|
Tobias Lange
Unternehmensberater
Externer Datenschutzbeauftragter
Fachkraft für Medienpädagogik
|
|
|
|
|
|
|
Hamburg, den 01. Mai 2026
|
|
|
DATENSCHUTZ NEWSLETTER
|
|
|
|
Liebe Kund*innen und Abonnent*innen des Newsletters,
|
ich freue mich, Ihnen eine neue Ausgabe des Datenschutz-Newsletters übersenden zu dürfen und habe heute folgende Themen:
|
- Aus den Jahresberichten der Aufsichtsbehörden
- KI kritisch betrachten
- Aktuelles aus Datenschutz und IT-Sicherheit
|
1. Aus den Jahresberichten der Aufsichtsbehörden
Es muss ja nicht immer Norddeutschland sein und ich habe mir diesmal den Bericht aus Baden-Württemberg (BW) genommen. Ich muss zugeben, dass es dort Dinge gibt, die ich noch nicht erlebt habe und mir eigentlich auch nicht hätte ausdenken können.
|
Baden-Württemberg verzeichnet für 2025 fast 7.700 Datenschutzbeschwerden, ein Plus von 90 Prozent, über 4.000 gemeldete Datenpannen und 314 Bußgeldverfahren. Es wurden insgesamt rund 309.000 Euro an Bußgeldern verhängt. Diese Zahlen, insbesondere die Zunahme der Datenschutzbeschwerden, stellen sich deutschlandweit relativ gleich dar. Datenschutz steht immer mehr im Fokus und wird auch zunehmend konsequent bei den Aufsichtsbehörden angezeigt. Das spüre ich auch in meiner Arbeit.
|
Ein Hautarzt in BW hat zur Effizienzsteigerung seiner Praxis Videoüberwachung eingesetzt. Über Monitore konnte man quasi in jedes Zimmer gucken, auch in die Behandlungszimmer. Die Datenschutzaufsicht hat diese Videoüberwachung kompromisslos, in einer Außenprüfung stillgelegt und die Kameras sichergestellt. Und ich muss zugeben, dass Videoüberwachung in Behandlungszimmern auch etwas ist, was ich bisher nicht für möglich gehalten hatte.
|
Thema im Jahresbericht sind auch Ortungsgeräte. Diese Fälle habe ich auch immer wieder auf dem Tisch: Überwachung von Ehe- und Lebenspartnern, Ex-Partnern, Mitarbeiter*innen oder anderen Personen mit so genannten "Airtags". Das sind kleine Geräte, die man irgendwo anbringt und die dann den Standort übertragen. Meistens überwachen Männer Frauen, im Fall aus dem Jahresbericht BW war es aber eine Frau, die bei ihrem Ex ein Ortungsgerät am Auto anbrachte. Sie musste dafür EUR 1.500 Bußgeld zahlen. Häufig kommt es auch vor, dass Ortungsgeräte in Puppen oder Kinderspielzeug eingebaut/eingenäht werden, um Umgangstermine von Kindern mit dem anderen Elternteil zu überwachen.
|
Ein weiterer interessanter Fall im Jahresbericht kommt aus der Polizei und betrifft einen Polizisten. Inzwischen gibt es für solche Fälle eine Fachwort, dass "Mitarbeiterexzess" heißt, und, wenn Sie mich fragen, die Problematik sprachlich verharmlost. Der Polizeibeamte hat Frauen bei Verkehrskontrollen mit einem Attraktivitätswert von 1 bis 10 beurteilt. Waren die Frauen attraktiv genug, hatte er ihnen also einen hohen Attraktivitätswert gegeben, rief er später deren Fotos im Melderegister ab. Und als wäre das allein noch nicht schlimm genug, hat er dann damit bei Kollegen angegeben. Dadurch wurde die Sache auch bekannt und es gab EUR 3.500 Bußgeld.
|
Die vorliegenden Fälle zeigen, dass Bußgelder unter bestimmten Umständen auch an Privatpersonen verhängt werden können. Auch dann, wenn Sie die Datenschutzverletzung im Rahmen eines Arbeits- oder Dienstverhältnisses ausüben. In der Regel gilt aber die Datenschutzhaftung des Arbeitgebers bzw. das sogenannte Haushaltsprivileg, so dass natürliche Personen nicht unter die Bußgeldmöglichkeiten der DS-GVO fallen.
