Datenschutz & Sicherheit
Sieben Werkzeuge für den Online-Rabatz
Wir haben ein Problem im Stadtbild. Vor allem in den Zentren großer Städte. Menschen fühlen sich dort bedroht. Und die Gründe dafür bedrohen unsere demokratische Gesellschaft.
Anders als Friedrich Merz glaubt, heißt das Problem nicht Migration, sondern Videoüberwachung, Gesichtserkennung und Verhaltensscanner. Denn dazu kommen Vorratsdatenspeicherung, Chatkontrolle, Palantir-Datenanalyse und vieles mehr. Das ergibt eine Welt voller Kontrolle und Misstrauen – und gepaart mit dem Rechtsruck: ein dystopisches Szenario.
Die gute Nachricht: Wir stehen der autoritären Entwicklung nicht wehrlos gegenüber. Es gibt viele Möglichkeiten, sich dagegen zu engagieren. Wenn Einzelne etwas tun, sind es Nadelstiche. Wenn viele mitmachen, kann daraus ein digitaler Riot werden. Wir alle können der Glitch sein, die Störung in der Matrix.
1. Politiker*innen kontaktieren
Findest du, das Bundesverfassungsgericht sollte ein AfD-Verbot prüfen? Dann schreib das doch Politiker*innen in Bundestag, -rat und -regierung. Die können eine solche Prüfung einleiten. Baden-Württemberg soll die Finger von Palantir-Überwachungssoftware lassen? Kontaktiere Grüne aus dem Ländle, die regieren da. Willst du, dass der Jugendclub in deiner Gegend weiter existiert? Dann teil das kommunalen Politiker*innen mit, die finanzieren ihn mit.
Deutsche und europäische Politik wird von Menschen gemacht, die interessiert, was Wähler*innen wollen. Und sämtliche Politiker*innen von der Kommissionspräsidentin bis zum kommunalen Abgeordneten nutzen E-Mail-Adressen und haben Profile auf verschiedensten Plattformen. Gerade der*die Abgeordnete deines Wahlkreises hat sicher ein Ohr für dich. Und selbst wenn deine Nachricht es nicht bis zu einem Regierungs- oder Parlamentsmitglied schafft, erreicht dein Anliegen zumindest dessen Mitarbeiter*innen.
Wer sein Anliegen mit einer Frage verbindet, kann Politiker*innen auch über abgeordnetenwatch.de kontaktieren. Die Antwort wird dann dort veröffentlicht. Auch so könnt ihr Politiker*innen zeigen, womit sie sich beschäftigen sollen – und gleichzeitig für mehr Transparenz sorgen.
So geht’s: Regierungs- oder Parlaments-Website der gewünschten Ebene (EU, Bund, Land, Kommune) suchen (zum Beispiel mit DuckDuckGo), mit den Namen der Abgeordneten zu deren Website, dort auf „Kontakt“ oder „Impressum“ klicken, da ist meist eine E-Mail-Adresse zu finden. Social Media: Name dort suchen. Deine Abgeordneten: wahlkreissuche.de und dann etwa im Bundestag nach dem Wahlkreis suchen. Anschließend Nachricht tippen, abschicken. Und/oder: abgeordnetenwatch.de.
2. Staatliches Handeln durchleuchten
Das Informationsfreiheitsgesetz ist wie eine Taschenlampe, mit der sich staatliche Behörden durchleuchten lassen. Bundesbehörden und -organe müssen viele Dokumente auf Anfrage herausgeben. Personen- und firmenbezogene Informationen werden dabei meist geschwärzt.
So kann jede*r von uns Informationen befreien, die im Kampf für eine offene und demokratische Gesellschaft nützlich sein können: Dokumente zu Pfeffersprayeinsätzen gegen Demonstrierende, Beschwerden wegen Rassismus gegen Beamt*innen, Unterlagen zu Treffen mit Lobbyist*innen.
So gehts: fragdenstaat.de besuchen, ab da ist es fast selbsterklärend.
