Klausiminus

[Alexander Wallasch @AlexWallasch]

Wer die unfassbaren neuesten Angriffe der Landesmedienanstalten gegen @benungeskriptet verstehen und vor allem bekämpfen will, sollte die Vorgeschichte kennen! Ich werde seit 500 Tagen von der Landesmedienanstalt verfolgt! Hier die Chronologie: @DSchmitz660799 @Steinhoefel @TichysEinblick @LarsWienand @ulfposh @jreichelt https://t.co/ailMEWpNrR

[Jeanne d'Arc @SandraSeid53971]

Prof. Dr. Sucharit Bhakdi ist zurück sprach am 26.06.2026 vor der Corona-Enquete-Kommission des Brandenburger Landtags.

Bhakdi: "Die Corona Pandemie wurde Jahre vor 2020 erdacht und erfunden. Ablauf und Maßnahmen waren geplant."

[Libertas 🇩🇪 @Libertas2906]

Die Behörde, die jetzt entscheidet, was wahr ist

Stellen wir uns kurz vor, ein Mann betreibt einen Podcast. Er lädt Gäste ein, lässt sie reden, hakt mal nach, mal nicht, schneidet nichts heraus. Sechs Millionen Menschen schauen sich eine seiner Folgen an. Und dann bekommt er Post. Nicht von einem empörten Zuschauer, nicht von einem Anwalt eines Betroffenen, sondern von einer staatlich getragenen Behörde, Abteilung Recht, mit Frist und Logo. Inhalt: Er möge bitte ein bereits veröffentlichtes Gespräch nachträglich ändern und mit einer „Erläuterung" versehen. Und während er schon dabei ist, möge er doch gleich sein gesamtes übriges Angebot daraufhin überprüfen, ob sich dort nicht noch mehr findet, das der Behörde missfällt. Sonst, so die unmissverständliche Botschaft, melde man sich wieder.

Das ist keine dystopische Fantasie. Das ist exakt das, was der Landesanstalt für Medien Nordrhein-Westfalen gerade dem Betreiber von „ungeskriptet" ins Postfach geschickt hat. Auslöser war sein viereinhalbstündiges Gespräch mit Björn Höcke. Und wer jetzt achselzuckend denkt, na ja, Höcke, der hat es nicht anders verdient, der hat das eigentliche Problem nicht verstanden. Denn hier geht es längst nicht mehr um einen einzelnen AfD-Politiker. Hier geht es um die Frage, ob eine staatliche Stelle künftig der oberste Schiedsrichter darüber sein darf, was in diesem Land gesagt, gezeigt und stehen gelassen werden darf.

## Der Sündenfall trägt eine Paragrafennummer

Man muss sich vergegenwärtigen, wie neu dieser Vorgang historisch ist. Über Jahrzehnte gab es in der Bundesrepublik selbstverständlich keine behördliche Aufsicht über die journalistische Sorgfalt. Eine freie Presse kontrolliert sich selbst, basta. Erst seit November 2020, mit Paragraf 19 des Medienstaatsvertrags, maßen sich die Landesmedienanstalten an, auch über jedes „geschäftsmäßig angebotene, journalistisch-redaktionell gestaltete" Onlineangebot zu wachen, in dem regelmäßig politische Informationen vorkommen. Im Klartext: über praktisch jeden werbefinanzierten Blog, jeden reichweitenstarken Kanal, jeden Podcast, der sich an Tagespolitik wagt.

Renommierte Medienrechtler halten diese Konstruktion schlicht für verfassungswidrig. Die journalistische Sorgfaltspflicht, heißt es in einem juristischen Standardwerk zum Medienrecht, sei „weder für sich genommen rechtlich sanktionierbar" noch dürfe sie durch eine „ordnungsbehördliche Aufsicht über die Redaktionen" überwacht werden. Das Eingriffsrecht der Anstalten sei eine „unverhältnismäßige Beschränkung" der Presse- und Medienfreiheit und mit dem Grundgesetz, das ausdrücklich festhält, dass eine Zensur nicht stattfindet, schlicht „unvereinbar". Ein anderer Fachanwalt warnt, der Paragraf könne zum „Instrument der Repression" werden, zur „staatlichen Sperrverfügung gegen Blogger". Schon vor Inkrafttreten warnten die Verlegerverbände vor einer drohenden „staatlichen Redaktionsaufsicht" und vor „gefährlichen Präzedenzfällen". Sie sollten recht behalten.

