1. Fremde Geräte als Infrastruktur: Kameras, Websites, Steuerungen

Seit Montag, 17. August 2026 · zuletzt aktualisiert Donnerstag, 20. August 2026 · Score 84

Drei unabhängige Veröffentlichungen dieser Woche beschreiben dasselbe Muster: Der Angriff endet nicht mit dem Zugriff, sondern beginnt dort. Gekaperte Überwachungskameras werden mit persistenten Konten versehen, gehackte Content-Management-Systeme als Verteil- und Ablagenetz betrieben, Speicherprogrammierbare Steuerungen ausgelesen und beschrieben.

Letzte Entwicklung: Am 17. August meldete die sächsische Aufsicht eine Häufung von Datenpannen durch gehackte CMS-Instanzen, am 19. August veröffentlichte Check Point Research die Analyse zu StopAndProtect mit knapp 2.000 betriebenen WordPress-Domains, und Hunt.io dokumentierte 14.530 übernommene Dahua-Kameras. Für Betreiber verschiebt sich damit die Risikofrage: nicht „Was können Angreifer bei mir holen?“, sondern „Wofür lässt sich mein System benutzen?“.

2. macOS-Bildschirmfreigabe: von der ausgenutzten Lücke zum KEV-Eintrag

Seit Freitag, 7. August 2026 · zuletzt aktualisiert Dienstag, 18. August 2026 · Score 80

CVE-2026-65400 erlaubt Angreifern im Netzwerk, sich ohne gültige Zugangsdaten an der Bildschirmfreigabe anzumelden. Apple schloss die Lücke am 7. August in macOS 14.8.9, 15.7.9 und 26.6.1; seit dem 18. August ist die Ausnutzung belegt, mit einem Monero-Kryptominer als Nutzlast.

Letzte Entwicklung: Die CISA hat die Schwachstelle am 18. August in den KEV-Katalog aufgenommen — gemeinsam mit drei weiteren Lücken. Für Organisationen mit risikobasiertem Schwachstellenmanagement ist das der Punkt, an dem die Lücke aus der Priorisierung nach CVSS in die Priorisierung nach Ausnutzung wechselt.

1.1 Sächsische Aufsicht meldet Häufung von Datenpannen durch gehackte Redaktionssysteme

17.08.2026 · SDTB: Sicherheitslücken in weit verbreiteten CMS — Updates zeitnah einspielen

Zusammenfassung: Die Sächsische Datenschutz- und Transparenzbeauftragte verzeichnet für Juli und August vermehrt Meldungen nach Art. 33 DSGVO, die alle dasselbe Muster haben: gehackte Webhosting-Instanzen, auf denen ein Content-Management-System betrieben wird. Die Behörde nennt als Auslöser die WordPress-Schwachstellen CVE-2026-60137 und CVE-2026-63030 sowie die Joomla-Lücke CVE-2026-48907. Betroffen waren nach ihrer Darstellung vor allem Schulwebsites, gemeinnützige Organisationen und kleinere Unternehmen. Die Behörde weist darauf hin, dass in Folge der Angriffe unbefugter Zugriff auf personenbezogene Daten entstehen kann, und verweist auf Art. 32 sowie die Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

Hintergrund & Einordnung: Die genannten Schwachstellen sind nicht neu. Die WordPress-Kette wp2shell — eine REST-Batch-Route-Verwechslung in Verbindung mit einer SQL-Injection im Parameter author__not_in — wurde am 17. Juli mit den Versionen 6.9.5 und 7.0.2 geschlossen, WordPress hat dafür erzwungene automatische Updates aktiviert. Dass die Datenpannen dennoch jetzt auflaufen, sagt etwas über die Bestände aus, die nie in den Genuss von Auto-Updates kommen: Installationen bei kleinen Hostern, in eigener Verwaltung, mit deaktivierten Updates oder auf Versionsständen, für die kein Update mehr ausgeliefert wird. Der Befund der Behörde ist damit weniger eine Warnung vor einer Lücke als eine Beobachtung über die Halbwertszeit von Patches im Long Tail des Webs. Bemerkenswert ist der Adressatenkreis: Schulen, Vereine und Kleinbetriebe verfügen selten über ein Patch-Management und noch seltener über jemanden, der eine Datenschutzverletzung als solche erkennt.

Praxisfolgen / Handlungsempfehlung: Für Verantwortliche folgt daraus zweierlei. Erstens gehört jeder Webauftritt in die Inventur — auch alte Kampagnenseiten, Microsites, Vereinsauftritte und Landingpages, die niemand mehr betreut, aber die noch Kontaktformulare und Newsletter-Datenbanken enthalten. Für jeden Auftritt sollte der Versionsstand von Kern und Erweiterungen dokumentiert und ein Verantwortlicher benannt sein. Zweitens ist die Bewertung im Ernstfall vorzubereiten: Ein kompromittiertes CMS ist nicht automatisch eine Datenschutzverletzung, aber die Prüfung muss dokumentiert stattfinden — welche personenbezogenen Daten lagen im Zugriff, gab es Formulardaten, Benutzerkonten, Kommentare, Logfiles mit IP-Adressen. Wer das erst im Vorfall klärt, verliert die 72-Stunden-Frist. Und wer Websites für Dritte betreibt, sollte in seinen Auftragsverarbeitungsverträgen prüfen, wer den Patchstand schuldet.

