Comretix Blog

Die Abhängigkeit von US-amerikanischen IT-Diensten birgt konkrete Risiken. Deutlich wurde dies jüngst etwa im Fall von Karim Khan, Chefankläger des Internationalen Strafgerichtshofs (IStGH), dem Microsoft plötzlich seine Konten sperrte. Grund seien Sanktionen der US-Regierung gegen den IStGH gewesen. Solche "Killswitch"-Aktionen zeigen die Verwundbarkeit auch von europäischen Nutzern. Zudem scannen Dienste wie Microsoft und Google automatisch Inhalte in ihren Cloud-Speichern und melden verdächtige Funde an US-Strafverfolgungsbehörden.

In Episode 144 des c't-Datenschutz-Podcasts widmen sich c't-Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich gemeinsam mit Peter Siering dem Thema digitale Souveränität. Siering, seit 35 Jahren bei heise und Leiter des Ressorts Systeme und Sicherheit, bringt seine langjährige Erfahrung mit Microsoft-Produkten und Open-Source-Alternativen in die Diskussion ein.

(Bild: c't-Ressortleiter "Systeme & Sicherheit" Peter Siering in der Auslegungssache)

[Link auf Beitrag 4807783]

Für den Ausstieg aus Microsoft 365 empfiehlt Siering Nextcloud als zentrale Alternative. Die Open-Source-Software bietet kollaborative Dokumentenbearbeitung, Chat und Videokonferenzen. Kleine Unternehmen können diese Lösung über lokale Systemhäuser beziehen, müssen aber Schulungsaufwand und Umstellungspannen einkalkulieren, wie Siering betont. Der Wechsel erfordere Investitionsbereitschaft.

Am Beispiel der Kommunalwahlen Ontarios 2022 zeigen kanadische Forscher hohes Wahlbetrugsrisiko bei Online-Wahlen auf. Die Forscher dreier Universitäten haben zwar die Wahlserver nicht überprüft, aber schon bei den E-Voting-Webseiten Fehler gefunden. Noch schwerer wiegt die Handhabung der für die Stimmabgabe notwendigen Codes. In 70 Prozent der Kommunen mit Online-Wahl war das Wahlbetrugsrisiko hoch oder extrem.

Bei den Kommunalwahlen Ontarios 2022 waren 10,7 Millionen Personen wahlberechtigt. Etwa die Hälfte der Kommunen, generell kleinere, bot Online-Stimmabgabe an. Von diesen haben mehr als 70 Prozent die Stimmabgabe mittels papierenem Stimmzettel überhaupt abgeschafft. Insgesamt hätten 3,8 Millionen Ontarier online oder per Telefon abstimmen können.

Sechs E-Voting-Anbieter teilen sich den Markt der bevölkerungsreichsten Provinz Kanadas auf. Intelivote bedient die größte Zahl an Kommunen, Scytl die größte Zahl an Wahlberechtigten. In den zur Stimmabgabe aufgesetzten Webseiten des Marktführers Scytl sowie dem in Ontario weniger bedeutenden Anbieter Neuvote haben die Forscher eine Sicherheitslücke gefunden: Mittels cross-site framing attack war es Angreifern möglich, Wähler bei der Online-Stimmabgaben zu betrügen.

Denn die Stimmabgabe-Webseiten waren nicht gegen Einbettung in HTML iframes geschützt. Mit einem zwischengeschalteten Proxy und iframes und wäre es beispielsweise möglich gewesen, die angezeigte Reihenfolge der Kandidaten zu manipulieren, sodass die Stimme des Wählers vom Server anders registriert wurde, als der Wähler glaubte, zu wählen.

Das haben die Forscher Scytl demonstriert, das am nächsten Tag eine Abhilfemaßnahme ergriffen hat. Bei Neuvote haben die Forscher die Lücke zu spät bemerkt, um noch vor dem Wahlgang eingreifen zu können. Ob es solche Angriffe gegeben hat, ist unbekannt.

Angreifer können Systeme mit OpenSSL attackieren und unter bestimmten Voraussetzungen private Schlüssel wiederherstellen. Außerdem kann Schadcode auf PCs gelangen. Dagegen gerüstete Versionen stehen zum Download bereit.

Mit der freien OpenSSL-Software realisiert man unter anderem verschlüsselte Internetverbindungen auf TLS-Basis.

In einer Warnmeldung listen die Entwickler die Softwareschwachstellen auf. Am gefährlichsten gilt eine Lücke mit der Kennung CVE-2025-9230 und dem Bedrohungsgrad "hoch". Dabei kann es bei der Entschlüsselung von bestimmten CMS-Nachrichten zu Fehlern kommen, was zu Speicherfehlern (out-of-bounds) führt. Das resultiert in Abstürzen (DoS) oder es kann sogar zur Ausführung von Schadcode kommen.

