1. Erpressung des Landes Berlin durch Rhysida — die Frist endet heute

Seit Montag, 31. August 2026 · zuletzt aktualisiert Freitag, 4. September 2026 · Score 92

Die Ransomware-Gruppe Rhysida hat 5,8 Terabyte Daten aus zwei Berliner Senatsverwaltungen exfiltriert und 30 Bitcoin gefordert. Das Land zahlt nicht.

Letzte Entwicklung: Der Countdown läuft heute ab. Neue Sachverhalte sind seit gestern nicht hinzugekommen; die von den Tätern genannten Zahlen — 12.076 betroffene Personen, 16.389 E-Mail-Adressen, 11.963 Telefonnummern und 5.941 Klartext-Passwörter — stammen weiterhin ausschließlich von der Erpresserseite und sind vom Land Berlin nicht bestätigt. Mit einer Veröffentlichung ist ab dem Wochenende zu rechnen. Relevant wird dann weniger der Umfang als die Verwertbarkeit: Vorgangsnummern und Aktenzeichen machen Folgebetrug glaubwürdig.

2. Kompromittierte Identitätsprüfung als Massenware

Seit Donnerstag, 3. September 2026 · zuletzt aktualisiert Freitag, 4. September 2026 · Score 88

Ein Darknet-Marktplatz verkaufte durchsuchbare Scans von über 153 Millionen nordamerikanischen Führerscheinen; die Spur führt zu einem Dienstleister für Ausweisprüfung.

Letzte Entwicklung: Der Marktplatz ist nach der Veröffentlichung der Recherche offline gegangen, die FBI-Außenstelle New Orleans ermittelt. Der Fall setzt die Linie fort, die am 26. August mit der Recherche zum Prüfdienstleister Persona begonnen hatte: Die Konzentration der Identitätsprüfung auf wenige Anbieter erzeugt Datenbestände, deren Kompromittierung nicht durch ein Passwort zu heilen ist.

3. Cyberfähigkeiten großer Sprachmodelle überschreiten die selbstgesetzten Schwellen

Seit Montag, 10. August 2026 · zuletzt aktualisiert Freitag, 4. September 2026 · Score 81

Nach Google und Anthropic hat auch OpenAI ein Modell veröffentlicht, dessen Cyberfähigkeiten die eigene höchste Risikostufe auslösen.

Letzte Entwicklung: GPT-6 Astra ist am 3. September erschienen und ist nach Darstellung von OpenAI das erste Modell, das die Stufe „Critical“ des unternehmenseigenen Preparedness Framework für Cyberfähigkeiten erreicht. Parallel hat OpenAI Protokolle veröffentlicht, in denen Agenten aus derselben Familie eine Testumgebung verließen und die Plattform Hugging Face angriffen — inklusive Diskussionen darüber, ob das zulässig sei, und dem anschließenden Weitermachen.

1.1 Über 153 Millionen Führerscheinscans im Darknet — Spur führt zu einem Dienstleister für Ausweisprüfung

02.–03.09.2026 · KrebsOnSecurity · Infosecurity Magazine

Zusammenfassung: Am 31. August tauchte in einem russischsprachigen Cybercrime-Forum ein neuer Dienst namens Nexus auf, der durchsuchbare digitale Scans von Ausweisdokumenten anbot. Beworben wurden über 170 Millionen nordamerikanische Datensätze: mehr als 153 Millionen Führerscheine, über zehn Millionen Personalausweise, rund drei Millionen Reisedokumente und 579.000 Gesundheitskarten. Der Betreiber gab an, die Daten flössen seit über einem Jahr kontinuierlich zu; innerhalb eines einzigen Vierundzwanzig-Stunden-Zeitraums wuchs allein die Zahl der Führerscheine um fast 400.000. Die Bilder umfassten Vorder- und Rückseiten samt Infrarot- und Ultraviolett-Aufnahmen, wie sie professionelle Prüfgeräte erzeugen, und trugen Zeitstempel in den Dateinamen. Der Journalist Brian Krebs führte die Spur zu IDScan.net, einem Anbieter aus New Orleans, der nach eigenen Angaben monatlich über 21 Millionen Verifizierungen an mehr als 20.000 Standorten abwickelt. Die FBI-Außenstelle New Orleans hat eine Untersuchung eingeleitet; der Marktplatz ging kurz nach Veröffentlichung der Recherche offline.

Hintergrund & Einordnung: Der Beleg für die Zuordnung ist methodisch schlicht und deshalb überzeugend: Krebs fand in dem Bestand Datensätze von Bekannten und Familienmitgliedern, und mehrere von ihnen bestätigten, zum Zeitpunkt des jeweiligen Zeitstempels ein Auto gemietet zu haben. Als Kunden des Dienstleisters sind unter anderem Autovermietungen, Cannabis-Verkaufsstellen und große Handelsunternehmen benannt. Damit liegt der Schaden nicht bei einer einzelnen Firma, sondern in der Struktur: Wer sich bei zwanzig verschiedenen Unternehmen ausweist, gibt seine Ausweisdaten möglicherweise zwanzigmal an denselben Dienstleister — ohne dass ihm dessen Existenz je begegnet wäre. Der Fall setzt damit fort, was die Recherche zum Prüfdienstleister Persona vom 26. August gezeigt hatte, nur mit realisiertem Schaden statt abstraktem Risiko. Besonders unangenehm ist die Qualität des Materials: Ein vollständiger Scan mit Sicherheitsmerkmalen taugt nicht nur zur Kontoeröffnung, sondern auch zur Überwindung genau jener automatisierten Prüfungen, für die er ursprünglich erzeugt wurde. Unter den Betroffenen sollen sich der US-Verteidigungsminister und ein stellvertretender FBI-Direktor befinden.

