Das Active Directory (AD) bildet das Herzstück fast jeder Unternehmens-IT. Doch dessen Sicherheit fußt auf zwei überalterten und deshalb unsicheren Techniken: der Authentifizierung via NTLM und Kerberos. Wer hier nicht gezielt nachbessert, wird bestraft, denn Kriminelle nutzen diese Schwachstellen routinemäßig, um sich Zugang zu höheren Rechten und wichtigen Daten im Firmennetz zu verschaffen. Unser Webinar zeigt, wo die Probleme liegen, und was Sie dagegen machen können; noch bis zum 31. Januar können Sie Ihr Ticket zum reduzierten Frühbuchertarif buchen.

Obwohl Microsoft das Ende von Net-NTLM (kurz NTLM) bereits angekündigt hat, bleibt das veraltete Protokoll im Alltag allgegenwärtig – und wird Administratoren wohl noch Jahrzehnte begleiten. Da es sich leicht angreifen lässt, spielt NTLM bei Sicherheitsvorfällen oft eine entscheidende Rolle. Doch auch Kerberos, das eigentlich als sicher gilt, ist von Schwachstellen geplagt. Wegen des von Microsoft eingesetzten, veralteten Verschlüsselungsverfahrens RC4 lassen sich schwache Passwörter damit in kürzester Zeit offline knacken.

Praxisnahe Hilfe

Administratoren müssen daher genau verstehen, wo die Schwachstellen beider Protokolle liegen, welche Risiken sie für das eigene Netzwerk bedeuten und wie sie die Gefahren minimieren. Dieses dreistündige heise-security-Webinar erklärt Ihnen nicht nur, warum Kerberos und NTLM weiterhin Probleme bereiten. Referent Frank Ully demonstriert praxisnah, wie Angreifer im AD nicht nur die Kommunikation kapern (Attacker-in-the-Middle, AitM), sondern gezielt Anmeldeversuche erzwingen (Coercion). Er zeigt die verheerenden Folgen von Relaying-Angriffen auf Dateiserver, Domänencontroller und Zertifikatsdienste.

Anschließend erläutert Ully die bewährten Konzepte, um sich schrittweise aus der Gefahrenzone zu bringen. Dazu präsentiert er die notwendigen Gegenmaßnahmen und erklärt, warum deren Umsetzung in der Praxis oft hakt. Das mündet in ein Konzept, mit dem Sie Ihr eigenes Netz schrittweise absichern und verbleibende Restrisiken weitestmöglich einschränken. Ob erfahrener Sicherheitsexperte oder Administrator einer gewachsenen Domäne: Nach diesem Webinar verstehen Sie die Risiken der AD-Authentifizierung und wissen, wie Sie die Lücken effizient schließen.

Zu 100% unabhängig

Das Webinar findet statt am 26. Februar und dauert insgesamt etwa drei Stunden, in denen auch viel Raum für Fragen der Teilnehmer vorgesehen ist. Wie bei allen heise security Events ist die Veranstaltung komplett werbefrei und unabhängig. Sie richtet sich an Administratoren und Sicherheitsverantwortliche in Unternehmen und Behörden aller Größen, die ein AD betreiben. Die Teilnahme kostet aktuell 195 Euro; ab dem 1. Februar erhöht sich der Preis auf 225 Euro. Mitglieder von heise security PRO können natürlich kostenlos daran teilnehmen (ihr erhaltet die Informationen dazu wie üblich über den exklusiven Security-Newsletter am Donnerstag und im PRO-Forum).

Weitere Informationen zum Webinar und die Möglichkeit, sich anzumelden gibt es auf der Webseite zu:

Die Mitgliedschaft bei heise security PRO umfasst übrigens die kostenlose Teilnahme an allen heise security Webinaren und die alljährliche heise security Tour. Mehr Informationen zu heise security PRO finden Sie hier:

(ju)

Wie viel Schuld tragen die Betreiber Sozialer Netze am Leid von Kindern und deren Umfeld? Bauen sie absichtlich Funktionen ein, die Kinder süchtig machen? Welche Verantwortung tragen sie für die Auswahl der Kindern vorgesetzten Inhalte? Solche Fragen sollen Gerichte und Geschworene in den USA entscheiden. Über tausend Klagen sind anhängig, meist von Kindern, deren (hinterbliebenen) Eltern oder Schulverwaltungen. Zudem führt die Mehrheit der US-Staaten Klage. Beklagt sind regelmäßig Alphabet/Google/YouTube, Bytedance/TikTok, Meta Platforms/Facebook/Instagram und Snapchat-Betreiber Snap. In Kalifornien tritt jetzt ein erster Prozess in die Gerichtssaalphase ein.

