1. macOS-Bildschirmfreigabe: von der stillen Lücke zur ausgenutzten Schwachstelle

Seit Freitag, 7. August 2026 · zuletzt aktualisiert Dienstag, 18. August 2026 · Score 86

CVE-2026-65400 erlaubt Angreifern im Netzwerk, sich ohne gültige Zugangsdaten an der Bildschirmfreigabe anzumelden. Apple hatte die Lücke am 7. August in macOS 14.8.9, 15.7.9 und 26.6.1 geschlossen; zu diesem Zeitpunkt gab es keine Hinweise auf Angriffe.

Letzte Entwicklung: Seit dem 18. August ist die Ausnutzung belegt. Betroffen waren Systeme mit über Port 5900 aus dem Internet erreichbarer Bildschirmfreigabe; die Angreifer erlangten weitreichende Rechte und installierten unter anderem einen Monero-Kryptominer. Damit wird aus einer Empfehlung eine Dringlichkeit — insbesondere für Geräte, die per Portweiterleitung erreichbar gemacht wurden.

2. SAP Commerce Cloud: drei Tage zwischen Patch und Exploit-Versuch

Seit Dienstag, 11. August 2026 · zuletzt aktualisiert Dienstag, 18. August 2026 · Score 82

CVE-2026-58231 (CVSS 10) erlaubt unauthentifizierte Codeausführung über den Missbrauch eines Standard-Authentifizierungs-Clients. Der Patch liegt seit dem SAP-Patchday vom 11. August vor.

Letzte Entwicklung: Präzisierung gegenüber der Ausgabe vom 18. August: Die ersten Exploit-Versuche wurden von DefusedCyber am Freitagnachmittag in Honeypot-Systemen registriert — also drei Tage nach Bereitstellung der Patches, nicht fünf. Für die Bewertung eigener Patchfenster ist das die relevantere Zahl.

1.1 AEPD konkretisiert die Anforderungen an Datenqualität in KI-Systemen

18.08.2026 · AEPD: Leitfaden zur Datenqualität in KI-Systemen (PDF) · datenschutzticker.de

Zusammenfassung: Die spanische Datenschutzaufsicht hat einen Leitfaden zur Datenqualität in KI-Systemen veröffentlicht und dabei vier Punkte herausgearbeitet. Erstens sind Datenqualität und Richtigkeit eng verbunden, aber nicht deckungsgleich: Datenqualität ist das weitergehende Konzept, Richtigkeit im Sinne der DSGVO bezieht sich spezifisch auf personenbezogene Daten. Zweitens ist die erforderliche Qualität nicht abstrakt, sondern anhand des konkreten Verarbeitungszwecks zu bestimmen. Drittens lässt sich ein KI-System nicht mit dem Ziel einer möglichst umfassenden Datenbasis rechtfertigen — Datenminimierung bleibt maßgeblich. Viertens unterliegen auch die von einem KI-System erzeugten Ausgabedaten den Grundsätzen der Richtigkeit und Datenminimierung. Bezugspunkte sind Art. 5 Abs. 1 lit. c und lit. d DSGVO.

Hintergrund & Einordnung: Der Leitfaden trifft einen Reflex, der in KI-Projekten verbreitet ist: „Mehr Daten führen zu besseren Ergebnissen, also ist ein größerer Datenbestand qualitätsdienlich.“ Die AEPD dreht das Argument um — Qualität ist eine Frage der Passung zum Zweck, nicht der Menge, und Datenminimierung ist kein Hindernis für Qualität, sondern deren Rahmen. Praktisch besonders folgenreich ist der vierte Punkt: Dass auch die Ausgaben eines Systems dem Richtigkeitsgrundsatz unterliegen, verschiebt die Verantwortung von der Trainingsphase in den Betrieb. Wer Bewertungen, Zusammenfassungen oder Klassifikationen über Personen erzeugt, produziert damit neue personenbezogene Daten, die richtig sein müssen und für die Betroffenenrechte gelten — einschließlich Berichtigung. Dass diese Konkretisierung von der AEPD kommt, ist kein Zufall: Sie ist die Behörde mit der höchsten Sanktionsfrequenz in Europa, und ein Leitfaden benennt regelmäßig die Kriterien, an denen später gemessen wird.

