Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- EuGH klärt, wo man bei Medien-Inhalten klagen kann. Wenn eine Fernsehserie oder ein Online-Video das eigene Ansehen verletzt, hängt es vom Verbreitungsweg ab, wo man auf vollen Schadensersatz klagen darf: Bei reiner TV-Ausstrahlung in mehreren Ländern nur anteilig im jeweiligen Land oder am Sitz des Produzenten, bei Internet-Inhalten nur, wenn man darin persönlich erkennbar ist. Für Betroffene heißt das: Der Gerichtsort will genau geprüft sein, bevor man klagt.
- Großes Hochschul-Datenleck nach Angriff auf Personalsoftware. Über eine Lücke in der weit verbreiteten Verwaltungssoftware Oracle PeopleSoft hat die Tätergruppe ShinyHunters Daten erbeutet; beim ersten bestätigten Opfer (einer Universität) sind rund 455.000 Datensätze betroffen, darunter Namen, Adressen und Passnummern. Wer an betroffenen Einrichtungen studiert oder arbeitet, sollte auf gezielte Betrugsversuche mit echten persönlichen Daten gefasst sein.
- NIS-2: BSI setzt letzte Registrierungsfrist auf den 31. Juli. Mehr als 11.000 der rund 29.500 betroffenen Einrichtungen haben sich noch nicht registriert. Wer ein Unternehmen führt, das unter die neuen Cybersicherheitspflichten fällt, sollte die Frist nicht verstreichen lassen — es drohen Bußgelder bis 500.000 Euro.
- Freitag ist bundesweiter Digitaltag. Am 26. Juni steht der Digitaltag unter dem Motto „Digitale Sicherheit“; im Aktionszeitraum gibt es zahlreiche kostenlose Angebote zur Aufklärung über sicheres Verhalten im Netz — eine gute Gelegenheit, das eigene Wissen aufzufrischen.
Aktuelle Phishing- und Betrugswellen
Im engen Berichtszeitraum (22.–23. Juni) ist keine neue, eigenständig belegbare Phishing-Welle hinzugekommen. Die zuletzt gemeldeten Banking-Maschen (zuletzt easybank mit der PSD2-„Kontoaktualisierung“) laufen weiter; das Grundmuster bleibt unverändert: erfundene Fristen, Sperr-Drohung und ein Link auf eine täuschend echte Anmeldeseite.
Unabhängig von der jeweils aktuellen Marke gilt die immer gleiche Regel: Zugangsdaten, TAN oder Kartendaten niemals über einen Link aus einer E-Mail oder SMS eingeben. Rufen Sie Konten und Kundenportale ausschließlich über die selbst gespeicherte Adresse oder die offizielle App auf. Der bundesweite Digitaltag am 26. Juni (siehe Ausblick) bietet dazu zahlreiche Auffrischungsangebote.
Was war los?
Im Mittelpunkt steht eine Grundsatzentscheidung des Europäischen Gerichtshofs zur Frage, wo man bei Persönlichkeitsrechtsverletzungen durch Fernseh- und Internet-Inhalte klagen kann (Details unter „Was sich rechtlich geändert hat“ und in Kapitel 4). Sie betrifft jeden, der sich durch eine grenzüberschreitend verbreitete Serie oder ein Online-Video in seinem Ansehen verletzt sieht.
Auf der technischen Seite weitet sich eine bereits laufende Angriffskampagne aus: Über eine Lücke in der Verwaltungssoftware Oracle PeopleSoft hat die Gruppe ShinyHunters bei einer ersten Einrichtung rund 455.000 Datensätze erbeutet. Daneben hat das Drupal-Projekt eine kritische Lücke in seinem Content-Management-System geschlossen, und die US-Behörde CISA hat zwei weitere aktiv ausgenutzte Schwachstellen auf ihre Dringlichkeitsliste gesetzt.
