Anmelden
(Bild: heise medien)
Eine Podcastfolge fast ohne PKI, aber mit gehörig Drama (bei der IETF), Kopfschütteln (über Cisco) und gefährlichen Sicherheitslücken (im In- und Ausland).
Knapp 800 E-Mails auf der Mailingliste, persönliche Anfeindungen und inhaltliche Argumente, moderierte Teilnehmer, Trolling auf Kindergartenniveau und am Ende die Frage, ob als Ergebnis ein „Konsens“ vorliegt: Die TLS-Arbeitsgruppe der IETF ringt um die Frage, ob eine Schlüsselaushandlung nur per ML-KEM – also Post-Quantum-Kryptografie ohne klassischen Hybridpartner – als eigenständiger RFC veröffentlicht werden soll.
Sylvester hat sich durch den kompletten Mailinglisten-Thread gearbeitet und sortiert zusammen mit Christopher die Lager, die Argumente und die Nebelkerzen. Dass Daniel J. Bernstein öffentlich zu Nein-Stimmen aufrief und (mal wieder) moderiert wurde, ist dabei nur eine von vielen Eskalationsstufen, die den Arbeitsprozess IETF-Arbeitsgruppen erheblich auf die Probe stellen. Selbst zwischen europäischen Institutionen gehen die Meinungen über den Vorschlag auseinander – von „bitte veröffentlichen, damit die Migration vorankommt“ bis „bitte nicht veröffentlichen, das sendet das falsche Signal“.
Anmerkung: Nach Aufzeichnung der Episode wurde offiziell Konsens festgestellt [2]. Wie erwartet, scheint sich die Debatte damit aber keineswegs erledigt zu haben.
Außerdem geht es im Podcast um eine Ankündigung von Cisco, Schwachstellen künftig nicht mehr einzeln mit CVE-Nummern zu versehen. Stattdessen will das Unternehmen Lücken nach Fehlerklasse in sogenannte „Umbrella-CVEs“ bündeln. Eine CVE-Nummer für Input-Validation-Probleme quer durchs Portfolio – das finden die Hosts nicht nur unpraktisch, sondern sehen es auch im Widerspruch zum erklärten Zweck des CVE-Systems.
Christopher bringt derweil zwei Geschichten in den Podcast, in denen Funk und Firmware eine unglückliche Allianz eingehen. In Indien schalten Prankster per Bluetooth-LE-App fahrenden E-Rikschas den Akku ab – ein Trend, der inzwischen das indische IT-Ministerium auf den Plan gerufen hat. Näher an der eigenen Steckdose liegt eine vom CCC gemeldete Schwachstelle in Hoymiles-Mikrowechselrichtern [3]: Wer die Seriennummer kennt – und die verrät ein undokumentierter Broadcast bereitwillig –, kann Balkonkraftwerke per Funk abschalten oder im schlimmsten Fall beschädigen. Hoymiles reagierte erst nach Wochen und verspricht einen Patch im August [4].
Außerdem im Programm: eine „KI-Ransomware“ namens Jadepuffer, deren Verschlüsselungsschlüssel nirgends gespeichert wird und deren Bitcoin-Wallet aus der Dokumentation stammt – Christopher findet dafür den Begriff „TARP“ (Threat Actor Role Playing) treffend.
Die aktuelle Folge von „Passwort – der Podcast von heise security [5]“ ist seit Mittwochmorgen auf allen gängigen Podcast-Plattformen verfügbar.
URL dieses Artikels:
https://www.heise.de/-11360955
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
(Bild: Shutterstock.com/DimaBerlin)
Eine Übersichtsarbeit zeigt, dass nur etwa die Hälfte aller Mental Health Apps mit wissenschaftlich geprüfter Wirksamkeit noch öffentlich verfügbar ist.
Digitale Mental-Health-Anwendungen sollen psychologische Unterstützung niedrigschwellig und jederzeit verfügbar machen. Insbesondere Apps [1] gegen Depressionen, Angststörungen, Nervosität, Schlafstörungen oder andere psychische Belastungen ermöglichen einen einfachen Zugang zu Übungen, psychoedukativen Inhalten und strukturierten Selbsthilfeprogrammen. Gerade bei langen Wartezeiten auf Therapieplätze oder in unterversorgten Regionen können solche Angebote eine wertvolle Hilfe sein. Voraussetzung ist aber natürlich, dass wissenschaftlich geprüfte Anwendungen nach Abschluss einer Studie weiterhin auffindbar, technisch funktionsfähig und öffentlich zugänglich sind.
Ein internationales Forschungsteam hat nun untersucht, was aus Apps für psychische Gesundheit geworden ist, deren Wirksamkeit in früheren Forschungsarbeiten untersucht wurde. Die in der Fachzeitschrift npj Digital Medicine veröffentlichte Übersichtsarbeit [2] zeigt in ihren Ergebnissen ein grundlegendes Problem auf. Tatsächlich steht ein Großteil der Apps Patientinnen und Patienten nicht dauerhaft zur Verfügung. Etwa die Hälfte aller Anwendungen verschwand nach einiger Zeit wieder aus dem App Store und Google Play.
Für die Übersichtsarbeit durchsuchten die Forscher:innen die wissenschaftliche Literatur nach kontrollierten Studien zu selbstständig nutzbaren Mental-Health-Apps. Gemeint waren hierbei Anwendungen, die Betroffene ohne fortlaufende Begleitung durch Therapeut:innen oder anderes Fachpersonal verwenden können. Solche Angebote sind besonders interessant, weil sie eine große Zahl von Menschen mit vergleichsweise geringem Personalaufwand erreichen könnten.
Die Literatursuche lieferte zu Beginn 16.971 Einträge, wovon nach der Prüfung 110 Studien mit insgesamt 112 untersuchten Apps die Einschlusskriterien erfüllten. Da einzelne Anwendungen in mehreren Studien untersucht worden waren, ergab sich am Ende eine Gesamtzahl von 81 evidenzbasierten Apps. Anschließend prüften die Forschenden, ob diese Anwendungen weiterhin öffentlich im Apple App Store oder Googles Play Store verfügbar waren.
Die Studie verknüpft zwei Fragen, die bislang oft getrennt betrachtet werden: Wirkt eine App unter Studienbedingungen und ist sie für Betroffene später überhaupt noch verfügbar? Denn ein nachgewiesener Nutzen hilft in der Versorgung wenig, wenn die Anwendung nicht mehr heruntergeladen oder genutzt werden kann.
Von 81 evidenzbasierten Selbsthilfe-Apps waren zum Zeitpunkt der Untersuchung nur noch 42 (52 Prozent) öffentlich verfügbar. Unter den weiterhin erhältlichen Apps wurden 79 Prozent sowohl im Apple App Store als auch bei Google Play angeboten. 40 Prozent der Apps konnten kostenlos genutzt werden.
Die Untersuchung zeigt, dass ein wissenschaftlich bestätigter Wirksamkeitsnachweis keine dauerhafte Präsenz auf dem Markt garantiert. Ein Gutachten zur Evidenzlage von Gesundheits-Apps [3] hatte bereits 2022 kritisiert, dass die Wirksamkeitsstudien zu digitalen Gesundheitsanwendungen vielfach nicht den wissenschaftlichen Standards genügen. Tatsächlich konnte auch kein Zusammenhang zwischen der Qualität der zugrunde liegenden Studien und der späteren Verfügbarkeit erkannt werden. Ebenso konnte kein Zusammenhang zwischen stärkerer Wirksamkeit einer App und dauerhafter Verfügbarkeit nachgewiesen werden.
