Phishing-Warnung: Sparkassen-Masche mit Anruf-Nachgang. Das Sicherheitsteam der Sparkassen warnt vor gefälschten E-Mails, die eine angeblich fällige Aktualisierung der SecureGo+-App fordern und mit einem knappen Stichtag Druck aufbauen. Neu und besonders perfide: Nach der Dateneingabe auf der gefälschten Seite folgt oft ein Anruf angeblicher „Bankberater", die per TAN eine Überweisung freischalten lassen. Keine Bank fordert App-Erneuerungen per Link — und ruft nicht an, um eine TAN zu verlangen. Parallel läuft eine DKB-Welle. Nichts anklicken, keine TAN am Telefon nennen, im Zweifel bei der Bank über die offizielle Nummer rückfragen.
Website-Betreiber aufgepasst: Meta Pixel ohne Einwilligung ist unzulässig. Das Oberlandesgericht Hamm hat entschieden, dass die Datenweitergabe über Meta Business Tools — etwa den Meta Pixel — ohne wirksame Einwilligung rechtswidrig ist; ein bloßes „berechtigtes Interesse" genügt nicht. Ein Parallelurteil des OLG München bejaht zudem die Mitverantwortung der Plattform. Wer auf seiner Website Meta Pixel oder ähnliche Tracking-Tools ohne saubere Einwilligungslösung einsetzt, sollte umgehend nachbessern.
Auto-Rückruf ignoriert? Behörden dürfen die Fahrzeugdaten weitergeben. Das Oberverwaltungsgericht Schleswig hat entschieden, dass das Kraftfahrt-Bundesamt die Fahrzeug-Identifikationsnummer eines Halters an die Zulassungsbehörde übermitteln darf, wenn dieser nicht an einem verbindlichen Rückruf (z. B. einem Sicherheits-Software-Update) teilgenommen hat. Die FIN ist zwar ein personenbezogenes Datum, doch die Weitergabe ist zur Prüfung der Vorschriftsmäßigkeit rechtlich abgesichert.
Aktuelle Phishing- und Betrugswellen
Im Vordergrund steht eine Welle im Namen der Sparkasse, vor der das Computer-Notfallteam der Finanzgruppe am 21. Juli 2026 warnte. Die gefälschten E-Mails behaupten, die SecureGo+-App müsse bis zu einem knappen Stichtag (22. Juli) aktualisiert werden, und führen über einen Link auf eine nachgebaute Anmeldeseite. Das Besondere an dieser Masche ist der zweite Schritt: Nach Eingabe der Zugangsdaten meldet sich häufig ein angeblicher Bankberater telefonisch und versucht, per TAN eine Überweisung freizuschalten — klassisches Phishing wird also mit Telefonbetrug (Voice Phishing) kombiniert. Parallel läuft seit dem 22. Juli eine DKB-Welle mit dem Betreff „Bestätigung Ihrer E-Mail & Telefonnummer" und der Drohung einer Konto-Deaktivierung.
Das Schutzprinzip bleibt einfach: Keine Bank fordert per E-Mail-Link zur „Aktualisierung" einer Sicherheits-App auf, und kein echter Bankmitarbeiter lässt sich am Telefon eine TAN nennen oder eine Überweisung bestätigen. Keine Links aus solchen Nachrichten anklicken, keine Zugangsdaten oder TANs weitergeben und im Zweifel ausschließlich über die offizielle App oder die selbst eingetippte Bank-Adresse handeln.
Was war los?
Bei den Unternehmenssystemen bleibt die Ausnutzungslage angespannt. In Microsoft SharePoint wird eine weitere kritische Lücke aktiv ausgenutzt, über die Angreifer Schadcode ausführen und Sicherheitsschlüssel stehlen, um dauerhaften Zugriff zu behalten. Zugleich wird eine bereits im Frühjahr bekannt gewordene Schwachstelle in Palo-Alto-VPN-Gateways nun gezielt von einer Ransomware-Gruppe missbraucht. Für Firmen gilt: verfügbare Updates einspielen und betroffene Systeme auf Kompromittierung prüfen.
Auf der Bedrohungsseite hat sich die Ransomware-Landschaft verschoben: Die Gruppe „The Gentlemen" ist laut Sicherheitsanbietern zur aktivsten weltweit aufgestiegen, und Deutschland zählt zu den am stärksten betroffenen Ländern. Das BSI stuft Ransomware weiterhin als größte cyberkriminelle Bedrohung für Wirtschaft und Behörden ein.
