Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- KI-Crawler statt Hacker: Versicherungsdaten über offenen Server abgegriffen. Bei der uniVersa-Versicherung fehlte am 7. Juli während einer IT-Umstellung für wenige Stunden eine Sicherheitseinstellung auf einem einzelnen Server — in diesem Fenster las ein Web-Crawler von OpenAI Kundendaten aus (Namen, Anschriften, Vertragsnummern, teils IBAN/BIC; keine Gesundheitsdaten oder Passwörter). Der Fall wurde dem Bayerischen Landesamt für Datenschutzaufsicht gemeldet, Betroffene werden informiert; OpenAI bestätigte, die Daten nicht fürs Training genutzt zu haben. Betroffene sollten vorsorglich ihre uniVersa-Passwörter ändern und bei unerwarteten Anrufen oder Mails mit „bekannten“ Vertragsdaten misstrauisch sein.
- Wer Cursor, VS Code oder Google Antigravity nutzt: sofort aktualisieren. In diesen weit verbreiteten Code-Editoren steckte eine 1-Click-Schwachstelle: Ein präparierter Link (etwa in einer Git-Commit-Nachricht) konnte beim Anklicken ohne Nachfrage Schadcode mit vollen Rechten ausführen. Alle drei Hersteller haben Updates bereitgestellt — jetzt auf die aktuelle Version aktualisieren.
- „Zahlen mit Daten“: Klarheit für Bonusprogramme. Das OLG Köln hat bestätigt, dass die Bereitstellung personenbezogener Daten kein anzugebender „Gesamtpreis“ ist — Anbieter von Treueprogrammen müssen also keinen Preis „in Daten“ ausweisen. Die Datenschutz-Informationspflichten (Art. 13, 14 DSGVO) und das Einwilligungserfordernis bleiben aber vollständig bestehen. Die Frage liegt jetzt beim BGH (I ZR 260/26).
- DSGVO-Reform: Entlastung ja, aber nicht vorschnell handeln. Die Debatte um eine Modernisierung des Datenschutzes läuft (Stuttgarter Impulse der Aufsichtsbehörden, Reformpaket der Bundesregierung). Wer aber wegen der diskutierten Erleichterungen den Datenschutzbeauftragten vorschnell abmeldet, kann trotzdem pflichtwidrig handeln — die 20-Personen-Schwelle ist nur einer von mehreren Bestellgründen.
Aktuelle Phishing- und Betrugswellen
Über das Wochenende keine neue, unabhängig belegte Phishing-Masche über die bereits am 7. August dargestellte breite August-Welle (Sparkasse, Postbank, AOK, ELSTER) hinaus. Diese Kampagnen laufen mit wechselnden Betreffzeilen weiter; das Schutzprinzip bleibt unverändert: keine Links aus unaufgeforderten Nachrichten öffnen, keine Zugangsdaten preisgeben, Portale selbst im Browser aufrufen.
Besondere Aufmerksamkeit verdient der uniVersa-Datenabfluss: Sind Name, Anschrift und Vertragsdaten in falsche Hände geraten, lassen sich damit besonders glaubwürdige Betrugsanrufe und -mails gestalten. Auch wenn Anrufer echte Vertragsdaten nennen können, sollten Betroffene keine weiteren Auskünfte erteilen und im Zweifel selbst über die offizielle Rufnummer zurückrufen.
Was war los?
Technisch bestimmen zwei Themen den Tag: eine 1-Click-Schwachstelle in den KI-nahen Code-Editoren Cursor, VS Code und Google Antigravity, die Millionen Entwickler-Rechner gefährdete (inzwischen gepatcht), sowie kritische, intern entdeckte Lücken in Ciscos IOS XE (noch nicht ausgenutzt, aber ohne Workaround). Datenschutzseitig sorgt ein ungewöhnlicher Vorfall für Aufsehen: Bei der uniVersa-Versicherung griff nicht ein Hacker, sondern ein KI-Web-Crawler von OpenAI über einen kurzzeitig ungeschützten Server Kundendaten ab.
