1. Enterprise-Kernsysteme unter Dauerbeschuss: die Patch-Welle rollt weiter

Seit Dienstag, 14. Juli 2026 · zuletzt aktualisiert Donnerstag, 16. Juli 2026 · Score 88

Nach dem Microsoft-Rekord-Patchday setzt sich die Häufung kritischer Lücken in geschäftskritischer Software fort: SAP schließt am Patchday eine NetWeaver-Kernel-Lücke mit CVSS 9,9, Broadcom/VMware einen unauthentifizierten Auth-Bypass im Avi Load Balancer (CVSS 9,8), und die am 30. Juni gemeldete Oracle-E-Business-Suite-Lücke (CVE-2026-46817) wird nun aktiv ausgenutzt und steht im CISA-KEV-Katalog.

Letzte Entwicklung: ERP, Load Balancer und Zahlungsmodule sind gleichzeitig betroffen — allesamt Systeme, deren Kompromittierung tief in Geschäftsprozesse reicht. Der KI-getriebene „Vulnocalypse“-Trend hält die Schlagzahl hoch; automatisiertes Patch-Management wird zur Pflicht.

2. EuGH-Serie zu den Grenzen der Datenverarbeitung

Seit Anfang Juli 2026 · zuletzt aktualisiert Donnerstag, 16. Juli 2026 · Score 74

Der EuGH konkretisiert in dichter Folge die DSGVO-Grenzen: nach Streaming-Widerruf (C-234/25), Geoblocking (C-788/24) und Medienprivileg/Urteilsdatenbanken (C-199/24) nun die Verhältnismäßigkeit gesetzlich angeordneter Veröffentlichungen (C-474/24, Doping).

Letzte Entwicklung: Namentliche Sanktions-Veröffentlichungen brauchen eine Einzelfall-Verhältnismäßigkeitsprüfung und sind zeitlich zu begrenzen; Präventivbeschwerden bei drohender Veröffentlichung sind zulässig.

1.1 EDSA: Belgische Aufsicht muss NOYB-Cookie-Beschwerde inhaltlich prüfen (Binding Decision 1/2026)

14.07.2026 · EDPB

Zusammenfassung: Der Europäische Datenschutzausschuss (EDSA) hat am 14. Juli 2026 seine Binding Decision 1/2026 veröffentlicht. Die belgische Datenschutzbehörde als federführende Aufsicht wollte eine Beschwerde der Organisation NOYB gegen die Cookie-Banner-Praxis des flämischen Rundfunks VRT aus prozessualen Gründen abweisen — mit der Begründung, NOYB habe seine Rechte nach Art. 77 und Art. 80 Abs. 1 DSGVO rechtsmissbräuchlich (weil „industriell“) ausgeübt. Die österreichische Aufsicht legte Widerspruch ein; der EDSA gab ihr recht: Ein Rechtsmissbrauch liegt nicht vor. Die belgische Behörde muss die Beschwerde nun materiell prüfen und einen neuen Entscheidungsentwurf nach Art. 60 Abs. 3 DSGVO vorlegen. Ob die VRT-Cookie-Banner tatsächlich rechtswidrig sind, ist damit noch nicht entschieden.

Hintergrund & Einordnung: Der Beschluss setzt die Messlatte für den „Rechtsmissbrauch“-Einwand bei Massenbeschwerden hoch: Aufsichtsbehörden können koordinierte NOYB-Wellen nicht allein wegen ihres systematischen Charakters abweisen. Für Unternehmen, gegen die solche Beschwerden laufen, bedeutet das, dass die zuständige Behörde in der Sache ermitteln muss — die formale Abwehr über den Missbrauchsvorwurf entfällt.

Praxisfolgen / Handlungsempfehlung: Betreiber von Websites mit Cookie-Bannern sollten deren Rechtskonformität (echte Wahlfreiheit, gleichwertige Ablehnen-Option, Transparenz nach Art. 13 DSGVO und § 25 TDDDG) unabhängig von der Missbrauchsdebatte sicherstellen. Wer Ziel einer NOYB-Beschwerde ist, muss mit einer materiellen Prüfung rechnen.

