Connect with us

Datenschutz & Sicherheit

Umgang mit psychischen Erkrankungen: Es muss etwas passieren


„Wir können erst etwas tun, wenn etwas passiert ist.“ Das ist ein Satz, den Annette Lindt-Lange häufig gehört hat, als sie bei verschiedenen Stellen Unterstützung gesucht hat. „Und dann ist eben irgendwann ‚etwas passiert‘“, sagt sie am Telefon. Ein psychisch erkrankter Angehöriger von ihr hat eine Straftat begangen und ist im Maßregelvollzug gelandet.

Lindt-Lange ist Sozialpädagogin und engagiert sich im Vorstand des hessischen Landesverbandes der Angehörigen und Freunde von Menschen mit psychischen Erkrankungen. Dorthin wandte sie sich nach der Unterbringung ihres Familienmitglieds.

„Wir hatten damals schon eine fünf Jahre lange Vorgeschichte hinter uns. Immer wieder Zwangseinweisungen, immer wieder Entlassungen ohne Nachbetreuung“, erzählt sie. Ein klassischer Weg der „Forensifizierung“, sagt Lindt-Lange heute. Damit meint sie: Erkrankte werden immer wieder kurzfristig in psychiatrischen Kliniken untergebracht, eine langfristige, niedrigschwellige Hilfe, die zu ihnen passt und sie stabilisiert, finden sie dabei häufig nicht.

Weil die Betroffenen zudem oft schlechte Erfahrungen mit Zwangshospitalisierungen machen, hält sie das teils davon ab, sich selbst in Behandlung zu begeben. Es kommt zu Behandlungs- und Therapieabbrüchen und einer möglichen Chronifizierung ihrer Erkrankungen – im schlimmsten Fall kann das am Ende zu einer Eskalation führen, bei der sie sich selbst oder anderen schaden.

Eskalation mit Schlagzeilen

Dass Menschen mit einer psychischen Erkrankung straffällig und insbesondere gewalttätig werden, ist sehr selten. Laut Forschenden wie der kanadischen Sozialepidemiologin Heather Stuart ist der Zusammenhang zwischen psychischen Erkrankungen und Gewalttaten in der öffentlichen Wahrnehmung überschätzt. „Es ist sehr viel wahrscheinlicher, von einem psychisch gesunden Menschen verletzt zu werden“, schreibt die Bundespsychotherapeutenkammer. Nur bei einigen wenigen Erkrankungen ist das Risiko für eine Gewalttat erhöht, beispielsweise bei Substanzmissbrauch oder in psychotischen Phasen, vor allem wenn die Betroffenen nicht in Behandlung sind.

Kommt es zu entsprechenden Gewalttaten, machen Eskalationen teils bundesweit Schlagzeilen. In den letzten Monaten ist das mehrmals passiert: ein Anschlag auf einen Weihnachtsmarkt in Magdeburg, ein Messerangriff in einem Aschaffenburger Park, Brandsätze auf eine Synagoge. In all diesen und weiteren Fällen berichteten Medien nicht nur über die Taten, sondern auch über die psychiatrische Vorgeschichte der Verdächtigen.

Einige waren bereits zuvor aufgefallen, waren teils bereits wegen Straftaten verurteilt worden oder kurz zuvor aus einer psychiatrischen Klinik entlassen worden. In einigen Fällen wurden die Verdächtigen nach ihrer Festnahme nicht in Untersuchungshaft, sondern in ein psychiatrisches Krankenhaus gebracht. So wurden die Taten in der öffentlichen Wahrnehmung mit mutmaßlichen Erkrankungen verknüpft.

Das führte zu Fragen: Wieso konnten die Taten nicht verhindert werden? Hätte nicht auffallen müssen, dass die mutmaßlichen Täter:innen sich in einer psychischen Krise befunden haben? Hätte nicht irgendjemand eingreifen können? Und wie lässt sich so etwas in Zukunft verhindern?

