Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- Patientendaten aus deutschen Universitätskliniken im Umlauf. Beim Abrechnungsdienstleister unimed in Wadern wurden im April Stammdaten, Diagnosen und Bankverbindungen von inzwischen mehr als 100.000 Privatpatientinnen und -patienten der Unikliniken Freiburg, Heidelberg, Köln, Tübingen und Ulm entwendet. Wer in den vergangenen zwei Jahren dort als Privatversicherte, Wahlleistungspatientin oder Selbstzahlerin behandelt wurde, sollte die nächsten Wochen Rechnungen besonders sorgfältig prüfen und ungewöhnliche Anrufe oder E-Mails mit Klinik- oder Behandlungsbezug zunächst skeptisch behandeln. Die schriftliche Benachrichtigung der Betroffenen durch die Kliniken hat begonnen.
- Phishing-Welle mit Renten-, Deutschlandticket- und Sparkassen-Mails. Verbraucherzentrale und mehrere Banken warnen aktuell vor einer Welle täuschend echter Nachrichten, die zur „Aktualisierung“ angeblicher Rentendaten, zur „Verlängerung“ des Deutschlandtickets oder zur „Bestätigung“ der pushTAN auffordern. Erkennungsmerkmale sind Zeitdruck, Druck auf einen Link sowie ungewöhnliche Absenderadressen, oft aus dem Ausland. Folgen Sie keinen Links aus solchen Nachrichten; rufen Sie Online-Banking, Behördenportale oder Ticket-Apps immer direkt über die offizielle App oder die selbst eingetippte Adresse auf.
- Microsoft Defender wird aktiv angegriffen. Die US-Cybersicherheitsbehörde CISA hat zwei Schwachstellen in Microsoft Defender Antimalware (CVE-2026-41091 und CVE-2026-45498) als aktiv ausgenutzt eingestuft. Privatnutzerinnen und -nutzer müssen meist nichts selbst tun – Windows lädt die Definitions- und Engine-Updates automatisch. Prüfen Sie aber, ob Ihr Windows-Update aktiv ist und ob Defender den Status „aktuell“ meldet; auf älteren oder selten genutzten Rechnern lohnt sich heute ein manueller Neustart und eine Update-Prüfung.
- Höchstrichterliche Urteile setzen Auskunfts-Schadenersatz neue Grenzen. Der Europäische Gerichtshof hat in den vergangenen Wochen klargestellt, dass Auskunftsanträge nach Art. 15 DSGVO im Einzelfall als rechtsmissbräuchlich gewertet werden können, wenn sie offenkundig allein der Provokation von Schadenersatzansprüchen dienen. Für Privatpersonen ändert das wenig: Ein normales Auskunftsbegehren bleibt ausdrücklich zulässig und gebührenfrei. Wer Auskunft will, sollte aber knapp begründen, worüber genau und auf welcher Grundlage er Auskunft begehrt.
Aktuelle Phishing- und Betrugswellen
Der Phishing-Radar der Verbraucherzentrale meldet für die Tage rund um den 25. Mai 2026 eine besonders dichte Welle. Im Mittelpunkt stehen drei Maschen: gefälschte Sparkassen- und Volksbank-Nachrichten, die einen verdächtigen Login melden und zu einer angeblichen Bestätigung über pushTAN auffordern; Schreiben angeblicher Renten- und Sozialversicherungsstellen, die eine Datenaktualisierung verlangen; sowie E-Mails und SMS rund um das Deutschlandticket, die einen drohenden Vertragsabbruch suggerieren. Gemeinsam ist allen Varianten der Zeitdruck und ein Link in eine täuschend gestaltete Eingabemaske.
Eine zweite, schwerer erkennbare Variante kombiniert Phishing mit Telefonanrufen. Nach Eingabe der Online-Banking-Kennung auf einer gefälschten Seite rufen die Täter selbst an, geben sich als „Sicherheitsabteilung“ der Hausbank aus und nutzen die zuvor erbeuteten Daten, um Vertrauen aufzubauen. Anschließend bitten sie um eine pushTAN-Freigabe für eine angebliche Rückbuchung oder Gerätefreigabe – tatsächlich autorisieren Betroffene damit eine Echtzeitüberweisung oder die Übernahme der pushTAN-App auf das Gerät der Angreifer.
Eine dritte Welle zielt auf den öffentlichen Rundfunkbeitrag. Mails, die wie Anschreiben des Beitragsservice aussehen, fordern zur Zahlung einer angeblich offenen Forderung über eine IBAN in Spanien auf. Auch hier hilft die einfache Regel: Behörden und Banken in Deutschland fordern niemals per E-Mail oder SMS zur Eingabe von Kontodaten, Passwörtern oder Freigaben auf, und sie nutzen für offizielle Anschreiben keine ausländischen IBAN-Konten. Im Zweifelsfall die Nachricht ignorieren und über die offiziellen Kanäle direkt nachfragen.
Was war los?
Größtes Thema des Tages bleibt die Datenpanne beim Abrechnungsdienstleister unimed. Inzwischen ist gesichert, dass nicht nur die zunächst gemeldeten 54.000 Patientinnen und Patienten der Uniklinik Freiburg betroffen sind, sondern mit Heidelberg, Köln, Tübingen und Ulm ein bundesweites Bild entsteht; Gesamtzahl mehr als 100.000. Entwendet wurden Stammdaten, Diagnosen, Abrechnungsinformationen und in einigen Fällen Bankverbindungen. Die Krankenversorgung war zu keinem Zeitpunkt beeinträchtigt – der Angriff galt dem externen Dienstleister, nicht den Klinik-IT-Systemen selbst. Datenschutzaufsichten und das BSI sind eingeschaltet, betroffene Patientinnen und Patienten erhalten schriftliche Benachrichtigungen.
Daneben rollt seit Mitte Mai eine bundesweite Phishing-Welle, die sich gegen Bankkundinnen und -kunden, Ticket-Inhaberinnen des Deutschlandtickets und Empfängerinnen von Rentenbenachrichtigungen richtet. Mehrere Sparkassen und Volksbanken haben öffentliche Warnungen herausgegeben. Daneben wurden in den vergangenen Tagen mehrere kritische Schwachstellen in von vielen Mittelständlern eingesetzten Produkten bekannt – darunter Microsoft Defender, Drupal, Ubiquiti UniFi OS und das Open-Source-Verwaltungstool Webmin. Auf Endgeräten von Privatleuten greifen die Patches in der Regel automatisch; im Mittelstand sind dagegen aktive Schritte erforderlich.
Was sich rechtlich geändert hat
Im Datenschutzrecht zeichnen sich zwei Linien ab. Der Europäische Gerichtshof hat in mehreren jüngeren Entscheidungen klargestellt, dass das Auskunftsrecht nach Art. 15 DSGVO zwar grundsätzlich weit zu verstehen ist, sein offenkundig missbräuchlicher Einsatz aber abgewehrt werden darf – insbesondere wenn ein Antrag nur dazu dient, Schadenersatzansprüche zu provozieren. Für die Praxis bedeutet das vor allem für Unternehmen mehr Verteidigungsspielraum gegen serielle „DSGVO-Hopper“; das normale Auskunftsrecht der einzelnen Verbraucherin und des einzelnen Verbrauchers bleibt unangetastet.
Parallel hat das Bundesarbeitsgericht in seiner Workday-Entscheidung den Rahmen für betriebliche Vereinbarungen geschärft: Datenübermittlungen an konzerneigene Cloud-Dienste, die über das hinausgehen, was eine Betriebsvereinbarung erlaubt, sind ohne weitere Rechtsgrundlage rechtswidrig und können – unabhängig von einem konkreten Vermögensschaden – einen immateriellen DSGVO-Schadensersatz auslösen. Beschäftigte erhalten damit ein zusätzliches Hebel, gegen unzulässige Datenflüsse vorzugehen.
IT-Detailansicht für Fachpublikum
Der folgende Teil richtet sich an IT-Verantwortliche, Sicherheits- und Datenschutzbeauftragte. Er enthält eine Management Summary, die Top-Risiken-Box mit Handlungsempfehlungen für heute, sechs Fachkapitel zu Datenschutz, Datensicherheit, IT-Sicherheit, Urteilen, Bußgeldern und Cyber-Sicherheit sowie Ausblick, Methodik und das gemeinsame Quellenverzeichnis. Im Mittelpunkt stehen aktiv ausgenutzte Schwachstellen, die Verarbeiter-Kette unimed, die jüngste höchstrichterliche Rechtsprechung sowie die Enforcement-Phase rund um NIS2.