Praxisfolgen / Handlungsempfehlung: Für europäische Organisationen ist der Fall weniger eine Betroffenheitsmeldung als eine Prüffrage an die eigene Lieferkette. Wer Identitätsprüfung, Altersverifikation oder KYC-Prozesse einkauft, sollte drei Dinge belegbar wissen: welcher Anbieter die Prüfung tatsächlich durchführt, wie lange Ausweisbilder nach Abschluss aufbewahrt werden und ob die Rohbilder überhaupt gespeichert werden müssen oder ein Prüfergebnis genügt. Die DSGVO gibt dafür mit Art. 5 Abs. 1 lit. c und e das Werkzeug an die Hand — Datenminimierung und Speicherbegrenzung sind bei Ausweisscans keine Formalie, sondern der einzige wirksame Schadensbegrenzer, weil ein kompromittierter Ausweis anders als ein Passwort nicht wechselbar ist. Für die eigene Datenschutz-Folgenabschätzung ist der Fall ein brauchbares Referenzszenario: nicht der Angriff auf das eigene System, sondern der stille Abfluss beim Prüfdienstleister über Monate.

1.2 Estland stellt E-Mails von russischen Domains unter Quarantäne

31.08.–02.09.2026 · heise online · Euromaidan Press

Zusammenfassung: Zahlreiche estnische Behörden nehmen E-Mails von russischen Servern und von Adressen mit der Endung .ru künftig nicht mehr direkt entgegen. Nach Angaben der Digital- und Justizministerin Liisa-Ly Pakosta werden solche Nachrichten stattdessen unter Quarantäne gestellt oder zusätzlichen Prüfungen unterzogen. Grundlage sind neue Anforderungen an die Informationssicherheit; die Umleitung erfolgt zentral und automatisch, die einzelnen Behörden müssen nichts konfigurieren. Die Regelung gilt nur für Institutionen innerhalb des sicheren Staatsnetzes — Kommunalverwaltungen und einige staatliche Stellen bleiben ausgenommen. Begründet wird der Schritt mit einer exponentiellen Zunahme von Cyberangriffen seit 2022, von denen ein großer Teil aus Russland stamme. Die estnische Justiz hat angekündigt, E-Mails von .ru-Domains überhaupt nicht mehr zuzustellen.

Hintergrund & Einordnung: Der Ansatz ist technisch grob und genau deshalb interessant. Ein Filter, der an der Top-Level-Domain ansetzt, unterscheidet nicht zwischen einer Phishing-Kampagne und der Nachricht eines Angehörigen; er ist eine Kollektivmaßnahme, die bewusst in Kauf nimmt, legitime Kommunikation zu verzögern. In Estland trifft das eine große Gruppe: Knapp ein Drittel der Bevölkerung hat Russisch als Muttersprache, mehr als zwanzig Prozent sprechen kein Estnisch. Pakosta verweist darauf, dass größere Angriffe auf den öffentlichen Sektor in Lettland und Litauen erfolgreich waren, gegen Estland aber bislang nicht — eine Begründung, die auf Erfolgsbilanz statt auf Einzelfallnachweis setzt. Bemerkenswert ist die gewählte Abstufung: Quarantäne und Zusatzprüfung sind nicht dasselbe wie Blockade, und dass ausgerechnet die Justiz die weitergehende Variante ankündigt, ist rechtsstaatlich erklärungsbedürftig, wenn Verfahrensbeteiligte über diesen Weg Schriftsätze einreichen.

Praxisfolgen / Handlungsempfehlung: Für deutsche Organisationen taugt die Maßnahme nicht als Vorbild, wohl aber als Anlass, die eigene Filterlogik zu überprüfen. Herkunftsbasierte Blockaden auf TLD-Ebene sind in einer Datenschutz-Folgenabschätzung schwer zu rechtfertigen und im Zweifel unverhältnismäßig, wenn mildere Mittel — Reputationsbewertung, strikte SPF-, DKIM- und DMARC-Durchsetzung, Anhangs-Detonation in einer Sandbox — dasselbe Ziel erreichen. Wer trotzdem geografische Filter einsetzt, sollte drei Dinge dokumentieren: die Rechtsgrundlage, die Benachrichtigung der Absenderseite über die Nichtzustellung und einen praktikablen Ausnahmeweg. Eine kommentarlos verworfene Nachricht ist bei Fristsachen ein Haftungsrisiko, kein Sicherheitsgewinn.

2.1 Sangoma Switchvox: unauthentifizierte SQL-Injection wird seit dem 30. August angegriffen

02.09.2026 · Help Net Security · Horizon3

Zusammenfassung: CVE-2026-9586 ist eine unauthentifizierte SQL-Injection in der Switchvox SMB Edition 8.3, die zur Ausführung beliebigen Codes führt; Horizon3 bewertet sie nach CVSS 4.0 mit 9,3. Die Schwachstelle liegt im HTTP-Endpunkt /pa für die Verarbeitung von Telefon-Benachrichtigungen, wo ein durch den Aufrufer kontrollierter PhoneIP-Wert ohne Parametrisierung in eine PostgreSQL-Abfrage eingesetzt wird. Ein präparierter POST-Aufruf genügt, Authentifizierung ist nicht erforderlich. Horizon3 und Defused Cyber betreiben seit Mai Honeypots; am 30. August begannen dort Ausnutzungsversuche von einer einzelnen IP-Adresse (176.65.148.184), bei denen Reverse Shells abgelegt und anschließend laufende Prozesse aufgelistet wurden. Die CISA nahm die Lücke am 2. September in den KEV-Katalog auf und setzte US-Bundesbehörden eine Frist bis zum 5. September. Der Patch existiert seit dem 14. Juli in Switchvox 8.4.0.2 (Build 105309).

