Apple-User sollen ein Sicherheitsupdate flugs einspielen, um sich gegen Abstürze und/oder korrumpierten Arbeitsspeicher zu schützen. Nicht korrekter Arbeitsspeicher kann Sprungbrett für weitere Angriffe sein. Betroffen sind sowohl iPhones als auch iPads und diverse Apple-Computer. Daher drängt das BürgerCERT des deutschen Bundesamtes für Sicherheit in der Informationstechnik auf das Update. Die Facheinrichtung warnt vor möglichen Denial-of-Service-Angriffen, hier in der Form wiederholter Abstürze.

Betroffen sind laut Apple folgende Betriebssysteme:

• Apple iOS vor 18.7.1
• Apple iOS vor 26.0.1
• Apple iPadOS vor 18.7.1
• Apple iPadOS vor 26.0.1
• Apple macOS Sequoia vor 15.7.1
• Apple macOS Sonoma vor 14.8.1
• Apple macOS Tahoe vor 15.7.1

Der mit den Updates korrigierte Fehler liegt im Font Parser. Das ist jene Routine, die Schriftarten zu ihrer korrekten Darstellung verhilft. Leider lässt sich der Font Parser durch manipulierte Schriftarten dazu verleiten, in ihm eigentlich nicht zustehende Speicherbereiche zu schreiben.

Schriftarten kommen über Webseiten, Dokumente, Software

Angreifer könnten die „Schwachstelle ausnutzen, um das Gerät zum Absturz zu bringen oder den Prozessspeicher zu beschädigen. Dadurch können andere, nicht näher spezifizierte Angriffe ermöglicht werden“, informiert das BürgerCERT. Für erfolgreiche Ausnutzung genüge es, eine bösartige Anwendung oder ein bösartiges Dokument zu öffnen. Denn Schriftarten sind häufig in Webseiten, Dokumenten oder Anwendungen eingebettet oder werden nachgeladen.

Der Bug ist als CVE-2025-43400 registriert. CVE steht für Common Vulnerabilities and Exposures (Allgemeine Schwachstellen und Gefährdungen) und dient seit mehr als 25 Jahren international der Dokumentation von Sicherheitslücken. Jede bekannte Sicherheitslücke kann dort eine eigene, eindeutige Nummer zugewiesen erhalten.

(ds)

In wenigen Tagen steht die Entscheidung an, ob es in Europa eine verpflichtende Chatkontrolle geben wird oder ob sich erneut keine ausreichende Mehrheit im Rat der EU-Länder dafür findet. Die deutsche Haltung wird maßgeblich dafür sein, ob die Front der ablehnenden EU-Staaten gegen den Vorschlag der EU-Präsidentschaft Dänemarks stehenbleibt.

Hintergrund ist ein jahrelanger Streit über einen Entwurf der EU-Kommission für eine Verordnung zur massenhaften Chat-Überwachung, die dem Kampf gegen digitale Gewaltdarstellungen von Kindern dienen soll. Die geplante Chatkontrolle würde alle Anbieter von Messenger- und weiterer Kommunikationsdienste, auch solche mit Ende-zu-Ende-Verschlüsselung, zum Scannen nach Missbrauchsfotos und -videos verpflichten. Betroffen wären auch Signal, Threema oder WhatsApp, die von vielen Millionen Menschen genutzt werden.

In den vergangenen Jahren hat sich Deutschland ablehnend gezeigt und sich gegen das automatisierte Scannen verschlüsselter Kommunikation, aber auch gegen die Umgehung von Ende-zu-Ende-Verschlüsselung und das Client-Side-Scanning positioniert. Ob die neue Bundesregierung das genauso hält, ist noch offen. Wir haben daher die Bundesregierung zu der Haltung befragt, die sie bei der anstehenden Entscheidung einnehmen wird.

Von diesen Ländern hängt ab, wie es mit der Chatkontrolle weitergeht

Das Bundesjustizministerium (BMJ) will sich gegenüber netzpolitik.org nicht in die Karten schauen lassen und antwortet auf die Frage nach der Chatkontrolle-Position nur: „Die Federführung“ liege „innerhalb der Bundesregierung beim Bundesministerium des Innern“. Da sollten wir uns doch hinwenden, meint das BMJ.

Das Bundesinnenministerium (BMI) hat jedoch auch nichts zu sagen: „Wir bitten um Verständnis, dass wir uns zu laufenden Abstimmungen innerhalb der Bundesregierung grundsätzlich nicht äußern.“

„Von der Seitenlinie“

Fragen wir doch die Digitalexperten in der Bundesregierung. Die schwarz-schwarz-rote Koalition hatte schließlich ein neues Ministerium aus der Taufe gehoben, das sich hauptsächlich mit Digitalisierung, digitaler Infrastruktur und Staatsmodernisierung befassen soll. Ein Sprecher des Digitalministeriums (BMDS) antwortet auf Fragen von netzpolitik.org nach der Position des Ministers zur geplanten verpflichtenden Chatkontrolle allerdings nur mit nur zwei Sätzen.

