Connect with us

Datenschutz & Sicherheit

Zuckerbrot und Peitsche: Digitalminister will Breitband-Regulierung lockern


Manchmal vollzieht sich Wandel so langsam, dass man ihn kaum bemerkt. Jahrzehntelang wurde marktmächtigen Netzbetreibern wie der Telekom Deutschland besonders genau auf die Finger geschaut, damit sich in dem einst monopolisierten Bereich so etwas wie Wettbewerb entwickeln kann. Schritt für Schritt wird dieser „asymmetrische“ Ansatz nun abgebaut.

Zuletzt war es Digitalminister Karsten Wildberger (CDU), der vergangene Woche einen lange erwarteten Gesetzentwurf vorgelegt hat. Dieser „zielt darauf ab, bürokratische Hürden zu senken, Rahmenbedingungen zu verbessern und den Netzausbau zu beschleunigen“, wie ihn das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) beschreibt.

Demnach soll es der Bundesnetzagentur künftig möglich sein, „Zugangsverpflichtungen zu Netzen bzw. Netzelementen aufzuerlegen, die von anderen Unternehmen aufgrund wirtschaftlicher oder physischer Hindernisse nicht repliziert werden können“, heißt es im Entwurf. Die Regelung werde „symmetrisch“ gelten, also „für alle Unternehmen unabhängig von beträchtlicher Marktmacht“, schreibt das Digitalministerium (BMDS) unmissverständlich.

Mehr Spielraum für die Telekom – mit Auflagen

Erst kürzlich hat die Bundesnetzagentur bekannt gegeben, in vier deutschen Städten erstmals von asymmetrischer Vorab-Regulierung der bundesweiten Marktführerin abrücken zu wollen. Begründet hat sie dies mit den sinkenden Marktanteilen der Telekom und dem robusten Wettbewerb, der in den Städten herrsche. Eben diese entscheidende Stütze bei der Bewertung des regulatorischen Augenmaßes soll nun entfallen.

Das heißt nicht, dass die Telekom künftig im ganzen Land ungehindert schalten und walten kann, wie es ihr gefällt. Selbst wenn der BMDS-Vorschlag in der vorliegenden Form durchginge, sieht das Ministerium ein mehrstufiges Verfahren vor, bevor sie Zugangsverpflichtungen auferlegen kann.

Zunächst soll die Netzagentur festlegen, in welchen Gebieten nur ein Glasfasernetz wirtschaftlich tragfähig ist. Dort tätige Betreiber wären dann verpflichtet, in Verhandlungen „über einen offenen Netzzugang zu fairen und angemessenen Bedingungen“ einzutreten. Den Rahmen dafür soll die Regulierungsbehörde abstecken und dabei auch Entgeltmaßstäbe festlegen. Scheitern die Verhandlungen, kann sie den Zugang zum fremden Netz anordnen.

Mehr Glasfaser, weniger Doppelausbau

Offenkundig will das BMDS damit mehrere Fliegen mit einer Klappe schlagen. Zum einen klagen Wettbewerber der Telekom seit Jahren über sogenannten Doppelausbau. Den Vorwurf, die Telekom würde strategisch die Glasfasernetze ihrer Konkurrenz überbauen, konnte eine eigens eingerichtete Monitoringstelle zwar nicht belegen. Indes ändert dies nichts daran, dass sich der teure Ausbau mehrerer Netze in dünn besiedelten Regionen oft schlicht nicht rechnet – und dort kein Infrastrukturwettbewerb entstehen kann, der weiterhin den Rahmen vorgibt.

Zum anderen bereitet sich das BMDS auf die anstehende Migration von althergebrachter Kupferinfrastruktur auf moderne Glasfaserleitungen vor. Bevor DSL-Anschlüsse abgeschaltet werden können, brauche es ein „funktionierendes Zugangsregime zu den korrespondierenden Glasfasernetzen“, heißt es im Gesetzentwurf. Anstatt aufwändiger Einzelverfahren, die laut BMDS in der Praxis bislang keine Anwendung fanden, soll ein bundesweit einheitliches Verfahren samt zentraler Zugangsbedingungen die Kosten senken und zugleich die Wahlmöglichkeiten für Nutzer:innen in Gebieten mit nur einem Netzbetreiber verbessern.