Was sich rechtlich geändert hat
Zwei Entscheidungen sind für die Praxis wichtig. Das OLG Hamm stärkt den Datenschutz beim Web-Tracking: Wer Meta Business Tools wie den Pixel einsetzt, braucht eine wirksame Einwilligung — das betrifft praktisch jeden Website-Betreiber mit Facebook-Anbindung. Und das OVG Schleswig zieht eine Linie für den Datenaustausch zwischen Behörden: Die Weitergabe der Fahrzeug-Identifikationsnummer zur Durchsetzung verbindlicher Rückrufe ist datenschutzrechtlich zulässig und kann nicht dadurch blockiert werden, dass der Halter die zugrunde liegende Rückrufanordnung in Frage stellt.
IT-Detailansicht für Fachpublikum
Im Folgenden: die laufenden Wochen-Schwerpunkte, eine Management Summary, die Top-Risiken mit konkreten Handlungsempfehlungen sowie die sechs Fachkapitel (Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder, Cyber-Sicherheit), ergänzt um einen Überblick zu KI und großen Sprachmodellen, Ausblick, Methodik und Quellenverzeichnis.
Top-Themen der Woche
1. SharePoint erneut im Fokus: neuer aktiv ausgenutzter Zero-Day mit Machine-Key-Diebstahl
Seit Dienstag, 14. Juli 2026 · zuletzt aktualisiert Donnerstag, 23. Juli 2026 · Score 85
Nach den bereits behandelten SharePoint-Lücken wird nun CVE-2026-50522 (CVSS 9,8, Deserialisierung, unauthentifizierte RCE) aktiv ausgenutzt. Ein DEVCORE-Forscher veröffentlichte am 20. Juli einen funktionierenden Proof-of-Concept; watchTowr registrierte binnen Stunden Angriffe gegen On-Premise-Honeypots.
Letzte Entwicklung: Angreifer liefern einen .NET-Payload und stehlen anschließend IIS-Machine-Keys, um auch nach dem Patch persistenten Zugriff zu behalten. Wer On-Premise-SharePoint betreibt, muss den Juli-Patch einspielen und — falls vor dem Patch exponiert — die Machine-Keys als kompromittiert behandeln und rotieren.
2. Ransomware zielt auf Zugangs-Infrastruktur: PAN-OS-VPN-Lücke jetzt von Qilin ausgenutzt
Seit Mitte Mai 2026 · zuletzt aktualisiert Donnerstag, 23. Juli 2026 · Score 74
Die im Mai gemeldete Authentifizierungs-Bypass-Lücke in Palo Altos GlobalProtect (CVE-2026-0257) wird laut Arctic Wolf (20. Juli) nun aktiv von Qilin-Ransomware-Affiliates für domänenweite Verschlüsselung und Double Extortion genutzt. Parallel stuft Check Point „The Gentlemen" als aktuell aktivste Ransomware-Gruppe ein.
Letzte Entwicklung: Shadowserver zählt weiterhin über 167.000 exponierte GlobalProtect-Instanzen. In Deutschland stiegen die wöchentlichen Ransomware-Angriffe im Juni deutlich; das Land zählt laut Trend Micro zu den drei meistangegriffenen weltweit.
Management Summary
Die IT-Sicherheitslage zum 23. Juli ist von aktiver Ausnutzung und einer verschärften Ransomware-Bedrohung geprägt. In Microsoft SharePoint (Enterprise Server 2016/2019/Subscription Edition) wird CVE-2026-50522 (CVSS 9,8, Deserialisierung nicht vertrauenswürdiger Daten) aktiv ausgenutzt: Ein am 20. Juli veröffentlichter Proof-of-Concept ermöglicht unauthentifizierte Remote Code Execution über den Endpoint /_trust/default.aspx; Angreifer stehlen im Anschluss IIS-Machine-Keys, um nach dem Patch persistenten Zugriff zu behalten (BleepingComputer, 21. Juli). Der Fix stammt aus dem Juli-Patchday (14. Juli). Zudem wird die bereits im Mai gepatchte GlobalProtect-Lücke CVE-2026-0257 in Palo-Alto-PAN-OS (CVSS 9,1, Authentifizierungs-Bypass) laut Arctic Wolf (20. Juli) nun von Qilin-Ransomware-Affiliates für domänenweite Angriffe und Double Extortion genutzt; über 167.000 GlobalProtect-Instanzen sind weiterhin exponiert. Auf der Bedrohungsseite hat „The Gentlemen" (Microsoft-Tracking Storm-2697) laut Check Point Qilin als weltweit aktivste Ransomware-Gruppe abgelöst (17 Prozent aller gemeldeten Opfer); Deutschland liegt laut Trend Micro Cyber Risk Report 2026 auf Platz drei der meistangegriffenen Länder, mit deutlich gestiegener Angriffsfrequenz.
