Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- Chrome und Edge sofort aktualisieren. Google hat eine Sicherheitslücke in der Browser-Engine V8 geschlossen, die bereits aktiv für Angriffe ausgenutzt wird (CVE-2026-11645). Schon der Besuch einer präparierten Webseite kann genügen, um Schadcode auszuführen. Prüfen Sie über „Hilfe → Über Google Chrome“ Ihre Version (sicher ab 149.0.7827.102) und starten Sie den Browser anschließend neu — ohne Neustart bleibt das Update wirkungslos. Microsoft Edge basiert auf derselben Technik und sollte ebenfalls aktualisiert werden.
- Gefälschte PayPal-„Pflichtmaßnahme“. Aktuell kursiert eine Phishing-Mail mit dem Betreff „Sicherheitsrelevante Pflichtmaßnahme – Handeln Sie jetzt“, die vorgibt, eine Zwei-Faktor-Authentifizierung über WhatsApp einrichten zu müssen. Sie sollen innerhalb von 24 Stunden Ihre Identität bestätigen, sonst drohe eine Kontosperre. Auffällig: Das PayPal-Logo fehlt, der Name PayPal wird im Text gar nicht genannt. Klicken Sie nicht, sondern öffnen Sie Ihr Konto nur über die offizielle App oder paypal.com.
- Reise-Betrug nach dem Booking.com-Leck. Kriminelle nutzen erbeutete Buchungsdaten weiterhin für täuschend echte Nachrichten, häufig per WhatsApp und mit Bezug auf eine reale Reservierung. Geben Sie keine Zahlungsdaten preis, nur weil eine „Bestätigung“ verlangt wird — kontaktieren Sie das Hotel über die offizielle Plattform.
- Anrufe mit echten Behandlungsdaten. Im Nachgang der unimed-Datenpanne (Abrechnungsdienstleister, mehr als 120.000 betroffene Privatpatienten) laufen weiterhin gezielte Betrugsanrufe, bei denen die Täter korrekte Gesundheits- und Stammdaten nennen. Bleiben Sie besonders misstrauisch, wenn sich jemand unter Verweis auf eine Klinikbehandlung oder Abrechnung meldet, und rufen Sie über eine selbst herausgesuchte Nummer zurück.
Aktuelle Phishing- und Betrugswellen
Im Mittelpunkt steht heute eine neue Phishing-Welle im Namen von PayPal, vor der die Verbraucherzentrale am 11. Juni warnt. Die Mail trägt den Betreff „Sicherheitsrelevante Pflichtmaßnahme – Handeln Sie jetzt“ und behauptet, zur Erhöhung der Kontosicherheit sei zwingend eine Zwei-Faktor-Authentifizierung über WhatsApp einzurichten. Typisch ist der Zeitdruck: Innerhalb von 24 Stunden müsse man die Identität über einen Link bestätigen, andernfalls werde das Konto eingeschränkt. Entlarvend ist, dass das PayPal-Logo vollständig fehlt und der Name PayPal im Fließtext nicht ein einziges Mal auftaucht — echte Anbieter sprechen Sie persönlich an und drängen nicht mit Fristen.
Parallel laufen die seit Wochen bekannten Behörden- und Finanz-Maschen weiter, ohne dass sich heute eine neue Sachlage ergibt: gefälschte ELSTER-Steuerbescheide, die angebliche Rückerstattung der Rentenversicherung über 389,88 Euro sowie die Rundfunkbeitrags-Mails mit der in allen Varianten gleichen Beitragsnummer. Diese Wellen lösen einander in kurzer Folge ab und werden durch KI-generierte, fehlerfreie Texte zunehmend schwerer zu erkennen.
Daneben befeuert das Booking.com-Datenleck weiterhin Reise-Betrug: Mit echten Buchungsdaten verschicken Kriminelle glaubwürdige Nachrichten, oft per WhatsApp und mit Bezug auf eine tatsächliche Reservierung. Die Grundregel bleibt über alle Varianten gleich: Absenderadresse statt nur Anzeigename prüfen, keine Links aus der Mail anklicken und im Zweifel ausschließlich die offizielle App oder Website des Anbieters direkt aufrufen.
Was war los?