Was sich rechtlich geändert hat
Zwei Kölner Entscheidungen betreffen die Praxis: Das OLG Köln bestätigt, dass „Zahlen mit Daten“ keinen anzugebenden Gesamtpreis begründet (Revision beim BGH anhängig), während die Datenschutz-Informationspflichten bestehen bleiben. Das LG Köln entschied, dass technische Symbole in Bauzeichnungen wegen Funktionszwängen und Freihaltebedürfnis überwiegend nicht urheberrechtlich geschützt sind — und dass, wer aus Arbeitnehmerurheberschaft klagt, konkret darlegen muss, wer welchen schöpferischen Beitrag geleistet hat.
IT-Detailansicht für Fachpublikum
Im Folgenden: die Top-Themen, eine Management Summary, die Top-Risiken sowie die sechs Fachkapitel (Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder, Cyber-Sicherheit), ergänzt um einen KI-/LLM-Überblick, Ausblick, Methodik und Quellenverzeichnis.
Top-Themen der Woche
1. 1-Click-RCE in Cursor, VS Code und Google Antigravity
In den weit verbreiteten Code-Editoren Cursor, Microsoft VS Code und Google Antigravity (alle auf der VS-Code-Codebasis) fand der Sicherheitsanbieter AISLE eine 1-Click-Remote-Code-Execution: Ein präparierter Link — etwa in einer Git-Commit-Nachricht — führte beim Anklicken ohne Bestätigungsdialog Schadcode mit vollen Terminal-Rechten aus. Betroffen waren geschätzt 50 Mio. Entwickler; Entwickler-Umgebungen enthalten typischerweise Quellcode, Cloud-Credentials, API-Tokens und SSH-Keys.
Letzte Entwicklung: Alle drei Hersteller haben die Lücke bis 5. August gepatcht. Der Fall zeigt einen „Ripple-Effekt“: Weil viele KI-Editoren VS-Code-Forks sind, verbreitete sich derselbe Fehler über mehrere Produkte. Empfehlung: aktualisieren, Commit-Historie auf verdächtige Links prüfen, exponierte Zugangsdaten rotieren.
2. uniVersa: KI-Crawler von OpenAI griff Kundendaten über offenen Server ab
Wegen einer fehlenden Sicherheitseinstellung war am 7. Juli während einer IT-Umstellung ein einzelner uniVersa-Server (für den Datenaustausch mit Vertriebspartnern) kurzzeitig ungeschützt erreichbar; ein Web-Crawler von OpenAI scannte in diesem Fenster die offenen Daten. Betroffen waren Namen, Anschriften, Vertragsnummern, Tarifdetails und in Einzelfällen Bankverbindungen (IBAN/BIC) — nicht jedoch Gesundheitsdaten, Passwörter oder Kreditkartennummern.
Letzte Entwicklung: uniVersa meldete den Vorfall dem BayLDA, informiert Betroffene seit dem 20. Juli und schaltete IT-Forensiker ein; OpenAI bestätigte, die Daten nicht fürs Training genutzt zu haben. Kein klassischer Cyberangriff, sondern eine Fehlkonfiguration mit KI-Crawler-Zugriff.
Management Summary
Sicherheitsseitig prägen zwei Themen den Tag. Erstens eine 1-Click-Remote-Code-Execution in den Code-Editoren Cursor, Microsoft VS Code und Google Antigravity: Ein Klick auf einen präparierten Link (z. B. in einer Git-Commit-Nachricht) führte ohne Bestätigung Schadcode mit vollen Terminal-Rechten aus. Der Fehler stammt aus der gemeinsamen VS-Code-Codebasis und rippelte über mehrere KI-native Editoren; nach Angaben des Entdeckers AISLE waren rund 50 Mio. Entwickler exponiert. Alle drei Hersteller haben die Lücke bis zum 5. August gepatcht. Zweitens veröffentlichte Cisco am 5. August ein IOS-XE-Hardening-Release, das mehrere intern entdeckte Schwachstellen schließt, darunter CVE-2026-20272 (CVSS 9,8, Command-Injection mit möglicher RCE, unauthentifiziert) und CVE-2026-20267 (CVSS 9,0, Umgehung von Autorisierungsprüfungen). Eine aktive Ausnutzung ist bislang nicht bekannt, Workarounds gibt es nicht — nur das Upgrade behebt die Lücken. Beide Fälle unterstreichen das Lieferketten- und Werkzeug-Risiko in Entwicklungs- und Netzwerk-Infrastruktur.
