Connect with us

Datenschutz & Sicherheit

Psychisch-Kranken-Gesetz in Niedersachsen: Gefährlich per Verwaltungsvorschrift


Jedes Jahr sind Millionen Menschen in Deutschland von einer psychischen Erkrankung betroffen. Allein 4,3 Millionen antragspflichtige Einzel-Psychotherapien meldete das Zentralinstitut für die kassenärztliche Versorgung im Jahr 2023. Im Jahr 2024 wurden mehr als 850.000 Menschen in psychiatrischen und psychosomatischen Kliniken behandelt. Der Großteil der Betroffenen tut das freiwillig.

Eine bundesweite Übersicht, wie viele Menschen hingegen gegen ihren Willen in eine Psychiatrie eingewiesen werden, gibt es nicht. Eine Zwangseinweisung ist nur unter engen Voraussetzungen möglich. Es muss beispielsweise die akute Gefahr bestehen, dass eine Person sonst sich selbst oder andere gefährden würde. Den Rahmen für sogenannte öffentlich-rechtliche Unterbringungen geben die Länder in ihren Psychisch-Kranken-Gesetzen (PsychKG) vor. Die regeln, wann eine unfreiwillige Unterbringung möglich ist, wie sie dokumentiert wird und ob Zahlen dazu öffentlich verfügbar sein sollen.

An einem neuen PsychKG arbeitet derzeit das Land Niedersachsen. Es soll dazu führen, dass unter anderem Polizei und Kliniken leichter Daten austauschen können. Der dortige Sozialminister Andreas Philippi (SPD) kündigte es als Reaktion auf einen Messerangriff am Hamburger Hauptbahnhof im Mai 2025 an. Damals verletzte eine Frau mehrere Menschen mit einem Messer, als sie anscheinend wahllos auf Umstehende einstach. Kurz vor der Tat war die Frau aus einer Psychiatrie entlassen worden. Dort habe es zum Zeitpunkt der Entlassung keinen medizinischen Befund gegeben, der eine weitere zwangsweise Unterbringung gerechtfertigt hätte.

Bundesweite Diskussion über psychisch erkrankte Personen

Diese und andere Taten mutmaßlich psychisch erkrankter Täter:innen führten zu einer bundesweiten Diskussion. Im Dezember wollen die Innenminister:innen erneut über den Umgang mit psychisch erkrankten Personen beraten. Dann soll die Bund-Länder-Arbeitsgruppe „Früherkennung und Bedrohungsmanagement“ erneut berichten. Es geht dabei darum, wie mögliche Gewalttaten durch psychisch erkrankte Personen verhindert werden können und wie Behörden dazu Daten austauschen können.

Im Rahmen dieser Diskussion erschienen Menschen mit bestimmten psychischen Erkrankungen politisch und medial immer wieder als Sicherheitsrisiko. Grundsätzlich geht jedoch von psychisch Erkrankten kein höheres Gewaltrisiko aus, vielmehr sind sie selbst überdurchnittlich häufig Opfer von Straftaten. Statistisch erhöhte Werte gibt es bei bestimmten Konstellationen, etwa bei gleichzeitigem Substanzmissbrauch oder bei nicht angemessener Behandlung psychotischer Erkrankungen. Gewichtige Einflüsse auf Gewaltpotenziale von Menschen liegen in soziodemografischen und sozioökonomischen Faktoren, unabhängig von einer möglichen Erkrankung. Doch gerade oftmals intensive mediale Berichterstattung mit Mutmaßungen zu psychischen Erkrankungen von Täter:innen trägt zu einer verzerrten Gefahrenwahrnehmung bei.

Und sie führt zu zahlreichen politischen Forderungen und Aktionen – von besserer psychiatrischer und sozialer Versorgung über Register für psychisch erkrankte Gewalttäter:innen bis zur Einzelüberprüfung bereits polizeilich aufgefallener Menschen.

