1. Verbraucherschutz gegen „Dark Patterns“: der Kündigungsweg wird geradegezogen

Seit Donnerstag, 16. Juli 2026 · zuletzt aktualisiert Freitag, 17. Juli 2026 · Score 82

Der BGH (I ZR 200/25) verbietet auf der Bestätigungsseite des Online-Kündigungsbuttons jede über § 312k Abs. 2 Satz 3 BGB hinausgehende Angabe — im Streitfall einen „Vertrag pausieren“-Button der Fitnessstudiokette FitX. Die Vorschrift ist abschließend; es gibt keine Bagatellgrenze. Die Entscheidung reiht sich in die verschärfte Rechtsprechung zu Kündigungs- und Widerrufsbuttons ein.

Letzte Entwicklung: Die Ausgestaltung der Bestätigungsseite ist auf eine reine Erfassungs- und Bestätigungsmaske reduziert; Kundenbindungsmaßnahmen sind nur an anderer Stelle (Nutzerkonto, E-Mail nach Kündigungseingang) zulässig. Betroffen sind branchenübergreifend alle Anbieter mit § 312k-Kündigungsbutton.

2. KI-Chatbots als Datenabfluss-Kanal: LeakyLM und die aufsichtsrechtliche Reaktion

Seit Anfang Mai 2026 · zuletzt aktualisiert Freitag, 17. Juli 2026 · Score 76

Die Studie „LeakyLM“ (IMDEA Networks) zeigt, dass ChatGPT, Claude, Grok und Perplexity über eingebettete Tracker Gesprächsinhalte und Nutzungsdaten an Werbenetzwerke von Meta, Google, TikTok und LinkedIn weiterreichen — teils serverseitig an Ad-Blockern vorbei. Die spanische AEPD drängt den Europäischen Datenschutzausschuss zur Koordinierung.

Letzte Entwicklung: Keiner der betroffenen Anbieter hat bislang reagiert; die aufsichtsrechtliche Eskalation auf EU-Ebene läuft. Für Unternehmen mit KI-Assistenten im Arbeitsalltag verschiebt sich das Risiko von der Modellantwort zur unbemerkten Drittdaten-Weitergabe.

1.1 LeakyLM: KI-Chatbots geben Gesprächs- und Nutzungsdaten an Werbe-Tracker weiter — AEPD eskaliert an den EDSA

Mai–Juli 2026 · IMDEA Networks / LeakyLM

Zusammenfassung: Forscher des IMDEA Networks Institute veröffentlichten Anfang Mai 2026 die Studie „LeakyLM“, die vier führende KI-Assistenten — ChatGPT, Claude, Grok und Perplexity — auf eingebettetes Drittanbieter-Tracking untersuchte. Sie identifizierten über ein Dutzend Tracker, darunter Meta Pixel, Google Analytics, TikTok Pixel und die LinkedIn Conversions API. Besonders kritisch: Bei Grok sind Gast-Gespräche standardmäßig öffentlich zugänglich, und über eine TikTok-Integration wurden Gesprächsinhalte im Wortlaut übermittelt; bei Claude laufen mehrere Werbenetzwerk-Verbindungen serverseitig — also an clientseitigen Ad-Blockern vorbei. Die Datenschutzbehörden wurden bereits am 13. April 2026, noch vor der Publikation, informiert. Die spanische AEPD hat den Europäischen Datenschutzausschuss (EDSA) auf Basis der Ergebnisse zur koordinierten Prüfung gedrängt, nachdem keiner der Anbieter reagiert hat.

Hintergrund & Einordnung: Der Befund verschiebt das Datenschutzrisiko von KI von der oft diskutierten Modell- und Trainingsdatenfrage hin zur klassischen Web-Tracking-Problematik im Frontend: Nutzereingaben in ein Chat-Fenster sind potenziell so exponiert wie Formulareingaben auf einer beliebigen tracker-verseuchten Website — nur dass die Eingaben hier oft besonders sensibel sind (Gesundheit, Finanzen, Interna). Die serverseitige Weitergabe umgeht die üblichen Schutzmaßnahmen. Dass eine nationale Aufsicht den EDSA einschaltet, deutet auf ein potenziell länderübergreifendes Verfahren nach dem Kohärenzmechanismus hin.

