Connect with us

Datenschutz & Sicherheit

„Sie wissen, welche Schäden Künstliche Intelligenz verursacht“


Wir treffen Joan Kinyua im Büro des superrr Lab in Berlin-Kreuzberg. Draußen regnet es in Strömen, drinnen macht die junge Frau aus Kenia erstmal einen Corona-Test. Sie hat sich wohl erkältet, es ist ihr erster Besuch in Deutschland. Und doch, so Joan, kommen ihr die Straßen Berlins seltsam bekannt vor.

Es sind die auffälligen gelben Busse, die Trams, die gelegentlich am Straßenrand geparkten Camper-Vans. „Ich habe immer gedacht, ich arbeite mit Bildern aus den USA“, sagt Joan. In ihrem früheren Job hat sie Daten für KI-Unternehmen aufbereitet. Tagein, tagaus sichtete sie Aufnahmen von Straßenszenen und versah sie mit Labels, damit selbstfahrende Autos auseinanderhalten können, ob sie auf eine Katze, eine Plastiktüte oder eine Baustelle zusteuern.

Diese Tätigkeit wird Daten-Annotation genannt und ist ein zentraler Bestandteil der Herstellung von KI-Anwendungen. Für das Training von Machine-Learning-Systemen versehen die Arbeiter:innen hierbei beispielsweise Bilder mit Metadaten, also mit Labels, die den Inhalt beschreiben. Kolleg:innen von Joan spielten zum Beispiel eine entscheinde Rolle dabei, ChatGPT sicherer zu machen, indem sie für das hinter dem Chatbot stehende Sprachmodell gewalttätige Inhalte klassifizierten.

Beschäftigt sind Datenarbeiter:innen in der Regel unter ausbeuterischen Bedingungen bei Outsourcing-Firmen oder digitalen Oursourcing-Plattformen. „Geisterarbeit“ nennen die Anthropoligin Mary L. Gray und der Informatiker Siddarth Suri diese und ähnliche Tätigkeiten hinter den Kulissen der digitalen Welt. Die Weltbank schätzt, dass es insgesamt zwischen 154 und 435 Millionen solcher sogenannter „Gig Workers“ geben könnte.

Heute ist Joan die Präsidentin der 2025 gegründeten Data Labelers Association. Die kenianische Organisation setzt für die Rechte von Datenarbeiter:innen ein. Für einen Workshop der Gesellschaft für Internationale Zusammenarbeit war Joan in Frankfurt am Main. Das „Solutions Lab“ soll Lösungen erarbeiten, wie die Arbeitsbedingungen in der Branche verbessert werden können.

„Lagern auch deutsche Autokonzerne Arbeit an uns aus?“

Eine Person mit lockigen Haaren lächelt in die Kamera, im Hintergrund ein abstraktes Bild im lila und rot
Joan Kinyua CC-BY-NC 4.0 netzpolitik.org

netzpolitik.org: Hi Joan, wie lief es in Frankfurt? Konntet ihr Lösungen finden, wie die Situation für ausgebeutete Arbeiter:innen hinter KI verbessert werden kann?

Joan Kinyua: Das leider noch nicht, aber es ist zumindest der Beginn einer Konversation. Es ging vor allem darum, wie Plattform-Arbeiter:innen durch Sozialversicherungssysteme geschützt werden können. Es ist gut, wenn politische Entscheidungsträger:innen uns zuhören. Bei dem Workshop war unter anderem die Weltbank dabei. Auf meiner Reise treffe ich auch Abgeordnete, zum Beispiel von den Grünen und Sonja Lemke von der Linkspartei.

netzpolitik.org: Was erzählst du ihnen?

Joan Kinyua: Dass sie Big Tech zur Verantwortung ziehen müssen. Sie wissen, welche Schäden Künstliche Intelligenz verursacht, aber es gibt keine Konsequenzen. Die großen Tech-Konzerne könnten für bessere Arbeitsbedingungen sorgen.

Wobei: Vielleicht zeigen wir mit dem Finger auch in die falsche Richtung. KI im medizinischen Bereich ist ebenfalls ein Treiber für Datenarbeit. In Deutschland gibt es zudem große Autohersteller, die an selbstfahrenden Autos arbeiten. Lagern sie auch Arbeit an uns aus? Wir brauchen hier mehr Transparenz.

netzpolitik.org: Für Verbraucher:innen ist es derzeit sehr schwer, überhaupt herauszufinden, unter welchen Bedingungen KI-Anwendungen produziert werden. Natürlich ist Transparenz allein nicht die Lösung, aber für andere Konsumgüter gibt es Labels, die zum Beispiel über Produktionsbedingungen aufklären. Kann das auch bei KI funktionieren?

