Daily-Briefing Datenschutz & IT-Sicherheit
Deutschland · Datenschutz · Datensicherheit · IT-Sicherheit · Urteile · Bußgelder · Cyber-Sicherheit
Worauf Sie heute achten sollten
- Angriff ohne Angreifer am Bildschirm. Der spanischen Datenschutzaufsicht ist erstmals ein Sicherheitsvorfall gemeldet worden, bei dem die Arbeit weitgehend eine Software übernommen hat: Ein KI-Agent suchte selbstständig nach Schwachstellen, meldete sich an, suchte weiter, veränderte am Ende personenbezogene Daten und öffnete Rechnungen. Für Sie ändert das zunächst nichts an den Schutzmaßnahmen — wohl aber am Tempo. Angriffe, für die früher jemand tagelang von Hand gesucht hat, laufen künftig in Minuten ab, und die Zeit zwischen dem ersten Zugriff und dem Schaden wird kürzer.
- Falsche Mail im Namen der Volksbanken. Seit gestern läuft eine Welle mit dem Betreff „Offizielle Mitteilung – Kundenstammdaten-Aktualisierung“. Darin werden Sie aufgefordert, Kontaktdaten und Anschrift über einen Link zu bestätigen — sonst werde Ihr QR-Code gesperrt. Ihre Bank kündigt so etwas nicht per E-Mail mit Frist an. Klicken Sie nicht, sondern öffnen Sie die Banking-App oder tippen Sie die Adresse Ihrer Bank selbst ein.
- Wenn eine mobile Klimaanlage von Midea bei Ihnen steht. Das Gerät ließ sich aus etwa zehn Metern über Bluetooth fernsteuern — ohne Kopplung und auch dann, wenn Sie in der App eine PIN gesetzt hatten. Midea verteilt seit einigen Tagen ein Update, allerdings gestaffelt und ohne dass Sie es anstoßen können. Sorgen Sie dafür, dass das Gerät am Internet hängt, und prüfen Sie in der Midea-Air-App unter „Firmware aktualisieren“ die Versionsnummer. Wer die Anlage über Home Assistant oder FHEM steuert, verliert mit dem Update genau diesen Weg.
- Unerwünschte Newsletter: Ihr Widerspruch zählt, auch bei Behörden. Das Amtsgericht Karlsruhe hat entschieden, dass eine Rechtsanwaltskammer ihre Mitglieder nicht ohne Einwilligung per E-Mail zu eigenen Fortbildungen einladen darf. Der Status als öffentlich-rechtliche Körperschaft hilft dabei nicht. Praktisch heißt das: Wenn Sie einem Absender — auch einer Kammer, einem Verband oder einer Einrichtung — widersprechen und trotzdem weiter Post bekommen, steht Ihnen ein Unterlassungsanspruch zu. Schadensersatz gibt es allerdings nur, wenn Sie mehr als Ärger vorweisen können.
- Wenn Ihr Betrieb eine eigene Telefonanlage betreibt. In der weit verbreiteten Anlagen-Software Issabel steckte in jeder Installation derselbe fest eingebaute Schlüssel. Wer ihn kennt, kann sich einen gültigen Zugangsausweis ausstellen und über die Anlage Befehle auf dem Server ausführen. Der Hersteller hat das Anfang August behoben, angegriffen wird es seit dem 9. September. Fragen Sie Ihren Telefonie-Dienstleister, ob Ihre Anlage auf dem aktuellen Stand ist und ob die Programmierschnittstelle aus dem Internet erreichbar ist.
Aktuelle Phishing- und Betrugswellen
Die Bankenwellen dieser Woche haben das Thema gewechselt, nicht die Methode. Nachdem sich die Fälschungen zuletzt an den Freigabe-Apps abgearbeitet hatten — S-pushTAN bei der Sparkasse, BestSign bei der Postbank —, nimmt die Verbraucherzentrale seit dem 16. September eine Welle im Namen der Volksbanken Raiffeisenbanken auf. Der Betreff lautet „Offizielle Mitteilung – Kundenstammdaten-Aktualisierung“, verlangt wird die Bestätigung von Kontaktdaten und Anschrift über einen Link. Gedroht wird mit der Sperrung des QR-Codes, also mit dem Verlust einer Funktion, die im Alltag tatsächlich gebraucht wird. Das ist der eigentliche Trick: Nicht das Konto wird gesperrt, sondern etwas Kleines, Konkretes, bei dem niemand sofort misstrauisch wird.
Die Postbank-Welle vom 15. September läuft parallel weiter und hat einen Widerspruch eingebaut, an dem man sie erkennt: Die Mail warnt selbst davor, Links anzuklicken — und liefert gleich einen mit. Solche Sicherheitshinweise in Phishing-Mails sind kein Versehen, sondern ein Vertrauensanker. Wer so etwas schreibt, wirkt seriös. Die Regel dagegen ist unverändert und langweilig: Keine Bank fordert per E-Mail zur Bestätigung von Daten auf, und kein legitimer Vorgang wird durch eine Zwei-Tages-Frist besser.
Eine dritte Masche braucht keine Mail mehr. Mandiant hat einen Fall beschrieben, in dem der Köder eine Empfehlung eines KI-Programmierassistenten war. Ein Angreifer übernahm die laufende Sitzung eines Entwicklers; als dieser einen Vorschlag annahm, wurde über ein präpariertes Paket aus dem Python-Paketverzeichnis ein Datendieb installiert. Für Privatpersonen ist das noch nicht unmittelbar relevant — für jeden, der beruflich mit KI-Assistenten arbeitet, dagegen sofort. Die alte Regel „prüfe den Absender“ hilft hier nicht, weil der Absender das eigene Werkzeug ist. Die neue Regel lautet: Was der Assistent an fremdem Code vorschlägt, wird vor der Installation genauso geprüft wie ein Anhang aus einer unbekannten Mail.
Was war los?
Die bemerkenswerteste Meldung des Tages kommt nicht aus einem Unternehmen, sondern von einer Behörde. Spaniens Datenschutzaufsicht AEPD hat mitgeteilt, dass ihr erstmals eine Datenschutzverletzung gemeldet wurde, die mutmaßlich ein KI-Agent ausgeführt hat — ein Programm also, dem man ein Ziel nennt und das den Weg dorthin selbst plant. Nach der Darstellung der Behörde durchsuchte der Agent zunächst allgemein zugängliche Dateien nach Schwachstellen, meldete sich damit erfolgreich an, suchte dann weiter, veränderte personenbezogene Daten und griff auf Rechnungen zu. Welches Unternehmen betroffen ist und wie viele Menschen, hat die AEPD nicht mitgeteilt; welches Sprachmodell zum Einsatz kam, ebenfalls nicht.
Parallel dazu hat Cisco eine Lücke geschlossen, die in Firmennetzen die Eingangstür betrifft. Die Identity Services Engine entscheidet in vielen Unternehmen und Behörden darüber, welches Gerät und welche Person überhaupt ins Netz darf. Eine Schwachstelle an einer Programmierschnittstelle erlaubte es, diese Prüfung ganz zu überspringen — ohne Zugangsdaten, aus der Ferne. Die Bewertung liegt bei 10,0 von 10 möglichen Punkten, und angegriffen wird die Lücke bereits. Für Sie als Nutzerin oder Nutzer bedeutet das nichts, was Sie selbst tun könnten; es bedeutet aber, dass in den nächsten Tagen in vielen Häusern außerplanmäßig gepatcht wird.
Und Oracle hat an einem Tag 673 Sicherheitslücken korrigiert. Das ist kein Rekord — im August waren es fast tausend —, sagt aber etwas über die Lage: Die Zahl der Korrekturen wächst schneller, als die Abteilungen sie einspielen können. Wer wissen will, warum Angriffe auf Lücken funktionieren, für die seit Wochen ein Patch bereitsteht, findet hier einen Teil der Antwort.
Was sich rechtlich geändert hat
Zwei Entscheidungen betreffen den Alltag. Das Amtsgericht Karlsruhe hat am 21. August entschieden, dass Einladungen einer Rechtsanwaltskammer zu eigenen Fortbildungsveranstaltungen Werbung sind und deshalb eine Einwilligung brauchen. Das Argument, man erfülle damit eine gesetzliche Aufgabe, ließ das Gericht nicht gelten: Entscheidend ist, ob es für die konkrete Maßnahme eine ausdrückliche gesetzliche Ermächtigung gibt, und die fehlte. Die Reichweite geht über die Anwaltschaft hinaus — die Begründung trifft jede Kammer, jeden Verband und jede öffentlich-rechtliche Einrichtung mit eigenem Seminarangebot.
Das Oberlandesgericht Brandenburg hat dagegen dem Versuch eine Absage erteilt, das automatisierte Bonitätsscoring einer Wirtschaftsauskunftei grundsätzlich zu kippen. Es gebe keinen Anspruch darauf, dass ein Mensch statt eines Programms rechnet; das Scoring sei von berechtigten Interessen gedeckt, und den vollständigen Algorithmus müsse niemand offenlegen. Wer dagegen vorgehen will, muss konkret darlegen, dass eine bestimmte Bank oder ein bestimmter Händler allein wegen des Scorewerts abgelehnt hat — und genau das erfährt man in der Regel nicht.
