Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- Die EU will die DSGVO für KI lockern — das betrifft Ihre Daten direkt. Mit dem „Digital Omnibus“ soll das Training von KI-Systemen mit personenbezogenen Daten ausdrücklich auf „berechtigtes Interesse“ stützbar werden; zugleich sollen pseudonyme Daten teils ganz aus dem DSGVO-Schutz fallen. Datenschutzbehörden warnen scharf. Wichtig: Ein Widerspruchsrecht gegen die Nutzung Ihrer Daten fürs KI-Training soll bleiben.
- Patchen, sobald Updates kommen. Der jüngste Microsoft-Patchday schloss über 200 Lücken, darunter eine „wurmartige“ Schwachstelle, die sich ohne jedes Zutun verbreiten kann. Lassen Sie automatische Updates aktiv und schieben Sie Neustarts nicht auf.
- KI-Werkzeuge können über Nacht wegfallen. Die US-Regierung hat zwei KI-Modelle von Anthropic per Exportkontrolle gesperrt; der Anbieter schaltete sie weltweit ab. Wer beruflich auf ein bestimmtes KI-Tool setzt, sollte einen Ausweichplan haben.
Aktuelle Phishing- und Betrugswellen
Eine neue, klar abgegrenzte Phishing-Einzelwelle ist im heutigen Berichtszeitraum nicht belastbar belegt — die Lage bleibt aber auf dem zuletzt beschriebenen, KI-getriebenen Niveau: fehlerfreie, personalisierte Köder ohne die klassischen Warnzeichen. Behandeln Sie unerwartete Nachrichten von Bank, Bezahldienst, Paketdienst oder Behörde grundsätzlich als verdächtig.
Prüfen Sie im Zweifel über den selbst eingegebenen, offiziellen Weg statt über Links in der Nachricht. Geben Sie Zugangsdaten nie auf einer Seite ein, die Sie über einen Mail- oder SMS-Link erreicht haben, und aktivieren Sie überall dort, wo es geht, eine Phishing-resistente Zwei-Faktor-Anmeldung.
Was war los?
Im Vordergrund standen Patches: Microsoft schloss an seinem Patchday über 200 Schwachstellen — neuer Höchststand —, darunter eine als „wurmartig“ eingestufte Lücke im Windows-Netzwerk-Stack. Auch für Android bzw. Google Pixel und für Mozilla-Produkte (Firefox, Thunderbird) erschienen Sicherheitsupdates. Für Privatanwender heißt das schlicht: Updates zeitnah installieren, Geräte neu starten.
Auf der Lage-Ebene zeichnet der aktuelle BSI-Lagebericht ein angespanntes Bild: Die Zahl der Angriffe, die gezielt Schwachstellen ausnutzen, ist gegenüber dem Vorjahr um 38 Prozent gestiegen, und Erpressung kombiniert zunehmend Datenverschlüsselung mit Datenabfluss. Backups allein schützen daher nicht vor den Folgen eines Datenlecks.
Was sich rechtlich geändert hat
Das größte Thema ist der EU Digital Omnibus: Die Kommission will Datenschutz- und KI-Regeln „vereinfachen“. Für Privatpersonen heißt das vor allem, dass das Training von KI mit persönlichen Daten eine klarere Rechtsgrundlage bekommen soll — verbunden mit Transparenz- und Widerspruchsrechten, aber auch mit einer umstrittenen Aufweichung beim Schutz pseudonymer Daten. Verabschiedet ist noch nichts; beim KI-Teil zeichnet sich Einigung ab, beim Datenschutz-Teil nicht.
Aus der Rechtsprechung kommt ein markenrechtliches Pendant zu KI-Übersichten hinzu: Das LG Berlin II verneint eine Markenverletzung, wenn eine Suchmaschine in KI-Übersichten fremde Marken nur im Rahmen zusammengefasster Drittinhalte nennt. Neue Bußgelder sind im Berichtszeitraum nicht hinzugekommen.
IT-Detailansicht für Fachpublikum
Im Folgenden die fachliche Lage des Tages: Top-Themen, Management Summary, Handlungsempfehlungen, die sechs Kapitel (Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder, Cyber-Sicherheit), ein KI-Abschnitt nach Anbietern sowie Ausblick, Methodik und Quellen.
Top-Themen der Woche
1. EU Digital Omnibus: Datenschutz- und KI-Recht im Umbau
Die Kommission bündelt Änderungen an DSGVO, KI-VO, Cookie- und Datenregeln. Beim KI-Teil gibt es seit 07.05.2026 eine vorläufige Einigung von Parlament und Rat; der Datenschutz-Teil bleibt umstritten.
