1. Lazarus nutzte den Windows-Zero-Day fünf Wochen vor dem Patch

Seit Dienstag, 7. Juli 2026 · zuletzt aktualisiert Mittwoch, 12. August 2026 · Score 88

CVE-2026-68820 (Use-after-free in afd.sys) war bereits im Einsatz, als Microsoft am 11. August den Patch auslieferte: Ein kompiliertes FudModule-Artefakt trägt den Zeitstempel 7. Juli 2026. Check Point Research ordnet die Nutzung der nordkoreanischen Gruppe Lazarus und einer neuen Welle der Kampagne „Operation Dream Job“ zu.

Letzte Entwicklung: Check Point meldete die Lücke am 28. Juli, Microsoft bestätigte am 31. Juli, wies am 5. August die CVE-ID zu und patchte am 11. August; die CISA nahm den Eintrag am 11. August in den KEV-Katalog auf, Behördenfrist 25. August. Bestätigt sind mindestens zwölf Ausnutzungsfälle, Schwerpunktländer sind Frankreich, Deutschland, Brasilien und Indien.

2. Dienstleister und eingekaufte Plug-ins als Einfallstor

Seit Mittwoch, 29. Juli 2026 · zuletzt aktualisiert Montag, 17. August 2026 · Score 82

Fortschreibung des Ceva-Themas aus der Vorwoche, jetzt mit zwei weiteren Fällen aus demselben Muster: Bei Trezor lief der Abfluss über den Fulfillment-Partner ShipMonk (13.689 Betroffene), bei SafePal über ein Drittanbieter-Plug-in zur Auftragsverfolgung im eigenen Shop (39.798 Betroffene). Betroffen sind jeweils Versand- und Bestelldaten, nicht die Kernsysteme.

Letzte Entwicklung: SafePal machte den Vorfall am 16. August öffentlich und benachrichtigte Betroffene; die Daten werden parallel in einem Untergrundforum zum Verkauf angeboten. Zum Ceva-Vorfall selbst gibt es seit dem 14. August keine neue Sachlage — Einbruchsweg und Gesamtumfang sind weiterhin nicht öffentlich beziffert.

1.1 Apple verschickt Bedrohungsbenachrichtigungen in 110 Ländern

14.08.2026 · Borns IT-Blog · Apple Support: About Apple threat notifications

Zusammenfassung: Apple hat erneut Bedrohungsbenachrichtigungen an Nutzerinnen und Nutzer in 110 Ländern verschickt, die nach eigener Einschätzung des Unternehmens Ziel staatlich beauftragter Söldner-Spyware geworden sind — namentlich Pegasus und vergleichbare Produkte. Die Benachrichtigung erfolgt mehrfach: als Hinweis auf dem Sperrbildschirm, als Eintrag in den Systemeinstellungen und per E-Mail von der Adresse threat-notifications@email.apple.com. Betroffen sind typischerweise Journalistinnen und Journalisten, Aktivisten, Führungskräfte und Personen mit privilegierten Zugriffsrechten. Eine Zahl der Benachrichtigten nennt Apple nicht.

Hintergrund & Einordnung: Die Benachrichtigungen sind kein Malware-Fund im technischen Sinne, sondern ein nachrichtendienstlich gespeister Verdacht — Apple betont, dass die Hinweise auf Bedrohungsinformationen beruhen und dass falsche Alarme möglich sind. Für Verantwortliche ist die Zweistufigkeit entscheidend: Erstens ist eine solche Benachrichtigung ein Anlass, den betroffenen Zugang und alle daran hängenden Systeme als potenziell kompromittiert zu behandeln, nicht nur das Gerät. Zweitens ist die Benachrichtigung selbst ein Phishing-Köder ersten Ranges — Apple weist deshalb ausdrücklich darauf hin, die Echtheit über die Anmeldung im Apple-Account zu prüfen, statt Links aus der Nachricht zu folgen. Datenschutzrechtlich relevant ist der Personenkreis: Wer Beschäftigte mit Zugriff auf besonders schutzbedürftige Daten hat — Beschäftigtenvertretungen, Compliance, Hinweisgeberstellen, Journalismus, Rechtsabteilung —, muss solche Vorfälle in die Risikobewertung nach Art. 32 und in die Meldebewertung nach Art. 33 DSGVO einbeziehen.

