Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- Gefälschte Steuerbescheide. Aktuell kursieren Phishing-Mails im Namen von ELSTER, die einen „elektronischen Steuerbescheid 2026″ und eine Rückzahlung versprechen. Echte Finanzämter und ELSTER versenden niemals E-Mails mit Links zur Dateneingabe. Prüfen Sie Steuerbescheide ausschließlich direkt unter elster.de.
- Disney+-„Konto gesperrt“. Eine neue Welle täuscht eine gesperrte Streaming-Mitgliedschaft wegen eines Zahlungsfehlers vor und drängt zum sofortigen Klick. Loggen Sie sich nur über die App oder disneyplus.com ein, nie über den Mail-Link.
- Solaranlage mit Internet-Zugang? BSI und Verfassungsschutz warnen, dass russische Akteure schlecht geschützte Photovoltaik-Anlagen ausspähen. Wer eine Anlage mit Online-Überwachung betreibt, sollte prüfen, ob sie ohne Passwort erreichbar ist, die Firmware aktualisieren und den Fernzugriff einschränken.
Aktuelle Phishing- und Betrugswellen
Im Mittelpunkt steht eine Phishing-Welle im Namen des Steuerportals ELSTER. Die Betrüger verschicken E-Mails mit Betreffzeilen wie „Ihr elektronischer Steuerbescheid für 2026 ist abrufbar“ und stellen ein Steuerguthaben in Aussicht, das angeblich erst nach einer „Datenverifizierung“ ausgezahlt wird; bei ausbleibender Reaktion wird mit Stornierung gedroht. Die Masche ist besonders gefährlich, weil fast jede berufstätige Person ein ELSTER-Konto hat und eine Rückzahlung verlockend klingt. Erkennungsmerkmale sind die unpersönliche Anrede, eine unseriöse Absenderadresse und der Druck zur sofortigen Eingabe von Daten. Das echte ELSTER versendet grundsätzlich keine E-Mails mit Eingabe-Links — im Zweifel den Steuerbescheid nur direkt über elster.de oder das ELSTER-Zertifikat abrufen.
Parallel warnt die Verbraucherzentrale vor gefälschten Disney+-Mails, die eine wegen eines „Zahlungsfehlers“ gesperrte Mitgliedschaft vortäuschen. Wer nicht sofort reagiere, verliere den Zugang — genau dieser Zeitdruck ist das Warnsignal. Streaming-Kunden sind ein dankbares Ziel, weil viele mehrere Abos parallel laufen haben und eine Zahlungswarnung plausibel wirkt. Auch hier gilt: fehlende persönliche Anrede, allgemeiner Absender, kein konkreter Betrag. Den Abo-Status niemals über den Link, sondern ausschließlich in der App oder auf disneyplus.com prüfen.
Was war los?
Die größte technische Meldung betrifft die Software-Lieferkette: Ein selbst verbreitender Schadcode namens „Miasma“ hat 73 öffentliche Code-Projekte in vier Microsoft-Organisationen auf der Plattform GitHub befallen. Das Tückische daran: Der Schadcode versteckt sich in Konfigurationsdateien und wird ausgeführt, sobald ein Entwickler ein solches Projekt in einem KI-Coding-Werkzeug öffnet. Für Privatpersonen ist das kein direktes Risiko, zeigt aber, wie verwundbar die Werkzeuge sind, mit denen heute Software gebaut wird.
Außerdem wurde bekannt, dass mehrere deutsche Landeskriminalämter offenbar kommerziell gehandelte Standortdaten aus der Werbeindustrie für Ermittlungen gekauft haben — Daten, die ursprünglich über Apps zu Werbezwecken gesammelt wurden und metergenaue Bewegungsprofile ermöglichen. Mindestens eine Landesdatenschutzbehörde hat dazu ein Prüfverfahren eingeleitet. Der Fall führt vor Augen, wie aus harmlos wirkenden App-Berechtigungen detaillierte Profile entstehen können — ein guter Anlass, die Standort- und Tracking-Berechtigungen der eigenen Apps zu überprüfen.