Praxisfolgen / Handlungsempfehlung: Für den geschäftlichen Einsatz gilt: Consumer-Weboberflächen von KI-Chatbots sind für vertrauliche Inhalte ungeeignet. Enterprise- und API-Zugänge mit vertraglich zugesicherter Zero-Data-Retention und ohne Werbe-Tracking sind vorzuziehen. Wer KI-Assistenten in Arbeitsprozesse einbindet, sollte die eingebundenen Dritt-Domains technisch prüfen (Netzwerkanalyse) und die Nutzung in der Datenschutz-Folgenabschätzung berücksichtigen. Für Privatnutzer: keine sensiblen Daten in die Gratis-Web-Chats eingeben, Grok-Gastmodus meiden.

2.1 292 gefälschte GitHub-Repositories verteilen den Infostealer BoryptGrab

13.07.2026 · Arctic Wolf

Zusammenfassung: Arctic Wolf hat eine seit dem 26. Juni 2026 laufende Kampagne dokumentiert, in der ein unbekannter Bedrohungsakteur mindestens 292 gefälschte GitHub-Repositories betreibt. Diese imitieren bekannte Marken aus den Bereichen Security-Tools, Fintech, Krypto-Wallets und Entwickler-Software — darunter eine gefälschte Arctic-Wolf-Seite. Der ausgelieferte Infostealer trägt den Namen BoryptGrab und nutzt DLL-Side-Loading über einen legitimen Updater und eine trojanisierte libcurl.dll; er läuft vollständig im Arbeitsspeicher und stiehlt Zugangsdaten aus über 19 Browsern, 41 Krypto-Wallet-Pfaden sowie Discord-, Steam- und Telegram-Sitzungen. Die Exfiltration geht an eine Command-and-Control-Adresse in Russland. Zum Analysezeitpunkt waren von 292 Repositories noch 78 aktiv.

Hintergrund & Einordnung: Die Kampagne missbraucht das Vertrauen in GitHub als vermeintlich seriöse Bezugsquelle. Suchmaschinen- und GitHub-interne Suchtreffer führen Nutzer zu den gefälschten Projekten, deren README-Dateien und Release-Assets professionell wirken. Die In-Memory-Ausführung und das Side-Loading über legitime Binärdateien erschweren die Erkennung durch signaturbasierte Schutzsoftware. Krypto-Nutzer und Entwickler sind das primäre Ziel — Letztere, weil kompromittierte Entwickler-Credentials Türen zu Lieferketten öffnen.

Praxisfolgen / Handlungsempfehlung: Software ausschließlich aus den offiziellen, verifizierten Projektquellen beziehen und die Repository-Reputation (Stern-Historie, Maintainer, Commit-Verlauf) prüfen — frisch angelegte Repos mit vielen Downloads sind verdächtig. Release-Binärdateien vor der Ausführung in einer Sandbox oder über Reputationsdienste kontrollieren. In Unternehmen Application-Allowlisting und EDR mit Verhaltenserkennung (Side-Loading, ungewöhnliche libcurl-Ladepfade) einsetzen; kompromittierte Krypto-Wallets und Sessions gelten als sofort verloren.

3.1 Zoom: kritische Kontoübernahme-Lücke CVE-2026-53412 (CVSS 9,8)

14.07.2026 · Zoom Security Bulletin ZSB-26014

Zusammenfassung: Zoom hat mit dem Security Bulletin ZSB-26014 die Schwachstelle CVE-2026-53412 (CVSS 9,8, CWE-20 Improper Input Validation) geschlossen. Betroffen sind Zoom Workplace für Windows vor Version 7.0.0 sowie der VDI Client vor 7.0.10 / 6.6.15 / 6.5.18. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) bedeutet: remote ausnutzbar, ohne Authentifizierung, ohne Nutzerinteraktion. Ein Angreifer kann darüber eine vollständige Kontoübernahme durchführen — mit Zugriff auf Meetings, Cloud-Chats und potenziell verketteten SSO-Zugängen. Zoom entdeckte die Lücke durch das eigene Offensive-Security-Team; erstveröffentlicht am 14. Juli 2026, überarbeitet am 15. Juli. Aktive Ausnutzung ist bislang nicht bekannt.

