Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- Online widerrufen per Klick — ab heute Pflicht. Seit dem 19. Juni 2026 muss jeder Online-Shop und Anbieter, bei dem Verbraucher Verträge über Website oder App abschließen können, einen „Vertrag widerrufen“-Button bereitstellen (§ 356a BGB). Wer online bestellt, kann künftig genauso einfach per Button widerrufen, ohne Begründung und ohne versteckte Hürden. Fehlt der Button, kann sich Ihre Widerrufsfrist auf bis zu zwölf Monate und 14 Tage verlängern — ein Vorteil für Verbraucher, ein Pflichtthema für Betreiber.
- Phishing-Welle bei Banken und Bezahldiensten. Diese Woche häufen sich gefälschte Mails im Namen von PayPal („PSD2-Sicherheitsrichtlinien“), Volksbanken/Raiffeisenbanken („VR-SecureGo endet“), Commerzbank („photoTAN läuft ab“) und Sparkasse („Datenverifizierung erforderlich“). Alle setzen auf künstliche Fristen und die Drohung mit Kontosperrung. Klicken Sie nicht auf Links in solchen Mails, sondern rufen Sie Ihr Online-Banking immer selbst über die bekannte Adresse oder die App auf.
- Datenschutz ist kein Schutzschild für Betrug. Der Europäische Gerichtshof hat entschieden, dass Gerichte auch Beweise verwerten dürfen, die eine Partei unter Verletzung des Datenschutzes beschafft hat. Wer im Streit heimlich Firmeneigentum verkauft oder betrügt, kann sich nicht pauschal auf die DSGVO berufen. Für den Alltag heißt das aber auch: Datenschutzverstöße bleiben eigenständig verfolgbar — nur das Beweismittel wird nicht automatisch wertlos.
- Datenschützer warnen vor „Radar“ im Mobilfunk. Die Datenschutzkonferenz hat auf ihrer Tagung gefordert, beim künftigen Mobilfunkstandard 6G den Datenschutz früh mitzudenken: Eine geplante Radarfunktion könnte Räume und darin befindliche Personen erfassen — möglicherweise durch Wände. Zugleich soll die Jugendmedienbildung über das Portal youngdata.de gestärkt werden.
Aktuelle Phishing- und Betrugswellen
Im Mittelpunkt der Woche steht eine dichte Folge von Banking- und Bezahl-Phishing. Der Phishing-Radar der Verbraucherzentrale verzeichnet nahezu täglich neue Maschen: gefälschte PayPal-Mails mit dem Betreff „Wichtige Mitteilung zur Einhaltung der PSD2-Sicherheitsrichtlinien“, angebliche Auslauf-Warnungen zur „VR-SecureGo“-App der Volksbanken und Raiffeisenbanken, ablaufende photoTAN-Apps der Commerzbank und Sparkassen-Mails, die mit Kontosperrung drohen, falls keine „Datenverifizierung“ erfolgt.
Das Muster ist über alle Wellen hinweg gleich: eine künstliche Frist, die Drohung mit Sperrung oder Einschränkung und ein Link, der auf eine täuschend echte Anmeldeseite führt. Geben Sie Zugangsdaten oder TAN niemals über einen Link aus einer E-Mail oder SMS ein. Seriöse Banken und Bezahldienste fordern nie per Mail zur „Verifizierung“ Ihrer Daten unter Fristdruck auf. Rufen Sie Ihr Konto stattdessen über die selbst gespeicherte Adresse oder die offizielle App auf und löschen Sie die Nachricht.
Auffällig ist zudem eine Betrugsmail, die sich als Zahlungsstreit eines KI-Anbieters tarnt („Zahlungsstreit eingereicht — handeln Sie innerhalb von 48 Stunden“). Auch hier gilt: Der Absender setzt allein auf Zeitdruck und Verunsicherung. Prüfen Sie die Absenderadresse im Detail und kontaktieren Sie den vermeintlichen Anbieter über offizielle Wege, nie über die Kontaktangaben aus der verdächtigen Nachricht.
Was war los?
Im Bereich IT-Sicherheit dominiert ein Großangriff auf Firewalls: Unter dem Namen „FortiBleed“ sollen Kriminelle bei rund 74.000 Fortinet-Geräten weltweit erfolgreich Zugangsdaten abgegriffen haben. Solche Firewalls bewachen das Eingangstor in Firmennetzwerke — sind sie kompromittiert, steht Angreifern oft das gesamte interne Netz offen. Für Privatpersonen ist das vor allem ein Anlass, Passwörter nicht mehrfach zu verwenden und Zwei-Faktor-Schutz zu aktivieren, denn die Angreifer probierten über eine Milliarde gestohlener Zugangsdaten-Kombinationen durch.