Top-Themen der Woche
1. Cisco Catalyst SD-WAN Authentication-Bypass (CVE-2026-20182) aktiv ausgenutzt
Eine Authentication-Bypass-Schwachstelle in der DTLS-Peering-Authentifizierung der Cisco Catalyst SD-WAN Controller (vormals vSmart) und SD-WAN Manager (vormals vManage) erlaubt nicht authentifizierten Angreifern aus dem Netz administrative Übernahme der gesamten SD-WAN-Steuerebene. CVSS 10.0, KEV-Eintrag, ein öffentliches Metasploit-Modul ist verfügbar.
Letzte Entwicklung: Cisco Talos schreibt die anhaltenden Angriffe mit hoher Konfidenz dem Cluster UAT-8616 zu. Europäische CSIRTs berichten weiterhin von Scan-Wellen gegen ungepatchte Cluster; das Cisco-Advisory wurde am 24. Mai erneut aktualisiert. BSI-CERT-Bund hat den Hinweis erneuert.
2. Cisco Secure Workload REST-API: CVE-2026-20223
Eine kritische Schwachstelle in der REST-API von Cisco Secure Workload erlaubt nicht authentifizierten Angreifern Befehle mit erhöhten Rechten auszuführen. Cisco führt die Lücke mit hoher Kritikalität; ein Patch steht bereit. Betroffen sind insbesondere Unternehmen mit Workload-Telemetrie und Microsegmentation-Strategie.
Letzte Entwicklung: Bisher keine in-the-wild-Exploitation belegt, aber Proof-of-Concept-Diskussionen in einschlägigen Foren machen ein schnelles Patching dringlich. Borncity und it-boltwise berichten über die Schwere und empfehlen Patch innerhalb von 72 Stunden.
3. Microsoft Defender Antimalware: CVE-2026-41091 und CVE-2026-45498
Microsoft Defender Antimalware enthält zwei aktiv ausgenutzte Schwachstellen: CVE-2026-41091 (Local Privilege Escalation auf SYSTEM, CVSS 7.8) und CVE-2026-45498 (Denial of Service gegen den Defender selbst, CVSS 4.0). Microsoft und CISA bestätigen Ausnutzung; KEV-Frist für US-Bundesbehörden ist der 3. Juni 2026.
Letzte Entwicklung: Microsoft hat die Fixes über Antimalware-Plattform v4.18.26040.7 und Malware-Protection-Engine v1.1.26040.8 ausgerollt. Der Roll-out geschieht im Hintergrund über die regulären Definitionsupdates; in isolierten Umgebungen müssen die Versionen manuell verifiziert werden.
4. Microsoft Exchange OWA Cross-Site-Scripting (CVE-2026-42897) – ohne Patch ausgenutzt
CVE-2026-42897 ist eine XSS-Schwachstelle in Outlook Web Access (Exchange Server 2016, 2019, SE), die durch eine speziell präparierte E-Mail im Browser des Empfängers JavaScript ausführt – ohne Anhang, ohne Klick auf einen Link. Folgen sind Session-Token-Diebstahl, Mailbox-Impersonation und Manipulation von Postfachregeln.
Letzte Entwicklung: Microsoft hat noch keinen vollständigen Code-Patch veröffentlicht; stattdessen werden Mitigations über den Exchange Emergency Mitigation Service (EEMS, Mitigation-ID M2.1.x) automatisch verteilt. Exchange Online ist nicht betroffen. CISA hat den Eintrag am 15. Mai in den KEV-Katalog aufgenommen, Frist 29. Mai 2026.
5. unimed-Datenpanne: über 100.000 Patientendaten deutscher Universitätskliniken kompromittiert
Beim Abrechnungsdienstleister unimed in Wadern wurden im April Daten von inzwischen über 100.000 Patientinnen und Patienten der Universitätskliniken Freiburg (54.000), Heidelberg (30.000), Tübingen, Ulm und Köln entwendet. Betroffen sind primär Privatversicherte und Wahlleistungspatientinnen.
Letzte Entwicklung: Die Kliniken haben mit der schriftlichen Benachrichtigung der Betroffenen begonnen. LfDI Baden-Württemberg und HmbBfDI prüfen Meldepflichten entlang der Auftragsverarbeitungskette. Die Patientenversorgung war zu keinem Zeitpunkt beeinträchtigt; Klinik-IT blieb unberührt.
Management Summary
Die technische Lage am 26. Mai 2026 ist geprägt von einer ungewöhnlich dichten Folge aktiv ausgenutzter Schwachstellen in zentralen Mittelstands- und Konzern-Produkten. CVE-2026-20182 (Cisco Catalyst SD-WAN, Authentication Bypass, CVSS 10.0) und CVE-2026-20223 (Cisco Secure Workload REST-API) treffen die Steuerebene moderner Netzwerk- und Workload-Architekturen, während CVE-2026-41091/45498 (Microsoft Defender) und CVE-2026-42897 (Exchange OWA) Standard-Komponenten der Endpoint- und Mail-Sicherheit angreifen. Microsofts Patch Tuesday vom 13. Mai hat 120 Schwachstellen geschlossen, darunter mehrere kritische RCEs in Office, Word und der Windows-GDI. Bei Ubiquiti UniFi OS (Bulletin 064) sind drei kritische Lücken inklusive zweier unauthentifizierter Pfade dokumentiert, bei Drupal Core wird CVE-2026-9082 seit dem 22. Mai weltweit ausgenutzt. Hinzu kommt die unimed-Datenpanne, die als Lehrstück für Auftragsverarbeiter-Risiken im Gesundheitswesen wirkt: Klinik-IT war nicht betroffen, die Daten gingen über einen externen Abrechner verloren.
Auf der datenschutz- und rechtsbezogenen Seite dominieren drei Linien. Erstens hat der Europäische Gerichtshof im Verfahren C-526/24 (Brillen Rottler) die Tür für die Abwehr offenkundig missbräuchlicher Auskunftsanträge geöffnet, ohne das reguläre Auskunftsrecht zu schwächen. Zweitens hat das Bundesarbeitsgericht in seiner Workday-Entscheidung (8 AZR 209/21) den Grundsatz bestätigt, dass über eine Betriebsvereinbarung hinausgehende Datenübermittlungen einen ersatzfähigen Kontrollverlust auslösen können. Drittens wirkt der BfDI-Tätigkeitsbericht 2025 mit 11.824 Eingaben (+36 Prozent) und der 45-Millionen-Euro-Geldbuße gegen Vodafone als Signal, dass die Aufsicht ihre Schlagzahl deutlich erhöht hat. Parallel ist NIS2 seit Anfang Mai in der operativen Enforcement-Phase angekommen, mit förmlichen Anschreiben des BSI an säumige Registrierungspflichtige.
Die wichtigsten Punkte im Überblick
- Drei aktiv ausgenutzte KEV-Einträge mit DE-Relevanz: Cisco SD-WAN (CVE-2026-20182), Microsoft Defender (CVE-2026-41091/45498), Microsoft Exchange OWA (CVE-2026-42897).
- unimed-Datenpanne weitet sich aus: über 100.000 Patientendaten der Unikliniken BW/Köln/Heidelberg/Ulm; Auftragsverarbeiter-Risiko realisiert.
- EuGH C-526/24: Auskunftsanträge können im Einzelfall missbräuchlich sein – Verteidigungslinie gegen serielles „DSGVO-Hopping“ gestärkt.
- BAG 8 AZR 209/21: Über Betriebsvereinbarung hinausgehende Konzern-Datenübermittlungen lösen DSGVO-Schadenersatz aus.
- BfDI 34. Tätigkeitsbericht: 11.824 Eingaben in 2025 (+36 Prozent), 45-Millionen-Euro-Bußgeld gegen Vodafone, Folgeprüfung angekündigt.
- NIS2 in der Enforcement-Phase: BSI versendet erste förmliche Mitteilungen an säumige Registrierungspflichtige; etwa 60 Prozent der pflichtigen Unternehmen noch nicht registriert.
- Drupal Core CVE-2026-9082 (PostgreSQL-Sites): laut Imperva >15.000 Exploit-Versuche gegen ~6.000 Sites in 65 Ländern in 48 Stunden.
