Datenschutz-Briefing

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Freitag, der sechste November zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie: vier ausführlich, zwei kurz.

Wir beginnen mit einer Frist, die heute abläuft. Die US-Behörde CISA hat am dritten November die Lücke CVE zweitausendsechsundzwanzig, einhundertneunzehntausendneunhundertsiebenundsiebzig in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Sie steckt im WordPress-Kern selbst. Laut dem Eintrag in der National Vulnerability Database sind die Versionen von vier Punkt sieben bis sieben Punkt eins Punkt drei betroffen, soweit sie die Sicherheitskorrektur noch nicht enthalten. Der Fehler liegt im Update-Vorgang: Bei einem vollständigen Core-Update nutzt WordPress Zwischenverzeichnisse, die vorhersagbar benannt und über das Web erreichbar sind. Ein Angreifer ohne Anmeldung kann dadurch im Zeitfenster eines Updates Code auf dem Server ausführen. Wordfence bewertet das nach CVSS drei Punkt eins mit acht Komma eins. WordPress hat die Korrektur am achtundzwanzigsten Oktober mit Version sieben Punkt eins Punkt vier geliefert und sie auf ältere Zweige bis zurück zu vier Punkt sieben übertragen, zum Beispiel als sieben Punkt null Punkt acht und sechs Punkt neun Punkt elf. Die US-Behördenfrist läuft heute ab, das ist die Frist für US-Bundesbehörden. Seiten mit automatischen Hintergrund-Updates bekommen die Korrektur von selbst. Prüfen Sie trotzdem im Dashboard, welche Version läuft, und fragen Sie bei verwaltetem Hosting nach, ob das Update tatsächlich angekommen ist. Unsere Einordnung dazu steht als Artikel auf expertomundi Punkt de.

Zweites Thema: Formular-Plugins, und zwar gleich zwei. Gravity Forms ist bis einschließlich Version drei Punkt eins Punkt zwei für eine PHP-Objekt-Injektion anfällig, CVE zweitausendsechsundzwanzig, einhundertdreitausendneununddreißig, CVSS neun Komma acht. Die Eingabe eines Listenfelds wird beim Anlegen eines Beitrags ungeprüft entpackt, und das kann ein Angreifer ohne Anmeldung auslösen. Im Plugin selbst fehlt laut Eintrag eine passende Angriffskette, aber eine Kette in einem anderen Plugin oder Theme kann daraus Codeausführung machen. Auch WordPress selbst liefert unter Umständen eine: wenn das Feld auf die Seitenvorlage abgebildet ist und der Server bestimmte PHP-Einstellungen hat. Ob es dazu bei Ihnen kommt, hängt also von Ihrer Konfiguration ab. Bei Formidable Forms bis einschließlich Version sechs Punkt fünfunddreißig, CVE zweitausendsechsundzwanzig, neunundachtzigtausendvierhundertfünfunddreißig, können schon Abonnenten über einen Parameter beliebige Plugins installieren, sofern die Pro-Version nicht installiert ist. CVSS acht Komma acht. Beide Einträge sind seit dem dreißigsten Oktober veröffentlicht. Erst die Versionen prüfen, dann nachsehen, ob der Hersteller eine neuere Version anbietet. Und wer auf der eigenen Seite Registrierungen offen hat, ohne sie zu brauchen, schließt sie.

Drittens: das Verfahren zum Kündigungsbutton. Der Bundesgerichtshof hatte für gestern, den fünften November, zehn Uhr, die Verhandlung in zwei Revisionen angesetzt. Eins Zett Err zweihundertzweiundsiebzig Strich fünfundzwanzig betrifft eine Klage der Verbraucherzentrale Bundesverband gegen eine Anbieterin von Internetdiensten wie Webhosting, eins Zett Err zweihundertfünfundsiebzig Strich fünfundzwanzig eine Klage der Wettbewerbszentrale gegen eine Streamingdienst-Anbieterin. Die Frage: Verstößt es gegen Paragraf dreihundertzwölf k BGB, wenn man für eine Online-Kündigung Login-Daten eingeben muss? Das Kammergericht hat beiden Klagen stattgegeben. Eine Entscheidung oder einen Verkündungstermin hat der Bundesgerichtshof auf seinen Seiten bis heute früh nicht veröffentlicht. Das Ergebnis bleibt also abzuwarten. Wer Verbrauchern Verträge online anbietet, probiert den Kündigungsweg einmal selbst durch, ohne Anmeldung, und schaut, ob er direkt bei einer Bestätigung landet. Hintergründe stehen im Artikel zur Verhandlung auf unserer Seite.

Viertens ein Marketing-Werkzeug: Mautic. Die Lücke CVE zweitausendsechsundzwanzig, einhundertfünfzehntausendeinhundertachtundachtzig betrifft Mautic ab sieben Punkt null Punkt null bis unter sieben Punkt zwei Punkt zwei. Der Import von Kampagnen kopiert mitgelieferte Dateien ohne Prüfung von Name und Typ in ein öffentlich erreichbares Verzeichnis. Wer das Recht zum Import hat, kann dadurch Skripte auf dem Server ablegen, Administratorrechte braucht es dafür nicht. Auf Servern, die solche Dateien ausführen, etwa beim Standard-Apache des offiziellen Docker-Images, entsteht Codeausführung. CVSS neun Komma neun, veröffentlicht am sechsundzwanzigsten Oktober. Aktualisieren Sie auf sieben Punkt zwei Punkt zwei und vergeben Sie das Importrecht nur an Personen, die es wirklich brauchen.

Kommen wir zu den kürzeren Meldungen.

Der Dateiübertragungs-Server WS_FTP von Progress: In Versionen vor zweitausendvierundzwanzig Punkt null Punkt sechs und vor zweitausendfünfundzwanzig Punkt null Punkt drei unter Windows kann ein Angreifer ohne Anmeldung vertrauliche Informationen abrufen, darunter Administrator-Zugangsdaten. CVE zweitausendsechsundzwanzig, vierundachtzigtausendzweihundertfünfundneunzig, CVSS zehn Komma null, eingetragen am neunundzwanzigsten Oktober. Wer den Dienst betreibt, aktualisiert und macht die Verwaltung nicht aus dem Internet erreichbar.

Und Apple: Am vierten November kam CVE zweitausendvierundzwanzig, siebenundzwanzigtausendachthundertvierunddreißig in den CISA-Katalog, eine Schwachstelle, mit der Angreifer, die bereits Lese- und Schreibzugriff auf den Speicher haben, die Zeiger-Authentifizierung umgehen können, einen Speicherschutz in mehreren Apple-Betriebssystemen und in Safari. Apple hat das bereits im Mai zweitausendvierundzwanzig behoben. US-Behördenfrist ist der achtzehnte November. Spielen Sie die aktuellen Updates auf Firmen-Macs, iPhones und iPads ein.

Eine Frist noch zum Schluss: Stellungnahmen zum Entwurf der EDSA-Leitlinien zu Bußgeldern sind bis zum dreizehnten November möglich.

Das war das Briefing für heute. Weitere Informationen finden Sie auf expertomundi Punkt de. Keine Rechtsberatung, kein zugelassener Datenschutzbeauftragter, keine Rechtsanwaltskanzlei, allgemeine Information. Wir wünschen Ihnen ein schönes Wochenende.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Freitag, der dreißigste Oktober zweitausendsechsundzwanzig, und wir haben sieben Themen für Sie: vier ausführlich, drei kurz.

Wir beginnen mit PHP2Shell, über das wir am dreiundzwanzigsten Oktober berichtet haben. Damals ging es um die beiden kritischen PHP-Lücken. Neu ist zunächst: Die US-Behörde CISA hat CVE zweitausendsechsundzwanzig, einhundertneuntausendsechshundertachtzehn und CVE zweitausendsechsundzwanzig, einhundertneuntausendsechshundertneunzehn am sechsundzwanzigsten Oktober in ihren Katalog aktiv ausgenutzter Lücken aufgenommen, bis zum neunundzwanzigsten Oktober mussten US-Bundesbehörden patchen, das ist die US-Behördenfrist. Gepatcht sind die PHP-Versionen acht Punkt fünf Punkt zwölf, acht Punkt vier Punkt siebenundzwanzig, acht Punkt drei Punkt sechsunddreißig und acht Punkt zwei Punkt fünfunddreißig. Wer nicht sofort updaten kann oder PHP acht Punkt eins oder älter nutzt, soll laut CISA PHP-basierte Systeme bis zum Patch vom Netz nehmen. Achten Sie auf PHP-Worker-Prozesse, die Shells starten oder Tools nachladen.

Die zweite Neuigkeit betrifft den Linux-Kernel. Am achtundzwanzigsten Oktober hat die CISA CVE zweitausendsechsundzwanzig, sechsundvierzigtausenddreihundert aufgenommen, US-Behördenfrist ist morgen, der einunddreißigste Oktober. Laut Katalogeintrag fehlt bei der Zusammenführung von Netzwerkpaketen die Initialisierung einer Variablen. Die Lücke lasse sich mit den beiden PHP-Lücken verketten, um PHP-Webshells einzupflanzen und Befehle als root auszuführen. Die NVD bewertet sie nach CVSS drei Punkt eins mit sieben Komma acht, Angriff lokal, veröffentlicht wurde sie am dreiundzwanzigsten Mai zweitausendsechsundzwanzig, der NVD-Eintrag verweist auf Korrekturen im Kernel. Außerdem berichtet die Sicherheitsfirma Dream laut heise von einer Kampagne, bei der fünfundzwanzig Firewall-Server in den USA, Japan, Taiwan und Südkorea übernommen wurden. Palo Alto Networks warnte laut heise am Mittwoch, dem achtundzwanzigsten Oktober, vor aktivem Missbrauch der PHP2Shell-Lücken in dem Firewall-Betriebssystem PAN-OS und stellte Hotfixes bereit. Prüfen Sie erst den PHP-Stand, dann den Kernel-Stand. Auf eigenen Servern gilt: Kernel-Update einspielen und neu starten, denn es wirkt erst nach Neustart oder Live-Patch. Bei Hosting fragen Sie den Hoster nach dem Kernel-Stand.

Weiter mit dem Brotli-Decoder, CVE zweitausendsechsundzwanzig, einhundertelftausendvierhundertsiebenundneunzig. Brotli ist die Kompressionsbibliothek hinter dem Webformat „Content-Encoding B R“. Im Decoder von Google gibt es einen Pufferüberlauf, betroffen sind auf allen Plattformen Versionen ab eins Punkt null Punkt drei, die älter sind als eins Punkt null Punkt zehn, eins Punkt eins Punkt eins beziehungsweise eins Punkt zwei Punkt eins. Ein Angreifer ohne Anmeldung kann mit einem präparierten Datenstrom Speicher beschädigen, Speicherinhalt auslesen, einen Absturz auslösen oder möglicherweise Code ausführen. Google bewertet mit neun Komma zwei nach CVSS vier Punkt null, die NVD mit neun Komma acht nach CVSS drei Punkt eins. Das Node.js-Projekt hat am einundzwanzigsten Oktober nachgezogen: Betroffen sind die Linien zweiundzwanzig, vierundzwanzig und sechsundzwanzig, die Korrekturen heißen zweiundzwanzig Punkt dreiundzwanzig Punkt vier, vierundzwanzig Punkt zweiundzwanzig Punkt eins und sechsundzwanzig Punkt zwölf Punkt eins. Ausgelöst wird die Lücke, wenn eine Anwendung Daten mit dem Node-Modul zlib dekomprimiert. Nicht mehr unterstützte Node.js-Versionen bekommen keine Korrektur. Auch Python-Pakete und Debian sind aktualisiert, für Dotnet gab Microsoft laut heise Updates außer der Reihe heraus. Proof-of-Concept-Exploits existieren, Imperva erreichte Codeausführung auf einem unveränderten Node.js-Build, allerdings erst nach mehreren Versuchen. Apache und nginx dekodieren in der Standardkonfiguration kein Brotli und sind weniger betroffen. Die CISA hat die Lücke am siebenundzwanzigsten Oktober aufgenommen, US-Behördenfrist ist der zehnte November. Wer Node.js-Anwendungen, Python-Dienste oder Container-Images betreibt, prüft die Versionen und baut neu. Im Zweifel fragen Sie Ihren Hoster.

Nun ein Verfahren aus Karlsruhe. Der Bundesgerichtshof hat am siebenundzwanzigsten Oktober im Verfahren sechs Zett Err vierundsechzig Strich vierundzwanzig dem Europäischen Gerichtshof sechs Fragen zur Haftung für Nutzerinhalte vorgelegt. Ausgangspunkt: Eine Bundestagsabgeordnete verlangt von der Betreiberin von Facebook Unterlassung für alle identischen oder sinngleichen Varianten eines Memes mit Falschzitat, ohne jede Internetadresse einzeln nennen zu müssen, dazu mindestens zehntausend Euro immateriellen Schadensersatz. Der BGH hatte das Verfahren ausgesetzt, bis der EuGH in der Sache C vierhundertzweiundneunzig Strich dreiundzwanzig entschieden hat. Nun fragt er unter anderem, ob ein Betreiber, der Nutzerinhalte nur speichert und zugänglich macht, uneingeschränkt Verantwortlicher nach Artikel vier Nummer sieben DSGVO ist, ob die Haftungsprivilegien für Hosting-Dienste gelten und ob algorithmische Kuratierung sie ausschließt, ob eine Pflicht zur manuellen Bewertung sinngleicher Inhalte gegen das Verbot allgemeiner Überwachungspflichten verstößt und ob das Privileg auch für Schadensersatz nach Artikel zweiundachtzig DSGVO gilt. Das ist ein Vorlagebeschluss, keine Sachentscheidung, und wann der EuGH antwortet, ist offen. Eine neue gesetzliche Pflicht folgt daraus nicht. Wer Kommentare, Bewertungen oder ein Forum betreibt, dokumentiert Meldeweg und Moderation, prüft, ob die Funktion wirklich gebraucht wird, und sieht in der Datenschutzerklärung nach, ob Nutzerinhalte dort geregelt sind.

Zum Schluss der Kernthemen: Der Europäische Datenschutzausschuss hat Leitlinien vier Strich zweitausendsechsundzwanzig zur Verhängung von Bußgeldern vorgelegt, bisher als Konsultationsfassung. Die Pressemitteilung datiert vom einundzwanzigsten September. Stellungnahmen sind bis zum dreizehnten November möglich, Änderungen bleiben also denkbar. Der Entwurf sieht eine Prüfung in fünf Schritten vor: ob der Verstoß überhaupt bußgeldbewehrt ist, wer haftet, ob Vorsatz oder Fahrlässigkeit vorliegt, welche erschwerenden und mildernden Umstände es gibt und ob ein Bußgeld wirksam, verhältnismäßig und abschreckend wäre. Bei geringfügigen Verstößen soll in der Regel kein Bußgeld folgen, stattdessen kann ein Verweis ausgesprochen werden. Bei nicht geringfügigen spricht eine starke Vermutung für ein Bußgeld, Abweichungen im Einzelfall sind möglich. Sie sollen die Leitlinien vier Strich zweitausendzweiundzwanzig zur Berechnung der Höhe ergänzen und laut Ausschuss die Bußgeld-Leitlinien der Artikel-neunundzwanzig-Gruppe ersetzen. Für Sie heißt das: Dokumentieren Sie Ihre Datenschutzmaßnahmen und beheben Sie bekannt gewordene Mängel zügig, statt sie liegen zu lassen.

Kommen wir zu den kürzeren Meldungen.

GitLab: Die kritische Lücke CVE zweitausendsechsundzwanzig, siebenundneunzigtausendzweihundertneunundzwanzig aus dem Patch-Release vom zwölften Oktober steht seit dem neunundzwanzigsten Oktober im CISA-Katalog, US-Behördenfrist ist der erste November. Damals nannte GitLab keine Ausnutzung. Ruby hat am dreiundzwanzigsten Oktober zugehörige Fehler in der Regex-Engine behoben; auch andere Anwendungen, die Muster aus nicht vertrauenswürdigen Texten kompilieren, können betroffen sein. Betreiber von selbst gehostetem GitLab sollten je nach Versionslinie mindestens auf neunzehn Punkt vier Punkt zwei, neunzehn Punkt drei Punkt fünf oder neunzehn Punkt zwei Punkt acht sein, GitLab Punkt com ist bereits gepatcht.

Adobe Commerce und Magento: CVE zweitausendsechsundzwanzig, achtundvierzigtausenddreihundertsechsundfünfzig, ein kritischer unbeschränkter Datei-Upload aus dem Bulletin A P S B sechsundzwanzig Strich dreiundsiebzig vom vierzehnten Juli, ist seit dem siebenundzwanzigsten Oktober im CISA-Katalog, US-Behördenfrist ist der zehnte November. Damals war Adobe keine Ausnutzung bekannt. Shopbetreiber prüfen, ob der Juli-Patch eingespielt ist, und suchen in den Upload-Verzeichnissen nach unbekannten Dateien.

Zuletzt: Der Bundesgerichtshof verhandelt am fünften November um zehn Uhr zwei Verfahren zum Kündigungsbutton, eins Zett Err zweihundertzweiundsiebzig Strich fünfundzwanzig und eins Zett Err zweihundertfünfundsiebzig Strich fünfundzwanzig. Es geht darum, ob die Abfrage von Login-Daten im Kündigungsvorgang gegen Paragraf dreihundertzwölf k BGB verstößt. Das Kammergericht hat in beiden Verfahren bereits für die Kläger entschieden: Der Button müsse unmittelbar zu einer ständig verfügbaren Bestätigungsseite führen. Eine Entscheidung steht aus. Wer Verträge online anbietet, prüft den Weg bis zur Bestätigung ohne Anmeldung und wartet das Urteil ab.

Das war das Briefing für heute. Weitere Informationen finden Sie auf expertomundi Punkt de. Keine Rechtsberatung, kein zugelassener Datenschutzbeauftragter, keine Rechtsanwaltskanzlei, allgemeine Information. Wir wünschen Ihnen ein schönes Wochenende.

Guten Morgen und herzlich willkommen zu einer Sonderausgabe Ihres Datenschutz-Briefings von Experto Mundi. Heute ist Samstag, der vierundzwanzigste Oktober zweitausendsechsundzwanzig. Wir haben drei Themen für Sie: ein WordPress-Plugin, das bereits angegriffen wird, eine Lücke im Webserver nginx und ein Urteil des Bundesgerichtshofs zur Auskunft über Scorewerte.

Wir beginnen mit einem alten Bekannten. Vor acht Tagen haben wir hier über das Plugin Bricksforge berichtet, eine Erweiterung für den Seitenbaukasten Bricks. In allen Versionen bis einschließlich drei Punkt eins Punkt acht Punkt neun kann ein Angreifer ohne Benutzerkonto beliebige Dateien auf den Server laden. Laut einem Medienbericht holt er sich dazu über eine öffentlich erreichbare Funktion zuerst einen Sicherheitswert für das Formular, lädt dann eine Datei hoch, die wie ein Bild aussieht, und sorgt über ein Formularfeld dafür, dass sie mit der Endung einer PHP-Datei abgelegt wird. Damit kann er eigenen Programmcode auf Ihrem Server ausführen. Die amerikanische Schwachstellendatenbank NVD bewertet das mit neun Komma acht von zehn, das Sicherheitsunternehmen Patchstack sogar mit der Höchstwertung zehn. Inzwischen liegen zwei Erkenntnisse vor, die wir in jener Folge noch nicht hatten. Erstens wird die Lücke angegriffen. Patchstack hat den ersten Angriff am Abend des siebten Oktober beobachtet, also schon vor der Veröffentlichung in der NVD am achten Oktober, und bis zu seinem Bericht Angriffe von dreiundsechzig verschiedenen Internetadressen gezählt. Die Angreifer probieren dabei verschiedene Dateiendungen und Schreibweisen durch, um Filter zu umgehen. Diese Zahlen stammen von Patchstack allein, eine unabhängige Bestätigung haben wir nicht gefunden. Zweitens war die erste Korrektur nicht die letzte. Version drei Punkt eins Punkt acht Punkt zehn hat die Lücke zuerst geschlossen, der Hersteller hat die Korrektur in die neue Hauptversion vier Punkt null übernommen und in Version vier Punkt null Punkt eins vom achten Oktober die Lücke ausdrücklich ausgewiesen, und Version vier Punkt null Punkt zwei vom dreizehnten Oktober sichert weitere Schnittstellen ab. Aktualisieren Sie deshalb auf mindestens vier Punkt null Punkt zwei, ziehen Sie vorher eine Sicherung, denn das ist ein Sprung auf eine neue Hauptversion, und zwar auch dann, wenn Sie schon auf drei Punkt eins Punkt acht Punkt zehn gegangen sind. Danach lohnt ein Blick in zwei Stellen. Im Zugriffsprotokoll Ihres Servers suchen Sie nach Anfragen, deren Adresse bricksforge und form submit enthält, und nach auffälligen Häufungen von Anfragen an die Datei admin-ajax. Den Inhalt der Anfragen zeigt das Protokoll in der Regel nicht, deshalb ist der zweite Schritt wichtiger. Und im Ordner wp-content, uploads, bricksforge, tmp suchen Sie nach ausführbaren Dateien, die dort nicht hingehören, also nicht nur nach der Endung PHP, sondern auch nach Varianten wie phtml oder php fünf und nach ungewöhnlicher Groß- und Kleinschreibung. Kein Fund heißt allerdings nicht sicher, dass die Seite sauber ist. Finden Sie solche Spuren, behandeln Sie die Seite als kompromittiert und lassen Sie sie fachkundig prüfen, bevor Sie einfach weitermachen. Der Hersteller empfiehlt außerdem, im Plugin gespeicherte Zugangsschlüssel für angebundene Dienste zu erneuern.

Das zweite Thema ist nginx, ein verbreiteter Webserver, der bei vielen Hostern auch vor WordPress-Seiten steht. Am Mittwoch, dem vierzehnten Oktober, sind die Versionen eins Punkt einunddreißig Punkt sieben und eins Punkt dreißig Punkt sechs erschienen. Die erste schließt fünf Sicherheitslücken. Eine davon haben wir uns genauer angesehen, sie trägt die Nummer CVE zweitausendsechsundzwanzig, fünfzehntausendeinhundertsechsundsiebzig. Es ist ein Pufferüberlauf im Arbeitsprozess von nginx, also in dem Teil, der die Anfragen Ihrer Besucher bearbeitet. Ausgelöst wird er nur bei einer bestimmten Konfiguration: Ein Bereich der Serverkonfiguration nutzt die Anweisung alias, eine Umschreibregel mit rewrite verändert die Adresse, und die Variable request filename wird weiterverwendet, etwa in einer Weiterleitung oder im Protokollformat. Dann reicht eine präparierte Anfrage ohne Anmeldung, und der Arbeitsprozess stürzt ab und startet neu. Wiederholt ein Angreifer das, ist Ihre Seite gestört. Ist ein bestimmter Speicherschutz des Betriebssystems abgeschaltet oder umgangen, ist laut NVD auch das Ausführen von fremdem Code möglich. Betroffen sind die Versionen von null Punkt eins Punkt neunundzwanzig bis eins Punkt einunddreißig Punkt sechs, im stabilen Zweig ist die Lücke ab eins Punkt dreißig Punkt sechs behoben. Bei der Einstufung sind sich die Stellen nicht einig: Das nginx-Projekt selbst nennt die Lücke mittelschwer, die in der NVD geführten Werte des Herstellers F5 lauten acht Komma eins nach dem älteren Bewertungsschema und neun Komma zwei nach dem neueren. Das liegt an unterschiedlichen Bewertungsmaßstäben. Die Quellen, die wir geprüft haben, nennen keine Angriffe, eine gezielte Suche danach haben wir aber nicht gemacht. Was ist zu tun? Wer nginx selbst betreibt, aktualisiert auf eins Punkt einunddreißig Punkt sieben oder neuer. Wer den stabilen Zweig nutzt, geht auf eins Punkt dreißig Punkt sechs oder neuer, laut den Sicherheitshinweisen des nginx-Projekts ist auch diese Version nicht mehr betroffen. Außerdem prüfen Sie die Konfiguration auf genau diese Kombination aus alias, rewrite und request filename. Achtung bei Linux-Paketen: Distributionen haben eigene Versionsnummern, dort zählt, ob das Paket die Korrektur enthält. Wer ein normales Hosting-Paket nutzt, hat nginx in der Regel nicht selbst in der Hand. Dann fragen Sie Ihren Hoster, ob er die Korrektur eingespielt hat.

Das dritte Thema kommt vom Bundesgerichtshof. Am Mittwoch, dem einundzwanzigsten Oktober, hat der erste Zivilsenat des Bundesgerichtshofs in vier Verfahren über Klagen von Privatpersonen gegen die SCHUFA entschieden, die Aktenzeichen lauten I ZR zweihundertsiebenundzwanzig bis zweihundertdreißig Strich fünfundzwanzig, nachzulesen in der Pressemitteilung Nummer hundertachtundneunzig. Die Kläger wollten wissen, wie ihre Scorewerte berechnet werden, und verlangten ihre Kosten erstattet. Die Landgerichte hatten die Klagen abgewiesen, das Oberlandesgericht Dresden hatte ihnen teilweise recht gegeben. Die Revisionen der SCHUFA hatten Erfolg. Der Bundesgerichtshof hat die Urteile aus Dresden insoweit aufgehoben und die Sachen nach Dresden zurückverwiesen. Die Kernaussage: Wer einen Scorewert erstellt, trifft unter Umständen selbst eine automatisierte Entscheidung im Sinne des Auskunftsrechts der Datenschutz-Grundverordnung, nämlich dann, wenn ein Dritter, zum Beispiel eine Bank oder ein Vermieter, seine Entscheidung maßgeblich auf diesen Wert stützt. Einen Anspruch auf Auskunft über die dahinterstehende Logik gibt es aber nur, wenn alle Merkmale des Artikels zweiundzwanzig der Grundverordnung erfüllt sind, wie es der Europäische Gerichtshof vorgegeben hat. Ob die Kläger dadurch erheblich beeinträchtigt waren, konnte der Bundesgerichtshof mangels Feststellungen nicht beurteilen, das muss jetzt das Oberlandesgericht klären. Wichtig ist die Beweisfrage. Darlegen müssen es die Kläger, die Anforderungen daran sind aber niedrig. Wurde ein Score übermittelt und folgte zeitnah eine nachteilige Entscheidung, vermutet das Gericht, dass die Entscheidung maßgeblich auf dem Score beruhte. Für typische Website-Betreiber ergibt sich daraus keine neue Pflicht. Wer selbst Scorewerte erstellt oder für Entscheidungen nutzt, sollte das Urteil im Blick behalten. Die vollständigen Urteile hat der Bundesgerichtshof inzwischen veröffentlicht. Wir haben sie für diese Folge noch nicht ausgewertet, die Darstellung beruht auf der Pressemitteilung.

Das war die Sonderausgabe Ihres Datenschutz-Briefings. Die regulären Folgen erscheinen weiterhin freitags, die nächste am dreißigsten Oktober. Mehr auf expertomundi Punkt de. Keine Rechtsberatung, kein zugelassener Datenschutzbeauftragter, keine Rechtsanwaltskanzlei, allgemeine Information. Ich wünsche Ihnen ein sicheres Wochenende.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Freitag, der dreiundzwanzigste Oktober zweitausendsechsundzwanzig, und wir haben drei Themen für Sie mitgebracht, eines davon betrifft praktisch jede Webseite.

Wir beginnen mit PHP, der Programmiersprache, auf der WordPress, Joomla, Drupal, Shopware und viele weitere Systeme laufen. Am Mittwoch hat das PHP-Projekt zwei kritische Lücken veröffentlicht, die Sicherheitsforscher PHP2Shell nennen. Beide liegen in PHP selbst, nicht in WordPress und nicht in einem Plugin, die eine in der Speicherverwaltung, die andere in der Fehlerbehandlung. Beide tragen die Bewertung neun Komma zwei von zehn Punkten. Ein Angreifer braucht kein Passwort und kein Benutzerkonto. Bei der ersten Lücke schickt er präparierte Anfragen, zum Beispiel ein manipuliertes Upload-Formular oder tief verschachtelte Formulardaten, bis PHP an seine Speichergrenze stößt und beim Aufräumen Fehler macht, das braucht in der Regel einige tausend bis zehntausende Anfragen. Bei der zweiten Lücke bringt eine erste Anfrage die Fehlerbehandlung in einen instabilen Zustand, eine zweite nutzt ihn aus, hier können also schon wenige Anfragen reichen. In beiden Fällen kann er am Ende eigenen Programmcode mit den Rechten des Webservers ausführen. Betroffen sind laut PHP-Projekt alle Installationen, die Webanfragen ausliefern, ob über Apache, PHP-FPM, CGI, FrankenPHP oder LiteSpeed, nach Angaben des PHP-Teams alle Versionen seit PHP fünf, auch in Docker-Containern und auf Windows-Servern. Ein Update von WordPress oder Ihren Plugins hilft nicht, denn der Fehler greift, bevor WordPress überhaupt startet. Behoben ist die Lücke ab den Versionen acht Punkt fünf Punkt zwölf, acht Punkt vier Punkt siebenundzwanzig, acht Punkt drei Punkt sechsunddreißig und acht Punkt zwei Punkt fünfunddreißig. Für acht Punkt eins, acht Punkt null und sieben Punkt vier gibt es keine fertige Version, nur Quellcode-Korrekturen des Sicherheitsteams, die ein Hoster selbst einspielen müsste, und acht Punkt eins und älter erhalten vom PHP-Projekt grundsätzlich keine Updates mehr. Laut PHP-Projekt gibt es keine vollständige Behelfslösung, das Update ist der einzig sichere Weg. Ein Hinweis für Nutzer von Linux-Paketen: Manche Distributionen spielen die Korrektur ein, ohne die Versionsnummer zu ändern, dann fragen Sie Ihren Hoster, ob das Paket den Fix enthält. Wer noch auf acht Punkt eins oder älter läuft, muss also mit dem Hoster auf acht Punkt drei oder acht Punkt vier umstellen, vorher eine Sicherung ziehen und danach die Seite durchklicken, weil alte Themes und Plugins bei so einem Sprung brechen können. Wer schon auf acht Punkt zwei bis acht Punkt fünf läuft, aber unter der genannten Patch-Version, aktualisiert auf genau diese. Ein Netzwerkdienst berichtete bereits am Mittwoch von Angriffsverkehr gegen seine Kunden, und ein Sicherheitsunternehmen erwartet massenhafte Angriffe. Eine bestätigte Ausnutzung war bis zu unserem Redaktionsschluss am Donnerstagnachmittag nicht gemeldet, und der Katalog aktiv ausgenutzter Lücken der amerikanischen Behörde CISA, zuletzt am Mittwoch aktualisiert, enthielt die beiden Nummern nicht. Das kann sich stündlich ändern. So prüfen Sie Ihre Seite in zwei Minuten: Als Administrator in WordPress anmelden, dann Werkzeuge, Website-Zustand, Info, Server. Dort steht die PHP-Version. Alternativ zeigt das Kundenmenü Ihres Hosters die PHP-Einstellung. Wir haben das am Mittwoch bei unserer eigenen Seite und bei betreuten Seiten durchgespielt. Der Hoster hatte die Version acht Punkt vier Punkt siebenundzwanzig noch am selben Tag im Angebot, wir haben im Kundenmenü darauf umgestellt, das an mehreren Seiten bestätigt und eine zuvor als Notbremse eingerichtete Sperre für Upload-Anfragen in der Serverkonfiguration wieder zurückgebaut. Zwei Lehren daraus: Erstens, ein Seitencache kann nach dem Update noch die alte Versionsnummer anzeigen, prüfen Sie deshalb eine ungecachte Seite. Zweitens, messen Sie die PHP-Version nur passiv über die Kopfzeilen, die der Server ohnehin sendet, und nie durch wiederholte Aufrufe der Login-Seite, das hält jede Schutzsoftware für einen Angriff. Wer es bequem möchte: Auf unserer Website gibt es unter dem Pfad php-check einen kostenlosen Selbsttest, Domain eingeben, Ergebnis als Ampel. Er liest nur die Version, die Ihr Server nach außen meldet. Meldet Ihr Server keine, bleibt das Ergebnis offen, und eine rote Ampel kann bei einem gepatchten Linux-Paket oder einem alten Seitencache auch falsch sein. Der Test ist nur für eigene Domains gedacht.

Das zweite Thema betrifft das Vertrauen im Netz selbst. Bei der Zertifizierungsstelle eMudhra sind acht Zwischenzertifikate kompromittiert, also jene Stellen, die TLS-Zertifikate für Webseiten ausstellen. Die privaten Schlüssel wurden nicht gestohlen, sie waren unsicher erzeugt und ließen sich erraten, jeder der acht Werte ist eine Zahl zwischen null und zweihundertfünfundfünfzig. Mozilla hat die Zertifikate nach einer Meldung am Samstag, dem siebzehnten Oktober, innerhalb weniger Stunden in seine Sperrliste aufgenommen, eMudhra selbst hat alle acht am Sonntag widerrufen, und am Dienstag hat Mozilla zusätzlich eine Wurzel von eMudhra aus dem Vertrauensspeicher von Firefox entfernt. Ein Sicherheitsforscher hat am Dienstag zur Demonstration ein korrekt signiertes, aber in den Browsern bereits gesperrtes Zertifikat für eine Google-Unterdomain ausgestellt. Die großen Browser Firefox, Chrome und Safari sperren die acht Zwischenzertifikate und zeigen eine Warnung. Wer ein Zertifikat aus einer dieser acht Zwischenstellen einsetzt, muss es durch eines einer anderen Zertifizierungsstelle ersetzen, sonst sehen Besucher die Warnung statt der Seite. Wer ein Zertifikat unterhalb der entfernten Wurzel nutzt, hat dieses Problem zunächst in Firefox. Server-Betreiber mit Linux-Systemen sollten das Paket mit den Stammzertifikaten aktualisieren, Debian hat seit Mittwoch ein neues Paket. Programme mit eigenen Zertifikatslisten und ohne Sperrlistenprüfung, etwa in Containern, in Java oder in Python, müssen gesondert nachgezogen werden.

Drittes Thema, WordPress-Plugins, drei Fälle aus der Datenbank der amerikanischen Behörde NIST aus der vergangenen Woche. Fall eins: Das Plugin User Rights Access Manager bis einschließlich Version eins Punkt eins Punkt drei lässt eine Registrierungsfunktion ungeschützt und gibt neuen Konten eine Kopie der Administratorrolle. Jeder Unbekannte kann sich damit ein Administratorkonto anlegen und die ganze Seite übernehmen, Bewertung neun Komma acht von zehn. Eine korrigierte Version gibt es nicht, das Plugin ist im offiziellen Verzeichnis schon seit März zweitausendvierundzwanzig geschlossen. Wer es noch einsetzt, sollte es deinstallieren und die Benutzerliste auf unbekannte Administratorkonten prüfen. Fall zwei: Das Plugin Email Customizer for WooCommerce in der Pro-Fassung bis Version drei Punkt neun Punkt fünf schreibt beim Versand einer Testmail vom Nutzer gesteuerten PHP-Code in ausführbare Dateien im Upload-Ordner. Ein einfaches Abonnentenkonto reicht aus, um die Seite zu übernehmen, Bewertung acht Komma acht. Bei Shops mit offener Registrierung ist das kritisch, prüfen Sie nach dem Update auch den Upload-Ordner auf fremde PHP-Dateien. Fall drei: Der Seitenbaukasten Elementor bis Version vier Punkt zwei Punkt drei erlaubt es Konten ab der Rolle Mitarbeiter, den vollständigen Inhalt privater, geplanter und noch unveröffentlichter Beiträge aller Autoren auszulesen, samt dem Beitragspasswort passwortgeschützter Beiträge, es geht also nicht um Kontopasswörter. Die Bewertung ist mit vier Komma drei moderat, die Verbreitung von Elementor ist es nicht, aktualisieren Sie auf die neueste Version. Dazu ein Muster, das sich derzeit über mehrere Zahlungs-Plugins wiederholt: Die Plugins Cardinity Payment Gateway vor Version drei Punkt vier Punkt zwei und Rede Itaú vor Version fünf Punkt fünf Punkt drei prüfen die Echtheit der Zahlungsbestätigung des Zahlungsdienstes nicht oder nur mit einem ab Werk leeren Geheimnis. Jeder kann dem Shop so eine bezahlte Bestellung vortäuschen oder den Status bezahlter Bestellungen verändern. Für beide Plugins hilft nur das Update auf die genannten Versionen, bei Cardinity danach ein Webhook-Geheimnis setzen, und gleichen Sie bezahlte Bestellungen der letzten Wochen mit dem Konto beim Zahlungsdienst ab. Und wenn Sie ein anderes Zahlungs-Plugin betreiben, prüfen Sie, ob in dessen Einstellungen ein Webhook-Geheimnis gesetzt ist, und ob es nicht leer ist.

Das war Ihr Datenschutz-Briefing. Die Prüfanleitung zu PHP2Shell und den Selbsttest finden Sie auf expertomundi Punkt de. Keine Rechtsberatung, kein zugelassener Datenschutzbeauftragter, keine Rechtsanwaltskanzlei, allgemeine Information. Ich wünsche Ihnen einen sicheren Tag.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Freitag, der sechzehnte Oktober zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht: vier ausführliche und zwei kurze Meldungen.

Wir beginnen mit einer akuten Lücke bei WordPress. Das Plugin Bricksforge, eine Erweiterung für den Seitenbaukasten Bricks, hat in allen Versionen bis einschließlich drei Punkt eins Punkt acht Punkt neun eine kritische Schwachstelle. Ein Angreifer ohne Benutzerkonto holt sich über eine öffentlich erreichbare Funktion ein Berechtigungstoken und lädt dann eine Datei hoch, die wie ein Bild aussieht, in Wahrheit aber ausführbaren PHP-Code enthält. Damit kann er Programmcode auf Ihrem Server laufen lassen. Die Bewertung liegt bei neun Komma acht von zehn möglichen Punkten. Der Anbieter Previdian führt die Lücke seit dem zwölften Oktober als ausgenutzt, die amerikanische Behörde CISA hatte sie bis Donnerstag nicht in ihren Katalog aufgenommen. Die Quellenlage ist also uneinheitlich, die Gefahr ist es nicht. Wenn Sie Bricksforge einsetzen: Spielen Sie noch heute die neueste Version des Herstellers ein und prüfen Sie danach, ob sie wirklich installiert ist, prüfen Sie die Upload-Ordner Ihrer Seite auf unbekannte PHP-Dateien, und schalten Sie das Plugin ab, solange Sie nicht aktualisieren können.

Das zweite Thema betrifft Firewalls. Palo Alto Networks hat eine Lücke in der Verwaltungsoberfläche seiner Betriebssoftware PAN-OS geschlossen, die auch die Verwaltungssoftware Panorama betrifft. Ein angemeldeter Angreifer mit Netzzugang kann dort beliebigen Code mit Root-Rechten, also den höchsten Rechten auf dem System, ausführen. Die Lücke wird bereits ausgenutzt: CISA hat sie am vierzehnten Oktober in den Katalog der ausgenutzten Schwachstellen aufgenommen, amerikanische Bundesbehörden müssen bis zum siebzehnten Oktober handeln. Laut heise gibt es keine Umgehungslösung, entscheidend ist das Update. Die Cloud-Dienste Cloud NGFW und Prisma Access sind nicht betroffen. Prüfen Sie, ob Sie oder Ihr IT-Dienstleister solche Firewalls betreiben, spielen Sie die passende Korrekturversion ein, und erlauben Sie den Zugriff auf die Verwaltungsoberfläche ausschließlich aus dem internen Netz.

Drittes Thema, ein Urteil mit Lehrwert für alle, die Zahlungen freigeben. Das Landesarbeitsgericht Köln hat Ende Juli einen Treasury-Leiter zu Schadensersatz verurteilt, nachdem er auf eine Betrugsmasche hereingefallen war. Täter hatten die Rufnummer seines Vorgesetzten gefälscht und ihn über einen Messenger auf dem privaten Handy zu knapp sechzig Auslandsüberweisungen gebracht, insgesamt mehr als fünfzig Millionen Euro. Das Gericht wertete sein Vorgehen als grob fahrlässig, weil er interne Vorgaben zu Zahlungsfreigaben und zur Kommunikation über private Messenger missachtet hatte, und bestätigte die fristlose Kündigung. Die sonst übliche Haftungsbegrenzung für Arbeitnehmer griff laut heise nicht, weil der Arbeitgeber ihn in eine Manager-Haftpflichtversicherung einbezogen hatte. Die Revision beim Bundesarbeitsgericht ist anhängig. Für Sie heißt das: Legen Sie Freigaberegeln schriftlich fest, verlangen Sie bei Zahlungen ein zweites Augenpaar und einen Rückruf über eine bekannte Nummer, verbieten Sie Zahlungsanweisungen über private Messenger, und dokumentieren Sie, dass Ihr Team das geschult hat.

Viertens ein Update, das Sie wahrscheinlich ohne es zu wissen betrifft. Das Werkzeug curl, das in unzähligen Skripten, Servern und Containern Daten überträgt, ist in Version acht Punkt zwei drei Punkt null erschienen. Es schließt laut heise vierundzwanzig Sicherheitslücken, eine davon hoch, dreiundzwanzig niedrig. Die schwerste ist ein Speicherfehler beim Hochladen über HTTP/2: Ein bösartiger Server kann unter bestimmten Bedingungen Code auf dem Rechner des Nutzers ausführen. Gefunden hat die Lücke laut heise Anthropic. Außerdem entfernt curl die Unterstützung für das Dateiprotokoll SMB. Prüfen Sie, welche Ihrer Server und Container-Images curl enthalten, bauen Sie Images neu, und installieren Sie die Betriebssystem-Updates, sobald Ihre Distribution die neue Version ausliefert. Falls ein Skript von Ihnen curl für SMB nutzt, brauchen Sie einen anderen Weg.

Kommen wir zu den kürzeren Meldungen.

Fünftens: Im WordPress-Plugin Post Export Import with Media steckt bis einschließlich Version eins Punkt siebzehn Punkt eins eine Lücke durch unsichere Deserialisierung. Ausnutzen kann sie nur, wer bereits Administratorrechte besitzt, und laut Beschreibung gibt es in der Software selbst keine bekannte Angriffskette. Gefährlich wird es nur, wenn ein anderes Plugin oder Theme eine solche Kette mitbringt. Eine korrigierte Version ist bislang nicht ausgewiesen. Prüfen Sie, ob Sie das Plugin überhaupt brauchen, entfernen Sie es sonst, und sichern Sie Ihre Administratorkonten mit einem zweiten Faktor.

Sechstens: Das Bundesministerium für Digitales und Staatsmodernisierung, das Bundesinnenministerium und das Bundesamt für Sicherheit in der Informationstechnik haben am zwölften Oktober eine rund vierseitige Leitlinie zur Umstellung auf Post-Quanten-Kryptografie veröffentlicht. Sie nennt als Ziel, Anwendungen mit hohem Risiko bis Ende zweitausenddreißig und solche mit mittlerem Risiko bis Ende zweitausendfünfunddreißig umzustellen, und empfiehlt hybride Verfahren. Adressiert sind vor allem Verwaltung, Länder und Kommunen, ausdrücklich angesprochen sind aber auch Unternehmen und Betreiber kritischer Infrastrukturen. Das empfohlene Krypto-Inventar, also eine Übersicht aller eingesetzten Verschlüsselungen, Zertifikate und Schlüssel, lohnt sich aber für jeden Betrieb. Beginnen Sie damit bei Ihren Webseiten, Ihrem VPN und Ihren E-Mail-Zertifikaten.

Das war das Datenschutz-Briefing von Experto Mundi für heute. Wenn Sie nur eines mitnehmen: Prüfen Sie heute, ob Bricksforge oder eine Palo-Alto-Firewall bei Ihnen im Einsatz ist. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Donnerstag, der fünfzehnte Oktober zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht, vier ausführlich und zwei kurz. Zwei der Lücken, um die es gleich geht, werden bereits angegriffen, und die amerikanische Cybersicherheitsbehörde CISA hat den US-Bundesbehörden bis morgen Zeit gegeben, sie zu schließen.

Beginnen wir mit dem Fernzugang. Der Hersteller Ivanti hat bestätigt, dass seine Zugangslösung Connect Secure angegriffen wird. Die Lücke erlaubt es einem Angreifer, aus der Ferne und ohne Anmeldung beliebige Befehle auf dem Gerät auszuführen. Sie ist mit acht Komma sechs von zehn Punkten bewertet. Betroffen sind laut heise unter anderem die Stände fünfundzwanzig Punkt eins Punkt eins Punkt eins, fünfundzwanzig Punkt eins Punkt zwei Punkt zwei und zweiundzwanzig Punkt acht R zwei Punkt vier sowie ältere. Korrigiert sind fünfundzwanzig Punkt eins Punkt eins Punkt zwei, fünfundzwanzig Punkt eins Punkt drei Punkt null, fünfundzwanzig Punkt eins Punkt drei Punkt eins und zweiundzwanzig Punkt acht R zwei Punkt fünf. Die CISA hat die Lücke am dreizehnten Oktober in ihren Katalog ausgenutzter Schwachstellen aufgenommen und den US-Bundesbehörden eine Frist bis zum sechzehnten gesetzt, also bis morgen. Handlungsempfehlung: Wer ein solches Gerät betreibt oder von seinem IT-Dienstleister betreiben lässt, fragt heute nach dem installierten Stand und lässt ihn auf eine der korrigierten Versionen heben.

Zweitens der Patchday von Microsoft. Nach Zählung von BleepingComputer hat Microsoft am dreizehnten Oktober eintausendvierhundertelf Lücken geschlossen, siebzig davon als kritisch eingestuft. Entscheidend ist eine einzige: In der Windows-Oberfläche lässt sich eine Schutzfunktion umgehen, die Dateien aus dem Internet kennzeichnet und beim Öffnen warnt. Sie wird bereits angegriffen, ein Mitarbeiter muss dafür allerdings etwas öffnen oder anklicken. Bewertet ist sie mit acht Komma acht. Auch diese Lücke steht seit dem dreizehnten Oktober im CISA-Katalog, ebenfalls mit Frist bis zum sechzehnten. Zwei weitere Fehler, im Dotnet-Framework und in einer Programmbibliothek namens MessagePack, waren schon vor den Updates öffentlich bekannt. Handlungsempfehlung: Lassen Sie die Oktober-Updates auf allen Arbeitsplätzen und Servern einspielen, und erinnern Sie Ihr Team daran, Anhänge und Downloads von unbekannten Absendern nicht zu öffnen.

Drittens ein weiteres Gerät für den Fernzugang. Die Appliance SMA tausend von SonicWall, Modelle sechstausendzweihundertzehn, siebentausendzweihundertzehn und die virtuelle Variante achttausendzweihundert, hat eine Lücke in der Weboberfläche für Mitarbeiter. Ohne Anmeldung lässt sich das Gerät dazu bringen, Anfragen in fremdem Auftrag zu stellen, und Angreifer verschaffen sich so Zugriff auf die Appliance. Die Bewertung ist die Höchstnote zehn. Sicherheitsforscher von Defused und Previdian berichten von laufenden Angriffen. Der Hersteller selbst nennt laut heise keine Ausnutzung, und die CISA hat die Lücke bisher nicht in ihren Katalog aufgenommen. Wie die Angriffe ablaufen und woran man einen Befall erkennt, ist offen. Handlungsempfehlung: Spielen Sie die im Herstellerhinweis genannten Hotfix-Stände der Reihen zwölf Punkt vier und zwölf Punkt fünf ein, und prüfen Sie das Gerät danach auf ungewöhnliche Zugriffe, statt sich auf das Update allein zu verlassen.

Viertens ein Datenleck, das zeigt, wie wenig es braucht. Das Buchungssystem Amadeus hatte nach Recherchen von heise eine Diagnosedatei einer Java-Anwendung ohne Anmeldung im Netz erreichbar. Darin standen Zugangsdaten und Berechtigungstoken, darunter Administratorpasswörter mit Lese- und Schreibzugriff auf das globale System. Einsehbar waren Namen, Geburtsdaten, Buchungscodes, Kontakt-, Ausweis- und Reisepassdaten im Klartext, viele davon von Flügen der Lufthansa und Condor. Zahlungsdaten waren nach Angaben von Amadeus nicht abrufbar. Der Anbieter sagt, er sei am einundzwanzigsten September auf eine mögliche Schwachstelle hingewiesen worden und habe sie behoben. Ob Unbefugte zugegriffen haben, ist offen, eine Zahl Betroffener nennt Amadeus nicht. Handlungsempfehlung: Fragen Sie Ihre Webagentur oder Ihren Hoster, ob Diagnose- und Testschnittstellen Ihrer Anwendungen von außen erreichbar sind, und lassen Sie sich das schriftlich bestätigen. Wer Dienstleister mit Personendaten betraut, sollte in dem Vertrag prüfen, wie schnell diese Vorfälle melden müssen.

Kommen wir zu den kürzeren Meldungen.

Fünftens GitLab. Wer die Versionsverwaltung auf einem eigenen Server betreibt, sollte auf neunzehn Punkt zwei Punkt acht, neunzehn Punkt drei Punkt fünf oder neunzehn Punkt vier Punkt zwei aktualisieren. Die schwerste der laut heise vierundzwanzig geschlossenen Lücken erreicht die Höchstnote zehn: Ein präpariertes Suchmuster, ein sogenannter regulärer Ausdruck, in einer Pipeline-Konfiguration kann ohne Anmeldung Code auf dem Server ausführen. Angriffe hat GitLab laut heise bisher nicht gemeldet, auf GitLab.com laufen bereits reparierte Versionen. Handlungsempfehlung: Aktualisieren Sie diese Woche und lassen Sie die Verwaltung nur aus dem eigenen Netz oder über VPN erreichbar sein.

Sechstens eine Warnung für alle, die vernetzte Technik außerhalb des Büros betreiben. Das Bundesamt für Sicherheit in der Informationstechnik rät Betreibern kleiner Anlagen wie Solarwechselrichtern, Kühlsystemen, einzelnen Windrädern und Trinkwasserstellen zu Schutzmaßnahmen. Anlass ist der Angriff auf Kühlsysteme französischer Supermärkte, bei dem von außen erreichbare Anlagen massenhaft manipuliert wurden. Das Amt nennt als wichtigste und einfachste Maßnahme, die Steuerungen vom Internet zu trennen. Wo Fernzugriff nötig ist, empfiehlt es einen VPN-Tunnel, Anmeldung mit zweitem Faktor und feste Zugriffslisten. Handlungsempfehlung: Prüfen Sie, ob Kühlung, Heizung oder Wechselrichter in Ihrem Betrieb aus dem Internet erreichbar sind, und ändern Sie ab Werk gesetzte Passwörter.

Das war Ihr Briefing für heute. Eine Frage an Ihren IT-Dienstleister reicht für heute: Welche Fernzugänge sind bei uns offen, und auf welchem Stand laufen sie? Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Mittwoch, der vierzehnte Oktober zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht, vier ausführlich und zwei kurz. Für heute hat Let's Encrypt angekündigt, seine Testumgebung auf kürzer laufende Zertifikate umzustellen.

Damit sind wir beim ersten Thema. Die kostenlose Zertifizierungsstelle Let's Encrypt liefert auf sehr vielen kleinen Webseiten das Schloss in der Adresszeile des Browsers. Bisher gelten ihre Zertifikate bis zu neunzig Tage. Ab dem zehnten Februar zweitausendsiebenundzwanzig sind es standardmäßig vierundsechzig Tage, ab dem sechzehnten Februar zweitausendachtundzwanzig dann fünfundvierzig. Bereits ausgestellte Zertifikate bleiben gültig, das letzte Zertifikat mit neunzig Tagen Laufzeit läuft im Mai zweitausendsiebenundzwanzig aus. Laut heise kommen Programme ohne Änderung aus, die das Verfahren ACME Renewal Information unterstützen, weil Let's Encrypt ihnen den richtigen Zeitpunkt für die Erneuerung selbst mitteilt. Schwierig wird es bei selbstgebauten Abläufen mit festen Fristen. Zeitpläne, Skripte und Betriebsanleitungen sollten auf fest eingetragene Werte wie dreiundachtzig, achtzig oder sechzig Tage durchgesehen werden. Handlungsempfehlung: Fragen Sie Ihren Hoster, ob die Erneuerung bei Ihnen automatisch läuft und mit den kürzeren Laufzeiten zurechtkommt. Wer selbst einen Server betreibt, stellt die Erneuerung auf etwa zwei Drittel der Laufzeit um und richtet eine Warnung für den Fall ein, dass eine Erneuerung ausbleibt.

