Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- Instagram-Impressum und Werbung: ein Bio-Link reicht. Das OLG Hamburg hat entschieden, dass ein geschäftlicher Instagram-Account seine Impressumspflicht erfüllt, wenn unterhalb der „Bio“ ein deutlich sichtbarer Link auf eine Website mit vollständigem Impressum führt — ein eigener Impressumstext direkt im Profil ist nicht nötig. Bewirbt eine bekannte Influencerin zudem Produkte ihres eigenen Unternehmens, muss sie den Beitrag nicht extra als „Werbung“ kennzeichnen, weil der kommerzielle Zweck offensichtlich ist. Wer einen geschäftlichen Social-Media-Account betreibt, sollte den Impressum-Link prominent und dauerhaft erreichbar halten.
- Neue Phishing-Welle im August — mit Fristen und Lockprämien. Betrüger versenden derzeit gefälschte Mails im Namen von Sparkasse, Postbank, AOK und dem Steuerportal ELSTER; teils wird mit angeblichen Rückerstattungen (etwa 324,90 € „von der AOK“) gelockt, teils mit knappen Fristen und drohender Kontosperrung Druck aufgebaut. Bei der Sparkasse folgt auf die gefälschte Dateneingabe zusätzlich ein Anruf mit vorgetäuschter Bankrufnummer. Öffnen Sie keine Links aus solchen Nachrichten, geben Sie keine Zugangsdaten ein und rufen Sie Portale immer selbst im Browser auf.
- Google-Pixel-Nutzer: August-Update einspielen. Das BSI warnt vor einer Schwachstelle in der Speicherverwaltung von Google-Pixel-Smartphones (CVE-2026-0163), über die Angreifer aus der Ferne zugreifen und Rechte ausweiten könnten. Google stuft die Lücke als „hoch“ ein und liefert den August-Sicherheitspatch aus; ältere Modelle (Pixel 6/7) sind für diese Lücke teils noch nicht versorgt. Installieren Sie das Update zeitnah.
- Cyberangriffe werden schneller und KI-gestützter. Ein neuer Lagebericht von CrowdStrike und eine gemeinsame Warnung von BSI und Verfassungsschutz zeigen: Sicherheitslücken werden heute oft schon Stunden nach Bekanntwerden ausgenutzt, und KI senkt die Hürde für Angreifer. Für den Alltag heißt das vor allem: mit noch überzeugenderen Betrugsnachrichten rechnen und Updates konsequent einspielen.
Aktuelle Phishing- und Betrugswellen
Anders als in den Vortagen läuft im August eine breite, gut belegte Phishing-Welle über mehrere bekannte Marken. Bei der AOK kursieren Mails mit einer angeblichen Rückerstattung von 324,90 € unter einer erfundenen Vorgangsnummer; der enthaltene Link führt auf eine manipulierte Seite. Im Namen der Postbank werden Kundinnen und Kunden aufgefordert, ihre Adressdaten zu „prüfen“ — auffällig durch unpersönliche Anrede und unseriöse Absenderadresse. Die Verbraucherzentrale meldet zudem Mails mit dem Betreff „Sicherheitsmitteilung: Bestätigung Ihrer persönlichen Daten bis 08. August 2026 erforderlich“, die mit Kontoeinschränkungen drohen.
Besonders perfide ist eine Variante gegen Sparkassen-Kunden: Zunächst kommt eine Mail zu einem angeblichen „Sicherheitsupdate“ für das S-pushTAN-Verfahren; nach der Dateneingabe auf der gefälschten Seite folgt ein Anruf mit einer gefälschten Bank-Rufnummer, um die Opfer weiter zu manipulieren. Typische Warnzeichen bleiben unverändert: unpersönliche Anreden, Rechtschreibfehler, widersprüchliche Fristen und der aufgebaute Zeitdruck.
Das Schutzprinzip ist in allen Fällen dasselbe: keine Links oder Anhänge aus unaufgeforderten Nachrichten öffnen, keine Zugangsdaten, TANs oder Kartendaten preisgeben und im Zweifel nur über die selbst aufgerufene offizielle App oder Website handeln. Verdächtige Mails lassen sich der Verbraucherzentrale melden (phishing@verbraucherzentrale.nrw).