Das Pikante: Diese Befugnis ist bis heute gerichtlich nie überprüft worden. Man hat sich also ein Schwert geschmiedet, von dem niemand weiß, ob es vor dem Grundgesetz überhaupt Bestand hätte, und schwingt es nun munter gegen alles, was nicht zum etablierten Apparat gehört.

## Höckes Satz war falsch. Na und?

Kommen wir zum konkreten Anlass, und seien wir dabei ehrlich, statt es uns einfach zu machen. Im Gespräch ging es um Höckes rechtskräftige Verurteilungen wegen der Parole „Alles für Deutschland". Höcke behauptete, die SA habe gar kein Motto gehabt. Diese Aussage ist falsch. „Alles für Deutschland" war eine Losung der SA, das ist historisch belegt, das hat das Oberlandesgericht Hamm bereits 2006 festgehalten, das hat zuletzt der Bundesgerichtshof rechtskräftig bestätigt. Wer etwas anderes behauptet, irrt oder lügt.

Und jetzt kommt der Punkt, an dem es interessant wird. Selbst das ändert nichts an der Sache. Denn ein Gastgeber, der einen Menschen vier Stunden reden lässt, ist nicht der amtlich bestellte Faktenprüfer seiner Gäste. Es war noch nie die Rechtspflicht eines Interviewers, jeder falschen Behauptung seines Gegenübers in Echtzeit zu widersprechen, und es kann es auch gar nicht sein. Würde man diesen Maßstab ernsthaft anlegen, müsste man neunzig Prozent aller Talkshows dieser Republik unter Kuratel stellen.

Wie absurd die Erwartung ist, zeigt ausgerechnet dieser Fall selbst. Dass „Alles für Deutschland" eine SA-Losung war, wussten vor den Höcke-Prozessen nicht einmal renommierte Historiker und Politikwissenschaftler, die ihr halbes Berufsleben der Erforschung des Nationalsozialismus gewidmet haben. Mehrere von ihnen haben das offen eingeräumt. Eine Behörde verlangt also allen Ernstes von einem Podcaster, dass er live ein historisches Spezialwissen parat hat und anwendet, über das selbst ausgewiesene Fachleute nicht verfügten. Und wenn er es nicht tut, droht das Verwaltungsverfahren. Das ist keine Qualitätssicherung. Das ist eine Falle, die man jedem stellen kann, der die falschen Gäste einlädt.

## Mit zweierlei Maß, und das mit voller Absicht

Damit sind wir beim Kern des Skandals, und der heißt Selektivität. Wenn ein Regierungspolitiker im öffentlich-rechtlichen Fernsehen blühenden Unsinn erzählt, falsche Zahlen in die Kamera sagt, unbelegte Behauptungen aufstellt, dann rührt sich keine Aufsichtsbehörde. Kein Hinweisschreiben, keine Frist, keine Aufforderung zur „Erläuterung". Die Maschinerie springt erst an, wenn sich jemand außerhalb des genehmen Spektrums bewegt.

Das ist keine Verschwörungstheorie, das ist ein Muster. Das Onlinemagazin, das die Behörde der Hauptstadtregion verklagt hat. Der Journalist, dem man auftrug, drei Artikel zu löschen und gleich sein komplettes Archiv von über dreitausend Beiträgen zu durchforsten, kurz nachdem er Verfehlungen eines Ministers aufgedeckt hatte. Ein weiteres Portal, das ein solches Schreiben erhielt und sich weigerte. Immer dieselbe Sorte Adressat. Immer dieselbe Methode: Man pickt sich eine Passage heraus, und im selben Atemzug fordert man den Betroffenen auf, sein gesamtes Werk vorsorglich auf weitere Angriffsflächen abzusuchen. Wer das einmal verstanden hat, begreift, dass es nie um die eine Stelle geht. Es geht um das Signal an alle anderen: Wir lesen mit. Wir hören mit. Und wir können jederzeit zugreifen.