Joan Kinyua: Das ist der wichtigste Schritt: anzuerkennen, dass KI keine Magie ist, dass Künstliche Intelligenz immer einen menschlichen Anteil hat. Lasst uns mit der Anerkennung für die Arbeiter:innen anfangen, die dafür sorgen, dass die Maschinen funktionieren. Auf dieser Grundlage können wir über Gesetze und Regulierung sprechen.

netzpolitik.org: Outsourcing-Firmen, bei denen viele Datenarbeiter:innen beschäftigt sind, erschweren Transparenz unter anderem durch Schweigeklauseln in Arbeitsverträgen, sogenannte Non-Disclosure-Agreements, kurz NDAs. Muss sich das ändern?

Joan Kinyua: Ich verstehe schon, dass Unternehmen sicherstellen müssen, dass vertrauliche Informationen nicht publik werden, zum Beispiel wenn mit Finanzdaten gearbeitet wird. Aber sie nutzen das aus. Sie verbieten ihren Arbeiter:innen, überhaupt über ihre Tätigkeit zu sprechen oder sich gewerkschaftlich zu organisieren und anderweitig für ihre Rechte einzutreten. NDAs sollten das Produkt schützen, an dem du arbeitest, nicht deine Rechte beschneiden.

„Das System arbeitet gegen uns“

netzpolitik.org: Bei der Data Labelers Association in Kenia habt ihr euch kürzlich mit ehemaligen und aktiven Datenarbeiter:innen zusammengeschlossen. Wofür streitet ihr?

Joan Kinyua: Wir wollen die Stimmen der Arbeiter:innen verstärken, Öffentlichkeit für unsere Anliegen schaffen und das Narrativ mitbestimmen. Das Wichtigste ist, dass wir wie wirkliche Arbeiter:innen mit spezifischen Fähigkeiten behandelt werden und soziale Absicherung schaffen. Gerade auch Migrant:innen, deren Aufenthaltstatus an dem Job hängt, brauchen Schutz. Es geht uns um faire Löhne, akzeptable Arbeitsstunden und Anerkennung. Es gibt eine große Wissenslücke, die wir schließen müssen.

netzpolitik.org: Die ausbeuterischen Arbeitsbedingungen von Datenarbeiter:innen hinter KI haben in den vergangenen Jahren in internationalen Medien einige Aufmerksamkeit erfahren. Merkt ihr Fortschritte?

Joan Kinyua: Ich kann das nur für Kenia beantworten: Als wir vor einigen Jahren mit unserem Engagement begonnen haben, waren wir sehr hoffnungsvoll. Damals wusste einfach kaum jemand, was Daten-Annotation überhaupt ist. Unsere Mission war es, für Aufmerksamkeit zu sorgen.

Doch vor einiger Zeit hielt der kenianische Präsident eine Rede, in der er Outsourcing-Firmen praktisch Immunität versprochen hat. Er hat ein Gesetz auf den Weg gebracht, das Klagen gegen sie praktisch unmöglich macht. Es wurde ohne große Debatte verabschiedet, unser Widerspruch wurde nicht gehört. Deshalb bin ich heute leider ziemlich hoffnungslos.

netzpolitik.org: Präsident William Ruto hat angekündigt, dass er eine Million Jobs im Outsourcing-Sektor schaffen will.

Joan Kinyua: Wir sind nicht gegen Arbeitsplätze, sondern gegen die Natur dieser Arbeit. Was haben wir von Jobs, wenn die diese irreparable Schäden bei uns anrichten? Das System, das uns schützen sollte, arbeitet gegen uns.

Wir sind communityfinanziert

Unterstütze auch Du unsere Arbeit mit einer Spende.

netzpolitik.org: Haben die Outsourcing-Firmen ihr Verhalten geändert?

