Datenschutz & Sicherheit
Telnet: Kritische Lücke erlaubt Einschleusen von Schadcode aus dem Netz
IT-Verantwortliche sollten Zugriffsmöglichkeiten auf ihre Instanzen des telnetd aus den GNU Inetutils unbedingt auf vertrauenswürdige Rechner beschränken oder sie durch verschlüsselte Methoden ersetzen. Eine neu entdeckte Schwachstelle ermöglicht Angreifern aus dem Netz ohne vorherige Authentifizierung, beliebigen Code einzuschleusen und auszuführen.
Weiterlesen nach der Anzeige
Die Sicherheitslücke hat einen Schwachstelleneintrag erhalten, der erklärt, dass ein Schreibzugriff außerhalb vorgesehener Speichergrenzen im Code zur Verarbeitung der „LINEMODE SLC“-Option (Set Local Characters) möglich ist. Die Funktion add_slc prüft schlicht nicht, ob der Puffer bereits voll ist (CVE-2026-32746, CVSS 9.8, Risiko „kritisch“). Betroffen sind die GNU Inetutils bis einschließlich Version 2.7 – es handelt sich um die derzeit aktuelle Fassung aus dem Dezember 2025, die auf den GNU-Servern zum Herunterladen bereitsteht. Laut dem Bericht der Schwachstellen-Entdecker ist zudem der aktuelle Entwicklercode im Branch HEAD mindestens bis zum Datum 11. März 2026 anfällig.
Ein Update zum Stopfen des Sicherheitslecks steht demnach bislang nicht zur Verfügung. Die Entwickler planen jedoch aktuell, zum 1. April 2026 eine fehlerkorrigierte Version herauszugeben.
Gegenmaßnahmen: Zumachen
Mindestens bis dahin sollten Zugriffe auf den Telnet-Daemon aus den GNU Inetutils etwa mittels Firewall – standardmäßig auf dem Port 23/TCP – auf absolut vertrauenswürdige Maschinen beschränkt werden. Idealerweise sollten jedoch Dienste zum Zugriff genutzt werden, die ihre Daten nicht im Klartext über das Netz schicken, sondern verschlüsselt wie Secure Shell (SSH).
Bereits im Januar wurde eine Sicherheitslücke im telnetd der GNU Inetutils bekannt. Auf triviale Art und Weise konnten sich Angreifer dadurch als root-User anmelden und ebenfalls wie mit der nun bekannt gewordenen Schwachstelle komplette Server kompromittieren.
(dmk)
Datenschutz & Sicherheit
„Tag-X“-Demonstration: Aktivistin verklagt Verfassungsschutz
Mehr als 1.300 Demonstrierende kesselte die Polizei im Juni 2023 ein. Bis zu elf Stunden lang mussten die Menschen im Leipziger Kessel verharren, darunter auch unbeteiligte Anwohner:innen, Jugendliche und Kinder. Die Polizei nahm Personalien auf, teilte Anzeigen aus und leitete die Daten an den Verfassungsschutz weiter.
Bald drei Jahre später ist die Sache noch lange nicht ausgestanden. Der harte Einsatz der Polizei, die später Fehler einräumen musste, geriet in die Kritik. Zwar gab es im Umfeld der Demonstration gewalttätige Auseinandersetzungen. Im Dezember wurde indes bekannt, dass 85 Prozent der Ermittlungsverfahren wegen des Vorwurfs des schweren Landfriedensbruchs eingestellt werden mussten.
Nun klagt die Aktivistin Jona, gemeinsam mit der Gesellschaft für Freiheitsrechte (GFF), gegen den bayerischen Verfassungsschutz vor dem Verwaltungsgericht München. Ihre Daten musste sie beim Verlassen des Kessels dem Sächsischen Landeskriminalamt übergeben, der leitete sie an das Sächsische Landesamt für Verfassungsschutz weiter. Von dort flossen sie nach Bayern, wo die Aktivistin ihren Wohnsitz hat.