Hintergrund & Einordnung: Zoom ist in Unternehmen, Behörden und Bildungseinrichtungen tief verankert; eine unauthentifizierte, interaktionsfreie Übernahme ist der kritischste denkbare Lückentyp, weil sie sich massenhaft und automatisiert ausnutzen lässt. Der Zugriff auf Cloud-Chats und Meeting-Aufzeichnungen kann sensible Kommunikation offenlegen; über SSO-Verkettungen droht laterale Ausweitung. Dass Zoom die Lücke selbst fand, verringert das Zeitfenster, ändert aber nichts an der Update-Dringlichkeit.

Praxisfolgen / Handlungsempfehlung: Zoom Workplace für Windows umgehend auf Version 7.0.0 aktualisieren, den VDI Client auf die genannten Fixversionen. In verwalteten Umgebungen den automatischen Rollout erzwingen und veraltete Clients über das Management-System aufspüren. SSO-Kopplungen und Admin-Konten mit Phishing-resistenter MFA absichern.

3.2 Hoymiles-Wechselrichter: per unverschlüsseltem Funk manipulierbar — Fix erst 30. August

06.07.2026 · Chaos Computer Club

Zusammenfassung: Der Sicherheitsforscher Benedikt Heinz („Hunz“) hat, koordiniert mit dem Chaos Computer Club, in den Hoymiles-Mikroinverter-Serien HM, HMS und HMT eine unverschlüsselte Funkkommunikation auf 868 MHz und 2,4 GHz nachgewiesen. Ein undokumentierter Broadcast-Befehl bringt jeden Wechselrichter dazu, seine Seriennummer im Klartext zu senden — und diese Seriennummer dient zugleich als Standardpasswort (die letzten acht Ziffern). Damit lassen sich Wechselrichter aus der Funkreichweite auslesen und steuern, bis hin zum gezielten Ein- und Ausschalten der Einspeisung. Die Schwachstellen wurden am 12. März 2026 an Hoymiles, CERT-Bund und Bundesnetzagentur gemeldet; erst nach der CCC-Veröffentlichung kündigte Hoymiles ein Firmware-Update mit AES-128-CBC-Verschlüsselung für den 30. August 2026 an. Bis dahin existiert kein Patch.

Hintergrund & Einordnung: Balkonkraftwerke und kleine PV-Anlagen mit Hoymiles-Invertern sind in Deutschland massenhaft verbreitet. Einzeln betrachtet ist das Risiko lokal (Funkreichweite), in der Summe jedoch netzrelevant: Ein koordiniertes, großflächiges Zu- oder Abschalten vieler Anlagen könnte Rückwirkungen auf die Netzstabilität haben — ein Szenario, das die Bundesnetzagentur-Meldung erklärt. Dass Seriennummer und Passwort identisch sind, macht den Angriff trivial. Die lange Frist bis zum Fix (mehr als fünf Monate nach der Meldung) ist der kritische Punkt.

Praxisfolgen / Handlungsempfehlung: Betreiber sollten das Passwort der Datenübertragungseinheit (DTU) manuell auf einen individuellen Wert ändern, sofern das Gerät das zulässt, und das WLAN/Heimnetz der Anlage vom übrigen Netz segmentieren. Die Firmware ab dem 30. August zeitnah einspielen. Installateure und Stadtwerke sollten betroffene Bestände inventarisieren und das Update im Rollout einplanen.

