Gebrauchte Software-Lizenzen dürfen weiterverkauft werden. Der englische Court of Appeal hat im Streit ValueLicensing gegen Microsoft die „UsedSoft"-Linie bestätigt: Auch per Download erworbene, unbefristete Lizenzen (Windows, Office) sind grundsätzlich handelbar — selbst wenn die Software Oberflächen, Symbole oder Hilfetexte enthält. Für Unternehmen und Verbraucher bedeutet das mehr Rechtssicherheit beim Kauf gebrauchter Lizenzen.
Kritische Sicherheitslücken werden aktiv ausgenutzt. Die US-Behörde CISA warnt vor drei aktiv ausgenutzten Schwachstellen — darunter eine kritische Lücke im KI-Baukasten Langflow (CVE-2026-9198, Höchstwertung) und eine in Apache Tomcat. Wer solche Software betreibt, sollte umgehend die Updates einspielen.
KI senkt die Einstiegshürde für Angreifer. Sicherheitsforscher verknüpfen eine der Angriffskampagnen mit einem KI-gestützten „Hacking-Agenten" auf Basis eines Sprachmodells. Cyberangriffe werden dadurch schneller, glaubwürdiger und massenhafter — Wachsamkeit gegenüber überzeugend gemachten Phishing- und Betrugsversuchen bleibt entscheidend.
Ransomware zielt zunehmend auf Datendiebstahl statt Verschlüsselung. Weil viele Unternehmen funktionierende Backups haben, verschieben Angreifer den Schwerpunkt auf Datenklau und Erpressung; rund 80 % der Angriffe treffen kleine und mittlere Unternehmen. Wichtig bleibt: Zugangsdaten schützen, Daten sparsam halten, Notfall- und Meldeprozesse üben (Art. 33/34 DSGVO).
Aktuelle Phishing- und Betrugswellen
Heute keine neue, unabhängig belegte Phishing-Welle. Die bekannten Banking- und Behörden-Maschen laufen mit wechselnden Betreffzeilen weiter. Bemerkenswert ist der Trend, dass KI die Qualität von Betrugsnachrichten hebt: überzeugendere Sprache, weniger Fehler, personalisierte Ansprache. Das Schutzprinzip bleibt unverändert — keine Links oder Anhänge aus unaufgeforderten Nachrichten öffnen, keine Zugangsdaten oder TANs preisgeben, im Zweifel nur über selbst aufgerufene offizielle Kanäle handeln.
Was war los?
Der Tag ist zweigeteilt: rechtlich prägt eine Berufungsentscheidung zum Gebrauchtsoftware-Handel die Lage (Court of Appeal, ValueLicensing ./. Microsoft), technisch die Warnung der CISA vor drei aktiv ausgenutzten Schwachstellen (Langflow, Apache Tomcat, N-able). Auffällig ist der KI-Bezug: Eine Angriffskampagne wird mit einem KI-gestützten Hacking-Agenten in Verbindung gebracht.
Was sich rechtlich geändert hat
Der Court of Appeal stärkt den Markt für gebrauchte Software-Lizenzen: Die urheberrechtliche Erschöpfung tritt auch bei Download-Software ein und lässt sich nicht durch Vertragsklauseln oder das Beifügen grafischer Elemente aushebeln. Für den deutschen Rechtsraum ist die englische Entscheidung nicht bindend, bestätigt aber die über EuGH (UsedSoft) und BGH etablierte Linie.
IT-Detailansicht für Fachpublikum
Im Folgenden: das Tagesthema, eine kurze Management Summary, die sechs Fachkapitel (Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder, Cyber-Sicherheit), ein KI-/LLM-Hinweis, Ausblick, Methodik und Quellenverzeichnis.
Top-Themen des Tages
1. KI in der Angriffskette: automatisierte Ausnutzung kritischer Lücken
Seit Mittwoch, 5. August 2026 · zuletzt aktualisiert Donnerstag, 6. August 2026 · Score 77
CISA nahm am 5. August drei aktiv ausgenutzte Lücken in den KEV-Katalog auf, darunter eine kritische Remote-Code-Execution im KI-Baukasten Langflow (CVE-2026-9198, CVSS 9,8). Eine der Ausnutzungskampagnen wird von Unit 42 mit einem KI-gestützten Hacking-Agenten auf Basis eines Sprachmodells (DeepSeek) in Verbindung gebracht.
