1. Cyberangriff auf das Berliner Landesnetz

Seit Freitag, 14. August 2026 · zuletzt aktualisiert Montag, 24. August 2026 · Score 88

Zwei Senatsverwaltungen waren zehn Tage lang aus dem Landesnetz getrennt; betroffen waren mit Wohngeld und „Bildung und Teilhabe“ unmittelbar sozialleistungsrelevante Verfahren.

Letzte Entwicklung: Am Wochenende wurden beide Häuser wieder angebunden und sind grundsätzlich arbeitsfähig; kleinere Störungen bleiben möglich. Der Staatssekretär für Digitalisierung spricht von strukturellen Defiziten und beziffert die monatlich abgewehrten Angriffe auf rund 1,2 Millionen. Der Notfallstab tagt weiter täglich, Hinweise auf weitere Infiltrationen gibt es derzeit nicht.

2. CEVA-Lieferkettenpanne zieht weitere Kreise

Seit Freitag, 14. August 2026 · zuletzt aktualisiert Dienstag, 18. August 2026 · Score 71

Beim Logistikdienstleister CEVA flossen zwischen dem 29. Juli und 1. August Versand- und Bestelldaten aus acht europäischen Lagern ab. Betroffen sind Endkunden zahlreicher Händler, nicht CEVA selbst.

Letzte Entwicklung: Nach Valve, Bol, De Bijenkorf, ING, Ajax und Ace & Tate informiert nun auch das Pokémon Center Kundschaft in Deutschland und Großbritannien; einzelne Bestellungen wurden storniert. Die Zahl der über einen einzigen Dienstleister betroffenen Marken wächst damit weiter.

3. Kritische Lücken in Plattformen mit sehr großer Reichweite

Seit Mittwoch, 19. August 2026 · zuletzt aktualisiert Montag, 24. August 2026 · Score 76

Der Schwerpunkt hat sich von Netzrand-Geräten zu Anwendungsplattformen verschoben: WordPress-Erweiterungen, Cloud-Dienste und Kollaborationssoftware.

Letzte Entwicklung: Elementor Pro (rund sechs Millionen Installationen) erlaubt ohne Anmeldung das Hochladen ausführbarer Dateien (CVE-2026-32475, CVSS 9,8); Microsoft schloss 18 Cloud-Lücken, zwei davon mit dem Höchstwert CVSS 10; Atlassian veröffentlichte über 160 Korrekturen für Confluence, Jira und weitere Produkte. Aktive Ausnutzung ist für keine dieser Lücken belegt.

1.1 OpenAI „Computer History“: Mitschnitt der Rechnerarbeit mit unverschlüsselten Erinnerungsdateien

24.08.2026 · heise: OpenAI bringt Windows-Recall-ähnliche Funktion auf Macs

Zusammenfassung: OpenAI hat für macOS eine Funktion namens „Computer History“ freigeschaltet. Sie greift auf die Bedienungshilfen des Betriebssystems zu und erfasst, welche Anwendungen genutzt, welche Webseiten besucht und welche Aufgaben auf dem Gerät bearbeitet werden. Verfügbar ist sie für Pro-Abonnenten sowie — nach Freigabe durch die Administration — für Business- und Enterprise-Kunden; sie ist inzwischen auch in der EU, der Schweiz, Norwegen, Island und Großbritannien nutzbar und muss aktiv eingeschaltet werden. Die Untersuchung ergab einen erheblichen Schwachpunkt: Die dauerhaften Erinnerungsdateien liegen unverschlüsselt im Verzeichnis .codex/memories/extensions/skysight/resources und blieben zugänglich. Ausgelesen werden konnten unter anderem vertrauliche Notizen und besuchte Webseiten. Erfasst werden zudem Kontoinformationen und Codes der Zwei-Faktor-Authentifizierung. Über macOS Secure Input eingegebene Passwörter sind geschützt. Temporäre Daten sollen nach zwei Tagen gelöscht werden; die dauerhaften Erinnerungen sind davon nicht erfasst. Was ChatGPT intern speichert, können Nutzer nicht einsehen.

Hintergrund & Einordnung: Der Vergleich zu Windows Recall drängt sich auf und fällt in der Bewertung der Tester deutlich zulasten der neuen Funktion aus. Microsoft hatte Recall nach massiver Kritik verschoben, überarbeitet und schließlich mit Verschlüsselung, lokaler Verarbeitung und Windows-Hello-Bindung ausgeliefert. Hier liegt der Fall anders: Die Verarbeitung findet in der Cloud statt, und die lokale Ablage ist unverschlüsselt. Datenschutzrechtlich ist die Kombination heikel, weil ein Mitschnitt der gesamten Bildschirmarbeit systematisch Daten Dritter erfasst — Absender von Nachrichten, Namen in Dokumenten, Inhalte geöffneter Akten. Für die Erhebung dieser Drittdaten gibt es keine Einwilligung, und die Opt-in-Zustimmung des Gerätenutzers deckt sie nicht ab. Dass zusätzlich Einmalcodes im Klartext in den Erinnerungen landen können, verschiebt das Problem von der Datenschutz- in die Sicherheitsdimension: Ein Angreifer mit Dateisystemzugriff erhält damit einen Rückblick auf Anmeldevorgänge.