Schnelle Antworten auf komplexe Probleme

Vermeintlich schnelle Antworten auf diese komplexen Probleme hatten nach den Ereignissen vor allem Politiker:innen parat: CDU-Generalsekretär Carsten Linnemann forderte im Januar ein Register für „psychisch kranke Gewalttäter“, verpflichtende Meldungen psychisch kranker „Gefährder“ wollte Thüringens Innenminister Georg Maier (SPD). Seitdem diskutiert die Innenministerkonferenz über einen intensiveren Datenaustausch zu erkrankten Personen zwischen Gesundheits-, Sicherheits-, Justiz- und Ausländerbehörden sowie ein „integriertes Risikomanagement“.

„Menschen mit psychischer Erkrankung sind viel häufiger Opfer von Gewalttaten, als dass sie Täter werden“, sagt Andreas Jung. Er ärgert sich über solche Diskussionen. Jung war in der Vergangenheit selbst mehrmals wegen einer psychischen Erkrankung in einer Klinik. Heute setzt er sich für die Interessen von Psychiatriebetroffenen ein, als Mitglied im Psychiatriebeirat Hessen, als zertifizierter Genesungsbegleiter und Mitarbeiter der unabhängigen Marburger Psychiatrie-Beschwerdestelle.

Den Einwand von Jung bestätigen mehrere Datenerhebungen. Eine Befragung aus Großbritannien unter Menschen in psychiatrischer Behandlung etwa kam zu dem Ergebnis, dass schwer psychisch erkrankte Frauen im Vergleich zu einer Kontrollgruppe einem vier Mal so hohen Risiko ausgesetzt sind, Opfer von sexualisierter Gewalt zu werden. Bei einer anderen Auswertung zeigte sich, dass sich Opfer von Tötungsdelikten überdurchschnittlich oft vorher in psychiatrischer Behandlung befunden hatten.

Ein falscher Eindruck

Über diese Missstände gibt es kaum Berichte und noch weniger öffentliche Diskussionen. Das ist ein Problem. In einem Leserbrief, den die unabhängige Beschwerdestelle Psychiatrie in Marburg im Juni an hessische Medien richtete, heißt es: Durch die Berichterstattung über vermutete oder gesicherte psychische Erkrankungen von Täter:innen werde „der Eindruck erweckt, dass von Menschen mit einer psychischen Erkankung eine besondere Gefahr ausgehe“. Das kritisiert die Beschwerdestelle. Wenn medial immer wieder ein Zusammenhang zwischen Taten und psychischer Verfassung hergestellt werde, könne das zu einer „feindseligen Stimmung“ gegenüber kranken Personen führen.

Wozu die Diskussionen über vermeintliche Gefahren noch führen: Es wirkt, als sei die psychische Verfassung von Menschen vor allem ein Thema für die Sicherheitspolitik geworden. Und so bekommen Forderungen nach Datenaustausch und „Risikomanagement“ mehr Aufmerksamkeit als Kritik an der psychosozialen Versorgung für Betroffene.

Hessen, wo sowohl Andreas Jung als auch Annette Lindt-Lange wohnen, ist dabei besonders aktiv. Seit Beginn des Jahres arbeitet dort eine Taskforce des Landeskriminalamts daran, 1.600 psychisch erkrankte Personen, die in einer Polizeidatenbank entsprechend markiert sind, zu überprüfen und das mit ihnen verbundene Risiko zu bewerten. „Psychisch Auffällige / Vielschreiber / Gewalttäter“ ist der Name der Arbeitsgruppe.

Nach einem Gesetzentwurf von CDU und SPD sollen künftig außerdem Polizei und Ordnungsamt informiert werden, wenn eine unfreiwillig hospitalisierte Person aus einer Psychiatrie entlassen wird und Ärzte ohne medizinische Betreuung eine Fremdgefährung fürchten.