Letzte Entwicklung: Die Kombination aus hochkritischer, unauthentifizierter RCE und KI-gestützter Automatisierung senkt die Einstiegshürde und erhöht das Tempo. Betreiber exponierter Langflow-/Tomcat-Instanzen sollten sofort patchen und auf Ausnutzungsspuren prüfen.
Management Summary
Sicherheitsseitig dominiert die CISA-KEV-Ergänzung vom 5. August: drei aktiv ausgenutzte Schwachstellen in Langflow (CVE-2026-9198, CVSS 9,8, unauthentifizierte Remote-Code-Execution; Fix in 1.10.1), Apache Tomcat (CVE-2026-34486, CVSS 7,5, Umgehung des EncryptInterceptor der Cluster-Kommunikation; Fixes in 11.0.21/10.1.54/9.0.117) und N-able N-central (CVE-2026-18556, Authentifizierungs-Umgehung; die zugehörige unvollständig gepatchte Folgelücke CVE-2026-18577 war bereits Thema). Sicherheitsforscher von Unit 42 verknüpfen eine der Langflow-Kampagnen mit einem KI-gestützten Hacking-Agenten (DeepSeek) — ein weiteres Signal, dass generative KI die Ausnutzung standardisiert und beschleunigt. Auf der Bedrohungsseite verschiebt sich das Ransomware-Geschäftsmodell laut aktuellen Berichten (u. a. Deloitte Cyber Security Report 2026) von Verschlüsselung zu Datendiebstahl und Erpressung; rund 80 % der Angriffe treffen den Mittelstand, und weniger als ein Viertel der Betroffenen kann nach einem erfolgreichen Angriff die Daten wiederherstellen. Die Gruppe „Unsafe" ist nach längerer Pause zurückgekehrt und behauptet u. a. einen Datenabgriff bei der Deutschen Bank (Täterbehauptung).
Rechts- und datenschutzseitig prägt eine Berufungsentscheidung den Tag: Der England and Wales Court of Appeal ([2026] EWCA Civ 872) bestätigte im Verfahren ValueLicensing ./. Microsoft die urheberrechtliche Erschöpfung beim Handel mit gebrauchten, unbefristeten Software-Lizenzen — auch bei Download-Software und bei Software mit grafischen/textlichen Bestandteilen (ur-521).
Die wichtigsten Punkte im Überblick
Langflow CVE-2026-9198 (CVSS 9,8, unauth. RCE, Fix 1.10.1) — CISA-KEV 05.08.; Kampagne mit KI-Hacking-Agent (DeepSeek, Unit 42).
Apache Tomcat CVE-2026-34486 (EncryptInterceptor-Bypass) und N-able N-central CVE-2026-18556 ebenfalls neu im KEV-Katalog (05.08.).
Court of Appeal [2026] EWCA Civ 872 (ValueLicensing ./. Microsoft): Erschöpfung auch bei Download-/GUI-Software, Volumenlizenz-Aufspaltung möglich (ur-521).
Ransomware: Verschiebung zu Datendiebstahl/Erpressung; ~80 % der Angriffe treffen KMU (Deloitte).
Gruppe „Unsafe" zurück; behauptet Datenabgriff bei der Deutschen Bank (Täterbehauptung).
Top-Risiken – Handlungsempfehlungen für heute
Langflow/Tomcat sofort patchen. Langflow auf 1.10.1 aktualisieren (CVE-2026-9198), Apache-Tomcat-Cluster auf 11.0.21/10.1.54/9.0.117 (CVE-2026-34486); exponierte KI-/Dev-Tools nicht offen ins Internet stellen und auf Ausnutzungsspuren prüfen.