Technisch dominiert heute der Browser: Google hat einen Zero-Day in der JavaScript-Engine V8 geschlossen (CVE-2026-11645), der bereits aktiv ausgenutzt wird — der bereits fünfte solcher Fälle bei Chrome in diesem Jahr. Das BSI hat seine Warnung dazu verschärft. Weil nahezu jeder einen Browser nutzt und Microsoft Edge auf derselben Technik aufbaut, betrifft das praktisch alle: Ein zeitnahes Update samt Neustart des Browsers ist die wichtigste Schutzmaßnahme des Tages.
Im geschäftlichen Umfeld kam am SAP-Patchday eine Reihe kritischer Lücken hinzu, unter anderem im weit verbreiteten Anwendungsserver NetWeaver. Für Privatanwender hat das keine direkten Folgen, zeigt aber, wie breit die Angriffsfläche derzeit ist — von der heimischen Browser-Installation bis zu zentralen Unternehmenssystemen.
Was sich rechtlich geändert hat
Verbraucherrechtlich bleibt das Auskunftsrecht in Bewegung: Der Europäische Gerichtshof hat 2026 im Fall „Brillen Rottler“ klargestellt, dass auch die Verletzung des Auskunftsrechts nach Art. 15 DSGVO einen Schadensersatzanspruch auslösen kann. Wer von einem Unternehmen wissen will, welche Daten über ihn gespeichert sind, hat also einen durchsetzbaren Anspruch. Zugleich hat der Gerichtshof Grenzen gezogen: Wird das Auskunftsrecht systematisch und in missbräuchlicher Absicht genutzt, um anschließend Schadensersatz zu fordern, dürfen Unternehmen den Antrag als exzessiv zurückweisen. Für ehrliche Verbraucher bleibt das Auskunftsrecht damit ein starkes Werkzeug — wer es nutzt, sollte ein konkretes Informationsinteresse haben.
IT-Detailansicht für Fachpublikum
Der folgende Teil richtet sich an IT- und Datenschutzverantwortliche. Er bündelt die laufenden Schwerpunkte, eine Management Summary mit konkreten Handlungsempfehlungen und sechs Fachkapitel (Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder, Cyber-Sicherheit), gefolgt von Ausblick, Methodik und Quellenverzeichnis.
Top-Themen der Woche
1. Browser- und Plattform-Patchwelle — Chrome-Zero-Day im Zentrum
Innerhalb weniger Tage trafen Microsoft-Patchday, SAP-Patchday und ein aktiv ausgenutzter Chrome-Zero-Day zusammen. Die Angriffsfläche reicht vom Endgerät-Browser bis zu zentralen ERP-Systemen.
Letzte Entwicklung: Google schließt mit CVE-2026-11645 einen aktiv ausgenutzten V8-Zero-Day (der fünfte 2026); das BSI verschärft seine Warnung. Parallel adressiert SAP kritische NetWeaver-Lücken (u. a. CVE-2026-44748, CVSS 9.9).
2. unimed-Datenpanne — Patientendaten im Umlauf, Folgebetrug aktiv
Aus der Datenpanne beim Abrechnungsdienstleister unimed (Angriff am 14. April 2026) sind Daten von mehr als 120.000 Privatpatienten abgeflossen; einzelne Kliniken sind sehr unterschiedlich stark betroffen.
Letzte Entwicklung: Keine neue Sachverhaltsentwicklung. Das Bild zum Ausmaß verdichtet sich (u. a. Uniklinik Freiburg rund 54.000, Uniklinik Köln rund 30.000 Datensätze; das UKD selbst nur rund 3.000 Fälle). Der Schwerpunkt liegt weiter auf Folgebetrug mit echten Behandlungsdaten.