Offen ist derweil eine Frage, die viele Haushalte betrifft: Ob man Besucher auf Kameras in der eigenen Wohnung hinweisen oder sogar deren Einwilligung einholen muss. Der Bundesgerichtshof hat dazu für heute einen Verkündungstermin angesetzt (I ZR 289/25). Ob der Senat selbst entscheidet oder die Sache dem Europäischen Gerichtshof vorlegt, war bei Redaktionsschluss nicht bekannt.
IT-Detailansicht für Fachpublikum
Im Folgenden die ausführliche Fassung: die laufenden Schwerpunkte der Woche, eine Management Summary mit den wichtigsten Punkten im Überblick, die Handlungsempfehlungen für heute, sechs Fachkapitel zu Datenschutz, Datensicherheit, IT-Sicherheit, Urteilen, Bußgeldern und Cyber-Sicherheit, ein knapper Überblick zur Lage bei den großen Sprachmodellen sowie Ausblick, Methodik und Quellenverzeichnis.
Top-Themen der Woche
1. KI-Agenten treten als eigenständige Angreifer auf
Der Strang, der seit gut einer Woche läuft, hat diese Woche zwei belastbare Belege bekommen. Bis dahin ging es um Machbarkeitsstudien und Anbieter-Berichte; jetzt liegen ein aufsichtlich gemeldeter Vorfall und eine forensische Untersuchung vor. Gemeinsam ist beiden, dass der Angreifer nicht mehr jeden Schritt selbst ausführt, sondern ein Ziel vorgibt und die Ausführung an ein Modell delegiert.
Letzte Entwicklung: Die spanische AEPD hat am 16. September die erste ihr gemeldete Datenschutzverletzung öffentlich gemacht, bei der ein KI-Agent den Angriff getragen hat. Einen Tag später beschrieb Mandiant, wie ein Angreifer die aktive Sitzung eines KI-Programmierassistenten kaperte und über den Assistenten selbst einen Infostealer einschleuste. Beide Fälle verschieben die Frage von „kann das jemand?“ zu „wie erkennt man es?“.
2. Cisco unter Dauerbeschuss: zweiter aktiv ausgenutzter Zero-Day binnen einer Woche
Am 14. September veröffentlichte Cisco das Advisory zu CVE-2026-76461, einer SQL-Injection im Secure Email Gateway, die Befehlsausführung mit Rootrechten erlaubt und bereits vor der Offenlegung ausgenutzt wurde. Die CISA-Frist für Bundesbehörden lief am 17. September ab.
Letzte Entwicklung: Am 16. September kam CVE-2026-76460 in der Identity Services Engine dazu — Höchstwert 10,0, Authentifizierungs-Umgehung an einem API-Endpunkt, ebenfalls aktiv ausgenutzt, CISA-Frist drei Tage. Damit stehen binnen einer Woche zwei Produkte im Angriff, die an zentraler Stelle sitzen: das eine im Mailfluss, das andere in der Netzzugangskontrolle. Wer beide betreibt, hat diese Woche zwei Notfall-Patchzyklen.
Management Summary
Der Tag hat zwei Achsen. Die erste ist technisch und akut: Mit CVE-2026-76460 in Ciscos Identity Services Engine steht eine Authentifizierungs-Umgehung mit dem Höchstwert 10,0 unter aktivem Angriff, für die es keinen Workaround gibt — betroffen sind ISE und ISE-PIC in den Versionsreihen 3.1 bis 3.5, korrigiert jeweils in den aktuellen Patch-Ständen. Die Lücke ist besonders unangenehm, weil die ISE in vielen Häusern die Netzzugangskontrolle trägt: Wer sie übernimmt, steht nicht vor der Tür, sondern entscheidet, wer hineindarf. Daneben hat Oracle 673 Korrekturen über mehr als 29 Produkte ausgerollt, IBM neun Lücken in MQ geschlossen, und in der Telefonanlagen-Software Issabel wird seit dem 9. September ein fest eingebauter JWT-Signaturschlüssel ausgenutzt, für den seit dem 1. August ein Patch bereitsteht. Das Muster wiederholt sich: Die Verzögerung zwischen Korrektur und Einspielen ist inzwischen zuverlässiger als die Angriffe selbst.
Die zweite Achse ist grundsätzlicher. Innerhalb von zwei Tagen sind zwei Fälle dokumentiert worden, in denen ein Sprachmodell nicht Werkzeug am Rand, sondern tragendes Element eines Angriffs war. Spaniens Datenschutzaufsicht erhielt die erste Meldung über einen Vorfall, bei dem ein KI-Agent selbstständig Schwachstellen suchte, sich anmeldete, weitersuchte, Daten veränderte und Rechnungen öffnete; Francisco Pérez Bes, ihr stellvertretender Leiter, nennt das einen qualitativen Wandel und zieht drei Folgerungen: KI-gestützte Angriffe gehören ausdrücklich in die Risikoanalyse, manuelle Abwehrverfahren sind zu langsam, und IT-Sicherheit darf nicht allein vom menschlichen Eingreifen abhängen. Mandiant beschreibt parallel einen Angriff, bei dem nicht das Modell angegriffen wurde, sondern die Sitzung des Entwicklers, der es benutzt — mit gestohlenen GitHub-OAuth-Token, einem selbstverbreitenden Wurm auf rund hundert Repositorys und einem vergifteten Paket im eigenen Namensraum des Unternehmens. Auf der rechtlichen Seite ordnet das AG Karlsruhe Fortbildungs-Einladungen einer Rechtsanwaltskammer als einwilligungsbedürftige Werbung ein, während das OLG Brandenburg dem Angriff auf automatisiertes Bonitätsscoring eine deutliche Absage erteilt — beide Entscheidungen verschieben nicht die Rechtslage, sondern die Beweislast.
Die wichtigsten Punkte im Überblick
- CVE-2026-76460 (Cisco ISE/ISE-PIC 3.1–3.5), CVSS 10,0, aktiv ausgenutzt, kein Workaround. Fixes: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7, 3.5 Patch 4. CISA-KEV seit 16.09. mit dreitägiger Frist.
- Erster aufsichtlich gemeldeter KI-Agenten-Angriff in Spanien; Betroffenenzahl und Organisation nicht offengelegt, das Modell nicht benannt.
- Shai-Hulud über eine gekaperte KI-Coding-Sitzung: vergiftetes PyPI-Paket, gestohlene OAuth-Token und Repository-Secrets, rund 100 infizierte Repositorys, Zweitinfektion über den eigenen Paket-Namensraum.
- Issabel CVE-2026-89026 (CVSS 9,8): identischer HS256-Schlüssel in jeder Installation, öffentlicher Exploit, Ausnutzung seit 09.09. — fünf Wochen nach dem Patch vom 01.08.
- Oracle: 673 Korrekturen am 16.09., kritische Bewertungen unter anderem für WebLogic Server, Access Manager, Forms und Identity Manager. IBM MQ: neun Lücken, CVE-2026-11381 kritisch.
- AG Karlsruhe 1 C 1332/24: Veranstaltungs-Einladungen einer Kammer sind geschäftliche Handlung nach § 7 UWG; öffentlich-rechtlicher Status ersetzt keine Ermächtigungsgrundlage. OLG Brandenburg 10 U 43/26: kein Anspruch auf eine „manuelle“ Entscheidung statt Scoring.
- Niederlande: seit dem 01.09. gesetzliche Veröffentlichungspflicht für jede DSGVO-Sanktion (Art. 21b UAVG), mit zehn Werktagen Vorlauf und aufschiebendem Eilrechtsschutz.
- Berlin: Der Bezirk Lichtenberg verweigert die Installation des CrowdStrike-Falcon-Agent für die Forensik am Landesnetz und begründet das datenschutzrechtlich.
Top-Risiken – Handlungsempfehlungen für heute
- Cisco ISE und ISE-PIC heute außerplanmäßig patchen. Kein Workaround verfügbar. Nach dem Patch die Zugriffe auf die API-Endpunkte rückwirkend prüfen — wer vor dem Einspielen erreichbar war, muss davon ausgehen, dass die Lücke genutzt wurde, und Zugangsdaten sowie Zertifikate erneuern.
- Issabel-Installationen auf Commit b97dbaf oder neuer heben und prüfen, ob in
/etc/issabel.conftatsächlich ein individuell erzeugter Schlüssel steht statt des Standardwerts./pbxapi/gehört nicht ins offene Internet; Asterisk-Logs auf unerwarteteoriginate-Aufrufe mitApplication=Systemdurchsehen. - KI-Programmierassistenten als Angriffsfläche behandeln. Von Assistenten vorgeschlagene Drittabhängigkeiten gegen Prüfsummen und eine freigegebene Liste abgleichen, Secrets vom direkten Zugriff durch Editor-Erweiterungen trennen, Abhängigkeits-Verkehr über ein kontrolliertes internes Repository leiten. Sitzungs-Token der Assistenten wie Zugangsdaten behandeln, nicht wie Komfortmerkmale.
- Oracle-CPU nach Erreichbarkeit priorisieren, nicht nach CVSS-Liste: Was ohne Authentifizierung aus dem Netz erreichbar ist, kommt zuerst. IBM-MQ-Umgebungen auf die genannten Fix-Stände heben.