Andreas Jung ist sich sicher, dass dies zu einer Verschlechterung für hilfesuchende Menschen führen würde. „Solche Regelungen haben schwere Folgen für das Vertrauensverhältnis vom Patienten zum Arzt“, sagt er. „Das stört die Behandlung, baut Barrieren auf und macht es noch schwieriger, Hilfe zu suchen.“

Wie es sich anfühlt, wenn solche Barrieren entstehen, hat Volker Scherer erlebt. Er ist psychiatrieerfahren und war das letzte Mal vor anderthalb Jahren freiwillig für einige Tage in einer Klinik. Scherer erlebt immer wieder technische Einmischungen und erzählt im Gespräch, dass er mit Schalltriggern angegriffen werde. „Eine Kombination von Kriminalität und Überwachung“, sagt er. Er selbst schreibe wegen deswegen viele Briefe an Behörden und frage sich, ob er nun auch als „Vielschreiber“ gilt. „Da werden nur die Menschen als Problem gesehen und gar keine äußeren Umstände betrachtet.“

Bei seinem letzten Klinikaufenthalt habe er eine rechtliche Betreuung „reingeknallt bekommen“, sagt Scherer. Eine solche Betreuung soll je nach Einzelfall dabei unterstützen, beispielsweise Behördendinge und Wohnungsangelegenheiten zu regeln. Ganz unzufrieden war Scherer am Ende damit nicht, es habe ihm „etwas geholfen“, sagt er. Später wurde die Betreuung auf seinen Antrag hin wieder aufgehoben.

Eine psychosoziale Unterstützung wurde ihm zwar auch angeboten, aber „da ging das Vertrauen wieder verloren“. „Man war nicht bereit, dort meine Probleme und die Schalleinmischungen ernst zu nehmen“, sagt er.

Unklare Kriterien

Der Genesungsbegleiter Andreas Jung sieht noch ein Problem für das Vertrauensverhältnis: „Die Kriterien für die Meldungen, die in Hessen künftig gemacht werden sollen, sind völlig unklar.“ Und warum sollte eine Person überhaupt aus einer Klinik entlassen werden, wenn ein Arzt davon ausgeht, dass sie noch selbst- oder fremdgefährend sein könnte? „Wenn ein untergebrachter Patient nicht kooperativ und einsichtig ist, wird in der Regel sowieso der Beschluss zu seiner Unterbringung verlängert“; wirft Jung ein.

Manche Ärzte würden künftig vielleicht kaum etwas melden, weil sie das Vertrauen ihrer Patient:innen nicht gefährden wollen. Andere wiederum könnten die Behörden über sehr viele Entlassene informieren – um auf Nummer sicher zu gehen. Das zumindest vermutet Constantin von Gatterburg. Er hat viele Jahre beim sozialpsychiatrischen Dienst des Gesundheitsamtes im hessischen Kreis Bergstraße gearbeitet. Nun ist er im Ruhestand, engagiert sich aber weiterhin unter anderem als Sprecher der hessischen Landesarbeitsgemeinschaft der Gesellschaft für Soziale Psychiatrie.

„Psychiatrie ist zu wesentlichen Teilen Beziehungsarbeit, Vertrauen ist zentral für die Genesung“, sagt von Gatterburg. „Das steht für den Arzt im Vordergrund, nicht, dass er noch mehr sicherheitsrechtliche Aufgaben übernimmt.“ Von Gatterburg hat zwar nicht prinzipiell etwas dagegen, dass sich verschiedene Institutionen über erkrankte Personen austauschen. Ihm ist aber wichtig: „Das muss unter dem Aspekt der Hilfe passieren und nicht für eine Gefährdungsanalyse.“

Denn klar ist: Um Erkrankte bei einer Genesung und Stabilisierung zu unterstützen und das Risiko zu verringern, dass sie sich oder anderen Schaden zufügen, braucht es vor allem passende Behandlungsangebote und Prävention. Doch daran fehlt es überall.