|
2. KI kritisch betrachten
KI wird nirgends so stark in Unternehmen eingesetzt wie in Deutschland. Und das in sehr verschiedener Form. Aus Unternehmensdaten kann KI tiefgreifende Analysen tätigen, Muster erkennen und so die Organisation und die Prozesse deutlich verbessern. Und das alles, ohne dass man sich dafür teure Berater einkaufen muss. Auch Mitarbeiter*innen können durch den richtigen Einsatz von KI die Quantität und Qualität ihres Outputs steigern. KI findet ferner Schwachstellen und Sicherheitslücken in Software, die teils Jahrzehnte unentdeckt geblieben sind. Anthropic, ein KI-Anbieter, warnt derzeit vor seiner eigenen KI und hält sie strikt unter Verschluss, weil man der Ansicht ist, dass diese KI in der Lage wäre unentdeckte Sicherheitslücken in so großer Zahl zu finden, dass diese von Hackern für "Zero-Day-Attacken" genutzt werden könnten und dass das ein sehr hohes Risiko für die Cybersicherheit darstellen täte. Diese Sorge ist nicht unberechtigt.
|
Ein zunehmendes Problem in der Arbeit mit KI wird die Intransparenz. KI löst Aufgaben für uns, aber wir wissen nicht wie die KI das macht. Zwar liefert KI auch die Vorgehensweise zur Lösung mit, insbesondere wenn wir gezielt danach fragen; tatsächlich handelt es sich dabei aber nicht um den "Denkweg", den die KI genommen hat. Das bedeutet: KI löst eine Aufgabe, die wir mit einem Prompt an sie stellen, und danach kommt die Lösungsmethodik, was KI als eine neue Aufgabe begreift. Diese neue Aufgabe wird gelöst, indem die wahrscheinlichste Variante angegeben wird eine solche Aufgabe, wie vorher gestellt, zu lösen. Fragt man erneut,. erhält man eine andere Variante einer möglichen Arbeitsmethodik. Jedoch gibt es keinen Zusammenhang zum Lösungsweg, den die KI selbst für den eigentlichen Prompt genommen hat. Die KI kennt diesen Weg nicht, kann ihn nicht reproduzieren und auch nicht mitteilen. Wir haben also ein Ergebnis, dessen Zustandekommen nicht erklärbar ist. Wenn Multiagenten eingesetzt werden, haben wir zusätzlich das Phänomen, dass KI mit KI spricht, und das in einer recht langen Kette von Prompts. Am Ende steht ein Ergebnis für eine komplexe Aufgabe, die ein Mensch nicht leisten kann. Es ist ein Ergebnis, das richtig oder falsch sein kann, in jedem Fall aber nicht transparent ist. Man kann den Weg des Zustandekommens nicht nachprüfen, denn niemand kennt den Weg. Maschinen arbeiten zusammen, lösen komplexe Aufgaben, liefern irgendein Ergebnis und haften natürlich nicht dafür. Haften tut der Mensch, der das Ergebnis nutzt. Und er hat dann entweder Glück oder Pech.
|
In diesem Zusammenhang hat Klaus Meffert, als Dr. DS-GVO bekannt, in seinem Newsletter jüngst auf eine Kuriosität in den AGBs von Microsoft zu Co-Pilot hingewiesen: In den Nutzungsbedingungen wird jede Haftung jeder Art für Co-Pilot ausgeschlossen (das ist jetzt nicht überraschend) und das Tool als nur für "Unterhaltungszwecke" bezeichnet. Unterhaltungszweck trifft es recht gut. Eine KI-Anwendung ist ein Spiel mit Wahrscheinlichkeiten. Wahrscheinlich bekommen wir ein gutes Ergebnis, vielleicht aber auch nicht. Maschinen liefern uns Ergebnisses über intransparente Wahrscheinlichkeitswege, ohne Einbezug von Vernunft und Empathie. Diese Ergebnisse einfach zu übernehmen, frei nach dem Motto "die KI wird schon recht haben", ist fahrlässig. Wir sollten mit KI-Ergebnissen, wenn es komplexere Aufgaben sind, deren Lösungen wir nicht ohne weiteres nachvollziehen oder verifizieren können, deutlich kritischer umgehen. Denn der Mensch hat am Ende die Verantwortung.
|
3. Aktuelles aus Datenschutz und IT-Sicherheit
Ich fange mal damit an nochmal den Warnhinweis für Fakeshops im Internet zu geben. Derzeit sind es monatlich um die 1.800 solcher Shops, die echten Shops täuschend ähnlich nachgemacht sind, so dass man gar nicht erkennt auf einem Fakeshop gelandet zu sein. Gucken Sie daher immer genau hin, wenn Sie einen Onlinekauf tätigen. Und zahlen Sie über abgesicherte Zahlungsmethoden wie zum Bespiel Paypal. Auch der Hinweis "Trusted Shop" steht für Seriosität. Allerdings kann man auch diesen Hinweis fälschen.
|
Wenn Sie mit dem Handy bezahlen, nutzen Sie immer das offizielle Wallet von Google oder Apple bzw. die offizielle App Ihrer Bank. Mehrere Medien haben vor einer gefälschten Version der App "Handy Pay" gewarnt. Diese enthält Malware und greift den PIN der Bankkarte ab. Wir sehen immer wieder gefälschte App-Versionen diverser Anbieter oder Apps, die über die offiziellen Appstores heruntergeladen werden können, den dortigen Test bestehen, und trotzdem bösartig sind. Laden Sie immer nur vertrauenswürdige Apps auf Ihr Smartphone.