2.1 MuddyWater (Iran): staatliche Spionage getarnt als Chaos-Ransomware

Juli 2026 · Rapid7 · SecurityWeek

Zusammenfassung: Der Sicherheitsdienstleister Rapid7 hat eine Intrusion analysiert, bei der die iranische APT-Gruppe MuddyWater (dem Nachrichtendienst MOIS zugerechnet) ihre Aktivitäten als Chaos-Ransomware-Angriff tarnte. Der Erstzugang erfolgte über Social Engineering per Microsoft Teams (Screen-Sharing zur Abgreifung von Zugangsdaten und Manipulation der Mehr-Faktor-Authentisierung). Die Angreifer betrieben Aufklärung, sammelten Zugangsdaten und exfiltrierten Daten — legten aber nie tatsächlich verschlüsselnde Ransomware ab. Chaos-Artefakte wurden als „False Flags“ platziert, um die Forensik auf eine Schadensbeurteilung statt auf das Aufspüren staatlicher Persistenz zu lenken. Belege für MuddyWater sind u. a. ein bekanntes Code-Signing-Zertifikat und eine zuvor gegen westliche Ziele genutzte C2-Domain.

Hintergrund & Einordnung: Das Muster — Ransomware als Tarnung für Spionage — ist gefährlich, weil Incident-Response-Teams bei einem Ransomware-Alarm reflexhaft auf Wiederherstellung fokussieren statt auf das Aufspüren dauerhafter Zugänge. MuddyWater hat auch Ziele in Deutschland und Westeuropa. Der Teams-basierte Erstzugang ohne klassischen Phishing-Link umgeht E-Mail-Filter.

Praxisfolgen / Handlungsempfehlung: Unaufgeforderte Teams-Screen-Sharing- und Kontaktanfragen als Angriffsvektor behandeln und in der Awareness schulen. Nach einem vermeintlichen Ransomware-Vorfall gezielt nach Persistenzmechanismen und Datenabfluss suchen, nicht nur den Verschlüsselungsschaden bewerten. MFA gegen Echtzeit-Manipulation (z. B. Phishing-resistente Verfahren) härten.

3.1 SAP-Patchday Juli: CVSS-9,9-Lücke im NetWeaver-Kernel

14.07.2026 · GBHackers · BleepingComputer

Zusammenfassung: SAP hat am 14. Juli 2026 seinen monatlichen Security Patch Day mit 16 Schwachstellen veröffentlicht, davon vier kritische. CVE-2026-44747 (CVSS 9,9) ist eine Memory-Corruption-Schwachstelle in mehreren SAP-Kernel-Releases, die von NetWeaver AS ABAP genutzt werden; ein niedrig-privilegierter Angreifer kann sie remote ausnutzen und das System vollständig kompromittieren. Hinzu kommen CVE-2026-27690 (CVSS 9,1, HTTP Request Smuggling in SAP AppRouter vor Version 20.10, unauthentifiziert), CVE-2026-44761 (CVSS 9,1, unsichere Sample-Credentials in SAP Commerce Cloud) und CVE-2026-40128 (CVSS 9,0, Directory Traversal in NetWeaver AS Java). Aktive Ausnutzung ist bislang nicht gemeldet.

Hintergrund & Einordnung: SAP-NetWeaver-Systeme sind in DAX-Konzernen und Behörden allgegenwärtig und waren bereits 2025 ein bevorzugtes Ziel von APT-Gruppen. Internet-exponierte AppRouter-Deployments und Commerce-Cloud-Installationen mit Standard-Zugangsdaten sind unmittelbar angreifbar; das bekannte Muster lässt eine rasche Weaponisierung erwarten.

Praxisfolgen / Handlungsempfehlung: Die vier kritischen Lücken priorisiert patchen. Sample-/Standard-Credentials in Commerce Cloud sofort ändern, AppRouter-Versionen aktualisieren und internet-exponierte SAP-Komponenten hinter zusätzliche Zugangskontrollen legen.

