Die Berliner Schwarz-Rote Landesregierung möchte der Hauptstadt ein neues Polizeigesetz (ASOG) verpassen. An diesem gab es schon bei der Sachverständigenanhörung Ende September viel Kritik. Dort sprachen Expert:innen von einer „Abkehr von der grundrechtsfreundlichen Politik“: So soll neben einem automatischen Datenabgleich mit biometrischen Daten auch er Einsatz von Videoüberwachung mit Verhaltensscannern sowie der Einsatz von Staatstrojanern möglich werden.

Heute fand die 2. Lesung im Berliner Innenausschuss statt. Eingeflossen ist die Kritik der Sachverständigen in einen aktualisierten Vorschlag jedoch kaum, laut Opposition hat sie die Koalition in ihrem Änderungsantrag nicht ausreichend berücksichtigt. Von Kosmetik ist die Rede.

Besonders brisant: Eine Änderung erweitert nun sogar die Befugnisse der Polizei noch einmal. Demnach soll die Polizei künftig biometrische Daten zu Gesichtern und Stimmen auch von Kontakt- und Begleitpersonen der Verdächtigen mittels automatisierter Anwendungen biometrisch mit öffentlich zugänglichen Daten aus dem Internet abgleichen dürfen.

„Grundrechtsbeeinträchtigungen unbeteiligter Personen“

In einer Stellungnahme (PDF) kritisiert die Berliner Datenschutzbeauftragte, dass die ausdrückliche Einbeziehung von Kontakt- und Begleitpersonen den Personenkreis der Betroffenen erheblich erweitere. Damit würde die Streubreite des ohnehin intensiven Eingriffs weiter erhöht. Die Polizei erlange einen „erheblichen Beurteilungsspielraum“. Entsprechend berge das Gesetz das Risiko, dass Personen einbezogen werden, die tatsächlich in keiner Weise an der Straftatenbegehung beteiligt sind.

Dabei verweist die Datenschützerin, dass dies im Kontext der biometrischen Fernidentifizierung, die bereits aufgrund der Nutzung künstlicher Intelligenz und der Vielzahl durchsuchter Internetquellen eine hohe Streubreite aufweist, zu einer „Potenzierung der Grundrechtsbeeinträchtigungen unbeteiligter Personen“ führe. Die Datenschutzbeauftragte hält dies für nicht verhältnismäßig.

„Abkehr von der grundrechtsfreundlichen Politik“

Einfallstor für eine Superdatenbank

Kritik kam in der Ausschusssitzung von den Grünen und der Linken. Gegenüber netzpolitik.org mahnte der grüne Innenpolitiker Vasili Franco, dass die Kritik aus der Sachverständigenanhörung nicht genug berücksichtigt worden sei. „Stattdessen wird der biometrische Abgleich im Internet von Kontakt- und Begleitpersonen und die weitgehende Verwendung von Verkehrs- und Nutzungsdaten zur Erstellung von Persönlichkeitsprofilen möglich gemacht. Durch das Polizeigesetz kann zukünftig jedermann in Berlin zur Gefahr gemacht werden, sobald man in das Visier der Polizei gerät“, so Franco weiter.

Dass in der Vergangenheit Informationen durch Sicherheitsbehörden nicht rechtzeitig zusammengeführt wurden, dürfe nicht als Einfallstor für eine Superdatenbank und Datenanalysen mit unklarer Zweckbestimmung dienen, so Franco. „Ein gutes Polizeigesetz muss konkrete Antworten darauf geben, was die Polizei darf und was sie nicht darf.“

„Grundrechtseingriffe von extremer Intensität“

Auch der linke Innenpolitiker Niklas Schrader sagt, dass die Koalition mit ihrem Änderungsantrag vor allem redaktionelle und kosmetische Änderungen vorgenommen habe. „Insgesamt bleibt es bei einem massiven Überwachungsausbau, den CDU und SPD planen“, sagt Schrader gegenüber netzpolitik.org.

Mit neuen Instrumenten wie der KI-gestützten Videoüberwachung mit Verhaltensanalyse oder der Verknüpfung und automatisierte Auswertung von Polizeidaten könnten potentiell alle Berliner:innen polizeilich erfasst werden, so Schrader weiter. Das geplante ASOG enthalte „verfassungsrechtlich bedenkliche Regelungen und Grundrechtseingriffe von extremer Intensität und Streubreite“. Sein Fazit fällt dementsprechend kritisch aus: „SPD und CDU in Berlin oder CSU in Bayern, das nimmt sich in der Innenpolitik mittlerweile nichts mehr.“

Protest von Bürgerrechtsorganisationen

Mehrere Bürgerrechtsorganisationen hatten zuletzt die Pläne für das neue Polizeigesetz kritisiert und einen Stopp des Gesetzgebungsverfahrens gefordert. In einem offenen Brief monieren die Organisationen den möglichen Einsatz einer orts- und verhaltensübergreifenden Analyseplattform zum biometrischen Abgleich mit über das Internet öffentlich zugänglichen personenbezogenen Daten und die automatisierte Verhaltensmustererkennung.