Freiwilliger Ansatz gescheitert

Über diese eng miteinander verknüpften Punkte diskutiert die Branche seit Jahren im Gigabitforum. Dort kommen Netzbetreiber, Regulierungsbehörden und Ministerien zusammen, um sich auf den richtigen Rahmen der deutschen Ausbaupolitik zu verständigen. Auf eine gemeinsame, auf Freiwilligkeit basierende Linie konnten sie sich dort jedoch nicht einigen, wie der Gesetzesentwurf ausführt. Existierende Open-Access-Dienstleistungen hätten bestenfalls bilaterale Abkommen ermöglicht. Zu einer branchenweiten Lösung hat es bislang nicht gereicht.

Dass nun viele kleinere Netzbetreiber auf die Barrikaden steigen, verwundert nicht. Unter Umständen müssten sie in Regionen, die sie – womöglich exklusiv – mit Glasfaserleitungen ausgebaut haben, ausgerechnet die Telekom in ihre Netze lassen. Ihr Wettbewerbsvorteil, oder gar ihr regionales Glasfasermonopol, wäre dann dahin.

Wir sind communityfinanziert

Unterstütze auch Du unsere Arbeit mit einer Spende.

Betreiberverbände warnen vor „ökonomischem Druck“

So verweisen Betreiberverbände auf den ökonomischen Druck, der freiwillige Open-Access-Modelle attraktiv mache oder warnen vor verunsicherten Investoren. Zudem trage auch die Marktführerin Schuld, indem sie eine aggressive Re-Monopolisierungsstrategie fahre: „Open Access scheitert heute nicht am Angebot, sondern einzig an der Verweigerung der Telekom“, schreibt etwa der Betreiberverband BREKO.

Dagegen betont das BMDS, genügend Sicherungen eingebaut zu haben, um ausbauenden Unternehmen Planungssicherheit zu bieten. Der Fokus auf wirtschaftlich unattraktive Gebiete sowie regulierte Zugangsbedingungen sollen sicherstellen, dass Investitionen in Glasfaser weiter fließen und zugleich ein missbräuchlicher Doppelausbau verhindert wird.

Wer hierbei mehr vom Zuckerbrot abbekommen wird als von der Peitsche, bleibt vorerst offen: Netzbetreiber und Investoren würden geänderten Rahmenbedingungen mit neuen Kalkulationen begegnen, während die Telekom weiterhin ein ungebrochenes Interesse daran hat, ihre Vormachtstellung auf dem Breitbandmarkt zu erhalten.

Still und leise entstehen Open-Access-Netze

Als lachender Sieger könnten am Ende vielleicht sogar jene Projekte dastehen, die besonders lange für den Ausbau brauchen. Rund 21 Milliarden Euro haben Bundesregierungen über einen Zeitraum von zehn Jahren inzwischen in den staatlich geförderten Ausbau gesteckt. Trotz des Schneckentempos hat sich vor allem in bislang digital abgehängten Regionen die Breitbandsituation spürbar verbessert – und das, obwohl viele der derzeit knapp 4.000 Ausbauprojekte noch nicht fertiggestellt sind.

Für derart geförderte Netze, die mitunter von regionalen Stadtwerken gebaut werden, besteht bereits heute eine Open-Access-Pflicht. Im Idealfall werden Kund:innen dann per Mausklick ihren Anbieter wechseln können, wie dies etwa in Schweden vielerorts möglich ist. Das dürfte vor allem der Telekom die Schweißperlen auf die Stirn treiben, denn das Internet hört bei der sogenannten letzten Meile nicht auf, sondern beginnt aus Sicht von Nutzer:innen dort erst. Taktiken wie absichtlich geschaffene, künstliche Engpässe, die Telekom-Kund:innen über tröpfelnde Daten zu bestimmten Internet-Diensten klagen lassen, könnten dann über Nacht verschwinden.