Die zweite Sicherheitslücke (CVE-2025-9231 "mittel") betrifft ausschließlich 64-Bit-ARM-Plattformen. Dort können entfernte Angreifer mit einer Timing-Side-Channel-Attacke im Kontext von SM2-Signaturen private Schlüssel rekonstruieren.

Die dritte Schwachstelle (CVE-2025-9232 "mittel") kann zu DoS-Zuständen führen. Um die geschilderten Attacken vorzubeugen, sollten Admins zeitnah eine der abgesicherten Versionen installieren:

Nach der öffentlichen Empörung über den Erpressungsversuch eines britischen Kindergartenbetreibers durch Cyberkriminelle hat die Gang angeblich alle erbeuteten Fotos und Daten zu 8000 Kindern gelöscht. Das berichtet die BBC unter Berufung auf die Bande, die sich selbst Radiant nennt. Die hat demnach vor Tagen Zugang zu den Systemen von Kido Schools erlangt und dann begonnen, Profile zu einzelnen Kindern im Darknet zu veröffentlichen, um ein Lösegeld zu erpressen. Später seien dann sogar betroffene Eltern direkt kontaktiert worden, um Druck für die Zahlung der geforderten Summe zu erzeugen. Offenbar wurden sie dann aber von der öffentlichen Empörung überrascht. Zuerst hätten sie die erbeuteten Fotos weichgezeichnet und jetzt angeblich alle Daten gelöscht sowie sich entschuldigt.

Das britische Unternehmen Kido Schools betreibt zahlreiche Kindergärten in Großbritannien, den USA und Indien, von dem Cyberangriff waren Medienberichten zufolge aber nur die britischen Einrichtungen betroffen. Laut der BBC hat die Gang namens Radiant den Zugang zu den Systemen von Kido Schools nicht selbst erlangt, sondern einem anderen Cyberkriminellen abgekauft. Radiant habe dann mit dem Erpressungsversuch begonnen. Insgesamt wollte die Bande demnach wohl etwas über 110.000 Euro in Form von Bitcoin erpressen. Die Londoner Polizei hatte laut Reuters Ermittlungen aufgenommen, die aber nicht weit fortgeschritten waren.

Während die Cyberkriminellen nun aber behaupten, dass sie den Erpressungsversuch aus moralischen Gründen beendet hätten, meint die Cybersicherheitsexpertin Jen Ellis gegenüber der BBC, dass die Ursache wohl eigentlich eine andere gewesen sei. Die Bande sei "sichtlich schockiert", welche Aufmerksamkeit der Angriff bekommen habe und würde jetzt versuchen, ihre Marke zu schützen. Zudem kann gar nicht überprüft werden, ob die erbeuteten Daten tatsächlich gelöscht wurden. Der britische Nachrichtensender hat nach eigenen Angaben aber zumindest Hinweise erhalten, dass Kido Schools das geforderte Lösegeld nicht bezahlt hat. Für die Cybergang wäre der Angriff damit ein Verlustgeschäft. Zudem gebe es Hinweise, dass Radiant vergleichsweise unerfahren ist, schreibt die BBC noch.

(Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.)

Die Chefin der Signal-App hat Pläne in der EU kritisiert, wonach Messenger Hintertüren haben sollen, um die automatische Suche nach kriminellen Inhalten zu ermöglichen. "Wenn wir vor die Wahl gestellt würden, entweder die Integrität unserer Verschlüsselung und unsere Datenschutzgarantien zu untergraben oder Europa zu verlassen, würden wir leider die Entscheidung treffen, den Markt zu verlassen", sagte Meredith Whittaker der Deutschen Presse-Agentur (dpa). Die Datenschutzexpertin ist Präsidentin der gemeinnützigen Signal-Stiftung in den USA, die Signal entwickelt.

Die Europäische Union berät seit drei Jahren über ein Gesetz, mit dem der Kampf gegen Darstellungen sexuellen Kindesmissbrauchs neu geregelt werden soll. Der Vorschlag einer entsprechenden Verordnung sieht vor, dass Messenger wie WhatsApp, Signal, Telegram oder Threema ermöglichen sollen, dass die Inhalte noch vor der Verschlüsselung geprüft werden können. Dafür müssten die Apps einen Kontrollmechanismus enthalten, der jeden Inhalt überprüfen kann.