Was war los?
Technisch prägt eine kritische, aktiv ausgenutzte Lücke im Entwickler-Server JetBrains TeamCity den Tag (CVE-2026-63077): Angreifer können ohne Anmeldung Schadcode ausführen und darüber ganze Software-Lieferketten kompromittieren; Behörden setzen eine sehr kurze Frist zum Einspielen der Updates. Parallel warnt das BSI vor einer Fernzugriffs-Lücke in Google-Pixel-Smartphones. Ein neuer Bedrohungsbericht von CrowdStrike sowie eine Warnung von BSI und Verfassungsschutz zeichnen ein Bild, in dem Angriffe durch KI schneller, breiter und zugänglicher werden.
Was sich rechtlich geändert hat
Für alle, die geschäftlich in sozialen Medien aktiv sind, sorgt das OLG Hamburg für mehr Klarheit: Die Impressumspflicht lässt sich über einen deutlich sichtbaren Link in der Instagram-„Bio“ erfüllen, und wer erkennbar eigene Produkte bewirbt, muss nicht zusätzlich „Werbung“ darüberschreiben. Verdeckte Empfehlungen fremder Produkte im privaten Alltagston bleiben dagegen kennzeichnungspflichtig. Aus der laufenden Aufsichtspraxis zeigen mehrere neue DSGVO-Bußgelder, dass schlecht abgesicherte Support-Prozesse und fehlende Datenschutz-Folgenabschätzungen teuer werden können.
IT-Detailansicht für Fachpublikum
Im Folgenden: die Top-Themen, eine Management Summary, die Top-Risiken sowie die sechs Fachkapitel (Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder, Cyber-Sicherheit), ergänzt um einen KI-/LLM-Überblick, Ausblick, Methodik und Quellenverzeichnis.
Top-Themen der Woche
1. JetBrains TeamCity: kritische, aktiv ausgenutzte RCE in der Build-Kette (CVE-2026-63077)
CISA nahm am 5. August die unauthentifizierte Remote-Code-Execution CVE-2026-63077 (CVSS 9,8) in JetBrains TeamCity On-Premises in den KEV-Katalog auf. Über eine unsichere Deserialisierung im Agent-Polling-Protokoll können Angreifer ohne Konto Betriebssystembefehle mit den Rechten des TeamCity-Prozesses ausführen und damit Quellcode, Secrets und Build-Artefakte einer CI/CD-Umgebung kompromittieren.
Letzte Entwicklung: CISA setzte eine ungewöhnlich kurze Umsetzungsfrist bis zum 8. August. Betreiber sollten sofort auf TeamCity 2025.11.7 bzw. 2026.1.3 aktualisieren (oder das Patch-Plugin einspielen) und exponierte Server auf Kompromittierung prüfen; TeamCity Cloud ist bereits abgesichert.
2. KI in der Angriffskette: kollabierende Exploit-Fenster
Der CrowdStrike 2026 Threat Hunting Report (03.08.) und eine gemeinsame Warnung von BSI und Verfassungsschutz beschreiben eine neue Angriffsökonomie: 88 % der beobachteten Ausnutzungen von Schwachstellen mit öffentlichem Proof-of-Concept erfolgten im ersten Halbjahr 2026 binnen 48 Stunden, China-nahe Akteure schlugen teils unter 24 Stunden zu. KI ist dabei zugleich Werkzeug, Ziel und Beschleuniger.
Letzte Entwicklung: Neben schnelleren Exploits nehmen Supply-Chain-Angriffe über Paket-Registries (npm) und Vishing/„LLMjacking“ zu. Die Kernkonsequenz für Verteidiger: Patch-Fenster verkürzen, Angriffsflächen reduzieren, Erkennung auf automatisierte Muster ausrichten.