Zudem lasse das Polizeigesetz zu, dass Datenbestände der Polizei losgelöst von konkreten Anlässen dauerhaft zusammengeführt werden könnten. Hierdurch entstünde eine Superdatenbank mit „Möglichkeiten zum Erstellen von Bewegungsprofilen, Verhaltensmuster- und Sozialkontaktanalysen“. In einem Interview mit der taz kritisierte Lukas Theune, Geschäftsführer des Republikanischen Anwalt:innenverbandes (RAV), der Gesetzentwurf solle der Polizei gläserne Bürger:innen ermöglichen.

Das neue Polizeigesetz soll am 4. Dezember im Berliner Angeordnetenhaus beschlossen werden.

Angreifer können sich durch das erfolgreiche Ausnutzen einer Sicherheitslücke in Ciscos Catalyst Center Administratorrechte verschaffen. Die Entwickler haben nun diese und weitere Lücken geschlossen. Bislang gibt es keine Berichte zu Attacken. Das kann sich aber schnell ändern.

Verschiedene Gefahren

Mit Catalyst Center managen Admins Netzwerke. Weil Attacken an so einer Stelle richtig wehtun, sollte die Software zeitnah auf den aktuellen Stand gebracht werden. Am gefährlichsten gilt eine Schwachstelle (CVE-2025-20341 „hoch„) über die sich entfernte Angreifer zum Admin hochstufen können. Das klappt aber nur, wenn sie bereits mindestens als Oberserver authentifiziert sind.

Ist diese Hürde überwunden, können sie Attacken mit präparierten HTTP-Anfragen einleiten. Aufgrund von unzureichenden Überprüfungen werden diese verarbeitet und es kommt zu Fehlern. Im Anschluss können Angreifer neue Accounts anlegen. In einer Warnmeldung führen die Entwickler aus, dass davon ausschließlich Catalyst Center ab Version 2.3.7.3-VA betroffen ist. Vorige Ausgaben und 3.1 sind davon nicht bedroht. Die Version 2.3.7.10-VA enthält einen Sicherheitspatch.

Die verbleibenden Softwareschwachstellen (CVE-2025-20341, CVE-2025-20349, CVE-2025-20353, CVE-2025-20355, CVE-2025-20346) sind mit dem Bedrohungsgrad „mittel“ eingestuft. Sind Attacken an diesen Stellen erfolgreich, können sich Angreifer unter anderem zum Root-Nutzer hochstufen. Damit das klappt, müssen sie aber bereits an Systemen angemeldet sein.

Weiterführende Informationen finden Admins in den verlinkten Warnmeldungen des Netzwerkausrüsters.

Die Schwachstellenliste nach Bedrohungsgrad absteigend sortiert:

(des)

Bei der renommierten Washington Post sind Kriminelle durch eine Sicherheitslücke in der Oracle E-Business-Suite eingedrungen und haben Daten von knapp 10.000 Menschen kopiert. Dahinter steckt vermutlich die Cybergang cl0p.

In einer Mitteilung zum Datenschutzvorfall beim Generalstaatsanwalt des US-Bundestaats Maine erörtert die Zeitung den Vorfall. Demnach wurde die Post von den Tätern am 29. September kontaktiert. Sie behaupteten, in das Oracle E-Business-Suite-System eingedrungen zu sein. Bei der Untersuchung konnten IT-Spezialisten feststellen, dass die kritische Schwachstelle CVE-2025-61882 in der Oracle EBS missbraucht wurde. Zwischen dem 10. Juli und 22. August haben Unbefugte auf Daten zugegriffen. Am 27. Oktober konnte die Washington Post verifizieren, dass bestimmte persönliche Informationen von aktuellen und ehemaligen Angestellten sowie Auftragnehmern davon betroffen waren.

Dazu gehören etwa Namen, Bankverbindungen, Sozialversicherungsnummern oder auch Steuer-IDs. Mittels herkömmlicher Briefpost hat die Post ab dem 12. November Betroffene informiert.

Cybergang cl0p auf Beutezug

Vergangene Woche wurde bekannt, dass die Cybergang cl0p neue betroffene Unternehmen auf ihre Darknet-Leaksite aufgenommen hatte. Darunter etwa die Washington Post und Logitech. Auch Logitech hatte am Wochenende einen Cyber-Security-Vorfall eingeräumt und die dafür verantwortliche Gruppierung nicht benannt. Es ist jedoch naheliegend, dass in beiden Fällen cl0p hinter den Attacken steckt.

Die kriminelle Online-Vereinigung nutzt immer wieder Schwachstellen etwa in Datentransfer-Software aus, um damit in die IT von zahlreichen Unternehmen einzudringen und dort potenziell wertvolle Daten zu kopieren, mit denen sie die Unternehmen dann erpresst. Ende Februar tauchten so rund 230 neue Unternehmen auf der Darknet-Leaksite von cl0p auf.

(dmk)