Was sich rechtlich geändert hat
Am 12. Juni stimmt der Bundesrat über die geplante anlasslose IP-Vorratsdatenspeicherung ab. Der Rechtsausschuss empfiehlt, die im Regierungsentwurf vorgesehene Speicherfrist von drei auf sechs Monate zu verdoppeln und neben BKA und Bundespolizei auch alle Landespolizeien und Landesgeheimdienste zugriffsberechtigt zu machen. Fachleute halten bereits den Regierungsentwurf für europarechtlich angreifbar. Für Bürgerinnen und Bürger bedeutet das: Wann und wie lange Verbindungsdaten gespeichert werden, könnte sich grundlegend ändern — die Entwicklung ist genau zu beobachten.
IT-Detailansicht für Fachpublikum
Im Folgenden die fachliche Aufbereitung des Tages: eine Management Summary, die konkreten Top-Risiken mit Handlungsempfehlungen sowie sechs Kapitel (Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder, Cyber-Sicherheit), gefolgt von Ausblick, Methodik und Quellenverzeichnis.
Top-Themen der Woche
1. „Miasma“-Wurm kompromittiert 73 Microsoft-Repositories — Angriffsvektor sind KI-Coding-Tools
Die Gruppe TeamPCP hat mit dem selbst-replizierenden Wurm „Miasma“ — einer Variante des Mini-Shai-Hulud-Kits — 73 öffentliche GitHub-Repositories in vier Microsoft-Organisationen (Azure, Azure-Samples, Microsoft, MicrosoftDocs) kompromittiert. Der Wurm pflanzt Konfigurationsdateien ein, die beim Öffnen eines Repositories in KI-Coding-Werkzeugen — darunter Claude Code, Gemini CLI, Cursor und VS Code — automatisch Schadcode ausführen und GitHub-Actions-Secrets, Cloud-Credentials, SSH-Keys und Kubernetes-Material abgreifen.
Letzte Entwicklung: StepSecurity dokumentierte eine neue Umgehungstechnik („Phantom Gyp“), die das Sicherheitsmonitoring von npm-Installationsprozessen aushebelt. Parallel wurden über 30 npm-Pakete im Red-Hat-Namespace mit zusammen rund 117.000 wöchentlichen Downloads kompromittiert.
Management Summary
Die IT-Sicherheitslage am 9. Juni 2026 ist von Angriffen auf die Software-Lieferkette und von mehreren frisch ausgenutzten Schwachstellen geprägt. Im Mittelpunkt steht der selbst-replizierende Wurm „Miasma“, der 73 Microsoft-Repositories auf GitHub befallen hat und KI-Coding-Tools als Ausführungsvektor missbraucht — ein neues Qualitätsmerkmal von Supply-Chain-Angriffen. Auf Schwachstellenseite hat die US-Behörde CISA zwei aktiv ausgenutzte Lücken nachgezogen: eine Denial-of-Service-Lücke in SolarWinds Serv-U (CVE-2026-28318) und eine kritische Remote-Code-Execution in der Magento-Erweiterung Mirasvit Cache Warmer (CVE-2026-45247, CVSS 9.8). Für Cisco Unified CM ist mit CVE-2026-20230 öffentlicher Exploit-Code aufgetaucht, was das Zeitfenster bis zur aktiven Ausnutzung verkürzt. Auf staatlicher Ebene warnen BSI und Verfassungsschutz mit höchster Kritikalitätsstufe vor russischer Ausspähung schlecht gesicherter Photovoltaik-Anlagen.
Im Datenschutz- und Rechtsbereich dominieren zwei Themen mit gesellschaftlicher Tragweite. Recherchen belegen, dass deutsche Landeskriminalämter kommerzielle Standortdaten von Databrokern genutzt haben sollen — eine Landesdatenschutzbehörde hat ein Prüfverfahren eingeleitet, eine gesetzliche Grundlage ist zweifelhaft. Zugleich entscheidet der Bundesrat am 12. Juni über eine deutliche Ausweitung der IP-Vorratsdatenspeicherung. Hinzu kommen ein Maßstab setzendes Urteil des VG Berlin zu Ausweiskontrollen und Videoüberwachung in Schwimmbädern, die jüngst breit diskutierte EuGH-Entscheidung zum missbräuchlichen „DSGVO-Hopping“ sowie regulatorische Weichenstellungen: der EDSA hat die Konsultation zu einer einheitlichen DSFA-Vorlage abgeschlossen, und das KI-MIG macht die Bundesnetzagentur zur deutschen AI-Act-Marktüberwachungsbehörde.
