Aktuelle Phishing- und Betrugswellen

Die auffälligste Entwicklung ist ein zweistufiger Angriff auf Sparkassen-Kunden: Auf eine Phishing-Mail zum angeblichen S-pushTAN-Sicherheitsupdate folgt ein Anruf, bei dem die Betrüger per Call-ID-Spoofing eine echte Sparkassen-Rufnummer vortäuschen und am Telefon zur Freigabe einer TAN drängen. Die Kombination aus Mail und scheinbar legitimem Anruf hebelt das Misstrauen vieler Nutzer aus. Wichtig: Eine angezeigte Rufnummer ist kein Echtheitsbeweis, und kein Kreditinstitut lässt sich am Telefon eine TAN nennen oder freigeben.

Daneben laufen zwei klassische Marken-Imitationen: eine PayPal-Welle, die mit ausgesetzten Kontofunktionen droht und zur „Verifizierung“ auffordert, sowie eine Volksbank-Masche, die mit DSGVO und Geldwäschegesetz argumentiert und eine kurzfristige Datenbestätigung verlangt. Beide setzen auf Fristdruck und die Angst vor Kontosperrungen.

Übergeordnet warnten Behörden am 7. August vor einer Welle KI-generierter Phishing-Angriffe, die deutlich professioneller wirken als frühere Kampagnen — mit fehlerfreier Sprache, Vishing-Anrufen auf Microsoft-365- und Okta-Zugänge, QR-Code-Ködern (Quishing) und dem Missbrauch legitimer Cloud-Dienste zur Auslieferung. Die einzelnen Marken-Maschen sind Ausprägungen dieses Trends. Für alle gilt: Absender und Linkziel prüfen, keine Daten über verlinkte Formulare eingeben und im Zweifel den offiziellen Kanal wählen.

Was war los?

Der Tag wird technisch vom Microsoft-Patchday bestimmt: rund 400 geschlossene Schwachstellen, darunter ein bereits aktiv ausgenutzter Windows-Zero-Day und eine netzwerkbasierte Lücke im Windows-DNS-Server mit Wurm-Potenzial. Parallel stehen zwei weitere aktiv ausgenutzte Lücken im Fokus — eine kritische SQL-Injection im Analyse-Werkzeug Metabase und ein Zero-Day in Ciscos Firewalls. Für Privatanwender sind vor allem die Phishing-Wellen relevant, allen voran die zweistufige Sparkassen-Masche mit gefälschtem Anruf.

Was sich rechtlich geändert hat

Aus der Rechtsprechung liegt im heutigen Fenster keine neue, noch nicht behandelte Entscheidung mit Datenschutz- oder IT-Bezug vor — die Sommerpause dämpft den Output von Gerichten und Aufsichtsbehörden. Weiter relevant bleibt die laufende EU-Konsultation zu den neuen Anonymisierungs-Leitlinien des Europäischen Datenschutzausschusses, deren Frist am 30. Oktober endet.

IT-Detailansicht für Fachpublikum

Nachfolgend die sechs Fachkapitel sowie der KI-/LLM-Überblick für technische und rechtliche Fachleute: Management Summary, Top-Risiken, die Kapitel Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder und Cyber-Sicherheit, dazu Ausblick, Methodik und Quellenverzeichnis.

Top-Themen der Woche

Management Summary

Der August-Patchday dominiert die Lage. Microsoft schließt rund 400 Schwachstellen (Zählweisen zwischen 394 und 421), davon 42 kritisch. Sofort-Priorität hat CVE-2026-68820, eine Use-after-free-Schwachstelle im Kernel-Treiber AFD.sys (WinSock), die bereits aktiv ausgenutzt wird und lokal SYSTEM-Rechte verschafft — CISA hat sie am 11. August in den KEV-Katalog aufgenommen. In Kombination mit der öffentlich bekannten Rechteausweitung CVE-2026-62832 (User Profile Service) lässt sich aus einem einfachen Zugang ein vollständiger Systemkompromiss bauen. Netzwerkseitig sticht CVE-2026-62878 heraus, eine DNS-Server-RCE (CVSS 9,8) ohne Authentifizierung und ohne Nutzerinteraktion mit Wurm-Potenzial. Kritische Teams- und Azure-Lücken (CVE-2026-65667, CVSS 10, und CVE-2026-50515, CVSS 9,9) hat Microsoft bereits cloud-seitig geschlossen; hier besteht kein Handlungsbedarf.

