Es war keine Sternstunde des deutschen Parlaments: Obwohl die Chatkontrolle-Abstimmung im Rat der EU längst von der Tagesordnung genommen worden war, musste sich der Bundestag heute mit einem Antrag der AfD befassen. Die Partei beantragte darin (pdf), dass die Bundesregierung „bei der bevorstehenden Abstimmung“ über die Chatkontrolle „mit Nein“ stimmen solle. Doch die Abstimmung ist auf Dezember vertagt.
Durch die Tatsache, dass also gar keine Abstimmung akut bevorsteht, war der AfD der Spott der Redner aus dem anderen Parteien für den Antrag sicher. Konrad Körner von der CSU nannte ihn einen bloßen „Schaufensterantrag“. Es stehe nicht nur keine Abstimmung an, es gäbe ja nicht mal einen neuen Entwurf, über den man streiten könne.
Mit dem Begriff Chatkontrolle ist ein EU-Vorhaben gemeint, dass die Anbieter von Messaging- und anderen Kommunikationsdiensten verpflichten soll, in den Nachrichten der Nutzer nach Missbrauchsfotos und -videos (CSAM) zu scannen. Dagegen hat sich eine ganze Phalanx an Kritikern ausgesprochen.
Die Fraktionen des Deutschen Bundestages hatten sich letzte Woche auf Antrag von Grünen und Linken schon allesamt gegen den dänischen Vorschlag zur Chatkontrolle ausgesprochen. Genauer gesagt gegen eine „anlasslose Chatkontrolle“, wie die Regierungsparteien auch diesmal nicht müde wurden zu spezifizieren. Jeanne Dillschneider von den Grünen pochte in ihrem heutigen Statement daher auf eine inhaltliche Klärung. Man warte bisher „vergeblich“ auf eine klare Ablehnung durch das Bundesinnenministerium (BMI) und auch auf eine Klärung, was mit einer „anlassbezogenen“ Chatkontrolle technisch gemeint sein könnte.
Das wollte auch Sonja Lemke (Linke) wissen und wies darauf hin, dass die Bundesregierung in ihrem Formulierungen „jedesmal ein ‚anlasslos‘“ einfüge. Dabei bliebe bewußt offen „was ein Anlass sein kann“ und ob technisch auch das Client-Side-Scanning abgelehnt werde.
Die Aussagen der drei Vertreter der Regierungsparteien, die in der kurzen Debatte sprachen, brachten wenige neue Erkenntnisse, aber immerhin ein paar deutliche Worte. Zuletzt war von der dänischen Regierung eine verpflichtende Chatkontrolle und Client-Side-Scanning befürwortet worden.
Katja Strauss-Köster von der CDU betonte, dass erfreulich viele Dienste-Anbieter freiwillig Missbrauchsmaterial aufdecken und an die Behörden melden würden. Aber diese freiwilligen Maßnahmen laufen im April 2026 aus, daher drohe „eine gefährliche Lücke“, wenn man nun nicht handele. Sie wolle eine „solide rechtliche Grundlage“, um den „Status Quo“ zu sichern, also das dauerhafte freiwillige Scannen. Eine solche EU-Verordnung sei anzustreben.
Verpflichtende Maßnahme hingegen solle es „nur im Einzelfall“ geben, so Strauss-Köster. „Ohne konkreten Verdacht“ dürfe private Kommunikation „nicht eingesehen werden“. Sie sagte außerdem, dass „Ende-zu-Ende-Verschlüsselung zentral für unsere Sicherheit“ sei, daher dürfe sie „nicht geschwächt werden“.
Da gab es Applaus aus der CDU/CSU-Fraktion. Doch Strauss-Köster war noch nicht ganz fertig mit ihren Ausführungen: Denn „gleichzeitig dürfen wir verschlüsselte Kommunikation nicht völlig ausnehmen“, fuhr sie fort. Man müsse das „Dunkelfeld“ in den Blick nehmen können. Wie dieser Spagat technisch zu meistern wäre, ließ sie allerdings offen.
Der dänische Vorschlag sei eine Verbesserung gewesen. Es sei dennoch richtig, „dass die Bundesregierung dem nicht zugestimmt hat“. Sie sei für „starke Garantien für Datenschutz und Privatsphäre“, das hätte auch das europäische Parlament vorgegeben. Insgesamt war die kurze Rede Strauss-Kösters eher ein Plädoyer für das freiwillige Scannen.
