Microsoft Patchday 2026, Cyberangriffe im Juli und vieles mehr...

INFORMATIONSSICHERHEIT

Microsoft-Patchday im Juli: 622 Lücken auf einen Schlag

Microsoft hat im Juli an einem einzigen Tag 622 Sicherheitslücken geschlossen – so viele wie nie zuvor. Die Lücken stecken in weit verbreiteter Software wie Windows-Client- und-Serverbetriebssystemen sowie Microsoft SharePoint. Aber was bedeutet so eine Sicherheitslücke eigentlich? Vereinfacht gesagt: eine offene Stelle in einem Programm, durch die jemand von außen eindringen könnte, der dort nichts zu suchen hat. Ein Update schließt dieses Einfallstor wieder. Solange es nicht eingespielt ist, bleibt die Tür offen und sobald ein solches Update veröffentlicht wird, ist auch öffentlich bekannt, wo diese Tür war.

Die gute Nachricht: Wer seine Systeme regelmäßig aktuell hält, ist die meisten dieser Lücken schnell wieder los.

 

DATENSCHUTZ

Kommunaler Datenschutz: Arbeitspapier zur Datenträgervernichtung

Der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) hat ein neues Arbeitspapier zur datenschutzkonformen Vernichtung und Entsorgung von Datenträgern veröffentlicht. Im Fokus stehen die konforme Sammlung, Lagerung, der Transport sowie die eigentliche Vernichtung von Papierunterlagen, Festplatten, USB-Sticks oder mobilen Endgeräten unter angemessenen Sicherheitsmaßnahmen.

Als Orientierung empfiehlt der BayLfD die internationale Norm ISO/IEC 21964. Sie definiert unter anderem die Schutzklassen und Sicherheitsstufen für Akten- und Datenträgervernichter. Für besonders schutzbedürftige Informationen – etwa Gesundheits-, Personal- oder Sozialdaten – wird in der Regel Schutzklasse 3 in Verbindung mit mindestens Sicherheitsstufe 4 empfohlen.

Das Arbeitspapier stellt außerdem klar, dass die Beauftragung eines externen Entsorgungsdienstleisters regelmäßig als Auftragsverarbeitung einzustufen ist. Entsprechend sind die erforderlichen vertraglichen Regelungen zu treffen.

Für die Praxis gilt: Neben einem Löschkonzept empfiehlt sich auch die Erstellung eines Vernichtungs- und Entsorgungskonzepts. Entscheidend ist dabei weniger der Umfang des Dokuments als vielmehr, dass Abläufe klar definiert, Verantwortlichkeiten eindeutig zugewiesen und die Prozesse nachvollziehbar dokumentiert sind.

 

KÜNSTLICHE INTELLIGENZ

OpenAI-KI verlässt Testumgebung und greift Online-Dienste an

Bei einem internen Sicherheitstest gelang es mehreren OpenAI-Modellen, aus einer abgeschotteten Testumgebung ins offene Internet zu gelangen.

Die KI-Systeme sollten Cybersicherheitsaufgaben lösen. Dabei entdeckten sie eine unbekannte Sicherheitslücke, verschafften sich Internetzugriff und griffen mehrere öffentlich erreichbare Online-Dienste an - darunter auch die Plattform Hugging Face. Dort suchten sie offenbar nach Lösungen für die gestellten Testaufgaben.

Die Modelle entwickelten dabei keinen eigenen Fluchtplan. Sie verfolgten lediglich ihr vorgegebenes Ziel auf unerwartete Weise. Der Vorfall zeigt jedoch, wie wichtig sichere Testumgebungen und eine konsequente Überwachung autonomer KI-Agenten sind.

 

DATENSCHUTZ

Österreichische Datenschutzbehörde: Schwerpunktprüfung 2026

Die österreichische Datenschutzbehörde (DSB) hat den zweiten Schwerpunkt ihrer Datenschutzprüfungen 2026 bekanntgegeben: Im Fokus stehen die Transparenz- und Informationspflichten nach der DSGVO. Das Thema wird europaweit im Rahmen einer koordinierten Prüfaktion des Europäischen Datenschutzausschusses (EDSA) untersucht.

Für Unternehmen und Organisationen bedeutet das: Datenschutzerklärungen, Informationsblätter für Mitarbeitende, Bewerbende oder Kunden sowie die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO werden verstärkt überprüft. Dabei dürfte es nicht nur darum gehen, ob entsprechende Informationen vorhanden sind, sondern auch, ob diese verständlich, aktuell, vollständig und leicht auffindbar sind.

