Connect with us

Datenschutz & Sicherheit

Wie die EU Freie Software ausblendet


Der dänischen Regierung reicht es. Sie will sich von Microsoft unabhängig machen. So titelte die dänische Zeitung Politiken. Hinter dem Entschluss steht die Politik des US-Präsidenten Donald Trump zu Grönland. Die Insel nördlich von Amerika, ist ein selbstverwalteter Teil des Königreichs Dänemark mit einem eigenen Regierungschef, Jens-Frederik Nielsen. Trump hat seit Anfang des Jahres immer wieder Besitzansprüche an Grönland angemeldet.

Dass Trump seine Macht über technologische Hebel ausspielen kann, zeigt sein Einfluss auf das Leben von Richtern am Internationalen Strafgerichtshof. Dazu gehört etwa der französische Richter Nicolas Guillou. Seit August sind die Dienste von US-amerikanischen Tech-Unternehmen wie Microsoft und Google für ihn gesperrt – als Folge der Sanktionierung durch Trump.

Gillou habe keinen Zugriff mehr auf seine Konten bei Amazon und Paypal, schreibt LeMonde; allen Dienstleistern sei untersagt, ihm Zugang zu Big-Tech-Diensten zu gewähren. Zusammen mit seinem Kollegen Karim Khan und anderen hatte er als Richter in Den Haag einen Haftbefehl gegen den israelischen Premierminister Benjamin Netanjahu und den ehemaligen israelischen Verteidigungsminister Joaw Galant ausgesprochen.

Gipfel zur europäischen digitalen Souveränität

Die autoritäre Politik Trumps hat das Thema digitale Souveränität aus seinem Nischendasein gehoben. Das zeigte der Gipfel zur europäischen digitalen Souveränität Mitte November in Berlin. Neben Unternehmen und Wirtschaftsverbänden fanden sich hier Politiker:innen aus mehreren europäischen Ländern zusammen. Eingeladen hatten Bundeskanzler Friedrich Merz und Frankreichs Präsident Emmanuel Macron.

Große Einigkeit bestand unter den Beteiligten vor allem darin: Man muss sich von US-amerikanischer wie auch chinesischer Technologie unabhängiger machen. Wie das geschehen soll? Darauf gab es zwei große Antworten. Einmal: „buy european“, also die Aufforderung, möglichst europäische Technologie einzukaufen.

Die zweite Antwort auf das Souveränitätsproblem lautete: Wettbewerbsfähigkeit fördern, um „Innovationsführerschaft“ zu erlangen. In den Worten Macrons: „Europa hat das Zeug dazu, im digitalen Zeitalter eine Führungsrolle zu übernehmen.“ Das soll durch eine umfassende Deregulierung erreicht werden. So wollen EU-Staaten und die Europäische Kommission EU-Digitalgesetze massiv schleifen, etwa beim Thema Datenschutz.

„Open Source ausgeblendet“

Eine naheliegende Antwort war auf dem Gipfel kein Thema: bei der Entwicklung, beim Einkauf und beim Betrieb öffentlicher IT auf Open-Source-Lösungen, also Freie Software setzen. Zwar sprach Merz in seiner Gipfel-Rede von der wichtigen Rolle des Zentrum für digitale Souveränität (ZenDiS) in Deutschland. Und er erwähnte openDesk, eine Open-Source-Lösung des ZenDiS für die öffentliche Verwaltung, mit der diese sich von Microsofts Bürosoftware unabhängig machen soll. Doch nach Vertreter:innen aus der Open-Source-Branche, geschweige denn nach Open-Source-Expert:innen aus der Zivilgesellschaft musste man beim Gipfel mit der Lupe suchen.

Dass der Gipfel Open Source weitgehend ausgeblendet habe, kritisierte etwa die Gesellschaft für Informatik e. V. (GI) als „das gravierendste Versäumnis“.

Dabei gäbe es inzwischen viele Positivbeispiele für einen erfolgreichen Wechsel zu Open-Source-Lösungen: Schleswig-Holstein stellt 30.000 Arbeitsplätze auf LibreOffice um und beendet Microsoft-Verträge. Die Thüringer Landesverwaltung pilotiert openDesk. Immer mehr Hochschulen nutzen für ihre Wissenschaftskommunikation Mastodon als soziales Medium. Und das österreichische Bundesheer stellt auf LibreOffice um.