Ein Fall für die Polizei

Auch Niedersachsen, das Nachbarbundesland Hamburgs, wollte offenbar nicht auf die nächste Runde der Innenminister:innen warten. Am 4. November einigte sich die Landesregierung auf ein neues niedersächsisches Psychisch-Kranken-Gesetz (NPsychKG), zu dem derzeit Verbände Stellung nehmen können und der bald im Landtag besprochen werden soll.


Bild von einem Plakat. Daneben Text: Kunstdrucke kaufen.

Was auffällt: In der vorgelegten, vollständigen Neufassung des NPsychKG spielt die Polizei eine wesentlich größere Rolle als bisher. Denn Kliniken, in denen sich Menschen mit einer Zwangseinweisung befinden, sollen künftig den zuständigen sozialpsychiatrischen Dienst und örtliche Polizeibehörden informieren, „sofern der betroffene Mensch festgelegte Merkmale aufweist, die einen Verdacht für die Gefährdung Dritter vermuten lassen“. Damit dürfte spätestens bei einer Entlassung nicht mehr nur die Frage im Vordergrund stehen, wie die weitere Genesung einer Person unterstützt werden kann. Sondern immer auch, ob sie ein Fall für die Polizei werden könnte.

Doch auch andersherum sieht der Entwurf für ein neues NPsychKG eine mögliche Datenübermittlung vor, nämlich von der Polizei an den sozialpsychiatrischen Dienst und die entsprechende Klinik. Das soll insbesondere dann passieren, wenn eine Person aufgrund einer Fremdgefährdung und im Rahmen eines polizeilichen Vorganges zwangseingewiesen wird. Stellt eine der drei involvierten Stellen dann ein „erhebliches Fremdgefährdungspotenzial“ fest, müssten sich nach dem Entwurf diese drei und „die Wohnsitzgemeinde“ zu einer Fallkonferenz treffen und über die betroffene Person diskutieren.

Droht ein Melderegister für psychische Erkrankungen?

Niedersachsen ist mit dieser Verschiebung von medizinischer Hilfe hin zu polizeilicher Einbindung nicht allein. Eine ähnliche Gesetzesänderung diskutiert derzeit auch der hessische Landtag. Ein Unterschied: In Niedersachsen soll die Einschätzung des mutmaßlichen Gewaltrisikos anhand von Merkmalen ermittelt werden, die das zuständige Ministerium in einer öffentlichen Verwaltungsvorschrift festlegt. Hessen verweist hingegen auf eine medizinische Einschätzung bei der Entlassung.

Verbände wie die hessische Landesarbeitsgemeinschaft der Deutschen Gesellschaft für Soziale Psychiatrie kritisierten die geplante Datenweitergabe in Hessen als Stigmatisierung und einen „für die sozialpsychiatrische Arbeit erschwerenden Faktor“. Der hessische Städtetag lehnt die vorgesehene Änderung ebenfalls ab, da er die Entlassung „von einem Schritt in die Autonomie und Genesung zu einem potenziellen Sicherheitsrisiko“ mache, „das staatlicher Überwachung bedarf“.

Zum vorliegenden Entwurf in Niedersachsen äußert sich gegenüber netzpolitik.org die Deutsche Gesellschaft für Psychiatrie und Psychotherapie, Psychosomatik und Nervenheilkunde (DGPPN). Euphrosyne Gouzoulis-Mayfrank, Präsidentin der DGPPN, schreibt auf Anfrage zur Datenübermittlung an die Polizei: „Wir sehen hier die Gefahr, dass Niedersachsen durch die Hintertür ein Melderegister für psychische Erkrankungen einführt.“ Ein solches hatte unter anderem CDU-Generalsekretär Carsten Linnemann für psychisch erkrankte Gewalttäter:innen gefordert.

Die Regelung verletze „sowohl die Persönlichkeitsrechte als auch das Recht auf informationelle Selbstbestimmung“, so Gouzoulis-Mayfrank. „Es ist unklar, was diese bestimmten, festgelegten Merkmale sind. Zudem bleibt im aktuellen Entwurf offen, zu welchem Zweck die Daten weitergegeben werden sollen oder wer sie erfragen darf. Demnach ist die Verhältnismäßigkeit dieser Maßnahmen zumindest fraglich.“

„Der öffentlichen Kontrolle entzogen“

Dass die entsprechenden Merkmale für eine vermeintliche Gefährlichkeit in einer Verwaltungsvorschrift festgelegt sein sollen, kritisiert die DGPPN auch. „So ist der Vorgang der parlamentarischen und damit der öffentlichen Kontrolle entzogen. Wir halten das für verfassungsrechtlich bedenklich“, so die Präsidentin des Verbands.