1.2 Wenn der Kamerastream fremde Zuschauer hat: Videoüberwachung als Meldefall

20.08.2026 · Hunt.io: Operation CameraSwarm

Zusammenfassung: Die dokumentierte Übernahme von über 14.500 Überwachungskameras ist zunächst ein Sicherheitsvorfall. Datenschutzrechtlich ist sie mehr: Wer eine Kamera betreibt, die Kunden, Beschäftigte, Besucher oder Passanten erfasst, verarbeitet personenbezogene Daten. Verschafft sich ein Dritter Zugriff auf den Live-Stream oder auf Aufzeichnungen, liegt eine Verletzung der Vertraulichkeit vor — unabhängig davon, ob Bilder tatsächlich abgeflossen sind. Die Kampagne betraf schwerpunktmäßig Geräte in der Ukraine und in Russland, das Scanning lief nach den Feststellungen jedoch über den gesamten IPv4-Adressraum.

Hintergrund & Einordnung: Der technische Befund hat eine datenschutzrechtliche Pointe. In 1.923 Fällen richteten die Angreifer ein zusätzliches, dauerhaftes Benutzerkonto ein. Ein solcher Zugang überlebt den Passwortwechsel des Betreibers — die naheliegende Reaktion auf eine Warnmeldung führt also nicht zur Bereinigung. Hinzu kommt der Weg über herstellerseitig erzeugte Wiederherstellungscodes: Wer die Seriennummer eines cloud-registrierten Geräts kennt, kann über das reguläre Rücksetzverfahren einen gültigen Code beziehen. Das verschiebt die Bewertung nach Art. 32 DSGVO. Die Angemessenheit der Maßnahmen bemisst sich nicht mehr allein am gewählten Passwort, sondern daran, ob das Gerät überhaupt aus dem Internet erreichbar sein muss und ob herstellereigene Fernzugriffsdienste aktiviert bleiben.

Praxisfolgen / Handlungsempfehlung: Betreiber von Videoüberwachung sollten ihre Geräte inventarisieren und für jedes einzelne beantworten, ob es aus dem Internet erreichbar ist und ob eine Cloud- oder P2P-Funktion aktiv ist. Beides gehört abgeschaltet, wo es nicht zwingend gebraucht wird; wird Fernzugriff benötigt, führt der Weg über ein VPN, nicht über eine Portweiterleitung. Die Benutzerverwaltung jedes Geräts ist auf unbekannte Konten zu prüfen, ebenso die Firmware auf den aktuellen Stand. Findet sich ein fremdes Konto, ist das der Anlass für die Prüfung nach Art. 33 DSGVO — mit der unangenehmen Frage, seit wann der Zugang bestand und welche Aufzeichnungen in diesem Zeitraum entstanden. Wer Videoüberwachung im Beschäftigtenkontext einsetzt, sollte den Betriebsrat frühzeitig einbinden; ein Vorfall dieser Art ist auch mitbestimmungsrechtlich relevant.

2.1 Frankreich: 678.000 Steuerpflichtige betroffen, entdeckt durch ein Verkaufsangebot

20.08.2026 · Security Affairs · The Connexion: Victims will be informed this week

Zusammenfassung: Die französische Finanzverwaltung DGFiP hat einen Datenabfluss bestätigt, der 678.000 Privatpersonen und Unternehmen betrifft. Der Zugriff erfolgte Ende Juni 2026 über die gestohlene Identität einer Person mit legitimem Zugang zu internen Systemen; die Behörde entzog diesen Zugang innerhalb weniger Tage, wusste zu diesem Zeitpunkt aber nicht, dass Daten abgeflossen waren. Bekannt wurde das erst, als ein Akteur unter dem Namen ZeroBytes am 12. August eine DGFiP-Datenbank in einem Kriminalitätsforum zum Verkauf anbot — sieben Wochen nach dem Zugriff. Abgeflossen sind unter anderem Referenz-Einkommen, Familienquotient und Quellensteuersatz, bei Unternehmen Firmenname und Registernummer sowie Katasterdaten zu Adressen und Grundstücksgrößen. Zugangsdaten zum Steuerportal sind nach Angaben der Behörde nicht betroffen.

Hintergrund & Einordnung: Die Pariser Staatsanwaltschaft hat am 15. August ein Ermittlungsverfahren eingeleitet und an die zuständige Cybercrime-Einheit abgegeben; der Vorwurf lautet auf betrügerische Entnahme von Daten aus einer staatlichen automatisierten Verarbeitung, bandenmäßigen Zugriff und Bildung einer kriminellen Vereinigung. ANSSI ist eingebunden, die CNIL wurde nach Art. 33 DSGVO unterrichtet. Der Fall reiht sich in eine Serie von Angriffen auf französische Behörden ein, darunter die Ausweisagentur ANTS und das Statistikamt INSEE. Die Zahlenlage ist uneinheitlich: Der Täter sprach zunächst von 600.000 Opfern, in einer Verkaufsanzeige war von bis zu zwei Millionen Datensätzen die Rede — die Behörde bestätigt 678.000. Für die Bewertung des Vorfalls ist weniger die Zahl interessant als das Erkennungsmuster: Der Zugriff wurde bemerkt und beendet, die Exfiltration nicht. Zwischen Beendigung des Zugangs und Kenntnis vom Datenabfluss lagen sieben Wochen, in denen die Behörde von einem abgewehrten Vorfall ausging.