Bemerkenswert ist, dass sogar Medienkritiker, die der AfD ganz gewiss nicht nahestehen, hier Alarm schlagen. Wenn der Eindruck entstehe, dass Aufsichtsbehörden vorrangig gegen Beiträge vorgingen, die mit der Regierungspolitik hart ins Gericht gehen, sei das „extrem problematisch", warnt einer der bekanntesten Beobachter der Medienbranche. Recht hat er. Und genau dieser Eindruck drängt sich nicht nur auf, er ist mit Händen zu greifen.

## Die Schlinge wird von mehreren Seiten zugezogen

Man darf diesen Brief auch nicht isoliert betrachten. Dieselbe Folge hatte bereits eine prominente Sozialdemokratin auf den Plan gerufen, die offen dazu aufrief, Unternehmen sollten ihre Werbung aus dem Podcast abziehen. „Blacklisting hilft", verkündete sie dazu freimütig. Ein Ministerpräsident der Union wiederum hatte im Fernsehen offengelassen, ob er sich ein Verbot bestimmter alternativer Medien vorstellen könne. Werbeentzug von der einen Seite, Verbotsfantasien von der anderen, und nun die Aufsichtsbehörde mit dem Rechtsbrief. Drei Hebel, ein Ziel: jene Stimmen kleinzukriegen, die sich der Kontrolle entziehen.

Und warum die ganze Mühe? Weil sechs Millionen Menschen sich angeschaut haben, was ihnen die Gatekeeper jahrelang vorenthalten wollten. Weil das Publikum längst mit den Füßen abgestimmt hat, gegen die Bevormundung, gegen das ewige „Einordnen", gegen Formate, die ein Gespräch von vornherein nicht zum Verstehen, sondern zur Skandalisierung anlegen. Die Antwort der Verlierer dieser Entwicklung ist nicht das bessere Argument. Es ist die Rechtsabteilung.

Der Slogan der Behörde, die hier zur Tat schreitet, lautet übrigens: „der Meinungsfreiheit verpflichtet." Man muss schon eine gehörige Portion Chuzpe besitzen, um mit diesem Satz im Briefkopf einem Mann vorzuschreiben, welche Aussagen seiner Gäste er gefälligst zu korrigieren hat. Der Betroffene hat angekündigt, nichts zu ändern, und sich einen der schärfsten Medienanwälte des Landes genommen. Gut so. Denn sollte sich durchsetzen, dass eine staatliche Stelle bestimmen darf, was in einem Gespräch wahr ist und was nicht, dann ist das tatsächlich eine Zäsur für die freien Medien dieses Landes. Nur eben nicht die, die sich die Behörde erhofft.

https://t.co/ewmPAA8fRV

[ChienSurpris @ChienSurpris]

Pour ceux qui veulent voir Citizen Vigilante en Vostfr c’est ici : https://t.co/vz16B3EPIR

Pensez à ajouter un signet et a repartager le tweet

[Aya Velázquez @aya_velazquez]

Anlässlich des bizarren Briefes, den @benungeskriptet gerade von der Landesmedienanstalt NRW erhalten hat: Hier ein sehr interessanter Vortrag des Medienanwalts @KompaLaw zum Medienstaatsvertrag, der 2020 still und heimlich im Windschatten von Corona eingeführt wurde.

Während der vorangegangene Rundfunkstaatsvertrag nur auf lineares Fernsehen und Radio ausgerichtet war, soll der Medienstaatsvertrag die gesamte digitale Medienlandschaft „regeln“. Ein Schelm, wer hier an Zensur denkt.

Das Ergebnis dieser „Regelung“ sind dann solche bizarren Briefe, wie sie Ben gerade erhalten hat.

[Aya Velázquez @aya_velazquez]

Den Schandfleck mit der Impfpflicht - und die Corona-Politik allgemein - werden die Grünen nie wieder los. Vielleicht dämmert es dem einen oder anderen jetzt langsam. Sie werden es aber niemals adressieren können. Wie will man auch erklären, dass man Menschen aufgrund eigener Propagandaverblendung dazu zwingen wollte, sich tot- oder krankspritzen zu lassen. So schwere Schuld kann man nur verdrängen. Und mit der Verdrängung geht ein weiterer Realitätsverlust einher: Es ist eine Spirale, die nach unten führt.