Was sich rechtlich geändert hat
Der Europäische Gerichtshof hat mit Urteil vom 18. Juni (C-232/25, „Idziski“) den „fliegenden Gerichtsstand“ bei grenzüberschreitenden Medieninhalten geschärft. Bei einer Fernsehausstrahlung in mehreren Mitgliedstaaten kann der gesamte Schaden nur am Sitz des Produzenten oder anteilig im jeweiligen Ausstrahlungsland eingeklagt werden — der „Mittelpunkt der Interessen“ begründet hier keine umfassende Zuständigkeit. Bei Internet-Inhalten bleibt dieser Gerichtsstand möglich, aber nur, wenn die betroffene Person im Inhalt individuell erkennbar ist; bloße Zugehörigkeit zu einer dargestellten Gruppe genügt nicht. Die ausführliche Aufbereitung steht in der Urteilsbibliothek (ur-163).
Aufsichtsrechtlich verlängert das BSI die Registrierungsfrist nach dem NIS2-Umsetzungsgesetz bis zum 31. Juli 2026, nachdem sich bis Ende Mai erst rund 18.500 von etwa 29.500 betroffenen Einrichtungen angemeldet hatten. Zudem hat die Verbraucherschutzministerkonferenz einen nationalen Aktionsplan gegen Fakeshops beschlossen — beides Schritte, die mittelbar auch den Verbraucherschutz im Netz stärken.
IT-Detailansicht für Fachpublikum
Im Folgenden die fachliche Detailansicht: Top-Themen der Woche, Management Summary, Top-Risiken sowie die sechs Kapitel (Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder, Cyber-Sicherheit), ergänzt um einen Überblick zu KI und großen Sprachmodellen, einen Ausblick, die Methodik und das Quellenverzeichnis.
Top-Themen der Woche
1. Oracle-PeopleSoft-Kampagne (CVE-2026-35273): erstes Großopfer mit 455.000 Betroffenen
Die im Briefing vom 16. Juni erstmals gemeldete aktive Ausnutzung einer Oracle-PeopleSoft-Lücke durch ShinyHunters hat sich konkretisiert.
Letzte Entwicklung: Es handelt sich um die unauthentifizierte RCE CVE-2026-35273 (CVSS 9.8, Komponente PSEMHUB) in PeopleTools 8.61/8.62; Mandiant datiert die Zero-Day-Ausnutzung durch UNC6240 (ShinyHunters-Cluster) auf den 27.05.–09.06., Oracle lieferte den Out-of-Band-Fix am 10.06., CISA-KEV-Eintrag am 12.06. Erstes bestätigtes Opfer ist die University of Nottingham mit rund 455.000 betroffenen Datensätzen (Namen, Adressen, Passnummern); Google/Mandiant benachrichtigte über 100 Organisationen, davon rund zwei Drittel aus dem Hochschulsektor.
2. NIS-2-Umsetzung: BSI verlängert Registrierungsfrist bis 31. Juli 2026
Nach schleppender Anmeldung setzt das BSI eine neue Frist für die Registrierungspflicht nach dem NIS2-Umsetzungsgesetz.
Letzte Entwicklung: Bis Ende Mai 2026 hatten sich erst rund 18.500 von etwa 29.500 betroffenen Einrichtungen registriert — über 11.000 versäumten die seit dem 6. März 2026 geltende Pflicht. Neue Frist: 31. Juli 2026; bei Verstößen drohen Bußgelder bis 500.000 Euro.
Management Summary
Rechtlich prägt eine EuGH-Grundsatzentscheidung den Tag: In der Rechtssache C-232/25 („Idziski“, Zweite Kammer, Urteil vom 18.06.) schärft der Gerichtshof die internationale Zuständigkeit (Art. 5 Nr. 3 Brüssel-I-VO) bei Persönlichkeitsrechtsverletzungen durch audiovisuelle Inhalte. Für die TV-Ausstrahlung in mehreren Mitgliedstaaten gilt die Mosaikzuständigkeit — der Gesamtschaden ist am Produzentensitz einzuklagen; für Internet-Inhalte bleibt der Gerichtsstand am Interessenmittelpunkt möglich, aber nur bei individueller (auch mittelbarer) Identifizierbarkeit der betroffenen Person. Eine bloße Gruppenzugehörigkeit genügt der natürlichen Person nicht, während ein die Gruppeninteressen vertretender Verband am eigenen Interessenmittelpunkt auf den Gesamtschaden klagen kann. Aufsichtsrechtlich verlängert das BSI die NIS-2-Registrierungsfrist bis zum 31.07.2026, nachdem über 11.000 von rund 29.500 betroffenen Einrichtungen die Pflicht versäumt hatten (Bußgeldrahmen bis 500.000 Euro); die Verbraucherschutzministerkonferenz beschloss zudem einen nationalen Aktionsplan gegen Fakeshops.
