AI Act, Phishing-Versuch und vieles mehr...
KÜNSTLICHE INTELLIGENZ
AI Act: Ab August neue Regeln für den Umgang mit KI
Seit dem 2. August 2026 greifen weitere Vorgaben des EU AI Act. Damit gelten auch neue Transparenzpflichten. Wer einen Chatbot einsetzt, muss erkennbar machen, dass Kunden mit einer KI sprechen. Deepfakes müssen gekennzeichnet werden und KI-generierte Inhalte sollen maschinenlesbare Markierungen tragen.
Für Unternehmen heißt das vor allem, den eigenen KI-Einsatz genauer anzuschauen: Wo wird im eigenen Haus schon KI eingesetzt und wissen alle Beteiligten davon? Welche Daten werden dabei verarbeitet? Und welche Transparenzpflichten gelten für die jeweiligen Anwendungen?
KI ist längst Teil des Arbeitsalltags. Bleibt die Frage, wo sie im eigenen Unternehmen sinnvoll genutzt werden kann und wie der Umgang damit sicher bleibt.
DATENSCHUTZ
Der Fall Deutsche Wohnen: Fehlende Löschung bleibt ein DSGVO-Risiko
Daten speichert jedes Unternehmen. Aber können Sie sie auch zuverlässig löschen? Der Fall der Deutschen Wohnen zeigt, warum diese Frage entscheidend ist.
Das Landgericht Berlin I hat im Verfahren gegen die Deutsche Wohnen entschieden und das ursprüngliche Bußgeld von rund 14,5 Millionen Euro auf 900.000 Euro reduziert. Der Anlass des Verfahrens bleibt relevant: Personenbezogene Daten ehemaliger Mieter konnten aufgrund eines strukturellen Problems im Archivsystem nicht fristgerecht gelöscht werden. Darunter waren auch sensible Unterlagen wie Gehaltsbescheinigungen, Kontoauszüge und Ausweisdokumente.
Die Botschaft des Urteils ist klar: Ein Löschkonzept auf dem Papier reicht nicht. Unternehmen müssen technisch und organisatorisch sicherstellen, dass Daten tatsächlich gelöscht oder anonymisiert werden, sobald der Zweck entfällt oder die Aufbewahrungsfrist abgelaufen ist. Das Urteil ist nach derzeitigem Stand noch nicht rechtskräftig.
INFORMATIONSSICHERHEIT
Neue Anforderungen für den Maschinenbau: Was jetzt auf Hersteller zukommt
Ein Maschinenbauer baut Maschinen. Inzwischen steckt darin aber auch viel Software. Genau daran setzen der Cyber Resilience Act und die neue Maschinenverordnung an. Sicherheit ist damit nicht mehr nur eine Frage von Schutzeinrichtungen und CE-Kennzeichnung, sondern auch von Updates, Schwachstellen und Meldewegen.
Im folgenden Artikel wird zusammengefasst, was gefordert wird und wann es gilt.
INFORMATIONSSICHERHEIT
Fall aus der Praxis: Phishing mit echtem Namen und echtem E-Mail-Verlauf
Unser Partnerunternehmen INES AG macht immer wieder auf Phishing aufmerksam. Und ja, auch bei unserem Partnerunternehmen landen solche Mails im Postfach. Diese Woche zum Beispiel. Eine Mitarbeiterin aus der Buchhaltung erhielt vor ein paar Tagen eine weitergeleitete E-Mail. Diese war scheinbar von einer Kollegin aus dem Unternehmen, mit der Bitte, eine überfällige Rechnung zu überweisen. Darunter hing ein vollständiger Schriftverkehr mit einer externen Person. Es sah aus, als hätte die Kollegin die Kommunikation einfach durchgeschickt.
Genau dieser Eindruck war der Trick. Der Verlauf war erfunden und der Text professionell formuliert. Stutzig wurde unsere Kollegin an dieser Stelle: Die Absenderadresse passte bei genauerem Hinsehen nicht. Statt die Rechnung zu bearbeiten und zu klicken, fragte sie kurz bei der Kollegin nach. Die kannte die Person aus dem angeblichen Verlauf gar nicht.
Der Fall zeigt, wie Phishing heute funktioniert. Angreifer greifen echte Namen, bestehende Kommunikation und vertraute Abläufe auf, damit ihre Nachrichten selbstverständlich wirken.
Nicht nur bei Zahlungsaufforderungen und Rechnungen lohnt sich deshalb ein zweiter Blick. Passt die Absenderadresse? Kenne ich die Person? Habe ich diesen Vorgang erwartet? Also lieber eine Rückfrage mehr als einen Klick zu viel.
