1. Ransomware-Lage Deutschland verschärft sich — Mittelstand und KRITIS im Fokus

Seit Montag, 1. Juni 2026 · zuletzt aktualisiert Mittwoch, 8. Juli 2026 · Score 88

Deutschland ist laut Google Threat Intelligence erneut das Hauptziel für Cyber-Erpressung in Europa: Während die Zahl der Einträge auf Datenleck-Seiten global 2025 um rund 50 Prozent zunahm, lag das Wachstum in Deutschland bei etwa 92 Prozent — dreimal so hoch wie der europäische Durchschnitt. Für das erste Halbjahr 2026 werden 4.217 Ransomware-Angriffe gezählt; die mittlere Lösegeldforderung liegt bei rund 133.000 Euro, der Durchschnittsschaden übersteigt eine Million.

Letzte Entwicklung: Der Cyberangriff auf die Gemeinschaftsstadtwerke Kamen/Bönen/Bergkamen (60.000 Verträge, Lastschrift-Ausfall) reiht sich in ein Muster von Angriffen auf Betreiber kritischer Infrastruktur ein. Nach dem Rückzug der einst dominanten „Big-Game“-Gruppen LockBit und ALPHV füllen agilere Mittelgewicht-Gruppen wie SafePay und Qilin das Vakuum — SafePay allein soll 2025 rund ein Viertel der Datenleck-Einträge mit Deutschlandbezug verantwortet haben.

1.1 EuGH schärft den Personenbezug: „Anonymität ist relativ“

04.09.2025 (EuGH C-413/23 P) · LDI NRW · Dr. Datenschutz

Zusammenfassung: Der Europäische Gerichtshof hat in einer Reihe von Entscheidungen — zuletzt und besonders deutlich im Rechtsmittelurteil vom 4. September 2025 (C-413/23 P, EDSB/SRB) — den relativen Personenbezug bestätigt. Danach beschreibt der Personenbezug keine feste Eigenschaft eines Datums, sondern eine Wissensbeziehung: Maßgeblich ist, welches identifizierende Wissen die jeweils verantwortliche Stelle praktisch mobilisieren kann. Im Fall SRB hatte der Einheitliche Abwicklungsausschuss Stellungnahmen von Betroffenen mit einem Code versehen an Deloitte weitergegeben; Deloitte hatte keinen Zugang zur Zuordnungstabelle. Der EuGH stellte klar, dass dieselben Daten für den SRB (mit Schlüssel) personenbezogen und für Deloitte (ohne Schlüssel) anonym sein können.

Hintergrund & Einordnung: Die Linie zieht sich durch mehrere Verfahren — von Breyer (C-582/14) über Scania (C-319/22) und OLAF (C-479/22 P) bis IAB Europe (C-604/22). Kernaussage: Pseudonymisierung ist eine technisch-organisatorische Maßnahme, keine automatische Anonymisierung. Für die Informationspflicht kommt es auf die Perspektive des Verantwortlichen bei der Erhebung an, nicht auf die spätere Sicht eines Empfängers. Auch Meinungen und Bewertungen können personenbezogene Daten sein. Das Urteil erging zwar zur Datenschutzverordnung für EU-Organe (2018/1725), ist aber ausdrücklich auf die inhaltsgleichen Informationspflichten der DSGVO (Art. 13/14) übertragbar.

Praxisfolgen / Handlungsempfehlung: Wer Daten als „anonym“ behandelt und damit aus dem DSGVO-Regime nimmt, muss diese Einstufung sauber und wiederkehrend begründen — insbesondere bei Weitergabe an Dritte und bei KI-Trainingsdaten, deren Re-Identifizierbarkeit mit fortschreitender Technik steigen kann. Hält die eigene Stelle den Zuordnungsschlüssel, bleiben die Daten personenbezogen und die Informationspflichten bestehen, selbst wenn der Empfänger nichts zuordnen kann. Anonymität ist als Prozess zu verstehen: eine Bewertung nach jeweils aktuellem Stand der Technik, keine einmalige Feststellung.

2.1 Cyberangriff auf Gemeinschaftsstadtwerke Kamen/Bönen/Bergkamen

28.06.2026 · Hellweger Anzeiger · Security-Insider

Zusammenfassung: Die Gemeinschaftsstadtwerke Kamen, Bönen und Bergkamen (GSW) wurden am Abend des 28. Juni von einem Cyberangriff getroffen. Interne Netzwerke, das Online-Kundencenter, die App sowie die telefonische und E-Mail-Erreichbarkeit waren gestört. Der Versorger nahm seine Systeme vorsorglich vom Netz und berief einen Krisenstab ein; das Landeskriminalamt ermittelt. Zentrale Folge: Die zum 1. Juli fälligen Abschläge für Strom und Wasser konnten für rund 60.000 Verträge nicht per Lastschrift eingezogen werden.