Technisch dominiert die Fortentwicklung der Oracle-PeopleSoft-Kampagne (erstmals am 16.06. gemeldet): Die unauthentifizierte RCE CVE-2026-35273 (CVSS 9.8) wurde laut Mandiant von UNC6240 (ShinyHunters-Cluster) als Zero-Day ausgenutzt; das erste bestätigte Opfer, die University of Nottingham, meldet rund 455.000 betroffene Datensätze inklusive Passnummern, der Hochschulsektor ist überproportional betroffen. Daneben hat das Drupal-Security-Team am 17.06. fünf Core-Advisories veröffentlicht; das schwerste (SA-CORE-2026-005, CVE-2026-55803) ist eine kritische PHP-Object-Injection über JSON:API-Schreibpfade, die allerdings nur unter speziellen Custom-Implementierungen greift (Fixes in 10.5.12 / 10.6.11 / 11.2.14 / 11.3.12). Die CISA hat am 15.06. zwei weitere aktiv ausgenutzte Schwachstellen in den KEV-Katalog aufgenommen (Cisco Catalyst SD-WAN Manager CVE-2026-20262, LiteSpeed-cPanel-Plugin CVE-2026-54420). Neue belastbare Datenschutz-Bußgelder und eine eigenständige frische Phishing-Welle lagen im engen Zeitfenster nicht vor.
Die wichtigsten Punkte im Überblick
- EuGH C-232/25 („Idziski“): Mosaikzuständigkeit bei TV-Ausstrahlung, Interessenmittelpunkt bei Internet nur bei individueller Identifizierbarkeit; Verband privilegiert.
- Oracle PeopleSoft CVE-2026-35273 (CVSS 9.8, Carry-over seit 16.06.): erstes Großopfer Nottingham (~455.000 Datensätze), Mandiant-Attribution UNC6240.
- NIS-2: neue BSI-Registrierungsfrist 31.07.2026; > 11.000 von ~29.500 Einrichtungen säumig, Bußgeld bis 500.000 €.
- Drupal SA-CORE-2026-005 / CVE-2026-55803: kritische PHP-Object-Injection, Fixes in 10.5.12 / 10.6.11 / 11.2.14 / 11.3.12.
- CISA-KEV (15.06.): Cisco Catalyst SD-WAN CVE-2026-20262, LiteSpeed cPanel CVE-2026-54420 aktiv ausgenutzt.
- VSMK: nationaler Aktionsplan gegen Fakeshops (Potsdam, 19.06.).
Top-Risiken – Handlungsempfehlungen für heute
- PeopleSoft patchen und forensisch prüfen – CVE-2026-35273 (PeopleTools 8.61/8.62, PSEMHUB) sofort mit dem Oracle-Out-of-Band-Fix schließen; Exposition prüfen, Logs auf Kompromittierung ab Ende Mai durchsehen — CISA-KEV-Remediationspflicht beachten.
- Drupal aktualisieren – Core auf 10.5.12 / 10.6.11 / 11.2.14 / 11.3.12 heben; Custom-Module mit serialisierten Entity-Reference-Properties und JSON:API-Schreibrechten gezielt prüfen (11.0.x/11.1.x sind EOL).
- CISA-KEV abarbeiten – Cisco Catalyst SD-WAN Manager (CVE-2026-20262) und LiteSpeed-cPanel-Plugin (CVE-2026-54420) patchen.
- NIS-2-Registrierung abschließen – betroffene Einrichtungen bis 31.07.2026 registrieren.
