1. KEV-Welle gegen Web-Anwendungen: Massen-Scan und Web-Shells

Seit Montag, 30. Juni 2026 · zuletzt aktualisiert Freitag, 10. Juli 2026 · Score 88

Die Angriffsseite konzentriert sich derzeit auf unauthentifizierte Remote-Code-Execution in weit verbreiteter Web-Software. Innerhalb weniger Tage nahm CISA mehrere Lücken mit Höchst-Schweregrad in ihren KEV-Katalog auf — darunter Joomla-Erweiterungen (Page Builder CK, CVE-2026-56290, CVSS 10,0) mit dokumentierter Web-Shell-Ablage sowie die Docker-Variante von Gitea (CVE-2026-20896, CVSS 9,8). Parallel wird die Anfang Juli gemeldete Adobe-ColdFusion-Lücke CVE-2026-48282 nun aktiv ausgenutzt.

Letzte Entwicklung: Für mehrere dieser Lücken lief die Remediation-Frist für US-Bundesbehörden am heutigen 10. Juli ab; die Ausnutzung begann teils binnen Stunden bis weniger Tage nach Veröffentlichung. Der Schwerpunkt verschiebt sich damit von „patchen, wenn Zeit ist“ zu „sofort patchen und auf Kompromittierung prüfen“.

2. Client-Side-Scanning und Chatkontrolle: das Ringen um Nachrichten-Überwachung

Seit Frühjahr 2026 · zuletzt aktualisiert Freitag, 10. Juli 2026 · Score 80

Die EU-Debatte um das Scannen privater Kommunikation zur Bekämpfung von Kindesmissbrauchsdarstellungen erreicht eine neue Stufe. Nach dem Auslaufen der Übergangsverordnung (EU) 2021/1232 im April und einem gescheiterten Verlängerungsvotum im März hat das EU-Parlament die freiwillige Scan-Erlaubnis nun reaktiviert.

Letzte Entwicklung: Am 9. Juli votierte das Parlament mit 286 zu 276 Stimmen (30 Enthaltungen) für die Reaktivierung. Client-Side-Scanning bleibt der neuralgische Punkt: Ende-zu-Ende-Verschlüsselung soll nicht aufgebrochen werden, ein Scan vor der Verschlüsselung auf dem Gerät ist damit aber nicht ausgeschlossen.

1.1 Chatkontrolle zurück: EU-Parlament reaktiviert freiwillige Scan-Erlaubnis

09.07.2026 · LTO · ZDFheute

Zusammenfassung: Das EU-Parlament hat am 9. Juli 2026 mit 286 zu 276 Stimmen bei 30 Enthaltungen eine befristete Übergangsregel reaktiviert, die Diensteanbietern wie Meta, Google und Microsoft erlaubt, unverschlüsselte Nachrichten freiwillig auf Darstellungen sexuellen Kindesmissbrauchs zu durchsuchen. Die zugrunde liegende Verordnung (EU) 2021/1232 war am 4. April 2026 ausgelaufen; ein erstes Verlängerungsvotum war im März 2026 mit 311 zu 228 Stimmen gescheitert. Die Reaktivierung kam nach ungewöhnlichem Verfahrensablauf zustande — mit Intervention der Parlamentspräsidentin und einer dritten Abstimmung auf Eilantrag. Die Übergangslösung soll bis April 2028 gelten, bedarf aber noch der Zustimmung von Kommission und Rat.

Hintergrund & Einordnung: Der neuralgische Punkt ist das Client-Side-Scanning — die Prüfung von Inhalten auf dem Endgerät, bevor sie verschlüsselt werden. Das Parlament verlangt ausdrücklich, Ende-zu-Ende-Verschlüsselung nicht aufzubrechen; ein Scan vor der Verschlüsselung ist damit aber nicht ausgeschlossen und aus Sicht vieler Fachleute funktional ein Überwachungseingriff auf dem Gerät. Deutschland hatte sich im Oktober 2025 gegen verpflichtende Scans positioniert. Messenger-Anbieter wie Signal und Threema sehen ihre Sicherheitsarchitektur grundsätzlich in Gefahr, sobald verpflichtende oder auch nur breit genutzte freiwillige Scans etabliert werden.