Praxisfolgen / Handlungsempfehlung: Definieren Sie vorab, wie Ihre Organisation auf eine Apple-Bedrohungsbenachrichtigung eines Beschäftigten reagiert: Gerät sichern und nicht löschen, forensische Unterstützung hinzuziehen, betroffene Zugänge und Token unabhängig vom Gerät rotieren. Der Lockdown-Modus reduziert die Angriffsfläche erheblich und sollte für exponierte Rollen als Regel- und nicht als Ausnahmezustand konfiguriert werden. Nehmen Sie die Benachrichtigung außerdem in die Awareness-Kommunikation auf — mit dem konkreten Absender und dem Prüfweg über den Apple-Account, damit die zu erwartende Fälschung erkennbar bleibt.

1.2 Speicherbegrenzung als wirksamste Schadensbegrenzung

16.08.2026 · BleepingComputer: SafePal data breach impacts 39,798 customers

Zusammenfassung: Der Betroffenenkreis des SafePal-Vorfalls ergibt sich nicht aus dem Angriff, sondern aus der Aufbewahrungsdauer: Erfasst sind alle Bestellungen zwischen dem 2. März 2025 und dem 11. April 2026 — ein Zeitraum von über dreizehn Monaten. Als Konsequenz hat das Unternehmen neben dem technischen Fix angekündigt, die Speicherdauer personenbezogener Kaufdaten auf 90 Tage zu verkürzen und den Fix von einer externen Sicherheitsfirma prüfen zu lassen. Die Benachrichtigung der Betroffenen erfolgte am 16. August per E-Mail mit dem Betreff „[Important] Your SafePal Order Information Has Been Affected“; zusätzlich wurde eine Prüfseite eingerichtet, über die sich anhand von Order-ID und Versandland die eigene Betroffenheit feststellen lässt.

Hintergrund & Einordnung: Der Fall illustriert, warum Art. 5 Abs. 1 lit. e DSGVO kein Formalprinzip ist. Die technische Lücke bestimmt, ob Daten abfließen; die Aufbewahrungsdauer bestimmt, wie viele. Bei Trezor lag derselbe Hebel beim Dienstleister: Dort umfasste der Vorfall Bestellungen vom 10. Mai bis 8. August 2026, also knapp drei Monate — entsprechend deutlich kleiner ist der Betroffenenkreis trotz vergleichbarer Datenarten. Bemerkenswert ist auch die Rolle der Prüfseite: Sie erleichtert Betroffenen die Klärung, liefert aber gleichzeitig dem Datenverkäufer ein Werkzeug zum Echtheitsnachweis — laut Berichten verweist er potenzielle Käufer genau darauf. Wer eine solche Selbstprüfung anbietet, sollte sie deshalb an eine Authentifizierung binden und nicht allein an Order-ID plus Land.

Praxisfolgen / Handlungsempfehlung: Leiten Sie Löschfristen für Bestell- und Versanddaten aus konkreten Zwecken ab — Gewährleistung, Buchführung, Betrugsprävention — und trennen Sie diese Zwecke technisch: Was für die Buchhaltung zehn Jahre aufbewahrt werden muss, muss nicht im operativen Shop-Datenbestand liegen. Erfassen Sie ausdrücklich auch die Vorhaltezeiten Ihrer Dienstleister und Plug-ins, nicht nur die eigenen. Für den Ernstfall gilt: Eine Selbstprüfungsseite ist sinnvoll, darf aber keine Verifikationsfunktion für Käufer gestohlener Datensätze übernehmen.

2.1 SafePal: Autorisierungslücke im Auftragsverfolgungs-Plug-in

16.08.2026 · CoinDesk · The Block

Zusammenfassung: SafePal hat am 16. August bekannt gegeben, dass eine Autorisierungslücke in einem Drittanbieter-Plug-in zur Auftragsverfolgung im eigenen Shop unbefugten Zugriff auf Kundendaten ermöglichte. Betroffen sind 39.798 Kundinnen und Kunden mit Bestellungen zwischen dem 2. März 2025 und dem 11. April 2026; abgeflossen sind Name, E-Mail-Adresse, Lieferadresse, Telefonnummer und Kaufdetails. Nicht betroffen sind nach Unternehmensangaben Seed Phrase, private Schlüssel, Wallet-Passwörter, Bank- und Kartendaten sowie Ausweisnummern; es gebe keine Hinweise darauf, dass Wallets oder Guthaben kompromittiert wurden. Ein Akteur bietet den Datensatz inzwischen zum Verkauf an.