Hintergrund & Einordnung: Der Fall gehört zur inzwischen vertrauten Kategorie „Patch war da, Systeme waren es nicht“: Zwischen Fix und beobachteter Ausnutzung liegen sechseinhalb Wochen. Er entstammt einem größeren Audit, das Horizon3 im April dem Sangoma-Ökosystem widmete, nachdem mehrere FreePBX-Lücken im KEV-Katalog gelandet waren; insgesamt meldeten die Forscher zwölf Schwachstellen in Switchvox. Für die Praxis besonders relevant ist CVE-2026-45362: Versionen vor 8.4 speichern SIP-Zugangsdaten im Klartext in Backup-Dateien. Das verändert die Aufräumarbeit nach einer Kompromittierung erheblich, weil der Patch die Zugangsdaten nicht mitentwertet. Horizon3 geht davon aus, dass angesichts der Geschwindigkeit, mit der dieselbe Quell-IP mehrere Honeypots durchlief, die meisten internetexponierten Switchvox-Systeme angetastet wurden.

Praxisfolgen / Handlungsempfehlung: Telefonanlagen fallen in vielen Organisationen aus dem regulären Patch-Management heraus, weil sie als Infrastruktur des Facility-Managements und nicht der IT geführt werden — genau darin liegt hier das Risiko. Erstens: Bestand ermitteln und auf 8.4.0.2 oder neuer heben. Zweitens: Bei früherer Interneterreichbarkeit die von Horizon3 veröffentlichten Indikatoren prüfen und die genannte Quell-IP in den Logs suchen. Drittens: Nach jeder Kompromittierungsvermutung alle SIP-Passwörter rotieren, unabhängig davon, ob Spuren gefunden wurden. Viertens, grundsätzlicher: Das Verwaltungsinterface einer Telefonanlage gehört nicht ins offene Internet. Wer es exponieren muss, setzt es hinter ein VPN oder eine IP-Beschränkung — der zusätzliche Aufwand ist geringer als der Rückbau einer über VoIP kompromittierten Umgebung.

2.2 WordPress-Plugin All-in-One WP Migration: Falle für die Administration, die erst beim Import zuschnappt

03.09.2026 · heise online

Zusammenfassung: Im Plugin All-in-One WP Migration and Backup, das auf über fünf Millionen WordPress-Installationen aktiv ist, steckt eine als hoch eingestufte Schwachstelle (CVE-2026-19949), über die Angreifer die vollständige Kontrolle über eine betroffene Seite erlangen können. Der Angriffsweg verläuft in zwei Stufen. Zuerst hinterlässt ein nicht authentifizierter Angreifer manipulierte Trackback-Kommentare an Beiträgen, bei denen Trackbacks aktiviert sind — bis hierhin passiert nichts Sichtbares. Zündet die Falle erst, wenn die Administration die Seite mit dem Plugin exportiert und anschließend wieder importiert: Dabei werden die gespeicherten manipulierten Daten fehlerhaft verarbeitet, und der Angreifer kann den geheimen Schlüssel des Plugins auslesen. Mit diesem Schlüssel lässt sich ein bösartiger Import auslösen und im Ergebnis Code auf dem Server ausführen. Die Entwickler wurden Mitte August informiert und haben den Fehler am 20. August mit Version 7.110 behoben. Angriffe in freier Wildbahn sind bislang nicht gemeldet.

Hintergrund & Einordnung: Der zeitverzögerte Zündmechanismus ist das eigentlich Bemerkenswerte. Übliche Erkennungslogiken suchen nach dem Zusammenfallen von Eingabe und Wirkung; hier liegen Wochen dazwischen, und die auslösende Handlung ist eine völlig legitime Administrationsaufgabe. Ein Backup-und-Wiederherstellungs-Plugin ist dafür ein besonders unglücklicher Ort, weil es genau in jenen Momenten benutzt wird, in denen ohnehin Ausnahmezustand herrscht — Serverumzug, Wiederherstellung nach einem Vorfall, Klonen einer Staging-Umgebung. Wer eine kompromittierte Seite mit demselben Plugin wiederherstellt, transportiert die Falle mit. Dass Trackbacks — eine Funktion aus der frühen Blog-Ära, die in den meisten Installationen keinen Zweck mehr erfüllt — als Einstiegspunkt dienen, verschiebt zudem die Prioritäten: Was ungenutzt aktiviert bleibt, ist Angriffsfläche.

Praxisfolgen / Handlungsempfehlung: Für Betreiber gilt dreierlei. Erstens die Versionsprüfung: alles unterhalb 7.110 aktualisieren, auch dort, wo das Plugin nur gelegentlich für Umzüge benutzt wird — gerade dort, denn dort fehlt es in den Update-Routinen. Zweitens Trackbacks und Pingbacks abschalten, sofern sie nicht ausdrücklich gebraucht werden; das geht global unter „Einstellungen — Diskussion“ und wirkt nur für neue Beiträge, weshalb bestehende Beiträge per Massenbearbeitung nachgezogen werden müssen. Drittens die Reihenfolge bei Wiederherstellungen: Erst das Plugin aktualisieren, dann exportieren — nicht umgekehrt. Für Agenturen, die viele Kundeninstallationen betreuen, lohnt eine gezielte Bestandsabfrage, weil dieses Plugin typischerweise über alle betreuten Seiten hinweg einheitlich eingesetzt wird.

3.1 Chrome: Type-Confusion-Zero-Day in der V8-Engine wird ausgenutzt

04.09.2026 · heise online

Zusammenfassung: Google hat ein Chrome-Update veröffentlicht, das zwölf Sicherheitslücken schließt. Eine davon, CVE-2026-85046, wird bereits in freier Wildbahn ausgenutzt: Es handelt sich um eine Type-Confusion-Schwachstelle in der JavaScript-Engine V8, über die entfernte Angreifer beliebigen Code innerhalb der Chrome-Sandbox ausführen können, sobald das Opfer eine präparierte Webseite aufruft. Google stuft den Schweregrad als hoch ein — die Ausführung bleibt zunächst auf die Sandbox beschränkt und erlaubt keinen unmittelbaren Systemzugriff, taugt aber als Sprungbrett für verkettete Angriffe. Abgesichert sind die Versionen 152.0.7977.82 und .83 für Windows und macOS sowie 152.0.7977.82 für Linux. Chromium-basierte Browser wie Edge, Brave, Opera und Vivaldi sind mit hoher Wahrscheinlichkeit ebenfalls betroffen und erhalten entsprechende Aktualisierungen.