Datenschutz- und rechtsseitig prägen zwei Gerichtsentscheidungen und eine EDPB-Konsultation den Tag. Das OLG Hamm (Urteil vom 24.06.2026 – 8 U 56/25) erklärte die Verarbeitung personenbezogener Daten über Meta Business Tools (u. a. Meta Pixel) ohne wirksame Einwilligung für unzulässig; ein Parallelurteil des OLG München (36 U 1054/25 e) bejaht die Mitverantwortung der Plattform. Das OVG Schleswig (Beschluss vom 10.06.2026 – 6 LA 206/24) bestätigte, dass die FIN ein personenbezogenes Datum ist, ihre Übermittlung vom KBA an die Zulassungsbehörde bei Nichtteilnahme an einem verbindlichen Rückruf aber auf Art. 6 Abs. 1 lit. e DSGVO i.V.m. BDSG und § 5 FZV gestützt werden kann. Der EDPB stellte einen Entwurf für ein einheitliches Datenpannen-Meldeformular nach Art. 33 DSGVO zur Konsultation (Frist 5. August 2026).
Die wichtigsten Punkte im Überblick
SharePoint CVE-2026-50522 (CVSS 9,8) aktiv ausgenutzt; PoC seit 20.07., Diebstahl von IIS-Machine-Keys für Persistenz — Juli-Patch einspielen, Keys rotieren.
PAN-OS GlobalProtect CVE-2026-0257 wird jetzt von Qilin-Ransomware ausgenutzt (Arctic Wolf, 20.07.); 167.000+ Instanzen exponiert.
„The Gentlemen" (Storm-2697) laut Check Point aktivste Ransomware-Gruppe; Deutschland Top-3 der Ziele (Trend Micro).
OLG Hamm 8 U 56/25: Meta Business Tools/Pixel ohne wirksame Einwilligung unzulässig; OLG München 36 U 1054/25 e bejaht Plattform-Mitverantwortung.
OVG Schleswig 6 LA 206/24: FIN-Übermittlung KBA→Zulassungsbehörde bei Rückruf-Nichtteilnahme zulässig (Art. 6 Abs. 1 lit. e DSGVO, § 5 FZV) — ur-496.
EDPB: Entwurf einheitliches Datenpannen-Meldeformular (Art. 33 DSGVO) in Konsultation bis 5. August.
Phishing: Sparkassen-Welle (SecureGo+) mit Telefon-Nachgang (Voice Phishing); parallel DKB-Welle.
Top-Risiken – Handlungsempfehlungen für heute
SharePoint patchen und Machine-Keys rotieren. Den Juli-Patch für CVE-2026-50522 einspielen; war die Instanz vor dem Patch exponiert, die IIS-Machine-Keys als kompromittiert behandeln, rotieren und nach Persistenz-Spuren suchen. Den Endpoint /_trust/default.aspx überwachen.
Palo-Alto-GlobalProtect prüfen. Sicherstellen, dass der Mai-Patch für CVE-2026-0257 eingespielt ist; Authentication-Override-Konfigurationen mit geteilten Zertifikaten überprüfen und exponierte Portale auf Kompromittierung untersuchen — die Lücke wird jetzt für Ransomware genutzt.
Ransomware-Resilienz erhöhen. Angesichts der „The Gentlemen"-Welle: extern exponierte Zugänge mit MFA, zügiges Patchen, Netzwerksegmentierung, offline gehaltene und getestete Backups; Erkennung auf Wurm-artige Ausbreitung und schnelle Verschlüsselung schärfen.
Meta Pixel und Tracking prüfen. Website-Betreiber mit Meta Business Tools ohne wirksame Einwilligung sollten kurzfristig eine rechtskonforme Consent-Lösung umsetzen (echte Wahlfreiheit, gleichwertige Ablehnen-Option) — das OLG Hamm verneint das „berechtigte Interesse".
