1. Ceva Logistics: ein Dienstleister, zehn meldepflichtige Verantwortliche

Seit Mittwoch, 29. Juli 2026 · zuletzt aktualisiert Montag, 10. August 2026 · Score 84

Angreifer hatten zwischen dem 29. Juli und dem 1. August Zugriff auf Systeme des Logistikkonzerns Ceva, betroffen sind acht Lager in Europa und zwei Auftragsverarbeitungssysteme. Über die Auftragsabwicklung sind Versanddaten von Kunden mehrerer Marken abgeflossen — Valve/Steam, Bol, De Bijenkorf, Ace & Tate, ING und Ajax haben eigenständig informiert.

Letzte Entwicklung: Valve begann am 10. August mit der Kundenbenachrichtigung in Europa; bei der niederländischen Datenschutzbehörde sind Meldungen von zehn Organisationen eingegangen. Ceva hat bislang weder Einbruchsweg noch Umfang öffentlich beziffert, eine Ransomware-Gruppe hat sich nicht bekannt.

2. WordPress XSS2Shell: von der Login-Seite zur Server-Shell

Seit Freitag, 7. August 2026 · zuletzt aktualisiert Mittwoch, 12. August 2026 · Score 76

CVE-2026-64638 ist eine Pre-Authentication-XSS-Schwachstelle im WordPress-Kern, die sich zu einer Kette bis zur PHP-Ausführung ausbauen lässt. Ursache ist ein Auseinanderlaufen zweier Filterstufen: strip_tags bewertet konstruierte Tags wie < area als harmlosen Text, der KSES-Sanitizer interpretiert sie später neu.

Letzte Entwicklung: WordPress 7.0.3 schließt die Lücke, der Fix wurde bis Version 4.7 zurückportiert. Das Canadian Centre for Cyber Security sieht Hinweise auf Ausnutzung; das offizielle WordPress-Advisory bestätigt keine Ausnutzung in freier Wildbahn.

1.1 Auftragsverarbeiter-Vorfall mit zehn meldenden Verantwortlichen

14.08.2026 · The Record: Cyberattack on logistics giant Ceva

Zusammenfassung: Der Angriff auf Ceva betrifft datenschutzrechtlich nicht den Dienstleister allein, sondern jeden Auftraggeber, dessen Kundendaten in den betroffenen Auftragsverarbeitungssystemen lagen. Bei der niederländischen Datenschutzbehörde sind nach deren eigener Auskunft Meldungen von zehn Organisationen zu diesem einen Vorfall eingegangen. Valve, Bol, De Bijenkorf, Ace & Tate, ING und Ajax haben jeweils eigenständig Betroffene informiert und Aufsichtsbehörden eingeschaltet. Ceva selbst hat betroffene Kunden am 1. August unterrichtet, die betroffenen Systeme isoliert und externe Ermittler hinzugezogen.

Hintergrund & Einordnung: Die Konstellation ist der Regelfall moderner Fulfillment-Ketten: Der Verantwortliche kennt den Vorfall nicht aus eigener Erkennung, sondern erfährt ihn über den Auftragsverarbeiter — Valve nach eigenen Angaben am 7. August, also sechs Tage nach der Entdeckung bei Ceva. Die 72-Stunden-Frist des Art. 33 DSGVO läuft für den Verantwortlichen ab Kenntnis, praktisch hängt sie damit an der Meldegeschwindigkeit des Dienstleisters nach Art. 33 Abs. 2 DSGVO. Erschwerend kommt die Aufbewahrungsdauer hinzu: Weil Ceva Versanddaten bis zu 90 Tage nach der Bestellung vorhält, musste Valve vorsorglich alle Käufer dieses Zeitraums benachrichtigen, statt einen abgegrenzten Kreis zu bestimmen.