Stigmatisiert ohne Fehlverhalten
Obwohl Jona kein konkretes Fehlverhalten vorgeworfen wird – ein gegen sie eingeleitetes Strafverfahren wegen Landfriedensbruch wurde eingestellt –, sind ihre Daten weiterhin beim bayerischen Verfassungsschutz gespeichert. Laut der Klageschrift geht es neben ihrer Teilnahme an der Demonstration am sogenannten „Tag X“ in Leipzig auch um eine Anzeige im März 2024.
Zum einen will Jona mit der Klage erreichen, dass ihre Daten beim Verfassungsschutz gelöscht werden. Bislang weigert sich die Behörde mit der Begründung, Jona habe mit ihrer Teilnahme an der Versammlung die linksextreme Szene unterstützt. Zum anderen will die GFF grundsätzlich gerichtlich klarstellen lassen, dass die Teilnahme an einer Demonstration nicht Anlass für das Speichern von Daten beim Verfassungsschutz werden darf.
Wir sind communityfinanziert
Unterstütze auch Du unsere Arbeit mit einer Spende.
„Demokratie lebt von Protest“, sagt Luise Bublitz, Juristin und Verfahrenskoordinatorin bei der GFF. „Wenn Menschen befürchten müssen, dass ihre Daten wegen der bloßen Teilnahme an einer Demonstration beim Verfassungsschutz landen, entsteht ein Gefühl staatlicher Beobachtung.“ Politische Teilhabe dürfe nicht zum Risiko werden, so Bublitz.
Schwammige Gefahr
Dabei lässt sich das Risiko schwer einschätzen. So sei nicht klar definiert, was genau als „linksextreme Szene“ gilt, die Jona angeblich unterstützen würde, führt die GFF aus. Zwar dürfe der Verfassungsschutz Daten von Menschen speichern, aber nur dann, wenn es tatsächliche Anhaltspunkte dafür gibt, dass Personen Bestrebungen gegen die freiheitliche demokratische Grundordnung unterstützen. An einer legalen Versammlung teilzunehmen, sollte dafür nicht ausreichen, so die Grundrechteorganisation.
Was mit solchen Daten geschieht, bleibt oft unklar. So hatte etwa kürzlich der konservative Kulturstaatsminister Wolfram Weimer drei Buchhandlungen vom Deutschen Buchhandlungspreis ausgeschlossen. Im Rahmen des sogenannten Haber-Verfahrens hatte ihm der Verfassungsschutz zurückgemeldet, dass gegen die Buchhandlungen geheimdienstliche Erkenntnisse vorliegen würden.
Einträge mit Konsequenzen
Welche das genau sind, ist öffentlich nicht bekannt. Der Süddeutschen Zeitung zufolge soll einer der Buchläden einst eine Rolle im „Kommunikationsnetzwerk der RAF“ gespielt haben, ein anderer auf seiner Fassade „Deutschland verrecke“ stehen gehabt haben. Offenbar Grund genug, um die Buchhandlungen außerhalb des Verfassungsbogens zu stellen: Das Haber-Verfahren kann immer dann zum Zug kommen, wenn es um staatliche Förderung von Projekten geht, etwa von Nichtregierungsorganisationen.
Der „chilling effect“, vor dem die GFF nun warnt, der Menschen davon abschrecken könnte, ihre Grundrechte öffentlich auszuüben, könnte sich also nicht nur auf die Teilnahme an Demonstrationen beschränken. Zudem betreffe der Fall nicht nur eine einzelne Aktivistin, betont die GFF. Es gehe um die grundsätzliche Frage, wie weit Verfassungsschutzbehörden beim Erfassen und Speichern personenbezogener Daten nach Versammlungen gehen dürfen: „Die aktuelle Speicherpraxis ist eine Gefahr für die engagierte Zivilgesellschaft und die freie demokratische Meinungs- und Willensbildung“, so die GFF.