Datenschutz- und rechtsseitig sticht der uniVersa-Vorfall hervor: Kein klassischer Angriff, sondern eine kurzzeitige Fehlkonfiguration, über die ein OpenAI-Web-Crawler Kundendaten (Namen, Anschriften, Vertragsdaten, teils IBAN/BIC) abgriff; der Vorfall ist beim BayLDA gemeldet, OpenAI bestätigte, die Daten nicht fürs Training zu verwenden. Hinzu kommen zwei Kölner Urteile: Das LG Köln (14 O 195/24) verneinte den Urheberrechtsschutz technischer Symbole in Bauzeichnungen (Funktionszwänge, Herstellerneutralität, Freihaltebedürfnis) und verlangte für die Aktivlegitimation konkreten Vortrag zur Urheberschaft statt pauschaler Team-Zuschreibung (ur-566). Das OLG Köln bestätigte, dass die Bereitstellung von Daten kein „Gesamtpreis“ im Sinne der Preisangabepflichten ist; die Revision ist beim BGH (I ZR 260/26) anhängig. Die DSGVO-Reform-Debatte (Stuttgarter Impulse, Reformpaket) läuft als Dauerthema weiter.
Die wichtigsten Punkte im Überblick
- 1-Click-RCE in Cursor/VS Code/Google Antigravity (AISLE): Link → Codeausführung mit vollen Rechten; ~50 Mio. Entwickler; bis 05.08. gepatcht (Ripple-Effekt über VS-Code-Forks).
- Cisco IOS XE Hardening (05.08.): CVE-2026-20272 (CVSS 9,8, RCE) + CVE-2026-20267 (CVSS 9,0, Auth-Bypass); keine Workarounds, bislang nicht ausgenutzt.
- uniVersa-Datenpanne: OpenAI-Crawler griff über kurz offenen Server Kundendaten ab (Namen/Anschriften/Verträge, teils IBAN/BIC); BayLDA gemeldet; keine Trainings-Nutzung.
- LG Köln 14 O 195/24: kein Urheberrechtsschutz für technische Symbole in Bauzeichnungen; konkrete Darlegung der Urheberschaft nötig (ur-566, nicht rechtskräftig).
- OLG Köln „Daten als Gegenleistung“: kein Gesamtpreis, aber Art. 13/14 DSGVO bleiben; Revision BGH I ZR 260/26.
Top-Risiken – Handlungsempfehlungen für heute
- Code-Editoren aktualisieren. Cursor, VS Code und Google Antigravity auf die gepatchten Versionen bringen (v. a. auf Systemen mit Repository-, Cloud- oder CI/CD-Zugriff); Commit-Historie auf verdächtige Links prüfen und ggf. exponierte API-Keys/SSH-Keys rotieren.
- Cisco IOS XE patchen. Betroffene Releases (17.9/17.12/17.15/17.18/26.1) auf die gefixten Stände heben; da es keine Workarounds gibt, ist das Upgrade die einzige Abhilfe. Management-Interfaces nicht offen exponieren.
- IT-Umstellungen als Risiko behandeln. Der uniVersa-Fall zeigt: Change-Prozesse absichern (dokumentierte, freigegebene Änderungen, Konfigurations-Reviews, Zugriffs-Protokollierung), damit temporär offene Server auffallen — auch gegenüber automatisierten Crawlern.
- Datenschutz-Governance bei „Zahlen mit Daten“. Bei datenbasierten Geschäftsmodellen/Loyalty-Programmen Art. 13/14-Informationen und Einwilligungen sauber ausgestalten — unabhängig von der Gesamtpreis-Frage.
1. Datenschutz
Als Dauerthema läuft die Debatte um die Modernisierung des Datenschutzes weiter: Die „Stuttgarter Impulse“ der Datenschutzkonferenz (Juni) und das Reformpaket der Bundesregierung (Punkt 14 „Moderner Datenschutz für mehr Wachstum“) überschneiden sich in weiten Teilen — von der gesetzlichen Verankerung der DSK über verbindlichere Mehrheitsentscheidungen bis zu KMU-Erleichterungen. Materiell neu ist heute nichts; die Fachöffentlichkeit mahnt jedoch, angekündigte Entlastungen (etwa bei der DSB-Bestellpflicht) nicht vorschnell umzusetzen, da mehrere Bestellgründe nebeneinander stehen und ein voreiliges Abmelden ein Bußgeldrisiko (Art. 83 DSGVO) begründen kann. Die konkreten Vorfälle des Tages liegen in Kapitel 2 (uniVersa) und Kapitel 4 (OLG Köln).