Die Ergebnisse weisen auf eine zentrale Schwäche der Digital-Health-Forschung hin. Forschungsvorhaben sind häufig darauf ausgerichtet, eine Intervention zu entwickeln, ihre Wirksamkeit zu prüfen und die Ergebnisse zu veröffentlichen.
Warum viele Anwendungen nicht dauerhaft verfügbar bleiben, lässt sich aus der Meta-Analyse nicht ableiten. Für den langfristigen Betrieb könnten jedoch Faktoren eine Rolle spielen, die über den Wirksamkeitsnachweis hinausgehen: Apps müssten technisch gepflegt, an neue Betriebssysteme angepasst und sicherheitstechnisch aktualisiert werden. Auch Datenschutz, regulatorische Anforderungen, Support und die Finanzierung der technischen Infrastruktur dürften den dauerhaften Betrieb erschweren.
Zu betonen ist, dass die Übersichtsarbeit die öffentliche Verfügbarkeit untersuchte, nicht die tatsächliche Nutzung oder Verbreitung. Eine auffindbare App kann nur wenige aktive Nutzer haben, in bestimmten Ländern nicht erhältlich sein oder hinter hohen Kosten verborgen bleiben. Umgekehrt könnte eine nicht öffentlich verfügbare Anwendung weiterhin noch innerhalb einzelner Kliniken oder Forschungsprogrammen eingesetzt werden.
Die Meta-Analyse erlaubt außerdem keine Aussage darüber, warum einzelne Apps verschwanden. Die Ursachen können deshalb nicht aus den Zahlen herausgelesen werden. Naheliegend ist jedoch, dass Faktoren jenseits wissenschaftlicher Untersuchungen über die langfristige Übersetzung in die Versorgung entscheiden. Dazu können fehlende Geschäftsmodelle, auslaufende Forschungsförderung, technische Wartungskosten oder eine nicht gelungene Kommerzialisierung gehören.
Für Betroffene entsteht dadurch ein echtes Problem. Im App Store und auf Google Play finden sich unzählige Apps mit kaum überprüfbaren Gesundheitsversprechen. Gleichzeitig werden die wenigen Apps, für die kontrollierte Wirksamkeitsdaten vorliegen, oft nicht langfristig weiterentwickelt und bleiben nicht dauerhaft erhältlich.
Die zentrale Botschaft der Arbeit ist damit weniger ein Urteil über die Wirksamkeit psychologischer Apps als über ihre Nachhaltigkeit. Wissenschaftliche Evidenz kann nur dann Teil der Versorgung werden, wenn das geprüfte Produkt die Studie überlebt.
URL dieses Artikels:
https://www.heise.de/-11372733
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Bei bestimmten neueren Macs lässt sich der Rechner bei Verbindung mit dem Stromnetz automatisch hochfahren. Das hat viele Vorteile.
An den Einschaltknopf des Mac mini komme ich nur schlecht heran. Kann ich das Gerät auch auf andere Weise einschalten?
Apple hat eine entsprechende Softwareoption mit dem Update auf macOS 26.5 nachgereicht: Diese finden Sie in den Systemeinstellungen unter „Energie“ unter dem Punkt „Bei Anschluss an das Stromnetz starten“.
Sobald Sie die Option hier von „Nie“ auf „Immer“ setzen, springt Ihr Mac mini dann an, sobald Sie etwa den Kippschalter einer Steckdosenleiste umlegen. Alternativ stecken Sie Ihren Mac in einen vernetzten Zwischenstecker, den Sie etwa über HomeKit schalten.
Die Option „Bei Anschluss an das Stromnetz starten“ ist nur auf dem Mac mini M4 und M4 Pro, dem iMac M4 sowie dem Mac Studio mit M4 Max und M3 Ultra verfügbar, bei älteren Apple-Silicon-Modellen und Intel-Macs taucht die Einstellung nicht auf.
Sie können jedoch bei allen Desktop-Macs an gleicher Stelle festlegen, dass Ihr Rechner zumindest nach einem Stromausfall automatisch neu hochfährt.
URL dieses Artikels:
https://www.heise.de/-11369452
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Festplatte mit 2,5 Zoll und Gehäuse vor dem Einbau: So flott sind die kleinen Enclosures wirklich.
(Bild: Andreas Wodrich / heise medien)
Eine alte oder neue Festplatte als externen Speicher am Mac einsetzen: Das ist nicht schwer. Wir haben sechs 2,5-Zoll-Gehäuse mit USB getestet.
Die Preise für Flash-Speicher sind in jüngster Zeit explodiert und so gewinnen mechanische Festplatten wieder an Attraktivität. Sie besitzen oft eine hohe Kapazität und sind dabei vergleichsweise günstig. So mancher Anwender hat auch noch Festplatten oder SATA-SSDs aus einem alten Rechner oder NAS übrig, die er wiederverwenden möchte. Mit dem passenden USB-Gehäuse ist das kinderleicht möglich. Einige Gehäuse erlauben die Montage ohne Werkzeug, bei anderen muss man ein wenig schrauben, dafür sitzen die Laufwerke dann auch fester.
Egal ob für Backups oder als Zusatzspeicher für viele Daten, um nicht von der aktuellen SSD-Inflation [1] [1] betroffen zu sein: Externe Medien können sich lohnen. Dazu benötigt man neben einer vorhandenen Festplatte oder SSD nur ein passendes Gehäuse, der Einbau geht leicht von der Hand.
Nachdem wir bereits fünf aktuelle 3,5-Zoll-Gehäuse mit USB [6] [6] getestet hatten, schauen wir uns dieses Mal insgesamt sechs 2,5-Zoll-Varianten an. In diese passen sowohl SATA-SSDs als auch 2,5 Zoll große Festplatten.
URL dieses Artikels:
https://www.heise.de/-11361636
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Künstlerische Darstellung einer Fahne mit güldenem Apfel
(Bild: Daniel AJ Sokolov)
Apples Dienst „E-Mail-Adresse verbergen” schaffte das nur schlecht. Die echten Adressen aufzudecken, war simpel.
Kinderleicht konnte jedermann die echten E-Mail-Adressen herausfinden, die Apples Dienst „Hide my E-Mail” (E-Mail-Adresse verbergen) eigentlich verbergen sollte [1]. Es reichte, eine so deutlich als Spam zu erkennende Mitteilung an die Alias-Adresse zu senden, dass Apples Server sie zurückwies. Und die Zurückweisung (Englisch bounce) nannte die echte, eigentlich zu versteckende E-Mail-Adresse. Deren Inhaber bekam von all dem nichts mit. Apple wusste das mehr als ein Jahr lang, scheiterte aber mehrmals an der Korrektur.
Erst nach Berichten durch 404 Media sowie in der Folge heise online und anderen Medien stopfte Apple die Datensicherheitslücke Anfang Juli. Doch die Entdecker des Fehlers, Ben und Tyler Murphy, weisen darauf hin, dass alle vor 7. Juli eingerichteten Alias-Adressen aufgedeckt worden sein können. Die Gebrüder Murphy sind Gründer des Dienstes Easy Opt Outs.