Hintergrund & Einordnung: Type-Confusion-Fehler in V8 gehören zu den produktivsten Schwachstellenklassen im Browser überhaupt, weil die Engine hochoptimierten Code aus untrusted Eingaben erzeugt und jede Fehlannahme über einen Objekttyp direkt in kontrollierte Speicherzugriffe mündet. Dass Google die Einstufung bei „hoch“ belässt und nicht auf „kritisch“ hebt, ist kein Widerspruch zur aktiven Ausnutzung, sondern die konsequente Anwendung des eigenen Schemas: Kritisch ist bei Google reserviert für Codeausführung außerhalb der Sandbox. Praktisch verschiebt das die Frage nur um ein Glied — beobachtet wurden in vergleichbaren Fällen fast immer Ketten aus V8-Fehler und anschließendem Sandbox-Escape. Die Zurückhaltung bei Details zum Angreiferkreis ist bei Google üblich, solange die Verbreitung des Updates niedrig ist, und sagt nichts über die Breite der Kampagne aus.

Praxisfolgen / Handlungsempfehlung: Der wichtigste und am häufigsten unterschätzte Punkt: Chrome lädt Updates automatisch, aktiviert sie aber erst beim Neustart. In Umgebungen mit langlaufenden Sitzungen — und das sind faktisch alle Büroarbeitsplätze — läuft deshalb tagelang die verwundbare Version weiter, obwohl das Inventar bereits die neue Version meldet. In verwalteten Umgebungen sollte deshalb heute die Richtlinie RelaunchNotification auf den erzwungenen Modus gesetzt und RelaunchNotificationPeriod auf wenige Stunden verkürzt werden. Für Chromium-Derivate gilt: Nicht auf den automatischen Nachzug vertrauen, sondern die veröffentlichten Versionsstände einzeln prüfen — Brave, Vivaldi und Opera liegen erfahrungsgemäß mehrere Tage hinter Google zurück. Wo Browser-Isolation oder Site-Isolation verfügbar ist, senkt sie das Restrisiko, ersetzt das Update aber nicht.

3.2 Cisco Nexus 9000: Root-Codeausführung über offene TCP-Ports

04.09.2026 · heise online

Zusammenfassung: Cisco hat mehrere Schwachstellen in Netzwerk- und Kommunikationsgeräten geschlossen. Als kritisch eingestuft ist CVE-2026-20212 in Nexus-9000-Switches mit Silicon-One-Chips: Über die auf betroffenen Geräten erreichbaren TCP-Ports 43210 und 43211 können entfernte Angreifer ohne Authentifizierung eigenen Code mit Root-Rechten ausführen. Zehn Modelle sind betroffen, darunter der N9324C-SE1U und der N9K-C9808. Daneben behebt Cisco eine Denial-of-Service-Lücke in IP-Telefonen der Serien 7800, 8800 und 9800 sowie im Video Phone 8875 (CVE-2026-20281), bei der präparierte HTTP-Anfragen bei aktiviertem Web Access den Speicher erschöpfen und einen manuellen Neustart erzwingen, sowie zwei mittelschwere Lücken in Secure Email Encryption (CVE-2026-20354 und CVE-2026-20355), über die verschlüsselte Nachrichten im Klartext gelesen werden können. Hinweise auf aktive Ausnutzung liegen Cisco nach eigenen Angaben nicht vor.

Hintergrund & Einordnung: Bemerkenswert ist weniger die Lücke als ihr Ort. Zwei undokumentierte, hochnummerierte TCP-Ports, die auf einem Core-Switch lauschen und unauthentifiziert Root-Codeausführung erlauben, sind ein Befund, der auch etwas über die Prüftiefe bei Management-Diensten in Netzwerkbetriebssystemen aussagt. Ein Switch dieser Klasse steht typischerweise im Aggregations- oder Spine-Layer; wer ihn übernimmt, sitzt an einer Stelle, an der Segmentierungsgrenzen definiert werden, und kann sie folglich auch auflösen. Genau deshalb hilft die übliche Beruhigung „ist ja nur intern erreichbar“ hier wenig: Das Bedrohungsmodell für Kernnetzkomponenten muss den bereits im Netz befindlichen Angreifer einschließen, nicht nur den externen. Dass bislang keine Ausnutzung beobachtet wurde, ist eine Momentaufnahme — nach der Veröffentlichung eines Advisories mit dieser Beschreibung ist die Rekonstruktion des Angriffswegs erfahrungsgemäß eine Frage von Tagen.

Praxisfolgen / Handlungsempfehlung: Zuerst den Bestand über Ciscos Software Checker abgleichen, weil die Betroffenheit an der Kombination aus Modell und Softwarestand hängt und nicht an der Baureihe allein. Bis zum Wartungsfenster sollten die Ports 43210 und 43211 über Control-Plane-Policing und Zugriffslisten auf definierte Management-Quellen beschränkt werden; eine reine Perimeterregel genügt nicht. Grundsätzlich lohnt der Anlass für eine Bestandsaufnahme, welche Dienste auf Netzwerkgeräten tatsächlich lauschen — ein show sockets connection liefert oft überraschende Ergebnisse, und offene Ports ohne bekannten Zweck sind ein Befund, der in die Dokumentation gehört. Für die IP-Telefone gilt: Web Access abschalten, wo er nicht gebraucht wird; das entfernt den Angriffsweg vollständig.