Aus unserer Sicht verdienen insbesondere datenschutzkonforme Webauftritte besondere Aufmerksamkeit. Diese sind jederzeit einsehbar und überprüfbar und könnten Auslöser dafür sein, die internen Prozesse genauer in Augenschein zu nehmen. Gerne unterstützen wir Sie bei der Prüfung Ihrer Webauftritte.

 

KÜNSTLICHE INTELLIGENZ

KI-Omnibus beschlossen: Was sich bei der KI-Verordnung ändert

Das sogenannte „Omnibus-Gesetz“ ist ein Gesetzgebungsvorhaben, mit dem mehrere Regelungen gleichzeitig angepasst werden, anstatt mehrere einzelne Gesetzesänderungen getrennt zu behandeln. Diesen Ansatz verfolgt die EU beim KI-Omnibus, der verschiedene Änderungen an der europäischen KI-Verordnung (AI Act) vorsieht.

Die gute Nachricht: Unternehmen erhalten mehr Zeit für die Umsetzung bestimmter Anforderungen. Die wichtige Einschränkung lautet allerdings: Der AI Act wird nicht insgesamt verschoben. Bereits geltende Pflichten, etwa zur KI-Kompetenz von Beschäftigten oder zu verbotenen KI-Praktiken, bleiben bestehen. Lediglich einzelne Anforderungen, – insbesondere für Hochrisiko-KI-Systeme, werden zeitlich nach hinten verlagert.

Besonders relevant sind die neuen Fristen für Hochrisiko-KI. KI-Systeme zur Bewerberauswahl, Personalsteuerung oder Leistungsbewertung sollen künftig erst ab dem 2. Dezember 2027 den entsprechenden Vorschriften unterliegen. Für KI-Systeme, die Bestandteil regulierter Produkte sind, gilt künftig der 2. August 2028.

Neu aufgenommen werden darüber hinaus zusätzliche Verbote für besonders problematische KI-Anwendungen. Verboten werden unter anderem KI-Systeme die Nacktbilder realer Personen ohne deren Einwilligung erzeugen, sowie KI-generierte Darstellungen von sexuellem Kindesmissbrauch.

Der KI-Omnibus enthält zudem einige inhaltliche Änderungen. Arbeitgeber müssen weiterhin Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten zu fördern. Allerdings wird klargestellt, dass kein bestimmtes individuelles Kompetenzniveau nachgewiesen werden muss.

Wir empfehlen Organisationen grundsätzlich sich mit dem Thema Mitarbeiterschulung zu beschäftigen, vor allem deshalb, um Mitarbeitende bei täglichen Arbeitsabläufen mit KI-Unterstützung zu entlasten. Wird der Regelrahmen vorab in einer Richtlinie definiert, beruht der Mehrwert auf einer rechtlich soliden Basis.

 

DATENSCHUTZ

Tätigkeitsbericht 2025 des KDSZ: Praxiswissen für Datenschutzverantwortliche

Das Katholische Datenschutzzentrum Bayern (KDSZ) hat seinen Tätigkeitsbericht 2025 veröffentlicht. Im Mittelpunkt stehen die fortschreitende Digitalisierung sowie das Zusammenspiel von Datenschutz, Informationssicherheit und Künstlicher Intelligenz.

Für die Praxis besonders relevant ist die umfassende Reform des Kirchlichen Datenschutzgesetzes (KDG) und der KDG-Durchführungsverordnung (KDG-DVO). Die Umsetzung dieser Gesetzesänderungen wird vom KDSZ zugleich als Aufsichtsschwerpunkt für 2026/27 angekündigt.

Darüber hinaus bieten Tätigkeitsberichte einen wertvollen Einblick in die Beratungspraxis der Aufsichtsbehörden. Im Bericht werden zahlreiche reale Fragestellungen aufgegriffen - von Datenschutzverletzungen und Krypto-Trojanern bis hin zur Videoüberwachung auf Friedhöfen. Gerade diese Praxisbeispiele helfen dabei, datenschutzrechtliche Anforderungen besser einzuordnen und auf den eigenen Arbeitsalltag zu übertragen.

Für Datenschutzverantwortliche ist der Tätigkeitsbericht damit eine hilfreiche Informationsquelle und eine empfehlenswerte Lektüre. Er steht auf dem Webauftritt des KDSZ zum Download bereit.