Hintergrund & Einordnung: Der Angriffsvektor ist bislang unbekannt; ob personenbezogene Kundendaten abgeflossen sind, war zunächst nicht geklärt. Die eigentliche Versorgung mit Strom, Gas und Wasser blieb unbeeinträchtigt — betroffen war die IT für Verwaltung und Abrechnung. Der Fall passt in ein Muster: Betreiber kritischer Infrastruktur sind ein bevorzugtes Ziel, häufig verbunden mit Lösegeldforderungen; bereits 2026 gab es mehrere vergleichbare Vorfälle bei kommunalen Versorgern. Sichtbar wird auch die Abhängigkeit vom Zahlungsverkehr: Selbst Nebenbetriebe wie die Schwimmbäder mussten wegen ausgefallener Kartenzahlung ihr Angebot einschränken.

Praxisfolgen / Handlungsempfehlung: Für Betroffene gilt: den üblichen Abschlag eigenständig überweisen (Name, Kundennummer, Rechnungseinheit), ausschließlich an die Bankverbindung der letzten Abrechnung — nicht an per Mail oder SMS zugesandte Konten. Für Versorger und KRITIS-Betreiber unterstreicht der Fall die Notwendigkeit segmentierter Netze, offline-fähiger Notfall- und Abrechnungsprozesse sowie einer vorbereiteten Krisenkommunikation, die Zahlungswege eindeutig benennt und Betrugsmaschen den Boden entzieht. Nach Datenpannen ist zudem die 72-Stunden-Meldepflicht im Blick zu behalten.

2.2 Ransomware-Ökonomie: SafePay und Qilin füllen das Vakuum

Erstes Halbjahr 2026 · Börse Express · WeLiveSecurity

Zusammenfassung: Die Bedrohungslage in Deutschland hat sich 2026 weiter verschärft. Für das erste Halbjahr werden 4.217 Ransomware-Angriffe gezählt, mit deutlichem Zuwachs auch im Einzelhandel. Laut Google Threat Intelligence stieg die Zahl der Deutschland-Einträge auf Datenleck-Seiten um rund 92 Prozent — dreimal so stark wie im europäischen Mittel. Organisationen mit weniger als 5.000 Beschäftigten machten 2025 rund 96 Prozent der deutschen Ransomware-Lecks aus.

Hintergrund & Einordnung: Durch Strafverfolgungsdruck gegen LockBit und ALPHV ist ein Machtvakuum entstanden, das agilere Mittelgewicht-Gruppen besetzen. Besonders präsent sind SafePay und Qilin; SafePay soll 2025 rund ein Viertel der Veröffentlichungen auf deutschen Datenleck-Seiten verantwortet und Einbrüche bei 76 deutschen Unternehmen beansprucht haben. Das Geschäftsmodell setzt zunehmend auf doppelte Erpressung: Daten werden vor der Verschlüsselung gestohlen und auf Leak-Seiten öffentlich zur Schau gestellt, um den Druck zu erhöhen — aus einem Sicherheitsvorfall wird eine PR-Krise.

Praxisfolgen / Handlungsempfehlung: Der Mittelstand ist statistisch das Hauptziel und braucht Grundschutz mit Nachdruck: geprüfte, offline gehaltene Backups, konsequentes Patch-Management exponierter Systeme, Multi-Faktor-Authentifizierung und ein eingeübter Incident-Response-Plan. Da Datenabfluss vor der Verschlüsselung inzwischen Standard ist, greift „wir spielen einfach das Backup zurück“ zu kurz — die Meldepflichten nach DSGVO und die Kommunikation gegenüber Betroffenen müssen mitgedacht werden.

3.1 Ubiquiti UniFi Bulletin 066: 25 Lücken, Höchstwertung für UniFi Connect

03.07.2026 · Blogspan (UniFi Bulletin 066)

Zusammenfassung: Ubiquiti hat mit dem Sicherheitsbulletin 066 gleich 25 Schwachstellen im UniFi-Ökosystem geschlossen. Die kritischste, CVE-2026-50746, betrifft UniFi Connect und wird mit dem CVSS-Höchstwert 10,0 bewertet: Über eine Befehls-Injection kann ein Angreifer mit Netzzugang beliebige Befehle auf dem Host ausführen — eine Fernübernahme ohne Umweg. Mehrere weitere Lücken liegen im Bereich 9,0–10,0 und erfordern meist nur Netzzugang ohne Authentifizierung.