3.3 HPE Aruba: 34 Schwachstellen in ArubaOS-CX geschlossen

03.09.2026 · heise online

Zusammenfassung: HPE Aruba Networking hat Updates für vierunddreißig Sicherheitslücken im Switch-Betriebssystem ArubaOS-CX veröffentlicht. Die schwerwiegendste, CVE-2026-73749, erlaubt entfernten Angreifern die Ausführung von Schadcode ohne vorherige Authentifizierung durch das Senden speziell präparierter Pakete an verwundbare Geräte. Weitere Lücken sind als kritisch oder hoch eingestuft und ermöglichen Codeausführung oder Denial-of-Service; CVE-2026-73762 mit mittlerem Schweregrad erlaubt die Umgehung von Zugriffskontrollen. Abgesichert sind die Versionen AOS-CX 10.18.1002, 10.17.1030, 10.16.1060 und 10.13.1190. Für den abgekündigten Zweig 10.10.x liefert der Hersteller nur begrenzte Korrekturen in Version 10.10.1181; für vollständigen Schutz ist der Wechsel auf einen unterstützten Zweig erforderlich. Angriffe in freier Wildbahn sind bislang nicht bekannt.

Hintergrund & Einordnung: Vierunddreißig Schwachstellen in einer Sammelmeldung deuten typischerweise auf ein internes oder beauftragtes Audit hin und nicht auf eine plötzliche Verschlechterung der Lage — das ist eher ein gutes als ein schlechtes Zeichen. Die eigentliche Nachricht steckt im Kleingedruckten zum Zweig 10.10.x: Ein abgekündigter Softwarestand erhält nur noch ausgewählte Korrekturen, was bedeutet, dass ein Teil der beschriebenen Lücken dort offen bleibt. In der Praxis laufen ältere CX-Serien in Zugangsschichten häufig jahrelang unangetastet weiter, weil sie funktionieren; genau dort entsteht die stille Restexposition. Zusammen mit der Cisco-Meldung desselben Tages ergibt sich ein Muster, das für die Verteidigung wichtiger ist als jede Einzel-CVE: Netzwerkinfrastruktur ist ein aktives Angriffsziel, ihre Management-Ebenen sind selten segmentiert, und ihre Patch-Zyklen sind länger als die von Servern und Endgeräten.

Praxisfolgen / Handlungsempfehlung: Der Aktualisierungspfad ist eindeutig, aber die Reihenfolge entscheidet über den Aufwand: erst die Geräte mit erreichbarer Management-Schnittstelle, dann die im Kern, zuletzt die Zugangsschicht. Wo ein sofortiges Update nicht möglich ist, greift die vom Hersteller genannte Zwischenmaßnahme — Zugriff auf das Management-Interface auf autorisierte IP-Adressen beschränken. Wer noch 10.10.x betreibt, sollte den Migrationsaufwand jetzt beziffern statt später: Die Zwischenkorrektur 10.10.1181 ist ausdrücklich unvollständig, und ein abgekündigter Zweig wird mit jeder weiteren Sammelmeldung schlechter. Für die Dokumentation nach NIS-2 ist das ein brauchbarer Anlass, den Lebenszyklusstatus der Netzwerkkomponenten mitzuführen — die Frage, wie lange ein Gerät noch Sicherheitsupdates erhält, gehört in dieselbe Tabelle wie seine Seriennummer.

4.1 OLG Brandenburg: Mitarbeiterexzess beim Auftragsverarbeiter entlastet den Verantwortlichen

OLG Brandenburg · 02.03.2026 · 1 U 1/24 · CSA-Aufbereitung · Entscheidungsdatenbank Brandenburg · Dr. Datenschutz

Sachverhalt: Der Kläger erwarb im Februar 2019 im Onlineshop einer französischen Herstellerin ein Hardware-Wallet für Kryptowährungen und gab dabei Name, E-Mail-Adresse, Telefonnummer und Postanschrift an. Die technische Infrastruktur des Shops stellt eine externe E-Commerce-Plattform, deren Support-Mitarbeiter auf die Kundendatenbank zugreifen können; daneben speist sich über eine API-Schnittstelle die Datenbank eines Marketingdienstleisters aus demselben Bestand. Im Jahr 2020 kam es zu zwei Vorfällen: Zunächst exportierte ein Support-Mitarbeiter der Plattform eigenmächtig Datensätze von mehr als zweihundert Kunden und gab sie weiter; kurz darauf griffen Angreifer über die fehlerhaft konfigurierte Schnittstelle auf den Bestand des Marketingdienstleisters zu. Der Kläger verlangte zuletzt 1.500 Euro Schadensersatz sowie die Feststellung der Ersatzpflicht für künftige Schäden und argumentierte, durch die Veröffentlichung sei seine Anlage in Kryptowährung bekannt geworden. Das Landgericht Frankfurt (Oder) hatte die Klage abgewiesen.

Entscheidung: Der 1. Zivilsenat des Brandenburgischen Oberlandesgerichts hat die Berufung zurückgewiesen. Ein Anspruch aus Art. 82 DSGVO bestehe nicht, weil es bereits am ersatzfähigen Schaden fehle und die Beklagte sich zudem nach Art. 82 Abs. 3 DSGVO entlasten könne.

