Datenschutz & Sicherheit
Per Dekret in die dunkle Vergangenheit

Die Feierstimmung über das neue Jahr hielt in Argentinien gerade einmal einen Tag an. Am 2. Januar wurde bekannt, dass die Regierung Milei zwei Tage zuvor in den letzten Minuten des alten Jahres das Notstandsdekret 941/2025 erlassen hatte. Das Dekret erweitert die Befugnisse des argentinischen Geheimdienst SIDE (Secretaría de Inteligencia del Estado) deutlich.
Demnach können ab sofort alle Aktivitäten des SIDE „verdeckt“ erfolgen. Agent*innen können zudem Verhaftungen ohne Haftbefehl vornehmen, zur Unterstützung kann der SIDE die Armee für Inlandseinsätze anfordern und Personenregister-Behörden müssen Daten an den Geheimdienst herausgeben.
Das Vorgehen weckt Erinnerungen an die argentinische Militärdiktatur. Argentinien hatte sich jahrelang vorbildlich darum bemüht, die Diktatur aufzuarbeiten, Milei dreht das Rad nun wieder zurück. „Dieses Dekret führt zur bisher gravierendsten Veränderung, da den Geheimdiensten seit der zivil-militärischen Diktatur keine derartigen Befugnisse eingeräumt wurden“, zeigt sich Beatriz Busaniche von der Stiftung Vía Libre besorgt.
Auch die Organisation La Coordinadora Contra la Represión Policial e Institucional (CORREPI) erinnert die Maßnahme „an die schlimmsten Praktiken der dunkelsten Periode unserer Geschichte, der zivil-militärischen Diktatur von 1976-1983“, wie sie auf Instagram schreibt.
Inlandsspionage gegen Regierungskritiker*innen
SIDE verteidigt die Notwendigkeit der Reform auf X mit Verweis auf „die aktuellen globalen Herausforderungen und die neue Rolle, die die Argentinische Republik unter der Führung von Präsident Javier G. Milei auf der Weltbühne einnimmt“. Laut der Stellungnahme des Geheimdienstes, die auch die Tageszeitung Pagina 12 veröffentlichte, streben SIDE und Mileis Regierung „ein modernes, professionelles und effizientes nationales Nachrichtendienstsystem [an], das den höchsten demokratischen und republikanischen Standards entspricht.“
Diesem Ziel seien laut Regierung auch jene Teile der Reform verpflichtet, die den Umbau weiterer Behörden vorsehen. Die Regierung brüstet sich, damit der staatlichen Verfolgung von Journalist*innen und Bürger*innen ein Ende zu setzen.
Die Bürgerrechtsorganisation Centro de Estudios Legales y Sociales (CELS) kritisiert, dass es genau anders herum sei: Durch den Wechsel des Schwerpunkts des SIDE vom Schutz der nationalen Sicherheit auf Spionageabwehr insbesondere im Inland erlaube die Reform die Verfolgung von Aktivist*innen, Journalist*innen, Indigenen und anderen Regierungskritiker*innen überhaupt erst.
Diese Schlussfolgerung zieht auch Via Libre. Zudem erschwere der komplexer werdende Zuschnitt der Behörden und Sekretariate eine Kontrolle des Geheimdienstes, beklagt Busaniche.
Wie Javier Milei die Zivilgesellschaft systematisch schwächt
Die Reform steht für die wachsende Repression und Überwachung durch die argentinische Regierung seit dem Amtsantritt Mileis im Dezember 2023.
Der rechts-libertäre Politiker trat als Außenseiter zu Wahl an und kam nur durch die Unterstützung rechter Parteien an die Macht. Seither hat seine Regierung die Zivilgesellschaft in Argentinien systematisch geschwächt.