Praxisfolgen / Handlungsempfehlung: Für Unternehmen ändert sich unmittelbar nichts an der Zulässigkeit verschlüsselter Kommunikation — die Reaktivierung betrifft eine freiwillige Befugnis der Plattformbetreiber, keine Pflicht. Wer Kommunikationsdienste betreibt oder integriert, sollte die weitere Gesetzgebung (verpflichtende CSAM-Verordnung) eng verfolgen, da die grundsätzliche Weichenstellung zum Client-Side-Scanning noch aussteht. Datenschutzbeauftragte sollten die Debatte in ihre Bewertung eingesetzter Messenger- und Kollaborationstools einbeziehen.

1.2 EDSA konkretisiert Web-Scraping für generative KI und Blockchain-Pflichten

08.07.2026 · EDPB

Zusammenfassung: Der Europäische Datenschutzausschuss hat in seiner Plenarsitzung am 8. Juli 2026 mehrere Leitlinien beschlossen, darunter Leitlinien zum Web-Scraping im Kontext generativer KI und finale Blockchain-Leitlinien. Für das Scraping gilt: Die DSGVO greift bei jeder Erhebung personenbezogener Daten; Zweckbindung und Transparenzpflichten sind einzuhalten, und für Daten besonderer Kategorien (Art. 9 DSGVO) ist stets ein Ausnahmetatbestand erforderlich. Die Blockchain-Leitlinien stellen klar, dass Unveränderlichkeit oder Hashing/Verschlüsselung nicht von DSGVO-Pflichten befreien und dass bei grenzüberschreitenden Knotenstrukturen unkontrollierte Drittlandtransfers drohen. Die Konsultationsfristen laufen bis 30. Oktober 2026.

Hintergrund & Einordnung: Für Unternehmen, die LLM-Trainingsdaten per Web-Scraping gewinnen, schafft der EDSA erstmals verbindlichere Leitplanken. Die Leitlinien knüpfen an die jüngere Rechtsprechung zur Pseudonymisierung und Anonymisierung an und präzisieren, wann Daten wirklich aus dem Anwendungsbereich der DSGVO fallen. Die Blockchain-Leitlinien treffen dezentrale Anwendungen unmittelbar, weil sie die verbreitete Annahme entkräften, technische Unveränderlichkeit hebe Betroffenenrechte wie Löschung faktisch auf.

Praxisfolgen / Handlungsempfehlung: Wer Trainingsdaten sammelt, sollte Herkunft, Zweck und Rechtsgrundlage jeder Scraping-Quelle dokumentieren und Sonderkategorie-Daten gesondert behandeln. Blockchain-Projekte sollten personenbezogene Daten möglichst off-chain halten und die Transfer- sowie Löschkonzepte an den neuen Leitlinien ausrichten. Die Konsultationsphase bietet Gelegenheit, praxisferne Anforderungen frühzeitig zu adressieren.

1.3 LfDI Baden-Württemberg: Leitfaden zur KI-Transkription von Gemeinderatssitzungen

Juli 2026 · LfDI Baden-Württemberg

Zusammenfassung: Die Datenschutzaufsicht Baden-Württemberg hat einen Leitfaden zur datenschutzkonformen Nutzung KI-gestützter Speech-to-Text-Systeme veröffentlicht, mit besonderem Fokus auf die Transkription öffentlicher Sitzungen durch Gemeinden. Der Leitfaden adressiert eine praktische Frage, die sich vielen Kommunen und öffentlichen Stellen stellt, seit automatische Transkription breit verfügbar ist.

Hintergrund & Einordnung: KI-Transkription verarbeitet regelmäßig personenbezogene Daten — Stimmen, Namen, inhaltliche Beiträge — und wirft Fragen nach Rechtsgrundlage, Auftragsverarbeitung (bei Cloud-Diensten) und Drittlandtransfer auf. Ein aufsichtlicher Leitfaden gibt öffentlichen Stellen eine belastbare Orientierung, statt jede Kommune eigene Bewertungen entwickeln zu lassen. Der Bezug zum OVG-Beschluss des Tages ist inhaltlich naheliegend: Auch hier geht es um KI-gestützte Verarbeitung im kommunalen Kontext, hier jedoch mit konkretem Verarbeitungsvorgang statt bloßer Möglichkeit.