Es fehlt an allen Stellen

Wenn man beispielsweise Annette Lindt-Lange fragt, was Betroffenen und Angehörigen helfen würde, fallen der Angehörigen einer Person im Maßregelvollzug schnell viele Dinge ein: flächendeckende, aufsuchende Krisendienste zum Beispiel. Die könnten Erkrankte zu Hause besuchen und sie in ihrem eigenen Umfeld unterstützen.

Es fehlten auch mehr Angebote für betreutes Wohnen, sagt sie. Therapien seien mit hohen Wartezeiten verbunden. Sich einen Platz zu suchen, erfordert viel Eigenmotivation von den Erkrankten. Problematisch sei auch, was nach Aufenthalten in einer Psychiatrie passiert. Der Übergang führe oft zu Problemen. „Manche Menschen werden in die Obdachlosigkeit entlassen“, sagt Lindt-Lange. „Nach ihrer Klinikzeit haben sie dann gar keinen Halt mehr.“

Das kann Andreas Jung bestätigen: „Das Entlassmanagement funktioniert überhaupt nicht. Oft ist unklar, was nach dem Klinikaufenthalt passiert, Menschen warten monatelang auf einen ambulanten Therapieplatz.“ Das führe, so Jung, vielerorts zu einer „Drehtürpsychiatrie“, bei der Klinikaufenthalte sich mit Entlassungen abwechseln.

Die eine passende Lösung für alle Betroffenen gibt es aber nicht. „Die Betreuung nach der Klinik muss zu der jeweiligen Person passen“, sagt von Gatterburg. Manche bräuchten eine Tagesbetreuung, andere würden von aufsuchenden Hilfen profitieren.

Woran scheitern psychosoziale Angebote?

Ein Problem beobachtete er in seiner Arbeit immer wieder: „Krisen passieren oft in Zeiten, wo die klassischen Dienstleister und Angebote nicht aktiv sind.“ Um beispielsweise rund um die Uhr erreichbare Krisendienste einzurichten, müsste es aber erst eine gesicherte Finanzierung geben.

Der psychiatrische Notdienst in Darmstadt beispielsweise, der an Wochenenden und Feiertagen abends erreichbar ist, wird zwar finanziell von Stadt und Landkreis unterstützt, ist aber darüber hinaus auf Spenden angewiesen. Und nicht überall gibt es überhaupt flächendeckende Akutangebote. Ein wenig besser ist die Situation beispielsweise in Bayern, wo es ein Netzwerk an Krisendiensten gibt, das 24 Stunden am Tag telefonisch erreichbar ist.

Scheitert so etwas in Ländern wie Hessen am verfügbaren Budget? Annette Lindt-Lange vermutet, dass es daran eigentlich nicht liegen könne. Denn wenn es im schlimmsten Fall zu einer Eskalation kommt, ist das zum einen zuallererst tragisch und schockierend für alle Betroffenen. Aber eben auch sehr kostspielig. „Die Unterbringung im Maßregelvollzug ist extrem teuer“, sagt Lindt-Lange. Mehr als 300 Euro pro Tag zahlt das Land Hessen für eine untergebrachte Person, die Einrichtungen sind überbelegt. „Prävention ist immer günstiger“, so die Angehörige.

Dafür bräuchte es ihrer Meinung nach eine Strategie und Prioritätensetzung aus der hessischen Landesregierung. Doch auf die wartet sie vergeblich. Stattdessen diskutieren vor allem Innenministerien und Sicherheitsbehörden über den Umgang mit psychisch erkrankten Straffälligen. „Dabei sollte das etwas sein, womit sich vor allem die Sozial- und Gesundheitsministerien beschäftigen“, wünscht Lindt-Lange sich. Damit etwas passiert. Aber diesmal etwas, was Betroffenen hilft und Eskalationen vorbeugen kann.



Source link

Datenschutz & Sicherheit

Trittbrettfahrer per Vibe Coding: Sicherheitsmeldungen verraten wichtige Details


Cyberkriminelle und staatliche Angreifer setzen immer häufiger auf KI zur Unterstützung ihrer digitalen Attacken. Wie sehr ihnen Veröffentlichungen von Sicherheitsforschern dabei die Arbeit erleichtern, haben nun Sicherheitsforscher von Trend Micro untersucht. Sie spannten unbeschränkte Large Language Models (LLMs) ein, um anhand eigener Blog-Beiträge Malware zu schreiben.