Bedenklich ist auch der Eindruck, der durch eine solche Gesetzgebung entsteht. Dem Titel des Gesetzes nach geht es um die „Regelung von Hilfen für Personen mit psychischen Erkrankungen in Niedersachsen“. Durch die Änderungen drängt sich jedoch der Eindruck auf, psychisch erkrankte Menschen würden zunehmend vor allem als Sicherheitsrisiko und nicht vorrangig als unterstützungsbedürftige Personen gesehen.

Das zeigt auch eine Veränderung in NPsychKG, die Voraussetzungen für eine unfreiwillige Unterbringung in einer psychiatrischen Klinik formuliert. Bislang – so ist es im Großteil der Landesgesetze zu Zwangseinweisungen und -maßnahmen geregelt – können Menschen gegen ihren erklärten Willen in einer Klinik eingewiesen werden, wenn von ihnen eine akute Gefahr für sich selbst oder andere ausgeht.

Niedersachsen will Menschen jedoch auch bei einer sogenannten Dauergefahr für Dritte unterbringen können, „bei der der Eintritt des schädigenden Ereignisses zwar unvorhersehbar, aber wegen besonderer Umstände des Einzelfalls jederzeit zu erwarten ist“.

Kein generell erhöhtes Gewaltpotenzial

Gegen diese Aufweichung des Gefahrbegriffs hat sich die Psychotherapeutenkammer Niedersachsen in einer Resolution klar positioniert. Sie setzt sich „für eine evidenzbasierte und wissenschaftlich fundierte Diskussion rund um das Thema Gewalt im Kontext psychischer Erkrankungen ein“. Und die ergibt bei psychisch erkrankten Personen eben kein generell erhöhtes Gewaltpotenzial.

Doch auch in den sehr seltenen Fällen, in denen eine psychische Erkrankung und ein erhöhtes Gewaltpotenzial kausal zusammenhängen, wäre eine polizeiliche Erfassung betroffener Personen nicht die Lösung. Stattdessen könnte ein möglicher Datenaustausch zwischen Behandelnden und Behörden das Vertrauen von Hilfesuchenden beschädigen und sie dadurch abschrecken, sich Hilfe zu suchen. Die Folge wäre ein erhöhtes Risiko für die gesamte Gesellschaft, wenn schwere Erkrankungen unbehandelt bleiben.

„Das beste Mittel der Gewaltprävention ist die konsequente Therapie psychischer Erkrankungen.“ Zu diesem Ergebnis kommt ein Positionspapier der DGPPN aus dem Juni 2025. Der Verband fordert daher unter anderem, vor allem niedrigschwellige Behandlungsangebote für erkrankte Personen zu erweitern, soziale Integration und Teilhabe zu fördern sowie sozialpsychiatrische Dienste auszubauen.

Dazu finden sich Passagen im geplanten Gesetz, das besagt, dass Zwangseinweisungen nur dann erfolgen sollen, „wenn Hilfen keinen Erfolg versprechen“. In Niedersachsen sollen die sozialpsychiatrischen Dienste künftig etwa rund um die Uhr erreichbar sein, auch außerhalb regulärer Öffnungszeiten. Nach einem stationären Aufenthalt sollen sie ambulante Hilfen anbieten, um Betroffenen bei Bedarf weitere Unterstützung zukommen lassen zu können.



