Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- Betrug rund um die Fußball-WM 2026. Zur stark überbuchten Weltmeisterschaft warnt das BSI vor gefälschten Ticketshops, Fake-Fanshops und manipulierten Streaming-Apps mit Banking-Schadsoftware; Sicherheitsforscher zählen über 4.300 gefälschte FIFA-Domains. Kaufen Sie Tickets ausschließlich über das offizielle FIFA-Portal, prüfen Sie jede Adresse Buchstabe für Buchstabe und installieren Sie keine Streaming-Apps aus unsicheren Quellen. Auffällig günstige Angebote in sozialen Netzwerken sind fast immer Betrug.
- Mahnung für ein Abo, das Sie nie abgeschlossen haben. Aktuell kursieren Mahn-Mails angeblicher Ernährungscoaching-Anbieter (etwa „novavitalia.de“) über rund 239 Euro für ein Jahresabo, das nie zustande kam. Haben Sie nichts bestellt, müssen Sie nichts zahlen: Weisen Sie die Forderung einmal schriftlich zurück und ignorieren Sie weitere Mahnungen. Ein Inkassobüro hat keine besonderen Befugnisse – reagieren Sie nur auf echte Gerichtspost.
- Unbegrenzt ist nicht immer unbegrenzt. Das OVG NRW hat der Bundesnetzagentur vorläufig erlaubt, dass ein Mobilfunkanbieter Vielnutzer in „Unlimited“-Tarifen bei überlasteten Funkzellen nachrangig transportieren darf. Ob das mit der Netzneutralität vereinbar ist, muss erst der EuGH klären. Wer einen unbegrenzten Tarif nutzt, sollte wissen, dass die Datenrate bei starker Auslastung gedrosselt werden kann.
Aktuelle Phishing- und Betrugswellen
Die derzeit auffälligste Welle nutzt die Fußball-Weltmeisterschaft 2026 in den USA, Mexiko und Kanada. Weil die Tickets rund dreißigfach überbucht sind, locken Kriminelle mit gefälschten Ticket- und Wiederverkaufsseiten, betrügerischen Fanshops, Fake-Gewinnspielen und manipulierten Streaming-Apps, die Banking-Schadsoftware mitbringen. Das BSI weist zusätzlich auf KI-gestütztes Phishing hin – täuschend echte Mails ohne die früher typischen Rechtschreibfehler – sowie auf „Quishing“, also Schadlinks in QR-Codes. Kaufen Sie Tickets nur über das offizielle FIFA-Portal, prüfen Sie die Adresse genau (schon ein abweichender Buchstabe verrät die Fälschung) und installieren Sie keine Apps aus unsicheren Quellen oder per Messenger.
Eine zweite Masche zielt auf das Portemonnaie über erfundene Forderungen: Aus dem Nichts kommen Mahnungen angeblicher Ernährungscoaching-Anbieter (novavitalia.de, bongochat.de, astrolonova.de) über rund 239 Euro plus Mahngebühr für ein Jahresabo, das die Empfänger nie abgeschlossen haben. Widerspricht man, behaupten die Täter einen „Widerrufsverzicht“ und verlangen „Wertersatz“. Wer nichts bestellt hat, ist zu keiner Zahlung verpflichtet – eine einmalige schriftliche Zurückweisung genügt, danach dürfen weitere Mahnungen ignoriert werden.
Gewerbetreibende und Soloselbstständige sollten zudem auf gefälschte Cloud-Rechnungen achten: Unter dem Absender „Custodia Acer“ kursieren professionell gestaltete Rechnungen über rund 2.200 Euro für eine angeblich „DSGVO-konforme Cloud-Infrastruktur“, die keinem realen Auftrag zuzuordnen sind. Die zugehörige Domain wurde erst Anfang Juni registriert. Rechnungen ohne erkennbare Geschäftsbeziehung gehören nicht bezahlt, sondern geprüft und gemeldet.
Was war los?
