Connect with us

Datenschutz & Sicherheit

Was die Regierung in Österreich plant


In Österreich regiert ein Dreierbündnis aus der konservativen ÖVP, der sozialdemokratischen SPÖ und den liberalen NEOS. In ihrem Regierungsprogramm haben die drei Parteien im Februar klargemacht, dass allerhand neue Überwachungsbefugnisse auf das Land zukommen. Nun, rund eine Woche nach einem Amoklauf an einer Schule in Graz, geht es schnell: Die österreichische Regierung hat eine Gesetzesvorlage für Staatstrojaner vorgelegt und zudem Alterskontrollen in sozialen Medien mit Registrierungspflicht der Nutzer:innen in den Raum gestellt.

Auf Staatstrojaner zur Messengerüberwachung durch die Direktion Staatsschutz und Nachrichtendienst (DSN), einigte sich am Mittwoch der österreichische Ministerrat. Die DSN ist gleichzeitig polizeiliche Staatsschutzbehörde als auch Inlandsgeheimdienst. Zuvor lagen die Regierungspartner im Clinch, vor allem die NEOS zweifelten die Verfassungsmäßigkeit der heimlichen, invasiven Überwachung an. Inzwischen ist dies der fünfte Anlauf, um die umstrittene Ermittlungsmethode gesetzlich zu verankern. Rechtlich sind ihr nach einem Grundsatzurteil des Verfassungsgerichtshofs aus dem Jahr 2019 enge Grenzen gesetzt.

Staatstrojaner gegen „verfassungsgefährdende Angriffe“

Nun soll Schadsoftware auf Geräten von Verdächtigen installiert werden dürfen, wenn „verfassungsgefährdende Angriffe“ vermutet werden, die mit mindestens zehn Jahren Freiheitsstrafe bedroht werden und andere Ermittlungsmaßnahmen aussichtslos scheinen. Ziel der Überwachung sollen dabei vor allem verschlüsselte und unverschlüsselte Nachrichten sein sowie „Informationen, die über internetbasierte Apps wie WhatsApp, Telegram etc. übermittelt werden, als auch über einen Cloud-Diensteanbieter an einen Cloud-Server übermittelte Datenpakete“.

Lokal gespeicherte Dateien sollen laut der Gesetzesvorlage nicht betroffen sein. Fachleute etwa vom Chaos Computer Club weisen jedoch seit Jahren darauf hin, dass diese Abgrenzung technisch eine eher kosmetische Bedeutung hat und durch Nachladen neuer Module des Staatstrojaners schnell aufgehoben werden kann.

Zur rechtlichen Absicherung soll jeder Staatstrojanereinsatz zuvor durch das österreichische Bundesverwaltungsgericht genehmigt und vom Rechtsschutzbeauftragten im Innenministerium begleitet werden müssen. Betroffene sollen im Nachhinein informiert werden. Eine solche Informationspflicht für Überwachungsmaßnahmen besteht regelmäßig auch in Deutschland, in der Praxis unterbleibt sie jedoch aufgrund zahlreicher Ausnahmen.

Kritik von Bürgerrechtler:innen

Kritik an der geplanten Messenger-Überwachung kommt von IT-Sicherheitsfachleuten und Bürgerrechtsorganisationen. Die Österreichische Liga für Menschenrechte schrieb in einer Stellungnahme zum Gesetzentwurf, dass die geplante Maßnahme „mit den in Österreich geltenden Grund-, Freiheits- und Menschenrechten nicht vereinbar ist“. Die Vereinigung der österreichischen Rechtsanwältinnen und Rechtsanwälte weist darauf hin, dass für Staatstrojaner IT-Sicherheitslücken offengehalten und so gleichsam „die österreichische Gesellschaft und Wirtschaft verletzlich“ würden.