Praxisfolgen / Handlungsempfehlung: Ergänzen Sie die Dokumentation Ihrer KI-Vorhaben um eine zweckbezogene Bestimmung der erforderlichen Datenqualität — welche Genauigkeit, Aktualität und Vollständigkeit braucht dieser konkrete Zweck, und woran wird das gemessen? Streichen Sie Begründungen, die Datenmenge als Qualitätsargument führen; sie sind nach dieser Lesart angreifbar. Behandeln Sie Modellausgaben über Personen als eigene Verarbeitung: Aufbewahrungsdauer, Berichtigungsweg und Nachvollziehbarkeit gehören dokumentiert. Und prüfen Sie, ob Ihr Prozess einen Weg vorsieht, eine falsche Modellausgabe zu korrigieren — nicht nur die Eingabedaten.

1.2 Fernzugriff auf ein Endgerät ist ein Datenschutzvorfall, nicht nur ein IT-Problem

19.08.2026 · DsiN: Sicherheitslücke in macOS-Bildschirmfreigabe wird aktiv ausgenutzt

Zusammenfassung: Bei den beobachteten Angriffen auf CVE-2026-65400 erlangten die Angreifer weitreichende Zugriffsrechte auf den betroffenen Macs. Sichtbar wurde das an der installierten Nutzlast — einem Kryptominer. Aus Datenschutzsicht ist die Nutzlast aber nachrangig: Wer sich an der Bildschirmfreigabe anmeldet, sieht und steuert das Gerät wie eine anwesende Person und hat damit Zugriff auf alles, was darauf verarbeitet wird — geöffnete Dokumente, E-Mail-Postfach, angemeldete Cloud-Dienste, gespeicherte Zugangsdaten.

Hintergrund & Einordnung: Diese Konstellation wird in der Praxis regelmäßig zu niedrig bewertet, weil kein Datenabfluss beobachtet wurde. Für die Bewertung nach Art. 33 DSGVO ist aber nicht entscheidend, was nachweislich abgeflossen ist, sondern ob eine Verletzung des Schutzes personenbezogener Daten vorliegt — und ein unbefugter Vollzugriff auf ein Arbeitsgerät erfüllt das. Die Beweislage verschärft das Problem: Wenn nur ein Miner gefunden wird, heißt das nicht, dass nichts anderes geschah, sondern dass nichts anderes protokolliert war. Fehlende Protokollierung ist damit selbst ein Bewertungsfaktor. Bei Geräten von Beschäftigten mit Zugriff auf besondere Kategorien — Personal, Gesundheit, Rechtsabteilung, Betriebsrat — kann zusätzlich die Benachrichtigungspflicht nach Art. 34 in Betracht kommen.

Praxisfolgen / Handlungsempfehlung: Legen Sie vorab fest, wie ein unbefugter Fernzugriff auf ein Endgerät bewertet wird, statt das im Einzelfall zu diskutieren — mit den Leitfragen: Welche Daten waren auf dem Gerät erreichbar, welche Sitzungen waren offen, welche Zugangsdaten gespeichert? Sichern Sie betroffene Geräte forensisch, bevor Sie neu aufsetzen; ein plattgemachtes Gerät beendet die Bewertbarkeit. Rotieren Sie Zugangsdaten und Sitzungstoken, die auf dem Gerät lagen, unabhängig davon, ob ein Missbrauch sichtbar ist. Und sorgen Sie dafür, dass Endgeräte überhaupt Protokolle liefern, die eine Nachbewertung erlauben — ohne sie bleibt jede Vorfallsbewertung eine Vermutung.

2.1 Erreichbarkeit als Risikofaktor: exponierte Verwaltungsdienste erheben

19.08.2026 · DsiN: Kritische SAP-Commerce-Cloud-Lücke wird bereits angegriffen

Zusammenfassung: Die beiden ausgenutzten Schwachstellen dieses Tages haben eine gemeinsame Vorbedingung: Erreichbarkeit aus dem Internet. Bei macOS traf es Systeme, deren Bildschirmfreigabe über Port 5900 offen war; bei SAP Commerce Cloud handelt es sich um öffentlich erreichbare Shop-Systeme, bei denen die ersten Angriffsversuche binnen drei Tagen nach dem Patch in Honeypots registriert wurden. In beiden Fällen war nicht die Raffinesse des Angriffs entscheidend, sondern die Auffindbarkeit des Ziels.