Management Summary
Der 11. Juni 2026 steht technisch im Zeichen eines aktiv ausgenutzten Browser-Zero-Days: Google hat mit CVE-2026-11645 eine Out-of-bounds-Schwachstelle in der JavaScript-Engine V8 geschlossen (CVSS 8.8), die bereits in freier Wildbahn angegriffen wird — der fünfte Chrome-Zero-Day dieses Jahres. Die Korrektur steckt in einem Sammelupdate, das insgesamt 74 Schwachstellen behebt; sichere Versionen sind 149.0.7827.102 (Windows/Linux) und .103 (macOS). Da Microsoft Edge auf derselben Chromium-Basis aufsetzt, ist die gesamte Browser-Flotte betroffen, und das BSI hat seine Warnung verschärft. Sicherheitsforscher gehen davon aus, dass der Zero-Day in realen Angriffen mit einem Sandbox-Escape kombiniert wurde. Parallel hat SAP am Patchday 15 Sicherheitshinweise veröffentlicht, darunter mehrere kritische Lücken im Anwendungsserver NetWeaver: ein XML-Signature-Wrapping in der SAML-Authentifizierung (CVE-2026-44748, CVSS 9.9) und eine unauthentifizierte Speicherkorruption im SAP-Kernel (CVE-2026-27671, CVSS 9.8). Der gestern dokumentierte Microsoft-Juni-Patchday bleibt als Ausrollaufgabe bestehen.
Datenschutz- und rechtsseitig prägt das Nachspiel zweier Verfahren das Bild. Der EuGH hat im Fall „Brillen Rottler“ (Rs. C-526/24) bekräftigt, dass auch eine Verletzung des Auskunftsrechts nach Art. 15 DSGVO Schadensersatz nach Art. 82 DSGVO auslösen kann, zugleich aber präzisiert, wann ein Antrag als exzessiv und rechtsmissbräuchlich zurückgewiesen werden darf — eine wichtige Leitplanke gegen „DSGVO-Hopper“. Das DSGVO-Bußgeld gegen die Deutsche Wohnen SE, vom LG Berlin I am 9. Juni auf 900.000 Euro festgesetzt, läuft als Carry-over weiter und ist weiterhin nicht rechtskräftig. Auf Verbraucherseite dominiert eine frische PayPal-Phishing-Welle den Tag, flankiert vom anhaltenden Folgebetrug nach der unimed-Datenpanne und dem Reise-Betrug nach dem Booking.com-Leck. Mit der 111. Datenschutzkonferenz (16.–18. Juni) steht zudem ein wichtiger Termin bevor.
Die wichtigsten Punkte im Überblick
- Chrome/Edge-Zero-Day CVE-2026-11645 (V8, CVSS 8.8) wird aktiv ausgenutzt — auf ≥ 149.0.7827.102/.103 aktualisieren und Browser neu starten.
- SAP-Patchday: 15 Hinweise, kritische NetWeaver-Lücken CVE-2026-44748 (CVSS 9.9, SAML) und CVE-2026-27671 (CVSS 9.8, unauthentifiziert) priorisiert patchen.
- EuGH „Brillen Rottler“ (C-526/24): Auskunftsrecht-Verstoß kann Schadensersatz begründen — exzessive/missbräuchliche Anträge dürfen abgelehnt werden.
- Deutsche Wohnen: DSGVO-Bußgeld vom LG Berlin I auf 900.000 Euro festgesetzt (von ursprünglich ~14,5 Mio.), nicht rechtskräftig — Carry-over.
- unimed-Datenpanne (>120.000 Betroffene, u. a. Freiburg ~54.000, Köln ~30.000): Folgebetrug mit echten Behandlungsdaten hält an.
- Frische PayPal-Phishing-Welle „Pflichtmaßnahme“ (2FA über WhatsApp), Booking.com-Reise-Betrug als Carry-over.
Top-Risiken – Handlungsempfehlungen für heute
- Browser-Update erzwingen – Chrome/Edge unternehmensweit auf die gepatchte Version heben und den Neustart über Management-Tools durchsetzen; ein bloßes Update ohne Relaunch schützt nicht.
- SAP NetWeaver patchen – die kritischen Juni-Hinweise einspielen; wo ein Patch nicht sofort möglich ist, SAML-Authentifizierung als temporäre Mitigation prüfen und RFC-Zugänge netzseitig einschränken.
- Microsoft-Juni-Updates abschließen – die gestrigen Patchday-Korrekturen (inkl. Exchange On-Premises) flächendeckend ausrollen.
- Phishing-Awareness aktiv halten – Beschäftigte gezielt auf die PayPal-„Pflichtmaßnahme“ und 2FA-Köder hinweisen; Meldewege für verdächtige Mails kommunizieren.
- unimed-Betroffene sensibilisieren – Mitarbeitende und Kunden vor Anrufen mit echten Behandlungsdaten warnen; Rückruf nur über selbst recherchierte Nummern.