Die wichtigsten Punkte im Überblick
- Miasma-Wurm: 73 Microsoft-GitHub-Repos kompromittiert, KI-Coding-Tools als Vektor, Red-Hat-npm-Pakete betroffen.
- CISA-KEV: SolarWinds Serv-U (CVE-2026-28318) und Magento/Mirasvit (CVE-2026-45247, CVSS 9.8) aktiv ausgenutzt.
- Cisco Unified CM (CVE-2026-20230, CVSS 8.6): öffentlicher PoC — WebDialer prüfen, patchen.
- BSI/BfV: russische Ausspähung internetverbundener Photovoltaik-Anlagen, höchste Kritikalitätsstufe.
- Databroker-Affäre: LKAs nutzen Werbe-Standortdaten, Prüfverfahren der Landesaufsicht.
- Bundesrat 12. Juni: mögliche Verdopplung der IP-Vorratsdatenspeicherung auf sechs Monate.
Top-Risiken – Handlungsempfehlungen für heute
- KI-Coding-Umgebungen härten – in geklonten Repositories AI-Tool-Konfigurationen prüfen (
.claude/settings.json,.gemini/settings.json,.cursor/rules/), keine ungeprüften Repos in KI-Tools öffnen, GitHub-Tokens und Cloud-Credentials bei Verdacht rotieren. - SolarWinds Serv-U patchen – auf Version 15.5.4 HF1 aktualisieren oder den Header
Content-Encodingam Perimeter blockieren. - Magento/Adobe Commerce prüfen – Mirasvit-Cache-Warmer-Erweiterung auf Version 1.11.12 aktualisieren (CVSS 9.8, aktiv ausgenutzt).
- Cisco Unified CM absichern – WebDialer-Status prüfen und deaktivieren, falls nicht benötigt; verfügbaren Patch bzw. COP-Patch einspielen.
- Photovoltaik-Monitoring absichern – Internet-erreichbare PV-Anlagen auf fehlenden Passwortschutz prüfen, Firmware aktualisieren, Fernzugriff einschränken.
- Beschäftigte sensibilisieren – aktuelle ELSTER- und Disney+-Phishing-Wellen intern kommunizieren; keine Dateneingabe über Mail-Links.
1. Datenschutz
Im Datenschutzbereich bestimmen heute die staatliche Nutzung kommerzieller Bewegungsdaten und die regulatorische Weiterentwicklung das Bild. Beide Themen betreffen unmittelbar die Steuerung von Datenflüssen in Unternehmen und Behörden.
1.1 Databroker-Affäre: Landeskriminalämter nutzen Werbe-Standortdaten — Prüfverfahren eingeleitet
Zusammenfassung: Recherchen von netzpolitik.org und BR belegen, dass mindestens zwei Landeskriminalämter (Mecklenburg-Vorpommern, Brandenburg) kommerziell erworbene Databroker-Daten für Ermittlungen genutzt haben — darunter ursprünglich für Werbung gesammelte Handy-Standortdaten, die metergenaue Bewegungsprofile ermöglichen. Neun weitere Länder verweigerten die Auskunft, nur fünf verneinten den Einsatz klar. Der Landesdatenschutzbeauftragte Mecklenburg-Vorpommern hat ein förmliches Prüfverfahren eingeleitet.
Hintergrund & Einordnung: Der Polizeirechtler Prof. Mark Zöller stuft die Praxis als rechtswidrig ein — eine ausdrückliche gesetzliche Ermächtigungsgrundlage für den Ankauf solcher Daten fehle. Der Fall zeigt exemplarisch, wie zu Werbezwecken gesammelte Daten zweckentfremdet werden und über Datenbroker-Pools wieder auftauchen.
Praxisfolgen / Handlungsempfehlung: Verantwortliche sollten prüfen, ob ihre Datenschutzhinweise und Auftragsverarbeitungsverträge auch eine behördliche Weiternutzung adressieren, und Beschäftigte zu App-Berechtigungen schulen. Wer Tracking-SDKs einsetzt, sollte die Weitergabewege seiner Daten kennen.