Unabhängig vom Patchday hat CISA am 11. August zwei weitere aktiv ausgenutzte Lücken aufgenommen: eine unauthentifizierte SQL-Injection im Analyse-Werkzeug Metabase (CVE-2026-72898, CVSS 10) über den Passwort-Reset-Endpunkt, die zur vollständigen Übernahme der Instanz und aller angebundenen Datenbanken führt, sowie einen Zero-Day in Cisco ASA/FTD (CVE-2026-20349, CVSS 8,6), der über den SSL-VPN-Dienst einen Neustart des Geräts auslöst. Auf der Datenschutz- und Rechtsseite ist die Lage sommerbedingt dünn: keine neuen, noch nicht behandelten Urteile oder Bußgelder im Tagesfenster. Verbraucherseitig prägt eine zweistufige Sparkassen-Phishing-Masche (Mail plus gefälschter Anruf) das Bild, eingebettet in eine behördlich bestätigte Welle KI-generierter Phishing-Angriffe.

Die wichtigsten Punkte im Überblick

• Microsoft-Patchday: ~400 CVEs, 42 kritisch; Zero-Day CVE-2026-68820 (AFD.sys) aktiv ausgenutzt, CISA KEV 11.08. — sofort patchen
• CVE-2026-62878 (Windows DNS Server RCE, CVSS 9,8): netzwerkbasiert, kein Auth, Wurm-Potenzial
• CVE-2026-72898 (Metabase SQL-Injection, CVSS 10): unauthentifiziert, CISA KEV 11.08., aktiv ausgenutzt — alle selbst gehosteten Instanzen patchen
• CVE-2026-20349 (Cisco ASA/FTD, CVSS 8,6): aktiv ausgenutzter Zero-Day, DoS über SSL-VPN, CISA KEV 11.08.
• Teams/Azure-Höchstwert-CVEs bereits cloud-seitig gepatcht — kein Kundenaufwand
• Zweistufiges Sparkassen-Phishing (Mail + Call-ID-Spoofing-Anruf) seit 08.08.; PayPal- und Volksbank-Maschen parallel
• Behördenwarnung vom 07.08. vor KI-generierter Phishing-Welle (Vishing, Quishing, Cloud-Abuse)
• Urteile und Bußgelder: keine neuen, noch nicht behandelten Fälle im Tagesfenster

1. Datenschutz

Die datenschutzrechtliche Lage ist sommerbedingt ruhig: Von BfDI, Landesbehörden und dem Europäischen Datenschutzausschuss liegen im Tagesfenster keine neuen Entscheidungen oder Stellungnahmen vor. Die datenschutzrelevanten Impulse kommen heute aus der IT-Sicherheit — insbesondere aus der Metabase-Lücke, deren Ausnutzung direkten Zugriff auf angebundene Datenbanken und damit potenziell auf personenbezogene Daten eröffnet.

2. Datensicherheit

Ohne neue, unabhängig belegte Einzel-Datenpanne im Tagesfenster steht die strukturelle Lage im Vordergrund: Deutschland bleibt in europäischen Auswertungen das am häufigsten von Ransomware betroffene Land, wobei der Angriffsvektor zunehmend über Dienstleister und internet-exponierte Verwaltungsschnittstellen läuft. Genau dieses Muster spiegeln die heutigen IT-Sicherheitsmeldungen: Ein kompromittiertes Analyse-Werkzeug wie Metabase oder ein verwundbarer VPN-Endpunkt sind der Hebel, über den Angreifer an die eigentlich schützenswerten Datenbestände gelangen. Die praktische Konsequenz für die Datensicherheit ist unverändert: Internet-exponierte Management-Oberflächen minimieren, Backups isolieren und die Auftragsverarbeiter-Kette als Teil des eigenen Risikoprofils behandeln.

3. IT-Sicherheit

Der August-Patchday und zwei separate CISA-KEV-Neuaufnahmen bestimmen das Kapitel. Alle drei Schwerpunkte eint, dass sie bereits aktiv ausgenutzt werden oder maximales Risiko tragen.

4. Urteile

Im heutigen Tagesfenster liegt keine neue, noch nicht in einem früheren Briefing behandelte Gerichtsentscheidung mit Datenschutz- oder IT-Bezug vor. Mehrere über die Suche als „aktuell“ gelistete Entscheidungen (u. a. EuGH C-484/24 zur Beweisverwertung, C-414/24 zum parallelen Rechtsschutz, BGH VI ZR 97/22 zum immateriellen Schadensersatz) wurden bereits in früheren Ausgaben ausführlich behandelt und deshalb nicht erneut aufgenommen. Die Aufbereitung zu EuGH C-484/24 bleibt in der Urteils-Bibliothek verfügbar (ur-159).

