1. Uber: 824,99 Millionen Euro für vollautomatisierte Fahrersperren

Seit Freitag, 21. August 2026 · zuletzt aktualisiert Donnerstag, 27. August 2026 · Score 95

Die niederländische Aufsichtsbehörde hat das zweithöchste DSGVO-Bußgeld aller Zeiten verhängt. Grundlage ist Art. 22 DSGVO — das Verbot vollautomatisierter Entscheidungen mit erheblichen Auswirkungen —, ergänzt um Verstöße gegen die Informationspflichten der Art. 13 und 14.

Letzte Entwicklung: Uber hat Rechtsmittel angekündigt und hält die Höhe für unverhältnismäßig; das Unternehmen bestreitet, dass dauerhafte Sperrungen vollständig automatisch abliefen. Die beanstandete Praxis ist eingestellt.

2. Cyberangriff auf das Berliner Landesnetz — Datenabfluss weitreichender als angenommen

Seit Montag, 17. August 2026 · zuletzt aktualisiert Donnerstag, 27. August 2026 · Score 74

Nach dem am 14. August entdeckten Angriff auf zwei Senatsverwaltungen hatte der Senat zunächst erklärt, es seien nur frei verfügbare Geodaten abgeflossen.

Letzte Entwicklung: Die Senatskanzlei korrigiert diese Darstellung. Im Geschäftsbereich der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt könne „nicht ausgeschlossen werden, dass auch personenbezogene oder sonstige nicht-öffentliche Daten betroffen sind“. Der Abfluss erfolgte vor dem 14. August. Forensik und Netz-Scanning dauern an; die parlamentarischen Gremien sollen informiert werden, sobald belastbare Erkenntnisse vorliegen.

3. CISA-KEV-Serie: sieben aktiv ausgenutzte Lücken binnen zwei Tagen

Seit Dienstag, 25. August 2026 · zuletzt aktualisiert Donnerstag, 27. August 2026 · Score 68

Nach der Gitea-Codeeinschleusung am 25. August folgten in der Nacht zum 26. August sechs weitere Einträge im Katalog der bekannten ausgenutzten Schwachstellen.

Letzte Entwicklung: Die jüngste der neu aufgenommenen Lücken betrifft Citrix NetScaler ADC und Gateway und wird für das Ablegen von Webshells genutzt. Fünf der sechs Einträge sind Altlasten aus den Jahren 2015 bis 2022 — ein Hinweis darauf, dass Angreifer derzeit gezielt nach ungepatchten Alt-Installationen suchen.

1.1 IMEI-Kennungen gelangten beim Rufaufbau unbemerkt an den Anrufer

27.08.2026 · heise online · Presseportal/BR

Zusammenfassung: Eine Recherche des Bayerischen Rundfunks hat aufgedeckt, dass beim Aufbau eines Telefonats technische Angaben über das angerufene Gerät an die anrufende Seite übermittelt wurden — und zwar bevor der Angerufene das Gespräch angenommen hatte. In mehr als 70 Testanrufen gelangte in den Netzen von Telekom und Telefónica in mehreren Fällen die vollständige IMEI zum Anrufer, also die 15-stellige, weltweit eindeutige Gerätekennung. Bei Telekom und Vodafone wurden fallweise Smartphone-Modell und Betriebssystemversion offengelegt, woraus sich der Stand der Sicherheitsupdates ablesen lässt. Die Übertragung war nicht durchgängig, sondern trat nur in bestimmten Konstellationen auf; nachweisen ließ sie sich über Mitschnitte des Signalisierungsverkehrs. Alle drei Netzbetreiber haben reagiert: Vodafone hat die übermittelten Daten eingeschränkt, die Telekom kündigte Netzanpassungen für Mitte August an, Telefónica hat technische Maßnahmen umgesetzt.

Hintergrund & Einordnung: Der Vorgang ist deshalb bemerkenswert, weil er keine Schwachstelle im klassischen Sinn ist, sondern eine Abweichung von einer ausdrücklichen Vorgabe. Die GSMA verpflichtet ihre Mitglieder, die IMEI vor der Übermittlung zu anonymisieren; die Spezifikationen RFC 7254 und 7255 sehen genau das vor. Die Standardisierungsorganisation 3GPP betont, dass bei normalen Anrufen keine IMEI an die Gegenseite übertragen werden soll. Die GSMA hat nach der Recherche über 1.000 Mitglieder gewarnt und sofortige Netzprüfungen empfohlen, um unnötige Informationen herauszufiltern. Zur Gefahrenlage gehen die Einschätzungen auseinander. Das Bundesamt für Verfassungsschutz bewertet den Befund als sicherheitsrelevant, verweist darauf, dass staatliche Akteure bereits Cyberangriffe auf Mobilgeräte durchgeführt haben, und hält es für nahezu sicher, dass auch fremde Nachrichtendienste solche Daten nutzen. Karsten Nohl von SRLabs ordnet die Lücke fachlich zurückhaltender ein, benennt aber die konkreten Folgen: Die IMEI ermöglicht neben Tracking auch gezieltere Angriffe mit Bezug auf das konkrete Gerätemodell sowie IMEI-Cloning. Der CDU-Bundestagsabgeordnete Roderich Kiesewetter, dessen Gerätekennung im Test ausgelesen wurde, sprach von einem möglichen „Einfallstor für ausländische Nachrichtendienste“.

Praxisfolgen / Handlungsempfehlung: Für Endnutzer gibt es keine Gegenmaßnahme — die Übertragung fand im Netz statt, nicht auf dem Gerät. Für Organisationen mit erhöhtem Schutzbedarf folgt daraus dreierlei. Erstens gehört die Annahme auf den Prüfstand, dass ein nicht angenommener Anruf keine Information preisgibt; für gefährdete Personengruppen ist das eine relevante Korrektur des Bedrohungsmodells. Zweitens ist die IMEI ein stabiler Identifikator, der sich anders als eine Rufnummer nicht wechseln lässt — wer Diensthandys an besonders exponierte Beschäftigte ausgibt, sollte den Gerätewechsel als Schutzmaßnahme mitdenken, nicht nur den Nummernwechsel. Drittens ist die Offenlegung von Modell und Betriebssystemversion der praktisch gefährlichere Teil: Sie erlaubt es Angreifern, die Auswahl eines passenden Exploits vorab zu treffen, statt breit zu streuen. Verlangen Sie von Ihren Mobilfunkanbietern eine Bestätigung, dass die Filterung inzwischen greift, und halten Sie den Patchstand der Geräte eng — er ist offenbar von außen sichtbarer, als man annehmen würde.