Praxisfolgen / Handlungsempfehlung: Prüfen Sie in Ihren Auftragsverarbeitungsverträgen, ob die Meldefrist des Dienstleisters ausdrücklich beziffert ist (üblich: unverzüglich, spätestens 24 Stunden) und ob er verpflichtet ist, den betroffenen Datenkreis binnen kurzer Frist einzugrenzen. Verkürzen Sie Aufbewahrungsfristen beim Dienstleister vertraglich auf das operativ Notwendige — jede zusätzliche Woche Vorhaltung vergrößert im Ernstfall den Benachrichtigungskreis. Halten Sie außerdem einen Textbaustein für Betroffenenbenachrichtigungen bereit, der die konkret zu erwartende Betrugsmasche beschreibt; Art. 34 Abs. 2 DSGVO verlangt Empfehlungen zur Schadensbegrenzung, nicht nur eine Sachverhaltsdarstellung.

1.2 Datenbrillen im Unternehmen: Was vor der Einführung zu klären ist

14.08.2026 · Dr. Datenschutz: Smart Glasses — Was Datenschutzbeauftragte beachten müssen

Zusammenfassung: Datenbrillen mit Kamera, Mikrofon und Assistenzfunktionen wandern aus dem Consumer-Markt in betriebliche Abläufe — Wartung, Logistik, Schulung, Außendienst. Aus Datenschutzsicht handelt es sich um mobile, kaum erkennbare Erfassungsgeräte, die neben Beschäftigten regelmäßig auch unbeteiligte Dritte aufnehmen. Der Beitrag ordnet die Technik entlang der typischen Prüfschritte ein: Rechtsgrundlage, Erforderlichkeit, Transparenz gegenüber Dritten und die technische Frage, wohin Bild- und Tonströme abfließen.

Hintergrund & Einordnung: Der kritische Punkt ist selten das Gerät, sondern die Verarbeitungskette dahinter: Viele Assistenzfunktionen setzen eine Cloud-Verarbeitung mit Sprach- und Bilderkennung voraus, womit ein Drittlandtransfer und häufig eine Verarbeitung besonderer Kategorien im Raum steht — Gesichter Dritter sind biometrische Daten, sobald sie zur Identifizierung ausgewertet werden. Hinzu kommt die Beschäftigten-Dimension: Eine Brille, die den Arbeitsablauf mitschneidet, ist objektiv zur Verhaltens- und Leistungskontrolle geeignet und damit in Betrieben mit Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Eine Einwilligung der Beschäftigten trägt hier regelmäßig nicht, weil es an der Freiwilligkeit fehlt.

Praxisfolgen / Handlungsempfehlung: Behandeln Sie die Einführung als DSFA-pflichtiges Vorhaben und beginnen Sie mit der Frage, welche Funktionen sich lokal auf dem Gerät ausführen lassen — jede Funktion ohne Cloud-Anbindung entschärft Transfer- und Löschfragen. Klären Sie vor dem Pilotbetrieb die Mitbestimmung und schließen Sie eine Betriebsvereinbarung, die Aufzeichnungsanlässe, Speicherorte, Löschfristen und das Verbot der Leistungskontrolle festlegt. Für Dritte braucht es ein sichtbares Signal, dass aufgezeichnet wird — eine Aufnahme-LED und ein Aushang sind das Minimum, in Publikumsbereichen ist eine ausdrückliche Ansprache vorzuziehen.

1.3 Datenrecht-Skript in aktualisierter Fassung frei verfügbar

11.08.2026 · ITM Münster: Hoeren/Pinelli, Datenrecht (Stand August 2026)

Zusammenfassung: Das Institut für Informations-, Telekommunikations- und Medienrecht der Universität Münster hat die überarbeitete Fassung seines Datenrecht-Skripts veröffentlicht, Rechtsstand 11. August 2026. Die Aktualisierung enthält Statuskorrekturen zu EHDS, NIS 2, CRA, DORA, DSA und DMA, einen neunseitigen Aktualisierungsnachtrag sowie die Einarbeitung von Data Act, Data Governance Act, FiDA und KI-Verordnung. Ergänzt wurden rund 30 Fußnoten mit amtlichen Primärquellen. Der Download ist kostenlos.

Hintergrund & Einordnung: Der Wert liegt weniger im Lehrbuchcharakter als in der Statusübersicht: Wer die Geltungsdaten von CRA, NIS-2-Umsetzung, Data Act und KI-Verordnung nebeneinander braucht, findet hier einen konsolidierten und mit Fundstellen belegten Stand — genau die Information, die in Compliance-Projekten sonst mühsam aus einzelnen Verordnungstexten und Umsetzungsgesetzen zusammengesucht wird. Für die eigene Arbeit ist das Skript Orientierung und Fundstellenlieferant, nicht Zitierquelle; belegt wird weiterhin über die genannten Primärquellen.

