Die Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) und das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) haben sich auf eine enge Zusammenarbeit bei Cloud-Sicherheitskriterien verständigt. Die Kooperation zweier wichtiger europäischer Akteure soll einen Tag vor dem deutsch-französischen Digitalgipfel ein Aufbruchsignal sein: Bei erhöhtem Sicherheitsbedarf soll künftig grenzüberschreitend gedacht werden.

„Wir müssen einen unterbrechungsfreien Betrieb und eine effektive Kontrolle über unsere sensiblen Daten in den Clouds sicherstellen“, sagt BSI-Präsidentin Claudia Plattner. Frankreich und Deutschland gehe es darum, „Hand in Hand die Risiken zu adressieren, die durch extraterritoriales Recht oder Abhängigkeiten entstehen“, ergänzt ANSSI-Generaldirektor Vincent Strubel.

Sicherheitsanforderungen uneinheitlich

Europäische Cloudanbieter stehen bislang vor dem Problem, dass jeder der 27 EU-Nationalstaaten für Remoteanwendungen und Speicher jeweils eigene Vorgaben für „sichere Clouds“ hat, für die oft auch einzeln Zertifizierungen und Sicherheitsüberprüfungen durchgeführt werden müssen.

Mit dem von der EU-Kommission angekündigten „Cloud Sovereignty Framework“ soll sich das grundsätzlich ändern. Darauf wollen die beiden Cybersicherheitsbehörden in Bonn und Paris nun aufbauen. Ziel sei es, kompatible Kriterien und Methoden zu deren Einhaltung zu entwickeln.

ANSSI treibt seit 2016 das an die ISO 270001-Norm angelehnte SecNumCloud-Framework voran. Auch das BSI arbeitet an Cloud-Mindeststandards, derzeit sind die sogenannten C5-Kriterienkataloge die Vorgaben der Bonner IT-Sicherheitsspezialisten.

Angesichts stark steigender Nachfrage seitens geheimschutzbedürftiger Stellen hatte Plattner zuletzt grundsätzliche Überlegungen veröffentlicht, wie Daten mit einem geringeren Schutzniveau auch in der US-Cloud gespeichert werden könnten. Dafür musste die BSI-Präsidentin aus Teilen der europäischen Open-Source-Community einige Kritik einstecken. Die gemeinsame Erklärung von BSI und ANSSI enthält nun ein klares Bekenntnis zu europäischen Stakeholdern und Open Source-Technologien.

Betrieb im Ausland vereinfachen

Zögen die beiden Schwergewichte unter den EU-Cybersicherheitsbehörden aber tatsächlich dauerhaft an einem Strang, könnten sie gleich zwei Probleme adressieren: zum einen, dass die Kosten für Anbieter – und in der Folge die Preise für Anwender – durch die Vielzahl der nationalen Vorschriften hoch sind. Zum anderen, dass hierdurch auch das Betreiben von Rechenzentren nach nationalen Vorschriften im EU-Ausland vereinfacht wird.

Allerdings ist die Idee, gemeinsam an den Kriterien für sichere Cloudumgebungen zu arbeiten, nicht ganz neu: Vor neun Jahren wollten der damalige BSI-Präsident Arne Schönbohm und sein französischer Counterpart Guilaume Poupard bereits ein Label für eine „European Secure Cloud“ entwickeln, als Zeichen der guten deutsch-französischen Digitalkooperation. Und auch dieses Mal heißt es in der gemeinsamen Erklärung der beiden Seiten an relevanter Stelle: Das gemeinsame Vorgehen solle stattfinden, „wo möglich“.

(vbr)

Die Berliner Schwarz-Rote Landesregierung möchte der Hauptstadt ein neues Polizeigesetz (ASOG) verpassen. An diesem gab es schon bei der Sachverständigenanhörung Ende September viel Kritik. Dort sprachen Expert:innen von einer „Abkehr von der grundrechtsfreundlichen Politik“: So soll neben einem automatischen Datenabgleich mit biometrischen Daten auch er Einsatz von Videoüberwachung mit Verhaltensscannern sowie der Einsatz von Staatstrojanern möglich werden.

Heute fand die 2. Lesung im Berliner Innenausschuss statt. Eingeflossen ist die Kritik der Sachverständigen in einen aktualisierten Vorschlag jedoch kaum, laut Opposition hat sie die Koalition in ihrem Änderungsantrag nicht ausreichend berücksichtigt. Von Kosmetik ist die Rede.

Besonders brisant: Eine Änderung erweitert nun sogar die Befugnisse der Polizei noch einmal. Demnach soll die Polizei künftig biometrische Daten zu Gesichtern und Stimmen auch von Kontakt- und Begleitpersonen der Verdächtigen mittels automatisierter Anwendungen biometrisch mit öffentlich zugänglichen Daten aus dem Internet abgleichen dürfen.

„Grundrechtsbeeinträchtigungen unbeteiligter Personen“

In einer Stellungnahme (PDF) kritisiert die Berliner Datenschutzbeauftragte, dass die ausdrückliche Einbeziehung von Kontakt- und Begleitpersonen den Personenkreis der Betroffenen erheblich erweitere. Damit würde die Streubreite des ohnehin intensiven Eingriffs weiter erhöht. Die Polizei erlange einen „erheblichen Beurteilungsspielraum“. Entsprechend berge das Gesetz das Risiko, dass Personen einbezogen werden, die tatsächlich in keiner Weise an der Straftatenbegehung beteiligt sind.