Praxisfolgen / Handlungsempfehlung: Kommunen und öffentliche Stellen, die Sitzungen automatisch transkribieren, sollten den Leitfaden als Prüfraster nutzen: Rechtsgrundlage klären, Auftragsverarbeitungsvertrag und Speicherort prüfen, Betroffeneninformation sicherstellen und lokale beziehungsweise EU-gehostete Lösungen bevorzugen.

2.1 Anubis-Ransomware: BYOVD-EDR-Bypass und per Supply-Chain gestohlene Zugangsdaten

08.07.2026 · The Hacker News (Sophos CTU)

Zusammenfassung: Die Ransomware-Gruppe Anubis, Ende 2024 als Rebrand der Gruppe Sphinx gestartet, hat laut einer Analyse der Sophos Counter Threat Unit 91 Opfer auf ihrer Leak-Site verzeichnet, davon 11 allein im Juni 2026. Betroffen sind vor allem Gesundheitswesen, Unternehmensdienstleister, Fertigung, Technologie und Finanzdienstleister, mehrheitlich in den USA, gefolgt von Großbritannien, Australien, Frankreich und Kanada. Für den Erstzugang nutzt Anubis sowohl gültige VPN-Zugangsdaten als auch die Citrix-Lücke CVE-2025-5777 („CitrixBleed 2″, CVSS 9,3). Über eine Partnerschaft mit den Gruppen TeamPCP und VECT fließen per Supply-Chain-Angriff gestohlene Zugangsdaten zu.

Hintergrund & Einordnung: Kennzeichnend ist die Kombination aus Supply-Chain-Credentials und BYOVD („Bring Your Own Vulnerable Driver“): Über einen verwundbaren, aber signierten Treiber wird Schutzsoftware (EDR) deaktiviert, bevor die Verschlüsselung startet. Zusätzlich missbraucht die Gruppe legitime Fernwartungs- und Tunnel-Werkzeuge, um unauffällig zu bleiben. Die Dreier-Partnerschaft aus Ransomware-Betreiber, Zugangs-Händler und Supply-Chain-Gruppe zeigt, wie stark arbeitsteilig die Angriffsökonomie inzwischen organisiert ist.

Praxisfolgen / Handlungsempfehlung: Für Organisationen mit Citrix-Infrastruktur ist CVE-2025-5777 ein prioritäres Einfallstor — Patch-Stand prüfen, aktive Sessions invalidieren, Zugangsdaten rotieren. Gegen BYOVD helfen Treiber-Blocklisten (etwa die Microsoft Vulnerable Driver Blocklist), Manipulationsschutz für EDR-Agenten und die Überwachung auf verdächtige Treiberladevorgänge. VPN-Zugänge sollten durchgängig mit Mehr-Faktor-Authentisierung abgesichert sein.

3.1 Joomla Page Builder CK (CVE-2026-56290, CVSS 10,0): Web-Shells in freier Wildbahn

29.06.2026 (NVD) · NVD · The Hacker News

Zusammenfassung: Die Joomla-Erweiterung „Page Builder CK“ von joomlack.fr enthält bis einschließlich Version 3.6.0 eine Schwachstelle vom Typ „Unrestricted File Upload“, über die unauthentifizierte Angreifer beliebige ausführbare Dateien hochladen und den Server vollständig übernehmen können (CVSS 4.0: 10,0; CVSS 3.1: 9,8). Aktive Ausnutzung ist seit dem 27. Juni 2026 dokumentiert; eine bestätigte Web-Shell fand sich unter einem Pfad im Media-Verzeichnis der Erweiterung. CISA nahm die Lücke am 7. Juli in den KEV-Katalog auf, mit Behörden-Frist zum 10. Juli. Parallel wird CVE-2026-48908 (CVSS 10,0) in JoomShaper SP Page Builder ausgenutzt, das laut CISA zur Anlage nicht autorisierter Super-User-Accounts führte.