Whittaker sagte, Signal werde niemals die Integrität seiner Ende-zu-Ende-Verschlüsselung untergraben. "Sie garantiert die Privatsphäre von Millionen und Abermillionen von Menschen auf der ganzen Welt, oft auch in lebensbedrohlichen Situationen." Deshalb lehne Signal die Chatkontrolle ab. "Es ist bedauerlich, dass Politiker weiterhin einer Art magischem Denken verfallen, das davon ausgeht, dass man eine Hintertür schaffen kann, auf die nur die Guten Zugriff haben."

In der Debatte um eine Chatkontrolle in der EU hatte sich das Europaparlament gegen solche Pläne gestellt – mit einer breiten Mehrheit quer durch alle politischen Lager. Im Rat der Mitgliedstaaten gab es hingegen eine Mehrheit für die Chatkontrolle. Doch ohne Deutschland und einige andere Staaten waren die Pläne auch hier nicht durchsetzbar. Dies könnte sich unter der Ratspräsidentschaft von Dänemark nun ändern.

Wichtig wird sein, wie Deutschland sich positioniert. Im Koalitionsvertrag der schwarz-roten Bundesregierung heißt es: "Wir bekämpfen Diskriminierung im digitalen Raum und schützen digitale Grundrechte. Grundsätzlich sichern wir die Vertraulichkeit privater Kommunikation und Anonymität im Netz." Das Wort "grundsätzlich" deutet jedoch an, dass Ausnahmen von diesem Grundsatz zugelassen werden können. Kritiker befürchten, dass damit auch das Einbauen von Hintertüren in WhatsApp, Signal und Co. möglich sein soll.

Statistiken der Sicherheitsforscher von Shadowserver zufolge sind weltweit noch zehntausende Cisco-Firewalls verwundbar. Sicherheitspatches sind vorhanden, aber offensichtlich bis jetzt nicht überall installiert. Davon sind auch Instanzen in Deutschland betroffen.

Durch das erfolgreiche Ausnutzen einer "kritischen" Lücke (CVE-2025-20333) schieben Angreifer mit Root-Rechten Schadcode auf Systeme und kompromittieren sie. Die Lücke findet sich in der VPN-Web-Server-Komponente von Cisco Secure Firewall Adaptive Security Appliance (ASA) Software und Cisco Secure Firewall Threat Defense (FTD) Software.

In einer Warnmeldung finden Admins nach der Eingabe von bestimmten Daten Hinweise auf für sie passende Sicherheitspatches. Die Lücken sind seit Ende vergangener Woche bekannt.

Eine aktuelle Statistik von Shadowserver zeigt, dass es noch über die ganze Welt verteilt verwundbare Instanzen gibt. Mit fast 20.000 Firewalls führen die USA die Liste an. In Deutschland sind zum Zeitpunkt dieser Meldung noch fast 2400 Instanzen angreifbar. Demzufolge sollten Admins umgehend handeln und ihre Netzwerke durch die Installation von Sicherheitspatches vor den laufenden Attacken schützen.

Die Ransomwaregang Medusa wollte über einen Innentäter Zugriff auf das Netzwerk der öffentlich-rechtlichen Rundfunkanstalt des Vereinigten Königreichs BBC erlangen, um sie zu erpressen. Sie lockten den Reporter mit einer Beteiligung an der Lösegeldsumme.

Wie er in einem Beitrag ausführt, wurde er über den Messenger Signal angeschrieben und die Kriminellen boten ihm 15 Prozent an. Den Gesamteinnahmen der BBC und der Lösegeldsumme zufolge müsse er dann nie wieder arbeiten, argumentierten sie.

Der Reporter gibt an, dass die Kriminellen versucht haben, sein Vertrauen zu erlangen, ihn aber auch unter Druck gesetzt haben. Er sollte ihnen seine internen Zugangsdaten schicken und Code auf seinem Arbeitscomputer ausführen. Das hat er aber nicht gemacht.

Dann versuchten die Angreifer, sich in seinen Account einzuloggen und er bekam eigenen Angaben zufolge im Minutentakt Nachrichten seiner Multi-Faktor-Authentifizierungs-App (MFA) aufs Smartphone geschickt. Hätte er darauf geklickt, hätte er den Angreifern die Tür zu seinem Account geöffnet. So ein MFA-Bombing führte etwa 2022 zum Uber-Hack.

Ab diesem Moment hat er die IT-Sicherheitsabteilung der BBC eingeschaltet und den Chat ignoriert. Dieser wurde dann von den Kriminellen gelöscht.

Drei Sicherheitslücken gefährden PCs, auf denen VMware Cloud Foundation, NSX, NSX-T, Telco Cloud Infrastructure, Telco Cloud Platform oder vCenter Server installiert sind. Sind Attacken erfolgreich, können Angreifer unter anderem eigentlich geschützte Daten einsehen.