So schränkte die Regierung gleich zu Beginn das Recht auf öffentlichen Straßenprotest stark ein („Ley Antipiquetes“, zu Deutsch: Kundgebungsverbot). Es folgten Gesetze, die vordergründig den Drogenhandel bremsen sollen, dabei jedoch auch Aktivisti treffen („Ley Antimafia“) sowie eine Reform der Online-Überwachung („Ley Ciberpatrullaje“). Außerdem erhielt die Polizei eine neue „KI-Einheit“, die Unidad de Inteligencia Artificial Aplicada a la Seguridad, UIAAS.
Zivilgesellschaft ist unvorbereitet
Die Zivilgesellschaft Argentiniens ist insbesondere auf die zunehmende Online-Überwachung nicht ausreichend vorbereitet. Weil es keine Netzneutralität gibt, sind die Meta-Plattformen WhatsApp und Instagram weit verbreitet, Signal ist hingegen kaum bekannt, Mastodon schon gar nicht.
Zwar gibt es Nichtregierungsorganisationen, die Aufklärung zu digitalen Themen betreiben. Doch NGOs wie Via Libre, Asociación por los Derechos Civiles (ADC) oder Observatorio de Derecho Informático Argentino (ODIA) sind zu klein, um hier wirklich Einfluss geltend machen zu können.
Andere Organisationen wie CELS und Amnesty International Argentina sind zwar größer, haben jedoch alle Hände voll damit zu tun, die fortwährenden Attacken aus der Casa Rosada, dem Regierungssitz in Buenos Aires, gegen die Bevölkerung abzuwehren, Klagen einzureichen und Gerichtsprozesse zu führen. Dabei können sie durchaus Erfolge vorweisen. So erzielten CELS und andere Organisationen im vergangenen Jahr einen juristischen Sieg, als ein Bundesverwaltungsgericht das Kundgebungsverbot nach zwei Jahren für verfassungswidrig erklärte.
Gesichtserkennung wird ausgeweitet
Zivilgesellschaftliche Klagen führten im Jahr 2023 auch zu einem Verbot von Gesichtserkennung im öffentlichen Raum (Sistema de Reconocimiento Facial de Prófugos, SRFP). Allerdings gilt dieses Verbot nur für die damalige Anwendung in der argentinischen Hauptstadt Buenos Aires. In anderen Städten kommt die Gesichtserkennung weitgehend ungehindert zum Einsatz.
Auf der Karte „Surveillance under Surveillance“ vom Chaos Computer Club Hamburg sind die Orte von Kamera-Überwachung weltweit kartografiert, auch argentinische Städte sind darunter. Wie viele Kameras es genau in Argentinien gibt und welche davon Gesichtserkennung einsetzen, ist unbekannt. Verschiedene Organisationen kommen dabei zu unterschiedlichen Einschätzungen.
Und laut der „SurveillanceWatch“ operieren in Argentinien aktuell 25 internationale Unternehmen der Überwachungs-Industrie. Unter ihnen sind Unternehmen wie Cellebrite, Clearview AI und Hikvision, deren Anwendungen in anderen Ländern für massive Kritik sorgen. In Buenos Aires wird die Gesichtserkennung im öffentlichen Raum wahrscheinlich schon bald wieder angewandt, die dortige Staatsanwaltschaft hat im vergangenen Jahr Clearview-Lizenzen eingekauft.
Tausende Opfer durch Polizeigewalt
Die zunehmende Überwachung ist für die meisten Menschen in Argentinien nicht das größte Problem. Sie sind vielmehr damit beschäftigt, gegen die alltägliche Polizeigewalt sowie die Kürzungen im Gesundheits- und Bildungswesen zu kämpfen. Und auch die hohe Arbeitslosigkeit und steigenden Lebenshaltungskosten lassen die staatliche Überwachung und Repression in den Hintergrund rücken. „Sie verhaften uns sowieso, wenn sie wollen“, lautet der Tenor der politisch Aktiven.
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Tatsächlich kommt es bei Demonstrationen regelmäßig zu willkürlichen Verhaftungen. Die Personen werden zwar meist schnell wieder freigelassen, harmlos ist der Kontakt zur argentinischen Polizei aber keineswegs.
