1. Berliner Landesnetz: Rhysida fordert 30 Bitcoin und droht mit der Veröffentlichung von 5,8 Terabyte

Seit Montag, 17. August 2026 · zuletzt aktualisiert Montag, 31. August 2026 · Score 96

Aus dem Cyberangriff auf zwei Senatsverwaltungen ist ein Erpressungsfall geworden. Die Gruppe Rhysida hat sich zu der Tat bekannt und beziffert die Beute auf ihrer Leak-Seite.

Letzte Entwicklung: Gefordert werden 30 Bitcoin, rund zwei Millionen Euro, mit Frist bis Freitag. Die Auflistung umfasst 46.500 Verträge, 80.000 Ordnungswidrigkeiten-Akten und 6.000 Dokumente mit Zugangsdaten, dazu Material zu kritischer Infrastruktur, Notfallplänen und Justizsachen. Der Exfiltrationszeitraum 7. bis 12. August deckt sich mit dem Stand vom 27. August. Das Land zahlt nicht.

2. Exchange CVE-2026-62911: vom Proof-of-Concept zur flächendeckenden Verwundbarkeit

Seit Donnerstag, 27. August 2026 · zuletzt aktualisiert Montag, 31. August 2026 · Score 88

Nach der Veröffentlichung des Angriffscodes vor dem Wochenende hat das BSI den Patchstand erhoben.

Letzte Entwicklung: Rund 85 Prozent der On-Premises-Exchange-Server in Deutschland sind weiterhin angreifbar. Für Exchange 2016 und 2019 gibt es Korrekturen nur im ESU-Programm — installiert haben sie bundesweit neun Server. Das BSI empfiehlt, den Zugriff auf die Exchange-Webdienste über IP-Freigabelisten oder VPN einzuschränken.

3. Backup- und Wiederherstellungsinfrastruktur als eigenständiges Angriffsziel

Seit Mittwoch, 26. August 2026 · zuletzt aktualisiert Freitag, 28. August 2026 · Score 58

Dell PowerProtect Cyber Recovery mit rund 550 Schwachstellen und Veeam ONE mit einer unauthentifizierten Coercion-Lücke innerhalb von drei Tagen.

Letzte Entwicklung: Keine neuen Erkenntnisse seit dem 28. August. Der Punkt läuft als Verlaufshinweis mit, weil die Kombination aus Berliner Ransomware-Fall und verwundbarer Sicherungsinfrastruktur in derselben Woche eine bemerkenswerte Gleichzeitigkeit ist.

1.1 Berlin: Rhysida beziffert die Beute — 5,8 Terabyte, 6.000 Dokumente mit Zugangsdaten

29.–31.08.2026 · heise online zur Erpressung · heise online zu den Folgen für Betroffene

Zusammenfassung: Zu dem am 14. August entdeckten Angriff auf zwei Berliner Senatsverwaltungen hat sich die Ransomware-Gruppe Rhysida bekannt. Sie fordert 30 Bitcoin, nach aktuellem Kurs rund zwei Millionen Euro, und lässt auf ihrer Leak-Seite eine Frist bis Freitag laufen. Dort beziffert sie die Beute auf etwa 5,8 Terabyte, exfiltriert zwischen dem 7. und 12. August 2026, und listet auf: 46.500 Verträge des Landes, 80.000 Akten zu Ordnungswidrigkeiten, 6.000 Dokumente mit Zugangsdaten sowie Material zu kritischer Infrastruktur, Notfallplänen und Justizsachen. Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger informierten am Freitag über den Erpressungsversuch; Wegner erklärte: „Das Land Berlin wird sich nicht erpressen lassen.“ Berlin arbeitet mit Staatsanwaltschaft und Landeskriminalamt zusammen. Rhysida ist seit mehreren Jahren aktiv und traf zuvor unter anderem die British Library (2023) und die Stadt Stuttgart (2024).