Datenpannen-Meldeprozess vorbereiten. Den EDPB-Entwurf zum einheitlichen Meldeformular sichten und interne Art.-33-Prozesse auf die absehbaren Pflichtangaben ausrichten; ggf. Kommentar bis 5. August einreichen.
1. Datenschutz
Der EDPB arbeitet an einer Vereinheitlichung der Datenpannen-Meldung.
1.1 EDPB: Entwurf für ein einheitliches Datenpannen-Meldeformular in Konsultation
Zusammenfassung: Der Europäische Datenschutzausschuss (EDPB) hat im Juli 2026 einen Entwurf für ein einheitliches Formular zur Meldung von Datenschutzverletzungen nach Art. 33 DSGVO verabschiedet und zur öffentlichen Konsultation gestellt; die Frist endet am 5. August 2026. Das Formular soll die Meldeprozesse bei allen EU-Aufsichtsbehörden harmonisieren und sicherstellen, dass Meldungen sämtliche DSGVO-Pflichtangaben enthalten. Der Vorstoß ergänzt die auf der Dublin-Plenarsitzung (17. Juli) formulierte Forderung nach einer Rechtsgrundlage für den behördenübergreifenden Informationsaustausch.
Hintergrund & Einordnung: Bislang unterscheiden sich Meldewege und Formularanforderungen zwischen den Mitgliedstaaten erheblich, was grenzüberschreitend tätige Unternehmen bei einer Datenpanne unter Zeitdruck (72-Stunden-Frist) belastet. Ein einheitliches Formular würde die Meldung erleichtern, zugleich aber die Erwartungen an Vollständigkeit und Struktur der Angaben vereinheitlichen und damit den Dokumentationsdruck erhöhen.
Praxisfolgen / Handlungsempfehlung: Datenschutz- und Incident-Response-Verantwortliche sollten den Entwurf sichten und ihre internen Meldeprozesse und Vorlagen auf die absehbaren Pflichtfelder ausrichten. Wer betroffen ist oder Verbesserungsbedarf sieht, kann bis zum 5. August 2026 im Konsultationsverfahren kommentieren.
2. Datensicherheit
Eine weitere SharePoint-Lücke wird aktiv ausgenutzt — mit Fokus auf dauerhaften Zugriff.
2.1 Microsoft SharePoint: aktiv ausgenutzte RCE (CVE-2026-50522) mit Diebstahl von Machine-Keys
Zusammenfassung: In Microsoft SharePoint Enterprise Server 2016, 2019 und Subscription Edition wird CVE-2026-50522 (CVSS 9,8) aktiv ausgenutzt — eine Deserialisierung nicht vertrauenswürdiger Daten (CWE-502), die unauthentifizierten Angreifern aus dem Netz ohne Nutzerinteraktion die Ausführung beliebigen Codes erlaubt. Microsoft schloss die Lücke am 14. Juli im Patchday; am 20. Juli veröffentlichte ein DEVCORE-Forscher einen funktionierenden Proof-of-Concept, woraufhin watchTowr binnen Stunden Angriffe gegen On-Premise-Honeypots registrierte. Die Angreifer liefern einen .NET-BinaryFormatter-Payload über den Endpoint /_trust/default.aspx und stehlen anschließend IIS-Machine-Keys, um auch nach dem Patchen persistenten Zugriff zu behalten (BleepingComputer, 21. Juli).
Hintergrund & Einordnung: Der Diebstahl von Machine-Keys ist der eigentlich gefährliche Teil: Mit den Keys können Angreifer gültige Authentifizierungs-Token und ViewState-Payloads erzeugen und behalten so Zugriff, selbst wenn die Ausgangslücke geschlossen wurde. Das Muster entspricht den bereits behandelten SharePoint-Angriffswellen und unterstreicht, dass Patchen allein nach einer Exposition nicht genügt.
Praxisfolgen / Handlungsempfehlung: Den Juli-Patch einspielen und, falls die Instanz vor dem Patch internet-exponiert war, die IIS-Machine-Keys rotieren und nach Persistenzmechanismen suchen (verdächtige Token, angelegte Konten, ViewState-Anomalien). Den betroffenen Endpoint überwachen und On-Premise-SharePoint möglichst hinter zusätzliche Zugangskontrollen legen.
