Databroker für die Streife: Polizei kauft, wo die Werbeindustrie verramscht Was Fachleute lange vermuteten, ist jetzt belegt: Mindestens die Landeskriminalämter Brandenburg und Mecklenburg-Vorpommern haben sich Daten aus der Werbeindustrie beschafft – inklusive metergenauer Standortdaten, mit denen sich Handys orten lassen. Neun weitere LKAs schweigen unter Verweis auf „polizeitaktische Gründe", nur fünf verneinen klar. NRW hält den Einsatz immerhin für „rechtlich möglich". Sämtliche 16 Landesdatenschutzbehörden sehen dafür keine Rechtsgrundlage, ein Münchner Polizeirechtler nennt die Praxis schlicht „rechtswidrig". Kurz: Der Staat bedient im Namen der Sicherheit genau jenen Schwarzmarkt, der laut Behörden Europas Sicherheit gefährdet. Ingo Dachwitz und Sebastian Meineck für netzpolitik.org
Sechs Monate sind das neue „absolut Notwendige": Während die Polizei nebenan schon im Datenladen einkauft, legt der Rechtsausschuss des Bundesrats beim VDS-Gesetzentwurf der Bundesregierung nochmal nach: Die IP-Speicherfrist soll von drei auf sechs Monate verdoppelt, das neue Instrument der „Sicherungsanordnung" (Quick Freeze inklusive Standort- und Inhaltsdaten) auch für sämtliche Länderpolizeien und alle Landesgeheimdienste geöffnet werden. Einen verpflichtenden Richtervorbehalt für die Anordnung gibt es nicht – die Staatsanwaltschaft, bei Gefahr im Verzug sogar die Ermittlungsperson, soll genügen. Der Deutsche Anwaltverein hält das für europarechtswidrig, der EuGH erlaubt anlasslose Speicherung nur als „absolut Notwendiges". Sechs Monate als Minimum zu verkaufen, ist da ein sportlicher Begriff von Notwendigkeit. Constanze Kurz für netzpolitik.org
Bad news for Obama: Meta-KI gibt Accounts auf Zuruf raus Sicherheit by Chatbot: Angreifer:innen brachten Metas KI-Support dazu, fremde Instagram-Konten zu übernehmen – ganz ohne Zugriff auf die hinterlegte Mailadresse, die genau das verhindern soll. Per VPN die Zielregion vortäuschen, „Passwort vergessen", dem Bot eine neue Adresse unterschieben, Verifikationscode abgreifen, fertig. Erwischt hat es unter anderem das White-House-Profil von Barack Obama, einen ranghohen Space-Force-Offizier und ganz normale Nutzer:innen. Meta hat die Lücke bestätigt und nach eigenen Angaben geschlossen. Bleibt die Erkenntnis: KI findet nicht nur Sicherheitslücken, sie reißt auch genüsslich neue auf. Markus Reuter für netzpolitik.org (Erstbericht: 404 Media, in englischer Sprache)
Florida verklagt OpenAI: Der US-Bundesstaat geht juristisch gegen OpenAI und Sam Altman vor und wirft dem Unternehmen vor, ChatGPT als sicher zu vermarkten, obwohl die Software eine „Bedrohung für die öffentliche Sicherheit" sei – besonders für Jugendliche. Generalstaatsanwalt Uthmeier verweist auf Fälle, in denen der Chatbot eine tödliche Medikamentenkombination empfohlen und den Täter eines Amoklaufs an der Florida State University 2025 (zwei Tote, sechs Verletzte) im Vorfeld beraten haben soll. Es ist die erste Klage eines US-Bundesstaats, die direkt an Sicherheit und Design des Chatbots ansetzt – ein Zivilverfahren, das Geldstrafen und Auflagen nach sich ziehen könnte. Das Verfahren dürfte die Debatte über die Haftung von KI-Anbietern grundsätzlich befeuern. spiegel (Hinweis: dieses Thema berührt Suizid und Gewalt.)
