Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- KI-Suchantworten können falsch über Sie sein – und das ist jetzt justiziabel. Das Landgericht München I hat entschieden, dass Google für unwahre Behauptungen in seiner „Übersicht mit KI“ haftet. Wer in einer KI-Antwort fälschlich mit Betrug oder unseriösen Praktiken in Verbindung gebracht wird, kann dagegen vorgehen – für Selbstständige und Unternehmen ein wichtiges neues Werkzeug.
- „Ablehnen“ muss so leicht sein wie „Akzeptieren“. Ein Gericht hat ein Cookie-Banner beanstandet, dessen Ablehnen-Optionen optisch versteckt waren. Als Nutzerin oder Nutzer dürfen Sie sich nicht durch auffällige „Alles akzeptieren“-Buttons drängen lassen; als Website-Betreiber sollten Sie Ihr Banner heute prüfen.
- Phishing erkennen Sie nicht mehr an Rechtschreibfehlern. Laut aktuellem BSI-Cybersicherheitsmonitor sind die meisten Phishing-Mails inzwischen KI-generiert – fehlerfrei, persönlich, ohne die alten Warnzeichen. Prüfen Sie Absender und Links, nicht den Schreibstil.
Aktuelle Phishing- und Betrugswellen
Die Bedrohungslage bei Phishing hat sich qualitativ verschoben: Der aktuelle BSI-Cybersicherheitsmonitor 2026 weist aus, dass ein Großteil der Phishing-Angriffe inzwischen mit KI-Textgeneratoren erstellt wird. Die klassischen Erkennungsmerkmale – holprige Anrede, Rechtschreibfehler, generische Betreffzeilen – verschwinden damit. Gleichzeitig sinkt die Einstiegshürde für Täter, weil fertige Phishing-Baukästen mit personalisierten Mails günstiger sind als ein Streaming-Abo.
Für den Alltag heißt das: Verlassen Sie sich nicht mehr auf den „Bauchgefühl“-Test einer schlecht geschriebenen Mail. Prüfen Sie stattdessen die Absenderadresse im Detail, fahren Sie Links vor dem Klick an, um das tatsächliche Ziel zu sehen, und geben Sie Zugangsdaten grundsätzlich nicht über einen Mail-Link ein, sondern rufen Sie die Seite des Anbieters selbst auf. Bei vermeintlichen Nachrichten von Bank, Bezahldienst oder Behörde gilt: im Zweifel über den offiziellen, selbst eingegebenen Weg gegenprüfen.
Was war los?
Im Berichtszeitraum standen vor allem aktiv ausgenutzte Software-Schwachstellen im Vordergrund. Die kriminelle Gruppe ShinyHunters griff eine kritische Lücke in Oracle PeopleSoft an, kurz nachdem diese bekannt wurde – betroffen sind vor allem Unternehmen, die diese Personalverwaltungs-Software einsetzen. Zudem wurde in der weit verbreiteten Forensoftware phpBB eine kritische Lücke entdeckt, über die sich mit jedem angelegten Konto Zugang verschaffen lässt; Betreiber von Foren sollten dringend aktualisieren.
International sorgte ein Cyberangriff auf staatliche Banken im Iran für landesweite Störungen im Online-Zahlungsverkehr – ein weiteres Beispiel dafür, wie digitale Angriffe kritische Infrastruktur treffen. Für Privatpersonen in Deutschland sind diese Vorfälle vor allem ein Anlass, eigene Software und Konten konsequent aktuell und mit starken, einmaligen Passwörtern abzusichern.
Was sich rechtlich geändert hat
Gleich zwei Entscheidungen betreffen den digitalen Alltag unmittelbar: Das LG München I hat Google für falsche Aussagen in KI-generierten Suchübersichten haftbar gemacht, und ein österreichisches Gericht hat klargestellt, dass Cookie-Banner ihre Ablehnen-Option nicht optisch verstecken dürfen. Beide Entscheidungen stärken die Position der Betroffenen gegenüber großen Plattformen.