1.2 Digitalministerkonferenz beschließt Datenschutz-Lockerungen für KI in der Verwaltung
Zusammenfassung: Auf der 5. Digitalministerkonferenz einigten sich Bund und Länder auf Maßnahmen zur Beschleunigung der Verwaltungsdigitalisierung, die ausdrücklich Datenschutzlockerungen umfassen. Bis Ende 2027 soll im BDSG eine Regelung geschaffen werden, die Behörden die Anonymisierung oder Pseudonymisierung personenbezogener Daten für KI-Training erlaubt.
Hintergrund & Einordnung: Bundesdigitalminister Wildberger hält bestehende Datenschutzregeln für zu streng ausgelegt und plädiert für die Abschaffung des Pflichtbeauftragten auf Länderebene. BfDI Specht-Riemenschneider äußerte erhebliche Bedenken, vor allem zu ungeklärten Löschrechten in bereits trainierten KI-Modellen.
Praxisfolgen / Handlungsempfehlung: Bis zu einer endgültigen Gesetzesänderung gibt es keine Erleichterung. Wer KI-Trainingsdaten auf Basis personenbezogener Bestände plant, muss die geltenden DSGVO-Anforderungen strikt einhalten und die Gesetzgebung eng verfolgen.
1.3 EDSA schließt Konsultation zu einheitlicher DSFA-Vorlage ab
Zusammenfassung: Der Europäische Datenschutzausschuss hat eine standardisierte Vorlage für Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) samt Anleitungsdokument vorgelegt und bis zum 9. Juni 2026 öffentlich konsultiert. Die unter Mitwirkung der BfDI entwickelte Vorlage soll insbesondere KMU bei der Dokumentationsstruktur entlasten, ohne eine bestimmte Risikobewertungsmethode vorzuschreiben.
Hintergrund & Einordnung: Nach Auswertung der Konsultation soll das Template faktisch zum europäischen Referenzstandard werden. Auf dem 121. EDSA-Plenum (8.–9. Juni) wurden zudem die Auswirkungen des Digital-Omnibus-Pakets auf die DSGVO erörtert.
Praxisfolgen / Handlungsempfehlung: Verantwortliche sollten die EDSA-Vorlage als Grundlage für neue und überarbeitete DSFAs übernehmen, um behördenübergreifende Akzeptanz zu sichern, und ein Update bestehender DSFA-Prozesse einplanen.
2. Datensicherheit
Die Datensicherheitslage ist heute von Angriffen auf die Software-Lieferkette geprägt. Sie zeigen, wie Entwicklungs-Infrastruktur und verbreitete Web-Komponenten zur Eintrittspforte werden.
2.1 Miasma-Wurm: selbst-replizierender Supply-Chain-Angriff über KI-Coding-Tools
Zusammenfassung: Der Wurm „Miasma“ hat 73 öffentliche Repositories in vier Microsoft-GitHub-Organisationen kompromittiert. Er pflanzt Konfigurationsdateien ein, die beim Öffnen eines Repos in KI-Coding-Tools (Claude Code, Gemini CLI, Cursor, VS Code) Schadcode ausführen und Secrets, Cloud-Credentials, SSH-Keys und Kubernetes-Material exfiltrieren. Zusätzlich wurden über 30 npm-Pakete im Red-Hat-Namespace (~117.000 Downloads/Woche) kompromittiert.
Hintergrund & Einordnung: Die Technik „Phantom Gyp“ umgeht das Standard-Monitoring von npm-Installationsprozessen. Der Angriff verbindet zwei Trends: selbst-verbreitende Supply-Chain-Malware und die Nutzung von KI-Entwicklerwerkzeugen als neuen, bisher kaum abgesicherten Ausführungskontext.
Praxisfolgen / Handlungsempfehlung: AI-Tool-Konfigurationen in geklonten Repositories vor dem Öffnen prüfen, keine ungeprüften Repos in KI-Tools laden, betroffene npm-Pakete identifizieren und GitHub-/Cloud-Credentials rotieren.