Zweitens WooCommerce, das Shop-System für WordPress. Am sechsten Oktober wurden Lücken in Zahlungs-Erweiterungen veröffentlicht. Zwei davon laufen auf denselben Fehler hinaus: Sie prüfen nicht zuverlässig, ob eine Zahlungsbestätigung wirklich vom Zahlungsanbieter kommt. Beim Deema Payment Gateway bis Version eins Punkt eins Punkt zwei ist diese Prüfung ab Werk ausgeschaltet. Ein Angreifer kann dort ohne Anmeldung unbezahlte Bestellungen als bezahlt markieren oder Bestellungen stornieren und erstatten lassen. Bei elegro Crypto Payment bis Version eins Punkt null Punkt eins lassen sich Zahlungsbestätigungen fälschen, solange das gemeinsame Geheimnis zwischen Shop und Zahlungsdienst auf dem leeren Standardwert steht. Anders gelagert ist das offizielle Plugin von PayPlug: Ihm fehlt bis Version drei Punkt eins Punkt null eine Zugriffsprüfung, ebenfalls ohne Anmeldung ausnutzbar. Was ein Angreifer damit genau erreichen kann, sagt der Eintrag nicht. Korrigierte Versionen nennen die Einträge nicht, Angriffe sind bisher nicht bekannt. Handlungsempfehlung: Gleichen Sie bezahlte Bestellungen vor dem Versand mit dem Zahlungseingang beim Zahlungsdienst ab. Und sehen Sie in den Einstellungen Ihres Zahlungs-Plugins nach, ob die Prüfung eingehender Benachrichtigungen eingeschaltet und ein Geheimschlüssel hinterlegt ist. Wer PayPlug nutzt, fragt beim Hersteller nach einer Version nach drei Punkt eins Punkt null.

Drittens drei WordPress-Erweiterungen mit kritischer Bewertung, alle ohne Anmeldung angreifbar. Ausgerechnet das Datenschutz-Plugin GDPR Framework lässt bis Version zwei Punkt fünf Punkt null eingeschleuste PHP-Objekte zu, bewertet mit neun Komma acht von zehn Punkten. Die Terminbuchung WooCommerce Appointments ist bis Version fünf Punkt drei Punkt zwei anfällig für eingeschleuste Datenbankbefehle, bewertet mit neun Komma drei. Und der Kognetiks Chatbot für WordPress erlaubt bis Version zwei Punkt vier Punkt neun das Hochladen beliebiger Dateien, dafür gibt es die volle Punktzahl zehn. Für keine der drei Erweiterungen nennt der jeweilige Eintrag eine korrigierte Version, Angriffe sind bisher nicht gemeldet. Handlungsempfehlung: Sehen Sie in Ihrer Plugin-Liste nach, ob eine dieser Erweiterungen installiert ist, auch in deaktiviertem Zustand. Bietet der Hersteller keine neuere Version als die genannten an, entfernen Sie das Plugin, bis eine Korrektur vorliegt.

Viertens ein Fall, bei dem schon das einfachste Benutzerkonto genügt. Das WordPress-Plugin ACPT prüft in der Premium-Fassung bis Version zwei Punkt null Punkt sechsundsechzig an einer Schnittstelle zum Anlegen von Formularen nicht, ob der Anfragende dazu berechtigt ist. Zugleich werden Vorlagen für E-Mails ohne Abschirmung verarbeitet. Zusammen reicht das, damit ein Nutzer mit der niedrigsten Rolle, dem Abonnenten, eigenen Code auf dem Server ausführt. Bewertet ist das mit acht Komma acht von zehn Punkten. Und Abonnent wird in der Grundeinstellung von WordPress jeder, der sich auf einer Seite mit offener Registrierung selbst ein Konto anlegt. Eine korrigierte Version nennt der Eintrag nicht, Angriffe sind nicht bekannt. Handlungsempfehlung: Prüfen Sie in den allgemeinen Einstellungen von WordPress, ob sich jeder registrieren darf, und schalten Sie das ab, wenn Sie es nicht brauchen. Wer ACPT einsetzt, fragt beim Hersteller nach einer Version nach zwei Punkt null Punkt sechsundsechzig.

Kommen wir zu den kürzeren Meldungen.

Fünftens das Mail-Plugin Post SMTP. Bis Version vier Punkt null Punkt eins lässt sich über eine präparierte E-Mail-Adresse ein Skript in das Versandprotokoll schreiben, das beim Öffnen des Protokolls ausgeführt wird. Ohne Anmeldung gelingt das nur bei WordPress-Installationen mit mehreren Seiten im Verbund und offener Registrierung. Bewertet ist das mit sieben Komma zwei. Der Eintrag verweist auf eine Änderung in Version vier Punkt null Punkt zwei. Handlungsempfehlung: Aktualisieren Sie auf die neueste Version, mindestens auf vier Punkt null Punkt zwei.

Sechstens ein Termin zum Vormerken. Der Bundesgerichtshof verhandelt am achtundzwanzigsten Januar zweitausendsiebenundzwanzig die Klage der Verbraucherzentrale Bayern gegen TikTok. Es geht darum, ob sich personalisierte Empfehlungen leicht genug abschalten lassen und ob das Meldeverfahren für rechtswidrige Inhalte benutzerfreundlich ist, beides geregelt im europäischen Gesetz über digitale Dienste. Das Oberlandesgericht Bamberg hatte der Klage stattgegeben. Es hielt den Verband auch für berechtigt, solche Pflichten bei einer sehr großen Plattform vor deutschen Gerichten einzuklagen, obwohl bei diesen Plattformen die EU-Kommission die Aufsicht führt. Handlungsempfehlung: Wer auf seiner Seite Kommentare, Bewertungen oder Inserate von Nutzern speichert, sollte prüfen, ob es dort einen gut auffindbaren Weg gibt, rechtswidrige Inhalte zu melden.

Das war Ihr Briefing für heute. Wenn Sie nur eine Sache erledigen, dann schreiben Sie Ihrem Hoster wegen der Zertifikate. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Dienstag, der dreizehnte Oktober zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht, vier ausführlich und zwei kurz. Eintausendfünfhundert Euro hat das Landgericht zugesprochen, einhundert Euro das Oberlandesgericht. Wie es weitergeht, entscheidet der Bundesgerichtshof kurz vor Weihnachten.

Damit sind wir beim ersten Thema. Am achten Oktober hat der Erste Zivilsenat des Bundesgerichtshofs verhandelt, ob ein Technologie- und Analyseunternehmen haftet, wenn es auf Webseiten anderer Firmen Cookies bereitstellt, die ohne Einwilligung der Besucher gespeichert werden. Geklagt hat eine Privatperson, die im März zweitausendzweiundzwanzig mehrere Webseiten besucht hatte. Das Landgericht Frankfurt am Main sprach ihr eintausendfünfhundert Euro Schadensersatz zu. Das Oberlandesgericht Frankfurt verurteilte das Unternehmen zur Unterlassung und zu einhundert Euro. Nach einem Bericht von beck-aktuell folgt der Senat dem Oberlandesgericht in vielen Punkten, sieht die Haftung des Analyseanbieters aber kritisch. Möglich ist, dass der Fall nach Frankfurt zurückgeht. Verkündet wird am siebzehnten Dezember. Kurzer Einschub, weil das oft gefragt wird: Das ist eine Einschätzung aus der Verhandlung, kein Urteil. Und wie auch immer der Senat entscheidet, die Einwilligungspflicht aus Paragraf fünfundzwanzig des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes betrifft auch Sie als Betreiber der Seite, sobald dort Cookies gesetzt werden, die nicht unbedingt nötig sind. Handlungsempfehlung: Rufen Sie Ihre Startseite in einem privaten Browserfenster auf, lehnen Sie im Banner alles ab und sehen Sie in den Entwicklerwerkzeugen nach, welche Cookies trotzdem gesetzt werden.

Zweitens alte Lücken mit neuen Angriffen. Die amerikanische Cybersicherheitsbehörde CISA hat am achten Oktober fünf Schwachstellen in ihren Katalog aktiv ausgenutzter Lücken aufgenommen, die teils mehr als zehn Jahre alt sind. Für Webseitenbetreiber sind drei davon interessant. Beim FTP-Server ProFTPD erlaubt das Modul mod copy in Version eins Punkt drei Punkt fünf, ohne Anmeldung Dateien auf dem Server zu lesen und zu schreiben, bewertet mit zehn von zehn Punkten. Beim Redaktionssystem Strapi können Angreifer mit Zugang zum Verwaltungsbereich sensible Benutzerdaten auslesen, mit Super-Admin-Rechten laut Beschreibung auch Passwort-Hashes und Rücksetz-Token. Behoben ist das seit Version vier Punkt acht Punkt null. Und bei Apache Struts lässt sich Code einschleusen, wenn der sogenannte dynamische Methodenaufruf eingeschaltet ist. Das ist übrigens eine andere Struts-Lücke als die vom siebten Oktober. Dazu kommen der DNS-Server BIND und OnlyOffice Docs. Handlungsempfehlung: Fragen Sie Ihren Hoster oder Dienstleister ausdrücklich nach diesen fünf Namen. Wo ein FTP-Zugang offen ist, den niemand braucht, schalten Sie ihn ab. Software, für die es keine Updates mehr gibt, sollte laut heise außer Betrieb gehen.

Drittens Drupal. Am siebten Oktober hat das Sicherheitsteam des Projekts sechsundzwanzig Hinweise zu Erweiterungen auf einmal veröffentlicht. Ganz oben steht das Modul Block AJAX mit der höchsten Stufe, highly critical, zwanzig von fünfundzwanzig Punkten. Das Modul prüft Daten, mit denen ein Block aufgebaut wird, nicht ausreichend. Im schlimmsten Fall lässt sich über eingeschleuste PHP-Objekte Code auf dem Server ausführen, und zwar ohne Anmeldung. Betroffen sind allerdings nur Seiten, auf denen der Layout Builder aktiv ist oder ein anderes Block-Plugin die Daten unsicher verarbeitet. Öffentlicher Angriffscode ist bisher nicht bekannt, das Projekt stuft die Ausnutzung als theoretisch ein. Sieben weitere Hinweise aus derselben Veröffentlichung tragen die Stufe critical, darunter Zugriffsumgehungen und eine fehlerhafte Anmeldeprüfung in einem Modul für die Zwei-Faktor-Anmeldung. Handlungsempfehlung: Aktualisieren Sie Block AJAX auf Version drei Punkt null Punkt zwei. Lesen Sie vorher die Versionshinweise, denn das Projekt warnt vor Änderungen, die bestehende Einbindungen brechen können. Gehen Sie danach die übrigen Hinweise vom siebten Oktober gegen Ihre Modulliste durch.

Viertens ein Nachtrag zu unserem Thema vom neunten Oktober. Die Lücke in den Data-Center-Produkten von Atlassian, also in Jira, Confluence, Bitbucket und weiteren, wird inzwischen angegriffen. Die Sicherheitsfirma Previdian meldete laut heise einhundertsechsundfünfzig Angriffsversuche auf ihre Lockfallen-Systeme, ausgehend von fünfundzwanzig IP-Adressen aus acht Ländern. Neben dem Angriffswerkzeug ist inzwischen auch eine fertige Vorlage für ein verbreitetes Scan-Werkzeug öffentlich, Sicherheitsforscher rechnen laut heise deshalb mit weiteren Versuchen. Die CISA führt die Lücke bislang nicht in ihrem Katalog, ihre eigene Bewertung spricht noch von einem Machbarkeitsnachweis. Die Einschätzungen gehen also auseinander. Handlungsempfehlung: Wer am Freitag noch gezögert hat, spielt das Update jetzt ein. Und weil Angriffe schon laufen, gehören die Zugriffsprotokolle ab dem fünften Oktober geprüft, nicht erst ab heute.

Kommen wir zu den kürzeren Meldungen.

Fünftens Joomla-Shops. Die Shop-Erweiterung Phoca Cart prüft in den Versionen fünf Punkt null Punkt null bis sechs Punkt eins Punkt acht beim Download gekaufter Dateien die Zugangsschlüssel nicht. Wer fortlaufende Nummern durchprobiert, kann digitale Produkte fremder Kunden herunterladen, auch ganz ohne Kundenkonto. Bewertet ist das mit acht Komma sieben von zehn Punkten, Angriffe sind bisher nicht gemeldet. Eine korrigierte Version nennt der Eintrag nicht. Handlungsempfehlung: Prüfen Sie beim Hersteller Phoca, ob es eine neuere Version gibt. Bis dahin sollten Sie digitale Downloads mit vertraulichem Inhalt aus dem Verkauf nehmen.

Sechstens zwei Erweiterungen für den Seitenbaukasten Elementor unter WordPress. Premium Addons for Elementor lässt bis Version vier Punkt elf Punkt einhundertneun gespeicherte Schadskripte zu. Unlimited Elements for Elementor erlaubt bis Version zwei Punkt null Punkt zweiundzwanzig manipulierte Parameter, mit möglichen Folgen für vertrauliche Daten. Für beide braucht ein Angreifer ein angemeldetes Konto, die Bewertungen liegen jeweils bei sechs Komma fünf. Handlungsempfehlung: Premium Addons auf vier Punkt elf Punkt einhundertzehn und Unlimited Elements auf zwei Punkt null Punkt dreiundzwanzig aktualisieren und nachsehen, wer auf Ihrer Seite überhaupt ein Konto hat.

Das war Ihr Briefing für heute. Der Cookie-Test aus dem ersten Thema dauert zwei Minuten. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Freitag, der neunte Oktober zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht, drei ausführlich und drei kurz. Den Anfang macht eine Konfigurationsdatei, die von außen eigentlich niemand lesen können sollte.

Wer Jira, Confluence oder Bitbucket nicht in der Cloud nutzt, sondern auf einem eigenen Server betreibt, sollte heute zuerst dort nachsehen. Atlassian hat am fünften Oktober eine Lücke in seinen Data-Center-Produkten veröffentlicht. Ohne Anmeldung kann ein Angreifer bestimmte Dateien aus dem Webverzeichnis abrufen, sofern er Namen und Pfad kennt. Betroffen sind neben Jira, Confluence und Bitbucket auch Bamboo, Crowd, Crucible und Fisheye, bewertet mit neun Komma drei von zehn Punkten. Wie weit das reicht, haben Sicherheitsforscher von watchTowr gezeigt: Nach einem Bericht von heise lasen sie eine Konfigurationsdatei mit den Zugangsdaten für die Benutzerverwaltung Crowd aus, entnahmen das dort hinterlegte Passwort und legten sich damit ein Administratorkonto in Jira an. Atlassian meldete bei der Veröffentlichung keinen Missbrauch, ein Angriffswerkzeug ist aber öffentlich, und ein Analysedienst stuft erste Angriffe inzwischen als wahrscheinlich ein. Die Cloud-Fassungen hat der Hersteller bereits abgesichert. Handlungsempfehlung: Spielen Sie die korrigierte Version ein, die Atlassian für Ihre Produktlinie nennt. Geht das nicht sofort, nehmen Sie die Instanz vom öffentlichen Netz und prüfen Sie die Zugriffsprotokolle auf auffällige Dateiabrufe.

Zweitens zwei WordPress-Plugins, deren Lücken am dreißigsten September bekannt wurden. Das erste heißt WordPress Backup and Migration und stammt vom Anbieter WebToffee. Bis einschließlich Version eins Punkt sechs Punkt null fehlt an einer Stelle die Berechtigungsprüfung, und das lässt sich ohne Anmeldung ausnutzen. Nach der Bewertung können dabei vertrauliche Daten abfließen, eingestuft mit sieben Komma fünf von zehn Punkten. Behoben ist es in Version eins Punkt sechs Punkt eins. Das zweite ist das Suchmaschinen-Plugin von Squirrly. Dort genügt bis Version vierzehn Punkt zwei Punkt fünf ein Konto mit der Rolle Mitarbeiter, um präparierte Datenobjekte einzuschleusen. Die Bewertung liegt bei acht Komma acht und geht von schweren Folgen für die gesamte Seite aus. Die Korrektur steckt in Version vierzehn Punkt zwei Punkt sechs. Angriffe sind für beide Plugins bisher nicht gemeldet. Handlungsempfehlung: Öffnen Sie die Plugin-Liste Ihrer Seite, prüfen Sie die Versionsnummern und aktualisieren Sie. Sehen Sie bei der Gelegenheit nach, wer bei Ihnen ein Mitarbeiter-Konto hat, und entfernen Sie Konten, die niemand mehr braucht.

Drittens eine Lücke, die bereits angegriffen wird. Wer seine E-Mails über ein Gerät von Fortinet mit dem Namen FortiMail filtert, kann betroffen sein. Über präparierte Webanfragen kann ein Angreifer ohne Anmeldung beliebige Dateien auf das Gerät schreiben und es im Ergebnis übernehmen. Bewertet ist das mit neun Komma acht von zehn Punkten. Die amerikanische Cybersicherheitsbehörde CISA hat die Lücke am ersten Oktober in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Als heise am zweiten Oktober berichtete, gab es für die neueren Versionszweige noch kein Update, nur Notlösungen. Inzwischen werden korrigierte Versionen genannt, die Angaben dazu weichen zwischen den Quellen aber voneinander ab. Betroffen sind die Versionszweige von sieben Punkt zwei bis acht Punkt null. Kunden der Cloud-Fassung müssen laut Fortinet nichts unternehmen. Handlungsempfehlung: Fragen Sie Ihren Dienstleister, ob bei Ihnen ein solches Gerät läuft und welche Version darauf ist. Bis das Update eingespielt ist, nennt der Hersteller zwei Notlösungen: die identitätsbasierte Verschlüsselung abschalten oder die Verwaltungsoberfläche aus dem Internet unerreichbar machen. Beides zusammen ist die sicherere Wahl.

Kommen wir zu den kürzeren Meldungen.

Viertens ein Wechsel an der Spitze der Bundesbehörde. Seit dem ersten Oktober ist Moritz Hennemann Bundesbeauftragter für den Datenschutz und die Informationsfreiheit. Der einundvierzigjährige Rechtsprofessor aus Freiburg wurde im Juni vom Bundestag gewählt und am neunundzwanzigsten September vom Bundespräsidenten ernannt. Er folgt auf Louisa Specht-Riemenschneider, die das Amt aus gesundheitlichen Gründen Ende September abgegeben hat. Hennemann will nach eigenen Worten Datenschutz und Informationsfreiheit gleichermaßen schützen und nennt die digitale Souveränität Deutschlands als Ziel. Für die meisten Unternehmen bleibt allerdings die Aufsichtsbehörde des eigenen Bundeslandes zuständig. Handlungsempfehlung: Prüfen Sie, ob Ihre Datenschutzerklärung die richtige Aufsichtsbehörde nennt, sofern sie eine nennt.

Fünftens ein Vorfall beim Online-Händler Asos. Am Dienstag dieser Woche erhielten Kunden eine Nachricht, die nicht vom Händler stammte. Asos bestätigte nach einem Bericht der Deutschen Presse-Agentur, den heise übernommen hat, eine unbefugte Kundenbenachrichtigung und untersucht unbefugte Aktivitäten auf Plattformen von Drittanbietern, über die das Unternehmen mit Kunden kommuniziert. Namen und Kontaktdaten könnten betroffen sein, Zahlungsdaten und Passwörter nach Einschätzung des Unternehmens nicht. Ob tatsächlich Daten abgeflossen sind, ist offen. Handlungsempfehlung: Schreiben Sie auf, über welche fremden Dienste Ihr Betrieb Kunden anschreibt, etwa Newsletter-Werkzeuge oder Benachrichtigungsdienste, und sichern Sie diese Zugänge mit einem zweiten Faktor ab.

Sechstens ein Blick in die Niederlande. Das dortige Justizministerium hat eine Datenschutz-Folgenabschätzung zu Diensten von Google Cloud erstellen lassen. Geprüft wurden vier Dienste, darunter Rechenkapazität, Datenbanken und Speicher. Die Gutachter fanden elf Risiken und stufen sie am Ende als niedrig ein. Offen bleibt aber unter anderem die Übermittlung von Konto-, Diagnose- und Webseitendaten in Drittländer. Handlungsempfehlung: Wer Google Cloud nutzt, sollte für wichtige Abläufe eine Sicherung außerhalb dieser Dienste vorhalten, so wie es auch die Gutachter empfehlen.

Das war Ihr Briefing für heute. Eine Aufgabe zum Schluss: Der Blick in die Plugin-Liste aus dem zweiten Thema dauert fünf Minuten. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Mittwoch, der siebte Oktober zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht, drei ausführlich und drei kurz. Den Anfang macht eine einzige Testmail, abgeschickt im November des vergangenen Jahres, die jetzt zu einem rechtskräftigen Urteil gegen Amazon geführt hat.

Im Impressum von Amazon stand eine Adresse, die mit impressum beginnt und auf amazon punkt de endet. Wer dorthin schrieb, bekam automatisch die Antwort, dass dieses Postfach keine eingehenden Nachrichten annimmt, und wurde auf das Kundenkonto verwiesen. Der Verbraucherzentrale Bundesverband probierte das im November zweitausendfünfundzwanzig selbst aus, mahnte ab und klagte. Das Kammergericht Berlin hat Amazon am elften August untersagt, im Impressum eine E-Mail-Adresse anzugeben, über die keine Kommunikation möglich ist. Maßstab ist Paragraf fünf des Digitale-Dienste-Gesetzes. Die Pflichtangabe einer E-Mail-Adresse soll eine schnelle elektronische Kontaktaufnahme und eine unmittelbare Kommunikation ermöglichen. Ein Postfach, das Zuschriften schon bei der Entgegennahme ablehnt, leistet das nach Ansicht des Senats nicht. Es ist ein Versäumnisurteil, Amazon war nicht erschienen, und nach Angaben des Verbands ist es rechtskräftig. Ein ähnliches Risiko haben kleine Betriebe, wenn hinter der Impressums-Adresse eine Weiterleitung ins Leere läuft, ein Autoresponder Zuschriften abweist oder ein Postfach liegt, das seit dem Weggang eines Mitarbeiters niemand mehr öffnet. Handlungsempfehlung: Schicken Sie heute von einer fremden Adresse aus eine Testmail an die Adresse in Ihrem Impressum, und prüfen Sie, ob sie ankommt und ob jemand sie liest.

Zweitens für alle, die einen Shop mit PrestaShop betreiben und ihre Produkte bei Google Shopping listen. Das Modul Google Merchant Center Feed des Anbieters MyPresta erzeugt die Produktliste für Google. Sein Endpunkt feed punkt P H P nimmt Dateiname, Pfad, Endung und Inhalt aus den Parametern der Anfrage entgegen, ohne Anmeldung und ohne Prüfung. Ein Angreifer schreibt damit eine eigene Programmdatei auf den Webserver und führt sie aus, und das bedeutet die vollständige Übernahme des Shops mit allen Kundendaten. Bewertet ist das mit neun Komma drei von zehn Punkten. Betroffen sind die Versionen eins Punkt neun Punkt eins bis zwei Punkt drei Punkt acht, behoben ist es in zwei Punkt drei Punkt neun. Bekannt wurde die Lücke am neunundzwanzigsten September. Ein Analysedienst stuft erste Angriffe als wahrscheinlich ein, amtlich bestätigt ist das bisher nicht. Handlungsempfehlung: Prüfen Sie im Modul-Manager, ob dieses Modul installiert ist, und aktualisieren Sie auf zwei Punkt drei Punkt neun. Wer das Modul nicht aktiv nutzt, sollte es deinstallieren, nicht nur abschalten, denn abgeschaltete Module liegen weiter auf dem Server.

Drittens ein Urteil, das an eine Meldung von vor knapp zwei Wochen anschließt. Am sechsundzwanzigsten September ging es hier um Preisanpassungsklauseln und um die Frage, ob sich eine Entscheidung des Europäischen Gerichtshofs auf Abonnements überträgt. Jetzt hat der Bundesgerichtshof am ersten Oktober zu Amazon Prime entschieden. Die Frage von damals beantwortet das Urteil nicht, es geht um etwas anderes, nämlich um Transparenz. Im Jahr zweitausendzweiundzwanzig hatte Amazon den Jahrespreis von neunundsechzig auf neunundachtzig Euro neunzig und den Monatspreis von sieben Euro neunundneunzig auf acht Euro neunundneunzig angehoben, gestützt auf eine Klausel in den Geschäftsbedingungen. Diese Klausel ist nach dem Urteil unwirksam, weil sie gegen das Transparenzgebot verstößt. Man konnte sie so lesen, dass Kunden eine Erhöhung nur durch Kündigung abwenden können, aber auch so, dass ein Widerspruch genügt. Geklagt hatte die Verbraucherzentrale Nordrhein-Westfalen, die schon in beiden Vorinstanzen gewonnen hatte. Ob Kunden Geld zurückbekommen, war nicht Gegenstand dieses Verfahrens, dazu läuft ein gesondertes Verfahren. Für Sie wird das relevant, sobald Sie Verbrauchern etwas im Abonnement verkaufen, etwa Wartungsverträge, Software-Zugänge oder Hosting. Handlungsempfehlung: Lesen Sie Ihre eigene Preisanpassungsklausel einmal mit den Augen eines Kunden. Steht dort eindeutig, was er tun kann, wenn Sie den Preis erhöhen? Wenn nicht, lassen Sie die Klausel überarbeiten, bevor die nächste Erhöhung rausgeht.

Kommen wir zu den kürzeren Meldungen.

Viertens Apache Struts, ein Java-Rahmenwerk, das vor allem in älteren Firmenanwendungen läuft. Die Versionen sechs Punkt zwölf Punkt null und sieben Punkt vier Punkt null schließen eine Lücke, über die sich mit einer präparierten Anfrage Ausdrücke einschleusen lassen, im schlimmsten Fall bis zur Codeausführung. Das Projekt stuft sie als moderat ein. Betroffen sind nur Anwendungen, die noch den veralteten RESTful Action Mapper verwenden. Verwundbar sind die Versionen von zwei Punkt null bis sieben Punkt drei; für die alten Zweige zwei Punkt drei und zwei Punkt fünf nennt das Projekt keine Korrektur. Handlungsempfehlung: Wenn ein Dienstleister eine Struts-Anwendung für Sie betreibt, fragen Sie nach der Version und danach, welcher Mapper konfiguriert ist.

Fünftens ein Bußgeld wegen liegengebliebener Anfragen. Die französische Aufsichtsbehörde CNIL hat gegen Extia, ein Beratungsunternehmen für Informationstechnik, dreihunderttausend Euro verhängt. Im Jahr zweitausendvierundzwanzig gingen dort zweihundertfünfundsechzig Löschanträge ein. Mehr als drei Viertel wurden nicht oder nicht ordnungsgemäß bearbeitet: Zwölf blieben ganz liegen, einhundertsechsundsechzig Personen erfuhren nie, was aus ihrem Antrag geworden ist, und siebenundzwanzig verspätet, teils um Monate. Ausgelöst hatten die Prüfung Beschwerden von Bewerbern und ehemaligen Beschäftigten, dazu kam eine europaweit abgestimmte Prüfaktion zum Recht auf Löschung. Die Entscheidung stammt vom einundzwanzigsten Juli und wurde am neunten September veröffentlicht. Handlungsempfehlung: Legen Sie fest, wer in Ihrem Betrieb Löschanfragen entgegennimmt, und antworten Sie jeder Person innerhalb eines Monats, auch dann, wenn Sie nicht löschen dürfen.

Sechstens eine Erinnerung an eine Frist, über die wir Ende Juli berichtet haben. Der Europäische Datenschutzausschuss hat im Juli den Entwurf von Leitlinien veröffentlicht, wie Unternehmen Webseiten nach personenbezogenen Daten absuchen dürfen, um damit generative künstliche Intelligenz zu trainieren. Die öffentliche Konsultation läuft noch bis zum dreißigsten Oktober. Der Entwurf richtet sich an diejenigen, die solche Daten sammeln, nicht an die Betreiber der Seiten. Verbindlich ist das Papier nicht, es legt nur aus, wie die Datenschutz-Grundverordnung aus Sicht der Aufsicht auf diese Fälle anzuwenden ist. Handlungsempfehlung: Wer selbst ein Modell künstlicher Intelligenz mit Daten aus dem Netz trainiert oder trainieren lässt, sollte den Entwurf jetzt lesen. Alle anderen können bis Ende Oktober eine Stellungnahme einreichen.

Das war Ihr Briefing für heute. Eine Aufgabe zum Schluss: Die Testmail an Ihr eigenes Impressum dauert zwei Minuten. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Dienstag, der sechste Oktober zweitausendsechsundzwanzig, und wir haben sieben Themen für Sie mitgebracht. Eine Frage vorab: Läuft auf Ihrer Webseite ein Chatbot? Dann betrifft Sie gleich das erste Thema.

Das Landgericht Köln hat am siebzehnten September über den Chatbot My AI in der App Snapchat entschieden. Geklagt hatte der Verbraucherzentrale Bundesverband gegen die Snap Group Limited. Der Kern: Wer einen offenen Chatbot betreibt, muss damit rechnen, dass Nutzer dort auch über ihre Gesundheit, ihren Glauben oder ihre Sexualität schreiben. Solche Angaben gehören zu den besonders geschützten Daten nach Artikel neun der Datenschutz-Grundverordnung. Nach Auffassung des Gerichts kommt es nicht darauf an, ob der Anbieter diese Informationen überhaupt haben wollte. Wer die Chat-Eingaben für personalisierte Werbung nutzt, braucht dafür eine ausdrückliche Einwilligung. Ein allgemeiner Hinweis, den man mit OK wegklickt, reicht nicht. Untersagt hat das Gericht außerdem vorausgewählte Werbeoptionen und dass für Minderjährige die Anzeigenthemen Alkohol und Glücksspiel voreingestellt waren. Ob das Urteil rechtskräftig ist, geht aus den Berichten nicht hervor. Ein Support-Bot auf einer Handwerker- oder Praxisseite ist nicht Snapchat. Die Frage, was mit den Eingaben passiert, stellt sich aber genauso. Handlungsempfehlung: Klären Sie mit Ihrem Chatbot-Anbieter schriftlich, ob Chat-Inhalte gespeichert, ausgewertet oder für Training und Werbung genutzt werden. Wenn ja, gehört vor den ersten Chat eine echte Einwilligung, kein Hinweistext.

Zweitens ein Formular-Plugin, bei dem der Schaden direkt auf dem Konto landet. In WPForms für WordPress steckt eine Lücke, über die Fremde ohne Anmeldung Erstattungen auslösen und Abonnements kündigen können. Das Plugin prüft beim Absenden eines öffentlichen Formulars nicht, ob das mitgeschickte Zahlungsobjekt von Stripe überhaupt zu diesem Formular gehört. Treffen kann es nach der Beschreibung auch Zahlungen, die mit dem Formular gar nichts zu tun haben, solange sie über dasselbe Stripe-Konto des Betreibers laufen. Betroffen sind alle Versionen ab eins Punkt acht Punkt acht Punkt zwei vor zwei Punkt null Punkt zwei, die Lücke wurde am vierundzwanzigsten September veröffentlicht. Wer kein Stripe angebunden hat, hat hier nichts zu befürchten. Handlungsempfehlung: Aktualisieren Sie auf Version zwei Punkt null Punkt zwei oder neuer, und sehen Sie im Stripe-Dashboard nach, ob seit Mitte September Erstattungen oder Kündigungen aufgetaucht sind, die niemand aus Ihrem Team ausgelöst hat.

Drittens das schwerste Thema für WordPress-Betreiber in dieser Ausgabe. Das Plugin Visual Composer Website Builder hat bis einschließlich Version fünfundvierzig Punkt sechzehn Punkt null eine Lücke, die mit neun Komma acht von zehn Punkten bewertet ist. Ohne jedes Konto können Angreifer über einen manipulierten Adressparameter Dateien vom Server einbinden und ausführen lassen. Lässt sich auf der Seite irgendeine Datei hochladen, etwa ein Bild über ein Formular, reicht das unter Umständen für die vollständige Übernahme. Öffentliche Angriffsbeispiele liegen bereits im Netz. Handlungsempfehlung: Prüfen Sie heute, ob dieses Plugin installiert ist, auch auf alten Unterseiten und Testinstallationen. Wenn ja, aktualisieren Sie sofort auf die neueste Version. Wenn Sie es nicht zwingend brauchen, deaktivieren und löschen Sie es.

Viertens zwei Updates aus dem Maschinenraum. Der Webserver Apache ist am ersten Oktober in Version zwei Punkt vier Punkt neunundsechzig erschienen. Sie schließt eine ganze Reihe von Lücken, mehrere davon stuft Apache als mittelschwer ein. Eine davon liegt im Modul für virtuelle Hosts: Bei bestimmten Einstellungen kann ein überlanger Hostname in einer Anfrage den Server abstürzen lassen und möglicherweise sogar Code ausführen. Schon am vierundzwanzigsten September kam außerdem P H P in Version acht Punkt vier Punkt sechsundzwanzig, mit elf behobenen Lücken. Zwei davon sind für jede Seite wichtig, die selbst Verbindungen zu anderen Diensten aufbaut. Bei einer Weiterleitung auf eine fremde Domain konnten Zugangsdaten mitgeschickt werden. Und die Prüfung, ob ein Zertifikat wirklich zum angefragten Server gehört, ließ sich in bestimmten Fällen austricksen. Linux-Distributionen spielen solche Korrekturen oft ein, ohne die Versionsnummer zu ändern. Eine alte Nummer heißt also nicht automatisch, dass Ihr Server ungeschützt ist. Handlungsempfehlung: Fragen Sie Ihren Hoster oder Ihren Dienstleister, ob die Korrekturen vom Oktober für Apache und vom September für P H P eingespielt sind, und lassen Sie sich das schriftlich bestätigen.

Kommen wir zu den kürzeren Meldungen.

Fünftens Zammad, ein Helpdesk-System, das viele Firmen selbst betreiben. Die US-Cybersicherheitsbehörde CISA hat am zweiten Oktober zwei Zammad-Lücken in ihre Liste aktiv ausgenutzter Schwachstellen aufgenommen. In den Versionen sechs Punkt drei Punkt null bis sechs Punkt fünf Punkt vier lassen sich laut heise Sitzungen übernehmen und Schadcode ausführen. Die zweite Lücke erlaubt eine Rechteausweitung auf dem Server, dafür gab es laut heise zuletzt noch keine Korrektur. Handlungsempfehlung: Aktualisieren Sie auf Version sieben Punkt zwei Punkt null und prüfen Sie, ob Ihr Helpdesk überhaupt aus dem ganzen Internet erreichbar sein muss.

Sechstens Joomla, diesmal nicht der Kern, sondern Erweiterungen des Anbieters ordasoft. Die kostenlosen Fassungen von Real Estate Manager, Vehicle Manager und Book Library lassen sich ohne Anmeldung über die Sortierung öffentlicher Listen mit Datenbankbefehlen angreifen. Bekannt wurde das am achtundzwanzigsten September. Handlungsempfehlung: Real Estate Manager auf sechs Punkt sieben Punkt neun, Vehicle Manager auf sechs Punkt fünf Punkt acht und Book Library auf die neueste Version bringen.

Siebtens ein Urteil, das mit Papier zu tun hat. Das Landgericht Magdeburg hat im Juni entschieden, besprochen wird es seit Mitte September. In einer Justizvollzugsanstalt war ein Alarmordner mit Namen, Privatadressen und Telefonnummern der Bediensteten verschwunden. Ein Beamter verlangte Schadensersatz, ohne Erfolg. Auch eine Papierakte kann nach dem Gericht unter die Datenschutz-Grundverordnung fallen, hier galt sie aber nicht, weil der Ordner allein der Gefahrenabwehr im Strafvollzug diente. Zudem zeige ein verschwundener Ordner nur die abstrakte Möglichkeit eines fremden Zugriffs, eine bloße Befürchtung reiche nicht. Ob das Urteil rechtskräftig ist, geht aus den Berichten nicht hervor. Handlungsempfehlung: Nehmen Sie das nicht als Freibrief. Ordner mit Kunden-, Bewerber- oder Personaldaten gehören weggeschlossen und nach Ablauf der Fristen vernichtet, denn in Ihrem Betrieb kann schon ein verlorener Ordner eine meldepflichtige Datenpanne sein.

Das war Ihr Briefing für heute. Eine Aufgabe zum Schluss: Öffnen Sie die Plugin-Liste Ihrer WordPress-Seite und suchen Sie nach WPForms und Visual Composer Website Builder. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Mittwoch, der dreißigste September zweitausendsechsundzwanzig, und wir haben vier Themen für Sie mitgebracht, drei ausführlich und eins kurz. Drei davon haben etwas gemeinsam, das man leicht überhört. In allen drei Fällen dreht sich der Angriff um ein Benutzerkonto. Der Angreifer braucht eines, und er bekommt es leichter, als die meisten Betreiber glauben, bei Joomla sogar über die Lücke selbst.

Den Anfang macht Joomla, das Redaktionssystem, auf dem viele Vereins- und Firmenseiten laufen. Das Joomla-Projekt hat die Versionen fünf Punkt vier Punkt neun und sechs Punkt eins Punkt vier als Sicherheitsausgabe veröffentlicht. Die auffälligste Lücke betrifft eine Funktion, die eigentlich nur angemeldete Nutzer erreichen sollten, nämlich das Speichern des eigenen Profils. Laut der Sicherheitsmeldung konnten Gäste genau diese Funktion aufrufen und damit ein neues Benutzerkonto anlegen, auch wenn die Registrierung auf der Seite abgeschaltet war. Betroffen sind die Versionen bis fünf Punkt vier Punkt acht und von sechs Punkt null bis sechs Punkt eins Punkt drei. Dazu kommen eine Lücke, über die der Server Anfragen an fremde Adressen stellen kann, und zwei Wege, den eingebauten Filter gegen eingeschleusten Code zu umgehen. Diese drei setzen allerdings hohe Rechte in der Verwaltung voraus, das neue Gastkonto reicht dafür nicht. Das neue Konto hat zunächst nur die niedrigste Rolle. Wie viel das einem Angreifer bringt, hängt davon ab, was Ihre Erweiterungen angemeldeten Nutzern erlauben. Handlungsempfehlung: Spielen Sie das Update heute ein. Schauen Sie danach in die Benutzerverwaltung, ob in den letzten Wochen Konten entstanden sind, die niemand angelegt hat, obwohl Ihre Registrierung geschlossen ist. Wer noch Joomla drei betreibt, bekommt vom Projekt selbst keine Korrekturen mehr. Ein Community-Projekt hat die Fixes zwar zurückportiert, das ersetzt aber keinen Umstieg.

Zweitens eine Nachricht für alle, deren Webseite auf einem geteilten Server liegt. Die Verwaltungsoberfläche cPanel, bei sehr vielen Webhostern Standard, hatte eine Lücke, über die jedes angemeldete cPanel-Konto Programmcode mit Administratorrechten auf dem gesamten Server ausführen konnte. Der Hersteller-Eintrag bewertet das mit neun Komma vier von zehn Punkten. Eine zweite Lücke steckt im W P Toolkit, dem Werkzeug, mit dem man WordPress über cPanel installiert und verwaltet. Laut Beschreibung konnte ein angemeldeter Nutzer darüber Dateien anderer Kundenkonten lesen und dort Code ausführen. Beide Fehler sind seit dem dreiundzwanzigsten September öffentlich beschrieben, korrigierte Fassungen gibt es. Angriffe sind nach Stand der Einträge nicht gemeldet. Warum Sie das trotzdem betrifft, obwohl Sie selbst nichts falsch gemacht haben: Auf einem geteilten Server reicht ein einziger Nachbar mit einem gestohlenen oder gekauften Konto. Handlungsempfehlung: Das Update kann nur Ihr Hoster einspielen. Fragen Sie ihn schriftlich, ob cPanel und W P Toolkit auf Ihrem Server auf dem korrigierten Stand sind, und lassen Sie sich die Versionsnummern nennen.

Drittens Tutor L M S, ein WordPress-Plugin für Online-Kurse, laut dem Sicherheitsanbieter Wordfence auf mehr als hunderttausend Seiten im Einsatz. Bis einschließlich Version vier Punkt null Punkt sieben kann ein angemeldeter Nutzer mit der einfachsten Rolle, dem Abonnenten, über das Formular für Auszahlungsdaten präparierte Daten einschleusen und am Ende Programmcode auf dem Server ausführen. Bewertet ist das mit acht Komma acht von zehn Punkten. Jetzt der Punkt, der die Lücke in der Praxis gefährlicher macht, als die Rollenangabe vermuten lässt: Viele Kursseiten lassen offene Registrierung zu, damit sich Teilnehmer selbst anmelden können. Das Abonnenten-Konto legt sich der Angreifer dann einfach selbst an. Gefunden hat die Lücke Wordfence mit einem eigenen automatisierten Analysewerkzeug. Die korrigierte Version vier Punkt null Punkt acht ist verfügbar. Handlungsempfehlung: Prüfen Sie die installierte Version und aktualisieren Sie. Wenn Sie in den letzten Wochen ungewöhnliche Abonnenten-Konten oder unbekannte Dateien im Upload-Ordner sehen, holen Sie Ihren Dienstleister dazu.

Kommen wir zur kürzeren Meldung.

Viertens eine Frage, die viele Betreiber umtreibt: Verschwindet der Cookie-Banner bald? Kurze Antwort, noch nicht. Die Europäische Kommission hat mit dem sogenannten Digital-Omnibus vorgeschlagen, die Datenschutz-Grundverordnung zu ändern. Ein Artikel darin, Nummer achtundachtzig b, würde Webseiten verpflichten, ein automatisches Datenschutz-Signal aus dem Browser zu beachten. Nutzer könnten ihre Entscheidung dann einmal treffen statt auf jeder Seite neu. Im Rat, also bei den Mitgliedstaaten, ist dieser Artikel allerdings aus dem aktuellen Kompromisstext gestrichen, eine fertige Verhandlungsposition gibt es dort noch nicht. Am zehnten September haben neunzehn Organisationen, darunter der Europäische Verbraucherverband, European Digital Rights und noyb, in einem offenen Brief gefordert, den Artikel wieder aufzunehmen. Den Widerstand führt nach Darstellung der Unterzeichner die Tracking-Branche an, allen voran Google. Ob der Artikel zurückkommt, ist offen. Der Teil des Pakets, der den Datenschutz betrifft, steckt noch in der ersten Lesung. Handlungsempfehlung: Bauen Sie Ihr Banner nicht im Vorgriff auf diese Reform um. Es gelten weiter die bisherigen Regeln, also Einwilligung vor dem Setzen nicht notwendiger Cookies.

Das war Ihr Briefing für heute. Und falls Sie heute nur eine Sache erledigen: Fragen Sie Ihren Hoster nach dem Stand von cPanel. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Dienstag, der fünfzehnte September zweitausendsechsundzwanzig, und wir haben sieben Themen für Sie mitgebracht. Vier davon ausführlich, drei kurz. Es geht um eine Brille, die mitschneidet, um ein Gerichtsurteil, das Ihnen ein zusätzliches Druckmittel gibt, und um zwei WordPress-Erweiterungen mit fehlender Rechteprüfung. Bei der einen kann ein angemeldetes Konto bis zum Verwalter aufsteigen, bei der anderen lassen sich ohne jede Anmeldung fremde Kurzbefehle ausführen.

Das erste Thema kommt aus Hamburg. Die dortige Datenschutz-Aufsicht hat am zehnten September einen Prüfbericht zu den Ray-Ban Meta AI Glasses vorgelegt, also zu Metas Datenbrille. Das Ergebnis fällt deutlich aus. Die Aufnahme von Personen, die nicht zum engen Freundes- und Familienkreis gehören, wird nach Einschätzung der Behörde bis auf seltene Ausnahmen nicht zulässig sein, weil eine informierte Einwilligung in der Wirklichkeit schon mangels Transparenz gar nicht eingeholt werden kann. Und für das Training der künstlichen Intelligenz durch Meta wird es nach Auffassung der Behörde regelmässig an einer Rechtsgrundlage fehlen. Wichtig ist, wen das trifft. Die Behörde selbst benennt in ihrer Mitteilung Meta. Nach dem Prüfbericht kann aber auch der Träger der Brille in die Verantwortung geraten, sobald die Ausnahme für rein persönliche und familiäre Zwecke nicht mehr greift, also beim Aufnehmen fremder Personen im öffentlichen Raum oder beim Veröffentlichen solcher Aufnahmen. Wer zusätzlich das Training der künstlichen Intelligenz freigeschaltet lässt, kann dabei gemeinsam mit Meta verantwortlich werden. Klären Sie deshalb diese Woche, ob in Ihrem Haus Datenbrillen im Einsatz sind, und treffen Sie eine schriftliche Regelung dazu.

Das zweite Thema ist ein Urteil des Bundesgerichtshofs vom einundzwanzigsten Juli, Aktenzeichen sechs Z R einhundertvierundvierzig Schrägstrich dreiundzwanzig. Die Frage lautet, ob jemand, dessen Daten unrechtmässig weitergegeben wurden, zusätzlich zur Datenschutz-Grundverordnung nach deutschem Zivilrecht auf Unterlassung klagen kann. Der Bundesgerichtshof sagt, ein solcher Unterlassungsanspruch nach nationalem Recht könne nicht grundsätzlich mit dem Argument abgelehnt werden, das europäische Recht regele die Sache abschliessend. Damit kommt neben Auskunft und Schadensersatz ein dritter Hebel in Betracht, nämlich die gerichtliche Anordnung, eine Weitergabe künftig zu unterlassen. Dokumentieren Sie deshalb Ihre Datenweitergaben an Dienstleister, Auskunfteien und Partnerunternehmen sauber, und halten Sie bei jedem Widerspruch schriftlich fest, wann Sie ihn umgesetzt haben.

Drittens ein Fall für alle, die ein Mitglieder- oder Kundenkonto anbieten. WP Fusion Pro verbindet eine WordPress-Seite mit Kundenverwaltungs-Systemen. In allen Fassungen bis einschliesslich drei Punkt siebenundvierzig Punkt dreizehn prüft die Erweiterung in der automatischen Anmelde-Funktion für den Bezahldienst ThriveCart nicht ausreichend, welche Rolle sich jemand zuweisen lässt. Ein angemeldetes Konto ab Abonnenten-Stufe kann sich dadurch ein Verwalter-Konto anlegen. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, eins vier vier vier vier, bewertet mit sieben Komma fünf. Zwei Voraussetzungen gehören dazu. Der Angreifer braucht neben dem Konto den Zugangsschlüssel Ihrer Seite, und die automatische Anmelde-Funktion muss eingeschaltet sein. Der Eintrag stuft die Angriffskomplexität deshalb ausdrücklich als hoch ein. Rechnen Sie aber nicht damit, dass der Schlüssel geheim ist. Er steht im Anmelde-Link, den jeder Käufer nach dem Kauf anklickt. Wer diese Kopplung nutzt, hat ihn längst aus der Hand gegeben. Aktualisieren Sie WP Fusion Pro heute auf eine Fassung oberhalb von drei Punkt siebenundvierzig Punkt dreizehn, und sehen Sie anschliessend die Liste Ihrer Verwalter-Konten durch.

Das vierte Thema ist das Newsletter-Plugin Email Subscribers und Newsletters vom Hersteller Icegram. In allen Fassungen bis einschliesslich fünf Punkt neun Punkt siebenundzwanzig lassen sich darüber beliebige Kurzbefehle ausführen, und zwar ohne Anmeldung. Kurzbefehle sind die eckigen Platzhalter, mit denen WordPress im Text den Inhalt einer ganz anderen Funktion einsetzt. Wer sie frei wählen kann, bekommt Inhalte zu sehen, die für ihn nicht bestimmt sind. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, eins zwei sieben fünf sieben, bewertet mit sechs Komma fünf, veröffentlicht am siebten September. Aktualisieren Sie dieses Plugin heute auf die neueste verfügbare Fassung. Wenn Sie es nicht mehr nutzen, löschen Sie es, statt es nur zu deaktivieren.

Kommen wir zu den kürzeren Meldungen.

Fünftens, ein Hinweis für Ihren Netzwerkschrank. Die amerikanische Cyber-Sicherheitsbehörde hat am zehnten September zwei Lücken in RouterOS, dem Betriebssystem der MikroTik-Router, in ihr Verzeichnis der tatsächlich ausgenutzten Schwachstellen aufgenommen. Die Kennungen lauten C V E zweitausendsechsundzwanzig, Bindestrich, sechs sieben zwei sieben sieben, eine fehlende Anmeldeprüfung an einer kritischen Funktion, sowie C V E zweitausendsechsundzwanzig, Bindestrich, acht sechs null sechs null, bei der sich über Sonderzeichen in einem Befehl die Rechte ausweiten lassen. In dieses Verzeichnis nimmt die Behörde eine Lücke nur auf, wenn sie eine tatsächliche Ausnutzung als belegt ansieht. Geschlossen sind beide Lücken in den Fassungen sechs Punkt neunundvierzig Punkt einundzwanzig, sieben Punkt dreiundzwanzig Punkt vier und sieben Punkt vierundzwanzig Punkt zwei. Prüfen Sie diese Woche den Versionsstand Ihres Routers und spielen Sie die Aktualisierung des Herstellers ein.

Sechstens, Masteriyo LMS, eine Erweiterung für Online-Kurse. In allen Fassungen bis einschliesslich zwei Punkt zwei Punkt null fehlt eine Berechtigungsprüfung, sodass sich ohne jede Anmeldung der Lernfortschritt beliebiger Teilnehmer löschen lässt. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, acht zwei sieben neun, bewertet mit fünf Komma drei. Der Schaden ist kein Datenabfluss, sondern verlorene Arbeit Ihrer Kursteilnehmer. Aktualisieren Sie die Erweiterung und sorgen Sie für eine Sicherung, aus der sich Lernstände zurückholen lassen.

Siebtens noch eine Nachricht aus der Aufsicht selbst. Die Datenschutzkonferenz, das Gremium der deutschen Aufsichtsbehörden, traf sich Anfang September in Speyer zu ihrer vierten Strategieklausur. Angekündigt sind unter anderem erste Schritte hin zu einer gemeinsamen Entscheidungsdatenbank. Die Konferenz nennt dafür allerdings selbst eine Voraussetzung für eine zügige Umsetzung, nämlich ihre gesetzliche Verankerung samt eigener Geschäftsstelle. Die liegt bislang nur als Gesetzentwurf vor, über den wir am zwölften September gesprochen haben. Eine öffentliche Sammlung wäre für Sie eine gute Nachricht, denn bisher ist schwer zu erkennen, wie die Behörden einen Fall bewerten. Beobachten Sie das, mehr ist heute nicht zu tun.

Das war Ihr Briefing für heute. Eine Frist läuft weiter. Am siebenundzwanzigsten September tritt das Dritte Gesetz zur Änderung des Gesetzes gegen den unlauteren Wettbewerb in Kraft, das Werbung mit Umweltaussagen betrifft. Noch zwölf Tage. Wenn Sie mit Klimaneutralität werben, legen Sie die Nachweise dafür jetzt an einer Stelle zusammen. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Montag, der vierzehnte September zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht. Vier davon ausführlich, zwei kurz. Es geht um eine Lücke, die bereits ausgenutzt wird, um ein Registrierungsformular, das Fremden das Wort erteilt, und um eine Programmbibliothek, die auf Ihrer Seite liegt, obwohl Sie sie nie installiert haben.

Zehn Komma null. Das ist der Höchstwert der gängigen Schwachstellen-Skala, und er kommt selten vor. Er gilt für eine Lücke in GitLab, der Verwaltungssoftware für Programmcode, die auch auf eigenen Servern betrieben wird. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, acht fünf sieben null sechs. Über die Schnittstelle für Repository-Commits kann ein Angreifer unter bestimmten Voraussetzungen ohne jede Anmeldung beliebige Dateien vom Server lesen; die Ursache ist eine fehlende Pfadbegrenzung zusammen mit einer fehlenden Anmeldeprüfung. Betroffen sind die Fassungen achtzehn Punkt sieben bis vor neunzehn Punkt eins Punkt acht, neunzehn Punkt zwei bis vor neunzehn Punkt zwei Punkt sechs und neunzehn Punkt drei bis vor neunzehn Punkt drei Punkt zwei. Die amerikanische Cyber-Sicherheitsbehörde hat die Lücke am elften September in ihr Verzeichnis der tatsächlich ausgenutzten Schwachstellen aufgenommen; die Frist, die sie ihren eigenen Behörden dafür setzt, endet heute. In einem Dateisystem, das sich beliebig auslesen lässt, liegen Zugangsdaten, Schlüssel und Konfigurationsdateien. Aktualisieren Sie eine eigene Instanz deshalb heute auf neunzehn Punkt eins Punkt acht, neunzehn Punkt zwei Punkt sechs oder neunzehn Punkt drei Punkt zwei, und wechseln Sie anschliessend die dort hinterlegten Zugangsdaten.

Zweites Thema, und auch hier braucht ein Angreifer kein Konto. Das WordPress-Plugin User Profile Builder erzeugt Registrierungsformulare und Mitgliederbereiche. In allen Fassungen bis einschliesslich drei Punkt fünfzehn Punkt sieben prüft es das Feld für die Kurzbiografie weder bei der Eingabe noch bei der Ausgabe. Wer also das öffentliche Registrierungsformular erreicht, kann dort Programmcode hinterlegen, der danach im Browser jedes Besuchers der betroffenen Seite läuft. Kein Konto nötig, keine Rechte nötig. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, sechs vier drei eins, bewertet mit sieben Komma zwei. Über dieses Plugin haben wir am achtzehnten August schon einmal gesprochen; damals ging es um eine andere Lücke, das hier ist ein neuer Fall. Aktualisieren Sie dieses Plugin deshalb heute auf die neueste verfügbare Fassung. Prüfen Sie zusätzlich, ob Ihre Seite eine offene Registrierung mit Profilfeldern anbietet, und schalten Sie diese Registrierung ab, falls Sie nicht aktualisieren können.

