Edition 06

Dies ist der schlimmste Punkt auf dieser Seite, und er sollte Sie empören. Wenn man das Verfahren beiseiteschiebt: Mehr Abgeordnete stimmten gegen die Wiedereinführung des massenhaften Nachrichten-Scannens als dafür, und es wurde trotzdem angenommen. Die Hürde zur Ablehnung einer Ratsposition ist bewusst hoch angesetzt, nämlich eine absolute Mehrheit. Die Abstimmung wurde jedoch im Dringlichkeitsverfahren durchgepaukt und auf die letzte Sitzung vor dem Sommer terminiert, als ein Großteil der Kammer bereits abgereist war. Eine Mehrheit sagte Nein. Der Kalender sagte Ja.

Nun der Teil, den die meisten Berichte falsch darstellen. Was zurückgekehrt ist, ist 1.0, das freiwillige Scannen unverschlüsselter Nachrichten, nicht das verbindliche clientseitige Scannen verschlüsselter Apps. Der Ausschluss verschlüsselter Dienste wurde angenommen, sodass Signal, WhatsApp und iMessage aus dieser Regelung formal herausgehalten werden. Die gefährliche Version, 2.0, ist im Trilog nach wie vor aktiv und kommt im September. Der Gewinn für die Verschlüsselung ist real, aber knapp, und der entscheidende Kampf liegt drei Monate entfernt.

Wenn Sie jemanden beraten, der ein verschlüsseltes Produkt betreibt, oder ein Policy-Team, das dies verfolgt, tragen Sie den September jetzt in den Kalender ein. Der in dieser Woche geschaffene Präzedenzfall ist verfahrenstechnischer, nicht technischer Natur. Der Appetit ist jedoch offensichtlich, und die Befürworter eines Voll-Scannens haben gerade gelernt, dass sie eine Abstimmung gewinnen können, die sie verloren hatten.

Lesen Sie dies neben dem obigen Punkt, und der Kontrast ist der eigentliche Kern dieses Newsletters. Das einzige EU-Gesetz, das Organisationen tatsächlich zur Selbstverteidigung verpflichtet, NIS2, lag in vier Ländern, darunter meinem, zwanzig Monate lang unumgesetzt. Brüssel kann eine Scanning-Regelung in einer Woche im Schnellverfahren durchbringen, aber die Richtlinie, die Krankenhäuser und Stromnetze schützt, wartet zwei Jahre und eine Gerichtsvorladung ab.

Der praktische Punkt ist klar, und ich bringe ihn in jeder Schulung. Die Verzögerung Ihrer Regierung ist kein Schutzschild für Sie. Die Frist lief im Oktober 2024 ab. Die Pflichten, Risikomanagement, Meldung von Vorfällen, Anforderungen an die Lieferkette, sind die Richtung, in die sich das Fachgebiet bewegt, unabhängig davon, wann Madrid oder Paris die Formalitäten abschließt. Wenn Sie ein reguliertes Unternehmen leiten und das nationale Recht als Ausrede abgewartet haben, haben Sie Schulden angehäuft; und die Rechnung verdichtet sich in dem Moment, in dem der Text in Kraft tritt.

Und genießen Sie das Timing. Irland übernahm den EU-Ratsvorsitz am 1. Juli und wurde am 8. Juli vor das eigene EU-Gericht gezerrt. Die Verantwortlichen für Cyber konnten das Cyber-Recht nicht umsetzen. Wenn Sie einen Beweis dafür brauchten, dass Bewusstsein und Durchsetzung zwei verschiedene Dinge sind, hier ist er.

Dieselbe Lektion wie beim Ad-Blocker vor einigen Wochen, neues Gewand. Menschen installieren diese Apps, um sicherer zu sein, und übergeben ihren Traffic an den jeweiligen Entwickler. 2,4 Milliarden Installationen, und die Grundlagen sind kaputt: DNS-Lecks, Konfigurationsdateien im Klartext, Tracker überall, eine App, die Ihre GPS-Daten nach Hause meldet. Das Verified-Badge hat nichts bewirkt, weil ein Badge ein Marketinglabel ist, keine Kontrolle.