Hinzu kommt eine Grundsatzfrage für Unternehmen: Die Bundesregierung hat angekündigt, die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten (§ 38 BDSG) bis Ende 2026 zu überprüfen. Für viele kleinere Betriebe könnte sich hier etwas bewegen – endgültig entschieden ist aber noch nichts.
IT-Detailansicht für Fachpublikum
Im Folgenden die fachliche Lage des Tages: Top-Themen der Woche, Management Summary, Handlungsempfehlungen sowie die sechs Kapitel Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder und Cyber-Sicherheit, gefolgt von Ausblick, Methodik und Quellenverzeichnis.
Top-Themen der Woche
1. Plattform-Haftung für KI-generierte Inhalte nimmt Konturen an
Mit dem Urteil des LG München I zur „Übersicht mit KI“ verdichtet sich eine Rechtsprechungslinie, die Betreibern generativer KI-Funktionen die volle Verantwortung für deren Aussagen zuweist (nach LG Frankfurt a.M. und LG Hamburg).
Letzte Entwicklung: Google haftet als unmittelbarer Störer für unwahre Tatsachenbehauptungen in AI Overviews; Ordnungsgeld bis 250.000 EUR angedroht. Einstweilige Verfügung, nicht rechtskräftig.
2. Aktiv ausgenutzte Schwachstellen in Unternehmenssoftware
Mehrere kritische Lücken werden derzeit aktiv angegriffen oder sind trivial ausnutzbar.
Letzte Entwicklung: ShinyHunters attackiert Oracle PeopleSoft; in phpBB ermöglicht eine kritische Lücke Kontoübernahme/Kompromittierung.
Management Summary
Die technische Lage des Tages ist von aktiv ausgenutzten oder trivial ausnutzbaren Schwachstellen geprägt. Die Gruppe ShinyHunters greift eine kritische Lücke in Oracle PeopleSoft an, und in der Forensoftware phpBB wurde eine kritische Schwachstelle entdeckt, die mit jedem angelegten Konto eine Kompromittierung erlaubt. Parallel rückt die Sicherheit KI-gestützter Entwicklerwerkzeuge in den Fokus: Sicherheitsforscher von Mitiga Labs beschreiben, wie sich über Claude Code mit einem zweckentfremdeten MCP-Token Aktionen ausführen lassen, die in Protokollen wie legitime Nutzeraktivität aussehen – Anthropic stuft den Fall bislang als „out of scope“ ein. Ein Cyberangriff auf staatliche Banken im Iran störte landesweit den Zahlungsverkehr. Über allem steht eine durch KI verschärfte Phishing-Lage: Der BSI-Cybersicherheitsmonitor 2026 weist einen hohen Anteil KI-generierter Phishing-Mails aus, womit die klassischen Erkennungsmerkmale entfallen.
Datenschutz- und rechtsseitig dominiert die Haftung für KI-Ausgaben: Das LG München I hat Google als unmittelbaren Störer für unwahre Tatsachenbehauptungen in der „Übersicht mit KI“ verurteilt und das Suchmaschinen-Haftungsprivileg für eigenständig generierte KI-Inhalte verneint. Das österreichische Bundesverwaltungsgericht erklärte ungleichwertig gestaltete Cookie-Banner für unzulässig, weil „Nudging“ die Freiwilligkeit der Einwilligung untergräbt. Der BGH stellte klar, dass § 42 ZVG Akteneinsicht in Zwangsversteigerungsverfahren ohne vorherige Schwärzung erlaubt (Art. 6 Abs. 1 lit. e DSGVO), die Inhalte aber nicht weiterverbreitet werden dürfen. Hinzu kommen der erste Leitlinien-Entwurf der EU-Kommission zum Cyber Resilience Act und die angekündigte Überprüfung der DSB-Pflicht nach § 38 BDSG.
Die wichtigsten Punkte im Überblick
- LG München I: Google haftet als Störer für falsche Aussagen in KI-Suchübersichten (26 O 869/26).