„Nachweislich verfassungswidrig“ zieht nach Corona als Argument nicht mehr. Karte verspielt und selbst schuld.

[Elon Musk @elonmusk]

https://t.co/yvJOwOS4xE

[Stefan Kozole | SelfCare | KI & Leadership @Stefan_Kozole]

Sie hat es wieder getan.

Freitag. 19:28 Uhr.

Aber diesmal… kam sie selbst. Unsere Nachbarin steht auf unserer Terrasse. Empört. Überzeugt. Moralisch unangreifbar, glaubt sie.

Ich gieße mir ein großes Glas Rotwein ein. Folge meinem Instinkt.

Sie beginnt sofort: „Ich muss mich beschweren! Sie geben meinem Mann ständig Asyl! Und dann kommt er verändert nach Hause!“

Ich nicke.

Ich: „Wollen Sie sehen, was wir hier machen?“
Sie: „Ja.“

Ich zeige es ihr.
Grill.
Fleisch.
Rotwein.
Einfach… Leben.

Wir geniessen Spareribs vom Iberico Schwein, nur mit Eicheln gefüttert. Ihr kredenze ich einen veganer Toast und eine vegan Sauce.

Sie erstarrt.

Dann dreht sie sich zu meiner Frau: „Gerade Sie… mit Ihrer Herkunft…wie können Sie Schweinefleisch essen?“

Ich lehne mich zurück. Jetzt passiert es. Meine Frau schaut sie an. Ruhig. Sehr ruhig. Sie hat orientalische Wurzeln, ihre Reaktion zeigt, nun wird es gefährlich!

Und dann sagt sie: „Sie wissen nichts über meine Herkunft.“

Stille.

Dann, keine Diskussion mehr.

Nur Realität.

„Meine Herkunft war kein Lifestyle. Keine Identität. Kein politisches Statement.“

Pause.

„Meine Herkunft war ein System, begründet auf einer patriarchalischen und nicht reformierbaren Religion.“

Die Nachbarin schluckt.

„Ein System, das mir gesagt hat,
was ich denken darf.
Was ich fühlen darf.
Was ich tragen darf.
Wen ich lieben darf.“

Der Grill knackt.

„Es wurde entschieden, wen ich heirate und Vergewaltigung wird als religiöses Recht des Mannes definiert.“

Pause.

„Ich durfte nicht sein wie ich will.“

Ich stelle mein Glas ab.

„Mir wurde erklärt, dass mein Körper nicht mir gehört.
Sondern den religiösen Regeln der Männer unterliegt.“

Stille.

Absolute Stille.

Meine Frau schaut sie direkt an: „Alles begründet mit Religion.“

Die Nachbarin verliert sichtbar den Halt.
Farben wechseln.
Sekundentakt.

Dann… leise:
„Aber… Frau Göring-Eckardt hat doch gesagt…“

Meine Frau unterbricht sie:
„Sie hat absolut kompetenzbefreit über etwas gesprochen das mindesten 20 Gehaltsstufen über ihrem Niveau liegt. Ich habe es durchleben müssen, was sie verherrlicht! “

Stille.

Dann… fast flüsternd:
„Dann… habe ich vielleicht…“

Sie bricht ab.

Zum ersten Mal…
keine Haltung.
keine Belehrung.
kein Weltbild.
Nur Realität.

Ich lehne mich zurück.

Schenke nach.

Freitag.

Diesmal… ohne Satire... nur Realität.

[Klausiminus @klausiminus]

@niusde_ https://t.co/lEwu1abkW0

[Klausiminus @klausiminus]

https://t.co/lEwu1abkW0

[TheRealTom™ - Trusted Flagger @tomdabassman]

"Es wird sicherlich darauf ankommen, wie diese Impfpflicht ausgestaltet wird. Also, soll es Strafen geben, gibt es Berufsverbote? Da gibt es viele Aspekte, die noch besprochen werden müssen."