„Wir brauchen Maßnahmen, die wirksam und zugleich angemessen sind. Zu den derzeit auf EU-Ebene vorliegenden Vorschlägen erfolgt eine Positionierung der Bundesregierung unter Federführung des Bundesinnenministeriums.“

Auf weitere Fragen, etwa wie Minister Karsten Wildberger (CDU) zum Aufbrechen von Verschlüsselung oder zum Client-Side-Scanning im Rahmen einer Chatkontrolle steht, wird nicht geantwortet. Der seit Mai amtierende Digitalminister hat außerdem auch keine Position zur freiwilligen EU-Chatkontrolle und den damit verbundenen Risiken für die Privatsphäre.

Das Ministerium verweist stattdessen auf ein Gespräch mit Wildberger vom 11. September. Dort auf die Chatkontrolle angesprochen, äußert sich der Bundesminister folgendermaßen: Er wolle sich in diesen „politischen Prozess“ nicht „von der Seitenlinie“ einbringen. Er werde deswegen seine Meinung nicht dazugeben, da das „nicht hilfreich“ sei, denn dafür „gibt es jetzt einen Prozess“.

Das kann man natürlich anders sehen, ob es für die Diskussionen um eine europaweit verpflichtende Chatkontrolle „hilfreich“ wäre, wenn sich der amtierende Digitalminister von Deutschland nicht an die „Seitenlinie“ stellen, sondern dazu positionieren würde. Allerdings machen seine Äußerungen direkt im Anschluss klar, warum er vielleicht ganz richtig liegt.

Ein Offenbarungseid technischer und politischer Inkompetenz

Wildberger fügt hinzu: „Kinderpornographie“ in Chats, „das geht überhaupt nicht“, das seien Straftatbestände. Davon müsse man aber das Thema der Privatsphäre „säuberlich trennen“. Doch ein zentraler Streitpunkt in der langjährigen Debatte ist es gerade, wie weit man in die Privatsphäre und sogar Intimsphäre von Menschen eingreifen darf, um auf solche Inhalte in ihren Chats zu scannen.

Der Minister postuliert dann, dass er „persönlich eine klare Meinung“ dazu hätte. Die sagt er aber nicht sofort, sondern stellt erstmal folgende Frage in den Raum: „Wie stellen wir sicher, dass wir Rechtsordnung auch in diesem Rahmen sicherstellen?“ Den Versuch einer Antwort auf die wirre Frage macht er nicht. Stattdessen sagt Wildberger: „Wo es um Kinderpornographie geht, am Ende des Tages muss man auch über Deep Fakes reden, da hört bei mir der Spaß auf.“

Kein Mensch mit Herz und Hirn würde die digitalen Darstellungen von Gewalt gegen Kinder in die Kategorie Spaß einsortieren. Die Debatte um die Chatkontrolle dreht sich vielmehr um die Frage, zu welchen technischen Maßnahmen die Anbieter von Messenger-Diensten verpflichtet werden sollten, um solche Inhalte massenhaft zu scannen. Dass diese Inhalte verabscheuungswürdig und strafbar sind, stellt niemand in Abrede.

Auf die Nachfrage, ob Anbieter zur Chatkontrolle verpflichtet werden sollen, bemerkt Wildberger, dass seine Antwort darauf eine „nicht politisch gemeinte Formulierung“ sei: „Da muss es eine Lösung für geben.“ Die Luft brennt förmlich vor Spannung, welche technische Idee der Digitalminister nun favorisieren wird. Doch der oberste Digitalisierer murmelt: „Wie die Lösung jetzt hier genau aussieht, das sollen …“ Da endet sein Satz im Ungewissen. Vielleicht sollen es die Experten richten, vielleicht gibt es einen Prozess.

Zuletzt endet die kurze Passage in dem Gespräch mit dem Versprechen, er werde sich „in die Debatte natürlich“ einbringen, wenn es hilfreich und erforderlich wäre. Aber das Thema sei „ein bisschen komplex“, aber „von der Richtung her“ sei er „klar justiert“.

Dass seine Pressestelle auf die Fragen von netzpolitik.org danach, ob angesichts der gesellschaftlichen und auch wirtschaftspolitischen Bedeutung von sicheren Verschlüsselungsmethoden ein Aufbrechen der Verschlüsselung oder ein Client-Side-Scanning im Rahmen einer Chatkontrolle als probate Mittel gelten können, nicht nur keine Antworten gibt, sondern stattdessen einen Hinweis auf diesen Offenbarungseid technischer und politischer Inkompetenz sendet, spricht Bände über den Minister und die Bedeutung seines Hauses innerhalb der Bundesregierung. Das ist nicht mal „Seitenlinie“, das ist eher die Tribüne hinten oben.