Hintergrund & Einordnung: Technisch handelt es sich um das klassische Muster einer fehlenden Objektberechtigung: Wer die Bestellnummer verändert, sieht die Bestellung anderer Kunden — vergleichbar mit einer Paketverfolgung, in der sich fremde Belege abrufen lassen. Solche Lücken entstehen typischerweise nicht im Kernprodukt, sondern in Erweiterungen, die als Komfortfunktion eingekauft werden und deshalb außerhalb der Sicherheitsprüfung des eigentlichen Produkts stehen — bei einem Hersteller, dessen Kerngeschäft die Isolierung privater Schlüssel vom Internet ist, ein bemerkenswerter Kontrast. Bedenklich ist die Zeitachse: Nach Berichten erhielt SafePal Anfang Mai 2026 einen ersten Hinweis, der zu diesem Vorfall passte, behandelte ihn zunächst aber anders ein; Kunden berichteten bereits im Mai von Phishing-Mails und -Anrufen. Zwischen erstem Signal und Benachrichtigung liegen damit rund drei Monate. Das Unternehmen hat nach eigenen Angaben über 30 Betrugsseiten abschalten lassen.

Praxisfolgen / Handlungsempfehlung: Prüfen Sie eigene Bestellverfolgungs- und Statusseiten gezielt auf fehlende Autorisierung: sequenzielle oder erratbare Order-IDs, Statusabfragen ohne Anmeldung, API-Endpunkte, die Objekt-IDs ohne Eigentumsprüfung akzeptieren. Bewerten Sie eingekaufte Plug-ins wie Auftragsverarbeiter — mit Bestandsliste, Datenzugriffsumfang und Prüfnachweis. Und behandeln Sie Kundenmeldungen über auffälliges Phishing als potenzielles Frühwarnsignal für einen Datenabfluss: Im SafePal-Fall lagen Hinweise Monate vor der Aufklärung vor.

2.2 Trezor: Datenabfluss über den Fulfillment-Partner ShipMonk

13.08.2026 · Börse Express: Trezor-Datenleck — 13.689 Kunden durch ShipMonk-Partner betroffen

Zusammenfassung: Trezor hat einen Sicherheitsvorfall beim externen Fulfillment-Partner ShipMonk bestätigt. Durch unbefugten Zugriff auf die Systeme des Dienstleisters wurden Daten von 13.689 Kundinnen und Kunden offengelegt, die zwischen dem 10. Mai und dem 8. August 2026 Bestellungen erhalten hatten. Bei 11.742 Betroffenen umfasst das Name, E-Mail-Adresse, Telefonnummer und vollständige Versandadresse, bei weiteren 1.947 Betroffenen Name, Stadt und E-Mail-Adresse. Trezor stellt klar, dass die eigenen IT-Systeme und die Integrität der Hardware-Wallets unberührt blieben und keine Hinweise auf kompromittierte Wallet-Seeds oder private Schlüssel bestehen.

Hintergrund & Einordnung: Für Hardware-Wallet-Hersteller ist das ein struktureller Widerspruch, der sich nicht auflösen lässt: Das Produkt hält private Schlüssel von internetverbundenen Systemen fern, aber Kauf und Versand des Geräts erfordern eine konventionelle E-Commerce- und Logistikkette mit Namen und Adressen. Die Branche hat damit Erfahrung — ein vergleichbarer Drittanbieter-Vorfall bei Ledger prägt bis heute das Bedrohungsbild, inklusive Erpressungs- und Einbruchsversuchen gegen namentlich bekannte Besitzer. Genau deshalb ist die Kombination aus „bestätigter Wallet-Besitz“ und „vollständiger Wohnadresse“ die eigentliche Schwere dieses Vorfalls, nicht die Zahl der Betroffenen. Dass zwei Anbieter derselben Produktkategorie binnen vier Tagen dieselbe Art von Vorfall melden, deutet auf ein gezieltes Interesse an dieser Zielgruppe hin.

Praxisfolgen / Handlungsempfehlung: Betroffene sollten davon ausgehen, dass Angreifer Gerätetyp und Lieferadresse kennen, und jede unaufgeforderte Kontaktaufnahme im Namen des Herstellers als Fälschung behandeln — insbesondere Aufforderungen zu Firmware-Updates, Rückerstattungen oder „Verifizierungen“. Seed Phrase und private Schlüssel werden ausschließlich auf dem Gerät selbst eingegeben, niemals in eine Website, App oder auf Zuruf am Telefon. Für Händler und Hersteller gilt: Versandadressen sind bei sicherheitssensiblen Produkten besonders schutzbedürftig — prüfen Sie Pseudonymisierung im Versandprozess, Verkürzung der Vorhaltezeit beim Dienstleister und die Möglichkeit, Lieferungen ohne Rückschluss auf den Produkttyp zu adressieren.