Parallel zeigt sich die rechtliche Seite des Datenschutzes in Bewegung: Mit dem Widerrufsbutton tritt heute eine spürbare Verbraucherschutz-Pflicht in Kraft, und der EuGH hat die Grenzen des Datenschutzes im Gerichtssaal geschärft. Beides betrifft den Alltag unmittelbarer als viele technische Meldungen.
Was sich rechtlich geändert hat
Heute, am 19. Juni 2026, tritt mit § 356a BGB die Pflicht zum elektronischen Widerrufsbutton in Kraft. Sie setzt die geänderte EU-Verbraucherrechterichtlinie (EU 2023/2673) um und verlangt von Unternehmen, die Verbrauchern online Verträge ermöglichen, eine gut sichtbare, dauerhaft erreichbare Widerrufsfunktion mit zweistufigem Verfahren („Vertrag widerrufen“ → „Widerruf bestätigen“). Für Verbraucher wird der Widerruf damit so einfach wie der Abschluss; abgefragt werden dürfen nur wenige Pflichtangaben, der Widerrufsgrund ausdrücklich nicht.
Zugleich hat der Europäische Gerichtshof in der Rechtssache C-484/24 entschieden, dass die DSGVO der Verwertung rechtswidrig erlangter Beweise im Zivil- und Arbeitsprozess nicht grundsätzlich entgegensteht. Das Recht auf ein faires Verfahren wiegt im Gerichtssaal schwerer als der absolute Schutz der Privatsphäre — eine Grenze zieht der EuGH erst bei der Offenlegung sensibler Daten gegenüber Dritten. Die ausführliche Aufbereitung steht in der Urteilsbibliothek (ur-159).
IT-Detailansicht für Fachpublikum
Im Folgenden die fachliche Detailansicht: Top-Themen der Woche, Management Summary, Top-Risiken sowie die sechs Kapitel (Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder, Cyber-Sicherheit), ergänzt um einen Überblick zu KI und großen Sprachmodellen, einen Ausblick, die Methodik und das Quellenverzeichnis.
Top-Themen der Woche
1. FortiBleed: rund 74.000 Fortinet-Firewalls mit geknackten Zugangsdaten
Eine großangelegte Kampagne gegen Fortinet-Appliances hat nach Angaben von Sicherheitsforschern bei rund 74.000 Geräten weltweit erfolgreich Zugangsdaten abgegriffen.
Letzte Entwicklung: Entdecker Volodymyr Diachenko spricht von 320.000 angegriffenen und 73.932 erfolgreich kompromittierten Geräten; rund 120 betroffene Geräte lassen sich Deutschland zuordnen (u. a. im Netz von Telekom und Mercedes-Benz). Fortinet bestätigt eine Zugangsdaten-Diebstahl-Kampagne, ordnet die Daten aber älteren Vorfällen plus Brute-Force zu — Kevin Beaumont widerspricht und sieht überwiegend neue, noch online befindliche Geräte.
2. Joomla-JCE-Editor: aktiv ausgenutzte RCE-Lücke (CVSS 10.0)
Die CISA hat die Höchstschwere-Schwachstelle CVE-2026-48907 im verbreiteten Joomla-Editor-Plugin „JCE“ in ihren Katalog aktiv ausgenutzter Lücken aufgenommen.
Letzte Entwicklung: Eine fehlerhafte Zugriffskontrolle erlaubt unauthentifizierten Angreifern das Hochladen und Ausführen von PHP-Code (RCE). Betroffen sind JCE 1.0.0–2.9.99.4; gepatcht ab 2.9.99.5, empfohlen wird 2.9.99.7 (Version 2.9.99.6 enthält eine Upload-Regression). Öffentlicher Exploit-Code und automatisierte Scans sind bestätigt.