„Buy european“

Auf den Gipfel-Panels stellten sich stattdessen mehrere europäische Technologiefirmen vor, so beispielsweise die Cloud-Hersteller OHVcloud oder Schwarz Digits. Auch der wirtschaftliche Zusammenschluss europäischer Unternehmen unter der Initiative EuroStack war vertreten.

Für viel Furore sorgte bereits im Vorfeld des Gipfels die geplante Kooperation des deutschen Unternehmens SAP und des französischen KI-Herstellers Mistral AI. Sie wollen eine souveräne KI-Lösung für die öffentliche Verwaltung entwickeln. Beide Unternehmen stellen proprietäre Software-Lösungen her. Für beide Unternehmen spielt zudem der Tech-Riese Microsoft eine wesentliche Rolle. Erst letztes Jahr investierte Microsoft in Mistral; der Tech-Gigant ist langjähriges Partnerunternehmen von SAP.

„Es ist gut, dass die Bundesregierung und andere europäische Länder endlich darüber nachdenken, wie sie die Abhängigkeit ihrer Verwaltung und ihrer digitalen Infrastrukturen lösen können“, so Johannes Näder von der Free Software Foundation Europe (FSFE). „Doch der Appell ‚buy european‘ allein reicht nicht aus.“ Wenn die öffentliche Hand wirklich digital souverän werden wolle, brauche es ein klares Bekenntnis zu Freier Software, die vier grundlegenden Prinzipien entspricht: Die Software muss für alle nutzbar sein, alle müssen den Code einsehen und weitergeben dürfen. Und alle müssen die Freiheit haben, den Code weiterzuentwickeln.

Für Freie Software

Dafür brauche es vor allem eine klare Entscheidung für Freie Software und eine nachhaltige Finanzierung, nicht nur für die Entwicklung, sondern auch für Wartung und Betrieb. „Wenn ab sofort ein steigender Anteil der öffentlichen Gelder, die jetzt noch für Softwarelizenzen ausgegeben werden, in Freie Software fließt, stärkt das nicht nur Europas Souveränität, sondern auch den europäischen Standort.“



In Europa gebe es viele kleine und mittlere Unternehmen, die hervorragende Freie Software anbieten. „Diese Lösungen sind auf dem Markt. Der Staat sollte seine Souveränität steigern, indem er sie beschafft, finanziert und nutzt. Das ist einfacher und aussichtsreicher, als europäische Einhörner aufzubauen.“

Umso erfreulicher ist eine Nachricht von der vierten Digitalministerkonferenz (DMK). Sie stimmte einem Antrag Schleswig-Holsteins zu, wonach beim Deutschland-Stack Open Source bevorzugt eingesetzt werden soll. Am Montag trafen sich die Digitalminister:innen der Länder mit Bundesdigitalminister Karsten Wildberger (CDU), Klaus Müller von der Bundesnetzagentur und Claudia Plattner vom Bundesamt für die Sicherheit in der Informationstechnik. Auf der Themenliste dominierte die Digitalisierung der öffentlichen Verwaltung. Kernprojekt der Bundesregierung ist hier der Deutschland-Stack (D-Stack).

Die Idee dazu hat sie in ihrer Modernisierungsagenda (PDF) als „eine sichere, interoperable, europäisch anschlussfähige und souveräne Technologie-Plattform zur Digitalisierung der gesamten Verwaltung“ umschrieben. Bereits im Sommer hatte Schleswig-Holstein ein Impulspapier zum Stack veröffentlicht. Eines der Anliegen: Die Politik soll die Digitalwirtschaft aktiv „in die Entwicklung von Open-Source-Lösungen“ einbinden.

„Bürger:innen in Stack-Überlegungen einbeziehen“

Auch die FSFE fordert für den Stack, dieser müsse vollständig als Freie Software veröffentlicht werden. Alle enthaltenen Komponenten sollten demnach unter einer Freie-Software-Lizenz stehen.

Zudem empfiehlt die FSFE, dass Deutschland hierzu mit anderen europäischen Partnerländern zusammen an Lösungen arbeitet. Nur so könnten diese europaweit anschlussfähig sein. Um zu gewährleisten, dass sie nachhaltig sind, müsse die Finanzierung für Entwicklung, Wartung und Betrieb langfristig abgesichert sein.

Besonders wichtig sei jedoch auch, dass die Politik die Bürger:innen in die Stack-Überlegungen einbezieht. Neben Staat und Verwaltung brauchen auch europäische Unternehmen, Zivilgesellschaft und „Organisationen von Schulen bis hin zu freiwilligen Feuerwehren“ digital souveräne Lösungen. Für sie sollte der Stack nachnutzbar sein, und dies könne nur gelingen, wenn die Zivilgesellschaft bei der Planung des Stacks einbezogen wird.