3.1 CVE-2026-68820: Warum CVSS 7,0 hier in die Irre führt

17.08.2026 · Tenable · BleepingComputer

Zusammenfassung: CVE-2026-68820 ist ein Use-after-free über eine Race Condition im Ancillary Function Driver für WinSock (afd.sys), dem Kernel-Treiber unter der Windows-Sockets-Schnittstelle. Ein lokal angemeldeter Angreifer mit geringen Rechten erlangt ohne Nutzerinteraktion SYSTEM-Rechte. Betroffen ist ein breites Spektrum unterstützter Client- und Server-Versionen, darunter Windows 10, Windows 11 und mehrere Server-Generationen. Der CVSS-Wert liegt bei 7,0 und die Microsoft-Einstufung bei „Important“ — die CISA nahm den Eintrag am 11. August in den KEV-Katalog auf, Behördenfrist 25. August. Gemeldet wurde die Lücke von Check Point Research (Moshe Marelus und David Driker).

Hintergrund & Einordnung: Die Diskrepanz zwischen Schweregrad-Etikett und tatsächlicher Dringlichkeit ist hier lehrbuchhaft. Ein CVSS von 7,0 mit „lokal, niedrige Rechte“ liest sich wie ein Kandidat für den nächsten Wartungszyklus; in der Praxis war die Lücke das Gelenk einer vollständigen Angriffskette, in der die Rechteausweitung genau das Element ist, das den Unterschied zwischen kompromittiertem Benutzerkonto und kompromittiertem System macht. Aus Verteidigungssicht besonders unangenehm ist die Nutzlast: FudModule in der von Check Point als v3.1 bezeichneten Variante zielt gezielt auf die Sichtbarkeit — Telemetrie-Callbacks werden entfernt, Minifilter deaktiviert, der NT Kernel Logger abgeschaltet und über 90 ETW-Provider geblendet. Ein Rootkit, das primär die Beobachtungsinfrastruktur angreift, macht die üblichen Erkennungsstrategien unbrauchbar; die früheren produktspezifischen Bypässe wurden durch eine generische Suppression-Engine ersetzt. Dass Lazarus binnen 24 Monaten zum dritten Mal eine Windows-Treiberlücke für dasselbe Rootkit einsetzt — nach appid.sys (CVE-2024-21338) und bereits einmal afd.sys (CVE-2024-38193) —, spricht für ein eingespieltes Vorgehen und nicht für Zufallsfunde.

Praxisfolgen / Handlungsempfehlung: Behandeln Sie den Eintrag unabhängig von seiner Severity-Einstufung als Priorität eins des August-Zyklus und richten Sie das interne Patch-Ranking an KEV-Aufnahme und Ausnutzungsnachweis aus, nicht am CVSS-Wert. Bei Systemen mit Bezug zu Verteidigung, Luft- und Raumfahrt, Drohnen- oder Robotiktechnik ist eine gezielte Kompromittierungssuche geboten: Zustand der ETW-Provider, deaktivierte Minifilter, NT Kernel Logger, Reputationsstatus von Smart App Control sowie In-Memory-Artefakte, weil MISTPEN ohne Datei auf der Platte arbeitet. Prüfen Sie zusätzlich eigene Roundcube-Instanzen auf CVE-2025-49113 und untergeschobene PHP-Dateien — solche Server dienten in dieser Kampagne als Relay-Knoten.

3.2 Im Schatten des Zero-Days: zwei unauthentifizierte CVSS-9,8-Lücken

17.08.2026 · SecurityWeek: August 2026 Patch Tuesday — Microsoft fixes 421 CVEs

Zusammenfassung: Der August-Patchday umfasst je nach Zählweise 398 bis 421 Schwachstellen; die Differenz erklärt sich daraus, dass zwei von MITRE zugewiesene CVEs teils nicht mitgezählt werden. Zwei kritische Einträge haben neben dem Zero-Day wenig Aufmerksamkeit erhalten. CVE-2026-62815 ist ein Use-after-free in Microsoft QUIC (MsQuic), der Implementierung des QUIC-Transportprotokolls hinter HTTP/3; er erlaubt unauthentifizierten Angreifern die Codeausführung aus der Ferne ohne Nutzerinteraktion (CVSS 9,8). CVE-2026-62893 betrifft den TFTP-Server der Windows Deployment Services und lässt sich ebenfalls ohne Authentifizierung über manipulierte Pakete ausnutzen (CVSS 9,8, Einstufung „Exploitation More Likely“). Hinzu kommen mehrere kritische RCE-Lücken im Windows-DNS-Server und eine Rechteausweitung im Azure SRE Agent mit CVSS 9,9.