- Ubiquiti UniFi OS Bulletin 064 (CVE-2026-34908/34909): zwei kritische unauthentifizierte Lücken, Update auf UniFi OS Server 5.0.8 dringend.
Top-Risiken – Handlungsempfehlungen für heute
- Cisco Catalyst SD-WAN sofort patchen. Update auf 20.9.9.1, 20.12.7.1, 20.15.5.2, 20.18.2.2 oder 26.1.1.1 einspielen; Workarounds nicht als Ersatz betrachten.
- Cisco Secure Workload (CVE-2026-20223) patchen – Frist 72 Stunden, REST-API auf externer Schnittstelle ggf. zusätzlich segmentieren.
- Microsoft Defender prüfen: Antimalware-Plattform mindestens v4.18.26040.7, Malware-Protection-Engine ≥ v1.1.26040.8; in isolierten Netzwerken manuelle Verifizierung.
- Exchange Server 2016/2019/SE on-premise: EEMS aktiviert lassen, M2.1.x verteilen; OWA-Risiko Postfachregeln und Session-Hijacking aktiv überwachen.
- UniFi OS Server auf Version 5.0.8 oder höher anheben; Management-Interface von öffentlichen Netzen trennen.
- Drupal Core (PostgreSQL-Sites) auf 11.3.10, 11.2.12, 11.1.10, 10.6.9, 10.5.10 oder 10.4.10 aktualisieren; vorgelagerte WAF-Regeln gegen die bekannten Payload-Muster aktivieren.
- Webmin auf 2.640 oder höher aktualisieren; bis dahin keine externen Webmin-Erreichbarkeiten zulassen.
- Auftragsverarbeiter-Audit: Anlässlich unimed Vertragsstand zu IT-Sicherheits-Audit, Meldekette und Verschlüsselung mit allen abrechnungs- und gesundheitsbezogenen Dienstleistern abgleichen.
- NIS2-Registrierung verifizieren: Falls einrichtungspflichtig und noch nicht registriert, ist eine BSI-Meldung zeitnah nachzuholen; Geschäftsleitung über persönliche Haftung nach § 38 BSIG informieren.
1. Datenschutz
Im Datenschutzkapitel dominieren am 26. Mai 2026 drei Themen: die laufende Auseinandersetzung um die unimed-Verarbeiterkette mit Beteiligung von LfDI Baden-Württemberg und HmbBfDI, der Tätigkeitsbericht 2025 der BfDI mit Rekordwerten bei Beschwerden und Bußgeldern, sowie die nach wie vor diskutierte Rückzugsankündigung von Bundesdatenschutzbeauftragter Prof. Dr. Specht-Riemenschneider. Hinzu kommen Entwicklungen rund um die EDSA-Leitlinien zur Pseudonymisierung, die für die Praxis weiterhin Maßstab bei Trainingsdaten und Pseudonymisierungslösungen sind.
1.1 BfDI – 34. Tätigkeitsbericht: 11.824 Eingaben in 2025, +36 Prozent gegenüber dem Vorjahr
Zusammenfassung: Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Prof. Dr. Louisa Specht-Riemenschneider, hat ihren 34. Tätigkeitsbericht für das Jahr 2025 vorgelegt. Die Behörde verzeichnete 11.824 Eingaben, darunter Beschwerden und Anfragen – ein Anstieg um rund 36 Prozent gegenüber 2024 und rund 52 Prozent gegenüber 2023. 80 Vor-Ort-Prüfungen und 40 schriftliche Prüfungen wurden durchgeführt; insgesamt 129 förmliche Aufsichtsmaßnahmen.
Hintergrund & Einordnung: Der Bericht beschreibt eine deutliche Verschiebung weg von beratenden Tätigkeiten hin zu Aufsicht und Sanktionen. Das markanteste Einzelverfahren des Jahres ist das gegen Vodafone GmbH, in dem die BfDI zwei Geldbußen in Höhe von zusammen 45 Millionen Euro verhängte – 15 Millionen Euro wegen unzureichender Auftragsverarbeiter-Kontrolle und 30 Millionen Euro wegen Sicherheitsmängeln in der MeinVodafone-eSIM-Authentifizierung. Eine Folgeprüfung bei Vodafone wurde für 2026 angekündigt.
Praxisfolgen / Handlungsempfehlung: Aufsichtsbehörden in Deutschland verlassen den reinen Aufklärungsmodus. Unternehmen sollten die Bußgeldbegründung gegen Vodafone als Maßstab nehmen und drei Punkte prüfen: erstens das Auftragsverarbeiter-Management (Auswahl, Verträge, Kontrollen), zweitens die Stärke kundenseitiger Authentifizierung (Stichwort eSIM/Self-Service-Portale), drittens die Geschwindigkeit der eigenen Meldewege. Die BfDI hat für 2026 KI-Regulierung, Nachrichtendienstaufsicht und Vodafone-Folgeprüfung als Schwerpunkte benannt.
1.2 unimed-Verarbeiterkette: LfDI BW und HmbBfDI prüfen Meldepflichtverletzungen
Zusammenfassung: Die Datenpanne beim Abrechnungsdienstleister unimed (Wadern) weitet sich aus. Nach inzwischen vorliegenden Zahlen sind über 100.000 Patientinnen und Patienten betroffen, verteilt insbesondere auf die Universitätskliniken Freiburg (54.000), Köln (rund 30.000) sowie Heidelberg, Tübingen und Ulm. Entwendet wurden Stammdaten, Diagnosen, Abrechnungsinformationen und – in einer kleineren Teilmenge – Bankverbindungen.
Hintergrund & Einordnung: Der Angriff erfolgte am 14. April 2026 gegen das System des Auftragsverarbeiters, nicht gegen die Klinik-IT. Behördliche Information an die zuständige Datenschutzaufsicht und das BSI erfolgte am 16. April. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit sowie der LfDI Baden-Württemberg prüfen, ob die Meldewege entlang der Auftragsverarbeitungs-Kette zwischen unimed und den Kliniken vollständig und fristgerecht eingehalten wurden. Damit rückt § 33 DSGVO – insbesondere die 72-Stunden-Frist – ins Zentrum.
Praxisfolgen / Handlungsempfehlung: Gesundheitseinrichtungen sollten ihre Auftragsverarbeitungs-Verträge mit externen Abrechnern, MVZ-Dienstleistern und Privatabrechnungs-Spezialisten kurzfristig auf Aktualität prüfen und insbesondere die TOM-Anlagen, die Subunternehmer-Listen sowie die Sub-AV-Meldewege spiegeln. Die schriftliche Benachrichtigung der Betroffenen nach Art. 34 DSGVO sollte – in Anlehnung an die Vorgehensweise der Unikliniken – über die Klinik selbst und nicht nur über den Dienstleister erfolgen, um Vertrauensverlust und Hilfsangebote koordiniert zu adressieren.
1.3 Specht-Riemenschneider bleibt geschäftsführend im Amt – Übergang offen
Zusammenfassung: Bundesdatenschutzbeauftragte Prof. Dr. Louisa Specht-Riemenschneider hat im März 2026 aus gesundheitlichen Gründen ihren Rückzug angekündigt. Sie bleibt geschäftsführend im Amt, bis ein Nachfolger gefunden ist – mit Verweis darauf, dass das Amt auch übergangsweise nicht vakant sein dürfe. Mehrere Gesetzgebungsverfahren stehen in den nächsten Wochen an, darunter die geplante DSGVO-Reform.
Hintergrund & Einordnung: Mit dem Tätigkeitsbericht 2025 hat sie ihre Amtsführung programmatisch dokumentiert. Politisch ist offen, wie schnell der Bundestag eine Nachfolge bestellt; Bündnis 90/Die Grünen und der BVDW haben sich öffentlich zur Bedeutung einer raschen Klärung geäußert. Bis dahin bleiben Aufsichtskontinuität und laufende Verfahren – auch das Vodafone-Folgeprüfungsverfahren – in der Verantwortung der amtierenden Behördenleitung.