3. Informationen durchstechen
In deiner Behörde, Firma, Partei oder Religionsgemeinschaft passieren Sachen, die du nicht mit deinem Gewissen vereinbaren kannst? Dann werde doch Whistleblower*in. Oft hilft es, wenn die Öffentlichkeit von einem Missstand erfährt, im besten Fall wird er beendet. Informationen und Beratung für potenzielle Whistleblower*innen bietet der Verein Whistleblower Netzwerk.
So geht’s: Laut des Hinweisgeberschutzgesetzes darfst du Informationen über Vergehen ungestraft weitergeben, ja nicht einmal gekündigt werden, wenn du dich an eine interne oder externe Meldestelle wendest. Die muss laut Gesetz deine Identität vertraulich behandeln.
Alternativ kannst du dich dazu entscheiden, die Presse über den Missstand zu informieren. Dabei solltest du mit Bedacht vorgehen, um Betroffene und dich selbst zu schützen. Du kannst – wenn es um Netzpolitik geht – uns eine verschlüsselte E-Mail schicken. Kolleg*innen von beispielsweise SZ, Spiegel, taz, Stern, NDR oder WDR nehmen auch Hinweise zu anderen Themen über das Hinweisgebertool SecureDrop entgegen. Es schützt die Identität der Einreichenden etwa so effektiv wie eine über den Tor-Browser verschickte, verschlüsselte Mail von einer frischen, nicht personalisierten E-Mail-Adresse.
4. Daten löschen
Eine ganze Industrie arbeitet daran, unsere persönlichen Daten zu erheben und damit Geld zu verdienen. Auch Polizeien und Geheimdienste interessieren sich dafür. Wenn dieser Datenschatz in die Hände autoritärer Regime fällt, lässt sich ein sehr gefährliches Kontrollniveau erreichen. Was gegen die Bedrohung hilft? Daten anfordern, Daten löschen lassen und bei Missständen womöglich die Datensammelnden verklagen.
So geht’s: Wie man Selbstauskünfte anfordert, haben wir ausführlich beschrieben. Über datenschmutz.de kannst du die Informationen anfordern, die Polizeien und Geheimdienste über dich speichern. Bei Daten, die unrechtmäßig erhoben wurden, kannst du die Löschung einfordern. Informationen aus privatwirtschaftlichen Datensammlungen bekommst du mit Hilfe von datenanfragen.de. Der Dienst unterstützt auch bei Lösch-Ersuchen. Wenn Konzerne bei der Datensammlung zu weit gegangen sind, kannst du sie auch verklagen. Aktuell laufen beispielsweise Klagen gegen Facebook und Google, die für die Klagenden 2.000 Euro bringen können. Wenn du keine Rechtsschutzversicherung hast, kannst du deine Ansprüche auch für 50 beziehungsweise 40 Euro verkaufen.
5. Demos anmelden
Straßenprotest ist unverzichtbar, um ordentlich Rabatz zu machen. Gemeinsam mit der massenhaften persönlichen Präsenz für ein Anliegen einzutreten, sendet ein deutliches Zeichen an Entscheider*innen. Nicht selten in der Geschichte sind sogar Regierungen durch Proteste auf der Straße gestürzt worden.
Straßenprotest gibt es nicht vom Endgerät aus. Aber zumindest die Anmeldung und Bewerbung von Demonstrationen lässt sich online erledigen. Und praktische Tipps für deine erste Demo haben wir auch.
Was du vorhast, musst du der zuständigen Versammlungsbehörde mitteilen – und zwar in der Regel mindestens 48 Stunden, bevor du anfängst, öffentlich dafür zu werben. Eine Mail reicht aus, viele Städte und Kommunen bieten auch Onlineformulare zur Demo-Anmeldung. Berlin veröffentlicht die angemeldeten Demonstrationen sogar. So könnt ihr schauen, welche Anliegen ihr gerne unterstützen möchtet.
