BGH stärkt Ihre Rechte bei Datenpannen: Schon der Kontrollverlust kann Schadensersatz auslösen. Der Bundesgerichtshof hat entschieden, dass für einen immateriellen Schadensersatz nach der DSGVO keine „Erheblichkeitsschwelle" gilt: Wenn personenbezogene Daten durch einen Fehler an Unbefugte gelangen und der Betroffene dadurch die Kontrolle über seine Daten verliert, kann das einen Anspruch begründen — im Fall ging es um eine versehentlich an einen Dritten geschickte Bewerbungsnachricht. Für Verbraucher heißt das: Wer von einer Datenpanne betroffen ist, hat bessere Chancen auf Entschädigung. Für Unternehmen steigt das Haftungsrisiko schon bei einfachen Fehlversänden.
Phishing-Warnung: Betrüger fälschen jetzt E-Mails im Namen des Bürgerbeauftragten Rheinland-Pfalz. Die Verbraucherzentrale warnt vor einer neuen Masche, bei der gefälschte Zahlungsaufforderungen im Namen einer staatlichen Ombudsstelle verschickt werden. Das Büro des Bürgerbeauftragten versendet grundsätzlich keine Zahlungsaufforderungen per E-Mail. Wer eine solche Mail erhält, sollte nicht zahlen und keine Daten eingeben; wer bereits reagiert hat, sollte sofort die Bank kontaktieren und Passwörter ändern.
Wenn das Rathaus nur noch eingeschränkt erreichbar ist: Ransomware trifft deutsche Kommunen. In der vergangenen Woche wurden mehrere Kommunalverwaltungen Ziel von Cyberangriffen — die Stadt Wriezen durch Ransomware, Wiesbaden durch eine Überlastungsattacke, eine Verbandsgemeinde durch einen laufenden Eingriff. Für Bürgerinnen und Bürger bedeutet das zeitweise ausgefallene Online-Dienste und eingeschränkte Erreichbarkeit. Behördliche Vorgänge daher ggf. telefonisch oder vor Ort klären und auf offizielle Kanäle achten.
Aktuelle Phishing- und Betrugswellen
Im Vordergrund steht eine neuartige Masche im Namen des Bürgerbeauftragten des Landes Rheinland-Pfalz, vor der die Verbraucherzentrale Rheinland-Pfalz seit dem 23. Juli 2026 warnt. Betrüger versenden E-Mails mit gefälschten Zahlungsaufforderungen, die den Anschein amtlicher Kommunikation erwecken. Das Büro des Bürgerbeauftragten stellte ausdrücklich klar, dass es keinerlei Zahlungsaufforderungen per E-Mail versendet. Neu und besonders perfide ist die Absenderidentität: Bislang wurden im Phishing-Radar überwiegend Banken und Versicherungen imitiert — die Tarnung als staatliche Ombudsstelle zielt auf die höhere Glaubwürdigkeit von Behördenpost und trifft besonders weniger digital-affine Menschen.
Das Schutzprinzip bleibt: Behörden fordern keine Zahlungen per E-Mail-Link an, und keine Daten sollten über Links aus unaufgeforderten Nachrichten eingegeben werden. Wer bereits Zahlungsdaten preisgegeben hat, sollte umgehend die Bank informieren und Passwörter ändern. Im Zweifel die betreffende Stelle über die offiziell bekannte Telefonnummer kontaktieren.
Was war los?
Bei den IT-Systemen bleibt die Lage angespannt. In der Verwaltungssoftware von Check Point wird eine Lücke aktiv ausgenutzt, über die Angreifer die Kontrolle über zentrale Sicherheits-Management-Server übernehmen können; die US-Behörde CISA nahm sie in ihren Warnkatalog auf. Zudem wurde eine neun Jahre alte Schwachstelle im Linux-Kernel bekannt, über die Angreifer auf betroffenen Servern Administratorrechte erlangen können — Millionen Systeme sind potenziell betroffen, Patches werden ausgerollt.