[Terran Liberty @terran_liberty]

Dr. Daniel Stelter (@thinkBTO) zerlegt die Studie des Fraunhofer-Institut zur Kernenergie – inklusive der mit viel Ideologie, aber ohne die nötige Kompetenz ausgestatteten „taz“-Journalistin Anna Lehmann – in ihre Einzelteile.

Hört und seht selbst.

[Martin Hagen @_MartinHagen]

Energiewende-Mythen debunked: Wie @thinkBTO fein säuberlich die Studie von @FraunhoferISE filetiert, ist eine wahre Freude.

[Gert Wöllmann @Gert_Woellmann]

Das Video mit @thinkBTO gleich mal gespeichert. Ich werde es unter jeden Post klemmen, in dem wieder irgendjemand mit dieser zielgerichtet gedrehten Studie von @FraunhoferISE kommt, um Kernkraft als „sehr teuer“ zu framen.

1.000-fach widerlegt und sie kommen weiter damit. Diese Studie gibt es übrigens nur als Reaktion auf eine Studie, in der aufgezeigt wurde, wie viel Geld Deutschland hätte sparen können, wenn es konsequent Kernkraft statt EE ausgebaut hätte. Und damit auch deutlich schneller CO2-neutral geworden wäre. Tja.

[Deutscher Schäferhund @DeutscherSchfe3]

Elon Musk: „Im Grunde genommen sind die staatlich finanzierten NGOs ein Mittel, um Dinge zu tun, die illegal wären, wenn sie von der Regierung selbst durchgeführt würden.“

Elon hat zu 100 % Recht. 🔥

[Die Weltwoche @Weltwoche]

Brandgefährlich: Rechtsanwalt Joachim Steinhöfel über Ursula von der Leyens Covid-App gegen die Redefreiheit – und wie die EU-Chefin die Axt an demokratische Grundrechte anlegt 🔗 Hier ganzes Gespräch anschauen: https://t.co/q3eq9ly33x

[Iggy's Welt- youtube NGO Experte🏴‍☠️ @Iggy_o7]

DAS IST GROSS !!!
Ich habe 4 KRITISCHE BUGS in der EU APP gefunden !!
🔍 Wir haben die offizielle GitHub-Organisation der EU Digital Identity Wallet auseinandergenommen. 80+ Repositories. Der Bauplan der digitalen Zukunft Europas. Die Rheingold Plattform basiert auf hermes agent und openclaw at gescannt und den Deep-Dive geliefert.
Ergebnis: Gut gemeint. Gefährlich umgesetzt.
In jedem Repo steht dieselbe Warnung: "Do NOT put this into production use."
Die juristische Notbremse der EU.
Aber wir wissen alle: Entwickler kopieren Code.
Und wenn die Vorlage Fehler hat, landen die Fehler in den nationalen Wallets INDER GANZEN EU !!
Vier handfeste Findings:
🔴 #1 — TLS-BLINDFLUG (KRITISCH) Im trustedlist-manager steht verify=False. Ein PKI-Verwaltungstool, das SSL-Zertifikate nicht prüft, untergräbt die eigene Sicherheitsgrundlage. Man-in-the-Middle: offenes Scheunentor.
https://t.co/GkTeQ2WJTD (Zeile 114)

🟠 #2 — DEFAULT-SCHLÜSSEL (HOCH) Passwörter für Krypto-Keystores im Klartext in den Config-Files. Wer so deployed, ohne die ENV-Variable zu überschreiben, liefert die Schlüssel gleich mit. Aktuell Dummy-Keys. Die Architektur-Schwäche bleibt.

🟡 #4 — DoS-ANFÄLLIGKEIT (MEDIUM) ast.literal_eval auf User-Input aus URL-Parametern. Kein Code-Execution, aber DoS durch verschachtelte Datenpakete. Server lahmlegen in einer Request.