Drittes Thema. Es betrifft eine Stelle, an der bisher selten jemand hinsieht, nämlich die Bezahlstrecke. Das Block-Paket Otter Blocks bindet Zahlungen über den Dienstleister Stripe ein. In allen Fassungen bis einschliesslich drei Punkt eins Punkt sieben prüft die zuständige Funktion einen vom Nutzer gelieferten Schlüssel nicht. Die Produkt-Kennung in der Adresse der Bezahlseite lässt sich dadurch unabhängig von der Preis-Kennung ändern. Im Ergebnis bezahlt jemand das günstige Produkt und bekommt das teure freigeschaltet, ohne Anmeldung und damit automatisierbar. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, vier neun vier fünf, bewertet mit fünf Komma drei, also mittel. Diese Zahl beschreibt den technischen Schaden, nicht den kaufmännischen. Aktualisieren Sie Otter Blocks heute auf die neueste verfügbare Fassung. Gleichen Sie ausserdem in dieser Woche einmal ab, ob Ihre Bestellungen der letzten Wochen zum tatsächlich vereinnahmten Betrag passen, und lassen Sie prüfen, ob Ihre Bezahlstrecke Produkt- oder Preis-Kennungen offen in der Adresszeile führt.

Viertes Thema, und das ist der unsichtbare Fall dieser Folge. Die Bibliothek commonmark aus der PHP League verwandelt Markdown-Text in HTML. Kaum ein Seitenbetreiber hat sie bewusst ausgewählt; sie kommt als Bestandteil anderer Pakete mit. Zwei Schwachstellen sind veröffentlicht. Die erste, Kennung C V E zweitausendsechsundzwanzig, Bindestrich, acht sechs vier drei eins, betrifft die Fassungen ab zwei Punkt sieben Punkt null bis vor zwei Punkt neun Punkt eins. Ein einziges unsichtbares Steuerzeichen vor einem Attributnamen genügt, damit der Filter das schädliche Attribut nicht mehr als solches erkennt und durchlässt. Die zweite, Kennung acht sechs vier zwei neun, reicht weiter zurück, nämlich bis zur Fassung eins Punkt fünf Punkt null, und lässt kleine, präparierte Dokumente den Server bis zum Stillstand auslasten. Beide setzen voraus, dass die betreffenden Zusatzmodule eingeschaltet sind; in der Voreinstellung sind sie es nicht. Bereinigt sind beide in zwei Punkt neun Punkt eins. Fragen Sie Ihren Dienstleister, ob diese Bibliothek in Ihrem Projekt steckt und in welcher Fassung.

Kommen wir zu den kürzeren Meldungen.

Fünftens, Flamingo. Das Plugin speichert die Einsendungen aus Contact Form sieben. In allen Fassungen bis einschliesslich zwei Punkt sechs Punkt zwei fehlt eine Berechtigungsprüfung, sodass schon ein Konto auf der Mitarbeiter-Stufe die angelegten Kanäle und Schlagworte auslesen kann. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, eins zwei acht fünf drei, bewertet mit fünf Komma vier. Zur Genauigkeit gehört hier auch, was nicht drinsteht: Von den Inhalten der Einsendungen ist in der Veröffentlichung nicht die Rede. Gehen Sie trotzdem heute die Liste Ihrer Benutzerkonten durch und entziehen Sie nicht mehr benötigte Rechte.

Sechstens, Powerkit. Dieses Erweiterungspaket schreibt beim verzögerten Bildaufbau den fertigen Programmcode der Seite noch einmal um, und zwar mit einem Suchmuster statt mit einem richtigen Leser. In allen Fassungen bis einschliesslich drei Punkt null Punkt vier lässt sich darüber Programmcode einschleusen, allerdings nur mit einem Konto ab Mitarbeiter-Stufe. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, zwei drei neun null, bewertet mit sechs Komma vier. Gestern traf es die verzögerte Bildanzeige in einem anderen Beschleunigungs-Modul, dort allerdings ohne Konto, dafür erst nach Freigabe des Kommentars. Aktualisieren Sie Powerkit heute auf die neueste verfügbare Fassung, und notieren Sie sich, welcher Baustein bei Ihnen das Umschreiben übernimmt.

Das war Ihr Briefing für heute. Eine Frist läuft weiter: Am siebenundzwanzigsten September tritt das Dritte Gesetz zur Änderung des Gesetzes gegen den unlauteren Wettbewerb in Kraft, das Werbung mit Umweltaussagen betrifft. Noch dreizehn Tage. Wenn Sie mit Klimaneutralität werben, sammeln Sie diese Woche die Nachweise dafür an einer Stelle. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Sonntag, der dreizehnte September zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht. Vier davon ausführlich, zwei kurz. Es geht um ein Urteil, das die Frage nach Künstlicher Intelligenz von der Ausgabe auf das Modell selbst verschiebt, um eine ganze Fehlerfamilie in Kontaktformularen, und um ein Einwilligungs-Werkzeug, das zum Einfallstor geworden ist.

Wir beginnen mit einer Entscheidung, die viele zunächst für ein Thema der Musikbranche halten werden. Das Landgericht München Eins, zweiundvierzigste Zivilkammer, hat am einunddreissigsten Juli unter dem Aktenzeichen zweiundvierzig O sieben sechs drei Schrägstrich fünfundzwanzig zugunsten der Verwertungsgesellschaft GEMA gegen den Anbieter des Musikgenerators Suno entschieden. Der entscheidende Satz betrifft nicht das erzeugte Lied. Die Kammer wertet bereits die Speicherung geschützter Werke in den Parametern des Modells als Vervielfältigung nach Paragraph sechzehn des Urheberrechtsgesetzes. Damit rückt das Training selbst in den Blick, nicht erst das Ergebnis. Wir sagen ausdrücklich dazu, was wir nicht geprüft haben: Der amtliche Volltext lag uns nicht vor, und ob die Entscheidung Bestand hat, ist offen. Belegt sind Gericht, Datum, Aktenzeichen, Streitgegenstand und die Normenkette; der eben genannte Kernsatz stammt aus der Fachberichterstattung, nicht aus dem Urteilstext selbst. Für Sie als Betreiber heisst das trotzdem etwas Konkretes. Wenn auf Ihrer Seite Bilder, Texte oder Musik aus generativen Werkzeugen stehen, dann fragen Sie bei Ihrem Anbieter nach, worauf sein Modell trainiert wurde und wer für Ansprüche Dritter einsteht. Ein Nutzungsrecht am Ergebnis ist wenig wert, solange über die Grundlage nichts gesagt wird.

Zweites Thema, und das ist kein Einzelfall, sondern ein Muster. Vier voneinander unabhängige Formular-Erweiterungen für WordPress lassen den Shortcode-Parser über Werte laufen, die ein Besucher selbst in das Formular getippt hat. Wer dort ein Shortcode-Muster einträgt, bringt die Seite dazu, es auszuführen, ohne jede Anmeldung. Betroffen sind Ninja Forms von Fassung drei Punkt vierzehn Punkt zehn bis vor drei Punkt fünfzehn Punkt zwei, Kennung C V E zweitausendsechsundzwanzig, Bindestrich, acht null vier drei sieben. Dann Redirection for Contact Form sieben von zwei Punkt zwei Punkt sieben bis vor drei Punkt zwei Punkt elf, Kennung acht null vier drei neun. JetFormBuilder vor drei Punkt sechs Punkt fünf Punkt zwei, Kennung eins neun acht fünf neun. Und Contact Form sieben Captcha vor null Punkt eins Punkt neun, Kennung acht fünf eins eins sieben. Über Ninja Forms haben wir am zehnten September schon einmal gesprochen, damals ging es um ein Zusatzmodul und eine ganz andere Lücke. Die Einzelbewertungen liegen zwischen vier Komma acht und sechs Komma fünf, also im mittleren Bereich. Diese Zahlen führen hier in die Irre, denn der Schaden hängt davon ab, welche Shortcodes auf Ihrer Seite sonst noch registriert sind. Aktualisieren Sie diese vier Erweiterungen heute.

Drittes Thema. Das Einwilligungs-Werkzeug iubenda, das auf vielen Seiten das Cookie-Banner stellt, trägt in allen Fassungen bis einschliesslich drei Punkt dreizehn Punkt vier zwei Lücken für dauerhaft gespeicherte Skripte, eingeschleust über Kommentarinhalte. Die Kennungen lauten C V E zweitausendsechsundzwanzig, Bindestrich, sieben sieben zwei drei drei und sieben sieben zwei sechs drei, bewertet mit sieben Komma zwei, unauthentifiziert ausnutzbar, bereinigt in drei Punkt dreizehn Punkt fünf. Die erste der beiden greift nur, wenn im Plugin die ältere Verarbeitungs-Einstellung aktiv ist; die zweite hat diese Einschränkung nicht. Der Punkt daran ist unangenehm und sollte offen ausgesprochen werden: Ausgerechnet der Baustein, der auf der Seite den Datenschutz herstellen soll, wird selbst zum Einfallstor. Wer ein Einwilligungs-Werkzeug einsetzt, prüft also nicht nur, ob es richtig konfiguriert ist, sondern auch, ob es aktuell ist. Setzen Sie dieses Plugin ein, aktualisieren Sie es heute.

Viertes Thema, und es ist das gefährlichste dieser Folge. Die Erweiterung Frontend Admin by DynamiApps ist in allen Fassungen bis einschliesslich drei Punkt neunundzwanzig Punkt zwölf mit neun Komma acht bewertet, also kritisch. Eine Berechtigungsprüfung greift nicht, sobald eine Kennung nicht rein numerisch ist. Ein Angreifer ohne Konto kann darüber die hinterlegte Mailadresse eines beliebigen Benutzers überschreiben, auch die des Administrators, und anschliessend über die normale Passwort-vergessen-Funktion das Konto übernehmen. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, sieben fünf acht eins sechs. Eine bereinigte Fassung nennt die Veröffentlichung hier nicht; wer Frontend Admin braucht, nimmt das Plugin bis auf Weiteres vom Netz. Aus derselben Familie stammt RegistrationMagic vor sechs Punkt null Punkt neun Punkt neun, Kennung sieben sieben acht zwei sechs, acht Komma acht: Das Plugin prüft nicht, für welche Anwendung ein fremdes Anmelde-Merkmal ausgestellt wurde, und legt im Zweifel ein Konto an, obwohl die Registrierung auf der Seite abgeschaltet ist. Prüfen Sie heute, ob eine dieser beiden Erweiterungen bei Ihnen läuft, und wenn ja, ob sie überhaupt gebraucht wird. Sehen Sie anschliessend die Benutzerliste durch, ob dort Konten stehen, die Sie nicht angelegt haben.

Kommen wir zu den kürzeren Meldungen.

Fünftens, W3 Total Cache. Das Beschleunigungs-Modul verarbeitet in allen Fassungen bis einschliesslich zwei Punkt zehn Punkt fünf Kommentarinhalte beim verzögerten Laden von Hintergrundbildern und gibt sie ungefiltert aus. Kennung C V E zweitausendsechsundzwanzig, Bindestrich, sieben acht vier drei acht, sieben Komma zwei, bereinigt in zwei Punkt zehn Punkt sechs. Solche Werkzeuge werden einmal eingerichtet und danach selten wieder angefasst. Sehen Sie nach, welche Fassung bei Ihnen läuft, und aktualisieren Sie auf zwei Punkt zehn Punkt sechs.

Sechstens, und das ist der Fall, den Sie in keiner Plugin-Liste finden. Kirki ist ein Baukasten, den viele Themes einfach mitbringen, oft ohne dass man ihn je selbst installiert hat. In Fassungen von sechs Punkt zwei Punkt eins bis vor sechs Punkt drei Punkt null lässt sich über Kommentare Programmcode hinterlegen, der dann im Browser jedes Betrachters läuft, auch im Browser des Administrators. Kennung C V E zweitausendsechsundzwanzig, Bindestrich, acht vier zwei eins neun, sieben Komma fünf. Wenn Ihr Theme Kirki mitliefert, taucht es in Ihrer Übersicht möglicherweise gar nicht auf. Fragen Sie im Zweifel Ihren Dienstleister, welche Bausteine Ihr Theme mitbringt.

Das war Ihr Briefing für heute. Eine Frist läuft weiter: Am siebenundzwanzigsten September tritt das Dritte Gesetz zur Änderung des Gesetzes gegen den unlauteren Wettbewerb in Kraft, das Werbung mit Umweltaussagen betrifft. Noch vierzehn Tage. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Samstag, der zwölfte September zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht. Wir beginnen mit einem Gericht und kommen dann zu einer Reihe von Lücken, von denen zwei unmittelbar Geld kosten können.

Das Oberlandesgericht Brandenburg hat am fünften August ein weiteres Verfahren um die sogenannten Geschäftswerkzeuge von Meta entschieden, also um Zählpixel, Software-Bausteine und die serverseitige Schnittstelle, die Webseitenbetreiber auf ihren eigenen Seiten einbinden. Das Aktenzeichen ist vier U vierundzwanzig Schrägstrich sechsundzwanzig. Der amtliche Volltext lag uns nicht vor, und wie das Verfahren ausgegangen ist, ist aus den ausgewerteten Quellen nicht belegt. Belegt sind Gericht, Datum, Aktenzeichen und die Liste der herangezogenen Vorschriften, und die ist der eigentliche Hinweis. Dort stehen unter anderem Artikel fünfundzwanzig und Artikel sechsundzwanzig der Datenschutz-Grundverordnung nebeneinander, also Datenschutz durch Technikgestaltung und gemeinsame Verantwortlichkeit. Nicht zu verwechseln mit der Entscheidung desselben Gerichts zum Mitarbeiterexzess, über die wir am fünften September gesprochen haben: anderes Aktenzeichen, anderer Senat, anderes Thema. Unabhängig vom Ausgang lohnt der Blick auf die eigene Seite. Ob ein Webseitenbetreiber, der solche Werkzeuge einbindet, gemeinsam mit dem Anbieter verantwortlich ist, hängt vom Einzelfall ab und ist in der laufenden Verfahrenswelle nicht abschliessend geklärt; wir hatten das am zweiten September am Jenaer Urteil eingeordnet. Liegt eine gemeinsame Verantwortlichkeit vor, verlangt Artikel sechsundzwanzig der Datenschutz-Grundverordnung, dass das Wesentliche der Vereinbarung den betroffenen Personen zur Verfügung gestellt wird. Sehen Sie deshalb heute nach, ob auf Ihrer Seite überhaupt ein solcher Hinweis steht, und ergänzen Sie ihn im Zweifel vorsorglich.

Zweites Thema, und es betrifft jeden Online-Shop, der WooCommerce einsetzt. In WooCommerce steckt in allen Fassungen vor elf Punkt null eine blinde Einschleusung von Datenbankbefehlen. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, fünf sieben sieben sieben sieben, die Bewertung liegt bei sieben Komma sechs. Wichtig für die Einordnung: Der Angreifer braucht ein Konto mit hoher Berechtigung, die Veröffentlichung nennt die Stufe des Shop-Verwalters. Im Ein-Personen-Betrieb entschärft das die Lage. In jedem Shop, in dem Dienstleister, Aushilfen oder ausgeschiedene Mitarbeiter noch solche Zugänge haben, entschärft es nichts. Bereinigt ist Fassung elf Punkt null. Aktualisieren Sie, und gehen Sie danach die Nutzerliste Ihres Shops durch: Entziehen Sie jedem die Verwalterrolle, der sie nicht mehr braucht.

Drittes Thema, und hier geht es unmittelbar um Geld. Zwei Erweiterungen prüfen nicht nach, ob eine Zahlungsbestätigung wirklich vom Zahlungsdienst stammt. Bei ePayco für WooCommerce vor Fassung acht Punkt vier Punkt sieben kann ein Angreifer ohne jede Anmeldung eine Bestellung als bezahlt markieren, ohne gültige Signatur des Zahlungsdienstes. Bei Restaurant Menu and Food Ordering vor Fassung zwei Punkt vier Punkt zwölf lässt sich eine Zahlungsbenachrichtigung des Bezahldienstes PayPal fälschen und die eigene Bestellung als bezahlt und abgeschlossen setzen, ohne zu zahlen. Die Kennungen lauten C V E zweitausendsechsundzwanzig, Bindestrich, acht vier null vier drei, und acht vier null vier vier, beide bewertet mit fünf Komma drei. Diese Zahl täuscht: Technisch ist der Eingriff klein, wirtschaftlich ist er der volle Warenwert. Bereinigt sind die Fassungen acht Punkt vier Punkt sieben und zwei Punkt vier Punkt zwölf. Wenn Sie eine dieser Anbindungen einsetzen, aktualisieren Sie heute und gleichen Sie die Bestellungen der vergangenen Wochen gegen Ihre tatsächlichen Zahlungseingänge ab.

Viertes Thema, diesmal für alle, die nicht WordPress einsetzen. Das schlanke Redaktionssystem Grav ist in allen Fassungen vor zwei Punkt null Punkt achtzehn für die Ausführung fremden Programmcodes anfällig. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, acht fünf sechs null vier, die Bewertung liegt bei acht Komma acht. Entscheidend ist die nötige Rechtestufe: Es genügt ein angemeldetes Konto mit blossen Schreibrechten auf Seiten. Wer Redakteuren einen Zugang gibt, vergibt damit nach dem beschriebenen Stand auch die Möglichkeit, Programmcode auf dem Webserver auszuführen. Das ist kein Grund, Redakteuren Rechte zu entziehen, wohl aber einer, heute die Fassungsnummer nachzusehen. Bereinigt ist zwei Punkt null Punkt achtzehn; wer darunter liegt, aktualisiert heute.

Kommen wir zu den kürzeren Meldungen.

Erstens, eine leise Lücke mit unangenehmer Wirkung. Die Beschleunigungs-Erweiterung WP Fastest Cache hat vor Fassung eins Punkt fünf Punkt eins bestimmte Nachverfolgungs-Parameter nicht in den Schlüssel des Seitenspeichers aufgenommen, die damit aufgerufenen Seiten aber trotzdem gespeichert. Die Folge: Eine Seite, die aus der Anfrage eines Fremden entstanden ist, landet unter der sauberen Adresse im Speicher und wird jedem weiteren Besucher ausgeliefert. Eine Anmeldung braucht es dafür nicht. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, sieben vier neun eins sechs, die Bewertung liegt bei sechs Komma fünf. Aktualisieren Sie auf Fassung eins Punkt fünf Punkt eins und leeren Sie danach den Seitenspeicher einmal vollständig.

Zweitens, ein Blick auf etwas, das noch kein geltendes Recht ist. Der Bundesrat hat einen Gesetzentwurf zur Änderung des Bundesdatenschutzgesetzes in den Bundestag eingebracht; die Drucksachennummer ist einundzwanzig Schrägstrich sieben sieben drei zwei. Der Entwurf will die Datenschutzkonferenz gesetzlich verankern, ihr verbindliche Mehrheitsbeschlüsse ermöglichen und die Prüfung eines Verfahrens durch eine Aufsichtsbehörde für die übrigen Behörden bindend machen. Für Betriebe mit Standorten in mehreren Bundesländern klingt das nach weniger Doppelprüfungen. Die Bundesregierung begrüsst das Ziel, hält Teile aber mit Blick auf die unionsrechtlich garantierte völlige Unabhängigkeit der Aufsichtsbehörden und das verfassungsrechtliche Verbot der Mischverwaltung für bedenklich. Behandeln Sie das als das, was es heute ist, nämlich einen Entwurf, und lesen Sie den zweiten Teil mit: Verbindliche Beschlüsse können Prüfpflichten ebenso gut verschärfen wie erleichtern.

Zum Schluss die Uhr, die weiterläuft. Noch fünfzehn Tage bis zum Stichtag des Dritten Gesetzes zur Änderung des Gesetzes gegen den unlauteren Wettbewerb am siebenundzwanzigsten September. Eine Produktaussage, die sich auf den Ausgleich von Treibhausgasemissionen stützt und dem Produkt deshalb neutrale, verringerte oder positive Auswirkungen zuschreibt, steht ab dem Stichtag auf der Liste der stets unzulässigen Praktiken. Dort hilft kein Beleg und kein erklärender Zusatz; solche Aussagen gehören schlicht heraus. Auf derselben Liste stehen unter anderem die allgemeine Umweltaussage ohne nachgewiesene anerkannte hervorragende Umweltleistung, die Umweltaussage über das ganze Produkt, die nur einen Teilaspekt betrifft, und das selbst vergebene Nachhaltigkeitssiegel. Gehen Sie bis zum Stichtag Ihre Werbung durch und prüfen Sie jede Umweltaussage gegen diese vier Fälle.

Das war Ihr Datenschutz-Briefing von Experto Mundi. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Freitag, der elfte September zweitausendsechsundzwanzig, und wir haben sieben Themen für Sie mitgebracht. Wir beginnen mit zwei Gerichten, die innerhalb weniger Tage über dasselbe Recht entschieden haben, das eine über den Inhalt der Auskunft, das andere über ihr Format.

Das Oberlandesgericht Stuttgart hat am einunddreissigsten Juli entschieden, dass der Auskunftsanspruch aus Artikel fünfzehn der Datenschutz-Grundverordnung keinen Anspruch auf ein maschinenlesbares Format begründet. Das Aktenzeichen ist fünf U zweihunderteinundsiebzig Schrägstrich vierundzwanzig; ob die Entscheidung rechtskräftig ist, sagen die ausgewerteten Quellen nicht. Geklagt hatte ein Spieler gegen einen Anbieter von Online-Glücksspielen. Er wollte seine vollständige Zahlungs- und Spielhistorie, um mögliche Rückzahlungsansprüche beziffern zu können. Der Anbieter hatte bereits Dateien im P D F-Format übermittelt, der Kläger verlangte zusätzlich eine Fassung, die sich maschinell weiterverarbeiten lässt. Das Gericht sagt dazu: Die Auskunft soll die Angaben für den Betroffenen vor allem verständlich und zugänglich machen, und dafür kann eine P D F-Datei in der Regel genügen. Ein maschinenlesbares Format sieht die Verordnung erst beim Recht auf Datenübertragbarkeit nach Artikel zwanzig vor, und dort nur für Daten, die die betroffene Person selbst bereitgestellt hat. Halten Sie diese Trennung in Ihrer internen Prozessbeschreibung fest, damit Sie nicht mehr zusagen als nötig und nicht weniger als geschuldet.

Zweites Thema, und es nimmt dasselbe Recht von der inhaltlichen Seite. Das Verwaltungsgericht Berlin hat am fünften August entschieden, dass eine Antwort, die im Kern auf die allgemeinen Datenschutzhinweise verweist, den Auskunftsanspruch nicht erfüllt. Verlangt sind die konkreten Empfänger, die konkreten Datenquellen und auch interne Vermerke, soweit sie personenbezogene Daten enthalten. Das Aktenzeichen ist zweiundvierzig K fünfzig Punkt fünfundzwanzig. Der amtliche Volltext lag uns nicht vor, ausgewertet ist die Fachberichterstattung; es handelt sich um eine erstinstanzliche Entscheidung, und ob sie rechtskräftig ist, sagen die ausgewerteten Quellen ebenfalls nicht. Zusammen mit dem Stuttgarter Urteil ergibt sich eine brauchbare Doppelbotschaft: inhaltlich vollständig ja, technisch aufwendig nein. Nehmen Sie sich Ihre Standardantwort auf Auskunftsanfragen vor und prüfen Sie, ob dort Empfänger und Datenquellen namentlich stehen. Nach dieser Entscheidung ist ein Verweis auf die eigene Datenschutzerklärung keine Auskunft.

Drittes Thema, und hier sind alle angesprochen, die WordPress betreiben. Die Erweiterung LiteSpeed Cache ist in allen Fassungen bis einschliesslich sieben Punkt neun angreifbar. Eingeordnet ist das als serverseitige Anfragefälschung: Der Server lässt sich zu Abrufen an Adressen bringen, die der Angreifer vorgibt. Eine Anmeldung braucht es dafür nicht. Wie weit das im Einzelfall trägt, hängt von Ihrer Serverumgebung ab; die Bewertung weist die Wirkung auf Vertraulichkeit und Integrität jeweils nur als gering aus. Der Gesamtwert liegt bei sieben Komma zwei, die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, acht vier sieben sechs eins, bereinigt ist Fassung sieben Punkt neun Punkt eins. Sehen Sie in Ihrer Erweiterungsliste nach der Fassungsnummer und aktualisieren Sie.

Viertes Thema, drei Lücken aus dem Umfeld der Formulare, alle drei ohne Anmeldung ausnutzbar und alle drei am dritten September veröffentlicht. Betroffen sind das Versandmodul Mail Mint bis einschliesslich Fassung eins Punkt einunddreissig Punkt null, dort mit derselben Objekt-Rückwandlung, über die wir gestern beim Ninja-Forms-Zusatzmodul gesprochen haben. Dazu die Angebots-Erweiterung YITH Request a Quote for WooCommerce Premium in Fassungen vor vier Punkt sechsundvierzig Punkt null mit einer fehlenden Zugriffsprüfung, und der Rechner für Contact Form Sieben bis einschliesslich Fassung eins Punkt null mit einer Skript-Einbettung. Bereinigt sind die Fassungen eins Punkt einunddreissig Punkt eins, vier Punkt sechsundvierzig Punkt null und eins Punkt eins. Die ersten beiden sind mit neun Komma acht bewertet, also im kritischen Bereich. Sehen Sie heute nach, welche Formular-Erweiterungen bei Ihnen aktiv sind, aktualisieren Sie diese drei, und werfen Sie heraus, was niemand mehr benutzt.

Kommen wir zu den kürzeren Meldungen.

Erstens, ein Nachtrag zu der Chrome-Lücke, über die wir am fünften September gesprochen haben. Damals haben wir berichtet, dass Angriffe laufen und dass eine abgesicherte Fassung bereitsteht. Inzwischen sind die Einzelheiten öffentlich: eine Typverwechslung in der Skript-Verarbeitung, bewertet mit acht Komma acht, es genügt das Laden einer vorbereiteten Seite. Die Kennung lautet C V E zweitausendsechsundzwanzig, Bindestrich, acht fünf null vier sechs. Die amerikanische Cybersicherheitsbehörde hat den Fall am vierten September in ihr Verzeichnis der tatsächlich ausgenutzten Schwachstellen aufgenommen und den amerikanischen Bundesbehörden eine Frist bis zum achtzehnten September gesetzt. Behoben ist es ab Fassung einhundertzweiundfünfzig Punkt null Punkt sieben neun sieben sieben Punkt zweiundachtzig. Falls der Browser bei Ihnen noch nicht überall neu gestartet wurde, holen Sie das heute nach.

Zweitens, die Schicht unter Ihrer Webseite. Das Bundesamt für Sicherheit in der Informationstechnik hat in dieser Woche unter anderem zwei Sammel-Warnungen zum Web-Unterbau aktualisiert: den Apache-Webserver mit der Einstufung hoch, und die Verwaltungsoberfläche cPanel, ebenfalls hoch, über die ein entfernter, angemeldeter Angreifer Programmcode mit Administratorrechten ausführen kann. Lassen Sie sich von Ihrem Anbieter schriftlich bestätigen, welche dieser Warnungen für Ihre Umgebung eingespielt sind. Eine Antwort, die das offenlässt, ist selbst ein Befund.

Drittens, ein Nachtrag zur Aufsicht. Über den koordinierten Prüfschwerpunkt des Europäischen Datenschutzausschusses zu Transparenz und Information haben wir am einunddreissigsten August gesprochen. Jetzt steht der Termin, an dem die deutschen Aufsichtsbehörden wieder zusammenkommen: Die dritte Zwischenkonferenz der Datenschutzkonferenz ist für den dreiundzwanzigsten September angesetzt, als Videokonferenz. Für die Gestaltung der Zustimmungsfenster gilt weiterhin die Orientierungshilfe der Aufsichtsbehörden, also gleichwertige Schaltflächen für Annehmen und Ablehnen und das Ablehnen auf der ersten Ebene. Lesen Sie Ihre eigene Datenschutzerklärung einmal gegen die Wirklichkeit: Stehen dort die Werkzeuge, die heute tatsächlich auf der Seite laufen?

Zum Schluss zwei Uhren, und eine läuft ab heute. Seit heute gelten die Meldepflichten der europäischen Cyberresilienz-Verordnung: Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Wenn Sie eigene Geräte oder eigene Software in Verkehr bringen, klären Sie heute, wer eine solche Meldung bei Ihnen absetzen würde. Die zweite Uhr läuft noch sechzehn Tage, bis zum Stichtag des Dritten Gesetzes zur Änderung des Gesetzes gegen den unlauteren Wettbewerb. Wer mit Umweltaussagen wirbt, sollte die Belege dafür bis dahin beisammen haben.

Das war Ihr Datenschutz-Briefing von Experto Mundi. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Mittwoch, der neunte September zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht. Wir fangen mit dem schwersten Fund dieser Woche an.

Seit dem vierten September wird eine Lücke in Magento und Adobe Commerce aktiv ausgenutzt, Kennung C V E zweitausendsechsundzwanzig, Bindestrich, sieben fünf sechs fünf null. Sie erlaubt es, ohne jede Anmeldung eigenen Programmcode auf dem Server auszuführen, und ist mit dem Höchstwert zehn Komma null bewertet. Zwei Dinge machen den Fall unangenehm. Ein dokumentierter betroffener Shop hatte die Aktualisierungen aus Juli und August vollständig eingespielt; die übliche Update-Routine hat also nicht geschützt. Und die Korrektur kommt als Sonderkorrektur, nicht als volle neue Version. Wer nur auf die Versionsnummer schaut, übersieht sie. Wenn Sie einen solchen Shop betreiben, ist das Ihre Aufgabe für heute Vormittag: die Sonderkorrektur aus dem Hersteller-Hinweis A P S B zwei sechs, Bindestrich, einhundertsechsundvierzig einspielen und danach prüfen lassen, ob der Shop bereits verändert wurde. Der Hersteller verlangt ausdrücklich einen zweiten Schritt: Wechseln Sie den Verschlüsselungsschlüssel des Shops und alle damit geschützten Zugangsdaten, also Passwörter, Schnittstellenschlüssel und Datenbankzugänge. Ein reines Update entfernt keine bereits gesetzte Hintertür und entwertet keine Geheimnisse, die der Angreifer schon gelesen hat.

Zweites Thema. Wir kommen noch einmal auf die Leitlinie der Bundesnetzagentur zur Kennzeichnung von K I Inhalten zurück, über die wir am fünften September gesprochen haben. Damals ging es um die Fristen, jetzt darum, was genau gekennzeichnet werden muss. Die Behörde hat nachgeschärft, und zwar in einer Antwort auf eine Fachanfrage vom zweiten September, nicht in der Leitlinie auf ihrer Webseite. Sie weist darin darauf hin, dass in die deutsche Fassung der Verordnung ein Übersetzungsfehler geraten ist: Zu den Gegenständen, die nachgebildet werden können, gehören auch Tiere. Massgeblich ist, ob der Inhalt einer wirklichen Person, einem Objekt oder einem Ereignis ähnelt und dadurch einen falschen Eindruck von Echtheit erweckt. Zwei Beispiele der Behörde: Ein künstlich erzeugtes Video eines Politikers bei einer Rede ist kennzeichnungspflichtig, ein Video sich unterhaltender Mäuse nicht. Der Hinweis darauf muss wahrnehmbar sein, also sichtbar oder hörbar. Zur Einordnung: Eine Leitlinie ist die Auffassung der zuständigen Behörde, kein Gesetz und kein Urteil. Der Bestandsschutz für alte Inhalte gilt unverändert. Gehen Sie deshalb die Bilder durch, die seit August dazugekommen sind. Nur die, die einer wirklichen Person, einem wirklichen Objekt oder einem wirklichen Ereignis ähneln, brauchen ein Kennzeichen.

Drittes Thema, und es räumt mit einem verbreiteten Irrtum auf. Der Gerichtshof der Europäischen Union hat am dritten September in der Rechtssache C, Bindestrich, sieben neun acht, Schrägstrich, vierundzwanzig entschieden. Es ging um ein öffentliches Register, in dem die Daten sämtlicher Aktionäre einer Gesellschaft frei abrufbar und komplett herunterladbar waren. Siebzehn Minderheitsaktionäre hatten geklagt. Das Unionsrecht, sagt das Gericht, verlangt eine solche Offenlegung nicht, und es steht einer nationalen Regelung sogar entgegen, die diese Daten ohne jede Bedingung zugänglich macht, etwa ohne den Nachweis eines berechtigten Interesses. Der Satz, der davon für Sie übrig bleibt: Dass etwas öffentlich im Netz steht, ist für sich genommen keine Erlaubnis, es weiterzuverarbeiten. Den Ausschlag gab hier nicht die Einzelabfrage, sondern der ungebremste Massenabruf. Wenn auf Ihrer Seite Mitarbeiter-, Gesellschafter- oder Mitgliederlisten stehen, prüfen Sie, ob sie ohne Zugangsschutz maschinenlesbar in einem Zug abgegriffen werden können.

Viertes Thema, für die Praxen unter Ihnen. In der Praxisverwaltung KiviCare für WordPress prüfen mehrere Schnittstellen die Berechtigung des Aufrufenden nicht. Ohne Anmeldung liess sich die Patientenliste abrufen, und wenn ein Bezahldienst eingerichtet war, zusätzlich dessen geheimer Schlüssel. Die technische Punktzahl von fünf Komma drei bildet den Datenschutzschaden aus unserer Sicht nicht ab: Gesundheitsdaten stehen unter dem besonderen Schutz des Artikels neun der Datenschutz-Grundverordnung. Bereinigt ist die Fassung vier Punkt fünf Punkt fünf. Wenn Sie das Modul einsetzen, aktualisieren Sie es heute und sehen Sie in die Zugriffsprotokolle der letzten Wochen. Ob im Fall eines tatsächlichen Abflusses eine Meldung an die Aufsichtsbehörde nötig ist, klären Sie bitte mit Ihrem Datenschutzbeauftragten oder lassen Sie sich rechtlich beraten. Das ist eine Einzelfallentscheidung.

Kommen wir zu den kürzeren Meldungen.

Erstens, das Formularmodul Gravity Forms. In allen Fassungen bis drei Punkt null Punkt zwei lässt sich der Zustand eines Mehrfach-Uploads so manipulieren, dass eine Datei ohne Anmeldung unter frei gewähltem Namen im öffentlichen Zwischenspeicher landet. Ob daraus die Ausführung fremden Codes wird, hängt vom Webserver ab. Auf Servern, die Schutzdateien im Verzeichnis nicht auswerten, etwa nginx, ist sie möglich. Auf Apache verhindert eine mitgelieferte Schutzdatei das im Regelfall; dort bleibt das Einschleusen fremder Seiteninhalte übrig. Voraussetzung ist ein öffentlich erreichbares Formular mit Datei-Upload und der Einstellung für mehrere Dateien. Bereinigt ist drei Punkt null Punkt drei, verfügbar seit Ende August. Aktualisieren Sie, und prüfen Sie, ob das Zwischenverzeichnis für Uploads von aussen erreichbar ist.

Zweitens, das Mitgliederverwaltungs-Modul Simple Membership bis Fassung vier Punkt acht Punkt null. In Mehrfach-Installationen, also mehreren Webseiten unter gemeinsamer Verwaltung, ordnet es einen neuen Mitgliedsdatensatz allein anhand von Benutzername und E-Mail-Adresse einem bestehenden Konto zu, ohne Passwort und ohne Eigentumsnachweis. Wer sich auf einer Seite mit offener Registrierung mit fremden Daten anmeldet, kann danach über die Profilbearbeitung das Passwort des fremden Kontos neu setzen. Eine bereinigte Fassung gibt es, vier Punkt acht Punkt eins; sie behebt das Problem nach Angaben der Veröffentlichung allerdings nur teilweise. Der eigentliche Schalter ist deshalb nicht die Modulversion, sondern die offene Registrierung. Aktualisieren Sie, und schalten Sie sie ab, wenn Sie sie nicht brauchen.

Zum Schluss ein Termin. Der Bundesgerichtshof verhandelt am achten Oktober darüber, ob ein Unternehmen, dessen Cookies über fremde Webseiten auf den Geräten der Besucher gespeichert werden, dafür selbst haftet, wenn keine Einwilligung vorlag. Geklagt hat ein Webseitenbesucher, und zwar unmittelbar gegen den Analysedienst, nicht gegen den Betreiber der Seite. Wer Dienste Dritter einbindet, sollte sich den Termin notieren.

Das war Ihr Datenschutz-Briefing von Experto Mundi. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Dienstag, der achte September zweitausendsechsundzwanzig, und wir haben sieben Themen für Sie mitgebracht. Drei davon drehen sich um Sätze und Funktionen auf Ihrer eigenen Webseite, und eines davon bekommt in knapp drei Wochen ein Ablaufdatum.

Fangen wir genau damit an. Am siebenundzwanzigsten September tritt der Hauptteil des Dritten Gesetzes zur Änderung des Gesetzes gegen den unlauteren Wettbewerb in Kraft. Verkündet wurde es schon im Februar, im Bundesgesetzblatt zweitausendsechsundzwanzig, Teil eins, Nummer dreiundvierzig. Neu ist vor allem der Anhang zum Gesetz. Dort kommen sechs Fallgruppen hinzu. Was in diesem Anhang steht, ist im Geschäft mit Verbrauchern ohne jede weitere Abwägung unzulässig, und vier dieser Fallgruppen treffen Formulierungen, die in fast jedem mittelständischen Webauftritt stehen. Wenn Sie ausschliesslich an Geschäftskunden verkaufen, gilt die Liste nicht unmittelbar; irreführend darf eine Aussage aber auch dort nicht sein. Erstens die pauschale Umweltaussage, also umweltfreundlich, nachhaltig oder grün, ohne eine belegte, anerkannt hervorragende Umweltleistung. Zweitens die Aussage, ein Produkt sei klimaneutral, wenn diese Neutralität allein auf zugekauften Ausgleichszertifikaten beruht. Drittens die Aussage über ein ganzes Produkt oder ein ganzes Unternehmen, wenn der Vorteil in Wahrheit nur einen Teilaspekt betrifft. Der Klassiker ist die recycelte Verpackung, beworben wird aber das Produkt. Und viertens Nachhaltigkeitssiegel ohne staatliche Festsetzung oder ohne ein Zertifizierungssystem mit öffentlich einsehbaren Bedingungen und unabhängiger Drittprüfung. Eine gesetzliche Aufbrauchfrist für bereits bedruckte Ware gibt es nicht. Gehen Sie deshalb in dieser Woche einmal mit der Volltextsuche durch Ihre Seite, über Startseite, Produktseiten und Fussbereich, und suchen Sie nach klimaneutral, C O zwei neutral, umweltfreundlich, nachhaltig und ökologisch. Jede Fundstelle braucht dann bis zum siebenundzwanzigsten September entweder einen verlinkten Beleg oder eine Streichung.

Zweites Thema, und es passt schlecht zu dem, was viele für erledigt halten. Das Verwaltungsgericht Düsseldorf hat am siebenundzwanzigsten Juli entschieden, dass die blosse Angabe einer E-Mail-Adresse, einer I P Adresse und eines Zeitstempels nicht ausreicht, um eine Einwilligung nachzuweisen. Geklagt hatte ein Betreiber von Online-Portalen gegen eine Verwarnung der Aufsichtsbehörde. Eine Empfängerin hatte bestritten, jemals eingewilligt zu haben. Das Unternehmen legte zwei I P Adressen mit Datum vor, eine von der Anmeldung und eine von der Bestätigung. Die Bestätigungsmail selbst konnte es nicht vorlegen. Das Gericht hielt das für untauglich, unter anderem weil zwischen einer I P Adresse und einem E-Mail-Konto kein zwingender Zusammenhang besteht. Die Klage wurde abgewiesen. Es ist eine erstinstanzliche Entscheidung; ob sie rechtskräftig ist, sagen die ausgewerteten Quellen nicht. Kurzer Einschub, weil das erfahrungsgemäss sofort gefragt wird. Das doppelte Anmeldeverfahren ist damit nicht erledigt. Erledigt ist die Vorstellung, ein Protokoll aus drei Feldern genüge als Beweis. Prüfen Sie deshalb heute, ob Ihr Newsletter-System zu jeder Anmeldung auch den Wortlaut der Einwilligungserklärung und die tatsächlich versendete Bestätigungsmail archiviert, und nicht nur Zeitpunkt und Adresse.

Drittens ein Blick nach vorn. Beim Bundesgerichtshof sind zwei Revisionen zum Kündigungsknopf anhängig, der erste Zivilsenat verhandelt sie am fünften November. Die offene Frage lautet, ob ein Anbieter vor die Kündigungsstrecke eine Anmeldung im Kundenkonto schalten darf, also Zugangsname und Passwort verlangen. Das Kammergericht Berlin hatte in beiden Fällen entschieden und die Revision wegen grundsätzlicher Bedeutung ausdrücklich zugelassen. Beklagt sind laut Mitteilung des Bundesgerichtshofs ein Anbieter von Internetdienstleistungen und ein Streamingdienst. Wie das ausgeht, ist offen, und wir nehmen hier nichts vorweg. Wenn Sie Abonnements, Verträge oder Mitgliedschaften online anbieten, notieren Sie sich den fünften November und prüfen Sie schon vorher, ob Ihre Kündigungsstrecke ohne Anmeldung erreichbar ist.

Viertes Kernthema. Das Verwaltungsgericht Hannover hat am siebten August über die Videoüberwachung in einem Lebensmittelbetrieb entschieden. Der Volltext ist bislang nicht veröffentlicht, wir stützen uns deshalb auf zwei Zusammenfassungen. Aus einer der beiden Zusammenfassungen geht hervor, dass das Gericht eine datenschutzrechtliche Verwarnung und ein Bussgeld nebeneinander für zulässig gehalten hat, weil beide unterschiedliche Zwecke verfolgen und die Verwarnung den Verstoss verbindlich feststellt. Wie das Verfahren ausgegangen ist, sagen die ausgewerteten Quellen nicht. In der Fachpresse wird die Entscheidung mit der Aussage zusammengefasst, Hygiene und Einbrüche seien kein Argument für eine Videoüberwachung gewesen. Das ist die Schlagzeile eines Fachdienstes, nicht der Wortlaut des Gerichts, und ob eine Kamera zulässig ist, entscheidet sich ohnehin immer am Einzelfall. Wenn in Ihrem Betrieb Kameras hängen, sollte im Verzeichnis der Verarbeitungstätigkeiten ein konkreter, belegter Anlass stehen und nicht nur ein Schlagwort wie Sicherheit oder Hygiene.

Kommen wir zu den kürzeren Meldungen.

Ein Hinweis, den wir bewusst nachreichen, weil er weitgehend untergegangen ist. Das Bundesamt für Verfassungsschutz und das Bundesamt für Sicherheit in der Informationstechnik haben einen gemeinsamen Sicherheitshinweis veröffentlicht, eingestuft auf Kritikalitätsstufe eins von vier, also der niedrigsten Stufe ohne unmittelbaren Handlungsdruck. Russische Cyberakteure kundschaften Photovoltaikanlagen aus, deren Überwachungssysteme ungeschützt aus dem Internet erreichbar sind. Teilweise ist der Zugriff sogar ohne Anmeldung möglich, dazu kommen veraltete Softwarestände. Die Ämter nennen ausdrücklich Betreiber ohne energiewirtschaftlichen Hintergrund. Wenn auf Ihrem Firmendach eine Anlage liegt, prüfen Sie, ob das zugehörige Portal von aussen erreichbar ist, und nehmen Sie es vom Netz oder hinter einen Zugangsschutz.

Kurz zurück zu unserem Browser-Hinweis vom Samstag. Die amerikanische Cyber-Sicherheitsbehörde führt die betroffene Lücke in der Javascript-Maschine von Chromium in ihrem Katalog der nachweislich ausgenutzten Lücken; sie gilt dort also nicht als theoretisches Risiko, sondern als tatsächlich ausgenutzt. Wir wiederholen die Bitte deshalb mit einem Zusatz: Ein Neustart hilft nur, wenn das Update auch geladen wurde. Lassen Sie an einem Arbeitsplatz stichprobenartig die Versionsnummer im Hilfe-Menü prüfen, statt sich auf den Neustart allein zu verlassen.

Und die dritte Kurzmeldung. In den Niederlanden muss die Datenschutzaufsicht seit dem ersten September alle Bussgelder und sonstigen Sanktionen veröffentlichen. Bisher tat sie das nach eigener Richtlinie, jetzt steht die Pflicht im Gesetz. Wer dort Kunden oder eine Niederlassung hat, sollte einkalkulieren, dass ein Verfahren künftig regelmässig öffentlich wird, und vorab klären, wer bei Ihnen im Fall einer Veröffentlichung die Kommunikation übernimmt.

Und zum Schluss unsere Frist-Uhr, die Sie inzwischen kennen, ein letztes Mal vor dem Stichtag. Ab dem elften September müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden. Das ist dieser Freitag.

Das war Ihr Datenschutz-Briefing von Experto Mundi. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Montag, der siebte September zweitausendsechsundzwanzig, und wir haben sieben Themen für Sie mitgebracht. Wir beginnen mit der Frage, wie lange man ehemalige Kunden noch anschreiben darf.

Das Verwaltungsgericht Berlin hat sie am elften März dieses Jahres beantwortet, unter dem Aktenzeichen zweiundvierzig K sieben Punkt fünfundzwanzig. Eine Genossenschaftsbank hatte einer früheren Kundin rund ein Jahr nach der Kündigung ihrer Konten ein Informationsschreiben mit Werbung geschickt. Die Berliner Aufsichtsbehörde sprach eine Verwarnung aus, die Bank klagte dagegen und verlor. Es ist eine erstinstanzliche Entscheidung; ob sie rechtskräftig ist, sagt die ausgewertete Quelle nicht. Das Gericht stellt klar: Eine Kündigung allein bedeutet noch nicht, dass Werbung unerwünscht ist. Den Ausschlag gab der grosse zeitliche Abstand. Nach über einem Jahr, in dem die Kundin kein Interesse mehr an den Leistungen geäussert hatte, musste sie mit einem solchen Schreiben nicht mehr rechnen. Herangezogen hat das Gericht Artikel sechs der Datenschutz-Grundverordnung und Paragraf sieben des Gesetzes gegen den unlauteren Wettbewerb. Legen Sie fest, wie viele Monate nach Vertragsende Ihr Haus ehemalige Kunden noch anschreibt, halten Sie diese Frist schriftlich fest und lassen Sie sie von Ihrem Kundensystem überwachen.

Beim zweiten Thema geht es erneut um Betroffenenrechte, zum dritten Mal innerhalb weniger Tage. Diesmal aber nicht darum, wer fragen darf oder wie weit eine Auskunft reicht, sondern darum, was passiert, wenn Sie gar nicht antworten. Das Verwaltungsgericht Osnabrück hat dazu am neunzehnten August einen Gerichtsbescheid erlassen, Aktenzeichen sieben A einhundertsiebzig Strich vierundzwanzig. Ein Jagdscheininhaber hatte bei einer Behörde Auskunft nach Artikel fünfzehn verlangt. Die Behörde antwortete nicht, verlängerte die Frist nicht und lehnte auch nicht ab. Erst in der Klageerwiderung, Wochen nach Fristablauf, berief sie sich darauf, der Antrag sei exzessiv. Das Gericht lässt das nicht durchgehen. Selbst wenn man die Exzessivität unterstellt, berechtigt sie nur zu zweierlei: ein angemessenes Entgelt zu verlangen oder die Bearbeitung zu verweigern. Und auch die Verweigerung hätte als förmliche, begründete Ablehnung ergehen müssen. Schweigen war in keinem Fall zulässig. Ob die Entscheidung rechtskräftig ist, sagt die ausgewertete Quelle nicht. Ein Gerichtsbescheid wirkt wie ein Urteil, solange keine Seite binnen eines Monats nach Zustellung mündliche Verhandlung beantragt. Erfassen Sie jede Auskunftsanfrage mit Eingangsdatum und lassen Sie sich die Monatsfrist anzeigen. Wenn Sie ablehnen wollen, tun Sie es schriftlich, begründet und innerhalb dieses Monats.

Vom Recht zur Technik. Das Bundesamt für Sicherheit in der Informationstechnik hat am vierten September eine IT-Sicherheitsinformation der Kritikalitätsstufe zwei von vier veröffentlicht: Massnahmen müssen zeitnah ergriffen werden. Anlass war die Mitteilung, dass im August das Netz einer staatlichen Institution kompromittiert wurde. Das beobachtete Vorgehen deckt sich mit einer Angriffskampagne, die Microsoft unter dem Namen TerminalFix beschreibt. Der Angriff läuft mehrstufig; am Ende steht der Versuch, Erpressungssoftware zu installieren, samt doppelter Erpressung: erst Daten abziehen, dann verschlüsseln, dann mit der Veröffentlichung drohen. Den Einstieg beschreibt das Amt selbst, und er ist der Grund, warum das Thema hierher gehört: Eine kompromittierte Webseite zeigt eine gefälschte Sicherheitsabfrage, wie die üblichen Bin-ich-ein-Mensch-Prüfungen. Wer sie bestehen will, bekommt unbemerkt einen schädlichen Befehl in die Zwischenablage geschrieben und wird angeleitet, ihn in einem Terminalfenster auszuführen; gleichzeitig zeigt die Seite die angeblich erfolgreiche Prüfung an, damit kein Misstrauen aufkommt. Keine Schwachstelle, kein Exploit, nur eine sehr gut gebaute Anweisung. Geben Sie Ihrem Team heute einen Satz mit: Keine echte Sicherheitsabfrage im Internet verlangt jemals, dass Sie etwas in ein Terminal oder in ein Ausführen-Fenster einfügen. Wer so etwas sieht, schliesst den Reiter und meldet es.

Zum vierten Thema. Im Einwilligungsbanner WPLP Cookie Consent von WP Legal Pages steckt eine Lücke mit dem Schweregrad neun Komma acht von zehn, veröffentlicht am ersten September. Betroffen sind alle Fassungen bis einschliesslich vier Punkt vier Punkt eins. Die Ursache ist eine Verkettung: Die Funktion zum Hochladen eines eigenen Logos prüft nicht, was für eine Datei ankommt, und die Schnittstelle, über die sie erreichbar ist, prüft die Berechtigung nicht. Zusammen ergibt das einen Datei-Upload ohne jede Anmeldung, über den eigener Programmcode auf dem Server möglich wird. Ausgerechnet das Werkzeug, das den Datenschutz herstellen soll, kann so zum Einfallstor werden. Prüfen Sie heute, ob dieses Einwilligungswerkzeug auf Ihrer Seite läuft, und aktualisieren Sie es auf die neueste Fassung.

Kommen wir zu den kürzeren Meldungen. Cisco hat eine als kritisch eingestufte Lücke in bestimmten Netzwerk-Vermittlern der Baureihe Nexus neuntausend gemeldet; betroffen sind nur einzelne Modelle mit einem bestimmten Chipsatz, nicht die ganze Baureihe. In der Grundeinstellung sind dort zwei Netzwerk-Ports erreichbar, über die sich aus der Ferne und ohne Anmeldung Code mit vollen Systemrechten ausführen lässt. Hinweise auf laufende Angriffe gibt es bislang nicht. Falls solche Geräte bei Ihnen oder Ihrem Dienstleister stehen: Klären Sie heute, welche Modelle betroffen sind und ob diese Ports aus Ihrem Netz erreichbar sein müssen.

Die zweite Kurzmeldung kommt aus Norwegen. Die dortige Datenschutzaufsicht hat gegen das Pharmaunternehmen Lab Pharma ein Bussgeld von zweihundertfünftausend norwegischen Kronen verhängt, umgerechnet rund siebzehntausendachthundert Euro, und zwar nicht wegen eines Datenlecks, sondern wegen Artikel einunddreissig der Verordnung, der Pflicht zur Zusammenarbeit mit der Aufsichtsbehörde. Nach den Feststellungen der Behörde hatte das Unternehmen Mitarbeitende der Aufsicht herabgesetzt und bedroht, Klage und Polizeianzeige angekündigt und die Fristen der Untersuchung verstreichen lassen. Wenn bei Ihnen Post von einer Aufsichtsbehörde eingeht: Benennen Sie eine zuständige Person, tragen Sie die Frist ein und antworten Sie sachlich.

Und die dritte Kurzmeldung kommt aus Belgien. Achttausendfünfhundert Euro für eine Wirtschaftsprüfungsgesellschaft, weil das E-Mail-Konto eines ausgeschiedenen Mitarbeiters weiterlief und private Nachrichten darin eingesehen wurden. Die belgische Datenschutzbehörde beanstandete das Fehlen einer Rechtsgrundlage, den Umgang mit dem Löschverlangen der betroffenen Person und die unterbliebene Löschung des Postfachs. Schreiben Sie in Ihre Austritts-Checkliste zwei Zeilen: Postfach deaktivieren, und statt stiller Weiterleitung eine Abwesenheitsnachricht mit der neuen Ansprechperson.

Noch ein Blick auf die Frist-Uhr: In vier Tagen, am elften September, beginnen die Meldepflichten der europäischen Cyberresilienz-Verordnung für Hersteller von Produkten mit digitalen Elementen. Und wenn Sie heute nur eines tun: Sehen Sie in Ihrem Kundensystem nach, wie alt der älteste Kontakt ist, den Sie noch bewerben. Das war Ihr Datenschutz-Briefing von Experto Mundi, wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Samstag, der fünfte September zweitausendsechsundzwanzig, und wir haben sieben Themen für Sie mitgebracht. Nach einer sehr technischen Woche steht heute das Recht vorn.