1. Datenschutz
Die unimed-Datenpanne bleibt der größte datenschutzrelevante Vorfall der Lage. Mit der Zeit verdichtet sich das Bild zum Ausmaß — und zeigt, wie stark ein einziger Abrechnungsdienstleister als gemeinsamer Risikoknoten vieler Kliniken wirkt.
1.1 unimed-Datenpanne: Ausmaß über die Kliniken verteilt
Zusammenfassung: Beim Angriff auf den Abrechnungsdienstleister unimed (Sitz Wadern) am 14. April 2026 flossen Stammdaten, Abrechnungsinformationen, Diagnosen und Bankverbindungen von mehr als 120.000 Privatpatienten ab. Die Betroffenheit ist über die Kliniken sehr ungleich verteilt: Das Universitätsklinikum Freiburg meldet rund 54.000, die Uniklinik Köln rund 30.000 betroffene Datensätze; in Baden-Württemberg meldeten 17 Krankenhäuser Datenpannen im Zusammenhang mit dem Vorfall. Das UKD beziffert für sich nur rund 3.000 Fälle mit allgemeineren Daten sowie 162 Fälle mit möglicherweise betroffenen Gesundheitsdaten und war bis 2024 Vertragspartner von unimed.
Hintergrund & Einordnung: Der Vorfall ist ein Lehrstück über Drittdienstleister-Risiken: Nicht die Kliniksysteme wurden kompromittiert — diese blieben nach Angaben der Häuser unangetastet, die Patientenversorgung war zu keinem Zeitpunkt betroffen —, sondern ein gemeinsamer externer Auftragsverarbeiter. Ein einziger erfolgreicher Angriff dort multipliziert sich über alle angeschlossenen Verantwortlichen. Im Gesundheitsmarkt liegt der durchschnittliche Schaden pro Cybervorfall bei rund 4,9 Millionen Euro.
Praxisfolgen / Handlungsempfehlung: Auftragsverarbeiter nach Art. 28 DSGVO nicht nur vertraglich, sondern technisch-organisatorisch prüfen (Audit-Rechte tatsächlich ausüben). Meldeketten nach Art. 33/34 DSGVO für Dienstleister-Vorfälle vorab definieren, Betroffene transparent informieren und vor Folgebetrug mit echten Behandlungsdaten warnen.
2. Datensicherheit
Social Engineering verlagert sich vom klassischen Link-Phishing zur selbst ausgeführten Schadaktion. Die „ClickFix“-Technik, bei der Opfer zur vermeintlichen Fehlerbehebung selbst einen Befehl ausführen, ist zum dominanten Einstiegsmuster geworden.
2.1 „ClickFix“ auf dem Vormarsch — gefälschte Fehlerbehebung als Einfallstor
Zusammenfassung: Sicherheitsanalysen verzeichnen einen starken Zuwachs bei „ClickFix“-Angriffen, bei denen Nutzer durch gefälschte technische Aufforderungen (etwa ein vermeintliches CAPTCHA oder einen „Reparatur“-Befehl) dazu gebracht werden, selbst Schadcode auszuführen. Auch das Booking.com-Datenleck ist über kompromittierte Hotelpartner auf diese Weise entstanden; die erbeuteten Buchungsdaten dienen anschließend für glaubwürdige Folgenachrichten.
Hintergrund & Einordnung: ClickFix umgeht klassische technische Schutzmaßnahmen, weil das Opfer die schädliche Aktion selbst und freiwillig auslöst — Mail-Gateways und Linkfilter greifen ins Leere. Die Technik kombiniert sich gut mit echten Daten aus Lecks: Wer Name, Buchung oder Behandlung kennt, wirkt glaubwürdig genug, um zur Ausführung zu verleiten.
Praxisfolgen / Handlungsempfehlung: Beschäftigte gezielt gegen ClickFix schulen („kein seriöser Anbieter lässt Sie Befehle ins Terminal oder ins Ausführen-Fenster tippen“). Self-Service-Skriptausführung und „On-Connect“-Direktiven einschränken, Partnerzugänge mit MFA absichern und verdächtige Aufforderungen über etablierte Meldewege erfassen.
3. IT-Sicherheit
Der Tag ist von zwei parallelen Patch-Ereignissen geprägt: einem aktiv ausgenutzten Browser-Zero-Day mit breiter Endgeräte-Relevanz und kritischen Server-Lücken im SAP-Umfeld. Beide verlangen eine zügige, priorisierte Reaktion.