1.2 Berlin: personenbezogene Daten nun doch nicht auszuschließen

26.08.2026 · t-online

Zusammenfassung: Bei dem am 14. August entdeckten Cyberangriff auf das Berliner Landesnetz sind womöglich doch sensible Daten abgeflossen. Die Senatskanzlei teilte mit, für den Geschäftsbereich der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt könne „nicht ausgeschlossen werden, dass auch personenbezogene oder sonstige nicht-öffentliche Daten betroffen sind“; Inhalt und Umfang würden derzeit geprüft. Das korrigiert die bisherige Darstellung: Noch in der Vorwoche hatte der Senat erklärt, nach ersten Erkenntnissen seien keine sensiblen Daten abgeflossen, es handle sich um Geodaten, die ohnehin über Open Data frei zugänglich seien. Der Zeitpunkt des Abflusses lag den Angaben nach vor dem 14. August, also bevor die beiden betroffenen Senatsverwaltungen vom Landesnetz getrennt wurden. Der Staatssekretär für Digitalisierung, Florian Hauer, kündigte an, die zuständigen parlamentarischen Gremien zu informieren, sobald belastbare Erkenntnisse vorliegen. Der Angriff gilt als eingedämmt, forensische Untersuchungen und das Scanning des Landesnetzes dauern an.

Hintergrund & Einordnung: Der Fall illustriert ein wiederkehrendes Muster bei der Kommunikation von Sicherheitsvorfällen. Die frühe Entwarnung stützte sich auf „erste Erkenntnisse“ zu einem Zeitpunkt, zu dem die Forensik gerade erst begonnen hatte — eine Aussage, die sich später kaum halten lässt und deren Korrektur ungleich mehr Vertrauen kostet als eine anfängliche Zurückhaltung. Datenschutzrechtlich verschiebt sich mit dem neuen Stand auch die Pflichtenlage: Solange nur öffentlich verfügbare Geodaten betroffen waren, lag keine meldepflichtige Verletzung des Schutzes personenbezogener Daten vor. Lässt sich das nicht mehr ausschließen, greifen die Fristen und Verfahren der Art. 33 und 34 DSGVO, und zwar nicht ab dem Zeitpunkt vollständiger Klarheit, sondern ab hinreichender Wahrscheinlichkeit.

Praxisfolgen / Handlungsempfehlung: Für die Kommunikation bei eigenen Vorfällen lässt sich daraus eine klare Regel ableiten: Formulieren Sie in der Frühphase, was Sie geprüft haben, nicht was Sie ausschließen. „Nach dem derzeitigen Stand der Auswertung liegen keine Hinweise auf X vor, die Untersuchung dauert an“ ist belastbar; „es sind keine sensiblen Daten abgeflossen“ ist es nicht. Für die Meldepflicht gilt der Wahrscheinlichkeitsmaßstab, nicht der Beweismaßstab — wer auf abschließende forensische Klarheit wartet, verpasst die 72-Stunden-Frist des Art. 33 DSGVO regelmäßig. Und für Betroffene in Berlin: Rechnen Sie damit, dass in den kommenden Wochen Nachrichten kursieren, die sich auf den Vorfall beziehen und zur „Bestätigung Ihrer Daten“ auffordern. Die Verwaltung fragt Bankverbindungen nicht per Mail-Link ab.

1.3 TI-Messenger auf Privatgeräten: warum die Zulassung das BYOD-Problem nicht löst

27.08.2026 · Dr. Datenschutz · gematik

Zusammenfassung: In vielen Krankenhäusern läuft ein erheblicher Teil der informellen Kommunikation zwischen ärztlichem Dienst, Pflege und weiteren Berufsgruppen über private Messenger auf privaten Geräten — und dabei geht es längst nicht nur um Schichttausch, sondern regelmäßig um Wundfotos, Befunde, Abstimmungen zu Diagnostik und Therapie sowie um Informationen an niedergelassene Praxen, Pflegeheime, Sanitätshäuser und Apotheken. Der TI-Messenger der gematik wird als sichere Alternative zum „Klinik-WhatsApp“ gehandelt. Er ist Teil der Telematikinfrastruktur, der Zugang läuft institutionell über die SMC-B, ein bundesweites Adressbuch macht nur registrierte und berechtigte Akteure auffindbar, und zugelassene Implementierungen müssen einheitliche Protokolle, TLS-Absicherung und eine Ende-zu-Ende-Verschlüsselung auf Anwendungsebene umsetzen. Grundlage ist kein freiwilliges Produktangebot, sondern der gesetzliche Auftrag aus § 312 Abs. 1 S. 1 Nr. 4 und Nr. 9 SGB V in der Fassung des Digitale-Versorgung-und-Pflege-Modernisierungs-Gesetzes.

Hintergrund & Einordnung: Der Sicherheitsgewinn gegenüber Consumer-Messengern ist erheblich, löst aber nur einen Teil des Problems. Was der TI-Messenger nicht verhindern kann, sind menschliche Fehler — falsche Empfängerperson, falscher Inhalt —, Screenshots sowie organisatorische Defizite wie fehlende Richtlinien, Schulungen oder Löschkonzepte. Rechtlich bleibt die Ausgangslage unverändert schwierig: Verarbeitet werden regelmäßig Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO, häufig zu besonders schutzbedürftigen Personen, und betroffen ist das Berufsgeheimnis des § 203 StGB. Die Rechtsgrundlagen liegen typischerweise bei Art. 6 Abs. 1 lit. b, c oder f in Verbindung mit Art. 9 Abs. 2 lit. h DSGVO und § 22 Abs. 1 Nr. 1 lit. b BDSG. Der eigentliche Konfliktpunkt ist das private Endgerät: Unkontrollierte Privatgeräte mit vorinstallierten Apps, veraltetem Betriebssystem, Malware-Risiko und Zugriffen Dritter lassen sich mit den Anforderungen des Art. 5 DSGVO — Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität und Vertraulichkeit — kaum vereinbaren. Ein Wundfoto, das aus dem Messenger in die private Fotogalerie und von dort in ein Cloud-Backup wandert, ist eine unkontrollierte Mehrfachspeicherung und damit eine eigene, nicht gerechtfertigte Verarbeitung.

