Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- Patientendaten aus Universitätskliniken im Umlauf. Beim Abrechnungsdienstleister „unimed“ in Wadern wurden im April Daten von inzwischen mehr als 100.000 Patientinnen und Patienten der Universitätskliniken Freiburg, Heidelberg, Tübingen und Ulm entwendet. Betroffen sind vor allem Privatversicherte, Wahlleistungspatienten und Selbstzahler. Wer in den vergangenen Monaten dort behandelt wurde, sollte ungewöhnliche Rechnungen, Mahnungen oder Versicherungsanfragen sorgfältig prüfen und im Zweifel direkt bei der eigenen Klinik nachfragen.
- Neue Phishing-Welle im Namen von Rundfunkbeitrag, Deutschlandticket und Rentenversicherung. Die Verbraucherzentralen warnen vor täuschend echten E-Mails, die zu kurzfristigen Überweisungen auf vermeintliche IBANs in Spanien oder anderen EU-Ländern auffordern. Achten Sie auf unpersönliche Anreden, knappe Fristen, Drohungen mit Mahngebühren und ungewöhnliche Antwortadressen – seriöse Stellen verschicken keine Sofort-Zahlungsaufforderungen per E-Mail. Im Zweifel die Mail löschen und über die offizielle Website oder Servicenummer der jeweiligen Einrichtung nachfragen.
- Windows Defender muss zwingend aktualisiert werden. Microsoft bestätigt zwei aktiv ausgenutzte Schwachstellen im Defender-Schutz (CVE-2026-41091 und CVE-2026-45498). Angreifer können Systemrechte erlangen oder die Antiviren-Funktion lahmlegen. Auf privaten Windows-Geräten genügt es in der Regel, Windows Update laufen zu lassen und einen Neustart einzuplanen; in kleinen Firmen sollten Administratorinnen prüfen, ob die Defender-Plattform-Version 4.18.26040.7 oder neuer aktiv ist.
- EuGH-Entscheidung schränkt missbräuchliche DSGVO-Auskunftsanfragen ein. Der Europäische Gerichtshof hat klargestellt, dass auch der allererste Antrag auf Datenauskunft als rechtsmissbräuchlich abgelehnt werden darf, wenn er erkennbar nicht in gutem Glauben gestellt wird. Für Verbraucherinnen und Verbraucher bedeutet das: ein klares, nachvollziehbares Anliegen formulieren statt pauschaler Massenanfragen. Für Unternehmen entlastet das Urteil von koordinierten „DSGVO-Hopping“-Wellen, ändert aber nichts am eigentlichen Auskunftsrecht im Alltag.
Aktuelle Phishing- und Betrugswellen
Seit dem 11. Mai läuft eine breit gestreute Phishing-Welle im Namen des Beitragsservice von ARD, ZDF und Deutschlandradio. Die Mails imitieren das Layout offizieller Bescheide nahezu perfekt, nennen eine Beitragsnummer und fordern zur Zahlung eines angeblich offenen Betrags auf ein vermeintlich deutsches Konto auf. Tatsächlich gehört die IBAN zu einer spanischen Bank mit Filiale in Deutschland, die dort als Zahlungsauffangstelle für die Täter dient. Wer in den vergangenen Wochen eine solche E-Mail erhalten hat, sollte sie unverändert ins Spam-Postfach verschieben und auf keinen Fall überweisen; offizielle Zahlungsaufforderungen kommen weiterhin postalisch.
Parallel dazu dokumentiert die Verbraucherzentrale eine zweite Welle mit dem Betreff „Letzte Zahlungsaufforderung: Deutschland Ticket“. Die Mails behaupten, eine SEPA-Lastschrift sei nicht eingegangen, und fordern eine Sofortüberweisung über einen Link. Sowohl die Verkehrsverbünde als auch die Deutsche Bahn weisen ausdrücklich darauf hin, dass bei Lastschriftproblemen keine Instant-Überweisung verlangt wird; bei Unsicherheit lohnt sich der Login direkt in der App, nicht über den Link in der Mail.
Eine dritte Variante missbraucht den Namen der Deutschen Rentenversicherung. Auch hier liegt das Muster im Druck: angebliche Rückforderungen, kurze Fristen, Androhung von Sperrungen. Wer auf eine echte Mitteilung wartet, erhält diese in der Regel per Post oder über das gesicherte Online-Portal der Rentenversicherung; alles andere ist verdächtig und sollte zuerst telefonisch verifiziert werden.
Was war los?
Die größte Schlagzeile des Wochenendes betrifft die Universitätskliniken in Baden-Württemberg. Über den Abrechnungsdienstleister unimed aus Wadern im Saarland sind nach aktuellem Stand Daten von mehr als 100.000 Patientinnen und Patienten der Unikliniken Freiburg, Heidelberg, Tübingen und Ulm in die Hände von Angreifern gelangt. Die Klinik-IT selbst wurde nach übereinstimmenden Angaben nicht kompromittiert, die medizinische Versorgung war zu keinem Zeitpunkt gefährdet. Entwendet wurden Stammdaten, in Teilen auch Abrechnungs- und Gesundheitsinformationen. Wer im vergangenen Halbjahr stationär oder ambulant in einer der genannten Kliniken behandelt wurde, sollte die anstehende Benachrichtigung der Klinik abwarten und sich nicht von Unbekannten zur Bestätigung persönlicher Daten drängen lassen.
Im internationalen Umfeld macht die Schul-Lernplattform Canvas (Instructure) erneut Schlagzeilen: Die Erpressergruppe ShinyHunters behauptet weiterhin, 275 Millionen Datensätze aus 8.809 Bildungseinrichtungen zu besitzen. Direkte Auswirkungen auf deutsche Schulen sind bislang nicht bekannt, die Vorgänge zeigen aber, wie verwundbar große US-Bildungsplattformen geworden sind – ein Hinweis, der auch für deutsche Bildungseinrichtungen relevant ist, die zunehmend Cloud-Lösungen einsetzen.
Was sich rechtlich geändert hat
Der Europäische Gerichtshof hat in der Rechtssache C-526/24 (Brillen Rottler) Mitte März 2026 entschieden und die Linie nun mehrfach bestätigt: Auch ein erster DSGVO-Auskunftsantrag kann als rechtsmissbräuchlich abgelehnt werden, wenn er erkennbar nicht in gutem Glauben gestellt wird. Damit reagiert der EuGH auf koordinierte Massenanfragen, die weniger der Information dienen als der Vorbereitung von Schadensersatzforderungen. Für die Praxis heißt das: Verbraucherrechte bleiben unverändert bestehen, Unternehmen erhalten aber ein klareres Instrument gegen offensichtlichen Missbrauch.
Daneben präzisiert der Bundesgerichtshof seit dem vergangenen Jahr die Anforderungen an immateriellen Schadensersatz nach Art. 82 DSGVO. Schon der bloße, auch kurze Kontrollverlust über die eigenen Daten kann grundsätzlich einen Schaden begründen – allerdings muss eine spürbare individuelle Betroffenheit dargelegt werden. Wer also nach einer Datenpanne Schadensersatz erwägt, sollte konkrete Folgen wie verstärkte Phishing-Versuche, Spam-Wellen oder seelische Belastung dokumentieren.
IT-Detailansicht für Fachpublikum
Der folgende Teil richtet sich an IT-Sicherheits-, Datenschutz- und Compliance-Verantwortliche. Sie finden zunächst die Management Summary mit den verdichteten Lageinformationen des Wochenendes, anschließend die Top-Risiken-Box mit konkreten Handlungsempfehlungen für Montag, dann die sechs Kapitel Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder und Cyber-Sicherheit. Am Ende folgen Ausblick, Methodik und das vereinte Quellenverzeichnis für beide Teile dieses Briefings.