3.1 Chrome/Edge: aktiv ausgenutzter V8-Zero-Day CVE-2026-11645
Zusammenfassung: Google hat in Chrome eine Out-of-bounds-Lese-/Schreibschwachstelle in der JavaScript-Engine V8 geschlossen (CVE-2026-11645, CVSS 8.8), für die ein Exploit in freier Wildbahn existiert. Die Lücke erlaubt es, über eine präparierte HTML-Seite Code im Browser-Kontext auszuführen. Sie wurde am 27. April 2026 von einem anonymen Forscher gemeldet; das Sammelupdate behebt insgesamt 74 Schwachstellen. Sichere Versionen sind 149.0.7827.102 (Windows/Linux) und .103 (macOS) — es ist der fünfte ausgenutzte Chrome-Zero-Day in diesem Jahr.
Hintergrund & Einordnung: Microsoft Edge und andere Chromium-Browser teilen dieselbe V8-Engine und sind daher ebenfalls betroffen. V8-Speicherfehler eignen sich, um Schutzmechanismen wie ASLR zu unterlaufen, und werden in realen Angriffen typischerweise mit einem Sandbox-Escape gekettet, um aus dem Browser auszubrechen. Das BSI hat seine Warnung zu der Lücke verschärft.
Praxisfolgen / Handlungsempfehlung: Update priorisiert ausrollen und — entscheidend — den Browser-Neustart erzwingen, da die Korrektur erst nach dem Relaunch greift. In verwalteten Umgebungen den Rollout über die Browser-Management-Richtlinien kontrollieren und den Patchstand verifizieren statt auf automatische Aktualisierung zu vertrauen.
3.2 SAP-Patchday Juni 2026: kritische NetWeaver-Lücken
Zusammenfassung: SAP hat zum Juni-Patchday 15 Sicherheitshinweise veröffentlicht, darunter mehrere kritische Lücken. CVE-2026-44748 (CVSS 9.9) ist ein XML-Signature-Wrapping in der SAML-Authentifizierung von NetWeaver AS ABAP, über das authentifizierte Angreifer manipulierte signierte XML-Dokumente unterschieben und sich gefälschte Identitätsinformationen bestätigen lassen. CVE-2026-27671 (CVSS 9.8) ist eine unauthentifizierte Speicherkorruption im SAP-Kernel über eine unzureichende RFC-Protokollprüfung. Hinzu kommen CVE-2026-22732 (Spring Security, betrifft u. a. Commerce Cloud) und ein Path-Traversal in NetWeaver Java (CVE-2026-40128).
Hintergrund & Einordnung: NetWeaver ist die Laufzeitbasis zahlreicher SAP-Anwendungen; eine unauthentifizierte Kernel-Lücke skaliert entsprechend weit. Für CVE-2026-44748 nennen Berichte als einzigen temporären Workaround das Deaktivieren der SAML-Authentifizierung — operativ heikel, weil damit auch Single-Sign-On-Anmeldungen entfallen.
Praxisfolgen / Handlungsempfehlung: Betroffene SAP-Landschaften identifizieren und die Hinweise priorisiert einspielen. Wo ein Sofort-Patch nicht möglich ist, RFC-Schnittstellen netzseitig strikt einschränken und die SAML-Konfiguration prüfen. Exponierte NetWeaver-Java-Instanzen besonders beachten.
4. Urteile
Im Vordergrund steht eine europäische Leitentscheidung zum Auskunftsrecht. Sie ordnet das Verhältnis von berechtigter Auskunft und missbräuchlicher Antragsflut neu — mit unmittelbarer Relevanz für jedes Unternehmen, das Auskunftsersuchen bearbeitet.
4.1 EuGH „Brillen Rottler“: Auskunftsrecht, Missbrauch und Schadensersatz
Sachverhalt: Eine in Österreich ansässige Person abonnierte 2023 den Newsletter eines deutschen Brillenhändlers und stellte bereits 13 Tage später einen Auskunftsantrag nach Art. 15 DSGVO. Das Unternehmen hielt das Ersuchen für rechtsmissbräuchlich, weil Hinweise auf ein systematisches Vorgehen bestanden, und verweigerte die Auskunft; die Person forderte daraufhin Schadensersatz.