|
Bei den Hackerangriffen kennen wir China vor allem als Täter, nicht unbedingt als Opfer. Jetz ist es mal umgekehrt: "Digital Pioneer" berichtet von einem Hackerangriff auf Chinas Supercomputerzentrum in Tianjin, bei dem es gelungen sein soll, 10 Petabyte an Daten zu stehlen. Das sind 10.000 Terabyte. Darunter sollen sich auch Verteidigungsunterlagen und Raketenpläne befinden. Der Hacker gibt selbst an über eine kompromittierte VPN-Domain in das System gelangt zu sein. Die Daten wurden dann in kleinen Paketen an verschiedene Zieladressen abgezogen, um nicht aufzufallen, was ganz offensichtlich gelang.
|
Ebenso bei den Hacks gab es eine Angriffswelle auf Online-Shops, die auf Adobe-Magento basieren. Hier wurde eine Sicherheitslücke ausgenutzt, mutmaßlich die unter dem Namen "Polyshell" bekannte Sicherheitslücke, welche es ermöglichte Schadcode einzuschleusen. Hackern gelang es dadurch Kreditkartendaten abzugreifen.
|
Ich habe lange nichts zum Barrierefreiheitsstärkungsgesetz geschrieben: Es ist eben da und nun ist der Hype darüber abgeebbt. Ich lese in einer Fachzeitschrift, dass Anwaltskanzleien daraus längst ein Geschäftsmodell gemacht haben und Online-Shops mit Beträgen zwischen EUR 600,00 und EUR 2.700,00 abmahnen. Ich kann das aus meiner Erfahrung nicht bestätigen, werde das aber mal versuchen zu recherchieren.
|
Laut BSI könnten Quantencomputer klassische Public-Key-Kryptografie demnächst brechen. Besondere Verfahren zu Schlüsselen wie zum Beispiel RSA oder Diffie-Hellman stehen langfristig vor dem Aus. Spätestens bis 2031 sollten laut BSI zentrale Verschlüsselungstechniken auf Kryptografie umgestellt sein, um auch langfristig sicher zu bleiben. Damit stünden dann auch unsere klassischen Passwörter bzw. deren Sicherheit vor dem Aus.
|
WhatsApp stand auch mal wieder im Fokus von Sicherheitsberichten. Man sollte bei der Nutzung von WhatsApp drei Dinge beachten, die die Sicherheit erhöhen: Das Profilbild nicht öffentlich sichtbar machen, sondern nur auf die eigenen Kontakte beschränken, ferner ebenso mit dem Info-Text im Profil verfahren und letztlich den Onlinestatus ("Zuletzt Online") abstellen, dass niemand dieses sehen kann. So kann man sich deutlich besser vor Missbrauch schützen. Empfehlenswert ist es auch "IP-Adresse bei Anruf schützen" und "Verschlüsselte Backups" zu aktivieren.
|
|
Auch die EU-Kommission ist mal wieder Opfer einer massiven Cyberattacke geworden. 350 Gigabyte sensible Daten wurden gestohlen. Gegen die 10.000 Terrabyte in China eigentlich kaum erwähnenswert. Es tobt wie immer der ganz normal Wahnsinn in der digitalen Welt. Vor diesem Hintergrund ist es fast nicht erwähnenswert, dass mehrere Bundespolitiker:innen auf ein sehr simples Signal-Phishing reingefallen sind und ihre Signal-PIN preisgaben. Darunter auch die für Medienkompetenz zuständige Bundesbildungsministerin Karin Prien. Diese Phishing-Welle läuft schon Monate und ich hatte die Masche im letzten Newsletter erwähnt. Aber trifft es die Bundesregierung ist es dann natürlich ein gezielter Angriff aus Russland. Tatsächlich zielt hier niemand auf jemand besonderen, sondern man überzieht alles in Signal mit diesem Phishing.
|
|
Ich bedanke mich für Ihre Aufmerksamkeit und hoffe, dass die Themen interessant waren. Im nächsten Newsletter werde ich mich mit Scam befassen und es finden sich darüber hinaus sicher noch weitere spannende Themen.
|
Tobias Lange
Unternehmensberater
Externer Datenschutzbeauftragter
|
|
|
|
|
Tobias Lange - Unternehmensberater
|
Externer Datenschutzbeauftragter (DSB)
Informationssicherheitsbeauftragter (ISB)
Fachkraft für Medienpädagogik
Zustellungsfähige Anschrift:
Berner Heerweg 246, 22159 Hamburg
Steuernummer: 50/139/02404
Finanzamt Hamburg Oberalster
Email: info@tl-datenschutz,de
Web:www.tl-datenschutz.de
|
|
|
|
|