Top-Themen der Woche
1. Cisco Catalyst SD-WAN Controller: Authentication-Bypass (CVE-2026-20182, CVSS 10.0)
Die Schwachstelle CVE-2026-20182 erlaubt nicht authentifizierten Angreifern den vollständigen administrativen Zugriff auf Cisco Catalyst SD-WAN Controller (vormals vManage). Die Lücke wird laut Cisco-PSIRT seit dem Wochenende vor dem Patch in begrenztem Umfang aktiv ausgenutzt; SD-WAN-Overlays gelten als hochinteressante Ziele für Initial-Access-Broker.
Letzte Entwicklung: Cisco hat das Advisory am Wochenende erneut aktualisiert und auf eine weiter steigende Zahl exponierter Instanzen hingewiesen. Mehrere CSIRTs in Europa berichten in nicht-öffentlichen Lageberichten von Scan-Wellen auf TCP/443 und TCP/8443; das BSI-CERT-Bund hat den Sicherheitshinweis am 22.05. erneuert. Wer den Controller nicht bis Wochenmitte patchen kann, sollte den Verwaltungs-Port aus dem Internet nehmen.
2. GitHub-Breach „TeamPCP“: rund 3.800 interne Repositories abgeflossen
Die im April aktive Gruppe „TeamPCP“ hat über kompromittierte GitHub-Personal-Access-Tokens rund 3.800 nicht-öffentliche Repositories aus dem Mittelstand und Tech-Sektor exfiltriert. Betroffen sind Quellcode, CI/CD-Geheimnisse und in Einzelfällen auch personenbezogene Daten von Mitarbeitenden.
Letzte Entwicklung: GitHub hat die Token-Rotation für betroffene Organisationen erzwungen und einen aktualisierten Indicators-of-Compromise-Satz veröffentlicht. Mehrere deutsche Unternehmen prüfen aktuell, ob frühere Token aus Build-Skripten weiter im Umlauf sind. Eine vollständige Audit-Liste aller Token-Berechtigungen und ein Wechsel auf fein-granulare Tokens werden dringend empfohlen.
3. Cisco Secure Workload: kritische API-Auth-Bypass-Lücke (CVE-2026-20223, CVSS 10.0)
Cisco hat in seinem Microsegmentations-Produkt Secure Workload (vormals Tetration) eine kritische Schwachstelle in den internen REST-APIs offengelegt. Über eine fehlende Authentifizierung kann ein nicht angemeldeter Angreifer Site-Admin-Rechte erlangen und tenant-übergreifend Konfigurationen ändern oder vertrauliche Informationen lesen. Betroffen sind sowohl SaaS- als auch On-Prem-Cluster.
Letzte Entwicklung: Cisco berichtet bislang nicht von aktiver Ausnutzung, stuft die Schwere aber mit 10.0 ein – das höchstmögliche Risiko. In den vergangenen 72 Stunden haben mehrere Quellen Proof-of-Concept-Skizzen veröffentlicht. Patches sind verfügbar; Betreiberinnen und Betreiber sollten priorisiert einspielen und die internen API-Endpunkte zusätzlich durch Netzwerksegmentierung absichern.
4. Microsoft Defender: zwei aktiv ausgenutzte Zero-Days (CVE-2026-41091, CVE-2026-45498)
Microsoft hat zwei Schwachstellen im Defender-Schutz bestätigt, die aktiv ausgenutzt werden: CVE-2026-41091 ermöglicht über eine fehlerhafte Symlink-Auflösung in der Malware Protection Engine eine lokale Privilegieneskalation auf SYSTEM (CVSS 7.8), CVE-2026-45498 führt zu einem Denial-of-Service der Defender-Komponente (CVSS 4.0). Beide Lücken sind seit dem 21. Mai im KEV-Katalog der CISA mit Patch-Frist 3. Juni 2026 gelistet.
Letzte Entwicklung: Huntress hat über das Wochenende weitere Telemetrie veröffentlicht, die auf zielgerichtete Angriffe gegen Verwaltungs- und Bildungssektoren hindeutet. Die Microsoft Malware Protection Engine ist in Version 1.1.26040.8 zu aktualisieren, die Defender Antimalware-Plattform auf 4.18.26040.7. Auf gut konfigurierten Endpunkten geschieht der Update automatisch innerhalb weniger Stunden; in Air-Gapped-Umgebungen ist ein manuelles Nachziehen erforderlich.
5. Microsoft Exchange Server OWA: aktiv ausgenutzter Spoofing-Bug (CVE-2026-42897)
Die im Mai-Patchday geschlossene OWA-Schwachstelle wird weiterhin aktiv ausgenutzt – Angreifer können bei aktivierter URL-Vorschau Cookies oder Tokens abgreifen und sich anschließend als legitime Nutzerin oder legitimer Nutzer ausgeben. Bestätigte Fälle gibt es inzwischen aus dem deutschen Mittelstand.
Letzte Entwicklung: Microsoft hat das Advisory am 23.05. um weitere Indicators-of-Compromise ergänzt. Wer noch auf Exchange Server 2016 oder älter setzt, sollte den Wechsel auf eine unterstützte Variante zumindest planen; das Sicherheits-Update für aktuelle Versionen ist über den Mai-Patchday verfügbar.
Management Summary
Der Wochenausklang stand im Zeichen kritischer Infrastruktur-Schwachstellen und einer großen Datenpanne im deutschen Gesundheitswesen. Cisco hat innerhalb weniger Tage zwei Lücken mit dem höchstmöglichen CVSS-Wert von 10.0 offengelegt: erst im Catalyst SD-WAN Controller (CVE-2026-20182, aktiv ausgenutzt), nun in Secure Workload (CVE-2026-20223, noch ohne bestätigte Ausnutzung, aber mit öffentlichem Proof-of-Concept-Material). Microsoft musste zudem zwei aktiv ausgenutzte Defender-Schwachstellen einräumen, die seit dem 21. Mai im KEV-Katalog der CISA gelistet sind und bis 3. Juni in Bundesbehörden gepatcht sein müssen. Parallel laufen die im Vorquartal entdeckten Exchange-OWA- und Linux-Kernel-Schwachstellen weiter unter aktiver Ausnutzung. Die Lage erfordert ein priorisiertes Patchmanagement und eine Schärfung der Detektionsregeln rund um Defender-Telemetrie und SD-WAN-Steuerungs-Traffic.
Datenschutzrechtlich dominiert die Datenpanne beim Abrechnungsdienstleister unimed, von der mittlerweile mehr als 100.000 Patientendaten aus den Universitätskliniken Freiburg, Heidelberg, Tübingen und Ulm betroffen sind. Der Fall illustriert erneut, dass die Auftragsverarbeiterkontrolle nach Art. 28 DSGVO in vielen Konstellationen nur formal funktioniert und unterstreicht die jüngst verschärfte Linie der Aufsichtsbehörden – sichtbar zuletzt im 45-Millionen-Bußgeld der BfDI gegen Vodafone. Rechtsprechungsseitig hat der EuGH mit der Brillen-Rottler-Entscheidung (C-526/24) den Missbrauch von Massen-Auskunftsanträgen eingegrenzt; im Hintergrund wartet die Branche weiter auf die Folgen des Rückzugs der BfDI Specht-Riemenschneider und auf das angekündigte Sondervotum zu KI-gestützten Auskunfteien.
Die wichtigsten Punkte im Überblick
- Cisco Secure Workload: CVE-2026-20223 (CVSS 10.0) – Patches verfügbar, sofort einspielen.
- Microsoft Defender: CVE-2026-41091 + CVE-2026-45498 aktiv ausgenutzt – Engine auf 1.1.26040.8 / Plattform 4.18.26040.7 prüfen.