Praxisfolgen / Handlungsempfehlung: Nutzen Sie den Aktualisierungsnachtrag als Abgleich für die eigene Regulierungs-Roadmap und markieren Sie die Fristen, die Sie tatsächlich treffen — für Hersteller und Betreiber vernetzter Produkte sind das derzeit vor allem die CRA-Meldepflichten. Für Schulungsunterlagen empfiehlt sich, die dort zitierten Primärquellen direkt zu verlinken statt das Skript selbst. Wer eine ältere Fassung im Umlauf hat, sollte sie ersetzen: Die Statusangaben zu NIS 2 und CRA haben sich seit dem Frühjahr mehrfach verschoben.

2.1 Valve benachrichtigt europäische Steam-Hardware-Käufer

10.08.2026 · BleepingComputer · Help Net Security

Zusammenfassung: Valve hat am 10. August damit begonnen, europäische Käufer von Steam Deck, Steam Controller und Steam Machine über den Ceva-Vorfall zu informieren. Abgeflossen sind Name, Anschrift, Telefonnummer, E-Mail-Adresse sowie Art und Preis des bestellten Produkts. Nicht betroffen sind nach Valves Darstellung Steam-Kontodaten, Kaufhistorie, Zahlungsinformationen, Passwörter und Steam-Guard-Codes, weil Ceva darauf keinen Zugriff hat. Valve erfuhr am 7. August von dem Angriff und verzichtet ausdrücklich auf die Empfehlung, Passwörter zu ändern.

Hintergrund & Einordnung: Weil Ceva Versanddaten bis zu 90 Tage nach der Bestellung vorhält, konnte Valve den Betroffenenkreis nicht abgrenzen und hat vorsorglich alle Käufer dieses Zeitraums angeschrieben. Der Datensatz ist für Angreifer präzise genug für hochwertige Köder: Wer Gerätetyp, Kaufpreis und Lieferadresse kennt, kann eine Zoll- oder Nachliefermeldung bauen, die exakt zur tatsächlichen Bestellung passt. Valve nennt die zu erwartenden Maschen deshalb konkret — E-Mail, SMS und Anrufe im Namen von Steam, Valve oder einem Zusteller, Zahlungsaufforderungen für kleine Gebühren, Aufforderungen zum Anmelden zwecks „Bestellprüfung“. Der Vorfall reiht sich in ein Muster ein, bei dem nicht Kontozugänge, sondern Kontextdaten das eigentliche Handelsgut sind.

Praxisfolgen / Handlungsempfehlung: Für Betroffene: Liefer- und Zollnachrichten ausschließlich über das Händler-Kundenkonto verifizieren, keine Nachgebühren zahlen, keine Anmeldung über Links aus solchen Nachrichten. Für Unternehmen mit eigenem Versand: Prüfen Sie, wie lange Ihre Fulfillment-Partner Adress- und Bestelldaten vorhalten, und ob Sie im Ernstfall den Betroffenenkreis überhaupt eingrenzen könnten — die 90-Tage-Vorhaltung ist hier der eigentliche Schadensmultiplikator. Legen Sie außerdem fest, wer nach einem Dienstleistervorfall kommuniziert; im Ceva-Fall haben sechs Auftraggeber parallel und in unterschiedlicher Tiefe informiert.

2.2 Meldewege für Schwachstellen fehlen fast überall

06.08.2026 · BSI: Nur 1,8 Prozent der Webseitenbetreiber nutzen security.txt

Zusammenfassung: Messungen des BSI im Rahmen des Cyberdome-Projekts zeigen, dass nur 1,8 Prozent der Webseitenbetreiber in Deutschland eine security.txt nach RFC 9116 bereitstellen. Die Datei liegt unter /.well-known/security.txt und nennt einen eindeutigen Kontakt für Schwachstellenmeldungen sowie ein Ablaufdatum; alles Weitere ist optional. BSI und Allianz für Cyber-Sicherheit rufen gemeinsam zur Umsetzung auf und haben dazu einen Flyer veröffentlicht.