Dass sich Schadsoftware-Autoren Inspiration bei ihren Gegenspielern in Sicherheitsunternehmen holen, ist bekannt, etwa aus den Conti-Leaks. Die Befürchtung: Mit KI-Unterstützung müssen Cyberkriminelle mittlerweile weder lesen noch programmieren können. Sie verfüttern einfach detaillierte Sicherheitsanalysen an ein LLM und lassen sich Schadsoftware schreiben. Ob das klappt, untersuchten Mitarbeiter der Securityfirma Trend Micro.

Dazu nahmen sie die Softwaresammlung einer in Asien und Lateinamerika aktiven Cyberbedrohung namens „Earth Alux“ als Vorbild für eine Nachahmer-Malware. In ihrem Experiment nutzten die Forscher LLMs, die keine Beschränkungen (Guardrails) gegen die Erstellung maliziöser Programme enthalten. Die mussten sie mitnichten in dunklen Ecken besorgen – sie stehen auf Hugging Face zum Download zur Verfügung. Der resultierende Quellcode benötigte jedoch noch etwas Nacharbeit, die kriminelle Karriere bedarf also nach wie vor etwas Fachwissens. Doch ähnelte der Schadsoftware-Klon seinem Vorbild in jedem veröffentlichten Detail.

Attraktiv scheint dieses „Nachahmer-Vibecoding“ also nicht vorrangig für Einsteiger ins digitale Verbrechen, sondern eher für Gruppierungen, die Ermittler auf falsche Fährten locken wollen. So könnten sie Angriffe mittels nachgeahmter Taktiken, Techniken und Prozeduren (TTPs) einer feindlichen Gruppe unterschieben, was die ohnehin oft wacklige und chaotische Attributierung weiter erschwert.


Vibe Coding Malware

Vibe Coding Malware

Malware-Vibecoding mit Cline: Aus einem Blogartikel baut das Programmier-LLM eine Schadsoftware.

(Bild: Trend Micro)

Schon heute bedienen sich Angreifergruppen derlei Taktiken, mutmaßliche Nordkoreaner streuen etwa russische Codeschnipsel in ihre Schadsoftware ein. Doch Vibe Coding anhand von Security-Artikeln erlaubt ihnen eine präzisere und vor allem effizientere Nachahmung, so die Trend-Micro-Analyse.

Doch die Autoren des Blog-Artikels warnen vor voreiligen Reaktionen und betonen, man dürfe nicht aufhören, über Sicherheitsbedrohungen zu sprechen und schreiben. Es sei wichtiger denn je, Informationen über Angriffe und Bedrohungen zu veröffentlichen, man müsse jedoch der Gefahren gewahr sein. Herausgeber von Sicherheitsmeldungen oder -analysen müssten untersuchen, ob die veröffentlichten Details zum Vorgehen der Angreifer eine KI-gestützte Nachahmung ermöglichten. Zudem erschwere Vibe Coding die Zuordnung von Angriffen zu Angreifergruppen weiter.


(cku)



Source link

Weiterlesen

Datenschutz & Sicherheit

EuGH: Schmerzensgeld nach Datenpanne auch ohne materiellen Schaden möglich


Der Europäische Gerichtshof (EuGH) hat am Donnerstag seine Rechtsprechung zum Ausgleich von Schäden auf Basis der Datenschutz-Grundverordnung (DSGVO) erneut präzisiert. Ein Arbeitssuchender hat demnach bei einem Datenschutzverstoß des potenziellen Arbeitgebers prinzipiell Anspruch auf Schadenersatz und Schmerzensgeld, auch wenn er keinen materiellen Schaden nachweisen kann. Ausgelöste negative Gefühle können ausreichen.