Strafverfolgungsbehörden haben in einer neuen Phase der „Operation Endgame“ die Infrastruktur der Schadsoftware SocGholish (auch „FakeUpdates“) zerschlagen: 106 Server und 101 Domains wurden beschlagnahmt und 14.971 kompromittierte Websites bereinigt; das deutsche BKA war neben FBI, niederländischer Polizei und RCMP beteiligt. SocGholish verteilt über gefälschte „Browser-“ oder „Software-Update“-Aufforderungen Schadsoftware, die anschließend gefährlichere Programme bis hin zu Ransomware nachlädt. Für Privatpersonen ist die Lehre einfach: Update-Aufforderungen, die plötzlich beim Surfen erscheinen, sind ein klassischer Trick – Updates immer nur direkt in der jeweiligen Software oder über deren offizielle Seite einspielen.
Parallel setzte die Erpressergruppe Bashe den Flughafen Wien öffentlich unter Druck und behauptete, große Datenmengen erbeutet zu haben. Der Flughafen bestätigte nur das Auftauchen älterer Frachtdokumente und keinen Betriebsausfall. Der Fall zeigt, dass Erpresser-Behauptungen oft aufgebauscht oder mit Altdaten unterlegt sind – Schlagzeilen über angebliche Mega-Leaks lohnt es sich nüchtern zu prüfen.
Was sich rechtlich geändert hat
Für Mobilfunkkunden ist eine Eilentscheidung des Oberverwaltungsgerichts NRW relevant: Es hat der Bundesnetzagentur vorläufig untersagt, einem Anbieter die sogenannte Heavy-User-Klausel zu verbieten. Vielnutzer dürfen damit in „unbegrenzten“ Tarifen bei außergewöhnlicher Funkzellen-Überlastung vorerst nachrangig transportiert – also gedrosselt – werden. Ob das mit dem europäischen Netzneutralitäts-Grundsatz vereinbar ist, hält das Gericht für ungeklärt und erwartet eine Vorlage an den Europäischen Gerichtshof. Bis dahin bleibt offen, wie „unbegrenzt“ ein Unlimited-Tarif wirklich sein muss.
Daneben hat der Bundesgerichtshof entschieden, dass in Zwangsversteigerungsverfahren die Akteneinsicht nach § 42 ZVG gewährt werden muss, ohne dass persönliche Daten vorab geschwärzt werden – der Datenschutz wird hier nicht durch Schwärzung, sondern durch ein Weitergabeverbot gewahrt. Für Bietinteressenten bedeutet das vollständige Einsicht, verbunden mit der Pflicht, die Daten nicht weiterzuverbreiten.
IT-Detailansicht für Fachpublikum
Der folgende Teil richtet sich an IT- und Datenschutzverantwortliche. Er bündelt die laufenden Schwerpunkte, eine Management Summary mit Handlungsempfehlungen und die sechs Fachkapitel (Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder, Cyber-Sicherheit), ergänzt um einen Überblick zu KI und großen Sprachmodellen, einen Ausblick, die Methodik und das Quellenverzeichnis.
Top-Themen der Woche
1. Five Eyes: KI verschiebt das Cyberrisiko – „leaders must act now“
Die Cyberbehörden der Five-Eyes-Staaten (USA, Großbritannien, Australien, Kanada, Neuseeland) haben in einer selten von den Behördenleitungen persönlich gezeichneten Erklärung gewarnt, dass KI Tempo, Ausmaß und Raffinesse von Angriffen rasant erhöht und das Zeitfenster zwischen Schwachstellenentdeckung und Ausnutzung schrumpfen lässt. Die Erklärung richtet sich ausdrücklich an Vorstände, nicht an IT-Abteilungen.
Letzte Entwicklung: Kernbotschaft ist „the timeline is not years, it is months“; Zero-Days seien zwangsläufig, Sicherheitsvorfälle würden eintreten – entscheidend sei die Vorbereitung. (Hinweis: Das BSI ist nicht Mitunterzeichner; die Erklärung ist rein Five-Eyes.)