So geht’s: Suche im Internet, bei welcher Behörde du eine Demonstration in der Stadt deiner Wahl anmelden kannst. Im Zweifelsfall frag die Polizei (nicht via 110). Dann schreibst du der Behörde eine Mail mit Namen, Geburtsdatum und Adresse der anmeldenden und der versammlungsleitenden Person sowie Ort, Zeit und Thema der Demo, gegebenenfalls noch Streckenverlauf und Zahl der Ordner*innen und (Lautsprecher-)Wagen. Anschließend meldet sich meist jemand bei dir, um Details abzusprechen. Danach darfst du dein Anliegen auf die Straße tragen. Was du sonst noch beachten musst – und was du tun kannst, damit du nicht alleine demonstrieren musst, steht hier.
6. Mitstreiter*innen unterstützen
Zum Glück gibt es eine starke Zivilgesellschaft, die für die Grund- und Freiheitsrechte und für die Einhegung autoritärer Bestrebungen eintritt. Menschen und Organisationen, die intensiv in diese Auseinandersetzung eingebunden sind, kann man unterstützen. Die Liste der organisierten Streitenden für eine freie, offene und demokratische Gesellschaft ist lang – mit welchen Gruppen und welchen Kämpfen man sich solidarisch erklärt, ist eine ganz persönliche Entscheidung. Manche von uns sind Fans von (unter anderem!) SeaWatch, Cadus, democ, FragDenStaat, Correctiv, dem Adenauer SRP+, der Gesellschaft für Freiheitsrechte oder European Digital Rights.
So geht’s: Sende ihnen Geld (lieber per Online-Überweisung als per PayPal) oder verbreite ihre Inhalte über Social Media und Nachrichten an Bekannte und Freunde.
7. Petitionen einreichen
Du hast der Regierung etwas zu sagen, willst Druck machen für ein Anliegen, das dich interessiert oder dich gegen ein geplantes Vorhaben aussprechen? Reich eine Petition ein!
Das geht per Online-Tool der Bundesregierung. Deine Petition muss geprüft und – mindestens mit der Art der Erledigung – beantwortet werden. Wenn du dich für eine öffentliche Petition entscheidest und innerhalb von sechs Wochen 30.000 digitale Unterstützer*innen findest, darfst du in einer Sitzung des Petitionsausschusses des Bundestages für dein Anliegen werben – und der Ausschuss muss dann öffentlich darüber beraten.
Auch die Bundesländer müssen sich mit Petitionen befassen. Das Recht, dass deine Petition angehört wird, gilt für sämtliche öffentlichen Stellen: Bürgermeister*innen, Schulamt, Ausländerbehörde und so weiter. Petitionen an das Europäische Parlament könnt ihr über dessen Petitionsportal einreichen. Und wer mit einer Europäischen Bürgerinitiative eine Million Stimmen sammelt, sorgt dafür, dass sich die Europäische Kommission mit dem Anliegen beschäftigen muss.
Es gibt auch nicht-staatliche Anbieter von Petitionsplattformen. Die dort gehosteten Anliegen sind ebenfalls gelegentlich Bestandteil von Kampagnen, die Entscheidungen beeinflussen.
So geht’s: Die verschiedenen Petitionsplattformen durchscrollen und digital signieren, was du für wichtig hältst. Oder selbst eine Petition aufsetzen, zum Beispiel bei Bundestag und Ländern. Bekannte private Petitionsplattformen sind unter anderen WeAct von Campact, innn.it oder openpetition.org.
Datenschutz & Sicherheit
Chatbot-inspirierte Gewalt: KI-Hersteller entschädigen Familien

In den US-Bundesstaaten Florida, Texas, Colorado and New York handeln Google und Character Technologies Vergleiche mit fünf Familien aus, deren Kinder angeblich durch Chatbot-Nutzung zu Schaden gekommen sind. Der Fall, der die meiste Aufmerksamkeit erhielt, behandelt den Suizid eines 14-Jährigen Jungen. Der Jugendliche hatte eine emotionale Beziehung zum Chatbot „Dany“ von Character Technologies aufgebaut, der den Suizid des Jungen befürwortete.