Auf der Bedrohungsseite trafen mehrere deutsche Kommunen binnen einer Woche Cyberangriffe. Das reiht sich in die verschärfte Ransomware-Lage ein, die Sicherheitsbehörden und -anbieter für Deutschland zuletzt festgestellt haben.
Was sich rechtlich geändert hat
Das BGH-Urteil zum DSGVO-Schadensersatz (VI ZR 97/22) hat weitreichende Folgen: Für einen immateriellen Schadensersatz nach Art. 82 DSGVO gibt es keine Erheblichkeitsschwelle. Ein nicht folgenloser Kontrollverlust über personenbezogene Daten — etwa wenn ein Dritter die Daten tatsächlich zur Kenntnis nimmt — genügt, um einen Anspruch dem Grunde nach zu begründen. Einen Unterlassungsanspruch gewährt die DSGVO zwar nicht unmittelbar, doch kann er auf nationales Recht (§ 1004 BGB analog i.V.m. § 823 BGB) gestützt werden, sofern eine Wiederholungsgefahr besteht. Für Unternehmen bedeutet das ein spürbar erhöhtes Haftungsrisiko schon bei alltäglichen Datenpannen wie Fehlversänden.
IT-Detailansicht für Fachpublikum
Im Folgenden: die laufenden Wochen-Schwerpunkte, eine Management Summary, die Top-Risiken mit konkreten Handlungsempfehlungen sowie die sechs Fachkapitel (Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder, Cyber-Sicherheit), ergänzt um einen Überblick zu KI und großen Sprachmodellen, Ausblick, Methodik und Quellenverzeichnis.
Top-Themen der Woche
1. BGH senkt die Hürde für DSGVO-Schadensersatz
Seit Donnerstag, 24. Juli 2026 · zuletzt aktualisiert Freitag, 24. Juli 2026 · Score 84
Der BGH (VI ZR 97/22) hat entschieden, dass Art. 82 DSGVO keine Erheblichkeitsschwelle kennt: Ein nicht folgenloser Kontrollverlust über personenbezogene Daten begründet dem Grunde nach einen immateriellen Schadensersatzanspruch. Anlass war ein versehentlicher Xing-Fehlversand von Bewerbungs- und Vergütungsdaten an einen Dritten.
Letzte Entwicklung: Ein Unterlassungsanspruch folgt nicht unmittelbar aus der DSGVO (EuGH C-655/23), kann aber national gestützt werden (§ 1004 BGB analog); im Streitfall fehlte die Wiederholungsgefahr. Zur Höhe zurückverwiesen an das OLG Frankfurt.
2. Infrastruktur im Visier: Sicherheits-Management und Linux-Kernel
Seit Mittwoch, 22. Juli 2026 · zuletzt aktualisiert Freitag, 24. Juli 2026 · Score 80
Check Points SmartConsole/Management-Server werden über einen Authentifizierungs-Bypass (CVE-2026-16232, CISA-KEV seit 22.07.) aktiv angegriffen — Angreifer erlangen volle Admin-Rechte über die Security-Management-Ebene. Parallel machte Qualys die neun Jahre alte XFS-Kernel-Lücke „RefluXFS" (CVE-2026-64600) öffentlich, die lokale Root-Rechte auf über 16 Millionen Linux-Systemen ermöglicht.
Letzte Entwicklung: Für Check Point liegen Hotfixes vor (Bundesbehörden-Frist 25.07.); für RefluXFS werden herstellergepatchte Kernel ausgerollt, ein öffentlicher Exploit ist bislang nicht bekannt.
Management Summary
Der 24. Juli ist rechtlich vom BGH und sicherheitsseitig von zwei Infrastruktur-Schwachstellen geprägt. Der Bundesgerichtshof entschied (VI ZR 97/22, Urteil vom 23.06.2026), dass ein immaterieller Schadensersatz nach Art. 82 Abs. 1 DSGVO keine Erheblichkeitsschwelle erfordert: Der bloße Verstoß genügt zwar nicht, ein nicht folgenloser Kontrollverlust aber schon. Im Streitfall hatte eine Bankmitarbeiterin eine für einen Bewerber bestimmte Xing-Nachricht mit Bewerbungs- und Vergütungsdaten versehentlich an einen Dritten geschickt, der den Bewerber ansprach. Einen Unterlassungsanspruch unmittelbar aus der DSGVO verneint der BGH (im Anschluss an EuGH C-655/23); national kommen § 1004 Abs. 1 Satz 2 BGB analog i.V.m. § 823 BGB in Betracht, im Streitfall aber mangels Wiederholungsgefahr erfolglos. Zur Höhe wurde an das OLG Frankfurt zurückverwiesen.