Praxisfolgen / Handlungsempfehlung: In verwalteten Umgebungen ist die Administratorfreigabe der entscheidende Hebel — verweigern Sie sie, solange keine Datenschutz-Folgenabschätzung vorliegt. Diese Folgenabschätzung ist bei einer Funktion dieser Reichweite nach Art. 35 Abs. 3 lit. a DSGVO kaum vermeidbar: Es handelt sich um eine systematische und umfassende Bewertung persönlicher Aspekte. Klären Sie außerdem, ob im Beschäftigtenkontext eine Betriebsvereinbarung nötig ist — eine Funktion, die protokolliert, woran jemand wann gearbeitet hat, ist eine technische Einrichtung zur Verhaltens- und Leistungskontrolle im Sinne des § 87 Abs. 1 Nr. 6 BetrVG. Technisch: Prüfen Sie unter macOS, welche Programme Zugriff auf die Bedienungshilfen haben, und beziehen Sie das Verzeichnis der Erinnerungsdateien in die Endgeräte-Verschlüsselung und in Backup-Ausschlüsse ein. Für Privatanwender gilt schlicht: Wer die Funktion nicht braucht, schaltet sie nicht ein.

1.2 Sächsische Aufsicht: neue FAQ zum Datenschutz in der Schule

11.08.2026 · SDTB: Datenschutz in der Schule — neue FAQ geben Orientierung

Zusammenfassung: Die Sächsische Datenschutz- und Transparenzbeauftragte hat ihre häufig gestellten Fragen zum Schuldatenschutz erweitert. Behandelt werden Messenger und Gruppenchats, der datenschutzgerechte E-Mail-Versand samt Empfängermanagement, Datenschutz bei Elternabenden, die Datenweitergabe an Jugendamt und Schulbehörden sowie die Grenzen von Videoaufnahmen im Unterricht. Zu Messengerdiensten heißt es, Lehrkräfte sollten WhatsApp und vergleichbare Plattformen grundsätzlich nicht beruflich nutzen, insbesondere nicht für Schülerdaten; Schulen in öffentlicher Trägerschaft können stattdessen die Chat-Funktion von LernSax verwenden. Videoaufnahmen sind nur unter sehr strengen Voraussetzungen zulässig und erfordern bei Schülerinnen und Schülern regelmäßig eine freiwillige Einwilligung, deren Verweigerung keine Nachteile nach sich ziehen darf. Adressiert sind Schulen, Lehrkräfte, Eltern und alle am Schulleben Beteiligten.

Hintergrund & Einordnung: Die Klarstellung zu Messengern ist kein neuer Rechtsstand, aber sie räumt mit einer verbreiteten Praxis auf. Dienstliche WhatsApp-Gruppen für Klassen oder Elternschaft sind an Schulen weit verbreitet, weil sie funktionieren — und datenschutzrechtlich seit Jahren angreifbar, weil der Dienst Adressbücher ausliest und damit Kontaktdaten Dritter verarbeitet, die nie zugestimmt haben. Der Punkt zu Videoaufnahmen ist der praktisch heiklere: Die Freiwilligkeit einer Einwilligung ist im Schulverhältnis strukturell fraglich, weil ein Machtgefälle besteht. Die Aufsicht adressiert das, indem sie ausdrücklich verlangt, dass die Verweigerung folgenlos bleiben muss — was in der Praxis bedeutet, dass eine Alternative für nicht einwilligende Kinder organisiert werden muss, nicht bloß zugesagt wird.

Praxisfolgen / Handlungsempfehlung: Die FAQ gilt förmlich für Sachsen, taugt aber bundesweit als Prüfraster. Schulen und Schulträger sollten drei Punkte abarbeiten: erstens die dienstliche Kommunikation inventarisieren und auf freigegebene Plattformen umstellen — mit einer belastbaren Alternative, sonst weicht das Kollegium wieder aus; zweitens den E-Mail-Versand an Verteiler prüfen, weil offene Empfängerlisten der häufigste gemeldete Datenschutzverstoß im Schulbereich sind; drittens für Videoaufnahmen ein Verfahren definieren, das die Nicht-Einwilligung praktisch abbildbar macht. Unternehmen mit Bildungsangeboten können denselben Maßstab auf ihre Teilnehmerkommunikation übertragen.

2.1 Pokémon Center: CEVA-Kette erreicht deutsche Besteller

18.08.2026 · BleepingComputer: Pokémon Center data breach exposes customer info · Eurogamer: Datenleck trifft Kunden in Deutschland und UK

Zusammenfassung: Das Pokémon Center benachrichtigt Kundinnen und Kunden in Deutschland und Großbritannien über einen Datenabfluss bei einem Drittanbieter. Kompromittiert wurden Systeme des Logistikdienstleisters CEVA Logistics; betroffen sind Datensätze von Bestellern, deren Daten zur Abwicklung und zum Versand an den Logistikpartner weitergegeben worden waren. Unbefugte könnten vollständige Namen, Postanschriften, Telefonnummern, E-Mail-Adressen sowie Details zum Inhalt der Bestellungen erlangt haben; weitere Informationen seien nicht betroffen, Zahlungskartendaten lagen dem Dienstleister nicht vor. Die Angreifer drangen zwischen dem 29. Juli und 1. August in die Systeme ein; in der Kundenmail nennt das Pokémon Center den 30. Juli 2026 als Beginn des gemeldeten Angriffs. Der Vorfall führte zu Versandverzögerungen und teilweise zur Stornierung von Bestellungen, unter anderem bei Artikeln der Kollektion zum 30-jährigen Jubiläum.