In anderen Fällen hatten Chatbots von Character Technologies angeblich Jugendliche zu Gewalt gegen ihre Eltern oder selbstverletzendem Verhalten inspiriert. Die Bedingungen der Vergleiche sind bisher öffentlich nicht bekannt und werden nach Angaben von TechCrunch weiter verhandelt. Demnach wollen sich weder Sprecher*innen von Character Technologies, noch die Anwältin der Anklage dazu äußern.
Haften Techkonzerne für ihre Chatbots?
Zwei ehemalige Google-Mitarbeiter gründeten 2021 den Chatbot-Hersteller Character Technologies. Drei Jahre später kehrten sie zu Google zurück. Im gleichen Zug erwarb der Konzern Lizenzen in Höhe von 2,7 Milliarden US Dollar von Character Technologies. Beide Gründer stehen als Angeklagte vor Gericht. Die Mutter des toten 14-Jährigen hat ebenfalls Googles Mutterkonzern Alphabet angeklagt. Sie argumentiert, dass das Unternehmen den Chatbot mitentwickelt hat. Google beteiligt sich nun auch an dem Vergleich.
Im Mai des vergangenen Jahres hatte die verantwortliche US-Bezirksrichterin Anne C. Conway entschieden, dass KI-Chatbots rechtlich als Produkte zu behandeln sind. Ihre Ausgaben seien nicht als geschützte Meinungsäußerung zu werten. Andernfalls hätte das die Chancen einer Haftungsklage stark verringert.
Gegenmaßnahme Altersbeschränkungen
Aktuell laufen in den USA sieben Verfahren gegen den Tech-Konzern OpenAI. Eine Anklage stammt von den Eltern eines 16-Jährigen Jungen. Auch sie werfen dem Unternehmen vor, dass die KI den Jugendlichen bei der Selbsttötung unterstützt habe. OpenAI zieht sich bisher aus der Verantwortung. Der KI-Hersteller verweist auf die Missachtung der Sicherheitsmaßnahmen durch den 16-Jährigen.
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Gleichzeitig führt das Unternehmen neue Tools zur Alterskontrolle und „Kindersicherung“ ein. Auch der KI-Hersteller Character Technologies hat neue Regelungen zur Altersüberprüfung eingeführt.
Präzedenzfall steht aus
Character Technologies und Google streben die nicht-öffentlichen Vergleiche wohl auch deshalb an, um Präzedenzfälle zu vermeiden, auf die sich Kläger*innen bei zukünftigen Verstößen berufen können. Außerdem ist der Schaden für die Reputation bei einem Vergleich vermutlich geringer als bei einer juristischen Niederlage.
Aline Blankertz von Rebalance Now, einem Verein der sich gegen Monopolisierung einsetzt, sagt: „Die kollektive Schutzwirkung der Gesetze wird dadurch untergraben, denn es bleibt offen, ob das Verhalten illegal war. Wir beobachten diese Tendenz in verschiedenen Rechtsbereichen.“
Blankertz erklärt auch, warum sich Kläger*innen auf Vergleiche einlassen: „Aus Sicht der einzelnen Geschädigten ergeben Vergleiche Sinn: Sie geben ihnen ein sicheres Ergebnis innerhalb kürzerer Zeit.“
Datenschutz & Sicherheit
Dr. Ansay: Neue Sicherheitslücke legte 1,7 Millionen Datensätze offen
Bei dem Telemedizinanbieter Dr. Ansay hat es eine Sicherheitslücke gegeben, durch die rund 1,7 Millionen Rezepte von rund einer halben Million Kunden potenziell einsehbar waren. Betroffen sind vor allem Cannabis-Rezepte mit Gesundheits- und personenbezogenen Daten, darunter Namen, Adressen, E-Mail-Adressen, Telefonnummern und Angaben zu den rund 15 verschreibenden Ärzten, die meist nicht aus Deutschland kommen. Außerdem waren dort Daten zu Medikamenten, Dosierungen sowie ausgewählten Apotheken einsehbar sowie beispielsweise auch Bestellungen zu Schmerzmitteln. Fragen dazu, ob Daten abgeflossen sind, beantwortet das Unternehmen nicht.