Sicherheitsseitig wird die Check-Point-Lücke CVE-2026-16232 (Authentifizierungs-Bypass im Security-Management-Server, CVSS 9,3) aktiv ausgenutzt: Ein nicht authentifizierter Angreifer kann ein SmartConsole-Anmelde-Token extrahieren und sich mit vollen Administratorrechten anmelden, um Security-Policies, VPN-Konfigurationen und Logging aller angeschlossenen Gateways zu manipulieren. Check Point bestätigte am 22. Juli aktive Ausnutzung (betroffen: Management-Oberflächen ohne IP-Beschränkung im Internet), stellte Hotfixes bereit, und CISA nahm die Lücke am 22. Juli in den KEV-Katalog auf (FCEB-Frist 25.07.). Zudem veröffentlichte Qualys am 22. Juli die Kernel-Schwachstelle „RefluXFS" (CVE-2026-64600), eine neun Jahre alte Race Condition im XFS-Dateisystem (reflink/CoW-Pfad), die einem lokalen Angreifer ohne Sonderrechte das Überschreiben root-eigener Dateien und damit Root-Eskalation erlaubt; betroffen sind u. a. RHEL 8/9/10, Oracle/Amazon Linux, Fedora, Rocky/AlmaLinux sowie jede Distribution mit reflink=1-XFS — laut Qualys über 16 Millionen Systeme. Auf der Bedrohungsseite trafen binnen einer Woche mehrere deutsche Kommunen (Ransomware in Wriezen, DDoS in Wiesbaden, laufender Eingriff bei einer Verbandsgemeinde).
Die wichtigsten Punkte im Überblick
BGH VI ZR 97/22: immaterieller Schadensersatz nach Art. 82 DSGVO ohne Erheblichkeitsschwelle; Kontrollverlust genügt (ur-497).
BGH: kein Unterlassungsanspruch unmittelbar aus der DSGVO (EuGH C-655/23), aber national (§ 1004 BGB analog); Wiederholungsgefahr erforderlich.
Check Point SmartConsole CVE-2026-16232 (CVSS 9,3) aktiv ausgenutzt, CISA-KEV; Hotfixes verfügbar, Bundesbehörden-Frist 25.07.
Linux „RefluXFS" CVE-2026-64600: 9 Jahre alte XFS-Race-Condition, lokale Root-Eskalation, >16 Mio. Systeme; Patches im Rollout.
Ransomware-/Cyber-Welle gegen deutsche Kommunen (Wriezen, Wiesbaden, Rhein-Nahe) binnen einer Woche.
Neue Phishing-Masche im Namen des Bürgerbeauftragten Rheinland-Pfalz (Behörde als Absender).
DeepSeek schaltet heute (24.07.) die Legacy-API-Namen ab.
Top-Risiken – Handlungsempfehlungen für heute
Check Point Management-Server patchen. Die Hotfixes für CVE-2026-16232 einspielen (R81.20 Take 158+, R82 Take 118+, R82.10 Take 36+); die Management-/SmartConsole-Oberfläche niemals ungeschützt ins Internet stellen (IP-Beschränkung, VPN-only) und exponierte Server auf Kompromittierung prüfen.
Linux-Kernel aktualisieren (RefluXFS). Herstellergepatchte Kernel für CVE-2026-64600 einspielen, sobald verfügbar; besonders auf Systemen mit reflink-aktiviertem XFS und Mehrbenutzer-/Container-Hosts priorisieren. Wo kein Patch verfügbar ist, lokale Zugänge einschränken.