Datenschutz & Sicherheit
Begründer der Quanteninformatik mit dem Turing Award ausgezeichnet
Der mit einer Million US-Dollar Preisgeld dotierte Turing Award geht in diesem Jahr an Charles Bennett und Gilles Brassard für ihren „entscheidenden Beitrag zur Begründung der Quanteninformatik“. Das hat die Association for Computing Machinery (ACM) bekannt gegeben, die die höchste Auszeichnung der Informatik verantwortet. Die beiden haben 1984 mit einem wissenschaftlichen Artikel das erste praktische Protokoll für Quantenkryptografie entwickelt – inzwischen ist es unter der Bezeichnung BB84 bekannt. Damit haben sie gezeigt, dass zwei Parteien einen geheimen Schlüssel zur Verschlüsselung von Informationen erstellen können, dessen Sicherheit durch die Gesetze der Physik gewährleistet ist – selbst gegenüber Gegnern mit unbegrenzter Rechenleistung, ruft die Gesellschaft in Erinnerung.
Weiterlesen nach der Anzeige
Grundlage für zukunftsfähige Kryptografie
In einem kurzen Abriss verweist die Gesellschaft auf die Arbeit von Claude Shannon. Der Mathematiker hatte 1949 bewiesen, dass perfekte Geheimhaltung in der Kommunikation nur möglich ist, wenn beide Parteien einen geheimen Schlüssel ausgetauscht haben, der mindestens so lang ist wie die damit verschlüsselte Nachricht. Asymmetrische Kryptografie ermöglichte dann eine „mächtige Abhilfe“, indem sie für den Schutz von Nachrichten stattdessen auf ein mathematisches Problem setzte, das ausreichend schwer zu lösen schien. Das Verfahren ist heute eine wichtige Grundlage der digitalen Infrastruktur, ist aber mit Quantencomputern angreifbar. Abhilfe schafft BB84, bei dem schon Versuche des Abhörens nachweisbare Spuren hinterlassen.
Die Anerkennung der Leistung erfolgt jetzt ein Jahr nach dem internationalen Jahr der Quantenwissenschaft und -technologie der Vereinten Nationen, schreibt die ACM noch. Sie erläutert, dass der US-Amerikaner Bennett und der Kanadier Brassard im Rahmen ihrer mehr als vierzigjährigen Zusammenarbeit in vielen Bereichen Physik und Computerwissenschaft zusammengeführt hätten. Dabei geht es unter anderem um die Quantenverschränkung, bei der zwei Teilchen korreliertes Verhalten zeigen, selbst wenn sie räumlich zu weit getrennt sind, um sich direkt zu beeinflussen. Für die experimentelle Bestätigung damit verwandter Phänomene gab es im Jahr 2022 den Nobelpreis für Physik. Die Arbeit der beiden Forscher habe den Grundstein für eine ganze Generation von Forschenden gelegt, die in ihre Fußstapfen getreten sind.
Der Turing Award wird jährlich von der ACM vergeben und gilt auch als „Nobelpreis für Informatik“. Er ist nach Alan Turing, dem britischen Mathematiker und Pionier der Informatik sowie Kryptologie, benannt. Seit 2014 ist der Preis mit einer Million US-Dollar dotiert. Bekannte Preisträger sind Donald Knuth (1974), Edsger W. Dijkstra (1972) und der Anfang 2024 verstorbene Niklaus Wirth (1984). Vor drei Jahren ging der Turing Award an den Gründer der Netzwerkfirma 3com, Robert Metcalfe. Er hatte – angeblich auf einer Serviette – das Ethernet erfunden. 2024 wurde Avi Wigderson für seine Beiträge zum Verständnis der Eigenschaften von Zufallszahlen und -algorithmen ausgezeichnet. Im Vorjahr wurde der Turing Award an Andrew Barto und Richard Sutton für die Entwicklung des sogenannten Reinforcement Learning verliehen.
(mho)
Datenschutz & Sicherheit
Microsoft ergänzt Passkey-Option in Entra-ID-Registrierungskampagnen
Microsoft hatte Ende Januar angekündigt, ab März dieses Jahres Passkey-Profile in Entra ID für alle Tenants zu aktivieren. Nun kündigt das Unternehmen an, passend dazu auch Registrierungskampagnen um Passkeys zu erweitern.