Hintergrund & Einordnung: Zwei gleichzeitig im KEV gelistete Joomla-Erweiterungen mit Höchst-Schweregrad und laufender Web-Shell-Platzierung sind ein deutliches Signal, dass Joomla-Installationen systematisch abgesucht werden. Erweiterungen von Drittanbietern sind ein klassischer Schwachpunkt, weil sie seltener aktualisiert werden als der Core und oft weitreichende Schreibrechte im Web-Root besitzen.

Praxisfolgen / Handlungsempfehlung: Betroffene Erweiterungen umgehend auf eine fehlerbereinigte Version aktualisieren. Da bereits aktiv angegriffen wird, reicht Patchen allein nicht: Media- und Upload-Verzeichnisse auf unbekannte PHP-Dateien prüfen, die Nutzerliste auf neu angelegte Super-User kontrollieren und Server-Logs auf verdächtige Upload-Requests durchsehen.

3.2 Gitea Docker (CVE-2026-20896, CVSS 9,8): unauthentifizierte Admin-Übernahme

07.07.2026 (NVD) · NVD · The Hacker News

Zusammenfassung: Die Docker-Images von Gitea bis einschließlich Version 1.26.2 setzen den Konfigurationswert für vertrauenswürdige Reverse-Proxys auf einen Wildcard-Wert, sodass der Authentifizierungs-Header von beliebigen Quell-IPs akzeptiert wird. Ein unauthentifizierter Angreifer kann so jede beliebige Identität annehmen, einschließlich Administratorkonten (CVSS 9,8). Behoben ist die Lücke in Gitea 1.26.3, das den Wildcard entfernt und die Reverse-Proxy-Authentifizierung auf ausdrückliches Opt-in umstellt. Sicherheitsforscher meldeten erste Exploit-Versuche rund 13 Tage nach der Veröffentlichung; die NVD-Veröffentlichung datiert auf den 7. Juli 2026.

Hintergrund & Einordnung: Gitea ist als selbst gehostete GitHub-Alternative besonders in Open-Source-affinen Organisationen und Entwicklungsteams verbreitet. Ein unauthentifizierter Übernahme-Vektor in einem Code-Repository ist hochkritisch, weil kompromittierte Repositories ein klassischer Einstieg für Supply-Chain-Angriffe sind — manipulierter Code wandert von dort in nachgelagerte Systeme.

Praxisfolgen / Handlungsempfehlung: Gitea-Docker-Installationen sofort auf 1.26.3 aktualisieren und die Reverse-Proxy-Konfiguration prüfen. Wo die Reverse-Proxy-Authentifizierung nicht bewusst benötigt wird, sollte sie deaktiviert bleiben. Zugriffe und Admin-Logins der letzten Wochen auf Auffälligkeiten kontrollieren.

3.3 ColdFusion-Nachtrag: die am 2. Juli gemeldete Lücke wird jetzt ausgenutzt

07.07.2026 (KEV) · NVD (CVE-2026-48282)

Zusammenfassung: Die am 2. Juli in diesem Briefing behandelten Adobe-ColdFusion-Lücken (Sicherheitsupdate APSB26-68) erhalten eine ernste Fortentwicklung: CVE-2026-48282 (Path Traversal) wird laut CISA nun aktiv ausgenutzt und wurde am 7. Juli in den KEV-Katalog aufgenommen; die Frist für US-Bundesbehörden endete am heutigen 10. Juli.

Hintergrund & Einordnung: Damit bestätigt sich die bei der Erstmeldung geäußerte Erwartung, dass ColdFusion-Lücken dieser Schwere erfahrungsgemäß rasch angegriffen werden — Admin-Schnittstellen sind häufig exponiert. Dies ist ein Verlaufshinweis zu einer bereits gebrachten Meldung, keine neue Lücke.

Praxisfolgen / Handlungsempfehlung: Wer ColdFusion noch nicht auf 2023 Update 21 beziehungsweise 2025 Update 10 gebracht hat, sollte das nun mit höchster Priorität nachholen und den Server auf Anzeichen einer bereits erfolgten Kompromittierung prüfen. Wo sofortiges Patchen nicht möglich ist: externen Zugriff auf Admin-Oberflächen sperren, Mehr-Faktor-Authentisierung erzwingen, Netzwerkzugriff einschränken.