Hintergrund & Einordnung: Der Fall ist kein neuer Vorfall, sondern die inzwischen siebte bestätigte Marke in derselben Kette. Bereits gemeldet hatten Valve für europäische Steam-Hardware-Käufer, der niederländische Händler Bol, das Kaufhaus De Bijenkorf, die Bank ING, der Fußballverein Ajax und die Brillenkette Ace & Tate. CEVA ist eine Tochter der CMA CGM Group, betreibt rund 1.000 Lagerhäuser und wickelte im Vorjahr 15 Millionen Sendungen ab — die Konzentration erklärt die Kaskade. Datenschutzrechtlich sitzen die Händler in der Rolle des Verantwortlichen, CEVA in der des Auftragsverarbeiters; die Meldepflicht nach Art. 33 DSGVO und die Benachrichtigungspflicht nach Art. 34 DSGVO treffen den jeweiligen Händler, nicht den Dienstleister. Dass sich die Meldungen über Wochen staffeln, ist das eigentliche Strukturproblem: Jeder Verantwortliche muss erst selbst feststellen, welche seiner Datensätze in der abgeflossenen Menge liegen.

Praxisfolgen / Handlungsempfehlung: Wer Endkundendaten an Logistik- oder Fulfillment-Dienstleister übergibt, sollte drei Dinge jetzt prüfen: erstens, welche Datenkategorien der Dienstleister tatsächlich erhält — die Frage entscheidet später über die Schwelle des Art. 34 DSGVO; zweitens, ob der Auftragsverarbeitungsvertrag eine Unterrichtungsfrist enthält, die kurz genug ist, um die eigene 72-Stunden-Frist zu halten; drittens, ob eine vorbereitete Betroffenenkommunikation existiert, die ohne Rückfrage bei der Rechtsabteilung ausgelöst werden kann. Für die betroffene Kundschaft bleibt der praktische Rat unverändert: Bestellstatus über das eigene Konto prüfen, nicht über Links in Nachrichten — die abgeflossene Kombination aus Name, Adresse und Bestellinhalt eignet sich unmittelbar für glaubwürdige Paketdienst- und Rückerstattungs-Maschen.

3.1 Elementor Pro: unauthentifizierter Datei-Upload bedroht sechs Millionen WordPress-Seiten

21.08.2026 · heise: Lücke in Elementor Pro — 6 Millionen Webseiten gefährdet

Zusammenfassung: In Elementor Pro klafft mit CVE-2026-32475 eine kritische Schwachstelle (CVSS 9,8). Ein Logikfehler in der Prüffunktion für Datei-Uploads erlaubt es nicht authentifizierten Angreifern, beliebige Dateien hochzuladen — einschließlich ausführbaren PHP-Codes. Voraussetzung ist lediglich, dass auf der Website ein Elementor-Pro-Formular-Widget mit mindestens einem Datei-Upload-Feld veröffentlicht ist; das Feld muss nicht als Pflichtfeld markiert sein. Der Angriff erfolgt über das Netzwerk und benötigt keine Anmeldedaten. Die Folge ist die vollständige Übernahme der WordPress-Installation. Betroffen sind alle Versionen vor 4.2.2; die fehlerbereinigte Fassung erschien am 19. August 2026. Rund sechs Millionen aktive Installationen sind im Umlauf. Die Schwachstelle war Elementor Ende Juli gemeldet worden; die Bug-Bounty-Prämie betrug 15.600 US-Dollar.

Hintergrund & Einordnung: Die Höhe der Prämie ist ein brauchbarer Gradmesser — sie liegt deutlich über dem, was für Lücken dieser Produktklasse üblich ist, und spiegelt die Reichweite. Elementor Pro ist der kommerzielle Seitenbaukasten hinter einem erheblichen Teil aller professionell erstellten WordPress-Seiten; die Voraussetzung „irgendwo ein Formular mit Upload-Feld“ ist in der Praxis fast immer erfüllt, weil Bewerbungs-, Kontakt- und Support-Formulare genau so gebaut werden. Der Fall reiht sich in ein Muster, das dieses Jahr wiederkehrt: Nicht der WordPress-Kern ist das Problem, sondern die Erweiterungen mit sechs- und siebenstelligen Installationszahlen. Erst vor einer Woche waren Forminator Forms und Royal Elementor Addons mit je über 600.000 Installationen betroffen — mit demselben Angriffsmuster des unauthentifizierten Uploads.

Praxisfolgen / Handlungsempfehlung: Aktualisieren Sie auf 4.2.2, und zwar heute. Da der Angriff keine Anmeldung erfordert, hinterlässt er keine Spuren in den Login-Protokollen — prüfen Sie deshalb zusätzlich das Upload-Verzeichnis auf Dateien mit ausführbaren Endungen und ungewöhnlichem Zeitstempel sowie die Webserver-Protokolle auf POST-Anfragen an die Formular-Endpunkte seit Ende Juli. Wo ein Update kurzfristig nicht möglich ist, deaktivieren Sie die betroffenen Formulare mit Upload-Feld; das schließt die Voraussetzung des Angriffs. Als dauerhafte Maßnahme gehört in jede WordPress-Installation eine Regel, die die Ausführung von PHP im Upload-Verzeichnis unterbindet — sie hätte diesen Angriff wirkungslos gemacht.

3.2 Microsoft schließt 18 Cloud-Schwachstellen, zwei mit CVSS 10

24.08.2026 · heise: Microsoft stopft zahlreiche Cloud-Schwachstellen

Zusammenfassung: Microsoft hat 18 teils kritische Sicherheitslücken in Cloud-Produkten dokumentiert und geschlossen; die Veröffentlichung erfolgte am vergangenen Freitag. Die schwerwiegendsten Einträge sind CVE-2026-65816 in Azure Arc (CVSS 10,0) und CVE-2026-65801 in Microsoft Exchange Online (CVSS 10,0, Rechteausweitung). Es folgen CVE-2026-69851 in Microsoft Entra ID (CVSS 9,9), CVE-2026-68789 und CVE-2026-68782 in Azure SQL Database (je CVSS 9,9), CVE-2026-69400 in Azure Logic Apps (CVSS 9,6), CVE-2026-62834 in Azure Data Factory (CVSS 9,3), CVE-2026-66309 in Azure SQL Database (CVSS 9,1), CVE-2026-69558 im Microsoft Partner Center (CVSS 8,6, Informationsabfluss) sowie CVE-2026-69519 in Azure Stack HCI (CVSS 8,6). Weil es sich um Cloud-Produkte handelt, müssen Administratoren nicht tätig werden — Microsoft hat die Lücken serverseitig behoben. Die Meldungen sind getrennt vom regulären Patchday zu sehen, an dem Microsoft am 12. August rund 400 Schwachstellen behoben hatte.