Hintergrund & Einordnung: Die Angaben stammen von den Tätern und sind nicht unabhängig bestätigt — Leak-Seiten übertreiben regelmäßig, um den Zahlungsdruck zu erhöhen. Der genannte Exfiltrationszeitraum deckt sich allerdings exakt mit dem, was die Senatskanzlei vergangene Woche eingeräumt hatte, was die Gesamtangabe plausibler macht. Die genannten Kategorien sind aus datenschutzrechtlicher Sicht unterschiedlich schwer zu bewerten. Verträge des Landes enthalten überwiegend Angaben zu Unternehmen, teils zu Ansprechpartnern. Akten zu Ordnungswidrigkeiten sind personenbezogen und heikel: Sie verbinden Namen und Anschrift mit einem Verfahren, also mit einem Vorwurf. Dokumente mit Zugangsdaten sind operativ am gefährlichsten, weil sie Anschlussangriffe ermöglichen — und zwar unabhängig davon, ob die Systeme des Landes inzwischen bereinigt sind, sofern dieselben Zugangsdaten anderswo wiederverwendet wurden. Der CCC-Sprecher Joachim Selzer weist auf den entscheidenden technischen Unterschied hin: „Es ist die Frage, ob sie an die Passwörter im Klartext rangekommen sind oder in verschlüsselter Form als sogenannte Hashes.“ Klartext ist sofort verwertbar, Hashes müssen erst geknackt werden — verwertbar sind beide.

Praxisfolgen / Handlungsempfehlung: Für die betroffene Verwaltung stellt sich die Frage der Benachrichtigung nach Art. 34 DSGVO. Bei Ordnungswidrigkeiten-Akten und Zugangsdaten liegt ein hohes Risiko für die Rechte und Freiheiten der Betroffenen nahe; eine öffentliche Bekanntmachung nach Art. 34 Abs. 3 lit. c DSGVO dürfte bei dieser Größenordnung der praktikable Weg sein. Für Organisationen mit Schriftverkehr zu den betroffenen Verwaltungen gilt: Nehmen Sie an, dass dieser Verkehr im Leak ist, und bereiten Sie Beschäftigte darauf vor, dass künftige Betrugsversuche echte Vorgangsnummern und echte Namen enthalten werden. Für alle Verantwortlichen ist der Fall ein Anlass, die eigene Passwort-Hygiene zu prüfen: Wo werden Zugangsdaten in Dokumenten statt in einem Passwortspeicher abgelegt? 6.000 solcher Dokumente in einer Landesverwaltung sind kein Berliner Sonderfall, sondern ein verbreitetes Muster.

1.2 Muss der Datenschutzerklärung zugestimmt werden? Warum die Pflicht-Checkbox schadet

31.08.2026 · Dr. Datenschutz · DSK-Beschluss 2018 · EDSA-Beschluss 5/2022

Zusammenfassung: Die Pflicht-Checkbox „Ich habe die Datenschutzerklärung gelesen und stimme ihr zu“ findet sich in unzähligen Kontaktformularen, Registrierungen und Newsletter-Anmeldungen — und sie erfüllt keine Rechtspflicht. Die Datenschutzerklärung dient der Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO; nach Art. 12 Abs. 1 DSGVO müssen diese Informationen präzise, transparent, verständlich und leicht zugänglich bereitgestellt werden. Das ist eine einseitige Verpflichtung des Verantwortlichen. Die Verordnung verlangt weder, dass die betroffene Person die Erklärung liest, noch dass sie deren Inhalt akzeptiert oder bestätigt. Die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ist etwas kategorial anderes: eine von mehreren Rechtsgrundlagen, die sich nach Art. 4 Nr. 11 DSGVO auf die Verarbeitung für bestimmte Zwecke bezieht — nicht auf ein Dokument. Eine Datenschutzerklärung kann eine erforderliche Einwilligung deshalb nicht ersetzen; umgekehrt heilt die Erklärung „Ich stimme der Datenschutzerklärung zu“ eine unvollständige oder verspätete Information nicht.