Das Oberlandesgericht Brandenburg hat am zweiten März dieses Jahres unter dem Aktenzeichen eins U eins Strich vierundzwanzig eine Klage abgewiesen. Zwei Vorfälle aus demselben Jahr liegen ihr zugrunde: Ein Support-Mitarbeiter eines beauftragten Dienstleisters nutzte seinen Zugriff, um die Datensätze von mehr als zweihundert Kunden für eigene Zwecke zu exportieren; kurz darauf gelangten Unbekannte über eine fehlerhaft konfigurierte Schnittstelle zwischen einem Marketing- und einem Datenbankdienst an Kundendaten. Einer der Betroffenen verlangte eintausendfünfhundert Euro Schadensersatz. Das Gericht prüfte beide Vorfälle einzeln und liess den Verantwortlichen jeweils über den Entlastungsweg des Artikels zweiundachtzig Absatz drei der Datenschutzgrundverordnung aus der Haftung. Als ausreichende Sorgfalt akzeptiert hat es die Auswahl eines Marktführers, eine Prüfung der fachlichen Qualifikation der eingesetzten Mitarbeiter und die Einsicht in das Führungszeugnis. Ein Vier-Augen-Prinzip für jede Support-Anfrage lehnte es ausdrücklich als unverhältnismässig ab. Ob die Entscheidung rechtskräftig ist, sagen die ausgewerteten Quellen nicht, und es bleibt ein Einzelfall. Als Anregung taugt sie trotzdem: Halten Sie neben dem Vertrag mit Ihrem Dienstleister auf einer Seite fest, warum Sie gerade diesen ausgewählt haben und was Sie dafür geprüft haben. Ob das im Streitfall trägt, entscheidet ein Gericht. Ohne dieses Blatt aber haben Sie zu dieser Frage von vornherein nichts vorzutragen.

Dieselbe Frage, von der teuren Seite betrachtet. Die niederländische Datenschutzaufsicht hat im August gegen den Fahrdienstvermittler Uber ein Bussgeld von achthundertvierundzwanzig Millionen neunhundertneunzigtausend Euro verhängt; bekannt wurde es am zweiundzwanzigsten August. Der Vorwurf: Zwischen zweitausendachtzehn und zweitausendzweiundzwanzig wurden Fahrerkonten vollautomatisiert gesperrt, bei Betrugsverdacht ebenso wie bei anhaltend schlechten Bewertungen, ohne dass ein Mensch die Entscheidung nachgeprüft hätte. Die Behörde sieht darin einen Verstoss gegen das Verbot ausschliesslich automatisierter Einzelentscheidungen mit erheblicher Wirkung aus Artikel zweiundzwanzig der Verordnung. Bestandskräftig ist der Bescheid nicht, denn Uber geht dagegen vor. Über automatisierte Bewertungen haben wir vor gut zwei Wochen gesprochen, damals über die Auskunft, welche Faktoren einfliessen. Hier geht es um die Stufe davor: ob überhaupt ein Mensch nachprüft. Betroffen ist im Mittelstand jeder, der Bonitätsabfragen auswertet, Konten automatisch sperrt oder Bewerbungen vorsortieren lässt. Schreiben Sie auf, an welcher Stelle in Ihrem Betrieb eine Maschine über einen Menschen entscheidet, und prüfen Sie dort, ob eine echte inhaltliche Nachprüfung durch eine Person vorgesehen ist und nicht nur ein Häkchen.

Damit zum dritten Thema, und hier läuft eine Uhr, anders als die Schlagzeilen es nahelegen. Die Bundesnetzagentur hat ihre Leitlinie zu den Transparenzpflichten der europäischen Verordnung über künstliche Intelligenz veröffentlicht. Die entscheidende Unterscheidung darin ist die zwischen Anbietern und Anwendern. Anbieter sind die Häuser, die solche Systeme herstellen und auf den Markt bringen; für ihre älteren Systeme läuft eine Übergangsfrist bis zum zweiten Dezember dieses Jahres, und zwar allein für die technische, maschinenlesbare Markierung der Ausgaben. Anwender sind Sie, wenn Sie künstlich erzeugte Bilder, Texte oder Stimmen in Ihrer Aussendarstellung einsetzen oder einen Chatbot betreiben. Für Anwender gilt diese Übergangsfrist nicht: Ihre Pflichten laufen bereits seit dem zweiten August dieses Jahres. Inhalte, die vor diesem Stichtag erstellt und bereits veröffentlicht wurden, müssen nach der Leitlinie nicht nachträglich gekennzeichnet werden; alles, was seither dazugekommen ist, fällt darunter. Für Chatbots gilt seit demselben Stichtag: Wer mit einer Maschine spricht, muss das vor der ersten Interaktion erfahren, und zwar sichtbar, nicht versteckt in den Nutzungsbedingungen. Warten Sie deshalb nicht auf den Dezember, sondern klären Sie in der kommenden Woche zwei Punkte: Welche Ihrer seit August veröffentlichten Inhalte sind betroffen, und wie genau sieht Ihr Hinweis aus.

Unser viertes Thema betrifft Webseiten. In der weit verbreiteten Erweiterung All-in-One WP Migration steckt eine Schwachstelle, über die ein Angreifer ohne jede Anmeldung die Kontrolle über die Seite erlangen kann. Der Weg führt über die Rückverweis-Funktion für Beiträge: Der Angreifer schleust darüber präparierte Inhalte ein, gelangt an den geheimen Schlüssel der Sicherungsfunktion und kann darüber im schlimmsten Fall eigenen Programmcode auf dem Server ausführen. Die Erweiterung läuft auf mehr als fünf Millionen Webseiten; die bereinigte Fassung sieben Punkt einhundertzehn steht seit dem zwanzigsten August bereit. Berichte über tatsächliche Angriffe gibt es bislang nicht. Lassen Sie heute zwei Dinge tun: die Erweiterung auf die bereinigte Fassung aktualisieren, und prüfen, ob Sie die Rückverweis-Funktion überhaupt brauchen. In den allermeisten Fällen lautet die Antwort nein, und dann gehört sie zusätzlich abgeschaltet.

Kommen wir zu den kürzeren Meldungen. Der Berliner Senat hat das Lösegeld nicht gezahlt, und am Freitagnachmittag lief die Frist der Angreifer ab. Seither stehen mehrere Terabyte aus dem Landesnetz im Darknet. Die Täter beanspruchen, darunter seien über fünftausend Personalakten, Gehaltsabrechnungen, Arbeitszeugnisse sowie Zugangsdaten und Passwörter im Klartext; unabhängig geprüft ist dieser Umfang bislang nicht. Suchen Sie in Ihren eigenen Ablagen einmal gezielt nach Dateien, in denen Zugangsdaten im Klartext stehen. Genau die machen aus einem Vorfall einen zweiten.

Die zweite Kurzmeldung handelt von fremden Anmeldediensten. Bei Lenovo liess sich ein Benutzerkonto auf eine fremde E-Mail-Adresse anlegen, ohne dass geprüft wurde, ob der Anmeldende diese Adresse überhaupt abrufen kann. Weil sich mit einer solchen Kennung auch bei Dropbox anmelden lässt, standen rund fünftausend fremde Ablagen offen, allesamt solche ohne zweite Sicherungsstufe; bei weniger als einem Drittel wurden tatsächlich Dateien heruntergeladen. Der Zugriff bestand vom vierten bis zum einundzwanzigsten August. Prüfen Sie, bei welchen Ihrer Dienste eine Anmeldung über ein fremdes Konto erlaubt ist, und schalten Sie die zweite Sicherungsstufe dort ein, wo sie fehlt.

Zum Schluss etwas, das auf jedem Arbeitsplatz liegt. Für den Browser Chrome sind Angriffe im Gange, die eine Speicherlücke in der Verarbeitung von Webseiten-Programmcode ausnutzen. Eine abgesicherte Fassung ist verfügbar. Da Edge, Brave, Opera und Vivaldi auf demselben Unterbau laufen, sind sie voraussichtlich ebenfalls betroffen. Ein Browser aktualisiert sich erst nach einem Neustart: Bitten Sie Ihr Team heute, alle Fenster einmal zu schliessen und neu zu öffnen.

Das war Ihr Datenschutz-Briefing von Experto Mundi. Und die Uhr, die Sie sich notieren sollten, läuft nicht erst bis Dezember, sie läuft bereits: Wer künstlich erzeugte Inhalte veröffentlicht, kennzeichnet sie seit dem zweiten August. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Freitag, der vierte September zweitausendsechsundzwanzig, und wir haben sieben Themen für Sie mitgebracht. Gestern haben wir am Ende der Folge eine Frist erwähnt, die in einer Woche zuschlägt. Heute nehmen wir sie uns vor, denn sie trifft mehr Betriebe, als der Name vermuten lässt. Danach fünf nachweislich angegriffene Sicherheitslücken, deren amerikanische Behördenfrist schon morgen abläuft.

Beginnen wir mit der Frist. Am elften September, in einer Woche, greifen die Meldepflichten aus Artikel vierzehn der europäischen Cyberresilienz-Verordnung. Wer ein Produkt mit digitalen Elementen herstellt und unter eigenem Namen auf den europäischen Markt bringt, muss ab diesem Tag eine aktiv ausgenutzte Schwachstelle in seinem Produkt binnen vierundzwanzig Stunden als Frühwarnung melden, binnen zweiundsiebzig Stunden folgt die eigentliche Meldung mit den technischen Angaben. Der Abschlussbericht folgt bei Schwachstellen spätestens vierzehn Tage, nachdem eine Korrektur oder eine Gegenmassnahme verfügbar ist, bei schwerwiegenden Sicherheitsvorfällen innerhalb eines Monats nach der Vorfallmeldung. Gemeldet wird nur einmal, über eine gemeinsame europäische Meldeplattform, und zwar gleichzeitig an das zuständige nationale Notfallteam und an die europäische Agentur für Cybersicherheit. Und jetzt der Teil, der überrascht: Die Pflicht greift auch dann, wenn Sie Software statt Hardware anbieten. Und sie endet nach den ausgewerteten Fachdarstellungen nicht bei Neuware, auch Produkte, die schon länger auf dem Markt sind, sollen erfasst sein. Der übrige Teil der Verordnung folgt erst im Dezember zweitausendsiebenundzwanzig. Wenn Sie eine App, ein Plugin oder ein vernetztes Gerät anbieten, klären Sie diese Woche drei Dinge: Wer bei Ihnen meldet, an welches nationale Notfallteam gemeldet wird, und ob diese Person auch am Wochenende binnen vierundzwanzig Stunden handlungsfähig ist.

Damit zu den Lücken. Der erste Fall hat die grösste Angriffsfläche in kleinen Betrieben. Die amerikanische Cybersicherheitsbehörde hat am zweiten September zwei Schwachstellen in den Fernzugriffs-Geräten der Reihe SonicWall SMA eintausend in ihren Katalog nachweislich ausgenutzter Lücken aufgenommen. Solche Geräte stehen am Netzübergang und schalten Beschäftigte von aussen ins Firmennetz. Die eine Lücke bringt das Gerät ohne jede Anmeldung dazu, in seinem Namen Anfragen an interne Ziele zu stellen und so an Funktionen zu gelangen, die von aussen gesperrt sein sollten. Die zweite setzt eine Anmeldung als Administrator voraus und führt dann zur Ausführung beliebiger Betriebssystembefehle. Eine Verkettung beider Lücken nennt die Behörde nicht; aufgenommen wurden sie, weil beide nachweislich ausgenutzt werden. Die Frist für die amerikanischen Bundesbehörden endet morgen. Steht ein solches Gerät bei Ihnen oder betreibt Ihr Dienstleister eines, lassen Sie heute die Herstellerkorrektur einspielen und sich den Versionsstand schriftlich bestätigen. Ist keine Korrektur verfügbar, gehört das Gerät bis dahin vom offenen Internet getrennt. Und das gilt für alle fünf Lücken von heute: Bei nachweislich ausgenutzten Lücken verlangt die Behörde ausdrücklich auch eine Prüfung auf Spuren eines bereits erfolgten Zugriffs. Aktualisieren allein schliesst die Tür, es sagt Ihnen nicht, ob jemand schon im Haus ist.

Der zweite Fall betrifft die Werkbank hinter der Software. JFrog Artifactory ist ein Ablageort für fertige Softwarebausteine, aus dem sich Entwicklungsteams beim Zusammenbau einer Anwendung bedienen. Die Behörde hat für dieses Produkt eine Schwachstelle aufgenommen, bei der ein Angreifer ohne Anmeldung und allein mit Netzzugriff Administratorrechte erlangen kann, und zwar in der Standardkonfiguration, also ohne dass jemand etwas falsch eingestellt hätte. Wer die Ablage kontrolliert, aus der Ihre Software zusammengesetzt wird, kontrolliert am Ende auch, was auf Ihrem Server landet. Auch hier läuft die Frist morgen ab. Lassen Sie prüfen, ob ein solcher Baustein-Speicher bei Ihnen läuft und ob er hinter einer Zugangsbeschränkung liegt, statt offen im Netz zu stehen.

Der dritte Fall ist neu in seiner Art. Betroffen ist LiteLLM, ein Vermittler, den viele Betriebe zwischen ihre Anwendungen und verschiedene Sprachmodelle setzen, um Zugänge und Kosten zu bündeln. An einem seiner Endpunkte prüft die Software den mitgeschickten Zugangsschlüssel nicht richtig, sodass ein Angreifer mit einem beliebigen, selbst ausgedachten Schlüssel eine gültige Sitzung aufbauen kann. Ein solcher Vermittler sieht alles, was Ihr Haus an ein Sprachmodell schickt. Laufen dort personenbezogene Daten durch, etwa Kundenanfragen oder Bewerbungsunterlagen, ist ein unbefugter Zugriff keine reine Technikpanne mehr, sondern wirft die Frage nach der Meldepflicht an die Aufsichtsbehörde auf, deren Frist nach Artikel dreiunddreissig der Datenschutzgrundverordnung mit Ihrer Kenntnis zu laufen beginnt. Hat bei Ihnen jemand einen solchen Zwischendienst aufgesetzt, und das passiert oft ausserhalb der offiziellen Softwareliste, prüfen Sie heute den Versionsstand und ob er überhaupt aus dem Internet erreichbar sein muss.

Kommen wir zu den kürzeren Meldungen. Ebenfalls neu im Katalog steht Kestra in seiner quelloffenen Fassung, eine Software zur Steuerung wiederkehrender Arbeitsabläufe. Dort kann ein nicht angemeldeter Angreifer aus der Ferne eigene Abläufe anlegen und ausführen lassen, was der Ausführung beliebiger Betriebssystembefehle entspricht. Auch hier endet die Behördenfrist morgen. Setzen Sie solche Werkzeuge auf Ihre Aktualisierungsliste. Und wenn niemand mehr sagen kann, wofür ein Ablauf ursprünglich gebaut wurde, schalten Sie ihn nicht einfach ab, sondern sperren Sie zuerst den Zugriff aus dem Internet und sehen Sie eine Woche lang zu, was danach nicht mehr läuft.

Näher an der Alltagstechnik liegt der nächste Fall. In der Telefonanlage Switchvox des Herstellers Sangoma steckt eine Schwachstelle, über die ein Angreifer ohne Anmeldung mit einer einzigen präparierten Anfrage Datenbankbefehle einschleusen kann, bis hin zur Ausführung eigenen Programmcodes. Eine Telefonanlage ist datenschutzrechtlich kein Nebenschauplatz: Dort liegen Verbindungsdaten, Anruflisten, oft auch Mitschnitte und Sprachnachrichten. Auch diese Frist läuft morgen ab. Fragen Sie Ihren Telefonanlagen-Betreuer schriftlich nach dem Aktualisierungsstand, statt ihn anzunehmen.

Zum Schluss die Basis, auf der fast jede Webseite läuft. Das Bundesamt für Sicherheit in der Informationstechnik hat in den vergangenen Tagen seine Warnungen zu den Standardbausteinen eines gewöhnlichen Webhostings fortgeschrieben, darunter gleich mehrere zu Nginx sowie je eine zu PHP und zu OpenSSL. Neue Einzellücken sind das überwiegend nicht. Der praktische Befund für eine Kundenseite liegt meist eine Ebene davor: Sehr viele Server verraten ihre genaue Versionsnummer bereitwillig in der Antwort an jeden Besucher. Damit lässt sich von aussen in Sekunden abgleichen, welche dieser Warnungen auf Sie zutrifft. Lassen Sie diese Versionsangabe abschalten. Das ersetzt keine Aktualisierung, nimmt einem Gelegenheitsangreifer aber die bequemste Vorarbeit ab.

Das war Ihr Datenschutz-Briefing von Experto Mundi. Die Frist-Uhr für heute: fünf Behördenfristen, die morgen ablaufen. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Donnerstag, der dritte September zweitausendsechsundzwanzig, und wir haben sieben Themen für Sie mitgebracht. Der Bundesgerichtshof verhandelt heute über eine Frage, die jeden angeht, der über einen eigenen Webauftritt nachdenkt: ob und wie Bilder für das Training künstlicher Intelligenz genutzt werden dürfen. Dazu kommen ein Urteil zur Kopplung von Kundenkonto und Newsletter sowie mehrere aktiv ausgenutzte Sicherheitslücken, die selbst betriebene Software betreffen.

Beginnen wir mit dem Bundesgerichtshof. Der erste Zivilsenat verhandelt heute um neun Uhr über die Klage eines Fotografen gegen einen gemeinnützigen Verein, der einen weltweit genutzten Datensatz für das Training bildgenerierender künstlicher Intelligenz bereitstellt. Eine Entscheidung wird an diesem Tag noch nicht erwartet, angesetzt ist die Verhandlung, nicht die Verkündung. Der Verein hat für fast sechs Milliarden Bild-Text-Paare Verweise auf im Internet öffentlich zugängliche Fotos gesammelt, dazu Bildbeschreibungen, ohne die Bilder selbst zu speichern. Die Vorinstanzen haben die Klage abgewiesen und sich dabei auf die Ausnahmen für Text- und Data-Mining in den Paragraphen vierundvierzig b und sechzig d des Urheberrechtsgesetzes gestützt. Das Berufungsgericht hat die Revision zugelassen, sodass der Bundesgerichtshof diese Frage nun erstmals höchstrichterlich klären kann. Bislang fehlt dazu eine Entscheidung des obersten Zivilgerichts. Für Sie als Betreiber einer eigenen Seite gilt schon jetzt: Wer eigene Fotos veröffentlicht und das automatisierte Auslesen für Trainingszwecke nicht wünscht, kann nach dem Paragraphen vierundvierzig b Absatz drei einen Nutzungsvorbehalt erklären, der maschinenlesbar sein muss, etwa über die robots-Datei. Ob ein Vorbehalt, der nur als Fliesstext in den Nutzungsbedingungen steht, dafür genügt, ist gerade eine der strittigen Fragen des Verfahrens. Wir berichten, sobald die Entscheidung feststeht.

Der zweite Fall kommt vom Oberlandesgericht München und betrifft eine Praxis, die auf vielen Onlineshops verbreitet ist. Ein Anbieter hatte die Anmeldung so gestaltet, dass ein einziger Bestätigungslink gleichzeitig das Kundenkonto freischaltete und die Einwilligung in den Newsletter erteilte, ohne einen Weg, sich ohne Werbung anzumelden. Das Gericht wertet das als Verstoss gegen das Kopplungsverbot aus Artikel sieben Absatz vier der Datenschutzgrundverordnung, weil die Verweigerung der Einwilligung nicht ebenso leicht zum Ziel führt wie die Zustimmung. Weil die Einwilligungsvorschriften zugleich als Marktverhaltensregeln gelten, kann ein solcher Verstoss über das Wettbewerbsrecht zusätzlich von Mitbewerbern abgemahnt werden. Zum Verfahrensstand liegt uns keine Bestätigung der Rechtskraft vor, behandeln Sie die Entscheidung deshalb als aktuelle Leitlinie, nicht als letztes Wort. Prüfen Sie Ihre eigene Registrierungsstrecke: Lässt sich das Kundenkonto tatsächlich unabhängig von jeder Werbeeinwilligung aktivieren, oder hängt an einem einzigen Klick beides zugleich?

Kommen wir zu den technischen Themen der Woche, und die haben es in sich. Die amerikanische Cybersicherheitsbehörde hat vorgestern eine Schwachstelle in Starlette in ihren Katalog nachweislich ausgenutzter Lücken aufgenommen. Starlette ist ein weitverbreiteter Baustein, auf dem viele moderne Webanwendungen und Programmierschnittstellen aufsetzen, unter anderem unter dem Rahmenwerk FastAPI, meist unsichtbar im Hintergrund. Der Fehler liegt darin, dass der Host-Wert einer Anfrage nicht geprüft wird, bevor daraus der Pfad der Anfrage neu zusammengesetzt wird. Ein präparierter Host-Wert verschiebt dadurch die Pfad-Grenze, sodass eine Schutzprüfung, die sich auf diesen Pfad verlässt, eine andere Route bewertet als die, die tatsächlich ausgeführt wird. Die Behörde setzt Bundesbehörden eine Frist bis Mitte September, um Gegenmassnahmen einzuspielen. Betreiben Sie eine moderne Webanwendung, die auf diesem Baustein aufbaut, fragen Sie Ihren Dienstleister gezielt danach, ob die Version aktuell ist, denn diese Software wird selten im eigenen Anmeldefenster sichtbar und deshalb leicht vergessen.

Bleiben wir bei Sicherheitslücken, diesmal bei WordPress, und zwar bei einem Werkzeug, dem viele blind vertrauen: die Sicherungs- und Wiederherstellungserweiterung UpdraftPlus. Einer ihrer Verwaltungsaktionen fehlt die Prüfung gegen eine Fälschung fremder Anfragen, eine Technik, mit der ein präparierter Link eine Aktion im Namen eines angemeldeten Nutzers auslöst, ohne dass dieser es bemerkt. Klickt ein angemeldeter Administrator auf einen solchen Link, spielt die Erweiterung eine vorhandene Sicherung zurück und setzt Datenbank und Dateien der Seite auf einen früheren Stand, ganz ohne einen Einbruch in den Server. Behoben ist das Problem in der aktuellen Fassung, Version eins Punkt sechsundzwanzig Punkt sieben. Aktualisieren Sie die Erweiterung heute, und seien Sie grundsätzlich vorsichtig mit Links aus unbekannter Quelle, während Sie im Verwaltungsbereich Ihrer eigenen Seite angemeldet sind.

Kommen wir zu den kürzeren Meldungen. Die Erweiterung für Wartungs- und Bald-verfügbar-Seiten mit dem Namen CMP weist zwei Schwächen auf. Über eine bestimmte Konfiguration kann ein nicht angemeldeter Besucher den Wartungsmodus unter bestimmten Voraussetzungen abschalten, und ein Redakteur mit Zugriff auf die Verwaltungsleiste der Erweiterung kann beliebige WordPress-Einstellungen schreiben, was bis zur Ausweitung auf Administratorrechte reicht. Für Betreiber, die eine neue Seite noch hinter einer solchen Baustellenseite verstecken, ist das ein doppeltes Risiko: Die eigentlich unfertige Seite liegt offen. Aktualisieren Sie die Erweiterung, und verlassen Sie sich bei einer wirklich vertraulichen Vorabversion nicht allein auf einen Wartungsmodus, sondern zusätzlich auf einen Passwortschutz auf Serverebene.

Auch das beliebte Bildkomprimierungswerkzeug Smush hatte eine Lücke, die speziell Netzwerk-Installationen betrifft, also eine WordPress-Instanz, unter der mehrere Seiten gemeinsam laufen. Eine netzwerkweite Einstellung war nicht auf echte Netzwerk-Administratoren beschränkt, sodass der Administrator einer einzelnen Seite in diesem Verbund beliebigen Programmcode im gesamten Netzwerk ausführen konnte. Der Hersteller hat die Lücke bereits geschlossen. Betreiben Sie eine solche Mehrfachinstallation, gehen Sie grundsätzlich davon aus, dass ein einzelner Seiten-Administrator kein geringeres Risiko darstellt als ein Administrator des gesamten Netzwerks, und vergeben Sie Erweiterungsrechte entsprechend vorsichtig.

Und noch eine Lücke aus dem Umfeld von WooCommerce, dem verbreiteten Shopsystem für WordPress. Die Erweiterung für eine mobile Einkaufs-App hat bei einer ihrer Schnittstellen nicht geprüft, welche Berechtigung der anfragende Nutzer hat. Dadurch konnte jeder angemeldete Kunde, auch mit der niedrigsten Rolle, den Lagerbestand beliebiger Produkte verändern. Der Hersteller hat nachgebessert. Setzen Sie eine solche App-Erweiterung ein, aktualisieren Sie sie, und werfen Sie danach einen Blick in Ihren Lagerbestand, ob sich dort in der Zwischenzeit etwas verändert hat, das Sie nicht selbst eingetragen haben.

Und noch der Blick auf die Frist-Uhr: In acht Tagen, am elften September, beginnen die Meldepflichten der europäischen Cyberresilienz-Verordnung für Hersteller von Produkten mit digitalen Elementen. Das war Ihr Datenschutz-Briefing von Experto Mundi. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Mittwoch, der zweite September zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht. Die amerikanische Cybersicherheitsbehörde hat in den vergangenen Tagen mehrere Schwachstellen neu in ihren Katalog der nachweislich ausgenutzten Lücken aufgenommen. Drei davon greifen wir heute heraus, und alle drei betreffen Software, die man typischerweise selbst betreibt. Zwei Gerichtsentscheidungen kommen dazu.

Wir beginnen mit dem dringendsten Fall, und der betrifft Deutschland ganz besonders. Für eine Schwachstelle in Microsoft Exchange, den Servern also, die viele Mittelständler für ihre eigene Mail betreiben, kursiert seit Ende August ein funktionierender Machbarkeitsnachweis. Er erlaubt die Übernahme von Systemen aus dem Internet, ohne dass sich der Angreifer vorher anmelden muss, und zwar als Teil einer Kette mehrerer Schwächen. Das Bundesamt für Sicherheit in der Informationstechnik hat auf eine Anfrage des Fachdienstes heise hin Zahlen veröffentlicht: Am Freitag, dem achtundzwanzigsten August, waren noch rund fünfundachtzig Prozent der in Deutschland betriebenen Exchange-Server verwundbar. Zur Einordnung: Ende Oktober zweitausendfünfundzwanzig zählte man hierzulande rund dreiunddreissigtausend solcher Server. Spielen Sie das August-Update heute ein, und nehmen Sie die Weboberfläche Ihres Mailservers vom offenen Internet, entweder über eine Beschränkung auf vertrauenswürdige Adressbereiche oder über ein Netzwerk mit vorgeschalteter Anmeldung.

Der zweite Fall ist ein Lehrstück über Altlasten. Die amerikanische Cybersicherheitsbehörde hat am siebenundzwanzigsten August eine Schwachstelle in ownCloud in ihren Katalog aufgenommen, die aus dem Jahr zweitausenddreiundzwanzig stammt. Drei Jahre alt, und sie wird nachweislich angegriffen. Die Behörde beschreibt sie so: Ein Angreifer kann beliebige Dateien lesen, verändern oder löschen, ohne sich anzumelden, wenn er den Benutzernamen des Opfers kennt und für dieses Konto kein Signaturschlüssel eingerichtet wurde. Wer ownCloud selbst betreibt, prüft heute zwei Dinge, nämlich ob die Installation auf dem aktuellen Stand ist und ob der Signaturschlüssel gesetzt ist. Ganz allgemein gilt: Eine Software, die Sie vor Jahren aufgesetzt und seither nicht angefasst haben, ist kein ruhender Posten.

Jetzt zum Recht. Das Oberlandesgericht Jena hat Meta Anfang März zu dreitausend Euro immateriellem Schadensersatz verurteilt. Das Gericht sah die Datenerhebung über die Business Tools, also die Messwerkzeuge, die Meta an Webseiten- und App-Betreiber ausgibt, als nicht gerechtfertigt an und sprach von einem System anlassloser Datensammlung. Erfasst werden Daten auch bei Menschen, die gar nicht bei dem Netzwerk angemeldet sind, und ohne wirksame Einwilligung; besonders kritisch bewertete das Gericht dabei Gesundheitsdaten. Neben dem Geld wurde Meta zu Auskunft und Löschung verurteilt. Zwei Einordnungen sind wichtig. Beklagte war allein Meta; ob und wie weit der Webseitenbetreiber mithaftet, der diese Werkzeuge einbindet, war in diesem Verfahren nicht Streitgegenstand und ist damit auch nicht entschieden. Und rechtskräftig ist das Urteil nicht, der Senat hat die Revision zum Bundesgerichtshof zugelassen. Unabhängig vom Ausgang lohnt sich ein Blick in den Netzwerkmitschnitt Ihres eigenen Browsers: Lassen Sie eine Unterseite laden, ohne den Einwilligungsbanner anzufassen, und sehen Sie nach, ob dabei bereits Verbindungen zu diesem Anbieter aufgebaut werden. Das dauert wenige Minuten und beantwortet die Frage abschliessend.

Das vierte grössere Thema kommt aus Österreich und ist trotzdem für deutsche Seiten interessant. Das dortige Bundesverwaltungsgericht hat im April über das Cookie-Banner des öffentlich-rechtlichen Rundfunks entschieden, angestossen durch eine Beschwerde der Organisation noyb. Beanstandet wurde nicht der Inhalt des Banners, sondern seine Optik: Die Schaltfläche zum Annehmen aller Cookies war weiss auf blauem Grund gesetzt, die beiden anderen Wege, Einstellungen und nur notwendige Cookies, blau auf weiss. Darin sah das Gericht eine Lenkung, die einer freien Entscheidung im Sinne der Datenschutz-Grundverordnung entgegensteht. Die Entscheidung bindet deutsche Behörden nicht, und die Revision an den Verwaltungsgerichtshof ist zugelassen. Als Prüfmassstab taugt sie trotzdem, denn deutsche Aufsichtsbehörden argumentieren seit Jahren in dieselbe Richtung. Legen Sie den Massstab an Ihr eigenes Banner an: gleiche Ebene, gleiche Grösse, gleiche Farbwirkung für Annehmen und Ablehnen. Wenn ein Weg ins Auge springt und der andere gesucht werden muss, sollten Sie es überarbeiten lassen.

Kommen wir zu den kürzeren Meldungen, und damit zurück zu dem Katalog vom Anfang.

Am Montag kamen zwei Aufnahmen zur Druckserver-Verwaltung PaperCut dazu. Bei der einen missbraucht ein Angreifer eine Programmfunktion, die erst zur Laufzeit entscheidet, welcher Codebaustein geladen und ausgeführt wird, und bringt den Server auf diesem Weg dazu, beliebigen fremden Programmcode auszuführen. Die andere kommt ganz ohne Anmeldung aus und erlaubt aus der Ferne die Änderung von Systemeinstellungen. Spielen Sie die Herstellerkorrektur ein und lassen Sie sich die richtige Fassung vom Hersteller bestätigen, denn zu den Versionsnummern kursieren widersprüchliche Angaben. Und stellen Sie sicher, dass die Verwaltungsoberfläche Ihres Druckservers nicht aus dem Internet erreichbar ist.

Und noch eine Aufnahme vom siebenundzwanzigsten August, diesmal beim Linux-Kernel selbst, aktiv ausgenutzt. Die Behörde führt die Lücke im Titel als unspezifiziert, benennt aber die Wirkung: eine Ausweitung von Benutzerrechten über den Netzwerk-Baustein für das Internetprotokoll in der Version sechs. Für Sie heisst das etwas ganz Konkretes. Wenn Sie einen eigenen gemieteten Server oder eine virtuelle Maschine betreiben, spielen Sie die Kernel-Aktualisierungen Ihrer Distribution ein und starten Sie die Maschine anschliessend neu. Ohne Neustart greift ein Kernel-Patch nicht, und genau daran scheitern Aktualisierungen im Alltag am häufigsten.

Und noch der Blick auf die Frist-Uhr: In neun Tagen, am elften September, greifen die Meldepflichten der europäischen Cyberresilienz-Verordnung für Hersteller von Produkten mit digitalen Elementen. Das war Ihr Datenschutz-Briefing von Experto Mundi. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Dienstag, der erste September zweitausendsechsundzwanzig, und wir haben sieben Themen für Sie mitgebracht. Die vergangene Woche war für Betreiber von WordPress-Seiten aussergewöhnlich unruhig, deshalb stehen zwei schwere Fälle am Anfang. Danach geht es um zwei Fragen, die weniger mit Technik und mehr mit Ihren eigenen Abläufen zu tun haben.

Wir beginnen mit Avada, einem der meistverkauften kommerziellen Layout-Pakete für WordPress. Sicherheitsforscher der Firma Wordfence haben sechs einzelne Schwächen in Avada und dem mitgelieferten Baukasten Fusion Builder zu einer Kette verbunden. Am Ende steht ein Weg, auf dem ein nicht angemeldeter Angreifer eigene Programmdateien auf den Server schreiben und ausführen kann. Kein Konto, kein Passwort, kein Klick eines Mitarbeiters; vorausgesetzt ist allein, dass auf der Seite bestimmte, von der Verwaltung angelegte Inhalte vorhanden sind. Der Hersteller ThemeFusion wurde Anfang August informiert und hat die Korrekturen am fünfundzwanzigsten August veröffentlicht; eine Ausnutzung in freier Wildbahn war zum Stand des siebenundzwanzigsten August nicht öffentlich bestätigt. Prüfen Sie heute Ihre Avada- und Ihre Fusion-Builder-Fassung und spielen Sie die Korrektur ein. Wurde Ihre Seite seit Mitte August nicht aktualisiert, sehen Sie zusätzlich im Upload-Verzeichnis nach fremden Programmdateien.

Der zweite Fall betrifft GiveWP, das Spenden-Plugin, das viele Vereine und gemeinnützige Einrichtungen für ihre Spendenformulare einsetzen. Die Lücke trägt die höchstmögliche Schwerebewertung. Ein nicht angemeldeter Angreifer kann Befehle auf dem Server ausführen, sobald auf der Seite ein veröffentlichtes Spendenformular und ein aktives Zahlungsverfahren vorhanden sind. Ursache ist eine Hilfsfunktion, die gespeicherte Datenpakete eigentlich sicher wieder auspacken soll und das nicht zuverlässig tut. Aufgefallen ist ausserdem ein Registrierungs-Weg, der die WordPress-eigene Einstellung ignoriert, ob Fremde überhaupt Konten anlegen dürfen. Die Korrektur des Herstellers steht seit dem siebenundzwanzigsten August bereit. Aktualisieren Sie unverzüglich, prüfen Sie danach die Benutzerliste auf unbekannte Konten mit Verwaltungsrechten, und sehen Sie nach, ob die Registrierung offen steht, obwohl sie es nicht sollte.

Nun zu einem Feld, das auf sehr vielen Mittelstands-Seiten steht und dort meist nicht hingehört: das Pflicht-Häkchen, mit dem man der Datenschutzerklärung zustimmen soll. Ein Fachbeitrag vom siebenundzwanzigsten August legt dar, warum das in aller Regel überflüssig ist und sogar schaden kann. Eine Datenschutzerklärung ist eine Information nach Artikel dreizehn und vierzehn der Datenschutz-Grundverordnung, keine Willenserklärung, und einer Information kann man nicht wirksam zustimmen. Das erzwungene Häkchen suggeriert eine Einwilligung, die es rechtlich nicht gibt, und verwischt die tatsächliche Rechtsgrundlage Ihres Formulars. Ersetzen Sie es durch einen gut sichtbaren Hinweis mit einem leicht erreichbaren Verweis auf Ihre Datenschutzerklärung. Wo Sie wirklich eine Einwilligung brauchen, etwa für einen Newsletter, formulieren Sie dafür ein eigenes, zweckgenau beschriebenes Kästchen.

Das letzte der vier grösseren Themen kommt vom Bayerischen Landesbeauftragten für den Datenschutz, der in einer Kurz-Information zusammengefasst hat, wie Dokumente richtig geschwärzt werden; die Fachpresse hat das am achtundzwanzigsten August aufgegriffen. Der Kern ist unbequem und einfach zugleich: Ein schwarzer Balken, der in einem Dokument über den Text gelegt wird, ist keine Schwärzung. Der Text steht weiterhin in der Datei und lässt sich kopieren und durchsuchen. Echte Schwärzung entfernt oder ersetzt die Daten und umfasst auch die Beschreibungsdaten der Datei. Gearbeitet wird an einer Kopie, nie am Original, und eine maschinell unterstützte Schwärzung braucht in jedem Fall die vollständige menschliche Nachkontrolle. Machen Sie heute den Test: fertiges Dokument öffnen, alles markieren, in einen einfachen Texteditor einfügen. Erscheint der angeblich geschwärzte Inhalt, ist Ihr Verfahren nicht dicht.

Kommen wir zu den kürzeren Meldungen.

Beim WPMU DEV Dashboard, einem Werkzeug zur Fernwartung vieler Kundenseiten, wurde eine Umgehung der Anmeldung gefunden. Das Einmal-Anmelde-Verfahren baut seine Signatur in zwei Schritten unterschiedlich zusammen, wodurch der erste Schritt einem Angreifer eine gültige Signatur frei Haus liefert. Auf Seiten, deren Einmal-Anmeldung auf ein Verwaltungskonto zeigt, führt das ohne Anmeldung zu vollen Verwaltungsrechten. Spielen Sie die Korrektur ein, schalten Sie die Einmal-Anmeldung ab, wenn Sie sie nicht brauchen, und entfernen Sie das Werkzeug von Seiten, auf denen es nie verbunden wurde.

Das Bundesarbeitsgericht hat Mitte April entschieden, die Fachwelt diskutiert es jetzt: Eine Beschäftigte verlangte über das Auskunftsrecht eine Kopie des vollständigen Abschlussberichts einer internen Untersuchung, die sich mit ihr befasst hatte. Das Gericht hat das abgelehnt. Das Auskunftsrecht erfasst die personenbezogenen Daten, die in einem Dokument stehen, nicht das ganze Dokument samt rechtlicher Bewertung und Empfehlungen an den Auftraggeber. Praktisch heisst das für Arbeitgeber: bei einem Auskunftsverlangen weder die komplette Akte herausgeben noch pauschal ablehnen, sondern die personenbezogenen Daten herauslösen und die Antwort nachvollziehbar dokumentieren.

Und ein Vorfall mit einer Lehre über den Einzelfall hinaus. Bei einem Schwesterunternehmen des Schulplattform-Anbieters IServ, das dort als Auftragsverarbeiter tätig ist, war ein Anmeldedienst falsch eingerichtet und erlaubte unberechtigten Zugriff auf Serverdienste. Der Vorfall ereignete sich Anfang August, gemeldet wurde er dem Anbieter genau eine Woche später, öffentlich bekannt wurde er Ende August. Erreichbar waren rechnerisch die Datenbanken mehrerer Module, etwa Abwesenheiten, Klassenbuch und Stundenplanung; die einzelnen Schulinstanzen blieben unberührt, und nach Darstellung des Anbieters gibt es keine Hinweise auf einen Abfluss von Nutzerdaten. Ursache war keine Schwachstelle in einem Produkt, sondern eine Fehleinstellung bei einem Dienstleister. Prüfen Sie Ihre Verträge mit Auftragsverarbeitern darauf, ob eine unverzügliche Meldung mit klarer Frist vereinbart ist. Eine Woche ist lang, wenn bei Ihnen die Zweiundsiebzig-Stunden-Uhr des Artikels dreiunddreissig läuft.

Und noch der Blick auf die Frist-Uhr: In zehn Tagen, am elften September, beginnen die Meldepflichten der europäischen Cyberresilienz-Verordnung für Hersteller von Produkten mit digitalen Elementen. Wer solche Produkte in Verkehr bringt, sollte die Meldewege bis dahin eingerichtet und einmal durchgespielt haben. Das war Ihr Datenschutz-Briefing von Experto Mundi. Wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Montag, der einunddreissigste August zweitausendsechsundzwanzig, und wir haben acht Themen für Sie mitgebracht, vier davon mit etwas mehr Tiefgang, vier als kürzere Meldungen. Nach einer ruhigen Woche mit wenig frischem Stoff hat sich einiges angesammelt, deshalb starten wir heute breiter als sonst.

Beginnen wir mit einer kritischen Lücke im Redaktionssystem Craft CMS, das viele Agenturen für anspruchsvollere Kundenprojekte einsetzen. Über die interne Suchfunktion der Verwaltungsoberfläche lässt sich eine eigentlich vorhandene Bereinigung von Konfigurationswerten umgehen, weil eine zweite, verschachtelte Ebene dieser Werte nach dem Entschlüsseln kein zweites Mal bereinigt wird. Das Ergebnis: Jede angemeldete Person mit Zugang zur Verwaltungsoberfläche kann darüber Programmcode auf dem Server ausführen, selbst mit einem eingeschränkten Redakteurs- oder Autorenkonto, Administrationsrechte sind dafür nicht nötig. Wer Craft CMS mit mehreren angemeldeten Redaktionskonten betreibt, sollte solche Konten künftig nicht mehr als harmlos einstufen, nur weil sie keine vollen Verwaltungsrechte besitzen. Aktualisieren Sie umgehend auf die vom Hersteller bereitgestellte reparierte Fassung, und prüfen Sie, wie viele externe oder freie Mitarbeitende überhaupt einen eigenen Zugang zur Verwaltungsoberfläche besitzen.

Zweitens erneut eine Warnung für WordPress-Betreiber, diesmal zum Erweiterungs-Baukasten Pods, mit dem sich eigene Inhaltstypen und Zusatzfelder anlegen lassen. Die Verwaltungsschnittstelle des Plugins prüft zwar Anmeldung, Berechtigung und Sicherheits-Token, schreibt einen fehlgeschlagenen Test unter bestimmten Bedingungen aber nur ins Fehlerprotokoll, statt die Anfrage abzubrechen. Damit laufen sämtliche Schutzmechanismen ins Leere: Eine Angreiferin oder ein Angreifer kann sich ganz ohne Anmeldung Administrationsrechte verschaffen oder das Passwort eines beliebigen Kontos überschreiben, auch das der Betreiberin oder des Betreibers selbst. Nach Angaben des offiziellen Plugin-Verzeichnisses läuft die Erweiterung auf über einhunderttausend Seiten, betroffen sind alle Fassungen vor der jüngsten Korrektur. Aktualisieren Sie Pods umgehend, und kontrollieren Sie danach Ihre Administratorkonten auf unbekannte Neuzugänge sowie die Zeitpunkte der letzten Passwortänderungen.

Drittens eine Lücke, die nicht Ihre eigene Webseite betrifft, sondern die Verwaltungsoberfläche Ihres Hosting-Anbieters, sofern dieser die weitverbreitete Verwaltungssoftware cPanel und WHM einsetzt, nicht die im Juli besprochene Authentifizierungslücke, sondern eine neue Schwachstelle in der Funktion zum Parken zusätzlicher Domains. Wer als Kundin oder Kunde eines solchen Hosters berechtigt ist, geparkte oder zusätzliche Domains anzulegen, kann über genau diese Funktion beliebige Dateien auf dem Server erzeugen und darüber Programmcode mit den höchsten Rechten des gesamten Servers ausführen, nicht nur des eigenen Kundenkontos. Auf einem geteilten Server könnte damit theoretisch ein einzelnes, niedrig berechtigtes Konto alle anderen dort gehosteten Kundinnen und Kunden mitreissen. Eine Ausnutzung ist nach Herstellerangaben bislang nicht bekannt, ein Update ist aber bereits verfügbar. Fragen Sie Ihren Hosting-Anbieter aktiv, ob diese Verwaltungssoftware bei Ihnen im Einsatz ist und ob die aktuelle Aktualisierung bereits eingespielt wurde, denn diesen Schritt können Sie als Kundin oder Kunde meist nicht selbst auslösen.

Viertens ein Blick auf die Aufsichtspraxis für das laufende Jahr. Der Europäische Datenschutzausschuss lässt derzeit in einer koordinierten Aktion fünfundzwanzig europäische Aufsichtsbehörden gemeinsam prüfen, ob Unternehmen ihre Informationspflichten gegenüber betroffenen Personen tatsächlich erfüllen, und zwar konkret die vollständige, verständliche und leicht zugängliche Datenschutzerklärung, gestufte Darstellungen sowie Hinweise direkt am Ort der Datenerhebung, also am Kontaktformular, an der Newsletter-Anmeldung oder an der Kasse. Generische oder lückenhafte Datenschutzerklärungen stehen dabei ausdrücklich im Fokus, ebenso die benannte Rechtsgrundlage je Verarbeitungszweck, die zu den klassischen Prüfpunkten der Informationspflichten gehört. Nutzen Sie diesen Prüfschwerpunkt als Anlass, Ihre eigene Datenschutzerklärung einmal Punkt für Punkt gegen die gesetzlichen Pflichtangaben zu halten, statt eine einmal erstellte Vorlage unverändert weiterlaufen zu lassen.

Kommen wir zu den kürzeren Meldungen.

Für Betreiberinnen und Betreiber moderner, in JavaScript entwickelter Webseiten auf Windows-Servern gibt es eine kritische Warnung: Das verbreitete Entwicklungs-Grundgerüst Next.js weist eine Schwachstelle auf, über die sich ohne jede Anmeldung Programmcode auf dem Server ausführen lässt, sofern der Server unter Windows läuft. Für Linux- oder Mac-basierte Server besteht das Problem nicht, und auf Vercel gehostete Next.js-Anwendungen sind nach Herstellerangaben ebenfalls nicht betroffen. Der Hersteller hat bereits reagiert, es gibt aber keinen Notbehelf ausser der Aktualisierung selbst. Prüfen Sie mit Ihrem technischen Dienstleister, ob Next.js bei Ihnen im Einsatz ist und auf welchem Betriebssystem der Server läuft.

Für Nutzerinnen und Nutzer des Redaktionssystems Joomla eine Warnung zum OAuth-Client des Herstellers miniOrange. Das ist nicht die WordPress-Erweiterung desselben Herstellers, über die wir am Freitag berichtet haben, sondern ein eigenes Produkt für Joomla mit einer eigenen Schwachstelle. Sie lässt sich allein durch das Verändern eines im Browser gespeicherten Wertes ausnutzen, um sich als beliebiges Konto anzumelden, einschliesslich der Administration. Aktualisieren Sie diese Erweiterung umgehend, falls Sie Joomla mit einer Anmeldung über externe Anmeldedienste betreiben.

Seit gut zwei Monaten müssen alle Anbieter, die mit Verbrauchern online Verträge schliessen, bei denen ein gesetzliches Widerrufsrecht besteht, eine elektronische Widerrufsfunktion auf ihrer eigenen Oberfläche bereitstellen, klar beschriftet und mit einem zweistufigen Bestätigungsschritt. Fachleute rechnen damit, dass die Pflicht ähnlich wie seinerzeit der Kündigungsbutton zu vermehrten Abmahnungen führt. Belastbar dokumentierte Fälle sind bislang jedoch nicht bekannt, von einer Abmahnwelle kann derzeit keine Rede sein. Unabhängig davon bleibt die Pflicht selbst bestehen, und wer sie versäumt, riskiert eine deutlich verlängerte Widerrufsfrist von bis zu zwölf Monaten und vierzehn Tagen. Prüfen Sie, ob auf Ihrer eigenen Bestell- oder Buchungsseite eine solche Widerruf-Funktion vorhanden, dauerhaft erreichbar und eindeutig beschriftet ist.

Ein Verwaltungsgericht hat kürzlich entschieden, dass ein Elternteil das Auskunftsrecht eines gemeinsamen Kindes nach Artikel fünfzehn der Datenschutz-Grundverordnung bei getrenntem, aber gemeinsamem Sorgerecht nicht allein ausüben kann, weil eine solche Herausgabe von Entwicklungsunterlagen als Angelegenheit von erheblicher Bedeutung gilt. Die praktische Lehre reicht über den konkreten Fall hinaus: Wer selbst Auskunftsersuchen entgegennimmt, muss vor der Herausgabe nicht nur die Identität, sondern auch die Berechtigung der anfragenden Person prüfen, gerade bei minderjährigen Betroffenen. Das betrifft insbesondere Kindertagesstätten, Schulen, Vereine und Praxen. Prüfen Sie, ob Ihr eigener Auskunftsprozess diese Vertretungsfrage überhaupt vorsieht.

Ein Blick auf die laufende Uhr zum Schluss: Bis zum Beginn der verpflichtenden Schwachstellenmeldungen nach der europäischen Cyber-Resilienz-Verordnung, die Hersteller von Produkten mit digitalen Elementen treffen, bleiben noch elf Tage, die Frist rutscht damit in den kommenden Tagen in ihre letzte, einstellige Woche. Das war Ihr Datenschutz-Briefing von Experto Mundi für diesen Montag, vielen Dank fürs Zuhören, und wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Freitag, der achtundzwanzigste August zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht.

Los geht es mit einer Anmeldelücke, die zeigt, wie gefährlich ein einzelner Baustein in der Kette einer Anmeldung werden kann. Viele Unternehmen lagern die Anmeldung an ihrer eigenen Webseite an einen zentralen Anmeldedienst aus, damit sich Mitarbeitende nur einmal ausweisen müssen und trotzdem mehrere Systeme nutzen können. Für WordPress-Seiten übernimmt diese Aufgabe häufig eine Erweiterung des Herstellers miniOrange. Zwei voneinander unabhängige Fehler in genau dieser Erweiterung erlauben es einer Angreiferin oder einem Angreifer, sich ganz ohne eigenes Passwort als beliebige Nutzerin oder beliebiger Nutzer anzumelden, einschliesslich der Administration. Der eine Fehler akzeptiert das vom Angreifer selbst gewählte Signaturverfahren der Anmeldebestätigung, statt auf dem vom Betreiber festgelegten Verfahren zu bestehen, der andere deutet eine fehlgeschlagene Signaturprüfung fälschlich als erfolgreich. Jeder der beiden Fehler reicht für sich allein aus, um ein gültiges Administrationssitzungs-Cookie zu erhalten. Sicherheitsforschende beobachten die Ausnutzung bereits seit knapp zwei Wochen an echten Installationen. Wenn Sie einen solchen zentralen Anmeldedienst für Ihre eigene Webseite einsetzen: prüfen Sie, welche genaue Ausgabe der Erweiterung bei Ihnen läuft, spielen Sie die vom Hersteller bereitgestellte Korrektur ein, und werfen Sie danach einen Blick in Ihre Nutzerverwaltung, ob dort unbemerkt neue Administrationskonten aufgetaucht sind.

Zweitens ein Fund, der mit klassischem Tracking über Cookies nichts zu tun hat und gerade deshalb interessant ist. AliExpress hat auf seiner Startseite Code eingesetzt, der über die Audioschnittstelle des Browsers ein Signal mit Lautstärke null erzeugt und aus den winzigen, rechnerbedingten Abweichungen bei dessen Verarbeitung ein Wiedererkennungsmerkmal gewinnt, das zusammen mit anderen Merkmalen zur Profilbildung taugt. Ganz ohne Cookie, ganz ohne Einwilligungsabfrage, und selbst dann noch aktiv, wenn die betroffene Person den Tab stummgeschaltet hatte. Aufgefallen ist die Sache nur, weil manche Kopfhörer mit mehreren gleichzeitigen Verbindungen dadurch die Tonwiedergabe verweigerten. Rechtlich ist das kein Grauzonenfall: das deutsche Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz erfasst nicht nur Cookies, sondern jeden Zugriff auf Informationen im Endgerät der Nutzerin oder des Nutzers, und ein solcher Zugriff ohne vorherige Einwilligung ist ein Verstoss, ganz unabhängig davon, ob überhaupt eine Cookie-Datei gesetzt wird. Prüfen Sie deshalb nicht nur, welche Cookies Ihre eigene Webseite setzt, sondern auch, ob eingebundene Drittanbieter-Skripte, gerade aus dem Marketing- oder Betrugserkennungs-Bereich, im Hintergrund auf die Audioschnittstelle des Browsers zugreifen, bevor überhaupt eine Einwilligung vorliegt.

Drittens eine Lücke, die zeigt, wie ein an sich sinnvolles Feature zum Sicherheitsproblem werden kann. TranslatePress, eine bei Mehrsprachigkeit sehr verbreitete WordPress-Erweiterung, übersetzt automatisch auch ausgehende Systemmails, indem sie jede versendete Nachricht abfängt. Wenn das Administrationskonto auf eine zweite, veröffentlichte Sprache eingestellt ist, landet dabei ausgerechnet der Passwort-Rücksetzlink samt Rücksetzschlüssel als vermeintlich zu übersetzender Text in einer zweiten, deutlich schlechter geschützten Datenbanktabelle für Übersetzungen. Über eine einfache, nicht angemeldete Anfrage an eine Funktion der Erweiterung lässt sich dieser Eintrag direkt auslesen, ganz ohne eigenen Zugriff auf die Datenbank, und darüber das Administrationspasswort zurücksetzen und die Seite übernehmen. Betroffen sind mehrere hunderttausend Installationen, der Hersteller hat die Lücke innerhalb eines Tages nach Meldung geschlossen. Wenn Sie eine solche Übersetzungserweiterung einsetzen: aktualisieren Sie umgehend auf die aktuelle Version, prüfen Sie, ob Ihr eigenes Administrationskonto auf eine Zweitsprache eingestellt ist, und geben Sie generell zu bedenken, ob sicherheitsrelevante Systemmails wie Passwort-Rücksetzlinks überhaupt durch eine Übersetzungsfunktion laufen sollten, statt sie davon grundsätzlich auszunehmen.