Praxisfolgen / Handlungsempfehlung: Der Fall ist ein Argument für die Trennung zweier Fragen, die in der Praxis oft zusammenfallen: „Ist der Zugang beendet?“ und „Sind Daten abgeflossen?“. Wer nach einem Vorfall mit kompromittiertem Benutzerkonto nur die erste Frage beantwortet, verpasst die zweite — und damit unter Umständen die Meldefrist, denn diese läuft ab Kenntnis der Verletzung, nicht ab Kenntnis der Verkaufsanzeige. Praktisch heißt das: Bei jedem Vorfall mit einem missbrauchten Berechtigten-Konto sollte protokolliert werden, welche Abfragen und Exporte in der fraglichen Zeit erfolgten, und diese Auswertung gehört zur Fallakte, nicht in die Rubrik „später“. Wo Massenabfragen fachlich normal sind — Sachbearbeitung, Support, Vertrieb —, braucht es Schwellenwerte und Alarmierung, sonst ist die Auswertung im Nachhinein nicht möglich. Und die laufende Benachrichtigung von 678.000 Betroffenen ist ein Anlass, die eigene Art.-34-Vorlage darauf zu prüfen, ob sie einen unabhängigen Rückkanal nennt.

2.2 CareCloud: acht Stunden Zugriff, 3,76 Millionen Betroffene

19.08.2026 · The Record: CareCloud says 3.7 million people affected by breach

Zusammenfassung: Der US-Gesundheits-IT-Dienstleister CareCloud hat gegenüber dem amerikanischen Gesundheitsministerium 3.756.469 Betroffene gemeldet. Der Zugriff erfolgte zwischen dem 10. und 16. März 2026 auf eine AWS-Umgebung des Unternehmens; der Vorfall wurde Mitte März nach einer Störung in einer Umgebung für elektronische Patientenakten bemerkt und im März zunächst über eine SEC-Meldung offengelegt. Betroffen sind Namen, Anschriften, Geburtsdaten, Sozialversicherungsnummern, Ausweisnummern, Finanzkonto- und Kartendaten sowie medizinische und Krankenversicherungsinformationen. Die Angreifer waren nach Unternehmensangaben acht Stunden in der Umgebung aktiv.

Hintergrund & Einordnung: Aufschlussreich ist die Entwicklung der Zahl. Zunächst wurden rund 345.000 Betroffene gemeldet, dann 3,3 Millionen, jetzt 3,76 Millionen — bei einem Vorfall, der fünf Monate zurückliegt. Solche Eskalationen sind typisch für Fälle, in denen der Angreifer Datenbankinhalte kopiert hat und die forensische Auswertung nachträglich rekonstruieren muss, wer in den betroffenen Tabellen stand. Für Verantwortliche in der Auftragsverarbeitung ist das Muster relevant: Der Dienstleister hat die Störung schnell bemerkt und offengelegt, aber die Betroffenenzahl war zu diesem Zeitpunkt eine Schätzung. Wer als Auftraggeber auf die erste Meldung hin seine eigenen Benachrichtigungen kalibriert, muss damit rechnen, nachlegen zu müssen. Ein Bekennerschreiben gibt es nicht; ob Lösegeld gezahlt wurde, ist offen.

Praxisfolgen / Handlungsempfehlung: Für Verantwortliche mit Dienstleistern in Cloud-Umgebungen empfiehlt sich, vertraglich nicht nur die unverzügliche Meldung eines Vorfalls, sondern auch die Nachmeldung geänderter Betroffenenzahlen und -kategorien festzuschreiben — samt Pflicht, die Datengrundlage der Schätzung zu benennen. Technisch ist der Fall ein Argument für getrennte Konten und minimale Berechtigungen in Cloud-Umgebungen: Acht Stunden reichen aus, wenn ein einziger Zugang breiten Datenbankzugriff hat. Und für die eigene Kommunikation gilt: Eine erste Zahl sollte als vorläufig gekennzeichnet werden, sonst wird jede Korrektur nach oben als Vertuschungsversuch gelesen.

2.3 Heights Finance: über 1,2 Millionen Betroffene über eine Cloud-Plattform Dritter

19.08.2026 · SecurityWeek: Heights Finance Data Breach Impacts at Least 1.2 Million Individuals

Zusammenfassung: Der US-Konsumentenkreditgeber Heights Finance Holdings benachrichtigt über 1,2 Millionen Personen über den Abfluss persönlicher und finanzieller Daten. Anfang Mai stellte das Unternehmen fest, dass Angreifer auf eine cloudbasierte Plattform eines Drittanbieters zugegriffen hatten, die zur Speicherung von Kundendaten genutzt wird. Betroffen sind Personen, die Kredite über Heights aufgenommen, angefragt oder beantragt haben — auch über Dritte — sowie frühere Kreditnehmer von Curo Management und verbundenen Marken. Meldungen bei den Generalstaatsanwaltschaften nennen 734.828 Betroffene in Texas und 486.463 in South Carolina. Das Unternehmen bietet 24 Monate Kredit- und Identitätsüberwachung an.