2. Datensicherheit
Ein ungewöhnlicher Datenabfluss ohne Angreifer.
2.1 uniVersa: KI-Web-Crawler griff über kurz offenen Server Kundendaten ab
Zusammenfassung: Beim Nürnberger Versicherer uniVersa fehlte am 7. Juli 2026 im Rahmen einer IT-Umstellung für wenige Stunden eine Sicherheitseinstellung auf einem einzelnen Server, der für den automatisierten Datenaustausch mit Vertriebspartnern vorgesehen ist. In diesem Zeitfenster scannte ein Web-Crawler von OpenAI die offen erreichbaren Daten. Betroffen waren Namen, Anschriften, Vertragsnummern und Tarifdetails, in Einzelfällen auch Bankverbindungen (IBAN/BIC); Gesundheitsdaten, Passwörter und Kreditkartennummern waren laut Versicherer nicht betroffen, zentrale Verwaltungssysteme und Kundenportal blieben getrennt. Entdeckt wurde der Zugriff über interne Sicherheitskontrollen; uniVersa meldete den Vorfall dem Bayerischen Landesamt für Datenschutzaufsicht, informiert Betroffene seit dem 20. Juli und schaltete externe Forensiker ein. OpenAI bestätigte, die abgerufenen Daten nicht für das Training seiner Modelle zu nutzen.
Hintergrund & Einordnung: Der Fall ist bemerkenswert, weil kein klassischer Cyberangriff vorlag, sondern eine Fehlkonfiguration, die von einem automatisierten KI-Crawler ausgenutzt wurde — ein Risikoszenario, das mit der Verbreitung aggressiver Crawler an Bedeutung gewinnt. Er zeigt, dass IT-Umstellungen ein eigener Risikofaktor sind: Kurzzeitig offene Systeme werden im Internet schnell gefunden.
Praxisfolgen / Handlungsempfehlung: Change-Prozesse absichern (dokumentierte und freigegebene Änderungen, Konfigurations-Reviews vor und nach Umstellungen, Protokollierung von Zugriffen), exponierte Schnittstellen vor der Freischaltung prüfen und automatisierte Crawler durch Zugriffskontrollen aussperren. Meldeprozesse (Art. 33/34 DSGVO) geübt halten. Betroffene: Passwörter ändern, wachsam gegenüber Betrug mit echten Vertragsdaten.
3. IT-Sicherheit
Eine editorübergreifende 1-Click-Lücke und kritische Cisco-IOS-XE-Schwachstellen.
3.1 1-Click-RCE in Cursor, VS Code und Google Antigravity (AISLE)
Zusammenfassung: Der Sicherheitsanbieter AISLE deckte eine 1-Click-Remote-Code-Execution in den Code-Editoren Cursor, Microsoft VS Code und Google Antigravity auf. Ein präparierter Link — etwa eingebettet in eine Git-Commit-Nachricht — führte beim Anklicken im Editor ohne Bestätigungsdialog, Warnung oder sichtbares Zeichen Schadcode mit vollen Terminal-Rechten aus. Weil alle drei Produkte auf der VS-Code-Codebasis beruhen, betraf derselbe Fehler geschätzt 50 Mio. Entwickler. Alle drei Hersteller stellten bis zum 5. August 2026 Patches bereit.
Hintergrund & Einordnung: Entwicklerumgebungen sind hochwertige Ziele: Sie enthalten Quellcode, Cloud-Credentials, API-Tokens (u. a. OpenAI, Anthropic, Stripe), SSH-Keys und Deployment-Zugänge. Der Fall illustriert einen „Ripple-Effekt“ im KI-Tooling-Ökosystem — weil viele KI-native IDEs VS-Code-Forks sind, kann eine einzige Schwachstelle still über mehrere Produkte wandern, bis sie entdeckt wird.