Der falsche Weg

Man fragt sich, unter welchem Stein der Bundesdigitalminister in den letzten Jahren gelebt hat und ob es niemanden in seinem Haus gibt, der ihn dazu briefen konnte, worum es im Streit über die Chatkontrolle geht: um das absichtliche Unterminieren von IT-Sicherheitsmaßnahmen für massenhafte Chat-Scans und um fundamentale Grundrechte.

Wenn in Schutzmaßnahmen wie Verschlüsselung verpflichtende Hintertüren eingebaut werden müssen, tangiert das die Privatsphäre und den Kernbereich privater Lebensgestaltung von Millionen Menschen und unterminiert zudem auf gefährliche Weise die IT-Sicherheit. Darauf weisen seit Jahren alle hin, die beruflich und wissenschaftlich mit IT-Sicherheit zu tun haben. Chatkontrolle ist technisch gesehen schlicht der falsche Weg.

Aber juristisch ist er es auch. Denn dass eine massenhafte anlasslose Überwachung von individueller Kommunikation mit den europäischen Grundrechten konform geht, wird mit guten Argumenten bezweifelt: Der Juristische Dienst des EU-Rats schätzt den aktuellen Vorschlag als rechtswidrig ein. Die Rechtsexperten stützen sich auch auf ein Urteil des Europäischen Gerichtshofs für Menschenrechte (EGMR) aus dem Jahr 2024. Darin heißt es unzweideutig, dass „eine Schwächung der Ende-zu-Ende-Verschlüsselung, die alle Nutzer beträfe,“ gegen die Europäische Menschenrechtskonvention verstößt.

Dass der Digitalminister innerhalb und außerhalb der Bundesregierung zu so wichtigen Fragen in unser digitalisierten Welt keine Position einnimmt, macht ihn zum Komplizen der Befürworter der Chatkontrolle. Gleiches gilt übrigens für die Justizministerin Stefanie Hubig (SPD), deren Nicht-Positionierung angesichts der zweifellos erheblichen Grundrechtseingriffe ebenso blamabel ist.

Das Zentrum für Digitalrechte und Demokratie schlägt vor, dass die Bundesregierung stärker in die Förderung digital souveräner und dezentraler Infrastrukturen einsteigen soll. Ausgehend davon, dass die digitale Öffentlichkeit fest in der Hand von ein paar wenigen Tech-Oligarchen sei, müssten jetzt Alternativen wie das Fediverse und auch das AT Protokoll gestärkt werden, damit man in Zukunft überhaupt noch „Wahlfreiheit sowie Souveränität über digitale Plattformen und Datenflüsse“ habe.

Dem Zentrum für Digitalrechte und Demokratie (ZDD) schwebt dabei ein strukturiertes Innovations-Förder-Programm vor. Dieses soll Bund und Länder befähigen, gezielt Strukturen für eine souveräne digitale Öffentlichkeit aufzubauen. Wenn es nach der Organisation geht, soll es schnell gehen: Schon am 18. November könnten Friedrich Merz und Emmanuel Macron beim Europäische Gipfel zur Digitalen Souveränität in Berlin den „Booster“ für offene Infrastruktur verkünden.

Sofortprogramm für digitale Souveränität

Angesiedelt werden sollte die Organisation nach dem Wunsch des Think Tanks bei der Sovereign Tech Agency oder dem Zentrum für Digitale Souveränität (ZenDiS). Alles solle schnell in Gang kommen, damit die Förderung schon 2027 oder 2028 starten könne. Für die Vergabe von Fördergeldern könnten Projekte wie der Prototype Fund als Vorbild dienen, schreibt Markus Beckedahl, der heute Geschäftsführer beim ZDD ist.

Parallel zu Fördergeldern solle es auch Beratungsstrukturen für Behörden, Medien, Bildungseinrichtungen und Zivilgesellschaft geben, abrunden soll das Programm begleitende Forschung. Neben diesen Maßnahmen solle auch die Bundesregierung mit gutem Beispiel vorangehen: Nach dem sogenannten +1-Prinzip sollten alle Ministerien mindestens eine gemeinwohlorientierte, dezentrale Plattform nutzen. Dies ließe sich auch einfach in der Geschäftsordnung verankern.

Zusätzlich könnte in Rundfunkstaatsverträgen verankert werden, dass öffentlich-rechtliche Sender immer auch im Fediverse publizieren müssen – und sich nicht auf kommerzielle Plattformen beschränken dürfen. Im Gemeinnützigkeitsrecht könne zudem verankert werden, dass Open Source gemeinnützig wird.

Das Zentrum für Digitalrechte und Demokratie geht davon aus, dass man schon mit einem zweistelligen Millionenbetrag eine digitale Infrastruktur gestärkt werden könne, die wirklich unabhängig, demokratisch und innovativ sei.