2. Operation Endgame zerschlägt SocGholish-Infrastruktur
In einer neuen Phase der Operation Endgame wurden 106 Server und 101 Domains der SocGholish-/FakeUpdates-Infrastruktur beschlagnahmt und 14.971 kompromittierte Websites bereinigt – unter Beteiligung des BKA. SocGholish ist ein zentrales Initial-Access-Glied, das über gefälschte Update-Prompts Schadsoftware ausliefert.
Letzte Entwicklung: ShadowServer fand zuvor über 1,44 Mio. kompromittierte WordPress-Sites; trotz Takedown ist mit Wiederaufbau der Infrastruktur zu rechnen.
Management Summary
Das technische Lagebild wird heute von einer strategischen Behördenwarnung und zwei breit wirkenden Open-Source-Schwachstellen geprägt. Die Cyberbehörden der Five-Eyes-Staaten rufen Vorstände auf, Cyberresilienz als Kernrisiko zu behandeln: KI verkürze das Zeitfenster zwischen Schwachstellenfund und Exploit auf Monate, Zero-Days seien unvermeidlich. Technisch verdienen zwei Lücken Priorität: In der weit eingebetteten SSH-Bibliothek libssh2 erlauben CVE-2026-55200 (kritisch) und CVE-2026-55199 (hoch) über präparierte SSH-Pakete Speicherfehler bis hin zur Codeausführung – ein offizielles Upstream-Release steht noch aus, sodass die Behebung an Distributions- und Hersteller-Backports hängt. In Lantronix-EDS5000-Device-Servern erlaubt CVE-2025-67038 (aktiv ausgenutzt, in der CISA-KEV) Root-Command-Injection über einen ungefilterten Benutzernamen – ein typischer Brückenkopf in OT-Netze. Strafverfolgungsseitig hat die Operation Endgame die SocGholish-Infrastruktur zerschlagen, und die Erpressergruppe Bashe setzte den Flughafen Wien mit teils aufgebauschten Leak-Behauptungen unter Druck.
Rechtsseitig dominieren zwei Entscheidungen. Das OVG NRW stoppte die Bundesnetzagentur im Eilverfahren und ließ eine Heavy-User-Depriorisierungsklausel vorläufig zu; die Vereinbarkeit mit Art. 3 Abs. 3 der Netzneutralitätsverordnung hält das Gericht für ungeklärt und erwartet eine EuGH-Vorlage. Der BGH entschied, dass die Akteneinsicht nach § 42 ZVG ohne vorherige Schwärzung personenbezogener Daten zu gewähren ist, weil die Spezialnorm als Rechtsgrundlage nach Art. 6 Abs. 3 DSGVO dient und der Schutz über ein Verbreitungsverbot erfolgt. Aufsichtsseitig lag im engen Berichtszeitraum keine neue belastbar belegte Datenschutz-Primärmeldung und kein neuer DSGVO-Bußgeldbescheid vor.
Die wichtigsten Punkte im Überblick
- Five-Eyes-Cyberbehörden: KI macht Angriffe schneller, Zero-Days unvermeidlich – Cyberresilienz ist Chefsache.
- libssh2 CVE-2026-55200 (kritisch) / CVE-2026-55199 (hoch): Speicherfehler bis RCE, noch kein offizielles Release.
- Lantronix EDS5000 CVE-2025-67038: aktiv ausgenutzte Root-Command-Injection (CISA-KEV), OT-relevant.
- Operation Endgame: 106 Server / 101 Domains beschlagnahmt, 14.971 Websites bereinigt (BKA beteiligt).
- OVG NRW 13 B 1232/25: Heavy-User-Drosselung vorläufig zulässig, EuGH-Vorlage erwartet.
- BGH V ZB 90/25: ZVG-Akteneinsicht ohne Schwärzung, Schutz über Verbreitungsverbot.
- Kein neuer DSGVO-Bußgeldbescheid und keine neue Aufsichts-Primärmeldung im Berichtszeitraum.