Praxisfolgen / Handlungsempfehlung: Cursor, VS Code und Google Antigravity auf die aktuellen, gepatchten Versionen aktualisieren — priorisiert auf Systemen mit Repository-, Cloud- oder Signatur-/CI/CD-Zugriff. Commit-Historien auf verdächtige oder unbekannte Links prüfen und Zugangsdaten rotieren, die während der Nutzung verwundbarer Versionen exponiert gewesen sein könnten.
3.2 Cisco IOS XE: kritische Lücken im August-Hardening-Release (CVE-2026-20272/20267)
Zusammenfassung: Cisco veröffentlichte am 5. August 2026 ein IOS-XE-Software-Hardening-Release (Advisory cisco-sa-hardening-iosxe-V8NMuMZJ), das mehrere intern entdeckte Schwachstellen schließt. Die schwerwiegendste, CVE-2026-20272 (CVSS 9,8), beruht auf unzureichender Neutralisierung von Sonderzeichen und ermöglicht Injection-Angriffe bis hin zur vollständigen Remote-Code-Execution — aus der Ferne, ohne Authentifizierung und ohne Nutzerinteraktion. CVE-2026-20267 (CVSS 9,0) erlaubt einem unauthentifizierten Angreifer, Autorisierungsprüfungen vollständig zu umgehen. Betroffen sind IOS-XE-Releases 17.9, 17.12, 17.15, 17.18 und 26.1 im autonomen oder Controller-Modus. Cisco fand die Fehler intern; eine aktive Ausnutzung ist nicht bekannt.
Hintergrund & Einordnung: Für die Lücken gibt es keine Workarounds — nur das Upgrade behebt sie. Zentral verwaltete Netzwerk-Infrastruktur ist ein hochwertiges Ziel; nach Veröffentlichung schwerwiegender Cisco-Advisories wächst das Angreiferinteresse erfahrungsgemäß rasch, auch ohne bereits beobachtete Ausnutzung.
Praxisfolgen / Handlungsempfehlung: Betroffene IOS-XE-Stände zeitnah auf die gefixten Versionen heben, Management-Interfaces vom offenen Internet trennen und segmentieren. Da keine Umgehungslösung existiert, sollte das Einspielen der Fixes trotz fehlender Exploit-Beobachtung priorisiert werden.
4. Urteile
Zwei Kölner Entscheidungen; das LG-Köln-Urteil ist vollständig als CSA-Beitrag aufbereitet (ur-566).
4.1 LG Köln (14 O 195/24): kein Urheberrechtsschutz für technische Symbole in Bauzeichnungen
Sachverhalt: Ein Planungsbüro für Medizin- und Versorgungstechnik nahm zwei frühere Mitarbeiterinnen und deren neue Arbeitgeber (ein konkurrierendes Planungsbüro, eine Brandschutz-Sachverständige) auf Unterlassung, Auskunft, Vernichtung und Schadensersatz in Anspruch. Streitgegenstand waren selbst entwickelte Symbole für medizinische Einrichtungsgegenstände, die in den Bauantragsunterlagen der Beklagten auftauchten.
Entscheidung: Das LG Köln (05.03.2026) wies die Klage vollständig ab; das Urteil ist nicht rechtskräftig.
Begründungs-Kernpunkte: Nach dem unionsrechtlichen Werkbegriff (EuGH C-683/17, Cofemel) fehlt technischen Symbolen in Bauzeichnungen überwiegend die persönliche geistige Schöpfung — Funktionszwänge, das Gebot herstellerneutraler Planung, DIN-Vorgaben und ein beachtliches Freihaltebedürfnis lassen kaum Raum für freie kreative Entscheidungen. Soweit ein Schutz nicht ausgeschlossen ist, fehlte konkreter Vortrag dazu, welche natürliche Person welchen schöpferischen Beitrag geleistet und welche Rechte übertragen hat; der pauschale Verweis auf ein „CAD-Team“ und § 43 UrhG genügt bei bestrittener gemeinschaftlicher Schöpfung nicht. Auch ergänzender wettbewerbsrechtlicher Leistungsschutz scheidet aus, weil die Symbole nur untergeordnete Elemente des Gesamtplans sind (keine Herkunftstäuschung; Parallele zu OLG Köln 6 U 84/15).