Management Summary
Das technische Lagebild des Tages wird von zwei aktiv ausgenutzten Angriffsflächen geprägt. Erstens „FortiBleed“: Ein Sicherheitsforscher meldet eine großangelegte Kampagne gegen Fortinet-Appliances, bei der nach seinen Angaben aus rund 320.000 angegriffenen Geräten bei knapp 74.000 erfolgreich Zugangsdaten abgegriffen wurden — nach Durchprobieren von etwa 1,16 Milliarden Benutzername-Passwort-Kombinationen und mutmaßlich unter Ausnutzung des in älteren FortiOS-Versionen verwendeten, schwächeren SHA256-Hashings. Fortinet bestätigt eine Credential-Diebstahl-Kampagne, bestreitet jedoch einen Zusammenhang mit jüngeren Sicherheitslücken. Zweitens ist die Höchstschwere-Lücke CVE-2026-48907 im Joomla-Editor-Plugin JCE (CVSS 10.0, unauthentifizierte RCE) in den CISA-KEV-Katalog aufgenommen worden; Exploit-Code und Massen-Scans sind im Umlauf. Daneben hat Cisco zwei kritische ISE-Schwachstellen (CVE-2026-20181, CVSS 9.1; CVE-2026-20190, CVSS 8.6) gepatcht, und der SAP-Patchday brachte mit CVE-2026-44748 (CVSS 9.9, XML Signature Wrapping in der SAML-Implementierung des NetWeaver AS ABAP) eine besonders breit wirkende HotNews-Korrektur.
Datenschutz- und rechtsseitig prägen zwei Entwicklungen den Tag. Mit § 356a BGB tritt heute die Pflicht zum elektronischen Widerrufsbutton in Kraft — eine Umsetzung der EU-Richtlinie 2023/2673, die für nahezu alle B2C-Fernabsatzverträge über Online-Oberflächen ein zweistufiges Widerrufsverfahren verlangt und bei Versäumnis Abmahnrisiken sowie eine Verlängerung der Widerrufsfrist auslöst. Zugleich hat der EuGH in der Rechtssache C-484/24 klargestellt, dass die DSGVO der Verwertung datenschutzwidrig erlangter Beweise im Zivil-/Arbeitsprozess nicht entgegensteht; die Verarbeitung durch das Gericht stützt sich auf Art. 6 Abs. 1 Buchst. c DSGVO, eine Grenze zieht der Gerichtshof erst bei der Offenlegung gegenüber Dritten. Auf Verbraucherseite dominiert eine breite Banking- und PSD2-Phishing-Welle. Die 111. Datenschutzkonferenz fasste in Stuttgart zukunftsgerichtete Beschlüsse zu Jugendmedienbildung und zur datenschutzfreundlichen Ausgestaltung der 6G-Radarsensorik. Neue DSGVO-Bußgeldentscheidungen mit belastbarer Primärquelle liegen im heutigen Zeitfenster nicht vor.
Die wichtigsten Punkte im Überblick
- FortiBleed: ~74.000 Fortinet-Geräte mit abgegriffenen Zugangsdaten, ~120 in Deutschland (u. a. Telekom, Mercedes-Benz); Ursache und Patch noch offen.
- Joomla-JCE CVE-2026-48907 (CVSS 10.0): unauthentifizierte RCE, aktiv ausgenutzt, in CISA-KEV — auf 2.9.99.7 aktualisieren.
- Cisco ISE: CVE-2026-20181 (9.1, root-Befehlsausführung) und CVE-2026-20190 (8.6, unauthentifizierter Datenabgriff) gepatcht.
- SAP-Patchday: CVE-2026-44748 (9.9, XML Signature Wrapping, NetWeaver AS ABAP) plus drei weitere HotNews.
- § 356a BGB: Widerrufsbutton ab heute Pflicht für B2C-Fernabsatz über Online-Oberflächen.
- EuGH C-484/24: kein automatisches Beweisverwertungsverbot aus der DSGVO; Grenze bei der Offenlegung.
- DSK 111. Konferenz: Beschlüsse zu Jugendmedienbildung (youngdata.de) und 6G-Radarsensorik (ISAC).
Top-Risiken – Handlungsempfehlungen für heute
- Fortinet-Geräte härten – auf kompromittierten oder exponierten Appliances alle Zugangsdaten neu vergeben, Management-Interfaces aus dem Internet nehmen, MFA für VPN-Anmeldung erzwingen und auf FortiOS-Versionen mit PBKDF2-Hashing (ab 7.2.11) aktualisieren.
- Joomla sofort patchen – JCE-Plugin auf 2.9.99.7 aktualisieren (nicht 2.9.99.6); Server auf neu angelegte Editor-Profile und unbekannte PHP-Dateien prüfen.
- Cisco ISE und SAP einplanen – ISE/ISE-PIC ab Release 3.4 auf die gepatchten Stände bringen; SAP-HotNews, insbesondere den NetWeaver-AS-ABAP-Fix (CVE-2026-44748), zeitnah einspielen.
- Widerrufsbutton umsetzen – B2C-Online-Oberflächen bis heute auf die § 356a-BGB-Pflicht prüfen: zweistufiges Verfahren, eindeutige Beschriftung, dauerhafte Erreichbarkeit, nur zulässige Pflichtangaben.