- ÖBVwG: Cookie-Banner-Optionen müssen visuell gleichwertig sein (W171 2303402-1/7E).
- BGH: Akteneinsicht in der Zwangsversteigerung ohne Schwärzung, aber mit Weiterverbreitungsverbot (V ZB 90/25).
- phpBB: kritische Schwachstelle ermöglicht Kompromittierung – zeitnah patchen.
- Oracle PeopleSoft: ShinyHunters nutzt kritische Lücke aktiv aus.
- Claude Code: zweckentfremdeter MCP-Token als unsichtbare Angriffsfläche (Mitiga Labs).
- EU-Kommission: erster Leitlinien-Entwurf zum Cyber Resilience Act (66 Seiten).
- § 38 BDSG: Überprüfung der DSB-Pflicht bis Ende 2026 angekündigt.
Top-Risiken – Handlungsempfehlungen für heute
- phpBB-Instanzen aktualisieren – die kritische Lücke erlaubt Kompromittierung über ein einfaches Konto.
- Oracle PeopleSoft patchen / prüfen – aktive Ausnutzung durch ShinyHunters; Exposition und Logs kontrollieren.
- KI-Entwicklerwerkzeuge härten – Tokens, MCP-Berechtigungen und Trust-Entscheidungen restriktiv setzen, nicht-vertrauenswürdige Repositories meiden.
- Cookie-Banner auf Gleichwertigkeit prüfen – „Ablehnen“ gleich prominent wie „Akzeptieren“, keine Versteck-Klickpfade.
- Phishing-Awareness aktualisieren – weg von „Tippfehler erkennen“, hin zu Absender-/Link-/Prozessprüfung.
1. Datenschutz
Im Datenschutz bewegt sich die strukturelle Lage: Eine mögliche Entlastung kleinerer Unternehmen bei der DSB-Pflicht steht im Raum, während die Aufsichts- und Gerichtspraxis bei Einwilligung und KI-Ausgaben strenger wird.
1.1 § 38 BDSG: Überprüfung der Pflicht zum Datenschutzbeauftragten bis Ende 2026
Zusammenfassung: Die Bundesregierung hat in ihrer Föderalen Modernisierungsagenda angekündigt, § 38 Abs. 1 BDSG – die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten ab 20 ständig mit automatisierter Verarbeitung befassten Personen – bis Ende 2026 zu überprüfen.
Hintergrund & Einordnung: Die deutsche Sonderregelung geht über die DSGVO-Vorgaben hinaus, die einen DSB nur unter engeren Voraussetzungen (Art. 37 DSGVO) verlangt. Eine Anhebung der Schwelle würde kleinere Betriebe entlasten, aber die organisatorische Verankerung des Datenschutzes schwächen.
Praxisfolgen / Handlungsempfehlung: Noch ist nichts entschieden – die DSB-Pflicht gilt unverändert fort. Keine voreiligen Abbestellungen; die materiellen DSGVO-Pflichten bleiben unabhängig vom DSB bestehen.
2. Datensicherheit
Auf regulatorischer Ebene konkretisiert sich der Cyber Resilience Act, parallel wird über Sicherheitsanforderungen an importierte Netzwerktechnik diskutiert.
2.1 EU-Kommission veröffentlicht ersten Leitlinien-Entwurf zum Cyber Resilience Act
Zusammenfassung: Die Europäische Kommission hat einen ersten, rund 66-seitigen Entwurf für Leitlinien zur praktischen Anwendung des Cyber Resilience Act (CRA) vorgelegt, der Umsetzungsfragen für Hersteller von Produkten mit digitalen Elementen beantwortet.
Hintergrund & Einordnung: Der CRA verpflichtet Hersteller über den gesamten Produktlebenszyklus zu Security-by-Design, Schwachstellenmanagement und Update-Bereitstellung. Die Leitlinien sind die erste offizielle Auslegungshilfe.
Praxisfolgen / Handlungsempfehlung: Hersteller und Inverkehrbringer digitaler Produkte sollten den Entwurf gegen ihre Produkt- und Update-Prozesse spiegeln und die Konsultationsphase nutzen.