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

MongoBleed-Scanner für Admins | heise online


Die hochriskante Sicherheitslücke in der Datenbank MongoDB, die um Weihnachten herum bekannt und seitdem bereits angegriffen wurde, lässt sich mit aktualisierter Software oder Konfigurationsänderungen schließen. Zu Silvester waren jedoch noch zigtausend potenziell verwundbare Instanzen im Netz erreichbar. Die Untersuchung, ob die eigenen Server bereits angegriffen und möglicherweise gar kompromittiert wurden, war bislang etwas mühselig. Das ändert ein kleines Tool von Florian Roth namens „MongoBleed Detector“.

Weiterlesen nach der Anzeige

MongoBleed Detector steht auf Github bereit und wird vom Autor weitergepflegt. Nach dem Aktualisieren des MongoDB-Servers empfiehlt sich die Untersuchung der Datenbank damit, um möglichen Missbrauch der MongoBleed-Schwachstelle CVE-2025-14847 aufzuspüren.

Das Tool kennt dafür mehrere Modi. Neben einer Log-Korrelation etwa durch Verbindungsereignisse und fehlenden Meta-Daten dazu (was lediglich mit einem bestimmten Proof-of-Concept-Exploit so stattfindet) können Admins damit Schnappschüsse mittels serverStatus.asserts untersuchen. Das haben IT-Forscher als verlässlichen Indikator für Angriffsversuche aufgrund eines um mehrere Größenordnungen höheren Werts für „user“ ausgemacht. Die dort ebenfalls vorgestellte Analyse auf Basis des Full-Time Diagnostic Data Capture (FTDC) MongoDB-Subsystems lässt sich schließlich als dritte Erkennungsmethode von MongoBleed Detector nutzen.

Lokal und Remote einsetzbar

Der MongoBleed Detector analysiert lokale MongoDB-Daten, kann jedoch mit einer Datei mit Hosts mit einem weiteren Script mongobleed-remote.py auch auf entfernte Systeme mittels SSH zugreifen und diese untersuchen. Auf der Github-Seite des Projekts erklärt Roth die Funktionen und Optionen ausführlich.

Florian Roth ist in IT-Sicherheitskreisen kein Unbekannter. Er programmiert auch das Tool „Thor“, mit dem sich Systeme auf Hinweise auf Kompromittierung (Indicators of Compromise, IOCs) untersuchen lassen. Das Analysewerkzeug ist auch in der „Thor Lite“-Version in c’t-Desinfec’t enthalten.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

„Wir haben das Recht auf unserer Seite“


Daten sind das Herzstück von Plattformen wie YouTube, TikTok und Instagram. Dabei geht es nicht nur um die Inhalte wie Videos oder Fotos, sondern vor allem auch um die Daten der Nutzer:innen: Was klicken sie an? Mit welchen Inhalten interagieren sie? Was läuft in Dauerschleife?

Wie ihre Empfehlungssysteme horten Google, ByteDance, Meta und Co. diese Daten und geben sie nur ungern preis. Doch es ist möglich, an sie heranzukommen – für Forschende und auch Nutzer:innen selbst. Wie das funktioniert und welche Hürden auf dem Weg liegen, haben David Wegmann und LK Seiling auf dem 39. Chaos Communication Congress präsentiert.

Die Datenschutzgrundverordnung verhilft zum persönlichen Datensatz

Das wohl bekannteste Werkzeug, um an die eigenen Daten heranzukommen, ist die Datenschutzgrundverordnung (DSGVO). Gemäß Artikel 15 hat eine Person das Recht, über sie verarbeitete Daten, Verarbeitungszwecke und andere Informationen von einem Datenverarbeiter zu erhalten.

Wegmann nutzte dieses Recht für seine Forschung zur Rolle von YouTube im demokratischen Diskurs. Dabei griff er auf Datenspenden von 1.064 Dän:innen zurück, die ihm ihre YouTube-Daten zur Verfügung stellten. Die Daten erhielt er, nachdem er 40.000 Personen um eine Datenspende gebeten hatte, berichtete er in dem Vortrag.

Dabei wurden auch die Probleme mit dem Datenzugang klar: Der Weg, die eigenen Daten herunterzuladen, ist nicht immer leicht. Bei großen Anbietern wie Google gibt es meist Möglichkeiten, über die Plattform direkt die Daten anzufordern. Bei anderen Diensten bekommen Nutzende teils erst auf mehrmalige Nachfrage Auskünfte auf Papier.