Dabei verweist die Datenschützerin, dass dies im Kontext der biometrischen Fernidentifizierung, die bereits aufgrund der Nutzung künstlicher Intelligenz und der Vielzahl durchsuchter Internetquellen eine hohe Streubreite aufweist, zu einer „Potenzierung der Grundrechtsbeeinträchtigungen unbeteiligter Personen“ führe. Die Datenschutzbeauftragte hält dies für nicht verhältnismäßig.

„Abkehr von der grundrechtsfreundlichen Politik“

Einfallstor für eine Superdatenbank

Kritik kam in der Ausschusssitzung von den Grünen und der Linken. Gegenüber netzpolitik.org mahnte der grüne Innenpolitiker Vasili Franco, dass die Kritik aus der Sachverständigenanhörung nicht genug berücksichtigt worden sei. „Stattdessen wird der biometrische Abgleich im Internet von Kontakt- und Begleitpersonen und die weitgehende Verwendung von Verkehrs- und Nutzungsdaten zur Erstellung von Persönlichkeitsprofilen möglich gemacht. Durch das Polizeigesetz kann zukünftig jedermann in Berlin zur Gefahr gemacht werden, sobald man in das Visier der Polizei gerät“, so Franco weiter.

Dass in der Vergangenheit Informationen durch Sicherheitsbehörden nicht rechtzeitig zusammengeführt wurden, dürfe nicht als Einfallstor für eine Superdatenbank und Datenanalysen mit unklarer Zweckbestimmung dienen, so Franco. „Ein gutes Polizeigesetz muss konkrete Antworten darauf geben, was die Polizei darf und was sie nicht darf.“

„Grundrechtseingriffe von extremer Intensität“

Auch der linke Innenpolitiker Niklas Schrader sagt, dass die Koalition mit ihrem Änderungsantrag vor allem redaktionelle und kosmetische Änderungen vorgenommen habe. „Insgesamt bleibt es bei einem massiven Überwachungsausbau, den CDU und SPD planen“, sagt Schrader gegenüber netzpolitik.org.

Mit neuen Instrumenten wie der KI-gestützten Videoüberwachung mit Verhaltensanalyse oder der Verknüpfung und automatisierte Auswertung von Polizeidaten könnten potentiell alle Berliner:innen polizeilich erfasst werden, so Schrader weiter. Das geplante ASOG enthalte „verfassungsrechtlich bedenkliche Regelungen und Grundrechtseingriffe von extremer Intensität und Streubreite“. Sein Fazit fällt dementsprechend kritisch aus: „SPD und CDU in Berlin oder CSU in Bayern, das nimmt sich in der Innenpolitik mittlerweile nichts mehr.“

Protest von Bürgerrechtsorganisationen

Mehrere Bürgerrechtsorganisationen hatten zuletzt die Pläne für das neue Polizeigesetz kritisiert und einen Stopp des Gesetzgebungsverfahrens gefordert. In einem offenen Brief monieren die Organisationen den möglichen Einsatz einer orts- und verhaltensübergreifenden Analyseplattform zum biometrischen Abgleich mit über das Internet öffentlich zugänglichen personenbezogenen Daten und die automatisierte Verhaltensmustererkennung.

Zudem lasse das Polizeigesetz zu, dass Datenbestände der Polizei losgelöst von konkreten Anlässen dauerhaft zusammengeführt werden könnten. Hierdurch entstünde eine Superdatenbank mit „Möglichkeiten zum Erstellen von Bewegungsprofilen, Verhaltensmuster- und Sozialkontaktanalysen“. In einem Interview mit der taz kritisierte Lukas Theune, Geschäftsführer des Republikanischen Anwalt:innenverbandes (RAV), der Gesetzentwurf solle der Polizei gläserne Bürger:innen ermöglichen.

Das neue Polizeigesetz soll am 4. Dezember im Berliner Angeordnetenhaus beschlossen werden.

Angreifer können sich durch das erfolgreiche Ausnutzen einer Sicherheitslücke in Ciscos Catalyst Center Administratorrechte verschaffen. Die Entwickler haben nun diese und weitere Lücken geschlossen. Bislang gibt es keine Berichte zu Attacken. Das kann sich aber schnell ändern.

Verschiedene Gefahren

Mit Catalyst Center managen Admins Netzwerke. Weil Attacken an so einer Stelle richtig wehtun, sollte die Software zeitnah auf den aktuellen Stand gebracht werden. Am gefährlichsten gilt eine Schwachstelle (CVE-2025-20341 „hoch„) über die sich entfernte Angreifer zum Admin hochstufen können. Das klappt aber nur, wenn sie bereits mindestens als Oberserver authentifiziert sind.

Ist diese Hürde überwunden, können sie Attacken mit präparierten HTTP-Anfragen einleiten. Aufgrund von unzureichenden Überprüfungen werden diese verarbeitet und es kommt zu Fehlern. Im Anschluss können Angreifer neue Accounts anlegen. In einer Warnmeldung führen die Entwickler aus, dass davon ausschließlich Catalyst Center ab Version 2.3.7.3-VA betroffen ist. Vorige Ausgaben und 3.1 sind davon nicht bedroht. Die Version 2.3.7.10-VA enthält einen Sicherheitspatch.

Die verbleibenden Softwareschwachstellen (CVE-2025-20341, CVE-2025-20349, CVE-2025-20353, CVE-2025-20355, CVE-2025-20346) sind mit dem Bedrohungsgrad „mittel“ eingestuft. Sind Attacken an diesen Stellen erfolgreich, können sich Angreifer unter anderem zum Root-Nutzer hochstufen. Damit das klappt, müssen sie aber bereits an Systemen angemeldet sein.

Weiterführende Informationen finden Admins in den verlinkten Warnmeldungen des Netzwerkausrüsters.

Die Schwachstellenliste nach Bedrohungsgrad absteigend sortiert:

(des)