3.2 VMware Avi Load Balancer: unauthentifizierter Auth-Bypass (CVE-2026-47865, CVSS 9,8)

14./15.07.2026 · SecurityWeek · The Hacker News

Zusammenfassung: Broadcom hat mit Advisory VMSA-2026-0005 sieben Schwachstellen im VMware Avi Load Balancer geschlossen. Die kritischste, CVE-2026-47865 (CVSS 9,8), ist ein Authentication-Bypass, über den ein Angreifer mit Netzwerkzugang die Control Plane des Load Balancers vollständig und ohne Authentifizierung übernehmen kann. Weitere Lücken erlauben Remote Code Execution (CVE-2026-47867/47869, je CVSS 8,7), lokale Rechteausweitung und Directory Traversal. Entdeckt wurden sie u. a. vom NATO Cyber Security Centre. Aktive Ausnutzung ist bislang nicht bekannt.

Hintergrund & Einordnung: Der Avi Load Balancer verbindet Application Delivery mit einer integrierten Web Application Firewall — die Übernahme der Control Plane bedeutet Kontrolle über Traffic-Steuerung und WAF-Regeln zugleich, besonders kritisch in Hybrid-Cloud- und Kubernetes-Umgebungen. Die Entdeckung durch eine NATO-Stelle unterstreicht die strategische Relevanz.

Praxisfolgen / Handlungsempfehlung: Umgehend die von Broadcom bereitgestellten Fixes einspielen und den Zugriff auf die Management-/Control-Plane strikt segmentieren. Konfiguration und Logs nach dem Update auf Auffälligkeiten prüfen.

3.3 Browser: kritische Firefox- und Chrome-Lücken mit öffentlichem Exploit-Code

Juli 2026 · The Hacker News

Zusammenfassung: Mozilla hat mit Firefox 152.0.6 zwei kritische Lücken geschlossen: CVE-2026-15718 (fehlerhafter Zeiger in der JavaScript-/WebAssembly-Komponente) und CVE-2026-15719 (Site-Isolation-Fehler in der DOM-Navigation). Für beide existiert öffentlich verfügbarer Exploit-Code; Angriffe in freier Wildbahn sind laut Mozilla noch nicht bekannt. Parallel behebt ein Chrome-Update (150.0.7871.124/.125) zwei kritische Use-after-free-Lücken in der Grafik-Schicht (CVE-2026-15764, CVE-2026-15765).

Hintergrund & Einordnung: Öffentlich verfügbarer Exploit-Code ohne bestätigte Ausnutzung bedeutet ein sehr enges Zeitfenster bis zu den ersten Angriffen. WebAssembly und DOM-Navigation sind in praktisch jeder Web-Sitzung aktiv — die Angriffsfläche ist maximal breit und betrifft Privat- wie Firmengeräte.

Praxisfolgen / Handlungsempfehlung: Sofort auf Firefox 152.0.6 bzw. die aktuelle Chrome-Version aktualisieren. In Unternehmen den automatischen Browser-Rollout erzwingen und veraltete Stände über das Management-System aufspüren.

4.1 EuGH (NADA): Doping-Veröffentlichung nur mit Verhältnismäßigkeitsprüfung, nicht über das Sperrende hinaus

EuGH (Große Kammer) · 14.07.2026 · C-474/24 · Volltext (EUR-Lex) · CSA-Aufbereitung

Sachverhalt: Vier österreichische Berufssportler wurden wegen Verstößen gegen das Anti-Doping-Bundesgesetz (ADBG) gesperrt. NADA Austria und die ÖADR veröffentlichten auf ihren Websites Name, Sportart, Verstoß, Sanktion sowie Beginn und Ende der Sperre — teils mit Nennung des verbotenen Wirkstoffs. Die Sportler verlangten Löschung; die österreichische Datenschutzbehörde wies die Beschwerden ab (eine Sportlerin war noch nicht veröffentlicht, ihre Sperre stand aber bevor). Das Bundesverwaltungsgericht legte dem EuGH sieben Fragen vor.