Doch selbst wenn die Daten wie bei YouTube digital über ein Online-Interface zur Verfügung stehen, bleibt es oft kompliziert: Unübersichtliche Dateien, Tabellen mit unklaren Spaltenbezeichnungen und die generelle Menge an Daten führen schnell zu Überforderung. Teils sind nicht alle Informationen enthalten, bei YouTube etwa, wie lange ein bestimmtes Video abgespielt wurde.

Tabelle mit JSON-File aus YouTube-Datenauskunft
Manche Spalten sind kryptisch, andere fehlen. – Screenshot: media.ccc.de

Ein weniger bekannter Weg für Nutzende, die eigenen Daten zu erhalten, geht über den Digital Markets Act, der besonders sogenannte Gatekeeper-Unternehmen im Blick hat. Er begründet für Nutzende das Recht auf Datenportabilität, damit es ihnen möglich ist, Anbieter zu wechseln, ohne ihre gesamten Daten bei einem anderen Dienst zu verlieren.

Datenauskünfte nach dem Digital Services Act geben andere Informationen

Nicht Betroffene selbst, aber Forschende können über den Digital Services Act (DSA) Daten von sehr großen Online-Plattformen anfordern. Seiling unterstützte Wegmann dabei, einen Antrag bei Google zu stellen.

Seiling sagt gegenüber netzpolitik.org: „Grundsätzlich gibt es im DSA zwei Arten von Forschungsdatenzugang. Einmal für öffentlich verfügbare Daten in Artikel 40 (12) und für allgemeine Daten in Artikel 40 (4).“ Bei Ersterem sollen Plattform-Anbieter Forschenden Zugang zu öffentlich zugänglichen Daten ihrer Dienste geben, um systemische Risiken zu erforschen. Bei Letzterem geht es um privilegierten Zugang zu Daten, die teilweise nicht öffentlich sind und die ebenfalls zur Risikoerforschung genutzt werden sollen. Das können beispielsweise Informationen zu Moderationsentscheidungen sein. Dafür sind die Hürden höher, der Antrag auf Zugang zu diesen Daten läuft nicht über die Plattformen direkt, sondern über den jeweils zuständigen nationalen Koordinator für Digitale Dienste.

Da der DSA und das darin verbriefte Recht auf Datenzugang noch vergleichsweise neu sind, gibt es teilweise noch Unklarheiten, was Antragsprozesse oder den Umfang der entsprechenden Daten angeht.

„Der DSA spezifiziert nicht genau, was mit öffentlich verfügbaren Daten gemeint ist“, sagt Seiling gegenüber netzpolitik.org. „Meiner Auffassung nach müsste das auch Informationen zum Plattformdesign oder Inhaltsdaten etwa von Videos betreffen. Aber es ist noch nicht klar, wo genau da die Grenze verläuft.“

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Für Wegmann waren die Hürden des Antragsprozesses zu den öffentlich verfügbaren Daten ein Problem. „Google verlangt, dass man beweist, dass man die Daten supersicher aufbewahren kann und will technische Details zur Speicherung wissen. Wir speichern die nun mit den gleichen Vorkehrungen wie die Patient:innendaten der medizinischen Fakultät“, so der Forscher.

Dass im Vorfeld nicht klar sei, welche Bedingungen man für den Datenzugang erfüllen müsse, sei ein Problem für Wissenschaftler:innen. „Das hat mich Wochen an Arbeit gekostet, all diese Informationen herauszubekommen“, berichtet Wegmann.

Was ist Forschung?

Eine weitere Hürde liegt in der Frage, wer überhaupt laut dem Gesetz als „Forscher“ gilt. Für den Zugang zu öffentlichen Daten muss man nicht an eine Forschungseinrichtung angeschlossen sein. Aber dennoch muss der Antragstellende neben den technischen Voraussetzungen nachweisen, dass die Forschung „unabhängig von kommerziellen Interessen“ ist und seine Finanzierung offenlegen.