- Risikoanalysen um KI-gestützte Angriffe ergänzen. Die AEPD macht daraus eine aufsichtliche Erwartung. Wer Art. 32 DSGVO dokumentiert, sollte die Geschwindigkeit automatisierter Angriffe und die Kompromittierung von API-Schlüsseln als eigenes Szenario führen — mit der Konsequenz, dass rein manuelle Reaktionsketten nicht mehr als angemessen gelten.
- Widerspruchsverarbeitung bei Mail-Verteilern prüfen. Nach dem Karlsruher Urteil entsteht der Anspruch nicht am ersten Rundschreiben, sondern am ignorierten Widerspruch. Pflichtkommunikation und Veranstaltungswerbung trennen, Widersprüche technisch wirksam machen.
1. Datenschutz
Die Aufsichtsseite hat diese Woche zwei Entwicklungen, die weit über den Einzelfall hinausweisen: eine Meldung, die ein neues Angriffsmuster aktenkundig macht, und ein privatwirtschaftlicher Standard, der weiter geht als das, was Aufsichtsbehörden bislang durchsetzen konnten.
Spaniens Aufsicht registriert den ersten Angriff mit einem autonomen KI-Agenten
Zusammenfassung: Der spanischen Datenschutzaufsicht AEPD ist erstmals ein Sicherheitsvorfall gemeldet worden, bei dem der Angriff nach Darstellung des meldenden Unternehmens von einem KI-Agenten auf Basis eines bekannten Sprachmodells ausgeführt wurde. Der Agent durchsuchte zunächst allgemein zugängliche Dateien nach Schwachstellen, meldete sich mit dem Gefundenen erfolgreich an, suchte anschließend selbstständig nach weiteren Schwächen und veränderte am Ende personenbezogene Daten und griff auf Rechnungen zu. Welche Organisation betroffen ist und wie viele Personen, hat die Behörde nicht mitgeteilt; das eingesetzte Modell hat sie ebenfalls nicht benannt.
Hintergrund & Einordnung: Das Bemerkenswerte ist nicht die technische Raffinesse — die beschriebenen Schritte sind Standardvorgehen —, sondern die Verkettung ohne menschliches Zutun. Die AEPD beschreibt Agenten als Systeme, die „ein Ziel entgegennehmen, Zwischenschritte planen, Werkzeuge einsetzen, Code ausführen, Quellen abfragen, Ergebnisse interpretieren und ihr Vorgehen selbstständig anpassen“ können, und spricht von einem qualitativen Wandel. Der stellvertretende Leiter Francisco Pérez Bes zieht daraus drei Folgerungen: KI-gestützte Angriffe müssen ausdrücklich in Risikoanalysen aufgenommen werden; manuelle Abwehrverfahren sind zu langsam; und IT-Sicherheit darf nicht allein vom menschlichen Eingreifen abhängen. Er betont zudem, dass kompromittierte API-Schlüssel in dieser Konstellation eine andere Qualität bekommen, weil sie Manipulation in Maschinengeschwindigkeit erlauben.
Praxisfolgen / Handlungsempfehlung: Aus einer Behördenmitteilung wird hier eine aufsichtliche Erwartungshaltung. Wer die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO dokumentiert, sollte die Szenarienliste ergänzen — nicht um ein Schlagwort, sondern um die konkrete Folge: Wenn ein Angriff in Minuten statt in Tagen abläuft, ist eine Reaktionskette, die auf einen Rückruf in der Rufbereitschaft wartet, nicht mehr angemessen. Praktisch bedeutet das automatisierte Erkennung und automatisierte Eindämmung mindestens für die Fälle, in denen ein einzelner kompromittierter Schlüssel breiten Zugriff eröffnet. Zweitens gehört der Lebenszyklus von API-Schlüsseln auf den Prüfstand: kurze Gültigkeit, enge Berechtigungen, protokollierte Nutzung.
Microsoft bindet sich für US-Schulen an einen KI-Datenschutzstandard
Zusammenfassung: Microsoft hat gemeinsam mit der Lehrergewerkschaft American Federation of Teachers und deren New Yorker Ableger United Federation of Teachers einen „National AI Safety & Privacy Standard“ vereinbart — nach Darstellung der Beteiligten die erste vertraglich durchsetzbare Vereinbarung darüber, wie ein KI-Anbieter mit Schülerdaten im Schulbereich umgeht. Das Papier umfasst 30 Seiten und zehn verbindliche Prinzipien. Untersagt sind unter anderem die Nutzung von Schüler- und Lehrerdaten für das Training von Modellen, der Verkauf von Daten, deren Verwendung für Werbung oder allgemeine Produktentwicklung, das Tracking einzelner Personen sowie automatisierte Entscheidungen ohne menschliche Prüfung. Ausdrücklich verboten sind auch KI-Begleiter, die eine emotionale Bindung zu Lernenden aufbauen sollen. Bei Datenschutzverletzungen gilt eine Meldepflicht binnen 72 Stunden. Ab dem 1. November 2026 gelten die Regeln für alle Schuldistrikte mit Microsoft-Verträgen.
Hintergrund & Einordnung: Die Vereinbarung ist ein US-Vorgang ohne unmittelbare Wirkung in Deutschland — interessant ist sie trotzdem, weil sie Punkte festschreibt, die hier seit Jahren zwischen Kultusministerien, Aufsichtsbehörden und Microsoft strittig sind. Das Verbot des Trainings mit Nutzungsdaten ist der Kern; die Ausnahme beschränkt sich auf eng definierte Szenarien zum Schutz Minderjähriger. Auffällig ist auch, was nicht über den Datenschutz läuft: Das Verbot emotional bindender KI-Begleiter ist eine pädagogische, keine datenschutzrechtliche Festlegung. Der Standard trägt, weil er vertraglich durchsetzbar ist — anders als Selbstverpflichtungen, die ein Anbieter einseitig ändern kann.
Praxisfolgen / Handlungsempfehlung: Für deutsche Schulträger und ihre Datenschutzbeauftragten ist das eine brauchbare Verhandlungsvorlage. Wenn ein Anbieter diese Zusagen in den USA vertraglich gibt, ist die Frage berechtigt, warum sie in europäischen Rahmenverträgen fehlen. Wer Auftragsverarbeitungsverträge für Lernplattformen neu verhandelt, sollte die zehn Punkte als Prüfliste verwenden — insbesondere die klare Trennung zwischen Vertragserfüllung und Produktverbesserung, die in vielen Verträgen bewusst unscharf bleibt.
BDSG-Reform: Bundesrats-Entwurf im Bundestag, Regierung kündigt eigenen Vorschlag an
Zusammenfassung: Der Bundesrat hat am 10. Juli 2026 beschlossen, einen eigenen Entwurf zur Änderung des Bundesdatenschutzgesetzes in den Bundestag einzubringen (Bundesrats-Drucksache 356/26(B), im Bundestag Drucksache 21/7732). Kern sind drei Punkte: die gesetzliche Verankerung der Datenschutzkonferenz in § 18 Abs. 1 BDSG neuer Fassung mit der Befugnis, verbindliche Mehrheitsbeschlüsse zu Grundsatzfragen zu fassen; ein „Einer-für-Alle-Prinzip“ in § 18 Abs. 3, nach dem die Bewertung einer zuständigen Aufsichtsbehörde nach Abschluss für alle anderen bindend wird; und ein nationaler One-Stop-Shop für verbundene Unternehmen und länderübergreifende Forschungsvorhaben, bei dem die Behörde des Bundeslandes mit dem höchsten Umsatz zuständig sein soll. Die Bundesregierung hat Ende August Stellung genommen: Sie begrüßt das Ziel einer einheitlicheren Auslegung, sieht aber Bedenken wegen der unionsrechtlich garantierten Unabhängigkeit der Aufsichtsbehörden und des verfassungsrechtlichen Verbots unzulässiger Mischverwaltung — und kündigt einen eigenen Reformvorschlag an, in den die Vorschläge des Bundesrates einfließen sollen.
Hintergrund & Einordnung: Der Entwurf setzt eine Zusage aus dem Koalitionsvertrag 2025 um und reagiert auf ein Problem, das jedes Unternehmen mit Standorten in mehreren Bundesländern kennt: dieselbe Frage, mehrere Aufsichtsbehörden, unterschiedliche Antworten. Die Einwände der Bundesregierung sind allerdings nicht formal. Eine Datenschutzkonferenz mit Beschlusskompetenz gegenüber unabhängigen Behörden ist unionsrechtlich heikel, weil Art. 52 DSGVO die Unabhängigkeit jeder einzelnen Aufsichtsbehörde schützt — auch gegenüber anderen Aufsichtsbehörden.
Praxisfolgen / Handlungsempfehlung: Für die Praxis ändert sich vorerst nichts; es lohnt aber, die Sache zu verfolgen. Sollte das „Einer-für-Alle-Prinzip“ kommen, würde die Wahl der federführenden Behörde für Unternehmensgruppen erheblich an Bedeutung gewinnen. Wer derzeit Standortfragen oder Konzernstrukturen ordnet, sollte das im Hinterkopf behalten.