1. Datenschutz
Datenschutz- und aufsichtsrechtlich stehen heute zwei behördliche Weichenstellungen im Vordergrund — eine zur Cybersicherheits-Compliance, eine zum Verbraucherschutz im Online-Handel.
1.1 NIS-2: BSI verlängert Registrierungsfrist bis 31. Juli 2026
Zusammenfassung: Nach einer deutlich zu niedrigen Anmeldequote setzt das BSI eine neue Frist für die Registrierungspflicht nach dem NIS2-Umsetzungsgesetz: Bis Ende Mai 2026 hatten sich erst rund 18.500 von etwa 29.500 betroffenen Einrichtungen registriert — mehr als die Hälfte kam der seit dem abgelaufenen Stichtag 6. März 2026 geltenden Pflicht nicht nach. Die neue Frist läuft bis zum 31. Juli 2026.
Hintergrund & Einordnung: Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 und erweitert den Kreis der zu Cybersicherheits- und Meldepflichten verpflichteten Einrichtungen erheblich. Bei Verstößen drohen Bußgelder bis zu 500.000 Euro. Die schleppende Registrierung deutet auf verbreitete Unsicherheit über die Betroffenheit hin — viele Einrichtungen unterschätzen, dass sie unter „wichtige“ oder „besonders wichtige“ Kategorien fallen.
Praxisfolgen / Handlungsempfehlung: Unternehmen sollten ihre Betroffenheit anhand der Sektor- und Schwellenwertkriterien prüfen und sich fristgerecht über das BSI-Meldeportal registrieren. Unabhängig von der Registrierung gelten die materiellen Pflichten (Risikomanagement, Meldewesen, Governance) bereits — die Frist betrifft die Registrierung, nicht den Pflichtenbeginn.
1.2 Verbraucherschutzministerkonferenz beschließt Aktionsplan gegen Fakeshops
Zusammenfassung: Die Verbraucherschutzministerkonferenz hat auf ihrer Sitzung in Potsdam einen bundesweiten Aktionsplan gegen betrügerische Onlineshops (Fakeshops) beschlossen. Vorgesehen ist eine engere Koordinierung zwischen Bund und Ländern sowie den zuständigen Behörden.
Hintergrund & Einordnung: Fakeshops gehören zu den hartnäckigsten Verbraucherschutzproblemen im E-Commerce; sie wechseln schnell Domains und Zahlungswege. Ein abgestimmter nationaler Ansatz soll Erkennung, Warnung und Strafverfolgung beschleunigen. (Hinweis: Der Beschluss ist über die Konferenz-Primärunterlage belegt; eine eigenständige Einzel-Berichterstattung wurde nicht zusätzlich gegengeprüft.)
Praxisfolgen / Handlungsempfehlung: Für Verbraucher bleibt der Fakeshop-Finder der Verbraucherzentrale das wichtigste Sofort-Werkzeug; Händler sollten auf Nachahmer-Shops achten, die ihre Markenauftritte kopieren.
2. Datensicherheit
Im engen Berichtszeitraum (20.–23. Juni) ließ sich kein eigenständiger, frischer Datenabfluss mit belastbarem Deutschland-Bezug und verifiziertem Deep-Link bestätigen. Eine kursierende „24-Milliarden-Datensätze“-Sammlung aus einem offenen Elasticsearch-Cluster (entdeckt 12.06.) ist eine global zusammengestellte Infostealer-Compilation ohne spezifischen Inlandsbezug und mit Verwechslungsgefahr zu früheren Sammlungen — daher hier nicht als eigenständige Meldung geführt. Die datensicherheitsrelevante Lehre des Tages liegt im PeopleSoft-Fall (Kapitel 6): Identitäts- und Personaldaten-Systeme gehören segmentiert, eng zugriffsbeschränkt und mit Exfiltrations-Erkennung versehen.
3. IT-Sicherheit
Auf der Schwachstellenseite stehen eine kritische CMS-Lücke und zwei neue aktiv ausgenutzte Einträge im CISA-KEV-Katalog.