Hintergrund & Einordnung: Ohne definierten Meldeweg landen Hinweise von Forschenden und CERTs im allgemeinen Kontaktformular, beim Marketing oder gar nicht — im Ergebnis bleiben Schwachstellen länger offen, als sie müssten. Der Aufwand steht in keinem Verhältnis zum Nutzen: Zwei Pflichtfelder in einer Textdatei genügen. Regulatorisch bekommt das Thema jetzt Nachdruck: Der Cyber Resilience Act verpflichtet Hersteller ab dem 11. September 2026 zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle, mit einer Frühwarnfrist von 24 Stunden ab Kenntnis nach Art. 14 CRA; vollständig verpflichtend wird der CRA ab Dezember 2027.

Praxisfolgen / Handlungsempfehlung: Legen Sie eine security.txt mit einer funktionsbezogenen Adresse an (nicht mit einer Personenmailbox) und setzen Sie ein Ablaufdatum, das Sie tatsächlich nachhalten — eine abgelaufene Datei ist schlechter als keine. Klären Sie parallel, wer eingehende Meldungen bewertet und in welchem Prozess sie landen; ein Meldeweg ohne Bearbeitungsprozess verlagert das Problem nur. Wer unter den CRA fällt, sollte den Meldeweg jetzt einrichten und die 24-Stunden-Frühwarnung als Prozess durchspielen, statt sie im September erstmals zu erproben.

3.1 WordPress: XSS auf der Anmeldeseite führt zur Serverübernahme

12.08.2026 · heise · pwn.ai: XSS2Shell

Zusammenfassung: CVE-2026-64638 ist eine unauthentifizierte Cross-Site-Scripting-Schwachstelle im WordPress-Kern (CVSS 8,9), offengelegt am 7. August. Übermittelt ein Angreifer über ein präpariertes Formular einen nicht existierenden Benutzernamen an wp-login.php, baut WordPress daraus eine Fehlermeldung — und dabei laufen zwei Filterstufen auseinander. Der Forschungsname XSS2Shell beschreibt die Kette: Trifft das XSS eine aktive Administrator-Sitzung, lassen sich API-Token abgreifen und PHP-Code hochladen. Ausnutzbar war der Bereich von WordPress 6.4 bis 7.0.2.

Hintergrund & Einordnung: Die Ursache ist ein klassischer Parser-Differential: Ein Leerzeichen zwischen spitzer Klammer und Tag-Namen (etwa < area) lässt PHPs strip_tags den String als harmlosen Text durchgehen, während der KSES-Sanitizer ihn später wieder als Markup interpretiert. Der Fix wurde wegen der Schwere bis Version 4.7 zurückportiert, also auf jeden noch mit Sicherheitsupdates versorgten Zweig. Zur Ausnutzung in freier Wildbahn ist die Quellenlage uneinheitlich: Das Canadian Centre for Cyber Security sieht Hinweise darauf, das offizielle WordPress-Advisory bestätigt sie nicht. Beide Aussagen sind vereinbar — die XSS-Stufe ist breit erreichbar, der Weg bis zur PHP-Ausführung hängt von Administrator-Sitzung und Konfiguration ab.

Praxisfolgen / Handlungsempfehlung: Auf 7.0.3 beziehungsweise den gepatchten Stand des jeweiligen Zweigs aktualisieren und die laufende Version aktiv auslesen, statt auf Hintergrund-Updates zu vertrauen. Anschließend Kompromittierungsspuren suchen: neue oder veränderte Administratorkonten, kürzlich installierte Plugins und Themes, geänderte PHP-Dateien, unbekannte Cronjobs und auffällige Zugriffe auf wp-login.php. Administratoren sollten sich nach dem Update neu anmelden und Sitzungen invalidieren; wer Application Passwords oder REST-API-Token vergeben hat, rotiert sie.