2. Datensicherheit
Drei Meldungen, die alle denselben Punkt berühren: Vertrauen in Werkzeugketten. Ein Entwickler vertraut seinem Assistenten, ein Paketmanager vertraut einer Versionsnummer, eine Middleware vertraut ihren eigenen Schnittstellen.
Shai-Hulud über eine gekaperte KI-Coding-Sitzung auf rund hundert Repositorys verteilt
Zusammenfassung: Mandiant hat einen Vorfall bei einem nicht genannten SaaS-Anbieter untersucht, bei dem ein Angreifer die aktive Sitzung eines KI-Programmierassistenten übernahm. Wie die Übernahme gelang, legt der Bericht nicht offen. Nachdem der Entwickler eine Empfehlung angenommen hatte, nutzte der Angreifer dessen laufende Sitzung, um über ein präpariertes Paket aus dem Python-Paketverzeichnis einen Infostealer zu installieren. Abgeflossen sind GitHub-OAuth-Token und Repository-Secrets; damit verteilte der Angreifer den selbstverbreitenden Wurm Shai-Hulud auf rund 100 internen Repositorys. Zusätzlich vergiftete er ein Paket im offiziellen Namensraum des Unternehmens — als ein anderer Beschäftigter die kompromittierte Version zog, kam es zur Zweitinfektion. Gestohlen wurden Repository-Secrets und der Quellcode der Produkte.
Hintergrund & Einordnung: Der Wurm selbst ist seit August bekannt; neu ist der Einstiegspunkt. Bisherige Shai-Hulud-Wellen liefen über kompromittierte Pakete in öffentlichen Registern — der Entwickler installierte etwas Falsches. Hier ist die Reihenfolge umgekehrt: Der Angreifer sitzt bereits in der Sitzung und benutzt den Assistenten als Ausführungsorgan. Damit fällt die Prüfinstanz weg, auf die sich das ganze Modell stützt: Der Vorschlag kommt nicht von einer fremden Website, sondern aus dem eigenen Editor. Mandiant ordnet das in eine Beobachtung ein, die sich über 2025 und 2026 zieht — Angreifer haben generative Modelle zunächst zur eigenen Produktivitätssteigerung genutzt und setzen sie inzwischen in aktiven Kampagnen gegen Entwicklerwerkzeuge und Zugangsdaten ein.
Praxisfolgen / Handlungsempfehlung: Mandiant nennt drei Maßnahmen, die alle umsetzbar sind, ohne den Assistenten abzuschalten. Erstens: KI-empfohlene Drittabhängigkeiten gegen kryptografische Prüfsummen und eine freigegebene Liste abgleichen, bevor sie installiert werden — das lässt sich in der CI erzwingen. Zweitens: Secrets vom direkten Zugriff durch Editor-Erweiterungen trennen; ein Assistent, der Umgebungsvariablen lesen kann, liest auch Token. Drittens: Abhängigkeits-Verkehr über ein kontrolliertes internes Repository leiten statt direkt gegen PyPI oder npm. Ergänzend gehört die Sitzungshygiene dazu: Assistenten-Token mit kurzer Gültigkeit, und bei Verdacht sofortige Rotation aller OAuth-Token statt nur des betroffenen.
Homebrew 7.0.0 bringt einen eigenen Schwachstellen-Scanner und engere Sandbox
Zusammenfassung: Der macOS-Paketmanager Homebrew hat in Version 7.0.0 einen eingebauten Schwachstellen-Scanner erhalten. Der Befehl brew vulns prüft installierte Formulae, einzelne Pakete oder die in einem Brewfile deklarierten Abhängigkeiten; dazu werden Repository- und Versionsdaten an die Datenbank OSV.dev geschickt. Der entscheidende Punkt ist die Behandlung zurückportierter Korrekturen: Homebrew spielt Sicherheitspatches teils ein, ohne auf die neueste Version des Ursprungsprojekts zu heben — ein Scanner, der nur die Versionszeichenkette liest, meldet dann eine längst geschlossene Lücke. Die Datensätze liegen im OSV-Format unter CC0 vor und werden über die Formula-API sowie als herunterladbarer Index veröffentlicht. Zusätzlich behebt 7.0.0 acht Schwachstellen (eine hoch, zwei mittel, fünf niedrig); sieben davon waren bereits in 6.0.x korrigiert. Die als hoch bewertete Lücke betraf unsignierte Entfernungs-Metadaten eines Casks, über die Befehle mit erhöhten Rechten ausgeführt werden konnten. Beim Sandboxing ist der Zugriff auf Benutzer-Home-Verzeichnisse jetzt standardmäßig blockiert, netzwerkfähige Abhängigkeits-Downloads sind von der Offline-Installation getrennt, und Build-Attestations werden auch für Bottles aus Dritt-Taps geprüft.
Hintergrund & Einordnung: Homebrew ist seit Jahren ein beliebtes Ziel für Infostealer-Kampagnen — über nachgebaute Websites und ClickFix-Köder, bei denen Nutzer dazu gebracht werden, einen Installationsbefehl selbst in ein Terminal zu kopieren. Ein Paketmanager, der die eigene Lieferkette prüft und die Sandbox enger zieht, adressiert einen realen Angriffsvektor auf Entwicklerrechnern, die in Unternehmensnetzen häufig weniger streng verwaltet sind als Standardarbeitsplätze. Nebenbei: Intel-Macs sind auf Tier 3 abgestuft — keine neuen vorgebauten Bottles mehr, teils Übersetzung aus dem Quellcode; der Betrieb auf Intel-Macs endet nach aktueller Planung im September 2027.
Praxisfolgen / Handlungsempfehlung: brew vulns gehört auf Entwicklerrechnern in die regelmäßige Prüfung, sinnvollerweise gegen das Brewfile statt gegen die installierte Menge — dann liefert es eine Aussage über das, was künftig ausgerollt wird. Wer Endpoint-Management für Macs betreibt, sollte die Ausgabe einsammeln; sie ist maschinenlesbar. Und wer noch Intel-Macs im Bestand hat, hat ab jetzt ein datiertes Auslaufdatum für die Werkzeugkette.
IBM MQ: neun Lücken, eine davon kritisch
Zusammenfassung: IBM hat neun Schwachstellen in der Middleware MQ geschlossen. Als kritisch eingestuft ist CVE-2026-11381: Ein authentifizierter Angreifer kann aus der Ferne beliebigen Code ausführen; die Methode gibt IBM nicht an. Drei weitere Lücken erlauben ebenfalls das Einschleusen von Schadcode (CVE-2026-13293, CVE-2026-11375, CVE-2026-11378), eine weitere den unbefugten Zugriff auf geschützte Daten (CVE-2026-11726). Korrigiert sind die Fehler in MQ 9.1.0.38, 9.2.0.44, 9.3.0.42 und 9.4.0.26 für die Long-Term-Support-Reihen sowie in 10.0.0.5 für die Continuous-Delivery-Stände von 9.3 und 9.4 und für 10.0.0.0. Hinweise auf laufende Angriffe liegen nach Angaben von IBM nicht vor.
Hintergrund & Einordnung: MQ ist selten exponiert, aber fast immer zentral: Die Middleware transportiert in Banken, Versicherungen und Industrieunternehmen die Nachrichten zwischen Kernanwendungen. Dass die kritische Lücke Authentifizierung voraussetzt, senkt das Risiko eines Angriffs von außen, nicht das eines Angriffs nach der ersten Kompromittierung — und genau dort sitzt MQ günstig für seitliche Bewegung.
Praxisfolgen / Handlungsempfehlung: Einplanen in den nächsten regulären Wartungszyklus, nicht als Notfall. Sinnvoll ist, bei der Gelegenheit die Frage zu klären, welche Konten überhaupt MQ-Zugriff haben und ob deren Berechtigungen dem entsprechen, was die Anwendungen brauchen — die kritische Lücke ist genau so viel wert wie das schwächste MQ-Konto.
3. IT-Sicherheit
Vier Meldungen, die zusammen den Alltag der Woche beschreiben: eine Lücke, die sofort gepatcht werden muss, eine Korrekturflut, die niemand vollständig abarbeitet, ein Fehler aus dem Lehrbuch, der fünf Wochen nach dem Patch angegriffen wird, und ein Haushaltsgerät, das seinen Schlüssel selbst verrät.
Cisco Identity Services Engine: Authentifizierungs-Umgehung mit dem Höchstwert, aktiv ausgenutzt
Zusammenfassung: In Ciscos Identity Services Engine und im Passive Identity Connector steckt mit CVE-2026-76460 eine Schwachstelle, die unauthentifizierten Angreifern aus der Ferne erlaubt, die Authentifizierung zu umgehen. Ursache ist nach Ciscos Formulierung „eine unzureichende Authentifizierungskontrolle an einem API-Endpunkt“; zur Ausnutzung genügt eine präparierte Anfrage an diesen Endpunkt. Die Bewertung liegt bei 10,0 von 10 Punkten. Betroffen sind ISE und ISE-PIC in den Versionsreihen 3.1 bis 3.5; korrigiert ist die Lücke in 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 und 3.5 Patch 4. Workarounds gibt es nicht. Die CISA hat die Schwachstelle am 16. September in den Katalog bekannter ausgenutzter Lücken aufgenommen und US-Bundesbehörden eine Frist von drei Tagen gesetzt. Cisco hat zeitgleich fünf weitere kritische Lücken geschlossen: CVE-2026-76423, CVE-2026-20176, CVE-2026-20211, CVE-2026-20307 und CVE-2026-20284.