Hintergrund & Einordnung: Der Fall unterstreicht ein Muster, das sich in diesem Jahr wiederholt: Der Datenbestand liegt nicht dort, wo das operative Geschäft läuft, sondern auf einer Plattform, die als Speicher dient — und deren Kompromittierung den Betrieb nicht stört. Heights betont ausdrücklich, dass die Geschäftstätigkeit nicht beeinträchtigt war. Genau das macht solche Vorfälle schwer zu bemerken: Es gibt kein Ausfallereignis, das eine Untersuchung auslöst. Bemerkenswert ist auch der Betroffenenkreis, der Antragsteller und Interessenten einschließt, die nie Kunde wurden — ein Hinweis darauf, dass Anfragedaten dieselbe Aufmerksamkeit brauchen wie Vertragsdaten.

Praxisfolgen / Handlungsempfehlung: Prüfen Sie, welche Datenbestände außerhalb der eigenen Kernsysteme liegen — Archivplattformen, Dokumentenmanagement, Analyse-Umgebungen, CRM-Kopien — und ob deren Kompromittierung im eigenen Monitoring überhaupt sichtbar wäre. Zweitens gehört die Aufbewahrung von Anfrage- und Antragsdaten auf den Prüfstand: Wer Bewerbungen, Kreditanfragen oder Angebotsanforderungen jahrelang vorhält, vergrößert den Schaden ohne operativen Nutzen. Löschkonzepte, die nur Vertragsdaten adressieren, greifen hier ins Leere.

3.1 KEV-Zugänge: VMware vCenter und Microsoft IKE mit CVSS 9,8

18.08.2026 · CISA: Adds Four Known Exploited Vulnerabilities to Catalog · The Hacker News

Zusammenfassung: Die CISA hat vier Schwachstellen wegen belegter Ausnutzung in den KEV-Katalog aufgenommen. Neu in diesem Briefing sind zwei davon. CVE-2026-59310 betrifft Broadcom VMware vCenter: Eine Directory-Traversal-Schwachstelle im Syslog-Server erlaubt es einem Angreifer mit Netzwerkzugriff auf vCenter, beliebigen Code auszuführen; Broadcom stuft sie mit CVSSv3-Basiswert 9,8 als kritisch ein. CVE-2026-33824 liegt in den Microsoft IKE Service Extensions und ist ein Double-Free-Fehler, ebenfalls mit CVSS 9,8. Hinzu kommen CVE-2026-55040 in Microsoft SharePoint (schwache Authentifizierung, CVSS 9,1) und CVE-2026-65400 in macOS, das hier bereits behandelt wurde.

Hintergrund & Einordnung: Die Aufnahme erfolgt unter der Binding Operational Directive 26-04, die für US-Bundesbehörden risikobasierte Priorisierung vorschreibt und dabei ausdrücklich auf öffentlich erreichbare Systeme abstellt, deren Ausnutzung vollständige Kontrolle über das System verschafft. Für vCenter ist genau das der Fall — eine kompromittierte Verwaltungsinstanz bedeutet Zugriff auf die darunterliegende Virtualisierungsschicht und damit potenziell auf sämtliche Gastsysteme. Die IKE-Schwachstelle wiegt schwer, weil der Dienst in Umgebungen mit IPsec-VPN naturgemäß an der Außengrenze steht. Bei SharePoint handelt es sich um einen Statuswechsel: Die Lücke war seit Ende Juli bekannt, Rapid7 hatte eine vollständige Analyse samt öffentlichem Proof of Concept veröffentlicht; die Verkettung von vier schwachen Prüfungen erlaubt das Fälschen eines gültigen Tokens. Unabhängige Forscher meldeten kurz nach der Offenlegung Nutzung des PoC gegen Honeypots — jetzt ist die Ausnutzung im Feld belegt.

Praxisfolgen / Handlungsempfehlung: Die BOD-26-04-Logik lässt sich auch außerhalb der US-Verwaltung übernehmen: Priorität eins sind extern erreichbare Systeme, deren Ausnutzung vollständige Kontrolle verschafft. Konkret heißt das, mit vCenter-Instanzen zu beginnen und dabei zu prüfen, ob die Verwaltungsoberfläche überhaupt aus dem allgemeinen Netz erreichbar sein muss — in vielen Umgebungen ist sie es aus historischen Gründen. Für die IKE-Lücke gilt dasselbe an den VPN-Endpunkten. Bei SharePoint sollte neben dem Patchstand geprüft werden, ob in den Protokollen Anmeldungen mit auffälligen Tokens auftauchen; die BOD verlangt für Bundesbehörden ausdrücklich auch die Prüfung, ob das System vor dem Patch bereits kompromittiert war, und dieser Gedanke ist übertragbar. Wer KEV-Einträge bisher nur als Patch-Auslöser behandelt, sollte den Kompromittierungs-Check ergänzen.