Praxisfolgen / Handlungsempfehlung: Der Rückzug ändert kurzfristig nichts an Aufsichtspraxis oder Bußgeldlinie. Mittelfristig ist mit einer Nachfolgepersonalie zu rechnen, die Schwerpunkte verschieben kann – insbesondere bei KI-Aufsicht, Nachrichtendienstaufsicht und der Auftragsverarbeiter-Kontrolle. Datenschutzbeauftragte sollten ihre Compliance-Roadmaps so aufstellen, dass sie kurzfristig auf Schwerpunktverschiebungen reagieren können.
1.4 EDSA-Leitlinien 01/2025 zur Pseudonymisierung – weiterhin Maßstab für Trainingsdaten
Zusammenfassung: Der Europäische Datenschutzausschuss (EDSA) hat seine Leitlinien 01/2025 zur Pseudonymisierung im Januar 2025 angenommen; die finale Fassung ist im Verlauf des Jahres 2025 abgeschlossen worden. Sie konkretisieren, wann pseudonymisierte Daten weiterhin als personenbezogen gelten, wie Schlüsseltrennung umzusetzen ist und welche Beiträge Pseudonymisierung zu Art. 5, 25 und 32 DSGVO leistet.
Hintergrund & Einordnung: Für KI-Trainingsdaten und für Forschungs-Kontexte sind die Leitlinien praktisch das wichtigste Referenzdokument der vergangenen Jahre. Sie machen deutlich, dass Pseudonymisierung das Risiko reduziert, die Personenbezogenheit aber im Empfängerkreis nur dann entfällt, wenn auch dort keine Reidentifizierung mit zumutbarem Aufwand möglich ist. Daraus folgt eine strenge Anforderung an den Aufbau organisatorischer Trennung zwischen Schlüsselhaltern und Datenverwendern.
Praxisfolgen / Handlungsempfehlung: Unternehmen mit eigener KI-Pipeline oder mit externen KI-Trainingsdienstleistern sollten ihre Datenschutz-Folgenabschätzungen am EDSA-Maßstab spiegeln und im Auftragsverarbeitungsvertrag explizit regeln, wer Schlüsselhalter ist, wie der Zugriff auf das Schlüsselmaterial protokolliert wird und wie die Trennung zwischen Trainings- und Produktivdaten aufrechterhalten wird. Im Streitfall ist die Frage der Reidentifizierungs-Schwelle der zentrale Hebel.
2. Datensicherheit
Auf der Datensicherheits-Seite stehen heute die unimed-Datenpanne mit ihren Folgen für das Verarbeiter-Risiko, die Panasonic-Avionics-Erpressung durch die Gruppe Coinbase Cartel sowie die zunehmende Verschiebung von verschlüsselnden Ransomware-Operationen hin zu Daten-Diebstahl mit Erpressungs-Timer im Mittelpunkt. Der gemeinsame Nenner ist, dass die wertvollste Beute selten der Klinik-Server oder das ERP-System selbst ist, sondern die dahinterliegenden Vertrauens- und Verarbeitungsschichten.
2.1 unimed-Datenpanne: Benachrichtigungswelle der Kliniken läuft
Zusammenfassung: Die im April 2026 erfolgte Datenexfiltration beim Abrechnungsdienstleister unimed wirkt sich bundesweit aus. Aktueller Stand: mehr als 100.000 betroffene Patientinnen und Patienten, primär aus den Kreisen Privatpatienten, Wahlleistungs- und Selbstzahler-Patienten. Datenkategorien umfassen Stammdaten, Diagnosen, Behandlungs- und Abrechnungsdetails sowie in einer Teilmenge Bankverbindungen.
Hintergrund & Einordnung: Der Angriff zielte auf den Auftragsverarbeiter, nicht auf die Klinik-IT. unimed ging zunächst von einer reinen Verschlüsselungsaktion aus; die Forensik ergab jedoch eine substanzielle Exfiltration. Klinikseitig sind Heidelberg (rund 30.000 Betroffene), Freiburg (54.000), Köln, Tübingen und Ulm bestätigt. Die Datenschutzaufsicht und das BSI sind seit 16. April involviert. Das Modell – Angriff über den schwächer geschützten Verarbeiter – ist im Gesundheitswesen typisch, weil die Datenintensität der Privatabrechnung kombiniert mit oft schmaler IT-Mannschaft besonders attraktive Angriffsflächen schafft.
Praxisfolgen / Handlungsempfehlung: Gesundheitseinrichtungen sollten ihre Privatabrechnungs- und MVZ-Dienstleister im laufenden Quartal nachprüfen: aktuelle Pen-Test-Berichte, ISO/IEC 27001-Zertifikate, dokumentierte Backup-Konzepte und Übungen zur Wiederanlauf-Fähigkeit. Im Vertragsrecht ist die Audit-Klausel scharf zu fassen; in der Praxis sind ad-hoc-Audits in einem klar definierten Eskalationsfall jetzt das entscheidende Druckmittel. Privatpatientinnen und Patienten sollten zudem auf Phishing-Anrufe und gefälschte Rechnungen vorbereitet werden.
2.2 Panasonic Avionics auf CoinbaseCartel-Leak-Site – GitHub-Token-Erpressung
Zusammenfassung: Die Erpresser-Gruppe Coinbase Cartel hat Panasonic Avionics Corporation – die In-Flight-Entertainment-Sparte von Panasonic – auf ihrer Leak-Site veröffentlicht. Das Listing folgt dem Muster der Gruppe: keine Verschlüsselung, keine Betriebsstörung, sondern saubere Datenexfiltration mit gestaffelter Veröffentlichungs-Timeline.
Hintergrund & Einordnung: Coinbase Cartel ist seit September 2025 öffentlich beobachtet. Die Gruppe bezieht den Großteil ihrer initialen Zugänge aus Infostealer-Märkten und aus offengelegten GitHub-Token, mit denen sich Repositories, CI/CD-Systeme und Build-Pipelines kompromittieren lassen. Im Mai 2026 wurde dieser Modus operandi besonders sichtbar: Bereits Grafana Labs hatte am 18. Mai einen Vorfall über einen entwendeten GitHub-Token bestätigt. Panasonic Avionics ergänzt die Liste prominenter Opfer. Die Erpresser-Mechanik (48 Stunden Reaktionsfrist, 10 Tage Zahlungsfenster) erzeugt Druck ohne klassische Verschlüsselung.
Praxisfolgen / Handlungsempfehlung: Unternehmen sollten ihren Umgang mit Source-Code-Tokens grundlegend prüfen. Empfehlungen: kurzlebige Token statt langlebiger Personal Access Tokens, lückenlose Inventur über alle GitHub-Apps und -Actions, Pflicht zu Push-Protection und Secret-Scanning, sowie eine Rotationspolitik bei wechselnden Drittentwicklern. Daneben gehört die Erkennung im Infostealer-Marktplatz (Telegram, Russian Market, Genesis-Nachfolger) in die Threat-Intelligence-Pipeline.
2.3 Ransomware-Trends 2026: Datendiebstahl löst Verschlüsselung ab
Zusammenfassung: Mehrere Threat-Intelligence-Anbieter dokumentieren für 2026 eine deutliche Verschiebung: Erpresserische Gruppen wie Coinbase Cartel verzichten zunehmend auf Verschlüsselung und konzentrieren sich auf gezielten Datendiebstahl. Vorteile aus Sicht der Angreifer: kürzere Verweildauer, geringere Detektions-Wahrscheinlichkeit, leiserer Footprint.
Hintergrund & Einordnung: Die Verschiebung ist konsistent mit dem zunehmenden Erfolg von EDR/XDR-Detektion gegen Krypto-Operationen und mit der gesunkenen Zahlungsbereitschaft nach Verschlüsselungsvorfällen. Wer „nur“ exfiltriert, vermeidet die offensichtlichste Detektion (Massen-Datei-Renaming, Krypto-Calls) und kombiniert dies mit Druck auf Daten-Veröffentlichung. Energie-, Gesundheits- und mittelständische Industrie-Unternehmen waren laut Berichten besonders betroffen.
Praxisfolgen / Handlungsempfehlung: Defensiv heißt das: stärkere Fokussierung auf Data-Loss-Prevention, Egress-Monitoring (DNS, HTTPS-CONNECT, große SaaS-Uploads), Erkennung anomaler Datenbankzugriffe, und vor allem die Härtung von Identity Providern und CI/CD-Pipelines. Backups bleiben wichtig, schützen aber gegen reine Veröffentlichung nicht. Aktive Übungen müssen das Szenario „Daten weg, Systeme laufen“ abdecken.