Management Summary
Sicherheitsseitig dominiert eine aktiv ausgenutzte, kritische Schwachstelle in JetBrains TeamCity On-Premises: CVE-2026-63077 (CVSS 9,8) ist eine unauthentifizierte Remote-Code-Execution über die Deserialisierung nicht vertrauenswürdiger Daten im Agent-Polling-Protokoll. CISA stufte die Lücke am 5. August als aktiv ausgenutzt ein (KEV), bewertete sie als automatisierbar und mit vollständiger technischer Wirkung und setzte eine kurze Frist bis zum 8. August. Weil TeamCity im Zentrum der Software-Entwicklung steht, drohen Zugriff auf Quellcode, gespeicherte Geheimnisse, Signaturmaterial und manipulierte Build-Artefakte; behoben ist die Lücke in 2025.11.7 und 2026.1.3. Parallel warnt das BSI vor einer Speicherverwaltungs-Schwachstelle in Google-Pixel-Geräten (CVE-2026-0163, Fernzugriff und Rechteausweitung), zu der der August-Patch bereitsteht — Pixel 6/7 sind teils noch nicht versorgt. Der CrowdStrike 2026 Threat Hunting Report (03.08.) und eine gemeinsame Warnung von BSI und Verfassungsschutz zeichnen zudem eine Angriffslage, in der KI als Werkzeug und Ziel eingebettet ist, Exploit-Fenster auf Stunden schrumpfen (88 % binnen 48 h) und Software-Lieferketten über Paket-Registries angegriffen werden.
Rechts- und datenschutzseitig prägt ein rechtskräftiges Berufungsurteil den Tag: Das OLG Hamburg (15 U 99/24) bestätigte, dass die Impressumspflicht nach § 5 DDG bei einem geschäftlichen Instagram-Account durch einen hervorgehobenen Bio-Link auf ein vollständiges Impressum erfüllt werden kann und dass eine kurze technische Störung die „ständige Verfügbarkeit“ nicht verletzt; zugleich ist eine Werbekennzeichnung entbehrlich, wenn eine bekannte Influencerin erkennbar Produkte ihres eigenen Unternehmens bewirbt (ur-524). Aus der Aufsichtspraxis kamen mehrere neue DSGVO-Bußgelder ans Licht: Die italienische Garante verhängte rund 1,72 Mio. Euro gegen Wind Tre nach zwei Social-Engineering-Datenpannen (Fernzugriff über vorgetäuschten Support, unsichere APIs, über 365.000 Betroffene), die spanische AEPD 500.000 Euro gegen den FC Barcelona wegen fehlender Datenschutz-Folgenabschätzung bei biometrischer Mitglieder-Identifizierung.
Die wichtigsten Punkte im Überblick
- JetBrains TeamCity CVE-2026-63077 (CVSS 9,8, unauth. RCE, Deserialisierung): CISA-KEV 05.08., Frist 08.08.; Fixes 2025.11.7 / 2026.1.3; CI/CD-Lieferkettenrisiko.
- BSI-Warnung Google Pixel CVE-2026-0163 (Speicherverwaltung, Fernzugriff/Rechteausweitung); August-Patch, Pixel 6/7 teils offen.
- OLG Hamburg 15 U 99/24 (rechtskräftig): Instagram-Impressum per Bio-Link genügt; keine Werbekennzeichnung bei erkennbar eigener Marke (ur-524).
- CrowdStrike Threat Hunting Report + BSI/BfV-Warnung (03.08.): 88 % der Exploits binnen 48 h, China-nahe Akteure < 24 h; KI als Werkzeug/Ziel; npm-Supply-Chain.
- DSGVO-Bußgelder: Garante ./. Wind Tre 1.715.600 € (Social Engineering, Art. 5/32), AEPD ./. FC Barcelona 500.000 € (Art. 35, keine DSFA); AEPD ./. BBVA 80.000 € (SEPA-Mandat).
Top-Risiken – Handlungsempfehlungen für heute
- TeamCity sofort patchen. On-Premises-Instanzen auf 2025.11.7 bzw. 2026.1.3 aktualisieren (oder Patch-Plugin), Server nicht offen ins Internet stellen, Zugriff auf vertrauenswürdige Netze beschränken und auf Kompromittierung prüfen (fremde Prozesse, veränderte Build-Konfigurationen, abgeflossene Secrets). Nach CVE-2026-63077 gestohlene Geheimnisse rotieren.