4.1 OVG Münster: KI-Nachschärfung von Luftbildern begründet keinen intensiven Grundrechtseingriff

OVG Münster · 22.06.2026 · 16 B 169/25 · Volltext (nrwe.de) · CSA-Aufbereitung

Sachverhalt: Eine Grundstückseigentümerin wollte im Eilverfahren erreichen, dass ihre Gemeinde die per Grundstücksbefliegung erstellten Luftbild-Orthofotos ihres Grundstücks vorläufig sichert und separiert — als Vorstufe eines Löschungsanspruchs nach Art. 17 DSGVO. Die Gemeinde nutzt die Aufnahmen, um die versiegelten Flächen zu bestimmen und danach die Niederschlagswassergebühr zu berechnen; ein beauftragtes Unternehmen war über einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gebunden. Die Eigentümerin befürchtete, die unscharfen Bilder könnten künftig per KI nachgeschärft werden und dann Aufbauten oder Personen erkennbar machen.

Entscheidung: Das OVG Münster (Beschluss vom 22.06.2026 – 16 B 169/25) wies die Beschwerde gegen den ablehnenden Beschluss des VG Düsseldorf (29 L 3128/24) zurück; die Entscheidung ist unanfechtbar, der Streitwert wurde auf 2.500 Euro festgesetzt. Das Begehren scheiterte sowohl am Anordnungsanspruch (keine rechtswidrige Datenverarbeitung) als auch am Anordnungsgrund (keine glaubhaft gemachte besondere Eilbedürftigkeit).

Begründungs-Kernpunkte: Das Gericht bestätigte die Rechtmäßigkeit der Verarbeitung nach § 3 DSG NRW in Verbindung mit § 46 LWG NRW und stufte den Eingriff als gering ein: geringe Auflösung, keine Rückschlüsse auf die private Lebensführung, keine Innenraum-Einsicht, keine identifizierbaren Personen. Entscheidend ist die Unterscheidung zwischen dem tatsächlichen Ist-Zustand der Daten und der bloß abstrakten Möglichkeit einer KI-Nachschärfung. Eine Grundrechtsgefährdung ist nach BVerfG-Maßstäben nur bei hinreichend konkreter Nähe und nachgewiesenem Ausmaß der Gefahr wie eine Grundrechtsverletzung zu behandeln — daran fehlte es, weil für einen tatsächlichen KI-Einsatz „nicht ansatzweise“ Anhaltspunkte vorlagen und die Gemeinde unwidersprochen erklärte, weder über entsprechende Mittel zu verfügen noch eine Schärfung zu beabsichtigen.

Praxisfolgen: Kommunen erhalten Rechtssicherheit für Orthofoto-gestützte Flächenermittlung zur Gebührenerhebung, solange die Auflösung gering bleibt und ein Auftragsverarbeitungsvertrag besteht. Für Betroffene setzt der Beschluss eine hohe Substantiierungslast: Rein spekulative KI-Szenarien ohne konkrete Belege begründen weder Löschanspruch noch Eilrechtsschutz. Empfehlenswert bleibt für Behörden eine dokumentierte technische und organisatorische Maßnahme, die KI-Nachschärfung ausdrücklich ausschließt. Die vollständige Aufbereitung liegt als CSA-Beitrag vor: ur-448.

5.1 Irland: 300.000 Euro gegen die Gesundheitsbehörde HSE nach Krankenhaus-Ransomware

15.06.2026 · RTÉ · Security Boulevard

Behörde: Data Protection Commission (Irland) · Adressat: Health Service Executive (HSE) · Höhe: 300.000 Euro

Verstoß / Rechtsgrundlage: Art. 32 Abs. 1 DSGVO (unzureichende technisch-organisatorische Maßnahmen), Art. 34 DSGVO (unvollständige Benachrichtigung der Betroffenen), Art. 30 DSGVO (Verzeichnis von Verarbeitungstätigkeiten).

Begründung: Die DPC veröffentlichte am 15. Juni 2026 ihre Abschlussentscheidung zu einem Ransomware-Angriff vom 14. November 2018 auf das Laborinformationssystem des Midlands Regional Hospital Tullamore. Verschlüsselt wurden Patientendaten von rund 84.000 Personen; eine Datenexfiltration konnte forensisch nicht ausgeschlossen werden. Die Untersuchung dauerte rund acht Jahre; die HSE akzeptiert die Entscheidung.

