst betriebene Instanzen sind bereits geschützt.

Unsichere Deserialisierung ist ein bekanntes Einfallstor für Exploits und beliebt bei Cyberkriminellen und staatlichen Angreifern. Erst vor wenigen Tagen fügte die US-Cybersicherheitsbehörde eine weitere Deserialisierungslücke in Microsoft Sharepoint zu ihrer Datenbank der Known Exploited Vulnerabilities hinzu.


(cku)



Source link

Weiterlesen

Beliebt