Entscheidung: Der EuGH stellt klar, dass auch die Verletzung des Auskunftsrechts nach Art. 15 DSGVO grundsätzlich einen Schadensersatzanspruch nach Art. 82 DSGVO begründen kann — Kompensation ist nicht auf reine Verarbeitungsverstöße beschränkt. Zugleich kann bereits ein erstmaliger Auskunftsantrag als „exzessiv“ qualifiziert und zurückgewiesen werden.
Begründungs-Kernpunkte: Für die Annahme eines exzessiven/missbräuchlichen Antrags müssen ein objektives und ein subjektives Element zusammentreffen: Objektiv muss das mit dem Auskunftsrecht verfolgte Ziel verfehlt werden, subjektiv muss eine missbräuchliche Absicht vorliegen. Der Verantwortliche darf dabei öffentlich zugängliche Informationen berücksichtigen — etwa erkennbar wiederholte Anträge an verschiedene Unternehmen mit anschließenden Schadensersatzforderungen („DSGVO-Hopper“). Ein immaterieller Schaden kann im Kontrollverlust oder in der Ungewissheit über die Verarbeitung liegen; die Darlegungs- und Beweislast trägt die betroffene Person.
Praxisfolgen: Unternehmen sollten Auskunftsersuchen weiterhin fristgerecht und vollständig bearbeiten, dürfen aber ein dokumentiertes Missbrauchs-Prüfschema vorhalten. Eine Ablehnung als „exzessiv“ verlangt belastbare, dokumentierte Anhaltspunkte für die missbräuchliche Absicht — eine pauschale Verweigerung bleibt riskant und kann selbst Schadensersatz auslösen.
5. Bußgelder
Über den Tag hinaus bleibt die Berliner Bußgeldentscheidung das prägende Verfahren der Woche. Sie illustriert die Dynamik des deutschen Bußgeldverfahrens und die Größenordnung europäischer Sanktionspraxis.
5.1 Carry-over: Deutsche-Wohnen-Bußgeld auf 900.000 Euro festgesetzt
Behörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit (Ausgangsbescheid 2019), gerichtlich festgesetzt durch das Landgericht Berlin I · Adressat: Deutsche Wohnen SE · Höhe: 900.000 Euro (ursprünglich ~14,5 Mio.)
Verstoß / Rechtsgrundlage: Art. 5 Abs. 1 lit. c und e DSGVO (Datenminimierung, Speicherbegrenzung), in Einzelfällen Art. 6 Abs. 1 DSGVO — rechtswidrig verwendetes Archivsystem ohne Löschmöglichkeit für Mieterdaten.
Begründung: Die 26. Große Strafkammer würdigte mildernd, dass das Unternehmen externe Prüfer und IT-Fachleute zur DSGVO-Umstellung eingeschaltet hatte und die Verstöße in die Einführungsphase der DSGVO fielen. Die deutliche Reduktion zeigt das strukturelle Muster im OWiG-Verfahren: Nach dem Einspruch verliert die Aufsichtsbehörde weitgehend die Kontrolle über Ausgang und Höhe. Die Entscheidung ist noch nicht rechtskräftig und kann mit der Rechtsbeschwerde angefochten werden.
Praxisfolgen: Realistische Chance auf Reduktion im Rechtsweg, aber keine Entwarnung — die zugrunde liegenden Pflichten (Löschung, Datenminimierung) bleiben unverändert und werden geprüft. Compliance sollte auf die materielle, technisch durchgesetzte Erfüllung zielen, nicht auf das Kalkül späterer Reduktion.
6. Cyber-Sicherheit
Die Bedrohungslage bleibt hoch, verschiebt sich aber qualitativ: weg von der breiten Streuung, hin zur gezielten Erpressung kleinerer Organisationen. Die Zahlen für Deutschland fallen deutlich aus.
6.1 Cyber-Erpressung in Deutschland stark gestiegen — Mittelstand im Fokus
Zusammenfassung: Nach dem Security Navigator 2026 ist die Zahl der bekannten Opfer von Cyber-Erpressung in Deutschland gegenüber dem Vorjahr um rund 91 Prozent gestiegen. Besonders häufig geraten kleine und mittlere Unternehmen mit bis zu 250 Mitarbeitenden ins Visier — also Organisationen mit oft begrenzten Sicherheitsressourcen.