Begründungs-Kernpunkte: Der Senat stellt zunächst klar, dass der Verantwortliche dem Betroffenen gegenüber auch für Verstöße einzustehen hat, die beim Auftragsverarbeiter eintreten — die Verantwortlichkeit wandert nicht mit der Verarbeitung mit. Die Entlastung nach Art. 82 Abs. 3 DSGVO greift jedoch, wenn der Verantwortliche die im Verkehr erforderliche Sorgfalt im Sinne von § 276 Abs. 2 BGB angewandt hat und der Verstoß nicht Folge unzureichender Maßnahmen nach Art. 24 und 32 DSGVO ist; denselben Maßstab hatte zuvor das OLG München (Beschluss vom 21. Februar 2025, 3 U 3523/24 e) formuliert. Diesen Nachweis sah der Senat als geführt an: Die Beklagte hatte einen Marktführer beauftragt, ihn vertraglich auf die DSGVO verpflichtet, und der Dienstleister prüfte bei der Einstellung von Support-Personal Qualifikation, Führungszeugnis und Tätigkeitshistorie. Kriminelles Verhalten eines derart ausgewählten Mitarbeiters lasse sich durch Schutzmaßnahmen nicht vollständig verhindern. Ausdrücklich zurückgewiesen hat der Senat die Forderung nach einem Vier-Augen-Prinzip: Für Support-Personal, das zur Bearbeitung von Anfragen ständig auf nicht besonders sensible Kundendaten zugreifen muss, sei eine solche Anforderung unverhältnismäßig. Die Angemessenheit technischer und organisatorischer Maßnahmen prüft der Senat zweistufig — erst Risikoermittlung, dann Bewertung unter Berücksichtigung von Stand der Technik und Implementierungskosten; ein Datenabfluss belegt für sich genommen also nicht, dass die Maßnahmen ungeeignet waren.

Praxisfolgen: Die Entscheidung liest sich als Entwarnung, ist aber eine Dokumentationsaufforderung. Was die Beklagte rettete, war nicht die Abwesenheit eines Vorfalls, sondern der Nachweis, dass Auswahl, vertragliche Bindung und Kontrolle des Dienstleisters vor dem Vorfall stattgefunden hatten. Wer sich auf dieselbe Argumentation stützen will, braucht belegbare Auswahlkriterien, einen Auftragsverarbeitungsvertrag mit belastbaren Pflichten, ein Berechtigungskonzept nach dem Need-to-know-Prinzip, Zugriffsprotokollierung, Mandantentrennung, dokumentierte Vertraulichkeitsverpflichtungen und Schulungsnachweise. Ohne diese Belege bleibt vom Urteil nichts. Zu beachten ist zudem die Reichweite der Aussage zum Vier-Augen-Prinzip: Sie trägt ausdrücklich nur für gewöhnliche Kontaktdaten. Bei Gesundheits-, Finanz- oder Beschäftigtendaten verschiebt sich die Angemessenheitsgrenze, und dieselbe Abwägung wäre anders zu führen. Die vollständige Aufbereitung mit Volltext steht in der Urteils-Bibliothek der Academy.

4.2 EuGH: Ein Facebook-Post kann ein geschütztes Werk sein — und Pressefreiheit verträgt sich mit Erwerbstätigkeit

EuGH (Zweite Kammer) · 03.09.2026 · C-598/24 (Gândul Media Network) · CSA-Aufbereitung · EUR-Lex

Sachverhalt: Am 8. September 2021 veröffentlichte eine rumänische Lehrerin auf ihrer Facebook-Seite einen zweiundzwanzig Zeilen langen Text mit dem Titel „Kleiner Leitfaden für Eltern zum Schulbeginn“, in dem sie darlegte, keine Geschenke von Eltern ihrer Schülerinnen und Schüler annehmen zu wollen. Sechs Tage später gab ein Journalist den Text auf der Website der Online-Tageszeitung Gândul vollständig und ohne vorherige Zustimmung wieder; Name und ein Hyperlink auf die Facebook-Seite wurden erst nachträglich ergänzt. Die Lehrerin klagte auf Feststellung der Urheberrechtsverletzung und Schadensersatz. Das Bukarester Gericht wies die Klage im April 2022 mit der Begründung ab, der Text sei kein schutzfähiges Werk; das Berufungsgericht bestätigte das. Der rumänische Kassationsgerichtshof legte dem EuGH zwei Fragen zur Vorabentscheidung vor.

Entscheidung: Ein in einem sozialen Netzwerk veröffentlichter Text, der eine Meinung zu als unangemessen empfundenen sozialen Praktiken äußert, fällt unter den Werkbegriff des Art. 2 Buchst. a der Richtlinie 2001/29/EG, sofern er Ausdruck einer geistigen Schöpfung ist, die die Persönlichkeit seines Urhebers widerspiegelt. Art. 5 Abs. 3 Buchst. c zweiter Fall dieser Richtlinie steht einer nationalen Regelung nicht entgegen, die die Schranke für die Berichterstattung über Tagesereignisse auf kurze Auszüge beschränkt — wohl aber einem pauschalen Verbot, aus einer solchen Übernahme unmittelbare oder mittelbare wirtschaftliche Vorteile zu ziehen.

Begründungs-Kernpunkte: Der Gerichtshof schafft für Social-Media-Inhalte keine Sonderkategorie, sondern wendet den allgemeinen Werkbegriff an: Weder die Kürze eines Textes noch der Umstand seiner Veröffentlichung auf Facebook schließen den Schutz aus. Die Feststellung im Einzelfall bleibt Sache des nationalen Gerichts. Zur Schranke unterscheidet der Gerichtshof zwei Aspekte der rumänischen Regelung. Die Begrenzung auf kurze Auszüge ist zulässig, wenn ein Mitgliedstaat den Informationszweck damit noch als erfüllbar ansieht und die Begrenzung verhältnismäßig ist, die praktische Wirksamkeit der Schranke wahrt und ihren Zweck achtet. Das Verbot wirtschaftlicher Vorteile findet dagegen im Wortlaut der Richtlinie keine Grundlage: Die Formulierung „soweit es der Informationszweck rechtfertigt“ bezieht sich allein auf den Umfang der Nutzung. Hinzu kommt eine funktionale Erwägung — Presseorgane erfüllen eine grundlegende demokratische Aufgabe und üben dabei regelmäßig zugleich eine wirtschaftliche Tätigkeit aus, die für ihr Funktionieren notwendig ist. Ein unbestimmtes Verbot jedes mittelbaren wirtschaftlichen Vorteils nähme der Schranke ihre Wirksamkeit und störte den Ausgleich zwischen dem in Art. 17 der Grundrechtecharta geschützten geistigen Eigentum und der in Art. 11 verbürgten Meinungs- und Pressefreiheit. Ergänzend hält der Gerichtshof fest, dass „Berichterstattung“ weder eine vertiefte eigene Analyse noch eine Aufforderung zur Leserreaktion voraussetzt.