2.2 Magento/Mirasvit Cache Warmer (CVE-2026-45247, CVSS 9.8) aktiv ausgenutzt
Zusammenfassung: CISA nahm CVE-2026-45247 in den KEV-Katalog auf — eine kritische PHP-Deserialisierungslücke in der Magento-Erweiterung „Mirasvit Cache Warmer“. Nicht authentifizierte Angreifer können über den CacheWarmer-Cookie beliebigen PHP-Code ausführen. Betroffen sind alle Versionen vor 1.11.12; ein Patch ist seit dem 25. Mai verfügbar.
Hintergrund & Einordnung: Hauptangriffsländer sind USA, Großbritannien, Frankreich und Australien; primäre Ziele sind Gaming- und Business-Websites. Die kurze KEV-Remediationsfrist (6. Juni für US-Behörden) unterstreicht das Tempo der aktiven Ausnutzung.
Praxisfolgen / Handlungsempfehlung: Shopbetreiber mit Magento/Adobe Commerce sollten prüfen, ob die Mirasvit-Cache-Warmer-Erweiterung installiert ist, und sofort auf Version 1.11.12 oder neuer aktualisieren.
3. IT-Sicherheit
Bei den klassischen Schwachstellen stehen heute eine aktiv ausgenutzte Lücke in einem Dateiserver und eine Cisco-Schwachstelle mit öffentlichem Exploit-Code im Vordergrund.
3.1 SolarWinds Serv-U (CVE-2026-28318) in CISA-KEV aufgenommen
Zusammenfassung: CISA hat am 5. Juni eine aktiv ausgenutzte Denial-of-Service-Schwachstelle in SolarWinds Serv-U (CVSS 7.5) in den KEV-Katalog aufgenommen. Angreifer können den Dienst ohne Authentifizierung durch präparierte POST-Anfragen mit dem Header Content-Encoding: deflate zum Absturz bringen. Der Patch ist in Version 15.5.4 HF1 enthalten.
Hintergrund & Einordnung: US-Bundesbehörden mussten bis zum 19. Juni patchen. CISA empfiehlt generell, den Header Content-Encoding zu blockieren, da Serv-U diese Funktionalität nicht benötigt.
Praxisfolgen / Handlungsempfehlung: Serv-U-Instanzen sofort auf 15.5.4 HF1 aktualisieren; alternativ den Header am Perimeter blockieren und den Zugriff auf bekannte Adressen beschränken.
3.2 Cisco Unified CM (CVE-2026-20230, CVSS 8.6): öffentlicher PoC
Zusammenfassung: Cisco hat in Unified Communications Manager und der Session Management Edition eine Server-Side-Request-Forgery-Lücke gepatcht, die beliebige Datei-Schreibvorgänge und eine Root-Privilegienerweiterung ermöglicht. Exploit-Code ist öffentlich; aktive Angriffe meldet Cisco PSIRT bislang nicht. Angreifbar ist nur, wenn der WebDialer-Dienst aktiv ist (Standard: inaktiv).
Hintergrund & Einordnung: Ein öffentlicher PoC verkürzt erfahrungsgemäß das Zeitfenster bis zur aktiven Ausnutzung erheblich. Für den 15er-Train steht der vollständige Patch erst im September bereit, ein Interim-COP-Patch ist jedoch jetzt verfügbar.
Praxisfolgen / Handlungsempfehlung: WebDialer-Status prüfen und deaktivieren, falls nicht benötigt; verfügbaren Patch bzw. COP-Patch sofort einspielen.
4. Urteile
Die Rechtsprechung liefert heute einen neuen Maßstab für Sicherheitsmaßnahmen im öffentlichen Raum und eine Präzisierung zum Missbrauch des Auskunftsrechts.
4.1 VG Berlin: Ausweiskontrollen und Videoüberwachung in Schwimmbädern DSGVO-konform
Sachverhalt: Die Berliner Datenschutzbeauftragte hatte die Berliner Bäder-Betriebe wegen anlassbezogener Ausweiskontrollen (ab 14 Jahren) und punktueller Videoüberwachung verwarnt. Dagegen klagten die Bäder-Betriebe.
Entscheidung: Das VG Berlin hob die Verwarnung auf. Die Maßnahmen sind mit der DSGVO vereinbar, wenn die Daten nicht dokumentiert werden, keine Live-Beobachtung stattfindet und die Speicherdauer auf 72 Stunden begrenzt ist.