3.2 Der Long Tail der WordPress-Kette: wp2shell fünf Wochen nach dem Patch

20.08.2026 · SDTB: Sicherheitslücken in weit verbreiteten CMS

Zusammenfassung: Die Schwachstellenkette wp2shell — CVE-2026-63030 als Batch-Route-Verwechslung in WP_REST_Server::serve_batch_request_v1() in Verbindung mit der SQL-Injection CVE-2026-60137 im Parameter author__not_in von WP_Query — wurde am 17. Juli mit WordPress 6.9.5 und 7.0.2 geschlossen, für 6.8 mit 6.8.6. WordPress aktivierte erzwungene automatische Updates. Fünf Wochen später laufen bei der sächsischen Aufsicht Datenpannen-Meldungen auf, die auf genau diese Lücken zurückgehen. Das ist kein neuer Befund zur Schwachstelle, sondern einer zur Verbreitung von Patches.

Hintergrund & Einordnung: Erzwungene Auto-Updates greifen nur, wenn die Installation sie technisch zulässt. In der Praxis fallen mehrere Gruppen heraus: Installationen mit deaktivierten Updates aus Kompatibilitätsgründen, Bestände auf Versionsständen ohne Update-Pfad, Auftritte bei Hostern mit eigenen Deployment-Prozessen und Installationen, deren Dateisystem für den Webserver nicht schreibbar ist. Diese Gruppen sind genau der Bestand, den die Aufsicht jetzt sieht — Schulen, Vereine, Kleinbetriebe. Der Bogen zum sechsten Kapitel ist damit gespannt: Die Operation StopAndProtect betreibt knapp 2.000 gehackte WordPress-Domains als Infrastruktur. Woher diese Domains stammen, liegt nahe.

Praxisfolgen / Handlungsempfehlung: Für Betreiber ist die Prüfung banal, aber selten dokumentiert: Läuft die Installation auf 6.9.5, 7.0.2 oder neuer beziehungsweise 6.8.6? Ist das automatische Update tatsächlich aktiv, oder meldet das Dashboard nur, dass es aktiviert wäre? Wer Websites für Kunden betreibt, sollte diese Prüfung als Bestandsabfrage über alle Installationen fahren, nicht einzeln auf Zuruf. Bei Verdacht auf eine bereits erfolgte Kompromittierung reicht das Update nicht: Zu prüfen sind neu angelegte Administratorkonten, unbekannte geplante Aufgaben, PHP-Dateien im Uploads-Verzeichnis und Änderungen an wp-config.php und .htaccess.

4.1 OGH: Buchungsplattform muss private Vermieter unverzüglich nach der Buchung offenlegen

Oberster Gerichtshof (Österreich) · 20.05.2026 · 4 Ob 28/26k · Volltext (PDF) · CSA-Aufbereitung ur-622

Sachverhalt: Booking.com vermittelt neben gewerblichen Unterkünften auch Ferienwohnungen und Privatzimmer von Privatpersonen. Der Vertrag über die Unterbringung kommt direkt zwischen Gast und Unterkunftgeber zustande. Nach den Feststellungen des Erstgerichts teilte die Plattform bei privaten Unterkünften weder Identität noch ladungsfähige Anschrift des Vermieters mit — weder im Inserat noch im Verlauf der Buchung noch in zeitlicher Nähe dazu. Nach internen Richtlinien der Plattform, die seit Dezember 2024 gelten, erfolgt die Bekanntgabe auf Anfrage längstens binnen vier Wochen nach Mitteilung der Buchungsnummer; tatsächlich dauerte es teilweise mehrere Wochen. Der Verein für Konsumenteninformation erhob Verbandsklage nach § 14 UWG und obsiegte vor dem Handelsgericht Wien und dem Oberlandesgericht Wien.

Entscheidung: Der Oberste Gerichtshof hat die Revision der Plattform mangels erheblicher Rechtsfrage zurückgewiesen. Damit bleibt es beim Unterlassungsgebot: Angebote privater Unterkunftgeber dürfen nicht veröffentlicht werden, ohne unverzüglich nach der Buchung Name und ladungsfähige Anschrift des Unterkunftgebers anzugeben. Bestätigt wurde auch die Urteilsveröffentlichung — 90 Tage auf der Website der Plattform sowie in einer Samstagsausgabe der „Kronen-Zeitung“. Die Kosten der Revisionsbeantwortung von 2.639,40 EUR trägt die Beklagte.

Begründungs-Kernpunkte: Wesentlich im Sinn des § 2 Abs 4 Z 1 UWG ist eine Information, wenn ihre Angabe unter Berücksichtigung der beiderseitigen Interessen erwartet werden kann und ihr für die geschäftliche Entscheidung erhebliches Gewicht zukommt. Das Berufungsgericht hatte den Begriff der geschäftlichen Entscheidung weit ausgelegt und auch die Entscheidung über die Ausübung von Rechten nach Vertragsabschluss erfasst; dagegen wandte sich die Revision nicht. Wer Ansprüche aus Nicht- oder Schlechterfüllung oder ein verweigertes Stornorecht durchsetzen will, benötigt Namen und Adresse — die Plattform ist dabei durch die Gestaltung ihres Angebots der zentrale Ansprechpartner. Der Einwand, eine Auskunft auf Anfrage genüge, scheitert an zwei Punkten: Die interne Frist von bis zu vier Wochen läuft dem Interesse an reibungsloser Rechtsdurchsetzung zuwider, und eine Weitergabe „bloß auf Anfrage, aber dafür jedenfalls“ — also ohne Prüfung eines rechtlichen Interesses — wirkt einem Datenmissbrauch gerade nicht entgegen. Zum Datenschutz-Einwand hält der Senat fest, die Beklagte gehe selbst von einer Verarbeitungsbefugnis aus, soweit sie die Daten heute auf Anfrage herausgibt; warum gerade die anfrageunabhängige Mitteilung an Art. 6 DSGVO scheitern solle, zeige sie nicht auf. Zweck der Verarbeitung sei die Erfüllung der lauterkeitsrechtlichen Informationspflicht — von dort aus sei weder ein Verstoß gegen die Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO) noch ein Fehlen der Erforderlichkeit im Sinn der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) ersichtlich. Ausdrücklich abgegrenzt wird die frühere Entscheidung 4 Ob 33/22i, in der eine Offenlegungspflicht schon vor der Buchung verneint worden war: Dort wurden die Daten anlässlich der Buchung mitgeteilt, die Gäste konnten Ansprüche also verfolgen.