Viertens ein Fall aus der Rechtsprechung, der genau die Plattform-Profile betrifft, die viele Selbstständige und kleine Unternehmen parallel zur eigenen Webseite pflegen. Ein Wirtschaftsverband hatte einen Rechtsanwalt verklagt, dessen Profil auf einem bekannten Branchenportal für Rechtsanwältinnen und Rechtsanwälte weder eigene Datenschutzhinweise noch Angaben zur gemeinsamen Verantwortlichkeit mit dem Portalbetreiber enthielt. Der Anwalt hielt es für ausreichend, solche Angaben nur auf Nachfrage bereitzustellen. Das Oberlandesgericht Düsseldorf hat die entscheidende Frage nun dem Europäischen Gerichtshof vorgelegt: müssen gemeinsam Verantwortliche das Wesentliche ihrer Vereinbarung nach Artikel sechsundzwanzig der Datenschutz-Grundverordnung aktiv auf der Webseite selbst zeigen, oder genügt es, sie auf Nachfrage herauszugeben. Das betrifft praktisch jeden, der ein Profil auf einem Branchenportal, eine Facebook-Fanpage oder ein Buchungswidget eines Drittanbieters nutzt, bei dem eine gemeinsame Verantwortlichkeit naheliegt. Solange der Europäische Gerichtshof nicht entschieden hat, ist der Aufwand für eine vorsorgliche Angabe gering und das Risiko eines abweisenden Urteils erheblich: Prüfen Sie Ihre eigenen Profile auf Branchenportalen und in sozialen Netzwerken, ob dort ein Hinweis auf eine gemeinsame Verantwortlichkeit mit dem Plattformbetreiber fehlt, und ergänzen Sie ihn vorsorglich.

Kommen wir zu den kürzeren Meldungen.

Für Betreiberinnen und Betreiber des Content-Management-Systems TYPO Drei hat das Sicherheitsteam des Projekts Ende August vierzehn neue Sicherheitshinweise auf einmal veröffentlicht, zwei davon mit der Einstufung kritisch. Betroffen sind ausschliesslich Erweiterungen von Drittanbietern, der Systemkern selbst nicht. Mehrere Erweiterungen erlauben die Ausführung beliebigen Programmcodes, das Einschleusen von Datenbankbefehlen, eine Ausweitung von Benutzerrechten sowie die Offenlegung sensibler Informationen. Bei einer der beiden kritischen Lücken, einer Formular-Erweiterung, wird die Ausnutzung bereits beobachtet, und zwar ohne dass sich der Angreifer überhaupt anmelden müsste. Eine weitere betroffene Erweiterung wird nicht mehr gepflegt, bekommt also keine Korrektur mehr und sollte entfernt statt aktualisiert werden. Wer TYPO Drei betreibt, sollte die eigene Liste installierter Erweiterungen noch heute gegen die Sicherheitshinweise des Projekts abgleichen.

Und für Nutzerinnen und Nutzer des beliebten Baukasten-Werkzeugs Elementor eine Ergänzung, die eine eigenständige Zusatzerweiterung namens Royal Addons betrifft, nicht die Hauptsoftware selbst: fehlerhaft bereinigtes Markup in individuellen Widgets erlaubt Nutzerinnen und Nutzern mit weitreichenden Verwaltungsrechten, eigenen Programmcode auszuführen, in Mehrseiten-Installationen sogar solchen, die eigentlich nur eine einzelne Unterseite verwalten sollten. Wer diese Zusatzerweiterung einsetzt, sollte umgehend aktualisieren und, bei mehreren verwalteten Unterseiten, die Rechtevergabe der dort zuständigen Personen noch einmal gegenprüfen.

Ein Blick auf die laufende Uhr zum Schluss: Bis zur ersten verpflichtenden Schwachstellenmeldung nach der europäischen Cyber-Resilienz-Verordnung am elften September zweitausendsechsundzwanzig bleiben noch vierzehn Tage. Das war Ihr Datenschutz-Briefing von Experto Mundi für diesen Freitag, vielen Dank fürs Zuhören, geniessen Sie das Wochenende, und wir hören uns am Montag wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Mittwoch, der sechsundzwanzigste August zweitausendsechsundzwanzig, und wir haben drei Themen für Sie mitgebracht.

Beginnen wir mit einer Sicherheitslücke in einer Software, die viele kleinere Unternehmen und Entwicklerteams als selbst betriebene Alternative zu grossen Plattformen für die Quellcode-Verwaltung einsetzen: Gitea. Wer ein eigenes Konto auf einer solchen Installation anlegen kann, und viele Gitea-Installationen erlauben genau das standardmässig ohne Einladung durch eine bestehende Nutzerin oder einen bestehenden Nutzer, kann über eine manipulierte Änderungsanfrage an eine interne Funktion der Software einen sogenannten Haken einschleusen, ein kleines Skript, das bei bestimmten Aktionen im Hintergrund automatisch ausgeführt wird. Darüber lassen sich beliebige Befehle mit den Rechten des Gitea-Systemkontos ausführen, ganz ohne dass zuvor eine Administratorin oder ein Administrator etwas falsch gemacht hätte, ein eigenes Repository und ein Schreibzugriff darauf genügen bereits. Der Fehler wurde von einem externen Sicherheitsforscher gemeldet und Ende Juli behoben, allerdings führte der Hersteller die Korrektur in seinen Versionshinweisen nicht als Sicherheitskorrektur, sondern nur unter Sonstiges, weshalb sie in vielen Häusern schlicht untergegangen ist. Bei mindestens einer betroffenen Installation wurde die Lücke inzwischen tatsächlich ausgenutzt: Angreifer schleusten darüber ein Programm zum heimlichen Schürfen von Kryptowährung ein, das zunächst systematisch andere laufende Prozesse beendete und eigene Umgebungsvariablen löschte, bevor es die eigentliche Schadsoftware nachlud. Die Serverauslastung schoss dabei auf über siebzig Prozent, ein deutliches Warnsignal für aufmerksames Monitoring. Der Hersteller hat bereits Ende Juli eine reparierte Fassung veröffentlicht, eine amerikanische Sicherheitsbehörde hat die Lücke gestern offiziell als aktiv ausgenutzt eingestuft und den eigenen Bundesbehörden eine Frist bis zum Ende dieser Woche gesetzt. Wenn Sie selbst eine solche Software für Ihre eigene Quellcode-Verwaltung betreiben: prüfen Sie umgehend, ob Sie bereits auf der aktuellen, reparierten Version laufen, schalten Sie die offene Registrierung für Unbekannte ab, wenn Sie sie nicht zwingend brauchen, werfen Sie einen Blick in Ihre Systemauslastung, ungewöhnliche Lastspitzen sind hier oft der erste sichtbare Hinweis, und verlassen Sie sich dabei nicht darauf, dass ein Sicherheitshinweis als solcher gekennzeichnet war.

Zweitens eine Lücke mit der höchstmöglichen denkbaren Bewertung, die zeigt, dass auch längst gepatchte Probleme neu gefährlich werden können. Betroffen ist eine weitverbreitete Kombination aus Webserver und vorgeschalteter Verteilerkomponente des Herstellers Oracle, die viele grössere Unternehmensanwendungen im Hintergrund mit dem eigentlichen Anwendungsserver verbindet, oft unsichtbar für alle, die nicht direkt mit dem Betrieb dieser Systeme befasst sind. Über eine fehlerhafte Zugriffskontrolle kann ein Angreifer ganz ohne eigene Anmeldung sämtliche über diese Komponente erreichbaren Daten lesen, verändern oder löschen, praktisch ein vollständiger Zugriff auf alles, was dahinter liegt. Das Besondere an diesem Fall: der Hersteller hatte den Fehler bereits Anfang des Jahres behoben, spezialisierte Sicherheitsdienstleister beobachteten schon wenige Wochen später erste, noch recht vereinzelte Ausnutzungsversuche, im Sommer berichtete ein Sicherheitsdienstleister dann, die Lücke sei von einer staatsnahen Angreifergruppe gegen Regierungsinfrastruktur eingesetzt worden. Anfang dieser Woche hat die zuständige amerikanische Sicherheitsbehörde sie offiziell als aktiv ausgenutzt eingestuft und den eigenen Bundesbehörden dafür ungewöhnlich knappe drei Tage zum Nachrüsten gegeben, ein Zeichen dafür, wie ernst die Lage inzwischen eingeschätzt wird. Wenn in Ihrer eigenen IT-Landschaft eine solche Oracle-Komponente zum Einsatz kommt, prüfen Sie umgehend, ob der längst verfügbare Patch tatsächlich überall eingespielt wurde, gerade weil er schon so lange existiert, wird er in älteren, seltener angefassten Systemen erfahrungsgemäss gerne übersehen, und genau solche vergessenen Altsysteme sind derzeit das bevorzugte Ziel.

Drittens ein Fall aus der Schweiz, der zeigt, dass auch vermeintlich gut gemeinte Geschäftsmodelle rund um offene Forderungen schnell zur Persönlichkeitsrechtsverletzung werden können. Ein auf Inkasso spezialisiertes Unternehmen betrieb eine eigene Internetseite, auf der es Namen, Angaben zu Bezugspersonen, teils sogar Sprachaufnahmen sowie Vorwürfe angeblichen Betrugs von Personen veröffentlichte, die aus Sicht des Unternehmens gesuchte Schuldnerinnen und Schuldner waren, und rief die Öffentlichkeit aktiv dazu auf, Hinweise zum Aufenthaltsort dieser Personen zu melden. Der eidgenössische Datenschutzbeauftragte ordnete bereits vor längerer Zeit an, den Betrieb dieser Seite einzustellen und sämtliche veröffentlichten Daten zu löschen, weil eine solche öffentliche Blossstellung angeblicher Schuldnerinnen und Schuldner ohne besondere Rechtfertigung nicht zulässig sei. Das Unternehmen wehrte sich dagegen vor Gericht, das Schweizer Bundesverwaltungsgericht hat die Anordnung der Aufsichtsbehörde nun aber vollumfänglich bestätigt und keinerlei Rechtsverletzung durch die Behörde erkannt, das Unternehmen muss zusätzlich die Verfahrenskosten tragen. Die betroffene Internetseite ist inzwischen offline. Zwar gilt in der Schweiz nicht die europäische Datenschutz-Grundverordnung, sondern das eigene, inhaltlich aber sehr ähnlich aufgebaute Schweizer Datenschutzgesetz, doch der Grundgedanke lässt sich unmittelbar auf deutsche und europäische Verhältnisse übertragen: auch nach europäischem Recht müsste sich eine solche Veröffentlichung an einer Abwägung mit den Rechten der Betroffenen messen lassen, und diese Abwägung fällt bei einer Blosslegung allein zum Zweck des sozialen Drucks regelmässig gegen den Veröffentlichenden aus. Wer selbst offene Forderungen eintreibt oder ein Inkassounternehmen damit beauftragt: eine öffentliche Namensnennung angeblicher Schuldnerinnen und Schuldner im Internet, verbunden mit dem Aufruf, Hinweise zu ihrem Aufenthaltsort zu melden, ist auch dann keine zulässige Druckmassnahme, wenn die zugrunde liegende Forderung berechtigt sein sollte, und ein solches Vorgehen kann selbst dann teuer werden, wenn man den ursprünglichen Streit um die Forderung längst für sich entschieden glaubt.

Ein Blick auf die laufende Uhr zum Schluss: Bis zur ersten verpflichtenden Schwachstellenmeldung nach der europäischen Cyber-Resilienz-Verordnung am elften September zweitausendsechsundzwanzig bleiben noch sechzehn Tage. Das war Ihr Datenschutz-Briefing von Experto Mundi für diesen Mittwoch, vielen Dank fürs Zuhören, und wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Dienstag, der fünfundzwanzigste August zweitausendsechsundzwanzig, und wir haben fünf Themen für Sie mitgebracht, vier davon mit etwas mehr Tiefgang, eines als kurze Einordnung zum Schluss.

Beginnen wir mit einer Schwachstelle, die das digitale Adressbuch praktisch jedes Firmennetzwerks betrifft. In der Namensauflösungs-Funktion eines weitverbreiteten Windows-Serverbetriebssystems wurde eine kritische Sicherheitslücke bekannt, die sich durch ein einziges, gezielt präpariertes Datenpaket über das Netzwerk auslösen lässt, ganz ohne Anmeldung und ohne jede Interaktion einer Nutzerin oder eines Nutzers. Der zugrunde liegende Programmierfehler gilt Fachleuten zufolge als potenziell wurmfähig, könnte sich von einem verwundbaren System aus also theoretisch selbstständig weiterverbreiten. Betroffen sind zahlreiche Windows-Server-Versionen der vergangenen anderthalb Jahrzehnte, besonders kritisch ist die Lücke dort, wo diese Namensauflösung gemeinsam mit dem zentralen Verzeichnisdienst eines Unternehmens auf demselben Server läuft, denn dann wird aus einem einzelnen Serverausfall im schlimmsten Fall die Übernahme der gesamten Firmenanmeldung. Der Hersteller hat den Patch bereits vor rund zwei Wochen bereitgestellt, eine öffentliche Ausnutzung ist bislang nicht bekannt. Wer einen solchen Server für die eigene Namensauflösung betreibt, insbesondere wenn er direkt aus dem Internet erreichbar ist, sollte das Update mit hoher Priorität einspielen, auch ohne akuten Alarm.

Zweitens ein Fall, der zeigt, dass Vertrauen in einen Update-Kanal selbst zum Angriffsweg werden kann. Der Hersteller BdThemes vertreibt mehrere beliebte Erweiterungen für den Webseiten-Baukasten Elementor, unter anderem Element Pack mit über einhunderttausend Installationen. Angreifer verschafften sich Zugriff auf einen Cloud-Speicher des Herstellers und manipulierten dort die Antworten einer Programmierschnittstelle, die von den Erweiterungen automatisch abgefragt wird, ganz ohne dass auch nur eine Zeile im eigentlichen Plugin-Code verändert werden musste. Über eine Schwachstelle in einer gemeinsam genutzten Komponente führte der manipulierte Datenstrom im Browser der Administratorin oder des Administrators automatisch Programmcode aus, legte ein neues Administratorkonto an, installierte eine Webshell und meldete sich anschliessend bei einem fremden Kontrollserver. Betroffen waren insgesamt sieben Erweiterungen, das offizielle WordPress-Verzeichnis hat alle sieben bereits Anfang August vom Download genommen. Wer eine der genannten Erweiterungen einsetzt: prüfen Sie umgehend, ob unbekannte Administratorkonten angelegt wurden, und entfernen Sie die betroffenen Erweiterungen, bis der Hersteller eine bereinigte Fassung veröffentlicht.

Drittens ein Fall aus Italien mit einer Lehre, die weit über Energieversorger hinausreicht. Die italienische Datenschutzaufsichtsbehörde hat gegen zwei Energieanbieter sowie gegen zwei auf Bonitätsprüfung spezialisierte Unternehmen Bussgelder von zusammen rund sieben Komma sieben Millionen Euro verhängt. Hintergrund waren zahlreiche Beschwerden von Verbraucherinnen und Verbrauchern, denen ein Liefervertrag verweigert wurde, weil ein automatisiert berechneter Zuverlässigkeits-Score sie als zu risikoreich einstufte, ohne dass ihnen nachvollziehbar erklärt wurde, nach welchen Kriterien und welcher Logik diese Bewertung zustande kam. Die Behörde sah darin eine automatisierte Einzelfallentscheidung mit erheblicher Wirkung für die Betroffenen, für die die Datenschutz-Grundverordnung besondere Transparenz- und Informationspflichten vorschreibt. Für jedes Unternehmen, das Kundinnen und Kunden anhand eines automatisiert berechneten Scores unterschiedlich behandelt, etwa bei Zahlungszielen, Vertragsangeboten oder Kreditlinien, ist das ein klarer Hinweis: Betroffene müssen auf Nachfrage erfahren können, welche Faktoren in eine solche automatisierte Bewertung einfliessen, ein blosses Verweisen auf ein internes Geschäftsgeheimnis reicht nicht aus.

Viertens ein Vorfall, der zeigt, wie verletzlich auch kleine Infrastruktur-Betreiber sein können. Nach einem Bericht der britischen Zeitung The Telegraph haben mutmasslich dem iranischen Regime nahestehende Hacker bereits im Juli ein kleines britisches Kraftwerk für vier Tage lahmgelegt, bekannt wurde der Fall aber erst jetzt, es soll der erste erfolgreiche Angriff dieser Art auf eine solche Anlage im Vereinigten Königreich sein. Die britische Regierung bestätigte den Vorfall, betonte aber, es habe sich um einen kleinen, einzelnen Energieerzeuger gehandelt und zu keinem Zeitpunkt eine Gefahr für das gesamte Energiesystem bestanden. Die zuständige Cybersicherheitsbehörde des Landes wollte sich zu dem konkreten Fall nicht äussern, erklärte aber, ihr seien im Zusammenhang mit dem Vorfall keine Meldungen über Stromausfälle bekannt. Der Fall reiht sich ein in eine Serie von mittlerweile mehr als zweihundert Angriffen auf kritische Infrastruktur, die die britische Cybersicherheitsbehörde nach Angaben ihres Chefs allein im vergangenen Jahr bearbeitet hat. Wenn Ihr eigenes Unternehmen auch nur kleinteilig Energie-, Wasser- oder sonstige Versorgungstechnik betreibt oder davon abhängt: Prüfen Sie, ob Steuerungssysteme vom allgemeinen Firmennetz getrennt sind und ob ein manueller Notbetrieb im Ernstfall tatsächlich eingeübt ist.

Kommen wir zu einer kürzeren, aber nicht weniger wichtigen Meldung. Sicherheitsforscher einer amerikanischen Beratungsfirma haben eine Gruppe namens Ransom Busters identifiziert, die sich gegenüber Erpressungsopfern als seriöser Wiederherstellungsdienst ausgibt und gegen Zahlungen zwischen zwanzigtausend und sechzigtausend Dollar Entschlüsselung und Löschung gestohlener Daten anbietet. Die Forscher gehen davon aus, dass es sich in Wahrheit gar nicht um einen unabhängigen Dritten handelt, sondern um denselben Angreifer, der zuvor selbst zugeschlagen hat, einen Partner der Erpressergruppe, der das Lösegeld nun an seinen eigenen Auftraggebern vorbeileiten will, erkennbar an identischen Werkzeugen und Vorgehensweisen. Besonders verdächtig: Die Kontaktaufnahme erfolgte teilweise schon, bevor der eigentliche Angriff überhaupt öffentlich bekannt war. Sollten Sie nach einem Erpressungsvorfall ein unaufgefordertes Angebot einer angeblichen Wiederherstellungsfirma erhalten, insbesondere bevor Sie selbst öffentlich darüber gesprochen haben: Gehen Sie grundsätzlich von einem weiteren Betrugsversuch aus, und zahlen Sie nicht, ohne Ihre eigenen Ermittler oder die Polizei einzubeziehen.

Ein Blick auf die laufende Uhr zum Schluss: Bis zur ersten verpflichtenden Schwachstellenmeldung nach der europäischen Cyber-Resilienz-Verordnung am elften September zweitausendsechsundzwanzig bleiben noch siebzehn Tage. Das war Ihr Datenschutz-Briefing von Experto Mundi für diesen Dienstag, vielen Dank fürs Zuhören, und wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der Montag, der vierundzwanzigste August zweitausendsechsundzwanzig, und wir haben sieben Themen für Sie mitgebracht.

Beginnen wir mit einer E-Mail- und Groupware-Plattform, die viele kleine und mittlere Unternehmen als Alternative zu grossen Cloud-Anbietern selbst betreiben. Sicherheitsforscher und eine europäische Warnstelle melden aktive Angriffe über eine Schwachstelle in der Überwachungsfunktion der Software: wer die optionale Netzwerküberwachung eingeschaltet hat, riskiert, dass Angreifer ohne jede Anmeldung Befehle auf dem Server ausführen und darüber die Kontrolle über das gesamte Postfachsystem übernehmen. Der Hersteller hat bereits vor rund einem Monat eine reparierte Version veröffentlicht, seit vergangener Woche stuft eine amerikanische Sicherheitsbehörde die Lücke offiziell als aktiv ausgenutzt ein, eine polnische Warnstelle hatte schon Tage zuvor eigenständig gewarnt. Betroffen sind ausschliesslich selbst betriebene Installationen mit eingeschalteter Netzwerküberwachung, nicht jede Standardinstallation ist automatisch angreifbar. Wenn Sie eine solche Groupware selbst hosten: prüfen Sie umgehend, ob die Netzwerküberwachungsfunktion aktiv ist, und spielen Sie das aktuelle Update ein, auch wenn der Server bislang unauffällig lief.

Als Zweites ein Vorfall, der zeigt, wie schnell ein einzelner Konfigurationsfehler grosse Wirkung entfaltet. Bei einem weltweit genutzten Zahlungsdienstleister sind Zugangsschlüssel von mehreren hundert angeschlossenen Händlern öffentlich im Internet aufgetaucht, zusammen mit umfangreichen Kunden- und Zahlungsdaten. Nach bisherigem Kenntnisstand wurde der Zahlungsdienstleister selbst nicht gehackt. Die betroffenen Schlüssel gehörten einzelnen Händlern, die sie versehentlich in öffentlich einsehbarem Code oder in Konfigurationsdateien hinterlegt hatten. Mit einem solchen Schlüssel lassen sich Kundendaten auslesen, Zahlungen umleiten oder Auszahlungskonten ändern. Die Täterseite hat den Datensatz kostenlos veröffentlicht statt ihn zu verkaufen und behauptet, über deutlich mehr solcher Schlüssel zu verfügen, was auf ein besonderes Interesse an öffentlicher Aufmerksamkeit hindeutet statt an schnellem finanziellem Gewinn. Wenn Ihre Webseite einen Zahlungsdienstleister einbindet: lassen Sie Ihre eigenen Zugangsschlüssel durch einen Entwickler auf öffentliche Sichtbarkeit prüfen und rotieren Sie sie im Zweifel vorsorglich, unabhängig davon, ob Ihr eigener Name bislang in einer solchen Veröffentlichung auftaucht.

Drittens eine Untersuchung, die über zehntausend öffentlich aufgefundene Zugangsschlüssel zu einem grossen Cloud-Anbieter aus vier Jahren erneut überprüft hat. Das Ergebnis: fast neun von zehn dieser Schlüssel liessen sich noch immer verwenden, und mehr als siebenhundertsechzig davon boten sogar volle Administratorrechte über ganze Firmen-Cloud-Umgebungen. Die Hälfte der noch aktiven Schlüssel war älter als fünf Jahre, und bei rund sechsundachtzig Prozent gab es überhaupt keinen Ersatzschlüssel, sie wurden also nie ausgetauscht. Gefunden wurden sie unter anderem in öffentlichen Programmier-Archiven, in Container-Vorlagen und in automatisierten Bereitstellungs-Protokollen, häufig weil Entwicklerinnen und Entwickler Testzugänge versehentlich mit hochgeladen hatten. Besonders betroffen waren laut der Untersuchung Software- und IT-Beratungsunternehmen. Wenn Sie Cloud-Dienste nutzen: lassen Sie regelmässig prüfen, ob alte Zugangsschlüssel noch existieren, und führen Sie eine feste Regel ein, Schlüssel spätestens nach einem Jahr auszutauschen, auch wenn bislang nichts Auffälliges passiert ist.

Viertens ein Beispiel dafür, warum man auch offizielle Sicherheitswarnungen mit Bedacht lesen sollte. Ein grosser Softwarehersteller meldete vergangene Woche eine Schwachstelle mit der höchstmöglichen Bewertung in seinem zentralen Anmeldedienst, den viele Unternehmen für den Zugang zu Cloud-Diensten nutzen, und stufte sie zunächst als bereits aktiv ausgenutzt ein. Schon am Folgetag korrigierte der Hersteller diese Einstufung auf journalistische Nachfrage hin: die Lücke sei nach aktuellem Kenntnisstand doch nicht ausgenutzt worden. Ein Teil der Fachpresse berichtet bis heute unkorrigiert die ursprüngliche Fassung. Die Lücke wurde bereits serverseitig vollständig geschlossen, ohne dass Kunden selbst etwas tun mussten. Der Fall zeigt: bei solchen Meldungen lohnt sich immer ein zweiter Blick ein paar Tage später, bevor man in Alarmstimmung verfällt oder unnötige Notfallmassnahmen einleitet. Prüfen Sie bei kritischen Warnungen zu zentralen Anmeldediensten, ob eine Korrektur oder Klarstellung des Herstellers nachgereicht wurde, bevor Sie interne Krisenprozesse auslösen.

Kommen wir zu den kürzeren Meldungen.

Sicherheitsforscher berichten von einer chinesischsprachigen Angreifergruppe, die gezielt verwundbare Windows- und Linux-Webserver weltweit angreift, um Schadsoftware für Suchmaschinen-Betrug und Datendiebstahl einzuschleusen. Auf einem offen zugänglichen Server der Gruppe fand sich eine Zielliste von rund einhundertsiebzigtausend Internetadressen, die Angriffe laufen inzwischen teilweise automatisiert mit Unterstützung künstlicher Intelligenz. Betreiber eigener Webserver sollten bekannte, länger zurückliegende Sicherheitslücken in ihrer Serversoftware zeitnah schliessen, denn genau solche älteren, ungepatchten Lücken nutzt die Gruppe bevorzugt aus.

Eine grosse amerikanische Bank prüft derzeit die Behauptung einer Erpressergruppe, in ihre Systeme eingedrungen zu sein und Daten entwendet zu haben. Die Bank selbst erklärt, bislang keine Hinweise auf einen unbefugten Zugriff auf ihr eigenes Netzwerk gefunden zu haben, die Prüfung laufe aber noch, eine Veröffentlichungsfrist der Erpresser steht bereits im Raum. Solche Behauptungen sind zum jetzigen Zeitpunkt unbestätigt und sollten nicht vorschnell als bewiesene Tatsache weitergegeben werden. Wer selbst Kunde einer grossen Bank ist, sollte Kontoauszüge in den kommenden Wochen etwas aufmerksamer prüfen, auch ohne dass bereits eine bestätigte Panne vorliegt.

Und schliesslich hat die deutsche Warnstelle für Computersicherheit in der vergangenen Woche mehrere aktualisierte Sicherheitswarnungen der Risikostufe hoch veröffentlicht, unter anderem zu einem verbreiteten Bildbearbeitungsprogramm, zum Linux-Betriebssystemkern sowie zu zwei weitverbreiteten Internet-Browsern. Betroffen sind vor allem Betriebssysteme und Software, die viele Büro-Arbeitsplätze ganz automatisch im Hintergrund aktualisieren. Prüfen Sie dennoch stichprobenartig, ob die automatischen Updates auf Ihren Firmenrechnern tatsächlich durchlaufen und nicht seit Wochen hängen geblieben sind.

Zum Schluss noch ein Blick auf die CRA-Uhr: bis zur ersten verpflichtenden Schwachstellenmeldung nach dem Cyber Resilience Act am elften September zweitausendsechsundzwanzig sind es noch achtzehn Tage.

Damit sind wir für heute durch. Halten Sie Zugangsschlüssel und Anmeldedaten im Blick, prüfen Sie Warnungen mit gesundem Menschenverstand nach, und lassen Sie sich von unbestätigten Erpresser-Behauptungen nicht in blinden Aktionismus treiben. Das war Ihr Datenschutz-Briefing von Experto Mundi, wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Freitag, der einundzwanzigste August zweitausendsechsundzwanzig, und wir haben fünf Themen für Sie mitgebracht, vier davon mit etwas mehr Tiefgang, eines als kurze Einordnung zum Wochenausklang. Im Mittelpunkt stehen heute frisch bekannt gewordene Lücken in weitverbreiteten Bausteinen für Fernzugriff, Webseiten und Videokonferenzen, dazu ein Update zu einer Meldung von gestern.

Beginnen wir mit einem Gerät, das viele Unternehmen an den Rand ihres Netzwerks stellen, um Mitarbeitende von unterwegs per virtuellem privatem Netzwerk sicher anzubinden. Der Hersteller eines weitverbreiteten Anwendungs-Zugangsgeräts hat vor wenigen Tagen vor einer kritischen Lücke gewarnt, die eine grundlegende Anmeldeprüfung umgeht. Wer die Schwachstelle ausnutzt, benötigt weder ein gültiges Passwort noch irgendeine Interaktion der betroffenen Nutzerin oder des betroffenen Nutzers, und die Anfrage lässt sich vollständig über das Netz auslösen. Betroffen sind Geräte, die als Zugangspunkt für gesicherten Fernzugriff, für Anwendungs-Proxys oder für die zentrale Anmeldeprüfung selbst konfiguriert sind, wobei auf neueren Versionsständen zusätzlich eine bestimmte Weiterleitung der Anmeldung eingerichtet sein muss, auf älteren Ständen dagegen nicht. Bislang beobachten Sicherheitsdienstleister zwar noch keine aktive Ausnutzung in freier Wildbahn, doch Geräte dieser Art gelten als beliebtes Ziel, sobald Angreifer die technischen Details rekonstruiert haben, und das geschieht erfahrungsgemäss innerhalb weniger Tage. Prüfen Sie deshalb umgehend, ob ein solches Gerät bei Ihnen oder Ihrem IT-Dienstleister im Einsatz ist, und spielen Sie die vom Hersteller bereitgestellte Aktualisierung ein, bevor ein öffentlich verfügbarer Machbarkeitsnachweis das Zeitfenster schliesst.

Unser zweites Thema betrifft einen sehr verbreiteten Baustein für das meistgenutzte freie Redaktionssystem der Welt, mit dem viele Webseiten ihre Formulare gestalten, etwa für Kontaktanfragen oder Bewerbungen mit Datei-Anhang. Eine neu entdeckte Lücke erlaubt es, über ein ganz gewöhnliches Formularfeld zum Hochladen von Dateien eine Schadsoftware-Datei einzuschleusen, obwohl die eingebaute Prüfung genau das eigentlich verhindern soll. Der Fehler liegt darin, dass die Prüfung der Datei und das tatsächliche Abspeichern an zwei unterschiedlichen Stellen im Programmablauf passieren, und ein geschickt aufgebauter Upload nutzt genau diese Lücke zwischen beiden Schritten aus. Wer ein Formular mit Datei-Upload-Feld auf der eigenen Webseite veröffentlicht hat, ist grundsätzlich betroffen, unabhängig davon, wofür das Formular gedacht ist. Der Hersteller hat bereits am selben Tag der Veröffentlichung eine reparierte Version bereitgestellt. Aktualisieren Sie den Baustein umgehend, und prüfen Sie zusätzlich, ob in Ihrem Uploads-Verzeichnis unbekannte Programmierdateien liegen, die dort nichts zu suchen haben.

Drittens ein Fund bei einer Software für Videokonferenzen, die manche Unternehmen als eigene, selbst betriebene Alternative zu bekannten Cloud-Diensten einsetzen, gerade weil sie damit die volle Kontrolle über die eigenen Bild- und Tondaten behalten wollen. Genau dieser Vorteil kehrt sich derzeit ins Gegenteil: Zwei zusammenwirkende Schwachstellen erlauben es einem Angreifer ganz ohne Anmeldung, zunächst einen eigenen Befehl auf dem Server auszuführen und anschliessend aus der eigentlich abgeschotteten Umgebung der Anwendung auszubrechen, um die volle Kontrolle über den zugrundeliegenden Server zu übernehmen. Eine bereits bekannte Angreifergruppe nutzt die Kombination seit dem Sommer aktiv aus, und zwar besonders perfide: Sie tauscht auf dem übernommenen Server die Installationsdatei des zugehörigen Arbeitsplatz-Programms gegen eine manipulierte Fassung aus. Wer sie anschliessend im Unternehmen installiert, holt sich eine eigens entwickelte Schadsoftware auf den eigenen Arbeitsplatzrechner. Die amerikanische Cybersicherheitsbehörde hat beide Lücken deshalb in ihre Liste aktiv ausgenutzter Schwachstellen aufgenommen. Wenn Sie oder Ihr IT-Dienstleister eine selbst betriebene Videokonferenz-Lösung dieser Art einsetzen, insbesondere wenn der zugehörige Netzwerk-Port von aussen erreichbar ist, sollten Sie das umgehend prüfen und die vom Hersteller bereits seit dem Frühsommer bereitgestellte Aktualisierung sofort einspielen, und zusätzlich kontrollieren, welche Arbeitsplatzrechner das zugehörige Programm zuletzt von diesem Server bezogen haben.

Unser viertes Thema knüpft an die gestrige Folge an, in der wir über einen Cyberangriff auf einen internationalen Logistikdienstleister berichtet haben, der acht europäische Lagerstandorte lahmgelegt hat. Schaut man genauer hin, zeigt sich, wie weit die Kreise dieses einen Vorfalls schon seit Anfang August reichen: Neben einer grossen niederländischen Bank und einem bekannten Fussballverein hatte bereits kurz nach dem Angriff auch ein europaweit tätiger Brillen-Einzelhändler eine eigene Datenpanne gemeldet, weil derselbe Logistikdienstleister für ihn Bestellungen abgewickelt hat. Nach eigenen Angaben des Einzelhändlers könnten dabei Namen, E-Mail-Adressen, Telefonnummern sowie Liefer- und Rechnungsadressen von Kundinnen und Kunden kopiert worden sein, während Zahlungsdaten und Passwörter nicht betroffen sind. Eine endgültige Bestätigung steht noch aus, die Untersuchung läuft. Das Beispiel zeigt anschaulich, warum die Datenschutz-Grundverordnung ausdrücklich auch die Auswahl und Kontrolle von Dienstleistern verlangt, an die man eigene Kundendaten weitergibt: Ein Sicherheitsvorfall bei einem einzigen Logistikpartner kann binnen weniger Tage gleich mehrere völlig unterschiedliche Unternehmen gleichzeitig treffen. Prüfen Sie deshalb, ob Sie in Ihrem eigenen Verzeichnis der Verarbeitungstätigkeiten sauber dokumentiert haben, welche Dienstleister Zugriff auf welche Kundendaten haben, und ob mit jedem davon ein gültiger Auftragsverarbeitungsvertrag besteht.

Kommen wir zu einer kürzeren, aber nicht weniger wichtigen Meldung zum Wochenausklang. Eine aktuelle Sicherheitsstudie eines grossen europäischen Sicherheitsdienstleisters hat für ihre Erhebung mehr als einhundertneununddreissigtausend Sicherheitsvorfälle weltweit ausgewertet und dabei festgestellt, dass die Zahl der bekannten Opfer von Cyber-Erpressung in Deutschland im Vergleich zum Vorjahr um rund einundneunzig Prozent gestiegen ist, wobei rund zwei Drittel aller Erpressungsopfer kleine und mittlere Unternehmen mit weniger als zweihundertfünfzig Beschäftigten sind. Nehmen Sie diese Zahl zum Anlass, in Ihrem eigenen Betrieb einmal ehrlich zu prüfen, ob eine aktuelle, getestete Datensicherung ausserhalb des eigenen Netzwerks existiert, und ob im Ernstfall wirklich jede Mitarbeiterin und jeder Mitarbeiter weiss, wen sie oder er zuerst informieren muss.

Ein Blick auf die laufende Uhr zum Schluss: Bis die neuen Meldepflichten für aktiv ausgenutzte Schwachstellen nach der europäischen Cyber-Resilienz-Verordnung greifen, bleiben noch einundzwanzig Tage, ein Termin, der alle Herstellerinnen und Hersteller betroffener Produkte betrifft, nicht nur die grossen Namen der Branche. Das war Ihr Datenschutz-Briefing für diesen Freitag, vielen Dank fürs Zuhören, geniessen Sie das Wochenende, und wir hören uns am Montag wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Donnerstag, der zwanzigste August, und wir haben sechs Themen für Sie mitgebracht.

Wir beginnen mit einer ernsten IT-Sicherheitswarnung. In einer weitverbreiteten Verwaltungssoftware für virtuelle Server-Infrastrukturen wurde eine kritische Schwachstelle bekannt, über die sich sogenannte Pfad-Traversal-Angriffe ausführen lassen. Vereinfacht gesagt: Ein Angreifer bewegt sich dabei aus dem eigentlich vorgesehenen Bereich der Software heraus und kann anschliessend beliebigen Schadcode ausführen, ganz ohne gültige Zugangsdaten. Die amerikanische Cybersicherheitsbehörde hat die Lücke inzwischen offiziell als aktiv ausgenutzt eingestuft. Besonders bemerkenswert: Nach Angaben von Sicherheitsforschern verteilt sich rund die Hälfte der bislang kompromittierten Systeme auf lediglich fünf Länder, und Deutschland gehört dabei zu den am stärksten betroffenen. Der Hersteller hat bereits vor einigen Wochen einen Patch veröffentlicht, doch offenbar haben viele Betreiber ihn noch nicht eingespielt. Wenn Sie oder Ihr IT-Dienstleister eine solche Verwaltungssoftware für virtuelle Maschinen einsetzen, prüfen Sie umgehend den Patchstand und schauen Sie in den Systemprotokollen nach ungewöhnlichen Fernzugriffen.

Unser zweites Thema betrifft eine weitverbreitete Unternehmenssoftware für Dokumentenverwaltung und Zusammenarbeit, die viele mittelständische Firmen im eigenen Rechenzentrum betreiben. Es handelt sich ausdrücklich um eine andere, neu bekannt gewordene Lücke als jene, über die wir im Juli in derselben Produktfamilie berichtet haben. Hier wurde bekannt, dass sich eine Schwäche in der Art und Weise, wie sich Nutzerinnen und Nutzer anmelden, ausnutzen lässt, um komplett ohne echte Zugangsdaten Zugriff auf Administratorrechte zu erlangen. Ein öffentlich verfügbares Testprogramm für diese Lücke sorgte binnen weniger Tage für erste echte Angriffe, und auch diese Schwachstelle gilt inzwischen offiziell als aktiv ausgenutzt. Der Hersteller hatte bereits im Juli einen entsprechenden Patch bereitgestellt. Wichtig für Sie: Betroffen ist ausschliesslich die selbst betriebene Variante dieser Software, nicht die Cloud-Version. Prüfen Sie also gezielt, ob bei Ihnen ein eigener Server für Dokumentenverwaltung läuft, und aktualisieren Sie ihn, falls das der Fall ist.

Kommen wir zu einer aktuellen Gerichtsentscheidung mit Grundsatzcharakter. Ein deutsches Landgericht hat einem bekannten Messagingdienst untersagt, personenbezogene Daten seiner Nutzerinnen und Nutzer sowie Daten von Personen, die den Dienst selbst gar nicht verwenden, ohne wirksame Einwilligung an das dazugehörige Mutterunternehmen weiterzugeben. Geklagt hatte ein Verbraucherschutzverband. Das Gericht befand, dass die damalige Zustimmungsabfrage per einfacher Bestätigung den Anforderungen an eine wirksame datenschutzrechtliche Einwilligung nicht genügte. Einen Anspruch auf Löschung bereits übermittelter Daten sprach das Gericht allerdings nicht zu. Das Urteil ist noch nicht rechtskräftig, eine Berufung ist möglich. Für Unternehmen, die selbst Messenger-Dienste im Kundenkontakt einsetzen und dabei Kontaktlisten oder Nutzungsdaten mit anderen Diensten desselben Anbieters teilen, ist das ein guter Anlass, die eigene Einwilligungsgestaltung noch einmal kritisch zu prüfen. Eine pauschale Bestätigung reicht nicht, es braucht eine informierte, ausdrückliche und granulare Zustimmung.

Unser viertes Thema zeigt, wie schnell ein Sicherheitsvorfall bei einem einzigen Dienstleister gleich mehrere fremde Unternehmen in Mitleidenschaft ziehen kann. Ein internationaler Logistikdienstleister wurde Ende Juli Ziel eines Cyberangriffs, der acht europäische Lagerstandorte lahmlegte. Betroffen waren in der Folge auch die Kundendaten mehrerer grosser Auftraggeber aus dem Onlinehandel, dem Bankwesen und der Unterhaltungsbranche, die ihre Logistik an dieses Unternehmen ausgelagert hatten. Abgeflossen sind unter anderem Namen, Adressen, Telefonnummern und Bestelldetails der jeweiligen Endkundinnen und Endkunden. Die betroffenen Auftraggeber mussten ihrerseits eigene Kundenwarnungen veröffentlichen, obwohl der eigentliche Vorfall gar nicht bei ihnen selbst lag. Das ist eine wichtige Erinnerung für jedes Unternehmen, das Fulfillment, Versand oder Lagerhaltung an Dritte auslagert: Prüfen Sie, ob mit Ihrem Dienstleister ein Auftragsverarbeitungsvertrag besteht, und ob darin eine Pflicht zur unverzüglichen Meldung von Sicherheitsvorfällen an Sie selbst festgelegt ist. Im Ernstfall sind Sie es, der seinen eigenen Kundinnen und Kunden erklären muss, was passiert ist.

Kommen wir zu den kürzeren Meldungen. Kurz und dringend: In einer Funktion für sichere Netzwerkverbindungen, die in praktisch jeder aktuellen Version eines verbreiteten Betriebssystems steckt, wurde eine kritische Schwachstelle bekannt, die sich ganz ohne Anmeldung über das Netzwerk ausnutzen lässt. Sie betrifft insbesondere Systeme, die für den Fernzugriff per virtuellem privatem Netzwerk offen ins Internet horchen. Ein Patch steht bereit. Wer aus organisatorischen Gründen nicht sofort aktualisieren kann, sollte laut den Sicherheitsbehörden zumindest den Zugriff auf die betroffenen Netzwerk-Anschlüsse auf bekannte Gegenstellen beschränken.

Und noch eine Meldung aus dem europäischen Ausland mit Lehrwert für jeden, der ein Kundenkonto-System betreibt. Ein nordeuropäischer Anbieter von Mietrollern musste einräumen, dass sämtliche Kundenkonten von einem unbefugten Zugriff betroffen waren. Abgeflossen sind unter anderem Telefonnummern, E-Mail-Adressen, Geburtsdaten sowie Teile von Zahlungsinformationen. Vollständige Kartennummern waren nach Unternehmensangaben nicht betroffen, weil sie bei einem separaten Zahlungsdienstleister liegen. Das Unternehmen hat den unbefugten Zugriff nach eigenen Angaben zeitnah gestoppt und sowohl die zuständige Aufsichtsbehörde als auch die Polizei eingeschaltet. Die Lehre für Sie: Trennen Sie sensible Zahlungsdaten technisch von Ihren übrigen Kundendaten, damit ein einzelner erfolgreicher Angriff nicht gleich das komplette Bild eines Kunden offenlegt.

Das war Ihr Datenschutz-Briefing für heute. Zur Erinnerung: Bis zum Start der neuen EU-weiten Meldepflicht für Hersteller vernetzter Produkte bleiben noch zweiundzwanzig Tage. Ab dann müssen aktiv ausgenutzte Schwachstellen binnen vierundzwanzig Stunden gemeldet werden. Wenn Sie Software oder vernetzte Geräte entwickeln oder vertreiben, ist jetzt der richtige Zeitpunkt für die letzte Prüfung. Vielen Dank fürs Zuhören, bleiben Sie sicher, und wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Mittwoch, der neunzehnte August zweitausendsechsundzwanzig, und wir haben fünf Themen für Sie mitgebracht: von einer aktiv ausgenutzten Sicherheitslücke in einem verbreiteten Entwicklungs-Werkzeug über eine kritische Schwachstelle in einem beliebten Online-Shop-Baustein bis hin zu einem millionenschweren Vergleich wegen Tracking-Technologie auf einem Kundenportal. Legen wir los.

Beginnen wir mit einer Sicherheitslücke in einem quelloffenen Entwicklungs-Framework für maschinelles Lernen, das in vielen Unternehmen im Hintergrund läuft. Über eine Schwäche in der Zugriffskontrolle können Angreifer sogenannte Dee-Enn-Ess-Rebinding-Angriffe nutzen, um aus der Ferne Programmcode auf betroffenen Servern auszuführen, und zwar allein dadurch, dass eine Entwicklerin oder ein Entwickler mit den Browsern Firefox oder Safari eine präparierte Webseite besucht. Die amerikanische Cybersicherheitsbehörde hat die Lücke in dieser Woche offiziell als aktiv ausgenutzt eingestuft. Ein kriminelles Netzwerk aus gekaperten Geräten hatte den Fehler bereits wenige Tage vor der öffentlichen Bekanntgabe eingebaut, und eine zweite, gezielte Angriffswelle nimmt Server mit leistungsstarken Grafikprozessoren ins Visier. Besonders betroffen sind dabei Server mit angeschlossener Rechenleistung für künstliche Intelligenz, weil dort auch die Rechenkapazität selbst für die Angreifer wertvoll ist. Für Betreiber und IT-Verantwortliche heisst das: Prüfen Sie, ob in Ihrem Unternehmen Entwicklungs- oder Datenanalyse-Umgebungen mit einem solchen Framework laufen, aktualisieren Sie umgehend auf die aktuelle Version, und schotten Sie interne Entwicklungs-Dashboards grundsätzlich vom offenen Internet ab, statt sich allein auf ein Passwort zu verlassen.

Das zweite Thema betrifft Betreiber von Online-Shops, die ein bestimmtes Abo- und Wiederkehrende-Zahlungen-Modul für eine der meistgenutzten Shop-Plattformen im Einsatz haben. Wird eine bestimmte Leistungs-Speicheroption für Bestellungen aktiviert, prüft das Modul eingehende Daten nicht ausreichend, bevor es sie in interne Objekte umwandelt. Angreifer können dadurch, ganz ohne Anmeldung, über eine sogenannte Kettenreaktion in mitgelieferten Zusatzbausteinen beliebigen Programmcode auf dem Server ausführen und im schlimmsten Fall den kompletten Shop übernehmen, samt aller hinterlegten Kundendaten. Der Hersteller hat Anfang August eine korrigierte Version veröffentlicht. Handlungsempfehlung: Wenn Sie oder Ihr Dienstleister einen Onlineshop mit einem solchen Abo-Modul betreiben, prüfen Sie unverzüglich die installierte Version, spielen Sie das Update ein, und lassen Sie im Zweifel von einem Fachbetrieb kontrollieren, ob die betroffene Speicheroption bei Ihnen aktiv ist.

Wie schnell aus einer einzigen fehlenden Berechtigungsprüfung ein echter Schaden wird, zeigt der Fall eines internationalen Anbieters von Hardware-Geldbörsen für Kryptowährungen, der am vergangenen Wochenende eine Datenpanne eingeräumt hat. Ursache war eine fehlende Berechtigungsprüfung im Bestellverfolgungs-Baustein des eigenen Shops: Durch schlichtes Abändern der Bestellnummer liessen sich fremde Datensätze aufrufen, und so wurden Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern und Bestelldetails von knapp vierzigtausend Kundinnen und Kunden abgegriffen. Zahlungsdaten, Passwörter und die eigentlichen digitalen Vermögenswerte blieben nach Angaben des Unternehmens unberührt, trotzdem drohen den Betroffenen jetzt gezielte Phishing-Versuche, und das Unternehmen musste bereits mehr als dreissig gefälschte Nachahmer-Webseiten melden lassen. Bemerkenswert für Ihre eigene Praxis: Als Reaktion hat der Anbieter die Aufbewahrungsfrist für Kundendaten von zwölf Monaten auf neunzig Tage verkürzt. Prüfen Sie regelmässig, welche Zusatz-Bausteine mit Zugriff auf Kundendaten in Ihrem eigenen Shop oder Ihrer Buchungssoftware laufen, ob dort jeder Abruf wirklich gegen die angemeldete Person geprüft wird und nicht nur gegen eine erratbare Nummer, und ob Ihr eigenes Löschkonzept Daten wirklich nur so lange aufbewahrt, wie es nötig ist, statt sie auf Vorrat zu horten.

Kommen wir zu einem Fall aus den Vereinigten Staaten, der auch für deutsche Webseitenbetreiber lehrreich ist, weil er ein Thema betrifft, das viele Kundenportale hierzulande genauso haben. Ein amerikanischer Verwaltungsdienstleister, der das Online-Kundenportal eines grossen Zahn- und Sehversicherers betreibt, hat sich in einem Vergleich bereit erklärt, einen Entschädigungsfonds von umgerechnet rund elfeinhalb Millionen Euro bereitzustellen. Der Vorwurf der Sammelklage lautet, auf dem Kundenportal sei Tracking-Technologie eingesetzt worden, ohne dass die Betroffenen dem in der gebotenen Klarheit zugestimmt hätten; das Unternehmen hat den Vergleich geschlossen, ohne ein Fehlverhalten einzuräumen, die abschliessende gerichtliche Bestätigung steht noch aus. Wer sich zwischen Anfang zweitausendeinundzwanzig und Anfang zweitausendfünfundzwanzig auf dem Portal eingeloggt hatte, kann eine Entschädigung von umgerechnet rund fünfzehn Euro beantragen, die Frist dafür läuft bereits morgen ab. Der Fall liegt zwar ausserhalb der Datenschutz-Grundverordnung, die zugrundeliegende Frage aber nicht: Auch bei uns brauchen Tracking-Bausteine in geschützten Kundenbereichen eine wirksame, informierte Einwilligung, nicht nur ein allgemeines Cookie-Banner auf der öffentlichen Startseite. Prüfen Sie, ob in Ihrem eigenen Login-Bereich Analyse- oder Marketing-Skripte laufen, und ob dafür eine gesonderte, granulare Einwilligung eingeholt wird.

Kommen wir zu einer kürzeren Meldung. Ein Plug-in, das die Anmeldung über soziale Netzwerke auf Webseiten ermöglicht, prüft bei einer Passwort-Zurücksetzung nicht ausreichend, ob die Anfrage wirklich vom berechtigten Kontoinhaber stammt. Unauthentifizierte Angreifer können dadurch das Passwort eines beliebigen Kontos zurücksetzen und sich als Administrator anmelden, im schlimmsten Fall also die gesamte Webseite übernehmen. Eine korrigierte Version steht nach aktuellem Stand noch nicht zur Verfügung. Wenn dieses Anmelde-Plug-in bei Ihnen im Einsatz ist, deaktivieren Sie es vorübergehend, bis ein Update vorliegt, und behalten Sie die Hersteller-Ankündigungen im Blick.

Damit sind wir für heute durch. Nur zur Erinnerung: Bis zum Ende der Meldepflicht-Übergangsfrist des europäischen Rahmenwerks für die Cyber-Resilienz von Produkten mit digitalen Elementen bleiben ab heute noch dreiundzwanzig Tage, danach müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle den zuständigen Behörden gemeldet werden, unabhängig von der Unternehmensgrösse. Wer diese Meldewege bislang nicht kennt, sollte sie sich rechtzeitig vor Ablauf der Frist zurechtlegen. Vielen Dank fürs Zuhören, bleiben Sie wachsam, und wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Dienstag, der achtzehnte August zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht, vier davon mit etwas mehr Tiefgang, zwei als kurze Einordnung zum Schluss. Es geht wieder überwiegend um frisch entdeckte Lücken in weitverbreiteten Zusatzbausteinen für das meistgenutzte freie Redaktionssystem der Welt, dazu um eine besonders unangenehme Schwachstelle in einem verbreiteten Rechner-Betriebssystem und um eine Lücke in einer grossen Online-Shop-Software, die inzwischen tatsächlich angegriffen wird.

Beginnen wir mit dem gewichtigsten Fund des Tages. Ein weitverbreiteter Zusatzbaustein für Kontakt-, Bewerbungs- und Buchungsformulare, der auf mehreren hunderttausend Webseiten läuft, erlaubt es einer Angreiferin oder einem Angreifer ganz ohne eigenen Zugang, über ein präpariertes Formular eine ausführbare Datei auf den Webserver hochzuladen und damit die vollständige Kontrolle über die Webseite zu übernehmen. Die Lücke greift, sobald ein Formular gleichzeitig ein Datei-Upload-Feld und ein Auswahlfeld enthält, eine Kombination, die bei Bewerbungsformularen und Anfrageformularen mit Anhang sehr häufig vorkommt, gerade weil sie aus Sicht der Besucherin oder des Besuchers völlig alltäglich wirkt. Für die Angreiferseite ist dabei keinerlei Anmeldung nötig, ein einziger präparierter Formularaufruf genügt bereits. Prüfen Sie, ob auf Ihrer Webseite ein solcher Formular-Baustein läuft, spielen Sie die aktuelle Sicherheitsversion umgehend ein, und kontrollieren Sie insbesondere jedes Formular, das einen Datei-Upload anbietet, auf verdächtige, kürzlich veränderte Dateien im Umfeld, auch wenn das Update bereits eingespielt wurde.

Unser zweites Thema betrifft einen Baustein zur Verwaltung von Benutzerprofilen und automatischer Anmeldung nach der Registrierung, der auf mehreren zehntausend Webseiten aktiv ist. Hier steckt der Fehler an einer ungewöhnlichen Stelle: Bei besonders lang gewählten Benutzernamen verarbeitet der Baustein eine interne Fehlermeldung des Redaktionssystems falsch und verwandelt sie versehentlich in eine gültige Kennung für das allererste, also administrative Benutzerkonto. Angreifende können dadurch ganz ohne eigenes Passwort direkt als Administratorin oder Administrator angemeldet werden, mit vollem Zugriff auf sämtliche gespeicherten Kunden- und Nutzerdaten, Einstellungen und weitere installierte Bausteine. Prüfen Sie, ob dieser Baustein bei Ihnen im Einsatz ist, besonders wenn Sie Besucherinnen und Besuchern eine eigene Registrierung mit automatischer Anmeldung anbieten, und aktualisieren Sie ihn umgehend auf die neueste Version. Sollten Sie ungewöhnliche neue Benutzerkonten oder Änderungen an bestehenden Einstellungen feststellen, prüfen Sie sicherheitshalber auch die Zugriffsprotokolle der vergangenen Wochen.