- Universitätskliniken BW: über 100.000 Patientendatensätze beim Abrechner unimed kompromittiert.
- Phishing-Wellen GEZ, Deutschlandticket und Rentenversicherung weiter aktiv – Hinweise an Beschäftigte streuen.
- EuGH C-526/24 (Brillen Rottler): erster Auskunftsantrag kann bei Rechtsmissbrauch abgewiesen werden.
- CISA KEV vom 21.05. erweitert um Defender-CVEs, Langflow (CVE-2025-34291) und Trend Micro Apex One (CVE-2026-34926).
- Cisco Catalyst SD-WAN (CVE-2026-20182) und Drupal Core (CVE-2026-9082) bleiben aktiv ausgenutzt.
Top-Risiken – Handlungsempfehlungen für heute
- Cisco-Patchwoche einleiten – CVE-2026-20182 (SD-WAN Controller) und CVE-2026-20223 (Secure Workload) priorisiert patchen; Verwaltungsports vom Internet trennen.
- Defender-Versionsstand erzwingen – Engine 1.1.26040.8 und Antimalware-Plattform 4.18.26040.7 über MDM/Intune verbindlich ausrollen.
- Phishing-Awareness aktualisieren – aktuelle Beispiele zu GEZ-, Deutschlandticket- und Rentenversicherungs-Mails ins Mitarbeiter-Awareness-Programm aufnehmen.
- Auftragsverarbeiter-Audit anstoßen – Abrechnungs- und SaaS-Dienstleister im Gesundheitswesen, im HR-Umfeld und in der Buchhaltung außerordentlich auf Datenpannenprozesse prüfen.
- KEV-Liste abgleichen – Defender, Langflow und Trend Micro Apex One in den Patch-Plan ziehen; Frist für Bundesbehörden ist der 3. Juni 2026.
- Exchange-OWA absichern – Mai-Patch verifizieren, Link-Preview-Funktionen für externe Mails restriktiv konfigurieren.
1. Datenschutz
Im Kapitel Datenschutz dominiert am Wochenstart der Vorfall rund um den Abrechnungsdienstleister unimed, der zeigt, wie stark der Schutz personenbezogener Gesundheitsdaten heute von der Sorgfalt der gewählten Auftragsverarbeiter abhängt. Daneben halten die Folgen des angekündigten Rückzugs der BfDI Specht-Riemenschneider die Branche in Atem; und die LDI NRW konkretisiert ihre Anforderungen an das Datenpannenmanagement in Kliniken. Wer im Konzern für Auftragsverarbeitung zuständig ist, sollte die Beispiele dieses Wochenendes als Anlass für eine eigene Risikoinventur nehmen.
1.1 Unimed-Datenpanne weitet sich auf vier Universitätskliniken aus
Zusammenfassung: Beim Saarländer Abrechnungsdienstleister unimed wurden im April Daten von inzwischen mehr als 100.000 Patientinnen und Patienten der Universitätskliniken Freiburg, Heidelberg, Tübingen und Ulm entwendet. Die Information wurde am 21. Mai durch die Uniklinik Freiburg und kurz darauf durch die übrigen Häuser kommuniziert. Betroffen sind primär Privatversicherte, Wahlleistungspatienten und Selbstzahler. Patientenversorgung und Klinik-IT waren zu keinem Zeitpunkt betroffen, der Angriff zielte ausschließlich auf den externen Dienstleister.
Hintergrund & Einordnung: Die unimed Abrechnungsservice für Kliniken und Chefärzte GmbH bündelt die Privatabrechnung mehrerer Universitätskliniken. Ein erfolgreicher Angriff auf einen solchen zentralen Auftragsverarbeiter trifft den Versorgungssektor entsprechend stark – ein klassisches Beispiel für die in der Branche viel diskutierte Drittpartei-Konzentration. Aus DSGVO-Sicht greifen Art. 28 (Auftragsverarbeitung), Art. 32 (Sicherheit der Verarbeitung) und Art. 33/34 (Melde- und Benachrichtigungspflichten). Welche Schwachstelle konkret ausgenutzt wurde, ist bisher nicht öffentlich; die zuständigen Landesdatenschutzbehörden in Baden-Württemberg und im Saarland sind eingebunden.
Praxisfolgen / Handlungsempfehlung: Verantwortliche Kliniken müssen die Betroffenenbenachrichtigungen vorbereiten und mit den Aufsichtsbehörden abstimmen. Andere Krankenhäuser sollten den Vorfall zum Anlass nehmen, die eigene Auftragsverarbeiter-Landschaft im Bereich Abrechnung, Patientenportale und Telematik zu inventarisieren, Mindeststandards für Verschlüsselung und Backup nachzuschärfen und insbesondere Notfall-Lossagungs-Klauseln in den Verträgen zu prüfen. Für Patientinnen und Patienten ist eine besondere Wachsamkeit gegenüber Phishing-Versuchen, die sich auf reale Behandlungen beziehen, in den kommenden Wochen geboten.
1.2 EDSA bestätigt Linie zur Wiederverwendung „pseudonymisierter“ Trainingsdaten
Zusammenfassung: Die Stiftung Datenschutz fasst in ihrer DatenschutzWoche vom 18. Mai die aktuellen Stellungnahmen des Europäischen Datenschutzausschusses zur KI-Trainingsdaten-Praxis zusammen. Kernaussage: Die bloße Entfernung direkter Identifikatoren reicht nicht aus, um Trainingsdaten als „nicht-personenbezogen“ zu behandeln; entscheidend bleibt die Reidentifikationsmöglichkeit im konkreten Kontext.
Hintergrund & Einordnung: Die Linie folgt der bereits im Dezember 2024 veröffentlichten Opinion 28/2024 des EDSA und stärkt die Position der nationalen Aufsichtsbehörden, die Trainingsdaten in der Regel als personenbezogen einstufen, solange die Reidentifikationsschwelle nicht nachweislich überschritten ist. Für Anbieter von Foundation Models und Re-Trainern in Unternehmen ergibt sich ein erhöhter Dokumentations- und Begründungsaufwand.
Praxisfolgen / Handlungsempfehlung: Wer KI-Modelle in Eigenregie weiter trainiert, sollte die Reidentifikationsbewertung als eigenständigen Schritt im AI-Risk-Management verankern, die Datenherkunft sauber dokumentieren und für jede Pipeline die Rechtsgrundlage benennen. Ein Verweis auf „bereits anonymisierte“ Drittquellen reicht in der Aufsichtspraxis künftig nicht mehr.
1.3 LDI NRW veröffentlicht Praxisleitfaden zu Datenpannen in Kliniken
Zusammenfassung: Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen hat den im April vorgestellten Praxisleitfaden zum Datenpannenmanagement in Kliniken um eine Checkliste für Auftragsverarbeiter ergänzt. Schwerpunkt sind die Punkte Meldekette, Beweissicherung und Kommunikation mit Betroffenen innerhalb der 72-Stunden-Frist.
Hintergrund & Einordnung: Die LDI hat 2025 eine sektorale Prüfung in nordrhein-westfälischen Krankenhäusern durchgeführt; in mehr als der Hälfte der Häuser bestand Verbesserungsbedarf bei der Detektion und Eingrenzung von Datenpannen. Die aktuelle Veröffentlichung verbindet diese Erkenntnisse mit konkreten Handlungsmustern.
Praxisfolgen / Handlungsempfehlung: Datenschutzbeauftragte in Kliniken und im Gesundheitsumfeld sollten die Checkliste der LDI mit dem eigenen Datenpannenprozess abgleichen und insbesondere die Eskalationspfade in Richtung Geschäftsführung sowie die Abstimmung mit Forensik-Dienstleistern dokumentieren. Auch außerhalb NRWs bietet der Leitfaden eine geeignete Vorlage.