Nach eigenen Angaben [2] haben die Murphys am 11. Juni 2025 Apple über das Problem mangelnder Datensicherheit informiert. Weitere Informationen folgten am 13. und 20. Juni, eine weitere Variante wurde am 9. Juli 2025 gemeldet. Am 14. Juli 2025 kündigte Apple demnach an, die Sache zu prüfen. Es dauerte so lange wie eine menschliche Schwangerschaft, bis der Konzern am 3. März 2026 verkündete, den Fehler bereinigt zu haben.
Allein, das stimmte nicht, worauf die Entdecker Apple am 19. März 2026 auch aufmerksam machten. Am 22. Mai wollen sie Apple zudem eine schwerwiegendere Variante gemeldet haben. Am 30. Juni 2026 meldete Apple erneut, den Fehler bereinigt zu haben, was wieder nicht stimmte. Daraufhin wandten sich die Firmengründer an 404 Media.
Das Medienecho machte Apple Beine: Seit Anfang Juli funktioniert der Spam-Trick offenbar nicht mehr, wie auch Tyler Murphy bestätigt. „Allerdings glauben wir nicht, dass das Risiko für Benutzer Hide my Emails eliminiert worden ist”, warnt er gegenüber 404 Media [3]. „Weil auch nicht-schädliche E-Mails bouncen und die echte E-Mail-Adresse verraten können, und weil Mail-Logs oft lange aufbewahrt werden, gehen wir davon aus, dass die vor 7. Juli mit Hide my Email verbundenen Adressen aufgedeckt worden sein können.”
Am 15. Juli hat ein Kalifornier Apple auf Schadenersatz verklagt. Er beantragt zudem eine Unterlassungsverfügung, ein Geschworenenverfahren sowie die Zulassung als Sammelklage im Namen aller US-Nutzer von Hide my Email. Das Verfahren heißt Anthony Alvarez v Apple ist und ist am US-Bundesbezirksgericht für den Norden Kaliforniens unter dem Az. 26-CV-07274 anhängig.
URL dieses Artikels:
https://www.heise.de/-11372689
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Bild: Shutterstock .com
Von Bargeld bis Autoverbot: Immer neue politische Forderungen greifen in den Alltag ein. Doch wer darf in einer Demokratie eigentlich wem Vorschriften machen?
Politik bedeutet vor allem, Forderungen zu stellen. Ob Parteien, einzelne Parteivertreter oder Mitglieder einer Regierung, sie alle bieten nur äußerst selten an, selbst etwas (für die Bürger) zu tun.
Stattdessen fordern sie regelmäßig, was andere tun oder unterlassen sollen. Sie schlagen Gesetzesänderungen, neue Gesetze oder Rechtsverordnungen vor, die die Bevölkerung als Souverän dann zu befolgen hat.
Demokratisch verstanden, können Politiker dabei nur als Stellvertreter der Bürger selbst auftreten. Auch wenn sie laut Grundgesetz an keinerlei Aufträge gebunden sind, also auch nicht an Wahlversprechen als Lockmittel für die Wählergunst, so haben sie dennoch nicht sich selbst, sondern das ganze Volk zu vertreten (Art. 38 GG [1]; ähnlich formulieren es die Landesverfassungen).
Da die Bevölkerung in fast jeder Angelegenheit kein einheitliches Interesse haben wird und von geplanten Regelungen individuell ganz unterschiedlich betroffen sein wird, ist jeweils zu klären, wer eigentlich von wem etwas möchte [2]. Nur dann ist ein demokratischer Interessenausgleich [3] möglich.
Doch in der Praxis ist es gar nicht so einfach, die verschiedenen Gruppen zu benennen. Deutlich zu kurz greift jedenfalls eine Kurzformel der Art: Die Regierung will etwas, das Parlament beschließt es, die Bürger müssen es befolgen. Schließlich soll nach demokratischem Verständnis ja Politik für das Volk, nicht gegen das Volk gemacht werden.
Wie schon während der Koalitionsverhandlungen 2025 [4] steht derzeit wieder eine Beschränkung des Informationsfreiheitsgesetzes (IFG) im Raum [5]. Nur noch bei berechtigtem Interesse sollen Bürger (und keine Organisationen [6] mehr) amtliche Dokumente erhalten dürfen.
Wollen nun Behörden etwas von den Bürgern (nämlich: weniger Anfragen), oder wollen einzelne Bürger etwas von Behörden (nämlich Informationen)?
Nach der demokratischen Legitimationskette sollen Behörden für die Bürger da sein. Die Polizei verfolgt den Bankräuber quasi im Auftrag der Bürger, denen gerade ihr Geld gestohlen wurde. Das Finanzamt treibt Steuern ein, weil die Bürger eine entsprechende finanzielle Ausstattung des Staates wünschen, wenigstens theoretisch geäußert über ihre politische Wahl und einen dann parlamentarisch beschlossenen Haushalt.
Können dann überhaupt Behörden ein Eigeninteresse vertreten, hier also eine Begrenzung ihrer derzeitigen Auskunftspflichten? Oder müssten nicht ausschließlich die Bürger untereinander verhandeln, in welchem Umfang sie Informationsfreiheit verlangen und wo sie Grenzen sehen (um beispielsweise die Funktionsfähigkeit "ihrer" Behörde nicht zu gefährden)?
Das Volksbegehren "Berlin autofrei" ist im Mai gescheitert [7]. Statt der benötigten 175.000 Unterschriften von Unterstützern kamen nur rund 140.000 zusammen. Das Ansinnen wurde heftig diskutiert, auch außerhalb Berlins.
Wollten hier einzelne Bürger anderen das Autofahren in der Innenstadt verbieten? Oder fordern nicht umgekehrt ständig Automobilisten Fahr- und Park-Platz von anderen Bürgern, die Akzeptanz von Lärm und Luftbelastung?
Es liegt emotional nahe, solche Fragen vom gewünschten Ergebnis her zu beantworten. Doch damit bleibt man im Bereich der viel praktizierten Willkür. Ge- und Verbote richten sich dann nach öffentlichen, oft auch nur vermuteten Stimmungen oder schlicht nach der Vehemenz, mit der die verschiedenen Positionen vorgetragen werden.
Dabei ist es für eine freiheitliche Gesellschaft von größter Bedeutung zu klären, wer mit etwas in die Freiheit anderer eingreift [8]. Deshalb kann man auch mal prüfen, wie es mit einem Fahrradverbot aussähe. Oder einem LKW-Verbot (das es auf einzelnen Straßen und zu bestimmten Zeiten [9] schon gibt).
Der Soziologe und Verkehrsforscher Andreas Knie hat angesichts illegaler Autorennen vorgeschlagen, dass Männer erst ab einem Alter von 26 [10] den Führerschein erhalten können.
Möchten junge Menschen von der Gesellschaft das Recht erhalten, Auto fahren zu dürfen, oder verlangt umgekehrt irgendwer in der Gesellschaft bisher ein Fahrverbot bis zum Alter von 18 Jahren (bzw. in Begleitung bis 17)? Wer greift hier in wessen Freiheit ein?
Es gibt Geschäfte, die nur Bargeld akzeptieren. Laut Koalitionsvertrag (Seite 49 [11]) soll künftig "mindestens eine digitale Zahlungsoption schrittweise angeboten werden".