Hintergrund & Einordnung: Dass Microsoft Cloud-Lücken überhaupt mit CVE-Kennung veröffentlicht, ist eine vergleichsweise junge Praxis und im Grundsatz zu begrüßen — sie macht sichtbar, was zuvor still korrigiert wurde. Der praktische Nutzen für Verteidiger bleibt allerdings begrenzt, und das ist die eigentliche Diskussion: Bei serverseitig behobenen Lücken lässt sich weder die eigene Betroffenheit prüfen noch die Wirksamkeit des Fixes verifizieren. Kritiker beschreiben das als „trust but cannot verify“ — der Patch-Aufwand entfällt, aber auch die Kontrolle. Für Umgebungen mit Nachweispflichten, etwa nach NIS-2 oder in regulierten Branchen, entsteht damit eine Lücke in der Dokumentation: Man kann belegen, dass der Anbieter etwas behoben hat, nicht aber, dass die eigene Umgebung nie ausgenutzt wurde.

Praxisfolgen / Handlungsempfehlung: Handlungsbedarf im engeren Sinn besteht nicht. Sinnvoll ist dennoch dreierlei: Erstens die Einträge in das eigene Schwachstellenregister aufnehmen, damit bei einer späteren Prüfung nachvollziehbar bleibt, welche Lücken im Verantwortungsbereich des Anbieters lagen. Zweitens für die betroffenen Dienste die Protokolle des relevanten Zeitraums sichern, solange sie in der Aufbewahrungsfrist liegen — bei Exchange Online und Entra ID sind das die Anmelde- und Audit-Protokolle. Drittens im Anbietervertrag prüfen, ob eine Informationspflicht bei serverseitig behobenen Sicherheitslücken vereinbart ist; wo sie fehlt, gehört sie in die nächste Verhandlungsrunde.

3.3 Entra ID CVE-2026-69836: Die Angabe „bereits ausgenutzt“ war falsch

21.08.2026 · The Hacker News: Microsoft Patches Severe Entra ID Flaw (CVSS 10.0) · Help Net Security: CVE-2026-69836

Zusammenfassung: Am 20. August legte Microsoft CVE-2026-69836 offen, eine Schwachstelle in Entra ID mit dem Höchstwert CVSS 10,0. Ursache ist die Deserialisierung nicht vertrauenswürdiger Daten (CWE-502): Ein nicht authentifizierter Angreifer kann manipulierte serialisierte Daten an verwundbare Entra-ID-Endpunkte senden und darüber Code ausführen — ohne Anmeldung, ohne Nutzerinteraktion, bei geringer Angriffskomplexität. Im Sicherheitsbulletin stand zunächst „Exploited: Yes“. Am 21. August korrigierte Microsoft die Angabe auf „No“, nachdem The Hacker News nachgefragt hatte; die Lücke wurde nicht in freier Wildbahn ausgenutzt. Entdeckt wurde sie durch einen Microsoft-eigenen Sicherheitsingenieur. Exploit-Code ist nach Herstellerangaben nicht öffentlich verfügbar, die Lücke ist vollständig serverseitig behoben, Kunden müssen nichts tun. Microsoft erklärte, man habe die Schwachstelle im Interesse größerer Transparenz offengelegt.

Hintergrund & Einordnung: Der Vorgang ist bemerkenswert, weil er beide Seiten der Transparenz-Debatte in einem Fall zeigt. Auf der einen Seite die Offenlegung einer Lücke, die Kunden nicht patchen müssen und von der sie ohne die Veröffentlichung nie erfahren hätten. Auf der anderen ein Metadatenfehler, der binnen Stunden eine Alarmwelle ausgelöst hat: Zahlreiche Fachmedien — darunter The Register, Help Net Security und BleepingComputer — trugen die Formulierung „exploited in attacks“ in ihre Überschriften und haben sie teilweise bis heute nicht korrigiert. Für Sicherheitsverantwortliche, die ihre Priorisierung an KEV-Katalogen und Exploited-Flags ausrichten, ist das ein reales Problem: Ein falsch gesetztes Bit erzeugt Notfallprozesse, die Kapazität von tatsächlich dringenden Aufgaben abziehen. Zur Einordnung des Risikoprofils gehört auch, dass Entra ID im September 2025 bereits eine kritische Rechteausweitung aufwies, über die sich theoretisch Zugriff auf den Mandanten jedes Unternehmens weltweit erlangen ließ.

Praxisfolgen / Handlungsempfehlung: Konkreter Handlungsbedarf besteht nicht — wohl aber Anlass, den eigenen Priorisierungsprozess zu prüfen. Verlassen Sie sich für die Notfall-Eskalation nicht auf ein einzelnes Feld in einem Herstellerbulletin, sondern verlangen Sie mindestens eine zweite unabhängige Bestätigung, bevor Sie einen Ausnahmeprozess auslösen; der KEV-Katalog der CISA ist dafür der belastbarere Anker, weil dort Belege gefordert werden. Wenn Ihre Nachrichtenquellen die Korrektur nicht nachgezogen haben, korrigieren Sie den Eintrag in Ihrem eigenen Register aktiv — sonst steht dort dauerhaft eine ausgenutzte CVSS-10-Lücke, die es nie gab. Und verwechseln Sie CVE-2026-69836 nicht mit CVE-2026-69851, der zweiten Entra-ID-Lücke aus derselben Veröffentlichungsrunde (CVSS 9,9).