Weiterlesen nach der Anzeige
Bei heise online gingen Hinweise darauf ein, dass die Lücke auf einer Fehlkonfiguration der Zugriffsregeln einer Firebase-Firestore-Datenbank basiert. heise online konnte das bestätigen. Durch die Fehlkonfiguration konnten eingeloggte Nutzer mit einem gültigen Token nicht nur auf ihre eigenen Rezepte, sondern auf sämtliche Datensätze zugreifen. Trotz mehrerer Meldeversuche an das Unternehmen blieb eine Reaktion zunächst aus, die Daten waren bis Anfang Januar weiterhin ungeschützt. Am Abend, nachdem heise online eine Anfrage an das Unternehmen gestellt hatte, wurde die Lücke geschlossen.
Bug-Bounty-Programm
Zentrale Fragen von heise online lässt Dr. Ansay unbeantwortet und begründet den Fund mit dem Auflegen eines neu aufgelegten Bug-Bounty-Programms: „Wir gehen davon aus, dass die Lücke aufgrund eines von uns initiierten Bug-Bounty-Programm gefunden wurde“. Die Frage, ob eine Meldung an die Betroffenen gemäß Art. 34 der DSGVO erfolgt ist, lässt Dr. Ansay unbeantwortet.
Gegenüber dem Sicherheitsforscher, der die Lücke gefunden hat, hatte Dr. Ansay angegeben, eine DSGVO-Meldung an die zuständige Behörde initiiert zu haben. Anfragen von heise online an die Datenschutzbehörden in Malta und Hamburg, wo Dr. Ansay seinen deutschen Sitz hat, wurden noch nicht beantwortet.
Die Kontaktaufnahme des Sicherheitsforschers hatte sich über die Feiertage leider verzögert“, sagte eine Sprecherin. Inzwischen funktioniere die Kommunikation und das Problem habe sofort gelöst werden können. „Wir danken dem Sicherheitsforscher für die Arbeit und behandeln den Vorfall intern weiter“. Weitere Details wolle Dr. Ansay „aktuell nicht teilen, da in Zukunft Black-Hat-Hacker diese nutzen könnten und wir unsere Systeme schützen“.
Unklar bleibt, seit wann die Sicherheitslücke bestand und ab wann das Unternehmen davon wusste, ob und in welchem Umfang Daten tatsächlich abgeflossen sind, wie viele Personen konkret betroffen sind und ob diese bereits informiert wurden. Offen bleibt auch, welche konkreten Risiken für Betroffene bestehen, welche Schutzmaßnahmen geplant sind und warum die Lücke nicht durch eigene Sicherheitsprüfungen entdeckt wurde.
Weiterlesen nach der Anzeige
Viele heise-investigativ-Recherchen sind nur möglich dank anonymer Informationen von Hinweisgebern.
Wenn Sie Kenntnis von einem Missstand haben, von dem die Öffentlichkeit erfahren sollte, können Sie uns Hinweise und Material zukommen lassen. Nutzen Sie dafür bitte unseren anonymen und sicheren Briefkasten.
Interne Sicherheits- und Monitoringprozesse
Gegenüber heise online und auf Reddit hatte Dr. Ansay noch im Dezember zugesichert, dass „interne Sicherheits- und Monitoringprozesse […] kontinuerlich“ laufen würden und es „keine Hinweise auf unautorisierten Zugriff oder einen Abfluss von Daten“ gebe. Zu dem Zeitpunkt wurden in einem Untergrundforum vermeintlich von Dr. Ansay stammende Datensätze zum Verkauf angeboten. Woher die Daten kommen, ist unklar. Denkbar ist auch ein Mix aus bereits veröffentlichten Leaks anderer oder ähnlicher Plattformen. Bisher konnte die Echtheit der Daten nicht bestätigt werden.

Dr. Ansay legt großen Wert auf die Sicherheit seiner Systeme.