- Phishing-Sensibilisierung – Beschäftigte und Kundschaft vor der aktuellen Banking-/PSD2-Welle warnen; Zugangsdaten nie über Mail-Links eingeben.
1. Datenschutz
Datenschutzseitig stehen heute ein in Kraft tretendes Verbraucherschutz-Instrument und die Ergebnisse der Aufsichtskonferenz im Vordergrund. Beide Themen verbindet ein vorausschauender Blick — vom konkreten Pflicht-Button bis zur frühzeitigen Regulierung künftiger Mobilfunk-Sensorik.
1.1 111. Datenschutzkonferenz: Beschlüsse zu Jugendmedienbildung und 6G-Radarsensorik
Zusammenfassung: Die Datenschutzkonferenz (DSK) fasste unter dem baden-württembergischen Vorsitz (Prof. Dr. Tobias Keber) auf ihrer 111. Konferenz zwei zukunftsgerichtete Beschlüsse: die Stärkung der Jugendmedienbildung über den Ausbau des Portals youngdata.de sowie die Forderung, beim kommenden Mobilfunkstandard 6G den Datenschutz von Beginn an mitzudenken. Zusätzlich wurde mit dem Bundesinnenministerium das Polizeiprojekt P20 erörtert.
Hintergrund & Einordnung: Hintergrund der 6G-Forderung ist die geplante Integrated-Sensing-and-Communication-Funktion (ISAC), die den Mobilfunkstandard um eine Radarfähigkeit ergänzen soll: Netzinfrastruktur könnte Räume sowie darin befindliche Objekte und Personen erfassen — unter Umständen auch durch Wände hindurch. Die DSK mahnt, solche Fähigkeiten dürften nicht ohne Rechtsgrundlage und Schutzkonzept in den Echtbetrieb gehen; beim Projekt P20 fordert sie eine klare Rechtsgrundlage vor dem Wirkbetrieb.
Praxisfolgen / Handlungsempfehlung: Für Hersteller und Netzbetreiber zeichnet sich ab, dass Privacy-by-Design bei 6G früh zum Compliance-Thema wird. Bildungseinrichtungen und Eltern finden mit dem ausgebauten youngdata.de eine behördlich getragene Ressource zur Medienkompetenz. Unternehmen mit Sensorik-Bezug sollten die DSK-Position als Frühindikator künftiger Aufsichtspraxis werten.
1.2 Widerrufsbutton nach § 356a BGB ab heute Pflicht
Zusammenfassung: Mit dem heutigen Inkrafttreten von § 356a BGB müssen Unternehmer, die Verbrauchern den Abschluss von Fernabsatzverträgen über eine Online-Benutzeroberfläche (Website, App) ermöglichen, eine elektronische Widerrufsfunktion bereitstellen. Rechtsgrundlage ist die Umsetzung der geänderten EU-Verbraucherrechterichtlinie (EU 2023/2673) durch das Gesetz zur Änderung des Verbrauchervertrags- und Versicherungsvertragsrechts (BGBl. I 2026 Nr. 28).
Hintergrund & Einordnung: Vorgesehen ist ein zweistufiges Verfahren: Der Verbraucher startet den Widerruf über eine gut sichtbare Schaltfläche („Vertrag widerrufen“) und bestätigt ihn über eine zweite („Widerruf bestätigen“). Die Funktion muss während der Widerrufsfrist dauerhaft verfügbar, hervorgehoben und ohne Login-Hürde zugänglich sein. Abgefragt werden dürfen nur Pflichtangaben zur Vertrags-Identifikation und ein Kommunikationsmittel für die Eingangsbestätigung; der Widerrufsgrund darf nicht verlangt werden. Anders als der Kündigungsbutton (§ 312k BGB) erfasst die neue Funktion auch Finanzdienstleistungs-Fernabsatzverträge. Reine B2B-Shops sind nicht erfasst, wohl aber Angebote, die sich auch an Verbraucher richten.
Praxisfolgen / Handlungsempfehlung: Betreiber sollten heute prüfen, ob die Funktion technisch vorhanden, das zweistufige Verfahren korrekt umgesetzt, die Buttons eindeutig beschriftet und nur zulässige Pflichtangaben abgefragt werden, ob die Eingangsbestätigung automatisiert auf dauerhaftem Datenträger versandt wird und ob die Widerrufsbelehrung an den neuen Gestaltungshinweis (Anlage 1 zu Art. 246a EGBGB) angepasst wurde. Bei Versäumnis drohen Abmahnungen und eine Verlängerung der Widerrufsfrist auf bis zu zwölf Monate und 14 Tage.