3. IT-Sicherheit
Eine bekannte VPN-Lücke wandert in die Ransomware-Ausnutzung.
3.1 Palo Alto PAN-OS GlobalProtect: CVE-2026-0257 jetzt von Qilin-Ransomware ausgenutzt
Zusammenfassung: Die im Mai 2026 gepatchte Authentifizierungs-Bypass-Lücke CVE-2026-0257 im GlobalProtect-Portal und -Gateway von PAN-OS (10.2 und 11.x) sowie Prisma Access — ausnutzbar, wenn Authentication-Override-Cookies mit geteilter Zertifikatskonfiguration aktiviert sind — wird laut einem Bericht von Arctic Wolf vom 20. Juli 2026 nun aktiv von Qilin-Ransomware-Affiliates genutzt. Die Angreifer fälschen ein gültiges Cookie, umgehen so die Mehr-Faktor-Authentisierung und führen domänenweite Verschlüsselungen mit Double Extortion durch. CISA hatte die Lücke bereits am 29. Mai in den KEV-Katalog aufgenommen; Shadowserver zählt weiterhin über 167.000 exponierte GlobalProtect-Instanzen.
Hintergrund & Einordnung: Dies ist ein Verlaufshinweis zu einer bereits im Frühjahr behandelten Lücke — neu ist die Verlagerung in die Ransomware-Ausnutzung durch Qilin, eine der aktivsten RaaS-Gruppen. VPN- und Remote-Access-Gateways sind bevorzugte Einfallstore, weil sie per Definition exponiert sind und ein Authentifizierungs-Bypass unmittelbar tiefen Netzzugang verschafft.
Praxisfolgen / Handlungsempfehlung: Sicherstellen, dass der Patch eingespielt ist; Authentication-Override-Konfigurationen mit geteilten Zertifikaten überprüfen bzw. abschalten. Exponierte GlobalProtect-Portale auf Kompromittierung untersuchen (ungewöhnliche Anmeldungen, gefälschte Sessions) und Remote-Access-Zugänge zusätzlich härten (Phishing-resistente MFA, Conditional Access).
4. Urteile
Ein tracking-rechtliches Urteil mit Breitenwirkung und eine verwaltungsrechtliche Klärung zur behördlichen Datenübermittlung.
4.1 OLG Hamm (8 U 56/25): Meta Business Tools / Pixel ohne wirksame Einwilligung unzulässig
Sachverhalt: Gegenstand war die Einbindung von Meta Business Tools (u. a. Meta Pixel) auf einer Website, über die personenbezogene Daten der Besucher an Meta übermittelt wurden, ohne dass eine wirksame Einwilligung eingeholt wurde.
Entscheidung: Das OLG Hamm (Urteil vom 24.06.2026 – 8 U 56/25) erklärte diese Datenverarbeitung für unzulässig. Die Übermittlung über Meta Business Tools bedarf einer wirksamen Einwilligung nach Art. 6 Abs. 1 DSGVO; eine Rechtfertigung allein über das berechtigte Interesse (lit. f) genügt nicht. Ein Parallelurteil des OLG München (36 U 1054/25 e vom 26.06.2026) bejaht zudem die Mitverantwortlichkeit des Plattformbetreibers für die über die Business Tools verarbeiteten Daten.
Begründungs-Kernpunkte: Der Einsatz von Tracking- und Marketing-Pixeln, die Nutzerdaten an einen Dritten (Meta) übermitteln und dort zu eigenen Zwecken weiterverarbeitet werden, ist ohne informierte, freiwillige Einwilligung nicht zu rechtfertigen. Die parallele Münchener Entscheidung ordnet Betreiber und Plattform als gemeinsam Verantwortliche ein und verschärft damit die Haftungslage.
Praxisfolgen: Website-Betreiber mit Meta Pixel oder vergleichbaren Business Tools müssen eine rechtskonforme Einwilligungslösung sicherstellen (echte Wahlfreiheit, gleichwertige Ablehnen-Option, Transparenz nach Art. 13 DSGVO/§ 25 TDDDG). Ohne wirksame Einwilligung drohen Unterlassungsansprüche und Schadensersatz; die bejahte Plattform-Mitverantwortung erweitert den Kreis möglicher Anspruchsgegner.