Praxisfolgen / Handlungsempfehlung: Wer BYOD im Klinikbetrieb nicht verbieten kann — und in der Realität kann das kaum jemand —, braucht drei Ebenen. Technisch: Mobile-Device-Management mit App-Container, saubere Trennung beruflicher und privater Daten, Remote-Wipe, und vor allem eine Konfiguration, die den Export von Chat-Bildern in die Galerie oder andere Apps unterbindet. Organisatorisch: Eintrag im Verarbeitungsverzeichnis nach Art. 30 DSGVO, ein Rollen- und Berechtigungskonzept nach dem Need-to-know-Prinzip, und eine ausdrückliche Regelung, ob behandlungsrelevante Inhalte aus dem Messenger in die Patientenakte überführt werden oder ob der Kanal bewusst auf organisatorische Inhalte beschränkt bleibt. Rechtlich: eine Nutzungsvereinbarung mit den Beschäftigten, die Kontrollrechte und Löschpflichten regelt, sowie eine Datenschutz-Folgenabschätzung — bei Gesundheitsdaten in großem Umfang und in Echtzeit ist sie nach Art. 35 Abs. 3 lit. b DSGVO praktisch immer angezeigt. Die Zulassung des Dienstes ersetzt keinen dieser Punkte; sie macht sie nur erreichbar.

2.1 Dell PowerProtect Cyber Recovery: rund 550 Schwachstellen, drei mit CVSS 10

26.08.2026 · heise online · Dell DSA-2026-286

Zusammenfassung: Dell hat mit dem Advisory DSA-2026-286 ein Sammelupdate für PowerProtect Cyber Recovery veröffentlicht, das rund 550 Schwachstellen behebt. Der Titel des Advisories — „Multiple Third-Party Component Vulnerabilities“ — benennt die Ursache: Es geht überwiegend um Lücken in mitgelieferten Drittanbieter-Komponenten. Drei davon erreichen den maximalen CVSS-Wert von 10,0. Zwei betreffen die DNS-Komponente von Netty (CVE-2026-45674 und CVE-2026-47691); dort können Angreifer DNS-Antworten manipulieren und Opfer auf von ihnen kontrollierte Server umleiten. Die dritte ist ein Zertifikatsfehler in der Go-Komponente crypto/tls, durch den eigentlich nicht vertrauenswürdige TLS-Verbindungen akzeptiert werden können. Alle Versionen vor 20.3.0.0 gelten als verwundbar; ergänzend stehen OS-Update-Pakete für SLES 15 SP4 (cyber-recovery-osupdate-15.4.0-19.bin) und SLES 15 SP6 (cyber-recovery-osupdate-15.6.1-1.bin) bereit.

Hintergrund & Einordnung: Die Zahl 550 ist weniger dramatisch, als sie klingt, und in einer anderen Hinsicht dramatischer. Weniger dramatisch, weil es sich nicht um 550 eigenständig ausnutzbare Angriffswege im Produkt handelt, sondern um die Summe aller in Drittkomponenten bekannt gewordenen Schwachstellen, die mit dem Update mitgezogen werden — ein typisches Muster bei Appliance-artigen Produkten mit langen Update-Zyklen. Dramatischer, weil sie zeigt, wie weit der Bestand hinterherhinkt, bevor gesammelt nachgezogen wird. Entscheidend ist die Rolle des Produkts: PowerProtect Cyber Recovery ist der isolierte Tresor, in dem Sicherungen liegen sollen, an die Ransomware nicht herankommt. Es ist die Instanz, auf die man sich verlässt, wenn alles andere verloren ist. Eine Manipulation der DNS-Auflösung oder der TLS-Vertrauensprüfung in genau dieser Komponente untergräbt die Annahme, auf der das gesamte Wiederherstellungskonzept beruht. Im Juli 2026 gab es bereits kritische Lücken im verwandten Produkt PowerProtect Data Domain (CVE-2026-53483 und CVE-2026-53481, je CVSS 9,8), die eine vollständige Übernahme ohne Authentifizierung erlaubten.

Praxisfolgen / Handlungsempfehlung: Das Update auf 20.3.0.0 gehört terminiert, nicht eingeplant — mit den passenden OS-Paketen, sonst bleibt die Hälfte der Korrekturen wirkungslos. Wichtiger als das Update selbst ist aber die Konsequenz für die Architektur. Wenn die Wiederherstellungsumgebung dieselben Update-Zyklen hat wie die Produktivumgebung, ist sie kein Tresor, sondern ein weiterer Server. Prüfen Sie deshalb drei Punkte: Erreicht die Cyber-Recovery-Umgebung das Internet, etwa für DNS-Auflösung oder Lizenzprüfung — und wenn ja, warum? Ist die Netzwerktrennung tatsächlich unidirektional oder faktisch beidseitig durchlässig? Und lässt sich die Integrität der Sicherungen unabhängig von der Appliance verifizieren, oder verlässt sich die Prüfung auf dieselbe Komponente, die kompromittiert sein könnte? Ein Wiederherstellungstest, der die Appliance als vertrauenswürdig voraussetzt, beantwortet die falsche Frage.

2.2 Adobe: 38 Lücken in sieben Bulletins, Campaign Classic auf höchster Prioritätsstufe

26.08.2026 · heise online · Adobe Security Bulletin

Zusammenfassung: Am zweiten August-Patchday hat Adobe 38 Sicherheitslücken in sieben Bulletins geschlossen; mehr als drei Viertel davon — 32 — sind als kritisch eingestuft. Betroffen sind Campaign Classic, Content Credentials SDK, Illustrator, Substance 3D Designer, Substance 3D Painter, Substance 3D Sampler und XD. Campaign Classic erhält die höchste Prioritätsstufe 1: Drei Schadcode-Lücken mit maximalem CVSS-Wert von 10,0 (CVE-2026-76197, CVE-2026-76195 und CVE-2026-76193) erlauben aufgrund unzureichender Eingabeprüfungen die Ausführung eigenen Codes und damit die volle Kontrolle über das System. In Substance 3D Designer schloss Adobe neun Lücken, acht davon kritisch; das Content Credentials SDK erhielt Korrekturen für sechs Schwachstellen, drei kritisch; Adobe XD und Illustrator jeweils eine. Hinweise auf eine aktive Ausnutzung liegen nicht vor, weshalb Adobe für die meisten Updates die niedrigste Dringlichkeitsstufe angibt.