Begründungs-Kernpunkte: Das Gericht gewichtete den Schutz von Leben und körperlicher Unversehrtheit höher als den Eingriff in das Recht auf informationelle Selbstbestimmung. Es ist die erste verwaltungsgerichtliche Maßstabsbildung für Einlasskontrollen in öffentlichen Einrichtungen; die Datenschutzbeauftragte prüft Berufung, das Urteil ist nicht rechtskräftig.
Praxisfolgen: Betreiber öffentlicher Einrichtungen können sich orientieren, müssen aber die engen Bedingungen einhalten (keine Dokumentation, kurze Speicherfrist, punktuell statt flächendeckend, Art.-13-Information vor Betreten) und eine DSFA durchführen.
4.2 EuGH C-526/24: Missbräuchliches „DSGVO-Hopping“ kann schon beim ersten Auskunftsantrag abgelehnt werden
Sachverhalt: Streitig war, ob ein Auskunftsantrag nach Art. 15 DSGVO bereits beim ersten Antrag als „offensichtlich unbegründet“ abgelehnt werden darf, wenn er erkennbar nur der Vorbereitung von Schadensersatzforderungen dient.
Entscheidung: Ja — eine Ablehnung ist zulässig, wenn keine echte Informationsbeschaffung beabsichtigt ist. Indikatoren sind ein sehr kurzer Abstand zwischen Dateneingabe und Antrag sowie dokumentierte Muster gleichgelagerter Fälle desselben Antragstellers.
Begründungs-Kernpunkte: Die Beweislast liegt vollständig beim Unternehmen. Wer zu früh oder ohne belastbare Begründung ablehnt, riskiert selbst Schadensersatzansprüche; eine pauschale Ablehnung bleibt unzulässig.
Praxisfolgen: Auskunftsanträge systematisch dokumentieren, Muster früh erkennen und eine rechtlich abgestimmte interne Prüfroutine für Missbrauchsverdacht einführen.
5. Bußgelder
Im Bußgeldbereich liegen heute keine frischen großen deutschen Verfahren mit Tagesaktualität vor. Prägend bleibt die durch die jüngste EuGH-Rechtsprechung (siehe 4.2) geschärfte Linie zum DSGVO-Schadensersatz, die das Haftungsklima für Verantwortliche beeinflusst.
5.1 Keine neue deutsche Großsanktion im Tagesfenster — Trend zur Anbieter- und Drittlandkontrolle hält an
Behörde: — · Adressat: — · Höhe: —
Verstoß / Rechtsgrundlage: Im Zeitfenster 5.–9. Juni 2026 wurde kein frisches großes deutsches DSGVO-Bußgeld veröffentlicht. Schwerpunkte der jüngeren Durchsetzung bleiben unzureichende Kontrolle von Drittanbietern und Datenflüssen sowie Transparenz- und Rechtmäßigkeitsanforderungen.
Praxisfolgen: Unternehmen sollten Auftragsverarbeitungs- und Drittlandtransfers systematisch erfassen, vertraglich absichern und regelmäßig auditieren. Eine tagesaktuelle Prüfung empfiehlt sich über den GDPR Enforcement Tracker.
6. Cyber-Sicherheit
Auf der staatlichen Ebene prägen heute eine hochstufige Warnung vor Angriffen auf Energie-Infrastruktur und die neue Aufsichtsarchitektur für Künstliche Intelligenz das Bild.
6.1 BSI und BfV warnen vor russischer Ausspähung von Photovoltaik-Anlagen
Zusammenfassung: BSI und Bundesamt für Verfassungsschutz haben einen gemeinsamen Sicherheitshinweis der höchsten Kritikalitätsstufe veröffentlicht: Russische staatliche Akteure führen aktiv Aufklärung gegen internetverbundene Photovoltaik-Anlagen in Deutschland durch. Besonders gefährdet sind Anlagen mit steuerndem Zugriff, deren Monitoringsysteme ohne Zugangsdaten erreichbar sind.
Hintergrund & Einordnung: Betreiber sind häufig Privatpersonen oder Genossenschaften mit teils stark veralteten Firmware-Ständen. Die Warnung steht im Kontext russischer Sabotageinteressen an europäischer Energie-Infrastruktur.