Hintergrund & Einordnung: Die Datenschutzkonferenz hat sich damit bereits 2018 befasst, ausgelöst durch Fälle aus dem Gesundheitsbereich: Patientinnen und Patienten sollten die Kenntnisnahme der Informationen nach Art. 13 DSGVO unterschreiben, und bei Verweigerung wurde teils die Behandlung abgelehnt. Die DSK hielt das für unvereinbar mit der DSGVO und formulierte den Kern so: Die Informationspflicht bezwecke lediglich, „dass der Patientin bzw. dem Patienten die Gelegenheit gegeben wird, die entsprechenden Informationen einfach und ohne Umwege zu erhalten. Sie oder er muss diese jedoch nicht zur Kenntnis nehmen, wenn sie oder er dies nicht möchte.“ Auch als Nachweis gegenüber der Aufsichtsbehörde ist eine Unterschrift nicht nötig; es genügt, die Aushändigung zu vermerken oder den Verfahrensablauf zu dokumentieren. Der Europäische Datenschutzausschuss hat die Frage in seinem verbindlichen Beschluss 5/2022 im Verfahren gegen WhatsApp weitergedacht. Dort mussten Nutzer die aktualisierten Nutzungsbedingungen samt Datenschutzerklärung akzeptieren, während sich das Unternehmen für die betroffenen Verarbeitungen zugleich auf die Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO berief. Der EDSA prüfte das am Grundsatz von Treu und Glauben nach Art. 5 Abs. 1 lit. a DSGVO — einem „übergeordneten Grundsatz“ mit eigenständiger Bedeutung neben der Transparenz — und stellte fest, dass Daten nicht in einer Weise verarbeitet werden dürfen, die für die betroffene Person „in nicht gerechtfertigter Weise schädlich, widerrechtlich diskriminierend, unerwartet oder irreführend“ ist.

Praxisfolgen / Handlungsempfehlung: Gehen Sie Ihre Formulare durch und entfernen Sie Pflicht-Checkboxen, die sich auf die Datenschutzerklärung als Ganzes beziehen. An ihre Stelle gehört ein schlichter Hinweis mit Link, etwa: „Informationen zur Verarbeitung Ihrer Daten finden Sie in unserer Datenschutzerklärung.“ Der praktische Schaden der Checkbox ist nicht nur formaler Natur — sie erweckt den Eindruck, die Verarbeitung stütze sich auf eine Einwilligung. Wird später ein Widerruf erklärt, entsteht die Frage, was damit eigentlich widerrufen wurde; und in einem Aufsichtsverfahren wird der Verantwortliche erklären müssen, warum er eine Einwilligung eingeholt hat, wenn er sich zugleich auf Vertrag oder berechtigtes Interesse beruft. Wo tatsächlich eine Einwilligung nötig ist — Newsletter, nicht erforderliche Cookies, besondere Datenkategorien —, formulieren Sie sie zweckbezogen und getrennt: nicht „ich stimme der Datenschutzerklärung zu“, sondern „ich möchte den Newsletter erhalten und willige in die Verarbeitung meiner E-Mail-Adresse zu diesem Zweck ein“.

1.3 KRITIS: Dienstleisterprüfung durch ein angepasstes Vor-Ort-Audit

31.08.2026 · Dr. Datenschutz

Zusammenfassung: Für Betreiber kritischer Infrastrukturen ist die Überprüfung der Informationssicherheitsanforderungen bei Dienstleistern von zentraler Bedeutung, weil die regulatorischen Vorgaben nicht an der eigenen Unternehmensgrenze enden. Ein angepasstes Vor-Ort-Audit ergänzt dabei die üblichen Verfahren des Dienstleistermanagements — Fragebögen, Zertifikatsnachweise, vertragliche Zusicherungen. Der Beitrag beschreibt die Besonderheiten solcher Audits aus der Praxis: Sie sollen zeigen, dass Dienstleister die Anforderungen nicht nur zusagen, sondern im laufenden Betrieb auch erfüllen.

Hintergrund & Einordnung: Das Thema bekommt durch zwei Entwicklungen dieser Woche zusätzliches Gewicht. Zum einen führt der Berliner Fall vor, was in den Katalogen unter „kritische Infrastruktur“ steht, wenn es abfließt — Rhysida nennt in ihrer Auflistung ausdrücklich Material zu kritischer Infrastruktur und Notfallplänen. Zum anderen zeigte der Vorfall bei der IServ-Schwester Virality vergangene Woche, wie eine einzelne Fehlkonfiguration bei einem Unterauftragsverarbeiter mandantenübergreifend wirkt. Beide Fälle sind Argumente gegen die Papierprüfung: Ein ausgefüllter Fragebogen hätte weder die eine noch die andere Schwachstelle sichtbar gemacht. Ein Vor-Ort-Audit kann das im Grundsatz — vorausgesetzt, es prüft den tatsächlichen Betrieb und nicht die Dokumentation über den Betrieb. Die Abgrenzung ist heikel, weil ein Audit, das nur Richtlinien liest, denselben blinden Fleck reproduziert, nur teurer.