Unser drittes ausführliches Thema kommt diesmal nicht vom Redaktionssystem selbst, sondern vom Betriebssystem vieler Firmenrechner eines grossen amerikanischen Technologiekonzerns. Dessen eingebaute Bildschirmfreigabe-Funktion, mit der sich Mitarbeitende oder der IT-Support aus der Ferne auf einen Rechner aufschalten können, lässt sich über einen fehlerhaften Anmeldevorgang so austricksen, dass sich Angreifende ganz ohne gültige Zugangsdaten mit den höchsten Rechten des Systems verbinden können. Eine niederländische Cybersicherheitsbehörde warnt inzwischen vor tatsächlicher Ausnutzung: Auf betroffenen Rechnern wurde nach der Übernahme heimlich ein Programm installiert, das im Hintergrund eine Kryptowährung erzeugt und dabei spürbar Rechenleistung und Strom verbraucht, teils über Wochen unbemerkt im Hintergrund. Weil die Angreiferseite dabei die höchsten Systemrechte erhält, ist grundsätzlich auch der Zugriff auf alle auf dem Rechner gespeicherten oder verarbeiteten personenbezogenen Daten möglich, nicht nur auf Rechenleistung. Prüfen Sie, ob auf Ihren Firmenrechnern dieses Betriebssystem läuft und ob die aktuelle Sicherheitsaktualisierung bereits eingespielt wurde, und schalten Sie die Bildschirmfreigabe-Funktion ab, wenn Sie sie nicht aktiv benötigen. Achten Sie zusätzlich auf ungewöhnlich hohe Lüftergeräusche oder eine spürbar schwächere Akkulaufzeit als Warnzeichen.

Unser viertes Thema ist eine Aktualisierung zu einer Meldung, über die wir bereits berichtet hatten: Die schwerwiegendste Schwachstelle im jüngsten grossen Sicherheitsupdate für eine verbreitete Software zum Betrieb grösserer Online-Shops im Hintergrund, die es unauthentifizierten Angreifenden erlaubt, eigenen Programmcode auf dem Shop-Server auszuführen, galt zum Zeitpunkt unserer ersten Meldung noch als nicht aktiv ausgenutzt. Das hat sich geändert: Sicherheitsforschende beobachten bereits wenige Tage nach Veröffentlichung des Updates gezielte Angriffsversuche auf verwundbare Systeme, genau das Muster, vor dem ein rechtzeitig eingespieltes Update eigentlich schützen soll. Wenn Sie oder ein Dienstleister für Sie einen grösseren Online-Shop auf dieser Software betreiben, fragen Sie umgehend nach, ob das Update bereits eingespielt wurde, und lassen Sie sich den aktuellen Absicherungsstand schriftlich bestätigen, gerade weil über diese Systeme in der Regel grosse Mengen an Bestell- und Kundendaten laufen.

Kommen wir zu den kürzeren Meldungen. Ein weiterer Suchfunktions-Baustein für dasselbe Redaktionssystem verarbeitet bestimmte technische Daten aus eingehenden Suchanfragen unsicher und kann dadurch ganz ohne Anmeldung zur Ausführung von unerwünschtem Programmcode missbraucht werden. Prüfen Sie, ob dieser Baustein bei Ihnen läuft, und aktualisieren Sie ihn wie die zuvor genannten Bausteine umgehend.

Und noch ein Fund aus derselben Woche: Ein Baustein zur individuellen Gestaltung von Webseiten-Bereichen speichert hochgeladene Grafikdateien in einem Dateiformat, das eigenen Programmcode enthalten kann, ohne diesen Code vorher zu entfernen, und er prüft zu wenig, wer überhaupt hochladen darf. Angreifende können deshalb sogar ganz ohne Anmeldung schädlichen Code einschleusen, der später bei jedem Aufruf der hochgeladenen Datei im Browser der Besucherin oder des Besuchers ausgeführt wird. Prüfen Sie die eingesetzte Version des Bausteins, und lassen Sie sich zusätzlich bestätigen, dass Grafikdateien aus dem Upload-Ordner Ihrer Webseite nicht ungefiltert direkt im Browser angezeigt werden.

Das waren die Themen für diesen Dienstag. Ein Blick auf die laufende Uhr zum Schluss: Bis die neuen Meldepflichten für aktiv ausgenutzte Schwachstellen nach der europäischen Cyber-Resilienz-Verordnung greifen, bleiben noch vierundzwanzig Tage. Vielen Dank fürs Zuhören, einen guten Dienstag, und wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Montag, der siebzehnte August zweitausendsechsundzwanzig, und wir haben sieben Themen für Sie mitgebracht, vier davon mit etwas mehr Tiefgang, drei als kurze Einordnung zum Wochenstart. Diesmal geht es vor allem um mehrere neue Lücken in weitverbreiteten Zusatzbausteinen für das meistgenutzte freie Redaktionssystem der Welt, um ein Gerichtsurteil zur Erreichbarkeit im Impressum, und um die Frage, wie vertraulich Ihre Eingaben in KI-Chat-Werkzeuge eigentlich wirklich sind.

Beginnen wir mit dem meistgenutzten freien Redaktionssystem der Welt selbst. Der Hersteller hat innerhalb weniger Tage bereits zum zweiten Mal eine neue Sicherheitsversion veröffentlicht, nachdem erst kürzlich eine andere Schwachstelle im Anmeldebildschirm geschlossen worden war. Diesmal geht es um eine Lücke, die bereits angemeldeten Nutzerinnen und Nutzern mit einer einfachen Autoren-Berechtigung erlaubt, über eine präparierte Datei eigenen Programmcode auf dem Webserver auszuführen. Solche Autoren-Konten sind bei vielen Firmenwebseiten breit vergeben, etwa an externe Redakteurinnen oder Marketing-Dienstleister, die selbst Blogbeiträge einstellen dürfen. Prüfen Sie, wer auf Ihrer Webseite überhaupt Beiträge veröffentlichen darf, spielen Sie die aktuelle Sicherheitsversion umgehend ein, und vergeben Sie Autoren-Rechte künftig sparsamer, als es beim Einrichten der Webseite vielleicht bequem erschien.

Unser zweites Thema ist diesmal kein Einzelfund, sondern ein Muster: Innerhalb weniger Tage sind gleich mehrere Zusatzbausteine für Anmelde- und Registrierungsfunktionen mit demselben Grundfehler aufgefallen. Wenn eine Besucherin oder ein Besucher ihr Passwort zurücksetzen möchte, prüfen diese Bausteine nicht sauber genug, ob die Bestätigung tatsächlich zu dem Konto gehört, für das sie ausgestellt wurde. Ein Angreifer kann dadurch ganz ohne eigenen Zugang ein beliebiges Konto übernehmen, im schlimmsten Fall sogar ein Administrator-Konto und damit die gesamte Webseite. Login- und Registrierungs-Erweiterungen von Drittanbietern sind damit derzeit der lauteste Angriffsweg für vollständige Übernahmen bei Webseiten mit diesem Redaktionssystem. Prüfen Sie, welche Anmelde- oder Registrierungs-Zusatzbausteine auf Ihrer Webseite laufen, halten Sie diese besonders konsequent aktuell, und erwägen Sie für Administrator-Konten eine zusätzliche Absicherung über einen zweiten Anmeldefaktor.

Unser drittes Thema betrifft einen ebenfalls weitverbreiteten Baustein zur Dateiverwaltung direkt über die Webseite, mit dem sich Ordner und Dateien im Serververzeichnis bequem im Browser bearbeiten lassen. Gleich mehrere seiner Verwaltungsfunktionen prüfen nicht ausreichend, ob die anfragende Person überhaupt dazu berechtigt ist. Es reicht bereits das schwächste, oft frei registrierbare Nutzerkonto, um Dateien im gesamten Installationsverzeichnis der Webseite zu lesen oder zu löschen, einschliesslich Konfigurationsdateien mit gespeicherten Zugangsgeheimnissen. Wenn Sie auf Ihrer Webseite eine offene Nutzerregistrierung anbieten und zugleich einen solchen Dateiverwaltungs-Baustein einsetzen, spielen Sie die aktuelle Version umgehend ein, und prüfen Sie, ob der Baustein überhaupt dauerhaft aktiv sein muss oder nur für gelegentliche Wartungsarbeiten kurzzeitig aktiviert werden kann.

Unser viertes und letztes ausführliches Thema kommt wieder von einem deutschen Gericht. Ein Oberlandesgericht hat der Klage einer Verbraucherzentrale gegen einen überregional tätigen Anbieter für den Weiterverkauf von Veranstaltungstickets stattgegeben, weil dessen Kontakt-E-Mail-Adresse im Impressum weder leicht auffindbar noch klar als allgemeiner Kontaktweg erkennbar war. Aus dem rechtskräftigen Urteil lassen sich drei Kriterien ableiten, die für jede Webseite gelten: Eine Kontakt-E-Mail-Adresse muss überhaupt vorhanden sein und darf nicht nur durch ein Kontaktformular ersetzt werden, sie muss erkennbar als allgemeiner Kontaktweg beschriftet sein, und sie darf nicht durch vorgeschaltete Hürden wie eine Anmeldepflicht oder einen erzwungenen Chatbot künstlich erschwert werden. Der in der Praxis häufigste Fehler bei kleineren und mittleren Unternehmen ist der erste Punkt: nur ein Kontaktformular, keine ausgeschriebene Adresse. Prüfen Sie Ihr eigenes Impressum genau nach diesen drei Kriterien.

Kommen wir zu den kürzeren Meldungen. Eine aktuelle Forschungsarbeit mehrerer Universitäten und eines Sicherheitsunternehmens zeigt, dass die verschlüsselt wirkenden internen Denkschritte grosser KI-Sprachmodelle offenbar nicht sicher an eine einzelne Sitzung oder ein einzelnes Modell gebunden sind. Legt man sie einem kleineren Modell derselben Produktfamilie vor, gibt dieses den fremden Gedankengang im Klartext wieder, verschlüsselt bedeutet hier also nicht automatisch vertraulich. Für Ihren Alltag heisst das: Geben Sie in öffentlich zugängliche KI-Chat-Werkzeuge grundsätzlich keine vertraulichen Kundendaten, Geschäftsgeheimnisse oder personenbezogenen Daten Dritter ein, unabhängig davon, wie sicher die jeweilige Verschlüsselung beworben wird.

Bei einer verbreiteten Web-Application-Firewall eines bekannten Netzwerksicherheits-Herstellers können sich Angreifende offenbar mit frei erfundenen, beliebigen Zugangsdaten an der Verwaltungsoberfläche anmelden. Betroffen ist nicht Ihre Webseite selbst, sondern eine vorgeschaltete Schutz-Appliance, wie sie grössere Hosting-Umgebungen und manche IT-Dienstleister einsetzen. Wenn Sie oder Ihr Hosting-Anbieter eine solche Firewall-Appliance vor Ihrer Webseite betreiben, fragen Sie gezielt nach, ob bereits eine Aktualisierung eingespielt wurde, und ob die Anmelde-Protokolle der Verwaltungsoberfläche auf ungewöhnliche Zugriffe hin geprüft wurden.

Das Bundesamt für Sicherheit in der Informationstechnik hat erneut mehrere Warnungen mit hoher Dringlichkeit veröffentlicht, diesmal zu einem der meistgenutzten Webserver-Programme, zu einer verbreiteten Bibliothek für verschlüsselte Verbindungen und zu einem bekannten Programmierrahmen für Unternehmensanwendungen. Ein Teil der Meldungen ist eine Aktualisierung bereits bekannter Schwachstellen, ein Teil betrifft neu entdeckte Probleme, unter anderem eine Möglichkeit, einen Server gezielt lahmzulegen. Auch wenn diese Softwareschicht unterhalb Ihres eigentlichen Redaktionssystems liegt, lohnt sich der Blick: Fragen Sie Ihren Hosting-Anbieter, ob auch dort regelmässig aktualisiert wird, nicht nur auf Ebene des Redaktionssystems selbst.

Das waren die Themen für diesen Montag. Ein Blick auf die laufende Uhr zum Schluss: Bis die neuen Meldepflichten für aktiv ausgenutzte Schwachstellen nach der europäischen Cyber-Resilienz-Verordnung greifen, bleiben noch fünfundzwanzig Tage. Vielen Dank fürs Zuhören, einen guten Start in die Woche, und wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Samstag, der fünfzehnte August zweitausendsechsundzwanzig, und wir haben sechs Themen für Sie mitgebracht, vier davon mit etwas mehr Tiefgang, zwei als kurze Einordnung zum Wochenende. Diesmal geht es vor allem um Lücken in Zusatzbausteinen, die viele Webseiten fast nebenbei mitschleppen, um ein Gerichtsurteil zu Tracking ohne wirksame Einwilligung, und um den europäischen Streit über die Zukunft des Cookie-Banners.

Beginnen wir mit einer weitverbreiteten Zusatzfunktion für das meistgenutzte freie Redaktionssystem der Welt, mit der Besucherinnen und Besucher eigene Dateien auf eine Webseite hochladen können, etwa Bewerbungsunterlagen oder Belege. In einer älteren, aber noch häufig eingesetzten Version lässt sich über diese Hochlade-Funktion ohne jede Anmeldung ein Befehl direkt an die Datenbank der Webseite durchreichen. Ein Angreifer könnte auf diesem Weg Kundendaten auslesen, verändern oder die gesamte Datenbank übernehmen, ganz ohne eigenen Zugang. Der Hersteller hat die Lücke bereits vor einigen Tagen mit einer aktualisierten Version geschlossen. Wenn Ihre Webseite Besucherinnen und Besuchern erlaubt, eigene Dateien hochzuladen, egal ob für Bewerbungen, Belege oder Support-Anfragen, prüfen Sie umgehend die eingesetzte Erweiterung und deren Versionsstand, und spielen Sie die Aktualisierung noch heute ein.

Unser zweites Thema betrifft einen weitverbreiteten Baustein für den Versand von E-Mail-Newslettern über die eigene Webseite. Dieser Baustein verarbeitet automatisch sogenannte Rücklauf-Meldungen für E-Mails, die nicht zugestellt werden konnten, prüft dabei aber nicht, wer diese Meldung überhaupt schickt, bevor er eine darin frei wählbare Internetadresse selbst vom Server aus abruft. Ein Angreifer kann diese fehlende Prüfung ausnutzen, um den eigenen Webserver ganz ohne Anmeldung dazu zu bringen, Anfragen an interne Systeme im eigenen Netzwerk zu stellen, die von aussen eigentlich gar nicht erreichbar sein sollten, etwa eine Verwaltungsoberfläche oder eine Datenbank im internen Netz. Besonders betroffen sind Webseiten, deren Server zugleich Zugriff auf weitere interne Dienste hat, was bei kleineren Unternehmen mit einem einzigen Hosting-Paket keine Seltenheit ist. Wenn Sie einen solchen Newsletter-Baustein einsetzen, prüfen Sie den Versionsstand umgehend, spielen Sie die verfügbare Aktualisierung ein, und trennen Sie, wo technisch möglich, den Webserver von internen Systemen, die von aussen nicht erreichbar sein sollen.

Unser drittes Thema kommt diesmal nicht aus der IT-Sicherheit, sondern von einem deutschen Gericht. Ein Oberlandesgericht hat einem Nutzer eines sozialen Netzwerks Schadensersatz in Höhe von fünfhundert Euro zugesprochen, weil auf einer fremden Firmenwebseite eingebundene Analysewerkzeuge dieses Netzwerks personenbezogene Daten ohne wirksame Einwilligung an den Netzwerkbetreiber weitergegeben hatten. Bemerkenswert an der Begründung: Der Schaden liegt laut Gericht bereits im umfassenden Verlust der Kontrolle über die eigenen Daten, ein darüberhinausgehender, konkret bezifferbarer Nachteil ist für einen Anspruch nicht erforderlich. Eine Revision zum Bundesgerichtshof ist bereits zugelassen, das letzte Wort ist also noch nicht gesprochen. Wenn Sie auf Ihrer Webseite Analyse- oder Marketing-Werkzeuge eines sozialen Netzwerks einbinden, etwa einen Reichweiten-Pixel oder ein Vergleichswerkzeug für Werbeanzeigen, prüfen Sie, ob diese Werkzeuge tatsächlich erst nach einer aktiven, informierten Einwilligung laden, und nicht schon beim allerersten Seitenaufruf.

Unser viertes und letztes ausführliches Thema kommt aus Brüssel und Bonn. Die scheidende Bundesbeauftragte für den Datenschutz hat sich öffentlich dafür ausgesprochen, die viel kritisierte Flut an Cookie-Bannern europaweit spürbar einzudämmen, allerdings nicht durch weniger Schutz, sondern durch verbindliche, technisch automatisierte Einwilligungssignale, die für alle Webseiten gleichermassen gelten sollen. Als Vorbild nennt sie das deutsche Modell mit genau einem offiziell anerkannten Einwilligungsverwaltungsdienst. Wichtig für Sie: Es handelt sich um einen politischen Vorschlag im Rahmen laufender europäischer Verhandlungen, nicht um bereits geltendes Recht. Ihre eigene Cookie-Einwilligung auf der Webseite müssen Sie also weiterhin ganz normal wie bisher einholen, eine entsprechende Gesetzesänderung ist noch nicht in Kraft. Behalten Sie das Thema dennoch im Auge, denn eine europaweite Vereinheitlichung würde am Ende auch Ihre eigene Consent-Lösung betreffen.

Kommen wir zu den kürzeren Meldungen. Ein beliebter Block-Baukasten für das meistgenutzte freie Redaktionssystem der Welt prüft hochgeladene Bild-Dateien im Vektorformat nicht ausreichend: Wer als Autorin oder Autor Dateien hochladen darf, kann darin versteckten Programmcode einschleusen, der beim Aufruf der Datei im Browser eines anderen Besuchers ausgeführt wird. Bereits eine reguläre Autoren-Berechtigung reicht für den Angriff aus. Prüfen Sie, welche Nutzerrollen auf Ihrer Webseite überhaupt Dateien hochladen dürfen, beschränken Sie das auf das Nötigste, und aktualisieren Sie den betroffenen Baustein auf die reparierte Version.

Das Bundesamt für Sicherheit in der Informationstechnik hat diese Woche gleich mehrere Warnungen mit hoher Dringlichkeit zu grundlegenden Bausteinen praktisch jeder Webseite aktualisiert: zur verbreiteten Programmiersprache hinter vielen Webseiten, zu einem der meistgenutzten Webserver-Programme, zu einer Verwaltungsoberfläche für einen bekannten Lastverteiler, und zu einer Bibliothek für verschlüsselte Verbindungen. Die Meldungen selbst sind grösstenteils Aktualisierungen zu bereits länger bekannten Schwachstellen, keine völlig neuen Funde, zeigen aber, wie viele verschiedene Ebenen einer Webseite regelmässige Pflege brauchen. Verlassen Sie sich nicht allein auf automatische Updates Ihres Redaktionssystems, sondern fragen Sie bei Ihrem Hosting-Anbieter gezielt nach, ob auch die darunterliegende Server-Software, also Betriebssystem, Webserver-Programm und Verschlüsselungs-Bibliotheken, aktuell gehalten werden.

Das waren die Themen für diesen Samstag. Ein Blick auf die laufende Uhr zum Schluss: Bis die neuen Meldepflichten für aktiv ausgenutzte Schwachstellen nach der europäischen Cyber-Resilienz-Verordnung greifen, bleiben noch siebenundzwanzig Tage. Vielen Dank fürs Zuhören, geniessen Sie den Rest des Wochenendes, und wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Freitag, der vierzehnte August zweitausendsechsundzwanzig, und wir haben acht Themen für Sie mitgebracht, vier davon mit etwas mehr Tiefgang, vier als kurze Einordnung zum Wochenausklang. Diesmal geht es viel um Lücken in weit verbreiteten Bausteinen von Webseiten und Firmennetzwerken, und um die Frage, wie ernst es die Aufsichtsbehörden europaweit mit der eigenen Datenschutzerklärung meinen.

Beginnen wir mit einem Content-Baukastensystem, das viele mittelständische Unternehmen, Behörden und Bildungseinrichtungen für ihre Webseite einsetzen. Das Bundesamt für Sicherheit in der Informationstechnik hat vor wenigen Tagen mit hoher Dringlichkeit vor einer Lücke im Kern dieses Systems gewarnt: Ein entfernter Angreifer kann eingebaute Sicherheitsvorkehrungen umgehen und mit den Rechten eines angemeldeten Verwaltungs-Nutzers Aktionen auslösen, obwohl er selbst gar keinen Zugang hat. Besonders unangenehm ist das, weil solche Baukastensysteme oft über Jahre unverändert weiterlaufen, ohne dass jemand regelmässig nach Updates schaut. Prüfen Sie deshalb diese Woche noch, welche Version auf Ihrer Webseite läuft, und spielen Sie die verfügbare Sicherheitsaktualisierung zeitnah ein, auch wenn die Seite seit Jahren einfach funktioniert.

Unser zweites Thema betrifft ein Gerät, das viele Unternehmen an den Rand ihres Netzwerks stellen, um Mitarbeitende von unterwegs sicher per virtuellem privatem Netzwerk anzubinden. Der Hersteller eines verbreiteten Sicherheitsgeräts dieser Art warnt vor einer Schwachstelle, die keinerlei Anmeldung voraussetzt: Eine speziell präparierte Anfrage reicht aus, um das Gerät zum Absturz zu bringen, und zwar wiederholt, sodass der Fernzugriff für alle Mitarbeitenden ausfällt. Die amerikanische Cybersicherheitsbehörde hat die Lücke bereits in ihre Liste aktiv ausgenutzter Schwachstellen aufgenommen, einen funktionierenden Workaround gibt es nicht, nur die Aktualisierung auf eine reparierte Softwareversion hilft. Wenn ein solches Gerät bei Ihnen oder Ihrem IT-Dienstleister im Einsatz ist, fragen Sie noch heute konkret nach dem Patchstand, denn ein ausgefallener Fernzugriff am Wochenende trifft Betriebe erfahrungsgemäss besonders hart.

Drittens ein Fund, der zeigt, wie sich ein an sich harmloses Komfort-Feature in ein handfestes Datenschutzproblem verwandeln kann. Ein Buchungs- und Reservierungsbaustein für Webseiten legt seine Export-Dateien, etwa Kundendaten aus abgeschlossenen Buchungen, unter einem festen, vorhersehbaren Pfad im öffentlich erreichbaren Bereich der Webseite ab, ganz ohne Zugriffsschutz. Wer diesen Pfad kennt oder errät, kann die Datei einfach herunterladen, ohne sich irgendwo anmelden zu müssen. Für Betreiber mit Terminvergabe, Kursbuchung oder Tischreservierung auf der eigenen Webseite ist das ein Fall für Artikel zweiunddreissig der Datenschutz-Grundverordnung, also für die Pflicht zu angemessener technischer Sicherheit. Aktualisieren Sie das eingesetzte Buchungs-Modul, und prüfen Sie testweise, ob sich Export-Dateien Ihrer eigenen Webseite über die Adresszeile des Browsers erraten und aufrufen lassen.

Unser viertes und letztes ausführliches Thema kommt von den europäischen Aufsichtsbehörden selbst und betrifft nicht eine einzelne Lücke, sondern Ihre eigene Datenschutzerklärung. Fünfundzwanzig nationale Aufsichtsbehörden führen derzeit gemeinsam eine koordinierte Prüfaktion durch, mit der sie stichprobenartig kontrollieren, ob Webseiten die Informationspflichten aus den Artikeln zwölf bis vierzehn der Datenschutz-Grundverordnung tatsächlich vollständig erfüllen, nicht nur formal irgendeine Datenschutzerklärung verlinken. Die Auswertung läuft in diesen Monaten, Ergebnisse und mögliche Nachfragen an einzelne Unternehmen werden für die zweite Jahreshälfte erwartet. Nehmen Sie sich deshalb bewusst Zeit für einen Selbstcheck: Steht in Ihrer Datenschutzerklärung konkret, wer verantwortlich ist, wofür welche Daten auf welcher Rechtsgrundlage verarbeitet werden, wer sie erhält, wie lange sie gespeichert bleiben, und wo man sich beschweren kann, wenn einem das nicht passt.

Kommen wir zu den kürzeren Meldungen. Ein Zusatzbaustein für Online-Shops, mit dem Kundinnen und Kunden Zahlungsbelege oder Quittungen hochladen können, prüft nicht richtig, ob eine angefragte Datei tatsächlich zur eigenen Bestellung gehört. Wer die dabei verwendete Kennung geschickt abändert, kann fremde hochgeladene Belege einsehen, ganz ohne eigenes Kundenkonto. Wenn Sie in Ihrem Shop eine Beleg-Upload-Funktion nutzen, aktualisieren Sie den Baustein, und prüfen Sie stichprobenartig, ob sich fremde Belege über veränderte Adresszeilen aufrufen lassen.

Auch ein beliebter Block-Baukasten für das meistgenutzte freie Redaktionssystem der Welt musste diese Woche nachbessern: Eine seiner öffentlich erreichbaren Programmierschnittstellen schränkte den Zugriff nicht richtig ein und lieferte dabei eine interne Verkaufskennzahl mit aus, nämlich wie viele Einheiten eines Produkts bereits verkauft wurden, und zwar für jedes veröffentlichte Produkt und ganz ohne Anmeldung. Konkurrenz oder neugierige Dritte konnten sich so unbemerkt ein Bild über Ihre tatsächlichen Verkaufszahlen machen. Aktualisieren Sie den eingesetzten Block-Baukasten auf die aktuelle Version, und prüfen Sie grundsätzlich, welche Ihrer öffentlichen Programmierschnittstellen mehr preisgeben, als für die Anzeige auf der Webseite eigentlich nötig ist.

Sicherheitsforscher warnen zudem vor einer laufenden Betrugsmasche auf mehreren tausend kompromittierten Webseiten desselben Redaktionssystems: Besucherinnen und Besuchern wird eine gefälschte Sicherheitsabfrage gezeigt, die sie auffordert, einen angeblichen Prüfcode über die Tastenkombination zum Ausführen von Befehlen einzufügen, tatsächlich landet dabei aber Schadsoftware auf dem eigenen Rechner. Weisen Sie Ihr Team ausdrücklich darauf hin, niemals einen kopierten Befehl in ein Ausführen-Fenster einzufügen, egal wie dringend oder offiziell die Aufforderung aussieht, und prüfen Sie den Quelltext Ihrer eigenen Startseite auf unbekannte, nachträglich eingefügte Skript-Bausteine.

Zum Schluss noch ein Fakten-Check für alle, die gerade über ein neues Werkzeug zur Einwilligungsverwaltung für ihre Cookie-Bausteine nachdenken: Nach wie vor gibt es bundesweit nur einen einzigen offiziell anerkannten Einwilligungsverwaltungsdienst nach dem Telekommunikation-Telemedien-Datenschutz-Gesetz. Wirbt ein Anbieter mit einer entsprechenden Anerkennung, ohne dieser eine zu sein, sollten Sie genauer nachfragen. Ein solcher Dienst ersetzt im Übrigen nicht Ihre eigene Einwilligungsabfrage auf der Webseite, er bündelt lediglich die Voreinstellungen über mehrere Webseiten hinweg.

Ein Blick auf die laufende Uhr zum Schluss: Bis die neuen Meldepflichten für aktiv ausgenutzte Schwachstellen nach der europäischen Cyber-Resilienz-Verordnung greifen, bleiben noch achtundzwanzig Tage, ein Termin, der alle Herstellerinnen und Hersteller betroffener Produkte betrifft, nicht nur die grossen Namen der Branche. Das war Ihr Datenschutz-Briefing für diesen Freitag, vielen Dank fürs Zuhören, geniessen Sie das Wochenende, und wir hören uns am Montag wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der dreizehnte August, ein Donnerstag, und wir haben sechs Themen für Sie mitgebracht. Zwei grosse Software-Anbieter haben vor wenigen Tagen gleich reihenweise Sicherheitslücken geschlossen, ein Gericht hat für Klarheit beim Bezahlen mit persönlichen Daten in Rabatt-Apps gesorgt, und dazwischen mehrere Werkzeuge, auf die viele Unternehmen sich verlassen, ohne sie täglich im Blick zu haben.

Der grösste Flicken-Tag des Monats liegt inzwischen zwei Tage zurück, wirkt aber nach. Der Hersteller eines der am weitesten verbreiteten Betriebssysteme für Büro-Rechner und Firmenserver schloss an einem einzigen Tag mehr als vierhundert Sicherheitslücken, über sechzig davon in der höchsten Kategorie. Eine einzelne Lücke sticht heraus, weil sie schon seit Wochen aktiv ausgenutzt wurde, lange bevor die Korrektur verfügbar war. Betroffen ist ein tief im System verankerter Netzwerktreiber: Wer sich mit einem gewöhnlichen, wenig privilegierten Benutzerkonto anmeldet, kann über eine Zeitlücke im Programmablauf die Kontrolle über den Systemkern übernehmen, ganz ohne einen Link anzuklicken oder eine Datei zu öffnen. Eine mutmasslich staatlich gelenkte Gruppierung setzt die Lücke bereits seit dem Frühsommer ein, um ein tief verstecktes Schadprogramm einzuschleusen, das sich der gewöhnlichen Systemüberwachung entzieht. Die zuständige US-Behörde für Cybersicherheit hat die Lücke inzwischen in ihre Pflicht-Update-Liste aufgenommen. Wer eigene Server mit diesem Betriebssystem betreibt und den Patch noch nicht eingespielt hat, sollte das jetzt nachholen, statt auf die nächste Wartungsnacht zu warten, und dabei gezielt nach ungewöhnlichen neuen Systemdiensten suchen.

Am selben Tag zog ein zweiter grosser Software-Anbieter nach, dessen Nachwirkungen bis heute anhalten. Wer Warenwirtschaft, Buchhaltung oder Produktionssteuerung über eine der meistgenutzten Programmsammlungen für Geschäftsprozesse abwickelt, sollte jetzt genau hinsehen: Der Hersteller veröffentlichte an jenem Tag gleich neunundzwanzig neue und vier aktualisierte Sicherheitshinweise, fünf davon in der höchsten Dringlichkeitsstufe. Die schwerste Lücke steckt in einer Anbindung für den Online-Handel und lässt sich ganz ohne Anmeldung ausnutzen, mit der maximal möglichen Bewertung auf der gängigen Risikoskala: Wer sie findet, kann beliebigen Programmcode ausführen und interne Systemkomponenten übernehmen. Zwei weitere schwere Lücken stecken in einer Erweiterung für die Anbindung von Fertigungsanlagen, eine davon lässt sich nutzen, um dem System Befehle unterzuschieben, während dieses glaubt, nur harmlose Vorlagen zu verarbeiten. Für keine der Lücken ist bislang aktive Ausnutzung bekannt, das kann sich aber schnell ändern, sobald technische Details weiter kursieren. Betreiber, die die Hinweisliste des Herstellers noch nicht mit der eigenen Systemlandschaft abgeglichen haben, sollten das jetzt nachholen, statt auf das nächste planmässige Wartungsfenster zu warten.

Ein drittes Beispiel dieser Tage betrifft ein Gerät, das viele Unternehmen gar nicht als eigenständigen Rechner wahrnehmen: einen Lastverteiler, der eingehenden Internetverkehr auf mehrere dahinterliegende Server aufteilt und dabei häufig auch die Verschlüsselung übernimmt. Über eine Schwachstelle in der internen Verwaltungsschnittstelle können Angreifer ganz ohne Anmeldung beliebige Systembefehle einschleusen. Die zuständige US-Behörde für Cybersicherheit hat die Lücke vor knapp einer Woche in ihre Pflicht-Update-Liste aufgenommen und Bundesbehörden eine Frist von nur drei Tagen zur Behebung gesetzt, ein Zeichen dafür, wie ernst die Lage eingeschätzt wird. Eine Suche über das offene Internet fand allein knapp dreihundert erreichbare Geräte dieses Herstellers, weltweit sind mehr als einhunderttausend Installationen im Einsatz, darunter bei sehr grossen Organisationen. Die Korrektur steht seit dem Frühsommer bereit, wurde aber offenbar vielerorts nicht eingespielt. Am Netzwerkrand gilt deshalb eine einfache Regel: Verwaltungsoberflächen gehören niemals direkt ins offene Internet, und der seit dem Frühsommer verfügbare Patch sollte, falls noch nicht geschehen, jetzt nachgeholt werden.

Dass eine Preisangabe für Rabatte nicht immer in Geld gemessen werden muss, hat ein Oberlandesgericht bereits im Frühjahr bestätigt — das Urteil wird dieser Tage in der datenschutzrechtlichen Fachpresse erneut breit aufgegriffen. Im Streit ging es um eine weitverbreitete Praxis: Kundinnen und Kunden registrieren sich in der App eines grossen Handelsunternehmens, geben dabei persönliche Daten preis und erhalten im Gegenzug exklusive Rabatte, Sammelpunkte und Sonderaktionen. Ein Verbraucherschutzverband hatte geklagt und verlangt, dass diese Datenpreisgabe wie ein Geldbetrag als Teil des Gesamtpreises ausgewiesen werden müsse. Das Gericht wies die Klage ab: Die Weitergabe persönlicher Daten sei keine berechenbare Grösse und deshalb kein Preis im Sinne der gesetzlichen Preisangabenpflicht. Ausdrücklich betonten die Richter aber, dass davon unberührt bleibt, was ohnehin gilt: Wer Daten gegen Vorteile sammelt, muss trotzdem transparent über die Datennutzung informieren, eine wirksame Einwilligung einholen und die üblichen technischen Schutzmassnahmen umsetzen. Rechtskräftig ist das Urteil noch nicht, der Fall liegt bereits zur Überprüfung beim obersten deutschen Zivilgericht. Wer selbst eine Kunden-App, ein Bonusprogramm oder einen Rabatt-Newsletter gegen Daten anbietet, muss also keine Preisangabe für die eigenen Daten erfinden, sollte aber die Informationspflichten aus der Datenschutz-Grundverordnung, allen voran Artikel dreizehn, unverändert ernst nehmen und in der eigenen Datenschutzerklärung sauber dokumentieren.

Kommen wir zu den kürzeren Meldungen. Bei einem cloud-basierten Analyse- und Dashboard-Werkzeug, mit dem viele Firmen ihre Geschäftszahlen auswerten, nutzten Angreifer Anfang des Monats eine Schwachstelle in der Passwort-Zurücksetzen-Funktion, um sich ganz ohne Anmeldung Administratorrechte zu verschaffen, mit der höchstmöglichen Bewertung auf der gängigen Risikoskala. Mehrere Kunden des Anbieters meldeten inzwischen, dass dabei Namen, E-Mail-Adressen und in einzelnen Fällen sogar verschlüsselte Zugangsdaten abgeflossen sind. Inzwischen hat auch die zuständige US-Behörde für Cybersicherheit die Lücke in ihre Pflicht-Update-Liste aufgenommen. Die Korrektur ist verfügbar. Läuft ein solches Analysewerkzeug im eigenen Haus, lohnt sich weiterhin ein Blick auf die installierte Version, dazu vorsorglich ein Passwort-Wechsel für alle zugehörigen Konten.

Auch wer eine eigene Software-Auslieferungskette betreibt, sollte weiterhin genau hinschauen: In einem verbreiteten Werkzeug zur automatisierten Erstellung und Auslieferung von Software erlaubt eine Schwachstelle in der Verarbeitung eingehender Verbindungsdaten die vollständige Übernahme des Servers, ganz ohne Anmeldung. Über diesen Weg lassen sich gespeicherte Zugangsdaten auslesen und ausgelieferte Software-Pakete unbemerkt manipulieren, ein besonders unangenehmes Szenario, wenn die eigene Software an Kunden weitergegeben wird. Die zuständige US-Behörde für Cybersicherheit hat auch hier bereits vor einigen Tagen eine kurze Nachbesserungsfrist gesetzt. Der Hersteller stellt eine korrigierte Version bereit: Selbst betriebene Installationen sollten das so schnell wie möglich nachholen, falls das Update noch aussteht.

Zum Abschluss noch der Blick auf die Uhr: Bis zum Stichtag für die neue Meldepflicht bei aktiv ausgenutzten Schwachstellen im Rahmen des europäischen Gesetzes zur Cyber-Resilienz bleiben noch neunundzwanzig Tage. Das war Ihr Datenschutz-Briefing für heute. Bleiben Sie wachsam, spielen Sie Updates zeitnah ein, und wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Freitag, der siebte August zweitausendsechsundzwanzig, und wir haben fünf Themen für Sie mitgebracht, drei davon mit etwas mehr Tiefgang, zwei als kurze Einordnung zum Wochenausklang. Diesmal geht es viel um Software, die fast überall im Hintergrund läuft, und um die Frage, wessen Erlaubnis man eigentlich braucht, bevor man fremde Räume fotografiert und veröffentlicht.

Fangen wir mit der mit Abstand am häufigsten eingesetzten Software zum Bauen und Betreiben von Webseiten an. Gestern erschien dafür ein Sicherheitsupdate, das zwölf Schwachstellen auf einen Schlag behebt. Die wichtigste davon steckt ausgerechnet im Anmeldebildschirm: Ein Angreifer kann dort, ganz ohne eigenen Zugang, schädlichen Programmcode einschleusen, der am Ende sogar zur vollständigen Ausführung von Befehlen auf dem Server führen kann. Der Haken, der die Sache etwas entschärft: Damit der Angriff funktioniert, muss ausgerechnet eine Person mit Administratorrechten zuvor auf einen präparierten Link klicken, der von einer fremden Webseite stammt. Es handelt sich also um einen technischen Angriff, der sich als ganz gewöhnlicher Phishing-Versuch tarnt. Betroffen sind praktisch alle Versionen der vergangenen neun Jahre, eine aktive Ausnutzung ist derzeit nicht bekannt, aber bei einer derart weiten Verbreitung dieser Software ist das nur eine Frage der Zeit. Spielen Sie das Update auf allen Ihren Webseiten so bald wie möglich ein, und weisen Sie alle Personen mit Administratorzugang ausdrücklich darauf hin, niemals unbekannte Links zu öffnen, während sie im Verwaltungsbereich der eigenen Webseite angemeldet sind.

Zweites Thema: Ein weitverbreitetes Zugangsgerät, über das viele Unternehmen ihren Beschäftigten den sicheren Fernzugriff auf interne Systeme ermöglichen, etwa für die Arbeit im Homeoffice, hat seit Ende Juni eine ernste Schwachstelle. Wenn das Gerät so eingerichtet ist, dass sich Beschäftigte über ein zentrales Anmeldesystem einloggen, kann ein Angreifer einen fehlerhaft verarbeiteten Anmeldevorgang dazu bringen, Teile des Arbeitsspeichers preiszugeben, darunter auch Sitzungsdaten. Das erinnert stark an ein Angriffsmuster, das vor einigen Jahren bereits reihenweise Unternehmen getroffen hat. Sicherheitsforscher beobachten seit Anfang Juli aktive Angriffe. Der Hersteller hat inzwischen ein Update bereitgestellt, betont aber selbst: Wer nur patcht, aber vorher bereits abgegriffene Sitzungsdaten nicht ungültig macht, bleibt trotzdem verwundbar. Prüfen Sie mit Ihrem IT-Dienstleister, ob ein solches Zugangsgerät bei Ihnen im Einsatz ist, ob es als Anmeldesystem für Beschäftigte konfiguriert ist, und lassen Sie nach dem Update ausdrücklich alle bestehenden Sitzungen zurücksetzen, nicht nur die Software aktualisieren.

Drittes Thema, dieses Mal keine Software, sondern ein Gerichtsurteil: Der Bundesgerichtshof hat kürzlich klargestellt, dass das Recht, Fotos von Innenräumen anzufertigen und gewerblich zu nutzen, grundsätzlich dem Eigentümer der Immobilie zusteht, und nicht automatisch demjenigen, der die Fotos tatsächlich gemacht hat. Im entschiedenen Fall ging es um Innenraumfotos einer vermieteten Immobilie, die ohne Zustimmung des Eigentümers weiterverwendet wurden. Interessant für unsere Zielgruppe: Die Begründung stützt sich auf das ganz normale Eigentumsrecht, nicht auf Datenschutzrecht, gilt also unabhängig davon, ob auf den Fotos überhaupt Personen zu sehen sind. Der Fall wurde zur weiteren Klärung an die Vorinstanz zurückverwiesen, eine endgültige Entscheidung über die Höhe möglicher Ansprüche steht also noch aus. Wenn Sie geschäftlich Innenaufnahmen erstellen oder auf Ihrer Webseite verwenden, sei es als Maklerbüro, Handwerksbetrieb, Ferienwohnungsvermittlung oder Inneneinrichter, holen Sie sich die Erlaubnis des Eigentümers künftig schriftlich ein, bevor Sie Fotos veröffentlichen, unabhängig davon, wer die Kamera in der Hand hatte.

Kommen wir zu den kürzeren Meldungen. Zunächst ein wichtiger Nachtrag zur bereits mehrfach erwähnten Fernwartungssoftware, über die viele IT-Dienstleister ihre Kundennetzwerke verwalten: Der erste Notfall-Patch von Anfang der Woche hat sich als unzureichend herausgestellt. Angreifer fanden trotz eingespieltem Update weiterhin einen Weg zur vollständigen Kontoübernahme, unter anderem über eine Funktion zur Fernsteuerung angeschlossener Kundensysteme. Der Hersteller hat gestern einen zweiten, deutlich verschärften Patch nachgeschoben. Falls ein externer Dienstleister Ihre Systeme über eine solche Fernwartungssoftware betreut, reicht die Bestätigung von Anfang der Woche also nicht mehr aus, fragen Sie ausdrücklich nach dem zweiten Update.

Und noch eine kurze Meldung aus der laufenden Woche: Bei einer kostenlosen Zusatzfunktion für eines der meistgenutzten Baukastensysteme zum Gestalten von Webseiten wurde eine Schwachstelle entdeckt, über die sich schädlicher Code einschleusen lässt, ganz ohne eigenen Zugang, einfach über ein öffentlich zugängliches Kontaktformular. Der Code wird erst aktiv, sobald jemand mit Verwaltungsrechten die eingegangene Nachricht im Backend öffnet, und genau das macht die Lücke tückisch, denn eingehende Formularnachrichten gelten normalerweise als harmlos und werden ohne besondere Vorsicht geöffnet. Wenn Sie dieses Baukastensystem mit einer solchen Formular-Erweiterung einsetzen, prüfen Sie die installierte Version, und öffnen Sie eingehende Formularnachrichten grundsätzlich vorsichtig, besonders wenn Inhalt oder Absender ungewöhnlich wirken.

Ein Blick auf die laufende Uhr zum Schluss: Bis die neuen Meldepflichten für aktiv ausgenutzte Schwachstellen nach der europäischen Cyber-Resilienz-Verordnung greifen, bleiben noch fünfunddreissig Tage, ein Termin, der für alle Herstellerinnen und Hersteller betroffener Produkte relevant wird, nicht nur für die grossen Namen der Branche. Das war Ihr Datenschutz-Briefing für diesen Freitag, vielen Dank fürs Zuhören, geniessen Sie das Wochenende, und wir hören uns am Montag wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der sechste August zweitausendsechsundzwanzig, und wir haben fünf Themen für Sie mitgebracht, drei davon mit etwas mehr Tiefgang, zwei als kurze Einordnung. Diesmal dreht sich fast alles um eine einzige Frage: Was passiert, wenn ein Update selbst zum Problem wird, oder wenn eine gesetzte Frist einfach verstreicht, ohne dass irgendjemand reagiert?

Fangen wir mit einer beliebten Open-Source-Plattform an, mit der viele Firmen inzwischen eigene KI-gestützte Arbeitsabläufe bauen, etwa um E-Mails vorzusortieren oder Formulardaten automatisch weiterzuverarbeiten. Innerhalb von nur rund sechs Wochen ist dort bereits die zweite ernsthafte Sicherheitslücke aufgetaucht, und diesmal reicht ein einziger, nicht angemeldeter Zugriff, um die vollständige Kontrolle über den Server zu übernehmen, mit den höchsten Rechten, die ein System überhaupt vergeben kann. Der Trick dahinter: Eine Funktion, die eigentlich nur zum schnellen Testen gedacht war, liess sich mit einer zweiten Funktion kombinieren, die eingereichten Programmcode ausführt, statt ihn nur zu prüfen. Der Hersteller hat das im Juli behoben, trotzdem kursieren seit Ende Juli fertige Angriffswerkzeuge im Netz, und die amerikanische Cybersicherheitsbehörde hat die Lücke inzwischen in ihre Liste aktiv ausgenutzter Schwachstellen aufgenommen, mit einer sehr kurzen Frist für Bundesbehörden. Wenn in Ihrem Unternehmen ein IT-Dienstleister eine solche Automatisierungsplattform betreibt, gilt jetzt: Version prüfen, und falls nicht die neueste installiert ist, das Update noch heute einspielen, nicht erst beim nächsten Wartungsfenster.

Zweites Thema, und das ist fast noch interessanter: Ein weit verbreiteter Anwendungsserver, auf dem im Hintergrund unzählige Geschäftswebseiten und interne Portale laufen, bekam im Juli ein Sicherheitsupdate, das leise eine neue Lücke aufgerissen hat. Konkret geht es um die Verschlüsselung, die eigentlich die Kommunikation zwischen mehreren miteinander verbundenen Serverinstanzen schützen soll, wie sie viele Anbieter für Lastverteilung und Ausfallsicherheit einsetzen. Genau diese Schutzfunktion lässt sich seit dem Juli-Update umgehen, und Sicherheitsforscher haben beobachtet, dass eine mutmasslich chinesischsprachige Angreifergruppe dabei bereits mit KI-gestützten Werkzeugen arbeitet, um die Angriffskette schneller zusammenzubauen, inklusive einer altbekannten Java-Technik, um sich dauerhaften Zugriff zu verschaffen. Auch hier hat die amerikanische Behörde eine kurze Frist gesetzt, die heute oder morgen abläuft. Fragen Sie Ihren Hosting- oder IT-Partner ganz konkret, ob bei Ihnen mehrere verbundene Serverinstanzen im Einsatz sind, und ob sowohl das Juli- als auch das inzwischen nachgereichte Update wirklich beide eingespielt wurden. Ein Patch, der eine neue Lücke aufmacht, ist keine Seltenheit, er bedeutet nur, dass mit dem ersten Update die Prüfung nicht zu Ende ist.

Drittes Thema, ein Nachtrag zu unserer Folge von vor gut einer Woche: Damals ging es darum, dass die deutsche Aufsichtsbehörde klargestellt hat, es gebe keine gesetzliche Nachfrist für die Registrierung im Rahmen der neuen europäischen Cybersicherheitsrichtlinie, weil die eigentliche gesetzliche Frist schon im März verstrichen war. Nach Medienberichten hatte die Behörde parallel dazu aber selbst noch einen praktischen Registrierungstermin Ende Juli kommuniziert, quasi eine letzte Gelegenheit, ohne dass daraus eine neue gesetzliche Frist würde. Dieser Termin ist nun ebenfalls verstrichen, und laut mehreren übereinstimmenden Berichten haben rund elftausend der ungefähr neunundzwanzigtausendfünfhundert betroffenen Betriebe die Registrierung bis dahin nicht vorgenommen. Ihnen drohen in Deutschland Bussgelder bis zu einer halben Million Euro, in anderen europäischen Ländern teilweise deutlich mehr, und die Geschäftsführung kann persönlich haftbar gemacht werden. Auch wenn Sie sich längst registriert haben, lohnt sich ein zweiter Blick: Die Richtlinie erfasst rund achtzehn verschiedene Branchen, von der öffentlichen Verwaltung über Energieversorger bis zur Abfallwirtschaft und zu digitalen Plattformen, und schon ab etwa fünfzig Beschäftigten oder zehn Millionen Euro Umsatz kann ein Betrieb betroffen sein, gerade auch als Zulieferer für ein grösseres, kritisches Unternehmen.

Kommen wir zu den kürzeren Meldungen. Zunächst ein Nachtrag zur gestrigen Folge: Die dort erwähnte Fernwartungssoftware, über die IT-Dienstleister ihre Kundennetzwerke verwalten, hat heute genau den Tag erreicht, an dem die gesetzte Behebungsfrist endet, und laut Messungen einer Sicherheitsfirma war Anfang der Woche noch mehr als die Hälfte der öffentlich erreichbaren Cloud-Installationen ungepatcht. Inzwischen ist die Rate zwar deutlich gesunken, in den selbst betriebenen Installationen bleibt aber weiterhin gut jede vierte ungepatcht und aus dem Internet erreichbar. Wenn ein externer Dienstleister Ihre Systeme über eine solche Software fernwartet, fragen Sie heute noch konkret nach, ob das Update wirklich eingespielt wurde, verlassen Sie sich nicht auf Stillschweigen als Bestätigung.

Und noch ein Fund aus der vergangenen Woche: In einer verbreiteten Software-Bibliothek, die Steuerungsanlagen und Sensoren in Fabriken und Gebäudetechnik mit dem Netzwerk verbindet, wurde eine Diagnoseschnittstelle entdeckt, die ganz ohne Zugriffskontrolle erreichbar war, ganz ohne Passwort und ohne Zertifikat. Wer im gleichen Netzwerksegment sass, konnte einfach mitlesen. Wenn in Ihrem Betrieb Gebäudetechnik oder Produktionsanlagen mit der IT-Infrastruktur vernetzt sind, fragen Sie Ihren Techniker, ob dieser Industriestandard bei Ihnen zum Einsatz kommt und ob die Diagnosefunktion von aussen erreichbar ist, oder sauber in einem eigenen, geschützten Netzwerksegment liegt.

Ein Blick auf die laufende Uhr zum Schluss: Bis die neuen Meldepflichten für aktiv ausgenutzte Schwachstellen nach der europäischen Cyber-Resilienz-Verordnung greifen, bleiben noch sechsunddreissig Tage. Das war Ihr Datenschutz-Briefing für heute, vielen Dank fürs Zuhören, und wir hören uns morgen wieder.

Schönen Mittwochmorgen und willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Mittwoch, der fünfte August zweitausendsechsundzwanzig, und sechs Themen warten auf Sie, vier ausführlich und zwei kurz, gedacht für alle, die eine eigene Webseite betreiben oder einen eigenen Server verwalten. Diesmal dreht sich vieles um Fernzugriff: gleich drei Themen betreffen Werkzeuge, mit denen Administratoren oder beauftragte Dienstleister aus der Ferne auf fremde Systeme zugreifen. Legen wir los.

Unser erstes Thema betrifft ein weitverbreitetes Verwaltungswerkzeug für Firewalls, mit dem grössere Unternehmen und ihre IT-Dienstleister die Netzwerksicherheit zentral steuern. Darin wurde ein fest eingebautes Zugangskonto entdeckt, dessen Kennwort im Programmcode hinterlegt ist und nicht verändert werden kann. Ein Angreifer, der dieses Konto kennt, meldet sich einfach an und liest Daten aus, auf die dieses Konto Zugriff hat. Der Hersteller bestätigte, dass Angriffe bereits im Juli beobachtet wurden, bevor am Mittwoch vor einer Woche eine Korrektur veröffentlicht wurde. Die Lücke selbst gilt eher als niedrig eingestuft, wird aber als hoch bewertet, weil sich der Zugang mit anderen bekannten Schwachstellen desselben Werkzeugs zur vollständigen Übernahme kombinieren lässt. Unsere Empfehlung: Falls ein IT-Dienstleister Ihre Firewall für Sie verwaltet, fragen Sie gezielt nach, ob eine zentrale Verwaltungssoftware dieser Art im Einsatz ist, ob sie auf dem neuesten Stand ist, und ob es zuletzt ungewöhnliche Zugriffe gab.

Unser zweites Thema kommt aus derselben Ecke: einer Fernwartungsplattform, über die zahlreiche IT-Dienstleister die Computer und Netzwerke ihrer Kundinnen und Kunden aus der Ferne betreuen und überwachen. Eine bereits im Frühjahr geschlossene Sicherheitslücke war nur unvollständig behoben worden, Angreifer konnten die Anmeldung erneut umgehen und sich vollen Zugriff auf den Verwaltungsserver verschaffen. Von dort aus missbrauchten sie eine eingebaute Fernsteuerungs-Funktion, um sich in die eigentlich betreuten Kundennetzwerke weiterzubewegen, und richteten dort dauerhafte Hintertüren ein. Beobachtet wird die Ausnutzung seit vergangenem Samstag, amerikanische Behörden haben die Lücke am Montag dieser Woche auf ihre Dringlichkeitsliste gesetzt, die Frist für Bundesbehörden zur Behebung läuft morgen ab. Eine Korrektur des Herstellers steht bereit. Unsere Empfehlung: Wenn ein IT-Dienstleister Sie fernwartet, fragen Sie aktiv nach, welche Fernwartungssoftware eingesetzt wird, ob sie aktualisiert wurde, und ob es in den letzten Tagen ungewöhnliche Fernzugriffe auf Ihre Systeme gab.