3.4 Atlassian: über 160 Sicherheitslücken in Confluence, Jira und weiteren Produkten

21.08.2026 · heise: Atlassian schließt mehr als 160 Sicherheitslücken

Zusammenfassung: Atlassian hat mehr als 160 Sicherheitslücken geschlossen, zehn davon mit der Einstufung „kritisch“, der Rest als „hoch“. Betroffen sind die Data-Center- und Server-Ausgaben von Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, Jira und Jira Service Management. Zu den schwerwiegendsten Einträgen zählen CVE-2026-59873, eine Denial-of-Service-Lücke in Confluence, über die sich der Dienst zum Absturz bringen lässt, CVE-2026-53434, eine Man-in-the-Middle-Schwachstelle in Confluence, die das Mitlesen von Verbindungen erlaubt, sowie CVE-2026-4800, eine Schwachstelle zur Codeausführung aus der Ferne in Jira und Jira Service Management. Zu den empfohlenen Ständen gehören Confluence 10.2.15 LTS und 9.2.23 LTS sowie Jira 11.3.10 LTS und 10.3.24 LTS. Angriffe sind bislang nicht bekannt.

Hintergrund & Einordnung: Die schiere Zahl ist erklärungsbedürftig und weniger dramatisch, als sie klingt: Ein großer Teil der Einträge betrifft Schwachstellen in mitgelieferten Fremdbibliotheken, die Atlassian gesammelt aktualisiert hat. Genau das ist aber auch der Grund, warum solche Sammelveröffentlichungen in der Praxis liegen bleiben — sie wirken wie Wartung, nicht wie Gefahr. Confluence und Jira gehören zugleich zu den Systemen mit dem höchsten Schadenspotenzial, wenn sie fallen: In Confluence-Instanzen liegen Architekturdokumentation, Zugangskonzepte, Betriebshandbücher und regelmäßig auch Zugangsdaten im Klartext, weil Teams sie dort ablegen. Die Man-in-the-Middle-Lücke ist deshalb praktisch relevanter, als der CVSS-Wert vermuten lässt.

Praxisfolgen / Handlungsempfehlung: Planen Sie die Aktualisierung in dieser Woche und beachten Sie, dass sich die Zielversionen je Produktlinie unterscheiden — ein einheitlicher Sprung existiert nicht. Prüfen Sie bei der Gelegenheit, ob Ihre Instanzen aus dem Internet erreichbar sind; für Data-Center-Installationen ohne externen Nutzerkreis gibt es dafür selten einen Grund. Nutzen Sie den Wartungsfenster-Termin außerdem, um in Confluence nach abgelegten Zugangsdaten zu suchen — eine Volltextsuche nach den üblichen Mustern fördert in fast jeder gewachsenen Instanz Treffer zutage, und die gehören in einen Passwort-Manager, nicht in ein Wiki.

4.1 OLG Frankfurt: „Bis zu 20 € sparen“ ohne Berechnungsgrundlage ist irreführend

OLG Frankfurt am Main · 05.08.2026 · 6 U 25/26 · CSA-Aufbereitung ur-639 · Pressemitteilung Nr. 39/2026 · MIR 2026, Dok. 057 · LTO

Sachverhalt: Eine Versandapotheke — nach übereinstimmenden Presseberichten die Shop Apotheke — warb auf ihrer Website und in einem Fernsehspot mit der Aussage „E-Rezept-Rabatt. Automatisch bis zu 20 € Zuzahlungen sparen“. Tatsächlich war der Rabatt nach dem Medikamentenpreis gestaffelt: bis 59,99 Euro gab es 2,50 Euro, bis 249,99 Euro fünf Euro, bis 999,99 Euro 15 Euro, die vollen 20 Euro erst ab einem Preis von mehr als 1.000 Euro. Die Staffelung war zwar dargestellt, aber nur eingeblendet auf der letzten Seite beziehungsweise in der letzten Sequenz des Fernsehspots, dort im Fußnotenbereich und in verkleinerter Schrift. Eine Wettbewerberin beantragte eine einstweilige Verfügung; das Landgericht Frankfurt am Main wies den Antrag am 9. Januar 2026 zurück (3-10 O 144/25).

Entscheidung: Auf die Berufung hin untersagte der 6. Zivilsenat — der Wettbewerbssenat — der Versandapotheke unter anderem die streitige Werbeaussage. Die Entscheidung erging im Eilverfahren und ist nicht anfechtbar.

Begründungs-Kernpunkte: Die Aussage sei irreführend durch Vorenthalten wesentlicher Informationen (§ 5a Abs. 1, Abs. 2 UWG). Der Senat setzt bewusst nicht bei der Formulierung „bis zu“ an: Der informierte Verbraucher wisse diese „grundsätzlich richtig einzuordnen“ und gehe nicht von einem garantierten Betrag aus. Entscheidend ist die Berechenbarkeit. Der Verbraucher wisse zwar, dass die gesetzliche Zuzahlung je Medikament höchstens zehn Euro beträgt, und nehme deshalb an, einen darüber hinausgehenden Rabatt durch zusätzliche Bestellungen ausschöpfen zu können — was falsch ist, weil der Rabatt am Einzelpreis hängt. Ihm fehlten damit die Informationen, „die eine Berechnung des konkreten Rabattes im Rahmen der beworbenen Bandbreite bis zu 20 € ermöglichten“. Grundsätzlich müsse der Verbraucher zur Berechnung seines Rabatts in der Lage sein; nur dann könne er entscheiden, ob er das Angebot nutzen wolle. „Diese Entscheidung fällt möglicherweise anders aus, wenn er weiß, dass er nicht (annähernd) 20 €, sondern lediglich 2,50 € Rabatt erhält.“ Die vorhandene Erläuterung heile das nicht: Sie trete gegenüber der gesprochenen Werbeaussage in den Hintergrund und werde „von rein akustischen Empfängern der Werbebotschaft … überhaupt nicht wahrgenommen“. Dass der weit überwiegende Teil der Rabatte tatsächlich bei 2,50 Euro liege, sei auch für den umsichtigen Verbraucher unerwartet.