DSGVO-Haftungsrisiko senken. Technische und organisatorische Maßnahmen gegen Fehlversand umsetzen (Empfängerbestätigung, Verzögerungsfenster, DLP), Datenpannen-Reaktionsprozesse schärfen — nach dem BGH-Urteil genügt für Schadensersatz ein nicht folgenloser Kontrollverlust.
Kommunale/organisatorische Resilienz. Angesichts der Angriffe auf Kommunen: MFA an exponierten Zugängen, Netzwerksegmentierung, offline gehaltene und getestete Backups sowie geübte Notbetriebs- und Kommunikationspläne.
Phishing-Awareness (Behörden-Absender). Für die neue Masche mit Ombudsstellen-/Behörden-Absender sensibilisieren: Behörden fordern keine Zahlungen per E-Mail-Link; Verifikation über offizielle Kontaktwege.
1. Datenschutz
Das datenschutzrechtliche Highlight des Tages ist das BGH-Urteil zum Schadensersatz (Kapitel 4).
1.1 Aufsichtslage
Im engen Tagesfenster liegen keine neuen, noch nicht behandelten Aufsichts- oder Bußgeldentscheidungen deutscher oder europäischer Datenschutzbehörden vor. Der prägende datenschutzrechtliche Vorgang ist die BGH-Entscheidung zum immateriellen Schadensersatz (VI ZR 97/22, siehe Kapitel 4). Der laufende EDPB-Vorgang zum einheitlichen Datenpannen-Meldeformular (Konsultation bis 5. August) wurde am 23. Juli behandelt und läuft unverändert weiter.
2. Datensicherheit
Eine alte, weit verbreitete Kernel-Schwachstelle eröffnet lokale Root-Rechte.
Zusammenfassung: Qualys hat am 22. Juli 2026 mit „RefluXFS" (CVE-2026-64600) eine rund neun Jahre alte Race Condition im XFS-Dateisystem-Subsystem des Linux-Kernels (Copy-on-Write-/reflink-Pfad) offengelegt, die seit Kernel 4.11 (2017) besteht. Ein nicht privilegierter lokaler Angreifer kann über zwei konkurrierende O_DIRECT-Schreiboperationen auf eine reflink-aktivierte XFS-Partition das Inode-Locking-Fenster ausnutzen und statt in eine private Kopie in den Originaldatenblock schreiben — und damit beliebige root-eigene Dateien überschreiben (etwa /etc/passwd oder SUID-Root-Binaries), ohne Kernel-Log-Spuren. Qualys demonstrierte die Eskalation auf RHEL 10.2; die Änderungen sind reboot-persistent. Betroffen sind u. a. RHEL 8/9/10, Oracle Linux, Amazon Linux 2023, Fedora Server, CentOS Stream, Rocky Linux und AlmaLinux sowie jede Distribution mit manuell gewähltem reflink=1-XFS; Qualys schätzt über 16 Millionen exponierte Systeme. Der Upstream-Patch wurde am 16. Juli gemergt; herstellergepatchte Kernel werden ausgerollt. Aktive Ausnutzung war zum Offenlegungszeitpunkt nicht bestätigt, ein öffentlicher PoC nicht veröffentlicht.
Hintergrund & Einordnung: Schutzmechanismen wie SELinux, Container-Isolation, KASLR, SMEP und SMAP greifen nicht, weil der Angriff unterhalb der Speicherschutzebene auf der Dateisystem-Allokationsebene ansetzt. Das macht die Lücke besonders in Mehrbenutzer- und Container-Umgebungen brisant, in denen sich viele Workloads Kernel und Dateisystem teilen. Dass ein neun Jahre alter Fehler erst jetzt gefunden wurde, reiht sich in die Serie tiefsitzender Kernel-Altlasten ein.
Praxisfolgen / Handlungsempfehlung: Kernel-Updates der Distributionen einspielen, sobald verfügbar; Systeme mit reflink-aktiviertem XFS und geteiltem Kernel (Container-Hosts, Multi-User-Server) priorisieren. Wo kein Patch vorliegt, lokale Zugänge und die Ausführung nicht vertrauenswürdigen Codes einschränken; Datei-Integritätsüberwachung für kritische Systemdateien aktivieren.