2. Datensicherheit
Der Großangriff auf Fortinet-Geräte rückt eine altbekannte, aber unterschätzte Schwachstelle in den Vordergrund: schwache Passwort-Speicherung und wiederverwendete Zugangsdaten. Die Datensicherheits-Lehre des Tages liegt weniger in einem einzelnen Patch als in der Hygiene rund um Anmeldedaten.
2.1 Passwort-Hashing und Credential-Hygiene als Lehre aus FortiBleed
Zusammenfassung: Im FortiBleed-Komplex probierten die Angreifer nach Angaben des Entdeckers rund 1,16 Milliarden Benutzername-Passwort-Kombinationen durch — überwiegend Zugangsdaten aus früheren Datenlecks. Entscheidend für den Erfolg war zudem, dass ältere FortiOS-Versionen Passwörter mit SHA256 (plus Salt) hashen, das sich mit GPU-Clustern deutlich effizienter angreifen lässt als das ab FortiOS 7.2.11 verwendete PBKDF2-Verfahren.
Hintergrund & Einordnung: Der Fall zeigt zwei voneinander unabhängige Datensicherheits-Risiken in Kombination: die Wiederverwendung von Zugangsdaten über Systeme hinweg und veraltete kryptografische Verfahren zur Passwort-Speicherung. Auch die parallel von Cisco gemeldete ISE-Lücke CVE-2026-20190 zielt auf das Auslesen gehashter Credentials — ein Muster, das die Bedeutung starker, moderner Hash-Verfahren unterstreicht.
Praxisfolgen / Handlungsempfehlung: Organisationen sollten Appliances auf Firmware-Stände mit modernem Hashing heben, Zugangsdaten nach jedem Verdacht rotieren, die Wiederverwendung von Passwörtern unterbinden (Passwort-Manager, eindeutige Credentials je System) und MFA flächendeckend erzwingen. Aus Leaks stammende Zugangsdaten lassen sich über Dienste wie Have-I-Been-Pwned oder herstellerspezifische Prüfseiten gegenchecken.
3. IT-Sicherheit
Die IT-Sicherheitslage ist heute von gleich mehreren kritischen Schwachstellen mit hoher bis maximaler Schwere geprägt — von Firewalls über Identitätsdienste und ERP-Systeme bis zu einem aktiv ausgenutzten CMS-Plugin.
3.1 FortiBleed: rund 74.000 Fortinet-Appliances mit abgegriffenen Zugangsdaten
Zusammenfassung: Sicherheitsforscher Volodymyr Diachenko hat eine großangelegte Angriffskampagne gegen Fortinet-Geräte aufgedeckt. Von rund 320.000 angegriffenen Appliances — etwa der Hälfte aller über das Internet erreichbaren Fortinet-Geräte — seien bei 73.932 erfolgreich Zugangsdaten abgegriffen worden. Verantwortlich sei eine russischsprachige Cybercrime-Gruppe.
Hintergrund & Einordnung: Wie die Angreifer initial auf die Geräte gelangten, ist offen; Kevin Beaumont vermutet eine bislang unbekannte Schwachstelle, über die Gerätekonfigurationen samt Passwort-Hashes abgezogen und anschließend per GPU-Cluster geknackt wurden. Fortinet bestätigt eine Credential-Diebstahl-Kampagne, ordnet die Daten aber früheren Vorfällen plus Brute-Force zu und sieht keinen Bezug zu jüngeren Sicherheitsmitteilungen. Beaumont widerspricht: Die betroffenen IP-Adressen unterschieden sich weitgehend vom Belsen-Group-Leak (2022, ~15.000 Geräte), die Mehrzahl der Geräte sei noch online. Rund 120 betroffene Geräte lassen sich Deutschland zuordnen, darunter im Netz von Telekom und Mercedes-Benz.
Praxisfolgen / Handlungsempfehlung: Betroffene sollten alle Zugangsdaten auf potenziell kompromittierten Geräten neu und sicher vergeben, verdächtige Zugriffe auf nachgelagerte Netze prüfen und MFA — insbesondere bei der VPN-Anmeldung — erzwingen. Management-Interfaces gehören nicht ins offene Internet. Da unklar ist, ob eine FortiOS-Lücke beteiligt war, existiert bislang kein Patch; eine Stellungnahme des Fortinet-Sicherheitsteams steht aus. Die Betroffenheit lässt sich über die Abfrageseite von Hudson Rock prüfen.