2.2 Routerhersteller fordern Kontrolle importierter Geräte
Zusammenfassung: Während für den 5G-Mobilfunk EU-Sicherheitsvorschriften zur Spionageabwehr gelten, fehlen vergleichbare Regeln für Heimnetz-Geräte. Routerhersteller fordern nun eine Kontrolle importierter Geräte.
Hintergrund & Einordnung: Heimrouter und IoT-Geräte sind ein wiederkehrendes Einfallstor; ohne Mindestanforderungen an importierte Hardware bleibt eine Lücke in der Lieferkette. Der CRA adressiert dies mittelfristig.
Praxisfolgen / Handlungsempfehlung: Eigenverantwortung bleibt: Geräte mit Update-Versorgung kaufen, Firmware aktuell halten, Geräte ohne Hersteller-Support austauschen.
3. IT-Sicherheit
Mehrere kritische Schwachstellen prägen den Tag – teils aktiv ausgenutzt, teils trivial ausnutzbar. Neu im Bild: die Sicherheit KI-gestützter Entwicklerwerkzeuge.
3.1 phpBB: Kritische Sicherheitslücke ermöglicht Kompromittierung
Zusammenfassung: In der weit verbreiteten Forensoftware phpBB haben Forscher eine kritische Schwachstelle gefunden, die mit jedem angelegten Konto eine Kompromittierung ermöglicht.
Hintergrund & Einordnung: phpBB betreibt zahllose Community-Foren; eine niederschwellig ausnutzbare Lücke ist attraktiv für Massen-Scans und Übernahmen.
Praxisfolgen / Handlungsempfehlung: Umgehend auf die gepatchte Version aktualisieren, Konten und Rechte prüfen, ungenutzte Registrierungen einschränken.
3.2 ShinyHunters attackiert Oracle-PeopleSoft-Schwachstelle
Zusammenfassung: Die kriminelle Gruppe ShinyHunters greift eine kritische Sicherheitslücke in Oracle PeopleSoft an, die zum Wochenende bekannt wurde.
Hintergrund & Einordnung: PeopleSoft verwaltet Personal- und Finanzdaten; eine aktiv ausgenutzte Lücke bedeutet konkretes Datenabfluss- und Erpressungsrisiko. ShinyHunters ist für großvolumige Datendiebstähle bekannt.
Praxisfolgen / Handlungsempfehlung: Verfügbare Patches sofort einspielen, exponierte Instanzen absichern, Logs auf Ausnutzung prüfen, Meldepflichten (Art. 33 DSGVO) bewerten.
3.3 Claude Code: zweckentfremdeter MCP-Token als unsichtbare Angriffsfläche
Zusammenfassung: Sicherheitsforscher von Mitiga Labs beschreiben ein Szenario, in dem über Claude Code Abfragen mit einem MCP-Token ausgeführt werden, den der Nutzer für andere Zwecke autorisiert hatte – in den Protokollen sieht das wie legitime Aktivität aus. Anthropic stuft den Fall bislang als „out of scope“ ein.
Hintergrund & Einordnung: KI-Entwicklungswerkzeuge mit weitreichenden Berechtigungen werden zur neuen Angriffsfläche. Frühere, von Check Point Research gemeldete Lücken (RCE über Konfigurations-Hooks, API-Key-Extraktion) wurden gepatcht; das Vertrauens-/Token-Problem zeigt die strukturelle Dimension.
Praxisfolgen / Handlungsempfehlung: MCP-Berechtigungen und Tokens nach Least-Privilege vergeben, Trust-Entscheidungen dokumentieren und prüfen, nicht-vertrauenswürdige Repositories nicht in KI-Tools öffnen, Tool-Aktivität gesondert auditieren.
4. Urteile
Drei frische Entscheidungen mit hoher Praxisrelevanz – jeweils mit ausführlicher Aufbereitung in der CSA-Urteilsbibliothek.