3. IT-Sicherheit
Die operative IT-Sicherheitslage am 26. Mai 2026 ist ungewöhnlich dicht. CISA hat zwischen dem 15. und 21. Mai zehn Einträge in den KEV-Katalog aufgenommen, darunter Microsoft Exchange OWA, Cisco Catalyst SD-WAN, Microsoft Defender und Trend Micro Apex One. Daneben rollt der Mai-Patchday Microsofts mit 120 Schwachstellen ohne Zero-Day, sowie kritische Updates für Ubiquiti UniFi OS und Drupal Core auf PostgreSQL. Auf der SonicWall-Seite zeigt sich eine Patch-Bypass-Geschichte, die manuelle Konfiguration erzwingt.
3.1 Cisco Catalyst SD-WAN: CVE-2026-20182, CVSS 10.0, weiter aktiv ausgenutzt
Zusammenfassung: Die Authentication-Bypass-Schwachstelle in der DTLS-Peering-Authentifizierung (UDP 12346) der Cisco Catalyst SD-WAN Controller und Manager wird weiterhin aktiv ausgenutzt. Cisco führt die Aktivität dem Cluster UAT-8616 zu. Patches sind in 20.9.9.1, 20.12.7.1, 20.15.5.2, 20.18.2.2 und 26.1.1.1 enthalten.
Hintergrund & Einordnung: Die Lücke ist deshalb so kritisch, weil sie nicht eine Edge-Komponente, sondern die Steuerebene moderner SD-WAN-Topologien trifft. Wer hier Administrative Zugriffe erlangt, beherrscht das Routing, kann Tunnel umlenken, Telemetriedaten manipulieren und Verschlüsselung selektiv kompromittieren. Das öffentliche Metasploit-Modul senkt die Hürde für massenhafte Ausnutzung. Europäische CSIRTs melden anhaltende Scan-Wellen.
Praxisfolgen / Handlungsempfehlung: Sofortpatch ist alternativlos. Workarounds (eingeschränkter DTLS-Zugang über ACL) sind nur Notbehelf und ersetzen keinen Versions-Update. Nach dem Patch ist eine Kompromittierungsprüfung sinnvoll: anomale vEdge-Login-Versuche, neue Templates, geänderte Policy-Pushes, ungewöhnliche OMP-Routen. Den BSI-CERT-Bund-Hinweis als interne Bestätigung für Stakeholder verwenden.
3.2 Microsoft Exchange OWA: CVE-2026-42897 – aktive Ausnutzung ohne Code-Patch
Zusammenfassung: CVE-2026-42897 ist eine XSS-Schwachstelle in Outlook Web Access, die durch eine speziell präparierte E-Mail im OWA-Kontext JavaScript ausführt. Die Folgen reichen von Session-Token-Diebstahl über Mailbox-Impersonation bis zur Manipulation von Postfachregeln. Microsoft hat noch keinen Code-Patch, sondern eine EEMS-Mitigation (M2.1.x) ausgerollt.
Hintergrund & Einordnung: Die Klasse XSS in OWA ist seit Jahren ein wiederkehrendes Thema; neu ist hier, dass die Ausnutzung praktisch interaktionsfrei ist (Anzeige der E-Mail genügt) und das Postfach-Regel-Setup attraktiv für Angreifer macht – etwa für stille Weiterleitungen, BEC und für Persistenz im O365-Hybrid-Setup. Exchange Online ist nicht betroffen, was die Lücke vor allem in mittelständischen Hybrid-Umgebungen und in regulierten on-premise-Setups akut macht.
Praxisfolgen / Handlungsempfehlung: EEMS bleibt aktiv; die Mitigation-IDs M2.1.x sind zu verteilen. Postfachregel-Telemetrie aktivieren und auf anomale Weiterleitungen prüfen. Sitzungs-Tokens regelmäßig invalidieren, OWA-Session-Lifetime kürzer setzen, MFA für OWA durchgängig erzwingen. Endnutzer-Sensibilisierung für „seltsame“ Mail-Anzeigen lohnt sich, ist aber nicht der primäre Schutz.
3.3 Microsoft Defender: CVE-2026-41091 (LPE) und CVE-2026-45498 (DoS)
Zusammenfassung: CISA hat am 20. Mai sieben Schwachstellen in den KEV-Katalog aufgenommen, darunter zwei Microsoft Defender-Lücken: CVE-2026-41091 (LPE auf SYSTEM-Ebene, CVSS 7.8) und CVE-2026-45498 (Defender-DoS, CVSS 4.0). Beide werden in-the-wild ausgenutzt. KEV-Frist für US-Bundesbehörden: 3. Juni 2026.
Hintergrund & Einordnung: CVE-2026-41091 nutzt unsachgemäße Symlink-Auflösung in der Malware-Protection-Engine; ein lokaler Angreifer kann darüber SYSTEM-Privilegien erlangen. CVE-2026-45498 versetzt Defender in einen DoS-Zustand und entwertet damit den Schutz. Fixes liegen in Antimalware-Plattform v4.18.26040.7 (für CVE-2026-45498) und Malware-Protection-Engine v1.1.26040.8 (für CVE-2026-41091 sowie für CVE-2026-45584 RCE).
Praxisfolgen / Handlungsempfehlung: In Standard-Windows-Umgebungen verteilen sich die Definitionen automatisch. Air-gapped, regulierte oder Server-Core-Systeme erfordern manuelle Verifizierung. Asset-Manager sollten gezielt nach Antimalware-Plattform-Versionen und Engine-Versionen abfragen und das Ergebnis berichten. Detektions-Telemetrie auf „Defender stopped/disabled“-Events aktiv überwachen.
3.4 Drupal Core CVE-2026-9082: SQL-Injection auf PostgreSQL aktiv ausgenutzt
Zusammenfassung: CVE-2026-9082 ist eine als „Highly Critical“ eingestufte SQL-Injection im PostgreSQL-EntityQuery-Condition-Handler von Drupal Core. Anonyme Angreifer können über speziell formulierte Anfragen beliebige SQL-Anweisungen einschleusen. Imperva meldet in den ersten 48 Stunden mehr als 15.000 Exploit-Versuche gegen rund 6.000 Sites in 65 Ländern.
Hintergrund & Einordnung: Betroffen sind Drupal-Versionen 8.9 bis 11.3.9, soweit die zugrundeliegende Datenbank PostgreSQL ist. Sites auf MySQL/MariaDB sind laut Maintainer nicht betroffen. Patches stehen in 11.3.10, 11.2.12, 11.1.10, 10.6.9, 10.5.10 und 10.4.10 bereit. Die Lücke kann je nach Privilegien des Datenbank-Users zu Informationsabfluss, Privilegieneskalation oder Remote Code Execution führen.
Praxisfolgen / Handlungsempfehlung: Drupal-Sites auf PostgreSQL kurzfristig aktualisieren. Vorgelagerte WAF-Regeln gegen die bekannten Payload-Muster aktivieren (Anbieter wie Imperva, Cloudflare, Akamai haben Signaturen). Log-Auswertung: nach 200-Antworten auf ungewöhnliche EntityQuery-Pfade und gegen die /jsonapi/-Endpunkte filtern. Bei Auffälligkeiten Datenbank-Audit (Schreibrechte des Webuser, neue Admin-Accounts).
3.5 Ubiquiti UniFi OS Bulletin 064: drei kritische CVEs, davon zwei unauthentifiziert
Zusammenfassung: Ubiquiti hat am 21. Mai 2026 das Security-Advisory-Bulletin 064 veröffentlicht. Es adressiert drei kritische und eine hochkritische Schwachstelle im UniFi-OS-Server, der UDM-, UNVR- und UNAS-Geräte steuert. CVE-2026-34908 (Improper Access Control) und CVE-2026-34909 (Path Traversal) sind nicht authentifiziert und über das Management-Interface ausnutzbar.
Hintergrund & Einordnung: Betroffen ist UniFi OS Server Version 5.0.6 und früher; Patch in 5.0.8 oder höher. Wo das Management-Interface aus dem Internet erreichbar ist – häufig in kleineren Standorten und SMB-Setups – ist eine vollständige Gerätekompromittierung möglich. Das Risiko strahlt auf alle vom UniFi-Stack abhängigen Komponenten aus (Switches, APs, Video-Recorder, NAS).