Unser drittes Thema betrifft eine im Hintergrund weitverbreitete Software, die als Vermittler zwischen Besucherinnen, Besuchern und dem eigentlichen Webserver sitzt und Inhalte zwischenspeichert, meist unsichtbar für die Betreiberin oder den Betreiber der eigentlichen Webseite, aber bei vielen grossen Auslieferungsnetzwerken im Einsatz. Am Mittwoch vor einer Woche veröffentlichte das dahinterstehende Projekt ein Sammelpaket mit rund vierunddreissig behobenen Fehlern, drei davon in der kritischen Kategorie, ohne Anmeldung und ohne jede Interaktion einer Nutzerin oder eines Nutzers ausnutzbar, unter anderem durch geschickt verschachtelte Anfragen, die sich am Vermittler vorbeischmuggeln. Eine aktualisierte Fassung steht bereit. Unsere Empfehlung: Läuft Ihre Webseite über ein Auslieferungsnetzwerk oder einen vorgeschalteten Cache-Dienst, fragen Sie beim Anbieter nach, ob die aktuelle Version im Einsatz ist. Bei den meisten Hosting-Angeboten übernimmt das der Anbieter automatisch, eine kurze Nachfrage schadet trotzdem nicht.

Unser viertes Thema ist eine Rückkehr: Vor zwei Wochen hatten wir Ihnen den damals angekündigten Verhandlungstermin des Bundesgerichtshofs vorgestellt, es ging um das Weiterleiten privater Chat-Nachrichten an Dritte. Am Donnerstag vergangener Woche hat diese Verhandlung tatsächlich stattgefunden. Zur Erinnerung an den Sachverhalt: Zwei befreundete Personen tauschten sich vertraulich über Verhältnisse in einer Arztpraxis aus, in der eine von beiden arbeitete. Nach einem Zerwürfnis leitete die andere diese Nachrichten an die Office-Managerin der Praxis weiter, woraufhin die Beschäftigte gekündigt wurde und nun Schadensersatz fordert. Das Landgericht gab der Klage zunächst statt, das Oberlandesgericht hob dies auf und wies die Klage ab, mit der Begründung, das private Weiterleiten falle unter die Haushaltsausnahme der Datenschutz-Grundverordnung und damit gar nicht erst in deren Anwendungsbereich. Der Bundesgerichtshof muss nun klären, ob diese Ausnahme wirklich so weit reicht. Eine Entscheidung wird für September erwartet, sofern der Bundesgerichtshof den Fall nicht dem Europäischen Gerichtshof zur Vorabentscheidung vorlegt — auch das hat er in der Verhandlung ausdrücklich erwogen. Wir bleiben für Sie dran. Unsere Empfehlung: Werden Ihnen als Arbeitgeberin oder Arbeitgeber private Chat-Auszüge über Beschäftigte zugespielt, seien Sie zurückhaltend mit personalrechtlichen Schritten allein auf dieser Grundlage, solange die Rechtslage in der Schwebe ist.

Kommen wir zu den kürzeren Meldungen. Eine Software für E-Mail-Marketing-Kampagnen, die Firmen auf eigenen Servern betreiben können, statt sie als Cloud-Dienst zu mieten, hatte eine kritische Schwachstelle: Ein Fehler bei der Berechtigungsprüfung erlaubte das Ausführen beliebigen Programmcodes, ganz ohne Interaktion einer Nutzerin oder eines Nutzers. Betroffen sind ausschliesslich selbst betriebene Installationen, nicht die vom Hersteller gehostete Cloud-Variante. Die Korrektur erschien am Mittwoch vor einer Woche, Hinweise auf tatsächliche Angriffe gibt es bislang nicht. Unsere Empfehlung: Setzen Sie oder Ihre Marketing-Abteilung eine selbst gehostete Kampagnen-Software ein, prüfen Sie umgehend, ob die aktuelle Version läuft, gerade weil noch nichts ausgenutzt wurde, ist jetzt der günstigste Moment zum Patchen.

Eine Cloud-Datenbank eines der grossen amerikanischen Cloud-Anbieter hatte eine fehlerhafte Zugriffskontrolle, über die sich ohne Anmeldung Programmcode auf fremden Datenbanken ausführen liess, ebenfalls auf der höchstmöglichen Bewertungsstufe. Der Anbieter hatte den betroffenen Zugangspunkt bereits vor Monaten nach einem gemeldeten Fund gesperrt und die eigentliche Behebung im Juli in allen Regionen abgeschlossen, öffentlich bekannten Angriffscode gibt es nicht. Unsere Empfehlung: Nutzen Sie eine Cloud-Datenbank dieses Anbieters, müssen Sie selbst nichts nachrüsten, prüfen Sie aber, ob Ihre Datenbank ausschliesslich über private, nicht öffentlich erreichbare Netzwerkpfade zugänglich ist, das ist ohnehin die sicherere Grundeinstellung.

Das waren unsere sechs Themen für heute. Und noch die Uhr, die weiterläuft: Bis zur Meldepflicht aus dem europäischen Gesetz zur Cyber-Widerstandsfähigkeit sind es jetzt noch siebenunddreissig Tage. Vielen Dank fürs Zuhören, und wir hören uns morgen wieder.

Schönen Dienstagmorgen und willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Dienstag, der vierte August zweitausendsechsundzwanzig, und sieben Themen warten auf Sie, vier ausführlich und drei kurz, gedacht für alle, die eine eigene Webseite betreiben oder einen eigenen Server verwalten. Diesmal beginnen wir mit einer Geschichte, bei der ausgerechnet das Update selbst zur Gefahr wurde. Legen wir los.

Unser erstes Thema betrifft eine verbreitete Erweiterung zum Einbetten von Videos. In der zuletzt veröffentlichten Fassung wurde vor wenigen Tagen bösartiger Code entdeckt, keine gewöhnliche Programmierschwachstelle, sondern eine absichtlich eingebaute Hintertür. Der Code liest ein Kennwort aus einem Anfrageparameter und vergleicht es mit einem fest im Quelltext hinterlegten Prüfwert. Stimmt es, ist der Angreifer ohne jedes Benutzerkonto sofort Administrator, eine einzige Anfrage genügt. Vermutlich wurde die Erweiterung über ein übernommenes Entwicklerkonto manipuliert, das ist ein Angriff auf die Lieferkette, kein gewöhnlicher Programmierfehler. Das zuständige Verzeichnis hat sie inzwischen gesperrt, eine bereinigte Fassung gibt es bislang nicht, die Lösung heisst löschen, nicht aktualisieren. Unsere Empfehlung: Gehen Sie Ihre Erweiterungsliste durch, prüfen Sie insbesondere Video-Einbettungs-Werkzeuge, löschen Sie verdächtige Fassungen vollständig statt sie nur zu deaktivieren, und erzeugen Sie danach die Sicherheitsschlüssel in Ihrer Konfigurationsdatei neu, damit alle offenen Sitzungen automatisch beendet werden.

Unser zweites Thema kommt vom Bundesgerichtshof, der am Donnerstag vergangener Woche über Gütesiegel entschieden hat, wie sie ein Verlag jährlich an Ärztinnen und Ärzte vergibt, die diese dann gegen eine Jahresgebühr bewerben dürfen, häufig auf der eigenen Praxis-Webseite. Das Berufungsurteil wurde aufgehoben und zurückverwiesen. Kern der Entscheidung: Weil es um Gesundheit geht, gelten besonders strenge Anforderungen an Richtigkeit, Eindeutigkeit und Klarheit. Beanstandet wurde vor allem eine einschränkungslose, verallgemeinerte Qualitätsauszeichnung, obwohl subjektive Elemente einflossen, etwa Patientenbewertungen oder Selbstauskünfte. Wichtig zur Einordnung: Die Urteilsgründe liegen noch nicht vor, entschieden wurde ausdrücklich zu gesundheitsbezogenen Siegeln, offen bleibt, wie weit die Massstäbe darüber hinaustragen. Was sich daraus ableiten lässt, wenn Sie selbst mit Siegeln werben: Sie sollten zu jedem Zeichen drei Fragen beantworten können. Unsere Empfehlung: Gehen Sie Ihre Seite nach Siegeln durch und klären Sie, wer vergibt, nach welchen Kriterien, und ob dafür bezahlt wurde, verlinken Sie bei bezahlten Siegeln ohne nachlesbare Kriterien die Methodik daneben, und nehmen Sie abgelaufene Jahressiegel herunter.

Unser drittes Thema kommt von der italienischen Datenschutzaufsicht, die vergangene Woche eine bereits im Juni ergangene Entscheidung veröffentlicht hat: zweihundertachtzigtausend Euro Bussgeld gegen einen Verlag, weil eine nicht abgeschlossene Anmeldung wie ein geschlossener Vertrag behandelt wurde. Ein Nutzer beschwerte sich, nie einen Newsletter bestellt zu haben, bekam aber über längere Zeit regelmässig Werbemails. Als Nachweis legte das Unternehmen Tabellen vor, die Behörde zerlegte sie und stellte fest, dass die vermeintlichen Einwilligungen nicht belastbar waren. Entscheidend: Die Bestätigungsmail gilt als zweistufige Anmeldung, nicht als technischer Zwischenschritt, wer nicht klickt, hat weder eingewilligt noch einen Vertrag geschlossen. Teurer wurde es durch zwei Zusatzfehler: Ein Widerspruch wurde nicht innerhalb der Monatsfrist umgesetzt, und eine Behördenanfrage blieb unbeantwortet. Am Rande: Als italienische Aufsicht bindet die Entscheidung deutsche Gerichte nicht unmittelbar, sie zeigt aber die Richtung. Unsere Empfehlung: Prüfen Sie Ihren Verteiler auf Adressen ohne Bestätigungsklick und nehmen Sie diese heraus, und bewahren Sie zu jeder Anmeldung Zeitstempel, Netzwerkadresse und den damaligen Formulartext auf.

Unser viertes Thema kommt von einer deutschen Landesdatenschutzbehörde, die am vergangenen Mittwoch gewarnt hat: Über einen Angriff auf die Software eines Branchendienstleisters sind Gästedaten von Hotels abgeflossen, Stamm- und Buchungsdaten, Bank- und Zahlungsdaten nach derzeitigem Stand nicht. Die Behörde spricht ausdrücklich von einem erneuten Vorfall bei Software dieser Branche, ein Muster, kein Einzelfall. Aufsichtsrechtlich ist der Kern klar: Für die Benachrichtigung der Gäste sind die Hotels selbst zuständig, nicht der Softwareanbieter, und sie sollen sofort aktiv werden und warnen, damit sich Gäste gegen die zu erwartende Phishing-Welle wappnen können. Unsere Empfehlung: Gehen Sie Ihre Liste der Dienstleister durch, die Daten für Ihren Betrieb verarbeiten, also Buchungssystem, Shop-Erweiterungen, Kundenverwaltung, Newsletter-Werkzeug und Hoster, und prüfen Sie, ob im Vertrag eine unverzügliche Meldung an Sie vereinbart ist und eine Adresse hinterlegt ist, die auch am Wochenende jemand liest.

Kommen wir zu den kürzeren Meldungen. In der vergangenen Woche sind für alle unterstützten Zweige der meistgenutzten Webseiten-Programmiersprache Sicherheitsversionen erschienen. Die wichtigste Lücke erlaubt das Einschleusen von Datenbankbefehlen, weil Rückstriche in Angreifer-Eingaben falsch maskiert wurden; sie ist ohne Anmeldung ausnutzbar. Eine zweite Lücke erlaubt über eine Rechenfunktion einen Speicher-Schreibfehler. Das liegt unterhalb des Redaktionssystems, dort hilft kein Erweiterungs-Update. Unsere Empfehlung: Prüfen Sie im Hosting-Bereich Ihre Sprachversion, heben Sie sie auf den neuesten Stand des jeweiligen Zweigs, und terminieren Sie den Umstieg, falls Ihre Fassung keine Sicherheitsupdates mehr erhält.

Bei einer verbreiteten Terminbuchungs-Erweiterung wurde eine Lücke bekannt, über die sich ohne jede Anmeldung Datenbankinhalte auslesen lassen. Für Praxen, Werkstätten, Friseure und Kanzleien heisst das im Zweifel: Kundennamen, Telefonnummern, Terminhistorie liegen offen. Für die Lücke gibt es eine korrigierte Fassung. Unsere Empfehlung: Aktualisieren Sie auf die neueste Fassung, und deinstallieren Sie die Erweiterung vollständig, wenn Sie ohnehin keine Online-Termine mehr anbieten, denn deaktiviert reicht nicht, der Programmcode bleibt sonst liegen.

Eine bekannte europäische Datenschutz-Organisation hat am vergangenen Donnerstag bei der österreichischen Datenschutzbehörde Beschwerde gegen den Betreiber eines grossen Online-Wörterbuchs eingereicht. Vorwurf: Das Einwilligungsbanner holt mit einem Klick Zustimmung zu Tracking durch eintausendsiebenhunderteinundvierzig sogenannte Partner ein, allein deren Datenschutzerklärungen zu lesen dauere rund einhundertsiebzig Stunden. Wichtig: Das ist eine Beschwerde, keine Behördenentscheidung, wie die Aufsicht entscheidet, bleibt offen. Unsere Empfehlung: Öffnen Sie Ihr Einwilligungswerkzeug in der Detailansicht, wählen Sie voreingestellt aktive Anbieter ab, und prüfen Sie danach mit abgelehntem Banner im Netzwerk-Werkzeug Ihres Browsers, dass wirklich keine Tracking-Aufrufe mehr rausgehen.

Das waren unsere sieben Themen für heute. Und noch die Uhr, die weiterläuft: Bis zur Meldepflicht aus dem europäischen Gesetz zur Cyber-Widerstandsfähigkeit sind es jetzt noch achtunddreissig Tage. Vielen Dank fürs Zuhören, und wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Sonntag, der dritte August zweitausendsechsundzwanzig, und wir haben acht Themen für Sie mitgebracht, vier davon ausführlich, vier in Kürze, für alle, die eine Webseite betreiben oder eigene Server verwalten. Auch am Wochenende gilt: Wer jetzt ein paar Minuten investiert, spart sich in der neuen Woche womöglich viel Ärger.

Kommen wir zu unserem ersten Thema. Der Bundesgerichtshof hat vor knapp drei Wochen ein Urteil gefällt, das jeden betrifft, der Verträge mit einem Kündigungsbutton im Internet anbietet, etwa ein Fitnessstudio, ein Abonnement-Modell oder einen Softwaredienst mit Daueranbindung. Bislang genügte vielen Anbietern, dass der Kündigungsbutton überhaupt vorhanden und erreichbar war. Das reicht jetzt nicht mehr. Die Bestätigungsseite, die nach dem Klick auf den Kündigungsbutton erscheint, darf laut Urteil ausschliesslich dem Kündigungsvorgang selbst dienen. Im entschiedenen Fall hatte ein Fitnessstudio auf dieser Seite einen auffällig hervorgehobenen Knopf platziert, mit dem sich der Vertrag stattdessen nur pausieren liess. Genau das hat der Bundesgerichtshof für unzulässig erklärt: Zusatzangebote, Rabatte oder Pausier-Optionen gehören auf diese Seite nicht hin. Unsere Empfehlung: Prüfen Sie Ihre eigene Kündigungsstrecke bis zum letzten Klick durch und entfernen Sie jedes Cross-Selling- oder Pausier-Angebot von der Bestätigungsseite, auch wenn es gut gemeint ist.

Unser zweites Thema betrifft praktisch jede Webseite mit einem Chatbot oder einem Text- oder Bildgenerator. Seit gestern gilt die europäische Kennzeichnungspflicht für künstliche Intelligenz in voller Schärfe. Wer auf seiner Seite einen Chat-Assistenten einsetzt, muss Besucherinnen und Besuchern erkennbar offenlegen, dass sie mit einem System der künstlichen Intelligenz sprechen, und wer Texte oder Bilder mit solchen Werkzeugen erzeugt und veröffentlicht, muss diese ebenfalls entsprechend kennzeichnen. Ausgenommen sind rein künstlerische, fiktionale oder redaktionell verantwortete Inhalte. Für Bestandssysteme gibt es keine gesetzliche Übergangsfrist; die Pflicht gilt seit gestern gleichermassen für neue und für bestehende Systeme. Diese Pflicht ist übrigens etwas anderes als die vielfach diskutierte Verschiebung der Hochrisiko-Vorgaben aus den vergangenen Wochen: Jene betraf andere Teile des Gesetzes und war bereits verschoben, die Kennzeichnungspflicht dagegen war nie verschoben und gilt jetzt tatsächlich. Unsere Empfehlung: Prüfen Sie jeden Chatbot und jeden veröffentlichten KI-generierten Inhalt auf Ihrer Seite auf einen erkennbaren Hinweis, und ergänzen Sie ihn dort, wo er noch fehlt.

Unser drittes Thema ist eine gute Nachricht für alle, die in Sicherheit investieren. Ein Sozialgericht hat entschieden, dass nach einem erfolgreichen Angriff über eine bis dahin unbekannte Schwachstelle in weitverbreiteter Software kein Schadensersatzanspruch nach der Datenschutz-Grundverordnung besteht, wenn der Verantwortliche marktübliche technische und organisatorische Massnahmen unterhielt. Im entschiedenen Fall betraf das einen Dienstleister einer Krankenkasse, der Authentifizierung, Verschlüsselung, automatische Kontosperrung und aktuelle Updates nachweisen konnte. Das Gericht stellte klar: Der Einsatz einer bekannten, zertifizierten Software begründet für sich genommen kein Haftungsrisiko, solange keine konkreten Hinweise auf deren Fehleranfälligkeit vorlagen, und blosse Befürchtungen ohne nachgewiesenen Schaden reichen für einen Anspruch nicht aus. Für Sie heisst das: Dokumentierte, marktübliche Schutzmassnahmen sind Ihr bester Schutz vor Haftung, nicht nur vor dem Angriff selbst. Unsere Empfehlung: Halten Sie schriftlich fest, welche Sicherheitsmassnahmen Sie einsetzen und wann Sie sie zuletzt aktualisiert haben, denn genau dieser Nachweis war hier entscheidend.

Unser viertes Thema betrifft die Rechtsgrundlage hinter Ihrem Kontaktformular oder Ihrem Newsletter. Der Europäische Gerichtshof hat klargestellt, dass sich ein Verantwortlicher für ein und dieselbe Verarbeitung auf mehrere Rechtsgrundlagen gleichzeitig stützen darf, zum Beispiel sowohl auf eine Einwilligung als auch hilfsweise auf ein berechtigtes Interesse. Das Gericht verlangt aber ausdrücklich, dass jede einzelne herangezogene Grundlage für sich selbst geprüft, eingehalten und dokumentiert wird. Die blosse Nennung mehrerer Grundlagen nebeneinander in Ihrem Verzeichnis der Verarbeitungstätigkeiten reicht dafür nicht aus. Für die Praxis heisst das: Wer in seiner Datenschutzerklärung pauschal formuliert, eine Verarbeitung stütze sich auf Einwilligung oder berechtigtes Interesse, sollte für jede der beiden Varianten eine eigene, in sich schlüssige Begründung vorhalten können. Unsere Empfehlung: Gehen Sie Ihr Verzeichnis der Verarbeitungstätigkeiten durch und ergänzen Sie bei jeder doppelt begründeten Verarbeitung eine getrennte Prüfung für jede einzelne Rechtsgrundlage.

Kommen wir zu den kürzeren Meldungen. Mehrere Landesdatenschutzbeauftragte, darunter die Aufsicht in Rheinland-Pfalz, haben Unternehmen, Behörden und Bürgerinnen und Bürger eingeladen, sich an einer öffentlichen Konsultation zur Modernisierung des Datenschutzes zu beteiligen. Grundlage ist ein gemeinsames Eckpunkte-Papier aus Sicht der Aufsichtspraxis. Es handelt sich um ein Beteiligungsangebot, keine Prüf- oder Bussgeldmassnahme. Unsere Empfehlung: Wer in Rheinland-Pfalz oder im Westerwald ansässig ist und eigene Erfahrungen mit der Aufsichtspraxis einbringen möchte, findet die Konsultation auf der Webseite der eigenen Landesbeauftragten.

Bei gleich mehreren verbreiteten Erweiterungen für Formulare, Kursverwaltung und Zwischenspeicherung auf Webseiten wurden in der vergangenen Woche mehrere Schwachstellen auf einmal veröffentlicht, darunter eine Datenbankabfrage-Lücke in einer Erweiterung zur Bibliotheksverwaltung und eine unangemeldet ausnutzbare Skript-Einschleusung in einer Zwischenspeicher-Erweiterung. Unsere Empfehlung: Prüfen Sie regelmässig, welche Erweiterungen auf Ihrer Webseite tatsächlich noch gebraucht werden, und deinstallieren Sie ungenutzte Erweiterungen vollständig, statt sie nur zu deaktivieren.

Aus Spanien kommt eine Erinnerung daran, dass Datenschutz nicht bei der Webseite endet. Die spanische Datenschutzaufsichtsbehörde hat ein Bussgeld gegen einen Arbeitsschutzdienstleister verhängt, nachdem eine unverschlossene Kiste mit medizinischen Untersuchungsunterlagen mehrerer Beschäftigter auf offener Strasse gefunden wurde. Es fehlten ausreichende Massnahmen für Transport, Übergabe und Aufbewahrung physischer Dokumente. Unsere Empfehlung: Prüfen Sie auch Ihre Prozesse für Papierunterlagen mit sensiblen Daten, ein verschlossener Behälter und ein geregelter Transportweg gehören ebenso zu den technischen und organisatorischen Massnahmen wie jede digitale Verschlüsselung.

Auch wer keines der bekanntesten Redaktionssysteme einsetzt, ist nicht automatisch aussen vor: Bei einer verbreiteten Erweiterung für ein alternatives Redaktionssystem wurden gleich mehrere unangemeldet ausnutzbare Sicherheitslücken bekannt, darunter eine mit Skript-Code-Einschleusung und eine weitere mit Dateilöschung. Unsere Empfehlung: Verlassen Sie sich bei der Update-Pflege nicht allein auf Ihr Haupt-System, sondern beziehen Sie jede einzelne installierte Erweiterung in Ihre Update-Routine mit ein, und behandeln Sie gerade die Dateilöschungs-Lücke als vorrangig, denn sie lässt sich ganz ohne Anmeldung ausnutzen.

Das waren die Themen für heute. Und noch die Uhr, die weiterläuft: Bis zur Meldepflicht aus dem europäischen Gesetz zur Cyber-Widerstandsfähigkeit sind es jetzt noch neununddreissig Tage. Vielen Dank fürs Zuhören, einen schönen Sonntag noch, und wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist Freitag, der einunddreissigste Juli zweitausendsechsundzwanzig, und wir haben acht Themen für Sie mitgebracht. Vier davon ausführlich, vier in Kürze, für alle, die eine Webseite betreiben oder eigene Server verwalten.

Seit dieser Woche ist es amtlich: Deutschland hat sein eigenes Ausführungsgesetz zur europäischen Verordnung über künstliche Intelligenz verkündet, und es ist bereits in Kraft. Damit steht fest, wer hierzulande für die Aufsicht über KI-Systeme zuständig ist, nämlich die Bundesnetzagentur. Sie wird zur zentralen Marktüberwachungsbehörde, bekommt ein eigenes Koordinierungs- und Kompetenzzentrum und darf sogenannte Reallabore einrichten, in denen neue Anwendungen unter Aufsicht getestet werden dürfen. Wichtig für Sie: Das neue Gesetz selbst ändert nichts an den inhaltlichen Pflichten aus der europäischen Verordnung, die bleiben unverändert bestehen. Es klärt nur, wer künftig zuständig ist, wenn eine Beschwerde eingereicht oder eine Prüfung eingeleitet wird. Wer auf seiner Webseite einen Chatbot, ein Bewerber-Scoring oder einen Text- oder Bildgenerator einsetzt, hat damit ab sofort eine konkrete deutsche Ansprechstelle. Unsere Empfehlung: Tragen Sie die Bundesnetzagentur als zuständige Stelle in Ihre eigene Übersicht der eingesetzten KI-Systeme ein, falls Sie eine führen, und behalten Sie deren Webseite für künftige Ausführungsbestimmungen im Blick.

Zweitens eine wichtige Richtigstellung, die viele Betriebe betrifft, die unter die neue Netz- und Informationssicherheitsrichtlinie fallen. Anders, als vielerorts zu lesen war, gibt es keine behördliche Nachfrist bis zum heutigen Tag. Die zuständige Bundesbehörde für Sicherheit in der Informationstechnik stellt auf ihrer eigenen Webseite unmissverständlich klar: Die gesetzliche Frist zur Registrierung ist bereits abgelaufen, und zwar schon seit dem sechsten März dieses Jahres. Von rund neunundzwanzigtausendfünfhundert erwarteten Einrichtungen hatten sich Ende Mai erst etwa achtzehntausendfünfhundert gemeldet. Wer betroffen ist und sich noch nicht registriert hat, verstösst also schon jetzt gegen eine bestehende Pflicht, nicht erst ab morgen, und allein das Unterlassen der Registrierung kann mit bis zu fünfhunderttausend Euro geahndet werden. Unsere Empfehlung: Prüfen Sie noch heute, ob Ihr Unternehmen zu einem der betroffenen Sektoren gehört, etwa digitale Infrastruktur oder verwaltete IT-Dienste, und holen Sie eine versäumte Registrierung umgehend nach, statt auf einen Termin zu warten, der so nicht existiert.

Ein aktueller Vorfall bei einem bekannten Anbieter von KI-Chat-Diensten zeigt ein Missverständnis, das auch auf vielen gewöhnlichen Firmenwebseiten steckt. Nutzer hatten eigene Unterhaltungen über eine Funktion für öffentliche Freigabe-Links geteilt, und diese Links tauchten anschliessend bei Google und Bing in den Suchergebnissen auf. Ein Einbruch war das nicht, betroffen waren ausschliesslich Inhalte, die die Nutzer selbst zum Teilen freigegeben hatten. Die eigentliche Ursache liegt tiefer und betrifft praktisch jede Webseite: Eine Sperre in der Steuerdatei für Suchmaschinen-Roboter verhindert nur, dass eine Seite abgerufen wird, sie verhindert nicht, dass eine von aussen verlinkte Adresse trotzdem in den Suchindex aufgenommen wird. Der eigentliche Ausschluss aus dem Suchindex braucht eine eigene, zusätzliche Anweisung, entweder als Meta-Angabe im Seitenkopf oder als eigener Antwort-Header, und genau diese Anweisung stand hier hinter der Sperre versteckt, sodass kein regelkonformer Suchroboter sie je zu Gesicht bekam. Betroffen sind auf gewöhnlichen Firmenseiten oft Vorschau-Links, Testumgebungen oder hochgeladene Rechnungs- und Angebots-Dokumente. Unsere Empfehlung: Prüfen Sie für jeden in Ihrer robots-Datei gesperrten Bereich zusätzlich, ob dort tatsächlich eine Ausschluss-Anweisung ankommt, und verlassen Sie sich für vertrauliche Dokumente nicht allein auf die Sperrdatei.

Ganz ohne Anmeldung an fremde Passwörter zu kommen: Genau das ermöglicht eine Schwachstelle in einem verbreiteten Veranstaltungs- und Buchungswerkzeug für Webseiten. Läuft eine Buchung in einer Betriebsart ganz ohne eigenes Nutzerkonto, speichert das Werkzeug ein vom Buchenden mitgeliefertes Datenfeld ungeprüft ab und liest es später wieder ein, ohne die dabei entstehenden Objekte einzuschränken. Über eine passend präparierte Buchungsanfrage lässt sich daraus eine Datenbankabfrage erzwingen, die beliebige Inhalte der Datenbank preisgibt, darunter ausdrücklich Passwort-Hashes und geheime Schlüssel der Webseite, und das vollständig ohne Anmeldung. Für Vereine und Veranstalter, bei denen ein solches Werkzeug besonders verbreitet ist, ist das kein reines IT-Problem, sondern ein handfester Verstoss gegen die Pflicht zur Sicherheit der Verarbeitung, sobald die Lücke ausgenutzt wird. Unsere Empfehlung: Prüfen Sie, ob Sie ein Buchungswerkzeug ohne eigenes Nutzerkonto einsetzen, aktualisieren Sie es umgehend, und tauschen Sie vorsorglich Ihre geheimen Schlüssel aus, falls die Version bei Ihnen längere Zeit veraltet war.

Kommen wir zu den kürzeren Meldungen. Bei einer weitverbreiteten Erweiterung für ein bekanntes Kontaktformular-Werkzeug lässt sich unangemeldet vorprogrammierter Formularcode ausführen, und ausgerechnet dafür gibt es derzeit keine reparierte Version zum Herunterladen: Die aktuellste verfügbare Version ist zugleich die betroffene. Unsere Empfehlung: Wer diese Erweiterung einsetzt, sollte sie vorübergehend deaktivieren oder durch eine Alternative ersetzen, statt auf ein Update zu warten, das es aktuell nicht gibt.

Zwei Zusatzwerkzeuge für ein verbreitetes Redaktionssystem vertrauen blind der Herkunftsadresse, die ein Besucher im Anfrage-Kopf selbst mitschickt. Wer diese Adresse fälscht, kann damit sowohl standortabhängige Zugriffsbeschränkungen umgehen als auch eine automatische Anmeldung auslösen, die eigentlich nur bekannten Adressen vorbehalten sein soll, und sich so fremde Konten aneignen. Unsere Empfehlung: Setzen Sie Zugriffsbeschränkungen und automatische Anmeldungen nie auf Basis einer selbst gemeldeten Adresse um, sondern nur über eine vom eigenen Server bestätigte Verbindung.

Eine Zusatzfunktion für Online-Shops erlaubt unangemeldeten Besuchern das Hochladen von Bilddateien im SVG-Format und liefert sie anschliessend direkt im Browser aus, statt sie als reinen Download anzubieten. Weil SVG-Dateien Programmcode enthalten dürfen, führt der Browser diesen Code dann in der Sitzung jeder Person aus, die sich die Datei später ansieht, im schlimmsten Fall in der Sitzung eines Verwaltungskontos. Unsere Empfehlung: Prüfen Sie, ob Ihre Webseite hochgeladene SVG-Dateien direkt anzeigt statt sie zum Download anzubieten, und schalten Sie SVG-Uploads ab, wenn Sie sie nicht zwingend brauchen.

Zwei ältere, aber weiterhin relevante Schwächen in der Verschlüsselung von Webseiten sind erneut in offiziellen Warnungen aufgetaucht: eine veraltete Verschlüsselungsart, die sich mit gezielt manipulierten Anfragen entschlüsseln lässt, und ein Server, der über seine Antwort-Kopfzeile freiwillig verrät, welche Version er nutzt, und Angreifern damit die Suche nach einer passenden Schwachstelle abnimmt. Unsere Empfehlung: Lassen Sie Ihren eigenen Server auf veraltete Verschlüsselungsarten prüfen und stellen Sie sicher, dass er in seinen Antwort-Kopfzeilen keine Versionsnummer preisgibt.

Das waren die Themen für heute. Und noch die Uhr, die weiterläuft: Bis zur Meldepflicht aus dem europäischen Gesetz zur Cyber-Widerstandsfähigkeit sind es jetzt noch genau sechs Wochen. Vielen Dank fürs Zuhören, prüfen Sie Ihre eigene Zuständigkeit, und wir hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der neunundzwanzigste Juli, und wir haben acht Themen für Sie mitgebracht, vier davon ausführlicher, vier als kompakte Kurzmeldungen, für alle, die eine Webseite betreiben oder eigene Server verwalten.

Wer eine eigene Community oder ein Diskussionsforum betreibt, sollte diese Meldung zuerst lesen. In einer verbreiteten kommerziellen Foren-Software steckt eine Lücke, über die sich ohne jede Anmeldung fremder Programmcode auf dem Server ausführen lässt. Die Ursache sitzt in einer kleinen Rechenfunktion der Vorlagen-Verarbeitung: Sie filtert zwar bestimmte Zeichen heraus, reicht den verbleibenden Rest aber direkt an die Auswertungsfunktion der Programmiersprache weiter. Was übrig bleibt, genügt einem Angreifer, um eigene Befehle unterzuschieben. Der Hersteller hat bereits Ende Juni erste Korrekturen ausgeliefert und Anfang Juli eine vollständig bereinigte Fassung nachgeschoben, die betriebenen Mietinstallationen des Herstellers sind ebenfalls längst repariert. Neu ist die Lage seit vorgestern: Seither kursiert ein öffentlich verfügbarer, funktionierender Angriffscode. Damit verschiebt sich das Risiko von der Theorie in den Alltag, denn ab diesem Punkt braucht ein Angreifer keine eigene Forschungsarbeit mehr, sondern nur noch eine Liste ungepatchter Seiten. Wer eine selbst gehostete Installation betreibt, sollte deshalb heute die Versionsnummer prüfen und nicht erst zum nächsten Wartungsfenster.

Eine Suchmaschine, die Fundstellen auflistet, haftet für fremde Inhalte nur eingeschränkt. Eine Suchmaschine, die aus fremden Inhalten eine eigene Zusammenfassung formuliert, haftet dagegen selbst. Das hat das Landgericht München Ende Mai in einer einstweiligen Verfügung entschieden, die inzwischen öffentlich bekannt ist. Geklagt hatten zwei Münchner Verlagsunternehmen, deren Namen die KI-Zusammenfassung über den Suchergebnissen mit Betrugsmaschen und Abo-Fallen in Verbindung gebracht hatte, mit erfundenen Details bis hin zu angeblichen Anrufen und unberechtigten Abbuchungen. In den zugrunde liegenden Quellen stand das so nicht. Das Gericht sah darin keine bloße Weitergabe fremder Aussagen: Die Funktion fasse Drittinhalte eigenständig zusammen, strukturiere sie und verdichte sie zu einer eigenen Aussage, und damit sei der Betreiber unmittelbar verantwortlich. Auch das Haftungsprivileg für Vermittlungsdienste aus dem Digitale-Dienste-Gesetz der Europäischen Union greife hier nicht. Bemerkenswert ist die Reichweite: Die Verfügung ist nicht auf Deutschland beschränkt. Endgültig ist das alles noch nicht, ein Hauptsacheverfahren steht aus. Für alle, die selbst KI-Zusammenfassungen in ein eigenes Angebot einbauen, ist die Richtung dennoch klar erkennbar: Wer aus fremdem Material eine eigene Aussage formt, kann sich hinterher nicht mehr darauf zurückziehen, es seien ja nur fremde Inhalte gewesen.

Für alle, die schon einmal um drei Uhr nachts eine Datenpanne melden mussten, gibt es eine praktische Neuerung. Der Europäische Datenschutzausschuss hat Anfang Juni eine gemeinsame Meldevorlage für Datenschutzverletzungen nach Artikel dreiunddreißig der Datenschutz-Grundverordnung angenommen. Sie führt Schritt für Schritt durch die Angaben, die eine Meldung braucht: Art der Meldung, Angaben zum Verantwortlichen, Zeitpunkt und Art des Vorfalls, betroffene Personengruppen und Datenkategorien, die Schutzmaßnahmen, die zum Zeitpunkt des Vorfalls bereits liefen, die Risikoeinschätzung, die ergriffenen Gegenmaßnahmen und die Frage, ob die Betroffenen selbst benachrichtigt wurden. Verpflichtend ist die Vorlage ausdrücklich nicht, ein eigenes Formular bleibt zulässig, solange die Meldung vollständig ist. Der Nutzen liegt vor allem bei kleineren Organisationen ohne eigene Rechtsabteilung, weil vorgegebene Auswahlfelder und Hinweise die Sieben-zweiundsiebzig-Stunden-Frist entlasten. Bis zum fünften August läuft dazu noch eine öffentliche Konsultation. Wer eine eigene Meldekette pflegt, kann die Struktur schon jetzt gegen das eigene interne Formular halten und prüfen, ob dort Felder fehlen.

Und noch eine Entscheidung, die Videokonferenzen betrifft: Das Oberverwaltungsgericht in Sachsen hat es Mitte Juni abgelehnt, einen fachlichen Berater mit Sitz in den Vereinigten Staaten per Video an einer mündlichen Verhandlung zu beteiligen. Der Grund war ausdrücklich auch ein datenschutzrechtlicher: Eine Übermittlung personenbezogener Daten in die Vereinigten Staaten im Rahmen der Videoverhandlung sei zum Entscheidungszeitpunkt nicht datenschutzkonform sicherzustellen gewesen. Weder lagen aus Sicht des Gerichts die Voraussetzungen für eine zulässige Drittlandübermittlung vor, noch griffen die Ausnahmetatbestände, auf die sich die Antragsteller berufen hatten. Die Botschaft für die Praxis ist unabhängig vom Gerichtssaal brauchbar: Die Ausnahmen für Einzelfälle sind eng auszulegen, und ein Video-Zuschalten über die Grenze ist keine Kleinigkeit, die nebenbei mitläuft. Wer regelmäßig externe Beteiligte aus Drittländern zuschaltet, sollte im eigenen Haus schriftlich festhalten, auf welche Rechtsgrundlage sich das stützt.

Kommen wir zu den kürzeren Meldungen. Gleich zwei Netzwerkprodukte stehen diese Woche auf der Pflichtliste der US-amerikanischen Cyber-Sicherheitsbehörde, die auch hierzulande als guter Frühindikator taugt: das Betriebssystem einer weit verbreiteten Firewall-Reihe, bei dem sich eine frühere Korrektur umgehen lässt, sowie das zentrale Verwaltungswerkzeug einer Netzwerk-Plattform, über das sich Systembefehle einschleusen lassen. Beide werden aktiv ausgenutzt, für beide gibt es Updates.

Auch beim Dateiaustausch bleibt es unruhig. Eine im Unternehmensumfeld verbreitete Plattform für den gesicherten Dateitransfer hat gleich mehrere kritische Lücken geschlossen, und in einem klassischen Dateiübertragungs-Server für Linux steckt eine Datenbank-Einschleusung. In beiden Fällen laufen bereits Angriffe. Gerade diese Produktgattung ist beliebt, weil dort ganze Datenbestände an einem Ort liegen, oft inklusive Personaldaten und Abrechnungen.

Zwei selbst gehostete Web-Werkzeuge sollten Sie ebenfalls im Blick behalten. In einer verbreiteten Wissensdatenbank-Software lassen sich Rechte über die eigene Rolle hinaus ausweiten, dafür steht eine reparierte Version bereit. In einer bekannten Überwachungs- und Monitoring-Lösung ist dagegen eine Schwachstelle für eingeschleusten Skriptcode noch offen, ein Update fehlt bislang. Aktive Angriffe sind hier nicht bekannt, wohl aber die Details.

Und schließlich die stille Grundlast der Woche: In gleich mehreren Bausteinen, die auf fast jedem Server mitlaufen, wurden Schwachstellen behoben, unter anderem in einer Bibliothek für verschlüsselte Fernzugriffe, in Bibliotheken für Kompression und Bildformate, in einem verbreiteten Texteditor sowie in den beiden großen Browsern auf Chromium-Basis. Einzeln wirkt keine dieser Meldungen dramatisch, gemeinsam sind sie genau der Grund, warum automatische Systemaktualisierungen auf Servern kein Luxus sind.

Das war Ihr Datenschutz-Briefing für heute. Und zum Schluss noch der kurze Blick auf die NIS2-Uhr: Bis zur Registrierungsfrist am 31. Juli bleiben jetzt noch zwei Tage. Wir wünschen Ihnen einen guten Start in den Tag und hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der achtundzwanzigste Juli, und wir haben acht Themen für Sie mitgebracht, vier davon ausführlicher, vier als kompakte Kurzmeldungen, für alle, die eine Webseite betreiben oder eigene Server verwalten.

Einhundertfünfzigtausend Webseiten sind noch immer angreifbar, obwohl die Korrektur seit über zwei Monaten bereitliegt. Es geht um einen Design- und Anpassungs-Baustein, den viele Webseiten-Baukästen unter der Haube verwenden und der auf mehr als fünfhunderttausend Seiten läuft. Er lässt sich beim Passwort-Zurücksetzen austricksen: Wer nur den Benutzernamen kennt, kann den Reset-Link an eine beliebige, selbst gewählte E-Mail-Adresse umleiten lassen, ganz ohne das eigentliche Passwort, ohne bestehenden Zugang und ohne weitere Vorkenntnis über die Zielseite. An den Benutzernamen kommt man auf vielen Seiten mühelos, weil er in der Adresse der Autorenseite steht oder sich über die Programmierschnittstelle des Systems abfragen lässt. Theorie ist das längst nicht mehr: Die Sicherheitsfirma, die die Lücke gemeldet hat, blockte binnen eines einzigen Tages über zweihundert Angriffsversuche bei ihren eigenen Kunden. Wer ein Content-Management-System mit einem solchen Anpassungswerkzeug betreibt, sollte deshalb heute prüfen, ob die reparierte Version installiert ist, bevor die Passwort-Zurücksetzen-Funktion erneut genutzt wird.

Wer sich bei einer Kundenkarte anmeldet, um einfach nur Rabatte zu sammeln, hat damit noch lange nicht in Marketing-Profile, Analysezwecke und die Weitergabe an Partnerunternehmen quer durch mehrere Länder eingewilligt. Genau das bemängelte die norwegische Datenschutzbehörde bei einem großen Elektronik-Einzelhändler mit Filialen in mehreren nordischen Ländern und mehr als sechs Millionen Mitgliedern im eigenen Kundenclub. Ein einziges Häkchen beim Beitritt deckte gleichzeitig Marketing, Profilbildung, Analyse, Newsletter und Rabattaktionen ab, einzelne Zwecke ließen sich dabei nicht getrennt ablehnen. Nach Einschätzung der Behörde war diese Einwilligung damit weder ausreichend konkret noch wirklich freiwillig noch informiert genug, zusätzlich reagierte das Unternehmen zu langsam auf Anfragen von Kundinnen und Kunden, die ihre Rechte einfordern wollten. Anfang Juni verhängte die Behörde dafür ein Bußgeld von umgerechnet rund einer Million achthunderttausend Euro, abgestimmt mit den Aufsichtsbehörden Schwedens, Dänemarks, Finnlands und Islands, weil der Kundenclub auch dort Mitglieder zählte. Rechtskräftig ist das noch nicht, das Unternehmen widerspricht der Bewertung und kann sie gerichtlich überprüfen lassen. Wer selbst ein Bonus- oder Kundenclub-Programm betreibt, sollte im eigenen Anmeldeformular nachsehen, ob Werbung, Profilbildung und Auswertung dort einzeln abwählbar sind oder nur gemeinsam.

Wechsel an der Spitze der deutschen Datenschutzaufsicht: Der Bundestag wählte am fünfundzwanzigsten Juni mit deutlicher Mehrheit Moritz Hennemann zum neuen Bundesbeauftragten für Datenschutz und Informationsfreiheit, einen Rechtswissenschaftler aus Freiburg, der dort einen Lehrstuhl für Zivilrecht mit Informations-, Medien- und Internetrecht innehat und ein einschlägiges Forschungsinstitut leitet. Er folgt auf die bisherige Amtsinhaberin, die im März ihren Rücktritt aus gesundheitlichen Gründen angekündigt hatte, sobald ein Nachfolger feststeht. Sie führt die Amtsgeschäfte noch bis Ende September, danach übernimmt Hennemann offiziell. In seinen eigenen Veröffentlichungen betont er Daten auch als wirtschaftliches Gut und ihre Nutzung für Innovation und neue Geschäftsmodelle. Ob und wie sich das in der Aufsichtspraxis niederschlägt, ist offen. Für Unternehmen heißt ein solcher Wechsel an der Spitze der Aufsicht vor allem eines: Die Prüfungsschwerpunkte der kommenden Monate lohnen einen zweiten Blick, sobald sich der neue Amtsinhaber inhaltlich positioniert.

Die Sächsische Datenschutz- und Transparenzbeauftragte hat ihren Tätigkeitsbericht für das Jahr zweitausendfünfundzwanzig vorgelegt, und die Zahlen darin sind deutlich: über sechzehnhundert Eingaben von Bürgerinnen und Bürgern, ein Zuwachs von neunundzwanzig Prozent zum Vorjahr und ein neuer Rekordwert. Parallel dazu gingen eintausendachtundfünfzig Meldungen über Datenpannen nach Artikel dreiunddreißig der Datenschutz-Grundverordnung ein, ein Plus von rund fünf Prozent und ebenfalls ein Höchststand. Bemerkenswert ist die Reihenfolge der häufigsten Ursachen: Vorn stehen Fehlversand und Verlust auf dem Postweg, dann offene E-Mail-Verteiler, bei denen Empfänger einander sichtbar sind statt verdeckt angeschrieben zu werden, danach erst Hackerangriffe und Schadcode und schließlich Einbruch und Diebstahl. Zwei der vier großen Ursachengruppen sind also schlichte Bedienfehler im Büroalltag. Wer eine eigene Meldekette für Datenpannen pflegt, sollte deshalb nicht nur in die Abwehr von außen investieren, sondern auch prüfen, ob der Versand von Post und Sammelmails im eigenen Haus wirklich fehlerfest geregelt ist.

Kommen wir zu den kürzeren Meldungen. Bei einem Identitäts- und Anmeldedienst für Firmennetzwerke kann jemand, der bereits einen begrenzten Zugang besitzt, sich zu weitreichenderen Rechten hocharbeiten. Der Angriff setzt lokalen Zugriff voraus, ist also über einen reinen Webseiten-Scan von außen nicht sichtbar, betrifft eher Windows-Server-Betreiber als klassische Webseitenbetreiber. Aktive Ausnutzung läuft bereits, ein Update aus diesem Monat schließt die Lücke.

Ein Zahlungsabwicklungs-Modul einer verbreiteten Unternehmenssoftware lässt sich über das Netzwerk erreichen, ohne dass sich ein Angreifer anmelden muss, und gilt dabei nach Einstufung der Fachleute als leicht auszunutzen, mit voller Übernahme als möglicher Folge. Aktive Ausnutzung läuft bereits. Der Hersteller hat ein Sicherheitsupdate veröffentlicht, das die Lücke schließt, wer die Software einsetzt, sollte keine Zwischenversion auslassen.

Eine versehentlich falsch verschickte Nachricht kann teuer werden, auch ganz ohne dass jemand die Daten missbraucht. Der Bundesgerichtshof stellte das im Juni in einem Streit um eine Bewerbung klar: Eine Bank wollte einem Kandidaten über ein berufliches Online-Netzwerk eine vertrauliche Nachricht zur Gehaltsverhandlung schicken und traf dabei aus Versehen einen unbeteiligten Dritten, der den Bewerber zufällig aus einem früheren Job kannte. Einen Geldschaden musste der Bewerber nicht nachweisen. Es genügte, dass der Dritte die Daten tatsächlich zum Anlass nahm, ihn auf die Bewerbung anzusprechen: Damit war der Verlust der Kontrolle nicht folgenlos, und genau das ist der ersatzfähige immaterielle Schaden. Zur genauen Schadenshöhe muss jetzt das Oberlandesgericht Frankfurt am Main neu entscheiden. Wer Bewerbungsdaten über externe Plattformen verschickt, sollte das Empfängerfeld deshalb doppelt prüfen, bevor er auf Senden klickt.

Einhunderttausend Euro musste eine kroatische Immobilienagentur zahlen, nachdem die dortige Datenschutzaufsichtsbehörde gleich drei Verstöße auf einmal feststellte: eine Datenverarbeitung ohne ausreichende Rechtsgrundlage, unzureichende Absicherung der gespeicherten Daten und deren Aufbewahrung länger als nötig. Gerade der letzte Punkt trifft viele kleinere Unternehmen: Wer Kundendaten sammelt, sollte regelmäßig prüfen, ob wirklich noch ein Zweck für die weitere Speicherung besteht, oder ob längst gelöscht werden müsste.

Das war Ihr Datenschutz-Briefing für heute. Und zum Schluss noch der kurze Blick auf die NIS2-Uhr: Bis zur Registrierungsfrist am 31. Juli bleiben jetzt noch drei Tage. Wir wünschen Ihnen einen guten Start in den Tag und hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der siebenundzwanzigste Juli, und wir haben acht Themen für Sie mitgebracht, vier davon ausführlicher, vier als kompakte Kurzmeldungen, für alle, die eine Webseite betreiben oder eigene Server verwalten.

Wir beginnen bei denen, die eigentlich schützen sollen. In einer weitverbreiteten Verwaltungssoftware für Firewalls und Netzwerksicherheit erlaubt eine Anmeldeschwäche unangemeldeten Angreifern, sich ein gültiges Zugangs-Token zu erschleichen und sich damit als vollwertiger Administrator anzumelden, mit der Möglichkeit, Sicherheitsregeln und Netzwerkkonfigurationen beliebig zu verändern. Fachleute stufen die Schwere der Lücke als nahezu maximal ein. Der Hersteller bestätigte aktive Ausnutzung bei einer kleinen, aber realen Anzahl von Kunden, die zuständige US-Behörde nahm die Lücke unmittelbar in ihre Pflicht-Update-Liste auf und setzte Bundesbehörden eine Frist von nur drei Tagen. Updates stehen bereit, wichtig ist vor allem, den Netzzugriff auf den Verwaltungsserver von vornherein auf wenige vertrauenswürdige Adressen zu begrenzen, denn ohne diese Einschränkung genügt Angreifern bereits Netzsicht auf den Server, ein offener Zugang aus dem Internet macht es nur besonders leicht, gerade weil eine solche Verwaltungssoftware oft selbst als letzte Verteidigungslinie gilt.

Deutlich schwerer wiegt ein zweiter Fall aus der vergangenen Woche: Eine deutsche Online-Anlaufstelle für Betroffene sexualisierter Gewalt wurde Ziel eines Cyberangriffs. Unbekannte nutzten dafür dieselbe Schwachstellenkette in einem weitverbreiteten Content-Management-System aus, die auch andere Betreiber in den vergangenen Tagen treffen konnte, ausgelöst offenbar automatisiert durch ein Scan-Programm, nicht durch einen gezielten Angriff auf genau diese Seite. Die Betreiber gehen mit hoher Wahrscheinlichkeit davon aus, dass in größerem Umfang Daten aus der Datenbank abgeflossen sind, darunter verschlüsselte Zugangsdaten sowie verschlüsselte Beiträge und Nachrichten aus geschützten Bereichen, in denen Betroffene über erlittene Gewalt berichten. Ob diese Inhalte lesbar gemacht werden können, hängt davon ab, ob die zugehörigen Passwörter gebrochen werden, die Betreiber haben deshalb zum sofortigen Passwortwechsel aufgerufen, das zuständige Bundesamt warnt zusätzlich vor Phishing-Mails im Umfeld des Vorfalls. Für Menschen, deren Vertrauen bereits einmal massiv verletzt wurde, bedeutet ein solcher Vorfall einen weiteren Kontrollverlust, die Betroffenenvertretung fordert inzwischen eine umfassende und transparente Aufklärung. Der Fall zeigt, warum eine zunächst abstrakt klingende Softwarelücke in der Praxis schwere Folgen für besonders schutzbedürftige Nutzergruppen haben kann, gerade bei Plattformen, die eigentlich Schutz bieten sollen.

Wie schnell aus einem IT-Vorfall ein Produktionsstopp werden kann, zeigt der Fall eines großen US-amerikanischen Getränkekonzerns. Bei dessen Molkerei-Tochter mussten mehrere amerikanische Werke wegen eines Ransomware-Angriffs vorübergehend die Produktion einstellen, kanadische Standorte liefen unterdessen normal weiter. Eine Erpressergruppe, die seit Ende zweitausendvierundzwanzig aktiv ist und bereits rund einhundert Organisationen auf ihrer Liste führt, beansprucht den Angriff für sich, behauptet, rund ein Terabyte vertraulicher Daten erbeutet und Server verschlüsselt zu haben, und droht mit Veröffentlichung, sollte binnen einer Woche kein Lösegeld gezahlt werden, diese Frist läuft dieser Tage ab. Unabhängig bestätigen ließ sich weder die genaue Datenmenge noch der volle Umfang der Verschlüsselung, das Unternehmen selbst betont, Produktqualität und Sicherheit seien nicht betroffen. Der Fall erinnert daran, dass Ransomware längst nicht nur Büro-IT trifft, sondern über vernetzte Produktionssysteme direkt auf das Fließband durchschlagen kann.

Der Europäische Gerichtshof hat kürzlich zudem ein Urteil gefällt, das weit über den Sport hinaus Bedeutung hat. Im konkreten Fall ging es um eine nationale Anti-Doping-Organisation, die gesperrte Sportlerinnen und Sportler öffentlich im Internet namentlich benennt. Das Gericht entschied, das sei grundsätzlich zulässig, allerdings nur unter einer wichtigen Voraussetzung: Statt einer automatisierten Veröffentlichung braucht es künftig vor jeder Online-Nennung eine individuelle Abwägung des Einzelfalls, zusätzlich muss die betroffene Person die Möglichkeit erhalten, die bevorstehende Veröffentlichung vorab bei der zuständigen Aufsichtsbehörde prüfen zu lassen. Wer selbst eine öffentliche Liste führt, etwa Sperrvermerke, Verstöße oder Sanktionen, sollte diesen Maßstab ernst nehmen, automatisiertes Veröffentlichen ohne Einzelfallprüfung dürfte nach dieser Entscheidung in vielen Bereichen rechtlich wackeln.