Hintergrund & Einordnung: Die ISE ist keine beliebige Anwendung, sondern in vielen Unternehmen und Behörden die Instanz, die über den Netzzugang entscheidet — Geräteprofilierung, Zertifikatsprüfung, Zuordnung zu Netzsegmenten. Eine Authentifizierungs-Umgehung an ihrer API ist deshalb keine Lücke im Perimeter, sondern eine Lücke in der Instanz, die den Perimeter definiert. Bemerkenswert ist der zeitliche Zusammenhang: Am 14. September hatte Cisco bereits CVE-2026-76461 im Secure Email Gateway offengelegt, eine SQL-Injection mit Bewertung 9,8, die Befehlsausführung mit Rootrechten erlaubt und ebenfalls vor der Offenlegung ausgenutzt wurde. Binnen einer Woche stehen damit zwei zentrale Cisco-Produkte unter aktivem Angriff.
Praxisfolgen / Handlungsempfehlung: Heute patchen, außerhalb des regulären Zyklus. Da kein Workaround existiert, gibt es keine Zwischenstufe. Nach dem Einspielen gehört die Kompromittierungsannahme dazu: Wer die API vor dem Patch aus dem Netz erreichbar hatte, muss die Zugriffe rückwirkend prüfen und Zugangsdaten sowie kryptografisches Material erneuern. Ein Patch entfernt die Lücke, nicht den Zugang, den ein Angreifer sich davor verschafft hat.
Oracle: 673 Korrekturen an einem Tag
Zusammenfassung: Oracle hat ein außerhalb des Quartalsrhythmus liegendes Critical Security Patch Update veröffentlicht und darin 673 Schwachstellen korrigiert. Betroffen sind mehr als 29 Produkte quer durch das Portfolio — Anwendungstests, Kommunikation, Middleware, Datenbanken, Business Intelligence und CRM. Als kritisch bewertet sind unter anderem Lücken in WebLogic Server, Access Manager, Forms und Identity Manager. Das nächste reguläre Quartals-Update folgt im Oktober 2026.
Hintergrund & Einordnung: Die Zahl ist gegenüber August, wo Oracle fast tausend Lücken schloss, sogar rückläufig — sie bleibt trotzdem die eigentliche Nachricht. Bei dieser Größenordnung ist eine vollständige Abarbeitung in einem Wartungsfenster nicht realistisch; das Update wird faktisch zu einer Priorisierungsaufgabe. WebLogic Server und Access Manager sind dabei die naheliegenden Kandidaten für den Anfang, weil beide regelmäßig aus dem Netz erreichbar betrieben werden und beide in der Vergangenheit zügig nach Offenlegung angegriffen wurden.
Praxisfolgen / Handlungsempfehlung: Nach Erreichbarkeit priorisieren statt nach CVSS-Liste: Was ohne Authentifizierung aus dem Internet oder aus einem wenig vertrauenswürdigen Segment erreichbar ist, kommt zuerst. Für den Rest gilt das übliche Verfahren mit dokumentierter Restrisiko-Entscheidung — nicht, weil das schön wäre, sondern weil es die einzige belastbare Antwort auf die Frage ist, warum ein Patch nach drei Wochen noch nicht eingespielt war.
Issabel: derselbe JWT-Schlüssel in jeder Installation, seit dem 9. September angegriffen
Zusammenfassung: Im Issabel Framework, der Weboberfläche der Telefonanlagen-Software Issabel PBX, steckte bis Commit b97dbaf ein fest eingebauter HS256-Signaturschlüssel für JSON Web Tokens in der Datei pbxapi/index.php — identisch in jeder Installation weltweit. Damit kann ein unauthentifizierter Angreifer aus der Ferne gültige Bearer-Token fälschen. Die Ausnutzung verläuft in zwei Schritten: Token fälschen, dann den Endpunkt /pbxapi/manager/originate mit dem Parameter Application=System aufrufen — woraufhin der Asterisk-Dienst beliebige Betriebssystembefehle mit den Rechten des Asterisk-Nutzers ausführt. Die Bewertung liegt bei 9,8 nach CVSS 3.1 und 9,3 nach CVSS 4.0. Die Korrektur wurde am 1. August 2026 veröffentlicht; der Schlüssel wandert seither in die Datei /etc/issabel.conf. Die Shadowserver Foundation hat am 9. September aktive Ausnutzung beobachtet — rund fünf Wochen nach dem Patch. Ein öffentlicher Proof of Concept existiert. Entdeckt wurde der Schlüssel von Forschern bei VulnCheck.
Hintergrund & Einordnung: Hartkodierte kryptografische Schlüssel sind eine Fehlerklasse, die es eigentlich nicht mehr geben sollte, und sie sind besonders unangenehm: Es gibt nichts zu erraten und nichts zu brechen, die Ausnutzung ist deterministisch. Bemerkenswert ist hier der zeitliche Abstand zwischen Patch und Angriff. Fünf Wochen sind genug Zeit, damit jemand den Commit liest, den Unterschied versteht und einen Exploit baut — und sie sind offenbar nicht genug Zeit, damit die Betreiber aktualisieren. Telefonanlagen sind dafür ein typisches Beispiel: Sie laufen jahrelang unangetastet, weil ein Update Telefonie-Ausfall bedeuten kann, und sie werden häufig von externen Dienstleistern betreut, die für Sicherheitsupdates kein Mandat haben.
Praxisfolgen / Handlungsempfehlung: Prüfen, ob die Installation Commit b97dbaf oder neuer enthält, und kontrollieren, ob in /etc/issabel.conf tatsächlich ein individuell erzeugter Schlüssel steht statt des ausgelieferten Standardwerts — ein Update, das die Datei anlegt, aber den Altwert übernimmt, hilft nicht. Als flankierende Maßnahme gehört /pbxapi/ nicht ins offene Internet; eine Beschränkung auf das interne Netz oder ein VPN nimmt dem Exploit die Grundlage. Rückwirkend: Asterisk-Protokolle auf originate-Aufrufe mit Application=System durchsehen.
Midea PortaSplit: Bluetooth-Fernsteuerung ohne Kopplung, Update läuft
Zusammenfassung: Ein anonymer Hinweisgeber hatte heise security demonstriert, dass sich beliebige Midea-PortaSplit-Klimageräte über Bluetooth Low Energy fernsteuern lassen — unabhängig vom Kopplungsstatus, ohne die Hersteller-App und ohne Kenntnis der Geräte-PIN, aus etwa zehn Metern Entfernung. Genutzt wurde nicht der offizielle Endpunkt im msmart-SDK, sondern eine Programmierschnittstelle für OEM-Partner. Das Protokoll sieht zwar eine AES-Verschlüsselung der Steuerbefehle vor, das Gerät sendete über seine Bluetooth-Broadcasts jedoch genug Information, um den erforderlichen Schlüssel abzuleiten. Unbefugte konnten die Anlage ein- und ausschalten, die Temperatur ändern und zwischen Kühl- und Heizbetrieb umschalten. Midea verteilt inzwischen die Firmware V.012634_0000_4000_8000_5006_1012, die das Authentifizierungsmodul anpasst und den unauthentifizierten BLE-Zugriff unterbindet; der Vorgänger trug die Nummer V.012236_0000_4000_8000_5006_1012. Die Verteilung läuft gestaffelt über die Luft und lässt sich in der App nicht anstoßen.
Hintergrund & Einordnung: Der Fall ist typisch für vernetzte Haushaltsgeräte an zwei Stellen. Erstens war unbefugter BLE-Zugriff in der Risikobewertung des Herstellers offenbar gar nicht vorgesehen — es war zunächst strittig, ob das Verhalten überhaupt als Sicherheitslücke gilt. Zweitens trifft die Korrektur ausgerechnet die sorgfältigeren Nutzer: Der offene Bluetooth-Kanal war für die Heimautomatisierungs-Szene der Weg, die Anlage ohne Herstellerwolke einzubinden; für Home Assistant und FHEM existieren fertige Anbindungen. Midea räumt ein, dass die Steuerung über solche Plattformen vom Update betroffen sein kann. Wer die Cloud gemieden hat, wird also in die Cloud zurückgedrängt.
Praxisfolgen / Handlungsempfehlung: Versionsnummer in der Midea-Air-App im Menü unter „Firmware aktualisieren“ prüfen und sicherstellen, dass das Gerät eine aktive Internetverbindung hat, damit die Korrektur ankommt. Wer die Anlage lokal automatisiert, sollte vor dem Update entscheiden, was ihm wichtiger ist — und sich bewusst machen, dass die Alternative kein sicherer Zustand ist, sondern ein Gerät, das jeder Nachbar in Bluetooth-Reichweite bedienen kann.
4. Urteile
Zwei frisch veröffentlichte Entscheidungen, die in dieselbe Richtung zeigen: Beide verschieben den Streit von der Rechtsfrage auf die Darlegungslast — einmal zugunsten des Betroffenen, einmal zu seinen Lasten.