Praxisfolgen: Für Werbetreibende ergibt sich ein dreiteiliger Prüfmaßstab. Erstens: Wer mit einer Spanne wirbt, muss die Berechnungsgrundlage so mitliefern, dass der Adressat seinen eigenen Wert ermitteln kann — die bloße Existenz einer Staffel irgendwo im Angebot genügt nicht. Zweitens: Die Information muss dort stehen, wo die Werbebotschaft wirkt; eine Fußnote am Seitenende oder eine Einblendung in der Schlusssequenz erfüllt das nicht, und im rein akustischen Kanal erfüllt sie es gar nicht. Drittens: Wenn der Regelfall weit unter dem beworbenen Höchstwert liegt, wird die Spanne selbst angreifbar. Für Datenschutz- und Compliance-Praktiker liegt der Wert in der Übertragbarkeit: Dieselbe Frage — kann der Adressat im Zeitpunkt seiner Entscheidung erkennen, worauf er sich einlässt? — entscheidet über die Wirksamkeit von Einwilligungen nach Art. 4 Nr. 11 DSGVO, über die Tauglichkeit von Transparenzinformationen nach Art. 13 und 14 DSGVO und über die AGB-Kontrolle nach § 307 Abs. 1 Satz 2 BGB. Die Entscheidung fügt sich damit in dieselbe Linie wie das OLG Koblenz zu Unlimited-Tarifen vom 30. Juli. Einschränkend gilt: Im Eilverfahren prüft das Gericht nur summarisch; ein Hauptsacheverfahren kann zu anderen Feststellungen führen. Ein Volltext der Entscheidung ist nicht veröffentlicht — die Aufbereitung stützt sich auf die amtliche Pressemitteilung mit ihren wörtlichen Senatszitaten.

5.1 DSGVO-Bußgelder im zweiten Quartal 2026: 225,9 Millionen Euro, Niederlande fast die Hälfte

20.08.2026 · Finbold: GDPR fines surge by 230% in Q2 2026

Behörde: europäische Aufsichtsbehörden (Auswertung) · Adressat: Gesamtauswertung · Höhe: 225.879.175 Euro im zweiten Quartal 2026

Verstoß / Rechtsgrundlage: Querschnitt über alle Bußgeldtatbestände der DSGVO; die Einzelfälle betreffen schwerpunktmäßig unzulässige Drittlandsübermittlungen (Art. 44 ff.) und Verstöße gegen die Sicherheit der Verarbeitung (Art. 32).

Begründung: Die Auswertung stützt sich auf den GDPR Enforcement Tracker. Gegenüber dem ersten Quartal mit 68,18 Millionen Euro bedeutet das einen Zuwachs von rund 230 Prozent; für das erste Halbjahr 2026 ergeben sich damit etwa 295 Millionen Euro. Rechnerisch entspricht das durchschnittlich 2,48 Millionen Euro pro Tag beziehungsweise 17,36 Millionen Euro pro Woche. Den größten Anteil trägt mit 100,25 Millionen Euro die niederländische Aufsicht — knapp 49 Prozent aller Sanktionen in der EU. Dahinter folgt Frankreich mit rund 52 Millionen Euro. Die größte Einzelsanktion des Quartals traf die Ridetech International B.V. mit 100 Millionen Euro wegen fehlender Garantien bei der Übermittlung personenbezogener Daten in ein Drittland; es folgen 31,8 Millionen Euro gegen Intesa Sanpaolo wegen Mängeln beim Schutz von Bankkundendaten sowie die französischen Sanktionen gegen Free Mobile (27 Millionen Euro) und die Muttergesellschaft Free (15 Millionen Euro).

Praxisfolgen: Die Verschiebung ist der eigentliche Befund. Im ersten Quartal entfielen 94 Prozent aller Bußgelder auf Frankreich und das Vereinigte Königreich, während die Niederlande mit 250.000 Euro nur an fünfter Stelle standen — im zweiten Quartal führen die Niederlande mit dem Neunzigfachen. Wer sein Risikomodell auf der Annahme aufbaut, das Bußgeldrisiko konzentriere sich auf Irland und Frankreich, rechnet an der Realität vorbei. Inhaltlich sticht der Schwerpunkt Drittlandsübermittlung hervor: Die größte Einzelsanktion betraf keine Datenpanne und keine Einwilligungsfrage, sondern fehlende Garantien beim Transfer. Prüfen Sie deshalb konkret, welche Ihrer Verarbeitungen Daten in Drittländer bewegen — auch mittelbar über Dienstleister und deren Unterauftragnehmer —, ob die Transfer-Folgenabschätzungen aktuell sind und ob die Standardvertragsklauseln zu den tatsächlichen Datenflüssen passen. Zur Einordnung der Zahlen gehört im Übrigen weiterhin, dass deutsche Aufsichtsbehörden Bußgelder nicht veröffentlichen müssen; deutsche Fälle sind in solchen Auswertungen systematisch unterrepräsentiert.