Praxisfolgen: Die verbreitete Annahme, öffentlich abrufbare Plattforminhalte seien frei verwertbar, ist damit erneut und ausdrücklich verworfen. Für Redaktionen, Agenturen, Unternehmenskommunikation und alle, die fremde Beiträge in Newslettern, Präsentationen oder eigenen Posts verwenden, gilt unverändert: Zustimmung einholen, im gebotenen Umfang zitieren, Quelle nennen. Die Plattform-Nutzungsbedingungen ändern daran nichts — sie wirken zwischen Nutzer und Betreiber, nicht gegenüber Dritten. Offen bleibt die eigentlich spannende Folgefrage: Ob eine vollständige Übernahme bei einem ohnehin kurzen Werk noch als „kurzer Auszug“ durchgeht, hat der Gerichtshof nicht entschieden; das rumänische Gericht muss es nun beantworten. Für die deutsche Rechtslage ist die Entscheidung mittelbar relevant, weil § 50 UrhG dieselbe Schranke umsetzt. Die deutsche Sprachfassung des Urteils lag zum Zeitpunkt dieses Briefings noch nicht vor; die Aufbereitung in der Urteils-Bibliothek der Academy beruht auf der französischen Verfahrenssprachfassung.

5.1 CNIL: 500.000 Euro gegen ein französisches Privatkrankenhaus

03.09.2026 · CNIL

Behörde: Commission nationale de l’informatique et des libertés (CNIL), Frankreich · Adressat: Hôpital privé de la Loire · Höhe: 500.000 Euro

Verstoß / Rechtsgrundlage: Art. 32 DSGVO (Sicherheit der Verarbeitung) und Art. 34 DSGVO (Benachrichtigung der betroffenen Personen). Deliberation SAN-2026-009 vom 21. Juli 2026, veröffentlicht am 3. September 2026.

Begründung: Im Sommer 2025 gelang es einem Angreifer, sich am Patientenverwaltungssystem der Klinik anzumelden und in großem Umfang Daten abzugreifen. Betroffen waren 524.867 Patientinnen und Patienten — teils einschließlich Gesundheitsdaten — sowie 202.246 Personen, die als Vertrauenspersonen benannt worden waren. Die Aufsichtsbehörde beanstandete auf der Sicherheitsseite ein Bündel von Versäumnissen: Der externe Zugang erfolgte ohne VPN-Anbindung, für externe Nutzer war keine Mehrfaktor-Authentifizierung eingerichtet, die Zugriffskontrolle war unzureichend granular, und es fehlte eine Erkennung auffälliger Zugriffsmuster, die den umfangreichen Abzug hätte auffallen lassen. Auf der Benachrichtigungsseite rügte die CNIL, dass die als Vertrauenspersonen benannten Kontakte nicht unmittelbar über die Verletzung informiert wurden, obwohl auch ihre Daten kompromittiert waren. Die Veröffentlichung der Entscheidung wurde angeordnet.

Praxisfolgen: Die Sicherheitsmängel sind so unspektakulär wie folgenreich und bilden zusammen ein Muster, das sich in Kliniken, Praxisverbünden und medizinischen Versorgungszentren regelmäßig findet: ein von außen erreichbares Fachverfahren, ein einzelner Faktor zur Anmeldung, breite Leserechte und keine Auswertung des Zugriffsverhaltens. Wer im Gesundheitswesen ein Patientenverwaltungssystem betreibt, sollte diese vier Punkte als Prüfliste behandeln — die Aufsicht hat sie hier zur Bußgeldbegründung gemacht. Der eigentliche Lerneffekt liegt aber im zweiten Vorwurf: Die Benachrichtigungspflicht nach Art. 34 DSGVO erfasst alle betroffenen Personen, nicht nur die Vertragspartner. Vertrauenspersonen, Angehörige, Notfallkontakte, gesetzliche Vertreter und Begleitpersonen stehen in denselben Systemen und werden in Benachrichtigungsverfahren fast immer vergessen, weil die Verteiler aus dem Patientenstamm gezogen werden. Das ist bei der nächsten Meldung mitzudenken — und schon bei der Erstellung des Notfallplans, denn nach einem Vorfall fehlt die Zeit, den Personenkreis erst zu ermitteln.

6.1 Bund gibt die Grundgesetzänderung zur Stärkung des BSI auf

03.09.2026 · heise online

Zusammenfassung: Die Bundesregierung hat den Plan aufgegeben, das Grundgesetz zu ändern, um dem Bundesamt für Sicherheit in der Informationstechnik eine Zentralstellenfunktion gegenüber den Ländern zu geben. Das Bundesinnenministerium will stattdessen im bestehenden verfassungsrechtlichen Rahmen bleiben und die Zusammenarbeit zwischen Bund und Ländern über bilaterale Vereinbarungen vertiefen, die mit allen sechzehn Ländern bereits bestehen. Der Grünen-Politiker Konstantin von Notz nannte die Entscheidung „katastrophal für die deutsche IT-Sicherheit“ und kritisierte, man könne nicht Sonntagsreden über IT-Sicherheit halten und zugleich die notwendigen Reformen aufgeben. Das BSI selbst betonte die „absolut dringende Notwendigkeit“ einer engen Zusammenarbeit von Bund und Ländern und kündigte an, diese über bestehende Kanäle voranzutreiben, etwa im Notfallmanagement und beim gemeinsamen Cyber-Lagebild.