Praxisfolgen: Der Fall zeigt, dass unzureichende IT-Sicherheit bei Gesundheitsdaten auch rückwirkend sanktioniert wird und dass die Aufsicht die vollständige Betroffenenbenachrichtigung ernst nimmt. Für deutsche Krankenhäuser ist das im Licht der NIS-2-Umsetzung relevant, die vergleichbare technische Schutzpflichten normiert. Angesichts von 84.000 Betroffenen fällt das Bußgeld moderat aus — die eigentliche Botschaft liegt in der Feststellung der Pflichtverstöße, nicht in der Höhe.

5.2 Norwegen: 1,82 Mio. Euro gegen Elkjøp wegen unwirksamer Einwilligung im Treueprogramm

Juni 2026 · Dr. Datenschutz

Behörde: Datatilsynet (Norwegen) · Adressat: Elkjøp (nordische Elektronikhandelskette) · Höhe: 1.820.000 Euro

Verstoß / Rechtsgrundlage: Art. 7 DSGVO (Einwilligung), Art. 12, 13 DSGVO (Transparenz- und Informationspflichten), Art. 6 Abs. 4 DSGVO (Zweckänderung).

Begründung: Das Kundenbindungsprogramm von Elkjøp stützte sich auf eine Einwilligung, die die Behörde als nicht ausreichend spezifisch beanstandete: Verschiedene Verarbeitungszwecke wurden nur vage beschrieben, eine gesonderte Einwilligung für einzelne Vorgänge war nicht möglich, und die Zweckänderung war nicht rechtmäßig. Damit fehlte es an einer wirksamen Rechtsgrundlage für die Datenverarbeitung im Treueprogramm.

Praxisfolgen: Das Bußgeld setzt einen klaren Standard: Loyalty-Programme müssen granulare, zweckspezifische Einwilligungen einholen, nicht eine gebündelte Pauschalzustimmung. Für deutsche Handelsunternehmen mit Bonus- oder Eigenmarken-Programmen besteht unmittelbarer Prüfbedarf an Einwilligungstexten, Zweckbeschreibungen und der Möglichkeit selektiver Zustimmung.

6.1 UAT-7810: neue „Leash“-Backdoors in SOHO-Routern für ein Verschleierungsnetz

08.07.2026 · SecurityWeek (Cisco Talos)

Zusammenfassung: Cisco Talos hat am 8. Juli 2026 drei neue Backdoors des chinesischen Akteurs UAT-7810 dokumentiert: LongLeash (erweiterter Nachfolger einer früheren Backdoor mit C2-Kommunikation, Web-Server-Hosting und Tunnel-Management), DogLeash (in C geschriebene passive Backdoor) und JarLeash (Java-basiert). Mit diesen Werkzeugen betreibt UAT-7810 ein sogenanntes ORB-Netz (Operational Relay Box) aus kompromittierten SOHO-Routern, primär von Ruckus Wireless und Asus AiCloud. Genutzt werden ältere CVEs aus den Jahren 2020 und 2023.

Hintergrund & Einordnung: ORB-Netze aus Consumer- und Kleinunternehmens-Routern sind für Spionage-Akteure attraktiv, weil sie die Herkunft von Angriffen verschleiern — Zugriffe erscheinen dann aus scheinbar harmlosen, oft europäischen IP-Adressen zu stammen. Die genutzten Lücken sind teils Jahre alt, was zeigt, dass ungepatchte Alltagsgeräte am Netzrand ein dauerhaftes strukturelles Risiko bleiben. Der Akteur teilt Infrastruktur mit einer weiteren bekannten Gruppe.

Praxisfolgen / Handlungsempfehlung: Betreiber betroffener Router (insbesondere Ruckus und Asus AiCloud) sollten verfügbare Firmware-Updates auch auf ältere Geräte nachziehen oder nicht mehr unterstützte Hardware ersetzen. Im Unternehmensumfeld gehören Router und andere Randgeräte in ein regelmäßiges Patch- und Inventarregime; Netzwerksegmentierung begrenzt den Schaden, falls ein Gerät dennoch kompromittiert wird.