Es gibt aber auch Geschäfte, die nur noch digitale Zahlungen akzeptieren. Nach dem Wortlaut des Koalitionsvertrags soll auch das nicht mehr möglich sein, Bargeld wäre dann immer zu akzeptieren.
Zweifelsohne wird damit in die Vertragsfreiheit eingegriffen. Wer sich bisher die Kosten für ein digitales Zahlungssystem spart, wäre zu dessen Bereitstellung verpflichtet. Wer sich bisher dem Aufwand und ggf. einem Risiko mit Bargeld entzogen hat, müsste sich künftig darauf einlassen (was ebenfalls die EU vorbereitet [12]).
Auch hier: wer will was von wem wofür wie warum [13]?
Es dürfte mindestens drei verschiedene Gruppen von Anspruchstellern geben, nämlich die Only-Cash-Fraktion, die Only-Card-Fraktion und diejenigen, die beides haben wollen. Und in der Digital-Gruppe wird es noch weitere Wünsche geben, damit sie ihren bevorzugten Zahlungsweg nutzen können.
Mit welchem Recht aber kann man solche Forderungen an Händler und Gastronomen stellen? Und was bekommen sie dafür als Gegenleistung?
Eine Möglichkeit – nur als Diskussionsangebot – wäre, über die begrenzte Ressource Immobilien [14] zu argumentieren.
Letztes Beispiel: der neue Trend zu örtlichen Abgaben für Einwegverpackungen von Lebensmitteln für den Sofortverzehr. Tübingen hatte sie im Jahr 2020 als erstes eingeführt [15], weitere Kommunen folgten oder diskutieren noch.
Ziel dieser Steuer ist es, den Verbrauch von Einweggeschirr grundsätzlich zu verringern und im Übrigen die städtischen Kosten für die Müllentsorgung von To-Go-Verpackungen zu kompensieren.
Hatte bisher der Freund des Unterwegs-Kaffees die Kosten für die Beseitigung seines Bechers der Allgemeinheit aufgehalst? Oder hatte er dafür vielleicht schon bezahlt (etwa über die Gewerbesteuer)?
Handelt es sich um eine Ungleichbehandlung gegenüber anderen Nutzern des öffentlichen Raums? Denn was nicht der Verpackungssteuer unterliegt, kann weiterhin unentgeltlich in die städtischen Mülleimer geworfen werden.
Wird hier vielleicht willkürlich ein Detail geregelt, wo es Grundsatzfragen [16] zu klären gälte?
Es ist einfach, Forderungen zu erheben. Sie tauchen in fast jedem privaten Gespräch über Politik ebenso auf wie im Telepolis-Forum (z.B. einheitliche Verpackungsgrößen [17]).
Doch fürs demokratische Aushandeln ist es wichtig, wer dabei von wem etwas verlangen möchte, wer also in wessen Freiheit eingreifen will.
Und nur weil etwas schon geregelt ist, bedeutet es nicht, dass dem ein faires Aushandeln vorangegangen sein muss.
URL dieses Artikels:
https://www.heise.de/-11372939
Links in diesem Artikel:
Copyright © 2026 Heise Medien
EU-Pestizidreform: Weniger Kontrolle, mehr Risiko. Tote Bienen, giftige Rückstände – was steht auf dem Spiel?
Mitte Juli 2026 standen Imker aus dem nordhessischen Grebenstein und Hofgeismar fassungslos vor ihren Bienenkästen: Vor den Fluglöchern und am Boden lagen tausende tote Insekten. Einige Bienen krabbelten noch und taumelten orientierungslos herum, während tausende ihrer Artgenossen tot nur wenige Zentimeter entfernt lagen.
13 Bienenvölker besaß Walter Freiburger. Fünf davon standen in seinem Garten und weitere acht am naheliegenden Kelzer Berg. So gut wie alle Bienen waren tot. Und jene, die noch fliegen konnten, zeigten kein normales Flugverhalten. Insgesamt waren mindestens fünf Imker aus Grebenstein und zwei aus Hofgeismar betroffen mit neun Bienenständen mit mehreren Dutzend Völkern. Ein Volk besteht aus rund 50.000 Bienen.
Haben sich die Bienen auf einem Acker vergiftet oder auf einer Obstplantage? Dass sie ihren Rüssel weit draußen haben, sei ein Indiz dafür, dass sie Spritzmittel oder Ähnliches aufgenommen [1] haben, erklärt der Bienensachverständige Wolfgang Scheele gegenüber der nordhessischen Lokalzeitung HNA.
Weil so viele Völker betroffen seien, müsse es sich um eine größere Fläche handeln, vermutet der Bienenexperte. Bienen fliegen zwischen eineinhalb und drei Kilometer weit, daher lasse sich der Radius eingrenzen.
Aktuell würden Insektizide nur bei Kartoffeln und Zuckerrüben ausgebracht, wie Landwirt Jörg Kramm einräumt. Noch fehlt es an Beweisen.
Dem Julius-Kühn-Institut zufolge sind weitere Anzeichen für eine Vergiftung, wenn flugunfähige Bienen umher krabbeln und dabei zuckende, krampfartige oder kreiselnde Bewegungen [2] machen bis sie verenden. Um die Ursache für das Sterben herauszufinden, wurden tote Bienen an das Institut gesendet.
Agrarwüsten, ausgeräumte Landschaften, Pestizide und Krankheiten waren bisher mehr als genug Bedrohung für Insekten, Vögel und Säugetiere. Nun will die Europäische Kommission zentrale Bestimmungen, die bisher für die Zulassung von Pestiziden gelten, mit einem neuen Gesetzespaket reformieren. Die neue Reform soll Rechtsvorschriften in der EU "vereinfachen und den Verwaltungsaufwand senken".
Die neue Regelung werde zentrale Schutzmechanismen der Zulassung schwächen – mit Auswirkungen für Mensch und Umwelt, warnen Wissenschaftler von 27 europäischen Forschungsinstituten.
Das sogenannte Omnibus-Paket werde die regelmäßige Neubewertung von Pestizid-Wirkstoffen weitgehend abschaffen und bestehende Schwachstellen der Risikoabschätzung vor der Marktzulassung unkorrigiert lassen, warnt Dimitry Wintermantel.
Der wissenschaftlicher Mitarbeiter für Naturschutz und Landschaftsökologie der Universität Freiburg forscht an der Schnittstelle zwischen der Ökologie von Insektenbestäubern und der Risikobewertung von Pflanzenschutzmitteln.
Er untersucht, wie Bienen und andere Insekten die von ihnen erbrachten Bestäubungsleistungen durch Pestizide beeinflusst werden. Erste Ergebnisse wurden im Juni im Wissenschaftsmagazin Science veröffentlicht [3].
Das Paket erhöht die Risiken von Pestiziden für Biodiversität und menschliche Gesundheit. Es untergräbt das Vorsorgeprinzip und wirkt europäischen und internationalen Umweltschutzzielen entgegen, warnen Wintermantel und Wissenschaftskollegen.
Bisher waren Pestizidwirkstoffe etwa für zehn Jahre auf EU-Ebene zugelassen. Danach konnten Hersteller eine Weiterzulassung beantragen, wobei sie die Sicherheit des Wirkstoffs mit entsprechenden Daten belegen mussten.