Ransomware-Resilienz gegen Datendiebstahl. Da Erpressung mit gestohlenen Daten im Vordergrund steht: Datenminimierung, Verschlüsselung sensibler Daten, Segmentierung, Exfiltrations-Erkennung, geübte Melde-/Notfallprozesse (Art. 33/34 DSGVO).
1. Datenschutz
Keine neue, heute unabhängig belegte Aufsichts-Leitlinie. Bußgeldseitig ist die Aufsichtspraxis aktiv (siehe Kapitel 5); kumuliert überschritten die DSGVO-Bußgelder laut CMS-Enforcement-Tracker die 6-Milliarden-Euro-Marke. Als dauerhaft nützliche Referenz wurde ein Überblick zum kirchlichen Datenschutzrecht (DSGVO, DSG-EKD, KDG) in die Wissensbasis aufgenommen.
2. Datensicherheit
Das Ransomware-Geschäftsmodell verschiebt sich — mit Folgen für die Schutzstrategie.
2.1 Ransomware: von Verschlüsselung zu Datendiebstahl und Erpressung
Zusammenfassung: Aktuelle Lageberichte (u. a. Deloitte Cyber Security Report 2026) beschreiben eine Verschiebung des Ransomware-Geschäftsmodells: Weil immer mehr Unternehmen funktionierende Backups vorhalten, tritt die klassische Verschlüsselung in den Hintergrund; der Schwerpunkt liegt zunehmend auf Datendiebstahl und Erpressung mit Veröffentlichungsdrohung. Rund 80 % der Angriffe treffen kleine und mittlere Unternehmen; weniger als ein Viertel der Betroffenen kann nach einem erfolgreichen Angriff die Daten vollständig wiederherstellen. Die zeitweise inaktive Gruppe „Unsafe" ist 2026 zurückgekehrt und behauptet u. a. einen Datenabgriff bei der Deutschen Bank (Mitarbeiterdaten, Passwort-Hashes) — eine bislang unbestätigte Täterbehauptung.
Hintergrund & Einordnung: Der Fokus auf Datendiebstahl entwertet die klassische Backup-Verteidigung teilweise: Ein Wiederanlauf schützt nicht vor der Veröffentlichung gestohlener Daten. Für die Bewertung von Leak-Site-Einträgen gilt weiterhin Vorsicht (Täterbehauptung ≠ bestätigter Schaden). Der KMU-Schwerpunkt spiegelt geringere Sicherheitsbudgets bei zugleich wertvollen Daten.
Praxisfolgen / Handlungsempfehlung: Datenminimierung und Verschlüsselung sensibler Datenbestände, Segmentierung und Exfiltrations-Erkennung (ungewöhnliche Datenabflüsse), strikte Zugangsdaten-Hygiene (phishing-resistente MFA) sowie geübte Melde- und Notfallprozesse (Art. 33/34 DSGVO). Offline-/immutable Backups bleiben wichtig, ersetzen aber keine Vorkehrungen gegen Datenabfluss.
3. IT-Sicherheit
Drei aktiv ausgenutzte Schwachstellen neu im CISA-KEV-Katalog.
Zusammenfassung: CISA nahm am 5. August 2026 CVE-2026-9198 (CVSS 9,8) in den KEV-Katalog auf — eine Code-Injection-Schwachstelle im KI-Workflow-Baukasten Langflow, die unauthentifizierten Angreifern vollständige Remote-Code-Execution auf Standard-Deployments erlaubt. Der Fix liegt seit Juli 2026 mit Version 1.10.1 vor. Sicherheitsforscher von Unit 42 verknüpfen eine der Ausnutzungskampagnen mit einem KI-gestützten Hacking-Agenten (auf Basis von DeepSeek). Federale US-Behörden mussten bis zum 7. August patchen.
Hintergrund & Einordnung: Langflow ist ein verbreitetes Werkzeug zum Bauen von LLM-Workflows und häufig exponiert. Dass eine Ausnutzung mit einem KI-Agenten in Verbindung gebracht wird, unterstreicht den Trend zur Automatisierung der Angriffskette. Langflow ist damit erneut Ziel aktiver Ausnutzung (weitere Langflow-Lücken waren bereits Thema).