Letzte Entwicklung: Im Fokus stehen eine ausdrückliche Rechtsgrundlage fürs KI-Training (Art. 88c DSGVO-E), ein Ausnahmetatbestand für sensible Daten (Art. 9 Abs. 2 lit. k DSGVO-E) sowie die heftig kritisierte Neudefinition personenbezogener Daten (Pseudonymisierung).
2. KI-Modelle als Gegenstand von Exportkontrolle
Die US-Regierung sperrte Anthropics Modelle Fable 5 und Mythos 5; Auslöser war angeblich die Aufforderung „fix this code“. Anthropic deaktivierte beide Modelle weltweit.
Letzte Entwicklung: Über 100 Sicherheitsfachleute fordern in einem offenen Brief die Rücknahme; Gespräche scheiterten zunächst am Montag. Ausführlich in der gestrigen Einzel-News (siehe KI-Abschnitt).
Management Summary
Die technische Lage ist von Patch-Management geprägt: Der Microsoft-Patchday brachte über 200 Korrekturen und damit einen neuen Höchststand, darunter die als wurmartig eingestufte TCP/IP-Lücke CVE-2026-45657 (CVSS 9,8), die Codeausführung ohne Benutzerinteraktion erlaubt; zudem wurde eine bereits ausgenutzte XSS-Lücke in Outlook Web Access geschlossen. Parallel erschienen Sicherheitsupdates für Android/Google Pixel sowie für Firefox und Thunderbird. Der aktuelle BSI-Lagebericht unterstreicht die Dringlichkeit: Exploitation-Angriffe legten gegenüber dem Vorjahr um 38 Prozent zu, Erpressung setzt verstärkt auf die Kombination aus Verschlüsselung und Datenabfluss, und die durchschnittlich gezahlten Lösegelder erreichten einen Höchststand. Backups bleiben betriebsnotwendig, schützen aber nicht vor den Reputations-, Spionage- und Datenschutzfolgen eines Leaks.
Datenschutz- und rechtsseitig dominiert der EU Digital Omnibus. Die Kommission will mit Art. 88c DSGVO-E eine ausdrückliche Rechtsgrundlage für das Training von KI-Systemen auf Basis berechtigten Interesses schaffen — flankiert von Transparenz-, Datenminimierungs- und Widerspruchsrechten — und mit Art. 9 Abs. 2 lit. k DSGVO-E einen engen Ausnahmetatbestand für sensible Daten. Am stärksten umstritten ist die geplante Neudefinition personenbezogener Daten, die pseudonyme Daten unter Umständen aus dem DSGVO-Schutz nähme; der Europäische Datenschutzausschuss und der EDSB warnen ausdrücklich davor. Beim KI-Teil besteht seit dem 07.05.2026 eine vorläufige Einigung, beim Datenschutz-Teil nicht; in Kraft ist nichts. Auf der KI-Governance-Ebene zeigt die US-Exportsperre gegen Anthropics Fable 5 und Mythos 5, wie schnell der Zugang zu produktiv genutzten Modellen wegfallen kann.
Die wichtigsten Punkte im Überblick
- EU Digital Omnibus: KI-Training soll auf berechtigtes Interesse stützbar werden (Art. 88c DSGVO-E), Widerspruchsrecht bleibt.
- Umstritten: Neudefinition personenbezogener Daten (Pseudonymisierung) — EDSA/EDSB warnen.
- Microsoft-Patchday: über 200 Lücken, wurmartige TCP/IP-Lücke CVE-2026-45657 (CVSS 9,8).
- Sicherheitsupdates auch für Android/Google Pixel und Mozilla Firefox/Thunderbird.
- BSI-Lagebericht: Exploitation-Angriffe +38 %, Lösegelder auf Höchststand.
- US-Exportkontrolle sperrt Anthropics Fable 5 und Mythos 5 — Anbieter schaltet weltweit ab.
- KI-VO-Hochrisiko-Fristen (eigentlich ab 02.08.2026) sollen über den Omnibus an Standards gekoppelt werden.
Top-Risiken – Handlungsempfehlungen für heute
- Microsoft-Updates priorisiert ausrollen — besonders die wurmartige TCP/IP-Lücke (CVE-2026-45657) und die ausgenutzte OWA-XSS-Lücke; Domänencontroller und exponierte Systeme zuerst.
- Mobile- und Browser-Patches einspielen — Android/Pixel-Patchlevel Juni, Firefox/Thunderbird aktualisieren.