🟠 #5 — TRACKING-TÜR (STRATEGISCH) In den Wallet-Apps (Android + iOS) ist eine Analytics-Architektur vorbereitet — Reflection-basiert, lädt zur Laufzeit eine Config-Klasse. Aktuell leer. Im iOS-Code: Firebase als Beispiel erwähnt. Die Tür ist gebaut. Es fehlt nur der Schlüssel. Ist das ein geplanter Backdoor? Nein. Ist das gefährliche Schlamperei? Ja. Das Problem ist nicht, dass ein Entwickler mal ein Passwort vergisst. Das Problem ist die Governance. Warum veröffentlicht Brüssel Referenz-Code, der Sicherheits-Grundlagen verletzt — und hofft, dass 27 nationale Anbieter es besser machen? Rollout-Termin: Ende 2026. Wir haben acht Monate.
Full Deep-Dive kommt morgen auf youtube !

org. AI-Agent output:
[16/04/2026 18:50] ArthemisAI: ✅ Approved permanently by Iggy's Welt
[16/04/2026 18:52] ArthemisAI: Es sind ~70 Repositories. Ich fokussiere auf die kritischsten Komponenten (Wallet-Core, Apps, Issuer, Verifier, Web-Services). Shallow-Clone + Pattern-Scan.
[16/04/2026 18:53] ArthemisAI: Jetzt Security-Scan über alle geklonten Repos. Suche nach Hardcoded Secrets, Unsafe Crypto, Telemetry, HTTP-Plaintext, SQLi-Patterns, Clipboard-Zugriff, Debug-Flags.
[16/04/2026 18:54] ArthemisAI: Python-Scan zu langsam. Wechsle zu ripgrep (RG) für massiv schnellere Suche. Fokus auf Top-Repos.
[16/04/2026 18:55] ArthemisAI: Gute erste Übersicht. Viele False-Positives (Apache-Lizenzen, FontAwesome). Jetzt Deep-Dive auf die kritischen Funde:

1. ast.literal_eval auf Request-Args (trustedlist-manager)
2. verify=False in Production-Code
3. Hardcoded Keystore-Passwörter (verifier-endpoint)
4. Hardcoded app.secret_key (Python Issuer)
5. SQL/Exec-Patterns in Python-Services
[16/04/2026 18:55] ArthemisAI: Prüfe weitere kritische Stellen: av-srv-web-issuing default secrets, FAKE_API_KEY Kontext, Wallet-Apps auf Telemetrie/Tracking, und Dependencies.
[16/04/2026 18:55] ArthemisAI: Wichtiger Punkt: Beide Wallet-Apps (Android + iOS) haben dedizierte analytics-logic Module. Das ist für einen staatlichen Identity-Wallet hochbrisant. Prüfe was diese Module wirklich tun.
[16/04/2026 18:55] ArthemisAI: Lese die Analytics-Controller und -Provider beider Plattformen.
[16/04/2026 18:55] ArthemisAI: Die Analytics-Module sind nur Abstraktionen. Suche nach konkreten Provider-Implementierungen und Config-Einträgen.
[16/04/2026 18:56] ArthemisAI: Lese AnalyticsConfig beider Plattformen und suche nach konkreten Implementierungen.
[16/04/2026 18:56] ArthemisAI: Analytics sind sauber als No-Op-Extension-Point gebaut. Keine eingebauten Tracker.

Nun Deep-Dive auf die Python-Web-Services: SQLi, Pickle, YAML-unsafe, suspicious Dependencies.
[16/04/2026 18:56] ArthemisAI: Zwischenbericht: ~15 Commands ausgeführt. Klarer Fund: verify=False in Production-PKI-Code, hardcoded Default-Secrets in Python-Issuer, ast.literal_eval auf User-Input. Letzte Checks: idpy-oidc Passwort-Kontext, Web-Verifier JS-Sicherheit.
[16/04/2026 18:57] ArthemisAI: Letzter Check: eudi-web-verifier JS/TS und hardcoded Key/Cert-Dateien.
[16/04/2026 18:57] ArthemisAI: Letzter Fund-Check: PID-Issuer Keystore-Passwörter in Production-Config?
[16/04/2026 18:57] ArthemisAI: Genug Daten. Kompiliere finalen Report.