Hintergrund & Einordnung: Der Fokus gehört auf Campaign Classic, und zwar aus einem Grund, der über die CVSS-Werte hinausgeht. Es ist bereits das zweite Update mit CVSS-10-Lücken innerhalb eines Monats: Anfang August hatte Bulletin APSB26-120 drei weitere Höchstwert-Schwachstellen behoben — eine serverseitige Anfragefälschung (CVE-2026-48331), eine Template-Engine-Injection (CVE-2026-48323) und eine SQL-Injection (CVE-2026-48330), alle aus der Ferne ohne Zugangsdaten und ohne Nutzerinteraktion auslösbar, betroffen war Version 7.4.3 Build 9398 und älter. Zwei Serien maximal bewerteter Lücken in vier Wochen deuten auf strukturelle Probleme in der Eingabeverarbeitung hin, nicht auf Einzelfehler. Für die Bewertung entscheidend ist, was in einer Campaign-Instanz liegt: Empfängerlisten, Kontaktdaten, Segmentierungen, oft Bestell- und Verhaltensdaten. Ein erfolgreicher Angriff ist damit keine reine IT-Störung, sondern regelmäßig eine meldepflichtige Verletzung des Schutzes personenbezogener Daten.

Praxisfolgen / Handlungsempfehlung: Ziehen Sie Campaign Classic aus dem regulären Patchzyklus heraus und behandeln Sie es als exponierten Dienst mit personenbezogenen Daten. Konkret: aktuelle Version einspielen, anschließend prüfen, ob die Instanz überhaupt aus dem Internet erreichbar sein muss — in vielen Installationen genügt der Zugriff aus dem Unternehmensnetz oder über VPN. Kontrollieren Sie danach die Zugriffsprotokolle des Zeitraums seit Anfang August auf ungewöhnliche Anfragen an Template- und Abfrage-Endpunkte. Für die übrigen Produkte gilt der normale Zyklus, mit einer Ausnahme: Substance 3D und Illustrator werden auf Arbeitsplätzen von Kreativen genutzt, die routinemäßig Dateien aus externen Quellen öffnen — dort ist die Wahrscheinlichkeit, dass eine präparierte Datei den Weg auf das System findet, deutlich höher als im Serverbetrieb.

3.1 CISA nimmt sechs weitere ausgenutzte Lücken auf — Citrix NetScaler im Fokus, fünf Altlasten daneben

26.08.2026 · CISA · heise online

Zusammenfassung: In der Nacht zum 26. August hat CISA sechs weitere Schwachstellen in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen — einen Tag nach der Gitea-Codeeinschleusung CVE-2026-60004. Die jüngste der neuen Einträge betrifft Citrix NetScaler ADC und NetScaler Gateway (CVE-2026-8452, CVSS 8,8), eine unzureichende Begrenzung von Operationen innerhalb eines Speicherpuffers; Updates stehen seit Ende Juni bereit. Angreifer nutzen die ohne vorherige Authentifizierung aus dem Netz missbrauchbare Lücke, um Webshells mit Dateinamen wie x.php und z.php auf verwundbaren Instanzen abzulegen und dort Erkundungsbefehle wie id und echo auszuführen. Die übrigen fünf Einträge sind deutlich älter: eine Out-of-Bounds-Schreiblücke im Linux-Kernel von 2022 (CVE-2022-0995, CVSS 7,8), eine unsichere Deserialisierung in Ajax.NET Professional von 2021 (CVE-2021-23758, CVSS 9,8), eine Codeausführung in Microsoft SQL Server von 2019 (CVE-2019-1068, CVSS 8,8) sowie zwei Red-Hat-Lücken von 2015 — eine Rechteausweitung im Automatic Bug Reporting Tool (CVE-2015-5287, CVSS 7,8) und eine Race Condition in Libuser (CVE-2015-3246, CVSS 5,1).

Hintergrund & Einordnung: Die Zusammenstellung ist aufschlussreich, weil sie zwei getrennte Angreifer-Ökonomien sichtbar macht. Die Citrix-Lücke folgt dem bekannten Muster: Eine internetseitige Appliance wird gepatcht, der Patch wird analysiert, und die Instanzen, die den Patch nicht binnen weniger Wochen einspielen, werden opportunistisch abgeräumt. Die Webshell-Namen x.php und z.php sind kurz und generisch — ein Indiz für automatisierte Massenausnutzung, nicht für gezielte Angriffe. Die fünf Altlasten dagegen stammen aus einer anderen Logik: Sie werden nicht ausgenutzt, weil sie neu wären, sondern weil irgendwo Systeme laufen, die niemand mehr betreut. Ajax.NET Professional in einer 2012 gebauten Webanwendung, ein SQL Server, der eine Fachanwendung trägt und deshalb „nicht angefasst“ wird, ein Red-Hat-System, das seit einem Jahrzehnt einen Dienst bereitstellt. CISA nennt keine Details zu Art und Umfang der Angriffe. Allen Einträgen gemein ist die Konsequenz, die heise zutreffend zieht: Bei aus dem Netz erreichbaren Instanzen sollten IT-Verantwortliche von einer erfolgten Kompromittierung ausgehen und auf Einbruchsspuren prüfen.

Praxisfolgen / Handlungsempfehlung: Für Citrix NetScaler gilt: patchen, dann prüfen. Weil Updates seit Ende Juni bereitstehen und die Ausnutzung läuft, ist jede exponierte Instanz mit älterem Stand als potenziell kompromittiert zu behandeln. Suchen Sie im Webroot nach kurz benannten PHP-Dateien, in den Zugriffsprotokollen nach Aufrufen solcher Dateien mit einfachen Kommandos, und rotieren Sie anschließend alle auf der Appliance hinterlegten Zugangsdaten und Sitzungsschlüssel. Für die Altlasten hilft kein Patchzyklus, sondern eine Inventur: Erstellen Sie eine Liste aller aus dem Internet erreichbaren Systeme und gleichen Sie sie gegen die Liste der Systeme ab, die in den letzten zwölf Monaten ein Update erhalten haben. Die Differenz ist Ihre Angriffsfläche. Erfahrungsgemäß stehen dort Systeme, für die niemand mehr zuständig ist — und genau die sind gemeint, wenn eine elf Jahre alte Libuser-Lücke im KEV-Katalog landet.

3.2 TP-Link Omada: Fernübernahme über OpenVPN bei ER605 und TL-R605

25.08.2026 · heise online · TP-Link Security Advisory

Zusammenfassung: TP-Link hat ein Advisory zu drei Schwachstellen in Omada-Gateways veröffentlicht. Die gefährlichste, CVE-2026-19586, ist als kritisch eingestuft: Läuft auf dem Gerät ein OpenVPN-Server und kann ein Angreifer einen Verbindungsversuch initiieren, lassen sich ohne Authentifizierung aus der Ferne eigene Befehle ausführen und anschließend die volle Kontrolle über das Gerät erlangen. Betroffen sind konkret die Gigabit-Multi-WAN-VPN-Router ER605 und TL-R605. Zwei weitere Lücken sind als mittelschwer eingestuft: Mit Netzwerkzugriff lassen sich Captive-Portal-Sitzungen beenden (CVE-2026-9033), und ein Fehler in der DDNS-Funktion führt dazu, dass Zugangsdaten unverschlüsselt an einen Drittanbieter-DDNS-Dienst übertragen werden und dort abgefangen werden können (CVE-2026-19683).