- KI-Daten-Governance vorbereiten — Verarbeitungstätigkeiten fürs KI-Training prüfen, Widerspruchsmechanismen und Transparenzhinweise sauber aufsetzen; pseudonyme Daten nicht vorschnell als „nicht personenbezogen“ behandeln.
- KI-Tool-Abhängigkeiten absichern — Ausweich-Modelle und einen Wechselpfad definieren; Export-/Nutzungsbeschränkungen bei der Auswahl mitdenken.
1. Datenschutz
Der EU Digital Omnibus bestimmt die datenschutzrechtliche Diskussion — eine der größten geplanten Änderungen am DSGVO-Gefüge seit deren Inkrafttreten.
1.1 EU Digital Omnibus: Rechtsgrundlage fürs KI-Training und umstrittene Neudefinition personenbezogener Daten
Zusammenfassung: Die EU-Kommission will mit dem „Digital Omnibus“ Datenschutz- und KI-Regeln überarbeiten. Kern für den Datenschutz: Mit einem neuen Art. 88c DSGVO-E soll die Verarbeitung personenbezogener Daten für Entwicklung, Training, Test und Validierung von KI-Systemen grundsätzlich auf ein berechtigtes Interesse gestützt werden können — mit Interessenabwägung, Transparenz, Datenminimierung und einem unbedingten Widerspruchsrecht der Betroffenen. Für sensible Daten (Art. 9 DSGVO) ist ein enger Ausnahmetatbestand (Art. 9 Abs. 2 lit. k DSGVO-E) vorgesehen.
Hintergrund & Einordnung: Am stärksten umstritten ist die geplante Neudefinition personenbezogener Daten: Pseudonyme Daten sollen unter Umständen nicht mehr als personenbezogen gelten, wenn eine Identifizierung durch den Verarbeiter unwahrscheinlich ist. Die Kommission beruft sich auf EuGH-Rechtsprechung von 2025; Kritiker sehen sie weit darüber hinausgehen. Der Europäische Datenschutzausschuss und der EDSB (Vorsitzende Anu Talus, EDSB Wiewiórowski) warnen, die Änderungen könnten das Schutzniveau erheblich schwächen und Rechtsunsicherheit schaffen. Beim KI-Teil gibt es seit dem 07.05.2026 eine vorläufige Einigung, beim Datenschutz-Teil nicht.
Praxisfolgen / Handlungsempfehlung: Noch ist nichts in Kraft — die heutige DSGVO gilt unverändert. Unternehmen sollten den Prozess beobachten, KI-Trainings-Verarbeitungen sauber dokumentieren (Rechtsgrundlage, Interessenabwägung, Widerspruchsweg) und pseudonyme Daten weiterhin als personenbezogen behandeln, bis die Rechtslage geklärt ist.
2. Datensicherheit
Auf der Lage-Ebene bleibt das Bild angespannt; Exploitation und Datenleck-Erpressung nehmen zu.
2.1 BSI-Lagebericht: Exploitation-Angriffe um 38 Prozent gestiegen
Zusammenfassung: Laut aktuellem BSI-Lagebericht ist die Zahl der Angriffe, die gezielt Schwachstellen ausnutzen, gegenüber dem Vorjahr um 38 Prozent gestiegen — schneller als die Zahl der genutzten Lücken selbst. Erpressung setzt überwiegend auf eine hybride Strategie aus Datenverschlüsselung und Datenabfluss; die durchschnittlich gezahlten Lösegelder erreichten einen neuen Höchststand.
Hintergrund & Einordnung: Das BSI betont, dass Backups zwar für die Betriebsfortführung essenziell sind, aber nicht gegen die Folgen eines Datenlecks helfen — Imageverlust, Industriespionage, Datenschutzverfahren und -strafen. Wachsende, schlecht geschützte Angriffsflächen und zunehmende APT-Aktivität im geopolitischen Kontext verschärfen die Lage.
Praxisfolgen / Handlungsempfehlung: Schwachstellen-Management und schnelle Patch-Zyklen sind die wirksamste Einzelmaßnahme. Ergänzend: Netzsegmentierung, Least Privilege, Offline-/Immutable-Backups und ein geübter Incident-Response-Plan, der auch den Datenabfluss-Fall (Meldepflichten nach Art. 33/34 DSGVO) abdeckt.
3. IT-Sicherheit
Patch-Management dominiert: ein Rekord-Patchday bei Microsoft sowie Updates für mobile und Browser-Software.