Joan Kinyua: Es gibt kleine Erfolge. Ein Anbieter, Cloud-Factory, hat beispielsweise die Dauer seiner Arbeitsverträge von einem auf drei Monate erhöht. Außerdem zahlen sie jetzt 1,80 US-Dollar pro Stunde statt 1,50 US-Dollar. Ein anderer Anbieter jedoch hat Kenia sehr plötzlich verlassen. Auch mein Account auf der Plattform ScaleAI wurde einfach gelöscht. Das ist natürlich ein Problem: Die Firmen können einfach in ein anderes Land weiterziehen.

netzpolitik.org: Welche Rolle spielen Gewerkschaften bei eurem Kampf?

Joan Kinyua: In Kenia sind die Gewerkschaften ein Haufen alter Leute, die nicht mal eine E-Mail schreiben können. Wie sollen die uns bei KI helfen? Gar nicht. Wir haben da wirklich sehr schlechte Erfahrungen gemacht. Wir glauben auch, dass die Gewerkschaften teilweise mit Big Tech unter eine Decke stecken. Auch deshalb organisieren wir uns jetzt anders.

„Humor unter Datenarbeiter:innen hilft“

netzpolitik.org: Woher nimmst du die Energie für deine Arbeit?

Joan Kinyua: Ich war schon immer eine Person, die lautstark ist und sich für Gerechtigkeit einsetzt. Jedes Mal, wenn mir jemand zuhört und meine Geschichte ernst nimmt, gibt mir das Kraft. Auch der schwarze Humor unter uns Datenarbeiter:innen hilft mir, die Dinge zu verarbeiten.

netzpolitik.org: Was wünscht du dir für die Zukunft?

Joan Kinyua: Ich wünsche mir, dass Outsourcing-Firmen und -Plattformen für menschenwürdige Arbeitsbedingungen sorgen, damit Arbeiter:innen ganz normale Achtstundentage haben und ihre Mieten zahlen können. Ich wünsche mir, dass wir nicht länger in der aktuellen Situation festhängen, sondern Dinge verändern können. Und ich wünsche mir, dass meine Kinder gute Schulen besuchen können, sozial abgesichert sind und gute medizinische Behandlung haben, wenn sie sie brauchen.

netzpolitik.org: Was können unsere Leser:innen tun, um eure Arbeit zu unterstützen?

Joan Kinyua: Wir haben eine neue Website und freuen uns, wenn Menschen unsere Arbeit teilen. Man kann uns auch mit Spenden unterstützen. Wir suchen zudem immer nach Partnern, mit denen wir zusammenarbeiten können.

netzpolitik.org: Vielen Dank für das Gespräch und weiter viel Erfolg!



Source link

Datenschutz & Sicherheit

74.000 Fortinet-Firewalls geknackt: Wer und was steckt hinter FortiBleed?


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Firewalls und VPN-Gateways sind ein lohnendes Angriffsziel – bewachen sie doch das Eingangstor in Unternehmensnetzwerke. Ein Sicherheitsforscher hat nun nach eigenen Angaben eine großangelegte Angriffskampagne gegen Geräte des Herstellers Fortinet aufgedeckt. An die 74.000 sollen kompromittiert worden sein.

Weiterlesen nach der Anzeige

Wer hinter dem Angriff steckt ist unklar, Entdecker Volodymyr Diachenko erwähnt jedoch eine „russischsprachige Cybercrime-Gruppe mit mehreren Mitgliedern“. Diese habe zunächst massenhaft Zugangsdaten – etwa aus vorherigen Datenlecks – bei Fortinet-Geräten durchprobiert, insgesamt 1,16 Milliarden Kombinationen aus Benutzernamen und Passwörtern.

Auch die Zahl der über „FortiBleed“ angegriffenen Geräte ist astronomisch: Es seien 320.000 gewesen. Die Hälfte aller über das Internet erreichbaren Fortinet-Geräte. Davon hätten die Kriminellen bei 73.932 Fortinet-Appliances in aller Welt erfolgreich Zugangsdaten abgegriffen, führt Diachenko aus. Die Angaben lassen sich nicht unabhängig überprüfen. In der Mehrzahl der Fälle waren wohl die Management-Interfaces aus dem Internet zugänglich.

Doch wie die Angreifer genau auf die Geräte kamen, bleibt unklar. Sicherheitsexperte Kevin Beaumont vermutet, sie hätten womöglich eine bislang noch unbekannte Sicherheitslücke genutzt, um sich Zugriff zu verschaffen. Dann hätten sie die Gerätekonfiguration abgezogen und die dort enthaltenen Passwort-Hashes mittels eines spezialisierten Clusters mit 48 GPUs und einer Bruteforce-Attacke geknackt. In älteren Versionen der Fortinet-Firmware sind Passwörter mit dem Verfahren SHA256 mit Salt gehasht, das sich im Vergleich zu der ab FortiOS 7.2.11 üblichen PBKDF2-Variante mit zufälligem Hash erheblich effizienter mittels Werkzeugen wie hashcat angreifen lässt.