Carolin Wagner von der SPD betonte, dass im deutschen Parlament Einigkeit bestanden habe: Eine „anlasslose Überwachung privater Inhalte“ sei bereits abgelehnt worden. Es solle auch „keinen Zwang zum Client-Side-Scanning und keinen Zwang in der Aufweichung von Ende-zu-Ende-Verschlüsselung“ geben.
Da war es wieder, das Wörtchen „anlasslos“. Dennoch positionierte sich Wagner am deutlichsten gegen die verschiedenen vorstellbaren technischen Optionen.
Konrad Körner (CSU) war der dritte und letzte der Regierungsparteivertreter und betonte pflichtschuldig, man verteidige die Grundrechte und wolle „keine anlasslose Chatkontrolle“. Man setze sich hingegen für „anlassbezogene Maßnahmen“ ein. Dieser Begriff sei nicht in einer „aufgebauschten Debatte“ zu skandalisieren, schließlich wolle der Bürger, dass sowohl seine Chats als auch seine Kinder sicher seien. Es gehe dabei nämlich um „Ermittlungsbefugnisse“, wenn es einen „Anlass oder Verdacht“ gäbe, dass jemand solches strafbare Material verschicke.
Es gehe hier um „wichtige technische Details“, so Körner. Diese Details würden darüber entscheiden, ob „wir mit einem Gesetz eine Büchse der Pandora öffnen“ könnten. „Glauben Sie mir“, sagte der Abgeordnete, „auch wir haben da große Bedenken“. Denn mit Blick zur AfD sagte Körner: „Wenn Sie an der Macht wären, würde jede inkorrekte Äußerung in der Stammtischgruppe zum Hassverbrechen stilisiert, oder wenn die anderen reden, würde jeder depperte Genderstern noch zum Vaterlandsverrat.“
Das Niveau der Debatte hatte er damit wohl nicht erhöht, aber doch klargestellt, was die CDU/CSU-Fraktion unter „anlassbezogen“ versteht.
Die Abgeordneten betonten, dass nicht vergessen werden dürfe, dass es in der EU-Verordnung um den Schutz von Kindern gehe. Doch der Deutsche Kinderschutzbund und andere Kinderschützer stellten sich mehrfach und deutlich gegen die EU-Pläne einer Chatkontrolle.
Lemke von den Linken beklagte, dass immer wieder „sexuelle Gewalt an Kinder vorgeschoben“ werde. Es gäbe doch zahlreiche Maßnahmen, die man sofort dagegen ergreifen könne, etwa in den Ausstattungen von Jugendämtern, Schulen, Kitas und in der Jugendhilfe, bei Erziehern und Sozialarbeitern. „Keinem Kind ist durch Chatkontrolle geholfen“, betonte sie.
Bundeskanzler Friedrich Merz ist nicht gerade zimperlich, wenn es darum geht, Länder („ordentliches Stück Brot“), Städte („Belem“) oder ganze Bevölkerungsgruppen („kleine Paschas“ und „grüne und linke Spinner“) zu beleidigen. Wenn allerdings er selbst im Fokus steht, wird er offenbar schnell dünnhäutig.
Wie wenig Friedrich Merz verträgt, ließ sich bereits bei anlässlich einer Karnevalsrede von Marie-Agnes Strack-Zimmermann im Jahr 2023 beobachten. Da ging es weniger um Beleidigungen als vielmehr um spitzzüngige Kritik, die bei ihm schmale Lippen und Kopfschütteln auslöste. Nach der Rede trat Merzens Büro gar in Kontakt mit der bekannten Büttenrednerin, was Strack-Zimmermann süffisant verbreitete.
Durch Recherchen verschiedener Medien kam nun heraus, dass Friedrich Merz seit 2021 – noch als Oppositionsführer der Union – zahlreiche Strafanträge wegen mutmaßlicher Beleidigungen gegen ihn gestellt hat. In mindestens zwei Fällen führten diese zu Hausdurchsuchungen.
Die Strafanträge sind laut den Recherchen anfangs auf Initiative von Merz entstanden. Seit Merz Kanzler ist, lässt er quasi von Amts wegen ermitteln, indem er den Ermittlungen nicht widerspricht. Die „Welt“ geht davon aus, dass Merz vor seiner Amtszeit als Unions-Chef Hunderte Strafanträge gestellt hat. Ein netzpolitik.org vorliegendes Dokument der Kanzlei Brockmeier, Faulhaber, Rudolph, die Merz in seiner Zeit als Bundestagsabgeordneter vertreten hat, mit fortlaufenden Fallnummern untermauert diese Schätzungen. Zwischen Mai und Dezember dieses Jahres sind laut Informationen des nd etwa 170 Strafanzeigen wegen Beleidigung gestellt worden.