Hintergrund & Einordnung: Ransomware-Gruppen kombinieren Verschlüsselung zunehmend mit Datendiebstahl und Veröffentlichungsdrohung (Double Extortion). Der Anstieg passt zum beobachteten Zuwachs von Ransomware-as-a-Service-Angeboten und ClickFix-Einstiegen: Die Eintrittshürde sinkt, während die Professionalisierung steigt. Kennzahlen aus Anbieter-Reports sind mit Vorsicht zu lesen, der Trend ist über mehrere Quellen aber konsistent.
Praxisfolgen / Handlungsempfehlung: Offline-Backups (3-2-1-Regel) vorhalten und Wiederherstellung regelmäßig testen, MFA flächendeckend ausrollen, Netzsegmentierung umsetzen und Notfallpläne für den Ausfall zentraler Systeme einüben. Gerade KMU sollten Identitäts- und Zugangsschutz priorisieren, weil kompromittierte Zugangsdaten der häufigste Einstieg sind.
Ausblick / Termine
- 16.–18.06.2026: 111. Datenschutzkonferenz (DSK) des Bundes und der Länder; Vorsitz 2026: Baden-Württemberg. Erwartet werden Beschlüsse u. a. zu DSGVO-Reform/„Digital Fitness Check“ und KI.
- 19.06.2026: CISA-Frist für US-Bundesbehörden zur Behebung der aktiv ausgenutzten SolarWinds-Serv-U-Lücke (CVE-2026-28318) — auch für deutsche Betreiber ein Prüfanlass.
- 24.06.2026: Beginn des planmäßigen Ablaufzyklus der Legacy-UEFI-Secure-Boot-Zertifikate von 2011 — Validierung über die Geräteflotte abschließen.
- Laufend: Chrome/Edge-, SAP-NetWeaver- und Microsoft-Juni-Updates ausrollen und Patchstand verifizieren.
Methodik
Stichtag dieses Briefings ist der 11. Juni 2026. Berücksichtigt werden Meldungen der letzten 24–48 Stunden, bei dünner Lage bis zu sieben Tage zurück. Bevorzugt werden Primärquellen (Gerichte mit Aktenzeichen, Hersteller-Advisories, Behörden, Klinik-Pressemitteilungen) sowie etablierte Fachmedien; jeder Link verweist auf den konkreten Artikel, das Advisory oder die Pressemitteilung. Englischsprachige Quellen werden sinngemäß ins Deutsche übersetzt, der Originallink bleibt erhalten. Carry-over-Themen (unimed-Datenpanne, Deutsche-Wohnen-Bußgeld) sind als solche gekennzeichnet und nur bei neuer Sachlage fortgeschrieben. Dieses Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.
Quellenverzeichnis
- BleepingComputer — Google patches fifth Chrome zero-day exploited in attacks this year (CVE-2026-11645)
- The Hacker News — Chrome V8 Zero-Day CVE-2026-11645 Exploited in the Wild
- Help Net Security — Google patches Chrome zero-day exploited in the wild (CVE-2026-11645)
- Verbraucherschutzforum Berlin — Verbraucherzentrale warnt vor neuer Phishing-Welle im Namen von PayPal
- heise online — SAP Patchday: Critical vulnerabilities in SAP NetWeaver and other weaknesses
- All About Security — SAP Patch Day: Juni 2026
- Uniklinik Düsseldorf — Pressemitteilung: Cyberkriminelle entwenden Patientendaten bei ehemaligem externem Abrechnungs-Dienstleister
- Börse Express — Patientendaten in Gefahr: Cyberangriff auf deutsche Kliniken eskaliert
- CMS — EuGH zur DSGVO: Missbrauch, Kausalität und Schadensersatz (C-526/24)
- Berlin.de — Pressemitteilung 24/2026: LG Berlin I verhängt Bußgeld gegen Deutsche Wohnen
- netzpolitik.org — Urteil wegen Datenschutz-Bußgeld: Deutsche Wohnen kommt mit blauem Auge davon
- materialfluss — Check Point Cyber Security Report 2026: mehr Angriffe auf deutsche Unternehmen
- unternehmen-cybersicherheit.de — Cyber-Erpressung 2026: Deutscher Mittelstand besonders betroffen