Entscheidung: Der EuGH (Große Kammer, Urteil vom 14.07.2026 – C-474/24) entschied: (1) Die Veröffentlichung fällt in den Anwendungsbereich der DSGVO. (2) Der Dopingverstoß ist grundsätzlich kein Gesundheitsdatum (Art. 9) — außer bei Nennung des Wirkstoffs mit ableitbarem Gesundheitsbezug. (3) Die Veröffentlichungspflicht ist mit Art. 5/6 DSGVO nur vereinbar, wenn eine individuelle Verhältnismäßigkeitsprüfung vor der Veröffentlichung möglich ist; über das Sperrende hinaus ist sie grundsätzlich unverhältnismäßig. (4) Art. 10 DSGVO (strafrechtliche Daten) ist nicht anwendbar. (5) Eine Präventivbeschwerde nach Art. 77 DSGVO ist bei unmittelbar bevorstehender Veröffentlichung zulässig.

Begründungs-Kernpunkte: Die Ausnahme für nationale Sicherheit (Art. 2 Abs. 2 lit. a) greift nicht; Erwägungsgrund 112 erkennt Anti-Doping-Datenverarbeitung als öffentliches Interesse an. Die namentliche Veröffentlichung ist bei Berufssportlern geeignet und erforderlich, aber die Natur der Internet-Verbreitung (unbegrenzte Empfänger, Suchmaschinen, Stigmatisierung) verschärft die Verhältnismäßigkeitsanforderungen. Eine gesetzliche Typisierung mit Ausnahmen (Freizeitsportler, Schutzbedürftige, Whistleblower) reicht nur, wenn zusätzlich eine Einzelfallabwägung möglich ist; die Dauer der Veröffentlichung ist ein zentraler Faktor (Anknüpfung an SCHUFA-Restschuldbefreiung, C-26/22). Anti-Doping-Verstöße wirken wie Disziplinarstrafen für eine bestimmte Gruppe und fallen nicht unter Art. 10.

Praxisfolgen: Namentliche Sanktions-Veröffentlichungen bleiben zulässig, erfordern aber eine dokumentierte Einzelfall-Verhältnismäßigkeitsprüfung und sind zeitlich auf die Sanktionsdauer zu begrenzen; über das Sperrende hinaus ist zu löschen. Das Muster ist auf andere öffentliche Sanktions- und Registerlisten übertragbar (Gewerbeuntersagungen, Berufsverbote, Compliance-Veröffentlichungen). Österreich muss das ADBG nachschärfen; das Urteil wirkt über alle WADA-Code-Umsetzungen unionsweit. Präventivbeschwerden bei drohender Veröffentlichung sind zulässig. Die vollständige Aufbereitung liegt als CSA-Beitrag vor: ur-457.

4.2 OLG Stuttgart (4 U 372/24): Keine unmittelbare Plattform-Haftung für Drittseiten-Tracking

OLG Stuttgart · 07.07.2026 · 4 U 372/24 · Bericht

Sachverhalt: Ein Nutzer klagte gegen eine Social-Media-Plattform wegen Trackings auf Drittseiten ohne wirksame Einwilligung und verlangte Unterlassung und Schadensersatz.

Entscheidung: Das OLG Stuttgart (Urteil vom 07.07.2026, Az. 4 U 372/24) entschied differenziert: Die bloße Bereitstellung von Tracking-Werkzeugen durch die Plattform begründet keine unmittelbare DSGVO-Haftung gegenüber dem Nutzer für Vorgänge auf Drittseiten — verantwortlich sind primär die Drittseiten-Betreiber. Ein Unterlassungsanspruch gegen die Speicherung bereits übermittelter Daten wurde jedoch bejaht (Grundlage BGB), dazu 500 Euro Schadensersatz für Kontrollverlust. Wegen Divergenz zu anderen OLG-Urteilen wurde die Revision zum BGH zugelassen.

Begründungs-Kernpunkte: Die Verantwortlichkeit für die konkrete Datenverarbeitung liegt beim Betreiber der Website, der das Tracking-Tool einbindet und die Einwilligung einholt (bzw. nicht einholt). Der Tool-Anbieter haftet nicht automatisch für alle nachgelagerten Verwendungen. Die abweichende Rechtsprechung anderer Oberlandesgerichte macht eine höchstrichterliche Klärung erforderlich.