Top-Risiken – Handlungsempfehlungen für heute
- libssh2-Abhängigkeiten inventarisieren (auch in Appliances/Embedded-Firmware) und auf gepatchte Distributions-Pakete umsteigen, wo möglich; bis zum Upstream-Release SSH-Dienste netzseitig einschränken.
- Lantronix EDS5000 patchen (Firmware 2.2.0.0R1) und Management-Zugänge aus dem Internet entfernen bzw. segmentieren; OT-Bestand auf Device-Server inventarisieren.
- Browser-Update-Awareness schärfen: gefälschte Update-Prompts (SocGholish) bleiben ein Top-Initial-Access-Vektor – Updates nur in der Software selbst einspielen.
- Patch-Management auf verkürzte Exploit-Fenster auslegen und Cyberresilienz auf Vorstandsebene verankern (Five-Eyes-Empfehlung): Angriffsfläche reduzieren, Legacy adressieren, Incident-Response testen.
- Credential-Hygiene durchsetzen: MFA erzwingen, keine Passwort-Wiederverwendung, Infostealer-Erkennung priorisieren.
1. Datenschutz
Die datenschutzrechtliche Bewegung des Tages liegt überwiegend bei den Gerichten – die einschlägigen Entscheidungen (OVG NRW zur Netzneutralität, BGH zur ZVG-Akteneinsicht) finden sich im Kapitel Urteile. Eine neue aufsichtsbehördliche Primärmeldung mit belastbarem Deep-Link aus dem engen Berichtszeitraum (23.–25. Juni) ließ sich nicht bestätigen; die jüngsten Aufsichtspublikationen (u. a. der 34. BfDI-Tätigkeitsbericht) wurden bereits in früheren Ausgaben behandelt. Auf eine Wiederholung wird bewusst verzichtet.
2. Datensicherheit
2.1 Erpressergruppe Bashe setzt Flughafen Wien per Darknet-Countdown unter Druck
Zusammenfassung: Die Erpressergruppe Bashe (auch APT73) beansprucht einen Angriff auf die Flughafen Wien AG und behauptet, über eine halbe Million E-Mails und mehr als 4.470 Dateien erbeutet zu haben; auf einer Darknet-Leak-Seite lief ein Countdown. Der Flughafen bestätigte lediglich das Auftauchen älterer Frachtdokumente aus 2025, keine Verschlüsselung, keine Passagierdaten und keinen Betriebsausfall. Unter den präsentierten Belegen finden sich Pre-Flight-Reports und Ladelisten.
Hintergrund & Einordnung: Sicherheitsanalysten verorten Bashe als Nachfolge-/Abspaltungsprojekt der zerschlagenen LockBit-Operation; die „APT“-Selbstbezeichnung gilt als Marketing. CloudSEK weist darauf hin, dass ein erheblicher Teil der von Bashe reklamierten Hacks auf wiederverwerteten Altdaten beruht. Der Fall ist damit ein Lehrstück für die nötige Verifikation von Erpresser-Behauptungen.
Praxisfolgen / Handlungsempfehlung: Erpresser-Claims forensisch gegen die behaupteten Datenstände prüfen, statt Countdown-Druck nachzugeben. Auch „nur“ alte Frachtdokumente können sensible Logistik-Details offenlegen – Drittparteien- und Lieferketten-Dokumente in die Incident-Bewertung einbeziehen.
3. IT-Sicherheit
3.1 libssh2: kritische Speicherfehler-Lücke (CVE-2026-55200), noch kein offizielles Release
Zusammenfassung: In der weit verbreiteten SSH-Bibliothek libssh2 stecken zwei Schwachstellen: CVE-2026-55200 (kritisch) und CVE-2026-55199 (hoch). Über präparierte SSH-Pakete können Angreifer Speicherfehler auslösen und im schlimmsten Fall Schadcode ausführen; auch Denial-of-Service ist möglich. Betroffen sind alle Versionen bis einschließlich 1.11.1. Fixes existieren bisher nur als Commits im Master-Branch – ein offizielles Release steht noch aus, einzelne Distributionen (Kali, Debian-Testing) liefern bereits gepatchte Pakete.