Hintergrund & Einordnung: Die Omada-Serie umfasst Access Points, Router mit Firewall- und VPN-Funktion sowie Switches und richtet sich an kleine und mittlere Unternehmen, Hotels und Arztpraxen — nicht an Privathaushalte. Genau das macht die Lücke relevant: Solche Geräte stehen typischerweise am Netzübergang, terminieren die VPN-Verbindungen der Beschäftigten und werden von externen Dienstleistern betreut, deren Wartungsvertrag nicht immer regelmäßige Firmware-Updates umfasst. Die Einschränkung auf laufende OpenVPN-Server begrenzt die Zahl der betroffenen Installationen erheblich — aber ein Multi-WAN-VPN-Router wird in aller Regel gekauft, weil man VPN braucht. Die Omada-Serie stand bereits im Oktober 2025 im Fokus, als TP-Link vier kritische Lücken in über einem Dutzend Modellen der ER-, G- und FR-Serie schloss, darunter eine Befehlseinschleusung über WireGuard-Einstellungen und ein unautorisierter Root-Zugriff über verbliebenen Debug-Code. Die unverschlüsselte DDNS-Übertragung ist ein eigenständiges Problem: Sie betrifft nicht nur das Gerät, sondern den Zugang zum DDNS-Konto, über das sich der Netzübergang umleiten ließe.

Praxisfolgen / Handlungsempfehlung: Firmware-Updates von der TP-Link-Support-Seite umgehend einspielen. Wo für ein Modell noch kein Patch bereitsteht, den OpenVPN-Server deaktivieren oder den Zugriff darauf netzseitig auf bekannte Quelladressen beschränken — die Lücke greift nur bei erreichbarem OpenVPN-Dienst. Prüfen Sie unabhängig davon die DDNS-Konfiguration und wechseln Sie die dort hinterlegten Zugangsdaten, weil sie unverschlüsselt übertragen wurden und als kompromittiert gelten müssen. Und nutzen Sie den Anlass für eine Bestandsaufnahme der Netzübergangsgeräte: Wer betreut sie, wann wurde zuletzt aktualisiert, und ist die Verwaltungsoberfläche aus dem Internet erreichbar? Bei Geräten in Praxen und kleinen Betrieben lautet die Antwort auf die letzte Frage überraschend oft ja.

4.1 OLG Bamberg: Der DSA ist Verbraucherschutzrecht — Meldebutton und Kontozwang bei Amazon unzulässig

OLG Bamberg · 29.07.2026 · 3 UKl 13/25 e · CSA-Aufbereitung · Volltext

Sachverhalt: Die Verbraucherzentrale Bayern klagte gegen Amazon EU S.à r.l. auf Unterlassung mehrerer Praktiken auf dem deutschen Marktplatz. Beanstandet wurden die Transparenz der Empfehlungssysteme bei der Sortierung von Suchergebnissen, die Ausgestaltung des Meldeverfahrens für rechtswidrige Inhalte, die Zugänglichkeit der Option zur Entpersonalisierung der Empfehlungs-Feeds sowie die Aufbereitung der Informationen zu Algorithmen, Moderationswerkzeugen und internen Beschwerdeverfahren. Zuständig war erstinstanzlich das Oberlandesgericht, weil es sich um eine Verbandsklage nach dem Unterlassungsklagengesetz handelt.

Entscheidung: Der 3. Zivilsenat gab der Klage am 29. Juli 2026 überwiegend statt und untersagte die beanstandeten Praktiken unter Androhung eines Ordnungsgeldes bis 250.000 Euro. In zwei Punkten blieb die Klage erfolglos. Die Revision wurde für die Beklagte zum Bundesgerichtshof zugelassen, für den Kläger nicht.

Begründungs-Kernpunkte: Die tragende Vorfrage betrifft die Klagebefugnis. Der Senat stellt in mehreren Leitsätzen fest, dass die Art. 14, 16 und 27 DSA dem Verbraucherschutz dienen — und zwar „über eine bloße Neben- oder Reflexwirkung hinaus“. Damit sind sie Verbraucherschutzgesetze im Sinne des UKlaG und können von Verbänden durchgesetzt werden, nicht nur von den Aufsichtsbehörden des DSA. Inhaltlich folgt daraus dreierlei. Erstens setzt die leichte Zugänglichkeit des Meldeverfahrens nach Art. 16 Abs. 1 DSA „eine hinreichend aussagekräftige Bezeichnung des Meldebuttons voraus“; die Aufschrift „Ein Problem mit diesem Produkt melden“ legt aus Verbrauchersicht Reklamationen, Qualitätsmängel oder Transportschäden nahe, nicht den Hinweis auf strafbare, gefälschte oder sonst illegale Angebote. Zweitens steht „das Erfordernis der vorherigen Anlegung eines Kundenkontos […] der leichten Zugänglichkeit des Meldeverfahrens […] entgegen“; der DSA öffnet den Mechanismus allen Personen und Einrichtungen, und die Abwehr von Spam und Bots rechtfertigt keine Registrierungspflicht. Drittens umfasst die Pflicht zur Erläuterung der Gründe für die relative Bedeutung der Empfehlungsparameter nach Art. 14 Abs. 2 S. 2 lit. b DSA auch „die Darstellung der jeweiligen Gewichtung“; bei variabler Gewichtung muss der Anbieter zumindest darüber informieren, „auf welchem Wege das Verhältnis der Parameter zueinander bestimmt wird“. Sammelbegriffe wie „Kundenaktionen“ genügen nicht. Zur Teilabweisung: Beim Zugang zur De-Personalisierung bejaht der Senat zwar den verbraucherschützenden Charakter des Art. 27 Abs. 3 in Verbindung mit Art. 38 DSA, weist den konkreten Anspruch aber ab, weil der Kläger den Erstverstoß nicht bewiesen hat — die Beklagte trat der Behauptung, auch nicht angemeldete Besucher erhielten personalisierte Empfehlungen, mit Screenshots entgegen, und die Darlegungs- und Beweislast liegt beim Kläger. Ebenfalls abgewiesen wurde die Forderung, die Zusammenfassung der AGB nach Art. 14 Abs. 5 DSA müsse am Anfang des Regelwerks stehen; ein klar auffindbarer Link, etwa über das Fußzeilenmenü, genügt.