1.4 BfDI-Rückzug: erste Namen für Nachfolge im Gespräch
Zusammenfassung: Die Ankündigung der Bundesdatenschutzbeauftragten Prof. Dr. Louisa Specht-Riemenschneider, aus gesundheitlichen Gründen vorzeitig zurückzutreten, hält die Branche weiter in Atem. In Berliner Hintergrundgesprächen werden erste Nachfolgekandidaten genannt, eine offizielle Personalentscheidung steht weiterhin aus.
Hintergrund & Einordnung: Der personelle Übergang fällt in eine Phase, in der die BfDI besonders sichtbar agiert hat – etwa mit dem 45-Millionen-Bußgeld gegen Vodafone und mit der laufenden Diskussion um die Datenschutzfolgen der NIS-2-Umsetzung. Eine längere Vakanz würde insbesondere die Aufsicht über große Telekommunikations- und Digitalunternehmen verlangsamen.
Praxisfolgen / Handlungsempfehlung: Unternehmen, die laufende Abstimmungen mit dem Amt der BfDI führen, sollten den Stand schriftlich dokumentieren, Eingangsbestätigungen aufbewahren und Eskalationswege für mögliche Verzögerungen einplanen. Größere Verfahren werden in der Übergangsphase voraussichtlich nicht beschleunigt.
Update vom 25. Mai 2026: Die Stiftung Datenschutz und einzelne Verbände rufen zur zügigen Nachbesetzung auf, um Stillstand in laufenden Großverfahren zu vermeiden.
2. Datensicherheit
Im Bereich Datensicherheit verdichten sich am Wochenende mehrere Datenabflüsse aus zentralen IT-Dienstleistern. Neben der unimed-Datenpanne im Gesundheitssektor sorgt der GitHub-Vorfall um die Gruppe „TeamPCP“ für anhaltende Beschäftigung in DevOps-Teams. International gerät außerdem Panasonic Avionics erneut in die Schlagzeilen. Die Beispiele zeigen, dass die Angriffsfläche von Auftragsverarbeitern derzeit deutlich schneller wächst als die Reife der internen Detektions- und Reaktionsprozesse.
2.1 GitHub-Breach „TeamPCP“: Token-Rotation greift, Audit-Welle läuft
Zusammenfassung: Nach dem Bekanntwerden des Abflusses von rund 3.800 nicht-öffentlichen Repositories durch die Gruppe „TeamPCP“ haben GitHub und mehrere große SaaS-Anbieter die betroffenen Personal-Access-Tokens flächendeckend rotiert. Erste deutsche Mittelständler bestätigen Auffälligkeiten in den eigenen Build-Pipelines.
Hintergrund & Einordnung: Der Vorfall steht in einer Reihe mit dem TanStack-Angriff vom Mai und macht deutlich, dass langlebige Personal-Access-Tokens weiter ein zentraler Angriffsvektor sind. Besonders kritisch sind in CI/CD eingebettete Tokens mit weitreichenden Schreibrechten auf Organisationsebene.
Praxisfolgen / Handlungsempfehlung: Token-Inventar erstellen, alle Classic Personal-Access-Tokens mit Org-Scope eliminieren, auf fein-granulare Tokens oder GitHub Apps wechseln und die Logs auf ungewöhnliche `git clone`-Bursts aus untypischen ASN- oder Geolokations-Bereichen prüfen. Wo möglich, OIDC-basierte Federation für GitHub Actions aktivieren.
2.2 Panasonic Avionics: erneuter Datenabfluss, „CoinbaseCartel“ reklamiert Verantwortung
Zusammenfassung: Panasonic Avionics meldete am 22. Mai eine neue Datenpanne. Verantwortung wird in einschlägigen Leak-Foren von einer Gruppe namens „CoinbaseCartel“ beansprucht. Umfang und Art der entwendeten Daten sind bislang nicht abschließend bestätigt; Panasonic Avionics ist Zulieferer für In-Flight-Entertainment vieler europäischer Fluggesellschaften.
Hintergrund & Einordnung: Bereits Ende 2022/2023 war Panasonic von Datenabflüssen betroffen. Die wiederholten Vorfälle nähren die Diskussion über Lieferkettensicherheit in der Luftfahrt – ein Sektor, der durch NIS-2 und die EU-Richtlinie 2022/2555 zunehmend in den Pflichtenkreis fällt.
Praxisfolgen / Handlungsempfehlung: Fluggesellschaften mit Panasonic-IFE im Bestand sollten die Vendor-Information abwarten, in der Zwischenzeit eigene Datenflüsse zu In-Flight-Diensten kartieren und Passagier-Kommunikation für den Fall einer Betroffenenbenachrichtigung vorbereiten. Generell empfiehlt sich für KRITIS-nahe Branchen eine Aktualisierung der Lieferanten-Risk-Register.
2.3 ShinyHunters/Canvas: Bildungsplattformen unter Dauerdruck
Zusammenfassung: Die Erpressergruppe ShinyHunters hält an ihrer Behauptung fest, im Zuge des Canvas-Vorfalls bei Instructure rund 275 Millionen Datensätze aus 8.809 Bildungseinrichtungen erbeutet zu haben. Instructure hat laut Medienberichten am 12. Mai eine „Einigung“ erzielt; das FBI warnt weiterhin Lehrkräfte und Studierende vor Folgeangriffen.
Hintergrund & Einordnung: Der Vorfall steht beispielhaft für die Anfälligkeit großer Cloud-LMS-Plattformen. Auch wenn die Hauptbetroffenen in den USA liegen, nutzen einzelne deutsche Hochschulen und internationale Schulen Canvas. Die DSGVO-Pflichten zur Information Betroffener bleiben unabhängig von Ransom-Verhandlungen bestehen.
Praxisfolgen / Handlungsempfehlung: Bildungseinrichtungen, die Canvas oder verwandte LMS einsetzen, sollten die offiziellen Kommunikationen ihres Anbieters konsequent dokumentieren, Single-Sign-On-Verbindungen auf reduzierte Berechtigungen prüfen und ein Verfahren für Betroffenenanfragen vorbereiten. Mitarbeitende und Studierende vor gezielten Phishing-Wellen auf Basis der abgeflossenen Daten warnen.
2.4 Datev-Lodas-Datenpanne: Forensik abgeschlossen, Aufsichtsbehörde prüft
Zusammenfassung: Die im Mai bekannt gewordene Datev-Datenpanne, bei der Lodas-Probeabrechnungen an fremde Steuerberatungskanzleien versendet worden waren, ist nach Angaben des Unternehmens vollständig aufgeklärt. Die zuständige bayerische Datenschutzaufsicht BayLDA hat ein förmliches Prüfverfahren eröffnet.
Hintergrund & Einordnung: Die Datenpanne betraf insbesondere Lohn- und Gehaltsabrechnungen kleiner und mittlerer Mandanten. Da Datev als Auftragsverarbeiter für Tausende Kanzleien fungiert, hat der Vorfall systemische Bedeutung.
Praxisfolgen / Handlungsempfehlung: Steuerberatungskanzleien sollten den eigenen Datev-Mandanten gegenüber dokumentieren, ob und wie sie informiert wurden, Anfragen ihrer Mandantinnen und Mandanten innerhalb der 30-Tage-Frist nach Art. 12 DSGVO beantworten und die eigenen Auftragsverarbeitungsverträge mit Datev auf Aktualität prüfen.