3.2 macOS: Bildschirmfreigabe ohne gültige Zugangsdaten

07.08.2026 · Macwelt: macOS 26.6.1 schließt kritische Lücke bei der Bildschirmfreigabe

Zusammenfassung: Apple hat mit CVE-2026-65400 eine Schwachstelle geschlossen, über die sich ein Angreifer im Netzwerk ohne gültige Anmeldedaten an der Bildschirmfreigabe authentifizieren konnte. Betroffen sind macOS 14 (Sonoma), macOS 15 (Sequoia) und macOS 26 (Tahoe); abgesichert sind die Versionen 14.8.9, 15.7.9 und 26.6.1. Ungewöhnlich ist der Zuschnitt des Updates: Apple hat hier ein Release veröffentlicht, das genau einen Fehler behebt.

Hintergrund & Einordnung: Voraussetzung für einen Angriff ist Netzzugang zu einem Mac mit aktivierter Bildschirmfreigabe — in gemeinsam genutzten Büronetzen, Co-Working-Spaces, Hotel- und Konferenz-WLANs also eine realistische Lage. Die Schwere ergibt sich weniger aus der technischen Komplexität als aus der Wirkung: Wer sich an der Bildschirmfreigabe anmeldet, sitzt effektiv vor dem Gerät. Dass Apple ein isoliertes Ein-Fehler-Update herausgibt und es zugleich auf zwei ältere Hauptversionen zurückportiert, spricht für eine hohe interne Priorisierung.

Praxisfolgen / Handlungsempfehlung: Updates flottenweit ausrollen und den Stand per MDM verifizieren. Unabhängig vom Patch gilt das Grundprinzip der Angriffsflächenreduktion: Unter „Systemeinstellungen → Allgemein → Freigaben“ alle nicht benötigten Dienste deaktivieren, insbesondere Bildschirmfreigabe, Dateifreigabe und Remote-Login. Aktivieren Sie zudem „Sicherheitsreaktionen und Systemdateien installieren“, damit Notfall-Patches ohne Nutzerinteraktion greifen, und prüfen Sie bei mobilen Geräten, ob Freigabedienste in fremden Netzen automatisch abgeschaltet werden.

3.3 SharePoint: bekannte Lücke jetzt als Ransomware-relevant geführt

12.08.2026 · CISA KEV-Ergänzung vom 11.08.2026 · inside-it

Zusammenfassung: Verlaufshinweis zu einem bereits behandelten Thema mit neuem Sachverhalt: Die SharePoint-Schwachstelle CVE-2026-45659 (CVSS 8,8) wird im KEV-Katalog der CISA inzwischen ausdrücklich als in Ransomware-Kampagnen genutzt geführt. Angreifer mit geringen Berechtigungen können darüber Code ausführen; die Angriffe gelten als wenig komplex. Betroffen sind On-Premises-Farmen, SharePoint Online ist es nicht.

Hintergrund & Einordnung: Die Einstufung als ransomware-relevant ist keine neue Schwachstelle, sondern eine Statusänderung mit unmittelbarer Priorisierungsfolge — sie verschiebt den Fall von „patchen im Turnus“ zu „patchen mit Vorrang“. Der praktisch wichtigere Punkt bleibt die Nacharbeit: Bei den SharePoint-Angriffsketten dieses Jahres wurden wiederholt IIS-Machine-Keys entwendet. Solange diese Schlüssel gültig bleiben, behalten Angreifer den Zugang, auch wenn die Lücke geschlossen ist.

Praxisfolgen / Handlungsempfehlung: Patchstand aller On-Premises-Farmen verifizieren und die IIS-Machine-Keys rotieren, danach die Anwendungspools neu starten. AMSI-Integration aktivieren, sofern noch nicht geschehen, und gezielt nach Einbruchsartefakten suchen — untergeschobene ASPX-Dateien in den Layouts-Verzeichnissen, neue Zeitgeberaufträge, unerwartete Dienstkonten. Wer die Fristen der CISA als Orientierung nutzt: Für die am 11. August aufgenommenen Einträge lief die Behördenfrist überwiegend am 14. August ab.

4.1 BAG: Kein Anspruch auf Kopie des vollständigen Compliance-Berichts

Bundesarbeitsgericht · 16.04.2026 · 8 AZR 169/25 · Volltext · CSA-Aufbereitung ur-574

Sachverhalt: Eine Führungskraft verlangte von ihrem Arbeitgeber die Herausgabe des Abschlussberichts einer internen Compliance-Untersuchung, die zu Vorwürfen gegen sie geführt worden war. Der von einer beauftragten Kanzlei erstellte Bericht enthielt neben der Tatsachenermittlung — Vorwürfe, Zeugenaussagen, Bewertungen des Führungsverhaltens — auch eine rechtliche Analyse und Handlungsempfehlungen an den Mandanten. Gestützt wurde das Verlangen auf Art. 15 Abs. 3 DSGVO sowie hilfsweise auf das Personalakteneinsichtsrecht.