- Pixel-Flotte aktualisieren. August-Sicherheitspatch für Google-Pixel-Geräte ausrollen (CVE-2026-0163); für nicht mehr versorgte Modelle (Pixel 6/7) Risiko bewerten und ggf. Nutzung/MDM-Richtlinien anpassen.
- Verkürzte Patch-Fenster einkalkulieren. Angesichts von 88 % Ausnutzung binnen 48 h nach PoC: Exposure-Management priorisieren, internetnahe Dienste minimieren, Erkennung auf automatisierte/ungewöhnliche Zugriffsmuster ausrichten.
- Supply-Chain absichern. Abhängigkeiten (npm) überwachen, Lockfiles/Signaturen prüfen, CI/CD-Zugänge härten (MFA, Just-in-time, Segmentierung), Ausgangsverbindungen von Build-Systemen einschränken.
- Phishing-resistente Anmeldung und Awareness. Gegen die laufende Phishing-Welle und Vishing-Nachgänge: Passkeys/FIDO2 statt OTP, keine Dateneingabe über Mail-Links, Rückrufe über selbst herausgesuchte offizielle Nummern verifizieren.
1. Datenschutz
Im engen Tagesfenster keine neue, unabhängig belegte Aufsichts-Leitlinie. Die Aufsichtspraxis bleibt aktiv (siehe Kapitel 5); der kumulierte DSGVO-Bußgeldstand liegt laut Enforcement-Trackern im Bereich von 6–7 Mrd. Euro. Der Prüfungsfokus verschiebt sich weiter von der reinen Dokumenten-Compliance hin zur Frage, was im laufenden System tatsächlich passiert (Zugriffe, Datenflüsse, Löschfristen).
2. Datensicherheit
Der aktuelle Bedrohungsbericht rückt die Software-Lieferkette in den Vordergrund.
2.1 Supply-Chain: Paket-Registries als Haupt-Einfallstor (CrowdStrike)
Zusammenfassung: Laut CrowdStrike 2026 Threat Hunting Report verlagern Angreifer ihren Fokus in die Entwickler-Lieferkette: CI/CD-Pipelines, Container- und Paket-Registries sowie IDE-Erweiterungen. 87 % der identifizierten Registry-Bedrohungen im ersten Halbjahr 2026 betrafen npm-Pakete. Der DPRK-nahe Akteur STARDUST CHOLLIMA schleuste im Juni 2026 ein bösartiges npm-Paket als Abhängigkeit in mindestens 131 Pakete des KI-Frameworks „Mastra“ ein; der Akteur ALTERED SPIDER kompromittierte an einem einzigen Tag über 300 Software-Abhängigkeiten, griff Zugangsdaten ab und schwenkte in Cloud-Umgebungen.
Hintergrund & Einordnung: Ein einziges kompromittiertes Paket kann sich über automatische Installationsskripte und tiefe Abhängigkeitsketten rasch in nachgelagerte Umgebungen ausbreiten. Dass nun auch KI-Bausteine (Mastra) zum Ziel werden, verbindet das Supply-Chain-Risiko mit dem wachsenden KI-Tooling — und passt zur aktiv ausgenutzten TeamCity-Lücke (Kapitel 3), die genau an dieser Naht ansetzt.
Praxisfolgen / Handlungsempfehlung: Abhängigkeiten inventarisieren und überwachen (SBOM, Dependency-Pinning, Signaturprüfung), Build-Systeme härten und segmentieren, Maintainer-Konten mit phishing-resistenter MFA schützen und ausgehende Verbindungen von CI/CD-Systemen restriktiv filtern.
3. IT-Sicherheit
Eine kritische, aktiv ausgenutzte Entwickler-Server-Lücke und eine BSI-Warnung für Google Pixel prägen den Tag.