6.1 Berlin: Senatsverwaltungen wieder am Netz, strukturelle Defizite eingeräumt

24.08.2026 · heise: Senatsverwaltungen wieder am Netz · heise: Staatssekretär fordert mehr Abwehrmaßnahmen

Zusammenfassung: Die beiden nach dem Angriff vom 14. August isolierten Senatsverwaltungen — Stadtentwicklung, Bauen und Wohnen sowie Mobilität, Verkehr, Umwelt und Klimaschutz — sind nach mehr als einer Woche wieder mit dem Landesnetz verbunden. Der Regierende Bürgermeister erklärte, alle Senatsverwaltungen seien wieder angeschlossen und grundsätzlich arbeitsfähig; die Senatskanzlei weist darauf hin, dass kleinere Störungen fortbestehen können, während sich die Systeme stabilisieren. Beide Häuser haben Sofortmaßnahmen umgesetzt, darunter eine dauerhaft verschärfte Überwachung ihrer IT-Infrastruktur. Der Staatssekretär für Digitalisierung, Florian Hauer, fordert eine umfassende Ursachenanalyse: Es gebe „strukturelle Defizite in der IT“, die schnellstmöglich zu beheben seien, samt der dafür nötigen Ressourcen. Zur Einordnung nennt er, dass Berlin monatlich rund 1,2 Millionen IT-Angriffe abwehrt; der jetzige sei „sehr professionell ausgeführt“ gewesen. Ein Notfallstab tagt weiterhin täglich. Hinweise auf weitere Infiltrationen gebe es derzeit nicht, Verdachtsmomente bestünden aber fort; das Netz werde fortlaufend gescannt.

Hintergrund & Einordnung: Die Rückkehr nach zehn Tagen ist für einen Vorfall dieser Größe ein respektabler Wert — und sagt zugleich wenig darüber aus, ob der Angreifer draußen ist. Dass der Krisenstab weiter täglich tagt und „Verdachtsmomente“ ausdrücklich bestehen bleiben, ist die vorsichtige Formulierung für den Umstand, dass die forensische Aufarbeitung nicht abgeschlossen ist. Bemerkenswert ist die politische Offenheit: Ein Staatssekretär, der öffentlich strukturelle Defizite in der eigenen IT einräumt, schafft die Grundlage für Haushaltsmittel — nach dem Vorfall ist die Bereitschaft dafür erfahrungsgemäß am größten und schwindet danach schnell. Die Zahl von 1,2 Millionen abgewehrten Angriffen pro Monat ist zur Einordnung mit Vorsicht zu genießen: Sie enthält automatisierte Scans und Massenphishing und sagt über die Qualität der Abwehr wenig aus — sie beschreibt das Grundrauschen, nicht die Bedrohung.

Praxisfolgen / Handlungsempfehlung: Für vergleichbare Organisationen sind zwei Lehren übertragbar. Erstens die Segmentierungsfrage: Dass eine Kompromittierung die Trennung ganzer Ressorts vom zentralen Netz erzwang, deutet darauf hin, dass eine feinere Abschottung nicht verfügbar war — prüfen Sie, ob Sie einzelne Bereiche isolieren könnten, ohne komplette Häuser offline zu nehmen. Zweitens der Rückkehrprozess: Ein Wiederanschluss ohne abgeschlossene Forensik ist eine Risikoentscheidung, die dokumentiert und mit verschärfter Überwachung flankiert gehört — genau das ist hier geschehen und ist der richtige Weg, solange die Überwachung nicht nach zwei Wochen wieder heruntergefahren wird. Wer jetzt Haushaltsmittel für IT-Sicherheit beantragen will, sollte die Gelegenheit nutzen, solange der Vorfall präsent ist.

6.2 Großbritannien bestätigt: Kraftwerk vier Tage durch Cyberangriff abgeschaltet

23.08.2026 · heise: Britische Regierung bestätigt Cyberattacke auf Kraftwerk

Zusammenfassung: Die britische Regierung hat bestätigt, dass Angreifer im Juli 2026 ein Kraftwerk in Großbritannien vier Tage lang außer Betrieb gesetzt haben. Es handelt sich um eine kleine, nicht namentlich genannte Anlage; die allgemeine Stromversorgung war nicht beeinträchtigt. Der Telegraph hatte die Geschichte zuerst berichtet, die Financial Times und die Regierung bestätigten sie. Der Telegraph schreibt den Vorfall iranischen Akteuren zu; die britischen Behörden nannten öffentlich keine Verdächtigen. Die Financial Times bringt den Angriff mit der Gruppe „CyberAv3ngers“ in Verbindung, die als von den Revolutionsgarden gesteuert beschrieben wird und auf speicherprogrammierbare Steuerungen in der Energieinfrastruktur spezialisiert ist. Das National Cyber Security Centre, Teil des Nachrichtendienstes GCHQ, hatte Betreiber kritischer Infrastruktur seit Beginn der Angriffe der USA und Israels auf den Iran im Februar gewarnt. Ein Regierungssprecher wies darauf hin, die Anlage sei so klein gewesen, dass der Ausfall unter der Schwelle der Meldepflicht lag. Technische Details wurden nicht veröffentlicht.