KÜNSTLICHE INTELLIGENZ
EDSA veröffentlicht Leitlinien zu Anonymisierung und Web-Scraping für KI
Der Europäische Datenschutzausschuss (EDSA) hat zwei neue Leitlinien zur öffentlichen Konsultation veröffentlicht: zur Anonymisierung sowie zu Web-Scraping im Kontext generativer KI. Beide sollen Unternehmen und Behörden Orientierung beim datenschutzkonformen Einsatz von Daten für KI- und Analyseprojekte geben.
Die Quintessenz: Anonymisierung ist kein rein technischer Automatismus. Entscheidend ist, ob eine Person mit vernünftigerweise einsetzbaren Mitteln noch identifiziert werden kann. Verantwortliche müssen dies nachvollziehbar prüfen.
Auch beim Web-Scraping gilt: Öffentlich zugängliche Daten sind nicht automatisch frei nutzbar. Werden sie für generative KI verarbeitet, müssen weiterhin die Vorgaben der DSGVO berücksichtigt werden.
Beide Leitlinien stehen noch bis 30. Oktober 2026 zur öffentlichen Konsultation. Stellungnahmen können bis dahin eingereicht werden.
INFORMATIONSSICHERHEIT
Cyberangriffe im August
Unter dem Namen „wp2shell" läuft derzeit eine Angriffswelle gegen WordPress-Webseiten. Ausgenutzt wird eine Schwachstelle in WordPress selbst, über die Angreifer eine Website ohne Anmeldung übernehmen und eigenen Code ausführen können. Inzwischen ist WordPress 7.1 verfügbar. Wer eine ältere Version einsetzt, sollte zügig aktualisieren.
Anfang August stellte die Stiftung Brandenburgische Gedenkstätten einen Ransomware-Angriff fest: Angreifer waren in die internen Systeme eingedrungen und hatten Teile davon verschlüsselt. Die Stiftung kappte daraufhin alle Internet- und Netzwerkverbindungen. Die gesamte IT lag still, betroffen waren alle sieben Standorte und die Geschäftsstelle in Oranienburg. Nach aktuellem Stand geht die Stiftung davon aus, dass die Angreifer Daten heruntergeladen haben.
Nach Angriffen auf die IT-Dienstleister Seekda und ibelsa erhielten Hotelgäste täuschend echte Nachrichten per WhatsApp, SMS oder E-Mail. Darin sollen sie u.a. eine längst bezahlte Buchung „bestätigen" und erneut Kreditkartendaten samt Prüfziffer eingeben, sonst drohe die Stornierung. Glaubwürdig wirkte das, weil die Täter echte Hotelnamen, An- und Abreisedaten kannten. Bei der österreichischen Datenschutzbehörde gingen bereits mehrere Meldungen betroffener Hotels ein. Angegriffen wurden nicht die Hotels selbst, sondern die Software, mit der sie ihre Buchungen oder Vertriebskanäle verwalten.
Auch die Berlin Brandenburgische Wohnungsbaugenossenschaft hat im August ungewöhnliche Aktivitäten in ihren IT-Systemen festgestellt. Unbefugten war es gelungen, vorübergehend auf Teile der Systeme zuzugreifen. Und auch zwei Berliner Senatsverwaltungen wurden vom Landesnetz getrennt, um weiteren Schaden abzuwenden. Seitdem sind die Behörden kaum arbeitsfähig. Weil das Fachverfahren für Wohngeld und Wohnberechtigungsscheine lahmgelegt war, konnten die Bezirksämter keine Anträge bearbeiten.
Die Verbandsgemeinde Rhein-Nahe in Rheinland-Pfalz wurde auch Opfer eines gezielten Cyberangriffs. Die Angreifer verschafften sich von außen Zugriff auf die IT-Systeme und sperrten die Verwaltung weitgehend aus. Bürgerdienste, E-Mail-Kommunikation und Teile der Finanzverwaltung waren dadurch eingeschränkt. Die Täter hinterließen eine Lösegeldforderung. Der Angriff erfolgte offenbar nicht über Phishing oder einen Nutzerfehler, sondern durch einen direkten Angriff auf die IT-Infrastruktur.
|
WIR UNTERSTÜTZEN SIE GERNE Die digitale Bedrohungslage verschärft sich kontinuierlich, wie die jüngsten Angriffe in diesem Monat erneut eindrücklich zeigen. Angreifer organisieren sich immer professioneller und nutzen Sicherheitslücken immer schneller aus. Expert:innen sind sich einig: Es ist keine Frage, ob der Cyberangriff kommt, sondern eigentlich nur, wann! |