3.2 Cisco ISE: zwei kritische Schwachstellen (bis CVSS 9.1)
Zusammenfassung: Cisco hat ein Advisory zu zwei kritischen Lücken in der Identity Services Engine (ISE) und dem ISE Passive Identity Connector veröffentlicht. CVE-2026-20181 (CVSS 9.1) erlaubt einem authentifizierten Administrator durch unzureichende Eingabevalidierung im Web-Interface die Befehlsausführung als root; CVE-2026-20190 (CVSS 8.6) erlaubt einem unauthentifizierten Angreifer durch fehlerhafte Autorisierungsprüfung das Auslesen sensibler Daten, darunter gehashte Zugangsdaten.
Hintergrund & Einordnung: Betroffen sind ISE und ISE-PIC ab Release 3.4. In Single-Node-Deployments kann CVE-2026-20181 zusätzlich einen Denial-of-Service auslösen. Da die ISE als zentrale Komponente für Netzwerkzugriffs- und Identitätssteuerung dient, wiegt ein erfolgreicher Angriff schwer.
Praxisfolgen / Handlungsempfehlung: Die von Cisco bereitgestellten Updates sollten zügig eingespielt werden. Administrative Zugänge zum Web-Interface sind auf vertrauenswürdige Netze zu beschränken; die fehlerhafte Autorisierungsprüfung in CVE-2026-20190 macht eine Netz-Exposition besonders riskant.
3.3 SAP-Patchday: vier kritische CVEs, bis CVSS 9.9
Zusammenfassung: Der SAP-Patchday brachte 15 Security Notes, darunter vier HotNews. Schwerste Lücke ist CVE-2026-44748 (CVSS 9.9): eine XML-Signature-Wrapping-Schwachstelle in der SAML-Implementierung des NetWeaver AS ABAP mit sehr breitem Versionsumfang (SAP_BASIS 702–919).
Hintergrund & Einordnung: Daneben wiegen CVE-2026-27671 (9.8, unauthentifizierte Memory Corruption im ABAP-Kernel, nur per Kernel-Update behebbar), CVE-2026-22732 (9.1, Spring Security in Commerce Cloud/Data Hub) und CVE-2026-40128 (9.0, Directory Traversal in NetWeaver AS Java) schwer. Die breite Basis-Versionsspanne von CVE-2026-44748 macht den Fix für viele SAP-Landschaften relevant.
Praxisfolgen / Handlungsempfehlung: SAP-Betreiber sollten die HotNews-Notes priorisiert einspielen, insbesondere den NetWeaver-AS-ABAP-SAML-Fix. Wo Kernel-Updates nötig sind (CVE-2026-27671), ist eine Wartungsfenster-Planung erforderlich. Die genauen Notes sind über das (login-pflichtige) SAP-Support-Portal abrufbar.
3.4 Joomla-Editor JCE: aktiv ausgenutzte RCE (CVE-2026-48907, CVSS 10.0)
Zusammenfassung: Die US-Behörde CISA hat die mit dem Höchstwert CVSS 10.0 bewertete Lücke CVE-2026-48907 im Joomla-Editor-Plugin „JCE“ (Widget Factory) in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Eine fehlerhafte Zugriffskontrolle erlaubt unauthentifizierten Angreifern, über das Anlegen neuer Editor-Profile PHP-Code hochzuladen und auszuführen (Remote Code Execution).
Hintergrund & Einordnung: Betroffen sind JCE-Versionen 1.0.0 bis 2.9.99.4; gepatcht ab 2.9.99.5, empfohlen wird 2.9.99.7, da Version 2.9.99.6 eine Upload-Regression enthält. Öffentlicher Exploit-Code und automatisierte Massen-Scans sind bestätigt; die Frist für US-Bundesbehörden lief auf den 19. Juni.
Praxisfolgen / Handlungsempfehlung: Joomla-Betreiber sollten das JCE-Plugin umgehend auf 2.9.99.7 aktualisieren und Server auf Kompromittierungsspuren prüfen — neu angelegte Editor-Profile, unbekannte PHP-Dateien, auffällige Uploads. Bei nicht patchbaren Installationen ist eine temporäre Deaktivierung des Plugins zu erwägen.
4. Urteile
Im Urteilskapitel steht heute eine grundlegende EuGH-Entscheidung zum Spannungsfeld von Datenschutz und Beweisrecht. Sie betrifft jeden Zivil- und Arbeitsrechtsstreit, in dem datenschutzrelevante Informationen als Beweis vorgelegt werden.