Praxisfolgen: Die Entscheidung ist ein Zurückweisungsbeschluss und österreichisches Recht; § 2 Abs 4 UWG (Ö) und § 5a UWG (D) setzen jedoch dieselbe Vorgabe aus Art. 7 der Richtlinie über unlautere Geschäftspraktiken um, sodass die Argumentationsfigur übertragbar ist. Für Plattformbetreiber, die Verträge zwischen Dritten vermitteln und dabei zentraler Ansprechpartner der Kunden sind, folgt daraus, die Identität des tatsächlichen Vertragspartners nach Vertragsschluss automatisch mitzuteilen, statt ein Anfrageverfahren vorzuhalten — das gilt über den Reisebereich hinaus für Marktplätze mit privaten Verkäufern und Vermittlungsportale für Dienstleistungen. Der zweite, allgemeinere Punkt betrifft das Verhältnis von Informationspflicht und Datenschutz: Wer eine gesetzliche Informationspflicht mit der DSGVO abwehren will, muss zuerst erklären, auf welcher Rechtsgrundlage er dieselben Daten heute bereits verarbeitet und weitergibt. Eine gesetzliche Pflicht definiert den Zweck, an dem Zweckbindung und Datenminimierung gemessen werden — sie ist kein Fremdkörper im Datenschutzrecht, sondern setzt dessen Prüfmaßstab mit. Für private Vermieter bedeutet die Entscheidung, dass Name und Anschrift nach jeder Buchung automatisch an den Gast gehen; das gehört in die eigene Datenschutzinformation.

5.1 Verfahrensstand: keine neue Entscheidung, aber ein Fall mit Präzedenzpotenzial

20.08.2026 · Dr. Datenschutz: Top 5 DSGVO-Bußgelder im Juli 2026

Behörde: CNIL (befasst, kein Verfahren mit Sanktionsentscheidung) · Adressat: — · Höhe: keine neue Entscheidung im Zeitraum 19.–20.08.2026

Verstoß / Rechtsgrundlage: Entfällt für den Berichtszeitraum. Im französischen Fall stehen Art. 32 DSGVO (Angemessenheit der technischen und organisatorischen Maßnahmen, insbesondere Erkennung von Massenexfiltration durch berechtigte Konten) und Art. 33 DSGVO (Meldung ab Kenntnis der Verletzung) im Raum.

Begründung: Aufsichtsbehörden veröffentlichen Sanktionsentscheidungen mit deutlichem Zeitversatz; deutsche Behörden sind dazu nicht verpflichtet. Fünf Ausgaben ohne neue Entscheidung sind daher ein Befund über die Veröffentlichungspraxis in der Sommerpause, nicht über die Aufsichtstätigkeit. Zum französischen Fall gilt: Eine Befassung ist keine Sanktion, und über einen Bußgeldbescheid ist nichts bekannt.

Praxisfolgen: Die Prüfschwerpunkte, die sich aus den Meldungen dieser Woche ablesen lassen, sind konkret genug für die eigene Vorbereitung. Erstens: Erkennung von Datenabfluss durch berechtigte Konten — wer Massenabfragen fachlich braucht, muss Schwellenwerte definieren, sonst ist der Nachweis „es ist nichts abgeflossen“ im Ernstfall nicht führbar. Zweitens: Patch-Management für Webauftritte als dokumentierte, nicht nur behauptete Maßnahme, einschließlich Nebenauftritten und Dienstleisterverträgen. Drittens: Absicherung von Videoüberwachung gegen Fernzugriff, inklusive Prüfung herstellereigener Cloud-Dienste. Viertens: Nachmeldepflichten in Auftragsverarbeitungsverträgen, wenn sich Betroffenenzahlen nach oben korrigieren. Wer im Herbst mit einer gebündelten Veröffentlichung mehrerer Entscheidungen rechnet, sollte die eigene Nachweisführung vorher belastbar haben.