Praxisfolgen: Die Entscheidung betrifft nicht nur sehr große Plattformen. Die Pflichten aus Art. 14 und Art. 16 DSA gelten für Vermittlungs- und Hostingdienste allgemein — ein Forum, ein Bewertungsportal oder ein Marktplatz mittlerer Größe trifft dieselbe Pflicht und nach dieser Linie nun auch dasselbe Abmahnrisiko durch Verbände. Drei Prüfpunkte ergeben sich unmittelbar. Erstens die Beschriftung: Der Meldeweg für rechtswidrige Inhalte muss als solcher erkennbar benannt sein; „Problem melden“ oder „Feedback“ reichen nicht, wenn damit auch die Meldung illegaler Inhalte abgedeckt sein soll. Zweitens der Zugang: Meldungen müssen ohne Konto und ohne Anmeldung möglich sein — Missbrauchsabwehr ist über Ratenbegrenzung, Captcha oder nachgelagerte Prüfung zu lösen, nicht über eine Registrierungshürde. Drittens die Sortier-Transparenz: Wer Inhalte algorithmisch ordnet, muss den Algorithmus nicht offenlegen, aber die maßgeblichen Kriterien benennen und den Mechanismus ihrer Gewichtung erklären. Strategisch bedeutsam ist die neue Durchsetzungsebene: Verbandsklagen laufen deutlich schneller als Aufsichtsverfahren und enden mit vollstreckbaren Titeln. Zu beachten bleibt, dass die Revision zugelassen ist und die Literatur uneinheitlich ist — der Senat verweist selbst darauf, dass der einzige einschlägige Fachbeitrag (Steinrötter, MMR 2026, 3 ff.) zu anderen Ergebnissen kommt. Bis zur Entscheidung des BGH ist die Bamberger Linie die maßgebliche obergerichtliche Rechtsprechung. Vollständige Aufbereitung: ur-655.

4.2 VG Düsseldorf: Double Opt-in ersetzt den Nachweis der Einwilligung nicht

VG Düsseldorf · 27.07.2026 · 29 K 9714/24 · CSA-Aufbereitung · Volltext

Sachverhalt: Ein Betroffener beschwerte sich 2020 bei der nordrhein-westfälischen Datenschutzaufsicht über Werbemails an seine private Adresse, die er nie herausgegeben habe. Der verantwortliche Portalbetreiber erklärte, der Betroffene habe sich auf einer seiner Seiten eingetragen; die Bestätigungsmail könne er nicht vorlegen, „da sie diese aus Datenschutzgründen nicht speichere“. Die Behörde wies 2022 ausdrücklich darauf hin, dass ein wirksames Double-Opt-in-Verfahren eine vollständige Dokumentation durch Speicherung und Möglichkeit zum Ausdrucken erfordert. Im Februar 2024 meldete derselbe Betroffene erneut eine Werbemail desselben Absenders. Als Nachweis legte der Verantwortliche eine Protokollzeile mit E-Mail-Adresse, Anmelde-IP nebst Zeitstempel und Bestätigungs-IP nebst Zeitstempel vor. Der Betroffene wies nach, dass er zum protokollierten Zeitpunkt in Dänemark war, während die IP-Adresse dem deutschen Telekom-Adressbereich zuzuordnen war. Im Oktober 2024 verwarnte die Behörde nach Art. 58 Abs. 2 Buchst. b DSGVO; dagegen richtete sich die Anfechtungsklage.

Entscheidung: Die 29. Kammer wies die Klage am 27. Juli 2026 ab. Die Verwarnung ist rechtmäßig.

Begründungs-Kernpunkte: Die Kammer stellt zunächst klar, dass eine Verwarnung ein belastender, feststellender Verwaltungsakt ist — es entstehen zwar keine Handlungspflichten, aber „eine verbindliche, missbilligende Feststellung zu einem konkreten Datenschutzverstoß“. Materiell trägt die Entscheidung eine bemerkenswerte Weichenstellung: Das Gericht hält fest, es könne nach der Vorgeschichte „praktisch ausgeschlossen werden, dass dieser eine Einwilligung tatsächlich erteilt hat“, und fügt an: „Das ist aber nicht entscheidungserheblich.“ Maßgeblich ist allein der Nachweis nach Art. 7 Abs. 1 DSGVO. Wird er nicht geführt, ist die Verarbeitung rechtswidrig, weil keine Bedingung des Art. 6 Abs. 1 DSGVO erfüllt ist — der fehlende Nachweis wirkt wie eine fehlende Einwilligung. Die vorgelegte Protokollzeile ist dafür ungeeignet: Sie „beweisen schon keine Beziehung zum Beschwerdeführer. Zwischen IP-Adresse und E-Mail-Adresse gibt es keinen notwendigen Zusammenhang.“ Eine IP-Adresse wird einem Gerät zugewiesen und sagt nichts darüber, welche Person davor saß und welche Adresse eingetragen wurde. Damit fehlt sowohl der Personenbezug als auch der Inhalt der bestätigten Erklärung. Die amtlichen Leitsätze fassen das zusammen: Kann der Verantwortliche den Nachweis nicht führen, gilt die Einwilligung als nicht wirksam erteilt; die bloße Angabe von E-Mail-Adresse, IP-Adresse nebst Datum und Double-Opt-in-IP nebst Datum ist zum Nachweis ungeeignet.

Praxisfolgen: Zu speichern ist nicht das Ereignis, sondern der Inhalt. Konkret gehört in das Nachweisarchiv: die versendete Bestätigungsmail im Wortlaut, adressiert an die konkrete Adresse, mit Zeitstempel; der vollständige Text der Einwilligungserklärung in der Fassung, die zum Anmeldezeitpunkt galt; und die Fassung des Anmeldeformulars selbst, versioniert. Die Protokollierung von IP und Zeitstempel bleibt als ergänzendes Indiz sinnvoll, trägt den Nachweis aber nicht allein. Der Nachweis muss so lange verfügbar bleiben, wie die Verarbeitung läuft, zuzüglich Verjährungsfrist — eine Löschroutine, die Bestätigungsmails nach wenigen Monaten entfernt, macht jede Altbestandsadresse angreifbar. Das im Verfahren vorgebrachte Argument, man speichere die Mails „aus Datenschutzgründen“ nicht, trägt nicht: Die Aufbewahrung des Einwilligungsnachweises ist zur Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO erforderlich und damit selbst rechtmäßig. Wer sie unterlässt, spart keine Daten, sondern die eigene Beweisgrundlage. Bemerkenswert ist schließlich, wie die Behörde ihr Ermessen begründete — ausdrücklich „in Anbetracht der Historie“, nachdem sie dieselbe Firma zuvor zweimal auf denselben Mangel hingewiesen hatte. Vollständige Aufbereitung: ur-654.