Besonders aktiv im Kampf gegen diesen und vormalige Versuche zur Einführung von Staatstrojanern in Österreich ist seit mehreren Jahren die NGO epicenter.works mit ihrer Kampagne bundestrojaner.at. In einer Stellungnahme weist epicenter.works auf die durch Staatstrojaner entstehende Gefahr für liberale Demokratien hin, die aus den Staatstrojaner-Skandalen rund um Pegasus, Predator und andere deutlich geworden seien: „Die gezielte Überwachung politischer Opposition, die systematische Einschüchterung unabhängiger Medien und die Manipulation öffentlicher Diskurse mittels verdeckter staatlicher Überwachung unterminieren zentrale Elemente liberaler Demokratien – darunter politische Pluralität, Meinungsfreiheit, faire Wahlen und rechtsstaatliche Gewaltenteilung.“

Widerstand gegen die Messenger-Überwachung könnte im weiteren Prozess auch von Regierungsparteien selbst kommen. Die müssen im parlamentarischen Verfahren weitere Details klären, damit das Gesetz wie geplant Anfang 2027 in Kraft treten kann. Laut Medienberichten sollen trotz der Einigung die NEOS weiterhin nicht glücklich mit dem Vorstoß sein. „Ich bin tief davon überzeugt, dass NEOS als liberale Partei solche staatliche Überwachungssoftware nicht unterstützen kann“, zitiert Der Standard deren Vizeklubchef Nikolaus Scherak. Die österreichischen Grünen warfen der liberalen Partei indes vor, umgefallen zu sein und die Überwachungsfantasien der ÖVP zu erfüllen.

Alterskontrollen und Registrierungspflicht

Weniger konkret als die Staatstrojaner-Pläne der Regierung sind Ankündigungen zu Registrierungspflicht und Alterskontrollen im Netz, die ÖVP-Staatssekretär Alexander Pröll machte. Er brachte ins Spiel, dass sich Nutzer:innen sozialer Medien vorher registrieren müssen. Erfolgen könnte dies etwa mit der digitalen Identität „ID Austria“, mit der sich Bürger:innen bislang Behörden gegenüber ausweisen. Im Raum steht eine Altersgrenze von 14 Jahren, was zum einen Kinder und Jugendliche von einer Nutzung ausschließen würde. Zum anderen könnten Behörden dann potenziell bei den Dienste-Anbietern die bürgerliche Identität hinter gewählten pseudonymen Account-Namen abfragen.

Mit einem solchen Vorstoß würde Österreich die Anonymität im Netz torpedieren. Gleichzeitig ist ein solches Vorhaben europarechtlich fragwürdig. Ein nationaler Alleingang hätte wahrscheinlich keinen Bestand vor dem Europäischen Gerichtshof, wie Thomas Lohninger von epicenter.works gegenüber Der Standard sagte. Die EU arbeitet mittlerweile selbst an Leitlinien für mögliche Alterskontrollen im Netz.

Eine Alterskontrolle gepaart mit einer Registrierungspflicht würde außer europarechtlichen noch viele weitere Probleme schaffen und stellt durch Abschreckung eine Gefahr für die freie Meinungsäußerung und persönliche Entwicklung dar, sei es für queere Jugendliche, Whistleblower:innen oder Demokratie-Aktivist:innen.

Sowohl die Diskussion um Registrierungspflicht als auch Messengerüberwachung steht in Österreich derzeit unter dem Eindruck des Grazer Amoklaufs. Dabei haben beide eines gemeinsam: Geändert hätten die Maßnahmen an der Tat des volljährigen und zuvor unbescholtenen, mutmaßlichen Einzeltäters wohl nichts.



Source link

Verwandte Themen:
Weiterlesen
Kommentar schreiben

Leave a Reply

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Datenschutz & Sicherheit

Cisco Meraki MX und Z: Angreifer können VPN-Verbindungen unterbrechen


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Der Cisco AnyConnect VPN Server von Cisco Meraki MX und Z ist verwundbar. Außerdem können Angreifer an einer Schwachstelle in ClamAV ansetzen. Sicherheitspatches stehen zum Download bereit. Bislang gibt es keine Berichte zu Attacken.

In einer Warnmeldung führen die Entwickler aus, dass es bei der Initialisierung von VPN-Sessions zu Fehlern kommt, an denen Angreifer mit präparierten HTTPS-Anfragen ansetzen können. Das führt zu einem Neustart des VPN-Servers und einer Unterbrechung der Verbindung. Dementsprechend müssen sich Nutzer neu verbinden. Weil Angreifer die Attacke Cisco zufolge immer wieder ausführen können, kann es zu einer dauerhaften Unterbrechung kommen. Die Sicherheitslücke (CVE-2025-20271) ist mit dem Bedrohungsgrad „hoch“ eingestuft.