3.1 JetBrains TeamCity: unauthentifizierte RCE aktiv ausgenutzt (CVE-2026-63077)
Zusammenfassung: CISA nahm am 5. August 2026 CVE-2026-63077 (CVSS 9,8) in den KEV-Katalog auf — eine unsichere Deserialisierung (CWE-502) im Agent-Polling-Protokoll von JetBrains TeamCity On-Premises. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann Authentifizierungsprüfungen umgehen und Betriebssystembefehle mit den Rechten des TeamCity-Prozesses ausführen. Betroffen sind alle On-Premises-Versionen vor 2025.11.7 und 2026.1.3; JetBrains hat die Lücke dort behoben und ein Patch-Plugin für ältere Stände bereitgestellt. CISA setzte eine kurze Umsetzungsfrist bis zum 8. August.
Hintergrund & Einordnung: TeamCity sitzt im Zentrum der Softwareentwicklung; ein Zugriff eröffnet Quellcode, Build-Konfigurationen, gespeicherte Secrets, Signaturmaterial und Deployment-Verbindungen — und die Möglichkeit, Build-Artefakte zu manipulieren und in nachgelagerte Systeme vorzudringen. Da weder Konto noch Nutzerinteraktion nötig sind, ist mit opportunistischem Scannen und automatisierter Ausnutzung zu rechnen. Details zu Tätern und Umfang sind noch offen; eine Ransomware-Nutzung ist bislang nicht bestätigt. Der Vorfall reiht sich in frühere schwere TeamCity-Lücken (u. a. CVE-2023-42793) ein.
Praxisfolgen / Handlungsempfehlung: Sofort auf 2025.11.7 bzw. 2026.1.3 aktualisieren (oder das Patch-Plugin einspielen), Server aus dem offenen Internet nehmen, Zugriff auf VPN/Trusted-Networks beschränken und exponierte Instanzen auf Kompromittierung untersuchen. Nach möglicher Ausnutzung Secrets rotieren und Build-Integrität prüfen. TeamCity-Cloud-Kunden müssen nicht handeln.
3.2 Google Pixel: BSI-Warnung vor Fernzugriffs-Lücke (CVE-2026-0163)
Zusammenfassung: Das BSI warnt vor einer Schwachstelle in der Speicherverwaltung von Google-Pixel-Smartphones (CVE-2026-0163), über die Angreifer aus der Ferne zugreifen und Nutzerrechte unbefugt ausweiten könnten. Google bewertet den Schweregrad als „hoch“ und stellt den August-Sicherheitspatch bereit. Ob die Lücke bereits aktiv ausgenutzt wird, ist nicht bekannt; ältere Geräte (Pixel 6, Pixel 7) sind hinsichtlich dieser konkreten Lücke nach aktuellem Stand teils noch nicht gepatcht.
Hintergrund & Einordnung: Speicherverwaltungsfehler sind eine klassische Grundlage für Fernangriffe und Rechteausweitung. Für Unternehmen mit Pixel-Flotten und für Privatnutzer ist der monatliche Patch-Stand der wirksamste Schutz; nicht mehr versorgte Modelle bleiben ein Restrisiko.
Praxisfolgen / Handlungsempfehlung: August-Sicherheitsupdate zeitnah installieren, in verwalteten Umgebungen über MDM ausrollen und den Patch-Stand kontrollieren; für Pixel 6/7 das Risiko bewerten und Nutzungsrichtlinien anpassen.
4. Urteile
Ein rechtskräftiges Berufungsurteil zum Social-Media-Recht, aufbereitet als CSA-Beitrag (ur-524).
4.1 OLG Hamburg (15 U 99/24): Instagram-Impressum per Bio-Link, keine Werbekennzeichnung bei eigener Marke
Sachverhalt: Ein Wettbewerbsverband nahm eine reichweitenstarke Influencerin (9,3 Mio. Follower, verifizierter Account) auf Unterlassung in Anspruch: Das Impressum ihres geschäftlichen Instagram-Accounts sei nur über einen Bio-Link zu einer externen Website erreichbar gewesen, und ein Post zum Launch ihrer eigenen Kosmetiklinie sei nicht als Werbung gekennzeichnet worden.
Entscheidung: Das OLG Hamburg (21.05.2026) wies die Berufung gegen das bereits klageabweisende Urteil des LG Hamburg (406 HKO 31/24) vollständig zurück; das Urteil ist rechtskräftig (Beschwerdewert von 25.000 € nicht erreicht).