Hintergrund & Einordnung: libssh2 ist tief in zahllose Produkte eingebettet und wird genutzt, um Router und IoT-Geräte fernzusteuern und Server zu verwalten. Genau diese Einbettung erschwert das Patchen: Betroffen ist nicht nur die Bibliothek selbst, sondern jede Anwendung, die sie statisch oder dynamisch einbindet. Ohne Upstream-Release hängt die Behebung an Distributions- und Hersteller-Backports.
Praxisfolgen / Handlungsempfehlung: Software-Inventar auf libssh2-Abhängigkeiten prüfen (auch in Appliances und Embedded-Firmware). Wo möglich auf gepatchte Distributions-Pakete umsteigen; bei eingebetteten Produkten Hersteller-Advisories abwarten und SSH-Dienste netzseitig einschränken.
3.2 Lantronix EDS5000: aktiv ausgenutzte Root-Command-Injection in der CISA-KEV
Zusammenfassung: Die CISA nahm CVE-2025-67038 in Lantronix-EDS5000-Device-Servern in ihren Known-Exploited-Vulnerabilities-Katalog auf. Der vom Nutzer gelieferte Username wird ohne ausreichende Bereinigung in einen Shell-Befehl eingesetzt, sodass injizierte OS-Befehle mit Root-Rechten ausgeführt werden. Lantronix stellt einen Patch in Version 2.2.0.0R1 bereit; für US-Behörden gilt die BOD-26-04-Frist zum 26.06.2026.
Hintergrund & Einordnung: EDS5000-Geräte sind serielle Device-/Terminal-Server, die in OT- und Industrieumgebungen serielle Hardware ins Netz bringen – oft langlebig, selten gepatcht und gelegentlich exponiert. Die KEV-Aufnahme signalisiert bestätigte Ausnutzung, nicht nur theoretisches Risiko. Solche Embedded-Geräte sind ein typischer Brückenkopf in industrielle Netze.
Praxisfolgen / Handlungsempfehlung: Auf Firmware 2.2.0.0R1 aktualisieren und EDS5000-Management-Zugänge aus dem Internet entfernen bzw. segmentieren. OT-Bestand auf Lantronix-Device-Server inventarisieren – diese Geräte fallen bei reinen IT-Patch-Zyklen oft durchs Raster.
4. Urteile
4.1 OVG NRW: Bundesnetzagentur im Streit um Heavy-User-Drosselung vorläufig gestoppt
Sachverhalt: Die Bundesnetzagentur hatte einem Mobilfunkanbieter untersagt, in Tarifen mit sehr großem oder unbegrenztem Datenvolumen eine Depriorisierungsklausel zu verwenden, wonach Vielnutzer nach Überschreiten eines Datenvolumens bei außergewöhnlicher Funkzellen-Überlastung nachrangig transportiert werden. Der Anbieter wandte sich gegen die sofortige Vollziehung; das VG Köln (1 L 1250/25) hatte den Eilantrag zunächst abgelehnt.
Entscheidung: Das OVG änderte die Entscheidung des VG Köln, gab der Beschwerde statt und setzte die Vollziehung des Untersagungsbescheids vorläufig aus. Der Anbieter darf die Klausel bis zur Klärung in der Hauptsache weiterverwenden. Der Beschluss ist unanfechtbar.
Begründungs-Kernpunkte: Bei summarischer Prüfung lässt sich anhand der EuGH-Rechtsprechung nicht zweifelsfrei beurteilen, ob die Depriorisierung eine nach Art. 3 Abs. 3 VO (EU) 2015/2120 nicht gerechtfertigte Ungleichbehandlung darstellt; die Frage ist europarechtlich nicht abschließend geklärt und im Hauptsacheverfahren voraussichtlich dem EuGH vorzulegen. Bei offener Rechtslage überwiegt das Interesse des Anbieters, weil die Klauseln bei sofortigem Vollzug gegenüber zahlreichen Kunden „unwiederbringlich verloren“ wären.