Eine offizielle Bestätigung der Fallzahlen gibt es nicht, wie der Tagesspiegel berichtet. Die Zeitung befindet sich in juristischen Auseinandersetzungen mit dem Kanzleramt, das in dieser Causa trotz Informationspflicht mauert und sich anwaltlich gegen das Informationsbegehren der Presse wehrt.
Dass ohne die aktive Mithilfe von Friedrich Merz in seiner Funktion als Bundeskanzler ermittelt werden kann, ermöglicht Paragraf 188 des Strafgesetzbuches, der Amtsträger:innen und Politiker:innen bis in die kommunale Ebene hinein vor Beleidigungen schützen soll. Der Paragraf bietet – zusammen mit den Paragrafen 90 (Verunglimpfung des Bundespräsidenten) und Paragraf 90b (Verfassungsfeindliche Verunglimpfung von Verfassungsorganen) – quasi moderne Möglichkeiten, „Majestätsbeleidigungen“ zu ahnden. Im Gegensatz zum klassischen Beleidigungsparagraf 185 StGB können Staatsanwaltschaften beim Paragraf 188 StGB von Amts wegen ermitteln. Bei der klassischen Beleidigung braucht es einen Antrag der betroffenen Person.
Die mutmaßlichen Beleidigungen werden den Ermittlungsbehörden – und später dem Bundeskanzleramt – vermutlich überhaupt erst bekannt, weil die Infrastruktur von Hatespeech-Meldestellen diese auffindet und an die Bundesbehörde weiterleitet. Laut den Recherchen der Tageszeitung „Die Welt“ ist daran maßgeblich die dem hessischen Innenministerium unterstellte Meldestelle „Hessen gegen Hetze“ beteiligt. Sie übermittelt Meldungen an die Zentrale Meldestelle für strafbare Inhalte im Internet (ZMI), die beim Bundeskriminalamt (BKA) angesiedelt ist. 92 Prozent aller Paragraf-188-Meldungen, die das ZMI erhält, stammen von der hessischen Meldestelle. Andere Meldestellen wie „Respect!“ oder die Landesmedienanstalten seien laut nd in weit geringerem Umfang beteiligt. Insgesamt habe das ZMI nach Auskunft eines Sprechers in den ersten neun Monaten dieses Jahres 5155 gemeldete Fälle mit dem Straftatbestand des Paragrafen 188 StGB kategorisiert.
Aber auch privatwirtschaftliche Dienste wie „So-Done“ haben bei der Verfolgung von Beleidigungen offenbar ihre Finger im Spiel. Laut Recherchen der Welt hat der Rechtsanwalt und FDP-Politiker Alexander Brockmeier die meisten der Strafanzeigen von Merz unterschrieben, die dieser während seiner Zeit als Bundestagsabgeordneter gestellt hat. Brockmeier hat die So Done GmbH zusammen mit seiner Parteikollegin Franziska Brandmann gegründet, eine Art Legal Tech Unternehmen, das Hate Speech verfolgt.
Laut Informationen der Welt haben neben Friedrich Merz in der Vergangenheit unter anderem Robert Habeck (Grüne), Julia Klöckner (CDU), NRW-Ministerpräsident Hendrik Wüst (CDU) und Bundesforschungsministerin Dorothee Bär (CSU) den Dienst in Anspruch genommen. Der Bundeskanzler nutze den Dienst mittlerweile nicht mehr.
Gleich acht Strafanträge von Friedrich Merz hat der Berliner Umwelt- und Klimaaktivist Tadzio Müller erhalten. Müller hatte Friedrich Merz auf Bluesky und Twitter mehrfach als Beispiel für seine Theorie der „Arschlochgesellschaft“ herangezogen und den Kanzler kontexualisierend wahlweise ein „schamloses“ oder „rassistisches Arschloch“ genannt.
Müllers Rechtsanwalt Jannik Rienhoff findet es laut dem nd falsch, wenn Merz Postings zur Anzeige bringen lässt, die einen klaren politischen Kontext haben. Da dürfe man viel sagen und das zu Recht. „Bei einer Formalbeleidigung würde ich es verstehen, allerdings könnte Merz auch darüber stehen“, so Rienhoff gegenüber dem nd. Den Paragrafen 188 StGB, der Ermittlungen auch ohne direkten Strafantrag des Bundeskanzlers ermöglicht, kritisiert der Anwalt dabei grundsätzlich. Dieser sorge unnötigerweise für hohe Kosten und für einen enormen Aufwand für Betroffene.