3. IT-Sicherheit
In der IT-Sicherheit wird der Wochenstart von zwei perfekten CVSS-10-Lücken bei Cisco und einer Kombination aktiv ausgenutzter Microsoft-Schwachstellen geprägt. Hinzu kommt ein erneutes KEV-Update der US-CISA und eine kritische Apache-HTTP-Server-Lücke, die zwar bereits seit Anfang Mai gepatcht ist, aber in heterogenen Linux-Umgebungen weiterhin nicht überall ausgerollt wurde. Wer in der kommenden Woche kein dediziertes Patch-Fenster planen kann, sollte mindestens die hier genannten Komponenten priorisieren.
3.1 Cisco Secure Workload CVE-2026-20223 (CVSS 10.0): vollständiger Site-Admin-Bypass
Zusammenfassung: Cisco hat eine kritische Schwachstelle in den internen REST-APIs von Secure Workload offengelegt. Aufgrund fehlender Authentifizierung (CWE-306) und unzureichender Validierung kann ein nicht angemeldeter Angreifer durch eine speziell präparierte API-Anfrage Site-Admin-Rechte erlangen und tenant-übergreifend Konfigurationen verändern oder vertrauliche Informationen auslesen. Der CVSS-Wert beträgt 10.0.
Hintergrund & Einordnung: Secure Workload (vormals Tetration) ist eine zentrale Microsegmentierungs-Plattform in vielen Rechenzentren und Cloud-Workload-Umgebungen. Betroffen sind sowohl SaaS- als auch On-Prem-Cluster-Deployments – unabhängig von der Gerätekonfiguration. Cisco erklärt, bisher keine aktive Ausnutzung beobachtet zu haben; öffentlicher PoC-Material zur Lücke ist jedoch in einschlägigen Foren verfügbar. Die Lücke folgt der ebenfalls im Mai veröffentlichten CVE-2026-20182 im Catalyst SD-WAN Controller und reiht sich in eine ungewöhnlich dichte Folge schwerwiegender Cisco-Schwachstellen ein.
Praxisfolgen / Handlungsempfehlung: Patch aus dem Cisco Advisory cisco-sa-tw-auth umgehend einspielen. Wo eine sofortige Aktualisierung nicht möglich ist, die internen API-Endpunkte zusätzlich durch Netzsegmentierung und Allow-Listing absichern. Audit-Logs auf ungewöhnliche Site-Admin-Aktionen und tenant-übergreifende Konfigurationsänderungen prüfen. Detektionsregeln in SIEM und EDR auf entsprechende API-Pfade ausrichten.
3.2 Microsoft Defender CVE-2026-41091 und CVE-2026-45498: zwei Zero-Days unter aktiver Ausnutzung
Zusammenfassung: Microsoft bestätigt zwei aktiv ausgenutzte Schwachstellen im Defender-Stack. CVE-2026-41091 (CVSS 7.8) ermöglicht über eine fehlerhafte Symlink-Auflösung in der Malware Protection Engine eine lokale Privilegieneskalation auf SYSTEM. CVE-2026-45498 (CVSS 4.0) erlaubt einen Denial-of-Service der Defender-Komponente. Eine dritte verwandte Schwachstelle (CVE-2026-45584) ermöglicht Remote-Code-Execution in der Malware Protection Engine.
Hintergrund & Einordnung: Die Lücken wurden über das Wochenende von Huntress bestätigt, das Telemetrie aus Verwaltungs- und Bildungseinrichtungen vorlegt. CISA hat beide CVEs in den KEV-Katalog aufgenommen mit Patch-Frist 3. Juni 2026 für US-Bundesbehörden – ein praktikabler Orientierungswert auch für deutsche Großorganisationen. Defender ist auf Millionen Endpunkten in Deutschland im Einsatz; Updates erfolgen üblicherweise im Stunden-Takt, nicht jedoch in Air-Gapped-Umgebungen.
Praxisfolgen / Handlungsempfehlung: Microsoft Malware Protection Engine auf 1.1.26040.8 oder neuer und die Defender Antimalware-Plattform auf 4.18.26040.7 oder neuer aktualisieren. Über Intune oder den verwendeten Endpoint-Manager den Versionsstand verbindlich prüfen und Geräte ohne Update isolieren. SIEM-Regeln auf Defender-Telemetrie schärfen (Tamper-Protection-Ereignisse, plötzliche AV-Disable-Events). In Bildungs- und Verwaltungsumgebungen Awareness-Hinweis an IT-Personal versenden.
3.3 CISA KEV-Update vom 21.05.2026: Defender, Langflow, Apex One – plus Altbestand
Zusammenfassung: Die US-CISA hat ihren KEV-Katalog am 20. und 21. Mai um insgesamt neun Schwachstellen erweitert. Neben den beiden Defender-Lücken aus 3.2 sind das insbesondere CVE-2025-34291 (Langflow Origin Validation), CVE-2026-34926 (Trend Micro Apex One On-Prem Directory Traversal) sowie eine Reihe historischer Microsoft-Lücken (CVE-2008-4250, CVE-2009-1537, CVE-2009-3459, CVE-2010-0249, CVE-2010-0806), für die offenbar erneut aktive Ausnutzung dokumentiert wurde.
Hintergrund & Einordnung: Die Aufnahme von uralten Microsoft-Lücken zeigt, dass in noch immer betriebenen Legacy-Umgebungen weltweit Angriffe gegen IE-Use-After-Free-Schwachstellen und alte Windows-Buffer-Overflows aktiv stattfinden. Für deutsche Betreiber ist insbesondere die Langflow-Lücke relevant, weil das Tool zunehmend in AI-Engineering-Stacks eingesetzt wird; auch Trend Micro Apex One ist in vielen Mittelstandsumgebungen verbreitet.
Praxisfolgen / Handlungsempfehlung: KEV-Liste in den eigenen Patch-Reviewprozess integrieren. Langflow-Instanzen auf die fixed-Version aktualisieren, Apex One On-Prem-Server priorisiert patchen und Legacy-Windows-Systeme entweder isolieren oder kompensierende Maßnahmen wie Application-Whitelisting und virtuelles Patching einführen.
3.4 Apache HTTP Server 2.4.66: CVE-2026-23918 (HTTP/2 Double-Free) – Nachschau-Welle in deutschen Stacks
Zusammenfassung: Die seit 4. Mai gepatchte Schwachstelle CVE-2026-23918 in Apache HTTP Server 2.4.66 betrifft mod_http2 und entsteht im Stream-Cleanup-Pfad in h2_mplx.c. Ein einzelner HTTP/2-HEADERS-Frame gefolgt von einem RST_STREAM mit nicht-null Error-Code reicht aus, um Worker abstürzen zu lassen; abhängig vom Aufbau kann auch Remote-Code-Execution ausgelöst werden (CVSS 8.8). Patch liegt in 2.4.67 vor.
Hintergrund & Einordnung: Die Lücke ist nur ausnutzbar, wenn HTTP/2 aktiv ist – was bei Standardinstallationen mit geladenem mod_http2 jedoch der Default ist. In deutschen Hosting-Umgebungen und Web-Stacks von Mittelständlern bleibt der Patch-Rollout uneinheitlich; verschiedene Beobachter berichten weiterhin von signifikanten Anteilen unpatchter 2.4.66-Installationen.
Praxisfolgen / Handlungsempfehlung: Apache-HTTP-Server-Bestand inventarisieren, Versionsabfrage über `httpd -v` oder das Distro-Paket. Wer nicht sofort patchen kann, sollte HTTP/2 vorübergehend deaktivieren oder einen Reverse-Proxy vorschalten, der die HTTP/2-Terminierung übernimmt und vom Apache fernhält. Logs auf wiederholte RST_STREAM-Sequenzen und ungewöhnliche Worker-Crash-Muster monitoren.