Wie genau der Beschluss umgesetzt wird, Open Source bevorzugt zu beschaffen und zu nutzen, muss sich noch zeigen. Der Konsultationsprozess zum D-Stack läuft noch bis Ende November.



Source link

Datenschutz & Sicherheit

LastPass warnt vor Phishing-Kampagne | heise online


Aktuell läuft eine Phishing-Welle, die es auf Nutzerinnen und Nutzer des Passwort-Managers LastPass abgesehen hat. Dem Anbieter zufolge begann der Betrugsmailsversand etwa am Montag dieser Woche.

Weiterlesen nach der Anzeige

Davor warnt LastPass in einem aktuellen Blog-Beitrag. Die betrügerischen E-Mails stammen demnach von unterschiedlichen Absendern mit variierenden Betreffzeilen. Sie behaupten, dass LastPass eine Wartung vornehmen wolle, und drängen User, ein Backup ihrer Passwort-Vaults innerhalb der kommenden 24 Stunden vorzunehmen.

LastPass weist eindringlich darauf hin, dass das Unternehmen Kunden nicht darum bittet, Backups der Vaults in den nächsten 24 Stunden anzulegen. Es handele sich viel mehr um den Versuch bösartiger Akteure, eine Dringlichkeit beim Empfänger zu erzeugen, „eine übliche Vorgehensweise für Social Engineering und Phishing-E-Mails“, schreibt LastPass weiter. Der Zeitpunkt sei ebenfalls nach üblicher Taktik gewählt und falle auf ein Urlaubswochenende in den USA. Durch weniger arbeitende Menschen soll die Entdeckung der Phishing-Welle länger dauern.

Der Call-to-Action-Button der Mail suggeriert, dass er Opfer auf eine Webseite bringt, auf der sie ein Backup ihres Passwort-Vaults anlegen können. Tatsächlich landen diejenigen, die ihn anklicken, jedoch auf der URL „group-content-gen2.s3.eu-west-3.amazonaws[.]com/5yaVgx51ZzGf“, die ihrerseits eine Weiterleitung auf die URL „mail-lastpass[.]com“ vornimmt.

„Niemand bei LastPass wird jemals nach deinem Master-Kennwort fragen“, erklärt LastPass weiter. Das Unternehmen arbeitet mit Partnern daran, diese Domains so rasch wie möglich Hops zu nehmen. LastPass-Kunden sollten aufmerksam bleiben und im Zweifel der Echtheit einer LastPass-Mail dieser besser an die E-Mail-Adresse abuse@lastpass.com senden und dort verifizieren lassen.

Einige Hinweise für Phishing hat LastPass ebenfalls zusammengetragen. Darunter fallen folgende E-Mail-Adresse, URLs und IPs:

  • „group-content-gen2.s3.eu-west-3.amazonaws[.]com/5yaVgx51ZzGf“, IP-Adresse 52.95.155[.]90
  • mail-lastpass[.]com,. IP-Adressen 104.21.86[.]78, 172.67.216[.]232 sowie 188.114.97[.]3
  • support@sr22vegas[.]com, support@lastpass[.]server8, support@lastpass[.]server7, support@lastpass[.]server3
  • IP-Adressen dazu 192.168.16[.]19 und 172.23.182.202

Weiterlesen nach der Anzeige

Die Mails tragen Betreffzeilen wie

  • „LastPass Infrastructure Update: Secure Your Vault Now“
  • „Your Data, Your Protection: Create a Backup Before Maintenance“
  • „Don’t Miss Out: Backup Your Vault Before Maintenance“
  • „Important: LastPass Maintenance & Your Vault Security“
  • „Protect Your Passwords: Backup Your Vault (24-Hour Window)“

LastPass weckt des Öfteren Interesse von Cyberkriminellen. Etwa im September 2023 gab es Anzeichen dafür, dass Angreifer LastPass-Passworttresore kopiert und diese zu knacken versucht haben. Anfang 2024 hat LastPass dann an verbesserter Sicherheit gearbeitet, etwa mit einer Minimallänge von zwölf Zeichen für ein Masterkennwort und dessen Abgleich mit in Leaks bekanntgewordenen Passwörtern.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

Dell Data Protection Advisor über unzählige Sicherheitslücken angreifbar


Eigentlich soll Dell IT-Sicherheitslösung Data Protection Advisor Computer schützen, doch mit bestimmten Versionen ist genau das Gegenteil der Fall und Angreifer können an zahllosen Sicherheitslücken ansetzen.