Alphabet samt Google und YouTube sowie Facebook müssen sich den Vorwürfen einer als K.G.M. bezeichneten 19-Jährigen stellen. Snap und TikTok haben sich durch Vergleiche aus der Affäre gezogen. Wie viel sie dafür zahlen und ob sie Änderungen versprochen haben, ist streng geheim. Schließlich wollen sie nicht, dass sich das herumspricht, denn es sind ja noch über tausend weitere Klagen anhängig.

Durch ihre Vergleiche haben sich Snapchat und TikTok einen Vorteil verschafft: Sie können zuschauen, wie sich YouTube und Facebook vor Gericht schlagen, und beobachten, was bei den Geschworenen gut ankommt und was nicht. Gleichzeitig können sie auf Äußerungen verzichten, die ihnen sonst in einem späteren Verfahren vorgehalten werden könnten.

Testfall KGM

Erkenntnisgewinn ist ganz offiziell der Zweck dieses ersten Prozesses. Weil so viele Klagen anhängig sind, werden sie gebündelt. Bei Bundesgerichten nennt sich das MDL (Multi-District Litigation), bei kalifornischen Gerichten JCCP (Judicial Council Coordination Proceedings). Ausgewählt wurde dort der Superior Court des County Los Angeles, der zahlreiche Klagen in einer Akte zusammenfasst: Im Gerichtsenglisch heißt sie Christina Arlington Smith individually and as successor-interest to Lalani Walton, deceased, et al v Tiktok et al (Az. 22STCV 2135, JCCP5255). „et al“ ist eine lateinische Abkürzung und steht auf beiden Seiten für „und andere“.

Dass alle Klagen irgendwann im Gerichtssaal verhandelt werden, ist ausgeschlossen. Bis dahin wären viele der Kinder in Pension. Das Gericht in LA hat aus den vielen tragischen Fällen drei unterschiedliche für echte Verhandlungen vor Geschworenen ausgewählt: KGM, RKC und Moore. An diesen Urteilen sollen sich später die Vergleichsverhandlungen der vielen anderen Klagen orientieren. Für die beklagten Datenkonzerne steht in den drei Prozessen also viel auf dem Spiel. Die Auswahl der Geschworenen in Los Angeles hat am Dienstag begonnen und wird mindestens bis Donnerstag dauern.

KGM gibt an, seit dem Alter von sechs Jahren YouTube zu nutzen, seit dem Alter von elf Jahren Instagram. Sie wirft den Betreibern vor, ihr schwere psychologische Schäden zugefügt zu haben, insbesondere durch Merkmale wie endlose Webseiten (infinite scroll) und automatisch ablaufende Videos (autoplay). Die Folgen seien Angstzustände, Depressionen, Selbstschädigungen und Suizidalität.

Plattformen sollen sich bessern

Nicht nur fordert sie für sich und ihre Familie Schadenersatz und Strafschadenersatz, der die Sozialen Netze zu Änderungen drängen soll, sondern auch prominente Warnungen auf den Plattformen selbst. Diese sollen die Eltern der Kinder ansprechen. KGMs Mutter hat ausgesagt, dass sie bei entsprechender Warnung die Nutzung durch ihre Tochter eingeschränkt hätte. Die Beklagten stellen die Vorwürfe in Abrede. Tatsächlich würden sie besonderes Augenmerk auf Kinderschutz legen und zahlreiche Maßnahmen ergreifen.

Die Datenkonzerne haben vergeblich versucht, KGMs Klage im Keim zu ersticken. Die Mutter habe die Nutzungsbedingungen gar nicht gelesen, lautete ein Vorbringen; sie hätte die verlangten Warnhinweise also gar nicht wahrgenommen. Natürlich fordert KGM nicht mehr Kleingedrucktes, sondern prominente Einblendungen, die nicht zu übersehen sind. Bytedance meinte (vor dem Vergleich), KGM sei schon vor dem Einstieg in TikTok psychisch geschädigt gewesen.

Ein anderes Argument war, dass für den Leidensweg des Mädchens nicht die Sozialen Netze, sondern schikanierende Mitschüler (Bullies) und Schwierigkeiten in der Familie verantwortlich seien. Und juristisch seien die Klagen ohnehin unzulässig: Tatsächlich verleiht US-Bundesrecht in Section 230 Immunität für Inhalte, die Webseitenbetreiber nicht selbst bereitstellen, sondern die von Dritten gepostet werden (mit Ausnahmen, die hier nichts zur Sache tun). Die erhobenen Vorwürfe stünden allesamt in engem, untrennbarem Zusammenhang mit solchen Inhalten. Nur in bestimmten Fällen haften Betreiber für die Auswahl der Drittinhalte, die sie ihren Nutzern vorsetzen.