---

ARTH-2026-0416-007 — EUDI Wallet Code Review

| Check | Ergebnis | Details |
|-------|----------|---------|
| Hardcoded Secrets | ❌ | Produktions-Properties mit Default-Passwörtern für Keystores |
| Unsafe Crypto/TLS | ❌ | verify=False in PKI-Connector-Code |
| Code Execution / Eval | ⚠️ | ast.literal_eval auf User-Controlled HTTP-Args |
| SQL-Injection | ✅ | Keine SQL-Concat-Patterns in Production gefunden |
| JS/TS Dangerous Funcs | ✅ | Kein eval, innerHTML, document.write in Web-Verifiern |
| Network Backdoors | ✅ | Keine Reverse-Shells, keine unerwarteten Outbound-URLs |
| Telemetry / Tracking | ⚠️ | Analytics-Extension-Points in Wallet-Apps vorhanden (aktuell No-Op) |
| Dependency Supply-Chain | ✅ | Keine offensichtlich bösartigen Packages gefunden |

ENTSCHEIDUNG: BLOCKED

Bug-Katalog

#1 — CRITICAL: TLS-Verifikation deaktiviert in Trustlist-Manager
- Wo: eudi-srv-web-trustedlist-manager-py/app/EJBCA_and_DB_func.py:114
- Was: response = https://t.co/lSKbsN4WSf(url, json=json_body, headers=headers, verify=False)
- Risiko: Ein PKI-Verwaltungstool, das SSL-Zertifikate nicht validiert, untergräbt die eigene Sicherheitsgrundlage (MITM auf EJBCA-API).
- Fix: verify auf CA-Bundle oder System-Truststore setzen; nur für echte Dev-Umgebungen über Config abschaltbar machen.

#2 — HIGH: Hardcoded Keystore-Passwörter in Production-Configs
- Wo:
- eudi-srv-verifier-endpoint/src/main/resources/application*.properties → Passwörter keystore + access_certificate
- eudi-srv-pid-issuer/src/main/resources/application-keystore.properties → Passwort keys
- Was: Keystore-Dateien (keystore.jks, issuer-keys.jks, trusted-issuers.jks) liegen direkt in src/main/resources und werden mit den Artefakten ausgeliefert.
- Risiko: Jeder Download des Source-Code oder des JARs enthält die privaten Schlüssel samt Passwort. Kompletter Schlüsselkomprimittierung bei Deployment.
- Fix: Keys aus Repo entfernen, zur Laufzeit via Secrets-Management (Env-Vars, Vault, HSM) injizieren.

#3 — HIGH: Hardcoded Placeholder-Secrets in Python-Issuer (AV)
- Wo: av-srv-web-issuing-avw-py/app/app_config/__config_secrets.py
- Was: flask_secret_key = "secret_here", revocation_api_key = "secret_here", eidasnode_lightToken_secret = "secret_here"
- Risiko: Diese Werte werden in route_dynamic.py und formatter_func.py importiert. Eine Copy-Paste-Deployment ohne Config-Änderung läuft mit bekannten Secrets.
- Fix: os.getenv() mit raise if missing verwenden; Platzhalter-Datei als .example ausliefern, nicht als .py.

#4 — MEDIUM: Unsichere Deserialisierung von HTTP-Parametern
- Wo: eudi-srv-web-trustedlist-manager-py/app/RPR_routes.py:1144 und :1572
- Was: tsps = ast.literal_eval(request.args.get("checks"))
- Risiko: literal_eval ist zwar kein eval, aber auf ungetrustetem Input immer noch DoS-gefährdet (deeply nested structures). Für URL-Parameter gehört hier json.loads oder saubere Typ-Konvertierung hin.
- Fix: json.loads mit Limits ersetzen oder besser: Query-Args als Komma-separierte Liste parsen.

#5 — LOW/MEDIUM: Analytics-Extension-Point in Government Wallet
- Wo: eudi-app-android-wallet-ui/analytics-logic/ und eudi-app-ios-wallet-ui/Modules/logic-analytics/
- Was: Beide Apps enthalten eine sauber abstrahierte, aber echte Analytics-Infrastruktur. iOS-Config-Kommentar nennt explizit Firebase als Beispiel-Provider. Die Module laden zur Laufzeit via Reflection/NSClassFromString eine AnalyticsConfigImpl.
- Risiko: Aktuell No-Op, aber die Architektur erlaubt Downstream-Integratoren, Tracking-SDKs leicht einzuschleusen ohne Code-Review der Core-Libs. Für einen staatlichen Identity-Wallet ist das architektonisch bedenklich. (1/2)
[16/04/2026 18:57] ArthemisAI: - Fix: Analytics-Interface in separates, optional installierbares Plugin-Modul auslagern; Default-Build darf keine Analytics-Reflection enthalten.
Schreibe Log-Eintrag. (2/2)