3. IT-Sicherheit
Ein Authentifizierungs-Bypass in der Sicherheits-Management-Ebene wird aktiv ausgenutzt.
3.1 Check Point SmartConsole/Management-Server: Authentifizierungs-Bypass (CVE-2026-16232) aktiv ausgenutzt
Zusammenfassung: Check Point hat am 22. Juli 2026 einen aktiv ausgenutzten Authentifizierungs-Bypass in seinen Security-Management- und Multi-Domain-Management-Servern bestätigt: CVE-2026-16232 (CWE-287, herstellerseitig CVSS 9,3) betrifft alle Versionen von R77.30 bis R82.10. Ein nicht authentifizierter Angreifer kann ein Anmelde-Token der SmartConsole-Applikation extrahieren und sich damit mit vollen Administratorrechten am Management-Server anmelden — und in der Folge Security-Policies, VPN-Konfigurationen, Administrator-Berechtigungen und Logging aller angeschlossenen Gateways manipulieren. Betroffen sind laut Check Point Kunden, deren Management-Oberflächen ohne IP-Beschränkung direkt aus dem Internet erreichbar waren. Hotfixes wurden am 22. Juli veröffentlicht (u. a. R81.20 Take 158+, R82 Take 118+, R82.10 Take 36+); CISA nahm die Lücke am selben Tag in den KEV-Katalog auf und setzte FCEB-Behörden eine Frist bis 25. Juli. Zwei weitere im Advisory geschlossene Lücken (CVE-2026-62144, CVE-2026-62145) sind bislang nicht als ausgenutzt bestätigt.
Hintergrund & Einordnung: Der Angriff zielt auf die Kontrollebene der Sicherheitsinfrastruktur selbst — die Übernahme eines Management-Servers kompromittiert potenziell alle daran angeschlossenen Firewalls und VPN-Gateways gleichzeitig und erlaubt es, Schutzmaßnahmen unbemerkt abzuschalten. Dass ausschließlich internet-exponierte Management-Interfaces betroffen sind, unterstreicht die Grundregel, administrative Ebenen niemals offen ins Netz zu stellen.
Praxisfolgen / Handlungsempfehlung: Die Hotfixes umgehend einspielen und die SmartConsole-/Management-Oberfläche strikt vom Internet trennen (IP-Allowlist, VPN-only-Zugriff, Sprungserver). Exponierte Server auf Kompromittierung prüfen (unerwartete Admin-Anmeldungen, geänderte Policies/Logging), Administrator-Sessions invalidieren und Zugangsdaten rotieren.
4. Urteile
Ein BGH-Grundsatzurteil senkt die Hürde für den immateriellen DSGVO-Schadensersatz.
4.1 BGH (VI ZR 97/22): Immaterieller Schadensersatz nach Art. 82 DSGVO ohne Erheblichkeitsschwelle
Sachverhalt: Eine Mitarbeiterin einer Privatbank versandte eine für einen Bewerber bestimmte Xing-Nachricht mit Angaben zur Bewerbung und zur angebotenen Vergütung versehentlich an einen Dritten. Der Dritte kannte den Bewerber und sprach ihn auf seine Bewerbung an. Der Bewerber verlangte immateriellen Schadensersatz sowie Unterlassung einer erneuten rechtswidrigen Übermittlung.
Entscheidung: Der BGH (Urteil vom 23.06.2026 – VI ZR 97/22) bejaht den immateriellen Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO dem Grunde nach. Der bloße Datenschutzverstoß genügt weiterhin nicht, eine Erheblichkeitsschwelle besteht aber ebenfalls nicht; hier war der Kontrollverlust nicht folgenlos, weil der Dritte die Daten zur Kenntnis nahm und die Befürchtung einer Weitergabe oder wettbewerblichen Nutzung begründet war. Einen Unterlassungsanspruch unmittelbar aus der DSGVO verneint der BGH (im Anschluss an EuGH C-655/23 vom 04.09.2025), sofern keine Löschung verlangt wird.
