Connect with us

Datenschutz & Sicherheit

Untersuchung: Elektrobusse in Großbritannien aus China abschaltbar?


Behörden in Großbritannien gehen dem Verdacht nach, dass chinesische Elektrobusse per Fernzugriff deaktiviert werden können. Das Department for Transport arbeitet hierfür laut der Sunday Times mit dem National Cyber Security Centre zusammen. Anlass hierzu gab eine Untersuchung in Norwegen, bei der ein Bus des Herstellers Yutong eine Hacking-Anfälligkeit aufwies. Auch in Dänemark geht man dem Anfangsverdacht nach.

Weiterlesen nach der Anzeige

Das öffentlich-rechtliche Verkehrsunternehmen Ruter hatte in Norwegen in Tests herausgefunden, dass ein digitaler Zugang für Softwareupdates und Diagnosedaten theoretisch auch dafür genutzt werden könnte, die 850 Yutong-Busse in Norwegen aus der Ferne zu manipulieren. Im Bus eingebaute Kameras könnten allerdings nicht von außen genutzt werden, da sie nicht mit dem Internet verbunden sind.

Remote-Zugang lässt sich isolieren

Ruter hatte den brandneuen Bus im Sommer in einem stillgelegten Bergwerk überprüft, um zu verhindern, dass es äußere Einflüsse gibt, etwa über Mobilfunk. Die Ergebnisse wurden erst vor Kurzem mitgeteilt. Der Test diente dazu, die Sicherheit der E-Busse zu prüfen. Die Untersuchung ergab, dass im Bus eine rumänische SIM-Karte eingebaut ist, die Zugang zum Energie- und Batteriemanagement-System des Busses ermöglicht. Zum Vergleich wurde ein drei Jahre alter Elektrobus des niederländischen Herstellers VDL getestet. Dieser könne nicht aus der Ferne gewartet werden und biete auch keinen entsprechenden digitalen Zugang.

Der Yutong-Bus könnte theoretisch mit einem Softwareupdate lahmgelegt werden. Allerdings gibt Ruter zu bedenken, dass das Modul für den Fernzugang nicht tief in die Systeme des Fahrzeugs integriert sei. Der Kontakt zur Außenwelt lasse sich leicht abklemmen. Auch sei es möglich, vorab Einblick in die gesendeten Aktualisierungen zu erhalten.

Abgeordneter fürchtet „Abhörgeräte“

Yutong erklärte laut der Times, dass sich das Unternehmen strikt an Gesetze und Standards der Betriebsländer halte. Daten würden nur für die fahrzeugbezogene Wartung und Optimierung genutzt. Zudem sei der Zugang durch Verschlüsselung und Zugriffskontrollen geschützt. Zugriff sei nur mit Kundenautorisierung möglich. Auch würden die EU-Datenschutzgesetze strikt eingehalten.

Weiterlesen nach der Anzeige

Laut britischen Medien sind etwa 700 Busse von Yutong auf britischen Straßen unterwegs, hauptsächlich in Glasgow, Nottingham und Südwales. Von BYD, ebenfalls ein chinesischer Hersteller, sind fast 2500 Busse in Großbritannien im Einsatz, davon über 1000 in London. Yutong entwickelt derzeit einen Doppeldecker-Elektrobus, der den Londoner Standards entsprechen soll. Bislang gibt es jedoch noch keine Bestellungen.

Die Sorge in Großbritannien fußt vor allem auf den angespannten Beziehungen mit China. Der konservative Abgeordnete Sir Iain Duncan Smith etwa fürchtet „Abhörgeräte“ auf britischen Straßen.


(mki)



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Das Grundrecht auf digitale Integrität und sein Erfolg in der Schweiz


Das Konzept der digitalen Integrität setzt sich in der Schweiz immer mehr durch. Zu diesem Schluss kommt ein Artikel von Adrienne Fichter in der Republik. Doch um was geht es dabei eigentlich?

Das in der Westschweiz zuerst auftauchende neue Grundrecht breitet sich zunehmend auf kantonaler Ebene in der Schweiz aus und findet dort Eingang in Verfassungen. Laut Republik haben Genf und Neuenburg das Recht auf digitale Integrität bereits in ihre Kantons­verfassungen aufgenommen, im Kanton Jura habe das Parlament Ja dazu gesagt. In der Waadt, in Basel sowie Luzern hätten Kantons­rätinnen Vorstöße eingereicht.

Am 30. November wird in Zürich über eine Volksinitiative zum Thema abgestimmt. Weltweit sei das neue Grundrecht aber noch einzigartig und nur in der Schweiz anzutreffen, so der Bericht weiter. Getragen würde es von unterschiedlichen politischen Strömungen und Parteien, ein heterogenes Netzwerk stehe hinter dem Grundrecht.