Gerade derartig aufwendige Nachweisprozesse dürften für zivilgesellschaftliche Forschung eine Hürde darstellen, insbesondere dann, wenn sie sich über lange Zeiträume hinziehen.

Trotz der bestehenden Hindernisse sehen Wegmann und Seiling in den Datenzugangsrechten wichtige Werkzeuge. „Mir ist wichtig, dass die Hackercommunity versteht, dass wir das Recht auf unserer Seite haben“, sagt Seiling. „Das ist nicht zu unterschätzen.“ Indem über den Datenzugang Probleme identifiziert werden, ließen sich vielleicht auch Plattformen dazu bringen, Umbauten vorzunehmen. Und so steht auch auf ihrer Schlussfolie zum Vortrag die Aufforderung: „Du kannst [die Datenauskunftsrechte] nutzen, um Tech-Plattformen zur Verantwortung zu ziehen.“

Gerade weil diese Rechte ein mächtiges Werkzeug sind, ist es wichtig, sie aktiv zu nutzen und zu verteidigen. Auch gegen Bestrebungen der EU-Kommission, etwa im Digitalen Omnibus die Selbstauskünfte nach der DSGVO einzuschränken. Und so warnt Wegmann davor, dass Datenauskunftsrechte und andere Rechte zur Verhandlungsmasse gemacht werden, auch auf Druck der USA, die sich gegen europäische Tech-Regulierung stemmen.



Source link

Weiterlesen

Datenschutz & Sicherheit

Plex Media Server: Noch ungepatchte Zugriffsschwachstellen


Im Plesk Media Server hatten die Entwickler im August eine Sicherheitslücke geschlossen. Kurz darauf gemeldete Zugriffssicherheitslecks haben sie offenbar jedoch noch nicht ausgebessert. Nutzerinnen und Nutzer sollten daher die Zugriffsmöglichkeiten sicherheitshalber einschränken.

Weiterlesen nach der Anzeige

In den am Wochenende veröffentlichten Schwachstellenmeldungen weist der Entwickler Luis Finke darauf hin, dass die Authentifizierungsschwachstelle CVE-2025-34158 (CVSS 8.5, Risiko „hoch“) zwar mit Version 1.42.1 vom Plex Media Server im August geschlossen wurde. Jedoch stehen flankierende Sicherheitslücken in der Zugriffstoken-Verwaltung weiterhin offen und stellen ein Risiko dar. Sie ermöglichen persistenten unautorisierten Zugriff, Rechteausweitung und erzeugen Probleme beim Zurückziehen kompromittierter Zugangsdaten.

Am schwersten wiegt demnach eine Lücke in Plex Media Server bis einschließlich der aktuellen Version 1.42.2.10156 vom September, durch die Angreifer sich mit einem temporären Zugangstoken durch einen Aufruf von „/myplex/account“ einen permanenten Zugangstoken verschaffen können (CVE-2025-69414, CVSS 8.5, Risiko „hoch“). Ein ähnlicher Aufruf, jedoch mit einem Geräte-Token, prüft nicht korrekt, ob das Gerät überhaupt mit einem Konto verknüpft ist (CVE-2025-69415, CVSS 7.1, Risiko „hoch“).

Schwachstellen im plex.tv-Backend

Zwei weitere Sicherheitslücken betreffen das plex.tv-Backend bis einschließlich der Version vom 31.12.2025. Ein nicht-Server-Geräte-Token kann andere Token aus „clients.plex.tv/devices.xml“ abgreifen, die für anderweitige Zugriffe vorgesehen sind (CVE-2025-69416, CVSS 5.0, Risiko „mittel“). Selbiges gelingt über einen „shared_servers“-API-Endpunkt (CVE-2025-69417, CVSS 5.0, Risiko „mittel“).

Da noch keine Aktualisierungen bereitstehen, die die teils hochriskanten Sicherheitslücken stopfen, sollten Plex-Nutzerinnen und -Nutzer die Zugriffe auf den Server auf vertrauenswürdige Adressen beschränken.


(dmk)



Source link

Weiterlesen

Beliebt