Davon sollen die folgenden Produkte betroffen sein:

  • MX64
  • MX64W
  • MX65
  • MX65W
  • MX67
  • MX67C
  • MX67W
  • MX68
  • MX68CW
  • MX68W
  • MX75
  • MX84
  • MX85
  • MX95
  • MX100
  • MX105
  • MX250
  • MX400
  • MX450
  • MX600
  • vMX
  • Z3
  • Z3C
  • Z4
  • Z4C

Die Entwickler geben an, das Sicherheitsproblem in den Ausgaben 18.107.13, 18.211.6 und 19.1.8 gelöst zu haben. Das Problem trete ab Version 16.2 auf. Da der Support für 16.2 und 17.6 bereits ausgelaufen ist, müssen Admins auf eine aktuelle Ausgabe upgraden.

ClamAV ist ebenfalls für eine DoS-Attacke anfällig. Die Lücke (CVE-2025-20234 „mittel„) steckt in der Verarbeitung des Universal Disk Format (UDF). Scannt ClamAV präparierten UDF-Inhalte, kommt es zu Speicherfehlern und der Scanner stürzt ab. Das hat zur Folge, dass Appliances über keinen Virenschutz mehr verfügen.

Der Netzwerkausrüster gibt an, die Schwachstelle in den folgenden Ausgaben geschlossen zu haben:

  • Secure Endpoint Connector for Linux 1.26.1
  • Secure Endpoint Connector for Mac 1.26.1
  • Secure Endpoint Connector for Windows 7.5.21, 8.4.5
  • Secure Endpoint Private Cloud 4.2.2 (or earlier with updated connectors)


(des)



Source link

Weiterlesen

Datenschutz & Sicherheit

Proxy: Umgehung von Beschränkungen in Apache Traffic Server möglich


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

In Apache Traffic Server (ATS), einem quelloffenen Proxy-Server, wurden zwei Sicherheitslücken entdeckt. Angreifer können sie missbrauchen, um damit Zugriffsbeschränkungen zu umgehen oder Denial-of-Service-Attacken auszuführen. Aktualisierte Quellen stehen bereit, um die Schwachstellen auszubessern.

Auf der oss-sec-Mailingliste haben die Entwickler Informationen zu den Sicherheitslecks veröffentlicht. Eine Schwachstelle betrifft das PROXY-Protokoll. Für die Anwendung von Zugriffskontrollen (ACLs) zieht der ATS die Client-IP-Adresse nicht heran, wodurch Unbefugte womöglich Zugriff erlangen können (CVE-2025-31698, kein CVSS-Wert, keine Risikoeinschätzung). Die aktualisierte Software bietet nun eine neue Konfigurationsoption an (proxy.config.acl.subjects), um vorzugeben, welche IP-Adresse für die ACLs der Optionen „ip_allow.config“ und „remap.config“ genutzt und als vertrauenswürdig eingestuft werden.

Die zweite Sicherheitslücke betrifft das ESI-Plug-in (Edge Side Includes). Angreifer können eine Denial-of-Service-Situation provozieren, da das Plug-in unter Umständen allen Speicher aufbraucht. Offenbar ist es möglich, eine unendliche Inclusion-Depth anzugegen (CVE-2025-49763, kein CVSS, keine Risikoeinschätzung). Das Software-Update fügt eine neue Einstellung für das Plug-in hinzu, den Parameter „–max-inclusion-depth“ mit dem Standardwert 3. Das soll Endlos-Inklusionen verhindern.

Betroffene Softwareversionen

Apache Traffic Server in den Versionen 9.0.0 bis 9.2.10 sowie 10.0.0 bis 10.0.5; die Korrekturen enthalten die Fassungen 9.2.11 und 10.0.6 oder neuere. Um die Schwachstellen auszubessern, müssen Admins die neuen Optionen konfigurieren; der Standardwert für die Inklusionstiefe des ESI-Plug-ins sollte jedoch ausreichend sein.