Immer wieder erschießen Polizist*innen Menschen. Im Sommer 2025 töteten Beamt*innen in Buenos Aires ein siebenjähriges Kind; zuletzt kamen in den Tagen nach Weihnachten zwei Personen ums Leben. CORREPI zählt seit Ende 2023 mehr als 1.000 Tote und 1.500 Verletzte – inklusive Pressevertreter*innen – als Opfer staatlicher Gewalt.
Für 2024 hat CORREPI errechnet, dass die Stadtpolizei von Buenos Aires wegen ihrer Schusswaffeneinsätze zu den tödlichsten in ganz Argentinien zählt. Eine Polizeieinheit, mit der übrigens die Bayerische Landespolizei kooperiert, ohne das verwerflich zu finden.
Opposition will Dekret abwehren
Durch die Reform der Regierung Milei wird die Überwachung, die Repression und die Gewalt im Land weiter zunehmen. Die neue KI-Einheit UIAAS untersteht zwar dem Sicherheitsministerium und die Gesichtserkennung steht auf der Agenda der Staatsanwaltschaft der Hauptstadt. Doch es muss davon ausgegangen werden, dass es auch Verknüpfungen zur SIDE geben wird.
Manuel Tufró, Direktor für Justiz und Sicherheit bei CELS, ist wenig optimistisch, dass Parlament, Justiz und Zivilgesellschaft Transparenz herstellen können: „Es wird äußerst schwierig sein, die eingesetzten Werkzeuge der Gesichtserkennung, Spyware, KI und Techniken wie der Cyber-Patrouille zu ermitteln“, sagt Tufró, „da der Erlass festgelegt hat, dass alle Aktivitäten im Zusammenhang mit der SIDE ‚verdeckt‘ erfolgen müssen.“
Die parlamentarische Opposition will das jüngste Dekret zur Geheimdienst-Reform im Kongress abwehren. Wann und ob ihr das gelingt, ist allerdings offen. Nach der Zwischenwahl im Oktober ist sie geschwächt. Zugleich verfügt aber auch Milei über keine eigene Mehrheit im Kongress. Außerdem ist Sommerpause in Argentinien, der Kongress tagt erst wieder im März.
Am vergangenen Montag haben daher einige Abgeordnete eine gerichtliche Intervention beantragt. Sie fordern, dass das Dekret früher für verfassungswidrig erklärt wird, und ersuchen eine einstweilige Verfügung zu seiner sofortigen Aussetzung.
Internationale Aufmerksamkeit könnte diesem Widerstand guttun, damit dieses Dekret nicht wie das Kundgebungsverbot zwei Jahre in Kraft bleibt, bevor es dann gerichtlich annulliert wird.
Nina Galla ist Pressesprecherin für AlgorithmWatch in Berlin. In ihrer Freizeit beschäftigt sie sich mit den Auswirkungen von KI in der Schule und schreibt seit 2025 über die digital-politische Entwicklung in Argentinien.
Datenschutz & Sicherheit
Kritische Lücke in Automatisierungstool: n8n erlaubt Codeschmuggel
Die No-Code-Automatisierungslösung n8n erfreut sich großer Beliebtheit, erlaubt sie doch auch Programmieranfängern, mit einem grafischen Werkzeug komplexe Abläufe einzurichten, API-Anfragen zu stellen und LLMs automatisiert zu nutzen. Vier kritische Sicherheitslücken, eine davon gar mit der Maximalwertung von 10 Punkten, verleiden Systemverwaltern jedoch aktuell die Freude an dem Werkzeug. Experten sind uneins, wie kritisch die Lücke ist.