4.1 BGH (I ZR 200/25): Bestätigungsseite beim Kündigungsbutton darf keine Kündigungsalternativen enthalten

BGH, I. Zivilsenat · 16.07.2026 · I ZR 200/25 · PM Nr. 128/2026

Sachverhalt: Der Bundesverband der Verbraucherzentralen (vzbv) klagte gegen die Fitnessstudiokette FitX. Auf deren Website führte ein Klick auf die Kündigungsschaltfläche „Vertrag kündigen“ zu einer Bestätigungsseite, die neben dem Kündigungsformular und einer Bestätigungsschaltfläche im oberen Teil einen prominent gestalteten Hinweis samt orangefarbenem Button „Vertrag im Selfservice pausieren“ enthielt — als beitragsfreie Alternative zur Kündigung. Der vzbv sah darin einen Verstoß gegen § 312k Abs. 2 Satz 3 und 4 BGB und verlangte Unterlassung.

Entscheidung: Der I. Zivilsenat des BGH (Urteil vom 16.07.2026 – I ZR 200/25) gab der Revision des vzbv statt, hob das klageabweisende Urteil des OLG Düsseldorf (20 UKl 1/25) insoweit auf und verurteilte FitX zur Unterlassung. Die Ausgestaltung der Bestätigungsseite ist in § 312k Abs. 2 Satz 3 BGB abschließend geregelt; über die dort vorgesehenen Angaben (Art der Kündigung, eindeutige Vertragsbezeichnung) einschließlich der Bestätigungsschaltfläche hinausgehende Angaben, Angebote oder Informationen sind unzulässig.

Begründungs-Kernpunkte: § 312k BGB sieht ein zweistufiges Verfahren vor (Kündigungsschaltfläche → Bestätigungsseite); die Bestätigungsseite dient allein der Erfassung der für die Kündigung erforderlichen Angaben und der Abgabe der Kündigungserklärung. Das folgt aus Wortlaut und Systematik und dient dem Zweck, eine einfache und unkomplizierte Kündigungsmöglichkeit im elektronischen Geschäftsverkehr zu schaffen. Eine Bagatell- oder Erheblichkeitsschwelle kennt die Vorschrift nicht: Auch eine sachliche, nicht aufdringliche Zusatzinformation ist verboten, weil jeder Zusatz vom Kündigungswunsch ablenken kann. Damit verwirft der BGH die Abwägungslösung der Vorinstanz.

Praxisfolgen: Betroffen sind branchenübergreifend alle Unternehmen mit einem Kündigungsbutton nach § 312k BGB — Fitnessstudios, Streaming, Telekommunikation, Software-Abos, Vereine. Die Bestätigungsseite ist auf eine reine Erfassungs- und Bestätigungsmaske zu reduzieren; unzulässig sind Pausier- und Downgrade-Buttons, Rabattangebote, emotionale Bilder sowie Cross-Selling- und Bewertungselemente. Kundenbindung bleibt erlaubt, aber nur an anderer Stelle (reguläres Nutzerkonto, E-Mail nach Eingang der Kündigung). Verstöße sind durch Mitbewerber und qualifizierte Einrichtungen abmahnbar; ein nicht gesetzeskonformer Kündigungsprozess kann ein Sonderkündigungsrecht der Verbraucher auslösen. Die vollständige Aufbereitung liegt als CSA-Beitrag vor: ur-459.

5.1 Italien: 17,628 Mio. Euro (Garante) gegen Intesa Sanpaolo wegen Isybank-Zwangsmigration

12.03.2026 · Garante / privacy.it

Behörde: Garante per la protezione dei dati personali (Italien) · Adressat: Intesa Sanpaolo S.p.A. · Höhe: 17.628.000 Euro

Verstoß / Rechtsgrundlage: Unrechtmäßige Profilierung ohne tragfähige Rechtsgrundlage (Art. 6 Abs. 1 lit. f DSGVO — „legitimes Interesse“ nicht belegt), mangelnde Transparenz und einseitige Vertragsänderung.