4.1 LG München I: Google haftet als Störer für KI-Suchübersichten
Sachverhalt: Ein Verlag und seine Tochter wurden in Googles „Übersicht mit KI“ fälschlich mit Betrugsmaschen und Abo-Fallen in Verbindung gebracht; die Vorwürfe waren unwahr und durch Googles eigene Quellen nicht gedeckt.
Entscheidung: Google haftet als unmittelbarer Störer; Unterlassung, Ordnungsgeld bis 250.000 EUR je Zuwiderhandlung, rund 80 % der Kosten zulasten Googles. Einstweilige Verfügung, nicht rechtskräftig.
Begründungs-Kernpunkte: Eine KI-Übersicht, die eine eigenständige, affirmative Antwort formuliert, ist ein dem Betreiber zurechenbarer eigener Inhalt – kein bloßer Suchtreffer. Das Suchmaschinen-Haftungsprivileg und das Notice-and-take-down-Regime (auch Art. 6 Abs. 1 DSA) greifen nicht; die KI-Funktion ist ein nicht zwingend erforderliches Zusatzangebot.
Praxisfolgen: Jedes Unternehmen kann betroffen sein, dessen Name in einer KI-Antwort mit fremden Vorwürfen vermengt wird. Der Klageweg funktioniert; KI-Governance und Äußerungsrecht rücken zusammen.
4.2 ÖBVwG: Cookie-Banner-Optionen müssen gleichwertig sein
Sachverhalt: Ein Cookie-Banner hob „Alle akzeptieren“ farblich hervor, während die Ablehn-/Präferenz-Optionen visuell zurückhaltend gestaltet waren.
Entscheidung: Die ungleichwertige Gestaltung ist unzulässig; es lässt sich nicht mehr sicher feststellen, ob die Einwilligung freiwillig erfolgt.
Begründungs-Kernpunkte: Freiwilligkeit nach Art. 4 Nr. 11 DSGVO setzt eine „echte und freie Wahl“ voraus (ErwG 42). Gezieltes „Nudging“ über Farbe, Kontrast oder Platzierung kompromittiert sie und macht die Einwilligung unwirksam.
Praxisfolgen: Zustimmen und Ablehnen müssen gleichwertig (Größe, Farbe, Kontrast, Schrift) und gleich erreichbar sein; Scrollen/Weitersurfen ist keine Einwilligung. Für DACH-Website-Betreiber unmittelbar relevant.
4.3 BGH: Akteneinsicht in der Zwangsversteigerung ohne Schwärzung
Sachverhalt: Streit über die Frage, ob bei Akteneinsicht im Zwangsversteigerungsverfahren personenbezogene Daten vorher zu schwärzen sind.
Entscheidung: § 42 ZVG gestattet jedem die Einsicht ohne vorherige Schwärzung; Rechtsgrundlage ist Art. 6 Abs. 1 UAbs. 1 lit. e DSGVO. Die Vorinstanzen wurden aufgehoben.
Begründungs-Kernpunkte: Das gesetzliche Einsichtsrecht ist eine Verarbeitungsbefugnis im öffentlichen Interesse; ein pauschaler Schwärzungsanspruch besteht nicht. Der Schutz wird über die Verwendung gesichert: Weiterverbreitung und zweckfremde Übermittlung bleiben nach § 299 Abs. 4 Satz 2 ZPO i.V.m. § 869 ZPO untersagt.
Praxisfolgen: Vollstreckungsgerichte müssen nicht vorab anonymisieren; Einsichtnehmende dürfen die Daten nur verfahrensbezogen nutzen.
5. Bußgelder
Für den heutigen Berichtszeitraum liegt keine neue Bußgeldentscheidung mit belastbarer Primärquelle vor. Laufende Verfahren (u. a. das zuletzt berichtete Deutsche-Wohnen-Bußgeld) werden bei materiell neuer Entwicklung wieder aufgegriffen – heute kein neuer Sachverhalt.
6. Cyber-Sicherheit
Geopolitisch motivierte Angriffe auf Finanzinfrastruktur und eine KI-getriebene Phishing-Industrialisierung prägen die Lage.