In einer Warnmeldung führen die Entwickler drei mit dem Bedarfsgrad "hoch" eingestufte Sicherheitslücken (CVE-2025-41250, CVE-2025-41251, CVE-2025-41252) auf. Ist ein Angreifer bereits authentifiziert und kann geplante Aufgaben anlegen, soll er in diesem Kontext versendete E-Mails manipulieren können. Ohne Authentifizierung sind unbefugte Zugriffe auf Nutzernamen möglich, die Angreifer im Anschluss für Brute-Force-Attacken nutzen können.

Bislang gibt es keine Berichte, dass bereits Attacken laufen. Admins sollten aber nicht zu lange warten und die Sicherheitsupdates zeitnah installieren. Gegen die geschilderten Angriffe sind die folgenden Versionen geschützt:

Zuletzt sorgten "kritische" Lücken in unter anderem VMware ESXi für Schlagzeilen, weil Admins die verfügbaren Sicherheitspatches offensichtlich nicht flächendeckend installiert haben.

Der Podcast kann sich vor Themen kaum retten und schiebt daher eine Bonusfolge mit zwei Themen in den üblichen Zwei-Wochen-Rhythmus ein. Sie trägt die ungewöhnliche Folgennummer 41a – die Antwort auf das Leben, das Universum und alles folgt dann eine Woche später.

Zuerst sehen sich die Hosts Apples neues Memory Integrity Enforcement (MIE) an. Das besteht im Grunde aus einem speziellen – weil nach Datentypen agierenden – Allocator und der Enhanced Memory Tagging Extension (EMTE). Memory Tagging ist eigentlich eine Debug-Funktion, die sich aber als Sicherheitsmaßnahme zweitverwerten lässt. Speicherfehler sollen mit EMTE sofort und zuverlässig zu einem Crash führen, sodass sich daraus keine zur Codeausführung ausnutzbare Sicherheitslücke stricken lässt. Christopher und Sylvester erklären das Funktionsprinzip, sehen sich an, wer außer Apple an dergleichen arbeitet, und diskutieren, wie viel Sicherheitsgewinn MIE bringen wird.

<ir_inline itemname=podcast_mvp_url:1 type=0>

Außerdem reden die Hosts über die kompromittierten Salesforce-Instanzen von diversen, teilweise sehr hochkarätigen Sicherheits- und Infrastrukturfirmen. Die hatten sämtlich einen Chatbot der Firma SalesLoft eingebunden, über den sich Angreifer Zugriff auf Salesforce verschaffen konnten. Peinlich und nach der Meinung der Hosts auch reichlich unnötig – ein Chatbot von ohnehin fragwürdigem Nutzen sollte keine solche Angriffsfläche wert sein.

Die neueste Folge von "Passwort – der heise security Podcast" steht seit Mittwochmorgen auf allen Podcast-Plattformen zum Anhören bereit.

Apple-User sollen ein Sicherheitsupdate flugs einspielen, um sich gegen Abstürze und/oder korrumpierten Arbeitsspeicher zu schützen. Nicht korrekter Arbeitsspeicher kann Sprungbrett für weitere Angriffe sein. Betroffen sind sowohl iPhones als auch iPads und diverse Apple-Computer. Daher drängt das BürgerCERT des deutschen Bundesamtes für Sicherheit in der Informationstechnik auf das Montagabend aufgelegte Update. Die Facheinrichtung warnt vor möglichen Denial-of-Service-Angriffen, hier in der Form wiederholter Abstürze.

Betroffen sind laut Apple folgende Betriebssysteme:

Der mit den Updates korrigierte Fehler liegt im Font Parser. Das ist jene Routine, die Schriftarten zu ihrer korrekten Darstellung verhilft. Leider lässt sich der Font Parser durch manipulierte Schriftarten dazu verleiten, in ihm eigentlich nicht zustehende Speicherbereiche zu schreiben.

Angreifer könnten die "Schwachstelle ausnutzen, um das Gerät zum Absturz zu bringen oder den Prozessspeicher zu beschädigen. Dadurch können andere, nicht näher spezifizierte Angriffe ermöglicht werden", informiert das BürgerCERT. Für erfolgreiche Ausnutzung genüge es, eine bösartige Anwendung oder ein bösartiges Dokument zu öffnen. Denn Schriftarten sind häufig in Webseiten, Dokumenten oder Anwendungen eingebettet oder werden nachgeladen.

Der Bug ist als CVE-2025-43400 registriert. CVE steht für Common Vulnerabilities and Exposures (Allgemeine Schwachstellen und Gefährdungen) und dient seit mehr als 25 Jahren international der Dokumentation von Sicherheitslücken. Jede bekannte Sicherheitslücke kann dort eine eigene, eindeutige Nummer zugewiesen erhalten.