Hintergrund & Einordnung: Beide Lücken treffen Komponenten, die in Bestandsaufnahmen häufig fehlen. MsQuic steckt nicht nur in Windows selbst, sondern in Produkten und Diensten, die HTTP/3 sprechen — die Angriffsfläche ist damit größer als die Liste der offensichtlich betroffenen Server. Die Windows Deployment Services sind das gegenteilige Problem: Sie laufen oft historisch gewachsen in Verwaltungsnetzen, sind für Betriebssystem-Installationen breit erreichbar und stehen selten auf der Liste der aktiv gepflegten Dienste. Ein unauthentifizierter Angriff auf den Installationsdienst ist besonders unangenehm, weil er in der Vertrauenskette vor allen Endpoint-Schutzmaßnahmen liegt. Die Erfahrung der vergangenen Monate zeigt außerdem, dass die Zeit zwischen Patch und Exploit-Verfügbarkeit bei unauthentifizierten Netzwerk-Lücken kurz ist.

Praxisfolgen / Handlungsempfehlung: Erheben Sie, wo HTTP/3 beziehungsweise QUIC in Ihrer Umgebung tatsächlich terminiert — Reverse Proxies, Load Balancer, Anwendungsserver, Windows-Dienste — und patchen Sie diese Systeme mit gleicher Priorität wie internetseitige Webserver. Prüfen Sie, ob Windows Deployment Services überhaupt noch benötigt werden; wenn nicht, ist die Abschaltung die belastbarste Maßnahme, andernfalls gehört der TFTP-Zugang in ein eng begrenztes Verwaltungssegment. Für den DNS-Server-Anteil gilt die übliche Trennung: Rekursive Auflösung für Clients und autoritative Zonen für die Außenwelt sollten nicht auf derselben Instanz laufen.

4.1 OLG Celle: „Jetzt kaufen und weiter zur Zahlung“ genügt nicht

Oberlandesgericht Celle · 29.05.2026 · 13 U 21/26 (Hinweisbeschluss nach § 522 Abs. 2 ZPO) · Volltext · CSA-Aufbereitung ur-601

Sachverhalt: Ein klagebefugter Verbraucherschutzverband nahm die Betreiberin eines Internetshops auf Unterlassung in Anspruch. Beanstandet waren die Gestaltung des Buchungsprozesses für ein Online-Seminar und die dort erteilte Widerrufsbelehrung. Im Bestellvorgang musste der Verbraucher nacheinander die Schaltflächen „Jetzt Buchen“, „Bestellung abschließen“ und schließlich „Jetzt kaufen (…)“ betätigen; die wesentlichen Angaben zum Seminar fehlten im finalen Overlay-Fenster, und mehrere Widerrufsbelehrungen für verschiedene Vertragstypen standen parallel bereit. Das LG Hildesheim gab der Klage statt, die Beklagte legte Berufung ein.

Entscheidung: Der 13. Zivilsenat hält die Berufung für unbegründet und kündigt in einem Hinweisbeschluss nach § 522 Abs. 2 ZPO die Zurückweisung an. Die Buttonbeschriftung verstößt gegen § 312j Abs. 3 Satz 2 BGB, die fehlende Information über Datum und Zeitraum gegen § 312j Abs. 2 BGB in Verbindung mit Art. 246a § 1 Abs. 1 Satz 1 Nr. 1 EGBGB, und die gebündelten Widerrufsbelehrungen genügen Art. 246a § 4 Abs. 1 EGBGB nicht. Beide Bestellverstöße sind nach § 3a UWG spürbar. Zu beachten: Der Beschluss ist eine Ankündigung mit Stellungnahmefrist, keine abschließende Zurückweisung.

Begründungs-Kernpunkte: Die Schaltfläche darf gut lesbar „mit nichts anderem“ als „zahlungspflichtig bestellen“ oder einer entsprechend eindeutigen Formulierung beschriftet sein; maßgeblich sind allein die Worte auf dem Button (EuGH, Fuhrmann-2, C-249/21, Rn. 34). Der Zusatz „… und weiter zur Zahlung“ ist damit „per se“ unzulässig — und erzeugt zusätzlich das Missverständnis, erst die Bezahlung mache die Bestellung verbindlich; der durchschnittliche Verbraucher unterscheide nicht nach dem Abstraktionsprinzip zwischen Verpflichtungs- und Erfüllungsgeschäft. Bemerkenswert über den Fall hinaus: Weil die drei Schaltflächen einen für Verbraucher nicht ausreichend unterscheidbaren Bedeutungsgehalt hätten, verliere selbst ein isoliert zulässiges „Jetzt kaufen“ in dieser Klick-Kette seine Warnfunktion. Zum Zeitpunkt der Information stellt der Senat auf den Wortlaut „unmittelbar bevor“ ab: Absatz 2 weicht bewusst von Absatz 1 ab, weil die zentralen Angaben im Moment der Bestellabgabe vor Augen stehen müssen — eine frühere Mitteilung im Prozess genügt nicht. Zur Widerrufsbelehrung: Es ist nicht Sache des Verbrauchers zu entscheiden, ob ein Online-Seminar rechtlich Dienstleistung oder digitaler Inhalt ist.