3.1 Drupal Core: kritische PHP-Object-Injection (CVE-2026-55803, SA-CORE-2026-005)
Zusammenfassung: Das Drupal-Security-Team hat am 17. Juni fünf Core-Advisories veröffentlicht; das schwerste ist kritisch (NIST/Drupal-Risiko 18/25). Ein unvollständiger Patch der älteren Lücke SA-CORE-2019-003 lässt unter bestimmten Bedingungen eine PHP-Object-Injection über JSON:API-Schreibpfade zu (CVE-2026-55803).
Hintergrund & Einordnung: Ausnutzbar ist die Lücke nur in seltenen Konstellationen: Voraussetzung ist ein Entity-Reference-Feld mit serialisierter Property in Kombination mit JSON:API-Schreibrechten — kein Core-Feldtyp erfüllt das, betroffen sind nur Custom-Implementierungen. Fixes liegen in 10.5.12, 10.6.11, 11.2.14 und 11.3.12 vor; die Zweige 11.0.x und 11.1.x sind End-of-Life und erhalten keinen Patch.
Praxisfolgen / Handlungsempfehlung: Drupal-Core zügig auf die gepatchten Versionen aktualisieren und insbesondere Custom-Module prüfen, die serialisierte Eigenschaften in Entity-Reference-Feldern mit JSON:API-Schreibzugriff kombinieren. EOL-Branches sollten migriert werden.
3.2 CISA-KEV: zwei neue aktiv ausgenutzte Schwachstellen (15.06.)
Zusammenfassung: Die US-Behörde CISA hat zwei weitere Schwachstellen wegen belegter aktiver Ausnutzung in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen: CVE-2026-20262 im Cisco Catalyst SD-WAN Manager (Directory-/Path-Traversal) und CVE-2026-54420 im LiteSpeed-cPanel-Plugin (Symlink-Following).
Hintergrund & Einordnung: Beide betreffen verbreitete Infrastruktur-Komponenten — der SD-WAN-Manager steuert Netzwerk-Overlays, das LiteSpeed-Plugin ist auf Hosting-Servern verbreitet. Die KEV-Aufnahme ist ein Indikator für reale, nicht nur theoretische Angriffe. (Hinweis: Die CISA-Alert-Seite lieferte beim direkten Abruf nur das JavaScript-Grundgerüst; CVE-Nummern und Titel sind über die offizielle Alert-Seite per Suche belegt.)
Praxisfolgen / Handlungsempfehlung: Betreiber von Cisco Catalyst SD-WAN Manager und von LiteSpeed-/cPanel-Umgebungen sollten die Hersteller-Updates priorisiert einspielen und ihre Systeme auf Kompromittierungsspuren prüfen.
4. Urteile
Im Urteilskapitel steht eine EuGH-Grundsatzentscheidung zum „fliegenden Gerichtsstand“ bei grenzüberschreitenden Medieninhalten — relevant für jeden Persönlichkeitsrechts-Streit über Fernsehen und Internet.
4.1 EuGH: Fliegender Gerichtsstand bei Persönlichkeitsrechtsverletzung durch TV-Serie und Internet
Sachverhalt: Auf Vorlage des polnischen Obersten Gerichts (Sąd Najwyższy) hatte der EuGH über die internationale Zuständigkeit zu entscheiden. Ein ehemaliger Soldat einer polnischen Untergrund-Militärorganisation und ein Verband ehemaliger Angehöriger dieser Formation sehen sich durch eine ab 2013 in Deutschland und weiteren Mitgliedstaaten ausgestrahlte sowie im Internet verfügbare Fernsehserie in ihren Persönlichkeitsrechten verletzt; die Koproduzenten sind in Deutschland ansässig.
Entscheidung: Bei TV-Ausstrahlung in mehreren Mitgliedstaaten begründet der Mittelpunkt der Interessen keine Zuständigkeit für den Gesamtschaden (Mosaikzuständigkeit je Ausstrahlungsland; Gesamtschaden am Produzentensitz). Bei Internetverbreitung bleibt der Interessenmittelpunkt als Gesamtschadens-Gerichtsstand möglich, jedoch nur bei individueller (auch mittelbarer) Identifizierbarkeit; die natürliche Person, die nur als Gruppenangehöriger erkennbar ist, ist nicht erfasst, wohl aber der die Gruppe vertretende Verband.