Praxisfolgen / Handlungsempfehlung: Sofort auf Langflow 1.10.1 aktualisieren, Instanzen nicht offen ins Internet stellen, Zugriff auf vertrauenswürdige Netze/VPN beschränken und auf Ausnutzungsspuren (unerwartete Prozesse, ausgehende Verbindungen) prüfen.
Zusammenfassung: Ebenfalls am 5. August in den KEV-Katalog aufgenommen wurde CVE-2026-34486 (CVSS 7,5) in Apache Tomcat: eine fehlende Verschlüsselung sensibler Daten, die eine Umgehung des EncryptInterceptor ermöglicht — jener Cluster-Komponente, die Nachrichten zwischen Cluster-Knoten per Pre-Shared-Key verschlüsselt. Behoben in den Versionen 11.0.21, 10.1.54 und 9.0.117 (April 2026). Zusätzlich wurde N-able N-central CVE-2026-18556 (CVSS 8,2, Authentifizierungs-Umgehung) gelistet — die unvollständig gepatchte Folgelücke (CVE-2026-18577) war bereits Thema.
Hintergrund & Einordnung: Der Tomcat-Bypass betrifft die vertrauliche Cluster-Kommunikation; in exponierten oder schlecht segmentierten Cluster-Umgebungen erhöht das das Risiko von Manipulation und Informationsabfluss.
Praxisfolgen / Handlungsempfehlung: Tomcat-Cluster auf die gepatchten Versionen aktualisieren, Cluster-Kommunikation netzwerkseitig absichern/segmentieren und gemäß CISA-KEV priorisiert behandeln.
4. Urteile
Eine Berufungsentscheidung zum Gebrauchtsoftware-Handel, aufbereitet als CSA-Beitrag (ur-521).
4.1 Court of Appeal ([2026] EWCA Civ 872): Erschöpfung bei Gebrauchtsoftware (ValueLicensing ./. Microsoft)
Sachverhalt: ValueLicensing handelt mit gebrauchten, unbefristeten Microsoft-Lizenzen (Windows, Office) und verfolgt eine kartellrechtliche Missbrauchsklage gegen Microsoft. Vorfrage: Ist das Urheberrecht an den Programmen erschöpft, sodass ein Weiterverkauf zulässig ist?
Entscheidung: Der England and Wales Court of Appeal (07.07.2026) wies beide Rechtsmittel von Microsoft zurück und bestätigte die Erschöpfung.
Begründungs-Kernpunkte: Die Erschöpfung tritt kraft Gesetzes mit dem ersten entgeltlichen, unbefristeten Verkauf ein — auch bei Download-Software (UsedSoft-Linie, EuGH C-128/11) — und lässt sich nicht durch Vertragsklauseln ausschließen. Sie erfasst auch Software mit Oberflächen, Symbolen, Schriftarten und Hilfetexten; das Beifügen solcher Elemente hebelt die Erschöpfung nicht aus. Die Aufspaltung von Volumenlizenzen ist außerhalb des UsedSoft-Client-Server-Kontexts (Rn. 69) zulässig, wenn unabhängige Kopien vorliegen.
Praxisfolgen: Mehr Rechtssicherheit für den Handel mit gebrauchten Software-Lizenzen (auch Download, auch komplexe Software). Nicht bindend für Deutschland, bestätigt aber die EuGH-/BGH-Linie. Die kartellrechtliche Hauptsache (~270 Mio. £) läuft weiter; Microsoft strebt den UK Supreme Court an.
5. Bußgelder
Im engen Tagesfenster keine neuen, unabhängig belegten und noch nicht behandelten Bußgeldbescheide. (Das mehrfach kolportierte CNIL-Verfahren gegen IQVIA war bereits Thema früherer Ausgaben.)
6. Cyber-Sicherheit
KI verschiebt die Ökonomie der Angriffe.