Praxisfolgen: Vorläufiger Etappensieg der Mobilfunkanbieter – volumenabhängige Depriorisierung in Unlimited-Tarifen bleibt vorerst möglich; endgültige Klarheit bringt erst der EuGH. Die Kernfrage entscheidet, ob „unbegrenzte“ Tarife eine Drossel-Hintertür für Intensivnutzer enthalten dürfen. Mit mehrjähriger Verfahrensdauer ist zu rechnen. (Volltext bei Redaktionsschluss noch nicht in der NRW-Entscheidungsdatenbank veröffentlicht; Darstellung nach Pressemitteilung und Fachberichterstattung.)
4.2 BGH: Akteneinsicht nach § 42 ZVG ohne Schwärzung personenbezogener Daten
Sachverhalt: In einem Zwangsversteigerungsverfahren war streitig, ob bei der Akteneinsicht nach § 42 ZVG die enthaltenen personenbezogenen Daten zuvor zu schwärzen sind. Die Vorinstanzen (AG/LG Bamberg) hatten Schwärzungen verlangt.
Entscheidung: Der BGH hob die vorinstanzlichen Beschlüsse auf: § 42 ZVG gestattet die Einsicht in die dort genannten Aktenbestandteile, ohne dass personenbezogene Daten vorher zu schwärzen sind. Die Einsicht ist ungeschwärzt zu gewähren.
Begründungs-Kernpunkte: § 42 ZVG ist als vorrangige Spezialregelung der Rechtspflege die nach Art. 6 Abs. 3 DSGVO erforderliche nationale Rechtsgrundlage für eine Verarbeitung nach Art. 6 Abs. 1 lit. e DSGVO. Der datenschutzrechtliche Schutz erfolgt nicht durch Schwärzung, sondern durch ein Weitergabe- und Veröffentlichungsverbot. Ungeschwärzte Einsicht ist für Objektbewertung und Kontaktaufnahme erforderlich.
Praxisfolgen: Gerichte und Rechtspfleger dürfen Akteneinsicht in ZVG-Verfahren nicht mehr unter Berufung auf die DSGVO durch Schwärzung einschränken; Bietinteressenten unterliegen einem klaren Verbreitungsverbot. Das Argumentationsmuster ist auf andere bereichsspezifische Akteneinsichtsrechte übertragbar: Eine spezielle nationale Norm schlägt die pauschale DSGVO-Schwärzungsforderung.
5. Bußgelder
Im Berichtszeitraum (23.–25. Juni) ließ sich kein neuer DSGVO-Bußgeldbescheid mit belastbarer behördlicher Primärquelle oder verlässlichem Enforcement-Tracker-Eintrag bestätigen. Die jüngsten belegbaren Verfahren (u. a. CNIL/IQVIA und Deutsche Wohnen / LG Berlin I) wurden bereits behandelt. Auf schwach belegte Tracker-Claims wird bewusst verzichtet.
6. Cyber-Sicherheit
6.1 Five Eyes warnen: KI verändert Cyberrisiken rasant – „leaders must act now“
Zusammenfassung: Die Cyberbehörden der Five-Eyes-Staaten (NSA/CISA, NCSC-UK, ASD, CCCS, NCSC-NZ) haben in einer selten namentlich von den Behördenleitungen gezeichneten Erklärung „The AI shift in cyber risk: why leaders must act now“ zum Handeln aufgerufen. KI beschleunige Tempo, Ausmaß und Raffinesse von Angriffen und verkürze das Zeitfenster zwischen Schwachstellenentdeckung und Ausnutzung; Frontier-Modelle überträfen aktuelle Branchenerwartungen – „the timeline is not years, it is months“.
