Aktuelle Phishing- und Betrugswellen

Die Serie gefälschter Bank-Mails setzt sich fort und wechselt die Marken. Aktuell im Umlauf: eine DKB-Mail, die den angeblichen Ablauf der App-Registrierung zum 20. August behauptet und zur „Reaktivierung“ auffordert (Warnung vom 13. August); eine easybank-Mail mit dem Betreff „Sicherheitsprotokoll“, die mit der Deaktivierung des Online-Zugangs droht (12. August); sowie eine Commerzbank-„Sicherheitsmitteilung“, die mit der Sperrung von Überweisungen und Kartenzahlungen unter Fristdruck setzt. Allen gemein sind die bekannten Merkmale: erfundene Fristen, Sperrdrohungen und ein Link zu einer täuschend echten Anmeldeseite.

Diese Wellen sind Varianten desselben Grundmusters, das zuletzt auch Sparkasse, Volksbank und PayPal getroffen hat. Der einzig verlässliche Schutz ist Verhaltensdisziplin: Kein Kreditinstitut fordert per E-Mail-Link zur Freischaltung, Reaktivierung oder Identitätsprüfung auf. Im Zweifel die Nachricht ignorieren, die App direkt öffnen oder die Bank über die Nummer auf der Karte anrufen — niemals die in der Mail angegebene Rufnummer verwenden.

Was war los?

Der Tag steht im Zeichen der Software-Lieferkette und der Patchday-Nachwehen. Ein selbstverbreitender Schadcode hat hunderte weit verbreitete npm-Pakete infiziert und greift Zugangsdaten von Entwicklern ab — mit einem Streuradius von über einer Milliarde Downloads pro Monat. Parallel folgten nach Microsoft nun auch SAP und Adobe mit umfangreichen Sicherheitsupdates, darunter mehrere Höchstrisiko-Lücken; eine Adobe-Commerce-Schwachstelle wird bereits aktiv ausgenutzt, um Kundenkonten in Onlineshops zu übernehmen. Für Privatpersonen bleiben die anhaltenden Banken-Phishing-Wellen das drängendste Thema.

Was sich rechtlich geändert hat

Aus Rechtsprechung und Aufsichtsbehörden liegt im heutigen Fenster keine neue, noch nicht behandelte Entscheidung mit Datenschutz- oder IT-Bezug vor. Die datenschutzrechtlich einschlägigen Urteile der vergangenen Wochen (unter anderem zur Meta-Pixel-Verantwortlichkeit und zur behördlichen E-Mail-Beschlagnahme) wurden bereits in früheren Ausgaben behandelt.

IT-Detailansicht für Fachpublikum

Nachfolgend die sechs Fachkapitel sowie der KI-/LLM-Überblick für technische und rechtliche Fachleute: Management Summary, Top-Risiken, die Kapitel Datenschutz, Datensicherheit, IT-Sicherheit, Urteile, Bußgelder und Cyber-Sicherheit, dazu Ausblick, Methodik und Quellenverzeichnis.

Top-Themen der Woche

Management Summary

Im Vordergrund steht ein Angriff auf die Software-Lieferkette. Am 4. August wurde der GitHub-Account des Maintainers des weit verbreiteten keyv-Ökosystems kompromittiert; in der Folge injizierte der selbstverbreitende Wurm Shai-Hulud/CHAINDROP Schadcode in mehr als 400 npm-Pakete mit zusammen über 1,3 Milliarden monatlichen Downloads. Der Wurm nutzt einen preinstall-Hook, lädt heimlich eine Laufzeitumgebung nach und führt einen Credential-Harvester aus, der über 300 Muster für Zugangsdaten abgreift — darunter Token für KI-Entwickler-Tools (Anthropic, OpenAI, Cursor), Cloud-Provider und npm selbst. Mit den erbeuteten npm-Token verbreitet er sich eigenständig weiter, die Steuerung läuft unter anderem über Ethereum-Smart-Contracts. Betroffene Organisationen müssen betroffene Paketversionen identifizieren und sämtliche potenziell exponierten Zugangsdaten rotieren.