5.1 Autoriteit Persoonsgegevens: 824,99 Millionen Euro gegen Uber wegen vollautomatisierter Fahrersperren

21.08.2026 · Autoriteit Persoonsgegevens · NOS

Behörde: Autoriteit Persoonsgegevens (Niederlande), Verfahren ausgelöst über die französische CNIL · Adressat: Uber (Europazentrale Amsterdam) · Höhe: 824.990.000 Euro

Verstoß / Rechtsgrundlage: Verstoß gegen Art. 22 DSGVO — das Verbot, Entscheidungen mit erheblichen Auswirkungen ausschließlich auf eine automatisierte Verarbeitung zu stützen —, ergänzt um Verstöße gegen die Informationspflichten der Art. 13 und 14 DSGVO, weil die Fahrer über die automatisierte Entscheidungsfindung nicht hinreichend informiert wurden. Die beanstandeten Praktiken liegen im Zeitraum 2018 bis 2022.

Begründung: Uber setzte Software ein, um das Fahrverhalten zu überwachen und Kundenbewertungen auszuwerten. Bei Betrugsverdacht oder zu niedrigen Bewertungen wurden Fahrerkonten automatisch vorübergehend deaktiviert, bei anhaltend niedrigen Bewertungen dauerhaft. Für die Betroffenen bedeutete das den Wegfall ihres Einkommens über die Plattform. Nach Feststellung der Behörde fehlte eine bedeutsame menschliche Kontrolle vor der Entscheidung. Die stellvertretende Vorsitzende Monique Verdier fasst den Maßstab zusammen: Ein Computer dürfe nicht eigenständig Entscheidungen mit erheblichen Folgen treffen, diese hätten zuvor von einem Menschen überprüft werden müssen. Die Behörde stellt zugleich klar, was sie nicht beanstandet — es ist der Plattform nicht untersagt, Fahrer bei Betrugsverdacht zu sperren; beanstandet wird der Weg dorthin. Ausgelöst wurde das Verfahren durch 171 französische Fahrer, die sich an die Ligue des droits de l’Homme wandten; diese reichte in ihrem Namen Beschwerde bei der CNIL ein. Zuständig wurde über den One-Stop-Shop-Mechanismus die niederländische Behörde, weil Ubers Europazentrale in Amsterdam sitzt.

Praxisfolgen: Es ist das zweithöchste DSGVO-Bußgeld überhaupt — übertroffen nur von den 1,2 Milliarden Euro, die die irische Aufsicht 2023 gegen Meta wegen der Datenübermittlung in die USA verhängte. Für Uber ist es die vierte niederländische Sanktion; kumuliert überschreiten die Bußgelder damit 1,12 Milliarden Euro, nach 600.000 Euro im Jahr 2018, 10 Millionen 2023 und 290 Millionen 2024. Das Unternehmen hat Rechtsmittel angekündigt, hält die Höhe für unverhältnismäßig und bestreitet, dass dauerhafte Sperrungen vollständig automatisch abliefen; die beanstandete Praxis ist eingestellt. Für europäische Verantwortliche liegt die Bedeutung darin, dass Art. 22 DSGVO bislang eine Norm mit geringer Durchsetzungspraxis war und nun in einer Größenordnung sanktioniert wird, die den Bilanzausweis erreicht. Der Prüfauftrag ist entsprechend konkret: Kartieren Sie alle Prozesse, in denen ohne menschliche Beteiligung eine Entscheidung mit erheblichen Folgen für eine betroffene Person fällt — Kontosperrung, Vertragsablehnung, Scoring, automatische Kündigung, Ausschluss von Leistungen. Für jeden dieser Prozesse braucht es drei Nachweise: eine menschliche Prüfinstanz mit echter Entscheidungsbefugnis, nicht nur mit Freigabeknopf; eine Information nach Art. 13 und 14 DSGVO über das Bestehen der automatisierten Entscheidungsfindung samt aussagekräftiger Angaben zur involvierten Logik; und ein funktionierendes Widerspruchsverfahren. Der Weg des Verfahrens ist die zweite Lehre: Eine Gruppe von 171 Betroffenen genügte, um über eine Nichtregierungsorganisation und den One-Stop-Shop ein Verfahren in einem anderen Mitgliedstaat auszulösen. Die Annahme, dass Beschwerden Einzelner folgenlos bleiben, trägt nicht mehr.

6.1 Bitkom 2026: Schäden zwischen 211 und 270,8 Milliarden Euro — erster Rückgang seit Jahren

26.08.2026 · heise online

Zusammenfassung: Die neue Bitkom-Erhebung unter Unternehmen mit mehr als zehn Beschäftigten weist erstmals seit Jahren einen Rückgang aus: Der bezifferbare Gesamtschaden liegt zwischen 211 und 270,8 Milliarden Euro, nach 289,2 Milliarden Euro im Vorjahr — damit wieder etwa auf dem Niveau von 2021. Bitkom-Präsident Ralf Wintergerst führt das vor allem auf die Quantifizierung der Produktionsausfälle zurück, die 2026 deutlich unter den Vorjahresangaben liegt; zugleich ist die Zahl der Unternehmen gesunken, die sich sicher sind, angegriffen worden zu sein. Der Anteil der Cyberattacken am Gesamtschaden steigt dagegen weiter: auf 76 Prozent nach 70 Prozent im Vorjahr und 59 Prozent vor fünf Jahren; in absoluten Zahlen 160,4 bis 205,8 Milliarden Euro gegenüber 202,4 Milliarden im Vorjahr. Fast zwei Drittel der Unternehmen (63 Prozent) haben in den vergangenen zwölf Monaten eine Zunahme von Angriffen registriert, 69 Prozent erwarten eine weitere Zunahme — kein einziges befragtes Unternehmen rechnet mit einem Rückgang.