Praxisfolgen: Buttonbeschriftungen auf den Gesetzeswortlaut zurückführen und jeden erklärenden Zusatz entfernen — auch scheinbar harmlose Prozesshinweise. Die Zahl und Benennung der Bestätigungsschritte so gestalten, dass nur der letzte wie eine verbindliche Bestellung klingt. Wesentliche Leistungsangaben in die finale Bestätigungsansicht übernehmen, bei terminbezogenen Leistungen zwingend Datum und Zeitraum. Widerrufsbelehrungen produkt- oder warenkorbabhängig ausspielen statt mehrere Varianten zur Selbstauswahl anzubieten. Da Verbände über § 8 Abs. 3 Nr. 3 UWG vorgehen können, besteht das Abmahnrisiko unabhängig von einem konkreten Kundenschaden.

4.2 BVwG: Kein Löschungsanspruch für Bewerbungsunterlagen während laufender Anspruchsfristen

Bundesverwaltungsgericht (Österreich) · 08.07.2026 · W137 2333649-1/11E · Volltext · CSA-Aufbereitung ur-602

Sachverhalt: Ein Bewerber hatte seine Unterlagen mit eigenen „Datenschutzbestimmungen“ übermittelt, die Verarbeitung auf das Bewerbungsverfahren beschränkt und rechtliche Konsequenzen angedroht, falls sich das Unternehmen nicht exakt daran halte. Nach der Ablehnung verlangte er die Löschung von Lebenslauf und Korrespondenz. Das Unternehmen speicherte die Unterlagen rund sieben Monate weiter — zur Abwehr möglicher Ansprüche nach dem österreichischen Gleichbehandlungsgesetz. Die Datenschutzbehörde wies die Beschwerde mit Bescheid vom 24. November 2025 ab.

Entscheidung: Das BVwG wies die Beschwerde als unbegründet ab, die übrigen Anträge als unzulässig zurück; die Revision ist nicht zulässig. Ein Löschungsanspruch nach Art. 17 DSGVO besteht nicht, weil die Weiterverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann und die Ausnahme des Art. 17 Abs. 3 lit. e DSGVO greift.

Begründungs-Kernpunkte: Ein Bewerber kann dem Verantwortlichen nicht durch einseitige Erklärung vorgeben, auf welcher Rechtsgrundlage seine Daten verarbeitet werden — welche Grundlage greift, bestimmt die DSGVO. Die Verteidigung von Rechtsansprüchen ist ein berechtigtes Interesse (mit Verweis auf EuGH, C-597/19, Rz 108 ff.); hinzu kommt der spezifische Anker, dass abgelehnte Bewerber nach § 26 Abs. 1 und 5 in Verbindung mit § 29 Abs. 1 GlBG Ansprüche geltend machen können. Die Erforderlichkeit prüft der Senat gemeinsam mit dem Grundsatz der Datenminimierung (EuGH, Mousse, C-394/23, Rz 48 f.): Ohne Lebenslauf, Unterlagen und Korrespondenz könnte sich das Unternehmen gegen eine Beschwerde über die Stellenvergabe nicht verteidigen; ein angebotener Verzicht auf künftige Ansprüche ändert daran nichts. In der Interessenabwägung stellt der Senat auf die „vernünftigen Erwartungen“ nach Erwägungsgrund 47 DSGVO ab — dem Beschwerdeführer war die fortgesetzte Verarbeitung bewusst, er hatte sie ja gerade zu verhindern versucht.

Praxisfolgen: Die Entscheidung stammt aus Österreich, ist aber übertragbar, weil die tragenden Normen unionsrechtlich sind; an die Stelle des GlBG tritt in Deutschland das AGG mit der Zwei-Monats-Frist des § 15 Abs. 4 AGG und der Drei-Monats-Klagefrist des § 61b ArbGG. Die gebilligten sieben Monate sind kein Freibrief: Der Senat prüft Erforderlichkeit und Datenminimierung getrennt und hebt hervor, dass die Verarbeitung auf das notwendige Maß beschränkt war. Praktisch heißt das: Aufbewahrungsfristen für Bewerbungsunterlagen schriftlich an die AGG- und ArbGG-Fristen koppeln, im Löschkonzept dokumentieren und technisch durchsetzen; den Zweck „Abwehr von Rechtsansprüchen“ samt Rechtsgrundlage bereits in der Datenschutzinformation nach Art. 13 DSGVO benennen; und Löschanträge während laufender Fristen nicht ignorieren, sondern begründet unter Art. 17 Abs. 3 lit. e DSGVO beantworten — mit Angabe des Löschzeitpunkts.