AG Karlsruhe: Fortbildungs-Einladungen einer Rechtsanwaltskammer sind einwilligungsbedürftige Werbung
Sachverhalt: Ein Rechtsanwalt erhielt unaufgefordert E-Mail-Einladungen seiner Rechtsanwaltskammer zu deren Fortbildungsveranstaltungen, versandt an die im Mitgliederverzeichnis hinterlegte Kanzleiadresse. Er antwortete auf eine dieser Mails und teilte mit, keine Werbe-E-Mails erhalten zu wollen. Die Kammer reagierte nicht, die Einladungen liefen weiter. Er klagte auf Unterlassung und auf immateriellen Schadensersatz.
Entscheidung: Das Amtsgericht Karlsruhe gab der Unterlassungsklage statt und wies den Schadensersatzantrag ab. Die Entscheidung ist nicht rechtskräftig.
Begründungs-Kernpunkte: Tragend ist die Einordnung der Veranstaltungshinweise als geschäftliche Handlung im Sinne des § 7 UWG, für die eine vorherige Einwilligung des Empfängers erforderlich ist. Das Argument der Kammer, die Förderung der ohnehin gesetzlich vorgeschriebenen Fortbildung sei Wahrnehmung einer hoheitlichen Aufgabe, überzeugte nicht. Das Gericht unterscheidet zwischen einer Körperschaft, die auf Grundlage einer ausdrücklichen Ermächtigungsgrundlage hoheitlich handelt, und einer Körperschaft, die lediglich eine öffentliche Aufgabe erfüllt — privilegiert ist nur der erste Fall. Für den Versand von Informations-E-Mails an die im Mitgliederverzeichnis hinterlegten Geschäftsadressen fehlt eine solche Grundlage; die Nachrichten sind deshalb „ohne eine ausdrückliche Ermächtigungsgrundlage als Werbung einzustufen“ und ohne Einwilligung auch datenschutzrechtlich unzulässig. Der Schadensersatzanspruch nach Art. 82 DSGVO scheiterte daran, dass der Kläger über den Ärger hinaus keinen konkreten Nachteil dargelegt hat.
Praxisfolgen: Die Begründung trifft weit über die Anwaltschaft hinaus jede Körperschaft des öffentlichen Rechts mit eigenem Veranstaltungs- oder Seminarangebot — Industrie- und Handelskammern, Handwerkskammern, Ärzte-, Apotheker- und Steuerberaterkammern, Berufsgenossenschaften, kommunale Bildungseinrichtungen. Wer sich darauf verlassen hat, dass der öffentlich-rechtliche Status den Mitgliederverteiler trägt, hat nach diesem Urteil kein tragfähiges Fundament mehr. Praktisch schwierig wird es bei Rundschreiben, die Verwaltungsinformationen und Veranstaltungshinweise mischen: Nach der Logik des Gerichts kippt eine solche Mail insgesamt, sobald ein werblicher Teil darin steckt. Die naheliegende Konsequenz ist organisatorisch — Pflichtkommunikation und Veranstaltungswerbung trennen, für den werblichen Teil eine dokumentierte Einwilligung einholen und vor allem Widersprüche technisch so verarbeiten, dass sie den Versand tatsächlich stoppen. Genau daran ist der Fall entstanden: nicht am ersten Rundschreiben, sondern am ignorierten Widerspruch.
OLG Brandenburg: kein Anspruch auf eine „manuelle“ Entscheidung statt automatisierten Scorings
Sachverhalt: Ein Verbraucher klagte gegen eine Wirtschaftsauskunftei. Er hielt das vollautomatisierte Scoring-Verfahren für datenschutzrechtlich unzulässig, verlangte eine menschliche Entscheidung und wollte untersagen lassen, dass Merkmale wie Alter, Geschlecht oder Anschrift in die Berechnung einfließen.
Entscheidung: Das Brandenburgische Oberlandesgericht wies die Berufung zurück und bestätigte damit die Klageabweisung.
Begründungs-Kernpunkte: Erstens: „Die Vorschriften der DSGVO sehen einen Anspruch auf eine wie auch immer geartete ‚manuelle‘ Entscheidung nicht vor.“ Art. 22 DSGVO verbietet unter Voraussetzungen die automatisierte Einzelentscheidung, begründet aber kein Recht darauf, dass ein Mensch dieselbe Rechnung von Hand ausführt. Zweitens ist die Verarbeitung von Art. 6 Abs. 1 Buchst. f DSGVO gedeckt: Kreditinstitute und Händler benötigen verlässliche Einschätzungen der Zahlungsfähigkeit, teils aufgrund gesetzlicher Prüfpflichten; das Scoring ist dafür geeignet und erforderlich. Drittens fällt ein Scorewert in der Drei-Personen-Konstellation nur dann unter Art. 22 DSGVO, wenn er die Entscheidung des Vertragspartners mangels eigenen menschlichen Beurteilungsspielraums maßgeblich bestimmt — dazu fehlte substantiierter Vortrag; in Finanzierungsentscheidungen fließen typischerweise Einkommen, Sicherheiten und bestehende Verbindlichkeiten ein. Viertens besteht kein Anspruch auf Offenlegung des vollständigen Algorithmus; ausreichend ist eine transparente Auskunft über Datenkategorien und Grundzüge der Verarbeitungslogik. Der Kläger konnte weder die Verwendung besonderer Datenkategorien nach Art. 9 DSGVO noch einen konkreten Nachteil belegen.
Praxisfolgen: Die Entscheidung liegt auf einer Linie mit dem Hinweisbeschluss des OLG Hamm vom 22. Januar 2026 (10 U 10/25). Nach der SCHUFA-Rechtsprechung des EuGH war die Erwartung verbreitet, Scoring sei nun grundsätzlich angreifbar; die Instanzgerichte machen daraus eine Beweisfrage im Einzelfall. Wer gegen ein Scoring vorgehen will, muss konkret vortragen, welche Entscheidung welchen Vertragspartners allein am Scorewert hing — und das weiß der Betroffene in aller Regel nicht. Für Auskunfteien und für Unternehmen, die Scorewerte einkaufen, folgt daraus ein organisatorischer Hinweis: Der dokumentierte menschliche Beurteilungsspielraum auf Seiten des Vertragspartners ist das, was Art. 22 DSGVO fernhält. Wer eine Bonitätsschwelle hart in ein Bestellsystem verdrahtet und ohne weitere Prüfung ablehnt, gerät genau in die Konstellation, die der EuGH im Blick hatte. Zu beachten bleibt, dass beim Bundesgerichtshof die Verfahren I ZR 226/25 bis I ZR 230/25 zum Auskunftsanspruch gegen Wirtschaftsauskunfteien anhängig sind; wie tief die Auskunft zur Gewichtung der Merkmale gehen muss, ist höchstrichterlich nicht geklärt.
5. Bußgelder
Die Bußgeldlage ist diese Woche dünn — aus Deutschland gibt es nichts Neues, und die großen europäischen Fälle des Monats sind bereits gelaufen. Zwei Vorgänge sind trotzdem bemerkenswert, einer inhaltlich und einer strukturell.
AEPD: Strafzettel mit Ausweisnummer an der Windschutzscheibe verstößt gegen die Datenminimierung
Behörde: Agencia Española de Protección de Datos (AEPD) · Adressat: Stadtverwaltung Santander · Höhe: kein Bußgeld, da öffentliche Stelle — Feststellung des Verstoßes
Verstoß / Rechtsgrundlage: Art. 5 Abs. 1 Buchst. c DSGVO (Datenminimierung).
Begründung: Die Stadtverwaltung Santander hatte einen Verkehrsverstoß dadurch bekanntgegeben, dass sie den Verwarnungszettel hinter die Windschutzscheibe des Fahrzeugs klemmte — mit Vorname, Nachname und vollständiger Ausweisnummer des Fahrers. Die AEPD stellt fest, dass diese Angaben für den Zweck der Benachrichtigung nicht erforderlich sind und in einer für jeden Passanten lesbaren Form ohnehin nicht verarbeitet werden dürfen. Da es sich um eine öffentliche Stelle handelt, verhängt die Behörde nach spanischem Recht kein Bußgeld, sondern stellt den Verstoß fest. Ausgangspunkt war eine Anzeige vom 8. November 2024 und eine Beschwerde vom Dezember 2024.
Praxisfolgen: Der Fall ist klein und deshalb lehrreich. Er betrifft keine Datenbank und keine Schnittstelle, sondern ein Formular, das jemand vor Jahren so entworfen hat und das seither niemand hinterfragt hat. Vergleichbare Muster gibt es in deutschen Verwaltungen reichlich — Aushänge mit Namenslisten, Abholzettel mit Vorgangsnummern und Klarnamen, Paketbenachrichtigungen an der Haustür. Wer eine Bestandsaufnahme der eigenen Verarbeitungen macht, sollte die physischen Kanäle mitnehmen; sie fallen bei Systemprüfungen durch das Raster. Dass die Behörde hier ohne Geldbuße bleibt, ist spanisches Verfahrensrecht und nicht auf Deutschland übertragbar — nach § 43 Abs. 3 BDSG sind Bußgelder gegen Behörden allerdings ebenfalls weitgehend ausgeschlossen.