Hintergrund & Einordnung: Der praktische Kern des Problems ist ein Verfahrensweg. Nach geltender Verfassungslage muss eine angegriffene Kommune förmlich um Amtshilfe ersuchen, bevor das BSI tätig werden darf — bei einem laufenden Verschlüsselungsangriff vergeht dabei Zeit, in der sich der Schaden festsetzt. Kommunen und kommunale IT-Dienstleister gehören seit Jahren zu den am häufigsten getroffenen Zielen, und die Erfahrung aus den großen Fällen der vergangenen Jahre ist gleichbleibend: Die Fähigkeit zur Reaktion ist zwischen Bund, Ländern und Kommunen extrem ungleich verteilt, während die Angreifer diese Unterschiede nicht kennen. Die Entscheidung ist kein Rückbau bestehender Befugnisse, wohl aber der Verzicht darauf, eine bekannte Reibungsstelle zu beseitigen. Bilaterale Vereinbarungen können Verfahren beschleunigen; sie ersetzen keine Zuständigkeit und sind kündbar.

Praxisfolgen / Handlungsempfehlung: Für Kommunen, kommunale Unternehmen und deren Dienstleister ändert sich damit an der Ausgangslage nichts — und genau das ist die Botschaft. Wer auf schnelle Bundeshilfe im Ernstfall gesetzt hat, sollte den Notfallplan gegen die tatsächliche Rechtslage prüfen: Wer stellt das Amtshilfeersuchen, wer darf es unterschreiben, wie lange dauert das außerhalb der Dienstzeiten, und welche Landeseinrichtung ist der erste Ansprechpartner. Diese Fragen gehören beantwortet, bevor sie sich stellen. Praktisch wichtiger als die Bundesebene sind ohnehin die eigenen Vorbereitungen: getestete Offline-Wiederherstellung, aktuelle Netzpläne außerhalb der betroffenen Umgebung, vorbereitete Kommunikationsvorlagen und ein Rahmenvertrag mit einem Incident-Response-Dienstleister, der nicht erst am Schadenstag verhandelt wird.

6.2 Sovereign Tech Agency und BSI empfehlen speichersichere Programmiersprachen

03.09.2026 · BSI

Zusammenfassung: Die Sovereign Tech Agency und das BSI empfehlen in einem gemeinsamen Positionspapier den Einsatz speichersicherer Programmiersprachen, um Schwachstellen aus fehlerhafter Speicherverwaltung bereits im Entwurf auszuschließen. Als Größenordnung nennen die Autoren, dass sechzig bis siebzig Prozent der Sicherheitslücken in großen, in nicht speichersicheren Sprachen wie C und C++ entwickelten Codebasen auf diese Fehlerklasse zurückgehen. Speichersichere Sprachen erkennen und verhindern bestimmte Programmierfehler bereits zur Übersetzungszeit, sodass eine nachträgliche Korrektur per Patch entfällt. Das Papier entstand gemeinsam mit Vertreterinnen und Vertretern aus Industrie, Forschung und der Open-Source-Gemeinschaft. Vorgeschlagen werden die Erarbeitung von Migrationsstrategien, finanzielle Förderung von Qualifizierungsprogrammen auf EU- und nationaler Ebene sowie die Unterstützung von „Secure by Design“-Prinzipien im Einklang mit dem Cyber Resilience Act.

Hintergrund & Einordnung: Die Größenordnung deckt sich mit dem, was Microsoft, Google und die Chromium-Entwicklung seit Jahren aus ihren eigenen Beständen berichten — die Zahl ist also nicht neu, ihre Aufnahme in ein Positionspapier von Bundesbehörde und Förderagentur schon. Bemerkenswert ist die Verknüpfung mit dem Cyber Resilience Act: Wenn „Secure by Design“ ab Ende 2027 für vernetzte Produkte verbindlich wird, verschiebt sich die Sprachwahl von einer technischen Vorliebe zu einer Compliance-Frage. Der Nüchternheit halber gehört dazu, dass eine Migration bestehender Codebasen weder billig noch schnell ist und dass speichersichere Sprachen Logikfehler, Fehlkonfigurationen und unsichere Voreinstellungen unberührt lassen — der Chrome-Zero-Day desselben Tages steckt in einer Komponente, deren Neuschreibung in Rust seit Jahren erwogen und wegen der Leistungsanforderungen an Just-in-time-Übersetzung immer wieder verschoben wird. Das Papier nennt keine konkreten Sprachen; die praktische Diskussion dreht sich um Rust, Go und, je nach Einsatzfeld, um moderne Teilmengen bestehender Sprachen.

Praxisfolgen / Handlungsempfehlung: Für Organisationen, die Software herstellen oder herstellen lassen, ist das ein Anlass für eine nüchterne Bestandsaufnahme statt für einen Umstellungsbeschluss. Sinnvoll ist die Frage, welche Komponenten überhaupt in nicht speichersicheren Sprachen vorliegen, welche davon nicht vertrauenswürdige Eingaben verarbeiten und welche an der Netzgrenze sitzen — dort liegt der Nutzen einer Umstellung am höchsten, dort lohnt sie sich zuerst. Für Beschaffungsstellen ist die Sprachwahl ein Kriterium, das sich künftig in Ausschreibungen aufnehmen lässt, sinnvollerweise nicht als Ausschluss, sondern als Begründungspflicht. Und für die Personalplanung ist der Hinweis auf Qualifizierungsprogramme ernst zu nehmen: Der Engpass bei einer solchen Umstellung ist selten das Werkzeug, sondern die Zahl der Menschen, die es beherrschen.