Hintergrund & Einordnung: Die Praxis der Angreifer ist hier bemerkenswert schlicht: Suchmaschinen für erreichbare Dienste liefern binnen Minuten Listen von Systemen mit offenem Port 5900 oder charakteristischen Shop-Signaturen. Sobald eine Schwachstelle bekannt und ein Exploit verfügbar ist, wird diese Liste abgearbeitet — ohne Auswahl des Ziels nach Wert. Genau deshalb trifft es bei solchen Wellen überproportional kleine Organisationen, Heimarbeitsplätze und vergessene Testsysteme. Die Nutzlast bestätigt das Muster: Ein Kryptominer ist die Verwertung eines Zugangs, für den sich niemand die Mühe einer gezielten Auswertung macht. Der praktische Hebel liegt damit nicht primär beim Patchtempo, sondern bei der Frage, wie viele Dienste überhaupt von außen sichtbar sind — die Zahl kennen die meisten Organisationen nicht.

Praxisfolgen / Handlungsempfehlung: Führen Sie eine Erhebung der von außen erreichbaren Dienste durch, und zwar von außen: eigene IP-Bereiche und die dynamischen Anschlüsse von Heimarbeitsplätzen scannen, statt Konfigurationen zu lesen. Prüfen Sie insbesondere Portweiterleitungen in Routern — sie entstehen oft für einen einmaligen Zweck und bleiben jahrelang. Fassen Sie Fernzugriff grundsätzlich hinter VPN oder Zero-Trust-Proxy, statt Verwaltungsdienste direkt zu exponieren. Und wiederholen Sie die Erhebung turnusmäßig: Eine Momentaufnahme veraltet mit jeder neuen Portfreigabe.

3.1 macOS-Bildschirmfreigabe: CVE-2026-65400 wird ausgenutzt

18.08.2026 · DsiN

Zusammenfassung: CVE-2026-65400 erlaubt Angreifern im Netzwerk, den Anmeldevorgang der macOS-Bildschirmfreigabe zu umgehen und sich ohne gültige Zugangsdaten anzumelden. Ursache ist ein Fehler in der Verwaltung des Anmeldevorgangs. Apple hat die Lücke behoben; abgesichert sind macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 und macOS Sonoma 14.8.9. Bei den nun beobachteten Angriffen waren Systeme betroffen, deren Bildschirmfreigabe über Port 5900 aus dem Internet erreichbar war; die Angreifer erlangten weitreichende Zugriffsrechte und installierten unter anderem einen Monero-Kryptominer.

Hintergrund & Einordnung: Der Fall ist ein Lehrstück über die Halbwertszeit von Risikobewertungen. Am 7. August war die Lage: kritische Lücke, Patch verfügbar, keine Ausnutzung bekannt, Angriff nur aus dem lokalen Netz plausibel. Elf Tage später ist die Lücke in Gebrauch, und der maßgebliche Angriffsvektor ist nicht das Büro-WLAN, sondern das offene Internet. Wer die Bewertung damals abgeschlossen und den Patch in den nächsten Wartungszyklus gelegt hat, hat jetzt ein anderes Problem als angenommen. Bemerkenswert ist außerdem, wie gering der Anspruch der Angreifer ist: Kryptomining monetarisiert einen Vollzugriff auf die schlechteste denkbare Weise — es deutet auf automatisiertes Massenscanning und darauf, dass die Betreiber der Kampagne nicht wissen, wessen Rechner sie übernommen haben. Für Betroffene ist das kein Trost, sondern ein Hinweis: Der Zugang war da, was sonst damit geschah, ist offen.