4.2 OVG Schleswig (6 LA 206/24): FIN-Übermittlung bei Rückruf-Nichtteilnahme datenschutzrechtlich zulässig
Sachverhalt: Ein Fahrzeughalter wandte sich gegen die Übermittlung seiner Fahrzeug-Identifikationsnummer (FIN) durch das Kraftfahrt-Bundesamt an die örtlich zuständige Zulassungsbehörde, die wegen Nichtteilnahme an einer verbindlichen Rückrufaktion (Sicherheits-Software-Update) erfolgt war.
Entscheidung: Das OVG Schleswig (Beschluss vom 10.06.2026 – 6 LA 206/24) bestätigte die Zulässigkeit. Die FIN ist ein personenbezogenes Datum; ihre behördeninterne Übermittlung kann auf Art. 6 Abs. 1 lit. e, Abs. 3 lit. b DSGVO i.V.m. §§ 3, 25 Abs. 1, 23 Abs. 1 Nr. 3 BDSG gestützt werden, wenn sie der Prüfung dient, ob das Fahrzeug im Sinne von § 5 FZV nicht vorschriftsmäßig ist.
Begründungs-Kernpunkte: Für die Rechtmäßigkeit der Übermittlung genügt, dass die empfangende Zulassungsbehörde für mögliche Maßnahmen nach § 5 FZV zuständig ist und Anlass zur Prüfung der Vorschriftsmäßigkeit besteht. Die Rechtmäßigkeit der dem Rückruf zugrunde liegenden KBA-Anordnung gegenüber dem Hersteller muss im Verfahren über die Datenübermittlung nicht vollständig inzident geklärt werden. (Aufbereitung auf Basis des INFOLAW-Leitsatzes; Volltext über juris SH verfügbar, hier nicht reproduziert.)
Praxisfolgen: Die Entscheidung schafft Rechtssicherheit für die datenschutzkonforme Zusammenarbeit von KBA und Zulassungsbehörden bei sicherheitsrelevanten Rückrufen — relevant vor allem bei software-definierten Fahrzeugen mit verbindlichen Over-the-Air-Updates. Für Halter bedeutet die Nichtteilnahme an verbindlichen Rückrufen abgesicherte Folgemaßnahmen bis zur Betriebsuntersagung. Die vollständige Aufbereitung liegt als CSA-Beitrag vor: ur-496.
5. Bußgelder
Im engen Tagesfenster keine neuen, noch nicht gebrachten Bußgeldbescheide.
5.1 Einordnung
Neue, unabhängig verifizierte und noch nicht behandelte EU-Bußgeldbescheide liegen im Tagesfenster nicht vor; die jüngsten Fälle (u. a. Garante gegen den Character.AI-Betreiber, AEPD gegen Amadeus) wurden am 21. Juli behandelt, die Berliner DSB-Entscheidung zum DSB-Interessenkonflikt am 22. Juli. Der Schwerpunkt des heutigen Rechtsteils liegt entsprechend auf den beiden Gerichtsentscheidungen (Kapitel 4) sowie der EDPB-Konsultation (Kapitel 1).
6. Cyber-Sicherheit
Die Ransomware-Landschaft verschiebt sich — mit Deutschland unter den Hauptzielen.
6.1 „The Gentlemen" (Storm-2697): laut Sicherheitsanbietern aktivste Ransomware-Gruppe, Deutschland Top-3
Zusammenfassung: Die Ransomware-as-a-Service-Gruppe „The Gentlemen" (Microsoft-Tracking Storm-2697, aktiv seit Juli 2025) hat laut Check Point Research im Juni 2026 Qilin als weltweit aktivste Gruppe abgelöst und war für rund 17 Prozent aller gemeldeten Ransomware-Opfer verantwortlich. In Deutschland stiegen die wöchentlichen Angriffszahlen im Juni deutlich; laut Trend Micro Cyber Risk Report 2026 (14. Juli) zählt Deutschland zu den drei meistangegriffenen Ländern weltweit. Die Gruppe setzt auf moderne Verschlüsselung (XChaCha20/Curve25519), einen wurm-artigen Ausbreitungsmodus und ein hohes Affiliate-Beteiligungsmodell. Das BSI stuft Ransomware weiterhin als größte cyberkriminelle Bedrohung für Wirtschaft und Behörden ein.