Inzwischen hat eine Fortinet-Sprecherin gegenüber TechCrunch erklärt, dass das Unternehmen von einer Zugangsdaten-Diebstahl-Kampagne mit Fortinet-Firewalls und -VPN zum Ziel mitbekommen habe. Den Analysen des Herstellers zufolge handelt es sich bei den Daten um solche aus vorherigen Vorfällen sowie um mittel Brute Force geknackten Zugangsdaten. Sie stünden nicht mit jüngeren Vorfällen oder Sicherheitsmitteilungen in Verbindung. Kevin Beaumont, der die Daten einsehen konnte, stellt die Situation anders dar: „Die IP-Adressen sind zum Großteil unterschiedlich zum Belsen-Group-Leak, der 15.000 Geräte umfasste. [Die Daten] enthalten hauptsächlich Geräte, die nicht in diesem Leak waren und dieses Mal sind die meisten Geräte noch online – das hier sind keine Daten aus 2022.“


Überprüfung auf FortiBleed

Überprüfung auf FortiBleed

Glück gehabt, keine übernommenen Fortinet-Geräte bei heise.de.

Unter den betroffenen Geräten sind auch gut 120, deren Domain auf einen Standort in Deutschland schließen lässt, darunter verschiedene Geräte im Netz der Telekom oder bei Mercedes-Benz. Das Threat-Intelligence-Unternehmen Hudson Rock ließ uns eine Liste der betroffenen de-Domains zukommen und hat eine Informationsseite mit Abfragemöglichkeit eingerichtet.

Weiterlesen nach der Anzeige

Betroffene sollten alle Zugangsdaten auf kompromittierten Geräten mit sicheren Passwörtern neu vergeben, verdächtige Zugriffe auf nachgelagerte Netze prüfen und Mehrfaktorauthentifizierung, etwa bei der VPN-Anmeldung, forcieren. Da zur Stunde nicht einmal klar ist, ob die Angriffe über eine bestehende Sicherheitslücke in FortiOS stattfanden, gibt es auch keine Patches, eine Stellungnahme seitens Fortinets Sicherheitsteams steht ebenfalls aus.

Da Fortinet-Geräte Zugang zu Netzwerken bereitstellen, sind sie beliebtes Ziel von Angreifern. Am Mittwoch wurden etwa Angriffe auf FortiSandbox bekannt.


Update

18.06.2026,

08:24

Uhr

Einordnung der Daten durch Kevin Beaumont ergänzt.


(cku)



Source link

Weiterlesen

Datenschutz & Sicherheit

KI-Agenten sollen eigene Ausweise erhalten, aus Estland


Estland soll das erste Land der Welt werden, das digitale Identitäten für KI-Agenten ausstellt. Das hat der Premierminister des Landes, Kristen Michal, angekündigt. Er greife dabei den Vorschlag eines KI-Beirats auf und danke diesem. Michal möchte, dass Estland jenes Land wird, in dem Künstliche Intelligenz so intensiv genutzt wird wie sonst nirgendwo.

Weiterlesen nach der Anzeige

KI-Agenten sind Softwareroutinen, die zwar Auftraggeber haben, aber eigenständig Entscheidungen berechnen und ausführen. Dabei nutzen sie regelmäßig Zugangsdaten zu Konten ihrer Auftraggeber, seien es E-Mail-Konten, Cloud-Speicher oder Bankkonten. Damit erhalten sie die selben Rechte wie der Auftraggeber selbst. Entscheidet ein Agent unvorteilhaft, kann das richtig ungemütlich und teuer werden, beispielsweise durch Datenlöschung oder Geldverschwendung. Auch unerwünschte Datenausleitung ist ein mögliches Problem.