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

Behörde für abgesicherte Ausweise geknackt – Millionen Franzosen betroffen


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Unbekannte Angreifer haben die Datenbank der Behörde für abgesicherte Ausweise (ANTS) Frankreichs geknackt. Das hat die Behörde am 15. April festgestellt und sechs Tage später öffentlich bekanntgegeben. Demnach sind 11,7 Millionen Online-Konten betroffen. Laut französischer Medienberichte wird der erbeutete Datensatz bereits auf dem Schwarzmarkt feilgeboten. Dabei würden sogar 19 Millionen Datensätze versprochen.

Weiterlesen nach der Anzeige

Der Grund für den deutlichen Unterschied ist nicht gesichert. Der Verkäufer könnte schlicht übertreiben, oder Konten, die von der ANTS mehrere Dokumente bezogen haben, mehrfach zählen. Laut Behörde enthalten die erbeuteten Datensätze Username, Anrede, Vor- und Nachname, E-Mail-Adresse, Geburtsdatum, Kontonummer und, für einen Teil der Konten, zusätzlich Postadresse, Geburtsort und Telefonnummer. Anträgen auf Ausweise und andere Dokumente müssen in aller Regel weitere Dokumente beigefügt und allzu oft biometrische Datensätze mitgegeben werden. Diese hat sich der Täter nach bisherigem Ermittlungsstand nicht aneignen können, sagt die Behörde.

Die ANTS (Agence nationale des titres sécurisés) ist auch als France Titre bekannt. Es handelt sich um eine Abteilung des französischen Innenministeriums. Sie ist zuständig für die Ausstellung von Reisepässen, Personalausweisen, sowie Führerscheinen für Straßenfahrzeuge und Motorboote, sowie für Dokumente über die Zulassung von Kraftfahrzeugen, Aufenthaltstitel, Visa und eine Reihe weiterer Ausweise und Dokumente für Aufenthalte und Grenzübertritte. Gedruckt werden die Papiere allerdings von der Staatsdruckerei (Imprimerie nationale).

Wie der Einbruch in die Datenbank gelungen ist, sagt die ANTS nicht. Das ist offenbar noch Gegenstand der laufenden Untersuchung. Betroffene sind per E-Mail informiert worden. Bestimmte Vorkehrungen empfiehlt das Innenministerium Frankreichs Bürgern nicht, außer, dass sie beim nächsten Login ihr ANTS-Passwort ändern sollen.


(ds)



Source link

Weiterlesen

Datenschutz & Sicherheit

VMware Tanzu Spring Security: Angreifer können bösartigen Clients anmelden


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Angreifer können insgesamt sieben Sicherheitslücken in VMware Tanzu Spring Security ausnutzen und im schlimmsten Fall eigenen Code ausführen. Mittlerweile sind Sicherheitsupdates verfügbar. Auch wenn es bislang keine Hinweise seitens des Softwareherstellers auf Attacken gibt, sollen Admins die Patches zeitnah installieren.

Weiterlesen nach der Anzeige

Tanzu Spring Security ist ein Authentifizierungs- und Zugriffskontroll-Framework, um den Umgang mit Spring-basierten Anwendungen so sicher wie möglich zu gestalten. Nun wird es aber selbst zum Sicherheitsrisiko.

Verschiedene Gefahren

Am gefährlichsten gilt einer Warnmeldung zufolge eine „kritische“ Schwachstelle (CVE-2026-22752) im Rahmen der Dynamic Client Registration. Weil Metadatenfelder bei der Registrierung eines neuen Clients nicht ausreichend überprüft werden, können Angreifer dort einen Exploit platzieren. Dafür müssen sie aber bereits über einen gültigen Initial Access Token verfügen. Klappt eine Attacke, können Angreifer einen unter ihrer Kontrolle stehenden Client registrieren und unter anderem im Rahmen einer Stored-XSS-Attacken Schadcode ausführen.

Zwei weitere Lücken sind mit dem Bedrohungsgrad „hoch“ eingestuft (CVE-2026-22754, CVE-2026-22753). Weil Angreifer Anfragen an Pfade, die eigentlich geschützt sein sollten, schicken können, sind Sicherheitsmechanismen umgehbar.

Sicherheitspatches installieren

Die Entwickler versichern, die Sicherheitsprobleme in der Tanzu-Spring-Security-Ausgabe 7.0.5 und Spring Authorization Server 1.3.11, 1.4.10 und 1.5.7 gelöst zu haben.