Praxisfolgen / Handlungsempfehlung: Wenn Sie Vor-Ort-Audits einführen, legen Sie den Schwerpunkt auf Nachweise, die sich nicht vorbereiten lassen. Konkret: Lassen Sie sich Protokolle des laufenden Betriebs zeigen statt Musterprotokolle, fragen Sie nach dem letzten realen Sicherheitsvorfall und nach dessen Nachbearbeitung, und prüfen Sie stichprobenartig die Konfiguration von Authentifizierungs- und Mandantentrennung — dort lagen beide Fälle dieser Woche. Vereinbaren Sie das Auditrecht vertraglich einschließlich der Unterauftragsverarbeiter, sonst endet die Prüfkette an der ersten Weitergabe. Und legen Sie fest, was passiert, wenn ein Audit Mängel findet: Ohne Nachbesserungsfrist und Kündigungsrecht ist die Feststellung folgenlos. Für Verantwortliche außerhalb des KRITIS-Bereichs lohnt der Blick trotzdem, weil die Anforderungen des Cyber Resilience Act ab dem 11. September in eine ähnliche Richtung weisen.

2.1 Pixel 11 ohne Memory Tagging: GrapheneOS bricht den Port ab

29.–31.08.2026 · heise online · Privacy Guides

Zusammenfassung: Das GrapheneOS-Projekt hatte begonnen, sein auf Sicherheit ausgerichtetes Android-Derivat auf Basis von Android 17 an die Pixel-11-Reihe anzupassen, und den Versuch nach etwa einer Woche abgebrochen. In der Ankündigung vom 29. August nennen die Entwickler den Grund: Es fehle die Unterstützung für ARM Hardware Memory Tagging in Software, Firmware und ziemlich sicher auch in der Hardware. MTE weist jedem Speicherbereich ein zufälliges Tag zu; passen die Tags beim Zugriff nicht zusammen, wird das als Speicherverletzung erkannt und das Programm kann sofort abgebrochen werden. GrapheneOS nutzt MTE im gesamten Basisbetriebssystem einschließlich Kernel und aller Standardprozesse und betrachtet es als Voraussetzung für die Unterstützung eines Geräts überhaupt. Das Projekt erwägt nun, die Pixel-11-Reihe vollständig zu überspringen und sich auf andere Hardware-Partner zu konzentrieren.

Hintergrund & Einordnung: Die Größenordnung ergibt sich aus der Fehlerklasse, die MTE adressiert: Speicherfehler machten nach Google-eigenen Daten zeitweise rund 76 Prozent aller Android-Schwachstellen aus. Bemerkenswert ist die Vorgeschichte. Google führte MTE mit der Pixel-8-Reihe als erster Hersteller überhaupt ein, und Pixel sind laut Android-Dokumentation bis heute die einzigen Android-Telefone mit MTE-Unterstützung. Genutzt hat Google die Technik allerdings nie standardmäßig — erst der mit Android 16 eingeführte Advanced Protection Mode aktiviert sie für einige wenige Prozesse. Nach Einschätzung der GrapheneOS-Entwickler steht hinter der Streichung eine Kostenersparnis. Für die Bewertung wichtig: Der Wegfall trifft nicht nur GrapheneOS-Nutzer. Auch wer das Gerät mit dem Standard-Android betreibt, verliert eine Schutzschicht, die auf den Vorgängern verfügbar war — die Pixel-Generationen 8, 9 und 10 bieten in dieser Hinsicht die bessere Gesamtsicherheit als das neuere Modell. Erschwerend kommt hinzu, dass Google die Pixel-Referenzunterstützung aus dem AOSP entfernt hat, was alternative Android-Distributionen generell erschwert.