4.1 EuGH: DSGVO verbietet die Verwertung rechtswidrig erlangter Beweise nicht
Sachverhalt: Auf Vorlage des Landesarbeitsgerichts Niedersachsen (Az. 8 Sa 688/23) hatte der EuGH einen Fall zu beurteilen, in dem ein Heizungs- und Klimatechnikbetrieb von einer ehemaligen Angestellten rund 46.500 Euro Schadensersatz forderte. Über das private eBay-Konto der Frau war der unbefugte Verkauf von Firmeneigentum im Wert von über 13.000 Euro aufgefallen; der Zugriff auf die Zugangsdaten erfolgte nach der Sachverhaltsdarstellung auf möglicherweise datenschutzwidrigem Weg.
Entscheidung: Der Gerichtshof entschied, dass die DSGVO der Verwertung solcher Beweise im Zivil-/Arbeitsprozess nicht grundsätzlich entgegensteht. Ein automatisches Beweisverwertungsverbot folgt aus der DSGVO nicht; die Verarbeitung durch das Gericht stützt sich auf Art. 6 Abs. 1 Buchst. c DSGVO.
Begründungs-Kernpunkte: Das Recht auf ein faires Verfahren und effektiven Rechtsschutz (Art. 47 GRCh) wiege im Gerichtssaal schwerer als der absolute Schutz der Privatsphäre. Gerichte müssen die datenschutzrechtliche Herkunft jeder Information nicht von Amts wegen prüfen; auch ein Verstoß gegen Informationspflichten (Art. 13 DSGVO) führt nicht automatisch zum Verwertungsverbot. Eine Grenze besteht erst bei der Offenlegung: Vor der Weitergabe sensibler Daten ist deren Umfang auf das Erforderliche zu beschränken, unbeteiligte Dritte sind von Amts wegen durch Schwärzung, Anonymisierung oder Pseudonymisierung zu schützen. Ergänzend stellte der EuGH klar, dass für dieselbe Verarbeitung mehrere Rechtsgrundlagen des Art. 6 Abs. 1 DSGVO nebeneinander bestehen können.
Praxisfolgen: Der Datenschutz lässt sich in Zivil- und Arbeitsgerichtsverfahren nicht systematisch zur Blockade von Schadensersatzansprüchen instrumentalisieren. Datenschutzwidrige Beschaffung bleibt jedoch eigenständig sanktionierbar (Aufsichtsverfahren, Schadensersatz nach Art. 82 DSGVO) — nur das Beweismittel wird nicht automatisch unverwertbar. Die vollständige Aufbereitung mit amtlichem Tenor steht in der Urteilsbibliothek (ur-159).
5. Bußgelder
Im heutigen Zeitfenster (16.–19. Juni) liegt keine neue DSGVO-Bußgeldentscheidung mit belastbarer behördlicher Primärquelle oder verlässlichem Enforcement-Tracker-Eintrag vor. Die jüngsten belegbaren Verfahren — darunter mehrere CNIL-Sanktionen aus dem Frühjahr — liegen außerhalb des Berichtszeitraums und wurden bereits behandelt. Auf belastbare Neumeldungen wird verzichtet, statt schwach belegte Tracker-Claims aufzunehmen.
6. Cyber-Sicherheit
Für den Zeitraum 16.–19. Juni ließ sich kein größerer, unabhängig bestätigter Cyber-Vorfall mit Deutschland-Bezug sauber per Deep-Link belegen, der nicht bereits in vorangegangenen Ausgaben behandelt wurde. Ransomware-Leak-Seiten listen zwar fortlaufend neue Opfer-Claims, doch fehlt diesen meist die unabhängige Primärbestätigung und der belastbare Inlandsbezug. Der prägende Cyber-Komplex des Tages ist daher die FortiBleed-Kampagne (siehe Kapitel 3), die zugleich Credential-Diebstahl und mutmaßliche Schwachstellen-Ausnutzung im großen Stil verbindet.
KI & große Sprachmodelle
Tagesgenau bestätigte Modell-Releases sind im aktuellen Zeitfenster rar; die folgende Übersicht gibt den Stand der einschlägigen Tracker (u. a. llm-stats.com) wieder, unbestätigte Versionsangaben sind als solche gekennzeichnet.
- OpenAI: GPT-5.5 (inkl. Pro-/Instant-Varianten) wird für Juni geführt — Versionsstand laut Tracker, kein im Zeitfenster offiziell bestätigtes Release-Datum.
- Google: Gemini 3.5 Flash ist verfügbar; Gemini 3.5 Pro wurde angekündigt, eine stabile Modell-ID liegt noch nicht vor (unbestätigt).