Begründungs-Kernpunkte: Die Impressumspflicht nach § 5 Abs. 1 DDG ist erfüllt, wenn unterhalb der „Bio“ ein hervorgehobener Link auf ein vollständiges Impressum führt; Maßstab ist der durchschnittliche Instagram-Nutzer, der mit einem solchen Link rechnet. Eine nur vorübergehende technische Störung (hier: Fehlermeldungen an zwei Tagen) verletzt die „ständige Verfügbarkeit“ nicht — Dauer und Zurechenbarkeit muss der Anspruchsteller darlegen und beweisen. Die Werbekennzeichnung (§ 5a Abs. 4 UWG, § 6 Abs. 1 DDG) war entbehrlich, weil der kommerzielle Zweck offenkundig war: Die Influencerin bewarb erkennbar Produkte eines eigenen Unternehmens (Bio-Hinweis „Founderin“, eigene Marke, Verkaufsformulierungen) — in Fortführung der BGH-Linie „Influencer I/II“.
Praxisfolgen: Betreiber geschäftlicher Social-Media-Accounts können ihre Impressumspflicht über einen prominenten, unmittelbar erreichbaren Bio-Link erfüllen — für Klickketten über Linksammlungen gilt das nicht ohne Weiteres. Wer erkennbar eigene Produkte bewirbt, muss nicht zusätzlich „Werbung“ kennzeichnen; verdeckte Empfehlungen fremder Produkte im Alltagston bleiben kennzeichnungspflichtig. Aufbereitung: ur-524.
5. Bußgelder
Aus dem aktuellen Enforcement-Überblick (Juli, veröffentlicht Anfang August) mehrere neue, noch nicht behandelte Fälle. (Das UODO-Bußgeld gegen eine polnische Bank war bereits Thema der Ausgabe vom 4. August.)
5.1 Garante (Italien): rund 1,72 Mio. Euro gegen Wind Tre nach Social-Engineering-Datenpannen
Behörde: Garante per la protezione dei dati personali (GPDP) · Adressat: Wind Tre (Telekommunikation) · Höhe: 1.715.600 Euro
Verstoß / Rechtsgrundlage: Art. 5 Abs. 1 lit. f, Art. 32 Abs. 1 lit. b DSGVO (Integrität/Vertraulichkeit, Sicherheit der Verarbeitung).
Begründung: Angreifer kontaktierten Mitarbeitende von Verkaufsstellen telefonisch, erlangten unter dem Vorwand technischer Assistenz Fernzugriff auf deren Geräte und fragten anschließend über unzureichend abgesicherte APIs systematisch die Kundendatenbank ab. Betroffen waren über 365.000 Kundinnen und Kunden, bei rund 41.000 auch Zahlungsinformationen. Die Behörde stellte erhebliche Mängel bei Zugangsdaten-Verwaltung und Sicherheitsprüfungen fest; die zügige Selbstmeldung, eingeleitete Abhilfemaßnahmen und die Kooperation wirkten mildernd.
Praxisfolgen: Support- und Fernwartungsprozesse gegen Social Engineering härten (klare Authentifizierungs- und Freigabeprozesse, geschulte Beschäftigte, regelmäßig geprüfte Zugriffsrechte), APIs absichern (Rate-Limiting, Autorisierung, Monitoring auf Massenabfragen) und Fernzugriffe strikt kontrollieren.
5.2 AEPD (Spanien): 500.000 Euro gegen den FC Barcelona wegen fehlender DSFA bei Biometrie
Behörde: Agencia Española de Protección de Datos (AEPD) · Adressat: FC Barcelona (Sportverein) · Höhe: 500.000 Euro
Verstoß / Rechtsgrundlage: Art. 35 DSGVO (Datenschutz-Folgenabschätzung).
Begründung: Bei der digitalen Aktualisierung des Mitgliederregisters erhob der Verein verpflichtend biometrische Daten (u. a. Gesichtsbewegungen und Stimme), ohne eine Datenschutz-Folgenabschätzung durchzuführen, obwohl die Voraussetzungen des Art. 35 erkennbar erfüllt waren. Die vorgelegten Risikobewertungen wertete die AEPD nicht als vollwertige DSFA, u. a. weil sie erst nach Vertragsschluss mit den Auftragsverarbeitern erstellt worden waren.