Auf der klassischen Schwachstellenseite folgten nach dem Microsoft-Patchday nun SAP und Adobe. SAP schloss mehrere Höchstrisiko-Lücken, darunter einen unauthentifizierten Authentication-Bypass in SAP Commerce Cloud (CVE-2026-58231, CVSS 10) und eine unauthentifizierte Memory Corruption im NetWeaver-ABAP-Stack (CVE-2026-34265, CVSS 9,8). Adobe patchte kritische Lücken in ColdFusion (CVE-2026-48362, CVSS 10) und Campaign Classic; besonders dringlich ist die Adobe-Commerce/Magento-Schwachstelle CVE-2026-71362, deren aktive Ausnutzung die Sicherheitsfirma Sansec am 12. August meldete — Angreifer können ohne Konto Kundensitzungen übernehmen. Auf der Datenschutz- und Rechtsseite ist die Lage weiterhin sommerbedingt ruhig: keine neuen, noch nicht behandelten Urteile oder Bußgelder im Tagesfenster. Verbraucherseitig setzt sich die Serie von Banken-Phishing-Wellen fort.

Die wichtigsten Punkte im Überblick

• Shai-Hulud/CHAINDROP: selbstverbreitender npm-Wurm, 400+ Pakete / 1,3 Mrd. Downloads/Monat, erntet Entwickler- und KI-Tool-Token — Credentials rotieren
• SAP-Patchday: CVE-2026-58231 (Commerce Cloud, CVSS 10, Auth-Bypass) und CVE-2026-34265 (NetWeaver, CVSS 9,8, unauthentifiziert)
• Adobe-Patchday: CVE-2026-48362 (ColdFusion, CVSS 10) sowie aktiv ausgenutzter Commerce-Bug CVE-2026-71362 (Konto-Übernahme in Onlineshops)
• UNC6671 (ehem. BlackFile): Vishing-Kampagne gegen Finanzdienstleister, rund 10,6 Mio. USD erpresst
• North Carolina Ports: Cyberangriff legte drei Häfen zeitweise lahm — IT-Störung ohne bestätigten Datendiebstahl
• Banken-Phishing weitet sich auf DKB, easybank und Commerzbank aus
• KI: Grok 4.6 erschienen, DeepSeek V4 Pro in GA, Google-Pixel-11-Event mit „Gemini Automation“
• Urteile und Bußgelder: keine neuen, noch nicht behandelten Fälle im Tagesfenster

1. Datenschutz

Die datenschutzrechtliche Lage bleibt sommerbedingt ruhig: Von BfDI, Landesbehörden und dem Europäischen Datenschutzausschuss liegen im Tagesfenster keine neuen, noch nicht behandelten Entscheidungen oder Stellungnahmen vor. Datenschutzrelevanz trägt heute vor allem die Software-Lieferkette: Der npm-Wurm greift gezielt Zugangsdaten ab, und die aktiv ausgenutzte Adobe-Commerce-Lücke eröffnet den Zugriff auf Kundendaten in Onlineshops — beides sind Vorfälle, die je nach Datenabfluss Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO auslösen können.

2. Datensicherheit

Ein Cyberangriff auf eine US-Hafenbehörde illustriert, wie stark eine reine IT-Störung physische Abläufe treffen kann.

3. IT-Sicherheit

Nach dem Microsoft-Patchday folgten SAP und Adobe mit umfangreichen Sicherheitsupdates. Mehrere Lücken erreichen den Höchstwert CVSS 10, eine Adobe-Commerce-Lücke wird bereits aktiv ausgenutzt.

4. Urteile

Im heutigen Tagesfenster liegt keine neue, noch nicht in einem früheren Briefing behandelte Gerichtsentscheidung mit Datenschutz- oder IT-Bezug vor. Die einschlägigen Entscheidungen der vergangenen Wochen — insbesondere die OLG-Urteile zur Meta-Business-Tools-Mitverantwortlichkeit (OLG Hamm 8 U 56/25, OLG München 36 U 1054/25) und die EuGH-Entscheidung zur behördlichen E-Mail-Beschlagnahme (C-258/23) — wurden bereits ausführlich gebracht. Ein am 16. Juli ergangenes EuGH-Urteil zu den FIFA-Spielervermittler-Regeln (C-209/23) berührt den Datenschutz nur am Rande (Grenzen des berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO bei Plattformdaten-Pflichten) und wird daher nicht als eigene Meldung ausgerollt.