Hintergrund & Einordnung: Aktive Angriffe auf die neuen Lücken sind bislang nicht gemeldet. Das ist jedoch kein Grund zum Abwarten: Erst wenige Wochen zuvor hatte die US-Behörde CISA eine UniFi-OS-Root-Lücke als aktiv ausgenutzt eingestuft — gepatcht war sie längst, nur eingespielt hatten viele das Update nicht. Genau dieses Muster — verfügbarer Patch, verzögerte Installation — ist bei weit verbreiteter Netzwerk-Hardware das eigentliche Risiko.

Praxisfolgen / Handlungsempfehlung: Bulletin 066 zeitnah einspielen, UniFi Connect priorisieren. Management- und Controller-Oberflächen gehören nicht ungeschützt ins offene Internet; Zugriff über VPN oder IP-Beschränkung absichern. Wer UniFi in größerem Maßstab betreibt, sollte den Patch-Stand aller Standorte zentral verifizieren, statt sich auf automatische Updates zu verlassen.

3.2 Kritische Lücken in Selbst-Hosting- und Mittelstands-Software

03.–06.07.2026 · nbreview (Security-Briefing)

Zusammenfassung: Ein KMU-orientiertes Security-Briefing für den Zeitraum 3. bis 6. Juli fasst mehrere kritische Schwachstellen in verbreiteter Selbst-Hosting-Software zusammen. Betroffen sind unter anderem die Deployment-Plattform Coolify (fünf als kritisch eingestufte Lücken mit möglicher Remote-Codeausführung und Datenabfluss), der Identitäts-Broker Keycloak (fehlerhafte Synchronisation des email_verified-Claims bei aktivem Userinfo-Endpunkt und trustEmail=true) sowie das Craft CMS (Autorisierungs-Bypass im reorder-sets-Endpunkt bis Version 4.18.0.1, behoben mit 4.18.1).

Hintergrund & Einordnung: Solche Plattformen sind in kleineren Betrieben und bei Selbst-Hostern weit verbreitet und oft nur spärlich betreut. Die Keycloak-Fehlkonfiguration ist besonders heikel: Wird der Verifizierungsstatus einer E-Mail-Adresse falsch übernommen, lassen sich unter Umständen Konten über einen fremden Identitätsanbieter übernehmen. Beim Craft CMS erlaubt der Bypass eine unautorisierte Manipulation aus der Ferne.

Praxisfolgen / Handlungsempfehlung: Betroffene Systeme umgehend aktualisieren (Craft CMS auf 4.18.1), Keycloak-Broker-Konfiguration prüfen und trustEmail nur bei tatsächlich vertrauenswürdigen Anbietern setzen, Coolify-Instanzen patchen und Zugriffsrechte restriktiv halten. Selbst-gehostete Dienste gehören in ein regelmäßiges Patch- und Monitoring-Regime — gerade weil sie kein Hersteller im Hintergrund automatisch absichert.

4.1 OLG Hamm: Unternehmen haftet für Falschaussagen seines KI-Chatbots

OLG Hamm · 12.05.2026 · Az. 4 UKl 3/25 · LTO · OLG Hamm (PM)

Sachverhalt: Die Aesthetify GmbH aus Recklinghausen (auftretend als „Dr. Rick & Dr. Nick“) bot auf ihrer Website einen KI-Chatbot für Terminbuchung und Fragen an. Der Bot schrieb den beiden Geschäftsführern wiederholt Facharztbezeichnungen zu, die es so gar nicht gibt — etwa „Facharzt für ästhetische Chirurgie“ oder „Facharzt für ästhetische Medizin“. Die Verbraucherzentrale NRW mahnte ab und verlangte eine strafbewehrte Unterlassungserklärung; der Chatbot wurde zwar deaktiviert, die Erklärung aber nicht abgegeben.

Entscheidung: Das Oberlandesgericht Hamm gab der Unterlassungsklage statt. Die Chatbot-Antworten seien unzulässige, irreführende geschäftliche Handlungen der Beklagten im Sinne des § 5 Abs. 1, Abs. 2 Nr. 3 UWG. Wegen der grundsätzlichen Fragen zur KI-Haftung ließ der Senat die Revision zum Bundesgerichtshof zu. Das Urteil ist noch nicht rechtskräftig.

Begründungs-Kernpunkte: Der Chatbot ist rechtlich kein „Dritter“, sondern Teil der geschäftlichen Organisation des Unternehmens; ein Rückgriff auf die Grundsätze der Verkehrssicherungspflicht scheidet damit aus. Selbst wenn nur korrekte Datensätze eingespeist worden wären, trägt der Betreiber die Verantwortung für die Falschangaben. Maßgeblich ist, dass der Bot innerhalb der Organisation eingesetzt wird und nach außen im Namen des Unternehmens auftritt. Es handelt sich um die erste veröffentlichte deutsche Entscheidung zur Frage, ob unzutreffende Chatbot-Antworten irreführende geschäftliche Handlungen sind.