Daraufhin erfolgte eine Risikoanalyse, in der aktuelle Forschungsergebnisse zu Wirkstoffen berücksichtigt wurden. Die regelmäßige Neubewertung war ein wichtiges Korrektiv: Seit 2011 hatten 59 Wirkstoffe wegen Gesundheits- oder Umweltbedenken keine Neuzulassung erhalten.
Mit der neuen Regelung jedoch werden die meisten Wirkstoffe unbegrenzt zugelassen, denn eine regelmäßige Neubewertung entfällt. Weder wird ein systematisches Monitoring Risiken aufdecken, noch wird es automatisch eine Nachprüfung geben. Mit der geplanten Beweislastumkehr muss der Hersteller auch keine Nachweise mehr erbringen.
Einen weiteren Punkt kritisieren die Autoren: dass die EU zwar für die Zulassung von Pestizid-Wirkstoffen zuständig ist, doch die einzelnen Pestizid-Produkte von den Mitgliedsstaaten genehmigt werden müssen.
Bislang mussten EU-Mitgliedsstaaten den aktuellen Stand der Wissenschaft berücksichtigen. Das werde nun neu definiert: Als maßgeblich gelte künftig der Wissensstand der letzten EU-Wirkstoffprüfung. Und der könne unbegrenzte Zeit weit zurückliegen.
Schon heute dürfen Produkte mit einem Pestizid-Wirkstoff ohne erneute Zulassung der aktuellen Verordnung zufolge noch bis zu 18 Monate lang aufgebraucht werden. Diese Übergangsfrist wird in der neuen Regelung auf bis zu drei Jahre verlängert, sogar dann, wenn der Wirkstoff seine Zulassung wegen Gesundheits- oder Umweltbedenken verloren hat, kritisieren die Wissenschaftler.
Wenn ältere Produkte länger auf dem Markt bleiben und nicht regelmäßig geprüft würden, verringere sich der Druck, sicherere Alternativen zu entwickeln, kritisiert J [4]ulia Osterman von der Universität Göteborg [5].
Der wegen verzögerter Prüfungen bestehende Zulassungsstau könnte innerhalb von drei Jahren aufgelöst werden. Dafür brauche es eine Investition von 15 Millionen Euro jährlich, so die Empfehlung der Autoren.
Antragsteller sollen nicht die Mitgliedsstaaten zur Bewertung der Pestizide auswählen dürfen, um Zulassungsprüfungen zu beschleunigen und hohe Schutzstandards zu sichern. Diese Aufgabe müsse je nach Expertise verteilt werden. Die EU müsse Bewertungskriterien vereinheitlichen und die Beweislast klar bei den Pestizidherstellern verankern.
Außerdem sollten Zulassungsstudien öffentlich zugänglich sein, um unabhängige Nachforschungen zu ermöglichen. Um mögliche Risiken nach der Zulassung aufzudecken, sollten Anwendungsdaten mit bestehendem Monitoring – etwa zu Bestäubern – verknüpft werden.
Zudem sollten verstärkt Pestizidrückstände in der Umwelt gemessen werden. Die gemeinsame Analyse dieser Daten würde Pestizide mit hohem Gefahrenpotenzial aufdecken und gezielte Nachprüfungen ermöglichen.
Im Zuge des Green-Deals hatte die EU-Kommission Mitte 2022 vorgeschlagen, den Einsatz von Pestiziden bis 2030 um 50 Prozent zu senken. Als Referenzwert war der durchschnittliche Pestizideinsatz der Jahre 2013 bis 2017 vorgesehen.
Doch Bauernverbände und Agrarindustrie liegen dagegen Sturm. 2023 war der Gesetzesentwurf zur Pestizidreduktion [6] der EU-Kommission, im EU-Parlament allerdings gescheitert. Damit wurde eine große Chance auf eine nachhaltigere Landnutzung verpasst.
Dabei wäre die Regelung auch ein Akt der Fairness gegenüber Landwirten gewesen, die sich bereits bemühten, weniger Pestizide einzusetzen, erklärt Nabu-Pestizidexperte Maximilian Wulfheide [7].
Widerstandsfähige und artenreiche Ökosysteme mit bestäubenden Insekten und vielfältigem Bodenleben sind essenziell für die Sicherung unserer Ernährung. Die Regelung bedroht nicht nur die Biodiversität sondern auch die Lebensmittelsicherheit.
Keineswegs sei die Reform eine technische Korrektur von überbordenden, bürokratischen Vorgaben. Vielmehr sei es ein gezielter Versuch, Regeln abzubauen, die mächtige Agrar- und Chemiekonzerne als "Belastung" ansehen – selbst dann, wenn diese Regeln die Gesundheit der Bevölkerung schützen, kritisiert die Verbraucherorganisation Foodwatch [8].
Die Interessen der Konsumenten, die ein Recht auf gesunde Lebensmittel haben, aber auch die Lehren aus früheren Lebensmittelskandalen, spielen darin kaum noch eine Rolle,
Jede Gesetzesänderung wird normalerweise separat diskutiert, um eine angemessene Prüfung zu ermöglichen. Der neue Vorschlag jedoch wurde ohne grundlegende Folgenabschätzung für Gesundheit, Umwelt oder Tierwohl vorgelegt – dies sei ein klarer Verstoß gegen die EU-Standards für bessere Rechtsetzung.
In einer seit April laufenden Petition gegen die neuen Regelungen [9] können kritische Konsumenten die Forderungen von Foodwatch unterstützen. Rund 128.000 Menschen haben bereits unterschrieben.
Das Umweltinstitut München geht mit seiner Telefonaktion einen Schritt weiter: Hier können Menschen direkt bei den Abgeordneten ihrer Region anrufen [10] und sie auffordern, die neuen Regelung für Ewigkeitszulassungen von Pestiziden zu stoppen.
URL dieses Artikels:
https://www.heise.de/-11370430
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Die mit dem Iran verbündeten Huthis planen, Saudi-Arabien vom Schiffsverkehr abzuschneiden
(Bild: Below the Sky/Shutterstock.com)
Jemens Huthi-Miliz blockiert Saudi-Arabien – und trifft damit Trump an einer empfindlichen Stelle. Doch Trumps Optionen schwinden rapide. Ein Gastbeitrag.
Am Montag kündigten die jemenitischen Huthi eine Blockade Saudi-Arabiens an. Dies ist eine deutliche Eskalation, die den Druck auf die globalen Ölmärkte weiter erhöhen könnte – zu einem Zeitpunkt, an dem die Ölbestände in den USA und weltweit gefährlich niedrig sind [1].
Eine Huthi-Blockade könnte Saudi-Arabien zudem derselben breit angelegten wirtschaftlichen Kriegsführung aussetzen, die die USA durch die Blockade des Irans betrieben haben.
Das Rote Meer, das im Südosten an den Jemen grenzt, hat sich nämlich zu einem entscheidenden Auslass für Öl entwickelt, das von der Straße von Hormus in die Weltmärkte umgeleitet wird. Zudem ist es ein wichtiger Transportweg [2] für Getreide [3] und andere lebenswichtige Importe [4] nach Saudi-Arabien und in andere Golfstaaten.
Sollte die Blockade umgesetzt werden, könnte sie Präsident Donald Trump auf zwei wesentliche Arten dazu zwingen, seine Angriffe auf den Iran zurückzufahren: Einerseits durch die Androhung wirtschaftlicher Verwerfungen [5] infolge stark steigender Ölpreise, andererseits durch Druck auf Saudi-Arabien, die Nutzung seiner Basen und seines Luftraums für Angriffe auf den Iran zu untersagen.