Begründungs-Kernpunkte: Nationale Unterlassungsansprüche bleiben möglich — insbesondere § 1004 Abs. 1 Satz 2 BGB analog i.V.m. § 823 Abs. 1 BGB (informationelle Selbstbestimmung) sowie § 823 Abs. 2 BGB i.V.m. Art. 6 DSGVO. Sie setzen jedoch Wiederholungsgefahr voraus; diese fehlte hier, weil das Bewerbungsverfahren abgeschlossen war und sich der Antrag auf die konkrete Fehlversendung bezog. Zur Höhe des Schadensersatzes wurde an das OLG Frankfurt zurückverwiesen. (Aufbereitung auf Basis der INFOLAW-Zusammenfassung; Volltext-PDF über die BGH-Datenbank verfügbar, hier nicht reproduziert.)
Praxisfolgen: Die Entscheidung senkt die Schwelle für Schadensersatzklagen nach Datenpannen spürbar: Betroffene müssen keinen „erheblichen" Schaden nachweisen, ein belegter Kontrollverlust genügt. Verantwortliche sollten technische und organisatorische Maßnahmen gegen Fehlversand (Empfängerbestätigung, Verzögerung, DLP) umsetzen, Datenpannen-Prozesse dokumentieren und ihr Haftungsrisiko bei Beschäftigten- und Bewerberdaten neu bewerten. Die vollständige Aufbereitung liegt als CSA-Beitrag vor: ur-497.
5. Bußgelder
Im engen Tagesfenster keine neuen, noch nicht gebrachten Bußgeldbescheide.
5.1 Einordnung
Neue, unabhängig verifizierte und noch nicht behandelte EU-Bußgeldbescheide liegen im Tagesfenster nicht vor. Ältere, in der Fachpresse zuletzt diskutierte Fälle (u. a. das reduzierte LG-Berlin-Bußgeld im Immobilienbereich vom 9. Juni und das niederländische Yango/MLU-Bußgeld vom 8. Mai) liegen außerhalb des Aktualitätsfensters und werden hier nur der Vollständigkeit halber erwähnt; der Rechtsschwerpunkt des Tages liegt auf dem BGH-Urteil (Kapitel 4).
6. Cyber-Sicherheit
Deutsche Kommunalverwaltungen geraten verstärkt ins Visier.
6.1 Ransomware- und Cyberangriffe gegen deutsche Kommunen (Wriezen, Wiesbaden, Rhein-Nahe)
Zusammenfassung: Binnen einer Woche wurden mehrere deutsche Kommunen Ziel von Cyberangriffen. Die Stadtverwaltung Wriezen (Brandenburg) entdeckte am 17. Juli 2026 einen Ransomware-Angriff und trennte betroffene IT-Systeme vorsorglich vom Netz; sie ist seither nur eingeschränkt per Telefon und E-Mail erreichbar, Täterschaft und möglicher Datenabfluss sind noch ungeklärt. Am 16. Juli legte eine DDoS-Attacke zeitweise Online-Dienste der Stadt Wiesbaden lahm (noch am selben Tag behoben). Zudem meldete eine Verbandsgemeinde im Raum Rhein-Nahe einen laufenden externen Eingriff in Teile ihrer IT-Infrastruktur. Die Häufung fügt sich in die zuletzt festgestellte verschärfte Ransomware-Lage in Deutschland ein.
Hintergrund & Einordnung: Kommunalverwaltungen sind ein bevorzugtes Ziel, weil sie sensible Bürgerdaten verarbeiten, kritische Dienste bereitstellen und häufig über knappe IT-Sicherheitsressourcen verfügen. Ein erfolgreicher Angriff trifft unmittelbar die Daseinsvorsorge (Bürgerdienste, Meldewesen, Zahlungsverkehr) und erzeugt hohen Druck zur schnellen Wiederherstellung. Die Kombination unterschiedlicher Angriffsarten (Ransomware, DDoS, Intrusion) in kurzer Folge zeigt die Breite der Bedrohung.