Weiterlesen nach der Anzeige
Wenn Sicherheitslücken mit griffigen, möglichst gruselig klingenden Namen auftauchen, ahnt der geneigte Leser oft nichts Gutes, so auch bei „Ni8mare“. So nannte die Sicherheitsfirma Cyera den Fehler mit der CVE-ID CVE-2026-21858 und stufte ihn als kritisch ein – nebst CVSS-Maximalwertung von 10. Sobald ein per n8n erstelltes Webformular aus dem Web zugänglich ist, sei es Angreifern möglich, beliebige Dateien des n8n-Servers auszulesen.
Doch eine neue Analyse der Lücke durch Horizon3.ai relativiert das Risiko: Zwar sei die Sicherheitslücke tatsächlich vorhanden und aus der Ferne ausnutzbar, doch gebe es mehrere Vorbedingungen, die bei keinem Kunden des Unternehmens erfüllt seien. So fehle es meist an einer Möglichkeit, die gewonnenen Daten zu exfiltrieren. Admins sollten ihre n8n-Instanzen flicken, Panik sei jedoch unangebracht.
Lückenwirrwarr mit und ohne PoC
Zusätzlich zu „Ni8mare“ gibt es noch „N8scape“ (CVE-2025-68668, CVSS 9,9, kritisch), eine bereits in der Weihnachtszeit publizierte Lücke, die angemeldeten Nutzern ungeplant erlaubt, Python-Code auf dem n8n-Hostsystem auszuführen. Dafür müssen sie jedoch ausreichend Berechtigungen besitzen, um Arbeitsabläufe zu erstellen oder zu verändern. Ebenfalls ungeplante Codeausführung bietet CVE-2027-21877 (CVSS 9,9, kritisch).
Die aktuell größte Gefahr geht jedoch von einer Lücke aus, die gar nicht als kritisch ausgewiesen ist: CVE-2025-68613 stellt zwar mit einem CVSS-Punktwert von 8,8 „nur“ eine „hohe“ Gefahr dar, lässt sich aber mit „Ni8mare“ verknüpfen, wie ein „Proof of Concept“-Exploit (PoC) beweist. Setzt man diesen auf eine verwundbare n8n-Instanz an, so lassen sich nicht nur Dateien des Hostsystems auslesen, sondern zusätzlich beliebige Systemkommandos ausführen (Remote Code Execution, RCE). Die abwiegelnde Analyse von Horizon3.ai mag also für „Ni8mare“ allein stimmen, erweist sich aber im Zusammenspiel mit einer zusätzlichen Sicherheitslücke als trügerisch.

Bin ich drin? Das war ja einfach! Dieser Exploit verkettet zwei Sicherheitslücken zur Codeausführung bei n8n, hier in einem Docker-Container.
Update auf 2.0.0 empfohlen
Weiterlesen nach der Anzeige
Wer n8n auf eigenen Systemen einsetzt, etwa als Docker-Container, sollte direkt ein Update auf Version 2.0.0 erwägen. Zwar sind einige der kritischen Sicherheitslücken auch in Versionen des 1.x-Baums behoben, doch dessen Produktunterstützung endet bald: Am 15. März 2026 ist Schluss, drei Monate nach Veröffentlichung von n8n 2.0.0.
Neben den vier kritischen Lücken finden sich in der Sicherheitslücken-Übersicht auf GitHub weitere Sicherheitsprobleme, die in den letzten Tagen und Wochen bereinigt wurden.
n8n ist eine deutsche Start-up-Erfolgsgeschichte. Das Projekt gewann kürzlich mit einem Zuwachs von 112.400 GitHub-Sternen im Jahr 2025 die „Rising Stars“ des beliebtesten JavaScript-Projekts, die dahinterstehende n8n GmbH gilt nach einer neunstelligen Finanzspritze als „Einhorn“ mit einer Bewertung von 2,5 Milliarden US-Dollar.