5. Bußgelder

Es liegen keine neuen, unabhängig belegten und noch nicht behandelten DSGVO-Bußgeldbescheide europäischer oder deutscher Aufsichtsbehörden im Tagesfenster vor. Die jüngsten verifizierbaren Sanktionen (u. a. Garante gegen den Datenbroker Lusha und gegen Character.AI) stammen aus dem Juli und liegen damit außerhalb des Frische-Fensters — Verlässlichkeit geht vor Vollständigkeit.

6. Cyber-Sicherheit

Die Bedrohungslage verschiebt sich sichtbar in Richtung KI-gestützter Angriffe auf breiter Front.

KI & große Sprachmodelle

Der Wochenüberblick nach Anbietern für das Fenster 8.–12. August.

• OpenAI: Am 10. August erschien GPT-5.6-Cyber, ein spezialisiertes Sicherheitsmodell nur für geprüfte Verteidiger — über die Initiative „Daybreak“ mit den Stufen Blue (defensive Arbeit auf Basis von GPT-5.6 Sol) und Red (Schwachstellenforschung). Zeitgleich kamen Alltagsfunktionen wie Restaurant-Reservierungen hinzu.
• Anthropic: Kein neues Basismodell im Fenster. Claude Code erhielt laufende Verbesserungen (2.1.225–2.1.228), am 11. August meldete die Developer Platform eine erweiterte Compliance-API für Cowork und Claude Code, am 10. August behält Claude Sonnet 5 seinen Einführungspreis. Ein „Claude Fable 5.1″ ist unbestätigt.
• Google: Nichts Neues im Fenster; die jüngsten Gemini-Bewegungen lagen davor. Das Preview-Modell gemini-robotics-er-1.6 wird zum 31. August abgekündigt.
• Meta: Mit Muse Glimmer (10. August) veröffentlichte das neue Meta Superintelligence Lab sein erstes Modell — ein 30-Milliarden-Parameter-Multimodal-Modell für lokale Agenten-Workloads, optimiert für Apple Silicon (Ollama MLX) sowie NVIDIA/AMD.
• Mistral, DeepSeek, Alibaba/Qwen: Kein neues Release im Fenster; die jüngsten Schritte (Shieldstral, DeepSeek-V4-Flash, Qwen3.8-Max) lagen Anfang August davor.
• xAI: Das für diese Woche angekündigte Grok 4.6 ist bis zum 12. August nicht erschienen; die offiziellen Release-Notes führen für den 8. August nur ein Bildmodell und Build-Updates. Ein Release ist damit unbestätigt.

Ausblick / Termine

• 30.10.2026: Ende der öffentlichen Konsultation zu den EDPB-Leitlinien 02/2026 (Anonymisierung).
• 31.08.2026: Abkündigung des Preview-Modells gemini-robotics-er-1.6.
• 27.09.2026: EmpCo-Umsetzung im UWG (Green Claims), Bußgelder bis 4 % Jahresumsatz.
• 02.12.2026: maschinenlesbare Kennzeichnungspflicht für generative KI-Inhalte nach Art. 50 KI-VO (Übergangsfrist).
• Offen: BGH I ZR 260/26 zur Frage „Daten als Gegenleistung“ (Gesamtpreis-Angabe).

Methodik

Stichtag dieses Briefings ist der 12. August 2026. Bevorzugt werden Primär- und Behördenquellen (CISA-Alerts, Hersteller-Advisories, Aufsichtsbehörden, Gerichte mit Aktenzeichen) sowie etablierte Fachmedien; jede Meldung ist über einen konkreten Deep-Link belegt, Übersichtsseiten werden nicht verwendet. Meldungen, deren Sachverhalt sich bei Prüfung als bereits gebracht oder als mehrere Wochen alt erwies, wurden gestrichen — darunter die EuGH-Urteile C-484/24 und C-414/24 (schon im Juni behandelt) und mehrere Juli-Bußgelder. Englischsprachige Quellen sind ins Deutsche übersetzt, der Originallink bleibt erhalten. Wettbewerber-Statistiken werden nicht zitiert. Das Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.