Das sieht auch Tadzio Müller so. Er ist überzeugt, dass es bei den Anzeigen nicht um die Bekämpfung von Hass im Netz gehe, sondern dass sie eine neue Form von Cyber-Bullying darstellen: „Ressourcenstarke Akteure wie Merz haben mit diesen Verfahren ein weiteres Werkzeug in der Hand, um Leute aus dem Diskurs zu drängen.“
Es handle sich um ein Werkzeug, das nicht nur emotional, sondern auch ökonomisch schmerze: „Jede dieser Anzeigen produziert Anwaltskosten bei den Betroffenen“, so Müller gegenüber netzpolitik.org.
Ähnlich sieht das auch Eva Meier*, die erst im November Post vom Landeskriminalamt Hamburg wegen einer mutmaßlichen Beleidigung des Kanzlers erhalten hat: „Seine Bürgerinnen und Bürger systematisch mit Strafverfahren wegen Bagatellbeleidigungen zu überziehen, ist eines Kanzlers nicht würdig“, sagt sie gegenüber netzpolitik.org. „Das ist kein Vorgehen gegen Hass im Netz, sondern schränkt gezielt die freie Meinungsäußerung ein.“
*Der wahre Name ist der Redaktion bekannt.
Der in Notepad++ integrierte Updater hat sich Malware unterschieben lassen und diese auf einigen PCs installiert. Der Entwickler des mächtigen Open-Source-Texteditors reagiert mit einem Update auf Notepad++ v8.8.9. Nutzerinnen und Nutzer müssen die Aktualisierung derzeit manuell vornehmen.
Weiterlesen nach der Anzeige
In einem News-Beitrag auf der Notepad++-Webseite erklärt der Entwickler Don Ho, dass „einige Sicherheitsexperten von Vorfällen berichtet haben, bei denen Internetverkehr übernommen wurde, der Notepad++ betrifft“. Demnach haben die Untersuchungen ergeben, dass Traffic des Notepad++-Updaters WinGUp „gelegentlich auf bösartige Server umgelenkt wurde, was im Herunterladen kompromittierter ausführbarer Dateien mündete“. Der IT-Sicherheitsforscher Kevin Beaumont berichtet von mindestens drei Organisationen, die „Interessen in Südasien haben“, die derart gezielt angegriffen wurden.
Wie Beaumont ausführt, nutzt der Updater eine Versionsprüfung, bei der die URL „ abgefragt und eine dadurch ausgelieferte XML-Datei ausgewertet wird. Die in der XML-Datei aufgeführte Download-URL nutzt der Updater und speichert die Datei im %TEMP%-Ordner und führt sie aus. Wer diesen Traffic abfangen und manipulieren kann, kann dadurch die Download-URL ändern. Bis Version 8.8.7 von Notepad++ nutzte der Entwickler ein selbst signiertes Zertifikat, das in den Github-Quellcodes bereitsteht. So war es möglich, manipulierte Updates zu erstellen und Opfern unterzuschieben. Seit v8.8.7 setzt Notepad++ hingegen auf ein legitimes GlobalSign-Zertifikat, die Installation eines eigenen Notepad++-Root-Zertifikats ist seitdem nicht mehr nötig.
Mit Notepad++ v8.8.8 forciert der Updater WinGUp nun als Download-Quelle github.com. Die Version 8.8.9 aus der Nacht zum Mittwoch härtet Notepad++ und WinGUp weiter, sodass diese Signatur und Zertifikate von heruntergeladenen Installern beim Update-Prozess korrekt prüfen. Schlägt der Check fehl, bricht der Update-Vorgang ab. Don Ho merkt an, dass die Untersuchungen andauern, um herauszufinden, wie das Traffic-Hijacking in den beobachteten Fällen abgelaufen ist.
Kevin Beaumont listet noch einige Indizien für Kompromittierungen auf (Indicators of Compromise, IOCs). So sind Verbindungen von „gup.exe“ zu anderen URLs als „notepad-plus-plus.org“, „github.com“ und „release-assets.githubusercontent.com“ verdächtig. Ebenso sollte Aufmerksamkeit erregen, wenn „gup.exe“ unübliche Prozesse startet – es sollten lediglich „explorer.exe“ und „npp*“-bezogene Notepad++-Installer darunter laufen, die seit Versionen 8.8.8 zudem mit GlobalSign-Zertifikat signiert sind. Nach den beobachteten Angriffen fanden sich offenbar zudem Dateien namens „update.exe“ oder „AutoUpdater.exe“ (diesen Namen nutzt Notepad++ selbst überhaupt nicht) im Benutzer-TEMP-Verzeichnis, in das „gup.exe“ die Updater heruntergeladen und von dort ausgeführt hat.