Wir sind ein spendenfinanziertes Medium

Unterstütze auch Du unsere Arbeit mit einer Spende.

Das Grundrecht auf digitale Integrität setzt sich, wie hier in der Volksinitiative in Zürich beschrieben, aus folgenden Rechten zusammen:

  • Ein Recht auf Vergessenwerden
  • Ein Recht auf ein Offline-Leben
  • Ein Recht auf Informationssicherheit
  • Ein Recht darauf, nicht von einer Maschine beurteilt zu werden
  • Ein Recht darauf, nicht überwacht, vermessen und analysiert zu werden
  • Ein Recht auf Schutz vor Verwendung von Daten ohne Zustimmung, welche das digitale Leben betreffen

Das Grundrecht bildet demnach einen Gegenpol zu einer Welt, in der Daten das neue Öl seien und Datenschutz immer weiter durch entgrenzte Datennutzung unter Druck gerät. Dabei ist das neue Grundrecht auf digitale Unversehrtheit eine Erweiterung und Teil des Grundrechts auf körperliche Unversehrtheit, die durch die immer bedeutendere Rolle des Digitalen als Teil des Persönlichkeitsrechtes nötig werde. Gegner:innen des Konzepts argumentieren, dass die körperliche Unversehrtheit die digitale Integrität schon abdecke.

Ein wichtiger Teil der digitalen Unversehrtheit ist die informationelle Selbstbestimmung, die in Deutschland bereits als eigenes Grundrecht formuliert wurde. Ebenso gibt es in Deutschland das so genannte IT-Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme, das auch zur Digitalen Integrität gezählt werden kann. Ein längeres Video, welches das neue Grundrecht erklärt, hat die Digitale Gesellschaft Schweiz veröffentlicht.

„Maßstäbe für Behörden setzen“

Bislang wurde das neue Grundrecht in der Schweiz auf regionaler und kantonaler Ebene eingeführt. Gegner:innen des neuen Grundrechtes argumentieren beispielsweise in Zürich, dass solche Dinge auf Bundesebene geregelt werden müssten und dass die Bürger:innen sonst falsche Erwartungen an das Recht hätten. Monica Amgwerd, die sich für die Volksinitiative einsetzt, widerspricht gegenüber Republik diesem Argument. Sie sieht den Staat als Vorbild. „Das Recht auf digitale Integrität soll Maßstäbe für Behörden setzen und indirekt auch auf den privaten Sektor ausstrahlen“, so Amgwerd gegenüber dem Medium. Dennoch gehöre das Thema auch auf die bundesweite Ebene.

Bislang steht die Schweiz mit dem neuen Grundrecht noch recht alleine da. In Deutschland hatte die Piratenpartei im Jahr 2021 das Grundrecht in ihrem Wahlprogramm eingefordert, im französischen Straßburg hat es die digitale Integrität in einen Beschluss des Stadtrates geschafft.



Source link

Weiterlesen

Datenschutz & Sicherheit

Polizei soll mit deinen Daten Software trainieren dürfen


Am Mittwoch will die grün-schwarze Landesregierung in Baden-Württemberg einen heftig umstrittenen Gesetzentwurf verabschieden. Er erlaubt dem Bundesland den Einsatz der Palantir-Software zur Datenanalyse, die das Land für mehr als 25 Millionen Euro bereits eingekauft hat.

Im Windschatten dieses Ansinnens bringt der Gesetzentwurf eine weitere bedeutende Verschlechterung des Datenschutzes im Land mit sich: Laut Paragraf 57a soll die Polizei von Baden-Württemberg künftig personenbezogene Daten zur Entwicklung, zum Training, zum Testen, zur Validierung und zur Beobachtung von informationstechnischen Systemen einsetzen dürfen. Dabei ist unerheblich, ob sich die betroffenen Menschen zuvor verdächtig gemacht haben. Die entsprechende Datenverarbeitung ist nicht an ein Ermittlungsverfahren gebunden, sondern allein zur Verbesserung und Implementierung von Überwachungssoftware gedacht.

Bürger*innen werden demnach künftig Daten liefern, mit denen beispielsweise das privatwirtschaftliche Unternehmen Palantir, gegründet vom rechten Anti-Demokraten Peter Thiel, seine Produkte verbessern kann. Wenn also in Kürze die ersten Tests der Palantir-Software in Baden-Württemberg beginnen, könnten diese direkt mit realen personenbezogenen Daten vorgenommen werden, die millionenfach in Polizeidatenbanken lagern.