Das CERT-Bund des Bundesamts für Sicherheit in der Informationstechnik (BSI) hat eine Einschätzung des Risikos durch die Sicherheitslücken vorgenommen. Der CERT-Bund-Sicherheitsmitteilung zufolge landet der CVSS-Wert bei 8.2, was dem Risiko „hoch“ entspricht. IT-Verantwortliche sollten daher zügig die Aktualisierung auf die neuen Apache-Traffic-Server-Versionen vornehmen und die neuen Optionen konfigurieren, sofern sie die beiden Funktionen einsetzen.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Die vagen Open-Source-Pläne der EU-Kommission


Die EU-Kommission fördert seit Jahren Open-Source-Projekte. Zentral war dabei bisher ein Programm namens Next Generation Internet (NGI), das schnell und unbürokratisch Geld an vielversprechende Projekte verteilt – etwa den dezentralen Mikroblogging-Dienst Mastodon, die Videoplattform-Software PeerTube oder die Videokonferenz-Anwendung Jitsi.

Diesem NGI-Programm will die Kommission aber den Geldhahn abdrehen. Daran gibt es seit Monaten laute Kritik. NGI funktioniere gut und effizient, so die Botschaft verschiedener Gruppen. Open Source spiele eine zentrale Rolle dabei, Europa vor ausländischen Akteuren zu schützen – das sei gerade im aktuellen geopolitischen Umfeld sehr wichtig.

Die Kommission verweist seit Monaten darauf, dass das Ende von NGI nicht das Ende ihrer Open-Source-Förderung bedeuten soll. Die soll unter einem neuen Namen weiterlaufen – zuerst „Open Europe Stack“, inzwischen „Open Internet Stack“. Wichtig: Trotz des ähnlichen Namens hat das Programm nur indirekt mit dem „EuroStack“ zu tun.

Buzzword-Bingo

Aber was genau bedeutet das? Warum braucht es überhaupt ein neues Programm? Was soll sich mit dem neuen Namen ändern? Wie viel Geld soll das neue Programm haben? Darauf gab es bisher noch keine genauen Antworten.

In der offiziellen Beschreibung ist die Rede von einem „öffentlich verfügbaren und laufenden Stack“. Der soll sich auf „Internet-Technologien für Vertrauen, Transaktionen, Konnektivität und Dezentralisierung“ konzentrieren. Dabei soll eine „Bibliothek an inklusiven, vertrauenswürdigen, interoperablen und menschenzentrierten Anwendungen und Diensten“ entstehen.

Ein tatsächlich neuer Punkt: Das neue Programm soll mit dem sogenannten „Connected Collaborative Computing“-Netzwerk, kurz 3C-Netzwerk, verbunden sein. Dieses Netzwerk ist ein Wunschtraum der Kommission für ein Internet, das sich stärker auf Telekommunikationsfirmen stützen soll – einer der wenigen Sektoren, in denen Europa digital noch mitreden kann. Auch diese Idee ist aber momentan noch sehr vage.

Thibault Kleiner, Direktor im Generaldirektorat Connect der Kommission, wurde heute etwas konkreter. „Wir sind an einem Punkt, wo wir uns weiterentwickeln müssen“, sagte er heute beim jährlichen NGI-Forum in Brüssel. Die Arbeit des Programms sei ein großer Erfolg gewesen, ergebe aber nicht genug in Geschäftserfolge: „Wir machen die Arbeit, aber wir ziehen daraus keinen Gewinn.“ Der neue Fokus soll laut ihm auf Software liegen, die als glaubwürdige Alternative zu Big-Tech-Angeboten dienen soll.

Es stehen Entscheidungen an

Noch mehr Details zum Open Internet Stack liefert ein internes Dokument, dass ein Berater für die Kommission verfasst hat. Eine Kurzversion des Dokuments hat die Kommission für das NGI-Forum freigegeben – wir veröffentlichen die vertrauliche, vollständige Version des Dokuments.

Am konkretesten wird das Papier zum Budget des zukünftigen Programms. Das ist besonders wichtig, weil in Brüssel bald die Verhandlungen über den nächsten mehrjährigen Finanzrahmen der Europäischen Union beginnen. Der wird für die Jahre 2028 bis 2034 grob vorgeben, wofür die EU wie viel Geld ausgeben will – etwa, wie sehr sie Open-Source-Entwickler:innen fördern kann.