Praxisfolgen: Wer KI im Kundenkontakt einsetzt, haftet für deren Aussagen wie für eigene Werbung — „das hat die KI halluziniert“ entlastet nicht. Betreiber sollten die Ausgaben ihrer Chatbots zu Qualifikationen, Preisen, Leistungen und rechtlich sensiblen Angaben eingrenzen, testen und protokollieren, klare Haftungs- und Vorbehaltshinweise setzen und Eskalationswege zu einem Menschen vorsehen. Für die gesamte Branche dürfte die anstehende BGH-Entscheidung Leitlinien zur Verantwortung für KI-generierte Inhalte setzen.

5.1 DSGVO-Durchsetzung 2026: Aufsicht rückt den Mittelstand ins Visier

2026 (Trend) · SecurityToday

Zusammenfassung: Die Durchsetzung der DSGVO verschiebt sich 2026 spürbar von den großen Tech-Konzernen hin zum Mittelstand. Berliner und Hamburger Aufsichtsbehörden haben laut Berichterstattung erstmals systematisch Unternehmen mit einem Jahresumsatz unter 500 Millionen Euro ins Visier genommen. Häufigster Auslöser für ein Verfahren ist die 72-Stunden-Meldepflicht bei Datenpannen. Die kumulierte Summe der europäischen DSGVO-Bußgelder wird je nach Zählung auf 6 bis 7 Milliarden Euro geschätzt, mit klar steigender Tendenz.

Hintergrund & Einordnung: Der Schwerpunkt verlagert sich von der Papier-Compliance zur Frage, ob ein Betrieb seinen Datenschutz auch im laufenden System nachweisen kann. Sichtbar wird zugleich, dass hohe Bußgelder vor Gericht oft deutlich reduziert werden — ein wiederkehrendes Muster, das die Aufsicht unter Druck setzt, Bescheide belastbar zu begründen. In Deutschland werden Bußgelder überdies selten öffentlich gemacht, sodass das reale Verfahrensgeschehen die publizierten Fälle übersteigt.

Praxisfolgen: Auch kleinere und mittlere Unternehmen sollten ihren Datenschutz „betriebsbereit“ halten: dokumentierte technische und organisatorische Maßnahmen, ein eingeübter Datenpannen-Meldeprozess (72 Stunden), aktuelle Verarbeitungsverzeichnisse und Löschkonzepte. Wer erst nach einem Vorfall improvisiert, riskiert doppelt — durch den Schaden selbst und durch die dann sichtbaren Compliance-Lücken.

6.1 Kritische Infrastruktur als Ziel — und die Ökonomie der Datenleck-Seiten

Juli 2026 · WeLiveSecurity

Zusammenfassung: Der Angriff auf die GSW ist kein Einzelfall, sondern Teil eines Trends: Kommunale Versorger und Betreiber kritischer Infrastruktur geraten verstärkt ins Visier, weil ein Ausfall unmittelbar Druck erzeugt. Zugleich hat sich die Erpressung professionalisiert. Datenleck-Seiten sind zum zentralen Druckmittel geworden: Angreifer stehlen Daten vor der Verschlüsselung und drohen mit gestaffelter Veröffentlichung, um Lösegeldzahlungen zu erzwingen.

Hintergrund & Einordnung: Für 2025 zählt das BSI über 900 gemeldete Ransomware-Angriffe — und das sind nur die angezeigten Fälle. Die Verlagerung hin zu mittelgroßen, schnell agierenden Gruppen (SafePay, Qilin) senkt die Hürde und erhöht die Frequenz. Bei KRITIS-Zielen verschärft sich die Lage, weil neben dem finanziellen Schaden die Versorgungssicherheit und das Vertrauen der Bürgerinnen und Bürger auf dem Spiel stehen.

Praxisfolgen / Handlungsempfehlung: KRITIS-Betreiber sollten Angriffsflächen reduzieren (Segmentierung, Zugriffskontrolle, Monitoring), Notfallprozesse offline-fähig auslegen und regelmäßig üben. Da die Veröffentlichung gestohlener Daten inzwischen zum Standardrepertoire gehört, ist die Vorbereitung auf den Kommunikations- und Meldefall ebenso wichtig wie die technische Abwehr. Threat-Intelligence zu aktiven Gruppen hilft, Prioritäten bei der Härtung zu setzen.