Hintergrund & Einordnung: Der Satz zur Meldeschwelle ist der eigentliche Skandal der Meldung. Ein vier Tage andauernder Ausfall einer Erzeugungsanlage durch einen Cyberangriff wäre ohne journalistische Recherche nie öffentlich geworden — nicht weil er verschwiegen wurde, sondern weil die Regeln ihn nicht erfassen. Meldeschwellen orientieren sich üblicherweise an Kapazität und Versorgungswirkung; sie erfassen den qualitativen Sprung nicht, der darin liegt, dass ein Angreifer eine Erzeugungsanlage tatsächlich abschalten konnte. Genau dieser Nachweis ist aber für die Lagebeurteilung entscheidend, und er fehlt in jeder Statistik, die auf Meldungen beruht. CyberAv3ngers sind seit 2023 durch Angriffe auf Unitronics-Steuerungen in Wasserwerken bekannt; das Muster — kleine, schlecht abgesicherte Anlagen mit direkt erreichbaren Steuerungen — passt. In Deutschland gilt eine vergleichbare Logik: Die KRITIS-Schwellenwerte lassen kleine Betreiber außen vor, und mit der NIS-2-Umsetzung verschiebt sich der Kreis zwar, aber die Grundfrage bleibt.

Praxisfolgen / Handlungsempfehlung: Betreiber von Anlagen unterhalb der Meldeschwellen sollten den Fall als Warnung lesen, nicht als Entwarnung: Klein zu sein schützt nicht vor dem Angriff, sondern nur vor der Meldepflicht. Konkret gehören speicherprogrammierbare Steuerungen aus dem Internet genommen — die Erreichbarkeit über Scandienste wie Shodan oder Censys ist bei diesen Kampagnen regelmäßig der Einstieg. Prüfen Sie zweitens die Standardpasswörter Ihrer Steuerungen; die bekannten Kampagnen dieser Gruppe kamen mehrfach ohne Exploit aus. Und dokumentieren Sie drittens freiwillig, auch wenn keine Meldepflicht greift — ein interner Vorfallbericht ist die Grundlage dafür, dass sich Muster überhaupt erkennen lassen.

6.3 Verwaiste ENUM-Domains: Telefonie über Militärstandorte für zehn Euro umleitbar

20.08.2026 · heise: ENUM-Domains gekapert

Zusammenfassung: Eine deutsche Hackerin namens Lina entdeckte, dass ENUM-Registrierungen für abgelegene Inselgebiete aufgegeben und wieder frei verfügbar waren. ENUM bildet Telefonnummern nach E.164 auf Internet-Adressen ab und dient damit der Wegewahl in der IP-Telefonie. Sie registrierte die verwaiste Domain enum.org.uk für rund zehn Euro. Betroffen waren St. Helena, Ascension und Diego Garcia — Gebiete mit erheblicher militärischer Bedeutung, darunter britische und US-amerikanische Stützpunkte sowie Einrichtungen von NSA und GCHQ. Über die kontrollierte Domain hätte sie Telefonate an Militärangehörige über eigene Server umleiten und mitschneiden können, etwa Gespräche zwischen Soldaten und ihren Familien. Über sechs Monate protokollierte sie rund 100.000 ENUM-Anfragen aus den USA, überwiegend gerichtet auf Diego Garcia und Ascension — ein Beleg dafür, dass die Wegewahl tatsächlich genutzt wurde. Meldungen an RIPE NCC und ITU-T versandeten zunächst in bürokratischen Abläufen, britische Stellen reagierten nicht. Erst nach einem iranischen Raketenangriff auf Diego Garcia im März 2026 wurde das NCSC tätig, holte die Domain zurück und ersetzte sie durch eine leere Seite. Die Zukunft von ENUM ist offen: RIPE NCC hat vorgeschlagen, e164.arpa vollständig zu löschen, nachdem sich von 46 länderspezifischen Unterdomains nur 28 als funktionsfähig erwiesen.

Hintergrund & Einordnung: Der Fall ist ein Lehrstück über eine unterschätzte Risikoklasse: Infrastruktur, die niemand mehr betreibt, aber auch niemand abschaltet. ENUM war Anfang der 2000er als Brücke zwischen Telefonnetz und Internet gedacht und ist weitgehend bedeutungslos geworden — mit der Folge, dass Registrierungen ausliefen, während einzelne Systeme die Abfragen weiter durchführten. Die 100.000 protokollierten Anfragen sind der entscheidende Befund: Es handelt sich nicht um eine theoretische Schwäche, sondern um aktiv genutzte Wegewahl. Bemerkenswert ist außerdem der Ablauf der Meldung. Eine Sicherheitsforscherin meldet eine Schwachstelle an die zuständigen Stellen und wird über Monate nicht ernst genommen; erst ein kinetisches Ereignis erzeugt die Aufmerksamkeit, die der technische Befund nicht erzeugen konnte. Das ist ein wiederkehrendes Muster im Umgang mit Meldungen aus der Forschungscommunity.

Praxisfolgen / Handlungsempfehlung: Übertragbar ist die Frage nach den eigenen verwaisten Abhängigkeiten. Inventarisieren Sie Domains, die einmal registriert wurden und deren Verlängerung niemand mehr verantwortet — insbesondere solche, die in Konfigurationen, Zertifikaten, Mailrouting oder alten Integrationen noch referenziert werden. Dasselbe gilt für ausgelaufene Subdomain-Delegationen, aufgegebene Cloud-Ressourcen und stillgelegte Dienste, deren DNS-Einträge stehen blieben: Übernahmen solcher Namen sind eine der günstigsten Angriffsformen überhaupt. Prüfen Sie zweitens, ob es in Ihrer Organisation einen definierten Eingangskanal für externe Schwachstellenmeldungen gibt — der Fall zeigt, was passiert, wenn Meldungen ins Leere laufen. Eine security.txt und eine überwachte Adresse kosten wenig; das BSI hatte zuletzt beklagt, dass nur 1,8 Prozent der geprüften Seiten überhaupt eine hinterlegt haben.