Praxisfolgen / Handlungsempfehlung: Für die Gerätebeschaffung ist das ein Auswahlkriterium, kein Alarm. Wo Sie Mobilgeräte an Personen mit erhöhtem Schutzbedarf ausgeben — Geschäftsführung, Rechtsabteilung, Beschäftigte mit Zugriff auf Zahlungsverkehr —, nehmen Sie die Verfügbarkeit von Memory Tagging in den Anforderungskatalog auf und prüfen Sie, ob der Advanced Protection Mode aktiviert ist; er ist auf den unterstützten Geräten die einzige Möglichkeit, MTE tatsächlich zu nutzen. Für bestehende Flotten ergibt sich kein Handlungsdruck, wohl aber ein Argument gegen den vorzeitigen Austausch funktionierender Pixel-8- bis -10-Geräte. Und für Organisationen, die GrapheneOS einsetzen — im Journalismus, in der Beratung, bei besonders exponierten Rollen —, ist die Ankündigung ein handfestes Planungsproblem: Die Gerätebasis wird nicht mit der nächsten Generation weiterwachsen, sondern muss neu bewertet werden.

3.1 Exchange CVE-2026-62911: BSI beziffert 85 Prozent der deutschen On-Prem-Server als verwundbar

31.08.2026 · heise online · Microsoft Exchange Team

Zusammenfassung: Nachdem vor dem Wochenende Proof-of-Concept-Code für die Exchange-Schwachstelle CVE-2026-62911 veröffentlicht wurde, hat das BSI den Patchstand in Deutschland erhoben. Das Ergebnis: „Aktuell sind circa 85 Prozent der On-Premises-Exchange-Server in Deutschland für diese Schwachstelle anfällig.“ Über eine Verkettung von Schwächen lassen sich betroffene Systeme aus der Ferne und ohne vorherige Authentifizierung übernehmen; mit Angriffen ist angesichts des öffentlich verfügbaren Exploits jederzeit zu rechnen. Microsoft hatte die Lücke im August-Zyklus behoben. Für Exchange SE steht das Sicherheitsupdate KB5121573 bereit. Für Exchange 2016 und 2019 erhalten nur Teilnehmer des ESU-Programms Korrekturen — nach BSI-Angaben haben bundesweit neun Server ein solches Patch installiert. Zum Vergleich: Ende Oktober 2025 liefen 92 Prozent der rund 33.000 deutschen On-Premises-Exchange-Server auf Versionen ohne Herstellerunterstützung. Das BSI empfiehlt, den Zugriff auf die Exchange-Webdienste über Freigabelisten vertrauenswürdiger IP-Adressen einzuschränken oder per VPN zu schützen.

Hintergrund & Einordnung: Die Zahl 85 Prozent ist deshalb aussagekräftiger als frühere Erhebungen, weil sie sich auf eine konkrete, frisch ausnutzbare Lücke bezieht und nicht auf den allgemeinen Versionsstand. Sie erklärt sich aus einer Kombination von drei Faktoren. Erstens wird die Korrektur bei den meisten On-Premises-Installationen nicht über Windows Update ausgeliefert; Administratoren müssen das passende Exchange-Security-Update-Paket beziehen und den resultierenden Build prüfen. Zweitens ist ein großer Teil des deutschen Bestands auf Versionen unterwegs, für die es ohne kostenpflichtiges ESU-Abonnement schlicht keine Korrektur gibt — die Zahl neun spricht für sich. Drittens ist Exchange in vielen Organisationen ein System, das seit Jahren läuft und für das sich niemand mehr zuständig fühlt. Die Kombination aus öffentlich verfügbarem Angriffscode, fehlender Authentifizierungshürde und einer fünfstelligen Zahl erreichbarer Server ergibt eine Lage, in der breite Ausnutzung nicht wahrscheinlich, sondern absehbar ist.