Praxisfolgen: Eine DSFA ist keine Formalie, sondern regelmäßig zwingende Voraussetzung, sobald biometrische Verfahren zur eindeutigen Identifizierung eingesetzt werden — und sie muss vor Verarbeitungsbeginn vorliegen. Verantwortliche sollten frühzeitig prüfen, ob ein Vorhaben auf den Positivlisten der Aufsicht steht oder sonst ein hohes Risiko begründet. Weiterer Fall des Monats: AEPD ./. BBVA, 80.000 Euro, weil ein SEPA-Lastschriftmandat ohne gesonderte Autorisierung auf ein anderes Konto desselben Kunden angewandt wurde (Nachweis-/Rechenschaftspflicht, Art. 5 Abs. 2, Art. 6 DSGVO).
6. Cyber-Sicherheit
Zwei aktuelle Lageberichte verschieben die Angriffsökonomie in Richtung Tempo und KI.
6.1 CrowdStrike Threat Hunting Report und BSI/BfV-Warnung: kollabierende Exploit-Fenster
Zusammenfassung: Der CrowdStrike 2026 Threat Hunting Report (veröffentlicht 03.08.2026) beschreibt KI als in Angriffsoperationen eingebettetes Werkzeug und zugleich als Angriffsziel. Kernbefund: Im ersten Halbjahr 2026 erfolgten 88 % der beobachteten Ausnutzungen von Schwachstellen mit öffentlichem Proof-of-Concept binnen 48 Stunden; China-nahe Akteure (VAULT PANDA, GENESIS PANDA) schlugen teils innerhalb von 24 Stunden nach Offenlegung zu. Zeitgleich warnten BSI und Bundesamt für Verfassungsschutz (03.08.) vor der wachsenden Skalierbarkeit und sinkenden Einstiegshürden KI-gestützter Cyberoperationen. Ergänzend meldet CrowdStrike stark steigende Vishing-Intrusionen und „LLMjacking“ (eine Kampagne mit rund 200.000 Modell-Anfragen in zwei Minuten).
Hintergrund & Einordnung: Die Zahlen bestätigen einen Trend, der bereits vor Frontier-KI-Modellen begann, sich durch sie aber verschärft: Aufklärung, Exploit-Auswahl und Ausnutzung lassen sich zunehmend automatisieren. Für Verteidiger verschmelzen legitime KI-Aktivität und Angriffe — CrowdStrike beobachtet 2,5-mal mehr durch KI-Agenten ausgelöste Detektions-Leads als durch manuelle Aktivität. Einzelne Zuschreibungen (welcher Akteur, welches Modell) bleiben mit Vorsicht zu behandeln.
Praxisfolgen / Handlungsempfehlung: Patch- und Exposure-Management beschleunigen (kurze Fenster, minimierte Angriffsflächen), Erkennung auf automatisierte/ungewöhnliche Muster ausrichten, Identitäts- und Vishing-Schutz stärken (phishing-resistente MFA, Verifikation von Support-/Rückruf-Prozessen) und die Software-Lieferkette absichern (siehe Kapitel 2).
KI & große Sprachmodelle
Kompakter Überblick (bewusst knapp, Tracker-Angaben als solche gekennzeichnet):
- KI-Sicherheit (Tagesthema): CrowdStrike und BSI/BfV verorten KI fest in der Angriffskette (Kapitel 6); zusätzlich werden KI-Bausteine selbst zum Supply-Chain-Ziel (npm-Paket in 131 „Mastra“-Framework-Paketen, Kapitel 2).
- Modell-/Anbieterlage (laut Trackern, unbestätigt): Anthropic Claude Opus 5 (24.07.), OpenAI GPT-5.6-Reihe mit Preissenkung der günstigeren Stufen (30.07.), Google Gemini 3.6 Flash (21.07.); als jüngste Frontier-Meldung nennt ein Tracker Meta „Muse Spark 1.2″ (05.08.). Produktnamen einzelner Stufen stammen aus Dritt-Trackern und sind nicht durchgängig offiziell bestätigt.