Weiterlesen nach der Anzeige
Das meldet Microsoft im Microsoft-365-Message-Center (MC1253746, Kopie bei merill.net). Ab April 2026 sollen Microsoft-Registrierungskampagnen auch Passkeys (FIDO2) als Authentifizierungsmethode anbieten. Solche Registrierungskampagnen fordern Nutzer und Nutzerinnen bei der Anmeldung auf, etwa die Authenticator-App für eine Mehr-Faktor-Authentifizierung (MFA) einzurichten und somit unsicherere, ältere Anmeldemethoden zu ersetzen.
Damit will Microsoft den Umstieg auf diese Phishing-resistenten Zugangsdaten befördern. „Dazu berechtigte Microsoft-365-Tenants können für ihre Nutzer die Option aktivieren, bei der Anmeldung eine Erinnerung an eine Registrierung von Passkeys zu erhalten“, erklärt das Unternehmen. Die Option soll schrittweise eingeführt werden und Nutzer mit der Möglichkeit der Mehr-Faktor-Authentifizierung mit bestimmten Richtlinieneinstellungen betreffen.
Weitere Details zu den Registrierungskampagnen
Die Option soll weltweit ab Anfang April allgemein verfügbar werden und Microsoft beabsichtigt, die Verteilung bis Ende Mai 2026 abzuschließen. Verfügbar wird die Option für Microsoft-365-Tenants, die Microsofts Registrierungskampagnen nutzen und entweder als von Microsoft verwaltet oder im „Enabled“-Status konfiguriert sind. Die Erinnerungen gehen dann an Nutzer und Nutzerinnen, die sich mit MFA authentifizieren können und zur Passkey-Nutzung berechtigt sind.
Microsoft erklärt weiter, dass in den Erinnerungen die voreingestellte Authentifizierungsmethode von „Microsoft Authenticator“ zu „Passkeys (FIDO2)“ wechselt. Der Zeitraum, solche Erinnerungen zu unterdrücken, sinkt von drei Tagen auf einen Tag. Zugleich entfernen die Entwickler die Begrenzung der Anzahl an unterdrückten Aufforderungen. Die Erinnerungen sollen erscheinen, wenn User eine Mehr-Faktor-Authentifikation korrekt abgeschlossen haben. Admins, deren Tenants nicht auf „von Microsoft verwaltet“ konfiguriert sind, sondern den „Enabled“-Status innehaben, haben noch weitere Kontrolle und Einstellungsmöglichkeiten, die der Beitrag im Message-Center präzisiert. Microsoft empfiehlt IT-Verantwortlichen, bis Anfang April die eigenen Registrierungskampagnen zu überprüfen.
Weiterlesen nach der Anzeige
(dmk)
-
Künstliche Intelligenzvor 3 MonatenSchnelles Boot statt Bus und Bahn: Was sich von London und New York lernen lässt
-
Social Mediavor 2 WochenCommunity Management und Zielgruppen-Analyse: Die besten Insights aus Blog und Podcast
-
Social Mediavor 1 MonatCommunity Management zwischen Reichweite und Verantwortung
-
Künstliche Intelligenzvor 4 Wochen
Top 10: Die beste kabellose Überwachungskamera im Test – Akku, WLAN, LTE & Solar
-
Social Mediavor 3 MonatenDie meistgehörten Gastfolgen 2025 im Feed & Fudder Podcast – Social Media, Recruiting und Karriere-Insights
-
UX/UI & Webdesignvor 2 MonatenEindrucksvolle neue Identity für White Ribbon › PAGE online
-
Künstliche Intelligenzvor 2 MonatenAumovio: neue Displaykonzepte und Zentralrechner mit NXP‑Prozessor
-
Künstliche Intelligenzvor 3 MonatenÜber 220 m³ Fläche: Neuer Satellit von AST SpaceMobile ist noch größer