Praxisfolgen: Symbol-Bibliotheken und ähnliche funktionsgetriebene Darstellungen sind wertvolle Arbeitsmittel, aber regelmäßig nicht urheberrechtsfähig; Schutz gelingt eher über vertragliche Regelungen (Nutzungs-, Wettbewerbs-, Geheimhaltungsvereinbarungen) als über das Urheberrecht. Wer aus abgeleitetem Recht klagt, muss die Urheberschaft konkret darlegen. Aufbereitung: ur-566.
4.2 OLG Köln: „Daten als Gegenleistung“ ist kein anzugebender Gesamtpreis
Sachverhalt: Streit um die Frage, ob Anbieter, die für einen Dienst personenbezogene Daten statt Geld verlangen („Zahlen mit Daten“), einen „Gesamtpreis“ im Sinne der verbraucherschutzrechtlichen Informationspflichten angeben müssen — Hintergrund sind datenbasierte Geschäftsmodelle und Bonusprogramme.
Entscheidung: Das OLG Köln bestätigte die Linie der Obergerichte: Die Bereitstellung personenbezogener Daten ist kein „Gesamtpreis“. Die Revision wurde wegen grundsätzlicher Bedeutung zugelassen und ist beim BGH (I ZR 260/26) anhängig.
Begründungs-Kernpunkte: Unter „Preis“ ist nach den zugrunde liegenden Vorgaben eine Geldzahlung zu verstehen, nicht jede andere Gegenleistung; eine Pflicht zur Angabe eines Gesamtpreises besteht nur, wenn tatsächlich ein Geldbetrag zu zahlen ist. Die Entscheidung liegt auf der Linie des OLG Stuttgart (23.09.2025, 6 UKl 2/25, „Lidl Plus“).
Praxisfolgen: Anbieter von Treueprogrammen und datenbasierten Diensten müssen keinen Preis „in Daten“ ausweisen — die Datenschutz-Informationspflichten (Art. 13, 14 DSGVO) und, soweit die Verarbeitung nicht zur Vertragserfüllung erforderlich ist, eine wirksame Einwilligung bleiben aber uneingeschränkt bestehen. Endgültige Klärung durch den BGH steht aus.
5. Bußgelder
Im Tagesfenster keine neuen, unabhängig belegten und noch nicht behandelten Bußgeldbescheide. Der Enforcement-Überblick für Juli 2026 (u. a. Garante ./. Wind Tre, AEPD ./. FC Barcelona) war Gegenstand der Ausgabe vom 7. August. Aktuell im Fokus der Aufsicht steht der gemeldete uniVersa-Datenschutzvorfall (siehe Kapitel 2), zu dem eine aufsichtsbehördliche Bewertung durch das BayLDA aussteht.
6. Cyber-Sicherheit
Kein neuer, unabhängig belegter Einzelvorfall über die in Kapitel 2 und 3 behandelten Themen hinaus. Als Wochenlinie verdichtet sich, dass Entwickler- und KI-Werkzeuge zur eigenständigen Angriffsfläche werden: Die 1-Click-Lücke in VS-Code-basierten Editoren (Kapitel 3) und der KI-Crawler-Zugriff bei uniVersa (Kapitel 2) stehen exemplarisch dafür, dass automatisierte und KI-nahe Komponenten neue, oft unterschätzte Einfallstore schaffen — ergänzend zur bereits berichteten Verlagerung von Angriffen in die Software-Lieferkette (npm) und zur KI-gestützten Ausnutzung (Ausgaben vom 6./7. August).
KI & große Sprachmodelle
Kompakter Überblick (bewusst knapp, Tracker-/Anbieterangaben als solche gekennzeichnet):
- KI als Risikofaktor (Tagesbezug): Ein OpenAI-Web-Crawler löste den uniVersa-Datenabfluss aus (Kapitel 2); KI-native Code-Editoren waren Träger einer 1-Click-RCE (Kapitel 3). KI wirkt damit heute vor allem als Sicherheits- und Datenschutz-Risikofaktor.