3.5 Drupal Core CVE-2026-9082: SQL-Injection (PostgreSQL) jetzt in der Wildnis
Zusammenfassung: Die als „highly critical“ eingestufte Schwachstelle CVE-2026-9082 in Drupal Core (Versionen 8.9.0 bis 11.3.10 vor den Bugfix-Releases vom 20. Mai) erlaubt anonymen Angreifern auf PostgreSQL-Setups eine SQL-Injection, die in Einzelfällen zu Privilegieneskalation oder Remote-Code-Execution führen kann. Drupal bestätigt am 22. Mai erste in-the-wild-Exploit-Versuche.
Hintergrund & Einordnung: Drupal ist in deutschen Behörden, Hochschulen und größeren Verbänden traditionell stark verbreitet. PostgreSQL als Backend ist in NRW und Brandenburg überdurchschnittlich vertreten; die Kombination trifft also einen relevanten Anteil öffentlicher Web-Auftritte.
Praxisfolgen / Handlungsempfehlung: Upgrade auf die fixed-Versionen 10.4.10, 10.5.10, 10.6.9, 11.1.10, 11.2.12 oder 11.3.10 sofort einplanen. Wo das nicht binnen 48 Stunden möglich ist, Web-Application-Firewall-Regeln gegen typische SQL-Injection-Payloads aktivieren und administrative Endpunkte über IP-Allow-Listen einschränken. Anschließend forensische Suche nach unautorisierten Datenbankzugriffen.
3.6 BSI-CERT-Bund: weiteres Update zu Broadcom Automic Automation und Mozilla-Suite
Zusammenfassung: Das CERT-Bund des BSI hat am 20. und 22. Mai die hochkritischen Warnungen zu Broadcom Automic Automation Agent Unix (Privilegieneskalation), Linux Kernel „Dirty Frag“ und Mozilla Firefox/Thunderbird CVE-2026-8958 (Sandbox-Escape, CVSS 8.6) aktualisiert. Die Mozilla-Fixes liegen in Firefox 151, Firefox ESR 140.11, Thunderbird 151 und Thunderbird 140.11 vor.
Hintergrund & Einordnung: Browser- und Mail-Sandboxen sind zentrale Vertrauensanker in modernen Arbeitsumgebungen; eine erfolgreiche Sandbox-Escape-Lücke kann z. B. Anti-Tampering-Schutz untergraben. Broadcom Automic Automation ist in zahlreichen DAX-Umgebungen für Batch-Job-Steuerung im Einsatz und ein lukratives Ziel.
Praxisfolgen / Handlungsempfehlung: Mozilla-Browser über das verwendete Verteilsystem zwangsupdaten, Automic-Agenten gemäß Broadcom-Bulletin patchen und Linux-Kernel-Patches in das nächste turnusmäßige Wartungsfenster aufnehmen. Wo Browser noch im ESR-Zweig laufen, sicherstellen, dass auf 140.11 angehoben wurde.
4. Urteile
Im Bereich der Urteile dominiert der Europäische Gerichtshof: Mit der Brillen-Rottler-Entscheidung schränkt er den Missbrauch des Auskunftsrechts ein, und mit dem Meta-Platforms-Ireland-Urteil zur Presseverlags-Vergütung setzt er Leitplanken für den Plattformmarkt. Auf nationaler Ebene bleibt die Linie des BGH zum immateriellen Schadensersatz bestimmend.
4.1 EuGH 19.03.2026 – C-526/24 (Brillen Rottler): Missbräuchliche DSGVO-Auskunftsanträge
Sachverhalt: Ein Verbraucher hatte über einen Dienstleister koordinierte DSGVO-Auskunftsanträge an mehrere Unternehmen gestellt mit dem erklärten Ziel, Schadensersatzansprüche vorzubereiten. Die Brillen Rottler GmbH wies den Antrag als rechtsmissbräuchlich zurück; der BGH legte dem EuGH vor.
Entscheidung: Der EuGH stellt klar, dass auch ein erster Auskunftsantrag nach Art. 15 DSGVO als „offenkundig unbegründet oder exzessiv“ abgelehnt werden kann, wenn er erkennbar nicht in gutem Glauben gestellt wird. Die Beweislast für den Missbrauch trägt der Verantwortliche.
Begründungs-Kernpunkte: Der Gerichtshof betont das Schutzzweckverständnis des Auskunftsrechts (informierte Wahrnehmung weiterer Betroffenenrechte) und grenzt es von Anträgen ab, die ausschließlich der Generierung von Sekundärrechten dienen. Maßgeblich sind eine Gesamtwürdigung der Umstände und das Verhalten des Antragstellers.
Praxisfolgen: Unternehmen können bei klar dokumentiertem Missbrauchsverdacht (z. B. identische Massentexte über professionelle Plattformen, fehlende konkrete Bezugnahme) den Antrag begründet ablehnen. Dennoch bleibt die regulatorische Vorsicht geboten: Wer ablehnt, sollte den Vorgang revisionsfest dokumentieren und auf eine standardisierte Begründung zurückgreifen, die in Aufsichtsverfahren Bestand hat.
4.2 EuGH 12.05.2026 – C-797/23 (Meta Platforms Ireland): Vergütung für Presseverlage
Sachverhalt: Streitig war, ob nationale Vorschriften, die Presseverlagen einen Vergütungsanspruch gegen Online-Plattformen wie Meta einräumen, mit dem Unionsrecht vereinbar sind und wie sich solche Ansprüche zum DSGVO-Rahmen verhalten.
Entscheidung: Die Mitgliedstaaten dürfen Presseverlagen einen Vergütungsanspruch gegen Online-Plattformen einräumen. Die Vergütung muss als wirtschaftliche Gegenleistung für die Nutzungserlaubnis ausgestaltet sein; Verlage können die Erlaubnis verweigern oder unentgeltlich erteilen.
Begründungs-Kernpunkte: Der Gerichtshof grenzt urheberrechtliche Nutzungsentgelte von datenschutzrechtlichen Verarbeitungsfragen ab. Die Vergütung steht im Einklang mit Art. 15 DSM-Richtlinie und greift nicht in das DSGVO-Regime ein.
Praxisfolgen: Für deutsche Medienhäuser bestätigt das Urteil die rechtliche Tragfähigkeit von Vergütungsmodellen über Verwertungsgesellschaften. Plattform-Compliance-Abteilungen sollten ihre Lizenz- und Auskunftsstrukturen prüfen; datenschutzrechtliche Verarbeitungen für Werbung bleiben hiervon unberührt.
4.3 BGH-Linie zum immateriellen Schadensersatz wirkt in Instanzgerichten fort
Sachverhalt: Der BGH hat in mehreren Verfahren zu Facebook-Scraping und vergleichbaren Massen-Datenpannen die Voraussetzungen für immateriellen Schadensersatz nach Art. 82 DSGVO präzisiert. Ein konkreter Fall am LG Köln zu Gehaltsdaten und am LG Nürnberg-Fürth zu Auskunfteien greift diese Linie auf.
Entscheidung: Der bloße – auch kurzzeitige – Kontrollverlust über eigene personenbezogene Daten kann grundsätzlich einen immateriellen Schaden begründen. Erforderlich ist jedoch der Nachweis einer individuellen, spürbaren Betroffenheit.
Begründungs-Kernpunkte: Der BGH folgt der EuGH-Linie aus den Sachen Österreichische Post und VB v Natsionalna agentsia za prihodite, lehnt eine Erheblichkeitsschwelle ab, verlangt aber individuelle Darlegung. Eine pauschale Vermutung „Datenpanne = Schaden“ gibt es nicht.