 

INFORMATIONSSICHERHEIT

10 Jahre TISAX: VDA ISA2027 veröffentlicht

TISAX feiert sein zehnjähriges Bestehen. Seit 2016 wurden mehr als 21.000 Standorte geprüft und über 100.000 Verbesserungsmaßnahmen umgesetzt. Damit hat TISAX wesentlich dazu beigetragen, Informationssicherheit und Resilienz in der Automobilindustrie und ihren Lieferketten zu stärken.

Mit VDA ISA2027 wurde nun die nächste Generation des ISA-Katalogs veröffentlicht. Die offizielle englische Fassung ist auf der Website des VDA sowie über die ENX-Website verfügbar.

Übersetzungen in weitere Sprachen sollen in den kommenden Monaten schrittweise veröffentlicht werden. Bei Abweichungen ist die englische Originalfassung maßgeblich.

 

Mit ISA2027 wird ein neues Versionsschema eingeführt. Die Bezeichnung orientiert sich künftig am Jahr, in dem die jeweilige ISA-Version für neu beauftragte TISAX-Assessments verbindlich wird. ISA2027 gilt für Assessments, die ab dem 1. Januar 2027 beauftragt werden.

Künftige Versionen sollen jeweils im Sommer veröffentlicht und zum 1. Januar des Folgejahres wirksam werden. Dieses Modell schafft mehr Transparenz und erleichtert die Planung.

Die jährliche Veröffentlichung hat keinen Einfluss auf die Gültigkeit bestehender oder künftiger TISAX-Labels. Diese behalten weiterhin ihre Gültigkeit von bis zu drei Jahren. Häufigere Re-Assessments sind daher nicht erforderlich. Vielmehr ermöglicht der neue Zyklus eine schrittweise und besser planbare Weiterentwicklung des ISA-Katalogs.

 

ISA2027 aktualisiert die Referenzzuordnungen zu internationalen Standards. Dazu gehören insbesondere das NIST Cybersecurity Framework 2.0, ISO/IEC 27001:2022 sowie ISA/IEC 62443. Verweise auf ISO/IEC 27001:2013 wurden entfernt.

Darüber hinaus wurde der Katalog sprachlich, strukturell und inhaltlich überarbeitet. Ziel ist eine einheitlichere und nachvollziehbarere Anwendung im Assessment. So ist künftig für alle als zu berücksichtigend genannten Aspekte eine bewusste, begründbare Entscheidung erforderlich. Auch Begriffe wie „Project“, „Event“ und „Incident“ wurden präzisiert.

Zudem wird ausdrücklich klargestellt, dass Führungskräfte und organisatorische Entscheidungsträger in Awareness- und Schulungsmaßnahmen einzubeziehen sind.

Ein zentraler Schwerpunkt liegt auf der Informationssicherheit in Lieferketten. Unternehmen mit hohem Schutzbedarf müssen künftig stärker dokumentieren, überprüfen und überwachen, ob ihre Lieferanten die geforderten Sicherheitsanforderungen erfüllen. Veränderungen bei Lieferanten und innerhalb der Lieferkette sind dabei zu berücksichtigen.

Bei sehr hohem Schutzbedarf steigen die Anforderungen an geeignete Nachweise. Diese können beispielsweise durch ein TISAX-Label, ein gleichwertiges Drittparteien-Assessment oder ein angemessenes Lieferantenaudit erbracht werden.

 

Auch das Modul Prototype Protection (PTS) wurde grundlegend überarbeitet. Die bisherigen fünf Kontrollbereiche wurden in zwei übergreifende Bereiche zusammengeführt:

• Organisatorische Anforderungen
• Physische und umgebungsbezogene Sicherheit

Neue Anforderungen betreffen unter anderem die nachvollziehbare Verfolgung von Fahrzeugen, Komponenten und Teilen über ihren gesamten Lebenszyklus. Auch die Rückgabe, Entsorgung oder Wiederverwertung schutzbedürftiger Prototypen und relevanter Werkzeuge gemäß Kundenvorgaben wird stärker adressiert.

ISA2027 entwickelt den TISAX-Standard damit gezielt weiter und setzt insbesondere bei Lieferkettenrisiken, klareren Anforderungen und dem Schutz von Prototypen neue Schwerpunkte.

 

DATENSCHUTZ

Tracking-Pixel in E-Mails: Neue Leitlinien aus Frankreich und Italien

Die französische Datenschutzaufsicht CNIL und die italienische Garante haben ihre Erwartungen an den Einsatz von Tracking-Pixeln in E-Mails konkretisiert. Zwar handelt es sich nicht um neue Gesetze, die Leitlinien verdeutlichen jedoch die Anforderungen an Transparenz, Einwilligung und Datenminimierung.