Entscheidung: Das Bundesarbeitsgericht wies den Anspruch auf Überlassung des vollständigen — auch geschwärzten — Berichts zurück. Art. 15 Abs. 3 DSGVO vermittelt kein eigenständiges Recht auf Herausgabe eines Dokuments als solchem, sondern auf eine vollständige, verständliche Kopie der darin verarbeiteten personenbezogenen Daten. Eine Dokumentenkopie ist nur geschuldet, soweit sie für das Verständnis dieser Daten unerlässlich ist.

Begründungs-Kernpunkte: Der Bericht enthielt zwar personenbezogene Daten der Klägerin, doch die rechtliche Würdigung der Kanzlei und die Mandantenhinweise sind keine Daten über die Klägerin, sondern geben die Einschätzung der Verantwortlichen beziehungsweise ihrer Berater wieder. Für die Ausübung von Berichtigungs-, Löschungs- und Einschränkungsrechten war deren Kenntnis nicht erforderlich. Auch § 83 BetrVG und § 26 Abs. 2 SprAuG halfen nicht weiter: Das Personalakteneinsichtsrecht berechtigt nur in angemessenem Umfang zur Anfertigung eigener Kopien, nicht zur Kopie eines gesamten Berichts. Zudem äußert das Gericht Zweifel, ob anwaltliche Rechtsausführungen überhaupt Teil der materiellen Personalakte sind. Nicht entschieden werden mussten Einwände aus Geschäftsgeheimnisschutz, Hinweisgeberschutz und Rechten Dritter.

Praxisfolgen: Compliance-Berichte sollten Tatsachenermittlung und anwaltliche Bewertung strukturell trennen — idealerweise in getrennten Dokumenten oder klar abgegrenzten Teilen. Das Urteil rechtfertigt allerdings keine pauschale Geheimhaltung: Die personenbezogenen Daten müssen weiterhin vollständig und verständlich beauskunftet werden, notfalls in Form einer strukturierten Zusammenstellung. Wer Auskunftsersuchen bearbeitet, sollte den Unterschied zwischen „Daten über die Person“ und „Bewertung durch den Verantwortlichen“ dokumentiert begründen, statt die Herausgabe schlicht abzulehnen.

4.2 OLG Karlsruhe: Mieterzustimmung ersetzt beim Glasfaserausbau nicht den Eigentümer

Oberlandesgericht Karlsruhe · 24.06.2026 · 6 W 15/26 (rechtskräftig) · Volltext · CSA-Aufbereitung ur-573

Sachverhalt: Ein Telekommunikationsunternehmen wollte gestützt auf die Zustimmung eines Mieters Glasfaserleitungen durch ein fremdes Gebäude verlegen. Der Eigentümer widersprach. Streitig war, ob Art. 11 Abs. 4 der seit November 2025 geltenden Gigabit-Infrastrukturverordnung (EU) 2024/1309 dem Netzbetreiber diesen Zugriff eröffnet und in welchem Verhältnis die Verordnung zu § 145 TKG steht.

Entscheidung: Das OLG Karlsruhe entschied, dass Art. 11 Abs. 4 GIV es dem Unternehmen nicht ohne Weiteres erlaubt, allein aufgrund der Mieterzustimmung Leitungen durch ein fremdes Gebäude zu ziehen. Für die Netzauslegung ist grundsätzlich auch die Zustimmung des Eigentümers erforderlich, soweit das nationale Eigentumsrecht dies verlangt. § 145 Abs. 1 S. 1–3 TKG bleibt neben der GIV als Grundlage einer Duldungspflicht anwendbar.