Hintergrund des Falls: Ein Bewerber, der sich bei der Berliner Quirin-Privatbank Online-Karrierenetzwerk beworben hatte, erhielt eine unerwartete Benachrichtigung. Auslöser: Eine Mitarbeiterin des Finanzinstituts hatte über den Messenger-Dienst des Netzwerks eine vertrauliche Nachricht an den Jobsuchenden an eine dritte Person geschickt, die der Bewerber kannte. Die Nachricht enthielt vertrauliche Informationen über die Gehaltsverhandlungen des Bewerbers, insbesondere die Ablehnung seiner Gehaltsvorstellungen und ein neues Gehaltsangebot. Sie war eigentlich nicht für Außenstehende bestimmt.

Der Dritte, ein ehemaliger Kollege des Bewerbers, leitete die Nachricht an ihn weiter, um herauszufinden, ob er auf Jobsuche war. Daraufhin reichte der Arbeitssuchende Klage gegen die Quirin-Bank ein. Er forderte von ihr, die Verarbeitung seiner Bewerbungsdaten einzustellen, um weitere unbefugte Offenlegungen zu verhindern. Zudem verlangte er Schadensersatz für den immateriellen Schaden, den er erlitten hatte.

Dieser Schaden entstand ihm zufolge, weil er sich Sorgen machte, dass die vertraulichen Informationen von der dritten Person aus der Branche an frühere oder potenzielle Arbeitgeber weitergegeben werden könnten. Der Bewerber befürchtete zudem einen Wettbewerbsnachteil und fühlte sich durch die Offenlegung seiner gescheiterten Gehaltsverhandlungen gedemütigt. Der Bundesgerichtshof (BGH) verwies den Fall an den EuGH zur Klärung von Fragen zur DSGVO.

Die Luxemburger Richter haben mit ihrem am Donnerstag verkündeten Urteil in der Rechtssache C-655/23 nun entschieden: Negative Gefühle wie Sorge, Ärger oder der Eindruck des Kontrollverlusts über die eigenen Daten können einen immateriellen Schaden darstellen. Eine finanzielle Entschädigung ist möglich, wenn der Kläger nachweisen kann, dass er diese negativen Gefühle tatsächlich empfunden hat.

Bei der Höhe der Entschädigung darf laut dem EuGH nicht berücksichtigt werden, wie schwerwiegend das Verschulden der Bank war. Auch eine leichtfertige Fahrlässigkeit reicht also aus. Zudem darf dem Beschluss zufolge das Schmerzensgeld nicht gekürzt oder ersetzt werden, nur weil der Kläger eine gerichtliche Anordnung erwirkt hat, dass die Bank den Verstoß künftig unterlassen muss.

Weiter stellte der Gerichtshof fest: Es gibt im EU-Recht keinen speziellen Rechtsanspruch darauf, eine Wiederholung des Datenlecks gerichtlich zu unterbinden, falls der Kläger nicht die Löschung seiner Daten fordert. Dennoch können Mitgliedstaaten wie Deutschland solche Unterlassungsklagen in ihrem nationalen Recht vorsehen. Die ausdrückliche Verneinung eines europäischen datenschutzrechtlichen Unterlassungsanspruchs überrascht den Wirtschaftsprofessor Alexander Golland, da der EuGH einen solchen in mehreren Google-Urteilen 2014 und 2019 noch bejaht habe.

Bislang war nicht ganz klar, ob ein reiner immaterieller Schaden ohne konkrete finanzielle oder körperliche Nachteile für eine Klage ausreicht. Der EuGH hat nun hervorgehoben, dass genau diese Art von Benachteiligung einen Anspruch auf Entschädigung begründen kann. Das Urteil senkt so weiter die Hürde für Betroffene, Schadensersatzansprüche durchzusetzen. Es reicht der Nachweis, dass der Verstoß größere Sorgen oder Ärger ausgelöst hat.