Wie viel Geld darf’s sein?

Das Dokument skizziert für diesen Zeitraum vier Szenarien: gar kein Geld, so viel wie bisher, ein wenig mehr Geld oder doppelt so viel. Sollte die EU-Kommission Open Source gar nicht mehr fördern, könnte Europa noch abhängiger von nicht-europäischer Software werden, warnt der Autor des Dokuments. Fachkräfte könnten abwandern.

Die Kommission könnte auch das bisherige Fördermodell von NGI weiterführen. Das habe sich bisher bewährt, schreibt auch der Autor des Papiers. Kosten würde das die Kommission insgesamt 35 Millionen Euro pro Jahr. Diese Option könnte auf dem aufbauen, was NGI bisher schon erreicht habe, und durch das unbürokratische Fördermodell auch kleine Organisationen erreichen.

Als dritte Option erwägt das Dokument ein Jahresbudget von 50 Millionen Euro, mit dem die europäische Digitalindustrie angefeuert werden soll. Das zusätzliche Geld soll etwa in den Bildungssektor fließen oder neue Unternehmen unterstützen. Gesonderte Budgets soll es für Technologie geben, die für Europa „kritisch“ ist – was auch immer das heißen soll.

Bei der vierten Option soll es sogar 70 Millionen Euro pro Jahr geben. Damit könnte Europa „die Regeln für das digitale Zeitalter setzen“, sagt der offenbar sehr optimistische Autor voraus. Mit diesem Geld könnte man zur ersten Region werden, die Open-Source-Maintainer als Personal für kritische Infrastruktur behandelt. Das könnte die digitale Infrastruktur widerstandsfähiger machen.

Noch viele Fragen offen

Die Zahlen für das Budget sind zwar relativ konkret – aber darüber hinaus bleiben die Pläne vage. Was bedeutet der neue Name etwa für die NLnet Foundation, die aktuell die Open-Source-Fördermittel an Entwickler:innen verteilt? Diese Frage bereitet momentan den Mitarbeitenden dort einiges Kopfzerbrechen. Es könnte auch sein, dass die Stiftung ihre Arbeit komplett einstellen muss.

Auch die Entwickler:innen sind momentan noch im Unklaren darüber, was der Open Internet Stack für sie bedeutet. Selbst die bekanntesten Open-Source-Projekte, die die EU bisher unterstützt hat, haben momentan noch eine Menge Fragen.

Das schwierige Thema Beschaffung

Das Dokument enthält auch noch eine ganze Liste an weiteren Ideen, was die EU in Sachen Open Source tun könnte. Ein zentrales Problem, auf das Open-Source-Entwickler:innen seit Jahren hinweisen, ist die öffentliche Beschaffung. Sie haben oft große Probleme damit, ihre Produkte an Behörden zu verkaufen, weil deren Prozesse für fertig verfügbare Software-Pakete aufgebaut sind.

Das Dokument schlägt deshalb vor, dass die EU ihre Verfahrensregeln besser auf Open Source ausrichten soll. Außerdem soll das zuständige Personal darüber fortgebildet werden, wie die Entwicklung von Open-Source-Software funktioniert. Die Kommission soll dabei mit gutem Beispiel vorangehen.

Diese Vorschläge kommen zu einem guten Zeitpunkt: Erst gestern berichtete Euractiv, dass die Kommission aktiv darüber verhandelt, für interne Cloud-Dienste von Microsoft Azure auf den französischen Open-Source-Cloud-Anbieter OVH Cloud umzusteigen. Auch die Beschaffungsregeln für Europas Behörden werden gerade überarbeitet.

Eine weitere Idee ist eine EU-Rechtsform für spendenfinanzierte Open-Source-Organisationen. Diese Rechtsform soll vor allem einfach und damit für Entwickler:innen zugänglich sein. Das könnte Problemen wie denen von Mastodon begegnen, dem in Deutschland die Gemeinnützigkeit aberkannt wurde.



Source link

Weiterlesen

Beliebt