Begründungs-Kernpunkte: § 145 Abs. 1 TKG begründet nach Auffassung des Senats eine echte Duldungspflicht im Sinne von § 1004 Abs. 2 BGB und legitimiert zugleich die sonst nach § 858 Abs. 1 BGB verbotene Besitzstörung — liegen seine Voraussetzungen vor, kann der Netzbetreiber also auch gegen den erklärten Willen des Eigentümers tätig werden. Besonders praxisrelevant ist die Auslegung des Qualitätskriteriums: Ob die Nutzung vorhandener Infrastruktur zu „spürbaren Qualitätseinbußen“ im Sinne von § 145 Abs. 1 S. 3 TKG führt, bestimmt sich nach der konkreten Leistungsbeschreibung des Endkundenvertrags — nicht abstrakt danach, ob FTTH technisch leistungsfähiger wäre.

Praxisfolgen: Netzbetreiber sollten ihre Zustimmungsprozesse trennen: Mieterzustimmung deckt den Anschluss, nicht den baulichen Eingriff in fremdes Eigentum. Für die Argumentation gegenüber Eigentümern ist die Leistungsbeschreibung des Endkundenvertrags das entscheidende Dokument — pauschale Verweise auf die technische Überlegenheit von Glasfaser tragen nicht. Eigentümer und Verwalter wiederum können der Verlegung nicht generell entgegentreten: Sind die Voraussetzungen des § 145 TKG erfüllt, besteht eine echte Duldungspflicht. Für Wohnungsunternehmen empfiehlt sich, Ausbauanfragen künftig entlang beider Prüfungen zu dokumentieren.

5.1 Stand der Durchsetzung: keine neue Entscheidung im Berichtsfenster

03.08.2026 · Dr. Datenschutz: Top 5 DSGVO-Bußgelder im Juli 2026

Behörde: — · Adressat: — · Höhe: keine neue Entscheidung im Zeitraum 11.–14.08.2026

Verstoß / Rechtsgrundlage: Entfällt. Die zuletzt dokumentierten Verfahren betrafen Art. 5 Abs. 1 lit. a–c und Art. 6 DSGVO (pauschale Ausweiskopien), Art. 5 Abs. 1 lit. f und Art. 32 DSGVO (Social-Engineering-Datenpannen) sowie Art. 35 DSGVO (fehlende Folgenabschätzung bei biometrischer Verarbeitung).

Begründung: Die Aufsichtsbehörden veröffentlichen Sanktionsentscheidungen mit deutlichem Zeitversatz zur Beschlussfassung; deutsche Behörden sind zur Veröffentlichung ohnehin nicht verpflichtet. Ein leeres Berichtsfenster bedeutet daher keine Entspannung der Aufsichtspraxis, sondern in erster Linie eine Lücke in der öffentlichen Dokumentation.

Praxisfolgen: Nutzen Sie die ruhige Woche für die Nacharbeit an den zuletzt sanktionierten Mustern: Prüfen Sie, ob Identifizierungsprozesse eine Einzelfall-Erforderlichkeitsprüfung vorsehen, ob Support- und Vertriebspartner mit Zugriff auf Kundendaten wirksam authentifiziert werden und ob für biometrische oder KI-gestützte Verarbeitungen eine dokumentierte Folgenabschätzung vorliegt. Der wachsende Anteil an Sanktionen wegen IT-Sicherheitsversäumnissen macht die Abstimmung zwischen Datenschutz- und Sicherheitsfunktion zum lohnendsten Einzelschritt.

6.1 Ransomware-Halbjahresbilanz: Deutschland auf Rang vier

11.08.2026 · netzpalaver: Ransomware-Attacken in Deutschland, Österreich und der Schweiz

Zusammenfassung: Bitdefender hat die von Erpressergruppen selbst reklamierten Angriffe des ersten Halbjahres 2026 ausgewertet. Weltweit bekannten sich Angreifer zu 4.641 erfolgreichen Attacken, nach 4.381 im Vorjahreszeitraum. Deutschland liegt mit 176 reklamierten Angriffen auf Rang vier hinter den USA (1.989), Kanada (201) und Großbritannien (190). Die Schweiz belegt mit 35 Opfern Rang 20, Österreich mit 29 Opfern Rang 25. Auffällig ist der Verlauf: In Deutschland stiegen die Zahlen von 22 Fällen im Januar auf 42 im Juni. Am aktivsten waren die Familien Qilin, The Gentlemen und Akira.