Praxisfolgen / Handlungsempfehlung: Patchstand über die Flotte erzwingen und per MDM verifizieren. Bildschirmfreigabe, Dateifreigabe und Remote-Login unter „Systemeinstellungen → Allgemein → Freigaben“ abschalten, wo sie nicht benötigt werden; für den Rest gilt Erreichbarkeit ausschließlich über VPN. Auf Geräten, die exponiert waren, aktiv nach Kompromittierungsspuren suchen: dauerhafte CPU-Last, unbekannte Launch-Agents und -Daemons, neue Benutzerkonten, ausgehende Verbindungen zu Mining-Pools. Und behandeln Sie einen Fund nicht als Mining-Problem, sondern als Vollzugriff mit unbekanntem Umfang — mit forensischer Sicherung vor der Neuinstallation.

3.2 GitLab: kritische Lücke in der GraphQL-API erlaubt Löschen von Projektdaten

18.08.2026 · heise · GitLab: Patch-Release 19.2.4

Zusammenfassung: GitLab hat zwei Schwachstellen geschlossen. Über CVE-2026-19478 („kritisch“) können Angreifer öffentliche Projekte und Nutzerdaten verändern oder löschen; die Lücke sitzt in der GraphQL-API und wird über präparierte GraphQL-Anfragen ausgenutzt, sofern der Angreifer auf die Schnittstelle zugreifen kann. CVE-2026-19650 („hoch“) erfordert Mitwirkung des Opfers — etwa den Klick auf einen manipulierten Link —, danach lässt sich die GraphQL-API über GET-Anfragen ansprechen und beispielsweise Projekteinstellungen ändern; verfügt das Opfer über Administratorrechte, ist die Kompromittierung ganzer Instanzen möglich. Behoben sind die Versionen 18.11.11, 19.0.8, 19.1.6 und 19.2.4 in Community und Enterprise Edition. GitLab.com läuft nach Angaben des Herstellers auf gepatchten Ständen; Hinweise auf laufende Angriffe liegen nicht vor.

Hintergrund & Einordnung: Die kritische Lücke fällt aus dem üblichen Muster, weil sie nicht auf Codeausführung oder Datenabfluss zielt, sondern auf Integrität und Verfügbarkeit: Projekte und Nutzerdaten lassen sich verändern oder löschen. In einer Entwicklungsplattform ist das die schmerzhaftere Variante — Repositories, Issues, Pipelines und CI-Konfiguration sind das Arbeitsgedächtnis eines Teams. Die zweite Lücke ist das bekanntere Muster: eine GraphQL-Schnittstelle, die auch GET-Anfragen entgegennimmt, ist per Konstruktion anfällig für Angriffe über verlinkte URLs, weil sich die Anfrage in einen Link verpacken lässt. Dass GitLab.com bereits versorgt ist, verschiebt das Risiko vollständig auf selbstbetriebene Instanzen — und die stehen in vielen Organisationen als „interne Entwicklerinfrastruktur“ außerhalb der regulären Patchpflicht.

Praxisfolgen / Handlungsempfehlung: Selbstbetriebene Instanzen zügig auf einen der gepatchten Stände heben. Prüfen Sie, ob die GraphQL-API überhaupt öffentlich erreichbar sein muss; für viele Szenarien lässt sich der Zugriff auf angemeldete Nutzer und interne Netze begrenzen. Kontrollieren Sie die Wiederherstellbarkeit: Bei einer Lücke, die Löschen erlaubt, zählt nicht das Vorhandensein von Backups, sondern ein getesteter Wiederherstellungslauf einschließlich Projektmetadaten. Und werten Sie Zugriffslogs auf ungewöhnliche GraphQL-Aktivität aus — insbesondere Mutationen an Projekten, die niemand angefordert hat.

4.1 OLG Hamburg: Wer mit Kundenbewertungen wirbt, haftet als Täter

Hanseatisches Oberlandesgericht Hamburg · 15.07.2026 · 3 W 33/26 · Volltext · CSA-Aufbereitung ur-613

Sachverhalt: Ein Tierarzneimittelunternehmen bewarb ein Präparat mit Zitaten namentlich genannter Tierärzte — Erfahrungsberichte über Heilungserfolge, unkommentiert in die Werbung eingebaut. Eine Wettbewerberin griff elf dieser Werbeangaben im einstweiligen Verfügungsverfahren an. Das Landgericht Hamburg lehnte den Antrag mit Beschluss vom 08.06.2026 ab (416 HKO 71/26).