Praxisfolgen / Handlungsempfehlung: Sofortpatch auf 5.0.8 oder höher. Das Management-Interface über VPN, Tailscale oder ähnliche Zero-Trust-Setups abschotten. Wer UniFi für Filialnetzwerke einsetzt, sollte eine vollständige Inventur durchführen und gepatchte vs. ungepatchte Geräte sauber dokumentieren.
3.6 Webmin CVE-2026-42210: Privilege Escalation und 2FA-Bypass (CVSS 9.8)
Zusammenfassung: Das BSI hat am 17. Mai eine Warnung zu Webmin veröffentlicht. CVE-2026-42210 erlaubt nicht-vertrauenswürdigen Webmin-Usern, Befehle als root auszuführen, unabhängig davon, welche Module ihnen zugeordnet sind, und enthält zusätzlich einen 2FA-Bypass via Basic Auth. CVSS 9.8 (kritisch). Fix in 2.640 und neuer.
Hintergrund & Einordnung: Webmin wird oft auf kleinen Linux/UNIX-Servern als Web-Verwaltung eingesetzt. Mehrbenutzer-Webmin-Setups (etwa bei Hostern oder kleinen MSPs) sind besonders exponiert. Die Kombination aus Privilege-Escalation und 2FA-Bypass macht eine vollständige Server-Übernahme realistisch.
Praxisfolgen / Handlungsempfehlung: Sofort auf Webmin 2.640 oder höher aktualisieren. Falls nicht möglich: Webmin auf 127.0.0.1 binden und nur über SSH-Tunnel oder VPN exponieren. Logfiles auf ungewöhnliche /help/-Aufrufe und auf basic-auth-Anmeldungen prüfen.
3.7 SonicWall SSL-VPN: Patch-Bypass für MFA, manuelle LDAP-Schritte erforderlich
Zusammenfassung: Angreifer brute-forcen weiterhin SonicWall-VPN-Zugänge und umgehen MFA auf Gen6-SSL-VPN-Appliances trotz nominell installierter Patches. Ursache ist CVE-2024-12802: das alleinige Einspielen des Firmware-Updates reicht nicht; eine manuelle Rekonfiguration des LDAP-Servers ist erforderlich. ReliaQuest dokumentiert Angriffe zwischen Februar und März, jetzt im Mai erneut bestätigt.
Hintergrund & Einordnung: SonicWall hatte in seinem Advisory ausdrücklich darauf hingewiesen, dass auf Gen6-Geräten zusätzliche Konfigurationsschritte notwendig sind. In der Praxis sieht das gepatchte Gerät „grün“ aus, ist aber weiterhin angreifbar, wenn der LDAP-UPN-Pfad ohne MFA bleibt. Login-Logs erscheinen normal; einziger nutzbarer Indikator ist die Session-Markierung sess=“CLI“.
Praxisfolgen / Handlungsempfehlung: SonicWall Gen6 SSL-VPN-Betreiber müssen die LDAP-Konfiguration explizit verifizieren, MFA-Erzwingung für alle Login-Formate (insbesondere UPN) konfigurieren und nach sess=“CLI“-Signalen in den Logs suchen. Wo möglich auf Gen7-Hardware oder externe Identitätsprovider mit erzwungener MFA migrieren.
4. Urteile
Die jüngsten höchstrichterlichen Urteile justieren das Verhältnis zwischen DSGVO-Auskunftsrecht, DSGVO-Schadensersatz und betrieblichen Datenflüssen neu. Drei Entscheidungen prägen das Bild am 26. Mai 2026: der EuGH zu Auskunftsmissbrauch (C-526/24, Brillen Rottler), das BAG zur Workday-Übermittlung (8 AZR 209/21) und der EuGH zur Begrenzung von DSGVO-Verbandsklagen gegen Tech-Konzerne (C-797/23, Meta Platforms Ireland).
4.1 EuGH C-526/24 – Brillen Rottler: Auskunftsrecht und Rechtsmissbrauch
Sachverhalt: Ein Verbraucher hatte über mehrere Unternehmen hinweg systematisch Newsletter abonniert und kurze Zeit später Auskunftsanträge nach Art. 15 DSGVO gestellt. Bei kleinsten Bearbeitungsverzögerungen oder Auskunftslücken forderte er pauschal DSGVO-Schadenersatz, regelmäßig in Höhe von 1.000 EUR. Beklagte war die Brillen Rottler GmbH.
Entscheidung: Der EuGH stellt klar, dass bereits der erste Auskunftsantrag eines Nutzers im Einzelfall als „exzessiv“ im Sinne von Art. 12 Abs. 5 DSGVO eingestuft werden kann, wenn er erkennbar nicht der Überprüfung der Rechtmäßigkeit dient, sondern allein der Provokation von Schadenersatz. Der Verantwortliche trägt die Beweislast für den missbräuchlichen Charakter.
Begründungs-Kernpunkte: Erstens ist das Auskunftsrecht zentrales Mittel zur Wahrnehmung weiterer Betroffenenrechte; Beschränkungen müssen restriktiv ausgelegt werden. Zweitens kann jedoch ein systematisches, künstlich konstruiertes Antragsverhalten den Schutzzweck verfehlen. Drittens ist immaterieller Schaden nach Art. 82 DSGVO nicht bereits durch den DSGVO-Verstoß per se gegeben; ein konkreter, nicht nur hypothetischer Schaden muss dargelegt werden.
Praxisfolgen: Unternehmen erhalten eine belastbare Verteidigungslinie gegen serielles „DSGVO-Hopping“. Voraussetzung ist eine sorgfältige Dokumentation des Antragsmusters: zeitliche Nähe zu Newsletter-Anmeldungen, parallele Anträge gegen mehrere Unternehmen, Form und Inhalt der Schadenersatzforderung. Reguläre Auskunftsanträge sind weiterhin innerhalb der Monatsfrist und ohne Rechtfertigungspflicht zu beantworten.
4.2 BAG 8 AZR 209/21 – Workday: Schadensersatz bei überschießender Konzern-Datenübermittlung
Sachverhalt: Eine Konzernmutter führte 2017 das HR-Cloudsystem Workday gemeinsam mit dem Betriebsrat ein. Die Betriebsvereinbarung erlaubte die Übermittlung bestimmter Datenkategorien (Name, Eintritt, Arbeitsort, Unternehmen, dienstliche Telefonnummer, E-Mail). Tatsächlich übermittelt wurden darüber hinaus auch Gehaltsdaten, Privatadresse, Geburtsdatum, Familienstand, Sozialversicherungsnummer und Steuer-ID.
Entscheidung: Das BAG hat dem Kläger 200 EUR immateriellen Schadenersatz nach Art. 82 DSGVO zugesprochen. Die über die Betriebsvereinbarung hinausgehende Datenübermittlung war nicht durch Art. 6 Abs. 1 lit. f DSGVO gedeckt und damit rechtswidrig.
Begründungs-Kernpunkte: Die Betriebsvereinbarung kann eine Erlaubnis im Sinne der DSGVO darstellen, aber nur innerhalb ihres Wortlauts. Der immaterielle Schaden besteht im Kontrollverlust über personenbezogene Daten, ausgelöst durch die unrechtmäßige Übermittlung an die Muttergesellschaft. Eine Erheblichkeitsschwelle ist nicht erforderlich.
Praxisfolgen: Konzern-Implementierungen von HR-Cloud-Systemen wie Workday, SAP SuccessFactors oder Oracle HCM müssen ihre Datenflüsse exakt entlang der jeweiligen Betriebsvereinbarung dokumentieren. Vor jedem zusätzlichen Datenfeld ist eine Anpassung der Betriebsvereinbarung notwendig. Schadensersatzklagen werden für Arbeitgeber kalkulierbar – pro Mitarbeitenden sind Beträge im niedrigen dreistelligen Eurobereich realistisch, in der Summe können sie aber sechs- bis siebenstellig werden.
4.3 EuGH C-797/23 – Meta Platforms Ireland: Grenzen der Verbandsklage
Sachverhalt: Eine Verbraucherschutzorganisation hatte Meta Platforms Ireland in Anlehnung an die Vorgaben des EuGH-Urteils Meta Platforms Ireland I auf Unterlassung und Schadensersatz wegen unzureichender Datenschutzpraktiken in Anspruch genommen.