(cku)
Datenschutz & Sicherheit
Kein Patch im BMW: ”Pwn My Ride“-Lücke in CarPlay und AirPlay bleibt bestehen
Kein Patch trotz teurem Schlitten: BMW hat sich offenbar dazu entschlossen, für seine Car-Entertainment-Systeme keine Fehlerbehebungen für die sogenannte Pwn-My-Ride-Lücke an die Kundschaft zu geben. Das im Frühjahr 2025 entdeckte Problem ist massiv, betrifft Apples Streamingprotokoll AirPlay sowie bei Fahrzeugen auch CarPlay – und kann zur Übernahme ganzer Geräte genutzt werden. Apple hatte seine eigene Hardware verhältnismäßig schnell gepatcht, doch viele Anbieter von Unterhaltungselektronik mit AirPlay- und CarPlay-Fähigkeit zogen entweder nicht nach oder brauchten Monate. Im September hieß es etwa, dass noch zahlreiche Autohersteller betroffen sind. Unklar war zum damaligen Zeitpunkt, welche Marken Patches ganz unterlassen. Das wird nun langsam deutlich.
Weiterlesen nach der Anzeige
BMW-Experten sehen „äußerst geringes“ Risiko
Ein Mac & i-Leser, der einen BMW i3s besitzt, der im Februar 2024 übernommen wurde, versuchte seit vielen Monaten, eine Antwort vom Hersteller zu bekommen. Nachdem bei Werkstatt und Kundenservice wenig auszurichten war, wendete er sich an das BMW-Beschwerdemanagement. Das Ergebnis war ernüchternd. Zwar räumte BMW ein, dass das Fahrzeug von der grundsätzlichen Lücke (CVE-2025-24132) betroffen ist. Allerdings sieht der Konzern keine Gefahr.
Man habe das Leck „kurz nach Veröffentlichung“ von „unseren Experten“ prüfen lassen. Dabei ergab sich dann Folgendes: „Die gemeldete Sicherheitslücke erfordert, dass ein Angreifer mit einem böswilligen Gerät aktiv eine Kopplung mit der Headunit des Fahrzeugs via Bluetooth durchführt.“ Dieser Kopplungsprozess setzte sowohl eine direkte Initiierung aus dem Kopplungsmenü des Fahrzeugs als auch eine PIN-basierte Validierung voraus. „Dieser mehrstufige Prozess stellt sicher, dass eine unbeabsichtigte oder unautorisierte Kopplung praktisch ausgeschlossen [ist].“ Angesichts dieser „strengen Voraussetzungen“ wird „das Sicherheitsrisiko für unsere Kunden als äußerst gering“ eingeschätzt.
„Klarheit und Sicherheit“ ohne Patch
Und da das Ausnutzen der Sicherheitslücke „von unseren Security-Experten als äußerst gering eingeschätzt“ wurde, sei eben „kein weiteres Software-Update für Ihr Fahrzeugmodell geplant“. Er hoffe, „dass diese Erklärung Klarheit und Sicherheit in Bezug auf die bestehenden Maßnahmen zum Schutz der Kundensicherheit bietet“, so der Bearbeiter weiter. Der Mac & i-Leser ist mit der Entscheidung nicht einverstanden: „Für meine Wenigkeit trägt das Verhalten von BMW nicht zur Kundenbindung bei.“
Tatsächlich lässt sich die Entscheidung BMWs nur schwer nachvollziehen. Zur Anwendung eines potenziellen Exploits – also der Übernahme des Car-Entertainment-Systems mit möglicherweise schweren Folgen – reicht es aus, physischen Zugriff (also samt Schlüssel) auf das Fahrzeug zu haben. Die Kopplung ist weder durch ein Nutzerpasswort geschützt noch auf andere Art – das kennt man etwa aus Mietfahrzeugen, in denen zig Bluetooth-Profile zu finden sind. BMW reagierte auf eine Anfrage an die Pressestelle zunächst nicht. Mit „Pwn My Ride“ ist ein Root-Zugriff auf das Unterhaltungssystem samt aller sich daraus ergebender Möglichkeiten verbunden: Von der Manipulation des Systems über das Abgreifen von Daten bis zu Spionage. Die Firma Oligo, die das Problem entdeckt hat, veröffentlichte dazu mehrere recht beeindruckende Beispiele, die auch über CarPlay laufen.