Praxisfolgen / Handlungsempfehlung: Für Kommunen und vergleichbare Organisationen gilt: extern exponierte Zugänge mit MFA absichern, internetseitige Dienste zügig patchen (siehe Check Point/Linux oben), Netzwerksegmentierung zur Eindämmung lateraler Ausbreitung, offline gehaltene und regelmäßig getestete Backups sowie geübte Notbetriebs- und Krisenkommunikationspläne. Meldepflichten (Art. 33 DSGVO, ggf. NIS2/KRITIS) und die Einbindung von CERT-Bund/Landes-CERTs einplanen.
KI & große Sprachmodelle
Kompakter Überblick der jüngsten Entwicklungen (bewusst knapp, unbestätigte Angaben als solche gekennzeichnet):
DeepSeek (heute): Die Legacy-API-Namen deepseek-chat und deepseek-reasoner werden am 24. Juli 2026 abgeschaltet — bestehende Integrationen müssen auf die aktuellen Modell-IDs umgestellt sein, sonst brechen API-Aufrufe.
Google: Für Gemini 3.5 Pro liegt weiterhin kein breiter Release vor; das Modell bleibt nach verschobenem Termin in limitierter Enterprise-Preview (unbestätigt).
KI-Sicherheit (Verlauf): Die Themen der Woche — autonome KI-Angriffe (OpenAI/Hugging Face) und der erste vollautonome Agentic-Ransomware-Fall — bleiben prägend; heute ohne neuen Sachverhalt. Der BGH-Schadensersatzmaßstab (Kapitel 4) ist auch für KI-gestützte Datenverarbeitung relevant, weil Kontrollverluste dort schnell breite Betroffenenkreise erfassen.
Datenschutz- und Sicherheitsrelevanz: Für die Tageslage dominieren klassische Infrastruktur-Schwachstellen (Sicherheits-Management-Ebene, Kernel) sowie die haftungsrechtliche Verschärfung beim DSGVO-Schadensersatz.
Ausblick / Termine
24. Juli 2026 (heute): DeepSeek schaltet die Legacy-API-Namen ab; 25. Juli 2026: CISA-Frist (BOD 26-04) für Check Point CVE-2026-16232.
2. August 2026: Transparenzpflichten des AI Act (Art. 50) treten in Kraft.
5. August 2026: Ende der EDPB-Konsultation zum einheitlichen Datenpannen-Meldeformular (Art. 33 DSGVO).
30. August 2026: angekündigtes Hoymiles-Firmware-Update; 31. August 2026: Kommentierungsfrist BSI-KI-Prüfkatalog.
11. September 2026: CRA-Meldepflichten (Art. 14) beginnen.
30. Oktober 2026: Ende der öffentlichen Konsultation zu den EDPB-Leitlinien 02/2026 (Anonymisierung).
Laufend: verlängerte NIS2-Registrierungsfrist beim BSI (Kulanzfrist bis 31. Juli 2026).
Methodik
Stichtag dieses Briefings ist der 24. Juli 2026. Bevorzugt werden Primär- und Behördenquellen (Gerichte mit Aktenzeichen, Aufsichtsbehörden, BSI/CERT-Bund, CISA/NVD, Hersteller-Advisories, Forschungslabore) sowie etablierte Fachmedien; jede Meldung ist über einen konkreten Deep-Link belegt. Das BGH-Urteil (VI ZR 97/22) stammt aus einem Hinweis des INFOLAW-Verteilers und wurde auf Basis der dort verbreiteten Zusammenfassung aufbereitet; der Volltext ist als PDF über die BGH-Entscheidungsdatenbank verfügbar, wurde aber nicht reproduziert (body_status: leitsatz). Bei den Bußgeldern liegen im Tagesfenster keine neuen verifizierten Fälle vor; ältere Fälle sind mit Datum als solche gekennzeichnet. Englischsprachige Quellen werden ins Deutsche übersetzt, der Originallink bleibt erhalten. Gerichtsentscheidungen können bis zu acht Wochen zurückreichen, wenn die schriftlichen Gründe erst kürzlich verfügbar wurden. Das Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.