Praxisfolgen: Unternehmen sollten bei Datenpannen Betroffene zeitnah informieren und konkrete Hilfsangebote machen (Passwortwechsel, Hinweise auf Phishing, ggf. Kreditbewertung), um spürbare Folgen zu verringern. Wer Schadensersatz erwägt, sollte konkrete Folgen wie Spam-Wellen, Identitätsdiebstahlversuche oder psychische Belastung dokumentieren.
4.4 KG Berlin 30.04.2026 – 20 VKl 1/25: DSGVO-Sammelklage SOMI ./. X unzulässig
Sachverhalt: Die qualifizierte Einrichtung SOMI hatte eine Sammelklage gegen die Plattform X auf Grundlage der DSGVO-Verbandsklage-Vorschriften erhoben. Streitig war u. a. die Reichweite der Aktivlegitimation und die Anforderungen an die individuelle Betroffenheit der vertretenen Personen.
Entscheidung: Das KG Berlin hält die Klage für unzulässig. Die Anforderungen an die qualifizierte Einrichtung und an die Bündelung gleichgerichteter Ansprüche seien nicht erfüllt.
Begründungs-Kernpunkte: Das Gericht betont die strengen Anforderungen an die Sammelklage nach VDuG und differenziert sorgfältig zwischen DSGVO-Auskunftsrechten und Schadensersatzansprüchen. Die Entscheidung wird in der Literatur als signifikante Bremse für DSGVO-Massenverfahren bewertet.
Praxisfolgen: Unternehmen, die sich Massenverfahren gegenübersehen, erhalten eine zusätzliche prozessuale Verteidigungsschiene. Verbraucherorganisationen werden ihre Klagestruktur überarbeiten müssen, um in Folgeverfahren bestehen zu können.
5. Bußgelder
Im Bußgeldgeschehen hallen das 45-Millionen-Bußgeld der BfDI gegen Vodafone und das 100-Millionen-Bußgeld gegen Yango weiter nach. Die Berliner Aufsichtsbehörde hat zudem ihre Linie zur Auftragsverarbeiterkontrolle mit der BVG-Verwarnung konkretisiert. Damit zeichnet sich europaweit eine Tendenz zu höheren Sanktionen ab – ein Trend, den die Aufsichtsbehörden mit Verweis auf NIS-2 und den AI Act ausdrücklich verteidigen.
5.1 BfDI-Bußgeld Vodafone: 45 Mio. Euro – Bestätigung im 34. Tätigkeitsbericht
Behörde: BfDI · Adressat: Vodafone GmbH · Höhe: 45 Mio. EUR (15 Mio. + 30 Mio.)
Verstoß / Rechtsgrundlage: Art. 28 DSGVO (Auftragsverarbeiterkontrolle) und Art. 32 DSGVO (Sicherheit der Verarbeitung). Konkret: mangelhafte Aufsicht über Auftragsverarbeiter und unzureichend abgesicherter eSIM-Authentifizierungsprozess im Kundenportal MeinVodafone.
Begründung: Die BfDI sieht in der mangelnden tatsächlichen Aufsicht über Auftragsverarbeiter sowie in fehlenden technisch-organisatorischen Maßnahmen für sicherheitskritische Self-Service-Funktionen schwerwiegende, vermeidbare Versäumnisse. Vodafone hat im Verfahren kooperiert und Verbesserungen zugesagt.
Praxisfolgen: Unternehmen mit großem Auftragsverarbeiter-Portfolio sollten ihre Kontrollprozesse über Self-Assessments hinaus auf stichprobenartige technische Audits ausweiten. Self-Service-Funktionen für sensible Vorgänge (eSIM, Adressänderung, Bankdaten) müssen zwingend mehrstufig abgesichert sein.
5.2 Yango: 100 Mio. Euro wegen Datentransfers nach Russland
Behörde: finnische Datenschutzbehörde (für die EU koordiniert) · Adressat: Yango (Yandex-Mobilitätsdienste) · Höhe: 100 Mio. EUR
Verstoß / Rechtsgrundlage: Art. 44 ff. DSGVO (Drittlandtransfer); Verstoß gegen die Anforderungen an Datentransfers in Drittländer ohne adäquates Schutzniveau, konkret in die Russische Föderation.
Begründung: Die Aufsichtsbehörde sieht die Übermittlung umfangreicher Standort- und Mobilitätsdaten nach Russland ohne tragfähige Rechtsgrundlage. Standardvertragsklauseln und Transfer Impact Assessments wurden als unzureichend bewertet.
Praxisfolgen: Verantwortliche mit Tochtergesellschaften oder Dienstleistern in Drittländern ohne Angemessenheitsbeschluss sollten Transfer Impact Assessments mit Blick auf neueste Lageeinschätzungen aktualisieren. Mobilitäts- und IoT-Diensteanbieter geraten besonders in den Fokus, weil sie kontinuierlich hochfrequente Geodaten verarbeiten.
5.3 BlnBDI verwarnt BVG wegen Datenpanne beim Auftragsverarbeiter
Behörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit · Adressat: Berliner Verkehrsbetriebe AöR · Höhe: Verwarnung (kein Bußgeld)
Verstoß / Rechtsgrundlage: Art. 28 DSGVO (Auftragsverarbeitung) und Art. 33 DSGVO (Meldepflicht). Die BVG hatte sich beim Dienstleister auf vertragliche Zusicherungen verlassen, ohne die tatsächliche Datenlöschung zu prüfen; die Meldung an die Aufsichtsbehörde erfolgte verspätet.
Begründung: Die Aufsicht wertet das Verhalten als systematisches Defizit in der Auftragsverarbeiter-Kontrolle, sieht aber Kooperationsbereitschaft und entscheidet sich für eine Verwarnung mit Auflagen.
Praxisfolgen: Kommunale und ÖPNV-Verantwortliche sollten ihre Lösch-Nachweise vertraglich verbindlich, technisch überprüfbar und mit Stichproben unterlegt einfordern. Die Verwarnung dient als Blaupause auch für andere Verkehrs- und Versorgungsbetriebe.
6. Cyber-Sicherheit
Die Bedrohungslage für KRITIS und mittelständische Strukturen bleibt angespannt. Phishing-Wellen mit deutschen Behörden- und Marken-Identitäten laufen weiter, die Bundesnetzagentur warnt vor gefälschten EEG-Briefen, und der jüngste BKA-Lagebericht Cybercrime untermauert das Bild: mehr Fälle, höherer Schaden, professionellere Tätergruppen. Microsofts Aktion gegen den Malware-Signing-Dienst „Fox Tempest“ zeigt zugleich, dass Defenderseite und Strafverfolgung enger kooperieren.
6.1 Phishing-Welle „Rundfunkbeitrag“: IBAN führt nach Spanien
Zusammenfassung: Seit dem 11. Mai zirkulieren E-Mails im Layout offizieller Bescheide des Beitragsservice. Empfänger werden zur Überweisung eines vermeintlich offenen Betrags aufgefordert; die genannte IBAN führt zu einer Niederlassung einer spanischen Bank in Deutschland und nicht zum Beitragsservice.
Hintergrund & Einordnung: Die Welle reiht sich in das Muster der „Authority-Spoofing“-Kampagnen ein, die mit echten Behördennamen Druck aufbauen. Die in den E-Mails angegebenen IBANs werden binnen Stunden ausgetauscht, weshalb Blockierungen einzelner Konten nur kurzfristig greifen.
Praxisfolgen / Handlungsempfehlung: Hinweise in interne Awareness-Kanäle aufnehmen, betroffene Mitarbeitende auf die Online-Authentizitätsprüfung des Beitragsservice verweisen und in der Cybercrime-Prävention den klaren Hinweis kommunizieren, dass öffentliche Stellen Zahlungsaufforderungen postalisch versenden und niemals Instant-Überweisungen verlangen.