Datenschutz- und Sicherheitsrelevanz: Der KI-Schwerpunkt liegt heute klar auf der Sicherheitsseite — schnellere, automatisierte Ausnutzung und KI-Bausteine als neues Lieferketten-Ziel.
Ausblick / Termine
- 8. August 2026: CISA-Umsetzungsfrist (FCEB) für die TeamCity-Lücke CVE-2026-63077.
- 11. September 2026: CRA-Meldepflichten (Art. 14) beginnen.
- 27. September 2026: Anwendbarkeit der EmpCo-Umsetzung im UWG (Green Claims), Bußgelder bis 4 % des Jahresumsatzes.
- 30. Oktober 2026: Ende der öffentlichen Konsultation zu den EDPB-Leitlinien 02/2026 (Anonymisierung).
- 2. Dezember 2026: Neue AI-Act-Verbote (intime Deepfakes ohne Einwilligung; CSAM) sowie Kennzeichnungspflichten für vor dem 2. August 2026 vermarktete KI-Inhalte.
Methodik
Stichtag dieses Briefings ist der 7. August 2026. Bevorzugt werden Primär- und Behördenquellen (CISA/KEV, BSI, Gerichte mit Aktenzeichen, Aufsichtsbehörden) sowie etablierte Fachmedien; jede Meldung ist über einen konkreten Deep-Link belegt. Das OLG-Hamburg-Urteil (15 U 99/24) stammt aus dem INFOLAW-Verteiler (ITM Münster); der Volltext wurde über Landesrecht Hamburg mit agent-browser beschafft (defuddle/WebFetch lieferten nur ein leeres JS-DOM) und nach dem Urteils-Recherche-Pattern aufbereitet (ur-524). Die Bußgelder stammen aus dem Enforcement-Überblick (Dr. Datenschutz) und wurden gegen die Behörden-Primärquellen (Garante, AEPD) verlinkt. Der KI-Sicherheits-Schwerpunkt stützt sich auf den CrowdStrike 2026 Threat Hunting Report und die BSI/BfV-Warnung; einzelne kursierende Kennzahlen (CrowdStrike, Sophos, Interpol) werden ihren Quellen zugeordnet. Wettbewerber-Statistiken (z. B. KnowBe4) werden nicht verwendet. Englischsprachige Quellen werden ins Deutsche übersetzt, der Originallink bleibt erhalten. Das Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.
Quellenverzeichnis
- Landesrecht Hamburg — OLG Hamburg, Urt. v. 21.05.2026, 15 U 99/24 (Volltext)
- heise online: OLG Hamburg stärkt Influencer — Wann Postings ohne Werbe-Label erlaubt sind
- LHR Rechtsanwälte: Impressum Instagram — Bio-Link genügt (OLG Hamburg)
- CISA: KEV-Ergänzung 05.08.2026 (JetBrains TeamCity CVE-2026-63077)
- The Hacker News: CISA Flags TeamCity CVE-2026-63077 RCE Flaw Under Active Exploitation
- SecurityWeek: Hackers Start Exploiting Recent JetBrains TeamCity Vulnerability
- BleepingComputer: JetBrains warns of critical TeamCity remote code execution flaw
- NETZWELT: BSI-Warnung für Google Pixel — CVE-2026-0163
- CrowdStrike: 2026 Threat Hunting Report — Exploitation Window Closes as AI Use Accelerates
- CyberScoop: CrowdStrike — AI is now both the weapon and the target
- ad-hoc-news: BSI und Verfassungsschutz warnen vor KI-Angriffen
- Dr. Datenschutz: Top 5 DSGVO-Bußgelder im Juli 2026
- Garante per la protezione dei dati personali — Provvedimento Wind Tre
- AEPD — PS-00450-2024 (FC Barcelona, Biometrie/Art. 35, PDF)
- börse-express: Phishing-Welle August — Verbraucherzentrale warnt
- Verbraucherzentrale: Phishing-Radar — aktuelle Warnungen