Praxisfolgen / Handlungsempfehlung: Betreiber sollten prüfen, ob ihre Anlage ohne Passwort erreichbar ist, die Firmware umgehend aktualisieren und den Fernzugriff auf bekannte IP-Adressen beschränken oder deaktivieren.
6.2 KI-MIG: Bundesnetzagentur wird deutsche AI-Act-Marktüberwachungsbehörde
Zusammenfassung: Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), nationales Durchführungsgesetz zum EU-AI-Act, macht die Bundesnetzagentur zu Koordinierungszentrum, Marktüberwachungs- und notifizierender Behörde. Vorgesehen sind Bußgelder bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes.
Hintergrund & Einordnung: Der EU-AI-Act gilt ab 2. August 2026 weitgehend verbindlich; für Hochrisiko-KI im HR-Bereich und Kredit-Scoring gilt durch das Digital-Omnibus-Paket eine Fristverlängerung bis Dezember 2027.
Praxisfolgen / Handlungsempfehlung: Unternehmen sollten jetzt ein Inventar aller eingesetzten KI-Systeme erstellen und Risikokategorien zuordnen. HR- und Kredit-Anwendungen profitieren von der verlängerten Frist, die Vorbereitung sollte dennoch sofort beginnen.
Ausblick / Termine
- 12.06.2026: Bundesratssitzung zur IP-Vorratsdatenspeicherung — mögliche Verdopplung der Speicherfrist auf sechs Monate und Ausweitung der Zugriffsberechtigten.
- 19.06.2026: Ablauf der CISA-KEV-Remediationsfrist für SolarWinds Serv-U (CVE-2026-28318).
- 02.08.2026: Weitgehende Geltung des EU-AI-Act; KI-MIG-Vollzug durch die Bundesnetzagentur.
- Laufend: Auswertung der EDSA-Konsultation zur DSFA-Vorlage; finale Fassung als europäischer Referenzstandard erwartet.
- Fortlaufend: Beobachtung der Miasma-Kampagne und betroffener npm-/Repository-Ökosysteme; Cisco Unified CM PoC-Lage.
Methodik
Stichtag dieses Briefings ist der 9. Juni 2026; berücksichtigt wurden vorrangig Meldungen der vergangenen 48 bis 72 Stunden. Bevorzugte Primärquellen sind Behörden (BSI, CISA, BfDI, EDSA), etablierte Fachpresse (heise, The Hacker News, BleepingComputer, LTO, beck-aktuell, netzpolitik.org) sowie die Verbraucherzentrale für Phishing-Warnungen. Englischsprachige Quellen wurden sinngemäß übersetzt. Dieses Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.
Quellenverzeichnis
- The Hacker News – Miasma Worm Hits 73 Microsoft GitHub Repositories
- BleepingComputer – Red Hat npm packages compromised
- The Hacker News – CISA Adds SolarWinds Serv-U DoS Flaw to KEV
- CISA – Adds One Known Exploited Vulnerability (03.06.2026)
- The Hacker News – CISA Adds Magento RCE Flaw CVE-2026-45247 to KEV
- CISA – Adds Two Known Exploited Vulnerabilities (02.06.2026)
- The Hacker News – Cisco Patches CVE-2026-20230 in Unified CM
- BSI/BfV – Sicherheitshinweis Photovoltaikanlagen
- netzpolitik.org – Deutsche Polizei nutzt offenbar rechtswidrig Databroker
- borncity.com – Polizei nutzt rechtswidrig Databroker-Daten
- netzpolitik.org – Bundesrat will Vorratsdatenspeicherung ausweiten
- LTO – VG Berlin VG 42 K 73/25 (Berliner Bäder)
- beck-aktuell – VG Berlin: Sicherheitsmaßnahmen Freibäder
- haufe.de – EuGH C-526/24: Grenzen des DSGVO-Hopping
- CMS-Blog – DSGVO-Schadensersatz: aktuelle Urteile
- bfdi.bund.de – EDSA-Konsultation DSFA-Vorlage
- netzpolitik.org – Digitalministerkonferenz: Datenschutz-Lockerungen für KI
- bundestag.de – Bundesnetzagentur als KI-Marktüberwachungsbehörde
- Verbraucherzentrale – Phishing-Radar (ELSTER, Disney+)