6.1 Cyberangriff auf staatliche Banken im Iran
Zusammenfassung: Ein Hackerangriff auf staatliche Banken im Iran hat den Online-Zahlungsverkehr landesweit gestört – ein weiterer Schlag gegen eine ohnehin fragile Infrastruktur.
Hintergrund & Einordnung: Angriffe auf Finanz- und Zahlungsinfrastruktur haben unmittelbare gesellschaftliche Wirkung und sind zunehmend Teil geopolitischer Auseinandersetzungen.
Praxisfolgen / Handlungsempfehlung: Für deutsche Organisationen Anlass, Notfall- und Wiederanlaufpläne (auch für Zahlungs-/Kernprozesse) und die Abhängigkeit von einzelnen Dienstleistern zu prüfen.
6.2 BSI-Cybersicherheitsmonitor 2026: KI-getriebene Phishing-Lage
Zusammenfassung: Der BSI-Cybersicherheitsmonitor 2026 zeigt eine deutliche Verschärfung: Ein Großteil der Phishing-Angriffe ist KI-generiert, klassische Erkennungsmerkmale entfallen, und die Einstiegshürde für Täter sinkt.
Hintergrund & Einordnung: Phishing und Datenlecks gelten dem BSI zufolge als größte Bedrohung für Verbraucher. Angreifer wählen die einfachsten, nicht die größten Ziele – KMU und Privatpersonen geraten in den Fokus.
Praxisfolgen / Handlungsempfehlung: Awareness-Schulungen inhaltlich aktualisieren (Absender-/Link-/Prozessprüfung statt „Tippfehler“), Phishing-resistente MFA einführen, Meldewege niedrigschwellig gestalten.
Ausblick / Termine
- 16.06.2026: Webinar „IT auf Knopfdruck: Private & Distributed Cloud“ (IT-Business), 15:00 Uhr.
- Laufend: Konsultationsphase zum CRA-Leitlinien-Entwurf der EU-Kommission – Rückmeldungen für Hersteller digitaler Produkte sinnvoll.
- Bis Ende 2026: Angekündigte Überprüfung der DSB-Pflicht nach § 38 BDSG beobachten.
Methodik
Stichtag dieses Briefings ist Dienstag, der 16. Juni 2026; berücksichtigt werden Meldungen der vorangegangenen Tage. Bevorzugt werden Primärquellen (Gerichte mit Aktenzeichen, Behörden, BSI) sowie etablierte Fachmedien; eingegangene Fachnewsletter und Hinweise (u. a. INFOLAW/ITM Münster, heise, Dr. Datenschutz) wurden als Ergänzung gegen Primär- bzw. Fachquellen geprüft. Englischsprachige Quellen wurden übersetzt, Originallinks beibehalten. Das Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.
Quellenverzeichnis
- beck-aktuell – LG München I, 26 O 869/26: Google haftet für KI-Suchübersicht
- LTO – LG München I: Google muss für KI-Gerüchte gerade stehen
- WBS.LEGAL – Google haftet für falsche Antworten in der KI-Suche
- Dr. Datenschutz – ÖBVwG: Cookie-Banner-Optionen müssen gleichwertig sein
- BGH, Beschluss vom 21.05.2026 – V ZB 90/25 (Volltext-PDF)
- heise online – phpBB: Kritische Sicherheitslücke ermöglicht Kompromittierung
- heise Security – ShinyHunters attackiert Oracle-PeopleSoft-Schwachstelle
- Computerwoche – Claude Code hat ein Sicherheitsproblem
- Dr. Datenschutz – Cyber Resilience Act: EU veröffentlicht Leitlinien-Entwurf
- Dr. Datenschutz – Fällt die Pflicht zum Datenschutzbeauftragten bis Ende 2026?
- heise Security – Routerhersteller fordern Kontrolle importierter Geräte
- heise Security – Cyberangriff auf staatliche Banken im Iran
- ComputerBase – BSI: Phishing und Datenlecks größte Bedrohung für Verbraucher