3.1 Microsoft-Patchday: über 200 Lücken, wurmartige TCP/IP-Schwachstelle CVE-2026-45657
Zusammenfassung: Microsoft veröffentlichte an seinem Patchday über 200 Sicherheitsupdates und übertraf damit den bisherigen Höchststand deutlich. Besonders kritisch ist CVE-2026-45657 im Windows-TCP/IP-Stack (CVSS 9,8), von Fachleuten als „wurmartig“ eingestuft: Sie erlaubt Codeausführung ohne Benutzerinteraktion. Zudem wurde die bereits aktiv ausgenutzte XSS-Lücke CVE-2026-42897 in Outlook Web Access geschlossen.
Hintergrund & Einordnung: Wurmartige, vorauthentifizierte Netzwerklücken sind die gefährlichste Klasse, weil sie sich ohne Zutun von System zu System ausbreiten können. Die ausgenutzte OWA-Lücke unterstreicht, dass Web-zugängliche Mail-Komponenten ein bevorzugtes Ziel bleiben.
Praxisfolgen / Handlungsempfehlung: Updates priorisiert ausrollen — exponierte und netznahe Systeme (Domänencontroller, OWA/Exchange, Server mit offenem TCP/IP-Dienst) zuerst. Wo sofortiges Patchen nicht möglich ist: Angriffsfläche reduzieren (Segmentierung, Exposition prüfen).
3.2 Sicherheitsupdates für Android/Google Pixel und Mozilla-Produkte
Zusammenfassung: Der Android-Patchday adressiert mehrere kritische Schwachstellen in Android 14, 15 und 16; für Google Pixel erschien ein eigener Patchday im Juni. Mozilla schloss Lücken in Firefox, Firefox ESR und Thunderbird sowie in Firefox für iOS.
Hintergrund & Einordnung: Für die Android-Lücken gibt es bislang keine Hinweise auf aktive Ausnutzung; das ist jedoch kein Grund zum Aufschieben. Browser und Mail-Client sind die häufigsten Einfallstore für Endgeräte.
Praxisfolgen / Handlungsempfehlung: Mobile Patchlevel Juni (2026-06-01/2026-06-05) installieren, Firefox/Thunderbird aktualisieren, Auto-Updates aktiv lassen.
4. Urteile
Eine frische Entscheidung ergänzt die Reihe zu KI-Übersichten — diesmal aus markenrechtlicher Sicht.
4.1 LG Berlin II: Keine markenmäßige Benutzung durch KI-Übersichten zu Duftzwillingen
Sachverhalt: Ein Parfüm-/Kosmetikkonzern wollte einer Suchmaschinenbetreiberin im Eilverfahren untersagen, in KI-generierten Übersichten fremde Marken im Zusammenhang mit „Duftzwillingen“ (Duftimitationen) zu nennen.
Entscheidung: Der Verfügungsantrag wurde zurückgewiesen (Streitwert 150.000 EUR); eine markenmäßige Benutzung nach Art. 9 UMV liegt nicht vor.
Begründungs-Kernpunkte: Fasst die KI nur Inhalte von Drittwebseiten zusammen und nennt dabei Marken, schafft die Betreiberin lediglich ein neues Suchergebnisformat — keine eigene kommerzielle Kommunikation. Voraussetzung: Sie lenkt den konkreten Inhalt nicht und erweckt aus Nutzersicht nicht den Eindruck, die Produkte selbst zu vertreiben oder die Drittinhalte zu verantworten.
Praxisfolgen: Markeninhaber können gegen die bloße Nennung ihrer Marke in KI-Übersichten zu Vergleichs-/Imitationsangeboten nicht ohne Weiteres markenrechtlich vorgehen. Bemerkenswert als Kehrseite zur Münchner Störerhaftungs-Entscheidung (26 O 869/26): Maßgeblich ist, ob der Betreiber eigene Aussagen erzeugt/steuert oder nur fremde Inhalte bündelt. Einstweilige Verfügung, nicht rechtskräftig.
5. Bußgelder
Kein neues Bußgeld mit belastbarer Primärquelle im Berichtszeitraum. Das Deutsche-Wohnen-Urteil (LG Berlin I, 09.06.2026, 900.000 Euro) wurde bereits behandelt — heute kein neuer Sachverhalt.
6. Cyber-Sicherheit
Die Bedrohungslage bleibt von professionalisierter Erpressung und Schwachstellen-Ausnutzung geprägt.