Weitere Details zu den Softwareschwachstellen und bedrohten und abgesicherten Versionen finden Admins im Sicherheitsbereich der VMware-Tanzu-Website.

Weiterlesen nach der Anzeige


(des)



Source link

Weiterlesen

Datenschutz & Sicherheit

Passwortsafe Bitwarden: Kommandozeilen-Client trojanisiert | heise online


Zwischen 23:57 Uhr am 22. April und 01:30 Uhr am 23. April deutscher Zeit (17:57 Uhr bis 19:30 Uhr ET) wurde das npm-Paket @bitwarden/cli in der Version 2026.4.0 mit Schadcode ausgeliefert. Diese manipulierte Version stahl Zugangsdaten der Nutzer. Bitwarden betont allerdings, dass im eigentlichen Safe abgelegte Daten von Endnutzern (Vault-Data) nicht betroffen seien.

Weiterlesen nach der Anzeige

Wie Bitwarden in seinem Community-Forum mitteilte, habe das Sicherheitsteam das manipulierte Paket identifiziert und eingedämmt. Die Verteilung erfolgte demnach ausschließlich via NPM, wer das Paket in der fraglichen Zeit nicht via NPM bezogen habe, sei nicht betroffen. Die kompromittierte Version sei mittlerweile als deprecated markiert und der missbrauchte Zugang widerrufen worden. Der Vorfall ist Teil eines größeren Angriffs auf die Checkmarx-Lieferkette.

Raffinierter Credential-Stealer mit Fallback-Mechanismen

Sicherheitsforscher von JFrog und Socket.dev haben die Malware im Detail analysiert. Das manipulierte package.json enthielt ein preinstall-Skript, das automatisch beim Installieren eine Loader-Datei namens bw_setup.js ausführte. Diese lud die Bun-Runtime (Version 1.3.13) von GitHub herunter und startete ein obfuskiertes JavaScript-Payload (bw1.js).

Der Schadcode zielte auf ein breites Spektrum sensibler Daten: GitHub- und npm-Tokens, SSH-Schlüssel, Shell-Historien sowie Zugangsdaten für AWS, Google Cloud und Azure. Ferner wurden GitHub-Actions-Secrets, Git-Credentials, .env-Dateien und sogar Konfigurationsdateien von KI-Tools wie Claude und MCP ausgelesen und an die Angreifer geschickt.

Die Exfiltration erfolgte primär verschlüsselt an die Adresse audit.checkmarx.cx (IP: 94.154.172.43). Als Fallback nutzte die Malware einen raffinierten Mechanismus: Gestohlene GitHub-Tokens wurden validiert, um unter dem Konto des Opfers Repositories zur Datenexfiltration anzulegen. Double-Base64-kodierte PATs wurden dabei in Commit-Messages mit dem Marker „LongLiveTheResistanceAgainstMachines“ versteckt.

Sofortige Gegenmaßnahmen erforderlich

Weiterlesen nach der Anzeige

Wer die Version 2026.4.0 im genannten Zeitfenster installiert hat, sollte umgehend handeln. Bitwarden empfiehlt die Deinstallation mit npm uninstall -g @bitwarden/cli und das Leeren des npm-Cache. Auf betroffenen Systemen sollten Administratoren nach den Artefakten bw_setup.js, bw1.js sowie einer heruntergeladenen Bun-Runtime suchen.

Besonders wichtig ist die Rotation sämtlicher Zugangsdaten, die auf dem kompromittierten System gespeichert waren: GitHub Personal Access Tokens, npm-Tokens, AWS Access Keys, Azure- und GCP-Secrets sowie SSH-Schlüssel. Auch GitHub-Actions-Workflows sollten auf unautorisierte Ausführungen geprüft werden. Die Domain audit.checkmarx.cx und die IP 94.154.172.43 sollten in Firewalls blockiert werden.

Aktuell liefern alle Repositories wieder die reguläre Version 2026.3.0 aus. Diese und alle anderen Versionen der Bitwarden CLI außer 2026.4.0 sind laut Hersteller nicht betroffen. Produktionssysteme und Vault-Daten seien zu keinem Zeitpunkt kompromittiert worden.


(ju)



Source link

Weiterlesen

Beliebt