Hintergrund & Einordnung: Die Erklärung richtet sich ausdrücklich an Vorstände und Geschäftsleitungen: Cybersicherheit sei „a core business risk and leadership responsibility“. Zero-Days seien zwangsläufig, Sicherheitsvorfälle würden eintreten – entscheidend sei Resilienz und vorbereitete Incident-Response. Inhaltlich bleibt das Papier bewusst auf Leitungsebene und betont Kern-Hygiene (Angriffsfläche reduzieren, schneller patchen, Legacy adressieren, Identitäts-/Zugriffskontrollen stärken). Das deutsche BSI ist nicht Mitunterzeichner; die deutsche Berichterstattung verknüpft die Warnung nur thematisch mit der hiesigen Lage.
Praxisfolgen / Handlungsempfehlung: Cyberresilienz auf die Vorstandsebene heben; Patch-Management auf verkürzte Exploit-Fenster auslegen; Legacy-/unsupported Systeme als strategisches Risiko behandeln; Annahme „ein Vorfall wird eintreten“ mit getesteter Incident-Response hinterlegen. Defensiver KI-Einsatz wird vom Bonus zur Pflicht.
6.2 Operation Endgame zerschlägt SocGholish-Infrastruktur – BKA beteiligt
Zusammenfassung: In einer neuen Phase der Operation Endgame beschlagnahmten Strafverfolger 106 Server und 101 Domains der SocGholish-Malware-Infrastruktur (auch „FakeUpdates“) und bereinigten 14.971 kompromittierte Websites. Beteiligt waren u. a. die niederländische NHTCU, das FBI, das deutsche BKA und die kanadische RCMP, unterstützt von Europol und Eurojust. SocGholish verteilt über gefälschte Software-/Browser-Updates Initial-Access-Malware, die anschließend gefährlichere Schadsoftware nachlädt.
Hintergrund & Einordnung: SocGholish gilt als zentrales Initial-Access-Glied und ist mit der sanktionierten Gruppe Evil Corp verknüpft; über die Jahre folgten Ransomware-Familien wie WastedLocker, LockBit und RansomHub auf SocGholish-Infektionen. ShadowServer fand im Mai 2026 über 1,44 Millionen kompromittierte WordPress-Sites. Die Resilienz solcher Infrastrukturen ist historisch hoch – frühere Takedowns wurden schnell durch Wiederaufbau konterkariert.
Praxisfolgen / Handlungsempfehlung: WordPress-Installationen auf SocGholish-Injektionen und manipulierte Update-Prompts prüfen; gefälschte „Browser-Update“-Aufforderungen bleiben ein Top-Initial-Access-Vektor für Awareness-Schulungen. Trotz Takedown mit erneutem Wiederaufbau rechnen – Erkennung nicht zurückfahren.
KI & große Sprachmodelle
Der Abschnitt fasst die jüngsten, mit Quellen belegbaren Entwicklungen je Anbieter zusammen – bewusst knapp; bereits behandelte Releases (OpenAI „Daybreak“/GPT-5.5-Cyber, Google Gemini-Changelog, Anthropic Fable 5/Mythos 5) werden nicht wiederholt.
- Mistral: veröffentlichte am 22./23.06.2026 „OCR 4″ (Modell-ID
mistral-ocr-4-0) – strukturierte Dokumentenausgabe mit Bounding-Boxes, Block-Klassifikation und Konfidenz-Scores, 170 Sprachen, Self-Hosting in einem Container; am 24.06. zusätzlich erweiterte Connectors mit scoped API-Keys (Releasebot). - xAI: Grok 4.3 ist seit 22.06.2026 allgemein auf Amazon Bedrock verfügbar (Tool-Calling, Structured Output, Streaming) (AWS).
- Google/DeepMind: anhaltender Talent-Abgang (u. a. Nobelpreisträger John Jumper zu Anthropic, Gemini-Co-Lead Noam Shazeer zu OpenAI); das angekündigte Gemini 3.5 Pro ist Stand 24.06. weiter nicht erschienen (TechCrunch).