5. Bußgelder

Es liegen keine neuen, unabhängig belegten und noch nicht behandelten DSGVO-Bußgeldbescheide europäischer oder deutscher Aufsichtsbehörden mit Beschlussdatum im Tagesfenster vor. Die jüngsten verifizierbaren Sanktionen stammen aus dem Juli und liegen damit außerhalb des Frische-Fensters — Verlässlichkeit geht vor Vollständigkeit.

6. Cyber-Sicherheit

Zwei Kampagnen prägen die Bedrohungslage: ein selbstverbreitender Lieferketten-Wurm und eine anhaltende Vishing-Welle gegen den Finanzsektor.

KI & große Sprachmodelle

Der Wochenüberblick nach Anbietern für das Fenster 11.–13. August.

• xAI: Grok 4.6 ist am 12. August offiziell erschienen — nach der zuvor noch unbestätigten Ankündigung. Es handelt sich um eine Post-Training-Verfeinerung des bestehenden Fundaments (kein neues Basismodell) mit 500.000-Token-Kontextfenster und einer neuen „xhigh“-Reasoning-Stufe; der Preis liegt rund halb so hoch wie bei vergleichbaren Frontier-Modellen.
• DeepSeek: DeepSeek V4 Pro (Build 0813) hat am 12. August den Preview-Status verlassen und ist allgemein verfügbar. Technisch entspricht es der Preview (1-Million-Token-Kontext, kein Vision-Support); der relevante Schritt ist die Produktionsreife nach fast viermonatiger Vorschauphase.
• Google: Beim „Made by Google ’26“-Event am 12. August stellte Google die Pixel-11-Reihe mit der bislang tiefsten Gemini-Integration vor. Neu ist „Gemini Automation“, das Apps und Websites per natürlichsprachigem Befehl direkt steuert; der klassische Google Assistant wird auf Android und WearOS zum 4. September eingestellt. Gemini 3.5 Flash-Lite ist zudem allgemein verfügbar.
• Alibaba/Qwen: Die für die Woche ab dem 10. August angekündigte Open-Weights-Freigabe von Qwen3.8-Max ist bis zum 13. August noch nicht erfolgt; Modell-Repository und Lizenz stehen aus (erwartet bis 16. August).
• OpenAI, Anthropic, Meta, Mistral: Kein wesentlich neuer Modell-Schritt im Fenster; die jüngsten Bewegungen (u. a. Anthropic Compliance API, Meta Muse Glimmer) lagen davor.

Ausblick / Termine

• 16.08.2026: erwartete Open-Weights-Freigabe von Qwen3.8-Max (angekündigt, noch ausstehend).
• 31.08.2026: Abkündigung des Preview-Modells gemini-robotics-er-1.6.
• 04.09.2026: Einstellung des klassischen Google Assistant auf Android/WearOS.
• 30.10.2026: Ende der öffentlichen Konsultation zu den EDPB-Leitlinien 02/2026 (Anonymisierung).
• 27.09.2026: EmpCo-Umsetzung im UWG (Green Claims), Bußgelder bis 4 % Jahresumsatz.

Methodik

Stichtag dieses Briefings ist der 13. August 2026. Bevorzugt werden Primär- und Behördenquellen (Hersteller-Advisories, Threat-Intelligence-Primärberichte, Aufsichtsbehörden, Gerichte mit Aktenzeichen) sowie etablierte Fachmedien; jede Meldung ist über einen konkreten Deep-Link belegt, Übersichtsseiten werden nicht verwendet. Meldungen, die sich bei Prüfung als bereits gebracht (u. a. die OLG-Meta-Pixel-Urteile und EuGH C-258/23) oder als mehrere Wochen alt erwiesen, wurden gestrichen. Englischsprachige Quellen sind ins Deutsche übersetzt, der Originallink bleibt erhalten. Wettbewerber-Statistiken werden nicht zitiert. Das Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.