Notepad++ v8.8.8 findet derzeit die Aktualisierung noch nicht.
(Bild: heise medien)
Beaumont empfiehlt, mindestens auf Notepad++ v8.8.8 zu aktualisieren. Die Fassung 8.8.9 ist jedoch noch weiter gehärtet. Der integrierte Updater aus Notepad++ v8.8.8 findet die Version derzeit noch nicht, auch „winget“ findet derzeit keinen neueren Softwarestand. Die jüngste Fassung steht jedoch als manueller Download auf der Notepad++-Webseite zum Herunterladen bereit.
Weiterlesen nach der Anzeige
Notepad++ ist häufiger im Visier von bösartigen Akteuren, da die Software populär und weitverbreitet ist. Im vergangenen Jahr etwa bat Don Ho um Hilfe, eine „parasitäre Webseite“ loszuwerden, die sich in der Google-Suche an die originale Notepad++-Seite heranrobbte. Sie habe unlautere Absichten gehabt. Grundsätzlich tauchen häufiger gefälschte Seiten in den Suchergebnissen auf, die etwa virenverseuchte Dateien anbieten.
Siehe auch:
(dmk)
In der Virenschutzsoftware von Bitdefender wurde eine Sicherheitslücke entdeckt, die Angreifern das Ausweiten ihrer Rechte im System ermöglicht. Betroffen sind diverse Bitdefender-Varianten. Aktualisierungen zum Ausbessern der Schwachstelle sind verfügbar.
Weiterlesen nach der Anzeige
Bitdefender warnt in einer Sicherheitsmitteilung vor dem Sicherheitsleck. Die Schwachstelle befindet sich im „Active Threat Control“-Modul, erklärt der Hersteller. „Das Problem entsteht dadurch, dass ‚bdservicehost.exe‘ Dateien aus einem von Nutzern beschreibbaren Verzeichnis löscht (’C:\ProgramData\Atc\Feedback’), ohne korrekt auf smybolische Verknüpfungen zu prüfen, was das Löschen beliebiger Dateien ermöglicht. Dieses Problem ist mit einer Datei-Kopier-Operation während Netzwerk-Ereignissen und einer Umgehung des Filter-Treibers mittels einer DLL-Injection verkettet und führt zur Ausführung von Code als Nutzer mit erhöhten Rechten“, erklären die Autoren der Sicherheitsmitteilung.
Die Schwachstelle hat den Eintrag CVE-2025-7073 erhalten. Der von Bitdefender angenommene Angriffsvektor nach CVSS 4 erreicht den Wert 8.8 und damit als Risikoeinstufung „hoch“.
Als betroffene Versionen nennt Bitdefender die Free-Fassung vor 30.0.25.77, Internet Security Antivirus Plus sowie Total Security vor 27.0.46.231 und die Endpoint Security Tools for Windows vor Version 7.9.20.515. Der automatische Update-Mechanismus sollte die Software bereits auf diesen Stand gebracht haben. Ob die eigene Software bereits aktuell ist, lässt sich gemäß einer Anleitung des Herstellers herausfinden. Gegebenenfalls sollten Betroffene das automatische Update aktivieren und die ausstehenden Updates nachholen.
Zuletzt wurde im April eine Sicherheitslücke im Business-Schutz Bitdefender GravityZone bekannt. Auch die haben die Entwickler als kritisches Risiko eingeordnet.
(dmk)
Illustrierte Reise nach New York City › PAGE online
Jetzt patchen! Erneut Attacken auf SonicWall-Firewalls beobachtet
Aus Softwarefehlern lernen – Teil 3: Eine Marssonde gerät außer Kontrolle
Top 10: Die beste kabellose Überwachungskamera im Test
Fake It Untlil You Make It? Trifft diese Kampagne den Nerv der Zeit? › PAGE online
SK Rapid Wien erneuert visuelle Identität
Kommandozeile adé: Praktische, grafische Git-Verwaltung für den Mac
Schluss mit FOMO im Social Media Marketing – Welche Trends und Features sind für Social Media Manager*innen wirklich relevant?