- Anthropic: Berichte über ein stark eingeschränktes Programm „Mythos 1″ für einen kleinen Kreis von Sicherheitsforschungs-Partnern; ein „Claude Sonnet 4.8″ ist bislang Gerücht (unbestätigt).
- Meta: „Muse Spark“ als erstes Release der Meta Superintelligence Labs wird als geschlossenes Modell geführt (Tracker-Stand) — Abkehr von der bisherigen offenen Llama-Linie.
- Mistral: aktuelles Flaggschiff Medium 3.5 (dense, ~128 Mrd. Parameter), Konsolidierung der Medium-Reihe.
- DeepSeek: V4 (Pro/Flash) mit dauerhaften Preissenkungen laut Tracker.
- Alibaba/Qwen: Qwen 3.7 als leistungsstarke Variante; Top-Modell „3.7 Max“ laut Tracker API-only.
- xAI: Grok 5 noch im Training; ein Release im Juni gilt als unwahrscheinlich (unbestätigt).
Datenschutz-/Sicherheitsrelevanz: Bei produktivem KI-Einsatz bleiben Eingaben sensibler Daten, Auftragsverarbeitung und Modell-Hosting die maßgeblichen Prüfpunkte — unabhängig vom jeweils neuesten Modellstand.
Ausblick / Termine
- bis Ende Juni 2026: Letzte Frist zur Umsetzung des Widerrufsbuttons (§ 356a BGB) für noch nicht angepasste B2C-Online-Oberflächen — die Pflicht gilt bereits ab heute.
- 17.06.2026: Kostenfreier Lösungstag im Rahmen der DuD – Datenschutz und Datensicherheit (Berlin).
- 18.06.2026: Fachtagung „Digitale Souveränität an Hochschulen“, Universität Duisburg-Essen.
- 01.–02.07.2026: SicherheitsExpo (u. a. KRITIS- und Behörden-Sicherheitstechnik).
- ab August 2026: EU AI Act — volle Durchsetzung für Hochrisiko-Systeme, zweite Sanktionsebene bis zu 35 Mio. Euro bzw. 7 % des weltweiten Jahresumsatzes.
Methodik
Stichtag dieser Ausgabe ist Freitag, der 19. Juni 2026; berücksichtigt sind Meldungen der letzten Tage (bei dünner Lage bis sieben Tage zurück, bei Urteilen bis zu acht Wochen ab Verfügbarkeit der schriftlichen Entscheidung), sofern sie in den vorherigen Briefings noch nicht behandelt wurden. Aufgenommen werden ausschließlich über konkrete Deep-Links belegte Sachverhalte; bevorzugt Primärquellen (Hersteller-Advisories, Behörden, Gesetzesmaterialien) und etablierte Fachmedien. Englischsprachige Quellen werden sinngemäß ins Deutsche übersetzt, der Originallink bleibt erhalten. Wo nur schwach belegte Tracker-Claims vorlagen (Datensicherheit, Bußgelder, Cyber-Sicherheit), wurde bewusst auf eine Meldung verzichtet. Dieses Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.
Quellenverzeichnis
- Verbraucherzentrale — Phishing-Radar: aktuelle Warnungen
- Verbraucherzentrale — Widerrufsbutton ab Juni 2026: Onlineverträge einfacher widerrufen
- Noerr — Umsetzungsgesetz zum Widerrufsbutton veröffentlicht: § 356a BGB tritt am 19.06.2026 in Kraft
- IT-Recht-Kanzlei — Widerrufsbutton im B2B-Shop: Pflicht oder nicht?
- LfDI Baden-Württemberg — 111. Datenschutzkonferenz: Jugendmedienbildung, Radarsensorik und 6G
- heise security — FortiBleed: 74.000 Fortinet-Firewalls betroffen
- DoublePulsar — FortiBleed: 75k Fortinet firewalls have admin passwords cracked (Kevin Beaumont)
- Cyber Press — Critical Cisco ISE Vulnerability
- SOCRadar — SAP Security Patch Day June 2026 (CVE-2026-44748)
- The Hacker News — CISA Warns of Actively Exploited Joomla JCE Flaw
- heise online — EuGH zu Datenschutz vor Gericht: Auch illegale Beweise dürfen verwertet werden (Stefan Krempl)
- beck-aktuell — EuGH (C-484/24) zur Verarbeitung datenschutzwidrig erlangter Beweise
- CSA-Urteilsbibliothek — EuGH C-484/24: Verwertung datenschutzwidrig erlangter Beweise (ur-159)
- LLM Stats — LLM Updates / Model-Releases (Juni 2026)