Zur Erinnerung: Die Missbilligung Saudi-Arabiens veranlasste Trump Anfang Mai, "Project Freedom [6]" – die US-Initiative zur Sicherung der Schifffahrt durch die Straße von Hormus – kaum zwei Tage nach ihrem Beginn auszusetzen.
Der Hebel der Huthis ist beträchtlich. Huthi-Angriffe könnten den globalen Zugang zu den rund 4,6 Millionen Barrel pro Tag [7] gefährden, die Saudi-Arabien derzeit über den Hafen Yanbu am Roten Meer exportiert.
Die Huthis könnten diese Exporte unterbinden, indem sie Yanbu direkt angreifen oder die Schifffahrt durch die Meerenge Bab al-Mandab attackieren, welche das Rote Meer mit dem Golf von Aden und dem weiteren Indischen Ozean verbindet.
Yanbu liegt am nördlichen Ende des Roten Meeres und ist für die Huthis aufgrund der Entfernung vom Jemen und der vorhandenen saudischen Luftverteidigung schwerer zu erreichen. Doch die Stadt liegt innerhalb der nachgewiesenen Reichweite von Huthi-Raketen und -Drohnen, die bereits Ziele in Israel [8], das mehrere hundert Kilometer weiter nördlich liegt, getroffen haben. Zudem müssten die Huthis Yanbu nicht vollständig lahmlegen, um den kommerziellen Verkehr dort effektiv einzuschränken.
Angriffe auf die Schifffahrt durch die Meerenge Bab al-Mandab sind für die Huthis deutlich einfacher umzusetzen, da diese nahe an ihren Hochburgen im Jemen liegt.
Von Ende November 2023 bis Mitte 2024 führten anhaltende Huthi-Angriffe mit Anti-Schiffs-Raketen und Drohnen, die als Protest gegen Israels Krieg im Gazastreifen durchgeführt wurden, zu einem Rückgang der Schiffsbewegungen durch die Bab al-Mandab um 60 Prozent [9].
Selbst wenn Yanbu betriebsfähig bleibt, könnte eine Blockade dieser Passage den täglichen Ölfluss auf die Weltmärkte erheblich einschränken. Statt die Bab al-Mandab zu nutzen, müsste für Asien bestimmtes Öl über den Suezkanal ins Mittelmeer und weiter um das Kap der Guten Hoffnung umgeleitet werden, was die Transitzeit um etwa zwei bis drei Wochen verlängert und die Treibstoff- sowie Versicherungskosten erhöht.
Die begrenzte Kapazität des Suezkanals stellt einen weiteren Engpass dar. Anders als die Bab al-Mandab kann der Suezkanal keine voll beladenen sogenannten Very Large Crude Carrier (VLCC) [10], die größten Öltanker mit einer Kapazität von bis zu zwei Millionen Barrel, aufnehmen.
Würde der Tankerverkehr von Yanbu aus Richtung Norden durch den Suezkanal geleitet, müsste auf kleinere Suezmax-Tanker umgestellt werden, die nur etwa eine Million Barrel fassen. Ein Teil des Rotmeeröls könnte zwar den Suezkanal über die Sumed-Pipeline durch Ägypten umgehen, doch diese Route läuft bereits an ihrer maximalen Kapazität [11] von 2,5 Millionen Barrel pro Tag.
Seit Anfang Mai [12] hilft die US-Marine dabei, Öl verdeckt durch die Straße von Hormus zu schleusen. Es ist möglich, dass Trump auch militärische Mittel einsetzen könnte, um der Bedrohung durch die Huthi zu begegnen.
Doch die Fähigkeit der USA, die Schifffahrt zu schützen, hat klare Grenzen. Die gleichzeitige Durchführung beider Missionen würde die US-Kapazitäten zusätzlich strapazieren und das Leben amerikanischer Soldaten gefährden. Der Anfang Juni vom Iran abgeschossene US-Apache-Hubschrauber war offenbar an der verdeckten Transportoperation der USA beteiligt [13] – was die damit verbundenen Risiken unterstreicht.
Zudem ist unklar, wie gut die US-Schleusungsoperation die jüngste Eskalationsrunde zwischen den USA und dem Iran überstanden hat. Private Daten deuten darauf hin, dass die mit dem Programm verbundenen Durchfahrten in der vergangenen Woche zum Stillstand gekommen sind [14].
Energieminister Chris Wright weist solche Berichte jedoch zurück und behauptet, zwei Drittel [15] der Vorkriegs-Ölflüsse durch die Straße von Hormus seien wiederhergestellt. Selbst wenn die US-Marine Maßnahmen zum Schutz des Handels gegen die Huthi durchführt, ist nicht sicher, ob die Bab al-Mandab dadurch effektiv wieder geöffnet werden kann.
Es gibt leider keine guten militärischen Optionen, um die Huthi-Bedrohung für die Schifffahrt zu neutralisieren, ebenso wenig wie es den USA gelingt, dem Iran die Fähigkeit zu nehmen, den Persischen Golf anzugreifen. Anfang 2025 gaben die USA schätzungsweise 7 Milliarden US-Dollar [16] für Bombardierungen der Huthis aus, ohne nennenswerte Ergebnisse zu erzielen. Es wurden große Mengen an Munition verbraucht, doch eine Luftüberlegenheit wurde nie erreicht [17] und die Huthis setzten ihre Angriffe auf Schiffe im Roten Meer fort.
Der Konflikt zwischen den Huthis und den USA von 2025 endete schließlich damit, dass Trump eine gesichtswahrende Vereinbarung mit den Huthis traf, um Angriffe auf US-Schiffe zu beenden.
Zu hoffen bleibt, dass Trump den Pragmatismus aufbringt, ein ähnliches Abkommen mit dem Iran auszuhandeln, um die Schifffahrt durch die Straße von Hormus wieder zu ermöglichen – selbst wenn dies Zugeständnisse der USA hinsichtlich iranischer Kontrolle und möglicherweise sogar Gebühren bedeutet.
Rosemary Kelanic ist Leiterin des Nahost-Programms bei "Defense Priorities" und Autorin des Buches "Black Gold and Blackmail: Oil and Great Power Politics". Ihre Beiträge wurden unter anderem in der New York Times, der Washington Post und in Foreign Affairs veröffentlicht. Sie promovierte in Politikwissenschaft an der University of Chicago.
Dieser Text erschien zuerst bei unserem Partnerportal Responsible Statecraft [18] auf Englisch.
URL dieses Artikels:
https://www.heise.de/-11372247
Links in diesem Artikel:
Copyright © 2026 Heise Medien
(Bild: mundissima/Shutterstock.com)
Google legt neue Light-Varianten seines LLMs auf. Bei der mächtigeren Pro-Variante spießt es sich weiter.
Google legt drei neue Varianten seines multimodalen großen Sprachmodells (LLM) Gemini auf. Das neue Gemini 3.6 Flash soll nicht nur bessere Inferenzen liefern, sondern dabei etwa ein Sechstel weniger Tokens verbrauchen als Vorgänger Gemini 3.5 Flash. Gleichzeitig werden die Tokens selbst günstiger.