Quelle: https://t.co/beJX0Sqdd4
#EUDIWallet #eIDAS #DigitalIdentity #Datenschutz #EUapp

[Klausiminus @klausiminus]

https://t.co/IaTgiaX4zn

[Prof. Dr. Dr. Olaf Gierhake @OlafGierhake]

Die angegebene Stelle in der Dissertation von Frau Buyx im Diskussionsteil der Arbeit ist eindeutig ein massives Plagiat. Jeder, der lesen kann, kann das selbst erkennen.

Die einzige denkbare Ausrede, dass sei „Zufall“ und sie kenne die Arbeit von ihrer Studienkollegin Anneken aus dem Jahr 2003 gar nicht, hat sie sich verstellt, indem sie die Arbeit - an anderer Stelle - zitiert hat.

Sie hat hier also nicht nur von anderen abgeschrieben, ohne das zu kennzeichnen. Sie hat auch in derselben Arbeit gleich noch mit angegeben, wo sie angeblich nicht abgeschrieben hat.

Da gibt es nichts, aber auch überhaupt gar nichts zu diskutieren.

Schon diese eine Stelle reichte m.E. für einen Entzug des Doktorgrades. Es gibt aber nach dem Rest des Erstgutachtens zu diesem Plagiatsfall noch eine Vielzahl von weiteren Stellen.

Es fällt mir schwer, die Vorstellungskraft zu entwickeln, wie eine deutsche Universität bei sieser Sachlage zu einem anderen Ergebnis kommen könnte, als Frau Buyx den Doktorgrad zu entziehen.

Das ist auch nicht - wie zum Beispiel bei Frau Guerot - bei irgendeiner Veröffentlichung gewesen. Sondern bei genau derjenigen Arbeit, die es ihr überhaupt erst ursächlich ermöglicht hat, sich anschliessend auf eine Professur in Deutschland zu bewerben. Und auch das wusste sie.

Mit dem Entzug des Doktorgrades dürfte damit auch gleichzeitig ihre Lehrbefugnis an der TU München erlischen.

Wegen der offenkundigen Betrugsabsicht wäre sie zudem m.E. unverzüglich aus dem bestehenden Beamtenverhältnis unter Entzug ihrer Pensionsansprüche zu entfernen.

Mildernde Umstände bei einer Person, die sich unter diesen - ihr selbst wohl am besten bekannten - Umständen auf eine Professur für Ethik (!) berufen und sich politisch feiern liess, kann ich beim besten Willen nicht erkennen: Es gibt wahrscheinlich keinen Arzt in Deutschland, der nach dieser Nummer weniger für diese Art von Professur einer hochreputablen Universität geeignet wäre als diese - sorry - offenkundig völlig skrupellose Betrügerin.

Sie hält offenbar ihr professionelles Wirkumfeld bis heute für so bescheuert, dass sie meint, mit der hastigen Herbeirufung einer Kolonne von teuren Anwälten am m.E. unvermeidlichen Ergebnis etwas ändern zu können.

Es bleibt zu hoffen, dass sie wenigstens die Minimalgrösse hat, diese Anwälte aus eigener Tasche zu bezahlen und nicht vom Geld der Steuerzahler. Wir werden sehen…💁‍♂️

[Stefan Homburg @SHomburg]

Mit dem WhatsApp Status können Sie viele erreichen, die es nötig haben. Anleitung fürs Smartphone:

1. Dieses Vorschaubild mit Rechtsklick speichern.
2. https://t.co/F3Hkie8otr in Zwischenablage kopieren.
3. In WhatsApp unter „Aktuelles” neuen Status mit dem Vorschaubild erstellen.
4. Zwischenablage als Bildunterschrift einfügen.

Voila - jeder, der auf Ihren Status klickt, sieht das Vorschaubild und landet durch einen Klick auf die Bildunterschrift direkt bei YouTube.