5.1 Verfahrensstand: DSA-Bußgeld gegen Temu, Abhilfeplan fällig zum 28. August

28.05.2026 (Entscheidung), Frist 28.08.2026 · EU-Kommission, Pressemitteilung IP/26/1178 · datenschutzticker.de

Behörde: Europäische Kommission · Adressat: Temu (eingestuft als sehr große Online-Plattform) · Höhe: 200 Mio. Euro

Verstoß / Rechtsgrundlage: Art. 73 Abs. 1 DSA; im Kern eine unzureichende Analyse, Überprüfung und Bewertung systemischer Risiken durch rechtswidrige Produkte auf der Plattform, mit Bezügen zu den Art. 27, 34, 35, 38 und 40 DSA.

Begründung: Die Kommission beanstandet drei Ebenen: die unzureichende Erfassung systemischer Risiken durch illegale Produkte zum Nachteil von Verbrauchern in der EU, die Gestaltung der Empfehlungssysteme, die den Kauf solcher Produkte begünstigte, und den nicht adressierten suchtfördernden Zuschnitt der Plattform. Die Entscheidung selbst datiert auf den 28. Mai 2026 und ist hier ausdrücklich als Verfahrensstand aufgeführt, nicht als neue Meldung.

Praxisfolgen: Der 28. August ist der eigentlich interessante Termin: Bis dahin muss Temu einen Plan mit Abhilfemaßnahmen vorlegen. Für Plattformbetreiber ist daran zweierlei relevant. Erstens die Systematik: Sanktioniert wurde nicht ein einzelner rechtswidriger Inhalt, sondern das Versäumnis, die Risikobewertung und die Empfehlungslogik als eigenständige Compliance-Pflicht zu behandeln — wer Risikobewertungen nach Art. 34 DSA nur dokumentiert und nicht in die Systemgestaltung zurückspielt, erfüllt sie nach diesem Verständnis nicht. Zweitens die Parallelität: Seit dem 2. August 2026 tritt neben DSGVO und DSA die Sanktionsebene der KI-Verordnung; wer Empfehlungs- und Moderationssysteme mit KI-Komponenten betreibt, sollte die drei Regime in einer gemeinsamen Nachweisführung abbilden statt in drei getrennten Aktenläufen.

6.1 Operation Dream Job: Jobangebote als Einstieg in die Verteidigungsindustrie

17.08.2026 · Check Point Research: Shattering the Dream · The Hacker News

Zusammenfassung: Check Point Research verfolgt seit Anfang 2026 eine neue Welle der Lazarus-Kampagne „Operation Dream Job“. Der Einstieg erfolgt über gefälschte Jobangebote an Beschäftigte in Verteidigung, Luft- und Raumfahrt, Luftfahrt, Drohnen-, Robotik- und Militärtechnik; Schwerpunktländer sind Frankreich, Deutschland, Brasilien und Indien. Nach Etablierung der Persistenz lädt der In-Memory-Downloader MISTPEN ein Modul zur Rechteausweitung, das über CVE-2026-68820 das Kernel-Rootkit FudModule mit SYSTEM-Rechten startet; als finale Backdoor dient ForestTiger. Bestätigt sind mindestens zwölf Ausnutzungsfälle.

Hintergrund & Einordnung: Zwei Details heben die Kampagne über das gewohnte Niveau. Erstens die Kryptografie: Der Loader erzeugt Schlüsselmaterial mit dem Post-Quanten-Verfahren ML-KEM, um FudModule zu entschlüsseln und auszuführen — ein Hinweis darauf, dass Angreifer die Analysefähigkeit der Verteidiger als Bedrohungsmodell begreifen und nicht nur die Erkennung zur Laufzeit. Zweitens die Infrastruktur: Als Relay-Knoten der Kommandokette dienten Roundcube-Webmail-Server, die über CVE-2025-49113 kompromittiert und mit der PHP-Webshell RelayShell bestückt wurden; in einem Fall wurde eine kompromittierte westeuropäische Organisation als Absender für Spear-Phishing genutzt. Damit wird eine Nebenwirkung sichtbar, die viele Betreiber unterschätzen: Ein ungepatchter Webmail-Server macht die eigene Organisation nicht nur zum Opfer, sondern zum Werkzeug gegen Dritte — mit dem Reputations- und Haftungsproblem, das daraus folgt. Für den deutschen Mittelstand in der Luft- und Raumfahrtzulieferung ist die Kampagne unmittelbar relevant, weil der Einstieg über die Bewerbungssituation läuft und damit über einen Prozess, in dem das Öffnen fremder Dateien beruflicher Normalfall ist.