Die CNIL fordert grundsätzlich getrennte, aktive Einwilligungen für unterschiedliche Tracking-Zwecke – etwa Kampagnenoptimierung, Profilbildung oder Personalisierung. Eine pauschale Einwilligung in „Newsletter inklusive Tracking“ soll nicht ausreichen. Für eine einwilligungsfreie Messung der Zustellbarkeit dürfen zudem nur sehr begrenzte Daten verarbeitet werden.

Die Garante verlangt insbesondere granulare Widerrufsmöglichkeiten. Empfänger sollen wählen können, ob sie den Newsletter mit Tracking, ohne Tracking oder gar nicht mehr erhalten möchten. Unternehmen sollten ihre Newsletter-Prozesse überprüfen – besonders bei Empfängern in Frankreich oder Italien. Relevant sind vor allem getrennte Einwilligungen für Tracking-Zwecke, ein unkomplizierter Tracking-Widerruf, Datenminimierung bei Öffnungsdaten sowie eine nachträgliche Informations- und Ablehnungsmöglichkeit für bestehende Empfänger.

INFORMATIONSSICHERHEIT

Cyberangriffe im Juli

Lidl hat diesen Monat seine Online-Shop-Kunden über einen IT-Sicherheitsvorfall bei einem externen Dienstleister informiert. Unbekannte konnten eine Datei mit Kundendaten entwenden. Betroffen sind die Stammdaten aber nach aktuellem Stand keine Passwörter, Bankdaten sowie Zahlungsinformationen. Dennoch warnt Lidl vorsorglich vor möglichen Phishing-Angriffen und empfiehlt, bei unerwarteten Nachrichten besondere Vorsicht walten zu lassen.

 

Bei der Nextcloud GmbH – der populären Kollaborationslösung - war aufgrund einer Fehlkonfiguration eine Datenbank mit über 360.000 Datensätzen zeitweise frei im Internet zugänglich. Betroffen waren unter anderem Daten von Kunden, Partnern und Mitarbeitern. Das Unternehmen schloss die Sicherheitslücke nach Bekanntwerden sofort. Die Software selbst war nicht betroffen.

 

Die ZEGO Textilveredelungszentrum GmbH hat Insolvenz angemeldet. Als wesentlichen Auslöser nennt das Unternehmen einen Cyberangriff vom 29. März 2026. Dieser führte zu einem Produktionsausfall von nahezu sechs Wochen und verursachte erhebliche wirtschaftliche Belastungen. Trotz großer Anstrengungen konnten die Folgen nicht vollständig aufgefangen werden. Der Fall zeigt eindrücklich, wie weitreichend die Folgen eines Cyberangriffs sein können und dass sie weit über den eigentlichen IT-Ausfall hinausreichen.

Ein Fall aus dem Ausland zeigt, welche Folgen Cyberangriffe auf kritische staatliche Systeme haben können: Nach einem Angriff auf die rumänische Kataster- und Grundbuchbehörde waren zentrale IT-Systeme tagelang nicht verfügbar. Immobilienkäufe und -verkäufe konnten nicht mehr abgewickelt, Eigentumsnachweise und Grundbuchauszüge nicht ausgestellt werden. Nach Angaben verschiedener Medien soll der Angriff im Zusammenhang mit einer gescheiterten Erpressung stehen.

 

Anfang Juli dokumentierte das Threat-Research-Team von Sysdig einen Angriff, der als Meilenstein in der Cybersecurity gilt: Erstmals wurde ein Ransomware-Angriff nachweislich von einem KI-Agenten durchgeführt. Statt eines klassischen Toolkits kam ein autonom handelnder KI-Agent zum Einsatz, der den Angriff eigenständig plante, ausführte und auf Hindernisse reagierte. Damit ist belegt, dass ein KI-Agent einen Cyberangriff eigenständig von der ersten Kompromittierung bis zur Erpressung durchführen kann.

 

WIR UNTERSTÜTZEN SIE GERNE   Die digitale Bedrohungslage verschärft sich kontinuierlich, wie die jüngsten Angriffe in diesem Monat erneut eindrücklich zeigen. Angreifer organisieren sich immer professioneller und nutzen Sicherheitslücken immer schneller aus. Expert:innen sind sich einig: Es ist keine Frage, ob der Cyberangriff kommt, sondern eigentlich nur, wann!