Begründungs-Kernpunkte: Der EuGH hält trotz Medienkonvergenz an der Unterscheidung zwischen TV und Internet fest und führt die eDate-Linie (C-509/09) sowie Bolagsupplysningen (C-194/16) und Mittelbayerischer Verlag (C-800/19) fort. Territorial nur teilzuständige Gerichte können über immateriellen Schadensersatz und gebietsbezogene Beseitigung/Verhinderung entscheiden, nicht aber über eine allgemeine Richtigstellung von im Internet veröffentlichten Angaben.
Praxisfolgen: Betroffene müssen vor einer Klage Verbreitungsweg und Identifizierbarkeit genau prüfen, um Gerichtsstand und Klageumfang richtig zu wählen. Für Produzenten und Sender wirkt die Entscheidung tendenziell entlastend; für Verbände, deren Zweck der Schutz einer konkret adressierten Gruppe ist, eröffnet sie einen Gesamtschadens-Gerichtsstand. Volltext und Würdigung in der KB-Urteilssammlung (ur-163).
5. Bußgelder
Im Berichtszeitraum (20.–23. Juni) ließ sich kein neuer DSGVO-Bußgeldbescheid mit belastbarer behördlicher Primärquelle oder verlässlichem Enforcement-Tracker-Eintrag bestätigen. Die jüngsten belegbaren Verfahren — darunter die bereits behandelte Reduktion des Deutsche-Wohnen-Bußgelds durch das LG Berlin I (09.06.) — liegen außerhalb des Fensters. Auf schwach belegte Tracker-Claims wird bewusst verzichtet.
6. Cyber-Sicherheit
6.1 Oracle-PeopleSoft-Kampagne: erstes Großopfer, Mandiant bestätigt ShinyHunters-Zero-Day
Zusammenfassung: Die im Briefing vom 16. Juni erstmals gemeldete Ausnutzung einer Oracle-PeopleSoft-Lücke durch ShinyHunters hat sich präzisiert und ein erstes bestätigtes Großopfer. Es handelt sich um die unauthentifizierte Remote-Code-Execution CVE-2026-35273 (CVSS 9.8) in der Komponente PSEMHUB von PeopleTools 8.61/8.62. Bei der University of Nottingham sind nach Angaben von Have I Been Pwned rund 455.000 Datensätze betroffen — darunter Namen, Adressen und Passnummern.
Hintergrund & Einordnung: Mandiant attribuiert die Zero-Day-Ausnutzung dem Cluster UNC6240 (ShinyHunters-Umfeld) und datiert sie auf den 27.05.–09.06.; Oracle veröffentlichte den Out-of-Band-Fix am 10.06., die CISA-KEV-Aufnahme erfolgte am 12.06. Google/Mandiant benachrichtigte über 100 Organisationen, davon rund zwei Drittel aus dem Hochschulsektor. Dieser Vorfall ist ausdrücklich von der separat gemeldeten Oracle-CPU-245-Sammelaktualisierung (17.06.) zu unterscheiden — es handelt sich um einen eigenständigen Out-of-Band-Zero-Day.
Praxisfolgen / Handlungsempfehlung: Betreiber von Oracle PeopleSoft müssen den Out-of-Band-Fix umgehend einspielen, die Exposition des PSEMHUB-Endpunkts prüfen und Logs ab Ende Mai forensisch auswerten. Einrichtungen mit großen Personal-/Studierendendatenbeständen sollten Betroffene auf Identitätsdiebstahl-Risiken hinweisen und Meldepflichten nach Art. 33/34 DSGVO prüfen. Der Deutschland-Bezug ist bislang mittelbar (globale Kampagne, bestätigtes Opfer in UK), die eingesetzte Software ist jedoch auch hierzulande im Behörden- und Hochschulbereich verbreitet.
KI & große Sprachmodelle
In den letzten Tagen gab es keine neuen Frontier-Modelle; die Übersicht gibt den Tracker-Stand (u. a. llm-stats.com) wieder, unbestätigte Angaben sind gekennzeichnet.