Gemini 3.5 hat aber noch lange nicht ausgedient. Vielmehr erhält es zwei Geschwister: 3.5 Flash-Lite soll geringere Latenzen aufweisen als das im Mai auf der Entwicklerkonferenz Google I/O vorgestellte 3.5 Flash [1]. Google bewirbt Flash-Lite speziell für KI-Agenten.
Was nach wie vor fehlt, ist die genauer arbeitende und für komplexere Aufgaben gedachte Pro-Version des Gemini 3.5. Laut einem Bericht Bloombergs plagen den Datenkonzern Qualitätsprobleme. Laut Insidern komme hinzu, dass der Datenkonzern seine KI in viele eigene Produkte gleichzeitig integriert, die so unterschiedlich sein können wie Google Maps und Youtube. Damit würden viele Google-Projekte mitreden, was die Sache nicht gerade beschleunige.
Google selbst belässt es in seiner Ankündigung vom Dienstag [2] mit der Feststellung, dass es Gemini 3.5 Pro mit Partnern teste, und plane, es allgemein verfügbar zu machen, „sobald es bereit ist”. Lieber möchte Google über die Vorbereitungen des Trainings des kommenden Gemini 4 reden.
IT-Sicherheitsbewegte möchte das US-Unternehmen mit Gemini 3.5 Flash Cyber bei Laune und damit der Stange halten. Flash Cyber ist für Zusammenarbeit mit dem hauseigenen KI-Agenten Codemender konzipiert und, wie der Name vermuten lässt, auf die Prüfung von Software hinsichtlich Sicherheitslücken spezialisiert.
Nutzen dürfen Flash Cyber aber nur staatliche Dienste und einige von Google ausgewählte Einrichtungen. Codemender kann parallel auch andere großen Sprachmodelle einbinden.
URL dieses Artikels:
https://www.heise.de/-11372719
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
(Bild: mundissima/Shutterstock.com)
Google legt neue Light-Varianten seines LLMs auf. Bei der mächtigeren Pro-Variante spießt es sich weiter.
Google legt drei neue Varianten seines multimodalen großen Sprachmodells (LLM) Gemini auf. Das neue Gemini 3.6 Flash soll nicht nur bessere Inferenzen liefern, sondern dabei etwa ein Sechstel weniger Tokens verbrauchen als Vorgänger Gemini 3.5 Flash. Gleichzeitig werden die Tokens selbst günstiger.
Gemini 3.5 hat aber noch lange nicht ausgedient. Vielmehr erhält es zwei Geschwister: 3.5 Flash-Lite soll geringere Latenzen aufweisen als das im Mai auf der Entwicklerkonferenz Google I/O vorgestellte 3.5 Flash [1]. Google bewirbt Flash-Lite speziell für KI-Agenten.
Was nach wie vor fehlt, ist die genauer arbeitende und für komplexere Aufgaben gedachte Pro-Version des Gemini 3.5. Laut einem Bericht Bloombergs plagen den Datenkonzern Qualitätsprobleme. Laut Insidern komme hinzu, dass der Datenkonzern seine KI in viele eigene Produkte gleichzeitig integriert, die so unterschiedlich sein können wie Google Maps und Youtube. Damit würden viele Google-Projekte mitreden, was die Sache nicht gerade beschleunige.
Google selbst belässt es in seiner Ankündigung vom Dienstag [2] mit der Feststellung, dass es Gemini 3.5 Pro mit Partnern teste, und plane, es allgemein verfügbar zu machen, „sobald es bereit ist”. Lieber möchte Google über die Vorbereitungen des Trainings des kommenden Gemini 4 reden, püber deren Vor
IT-Sicherheitsbewegte möchte das US-Unternehmen mit Gemini 3.5 Flash Cyber bei Laune und damit der Stange halten. Flash Cyber ist für Zusammenarbeit mit dem hauseigenen KI-Agenten Codemender konzipiert und, wie der Name vermuten lässt, auf die Prüfung von Software hinsichtlich Sicherheitslücken spezialisiert.
Nutzen dürfen Flash Cyber aber nur staatliche Dienste und einige von Google ausgewählte Einrichtungen. Codemender kann parallel auch andere großen Sprachmodelle einbinden.
URL dieses Artikels:
https://www.heise.de/-11372719
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Künstlerische Darstellung einer Fahne mit güldenem Apfel
(Bild: Daniel AJ Sokolov)
Apples Dienst „E-Mail-Adresse verbergen” schaffte das nur schlecht. Die echten Adressen aufzudecken, war simpel.
Kinderleicht konnte jedermann die echten E-Mail-Adressen herausfinden, die Apples Dienst „Hide my E-Mail” (E-Mail-Adresse verbergen) eigentlich verbergen sollte [1]. Es reichte, eine so deutlich als Spam zu erkennende Mitteilung an die Alias-Adresse zu senden, dass Apples Server sie zurückwies. Und die Zurückweisung (Englisch bounce) nannte die echte, eigentlich zu versteckende E-Mail-Adresse. Deren Inhaber bekam von all dem nichts mit. Apple wusste das mehr als ein Jahr lang, scheiterte aber mehrmals an der Korrektur.
Erst nach Berichten durch 404 Media sowie in der Folge heise online und anderen Medien stopfte Apple die Datensicherheitslücke Anfang Juli. Doch die Entdecker des Fehlers, Ben und Tyler Murphy, weisen darauf hin, dass alle vor 7. Juli eingerichteten Alias-Adressen aufgedeckt worden sein können. Die Gebrüder Murphy sind Gründer des Dienstes Easy Opt Outs.
Nach eigenen Angaben [2] haben die Murphys am 11. Juni 2025 Apple über das Problem mangelnder Datensicherheit informiert. Weitere Informationen folgten am 13. und 20. Juni, eine weitere Variante wurde am 9. Juli 2025 gemeldet. Am 14. Juli 2025 kündigte Apple demnach an, die Sache zu prüfen. Es dauerte so lange wie eine menschliche Schwangerschaft, bis der Konzern am 3. März 2026 verkündete, den Fehler bereinigt zu haben.
Allein, das stimmte nicht, worauf die Entdecker Apple am 19. März 2026 auch aufmerksam machten. Am 22. Mai wollen sie Apple zudem eine schwerwiegendere Variante gemeldet haben. Am 30. Juni 2026 meldete Apple erneut, den Fehler bereinigt zu haben, was wieder nicht stimmte. Daraufhin wandten sich die Firmengründer an 404 Media.
Das Medienecho machte Apple Beine: Seit Anfang Juli funktioniert der Spam-Trick offenbar nicht mehr, wie auch Tyler Murphy bestätigt. „Allerdings glauben wir nicht, dass das Risiko für Benutzer Hide my Emails eliminiert worden ist”, warnt er gegenüber 404 Media [3]. „Weil auch nicht-schädliche E-Mails bouncen und die echte E-Mail-Adresse verraten können, und weil Mail-Logs oft lange aufbewahrt werden, gehen wir davon aus, dass die vor 7. Juli mit Hide my Email verbundenen Adressen aufgedeckt worden sein können.”
Am 15. Juli hat ein Kalifornier Apple auf Schadenersatz verklagt. Er beantragt zudem eine Unterlassungsverfügung, ein Geschworenenverfahren sowie die Zulassung als Sammelklage im Namen aller US-Nutzer von Hide my Email. Das Verfahren heißt Anthony Alvarez v Apple ist und ist am US-Bundesbezirksgericht für den Norden Kaliforniens unter dem Az. 26-CV-07274 anhängig.