Praxisfolgen / Handlungsempfehlung: Prüfen Sie noch heute den Security-Update-Build jedes Exchange-Servers gegen das Release vom 11. August und verlassen Sie sich nicht auf die Annahme, Windows Update habe das erledigt. Wo Sie nicht patchen können, weil die Version keine Updates mehr erhält, ist die Netzbeschränkung die einzige verbleibende Maßnahme: Exchange-Webdienste hinter Freigabelisten oder VPN legen, wie das BSI es empfiehlt. Das kauft Zeit, löst das Problem aber nicht — ein Exchange-Server ohne Herstellerunterstützung ist auf Dauer nicht betreibbar, und die Migration nach Exchange SE oder in die Cloud gehört terminiert, nicht diskutiert. Wer erst jetzt patcht, sollte zusätzlich rückwirkend prüfen: Die Lücke ist seit dem 11. August bekannt und seit Donnerstag mit Exploit-Code versehen; suchen Sie in den Protokollen nach auffälligen Authentifizierungsvorgängen und nach Postfachzugriffen ohne erkennbaren Anlass. Exchange-Online-Kunden sind serverseitig geschützt, müssen aber verbliebene lokale Server und Arbeitsplätze mit Management-Werkzeugen nachziehen.

3.2 cPanel/WHM: Dateiupload über Domain-Verwaltung führt zu Root-Rechten

31.08.2026 · heise online

Zusammenfassung: In der weit verbreiteten Hosting-Verwaltungssoftware cPanel/WHM klafft eine Sicherheitslücke, die unter CVE-2026-65643 geführt wird. Angreifer können beliebige Dateien hochladen und darüber Schadcode mit Root-Rechten ausführen, was die vollständige Kontrolle über das System bedeutet. Voraussetzung ist ein authentifizierter Zugang mit Zugriff auf die Verwaltungsfunktionen für Parked Domains oder Addon Domains. Betroffen sind alle unterstützten Versionen; Korrekturen liegen als 11.110.0.141, 11.134.0.53, 11.136.0.37, 11.138.0.2 sowie für WP2 als 11.138.1.7 vor. Ein CVSS-Wert ist noch nicht vergeben, eine kritische Einstufung erscheint angesichts der Folgen naheliegend. Hinweise auf aktive Ausnutzung liegen bislang nicht vor.

Hintergrund & Einordnung: Die Authentifizierungsvoraussetzung klingt nach einer Einschränkung, ist in der typischen Einsatzumgebung aber eine niedrige Hürde. cPanel läuft überwiegend bei Hosting-Anbietern mit vielen Kundenkonten, und genau diese Kunden haben regulären Zugriff auf die Domain-Verwaltung. Ein einzelner kompromittierter Kundenzugang — durch Phishing, durch ein wiederverwendetes Passwort, durch einen ausgeschiedenen Mitarbeiter — genügt damit, um Root auf einem Server zu erlangen, auf dem die Daten aller anderen Kunden liegen. Das ist die klassische Konstellation, in der aus einer Einzelkompromittierung ein Mandantenproblem wird. Dass der Hersteller bislang keine Erkennungsmerkmale veröffentlicht hat, erschwert die nachträgliche Prüfung erheblich.

Praxisfolgen / Handlungsempfehlung: Aktualisieren Sie auf den passenden Zweig — 11.110.0.141, 11.134.0.53, 11.136.0.37, 11.138.0.2 oder WP2 11.138.1.7. Wenn Sie Hosting bei einem Dienstleister beziehen, fragen Sie aktiv nach, ob und wann aktualisiert wurde; als Kunde sehen Sie die Version in der Oberfläche. Weil Erkennungsmerkmale fehlen, hilft ersatzweise eine Prüfung auf Auffälligkeiten: neu angelegte oder veränderte Dateien in Web-Verzeichnissen außerhalb der eigenen Deployments, ungewöhnliche Prozesse mit Root-Rechten, unerwartete Cronjobs. Unabhängig vom konkreten Fall lohnt es, die Zahl der Konten mit Zugriff auf die Domain-Verwaltung zu reduzieren und für alle verbliebenen Konten Mehr-Faktor-Authentifizierung zu erzwingen — das senkt die Wahrscheinlichkeit, dass die Authentifizierungsvoraussetzung dieser und künftiger Lücken erfüllt ist.