- xAI: Grok 4.3 ist auf AWS Bedrock allgemein verfügbar (1-Mio-Token-Kontext, konfigurierbare Reasoning-Stufen) — ein Distributionsschritt, kein neues Modell.
- DeepSeek: V4 (Flash/Pro) bei Providern verfügbar; ein größeres V4-Preview ist angekündigt (unbestätigtes Release-Datum).
- Alibaba/Qwen: Qwen 3.7 Max als Flaggschiff gelistet.
- Mistral: Large 3 und Small 4 stehen nun unter Apache-2.0-Lizenz.
- Google: Gemini 3.5 Flash ist seit der I/O (19.05.) allgemein verfügbar; Gemini 3.5 Pro ist angekündigt, aber noch ohne festes Datum/Modell-ID (unbestätigt).
- OpenAI: GPT-5.5-Familie bleibt aktuelles Flaggschiff; kein neues Release im Zeitfenster.
- Anthropic: jüngstes Update Opus 4.8 (großer Standard-Kontext); das eingeschränkte „Mythos“-Programm läuft mit kleinem Partnerkreis weiter.
Datenschutz-/Sicherheitsrelevanz: Maßgeblich bleiben — unabhängig vom Modellstand — Eingabe sensibler Daten, Auftragsverarbeitung und Modell-Hosting.
Ausblick / Termine
- 26.06.2026 (Freitag): Bundesweiter Digitaltag unter dem Motto „Digitale Sicherheit: Verstehen. Vermitteln. Vertrauen.“ (Aktionszeitraum 20.–28.06.), Schwerpunkt Verbraucheraufklärung.
- 31.07.2026: Neue NIS-2-Registrierungsfrist des BSI (siehe Kapitel 1).
- laufend: CISA-KEV-Remediationspflicht für die Oracle-PeopleSoft-Lücke CVE-2026-35273 (siehe Kapitel 6).
- 30.06.–01.07.2026, Berlin: GITEX AI Europe, Leitthema „Digital Sovereignty“.
Methodik
Stichtag dieser Ausgabe ist Dienstag, der 23. Juni 2026; berücksichtigt sind Meldungen der letzten Tage (bei dünner Lage bis sieben Tage zurück, bei Urteilen bis zu acht Wochen ab Verfügbarkeit der schriftlichen Entscheidung), sofern in vorherigen Briefings noch nicht behandelt. Das enge Tagesfenster war dünn; die stärksten Items (NIS-2-Frist, Drupal, CISA-KEV, PeopleSoft-Fortentwicklung) stammen aus dem Rückgriff auf den 15.–19. Juni. Aufgenommen werden ausschließlich über konkrete Deep-Links belegte Sachverhalte; bevorzugt Primärquellen (Behörden, Gerichte, Hersteller-Advisories) und etablierte Fachmedien. Wo nur Übersichts-/Sammelquellen oder JavaScript-gerenderte Behördenseiten vorlagen (VSMK-PDF, CISA-Alert), ist dies kenntlich gemacht. Dieses Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.
Quellenverzeichnis
- heise online — NIS2-Mahnung: BSI setzt neue Frist zur Registrierung bis Ende Juli
- VSMK Potsdam — Beschluss vom 19.06.2026 (PDF)
- Drupal.org — SA-CORE-2026-005 (CVE-2026-55803)
- CISA — KEV-Alert vom 15.06.2026 (CVE-2026-20262, CVE-2026-54420)
- EUR-Lex — Urteil C-232/25 (CELEX 62025CJ0232)
- CSA-Urteilsbibliothek — EuGH C-232/25 (Idziski): Fliegender Gerichtsstand (ur-163)
- The Hacker News — ShinyHunters exploits Oracle PeopleSoft (CVE-2026-35273)
- Help Net Security — Oracle PeopleSoft under attack (CVE-2026-35273)
- Google Cloud / Mandiant — ShinyHunters targets education sector via Oracle exploit
- Digitaltag 2026 — bundesweiter Aktionstag (26.06.)
- LLM Stats — LLM Updates / Model-Releases (Juni 2026)