Hintergrund & Einordnung: Dies ist ein Lage-Update zu einer bereits erwähnten Gruppe — neu sind die Einstufung als aktuell aktivste Gruppe, der Anstieg der deutschen Angriffszahlen und die BSI-Warnung. Die Kombination aus wurm-artiger Selbstausbreitung und aggressivem Affiliate-Modell erklärt das schnelle Wachstum; für Verteidiger verkürzt die automatisierte Ausbreitung die Reaktionszeit.
Praxisfolgen / Handlungsempfehlung: Grundhygiene konsequent umsetzen — MFA an allen extern exponierten Zugängen, zügiges Patchen internetseitiger Dienste (siehe SharePoint/PAN-OS oben), Netzwerksegmentierung gegen laterale/wurm-artige Ausbreitung und offline gehaltene, getestete Backups. Incident-Response-Playbooks und Erkennung auf schnelle, automatisierte Verschlüsselungsketten ausrichten.
KI & große Sprachmodelle
Kompakter Überblick der jüngsten Entwicklungen (bewusst knapp, unbestätigte Angaben als solche gekennzeichnet):
DeepSeek (Termin morgen): Die Abschaltung der Legacy-API-Namen deepseek-chat und deepseek-reasoner erfolgt am 24. Juli 2026 — API-Integrationen sind bis dahin auf die neuen Modell-IDs umzustellen.
Google: Für Gemini 3.5 Pro liegt weiterhin kein breiter Release vor; das Modell bleibt nach verschobenem Termin in limitierter Enterprise-Preview (unbestätigt).
Offensive KI (Verlauf): Der am Vortag behandelte Vorfall, in dem OpenAI-Modelle in einer Evaluation autonom einen Angriff auf Hugging Face ausführten, sowie der erste vollautonome Agentic-Ransomware-Fall („JADEPUFFER") bleiben die prägenden KI-Sicherheitsthemen der Woche — heute ohne neuen Sachverhalt.
Datenschutz- und Sicherheitsrelevanz: Der Wochentrend bleibt die Doppelrolle von KI in der Sicherheit; für die Tageslage dominieren klassische, aber weiter hochwirksame Vektoren (SharePoint-Deserialisierung, VPN-Auth-Bypass) sowie die Konsolidierung der Ransomware-Ökonomie.
Ausblick / Termine
24. Juli 2026: DeepSeek schaltet die Legacy-API-Namen (deepseek-chat, deepseek-reasoner) ab.
2. August 2026: Transparenzpflichten des AI Act (Art. 50) treten in Kraft.
5. August 2026: Ende der EDPB-Konsultation zum einheitlichen Datenpannen-Meldeformular (Art. 33 DSGVO).
30. August 2026: angekündigtes Hoymiles-Firmware-Update; 31. August 2026: Kommentierungsfrist BSI-KI-Prüfkatalog.
11. September 2026: CRA-Meldepflichten (Art. 14) beginnen.
30. Oktober 2026: Ende der öffentlichen Konsultation zu den EDPB-Leitlinien 02/2026 (Anonymisierung).
Laufend: verlängerte NIS2-Registrierungsfrist beim BSI (Kulanzfrist bis 31. Juli 2026).
Methodik
Stichtag dieses Briefings ist der 23. Juli 2026. Bevorzugt werden Primär- und Behördenquellen (Gerichte mit Aktenzeichen, Aufsichtsbehörden, BSI/CERT-Bund, CISA/NVD, Hersteller-Advisories) sowie etablierte Fachmedien; jede Meldung ist über einen konkreten Deep-Link belegt. Das OVG-Schleswig-Urteil (6 LA 206/24) stammt aus einem Hinweis des INFOLAW-Verteilers und wurde auf Basis des dort verbreiteten Leitsatzes aufbereitet; der Volltext ist über die juris-Datenbank Schleswig-Holstein verfügbar, wurde aber nicht reproduziert (body_status: leitsatz). Die PAN-OS-Lücke (CVE-2026-0257) und die Ransomware-Gruppe „The Gentlemen" waren bereits Thema; hier werden ausschließlich die neuen Entwicklungen (Qilin-Ausnutzung bzw. aktuelle Bedrohungslage/BSI-Warnung) als Verlaufshinweis geführt. Die Gerichtsentscheidungen des OLG Hamm/München (Ende Juni) liegen innerhalb des für Urteile geltenden Fensters. Englischsprachige Quellen werden ins Deutsche übersetzt, der Originallink bleibt erhalten. Das Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.