Zuvor urteilte der EuGH etwa schon 2023: Allein der Umstand, dass nach einem Cyberangriff auf Unternehmen oder Behörden eine betroffene Person infolge eines Verstoßes gegen die DSGVO befürchtet, ihre personenbezogenen Daten könnten durch Dritte missbräuchlich verwendet werden, stellt einen immateriellen Schaden dar. Bereits zuvor bestätigte der Gerichtshof, dass die DSGVO keine Erheblichkeitsschwelle für Schadenersatz vorgibt und breite Ansprüche möglich sind. 2024 arbeitete der EuGH heraus: Ein Datenschutzverstoß ist grundsätzlich nicht weniger schwerwiegend als eine Körperverletzung.


(mki)



Source link

Weiterlesen

Datenschutz & Sicherheit

Sitecore: Angreifer können Schadcode einschleusen – ohne Anmeldung


Das als Cloud- und On-Premises-Lösung verfügbare CMS Sitecore Experience Manager (XM) und Sitecore Experience Platform (XP) ist von einer kritischen Schwachstelle betroffen. Angreifer können ohne vorherige Anmeldung Schadcode einschleusen und ausführen. Offenbar wird die Lücke bereits im Internet angegriffen.

Sitecore beschreibt das Problem in einer Sicherheitsmitteilung. Es handelt sich um eine Schwachstelle des Typs „Deserialisierung nicht vertrauenswürdiger Daten“, durch die Angreifer Schadcode einschleusen können, der zur Ausführung gelangt (CVE-2025-53690 / EUVD-2025-26629, CVSS 9.0, Risiko „kritisch„). Mandiant hat einen aktiven Angriff auf eine sogenannte „ViewState Deserialisation“ im Sitecore-CMS untersucht und dabei die Sicherheitslücke entdeckt. In Anleitungen zur Einrichtung von Sitecore aus dem Jahr 2017 und davor wurde ein Beispiel-Machine-Key genutzt – den dadurch offengelegten ASP.NET-Machine-Key haben Angreifer zur Ausführung von Code aus dem Netz missbraucht, erklären die IT-Forscher.

Es handelt sich damit um eine verwundbare Konfiguration von Sitecore, die Kunden betrifft, die eine anfällige Sitecore-Version mit dem Beispiel-Key in den öffentlichen Anleitungen ausgestattet haben; insbesondere SItecore XP 9.0 und Active Directory 1.4 und jeweils frühere Versionen hebt Mandiant hervor. Den genauen Angriffsverlauf erörtern die IT-Sicherheitsforscher in der Analyse, dort nennen sie auch einige Indizien für eine Infektion (Indicators of Compromise, IOCs).

Als potenziell anfällig nennt Sitecore in der Sicherheitsmitteilung Experience Manager (XM), Experience Platform (XP), Experience Commerce (XC) und Managed Cloud. Wer mit diesen Software-Paketen die Installationsanleitungen für XP 9.0 und AD 1.4 oder früher zusammen mit dem Sample-Machine-Key eingesetzt hat, der etwa mit der Zeichenkette „BDDFE367CD…“ anfängt und einen Validation Key „0DAC68D020…“ nutzt, sollte umgehend handeln.

Sitecore empfiehlt dann, die Umgebung auf verdächtiges oder anormales Verhalten zu untersuchen, die Machine-Keys in der „web.config“-Datei zu ersetzen, zudem sicherzustellen, dass alle System--Elemente der „web.config“ verschlüsselt sind, Zugriff auf die „web.config“ auf Admins beschränken und anschließend das regelmäßige Austauschen statischer Machine-Keys umsetzen.

Zuletzt wurden Angriffe auf Sitecore CMS Ende 2021 bekannt. Auch da waren Angriffe aus dem Netz ohne vorherige Authentifizierung möglich gewesen sein, jedoch erreichte der Schweregrad der Schwachstelle lediglich die Einstufung „hoch“, und nicht wie jetzt „kritisch“.


(dmk)



Source link

Weiterlesen

Beliebt