Kommen wir zu den kürzeren Meldungen. Eine häufig genutzte Open-Source-Plattform zum Bauen von KI-Assistenten und automatisierten Arbeitsabläufen erlaubt über eine ungesicherte Programmierschnittstelle das Ausführen beliebigen Codes, komplett unangemeldet und mit den höchsten Rechten des Servers. Die zuständige US-Behörde ordnete umgehendes Handeln an, wer eigene KI-Workflows auf dieser Plattform betreibt, sollte Instanzen sofort auf Erreichbarkeit aus dem offenen Internet prüfen und das verfügbare Update einspielen. Solche Bau-Werkzeuge für KI-Agenten verbreiten sich derzeit rasant in Unternehmen, oft schneller, als die zugehörige Absicherung mitwächst.

Ebenfalls vom Europäischen Gerichtshof: Ein schwedisches Unternehmen betrieb eine kostenpflichtige Datenbank, über die sich strafrechtliche Verurteilungen von Personen nachschlagen ließen. Das Unternehmen berief sich auf die journalistische Ausnahme der Datenschutz-Grundverordnung, um sich strengeren Löschpflichten zu entziehen. Der Gerichtshof widersprach, das bloße kostenpflichtige Zugänglichmachen von Urteilen ohne redaktionelle Bearbeitung sei nicht schon deshalb eine journalistische Tätigkeit, die regulären Datenschutzpflichten greifen daher, Betroffene können Löschung verlangen, sich bei der Aufsichtsbehörde beschweren und Schadensersatz fordern.

Auch eine deutsche Großstadtverwaltung traf es in diesem Monat: Beim IT-Dienstleister einer ostdeutschen Großstadt griffen Unbekannte dienstliche Kontakt- und technische Verzeichnisdaten mehrerer städtischer Einrichtungen ab, von der Verwaltung über Theater und Musikschule bis zur Straßenreinigung. Persönliche Daten von Beschäftigten oder Bürgerinnen und Bürgern waren nach bisherigem Kenntnisstand nicht betroffen, der Angriff wurde entdeckt und gestoppt, bevor IT-Systeme ausfielen, Landeskriminalamt und externe Forensiker sind eingeschaltet.

Und ein Blick auf die Zahlen hinter der NIS2-Registrierung: Von rund neunundzwanzigtausendfünfhundert betroffenen Einrichtungen in Deutschland hatten Ende Mai erst rund achtzehntausendfünfhundert ihre Registrierung abgeschlossen, eine Lücke von über zehntausend Unternehmen. Genau deshalb hatte die zuständige Bundesbehörde die Nachfrist bis Ende Juli eingeräumt, wer sie verstreichen lässt, riskiert allein für die versäumte Registrierung ein Bußgeld von bis zu fünfhunderttausend Euro, unabhängig davon, ob überhaupt schon ein Sicherheitsvorfall vorliegt. Nicht zu verwechseln mit dem gesonderten Anmeldefenster für Betreiber kritischer Infrastruktur, über das wir vor einigen Tagen berichtet haben, dort beginnt die Frist erst mit der offiziellen Einstufung.

Das war Ihr Datenschutz-Briefing für heute. Und zum Schluss noch der kurze Blick auf die NIS2-Uhr: Bis zur Registrierungsfrist am 31. Juli bleiben jetzt noch vier Tage. Wir wünschen Ihnen einen guten Start in den Tag und hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der dreiundzwanzigste Juli, und wir haben acht Themen für Sie mitgebracht, vier davon ausführlicher, vier als kompakte Kurzmeldungen, für alle, die eine Webseite betreiben oder eigene Server verwalten.

Wir beginnen mit einer Schwachstelle, die seit dem vergangenen Wochenende aktiv ausgenutzt wird. In einer weitverbreiteten Unternehmenssoftware für Dokumentenverwaltung und Zusammenarbeit, die viele Firmen auf eigenen Servern statt in der Cloud betreiben, erlaubt eine fehlerhafte Verarbeitung eingehender Daten Angreifern, ganz ohne Anmeldung beliebigen Programmcode auszuführen. Das eigentlich Gefährliche daran ist aber ein zweiter Schritt: Wer die Lücke ausnutzt, kann zusätzlich kryptografische Schlüssel des Servers stehlen und damit gefälschte Zugangsausweise erzeugen, die auch nach dem Einspielen des Sicherheitsupdates weiterhin funktionieren. Ein Sicherheitsupdate steht seit Mitte Juli bereit, doch seit dem Wochenende beobachten Forscher über ein weltweites Netz von Lockvogel-Servern aktive Angriffswellen, rund eintausendfünfhundert öffentlich erreichbare Installationen wurden weltweit gezählt, der Großteil davon in den USA. Es ist bereits die dritte Sicherheitslücke in dieser Software, die allein in diesem Monat ausgenutzt wird. Wer eine solche Software betreibt, sollte deshalb nicht nur das Update einspielen, sondern anschließend auch die betroffenen Serverschlüssel austauschen, sonst bleibt die Hintertür trotz Patch offen.

Sechs Tage stand kürzlich die komplette Grundbuchverwaltung eines EU-Mitgliedstaats still, weil ein Angreifer sich mit gestohlenen, aber gültigen Zugangsdaten Zutritt verschafft hatte, vermutlich über abgegriffene Passwörter oder Schadsoftware auf einem Mitarbeitergerät, nicht über eine technische Lücke. Nach einer gescheiterten Erpressung löschte der Angreifer nicht nur die Produktivdatenbanken und Mailserver, sondern auch die Sicherungskopien, denn diese ließen sich über dieselben gestohlenen Zugangsdaten erreichen. Gerettet hat die Behörde am Ende eine einzige, wirklich getrennt aufbewahrte Offline-Kopie, ohne die wäre sämtliche Grundstücksdokumentation unwiederbringlich verloren gewesen. Betroffen waren landesweit sämtliche Immobiliengeschäfte, Notare konnten weder Verkäufe beurkunden noch neue Eigentümer eintragen, und das ausgerechnet kurz vor einer angekündigten Mehrwertsteuererhöhung auf Neubauten, die viele Käufer noch schnell abschließen wollten. Die Lehre daraus trifft praktisch jedes Unternehmen: Eine Sicherungskopie, die mit denselben Zugangsdaten erreichbar ist wie das Original, ist im Ernstfall keine echte Sicherungskopie.

Ein Update in eigener Sache: Der Europäische Datenschutzausschuss hat seine seit Jahren erwarteten neuen Leitlinien zur Anonymisierung personenbezogener Daten zur Konsultation gestellt und damit erstmals seit über zehn Jahren die alte Bewertung grundlegend überarbeitet. Neu ist vor allem der Blick auf künstliche Intelligenz: Ein Trainingsdatensatz gilt nicht automatisch als anonym, nur weil keine Namen mehr darin stehen, wenn ein KI-System durch geschickte Anfragen trotzdem einzelne Personen beschreiben oder identifizieren kann, bleibt es datenschutzrechtlich relevant. Entscheidend ist künftig, ob eine Re-Identifizierung unter realistischen Bedingungen für die tatsächlich beteiligten Akteure möglich wäre, nicht ob sie theoretisch irgendwo denkbar ist. Wer Daten weitergibt oder mit KI-Systemen trainiert, bekommt damit einen klareren, aber auch strengeren Maßstab an die Hand als bisher.

Darf man ein privates Chat-Gespräch einfach an den Arbeitgeber der beteiligten Person weiterleiten? Genau diese Frage verhandelt der Bundesgerichtshof am dreißigsten Juli. Zwei Bekannte hatten sich über Messenger vertraulich über die Zustände am Arbeitsplatz ausgetauscht, nach einem Streit leitete einer der beiden den kompletten Chatverlauf an die Praxisleitung des anderen weiter, die betroffene Person verlor daraufhin ihre Stelle. Das Landgericht gab der gekündigten Person zunächst recht, das Oberlandesgericht kippte das Urteil in der Berufung wieder: Die private Weitergabe falle unter die Haushaltsausnahme der Datenschutz-Grundverordnung, sei also rein persönliche Tätigkeit und damit gar nicht erst vom Anwendungsbereich der Verordnung erfasst. Gefordert werden siebentausendfünfhundert Euro Entschädigung. Ob eine derart schwerwiegende Verletzung von Persönlichkeitsrechten die Haushaltsausnahme trotzdem aushebeln kann, entscheidet nun die letzte Instanz, wir berichten, sobald das Urteil vorliegt.

Kommen wir zu den kürzeren Meldungen. Eine Sicherheitslösung zur automatisierten Prüfung von Dateien auf Schadsoftware, die viele Unternehmen als vorgeschaltete Schutzschicht einsetzen, weist gleich mehrere Schwachstellen auf, über die sich unangemeldet Systembefehle einschleusen lassen. Die zuständige US-Behörde hat die Lücken bereits in ihre Pflicht-Update-Liste für Bundesbehörden aufgenommen, aktive Ausnutzung gilt als bestätigt, Updates stehen bereit.

Eine im Open-Source-Bereich weitverbreitete Programmbibliothek wurde Mitte Juli über einen ungewöhnlichen Weg kompromittiert: Nicht ein gestohlenes Mitarbeiterkonto war die Ursache, sondern ein schlicht ungeschützter Nebenzweig im automatisierten Freigabeprozess, während die Hauptzweige längst durch Prüfpflichten abgesichert waren. Über diese Lücke schleusten Angreifer Schadsoftware in mehrere Programmpakete mit zusammen fast drei Millionen wöchentlichen Downloads ein, die anschließend Zugangsschlüssel für Cloud-Dienste, Entwickler-Zugänge und sogar Kryptowährungs-Wallets abgriff. Wer Software automatisiert veröffentlicht, sollte also nicht nur den Hauptzweig, sondern jeden einzelnen Zweig im Freigabeprozess absichern.

Bemerkenswert unter Fachleuten: Eine achtzehn Jahre alte Schwachstelle in der Verwaltungsoberfläche älterer, längst nicht mehr unterstützter Router-Software wurde erst jetzt in die Pflicht-Update-Liste einer großen Sicherheitsbehörde aufgenommen, nachdem bekannt wurde, dass eine staatlich vermutete Angreifergruppe gezielt veraltete und schlecht konfigurierte Netzwerkgeräte ins Visier nimmt. Für dieses Alter gibt es kein Update mehr, nur den Austausch der Hardware. Wer noch derart alte Netzwerktechnik im Keller stehen hat, sollte sie schlicht ersetzen.

Und zum Schluss ein Blick nach Frankreich: Die dortige Datenschutzaufsicht hat seit Jahresbeginn dreiundzwanzig Bußgelder im vereinfachten, beschleunigten Verfahren verhängt, insgesamt ein niedriger sechsstelliger Betrag, überwiegend gegen kleine und mittlere Unternehmen. Gründe waren übermäßige Videoüberwachung, nicht regelkonforme Cookie-Banner und die Verweigerung von Auskunfts- und Löschrechten. Wer glaubt, Bußgelder träfen nur Konzerne, wird hier eines Besseren belehrt.

Das war Ihr Datenschutz-Briefing für heute. Und zum Schluss noch der kurze Blick auf die NIS2-Uhr: Bis zur Registrierungsfrist am 31. Juli bleiben jetzt noch acht Tage. Wir wünschen Ihnen einen guten Start in den Tag und hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der zweiundzwanzigste Juli, und wir haben sieben Themen für Sie mitgebracht, vier davon ausführlicher, drei als kompakte Kurzmeldungen, für alle, die eine Webseite betreiben oder eigene Server verwalten.

Wir beginnen mit einer Sicherheitslücke, die in den vergangenen Tagen für erhebliche Unruhe unter Webseitenbetreibern gesorgt hat. In einem der weltweit meistgenutzten Content-Management-Systeme für Webseiten wurden zwei Schwachstellen entdeckt, die sich zu einer gefährlichen Kette verbinden lassen: Über eine Verwechslung in einer internen Programmierschnittstelle in Kombination mit einer Datenbank-Einschleusungslücke können Angreifer die vollständige Kontrolle über eine Webseite erlangen, ganz ohne sich vorher überhaupt anmelden zu müssen. Betroffen sind mehrere aktuelle Versionsreihen der Software, für die inzwischen Sicherheitsupdates bereitstehen. Das eigentliche Problem: Nur wenige Tage nach der Veröffentlichung der Lücke wurden bereits mehr als zwei Dutzend unterschiedliche Angriffswerkzeuge im Umlauf entdeckt, aktive Ausnutzung läuft seither ungebremst weiter. Wer eine Webseite auf Basis eines solchen Systems betreibt, sollte umgehend prüfen, ob das aktuelle Sicherheitsupdate eingespielt ist, denn bei einer derart schnellen und breiten Ausnutzung zählt hier wirklich jeder Tag.

Zweiundsiebzigtausend Euro: So teuer wurde es für ein internationales Werbenetzwerk, das sich beim Setzen von Cookies auf das falsche Rechtsargument verlassen hatte. Die spanische Datenschutzaufsichtsbehörde stellte fest, dass das Unternehmen über Partnerseiten dauerhafte Cookies auf den Geräten der Besucher setzte, ohne dass diese jemals zugestimmt hatten. Das Unternehmen berief sich darauf, für Werbeausspielung, Betrugserkennung und Erfolgsmessung reiche das berechtigte Interesse als Rechtsgrundlage aus, schließlich seien die Partnerseiten und nicht man selbst für die Einwilligung zuständig. Die Behörde widersprach: Wer Cookies ohne vorherige Zustimmung setzt, verstößt bereits gegen die spanischen Vorschriften zum Zugriff auf Endgeräte, und dieser Verstoß lässt sich nicht nachträglich durch ein berechtigtes Interesse heilen, denn die betroffenen Nutzer hatten schlicht keine vernünftige Erwartung, dass ihre Daten überhaupt zu Werbezwecken weiterverarbeitet werden. Zusätzlich fehlte dem Unternehmen ein Vertreter innerhalb der EU. Ursprünglich waren für beide Verstöße zusammen einhundertzwanzigtausend Euro vorgesehen, durch das Anerkennen der Verantwortung und die freiwillige Zahlung reduzierte sich die Summe auf die genannten zweiundsiebzigtausend Euro. Wer Werbenetzwerke oder Tracking-Partner einbindet, sollte sich merken: Berechtigtes Interesse trägt beim Setzen von Cookies so gut wie nie, das bleibt Sache der Einwilligung.

Unser drittes Thema räumt mit einem hartnäckigen Missverständnis auf, das seit Wochen kursiert. Seit dem siebzehnten Juli können Betreiber kritischer Infrastruktur sich bei der zuständigen Bundesbehörde registrieren, doch anders als vielerorts verbreitet, ist das kein Stichtag mit drohendem Bußgeld von bis zu fünfhunderttausend Euro, sondern lediglich der Start des Registrierungsfensters. Die eigentliche Frist läuft erst drei Monate, nachdem eine Einrichtung offiziell als kritisch eingestuft wurde, frühestens also Mitte Oktober, und eine Pflicht, Sicherheitsvorfälle zu melden, entsteht ohnehin erst zehn Monate nach erfolgreicher Registrierung. Wer jetzt in Torschlusspanik verfällt, kann sich also etwas Zeit lassen, die Vorbereitung selbst sollte man trotzdem nicht aufschieben.

Kennen Sie das: Eine Datenschutzbeschwerde wird abgewiesen, nur weil sie Teil einer größeren Beschwerdewelle war? Genau das wollte eine belgische Aufsichtsbehörde einer Cookie-Beschwerde gegen einen öffentlichen Rundfunksender antun, weil diese über eine Verbraucherschutzorganisation im großen Stil eingereicht worden war. Der Europäische Datenschutzausschuss hat das in einem verbindlichen Beschluss zurückgewiesen: Ein gültiges Mandat wird nicht automatisch verdächtig, nur weil es professionell und massenhaft genutzt wird, die Behörde muss die Beschwerde nun inhaltlich prüfen. Wer auf formale Abwimmelung von Sammelbeschwerden gehofft hat, sollte diese Hoffnung begraben.

Im fünften Thema reichten elf Byte, um einen ganzen Server lahmzulegen. Sicherheitsforscher haben eine Schwachstelle in einer weitverbreiteten Server-Software-Bibliothek veröffentlicht, bei der genau diese elf Byte an Daten genügen, damit ein Server sich selbst mit übergroßen Speicherreservierungen blockiert: Die betroffene Software liest die vom Angreifer angegebene Länge einer eingehenden Nachricht und reserviert dafür sofort Arbeitsspeicher, noch bevor auch nur ein einziges tatsächliches Datenbyte eingetroffen ist. In Tests ließ sich auf diese Weise ein Viertel des gesamten Arbeitsspeichers eines Servers blockieren, ganz ohne die üblichen Verbindungsobergrenzen zu überschreiten, an denen Schutzmechanismen normalerweise ansetzen. Betroffen waren praktisch alle gängigen Webserver und Datenbanksysteme, die auf diese Bibliothek zurückgreifen. Bemerkenswert und unter Fachleuten umstritten zugleich: Der Hersteller hat die Lücke bereits im Juni still repariert, ohne eigene Sicherheitsmeldung und ohne Erwähnung in den Versionshinweisen, öffentlich bekannt wurde der Fall erst Wochen später durch die Veröffentlichung der Sicherheitsforscher. Wer eigene Server betreibt, sollte schlicht sicherstellen, dass die verwendete Bibliothek auf dem neuesten Stand ist, unabhängig davon, ob der Hersteller die Dringlichkeit selbst kommuniziert hat oder nicht.

Im sechsten Thema geht es noch einen Schritt weiter: um ein beliebtes Verwaltungswerkzeug für Webserver, mit dem sich Serverkonfigurationen bequem über eine grafische Oberfläche statt über die Kommandozeile pflegen lassen, und das gleich mehrere schwere Lücken auf einmal hatte, die sich gegenseitig verstärken. Eine Schnittstelle für die Anbindung von KI-Assistenten ließ sich ganz ohne Anmeldung ansprechen und erlaubte darüber, die komplette Serverkonfiguration zu verändern und neu zu laden, eine zweite Lücke ermöglichte den Download kompletter, eigentlich verschlüsselter Sicherungskopien samt Zugangsdaten, und eine dritte erlaubte angemeldeten Nutzern den Zugriff auf fremde Konten. Sicherheitsforscher zählten mehr als zweitausendsechshundert öffentlich erreichbare Installationen dieses Werkzeugs, aktive Ausnutzung wurde inzwischen bestätigt. Die Bequemlichkeit einer grafischen Verwaltungsoberfläche hat hier ihren Preis: eine größere Angriffsfläche, die viele Betreiber unterschätzen. Updates stehen bereit und sollten umgehend eingespielt werden, wer ein solches Werkzeug einsetzt, sollte zusätzlich prüfen, ob die Verwaltungsoberfläche überhaupt aus dem offenen Internet erreichbar sein muss.

Unser siebtes und letztes Thema betrifft praktisch jeden, der einen häufig eingesetzten Webserver betreibt, unabhängig von der eigenen Branche. Eine schwerwiegende Pufferüberlauf-Schwachstelle im Kern dieser Software lässt sich durch präparierte, unauffällige Anfragen auslösen und legt im einfachsten Fall einzelne Arbeitsprozesse lahm, unter ungünstigen Umständen ist sogar eine vollständige Übernahme aus der Ferne möglich, ganz ohne vorherige Anmeldung. Betroffen sind vor allem Konfigurationen, die bestimmte Weiterleitungsregeln mit regulären Ausdrücken kombinieren, ein weitverbreitetes und unauffälliges Setup. Ein Update, das die Lücke schließt, ist bereits seit Mitte des Monats verfügbar und sollte zeitnah eingespielt werden.

Das war Ihr Datenschutz-Briefing für heute. Und zum Schluss noch der kurze Blick auf die NIS2-Uhr: Bis zur Registrierungsfrist am 31. Juli bleiben jetzt noch neun Tage. Wir wünschen Ihnen einen guten Start in den Tag und hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der einundzwanzigste Juli, und wir haben eine ausführlichere Ausgabe für Sie: acht Themen für alle, die einen Online-Shop, eine Firmen-Website oder sensible Kundendaten betreuen.

Wir beginnen mit einem Fall aus dem Einzelhandel, der zeigt, wie schnell Sorgfalt an ihre Grenzen stößt. Ein großer deutscher Handelskonzern musste in der vergangenen Woche Kundinnen und Kunden seines Online-Shops darüber informieren, dass Unbekannte über einen beauftragten IT-Dienstleister auf eine Datei mit Namen, Geburtsdaten, Telefonnummern und E-Mail-Adressen zugreifen konnten. Zahlungsdaten und Passwörter waren nach Unternehmensangaben nicht betroffen, trotzdem wurde Strafanzeige erstattet, und der Konzern hat die Aufsichtsbehörde informiert. Für alle, die Dienstleister mit Kundendaten beauftragen, ist der Fall eine Erinnerung: Die Verantwortung bleibt beim eigenen Unternehmen, auch wenn der Angriff beim Auftragsverarbeiter passiert. Wer betroffene Kunden warnt, sollte das mit einem Hinweis auf gezielte Phishing-Mails verbinden, denn solche Daten machen Betrugsversuche glaubwürdig.

Unser zweites Thema betrifft alle, die auf ihrer Website Werbe-Tracking-Werkzeuge großer Plattformen einsetzen. Ein Oberlandesgericht hat dem Betreiber eines großen sozialen Netzwerks bescheinigt, dreifach gegen die Datenschutz-Grundverordnung verstoßen zu haben: Das eingesetzte Tracking-Werkzeug erfasste Namen, Kontaktdaten, Standort und IP-Adresse, ohne ausreichende Information, ohne erkennbaren Zweck und ohne Beschränkung auf das Nötigste. Der Konzern konnte keine tragfähige Rechtsgrundlage nachweisen und wurde zu Schadensersatz verurteilt. Rechtskräftig ist das noch nicht, die Sache liegt inzwischen beim Bundesgerichtshof. Die Botschaft für Website-Betreiber: Ein korrektes Cookie-Banner allein schützt nicht, wenn das Tracking-Werkzeug dahinter rechtswidrig arbeitet. Wer Werbeanzeigen mit Pixel-Tracking schaltet, sollte die eigene Einwilligungslösung gegenprüfen.

Unser drittes Thema ist ausnahmsweise eine gute Nachricht. Der Europäische Gerichtshof hat entschieden, dass schon ein allererstes Auskunftsersuchen nach der Datenschutz-Grundverordnung rechtsmissbräuchlich sein kann, wenn es erkennbar nur darauf abzielt, anschließend Schadensersatz zu fordern. Im entschiedenen Fall hatte sich jemand für einen Newsletter angemeldet und wenige Tage später Auskunft über die Daten verlangt. Ganz ohne eigenes Zutun kommt ein Unternehmen damit nicht davon: Die Beweislast für den Missbrauch liegt bei ihm selbst, pauschales Misstrauen reicht nicht aus. Wer wiederholt Anfragen erhält, die eher auf Schadensersatz als auf echte Transparenz zielen, hat jetzt eine gerichtlich bestätigte Verteidigungslinie, sollte sie aber gut dokumentieren.

Unser viertes Thema heute richtet sich in erster Linie an Praxen im Gesundheitswesen, die Lehre daraus betrifft aber jeden, der mit sensiblen Kundendaten arbeitet. Das Bundesamt für Sicherheit in der Informationstechnik hat in der vergangenen Woche daran erinnert, dass Arzt-, Zahnarzt- und Psychotherapiepraxen inzwischen verpflichtet sind, festgelegte IT-Sicherheitsvorgaben umzusetzen, und stellt dafür einen Kurzleitfaden sowie einen Selbsttest zur Verfügung. Der Hintergrund: viele kleinere Praxen unterschätzen weiterhin das eigene Risiko, dabei sind Patientendaten für Kriminelle besonders begehrt, und kleine Einrichtungen geraten ebenso ins Visier wie große Kliniken. Die Behörde bringt es auf den Punkt: der Satz, die eigene Praxis sei zu klein, um Ziel eines Angriffs zu werden, sei ein gefährlicher Irrtum. Wer in einem regulierten Bereich wie dem Gesundheitswesen tätig ist oder mit ihm zusammenarbeitet, sollte prüfen, ob die eigenen Mindeststandards längst verpflichtend geworden sind.

Unser fünftes Thema zeigt eine Grenze des Auskunftsrechts, die viele nicht auf dem Schirm haben. Ein Oberlandesgericht hat entschieden, dass der Auskunftsanspruch nach der Datenschutz-Grundverordnung dort endet, wo die anwaltliche Verschwiegenheitspflicht beginnt. Im entschiedenen Fall wollte eine Frau von einer Rechtsanwältin erfahren, welche Informationen über sie im Rahmen eines fremden Mandats verarbeitet worden waren. Das Gericht entschied, dass die Anwältin die Auskunft verweigern durfte, weil sie sonst Mandatsinhalte hätte preisgeben müssen, und stützte sich dabei auf eine gesetzliche Ausnahme zugunsten von Berufsgeheimnisträgern. Für alle, die selbst mit Berufsgeheimnisträgern wie Anwälten, Notaren oder Steuerberatern zu tun haben, gilt: das Auskunftsrecht ist nicht grenzenlos, wo es auf ein gesetzlich geschütztes Vertrauensverhältnis trifft, kann es zurücktreten.

Unser sechstes Thema zeigt, dass ein Sicherheitsvorfall auch Jahre später noch teuer werden kann. Die irische Datenschutzaufsichtsbehörde hat einen öffentlichen Krankenhausträger zu einer Geldstrafe von rund dreihunderttausend Euro verurteilt, weil vor einigen Jahren ein Erpressungstrojaner auf das Laborsystem eines Krankenhauses zugreifen und Patientendaten verschlüsseln konnte. Rund vierundachtzigtausend Menschen waren betroffen. Die Behörde bemängelte fehlende technische Schutzmaßnahmen und unzureichende Sicherheitsvorgaben gegenüber dem beauftragten IT-Dienstleister. Die Lehre daraus: Ein Erpressungstrojaner-Vorfall ist mit der Wiederherstellung der Systeme nicht erledigt, die aufsichtsrechtliche Aufarbeitung kann noch Jahre später zu einer Sanktion führen, besonders wenn Verträge mit IT-Dienstleistern keine klaren Sicherheitsanforderungen festschreiben.

Unser siebtes Thema kommt aus Spanien und verbindet zwei Klassiker in einem einzigen Fall. Die spanische Datenschutzaufsichtsbehörde hat einen großen Telekommunikationsanbieter zu einer Geldstrafe von gut einer Million Euro verurteilt, weil er zum einen Daten ohne ausreichende Rechtsgrundlage verarbeitet und zum anderen keine angemessenen Sicherheitsmaßnahmen bei der Überprüfung von Kundenidentitäten getroffen hatte. Der größte Teil der Strafe entfiel auf die mangelhafte technische Absicherung. Für jeden, der Kundenkonten führt oder Identitäten prüft, etwa bei Vertragsabschlüssen oder Support-Anfragen, gilt: Fehlende oder unzureichend geprüfte Identitätsnachweise gehören europaweit zu den häufigsten Bußgeldgründen, und die Aufsichtsbehörden unterscheiden inzwischen genau zwischen fehlender Rechtsgrundlage und mangelhafter technischer Umsetzung.

Unser achtes und letztes Thema betrifft die Zukunft der Nachrichtenüberwachung in Europa. Das Europäische Parlament hat vor etwas mehr als einer Woche eine Verlängerung der sogenannten freiwilligen Chatkontrolle nicht verhindert, obwohl eine Mehrheit der abstimmenden Abgeordneten dagegen stimmte: Anbieter unverschlüsselter Dienste wie E-Mail- oder Cloud-Speicher-Anbieter dürfen bis zum Jahr zweitausendachtundzwanzig weiterhin freiwillig nach Missbrauchsdarstellungen von Kindern in den Inhalten ihrer Nutzer suchen. Ende-zu-Ende-verschlüsselte Messenger sind davon ausdrücklich ausgenommen. Datenschützer kritisieren das Verfahren scharf, weil die für eine Ablehnung nötige Mehrheit im Parlament nur knapp verfehlt wurde. Der Text geht nun an den Rat der Europäischen Union weiter. Für Betreiber von Cloud- oder E-Mail-Diensten heißt das: Wer freiwillig scannt, bewegt sich weiterhin in einer rechtlichen Grauzone zwischen Kinderschutz und Fernmeldegeheimnis, und diese Grauzone bleibt jetzt bis mindestens zweitausendachtundzwanzig bestehen.

Das war Ihr Datenschutz-Briefing für heute. Und zum Schluss noch der kurze Blick auf die NIS2-Uhr: Bis zur Registrierungsfrist am 31. Juli bleiben jetzt noch zehn Tage. Wir wünschen Ihnen einen guten Start in den Tag und hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der zwanzigste Juli, und wir haben drei Themen für alle, die ein Unternehmen führen oder eine Firmen-Website betreiben.

Wir beginnen mit einem Termin, der schneller näher rückt, als viele denken. In dreizehn Tagen, am zweiten August, tritt ein wichtiger Teil der europäischen Regeln für Künstliche Intelligenz in Kraft. Ab dann müssen Chatbots und KI-Assistenten mit Kundenkontakt offenlegen, dass eine Maschine antwortet, und künstlich erzeugte Bilder, Texte oder Videos müssen erkennbar gekennzeichnet sein. Gleichzeitig nehmen die nationalen Aufsichtsbehörden ihre Arbeit auf und können von diesem Datum an auch Verstöße sanktionieren. Nur die strengeren Pflichten für besonders risikoreiche KI-Systeme wurden von EU-Parlament und Rat erst kürzlich um sechzehn Monate verschoben. Wer auf der eigenen Website einen Chatbot einsetzt, sollte die Kennzeichnungspflicht trotzdem jetzt umsetzen, denn die bleibt bestehen und wird ab August auch tatsächlich kontrolliert.

Unser zweites Thema betrifft alle, die online Kauf auf Rechnung oder Ratenzahlung anbieten und dafür Bonitätsprüfungen nutzen. Noch in diesem Jahr ändert sich die gesetzliche Grundlage für das sogenannte Scoring grundlegend, ausgelöst durch ein Urteil des Europäischen Gerichtshofs aus dem Jahr zweitausenddreiundzwanzig, das mehr Transparenz bei der Berechnung von Score-Werten verlangt. Unternehmen müssen dann in ihrer Datenschutzerklärung deutlicher erklären, welche Logik hinter einem Score steckt, statt sich hinter einem pauschalen Verweis auf die Auskunftei zu verstecken. Der Bundesgerichtshof verhandelt parallel dazu, wie viel eine Auskunftei einzelnen Verbraucherinnen und Verbrauchern über die Berechnung ihres Scores offenlegen muss. Eine Entscheidung wird für Oktober erwartet. Wer Bonitätsprüfungen im Checkout einsetzt, sollte die eigene Datenschutzerklärung schon jetzt auf den Prüfstand stellen, denn nachträgliche Änderungen unter Zeitdruck sind selten sauber.

Unser drittes Thema kommt aus dem Arbeitsrecht und betrifft jedes Unternehmen mit Kameras im Betrieb. Das Landesarbeitsgericht Hamm hat in einem im vergangenen Jahr entschiedenen Fall einem Mitarbeiter fünfzehntausend Euro Schadensersatz zugesprochen, weil sein Arbeitgeber ihn über zweiundzwanzig Monate lückenlos mit vierunddreißig Kameras in Halle, Lager und Büro überwacht hatte. Die im Arbeitsvertrag versteckte Einwilligung reichte dem Gericht nicht, weil sie beim Vertragsschluss faktisch nicht freiwillig war. Wer Videoüberwachung einsetzt, braucht eine eigenständige, klar begrenzte Rechtsgrundlage, keine Klausel im Kleingedruckten.

Das war Ihr Datenschutz-Briefing für heute. Und zum Schluss noch der kurze Blick auf die NIS2-Uhr: Bis zur Registrierungsfrist am 31. Juli bleiben jetzt noch elf Tage. Wir wünschen Ihnen einen guten Start in den Tag und hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der 19. Juli, und wir haben drei Themen für alle, die ein Unternehmen führen oder eine Firmen-Website betreiben. Datenschutz und IT-Sicherheit greifen dabei immer enger ineinander.

Wir beginnen mit der IT-Sicherheit, und zwar mit Schwachstellen in genau den Systemen, die eigentlich schützen sollen. Betroffen sind eine weit verbreitete Firewall-Software, ein System zur Verwaltung von Firmen-WLAN und eine Plattform, auf der Firmen ihre Anwendungen selbst hosten. Alle drei erreichen die höchste oder fast höchste Gefahrenstufe, also neun Komma neun bis hin zur vollen zehn von zehn möglichen Punkten. Besonders heikel ist die WLAN-Verwaltung: Dort lässt sich die Lücke sogar ganz ohne Anmeldung ausnutzen. Die Lehre daraus: Gerade die Schutzsysteme an der Außengrenze des Netzwerks brauchen ihre Updates zuerst, denn wer die Firewall übernimmt, steht bereits mitten im Unternehmen.

Unser zweites Thema stammt aus dem aktuellen Jahresbericht der Berliner Datenschutzbeauftragten und betrifft jedes Unternehmenspostfach. Dort war ein Geschäftsführer-Postfach über mindestens einen Monat nur mit einem Passwort geschützt, ganz ohne zweiten Faktor. Angreifer kaperten das Konto und verschickten anschließend Phishing-Nachrichten direkt in bereits bestehenden E-Mail-Verläufen, also aus einer scheinbar vertrauenswürdigen Quelle heraus. Die klare Botschaft der Behörde lautet: Ein Passwort allein genügt heute nicht mehr. Wer die Postfächer von Geschäftsführung oder Buchhaltung verantwortet, sollte die Zwei-Faktor-Anmeldung nicht als Kür behandeln, sondern als Grundschutz, gerade weil ein gekapertes Konto den Betrug besonders glaubwürdig macht.

Unser drittes Thema ordnet die Datenschutz-Aufsicht insgesamt ein. In diesem Frühjahr sind die neuen Tätigkeitsberichte für das Jahr zweitausendfünfundzwanzig erschienen. Der Bundesbeauftragte legte Anfang Mai seinen vierunddreißigsten Bericht vor, Schleswig-Holstein bereits Mitte April den vierundvierzigsten. Insgesamt berichten zwölf Länder und der Bund, allerdings ohne einheitlichen Turnus, mal jährlich, mal in größeren Abständen. Ein wiederkehrender Schwerpunkt quer durch die Berichte ist der Umgang mit Künstlicher Intelligenz. Für Unternehmen lohnt der Blick hinein, denn diese Berichte zeigen früh, worauf die Aufsichtsbehörden im kommenden Jahr besonders achten werden.

Das war Ihr Datenschutz-Briefing für heute. Und zum Schluss noch der kurze Blick auf die NIS2-Uhr: Bis zur Registrierungsfrist am 31. Juli bleiben jetzt noch zwölf Tage. Wer die eigene Betroffenheit noch nicht geprüft hat, sollte das jetzt einplanen, denn die Frist verschiebt sich nicht. Wir wünschen Ihnen einen guten Start in den Tag und hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der 18. Juli, und wir haben drei Themen für alle, die einen Online-Shop oder eine Firmen-Website betreiben.

Wir beginnen mit einer neuen Pflicht, die seit dem 19. Juni gilt und trotzdem noch bei vielen Shops fehlt: dem Widerrufsbutton. Jeder Shop, der an Verbraucher verkauft, muss künftig ermöglichen, dass Kunden ihren Widerruf per Klick auf einen Button einleiten. Und die Aufschrift ist festgelegt: Nur ein klares Vertrag widerrufen genügt, weichere Varianten wie Rückgabe starten reichen nicht. Ausgenommen sind lediglich reine Geschäftskunden und individuell angefertigte Waren. Die Konsequenz hat es in sich: Fehlt der Button, verlängert sich die Widerrufsfrist von vierzehn Tagen auf zwölf Monate und vierzehn Tage, rückwirkend für alle betroffenen Bestellungen. Dazu drohen ein Bußgeldrahmen bis fünfzigtausend Euro und Abmahnungen durch Mitbewerber.

Unser zweites Thema ist die schiere Masse an Sicherheitslücken. An einem einzigen Patchday wurden zuletzt über zweihundert Lücken geschlossen, viele davon von künstlicher Intelligenz gefunden. Bei einem Browser-Hersteller stieg die Zahl gemeldeter Lücken innerhalb eines Monats von sechsundsiebzig auf vierhundertdreiundzwanzig. Doch diese Flut ist zum großen Teil Rauschen. Wirklich zählen die wenigen Lücken in Webservern und Hosting-Systemen. Die kritischste ist derzeit eine aktiv ausgenutzte Authentifizierungs-Umgehung in einem weit verbreiteten Hosting-System: Sie gibt einem Angreifer ohne jede Anmeldung vollen Zugriff auf den ganzen Server samt aller Kundenwebseiten. Die Lehre: Nicht jede Zahl zählt, aber die wenigen tatsächlich ausgenutzten Lücken gehören sofort geschlossen.

Unser drittes Thema betrifft alle, die amerikanische Cloud-Dienste nutzen. Ist Microsoft 365 über eine europäische Tochter eigentlich sicher vor dem Zugriff amerikanischer Behörden? Zwei deutsche Behördendokumente zeichnen das präziseste Bild, und ihr Kern lautet: Nicht der Serverstandort entscheidet, sondern die Konzernmutter. Ein echter europäischer Anbieter steht auf Grün, die Tochter eines US-Konzerns auf Gelb, ein direkter US-Anbieter auf Rot. Zwar begründet ein bloß abstraktes Zugriffsrisiko noch keine unzulässige Datenübermittlung. Die eigentliche Botschaft aber lautet: Rechtssicher gegenüber der Behörde heißt nicht automatisch sicher vor dem Zugriff selbst. Echte Datensouveränität braucht eine Verschlüsselung mit eigenem Schlüssel oder einen Anbieter ganz ohne US-Konzern in der Kette.

Das war Ihr Datenschutz-Briefing für heute. Und zum Schluss noch der kurze Blick auf die NIS2-Uhr: Bis zur Registrierungsfrist am 31. Juli bleiben jetzt noch dreizehn Tage. Wir wünschen Ihnen einen guten Start in den Tag und hören uns morgen wieder.

Guten Morgen und herzlich willkommen zu Ihrem Datenschutz-Briefing von Experto Mundi. Heute ist der 17. Juli, und wir haben wieder drei Themen für Sie, die zeigen, wie eng Datenschutz und Alltag mittlerweile verzahnt sind.

Zunächst ein kurzer Blick auf die NIS2-Uhr. Bis zum 31. Juli müssen betroffene Unternehmen sich beim BSI registrieren, und ab heute bleiben dafür nur noch vierzehn Tage. Wer die Betroffenheit noch nicht geprüft hat, sollte das jetzt priorisieren, denn die Frist verschiebt sich nicht. Ein einfacher Kalendereintrag reicht oft schon, um diesen Punkt nicht zu verpassen.

Unser zweites Thema kommt aus dem aktuellen Jahresbericht der Berliner Datenschutzbeauftragten und zeigt, wie teuer gekaufte Adressdaten werden können. Ein Unternehmen hatte über fünfundfünfzigtausend und weitere rund siebenundsiebzigtausend Adressen aus dem Melderegister bezogen und für einen Wahlkampfbrief mit gefälschten Testimonials genutzt. Zusätzlich fehlte ein Auftragsverarbeitungsvertrag mit dem beauftragten Druckdienstleister. Am Ende standen sechs Einzelbußgelder, die sich auf insgesamt fünfundsechzigtausend Euro summierten. Die Lehre daraus: Adressdaten aus öffentlichen Registern sind kein Freibrief für beliebige Werbezwecke, und jeder externe Dienstleister braucht einen sauberen Vertrag, bevor er Daten verarbeitet.

Unser drittes Thema betrifft viele Betriebe mit Firmenfahrzeugen und stammt aus dem dreiunddreißigsten Tätigkeitsbericht der Landesbeauftragten für Datenschutz in Rheinland-Pfalz. Im Fokus steht die GPS-Ortung von Dienstwagen. Ein dauerhaftes Geofencing, bei dem Beschäftigte permanent unter Kontrolldruck stehen, ist demnach unzulässig. Auch eine Einwilligung der Mitarbeitenden hilft hier meist nicht weiter, weil im Arbeitsverhältnis ein klares Machtgefälle besteht und eine wirklich freiwillige Zustimmung kaum vorstellbar ist. Der praktikable Weg für Arbeitgeber lautet daher: erst umfassend informieren, dann erst und nur zweckgebunden orten.

Das war Ihr Datenschutz-Briefing für heute. Drei Themen, ein roter Faden: Wer Daten nutzt, ob aus Registern, von Dienstleistern oder aus dem Fuhrpark, braucht dafür immer eine tragfähige Rechtsgrundlage und einen klaren Prozess dahinter. Wir wünschen Ihnen einen guten Start in den Tag und hören uns morgen wieder.

Guten Morgen. Heute ist Donnerstag, der 16. Juli 2026, und das hier ist Ihr Experto-Mundi-Datenschutz-Briefing. Drei Themen, die für Unternehmen und Website-Betreiber heute zählen.

Wir beginnen mit einer frischen Sicherheitswelle bei WordPress-Plugins. Im Immobilien-Plugin Realtyna Organic IDX wurde eine Lücke mit dem seltenen Höchstwert von 10 von 10 Punkten auf der CVSS-Skala bekannt, ein Angreifer kann dabei ohne Anmeldung Schadcode auf dem Server ausführen. Zwei weitere Meldungen zeigen, wie trügerisch vermeintliche Sicherheit sein kann. Im Plugin WP 2FA lässt sich trotz aktivierter Zwei-Faktor-Authentifizierung ein Konto übernehmen, weil die E-Mail-Adresse bei der Einrichtung nicht sauber geprüft wird. Im Plugin DoLogin Security erzeugt ein zu schwacher Zufallsgenerator passwortlose Login-Links, über die sich Angreifer als Administrator anmelden können. Für Betreiber gilt: WordPress-Plugins gehören diese Woche auf den Prüfstand, mit Priorität auf allem, was Anmeldung und Nutzerkonten verwaltet.

Zweites Thema, ein Fall aus der Aufsichtspraxis. Das Unabhängige Datenschutzzentrum Saarland beschreibt in seinem Tätigkeitsbericht, wie eine Bank versehentlich das falsche Schließfach öffnete und dessen Inhalt, samt Testament, an einen Nachlasspfleger herausgab. Der eigentliche Mieter verlangte den Namen dieser Person, die Bank verweigerte die Auskunft. Die Aufsichtsbehörde sah das anders: Wer Unterlagen tatsächlich einsehen kann, wird nach Artikel 4 Nummer 9 der Datenschutz-Grundverordnung zum Empfänger, die bloße Möglichkeit der Kenntnisnahme genügt bereits. Der Europäische Gerichtshof hatte zuvor klargestellt, dass der Auskunftsanspruch auch für Papierunterlagen gilt, nicht nur für Datenbanken. Die Bank gab die Auskunft am Ende heraus, ohne eine Rechtspflicht anzuerkennen, die Aufsicht sprach eine förmliche Warnung aus. Für Unternehmen mit vergleichbaren Zugriffssituationen, etwa im Bank- oder Notariatsbereich, heißt das: Auskunftsansprüche nach Artikel 15 gelten auch bei reinen Papierakten.

Drittes Thema, kurz die Frist-Erinnerung. Bis zum 31. Juli müssen betroffene Unternehmen sich beim BSI registrieren, heute bleiben noch 15 Tage. Wer die Registrierung bereits erledigt hat, sollte jetzt die Meldewege für Sicherheitsvorfälle festziehen: Die NIS2-Regeln verlangen eine erste Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht nach spätestens einem Monat. Ein interner Ablaufplan mit klaren Zuständigkeiten für diese drei Stufen gehört in die verbleibenden Tage vor der Frist.

Das war Ihr Experto-Mundi-Datenschutz-Briefing für heute. Keine Rechtsberatung, kein zugelassener Datenschutzbeauftragter, keine Rechtsanwaltskanzlei, allgemeine Information. Die ganzen Analysen mit allen Quellen und Einordnungen finden Sie wie immer auf expertomundi.de. Einen guten Tag.

Guten Morgen. Heute ist Mittwoch, der 15. Juli 2026, und das hier ist Ihr Experto-Mundi-Datenschutz-Briefing. Drei Themen, die für Unternehmen und Website-Betreiber heute zählen.

Wir beginnen mit der NIS2-Frist, die weiterläuft. Bis zum 31. Juli müssen betroffene Unternehmen sich beim BSI registrieren, heute bleiben noch 16 Tage. Betroffen sind nicht nur die 18 klassischen NIS2-Sektoren ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz, sondern über die Lieferketten-Sicherheitspflicht auch Zulieferer und IT-Dienstleister, die für ein NIS2-pflichtiges Unternehmen arbeiten. Zur Selbst-Einordnung helfen drei Fragen. Erstens, fällt der eigene Sektor und die eigene Größe unter die Schwellenwerte? Zweitens, arbeitet man für ein NIS2-pflichtiges Unternehmen und ist damit mittelbar betroffen? Und drittens: Wer direkt betroffen ist, prüft, ob die Registrierung über das BSI-Portal MIP bereits erfolgt ist und die Umsetzung läuft, etwa Multi-Faktor-Authentifizierung und Backup-Tests. Wer nur mittelbar über die Lieferkette betroffen ist, muss sich in der Regel nicht selbst beim BSI registrieren, bekommt aber von seinen Auftraggebern vertraglich Sicherheitsanforderungen weitergereicht.

Zweites Thema, ein Dauerbrenner aus dem Beschäftigtendatenschutz: die GPS-Ortung von Firmenfahrzeugen. Der Landesbeauftragte für Datenschutz Rheinland-Pfalz stellt in seinem Tätigkeitsbericht klar: Eine Einwilligung der Mitarbeitenden reicht nicht aus, im Arbeitsverhältnis gilt sie wegen des Machtgefälles meist nicht als freiwillig. Tragfähig ist nur das berechtigte Interesse des Arbeitgebers. Ortungsdaten dürfen nicht mit den Daten des Fahrpersonals verknüpft werden, reine Personenüberwachung wie Tempo- oder Pausenauswertung muss technisch abgeschaltet sein. Sogenanntes Geofencing, also virtuelle Zaunsysteme, stuft die Behörde als unzulässig ein, weil es permanenten Kontrolldruck erzeugt. Und Beschäftigte müssen vor dem Einsatz informiert werden, auch über die Möglichkeit einer Verhaltens- und Leistungskontrolle. Für Unternehmen mit Fuhrpark gilt: nur so viel Ortungstechnik, wie betrieblich wirklich nötig ist.

Drittes Thema, eine Praxis-Frage für diese Woche: Was sollte ein Website-Betreiber selbst prüfen? Drei Punkte ohne großen Aufwand. Erstens, per Entwicklertools im Browser beobachten, ob Tracking-Skripte bereits laden, bevor eine Consent-Entscheidung getroffen wurde, einer der häufigsten Verstöße gegen die Einwilligungspflicht. Zweitens, prüfen, ob Formulare und Login-Bereiche ausschließlich über verschlüsselte Verbindungen laufen. Drittens, die SPF- und DMARC-Einträge der eigenen Domain kontrollieren, ein Online-Check dauert wenige Minuten und zeigt, ob sich die eigene Absenderadresse für Phishing missbrauchen lässt. Keiner dieser drei Punkte braucht Spezialwissen, alle drei zusammen zeigen aber ein realistisches Bild davon, wo eine Webseite tatsächlich steht.

Das war Ihr Experto-Mundi-Datenschutz-Briefing für heute. Keine Rechtsberatung, kein zugelassener Datenschutzbeauftragter, keine Rechtsanwaltskanzlei, allgemeine Information. Die ganzen Analysen mit allen Quellen und Einordnungen finden Sie wie immer auf expertomundi.de. Einen guten Tag.

Guten Morgen. Heute ist Dienstag, der 14. Juli 2026, und das hier ist Ihr Experto-Mundi-Datenschutz-Briefing. Drei Themen, die für Unternehmen und Website-Betreiber heute zählen.

Wir beginnen mit einer eigenen Auswertung. Wir haben 44 Webseiten forensisch geprüft, keine einzige war sauber. 40 von 44, also 91 Prozent, landen im Severity-Raster bei hoch oder kritisch. Das häufigste kritische Problem: Auf 21 der 44 Seiten laden Tracking-Skripte, bevor der Besucher überhaupt eine Einwilligung erteilt hat. Dazu kommen breite Grundmängel, die sich durch fast den ganzen Pool ziehen: Barrierefreiheit auf 26 Seiten, unsichere Netzwerk-Anfragen auf 24 Seiten, Lücken bei der Mailsicherheit auf 23 Seiten. Für Unternehmen heißt das: eine vorhandene Datenschutzerklärung ist nicht das Problem, sondern die Ausnahme davon. Die Lücke zwischen dem, was auf dem Papier steht, und dem, was eine Webseite im Alltag tatsächlich tut, ist bei den meisten geprüften Seiten die Regel, nicht die Ausnahme.

Zweites Thema, die Frist, die weiterläuft. Bis zum 31. Juli müssen betroffene Unternehmen sich beim BSI registrieren, heute bleiben noch 17 Tage. Betroffen sind Firmen in 18 NIS2-Sektoren ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz, geschätzt 29.000 bis 30.000 Unternehmen in Deutschland. Wer nicht direkt in einem dieser Sektoren tätig ist, kann trotzdem betroffen sein, über die Lieferkette, als Zulieferer oder IT-Dienstleister für ein NIS2-pflichtiges Unternehmen. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro. Wer die eigene Betroffenheit noch nicht geprüft hat, sollte das in den verbleibenden Tagen nachholen.

Drittes Thema, frische Schwachstellen bei WordPress-Plugins. Heute wurden mehrere neue Sicherheitslücken bekannt, unter anderem in den Plugins ARMember, WP Hotel Booking, SureForms und Mail Mint. Betroffen sind vor allem Mitglieder-, Buchungs- und Formular-Funktionen. Die gemeldeten Wirkungsklassen reichen von Directory Traversal, also unautorisiertem Zugriff auf Dateien auf dem Server, über eine Authentifizierungs-Umgehung, bei der sich Angreifer ohne gültige Zugangsdaten anmelden können, bis zu Cross-Site-Scripting, bei dem fremder Code im Browser des Besuchers ausgeführt wird. Für WordPress-Betreiber gilt: Plugins zeitnah aktualisieren, mit Priorität auf allem, was Formulare, Buchungen oder Mitgliederbereiche verwaltet, denn genau dort liegen die höchsten Zugriffsrechte.

Das war Ihr Experto-Mundi-Datenschutz-Briefing für heute. Keine Rechtsberatung, kein zugelassener Datenschutzbeauftragter, keine Rechtsanwaltskanzlei, allgemeine Information. Die ganzen Analysen mit allen Quellen und Einordnungen finden Sie wie immer auf expertomundi.de. Einen guten Tag.

Guten Morgen. Heute ist Montag, der 13. Juli 2026, und das hier ist Ihr Experto-Mundi-Datenschutz-Briefing. Vier Themen, die für Unternehmen und Website-Betreiber diese Woche zählen.

Wir beginnen in den USA. Der Supreme Court hat am 29. Juni in der Sache Trump gegen Slaughter, Aktenzeichen 25-332, mit sechs zu drei Stimmen ein 91 Jahre altes Präzedenzurteil gekippt und entschieden, dass FTC-Kommissare künftig ohne wichtigen Grund entlassen werden können. Die FTC trägt das EU-US Data Privacy Framework mit, den Angemessenheitsbeschluss, auf den sich laut noyb 259 Textstellen beziehen. Für Unternehmen mit US-Cloud-Diensten heißt das: die eigene Transfer-Grundlage jetzt prüfen, denn Max Schrems kündigt bereits eine Klage vor dem Europäischen Gerichtshof an.

Dann die Frist, die viele noch nicht auf dem Schirm haben. Bis zum 31. Juli müssen sich betroffene Unternehmen beim BSI registrieren, sonst drohen Bußgelder bis zu 10 Millionen Euro. Betroffen sind Firmen in 18 NIS2-Sektoren ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz, geschätzt 29.000 bis 30.000 Unternehmen in Deutschland, und über die Lieferkette geraten auch viele Zulieferer mit hinein. Wer noch nicht geprüft hat, ob er betroffen ist, sollte das in den kommenden Tagen nachholen.

Ein drittes Thema aus dem Gerichtssaal. Das Landgericht Berlin I hat Deutsche Wohnen am 9. Juni zu 900.000 Euro Bußgeld verurteilt, reduziert von ursprünglich 14,5 Millionen Euro, weil Mieterdaten wie Gehaltsnachweise und Ausweiskopien ohne funktionierendes Löschkonzept gespeichert blieben. Das Urteil ist noch nicht rechtskräftig, zeigt aber, dass Aufsichtsbehörden und Gerichte nicht die Existenz einer Datenschutzerklärung prüfen, sondern ob Löschfristen im Alltag tatsächlich greifen.

Und zum Schluss die IT-Sicherheit. In den Hosting-Panels cPanel und WHM wird derzeit eine Authentifizierungslücke aktiv ausgenutzt, die unangemeldeten Admin-Zugriff auf den gesamten Server samt aller Kundenwebseiten erlaubt. Die Lücke steht im CISA-Katalog aktiv ausgenutzter Schwachstellen. Wer ein Hosting-Panel betreibt, sollte umgehend patchen.

Das war Ihr Experto-Mundi-Datenschutz-Briefing für heute. Dieses Briefing ersetzt keine Rechtsberatung, es bietet allgemeine Information zu aktuellen Entwicklungen im Datenschutz- und IT-Sicherheitsrecht. Die ganzen Analysen mit allen Quellen und Einordnungen finden Sie wie immer auf expertomundi.de. Einen guten Start in die Woche.