URL dieses Artikels:
https://www.heise.de/-11372689
Links in diesem Artikel:
Copyright © 2026 Heise Medien
(Bild: heise medien)
Zum Wochenende wurde die „wp2shell“-WordPress-Lücke bekannt. Seitdem beobachten IT-Sicherheitsforscher Attacken im Internet darauf.
Mehrere IT-Sicherheitsunternehmen sowie das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnen davor, dass sie Angriffe auf die am vergangenen Freitag bekannt gewordene „wp2shell“-Sicherheitslücke in WordPress beobachten. Es handelt sich bei „wp2shell“ am Ende um eine Verkettung von Schwachstellen, die das Einschleusen von Code über eine API [1] – durch die Verkettung ohne vorherige Authentifizierung – erlauben.
Das BSI hat eine Warnung veröffentlicht [2], laut der die Lücke die Stufe 3 (Orange) auf der Risikoskala (bis maximal 4/rot) erreicht. Die Behörde weist darin auf die aktive Ausnutzung in freier Wildbahn hin. Das BSI schreibt, dass im Laufe des Wochenendes Proof-of-Concept-Code veröffentlicht worden sei, der die Ausnutzung der Schwachstellenkette und damit Angriffe ohne vorherige Anmeldung demonstriert. Das BSI stuft die Lückenverkettung abweichend von den einzelnen Risikoeinstufungen der jeweiligen Lücken (CVE-2026-60137, CVSS 9.1, Risiko „kritisch“; CVE-2026-63030, CVSS 7.5, Risiko „hoch“) mit einem CVSS-Wert von 9.8 als „kritisch“ ein.
Die deutsche IT-Sicherheitsbehörde weist zudem darauf hin, dass nur wenige Stunden nach der Veröffentlichung der Lücken erste PoCs auftauchten und kurz darauf bereits Berichte über ersten Missbrauch auftauchten. Das sei ein weiterer Hinweis auf die inzwischen deutlich verkürzte Zeit zum Missbrauch von Schwachstellen („Time-to-Exploit“).
Etwa die IT-Forscher von wiz.io berichten [3] ebenfalls von beobachteten Angriffen auf die Schwachstellenkette. Die bösartigen Akteure verankern damit persistente Webshells, erklären die IT-Sicherheitsforscher. Sie nennen in ihrer Analyse auch Hinweise für Angriffe (Indicators of Compromise, IOC), die Admins beim Aufspüren von kompromittierten Instanzen helfen können. Cloudflare hat seiner Web-Application-Firewall (WAF) Regeln [4] beigebracht, die vor dem Missbrauch der Sicherheitslücken schützen sollen. Noch am Freitag hat das Unternehmen die Regeln für Kunden mit kostenlosen Zugängen und Bezahl-Abos damit ausgestattet. Voraussetzung für die Wirksamkeit ist natürlich, dass der Traffic auf die eigenen Server durch die Cloudflare-WAF geleitet wird. Auch der IT-Sicherheitsforscher Maurice Fielenbach von Hexastrike berichtet auf Linkedin [5] von beobachteten Angriffen.
IT-Verantwortliche müssen dringend aktiv werden. Wer bis jetzt die Aktualisierungen auf die fehlerbereinigten Versionen 7.1 Beta 2, 7.0.2, 6.9.5 sowie 6.8.6 oder neuere nicht vorgenommen hat, sollte das schleunigst nachholen. Da der aktive Missbrauch im Internet wenige Stunden nach Bekanntwerden der Lücke seinen Anfang nahm, sollten Admins ihre Instanzen als kompromittiert betrachten, sofern sie das Update nicht gleich am Freitag installiert haben. Sie sollten ihre Systeme in diesem Fall auf Einbruchsspuren untersuchen und gegebenenfalls bereinigen.
URL dieses Artikels:
https://www.heise.de/-11372213
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
(Bild: Garmin / Fabian Stoffers)
Garmin hat mit dem Cirqa seinen ersten bildschirmlosen Fitnesstracker vorgestellt. Das Band erfasst Gesundheitsdaten und kommt ohne Abozwang.
Mit dem Cirqa bringt Garmin seinen ersten bildschirmlosen Fitnesstracker auf den Markt. Das Armband folgt auf die Modelle der Mitbewerber Whoop, Amazfit, Polar [1] und Google Fitbit [2]. Es ist kein Abo erforderlich, jedoch müssen Interessierte 200 Euro auf den Tisch legen.
Laut Garmin richtet sich das Armband an Nutzerinnen und Nutzer, die „ihre Gesundheit und Fitness ganz bewusst leben, aber nicht ständig auf ein Display schauen möchten“. Das Smartband soll Gesundheits- und Fitnessdaten rund um die Uhr erfassen können und bietet eine Akkulaufzeit von bis zu zehn Tagen.
Laut Garmin [3] soll sich das Band durch die kompakte und dezente Form leicht tragen lassen. Es helfe dabei, „Gewohnheiten besser zu verstehen sowie persönliche Ziele im Blick zu behalten“. Das Cirqa-Band erfasst unter anderem Garmin-typische Werte wie „Body Battery“, Stresslevel, Schritte und soll zudem Einblicke in die Frauengesundheit liefern.
Ferner liefert das Band Schlafanalyse mit Sleep Score, HFV-Status (Herzfrequenzvariabilität) und Schlafcoach-Informationen rund um die persönliche Schlafqualität und den Biorhythmus. Außerdem analysiere das Band VO2max und Trainingszustand, um Trägern und Trägerinnen „fundierte Einblicke in Leistungsfähigkeit, Trainingsfortschritt und die Wirksamkeit des Trainings“ zu liefern.
Das Band erkennt allerlei Aktivitäten automatisch und zeichnet sie dann auf. Ebenso sollen sich mehr als 80 verschiedene Aktivitäten manuell starten lassen, darunter Laufen, Gehen und Yoga. Zudem lasse sich eine individuell festgelegte Lieblingsaktivität über eine Taste an der Gehäuseseite starten.
Laut Garmin sollen Nutzerinnen und Nutzer durch Bestätigungen oder Anpassungen in der Garmin-Connect-App dabei helfen, die Aktivitätserkennung stetig zu verbessern, um „präzisere Ergebnisse zu erhalten“.
Das Garmin Cirqa-Band lässt sich per Bluetooth und ANT+ mit Geräten verbinden, ferner unterstützt es sowohl Android als auch iOS. GPS hat das Band nicht an Bord; entsprechende Daten lassen sich in Verbindung mit einem Smartphone tracken, so der Hersteller.
(Bild: Garmin)
Das Armband ist in den Farben „Schwarz“, „French Gray“, „Malve“ und „Kapitänsblau“ erhältlich. Zusätzlich sind Armbänder in den Farben „Zitronengrau“, „Dark Olive“ und „French Blue“ sowie für den Oberarm in Schwarz – jeweils in zwei Größen (S–M: 120 bis 200 mm; L–XL: 145 bis 240 mm). Das Cirqa-Band ist ab dem 24. Juli über die Garmin-Webseite erhältlich und kostet 199,99 Euro [5].
URL dieses Artikels:
https://www.heise.de/-11372241
Links in diesem Artikel:
Copyright © 2026 Heise Medien
Alle Details zur Störungsmeldung ansehen Eigene Internetstörung melden
FreshRSS