6.1 Operation CameraSwarm: 14.530 übernommene Kameras in 35 Tagen

19.08.2026 · Hunt.io: Operation CameraSwarm · BleepingComputer

Zusammenfassung: Hunt.io hat eine Kampagne rekonstruiert, in der zwischen dem 17. Juni und dem 22. Juli 2026 mehr als 14.530 Dahua-Geräte kompromittiert wurden, schwerpunktmäßig in der Ukraine und in Russland. Drei parallele Wege kamen zum Einsatz: ein Brute-Force-System, das TCP-Port 37777 scannte und Geräte an 12.324 eindeutigen IP-Adressen übernahm; zwei Schwachstellen zur Umgehung der Authentifizierung; und ein P2P-Relay-Verfahren, über das 283 Geräte erreicht wurden. In 1.923 Fällen richteten die Angreifer ein dauerhaftes Benutzerkonto ein. Die Analyse wurde möglich, weil der Betreiber ein ungeschütztes Arbeitsverzeichnis auf einem HTTP-Server hinterließ — 407 MByte, 2.616 Dateien in 234 Verzeichnissen, darunter Quellcode, Protokolle, Zugangsdaten, aufgezeichnete Kamerabilder und Shell-Historie.

Hintergrund & Einordnung: Der technisch interessanteste Teil ist der Passwort-Reset. Das Werkzeug erzeugt aus der Seriennummer eines cloud-registrierten Geräts einen gültigen Offline-Wiederherstellungscode und geht damit durch das reguläre Rücksetzverfahren des Herstellers — ohne Kenntnis des aktuellen Administratorpassworts. Das ist keine klassische Schwachstelle, sondern eine Designentscheidung im Wiederherstellungsprozess, und sie erklärt, warum ein Passwortwechsel als alleinige Reaktion nicht trägt. Das Scanning lief zunächst über russische Adressbereiche, dann über den gesamten IPv4-Raum, bevor sich der Fokus auf russische und GUS-Telekommunikationsnetze verlagerte. Hunt.io beschreibt den Betreiber anhand von Sprachartefakten als russischsprachig, ordnet die Aktivität aber keinem benannten Akteur und keinem Staat zu. Mit mittlerer Zuversicht hält Hunt.io es für möglich, dass Teile des Werkzeugkastens darauf ausgelegt waren, Kamerazugänge an Dritte weiterzureichen. Zwei im Werkzeug referenzierte CVE-Nummern (CVE-2024-39943, CVE-2025-31702) erwiesen sich als irreführend und wurden in den beobachteten Angriffen nicht ausgenutzt — eine Warnung davor, Werkzeug-Metadaten für Angriffsanalyse zu halten.

Praxisfolgen / Handlungsempfehlung: Betreiber sollten Firmware auf den Herstellerstand bringen, P2P deaktivieren, wo es nicht gebraucht wird, und die Erreichbarkeit von Port 37777 aus dem Internet beenden. Entscheidend ist der zusätzliche Schritt: die Benutzerverwaltung jedes Geräts auf Konten prüfen, die nicht selbst angelegt wurden, und die Wiederherstellungs- beziehungsweise Cloud-Bindung des Geräts überprüfen. Wo möglich, sollte die Cloud-Registrierung aufgehoben werden. Für Umgebungen mit vielen Geräten lohnt sich ein Netzsegment ohne ausgehende Internetverbindung; Kameras, die keine Cloud brauchen, brauchen auch keinen Weg nach draußen. Und weil der Zugriff hier der Wert war und nicht das Bildmaterial, gehört auch die Frage in die Bewertung, wofür ein übernommenes Gerät in Ihrem Netz sonst noch taugt — als Sprungbrett, als Proxy, als dauerhafter Beobachtungsposten.

6.2 StopAndProtect: knapp 2.000 gehackte WordPress-Domains als Betriebsmittel

19.08.2026 · Check Point Research · The Hacker News

Zusammenfassung: Check Point Research beschreibt eine Operation, die knapp 2.000 kompromittierte WordPress-Domains aktiv verwaltet und als rotierenden Pool für Auslieferung, Steuerung und Ablage nutzt. Der Name stammt von der Ransomware-Komponente, die aber nicht bei allen Opfern zum Einsatz kommt — in vielen Fällen werden nur Dateilisten und anschließend gezielt einzelne Dateien exfiltriert. Die Erstinfektion läuft über ein gefälschtes CAPTCHA auf der gekaperten Seite, das den Besucher zur Ausführung eines PowerShell-Befehls anleitet (ClickFix). Über zwei Downloader-Stufen folgt eine dritte mit mehreren Modulen: SilentEncryptor, SilentDataCollector, LockScreen, SimpleChatProxy, ein SMB/USB-Wurm, ein VBS-Verbreiter und ein Zugangsdaten-Dieb. Interne Protokolle nennen bis zum 24. Juli über 6.000 eindeutige IP-Adressen, mit Schwerpunkten in den USA (1.852), Russland (630) und Indien (630); dazu rund 31.000 Bildschirmfotos zwischen Mitte Mai und Ende Juli und über 700 gestohlene Datenarchive in offenen Verzeichnissen.

Hintergrund & Einordnung: Die Analyse wurde durch einen Fehler des Entwicklers möglich, der offenbar seinen eigenen Rechner infizierte und dabei interne Entwicklungsdateien hochlud — darunter der Quellcode eines in Visual Basic 6 geschriebenen Werkzeugs zur Massenverwaltung der gekaperten Domains samt Schalter für die gefälschten CAPTCHA-Overlays. Dieses Detail ist mehr als eine Anekdote: Es belegt, dass die Domains zentral bewirtschaftet werden, mit einer Bedienoberfläche für das Ein- und Ausschalten der Overlays. Für die Verteidigung heißt das, dass Sperrlisten einzelner Domains wenig helfen — der Pool rotiert. Die zweite Beobachtung ist die Entkopplung von Verschlüsselung und Diebstahl: Wo sich Verschlüsselung nicht lohnt, wird still exfiltriert. Ein Opfer merkt dann gar nichts.