Niederlande: Veröffentlichung jeder Sanktionsentscheidung ist seit dem 1. September Pflicht
Behörde: Autoriteit Persoonsgegevens (AP), Niederlande · Adressat: alle sanktionierten Organisationen · Höhe: nicht einschlägig — Verfahrensregel
Verstoß / Rechtsgrundlage: Neuer Artikel 21b des niederländischen DSGVO-Ausführungsgesetzes (Uitvoeringswet AVG), eingefügt über die Verzamelwet gegevensbescherming durch einen Änderungsantrag aus der Zweiten Kammer.
Begründung: Bisher veröffentlichte die AP Sanktionen auf Grundlage eigener Verwaltungspraxis — eine Praxis, die eine Behörde jederzeit ändern oder zurücknehmen kann. Seit dem 1. September ist die Veröffentlichung gesetzlich vorgeschrieben und erfasst Bußgelder, Zwangsgelder und Verarbeitungsverbote; die AP erstreckt sie zusätzlich auf Sanktionen nach dem Polizeidatengesetz und dem Gesetz über Justiz- und Strafverfolgungsdaten. Das Verfahren ist mehrstufig: Die Behörde kündigt der Organisation die Veröffentlichung an und gibt Gelegenheit zur Stellungnahme, entscheidet dann über die Veröffentlichung und veröffentlicht frühestens zehn Werktage nach Zustellung dieser Entscheidung. Wer Widerspruch gegen die Veröffentlichung einlegt, kann den Eilrechtsschutz anrufen; das setzt die Veröffentlichung bis zur gerichtlichen Entscheidung aus. Ausnahmen der niederländischen Informationsfreiheitsregelung bleiben unberührt — personenbezogene Angaben, vertrauliche Betriebsinformationen und andere schwerwiegende Interessen können zur teilweisen Schwärzung führen.
Praxisfolgen: Für Unternehmen mit niederländischer Niederlassung oder niederländischer federführender Aufsicht ändert sich damit die Risikorechnung. Das Bußgeld war bisher ein finanzieller Posten; künftig ist der Reputationsschaden regelmäßiger Bestandteil, und das Zeitfenster, in dem sich das abwenden lässt, beträgt zehn Werktage. Wer eine Sanktionsandrohung erhält, muss die Frage „Widerspruch gegen die Veröffentlichung?“ von Anfang an mitdenken, nicht erst nach dem Bescheid. Interessant ist die Entwicklung auch als Signal: Die AP begründet die Regel mit der Normvermittlung — andere Organisationen sollen sehen können, was schiefgelaufen ist. In Deutschland sind Bußgelder gegen Unternehmen weiterhin überwiegend nicht öffentlich, was jede Auswertung der Aufsichtspraxis auf Schätzungen stützt.
6. Cyber-Sicherheit
Ein Streit über die Aufarbeitung, eine bestätigte Ausnutzung und ein Lagebild, das die beiden technischen Meldungen des Tages verbindet.
Berlin: Bezirk verweigert CrowdStrike-Agent für die Aufarbeitung des Landesnetz-Angriffs
Zusammenfassung: Beim Angriff auf das Berliner Landesnetz, bei dem die Gruppe Rhysida rund 5,7 Terabyte mit etwa 1,44 Millionen Dateien im Darknet veröffentlicht hat, gibt es Streit über die Aufarbeitung. Die Senatskanzlei hat das US-Sicherheitsunternehmen CrowdStrike mit der IT-Forensik beauftragt. Der Bezirk Lichtenberg verweigert nach Berichten des rbb die Installation der Software Falcon Agent auf den eigenen Servern und begründet das in einem internen Schreiben mit einem nahezu unbegrenzten Datenzugriff, möglichen Störungen von Fachverfahren und verbleibenden Überwachungsrisiken für die Dienstkräfte. Der Bezirk sieht bislang keine Einbruchsspuren auf seinen Systemen und verlangt, dass der Senat Verantwortung und Kosten vollständig übernimmt. Die Berliner Datenschutzbeauftragte Meike Kamp hat eine eigene Hinweisseite eingerichtet und rät Betroffenen zu Passwortwechseln, genauer Kontrolle von Kontoaktivitäten und erhöhter Skepsis gegenüber Kontaktaufnahmen. Nach Angaben des Landes liegen zuletzt keine Erkenntnisse vor, dass das Landesnetz weiterhin infiltriert ist; Betroffene sollen risikobasiert von den zuständigen Senatsverwaltungen informiert werden.
Hintergrund & Einordnung: Der Konflikt ist kein Berliner Sonderfall, sondern die Regel bei jeder größeren Vorfallsaufarbeitung in föderalen Strukturen. Endpoint-Detection-Software braucht für die Forensik genau die Reichweite, die datenschutzrechtlich problematisch ist: Sie liest Prozesse, Dateizugriffe und Netzverbindungen mit, und im Beschäftigtenkontext ist das mitbestimmungspflichtig und rechtfertigungsbedürftig. Der Bezirk argumentiert nicht falsch — er argumentiert nur zu einem Zeitpunkt, zu dem die Abwägung praktisch schwer fällt. Wer den Agenten nicht installiert, kann auch nicht ausschließen, kompromittiert zu sein; „keine Einbruchsspuren“ ohne die Werkzeuge, mit denen man sie fände, ist eine schwache Aussage.
Praxisfolgen / Handlungsempfehlung: Die Lehre gilt vor dem Vorfall, nicht danach. Wer in einer verteilten Organisation arbeitet, sollte die Rahmenbedingungen für den Forensik-Fall im Voraus klären: welche Software im Ernstfall ausgerollt werden darf, mit welchem Funktionsumfang, auf welcher Rechtsgrundlage, mit welcher Beteiligung der Personalvertretung und wer die Kosten trägt. Eine Betriebs- oder Dienstvereinbarung für den Incident-Fall ist unspektakulär und erspart genau diesen Streit zu dem Zeitpunkt, an dem er am teuersten ist.
ConnectWise ScreenConnect: CISA bestätigt aktive Ausnutzung
Zusammenfassung: Verlaufshinweis zu einem am 14. September gebrachten Thema. Die US-Cybersicherheitsbehörde CISA warnt, dass die kritische Schwachstelle in ConnectWise ScreenConnect inzwischen aktiv ausgenutzt wird. Damit ist der Übergang von den einzelnen, von Huntress untersuchten Social-Engineering-Fällen mit manipulierten Clients zur breiten Ausnutzung der Schwachstelle selbst vollzogen.
Hintergrund & Einordnung: Am 14. September ging es um drei unabhängige Vorfälle, bei denen präparierte ScreenConnect-Clients über Social Engineering auf die Rechner der Opfer gelangten. Die jetzige Bestätigung betrifft die zugrunde liegende Lücke, über die sich während einer laufenden Sitzung Dateien auf den Rechner des Betreuten übertragen und ausführen lassen. Fernwartungssoftware ist für Angreifer aus demselben Grund attraktiv wie für Dienstleister: Sie ist bereits überall installiert, sie ist legitim, und ihre Aktivität fällt in Protokollen nicht auf.
Praxisfolgen / Handlungsempfehlung: Wer ScreenConnect betreibt oder von einem Dienstleister betreuen lässt, sollte den Patchstand jetzt konkret abfragen statt ihn anzunehmen. Für Endkunden bleibt der Hinweis vom 14. September gültig: Eine Fernwartungssitzung wird nie von außen angefragt, sondern immer von Ihnen selbst ausgelöst.
Lagebild: Angreifer setzen Sprachmodelle in aktiven Kampagnen ein
Zusammenfassung: Mandiant ordnet den Shai-Hulud-Vorfall in eine Entwicklung ein, die sich über 2025 und 2026 zieht: Angreifer haben generative Modelle zunächst zur eigenen Produktivitätssteigerung genutzt — Phishing-Texte, Übersetzungen, Code-Gerüste — und setzen sie inzwischen als Bestandteil aktiver Kampagnen gegen Entwicklerwerkzeuge und Zugangsdaten ein. Zusammen mit der Meldung der spanischen AEPD liegen damit binnen zwei Tagen zwei unabhängige Belege dafür vor, dass der Sprung von der Werkzeugnutzung zur Delegation der Ausführung stattgefunden hat.
Hintergrund & Einordnung: Die Unterscheidung ist für die Abwehr wesentlich. Ein Angreifer, der ein Modell zum Schreiben einer Phishing-Mail benutzt, verändert die Qualität des Köders — die Erkennungsmethoden bleiben gleich. Ein Angreifer, der einem Agenten ein Ziel gibt und die Ausführung delegiert, verändert das Tempo und die Varianz: Jeder Lauf sieht anders aus, es gibt keine wiederverwendbare Signatur, und der Zeitraum zwischen Erstzugriff und Datenabfluss schrumpft auf Minuten. Beides ist noch keine Massenerscheinung; beides ist jetzt aber dokumentiert und nicht mehr hypothetisch.