Michal will diese Situation nicht hinnehmen. „Agenten müssen beschränkte, kontrollierbare und überprüfbare Autorisierung haben“, schreibt der seit knapp zwei Jahren amtierende Regierungschef. „Zum Beispiel muss es möglich sein, zu bestimmen, ob ein Agent Daten nur lesen kann, Dokumente ausarbeiten oder innerhalb eines fixen finanziellen Rahmens agieren darf.“

Dabei könnten eigenständige digitale Ausweise für KI-Agenten tatsächlich helfen. Eine eigenständige Identität kann ermöglichen, dass sich der KI-Agent gegenüber dem von ihm genutzten System als Agent im Auftrag eines bestimmten Auftraggebers ausgibt, anstatt so zu tun, als wäre er sein Auftraggeber selbst. Anhand dieser Unterscheidung kann das genutzte System dann granulär Zugriff auf Funktionen gewähren oder eben auch nicht.

Michal möchte Vertrauen in die neue Technik stärken. Und er denkt außenpolitisch: Wenn Estland es schaffe, „schnell und weise“ zu agieren, könne es auch als kleines Land dazu beitragen, internationale Standards zu beeinflussen. Ob die digitalen Identitäten optional oder für (bestimmte) KI-Agenten verpflichtend werden sollen, hat der liberale Politiker noch nicht gesagt. Ebenso wenig hat er über seinen Zeitplan gesprochen.


(ds)



Source link

Weiterlesen

Datenschutz & Sicherheit

NIS2-Mahnung: BSI setzt neue Frist zur Registrierung bis Ende Juli


Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verschärft bei der Umsetzung der NIS2-Richtlinie den Ton, setzt aber zunächst weiter auf Kooperation. Seit Inkrafttreten des novellierten BSI-Gesetzes am 6. Dezember 2025 müssen sich betroffene Unternehmen beim BSI registrieren. Ziel ist es, Störungen und Sicherheitsvorfälle bei Einrichtungen mit besonderer Bedeutung für Wirtschaft und Gesellschaft zu verhindern.

Weiterlesen nach der Anzeige

Die gesetzliche Registrierungsfrist ist am 6. März abgelaufen. Doch die Umsetzung stockt. In einem heise online vorliegenden Schreiben an Branchenverbände räumt das BSI ein, dass sich deutlich weniger Firmen angemeldet haben als erwartet. Die Organisationen sollen ihre Mitglieder daher erneut auf die Pflicht hinweisen. Das BSI geht davon aus, dass alle noch ausstehenden Registrierungen bis spätestens 31. Juli 2026 abgeschlossen werden.

Um den Prozess zu erleichtern, verweist die Behörde auf einen Frage-Antwort-Katalog, eine unverbindliche Betroffenheitsprüfung sowie weitere Informationsangebote unter dem Hashtag „#nis2know“. Offene Fragen sollen über die Verbände gebündelt ans BSI übermittelt werden. In Ausnahmefällen gewährt die Behörde eine Nachfrist von sechs Wochen nach Klärung offener Fragen.

Eine BSI-Sprecherin sagte heise online, der Stand der Anmeldungen sei „grundsätzlich zufriedenstellend“. Bis Ende Mai hätten sich knapp 18.500 Einrichtungen registriert. Der Aufwand sei gerade für bislang nicht regulierte Firmen und den Mittelstand hoch. Deshalb baue das Amt weiter auf Aufklärung. Zugleich macht die Behörde deutlich, dass bei anhaltenden Verstößen Bußgelder möglich seien. Sie können bis zu 500.000 Euro betragen.

Der IT-Sicherheitsrechtler Dennis-Kenji Kipker und der Rechtsanwalt Stefan Hessel bewerten die Lage kritischer. Dass mehr als die Hälfte der betroffenen Unternehmen ihrer Registrierungspflicht nicht nachkommt, halten sie für ein alarmierendes Signal. Wer sich nicht melde, beachte gesetzliche Anforderungen zur Cybersicherheit nicht ausreichend.

Weiterlesen nach der Anzeige

Die Experten drängen deshalb auf ein entschlosseneres Vorgehen des BSI. Zwar habe auch der Gesetzgeber durch unklare Ausnahmen Rechtsunsicherheit geschaffen. Die Behörde verliere sich aber zu sehr im Detail, statt klare Leitlinien zu setzen. Das Motto müsse lauten: „Zähne zeigen.“ Nur gezielte Kontrollen und spürbare Sanktionen könnten dem Gesetz die nötige Wirkung verleihen. Andernfalls drohe NIS2 zum „Papiertiger“ zu werden und die angestrebte bessere Cybersicherheit eine theoretische Vorgabe zu bleiben.


(wpl)



Source link

Weiterlesen

Beliebt