Weiterlesen nach der Anzeige
(bsc)
Datenschutz & Sicherheit
Mediaplayer VLC: Aktualisierte Version stopft zahlreiche Lücken
Das VideoLAN-Projekt hat mit den Versionen 3.0.22 und 3.0.23 des VLC Player diverse Sicherheitslücken beim Verarbeiten von unterschiedlichen Medienformaten ausgebessert. Wer die Software zum Streamen und zur Medienwiedergabe einsetzt, sollte auf die jüngste Version aktualisieren.
Weiterlesen nach der Anzeige
In einer Sicherheitsmitteilung erörtert das VideoLAN-Projekt die Sicherheitslücken, die VLC 3.0.22 bereits schließt. Die Schwachstellen können VLC abstürzen lassen, die Entwickler schließen jedoch nicht aus, dass sie sich verknüpfen lassen, um Schadcode auszuführen oder Nutzerinformationen preiszugeben. Immerhin haben sie keine Hinweise darauf, dass die Lücken bereits missbraucht würden.
Die Schwachstellen betreffen die Verarbeitung der Formate und Verarbeitungsmodule MMS, OggSpots, CEA-708-Untertitel, ty, CVD-Untertitel, Ogg-Demuxer, WebVTT, NSV-Demuxer, SRT-Untertitel, ASF, MP4-Demuxer, SPU-Decoder, SVCD-Untertitel-Decoder, tx3g-Untertitel-Decoder und schließlich den Audio-Ausgabe-Puffer auf dem Stack. In den News listen die Programmierer in den Änderungen zwischen VLC 3.0.22 und 3.0.21 unter „Security“ noch weitere Schwachstellen auf und merken an, dass auch diese Liste nicht erschöpfend ist.
Noch neuere Version mit nur wenigen Korrekturen
Die jüngere Version VLC 3.0.23 ist laut Release-Notes nur ein kleines nachgeschobenes Fix-Release. Allerdings korrigiert auch sie einige weitere Sicherheitslücken, wie in den VLC-News nachzulesen ist. Etwas stakkatoartig listen die Entwickler dort auf, dass sie eine „Null Deref“ in libass behoben haben, was vermutlich eine Null-Pointer-Dereferenzierung meint. In den Modulen zur Verarbeitung von Theora und CC-708 gab es offenbar undefinierte Shifts, in Daala hingegen einen Integer-Überlauf. Der h264-Parser konnte in eine Endlosschleife geraten. Zudem korrigierten sie darin einen Pufferüberlauf in PNG sowie mehrere „Format-Überläufe“.
Auf der Download-Seite von VLC steht die Software vorkompiliert für diverse Plattformen zum Herunterladen bereit. Inzwischen wurde die Software 6 Milliarden Mal heruntergeladen; die Entwickler planen zudem die Ergänzung von lokalen KI-Funktionen.
(dmk)
-
UX/UI & Webdesignvor 3 MonatenIllustrierte Reise nach New York City › PAGE online
-
Künstliche Intelligenzvor 3 MonatenAus Softwarefehlern lernen – Teil 3: Eine Marssonde gerät außer Kontrolle
-
Künstliche Intelligenzvor 3 Monaten
Top 10: Die beste kabellose Überwachungskamera im Test
-
UX/UI & Webdesignvor 3 MonatenSK Rapid Wien erneuert visuelle Identität
-
Entwicklung & Codevor 2 MonatenKommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
-
Künstliche Intelligenzvor 3 MonatenNeue PC-Spiele im November 2025: „Anno 117: Pax Romana“
-
Künstliche Intelligenzvor 3 MonatenDonnerstag: Deutsches Flugtaxi-Start-up am Ende, KI-Rechenzentren mit ARM-Chips
-
UX/UI & Webdesignvor 2 MonatenArndt Benedikt rebranded GreatVita › PAGE online
