Hunderte Webseiten mit offenen Datenbanken

Die Erstellung von Webseiten und Apps mittels KI, oft als „Vibecoding“ oder „Webcoding“ bezeichnet, birgt erhebliche Sicherheitsrisiken. Das ergab eine Recherche der IT-Expertin Eva Wolfangel. In dieser Ausgabe des KI-Updates übernehmen daher die Kolleginnnen des c’t-Podcasts „They Talk Tech“ das Ruder. Eva Wolfangel spricht mit Svea Eckert über die weitreichenden Folgen des Vibecodings für das Internet. Gemeinsam mit dem KI-Sicherheitsforscher Christopher Helm hatte Wolfangel hunderte Webseiten mit ungesicherten Datenbanken gefunden, in denen sensible Daten wie Kundendaten, Produktionspläne oder Bewerbungsunterlagen offen im Netz lagen.

Als exemplarisches Beispiel dient der Fall einer jungen Startup-Gründerin, die Wolfangel „Larissa“ nennt, um ihre Identität zu schützen. Sie hatte sich mit einem nachhaltigen Online-Shop selbstständig gemacht. Als Wolfangel sie kontaktierte und über die Sicherheitslücke informierte, war die Gründerin schockiert. „Sie hat gesagt, Mann, ich kann kaum noch schlafen. Ich habe mich ruiniert. Ich bin so dumm“, berichtet Wolfangel im Podcast. Die Daten all ihrer Kunden waren frei zugänglich.

Bequemlichkeit vor Sicherheit

Die Ursache für die Sicherheitslücke liegt oft in der Funktionsweise der eingesetzten Werkzeuge. „Vibecoding“ beschreibt Wolfangel als „Programmieren auf Basis natürlicher Sprache“. Nutzerinnen uns Nutzer müssen also keine Programmiersprache mehr beherrschen, sondern können einer KI in einfachen Worten Anweisungen geben. Dafür werden Plattformen wie „Lovable“ genutzt. Diese greifen wiederum auf sogenannte „Backend-as-a-Service“-Anbieter wie „Supabase“ zurück, um die Datenbanken und die Infrastruktur hinter der Webseite zu organisieren.

Das Problem entsteht durch die Standardeinstellungen dieser Dienste. Supabase stand laut Wolfangel lange in der Kritik, weil der voreingestellte Schutzmechanismus der schwächste war: Die Datenbanken waren standardmäßig offen im Netz. „Am Ende wurde Bequemlichkeit gewählt und nicht Sicherheit“, erklärt Wolfangel. Denn wenn alle die Datenbank sehen können, funktioniert die erstellte Anwendung auf jeden Fall. Komplexere Berechtigungen, die für Laien schwer zu durchschauen sind, werden so umgangen. Das Ergebnis ist eine funktionierende, aber unsichere Webseite.

Wie intelligent ist Künstliche Intelligenz eigentlich? Welche Folgen hat generative KI für unsere Arbeit, unsere Freizeit und die Gesellschaft? Im „KI-Update“ von Heise bringen wir Euch gemeinsam mit The Decoder werktäglich Updates zu den wichtigsten KI-Entwicklungen. Freitags beleuchten wir mit Experten die unterschiedlichen Aspekte der KI-Revolution.

Auch große Unternehmen sind betroffen

Die Recherche von Wolfangel und Helm zeigte, dass nicht nur kleine Start-ups betroffen sind. Unter den mehr als 600 untersuchten Webseiten fanden sich auch große Namen. So waren etwa bei der VOM-Hochschule, einer der größten privaten Hochschulen Deutschlands, Daten von hunderten Studierenden offen einsehbar. Auch ein deutscher Industrieanlagenbauer legte Produktionsdatensätze offen. Ein besonders drastischer Fall war ein US-Anbieter für IT-Sicherheitsschulungen für Behörden, der die privaten E-Mail-Adressen von FBI-Mitarbeitern ungeschützt im Netz hatte.

Die Behebung der Lücken gestaltete sich oft schwierig. „Auch die VOM-Hochschule hat mehrere Anläufe gebraucht und am Ende hat sie die Datenbank einfach vom Netz genommen“, so Wolfangel. Dies zeige den Teufelskreis: Entwicklerinnen und Entwickler, die KI-Unterstützung nutzen, laufen Gefahr, Fehler zu übersehen, die später nur mit hohem Aufwand zu beheben sind.

Auf die Frage, ob „Vibecoding“ generell unsicher sei, rät Wolfangel zur Vorsicht. Das Versprechen, dass jeder ohne Vorkenntnisse eine App bauen könne, sei trügerisch. Man müsse bereit sein, sich tief mit der Materie zu beschäftigen. Besonders bei kritischen Anwendungen wie einem Webshop mit Kundendaten sei das Risiko hoch. „Genau dieser Use-Case ist tatsächlich, würde ich sagen, einer der sehr gefährlichen und da würde ich die Finger davon lassen“, schließt Wolfangel.