Begründung: Der Garante verhängte das Bußgeld mit Bescheid vom 12. März 2026 (Docweb-Nr. 10230412). Intesa Sanpaolo hatte rund 2,4 Millionen Kunden ohne geeignete Rechtsgrundlage nach Kriterien wie Alter (bis 65 Jahre), Digitalaffinität und Vermögensschwelle profiliert und automatisch zur Volldigital-Tochter Isybank migriert — inklusive IBAN-Wechsel und Wegfall des Filialkontakts. Der Garante wertete dies als unzulässiges Profiling ohne hinreichende Interessenabwägung, als Transparenzmangel und als einseitige Vertragsänderung. Als empirischen Beleg für die Unzumutbarkeit führt die Behörde an, dass von 2,1 Millionen nachträglich erneut kontaktierten Kunden nur rund 76.000 (3,6 Prozent) dem Wechsel freiwillig zustimmten. Der Originalbescheid ist auf dem Garante-Server derzeit wegen eines laufenden Widerspruchsverfahrens (Opposizione) vorübergehend nicht abrufbar.

Praxisfolgen: Der Fall ist richtungsweisend für automatisierte Kundenmigrationen und Produktumstellungen im Finanzsektor: Eine großflächige Profilierung und Zwangsüberführung von Bestandskunden lässt sich nicht ohne Weiteres auf das „berechtigte Interesse“ stützen, wenn Betroffene wesentliche Nachteile (neue IBAN, wegfallende Filiale) tragen. Wer Kundenbestände segmentiert und migriert, braucht eine belastbare Rechtsgrundlage, eine dokumentierte Interessenabwägung, echte Transparenz und — bei wesentlichen Vertragsänderungen — die Zustimmung der Betroffenen statt eines Opt-out.

6.1 Spirals-Ransomware: vom Erstzugriff zur Vollverschlüsselung in unter 24 Stunden

16.07.2026 · Symantec Threat Hunter Team

Zusammenfassung: Das Symantec Threat Hunter Team (Broadcom) dokumentierte einen Angriff auf ein IT-Dienstleistungsunternehmen in Südasien vom 16. Juni 2026. Der Einstieg erfolgte über einen öffentlich exponierten IIS-Webserver mittels einer ASP.NET-Webshell. Innerhalb von zehn Minuten nach dem Erstzugriff installierten die Angreifer drei Netzwerk-Tunneling-Werkzeuge; innerhalb von rund drei Stunden waren Persistenz, Credential-Dump (SAM-Hive, LSASS), ein UAC-Bypass und die Deaktivierung von Microsoft Defender abgeschlossen. Die Rust-basierte Ransomware „Spirals“ verschlüsselt mit AES-128 in Kombination mit ECDH über die Kurve P-256, nutzt intermittierende Verschlüsselung für große Dateien und verteilte sich per PsExec über WMI auf mehr als ein Dutzend Systeme — der gesamte Ablauf vom Einbruch bis zur Vollverschlüsselung dauerte unter 24 Stunden. Die Erpressernachricht wird als C:\RECOVERY_SECTION.log abgelegt und droht mit Datenveröffentlichung binnen sechs Tagen.

Hintergrund & Einordnung: Die extrem kurze „Time-to-Ransom“ ist der eigentliche Befund: Traditionelle, auf tägliche Auswertungen ausgelegte Reaktionsprozesse greifen bei einem Ablauf unter 24 Stunden nicht mehr. Der Einstieg über eine Webshell auf einem exponierten IIS-Server ist ein klassischer, weiter hochwirksamer Vektor. Die Rust-Implementierung und die moderne Krypto-Kombination (AES + ECDH) erschweren Entschlüsselung ohne Schlüssel; die intermittierende Verschlüsselung beschleunigt den Durchlauf.

Praxisfolgen / Handlungsempfehlung: Internet-exponierte IIS-/Webserver auf Webshells und ungewöhnliche ASP.NET-Handler prüfen und Upload-Verzeichnisse strikt einschränken. Frühindikatoren wie das plötzliche Auftauchen von Tunneling-Tools, LSASS-Zugriffe und Defender-Deaktivierung müssen automatisiert und in Echtzeit alarmieren — nicht erst im Tagesreport. Offline- und immutable Backups sowie eine geübte Wiederherstellung sind angesichts der 24-Stunden-Kompromittierung entscheidend; PsExec-/WMI-Lateralbewegung durch Segmentierung und Least-Privilege eindämmen.