6.1 Erpressung mit doppelter Hebelwirkung: Verschlüsselung plus Datenabfluss
Zusammenfassung: Der BSI-Lagebericht bestätigt den Trend zur „Double Extortion“: Angreifer verschlüsseln Daten und drohen zugleich mit deren Veröffentlichung. Damit verlieren reine Backup-Strategien ihre Schutzwirkung gegen den Veröffentlichungs-Hebel; Lösegeldzahlungen erreichen neue Höchststände.
Hintergrund & Einordnung: Die Kombination trifft besonders KMU, die Angreifer als „einfachste Ziele“ bevorzugen. Datenabfluss verschiebt den Vorfall von der reinen IT-Verfügbarkeit hin zu Datenschutz-, Reputations- und Spionagerisiken.
Praxisfolgen / Handlungsempfehlung: Vorfallspläne müssen den Leak-Fall explizit abdecken — Meldeketten (Art. 33/34 DSGVO), Kommunikation, forensische Sicherung. Datenminimierung und Verschlüsselung „at rest“ reduzieren den Wert abgeflossener Daten.
KI & große Sprachmodelle
Überblick nach Anbietern (Stand 18. Juni 2026). Bestätigte neue Modell-Launches gab es in den letzten Tagen nicht; im Vordergrund steht ein Governance-Ereignis.
- Anthropic: Die US-Regierung sperrte per Exportkontroll-Anordnung (Handelsministerium, 12.06.2026) die Modelle Mythos 5 und Fable 5 für ausländische Staatsangehörige; Anthropic deaktivierte beide weltweit für alle Kunden. Auslöser war laut Sicherheitsforscherin Katie Moussouris kein Jailbreak, sondern die Aufforderung „fix this code“ auf Code mit bekannten Schwachstellen. Über 100 Fachleute fordern die Rücknahme. Ausführlich in der Einzel-News vom 16.06.
- OpenAI / Google / Meta / DeepSeek / Alibaba: keine bestätigten frischen Launches im Berichtszeitraum; weiterhin gelten die zuletzt genannten Stände (GPT-5.5 als ChatGPT-Default, Gemini 3.5 Flash, Llama 4, DeepSeek V4, Qwen 3.7 Max).
Einordnung für Datenschutz und Sicherheit: Der Fall Fable 5/Mythos 5 zeigt, dass KI-Modelle zunehmend Gegenstand staatlicher Exportkontrolle werden — ein Verfügbarkeits- und Compliance-Risiko, das parallel zum geplanten EU-Rechtsrahmen (Digital Omnibus) bedacht werden muss.
Ausblick / Termine
- 19.06.2026: Frist der US-Behörde CISA zum Patchen der aktiv ausgenutzten SolarWinds-Serv-U-Lücke (CVE-2026-28318).
- 02.08.2026: Eigentlich Geltungsbeginn der Hochrisiko-Pflichten der KI-VO — der Digital Omnibus soll diese an die Verfügbarkeit von Standards koppeln und muss daher bis dahin in Kraft treten.
- Laufend: Trilog/Gesetzgebung zum Digital Omnibus (KI-Teil vorläufig geeinigt, Datenschutz-Teil offen).
Methodik
Stichtag ist Donnerstag, der 18. Juni 2026; berücksichtigt werden Meldungen der vorangegangenen Tage. Bevorzugt werden Primärquellen (Behörden, BSI, Gerichte) und etablierte Fachmedien; Rechts- und Policy-Themen wurden über mehrere Fachquellen gegengeprüft. Themen, die in den Vortagsausgaben bereits gebracht wurden, sind bewusst ausgespart. Eine eingegangene Inbox-Mail zur DSB-Pflicht (§ 38 BDSG) wurde nicht erneut aufgenommen, weil sie bereits am 16.06. behandelt wurde. Das Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.
Quellenverzeichnis
- netzpolitik.org – KI und Datenschutz: Wo der Digitale Omnibus der EU gerade hinrollt
- LTO – Digitaler Omnibus hebelt Datenschutz nicht aus
- börse-express – Microsoft-Patchday: 206 Schwachstellen, neuer Negativrekord
- heise online – Patchday: 18 critical security vulnerabilities threaten Android 14, 15, 16
- TechZeitgeist – BSI-Lagebericht: Exploits, Datenlecks und was jetzt zählt
- heise online – „Fix this code“: Sperre von Fable 5 und Mythos 5
- Fortune – „Fix this code“: the three words behind the U.S. government decision
- security-insider – SolarWinds Serv-U (CVE-2026-28318), CISA-Patchfrist 19.06.
- LG Berlin II, 01.06.2026 – 52 O 62/26 eV: keine markenmäßige Benutzung durch KI-Übersichten (Volltext-PDF)