Praxisfolgen / Handlungsempfehlung: Auf der Betreiberseite ist die Konsequenz identisch mit Kapitel 3.2 — Patchstand von Kern und Erweiterungen, Kompromittierungsprüfung bei Verdacht. Auf der Anwenderseite ist ClickFix der Hebel: Die Ausführung von PowerShell aus einem Browser-Kontext heraus sollte protokolliert und alarmiert werden, und die Nutzeranweisung „eine Sicherheitsprüfung verlangt nie, dass Sie etwas auf Ihrem Rechner ausführen“ gehört in die Awareness. Technisch lässt sich viel über eine Beschränkung der PowerShell-Ausführungsrichtlinie und die Deaktivierung des Ausführen-Dialogs für Standardbenutzer abfangen. Für die Erkennung eigener Betroffenheit sind die typischen Spuren relevant: unbekannte geplante Aufgaben, Autostart-Einträge, SMB-Zugriffe auf ungewöhnliche Freigaben und auffällige USB-Schreibzugriffe.

6.3 Behördenwarnung: KI-generierte Angriffsskripte gegen Siemens-S7-Steuerungen

19.08.2026 · CISA: Defending Against an Active Threat to Siemens S7 Series PLCs (AA26-231A) · The Register

Zusammenfassung: NSA, CISA, FBI, Energieministerium und Umweltbehörde haben eine gemeinsame Warnung zu einer aktiven Bedrohung für Siemens-S7-Steuerungen veröffentlicht. Angreifer betreiben Aufklärung und Werkzeugentwicklung gegen in den USA betriebene Installationen und setzen dabei KI-generierte Skripte ein, die als legitime Überwachungswerkzeuge getarnt sind. Ziele werden über Internet-Scandienste wie Censys und ZoomEye gefunden, häufig Geräte mit veralteter Software oder Standardpasswörtern. Technisch kombinieren die Akteure die quelloffene Automatisierungsbibliothek snap7 beziehungsweise python-snap7 mit KI-gestützter Skripterzeugung; das Ergebnis erlaubt über das S7comm-Protokoll lesenden und schreibenden Zugriff auf Speicherbereiche, Konfigurationsdaten und Ablauflogik. Betroffen sind vor allem kritische Fertigung, Energie, Wasser und Abwasser, Chemie, Lebensmittel und gewerbliche Einrichtungen; die Behörden weisen darauf hin, dass S7-Steuerungen auch in der Verteidigungsindustrie eingesetzt werden.

Hintergrund & Einordnung: Die Kampagne läuft nach Behördenangaben das ganze Jahr 2026 mit einer Häufung Ende Juli; mindestens zwölf Bundesstaaten meldeten Angriffe, in Minnesota waren über 30 kommunale Wasserversorger von Betriebsstörungen betroffen. Eine offizielle Zuordnung gibt es nicht. Die eigentliche Nachricht ist weniger die Schwachstelle als die Ökonomie: snap7 ist seit Jahren verfügbar, S7comm ist dokumentiert, und die Zielsuche über Scandienste ist trivial. Was sich geändert hat, ist der Aufwand für den Zwischenschritt — aus öffentlich verfügbarem Material ein funktionierendes, unauffälliges Werkzeug zu bauen, das wie ein Monitoring-Tool aussieht. Genau diesen Schritt übernimmt jetzt die Skripterzeugung. Damit sinkt die Einstiegshürde für Akteure, die bislang an der OT-Spezifik gescheitert wären. Bemerkenswert ist der ausdrückliche Hinweis der Behörden, dass die Bedrohung über Siemens hinausgeht und alle Betreiber speicherprogrammierbarer Steuerungen die Empfehlungen anwenden sollten — der Siemens-Teil ist eine Teilmenge.

Praxisfolgen / Handlungsempfehlung: Die Empfehlungen sind unspektakulär und genau deshalb bemerkenswert: S7-Steuerungen inventarisieren, kritische Sicherheitsupdates einspielen, sicherstellen, dass die Geräte nicht aus dem Internet erreichbar sind, Zugriffskontrollen härten und auf verdächtige Aktivität überwachen. Für deutsche Betreiber lohnt eine eigene Suche in Shodan oder Censys nach den eigenen Adressbereichen — die Zahl der Fundstellen ist erfahrungsgemäß größer als das interne Inventar erwarten lässt. Zusätzlich sollte protokolliert werden, welche Gegenstellen S7comm-Verbindungen aufbauen; ein getarntes Monitoring-Werkzeug unterscheidet sich vom echten nicht am Protokoll, aber an der Herkunft. Wer OT-Fernwartung braucht, sollte sie über abgesicherte Sprungpunkte mit Sitzungsaufzeichnung führen und nicht über eine dauerhaft offene Verbindung. Und der Hinweis auf Standardpasswörter ist ernst zu nehmen: Er taucht in Advisories nicht auf, weil er originell wäre, sondern weil er in der Praxis trägt.