Schwierige Beweisführung

Die Richterin hat jedoch alle Anträge auf schnelle Verfahrenseinstellung abgelehnt: KGM habe genügend Beweise vorgelegt, um zu zeigen, dass die Schädigung durch die Gestaltung der Plattformen eingetreten ist, unabhängig von deren konkreten Inhalten.

Darauf werden sich die Anwälte der jungen Frau wohl konzentrieren. Besonders herausfordernd ist, dass sie nicht bloß die Geschworenen davon überzeugen müssen, dass es wirklich die Funktionen Facebooks und YouTubes waren, die die Mandantin geschädigt haben. Und, wenn möglich, dass die Konzerne von der Schädlichkeit wussten. Die Beweisführung muss zudem darlegen, welche Plattform in welchem Umfang zu welcher Schädigung beigetragen hat.

Hinweis: In Deutschland finden Sie Hilfe und Unterstützung bei Problemen aller Art, auch bei Fragen zu Suizid und Mobbing, bei der telefonseelsorge.de und telefonisch unter 0800 1110111. Die Nummer gegen Kummer (Kinder- und Jugendtelefon) lautet 116 111. In Österreich gibt es ebenfalls kostenfreie Hilfsangebote, darunter speziell für Kinder der Kindernotruf unter 0800 567 567 sowie Rat auf Draht unter 147. Dieselbe Telefonnummer führt in der Schweiz zu Pro Juventute.

(ds)

Adobe hat neue Funktionen für die Bildbearbeitung Photoshop vorgestellt. Im Mittelpunkt stehen neue Einstellungsebenen, überarbeitete KI-Werkzeuge und ein neues Textwerkzeug im Testbetrieb.

Neue Einstellungsebenen

Erstmals seit langer Zeit integriert Adobe einen neuen Satz Einstellungsebenen in Photoshop. Die aus Lightroom bekannten Regler für „Klarheit“, „Dunst entfernen“ und „Korn“ lassen sich künftig auf diese Weise nicht-destruktiv anwenden und mit Ebenenmasken kombinieren.

Klarheit verstärkt lokale Kontraste und betont Strukturen, ohne das gesamte Bild zu schärfen. „Dunst entfernen“ greift in Kontrast und Farbstimmung ein, um neblige oder flache Aufnahmen klarer wirken zu lassen. Korn verleiht Bildern mehr Struktur und reduziert digitale Glätte. Intensität, Größe und Charakter des digitalen Filmkorns können eingestellt werden.

Überarbeitete KI-Werkzeuge

Zu den KI-Funktionen rund um Adobe Firefly zählen „Generatives Füllen“, „Generatives Erweitern“ und das Entfernen-Werkzeug. Aktualisierte Modelle erzeugen 2K-Auflösung und sollen mehr Details liefern.

Nach Angaben von Adobe setzen die Werkzeuge Texteingaben zuverlässiger um und erzeugen sauberere Übergänge zwischen bestehenden und berechneten Bildteilen als zuvor. Beleuchtung und Bildtiefe sollen natürlicher wirken. Beim Retuschieren verspricht der Hersteller weniger Artefakte und gleichmäßigere Flächen.

Beim Generativen Füllen mit Referenzbildern kann Photoshop laut Adobe künftig nicht nur Stil, Farben oder Anmutung übernehmen, sondern auch konkrete Objekte aus einer Vorlage berücksichtigen. Das Programm erkenne Geometrie und Perspektive und passe eingefügte Inhalte an Größe, Licht, Farbe und Blickwinkel der Zielszene an. Adobe will damit Brüche vermeiden, bei denen eingefügte Elemente nicht zur Umgebung passen.

Dynamischer Text (Beta)

Bisher nur im Testbetrieb veröffentlicht Adobe dynamischen Text. Damit lassen sich Textebenen per Klick biegen, krümmen oder kreisförmig anordnen. Photoshop passt Textgröße und Verlauf ohne Umwege über Pfade automatisch an eine gewählte Form an.

Verfügbarkeit

Die neuen Einstellungsebenen und die überarbeiteten KI-Werkzeuge stehen laut Adobe ab sofort in der Desktop-Version von Photoshop bereit. Die verbesserten Funktionen für Generatives Füllen, Generatives Erweitern und Entfernen sollen auch in der Web-App von Photoshop verfügbar sein. Der dynamische Text startet zunächst als Beta-Funktion.

(akr)