(igr)

Der chinesische Drohnenhersteller Potensic hat mit dem Vorverkauf einer neuen Version seines Topmodells begonnen. Die „Atom 3“ ist einen Tick größer als das Vorgängermodell, das c’t im vergangenen Jahr getestet hatte, unterscheidet sich äußerlich aber sonst kaum. Dafür steckt In dem über drei Achsen stabilisierten Gimbal nun ein 1/1,3 Zoll statt eines 1 / 2 Zoll großen CMOS-Bildsensors. Dies verspricht eine bessere Bildqualität auch unter schlechteren Lichtverhältnissen. Das Sichtfeld liegt nun bei 84 Grad (Atom 2: 78 Grad) und ist damit nun nicht mehr enger bei vergleichbaren Modellen von DJI.

Bei Fotos gibt der Hersteller eine Auflösung von 8K / 50 Megapixel (8192×6144 Pixel) an, Videos fängt Drohnenkamera wie die Atom 2 mit bis zu 4K-Auflösung ein, nun allerdings mit einer Bildwiederholrate von maximal 60 statt 30 fps. Aufnehmen lassen sich die Videos mit erhöhten Kontrastumfang (HDR) und im Log-Profil P-Log, um in kontrastreichen Szenen sowohl in den hellsten Lichtern als auch in den dunkelsten Schatten möglichst viele Bildinformationen und Farbdetails zu erhalten. Die maximale Bildrate wurde schließlich von 80 auf 120 Mbit/s erhöht.

Wieder mit an Bord ist zudem ein spezieller Nachtmodus, der die Bildqualität von Videos, die man auf Flügen in der Dunkelheit aufnimmt, bereits bei der Atom 2 deutlich erhöhte. Solche Flüge sind generell erlaubt, allerdings muss man bei der Drohne dafür ein grünes Blicklicht nachrüsten und gerät durch das zusätzliche Gewicht eventuell in die nächsthöhere Klasse mit Pflicht zum Kompetenznachweis (kleiner Drohnenführerschein).

In der Luft

Ab Werk hat die Atom 3 mit dem Standardakku ein Startgewicht von unter 250 Gramm, weshalb man sie ohne Führerschein fliegen darf, man nur eine Versicherung benötigt und sich – wegen der eingebauten Kamera – beim Luftfahrtbundesamt registrieren muss (siehe c’t 21/2022, S. 64). Als C0-Drohnen gilt für sie eine maximale Flughöhe von 120 Metern. Wie das Vorgängermodell erreicht die Armo 3 im Sportmodus laut Potensic eine Höchstgeschwindigkeit von 57,6 km/h. Unverändert ist auch, dass sie einer frischen Brise von Windstärke 5 (bis zu 38 km/h) widerstehen soll.

Apropos Akku: Laut Potensic ermöglicht das Standardmodell eine Flugzeit von zu 40 Minuten, nachdem der Akku der Atom 2 nur auf maximal 32 Minuten kam. Der Hersteller bietet aber auch noch einen Akku mit höherer Kapazität und einer Flugzeit von bis zu 45 Minuten an. Bei der Nutzung des größeren Akkus wird jedoch wiederum die 249-Gramm-Grenze überschritten, sodass die Atom 3 auch hier wieder in die nächsthöhere Klasse rutscht.

Unter Kontrolle

Zur Drohne liefert Potensic abermals einen Controller mit, in den man mittig ein iPhone oder Android-Smartphone einklemmt und dieses über das beiliegende USB-Kabel anschließt. Der eingebauter Akku reicht laut Hersteller wieder für bis zu vier Stunden Betrieb. Die Drohne und ihr Gimbal werden über die (demontierbaren) Sticks und über Knöpfe und Drehregler am Controller gesteuert.

Die kostenlose Android und iOS-App namens Potensic Eve stellt das Live-Videobild der Drohne dar. Dabei setzt Potensic auf ein überarbeitetes Funksystem (PixSync 5.0), das nun nicht mehr nur auf 2,4, sondern auch auf 5,2 und 5,8 GHz arbeitet. Die Videos sollen nun in Full-HD (1080p) mit 60 statt 30 fps und über eine Distanz von bis zu 16 statt 10 Kilometer übertragen werden (in Europa voraussichtlich weniger), dafür hat sich laut Hersteller die Latenz von 120 auf 150 ms erhöht.

Wie bei den DJI-Drohnen bietet die Atom 3 verschiedene „QuickShots“, bei denen sie automatische Flugmanöver für Selfies absolviert – also etwa vom User wegfliegt oder ihn umkreist. Neu ist dabei der „Dolly Zoom“, ein Effekt wie aus der TV-Serie Severance. Hier fliegt die Drohne horizontal vom Nutzer weg, während sie in die Aufnahme hineinzoomt. Neu hinzugekommen ist laut Potensic ein Modus namens „Drift“.