Für Ihre Organisation ist dies keine verbraucherrelevante Fußnote. Es ist Shadow-IT auf den Endgeräten, die Ihre Daten berühren. Jemand in Ihrem Team installiert ein kostenloses VPN auf dem Telefon, das geschäftliche E-Mails liest, und schon läuft Ihr Traffic über einen Betreiber, den Sie nie geprüft haben, möglicherweise im Klartext. Kostenlose VPNs sind kein Datenschutz-Tool. Sie sind ein Geschäftsmodell, und Sie sind die Ware.

Der einzige verlässliche Filter ist die Herkunft. Ein aktuelles unabhängiges Audit, klare Eigentumsverhältnisse, ein Unternehmen, das mit Geld statt mit Ihren Daten bezahlt wird. Alles andere, einschließlich No-Logs-Versprechen, ist ein Ausgangspunkt, kein Beweis.

Standardmäßig aktiviert, und Sie werden nicht einmal benachrichtigt, wenn es passiert. Lassen Sie das sacken. Meta nimmt Ihre öffentlichen Fotos, lässt einen Fremden Sie mit @-Mention verknüpfen und generiert Bilder von Ihnen; und Sie erfahren davon nie. Kontrolle bedeutet in Metas Darstellung einen Schalter, von dessen Existenz Sie nichts wussten, drei Menüebenen tief vergraben, der nichts löscht, was bereits erstellt wurde.

Das ist das Einwilligungsproblem, an dem die gesamte Branche vorbeiprescht. Opt-out by default ist keine Einwilligung, es ist Einwilligungs-Theater, und in der EU ist das keine UX-Debatte, sondern eine GDPR-Frage. Google hat diesen Monat dasselbe mit Ihren Medien und seiner KI getan. Das Muster ist das Zeichen: erst nehmen, dann einen verborgenen Schalter anbieten, niemals benachrichtigen.

Zwei Minuten Housekeeping, wenn Sie Instagram nutzen: Einstellungen, Teilen und Weiterverwenden, Beiträge und Reels deaktivieren. Tun Sie es auch für die öffentlichen Konten, die Sie verwalten. Und bedenken Sie: Es verhindert nur die nächste Verarbeitung, nicht die bereits erfolgten.

Zwei Punkte weiter oben haben kostenlose VPNs Sie verraten. Hier ist die härtere Version derselben Lektion: Selbst ein perfekt funktionierendes VPN nützt nichts, wenn Ihr eigenes Betriebssystem alles, was Sie tun, mit einer permanenten ID stempelt. Der Hacker nutzte Proxys. Sie waren Sackgassen. Die darunter liegende Windows-ID war es nicht. Anonymität ist nicht ein einzelnes Tool, sondern das schwächste Glied im gesamten Stack, und das Betriebssystem ist es meistens.

Niemand wird Mitleid mit einem Scattered-Spider-Mitglied haben, und diese Kennung dient Microsoft auch zur Lizenzierung und Betrugsbekämpfung, was legitime Zwecke sind. Der Teil, der Sie beschäftigen sollte, ist die Asymmetrie. Apple und Google stellen ihre Geräte-IDs hinter einen Einwilligungs-Dialog und eine Reset-Option. Microsoft liefert eine ohne Dialog, ohne Reset, mit einem Satz öffentlicher Dokumentation, verknüpft mit Ihrem Konto statt mit Ihrer Person, und die Öffentlichkeit erfuhr von ihrer Existenz nur, weil ein Gerichtsdokument sie offenlegte.

Für Ihr Bedrohungsmodell sollten Sie präzise festhalten, was ein VPN Ihnen bringt: Es verbirgt Ihren Netzwerkpfad, nicht die Identität Ihrer Maschine. Wenn die Identität selbst das Risiko ist, bei Journalismus, Aktivismus oder gefährdeten Personen, ist das ein Gespräch über lokale Konten, Linux oder Tails, kein VPN-Gespräch. Für einen verwalteten Gerätepark ist es ein weiterer Grund, warum Ihre Endpunkt-Identitätsstrategie nicht auf der Netzwerkebene enden darf.