Entscheidung: Der EuGH zieht die Linien für die Aktivlegitimation und die Reichweite kollektiver Klagen enger. Verbandsklagen sind weiterhin möglich, aber Beweis- und Substantiierungsanforderungen werden geschärft, insbesondere zum konkreten Schaden der einzelnen Betroffenen.
Begründungs-Kernpunkte: Die DSGVO erlaubt nationalen Rechtsordnungen Verbandsklagen, verlangt aber zugleich, dass der Schaden der Einzelnen über ein bloßes „strukturelles Unbehagen“ hinausgeht und dass die Betroffenheit der Klägergruppe ausreichend konkretisiert ist.
Praxisfolgen: Tech-Konzerne erhalten einen prozessualen Hebel gegen Sammelverfahren, die nicht hinreichend belegt sind. Verbraucherschutz-Vereinigungen und qualifizierte Einrichtungen müssen ihre Klagen künftig konkreter aufstellen. Für Unternehmen relevant ist dies vor allem im Zusammenspiel mit dem Verbandsklagengesetz (VDuG): Beweisanforderungen wirken disziplinierend.
5. Bußgelder
Die Bußgeldlage 2026 ist von der Vodafone-Entscheidung der BfDI geprägt. Mit insgesamt 45 Millionen Euro markiert sie das höchste je gegen ein deutsches Telekommunikationsunternehmen verhängte DSGVO-Bußgeld. Daneben wirkt das angekündigte Folgeprüfungs-Verfahren bei Vodafone als Signal in Richtung anhaltender Aufsichtsintensität.
5.1 BfDI gegen Vodafone GmbH: 45 Millionen Euro – Folgeprüfung angekündigt
Behörde: Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). · Adressat: Vodafone GmbH. · Höhe: 45 Millionen Euro (15 Mio. EUR + 30 Mio. EUR).
Verstoß / Rechtsgrundlage: Erstens unzureichende Auftragsverarbeiter-Kontrolle nach Art. 28 DSGVO über mehrere Partneragenturen, deren Beschäftigte personenbezogene Kundendaten unrechtmäßig verarbeiteten (15 Mio. EUR). Zweitens Sicherheitsmängel in der MeinVodafone-eSIM-Authentifizierung nach Art. 32 DSGVO, die Account-Übernahmen ermöglichten (30 Mio. EUR).
Begründung: Die BfDI hält fest, dass Vodafone die ihm bekannten Risiken in der Partneragentur-Kette über Jahre nicht ausreichend adressierte und dass die eSIM-Authentifizierung in einem Self-Service-Portal nicht den Sicherheitsstand des Standes der Technik erreichte. Bei der Bußgeldhöhe wurden Größenordnung des Unternehmens, Schwere und Dauer berücksichtigt.
Praxisfolgen: Telekommunikations- und Großkundenunternehmen sollten Auftragsverarbeiter-Audits, Off-Boarding-Prozesse und das Berechtigungsmodell der Self-Service-Portale auf den Prüfstand stellen. Insbesondere SIM-Swap-Risiken und eSIM-Provisionierungsprozesse benötigen mehrstufige Verifikation, idealerweise mit Out-of-Band-Faktor. Die für 2026 angekündigte Folgeprüfung bei Vodafone wirkt als Maßstab.
6. Cyber-Sicherheit
Die übergreifende Cyber-Sicherheitslage am 26. Mai 2026 ist von vier Linien geprägt: dem operativen Anlauf der NIS2-Enforcement, dem strukturellen Wandel der Erpressungs-Szene weg von Verschlüsselung hin zu Datendiebstahl, der weiter dichten Phishing-Welle gegen Endverbraucherinnen und Endverbraucher sowie der Lagebild-Veröffentlichung des Bundeslagebild Cybercrime des BKA. Die gemeinsame Klammer ist eine Professionalisierung der Angreifer, die zunehmend industriell organisierte Threat-Intelligence- und Operationsketten nutzt.
6.1 NIS2-Enforcement: BSI in der operativen Phase, ~60 Prozent der Pflichtigen säumig
Zusammenfassung: Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft, die Registrierungsfrist endete am 6. März 2026. Seit Mai 2026 befindet sich das BSI in der operativen Enforcement-Phase. Von etwa 29.500 pflichtigen Unternehmen hatten sich bis dahin nur rund 11.500 registriert – das sind 38,5 Prozent. Über 18.000 Unternehmen sind im Verzug.
Hintergrund & Einordnung: Sanktionen sind gestaffelt: bis 10 Mio. EUR oder 2 Prozent des weltweiten Jahresumsatzes für „besonders wichtige Einrichtungen“; bis 7 Mio. EUR oder 1,4 Prozent für „wichtige Einrichtungen“. Zusätzlich wirkt § 38 BSIG mit persönlicher Haftung der Geschäftsleitung bei grober Fahrlässigkeit. Das BSI hat im 4. Quartal 2025 förmliche Mitteilungen an 47 Einrichtungen ohne Registrierung versandt; weitere Welle wird erwartet.
Praxisfolgen / Handlungsempfehlung: Betroffene Unternehmen sollten umgehend prüfen, ob sie der NIS2-Einrichtungskategorie unterfallen (sektorbezogen, größenbezogen), und die Registrierung beim BSI nachholen. Die persönliche Haftung der Geschäftsleitung ist Anlass für ein dokumentiertes ISMS-Programm, eine klare Verantwortlichkeit auf Geschäftsführungsebene, sowie eine glaubhafte Trainings- und Audit-Historie.
6.2 Phishing-Wellen Mai 2026: Sparkasse/Volksbank, Deutschlandticket, Rente, GEZ
Zusammenfassung: Die Verbraucherzentrale meldet seit Anfang Mai eine dichte Folge von Phishing-Wellen. Drei dominante Maschen: Sparkassen-/Volksbank-Mails über angebliche verdächtige Logins mit Aufforderung zur pushTAN-Bestätigung; SMS und Mails zur „Verlängerung“ des Deutschlandtickets; sowie behördlich anmutende Mails zu angeblicher Renten-Datenaktualisierung. Hinzu kommen Rundfunkbeitrags-Phishing mit spanischer IBAN.
Hintergrund & Einordnung: Die Maschen kombinieren zunehmend Phishing-Mail mit Telefonanruf („Sparkassen-Sicherheitsabteilung“). Auf der technischen Seite nutzen Angreifer authentisch wirkende Domains, manchmal hinter validen E-Mail-Authentifizierungen (SPF/DMARC), etwa durch Missbrauch von Microsoft-365-„Direct Send“-Mechanismen. Zielgruppen sind älteres Publikum, Privatkundinnen und kleine Selbstständige.
Praxisfolgen / Handlungsempfehlung: Unternehmen sollten ihre Kundenkommunikation prüfen: keine Aufforderungen zur Eingabe von Passwörtern, TANs oder Kontodaten per E-Mail; offizielle App- und Web-Kanäle priorisieren. Für Mitarbeiterinnen und Mitarbeiter gilt die einfache Regel: keine Links aus unerwarteten Mails klicken, im Zweifel direkt im Browser zur offiziellen Seite navigieren, und SMS-/Mail-Aufforderungen über die offizielle App verifizieren.
6.3 BKA Bundeslagebild Cybercrime 2025: Anhaltend hoher Schaden, professionalisierte Täter
Zusammenfassung: Das BKA hat am 12. Mai 2026 sein Bundeslagebild Cybercrime 2025 vorgestellt. Die Zahlen zeigen eine anhaltend hohe Zahl gemeldeter Cyberstraftaten in Deutschland, einen weiter steigenden Schaden, und eine zunehmende Professionalisierung der Täter im Ransomware-as-a-Service- und Initial-Access-Broker-Modell.
Hintergrund & Einordnung: Das Lagebild korreliert mit dem internationalen Bild: Ransomware-Operatoren agieren modular, Infostealer-Marktplätze speisen Initial-Access-Operationen, und mit Coinbase Cartel sowie ähnlichen Akteuren rückt der reine Datendiebstahl ins Zentrum. Deutschland bleibt nach mehreren Studien das primäre Ziel im DACH-Raum.
Praxisfolgen / Handlungsempfehlung: Unternehmen sollten ihre Threat-Intelligence-Kapazitäten am tatsächlichen Bild ausrichten: Monitoring von Infostealer-Marktplätzen, regelmäßige Token-Rotation, klare Procedure für Daten-Veröffentlichungs-Erpressung. Strafverfolgung und Versicherung sind frühzeitig einzubinden – nicht erst, wenn der Erpressungs-Timer abläuft.