Hintergrund & Einordnung: Der Rückgang der Schadenssumme sollte nicht als Entspannung gelesen werden, und die Erhebung selbst gibt das auch nicht her. Die Angaben zu Produktionsausfällen sind der volatilste Teil solcher Umfragen, weil sie auf Schätzungen der Unternehmen beruhen; ein Rückgang dort kann ebenso auf veränderte Bewertungspraxis wie auf tatsächlich geringere Ausfälle hindeuten. Aussagekräftiger ist der Anteilswert: Dass Cyberangriffe inzwischen drei Viertel des Gesamtschadens ausmachen, nach knapp drei Fünfteln vor fünf Jahren, beschreibt eine strukturelle Verschiebung weg von analogem Diebstahl und Sabotage hin zu digitalen Angriffsformen. Verfassungsschutzpräsident Selen setzte auf derselben Veranstaltung deutlichere Akzente: Künstliche Intelligenz sei „geradezu ein Booster für die Bedrohungslage“, Deepfakes und Robocalls lägen im Angreifertrend, und das Patchmanagement müsse angesichts der Beschleunigung durch KI-Modelle schneller werden. Konkret berichtete er von einem registrierten Vorfall, bei dem eine gesamte Angriffskampagne aus China KI-generiert war — man stehe erst am Anfang dieser Entwicklung. Seine zentrale Kritik richtet sich an die Unternehmensspitzen: Investitionen in die Härtung von Systemen stagnierten, statt zu steigen, und die Aufmerksamkeit der Vorstände für IT-Sicherheit müsse zunehmen.

Praxisfolgen / Handlungsempfehlung: Für die interne Argumentation ist die Zahlenlage ambivalent und sollte entsprechend vorsichtig verwendet werden — wer mit sinkenden Gesamtschäden konfrontiert wird, kann auf den steigenden Anteilswert und die Erwartungshaltung der Befragten verweisen: 69 Prozent rechnen mit mehr Angriffen, niemand mit weniger. Praktisch relevanter ist Selens Hinweis auf das Patchmanagement. Wenn Angreifer KI einsetzen, um Patches zu analysieren und Exploits zu bauen, verkürzt sich das Zeitfenster zwischen Veröffentlichung und Ausnutzung — die Citrix-Lücke dieses Briefings ist ein Beispiel dafür, wie schnell aus einem Juni-Patch eine August-Kompromittierung wird. Messen Sie deshalb nicht, ob Sie patchen, sondern wie lange Sie brauchen: die mittlere Zeit von der Veröffentlichung eines Sicherheitsupdates bis zur Installation, getrennt nach internetseitigen und internen Systemen. Diese eine Kennzahl sagt mehr über die Widerstandsfähigkeit aus als jede Investitionssumme.

6.2 Spyware-Kampagne gegen Jobsuchende: gefälschte Indeed-Apps blockieren ihre eigene Deinstallation

26.08.2026 · heise online · Malwarebytes

Zusammenfassung: Sicherheitsforscher von Malwarebytes dokumentieren eine weltweite Kampagne gegen Nutzerinnen und Nutzer der Jobplattform Indeed. Vermeintliche Arbeitgeber kontaktieren Bewerber und weisen sie an, für das Vorstellungsgespräch eine App zu installieren. Als Vorwände dienen englischsprachige Aufforderungen wie „Vervollständige dein Vorstellungsgespräch durch Installation der Indeed-App“, „Aktualisiere deine Indeed-Applikation“, „Identitätsbestätigung erforderlich“, „Lade unser Recruitment-Portal herunter“ oder „Gehaltsvereinbarung nach der App-Installation verfügbar“. Berichte liegen unter anderem aus Brasilien und Großbritannien vor. Die Android-Apps imitieren die Indeed-Anmeldeseite und bauen nach Eingabe einer E-Mail-Adresse eine VPN-Verbindung auf. Technisch handelt es sich um Trojan Dropper — Erstphasen-Anwendungen, die weitere, nicht vertrauenswürdige Apps nachinstallieren; zum Analysezeitpunkt lieferten sie Spionagesoftware aus. Die Forscher hatten ursprünglich einen Banking-Trojaner erwartet.

Hintergrund & Einordnung: Der bemerkenswerteste Teil ist die Persistenz. Sobald die Schadsoftware die Berechtigung für die Barrierefreiheitsdienste erlangt hat, übernimmt sie die Kontrolle über das Gerät und verhindert ihre eigene Entfernung: Tippt die betroffene Person in den Android-Einstellungen auf „Deinstallieren“, erzwingt die Schadsoftware einen Rücksprung und blockiert damit die Deinstallation. Der Missbrauch der Barrierefreiheitsdienste ist auf Android seit Jahren das zentrale Einfallstor für vollständige Gerätekontrolle, weil diese Schnittstelle konstruktionsbedingt Bildschirminhalte lesen und Eingaben simulieren darf. Der Angriffsvektor ist bemerkenswert zielgenau gewählt: Menschen in einem Bewerbungsprozess befinden sich in einer Situation, in der ungewöhnliche Anforderungen des Gegenübers plausibel wirken und Widerspruch die Chance kostet. Die Aufforderung, eine Firmen-App zu installieren, fällt in diesem Kontext weniger auf als in jedem anderen. Dass die Dropper nicht selbst sichtbar Daten stehlen, macht sie zusätzlich schwer erkennbar — die eigentliche Nutzlast kommt später und kann jederzeit gewechselt werden.

Praxisfolgen / Handlungsempfehlung: Für die Sensibilisierung der eigenen Belegschaft ist das ein dankbares Beispiel, weil es außerhalb des Arbeitskontexts spielt und deshalb erinnert wird: Kein seriöses Unternehmen verlangt für ein Vorstellungsgespräch die Installation einer App außerhalb der offiziellen App-Stores. Wo eine App tatsächlich nötig ist — bei einigen Assessment-Anbietern kommt das vor —, findet sie sich im Play Store oder App Store unter dem Namen des Anbieters, nicht als Direkt-Download über einen Link im Chat. Für Organisationen mit Firmengeräten oder BYOD-Modellen sind zwei technische Maßnahmen wirksam: die Installation aus unbekannten Quellen per Geräteverwaltung sperren und die Vergabe von Barrierefreiheits-Berechtigungen an nicht freigegebene Apps unterbinden. Wer bereits betroffen ist, kommt an der blockierten Deinstallation in der Regel nur über den abgesicherten Modus vorbei — dort sind Apps von Drittanbietern deaktiviert — oder über ein Zurücksetzen des Geräts. Anschließend gehören alle auf dem Gerät verwendeten Zugangsdaten als kompromittiert behandelt.