(Bild: Reddit)
Datenschutz habe „oberste Priorität“, gibt Dr. Ansay an. „Die Systeme werden fortlaufend überprüft. Vor dem Hintergrund der aktuell vermehrt auftretenden Phishing- und Smishing-Versuche wurden die internen Kontrollen zusätzlich noch einmal intensiviert, ohne Befund“.
Datenpanne im Mai 2024
Bereits im Mai 2024 hatte es bei Dr. Ansay eine öffentlich bekannte Datenpanne gegeben, bei der Cannabis-Rezepte über Suchmaschinen abrufbar waren. Damals meldete das Unternehmen den Vorfall an die Datenschutzbehörde, sprach von einer behobenen Lücke und informierte Betroffene per E-Mail.
(mack)
Datenschutz & Sicherheit
Sieben kritische Sicherheitslücken mit Höchstwertung bedrohen Coolify
Admins von Platform-as-a-Service-Umgebungen auf der Basis von Coolify sollten ihre Instanzen zügig auf den aktuellen Stand bringen. Geschieht das nicht, können Angreifer unter anderem an sieben „kritischen“ Sicherheitslücken mit Höchstwertung (CVSS Score 10 von 10) ansetzen, um Server vollständig zu kompromittieren.
Weiterlesen nach der Anzeige
Scans von Sicherheitsforschern von Censys zeigen, dass sich der Großteil verwundbarer Systeme in Deutschland befindet. Weltweit sind es mehr als 52.000 Instanzen. Hierzulande fanden sie knapp über 14.800 Systeme. Ob es bereits Attacken gibt, ist zurzeit unklar. Admins sollten mit dem Patchen aber nicht zu lange zögern.
Ansatzpunkte für Angreifer
Auch wenn Angreifer in den meisten Fällen authentifiziert sein müssen, ist der Großteil der Schwachstellen mit dem Bedrohungsgrad „kritisch“ eingestuft. Setzen Angreifer erfolgreich an den Lücken an, können sie etwa als Rootnutzer Schadcode ausführen und so die volle Kontrolle über Systeme erlangen (etwa CVE-2025-64424). Außerdem sind Zugriffe auf eigentlich geschützte private SSH-Schlüssel möglich (CVE-2025-64420), sodass sich Angreifer unbefugt Zugriff verschaffen können.
Fehlende Sicherheitspatches
Insgesamt sind 16 Lücken bekannt. Laut Einträgen auf GitHub (siehe Ende dieser Meldung) sind derzeit aber nur Sicherheitsupdates für acht Schwachstellen verfügbar. Wann die Entwickler die verbleibenden Lücken schließen, ist derzeit unklar.
Diese Patches sind zurzeit verfügbar:
Weiterlesen nach der Anzeige
- v4.0.0-beta.420.7
- >= 4.0.0-beta.451
Weiterführende Informationen zu den Lücken bedrohten Ausgaben und Sicherheitsupdates finden Admins in den verlinkten Warnmeldungen. Liste nach Bedrohungsgrad absteigend sortiert:
(des)
-
UX/UI & Webdesignvor 3 MonatenIllustrierte Reise nach New York City › PAGE online
-
Künstliche Intelligenzvor 3 MonatenAus Softwarefehlern lernen – Teil 3: Eine Marssonde gerät außer Kontrolle
-
Künstliche Intelligenzvor 3 Monaten
Top 10: Die beste kabellose Überwachungskamera im Test
-
UX/UI & Webdesignvor 3 MonatenSK Rapid Wien erneuert visuelle Identität
-
Künstliche Intelligenzvor 3 MonatenNeue PC-Spiele im November 2025: „Anno 117: Pax Romana“
-
Entwicklung & Codevor 2 MonatenKommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
-
Künstliche Intelligenzvor 3 MonatenDonnerstag: Deutsches Flugtaxi-Start-up am Ende, KI-Rechenzentren mit ARM-Chips
-
UX/UI & Webdesignvor 2 MonatenArndt Benedikt rebranded GreatVita › PAGE online