Praxisfolgen: Für Website-Betreiber bleibt die wirksame Einwilligung vor dem Setzen von Tracking-Pixeln das zentrale Pflichtprogramm — sie tragen die primäre Verantwortung. Die BGH-Revision wird die entscheidende Klärung bringen; bis dahin besteht Rechtsunsicherheit über die Reichweite der Plattform-Mitverantwortung.

5.1 Italien: 6,624 Mio. Euro (Garante) gegen Poste Italiane wegen exzessiver Datenerhebung

17.04.2026 (neu im Tracker KW 28) · GDPR Enforcement Tracker (ETid-3178)

Behörde: Garante per la protezione dei dati personali (Italien) · Adressat: Poste Italiane S.p.A. · Höhe: 6.624.000 Euro

Verstoß / Rechtsgrundlage: Art. 5, 6, 13, 25, 28, 32 und 35 DSGVO.

Begründung: Poste Italiane setzte in seiner Banking-App das Betrugspräventions-Werkzeug ThreatMetrix als verpflichtende Komponente für alle Nutzer ein. Der Garante rügte eine übermäßige Datenerhebung ohne Datenminimierung, eine fehlende tragfähige Rechtsgrundlage, unzureichende Transparenz (Art. 13), das Fehlen eines Auftragsverarbeitungsvertrags mit dem Tool-Anbieter (Art. 28) und einer Datenschutz-Folgenabschätzung (Art. 35) sowie überlange Speicherfristen. Der Pflicht-Charakter ohne Opt-out wurde als unzulässig gewertet (Bescheiddatum 17. April 2026, neu im Enforcement-Tracker der KW 28).

Praxisfolgen: Der Fall ist richtungsweisend für Betrugspräventions- und Sicherheits-Tools in Finanz- und anderen Apps: Der legitime Sicherheitszweck rechtfertigt keine pauschale, verpflichtende Exzess-Datenerhebung. Vergleichbare Konstellationen bestehen bei Telematik-Tarifen und digitalen Banking-Apps. Wer solche Tools einsetzt, braucht eine dokumentierte Rechtsgrundlage, Datenminimierung, einen AV-Vertrag, eine DSFA und klare Speicherfristen.

6.1 Oracle E-Business Suite: CVE-2026-46817 jetzt aktiv ausgenutzt (CISA-KEV)

15.07.2026 (KEV) · BleepingComputer

Zusammenfassung: Die am 30. Juni in diesem Briefing behandelte Schwachstelle in Oracle E-Business Suite (CVE-2026-46817, CVSS 9,8, unauthentifizierte Übernahme des Oracle-Payments-Moduls über die File-Transmission-Komponente) wird nun aktiv ausgenutzt. CISA nahm sie am 15. Juli 2026 in den KEV-Katalog auf. Betroffen sind EBS-Versionen 12.2.3 bis 12.2.15; Oracle hatte den Patch bereits am 29. Mai (Critical Patch Update) bereitgestellt. Sicherheitsforscher beobachteten erste Ausnutzung Ende Juni; laut Scandaten sind noch mehrere Hundert EBS-Instanzen öffentlich erreichbar. Der Vorgänger CVE-2025-61882 war 2025 von der Cl0p-Ransomware-Gruppe ausgenutzt worden.

Hintergrund & Einordnung: Dies ist ein Verlaufshinweis zu einer bereits gemeldeten Lücke, keine neue Schwachstelle. Oracle EBS ist in vielen Konzernen und Behörden der ERP-Kern mit direkter Anbindung an Zahlungsprozesse — eine unauthentifizierte Übernahme ist maximal kritisch. Die aktive Ausnutzung trotz seit Mai verfügbarem Patch deutet auf Reverse-Engineering des Patches (Patch-Diffing) hin.

Praxisfolgen / Handlungsempfehlung: Wer internet-exponiertes Oracle EBS betreibt, sollte sofort patchen oder die Instanz vom Netz nehmen und auf Kompromittierung prüfen (u. a. verdächtige Zugriffe auf /OA_HTML/ibytransmit, ungewöhnliche Dateisystem-Abfragen). Das Cl0p-Muster mahnt zur Eile: Solche Lücken werden erfahrungsgemäß zügig in Massenkampagnen überführt.