Wie schon die Atom 2 bietet auch das neue Modell „AI-Folgen“. Damit kann sie etwa Personen oder Objekten automatisch folgen beziehungsweise neben diesen herfliegen kann. Eine solche Funktion ist bei Drohnen, die nur Sichtsensoren nach unten und keine weiteren Hindernissensoren haben, außergewöhnlich. Immerhin besteht die Gefahr, dass sie beim Folgen mit einem Hindernis kollidieren. Potensic begegnete dem bei der Atom 2., indem es eine Mindesthöhe von vier Metern für diese Funktion vorschreibt. An Bäumen führte der Weg dennoch besser nicht vorbei.

Die Atom 3 wird in mehreren Paketen mit unterschiedlich umfangreichem Zubehör angeboten, wobei der Startpreis im offiziellen Shop bei rund 414 US-Dollar (plus Versand und Steuern) liegt. Die Erfahrung mit der Atom 2 zeigt jedoch, dass die Modelle des Herstellers hierzulande oftmals mit recht hohen Preisabschlägen angeboten werden. Der Versand soll Anfang Juli starten.

(nij)

Die Proxmox Server Solutions GmbH aus Wien hat ihre Open-Source-Plattform für sichere E-Mail, das Proxmox Mail Gateway 9.1, aktualisiert. Ebenso wie die Virtualisierungslösung Proxmox VE 9.2 und der Proxmox Backup Server 4.2 arbeitet das Mail Gateway auf Basis von Debian GNU/Linux 13.5 „Trixie“ mit Linux-Kernel 7.0 und OpenZFS 2.4. Gegen Spam, Viren, Trojaner und Phishing-E-Mails sollen unter anderem Open-Source-Technologien wie ClamAV 1.4.4 und SpamAssassin 4.0.2 mit aktualisiertem Regelwerk schützen. Als Datenbank kommt PostgreSQL 17 zum Einsatz.

Warum ist diese E-Mail Spam?

Oft möchte man als Administrator wissen, warum eine Nachricht als verdächtig eingestuft und in Quarantäne verschoben wurde. Das Proxmox Mail Gateway 9.1 klärt darüber auf, indem in der Quarantäneübersicht jetzt sowohl die positiven als auch negativen Komponenten des Spam-Scores parallel angezeigt werden.

Oft prasselt Spam gleich in Mengen an alle Teammitglieder ein. In Quarantäne befindliche E-Mails innerhalb von gemeinsam genutzten Postfächern lassen sich jetzt als „gesehen“ markieren. So vermeiden Teams doppelte Prüfungen derselben Nachricht. Der Status wird direkt in der Liste per Häkchen angezeigt und kann über eine Aktionsschaltfläche geändert werden.

Bedarfsgesteuertes Nachladen von Bildern und bessere Backups

Die Handhabung externer Bilder in Quarantäne-E-Mails lässt sich nun so konfigurieren, dass sie erst auf Wunsch nachgeladen werden. Nutzer können die Inhalte bei Bedarf über die Schaltfläche „Bilder laden“ einblenden. So lassen sich Nachrichten sicher prüfen, ohne dass externe Inhalte, die möglicherweise Schadcode enthalten, automatisch von externen Quellen nachgeladen werden und damit Datenschutz- oder Sicherheitsrisiken entstehen (zum Beispiel Tracking-Pixel, Offenlegung der IP-Adresse, Bestätigung, dass die E-Mail-Adresse aktiv genutzt wird).

Auch die Integration des Proxmox Mail Gateways in den Proxmox Backup Server wurde verbessert. Backups lassen sich nun clientseitig verschlüsseln, und die Verwaltung der Schlüssel erfolgt direkt in der Anwendung. Optional kann ein Master-Schlüssel für Wiederherstellungszwecke hinterlegt werden. Zudem können Administratoren Backup-Verifizierungen anstoßen und den Verschlüsselungs- sowie Verifizierungsstatus einzelner Snapshots einsehen.

Verfügbarkeit und Preise

Sämtliche Verbesserungen und Änderungen, aber auch möglicherweise auftretende Probleme beim Umstieg von vorherigen Versionen des Proxmox Mail Gateway sind ausführlich in der Roadmap dokumentiert. Im Proxmox-Forum können sich Anwender über das Proxmox Mail Gateway austauschen.

Das Proxmox Mail Gateway 9.1 steht als Open-Source-Software ab sofort zum Download bereit und darf kostenlos eingesetzt werden. Die Software ist unter der GNU Affero GPLv3 lizenziert. Der Zugriff auf das Enterprise-Repository kostet 190 Euro netto (zuvor 180) pro Jahr, professioneller Support ist von 540 bis 1900 Euro netto pro Jahr erhältlich.

(axk)