4.1 KG Berlin: Eine Impressums-E-Mail, die keine Post annimmt, erfüllt § 5 DDG nicht

KG Berlin · 11.08.2026 · 5 UKl 1/26 · CSA-Aufbereitung · Entscheidungsgründe

Sachverhalt: Im Impressum von Amazon war die Adresse Impressum@amazon.de angegeben. Wer dorthin schrieb, erhielt eine automatisierte Antwort von no-reply@amazon.de mit dem Text „Sie haben eine E-Mail an eine Adresse gesendet, die keine eingehenden E-Mails akzeptiert“ und dem Hinweis „Falls Sie Fragen haben, melden Sie sich bitte bei Ihrem Amazon Konto an, um uns zu kontaktieren.“ Der Verbraucherzentrale Bundesverband erhob deshalb Unterlassungsklage nach dem UKlaG beim Kammergericht. Die Klage ging am 16. Februar 2026 ein und wurde am 19. März 2026 zugestellt; ein Eintrag im Verbandsklageregister liegt vor, Betroffene müssen sich nicht anmelden, um von dem Ausgang zu profitieren.

Entscheidung: Der 5. Zivilsenat erließ am 11. August 2026 ein Versäumnisurteil zulasten der Beklagten. Als Versäumnisurteil ist es mit dem Einspruch angreifbar.

Begründungs-Kernpunkte: Maßgeblich ist § 5 Abs. 1 Nr. 2 DDG, der auf Art. 5 Abs. 1 Buchst. c der E-Commerce-Richtlinie zurückgeht. Nach der vom Senat zitierten EuGH-Entscheidung C-298/07 — bezeichnenderweise ebenfalls ein Verfahren des vzbv — verlangt die Norm, dass der Nutzer „schnell mit der Beklagten Kontakt aufzunehmen und unmittelbar und effizient mit ihr zu kommunizieren“ vermag. Der Senat zieht die Grenze sorgfältig nach unten: Aus der Vorschrift folgt keine allgemeine Pflicht, jede eingehende Zuschrift zu beantworten (OLG Koblenz, 9 U 1339/14), und es bleibt dem Anbieter „grundsätzlich unbenommen, sich bei der Bearbeitung eingehender E-Mail-Schreiben auch automatisierter Einrichtungen, wie etwa Chatbots zu bedienen“ (LG Hamburg, 327 O 3825). Überschritten ist die Grenze aber, wenn „schon die Entgegennahme von Zuschriften unter der angegebenen E-Mail-Adresse abgelehnt“ oder „der Verbraucher unmittelbar mit einer automatisierten Antwort auf andere Kommunikationswege verwiesen wird“ (KG, 23 U 124/14) — denn dann findet „gerade keinerlei Austausch und damit auch keine schnelle und unkomplizierte Kommunikation“ statt. Im entschiedenen Fall lagen beide Varianten vor; der Senat hält fest, dass bereits die Verweigerung der Annahme genügt hätte.

Praxisfolgen: Die Entscheidung betrifft jeden Diensteanbieter, also praktisch jede geschäftsmäßige Website. Der Prüfschritt ist trivial und wird trotzdem fast nie gemacht: von einer externen Adresse an die eigene Impressums-Adresse schreiben und sehen, was passiert. Problematisch sind drei Ergebnisse — ein Bounce, ein Auto-Reply mit Verweis auf Formular, Ticketsystem oder Kundenkonto, und ein Postfach, in das niemand hineinsieht. Zulässig bleibt dagegen einiges, was in der Praxis oft vorsorglich abgeschafft wird: automatisierte Vorsortierung, Eingangsbestätigungen, vorgeschaltete Chatbots — solange die Nachricht angenommen wird und über diesen Kanal tatsächlich kommuniziert werden kann. Die typische Entstehungsgeschichte des Verstoßes ist übrigens keine böse Absicht, sondern Betriebsorganisation: Ein Postfach wird zur Pflichterfüllung eingerichtet, sammelt Spam, wird deshalb dichtgemacht und mit einem Auto-Reply versehen, der auf das Ticketsystem verweist. Genau dieser Weg endet nach dieser Entscheidung im Verstoß, und Verstöße gegen § 5 DDG sind abmahnfähig. Einordnend: Es ist innerhalb von fünf Wochen die zweite obergerichtliche Verbandsklage-Entscheidung gegen denselben Konzern, nach dem Urteil des OLG Bamberg vom 29. Juli zur Ausgestaltung des DSA-Meldeverfahrens. Vom Einreichen bis zur Entscheidung vergingen hier knapp sechs Monate — deutlich schneller als ein Aufsichtsverfahren. Vollständige Aufbereitung: ur-697.