Weiterlesen nach der Anzeige

Wie aus einer Warnmeldung hervorgeht, stuft der Computerhersteller die Auswirkungen von erfolgreichen Attacken insgesamt als „kritisch“ ein. Alle Schwachstellen betreffen Komponenten von Drittanbietern wie Apache Ant, libcurl und SQLite. Die Lücken sind zum Teil sechzehn Jahre alt. Warum die Entwickler die Schwachstellen erst jetzt schließen, ist bislang unklar. In der Warnmeldung sind 378 CVE-Einträge aufgelistet.

Darunter sind unter anderem Schadcodelücken in libcurl (CVE-2016-7167 „kritisch“) und Xstream (CVE-2021-39145 „hoch“). Aufgrund des Alters einiger Lücken liegt es nahe, dass einige der nun im Kontext von Data Protection Advisor geschlossenen Schwachstellen ausgenutzt werden. Dazu gibt es aber keinen Hinweis in Dells Warnmeldung.

Die Entwickler geben an, dass davon ausschließlich die Data-Protection-Advisor-Versionen 19.10 bis einschließlich 19.12 SP1 betroffen sind. Die Ausgabe 19.12 SP2 ist mit Sicherheitsupdates ausgerüstet.

Erst kürzlich hat Dell Sicherheitslücken in den Cloudspeicherlösungen ECS und ObjectScale geschlossen.


(des)



Source link

Weiterlesen

Datenschutz & Sicherheit

Updaten! Angriffsversuche auf Sicherheitslücken in Cisco Unified Communications


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

In mehreren Unified-Communications-Produkten von Cisco klafft eine Sicherheitslücke, die Angreifern ohne Anmeldung das Einschleusen von Schadcode aus dem Netz und dessen Ausführung mit Root-Rechten ermöglicht. Admins sollten die bereitstehenden Aktualisierungen zügig anwenden, da Cisco bereits Angriffsversuche aus dem Netz auf die Schwachstelle beobachtet hat.

Weiterlesen nach der Anzeige

Das teilt Cisco in einer Sicherheitsmeldung mit. Die Schwachstelle resultiert aus einer unzureichenden Prüfung von Nutzer-übergebenen Daten in HTTP-Anfragen. Bösartige Akteure können die Lücke durch das Senden einer Sequenz von sorgsam präparierten HTTP-Anfragen an das webbasierte Management-Interface einer verwundbaren Appliance missbrauchen. „Eine erfolgreiche Attacke erlaubt den Angreifern, Zugriff auf Benutzerebene auf das Betriebssystem zu erlangen und dann die Berechtigungen auf ‚root‘ auszuweiten“, erklärt Cisco (CVE-2026-20045, CVSS 8.2, Risiko abweichend „kritisch“).

Cisco führt weiter aus, dass das Unternehmen das Risiko abweichend von der CVSS-Risikostufe „hoch“ als „kritisch“ einordnet. Als Grund nennt das Security Advisory, dass der Missbrauch der Lücke darin münden kann, dass Angreifer ihre Privilegien zu “root“ erweitern können.

Cisco hat bereits Angriffsversuche auf die Schwachstelle beobachtet. Betroffen sind Unified CM, Unified CM SME, Unified CM IM&P, Unity Connection sowie Webex Calling Dedicated Instance. Die Software-Versionen 15SU4 (für März 2026 angekündigt) sowie 14SU5 stopfen das Sicherheitsleck. Wer noch auf Stand 12.5 ist, muss auf die neueren Releases migrieren.

Cisco hat am Mittwoch noch drei weitere Sicherheitsmitteilungen veröffentlicht, um die sich Admins beizeiten kümmern sollten.

Weiterlesen nach der Anzeige

Zuletzt mussten IT-Verantwortliche mit Cisco-Produkten in der vergangenen Woche Sicherheitslücken mit Updates stopfen. In Ciscos Secure Email Gateway und Secure Email und Web Manager wurde bereits seit Dezember eine Sicherheitslücke angegriffen, die den Tätern Root-Rechte und damit die volle Kontrolle über Instanzen verschaffen konnte. Die Sicherheitsupdates hat Cisco am Freitag herausgegeben.


(dmk)



Source link

Weiterlesen

Beliebt