6.4 Phishing via Microsoft 365 Direct Send: SPF/DMARC werden umgangen
Zusammenfassung: Eine im Mai dokumentierte Kampagne missbraucht die „Direct Send“-Funktion in Microsoft 365, um Phishing-Mails über Microsoft-eigene Sendepfade zu schicken. Die Folge: SPF, DKIM und DMARC werden formal eingehalten, die Mails sehen für Filter und Endnutzer „echt“ aus.
Hintergrund & Einordnung: „Direct Send“ ist eigentlich für interne Drucker und Geräte gedacht, die ohne Authentifizierung an die eigene M365-Tenant-Domain senden. Wenn Angreifer den Domain-Namen kennen und der Tenant Direct Send nicht eingeschränkt hat, lassen sich darüber gefälschte Mails an die eigenen Beschäftigten zustellen. Erfahrungsgemäß werden insbesondere Energie-, Gesundheits- und Mittelstand-Unternehmen ins Visier genommen.
Praxisfolgen / Handlungsempfehlung: Microsoft 365-Tenants sollten Direct Send entweder deaktivieren (Set-OrganizationConfig -RejectDirectSend $true, seit Frühjahr 2026 verfügbar) oder durch IP-Allowlisting auf bekannte interne Quellen einschränken. Mail-Flow-Regeln auf interne Spoofing-Muster („von eigener Domain, aber kein interner Header“) sind zu schärfen. Endnutzer-Schulung allein reicht nicht.
Ausblick / Termine
- 29.05.2026: KEV-Frist für US-Bundesbehörden zu CVE-2026-42897 (Exchange OWA).
- 03.06.2026: KEV-Frist für CVE-2026-41091 und CVE-2026-45498 (Microsoft Defender) sowie die fünf weiteren Einträge aus der 20.05.-Welle.
- 10.06.2026: Nächster Microsoft Patch Tuesday (Juni 2026) – frühzeitige Testfenster planen.
- Juni 2026: Erwartete Veröffentlichung des BSI-Lagebericht zur IT-Sicherheit in Deutschland 2026, mit Schwerpunkt KI-gestützte Angriffsketten.
- Q2/2026: Folgeprüfung der BfDI bei Vodafone (vom 34. Tätigkeitsbericht angekündigt).
- Laufend: NIS2-Registrierung beim BSI – jede einrichtungspflichtige, noch nicht registrierte Organisation sollte nachholen.
Methodik
Stichtag dieses Briefings ist Dienstag, 26. Mai 2026, mit Recherche-Fenster der vergangenen sieben Tage (Schwerpunkt 19.–26. Mai). Bevorzugt werden Primärquellen: Behörden (BfDI, BSI, CERT-Bund, CISA, EDSA), Hersteller-Advisories (Microsoft, Cisco, Ubiquiti, Drupal, Webmin) sowie Gerichts-Pressemitteilungen (BAG, EuGH). Sekundärquellen aus dem Fachjournalismus (heise, Borncity, LTO, Haufe, Dr. Datenschutz, BleepingComputer, The Hacker News, SecurityAffairs) werden ergänzend zitiert. Englischsprachige Originalquellen sind inhaltlich ins Deutsche übersetzt; der Originallink bleibt jeweils erhalten. Das Briefing stellt keine Rechts- oder Sicherheitsberatung im Einzelfall dar und ersetzt insbesondere keine eigene Risiko- oder Schwachstellenbewertung. Verlässlichkeit hat in der redaktionellen Praxis Vorrang vor Vollständigkeit; in unklaren Lagen wird die Lücke benannt statt ausgefüllt.
Quellenverzeichnis
- BfDI – Pressemitteilung zum 34. Tätigkeitsbericht 2025
- BfDI – Bundesdatenschutzbeauftragte kündigt Rückzug an
- BfDI – BfDI verhängt Geldbußen gegen Vodafone (45 Mio. EUR)
- Dr. Datenschutz – 34. Tätigkeitsbericht der BfDI: Was steht drin?
- Deutscher Bundestag – Datenschutzbeauftragte übergibt Tätigkeitsbericht 2025
- heise online – Federal Data Protection Commissioner announces resignation
- EDSA – Guidelines 01/2025 on Pseudonymisation
- Deutsches Ärzteblatt – Cyberangriff auf Uniklinik-Daten (unimed)
- Borncity – unimed-Cyberangriff April 2026
- ad hoc news – unimed-Datenpanne 100.000 Betroffene
- Universitätsklinikum Heidelberg – Cyberangriff auf externen Dienstleister
- Freiburg Nachrichten – Cyberangriff Uniklinik Freiburg (54.000 Patienten)
- Börse Express – Patientendaten in Gefahr (Klinik-Cyberangriff)
- ScriptWalker – Panasonic Avionics auf CoinbaseCartel-Leak-Site
- Bitdefender – No Encryptors, No Problem: Coinbase Cartel
- InfoStealers – Inside the Coinbase Cartel
- gbhackers – Coinbase Cartel Shifts to Data-Theft-First Tactics
- Cisco Security Advisory – Catalyst SD-WAN Authentication Bypass (CVE-2026-20182)
- The Hacker News – CISA adds Cisco SD-WAN CVE-2026-20182
- Help Net Security – Microsoft Defender CVE-2026-41091 / CVE-2026-45498
- The Hacker News – Microsoft Warns of Two Actively Exploited Defender Vulnerabilities
- CISA – Adds seven KEV including Microsoft Defender CVEs, 20.05.2026
- CISA – Adds two KEV (Langflow & Trend Micro Apex One), 21.05.2026
- SecurityAffairs – Exchange OWA CVE-2026-42897 aktive Ausnutzung
- CyCognito – Emerging Threat: CVE-2026-42897 Exchange OWA XSS
- Drupal Security Advisory SA-CORE-2026-004 (CVE-2026-9082)
- The Hacker News – Drupal Core SQLi aktiv ausgenutzt
- BleepingComputer – Drupal critical SQL injection flaw under attack
- Ubiquiti – Security Advisory Bulletin 064
- BleepingComputer – Ubiquiti patches three max severity UniFi OS vulnerabilities
- Borncity – Ubiquiti UniFi-OS Bulletin 064 (drei kritische CVEs)
- it-boltwise – Webmin CVE-2026-42210 (CVSS 9.8)
- news.de – Webmin gefährdet: BSI-Sicherheitswarnung CVE-2026-42210
- BleepingComputer – Hackers bypass SonicWall VPN MFA (CVE-2024-12802)
- SecurityAffairs – Attackers bypassing MFA on SonicWall VPNs
- BleepingComputer – Microsoft Patch Tuesday Mai 2026 (120 Flaws)
- Haufe – DSGVO-Auskunftsrecht: EuGH setzt „DSGVO-Hopping“ Grenzen (C-526/24)
- IITR – EuGH-Urteil: Rechtsmissbrauch bei DSGVO-Auskunftsanträgen
- Dr. Datenschutz – EuGH: Neue Maßstäbe für Auskunftsrecht und Schadensersatz
- BAG – Pressemitteilung Workday-Entscheidung (8 AZR 209/21)
- LTO – BAG zum DSGVO-Schadensersatz bei Workday
- datenschutz-notizen – BAG: DSGVO-Schadensersatzanspruch des Beschäftigten
- Börse Express – EuGH-Urteile erschweren Datenschutz-Klagen (C-797/23 Meta)
- Stiftung Datenschutz – DatenschutzWoche vom 18. Mai 2026
- ad hoc news – Rekordstrafe BfDI gegen Vodafone
- gesellschaft-datenschutz.de – Vodafone zahlt Rekordstrafe von 45 Mio. Euro
- Change Orchestration Institute – NIS2-Enforcement BSI Mai 2026
- BSI – NIS-2-regulierte Unternehmen
- OpenKRITIS – NIS2-Umsetzungsgesetz Deutschland
- Verbraucherzentrale – Phishing-Radar aktuelle Warnungen
- ad hoc news – Sparkasse-Kunden im Visier: neue Phishing-Welle
- boerse-social.com – Sparkasse und Volksbank warnen vor Phishing-Welle
- BKA – Bundeslagebild Cybercrime 2025