Entscheidung: Auf die sofortige Beschwerde änderte das OLG Hamburg den Beschluss teilweise ab und erließ die einstweilige Verfügung; entschieden wurde ohne mündliche Verhandlung. Die Unterlassungsansprüche folgen aus § 8 Abs. 1 Satz 1, Abs. 3 Nr. 1, § 3 Abs. 1, § 3a UWG in Verbindung mit Art. 119 Abs. 5 der Verordnung (EU) 2019/6, weil die angegriffenen Angaben überwiegend wahrscheinlich irreführend sind.

Begründungs-Kernpunkte: Zur Haftungsform stellt der Senat klar, dass das Unternehmen für sämtliche Aussagen als Täter haftet, weil es mit ihnen selbst geworben hat; auf die Kategorie des „Sich-zu-Eigen-Machens“ kommt es nicht an. Diese Kategorie betrifft die normative Zurechnung fremder Rechtsverletzungen — hier haftet das Unternehmen dagegen für sein eigenes werbliches Handeln, sodass sich die Zurechnungsfrage nicht stellt. Zur Irreführung: Maßgeblich ist der Gesamteindruck beim angesprochenen Verkehr, hier Tierärzte; deren Verständnis beurteilt der Senat aus eigener Sachkunde. Wer Erfahrungsberichte unkommentiert einfließen lässt, suggeriert, dass derartige Heilungserfolge allgemein zu erwarten seien (Anschluss an OLG München, 29 U 7517/20, Rn. 153). Dass Fachkreise angesprochen sind, ändert nichts — Tierärzte seien „nicht aufgrund überlegenen Wissens davor gefeit“, die einschränkungslose Präsentation anekdotischer Evidenz als verallgemeinerungsfähig zu lesen. Das heilmittelwerberechtliche Strengeprinzip gilt nach Auffassung des Senats unter der Verordnung (EU) 2019/6 fort, im Einklang mit den Erwägungsgründen 2 und 5. Überlegenheitsbehauptungen verlangen eine Head-to-Head-Untersuchung. Und Art. 119 Abs. 6 der Verordnung ist eine Marktverhaltensregelung im Sinne von § 3a UWG, auch wenn er als Feststellung und nicht als Gebot formuliert ist.

Praxisfolgen: Der über die Branche hinausreichende Kern ist die Haftungsform. In der Praxis wird die Verantwortung für Kundenbewertungen fast reflexhaft über das „Sich-zu-Eigen-Machen“ diskutiert — ein Maßstab aus der Plattformhaftung, der dort greift, wo jemand fremde Inhalte nur zugänglich macht. Wer Bewertungen aktiv in die eigene Werbung einbaut, ist nach dieser Entscheidung Werbender und haftet voll; Fragen der Distanzierung oder Prüfpflicht stellen sich nicht. Das betrifft Testimonial-Abschnitte auf Landingpages, Bewertungs-Widgets im eigenen Shop und Social-Media-Beiträge, die Kundenlob wiedergeben. Zweitens: Unkommentierte Einzelfallberichte werden als verallgemeinerbar gelesen — Erfahrungsberichte gehören eingeordnet, mit klarer Kennzeichnung des Einzelfallcharakters und ohne Wirkungsversprechen. Drittens: Eine „uneingeschränkte Empfehlung“ wird als Aussage über das Fehlen relevanter Einschränkungen verstanden; bestehen solche, sind sie mitzuteilen. Viertens: Das Argument „unsere Zielgruppe ist fachkundig und ordnet das ein“ trägt nicht. Zur Reichweite: Es handelt sich um eine Eilentscheidung im Maßstab der überwiegenden Wahrscheinlichkeit; die amtlichen Leitsätze und die gefestigte Linie, in die sie sich einfügt, machen sie dennoch zu einer belastbaren Orientierung.

5.1 Stand der Durchsetzung: keine neue Entscheidung, aber erkennbare Prüfrichtung

19.08.2026 · Dr. Datenschutz: Top 5 DSGVO-Bußgelder im Juli 2026

Behörde: — · Adressat: — · Höhe: keine neue Entscheidung im Zeitraum 18.–19.08.2026

Verstoß / Rechtsgrundlage: Entfällt. Die zuletzt dokumentierten Verfahren betrafen Art. 5 Abs. 1 lit. a–c und Art. 6 DSGVO, Art. 5 Abs. 1 lit. f und Art. 32 DSGVO sowie Art. 35 DSGVO.