Hintergrund & Einordnung: Die Methodik verdient Beachtung — gezählt werden Selbstauskünfte auf Leak-Seiten, nicht verifizierte Vorfälle. Das führt in zwei Richtungen zu Verzerrungen: Erpresser übertreiben, um Druck aufzubauen, während Opfer, die ohne Veröffentlichung zahlen oder den Vorfall selbst bewältigen, gar nicht auftauchen. Als Trendindikator bleibt die Auswertung dennoch belastbar, und der Trend zeigt über das Halbjahr hinweg nach oben. Die Zusammensetzung der aktivsten Gruppen bestätigt die Fragmentierung nach den Strafverfolgungsmaßnahmen gegen die früheren Marktführer: An die Stelle weniger großer Marken sind mehrere mittelgroße Partnerprogramme getreten, was Attribution und Verhandlungslage für Betroffene unübersichtlicher macht.

Praxisfolgen / Handlungsempfehlung: Richten Sie die Verteidigung an den dominierenden Zugangswegen aus, nicht an der Gruppennamen-Statistik: exponierte Fernzugänge ohne Phishing-resistente Mehrfaktor-Authentisierung, ungepatchte Perimetersysteme und übernommene Dienstleisterzugänge. Prüfen Sie die Wiederherstellbarkeit aus Offline-Backups mit einem echten Restore-Test statt einer Backup-Erfolgsmeldung. Und definieren Sie vorab, wer im Ernstfall entscheidet, ob und wie kommuniziert wird — die Veröffentlichung auf einer Leak-Seite setzt die Frist, nicht Ihr interner Zeitplan.

6.2 Konzentrationsrisiko Logistik: ein Dienstleister, sechs betroffene Marken

14.08.2026 · TechCrunch: A data breach at shipping giant Ceva Logistics is rippling across banks, retailers, Steam gamers, and beyond

Zusammenfassung: Der Ceva-Vorfall betraf technisch nur zwei Auftragsverarbeitungssysteme in acht Lagern — und traf damit Kunden eines Spieleherstellers, zweier niederländischer Händler, eines Brillenanbieters, einer Bank und eines Fußballclubs gleichzeitig. Der Konzern betreibt nach eigenen Angaben über 1.000 Lager in mehr als 170 Ländern und setzte zuletzt 18,3 Milliarden US-Dollar um. Luft-, See-, Straßen- und Schienentransport liefen nach Unternehmensangaben normal weiter, die operative Störung blieb auf die acht Lager begrenzt.

Hintergrund & Einordnung: Der Fall illustriert ein Konzentrationsrisiko, das in Risikoanalysen selten sauber abgebildet ist. Unternehmen bewerten typischerweise ihre direkten Dienstleister, nicht die Frage, wie viele andere Auftraggeber derselbe Dienstleister bedient — dabei bestimmt genau das die Attraktivität des Ziels und die Wahrscheinlichkeit, dass ein einzelner Einbruch die eigenen Daten mitnimmt. Hinzu kommt die Informationsasymmetrie: Auftraggeber erfuhren erst über den Dienstleister vom Vorfall, teils mit sechs Tagen Verzug, und mussten dann selbstständig Umfang und Betroffenenkreis abschätzen. Dass der Einbruchsweg zwei Wochen nach der Entdeckung weiterhin nicht öffentlich benannt ist, erschwert die Bewertung für alle Auftraggeber zusätzlich.

Praxisfolgen / Handlungsempfehlung: Erweitern Sie die Dienstleisterbewertung um die Frage der Bündelung: Welche Ihrer Dienstleister sind Sammelpunkte für viele Auftraggeber, und welche Daten liegen dort in welchem Umfang? Vereinbaren Sie für solche Knotenpunkte kurze Meldefristen, ein Recht auf forensische Zwischenberichte und die Pflicht, den betroffenen Datenkreis binnen definierter Frist einzugrenzen. Und halten Sie ein eigenes Kommunikationspaket bereit — im Ceva-Fall haben die Auftraggeber unabhängig voneinander, in unterschiedlicher Tiefe und mit unterschiedlichem Zeitverzug informiert, was für Betroffene ein widersprüchliches Bild ergab.