6.1 KI-gestützte Angriffsautomatisierung: Hacking-Agent und KI-Zero-Day-Versuche
Zusammenfassung: Sicherheitsforscher von Unit 42 verknüpfen eine der Langflow-Ausnutzungskampagnen mit einem KI-gestützten Hacking-Agenten auf Basis eines Sprachmodells (DeepSeek). Parallel meldete Google einen mutmaßlich KI-gestützten Zero-Day-Angriffsversuch. Behörden warnen vor sinkenden Einstiegshürden durch KI und einer wachsenden Zahl schwerer Cyberdelikte.
Hintergrund & Einordnung: KI-Agenten können Aufklärung, Exploit-Auswahl und Ausnutzung teil-automatisieren und damit Tempo und Breite von Angriffen erhöhen. Das entwertet reine „Security-by-obscurity" und verkürzt die Zeitspanne zwischen Veröffentlichung einer Lücke und ihrer Massen-Ausnutzung. Einzelne Zuschreibungen (welches Modell, welcher Akteur) sind mit Vorsicht zu behandeln.
Praxisfolgen / Handlungsempfehlung: Patch- und Exposure-Management beschleunigen (kurze Fenster, Angriffsflächen minimieren), Erkennung auf automatisierte/ungewöhnliche Zugriffsmuster ausrichten, Awareness gegen qualitativ verbesserte (KI-gestützte) Phishing-/Betrugsversuche schärfen.
KI & große Sprachmodelle
Kompakter Überblick (bewusst knapp):
KI-Sicherheit (Tagesthema): Eine Langflow-Ausnutzungskampagne wird mit einem KI-gestützten Hacking-Agenten (DeepSeek) in Verbindung gebracht (Unit 42); Google meldet einen mutmaßlich KI-gestützten Zero-Day-Versuch. Der Trend zur Automatisierung der Angriffskette verfestigt sich.
Modell-/Anbieterlage: Keine neuen, unabhängig belegten Release-Meldungen im engen Tagesfenster. Der regulatorische Rahmen (AI-Act-GPAI-Durchsetzung seit 02.08.) ist in der Ausgabe vom 4. August dargestellt.
Datenschutz- und Sicherheitsrelevanz: KI wirkt zunehmend auf beiden Seiten — als Angriffswerkzeug (Automatisierung) und als Regulierungs-/Haftungsgegenstand (siehe Urteile der Vortage).
Ausblick / Termine
7. August 2026: CISA-Umsetzungsfrist (FCEB) für die am 05.08. gelisteten Lücken (Langflow, Tomcat, N-central).
11. September 2026: CRA-Meldepflichten (Art. 14) beginnen.
27. September 2026: Anwendbarkeit der EmpCo-Umsetzung im UWG (Green Claims), Bußgelder bis 4 % des Jahresumsatzes.
30. Oktober 2026: Ende der öffentlichen Konsultation zu den EDPB-Leitlinien 02/2026 (Anonymisierung).
2. Dezember 2026: Neue AI-Act-Verbote (intime Deepfakes ohne Einwilligung; CSAM) sowie Kennzeichnungspflichten für vor dem 2. August 2026 vermarktete KI-Inhalte.
Methodik
Stichtag dieses Briefings ist der 6. August 2026. Bevorzugt werden Primär- und Behördenquellen (CISA/KEV, Gerichte mit Aktenzeichen, Aufsichtsbehörden) sowie etablierte Fachmedien; jede Meldung ist über einen konkreten Deep-Link belegt. Das Court-of-Appeal-Urteil ([2026] EWCA Civ 872) stammt aus dem INFOLAW-Verteiler (ITM Münster) und wurde nach dem Urteils-Recherche-Pattern aufbereitet (ur-521); der Volltext ist über BAILII durch einen Anti-Bot-Schutz gesperrt (direkter Abruf und agent-browser scheiterten), die Aufbereitung stützt sich auf die amtliche Kernaussage und Fach-Kommentierung (Stub). Die N-able-Folgelücke war bereits Thema und wird nur als Verlaufshinweis geführt. Der Deutsche-Bank-Leak beruht auf einer Täterbehauptung und ist entsprechend gekennzeichnet. Englischsprachige Quellen werden ins Deutsche übersetzt, der Originallink bleibt erhalten. Das Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.