Begründung: Aufsichtsbehörden veröffentlichen Sanktionsentscheidungen mit deutlichem Zeitversatz; deutsche Behörden sind dazu nicht verpflichtet. Vier Ausgaben ohne neue Entscheidung sind daher ein Befund über die Veröffentlichungspraxis in der Sommerpause, nicht über die Aufsichtstätigkeit.

Praxisfolgen: Nutzen Sie die Zeit für die Themen, die sich als nächste Prüfschwerpunkte abzeichnen: dokumentierte Datenqualität und Datenminimierung in KI-Vorhaben einschließlich der Ausgabedaten, Einzelfall-Erforderlichkeit bei Identifizierungsprozessen, wirksame Authentifizierung von Support- und Vertriebspartnern mit Kundendatenzugriff sowie dokumentierte Folgenabschätzungen bei biometrischen und KI-gestützten Verarbeitungen. Wer im Herbst mit einer gebündelten Veröffentlichung mehrerer Entscheidungen rechnet, sollte die eigene Nachweisführung vorher belastbar haben.

6.1 Ransomware und Datendiebstahl verschmelzen: Auswertung von über 180 Vorfällen

17.08.2026 · it-daily: Cyberlage 2026 — Ransomware und Datendiebstahl verschmelzen

Zusammenfassung: Eine Auswertung von mehr als 180 IT-Sicherheitsvorfällen des ersten Halbjahres 2026 zeigt eine deutliche Verschiebung: 76,1 Prozent der untersuchten Vorfälle entfielen auf Ransomware, gegenüber 32,5 Prozent im zweiten Halbjahr 2025. In 63,6 Prozent der Ransomware-Fälle kam es zusätzlich zu gezieltem Datendiebstahl, teils in Größenordnungen von mehreren hundert Gigabyte bis zu Terabytes. Besonders häufig traten Qilin und Akira auf — zusammen verantwortlich für knapp die Hälfte der Fälle —, daneben Safepay und Thegentlemen.

Hintergrund & Einordnung: Die Auswertung ergänzt die Halbjahresbilanz von Bitdefender aus der Vorwoche, methodisch aber von der anderen Seite: Dort wurden Selbstauskünfte der Täter auf Leak-Seiten gezählt, hier tatsächlich bearbeitete Vorfälle analysiert. Beide Blickwinkel haben blinde Flecken — Leak-Seiten überschätzen, weil Erpresser übertreiben und Zahler nicht auftauchen; Vorfallsanalysen sind auf den Kundenstamm des Auswertenden begrenzt und damit nicht repräsentativ. Die Aussage, auf die beide Auswertungen zulaufen, ist deshalb belastbarer als jede Einzelzahl: Qilin und Akira dominieren, und die Trennung zwischen „Verschlüsselungsfall“ und „Datenabflussfall“ löst sich auf. Der Sprung des Ransomware-Anteils von 32,5 auf 76,1 Prozent ist mit Vorsicht zu lesen, weil er auch eine Veränderung der Fallbasis widerspiegeln kann; die Richtung deckt sich aber mit der Kostenentwicklung und mit den beobachteten Erpressungsmodellen.

Praxisfolgen / Handlungsempfehlung: Richten Sie die Notfallplanung auf den Doppelfall aus: Wiederherstellung und Datenschutz-Vorfallsbewertung laufen parallel, nicht nacheinander. Praktisch heißt das, dass die Frage „welche personenbezogenen Daten lagen in den betroffenen Systemen“ schon vor dem Vorfall beantwortbar sein muss — sonst kostet sie im Ernstfall die 72-Stunden-Frist. Prüfen Sie zweitens die Erkennung von Exfiltration, nicht nur von Verschlüsselung: ungewöhnliche ausgehende Datenmengen, Zugriffe auf Dateiserver in Breite statt Tiefe, neu angelegte Archive. Und rechnen Sie damit, dass Zahlung die Veröffentlichung nicht sicher verhindert — bei reiner Datenerpressung fehlt das technische Mittel, die Löschung nachzuweisen.