Auch der Test und das Training von beispielsweise automatisierter Verhaltens- oder Gesichtserkennung ist damit möglich. Ausgenommen sind nur Daten, die im Rahmen einer Wohnraumüberwachung erhoben wurden.

Daten dürfen auch an Dritte weitergegeben werden

Sobald „unveränderte Daten benötigt werden oder eine Anonymisierung oder Pseudonymisierung der Daten nicht oder nur mit unverhältnismäßigem Aufwand möglich ist“, dürfen beispielsweise auch Klarnamen und andere eindeutig identifizierende Informationen wie Gesichtsfotos dabei genutzt werden. Die Daten dürfen auch an Dritte weitergegeben werden.

Tobias Keber, der Landesdatenschutzbeauftragte, fordert in einer Stellungnahme, zumindest in jedem Fall zu prüfen, ob eine Anonymisierung oder Pseudonymisierung tatsächlich unverhältnismäßig ist. Nach dem Entwurf, der Mittwoch zur Abstimmung gestellt wird, ist dies nicht zwingend vorausgesetzt, sobald „unveränderte Daten benötigt werden“. Außerdem solle, so Keber, seine Behörde jeweils frühzeitig eingebunden werden.

Es ist gut möglich, dass diese Rechtsgrundlage zum Testen und Trainieren mit personenbezogenen Daten eine Reaktion auf den bayerischen Umgang mit Palantir-Software ist. Dort hatten die Behörden die Datenanalyse mit Echtdaten tatsächlicher Menschen ohne Rechtsgrundlage getestet, woraufhin der bayerische Landesdatenschutzbeauftragte forderte, den Test zu beenden. Laut der Wissenschaftlichen Dienste des Bundestages muss ein derartiger Testbetrieb den gleichen – hohen – Anforderungen genügen wie der tatsächliche Einsatz.

Wer zusehen möchte, wie die grün-schwarze Landesregierung diesen massiven Grundrechtseingriff durchs Parlament bringt, kann dies Mittwoch ab 13.30 Uhr auf der Website des Landtags tun.



Source link

Weiterlesen

Datenschutz & Sicherheit

Qnap dichtet einen Schwung Pwn2Own-2025-Sicherheitslücken ab


Insgesamt elf Sicherheitsmitteilungen hat Qnap am Wochenende veröffentlicht, die teils kritische Schwachstellen in den NAS-Systemen und zugehöriger Software behandeln. Die Aktualisierungen zu den Mitteilungen stehen bereits zum Herunterladen und Installieren bereit – wer Qnap-Systeme einsetzt, sollte prüfen, ob die Geräte bereits auf dem aktuellen Stand sind.

Weiterlesen nach der Anzeige

Details zu den Schwachstellen sind jedoch Mangelware – selbst die CVE-Einträge sind noch nicht veröffentlicht. In QTS und QuTS hero hat Qnap jedoch drei Sicherheitslücken gestopft, die als Zero-Day-Lücke auf der Pwn2Own 2025 in Irland für Angriffe auf die NAS-Speichergeräte attackiert wurden (CVE-2025-62847, CVE-2025-62848, CVE-2025-62849). Ein Angriffsvektor mit CVSS-Wertung fehlt bislang, Qnap stuft das Risiko jedoch als „kritisch“ ein. Die Fehlerkorrekturen bringen QTS 5.2.7.3297 Build 20251024, QuTS hero h5.2.7.3297 Build 20251024 sowie QuTS hero h5.3.1.3292 Build 20251024 und neuere Fassungen mit.

Weitere kritische Lücken finden sich in Hyper Data Protector (CVE-2025-59389), was Version 2.2.4.1 und neuer ausbessern, oder HBS 3 Hybrid Backup Sync (CVE-2025-62840, CVE-2025-62842), bei denen Stand 26.2.0.938 oder neuer das Problem beseitigen.

Auch „nicht-Pwn2Own-Lücken“ geschlossen

Qnap bessert jedoch auch andere Schwachstellen aus, die nicht auf der Pwn2Own gefunden wurden. Etwa in QuMagie vor 2.7.0 steckte eine als kritisches Risiko eingestufte SQL-Injection-Lücke, die Angreifern aus dem Netz das Ausführen von Schadcode ermöglichte (CVE-2025-52425).

Weitere Sicherheitsmitteilungen vom Wochenende stopfen Sicherheitslecks, die die Qnap-Entwickler teils als nicht ganz so gravierend einordnen:

Weiterlesen nach der Anzeige

Zuletzt hatte Qnap im September hochriskante Sicherheitslücken in QTS und QuTS hero gemeldet. Die Aktualisierungen, die die Probleme beseitigten, waren zu dem Zeitpunkt bereits länger verfügbar.


(dmk)



Source link

Weiterlesen

Beliebt