Bad news for Big Tech: Greenpeace zieht rote Linien in die Cloud Greenpeace fordert von AWS, Microsoft und Google verbindliche ethische Mindeststandards – nach dem Vorbild der Ausschlusslisten aus dem Finanzsektor. Im Report „Amazon's Toxic Web Services" hat die Organisation AWS-Kundenbeziehungen mit Ausschlusslisten von Norges, Urgewald und PAX abgeglichen und unter 263 Firmen mindestens 70 gefunden, die der norwegische Staatsfonds bereits aussortiert hat – darunter Fleischkonzern JBS, Palantir und Waffenhersteller Anduril. Die Forderung: kein Cloud-Zugang mehr für fossile Expansion, Regenwald-Rodung, autonome Waffen oder Überwachungstech wie Gesichtserkennung. Wer Strom und Rechenleistung verteilt, entscheide eben mit, welche Geschäftsmodelle möglich sind – und genau das ist auch ein Argument für digitale Souveränität in Europa. t3n
Vibe Coding mit Klima-Quittung: Der Entwickler Gaëtan Wittebolle misst mit dem Open-Source-Tool „Claude Carbon" den CO2-Fußabdruck seiner eigenen Claude-Code-Nutzung – mangels offizieller Zahlen anhand von Token-Logs und Emissionsfaktoren aus einer AWS-Inferenzstudie. Ergebnis: 215 Kilogramm CO2 in vier Monaten, hochgerechnet rund 1,2 Tonnen im Jahr. Über vier Hebel – passendes Modell statt Dauer-Opus, gefilterte Prompts, gedeckeltes „erweitertes Denken", früheres Kompaktieren – will er das um 50 bis 70 Prozent drücken. Sein eigentlicher Punkt ist aber unbequemer: Der Hebel liege nicht darin, schneller mehr Code zu erzeugen, sondern weniger – die kleinen Effizienzgewinne wögen die generelle Aufblähung der Projekte nicht auf. Benjamin Lucks im Interview für reset.org
Bad news for the E-Rechnung: Anderthalb Jahre nach der Empfangspflicht und wenige Monate vor der nächsten Ausbaustufe 2027 hat laut einer YouGov-Umfrage für Easybill jedes dritte Unternehmen in Deutschland noch nie eine E-Rechnung verschickt. Nur 42 Prozent versenden regelmäßig, gerade mal 24 Prozent haben die Umstellung abgeschlossen. Ein Fünftel werkelt weiter mit Word und Excel – beides erfüllt die XML-Vorgaben nicht. Und nur 37 Prozent kennen die gesetzlichen Anforderungen vollständig. Ab 2027 wird's für größere Firmen im B2B verpflichtend, bis 2030 sollen Rechnungsdaten in Echtzeit ans Finanzamt fließen. Der vielbeschworene deutsche Digitalrückstand – diesmal als XML, das niemand verschickt. Axel Kannenberg für heise
In eigener Sache fürs Passwort-Schließfach – Dashlane-Nutzer:innen aufgepasst: Beim Passwortmanager Dashlane gab es am 31. Mai einen Brute-Force-Angriff auf Nutzerkonten, mit dem Ziel, die 2FA auszuhebeln und fremde Geräte zu registrieren. Dashlane sperrte betroffene Konten automatisch – daher zeitweise kein Zugriff, inzwischen wieder aufgehoben. Bei weniger als 20 Privatnutzer:innen konnten die Angreifer:innen die verschlüsselten Tresore herunterladen; diese wurden direkt informiert. Master-Passwörter wurden nicht erbeutet, die Inhalte bleiben verschlüsselt. Wer keine Nachricht bekam, ist laut Anbieter nicht betroffen. Trotzdem ein guter Anlass, das Master-Passwort zu prüfen und 2FA scharf zu stellen. Caschys Blog | 