Praxisfolgen / Handlungsempfehlung: Behandeln Sie eingehende Bewerbungs- und Recruiting-Kommunikation als Hochrisiko-Kanal: Dokumente in einer isolierten Umgebung öffnen, Makros und aktive Inhalte konsequent blockieren, und für Personalabteilungen dieselben Härtungsmaßnahmen wie für Finanzabteilungen vorsehen. In der Erkennung gilt es, sich nicht auf Endpoint-Telemetrie allein zu verlassen — FudModule greift genau diese an; netzwerkseitige Auffälligkeiten und Identitätssignale bleiben aussagekräftig. Prüfen Sie eigene Roundcube-Instanzen und andere selbstgehostete Webmail-Systeme auf Patchstand und untergeschobene PHP-Dateien. Und richten Sie für exponierte Branchen ein Meldeverfahren für auffällige Jobangebote ein — die Beschäftigten sind hier der erste Sensor, nicht das Problem.

6.2 ShinyHunters: 1,6 Millionen RingCentral-Konten und 21 Millionen Questel-Datensätze

15.08.2026 · Borns IT-Blog: Cybervorfälle — Valve, RingCentral, Questel und mehr

Zusammenfassung: Bei RingCentral, einem US-Anbieter cloudbasierter Kommunikations- und Kollaborationsprodukte mit über 600.000 Unternehmenskunden, hat die Gruppe ShinyHunters Daten von 1,6 Millionen Konten entwendet; der Vorfall datiert auf den 28. Juli 2026 und wurde Mitte August bekannt. Beim französischen IP-Dienstleister Questel geht es um rund 21 Millionen Datensätze und etwa 147 GB Unternehmensdaten aus einem Vorfall im Juni 2026. Der Einstieg erfolgte in beiden Fällen nicht über eine technische Schwachstelle, sondern über Voice-Phishing gegen Mitarbeitende mit dem Ziel, Zugriff auf den Microsoft-365-Tenant zu erlangen. Questel erklärt, Produktionssysteme seien nicht kompromittiert worden.

Hintergrund & Einordnung: Die Gruppe verfolgt konsequent ein Modell, das ohne Exploits auskommt: Anruf, glaubwürdige Vorwandgeschichte, Zurücksetzen eines Faktors oder Abgreifen einer Sitzung, anschließend Massenexport aus dem SaaS-Tenant. Damit verlagert sich das Risiko von der Patchdisziplin in die Prozessqualität des Helpdesks — und dort sind die Kontrollen in vielen Organisationen deutlich weicher. Zwei Aspekte machen SaaS-Tenants besonders lohnend: Erstens liegen Daten sehr vieler Kunden in einem Mandanten, was ein einzelnes übernommenes Konto skalieren lässt. Zweitens sind die Exportwege legitime Produktfunktionen — Compliance-Suchen, eDiscovery, Mailbox-Exporte — und erzeugen deshalb keine klassischen Malware-Signale. Der Zeitversatz ist ebenfalls charakteristisch: Zwischen dem Vorfall bei RingCentral Ende Juli und der öffentlichen Bekanntgabe liegen gut zwei Wochen, bei Questel mehrere Wochen. Kunden erfahren also spät, dass ihre bei einem Anbieter liegenden Daten betroffen sind.

Praxisfolgen / Handlungsempfehlung: Härten Sie die Wiederherstellungsprozesse für Identitäten: Kein Zurücksetzen von MFA-Faktoren oder Passwörtern anhand telefonischer Wissensfragen, sondern nur über einen zweiten, unabhängig verifizierten Kanal — und für privilegierte Rollen nur im Vier-Augen-Prinzip. Beschränken Sie Massen-Exportfunktionen im Microsoft-365-Tenant auf wenige benannte Rollen, protokollieren Sie sie separat und alarmieren Sie auf ungewöhnliche Volumina. Setzen Sie Phishing-resistente Verfahren (FIDO2, Passkeys) für administrative Zugänge durch, weil Voice-Phishing gegen App-basierte Bestätigungen weiterhin funktioniert. Und klären Sie in Verträgen mit SaaS-Anbietern die Meldefristen — die hier sichtbaren zwei bis mehrere Wochen sind mit den eigenen Pflichten aus Art. 33 DSGVO schwer vereinbar.