Praxisfolgen / Handlungsempfehlung: Zwei Dinge lassen sich heute tun. Erstens: Die Erkennung von der Signatur auf das Verhalten verlagern — auffällig ist nicht mehr das einzelne Werkzeug, sondern die Geschwindigkeit und Breite der Zugriffe. Zweitens: Die Annahme fallen lassen, dass zwischen Erstzugriff und Schaden Zeit für eine menschliche Entscheidung bleibt. Automatische Eindämmung — Konto sperren, Token entwerten, Segment isolieren — braucht vorab definierte Auslöser, weil sie im Ernstfall niemand mehr von Hand freigibt.
KI & große Sprachmodelle
Kompakter Stand je Anbieter; Detailmeldungen zu einzelnen Veröffentlichungen liefen bereits in den Vortagen.
- OpenAI. GPT-6 Astra ist seit dem 3. September verfügbar (angekündigt am 1. September) und war nach Darstellung des Anbieters das erste Modell, das dessen Schwellenwert für kritische Cyber-Fähigkeiten auslöste — mit entsprechenden zusätzlichen Schutzmaßnahmen. Angegeben werden rund 1,05 Millionen Token Kontext und 128.000 Token Ausgabe bei 10 US-Dollar Eingabe und 50 US-Dollar Ausgabe je Million Token. Separat hat OpenAI mitgeteilt, dass die Entwicklungsumgebung Cursor zum 12. November 2026 den Zugang zu OpenAI-Modellen verliert; Anbieter von Editor-Integrationen bauen daraufhin Rückfallebenen auf Anthropic-Modelle und lokale Modelle ein.
- Anthropic. Claude Fable 5.1 ist seit dem 1. September das Spitzenmodell für Programmierung und lang laufende Agenten; Cache-Lesevorgänge kosten ein Viertel des Fable-5-Preises. Mythos 5.1 ist das Gegenstück für den Trusted-Access-Zugang. Claude Code hat verwaltete MCP-Server, eine Berechtigungssteuerung für den Headless-Betrieb und die Erkennung von GitLab-Merge-Requests bekommen.
- Google. Gemini 3.8 Flash ist seit dem 2. September verfügbar, zusammen mit einer nur für Verteidiger zugänglichen Cyber-Variante. Das Modell ist als Alltagsarbeitspferd positioniert, rund drei Wochen nach 3.7 Flash, mit Verbesserungen bei Software-Engineering und mehrstufigem Schlussfolgern zu niedrigeren Kosten als die Spitzenmodelle.
- Meta. Muse Spark 1.3 ist seit dem 2. September verfügbar, mit einem Mischpreis nahe 0,10 US-Dollar je Million Token.
- DeepSeek. V4.1-Flash vom 10. September war nach Tracker-Angaben die einzige Veröffentlichung in der Woche bis zum 15. September; offene Gewichte unter MIT-Lizenz, Agenten-Speicherkosten um das Vierfache gesenkt — damit eine ernstzunehmende Option für den Eigenbetrieb.
- Sakana AI. Fugu Ultra v2.0 vom 11. September.
- Mistral. Keine Veröffentlichung im September 2026; der jüngste Bezugspunkt bleibt eine kompakte Aktualisierung der Small-Reihe.
Sicherheitsrelevant ist an diesem Bild weniger die Modellliste als der Umstand, dass zwei Anbieter inzwischen ausdrücklich mit Cyber-Fähigkeiten umgehen: OpenAI über eine Schutzschwelle, Google über eine getrennte, nur Verteidigern zugängliche Variante. Der Fall der spanischen AEPD und die Mandiant-Untersuchung zeigen, warum — und dass die Frage, welches Modell konkret eingesetzt wurde, in der Praxis meist unbeantwortet bleibt.
Ausblick / Termine
- Heute, 17. September 2026: Verkündungstermin des Bundesgerichtshofs in I ZR 289/25 zur Videoüberwachung in einer privaten Wohnküche und zur Reichweite der Haushaltsausnahme. Offen ist, ob der I. Zivilsenat selbst entscheidet oder dem EuGH vorlegt — in der Verhandlung am 23. April hatte der Vorsitzende eine Vorlage „ernsthaft in Betracht“ gestellt.
- Oktober 2026: Nächstes reguläres Quartals-Patchset von Oracle.
- 1. November 2026: Der zwischen Microsoft und der American Federation of Teachers vereinbarte „National AI Safety & Privacy Standard“ wird für US-Schuldistrikte mit Microsoft-Verträgen verbindlich.
- 2. und 3. November 2026: KI-Woche des Landesbeauftragten für den Datenschutz Baden-Württemberg.
- 17. Dezember 2026: Verkündungstermin des Bundesgerichtshofs in I ZR 281/25 zum Erstellen eines Datensatzes für KI-Training (Verhandlung war am 3. September 2026).
- Laufend: Bundestagsverfahren zur BDSG-Reform (Drucksache 21/7732); die Bundesregierung hat einen eigenen Entwurf angekündigt, in den die Vorschläge des Bundesrates einfließen sollen.
- September 2027: Homebrew stellt die Unterstützung für Intel-Macs ein; seit 7.0.0 gibt es dort keine neuen vorgebauten Bottles mehr.
Methodik
Stichtag dieser Ausgabe ist der 17. September 2026. Berücksichtigt sind Meldungen der letzten 24 bis 72 Stunden; bei Gerichtsentscheidungen gilt ein weiteres Fenster, gemessen an der Veröffentlichung der schriftlichen Entscheidung, nicht am Verkündungsdatum. Grundlage sind Primärquellen — Hersteller-Advisories, Behördenmitteilungen, Gerichtsentscheidungen — und etablierte Fachmedien; jeder Link im Quellenverzeichnis führt auf den konkreten Beitrag, nicht auf eine Übersichtsseite. Meldungen, für die sich kein belastbarer Beleg finden ließ oder die sich bei der Prüfung als älter herausstellten, wurden gestrichen: Das betrifft heute eine kursierende Meldung über ein Datenleck bei deutschen Online-Marktplätzen, die sich auf einen Vorgang aus den Jahren 2021 und 2022 bezieht, sowie eine CERT-Bund-Warnung zu OpenSSL, deren zugrunde liegendes Advisory vom 9. Juni 2026 stammt. Die Volltexte der beiden heute besprochenen Urteile waren trotz Abrufversuch über die jeweiligen Landesrechtsprechungsdatenbanken nicht verfügbar; die Darstellung stützt sich insoweit auf Fachbesprechungen, was in den Aufbereitungen vermerkt ist. Dieses Briefing ersetzt keine Rechts- oder Sicherheitsberatung im Einzelfall.
Quellenverzeichnis
- heise online — Warnung vor Cyberattacken auf Google Pixel, Cisco ISE und Acronis Backup
- BleepingComputer — Cisco warns of max severity ISE zero-day exploited in attacks
- heise online — Spaniens Datenschutzaufsicht: Erster Cyberangriff mithilfe eines KI-Agenten
- BleepingComputer — Spain’s data agency gets first report of AI-powered data breach
- The Hacker News — Attacker Hijacks AI Coding Assistant Session, Spreads Shai-Hulud Across About 100 Repositories
- heise online — Oracle patcht mehr als 650 Sicherheitslücken
- heise online — IBM MQ: In mehreren Fällen kann Schadcode auf Systeme gelangen
- The Hacker News — Attackers Exploit Issabel Framework Flaw Enabling Unauthenticated OS Command Execution
- heise online — Portasplit-Sicherheitslücke: Midea verteilt Updates an Klimageräte
- BleepingComputer — Homebrew 7.0.0 gets built-in GUI, better security controls
- Help Net Security — Homebrew 7.0.0 is out, here’s what changed for security
- BleepingComputer — CISA warns of hackers exploiting critical ScreenConnect flaw
- Verbraucherzentrale — Phishing-Radar: Aktuelle Warnungen
- LTO — AG Karlsruhe: Anwaltskammer-Werbung nur mit Einwilligung
- beck-aktuell — AG Karlsruhe: RAK-Schulungseinladungen sind unzulässige Werbung
- Cyber Security Academy — Urteilsaufbereitung AG Karlsruhe 1 C 1332/24
- Kanzlei Dr. Bahr — Automatisches Bonitätsscoring einer Wirtschaftsauskunftei verstößt nicht gegen Datenschutzrecht
- Cyber Security Academy — Urteilsaufbereitung OLG Brandenburg 10 U 43/26
- Moncloa — La AEPD confirma la sanción por protección de datos al Ayuntamiento de Santander
- Autoriteit Persoonsgegevens — AP maakt AVG-sancties voortaan verplicht openbaar
- borncity — Schulen-KI ab November: Microsoft verbietet Datenmissbrauch für Training
- datenschutzticker.de — Gesetzentwurf zur BDSG-Reform: Datenschutzkonferenz soll gesetzlich verankert werden
- heise online — Gefahr für die nationale Sicherheit: Berliner Datenleck schlägt hohe Wellen
- Berliner Beauftragte für Datenschutz und Informationsfreiheit — Cyberangriff auf das Landesnetz Berlin
- Bundesgerichtshof — Verhandlungstermin in Sachen I ZR 289/25 (Videoüberwachung in der Wohnküche)
- Bundesgerichtshof — Verkündungstermin in Sachen I ZR 281/25 (Erstellen eines Datensatzes für KI-Training)
- llm-stats.com — AI Model Releases, September 2026