- Modell-/Anbieterlage (Anfang August, teils PR-getrieben): OpenAI und Anthropic lieferten sich einen öffentlichen Wettstreit um mathematische „Durchbrüche“ (OpenAI-Modell „Astra“; Anthropic meldete Lösungen mit „Claude Fable 5″); am 3. August war zudem ein KI-Sicherheitstreffen im Weißen Haus mit OpenAI, Anthropic und Google angekündigt. Diese Meldungen sind anbieter-/tracker-getrieben und nicht durchgängig unabhängig bestätigt.
Datenschutz- und Sicherheitsrelevanz: Der KI-Schwerpunkt bleibt auf der Risikoseite — Fehlkonfigurationen treffen auf aggressive Crawler, und KI-Tooling vergrößert die Angriffsfläche der Entwicklung.
Ausblick / Termine
- 11. September 2026: CRA-Meldepflichten (Art. 14) beginnen.
- 27. September 2026: Anwendbarkeit der EmpCo-Umsetzung im UWG (Green Claims), Bußgelder bis 4 % des Jahresumsatzes.
- 30. Oktober 2026: Ende der öffentlichen Konsultation zu den EDPB-Leitlinien 02/2026 (Anonymisierung).
- 2. Dezember 2026: Neue AI-Act-Verbote (intime Deepfakes ohne Einwilligung; CSAM) sowie Kennzeichnungspflichten für vor dem 2. August 2026 vermarktete KI-Inhalte.
- Offen (anhängig): BGH I ZR 260/26 zur Frage „Daten als Gegenleistung“ (Gesamtpreis-Angabe).
Methodik
Stichtag dieses Briefings ist der 10. August 2026. Bevorzugt werden Primär- und Behördenquellen (Gerichte mit Aktenzeichen, CISA/Hersteller-Advisories, Aufsichtsbehörden) sowie etablierte Fachmedien; jede Meldung ist über einen konkreten Deep-Link belegt. Das LG-Köln-Urteil (14 O 195/24) stammt aus dem INFOLAW-Verteiler (ITM Münster); der Volltext wurde über die NRWE-Datenbank beschafft und nach dem Urteils-Recherche-Pattern aufbereitet (ur-566). Der uniVersa-Vorfall (zuerst von heise berichtet) ist über mehrere Fachmedien und die Angaben des Versicherers belegt; das Aktenzeichen der OLG-Köln-Entscheidung war zum Stichtag nicht eindeutig veröffentlicht, die Revision ist beim BGH (I ZR 260/26) anhängig. Die Cisco- und Editor-Schwachstellen sind über Hersteller-Advisory bzw. den Entdecker AISLE und Fachpresse belegt. Wettbewerber-Statistiken (z. B. KnowBe4) werden nicht verwendet. Englischsprachige Quellen werden ins Deutsche übersetzt, der Originallink bleibt erhalten. Das Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.
Quellenverzeichnis
- Versicherungsmonitor: Datenschutzvorfall bei uniVersa — OpenAI-Crawler griff auf Kundendaten zu
- asscompact: Crawler von OpenAI greift uniVersa-Kundendaten ab
- t-online: uniVersa — KI-Crawler liest Kundendaten aus
- Dr. Datenschutz: Shortnews im August 2026 – KW 32 (uniVersa)
- SecurityWeek: Critical Cursor AI IDE Flaws Could Lead to OS-Level RCE
- Cybersecurity News: 1-Click RCE in Cursor, VS Code, and Google Antigravity
- AISLE: 1-Click RCE Vulnerability in Cursor, VS Code, and Google Antigravity
- The Hacker News: Cisco Patches 12 SD-WAN and IOS XE Flaws
- Cisco Security Advisory: IOS XE Software Security Hardening Release August 2026
- NRWE: LG Köln, Urt. v. 05.03.2026 – 14 O 195/24 (Volltext)
- cornea-franz.de: Kein Urheberrechtsschutz für technische Planungssymbole
- volke.legal: LG Köln — Symbole keine Werke nach § 2 I Nr. 7 UrhG
- Dr. Datenschutz: Daten als Gegenleistung — OLG Köln bestätigt Linie
- RA Ferner: Informationspflichten bei „Daten als Gegenleistung“
- Dr. Datenschutz: Stuttgarter Impulse und DSGVO-Reform
- Datenschutzkonferenz: Entschließung vom 19.06.2026 — Stuttgarter Impulse (PDF)