6.1 Rhysida: Doppelte Erpressung mit Frist, Leak-Seite und Inventarliste

29.08.2026 · heise online

Zusammenfassung: Rhysida ist seit mehreren Jahren aktiv und hat zuvor unter anderem die British Library (2023) und die Stadt Stuttgart (2024) getroffen. Im Berliner Fall fordert die Gruppe 30 Bitcoin und lässt auf ihrer Leak-Seite eine Frist bis Freitag laufen. Charakteristisch ist die dortige Inventarliste: Statt nur mit einer Veröffentlichung zu drohen, beziffert die Gruppe den Bestand — 5,8 Terabyte, 46.500 Verträge, 80.000 Ordnungswidrigkeiten-Akten, 6.000 Dokumente mit Zugangsdaten, dazu Material zu kritischer Infrastruktur, Notfallplänen und Justizsachen. Das Land Berlin zahlt nicht; Staatsanwaltschaft und Landeskriminalamt ermitteln.

Hintergrund & Einordnung: Die Inventarliste ist kein Zufall, sondern Teil des Geschäftsmodells. Sie erfüllt drei Funktionen zugleich: Sie erhöht den Druck auf das Opfer, weil der Schaden konkret wird; sie ist Werbung gegenüber potenziellen Käufern der Daten, die vorab wissen wollen, was sie erwerben; und sie ist Reputationspflege gegenüber künftigen Opfern, denen signalisiert wird, dass die Gruppe hält, was sie androht. Der CCC-Sprecher Joachim Selzer beschreibt genau diese Logik: „Wenn sie sich nicht völlig unglaubwürdig machen wollen, dann werden sie das auch tun.“ Für die Bewertung folgt daraus zweierlei. Erstens sind die Zahlen mit Vorsicht zu behandeln — sie stammen von den Tätern, und Übertreibung gehört zum Druckaufbau —, aber sie sind auch nicht beliebig, weil eine widerlegte Behauptung dem Geschäftsmodell schadet. Zweitens ändert die Entscheidung gegen eine Zahlung nichts am Datenabfluss. Sie ist trotzdem richtig, weil eine Zahlung weder die Löschung garantiert noch die Weiterverwertung verhindert, und weil sie das Modell finanziert. Was folgt, ist die Veröffentlichung und danach der Weiterverkauf.

Praxisfolgen / Handlungsempfehlung: Für Organisationen, die einen solchen Fall vorbereiten wollen, sind drei Punkte aus dem Berliner Verlauf lehrreich. Erstens die Verweildauer: Der Zugriff bestand mindestens eine Woche vor der Entdeckung, die Exfiltration lief über sechs Tage. Ein Angriff dieser Bauart wird nicht am Einbruch bemerkt, sondern an der Verschlüsselung — wer früher erkennen will, muss ausgehende Datenmengen überwachen, nicht nur eingehende Verbindungen. Zweitens die Kommunikation: Berlin hat innerhalb von zwei Wochen dreimal nachkorrigiert, von „nur öffentliche Geodaten“ über „personenbezogene Daten nicht auszuschließen“ bis zur bestätigten Sechs-Tage-Exfiltration. Legen Sie für den eigenen Fall vorab fest, dass in der Frühphase über den Stand der Untersuchung berichtet wird und nicht über deren vermutetes Ergebnis. Drittens die Vorbereitung auf die Zeit danach: Wenn Daten veröffentlicht werden, beginnt eine Phase, in der Betroffene mit maßgeschneiderten Betrugsversuchen konfrontiert werden. Ein vorbereiteter Meldeweg und eine klare Ansage, dass niemand für einen gemeldeten Verdacht kritisiert wird, sind dann wirksamer als jede nachträgliche Warnung.