- Anthropic / OpenAI: Bei beiden überwiegen Geschäftsmeldungen – für Anthropic werden eine hohe Bewertung und ein vertraulicher IPO-Antrag berichtet (Belegstatus mittel), OpenAI schloss einen Display-Deal mit Getty Images und rollte ChatGPT Enterprise bei Samsung aus. Diese Meldungen stützen sich auf Such-Roundups, nicht durchgängig auf einzeln geöffnete Primärquellen.
Ausblick / Termine
- 26.06.2026: Ablauf der CISA-BOD-26-04-Drei-Tage-Frist für die jüngsten KEV-Neuzugänge (u. a. Lantronix EDS5000) bei US-Behörden.
- 01.07.2026: Webinar von G DATA und ABUS zu NIS-2- und KRITIS-Dachgesetz (physische und digitale Sicherheit) – als Termin-Hinweis, keine Empfehlung.
- 31.07.2026: Letzte BSI-Registrierungsfrist im Rahmen der NIS-2-Umsetzung (Carry-over; Bußgeldrahmen bis 500.000 Euro).
- 02.08.2026: Anwendungsbeginn weiter Teile der KI-Verordnung (VO (EU) 2024/1689).
Methodik
Stichtag dieser Ausgabe ist Donnerstag, der 25. Juni 2026; berücksichtigt sind Meldungen der letzten Tage (bei dünner Lage bis sieben Tage zurück, bei Urteilen bis zu acht Wochen ab Verfügbarkeit der schriftlichen Entscheidung), sofern in vorherigen Briefings noch nicht behandelt. Aufgenommen werden ausschließlich über konkrete Deep-Links belegte Sachverhalte; bevorzugt werden Primärquellen (Behörden, Gerichte, Hersteller-Advisories) und etablierte Fachmedien. Die Five-Eyes-Erklärung wurde über agent-browser direkt bei der CISA verifiziert; dabei zeigte sich, dass das BSI – anders als von der deutschen Berichterstattung nahegelegt – kein Mitunterzeichner ist. Der OVG-Eilbeschluss (13 B 1232/25) ist noch nicht im Volltext veröffentlicht (NRWE-Datenbank: kein Treffer); die Darstellung stützt sich auf die Pressemitteilung und drei Fachquellen. Mehrere Spuren wurden bewusst gestrichen: eine Ubiquiti-UniFi- und eine Cisco-Unified-CM-Meldung als bereits behandelt sowie ein aggregierter Credential-Dump am Rand des Fensters. Ein neuer DSGVO-Bußgeldbescheid lag nicht vor. Dieses Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.
Quellenverzeichnis
- CISA — Five Eyes cyber security agencies statement
- heise online — Five Eyes warnen: KI verändert Cyberrisiken rasant
- Eurojust — Operation Endgame (major malware operation)
- Security Affairs — 14,971 WordPress sites cleaned in SocGholish takedown
- heise Security — Vulnerabilities endanger connections via libssh2
- BleepingComputer — CISA warns of max severity flaws (enthält Lantronix EDS5000)
- DeXpose — APT73/Bashe targets Vienna Airport
- meinbezirk.at — Hacker erpressen Flughafen Wien
- LTO — OVG NRW stoppt Bundesnetzagentur vorläufig (13 B 1232/25)
- beck-aktuell — Heavy-User-Klauseln vorerst weiter zulässig
- teltarif.de — Streit um „Heavy User“ wandert zum EuGH
- openJur — BGH V ZB 90/25 (ZVG-Akteneinsicht)
- t-online — WM 2026: BSI warnt vor Ticket-Betrug und Fake-Shops
- security-insider — WM 2026: Betrug, Phishing, Banking-Trojaner
- Watchlist Internet — Mahnung von novavitalia.de
- Born’s IT-Blog — Fake-Rechnung Custodia Acer
- Releasebot — Mistral OCR 4
- AWS — Grok 4.3 in Bedrock (Weekly Roundup, 22.06.2026)
- TechCrunch — AI researchers continue to leave Google for its rivals