6.2 Phishing „Deutschlandticket“ und „Deutsche Rentenversicherung“
Zusammenfassung: Zwei weitere Wellen kursieren parallel: eine Mail mit dem Betreff „Letzte Zahlungsaufforderung: Deutschland Ticket“ und eine Variante im Namen der Deutschen Rentenversicherung. Beide Wellen drängen auf Sofort-Überweisungen oder Direktzahlung über externe Links.
Hintergrund & Einordnung: Die Kampagnen nutzen reale Touchpoints aus dem Alltag vieler Bürgerinnen und Bürger (ÖPNV-Abo, Rentenbescheide) und sind professionell übersetzt. Sie folgen der gleichen Infrastruktur wie die GEZ-Variante.
Praxisfolgen / Handlungsempfehlung: In Awareness-Kampagnen Beispiele beider Wellen zeigen, Phishing-Reporting-Knöpfe in Outlook/M365 sicher konfigurieren und Beschäftigten verdeutlichen, dass weder die Verkehrsverbünde noch die Rentenversicherung Zahlungen per Instant-Überweisung über E-Mail-Links abwickeln.
6.3 BKA-Bundeslagebild Cybercrime 2025: 335.000 Fälle, 202 Mrd. Euro Schaden
Zusammenfassung: Das BKA hat das Bundeslagebild Cybercrime 2025 vorgelegt: 335.000 polizeilich erfasste Fälle, geschätzte Schadenshöhe rund 202 Mrd. Euro. Auslandsfälle und Ransomware-Vorfälle dominieren erneut; die Aufklärungsquote bleibt im einstelligen Prozentbereich.
Hintergrund & Einordnung: Das Lagebild bestätigt die Wahrnehmung der CISOs, dass die Bedrohung in den vergangenen Jahren professionalisierter und arbeitsteiliger geworden ist. Phishing, ID-Theft und Initial-Access-Brokerage bilden zusammen einen klar ausdifferenzierten Markt.
Praxisfolgen / Handlungsempfehlung: CISOs sollten die im Lagebild benannten Top-Tätergruppen mit den eigenen Threat-Profilen abgleichen und das Reporting an Geschäftsführungen mit den BKA-Kennzahlen anreichern. Auch im NIS-2-Kontext liefert das Lagebild verwendbare Begründungen für Investitionsentscheidungen.
6.4 „Fox Tempest“-Operation: Microsoft zerschlägt Malware-Signing-Service
Zusammenfassung: Microsoft Threat Intelligence hat gemeinsam mit Strafverfolgungsbehörden den Malware-Signing-Service „Fox Tempest“ (intern OpFauxSign) unterbrochen. Der Dienst hatte Angreifern auf Bestellung gültige Code-Signing-Zertifikate zur Tarnung ihrer Schadsoftware angeboten.
Hintergrund & Einordnung: Die Verfügbarkeit signierter Schadsoftware verkürzt die Detektionsgeschwindigkeit erheblich, weil sie in vielen EDR- und Application-Control-Regeln zunächst durchgewinkt wird. Die Aktion verbessert die Lage spürbar, ersetzt aber kein Application-Whitelisting.
Praxisfolgen / Handlungsempfehlung: In der eigenen Code-Signing-Allowlist überprüfen, ob fragwürdige Aussteller in den vergangenen Monaten aufgetaucht sind. EDR-Regeln um die von Microsoft veröffentlichten Indikatoren erweitern und die Telemetrie auf neu signierte, aber selten vorkommende Binärdateien anpassen.
Ausblick / Termine
- 28.05.2026: heise security Tour 2026 – Station Hamburg (Schwerpunkte Supply-Chain-Security, Identity, KI).
- 03.06.2026: CISA-Patch-Frist für CVE-2026-41091 und CVE-2026-45498 (Microsoft Defender) für US-Bundesbehörden – Orientierungswert für deutsche Großorganisationen.
- 10.06.2026: Nächster Microsoft Patch Tuesday – mit Folge-Updates für Defender und Exchange erwartet.
- 11.06.2026: heise security Tour 2026 – Station Stuttgart.
- Ende Juni: EDSA-Plenarsitzung mit erwarteten Leitlinien zu KI-Trainingsdaten und Auftragsverarbeitung im Cloud-Kontext.
Methodik
Stichtag dieses Briefings ist Montag, 25. Mai 2026, 07:00 Uhr MESZ. Es wurden bevorzugt deutsche Primärquellen (BfDI, BSI/CERT-Bund, Landesdatenschutzbehörden, Gerichte) und etablierte Fachmedien (heise Security, Dr. Datenschutz, datenschutz-notizen, LTO) ausgewertet; ergänzend wurden internationale Quellen wie CISA, BleepingComputer, The Hacker News und SecurityWeek herangezogen und sinngemäß ins Deutsche übertragen. Inhalte ohne belastbare Primärquelle wurden bewusst nicht aufgenommen. Das Briefing ersetzt keine Rechts- oder IT-Sicherheitsberatung im Einzelfall; verbindliche Entscheidungen sollten unter Hinzuziehung der eigenen Datenschutz- und Sicherheitsverantwortlichen sowie ggf. fachlicher Beratung getroffen werden.
Quellenverzeichnis
- CISA – Adds Two Known Exploited Vulnerabilities (21.05.2026)
- CISA – Adds Seven Known Exploited Vulnerabilities (20.05.2026)
- CISA Known Exploited Vulnerabilities Catalog
- Help Net Security – Microsoft Defender CVE-2026-41091 & CVE-2026-45498
- BleepingComputer – Microsoft Warnt vor Defender Zero-Days
- SecurityWeek – Cisco Patches Critical Vulnerability in Secure Workload
- CVEFeed – CVE-2026-20223 Cisco Secure Workload
- The Hacker News – Apache HTTP/2 CVE-2026-23918
- UC Berkeley ISO – Apache CVE-2026-23918
- Drupal Security Advisory SA-CORE-2026-004
- The Hacker News – Drupal Urgent Core Security Updates
- BSI CERT-Bund – Warn- und Informationsdienst
- BSI – Cyber-Sicherheitswarnungen
- Mozilla Security Advisories
- Deutsches Ärzteblatt – Cyberangriff auf Uniklinik-Daten
- Universitätsklinikum Heidelberg – Newsroom-Mitteilung
- Freiburg-Nachrichten – Cyberangriff auf Dienstleister Uniklinik Freiburg
- SC Media – Panasonic Avionics Data Breach
- Breachsense – Data Breaches May 2026
- Malwarebytes – ShinyHunters Education Cyberattack
- Bitdefender – FBI warnt vor ShinyHunters/Canvas
- LTO – EuGH C-526/24 Brillen Rottler
- de lege data – EuGH zum Missbrauch des Auskunftsrechts
- Haufe – DSGVO-Auskunftsrecht: EuGH zu „DSGVO-Hopping“
- CURIA – EuGH-Datenbank
- Dr. Datenschutz – BGH-Urteil Schadensersatz Kontrollverlust
- LTO – BGH zu Schaden nach der DSGVO
- Dr. Datenschutz – 34. Tätigkeitsbericht der BfDI
- Datenschutzkanzlei – Bußgeld-Radar
- Berliner Beauftragte für Datenschutz und Informationsfreiheit
- Berliner Zeitung – Phishing-Welle Rundfunkbeitrag
- Verbraucherzentrale – Phishing-Radar
- ms-aktuell.de – Phishing-Welle Mai 2026 GEZ
- BKA – Bundeslagebild Cybercrime 2025
- Stiftung Datenschutz – DatenschutzWoche 18.05.2026
- Dr. Datenschutz – Shortnews KW 20
- BfDI – Bundesbeauftragte für Datenschutz und Informationsfreiheit
- LDI Nordrhein-Westfalen
- heise security