|
Tobias Lange
Unternehmensberater
Externer Datenschutzbeauftragter
Fachkraft für Medienpädagogik
|
|
|
|
|
|
|
Hamburg, den 02. Juni 2026
|
|
|
DATENSCHUTZ NEWSLETTER
|
|
|
|
Liebe Kund*innen und Abonnent*innen des Newsletters,
|
ich freue mich, Ihnen eine neue Ausgabe des Datenschutz-Newsletters übersenden zu dürfen und habe heute folgende Themen:
|
- Scam, Erpressung und KI
- TTPW in der Praxis
- Aktuelles aus Datenschutz und IT-Sicherheit
|
1. Scam, Erpressung und KI
Ich fange mal mit dem Papst an: Leo XIV hat seine erste Enzyklika herausgebracht und sie handelt von KI. Er sagt darin unter anderem, dass wir "KI nicht als moralisch neutral" betrachten dürfen. Das ist eine wundervolle Formulierung, der ich mich nur anschließen kann. Und der Papst thematisiert ebenso die Tatsache, dass KI von wenigen Superreichen bestimmt wird, die zum Teil eigene, fragwürdige, ideologische Interessen damit verfolgen. KI ist aber nicht nur nicht moralisch neutral, sondern sie ist auch völlig empathielos und emotionslos. Diese Tatsache zeigt sich im Scam sehr gut.
|
Bei Scam geht es um Trickbetrug im Internet. Es wird versucht soziale Beziehung zu Menschen aufzubauen (Social Engeneering), oftmals eine Liebesbeziehung, und ihnen dann Geld abzunehmen. Zum Beispiel für Flugtickets, um sich zu treffen, aber auch für Bitcoin-Trading, welches am Ende Fake und das Geld weg ist. Die Methoden sind vielfältig. Akquiriert wird überall, vor allem auf Dating-Apps und auf Socialmedia. Zu 90% sind es junge Frauen, die auf Männer abzielen. Nicht selten kommt es dabei zum Austausch von intimen Bildern und einer anschließenden Erpressung hiermit. Dieses Geschäft, für das auch persönliche Daten genutzt werden, ist inzwischen seit Jahren professionalisiert. Hierüber hatte ich schon einmal in einem Newsletter geschrieben. Es gibt Callcenter verschiedener Größen, mit teilweise hunderten Angestellten in diversen Ländern. Dabei werden Milliarden umgesetzt. Die meist jungen Frauen verdienen in der Regel erfolgsorientiert und für ihre Länder sehr gutes Einkommen.
|
Jetzt kommt KI und man könnte denken, dass die Kriminellen, die diese speziellen Callcenter betreiben, nun auf KI setzen und nicht mehr auf angestellte junge Frauen. Letztlich geht es ums Geld. Man könnte in großen Callcentern jeden Monat Millionen sparen, wenn man KI statt Menschen einsetzt. Es passiert aber nicht. Und zwar deswegen nicht, weil KI empathielos ist. KI kann Bilder erzeugen und Personen vortäuschen, die es nicht gibt. Das wird genutzt. Aber KI kann nicht wie echte Menschen kommunizieren, wenn es um Flirten und sozialen Beziehungsaufbau geht. Es funktioniert mit KI nicht, weil KI keine Emotionen hat und empathielos ist. KI kommuniziert kalt und es fehlt ihr das menschliche in der Sprache. Deswegen läuft Scam weiter mit echten Menschen und KI ersetzt diese nicht. Dieser Sachverhalt zeigt uns deutlich eine der ganz großen Schwächen von KI.
|
Scam und Erpressung nehmen rasant zu, sowohl im Privatbereich als auch im geschäftlichen Bereich. "Google Threat" hat einen aktuellen Bericht herausgegeben, wonach Deutschland mit einem Anstieg von 92% bei Datenlecks und Cyberangriffen innerhalb des letzten Jahres wieder das Hauptziel für Cyper-Erpressungen in Europa geworden ist. Dieses bezieht sich auf den Geschäftsbereich. Ziel ist vor allem der Mittelstand und die Methode ist vorrangig das Abziehen von Daten über Sicherheitslücken, um damit dann Erpressungen zu tätigen. Auch die sogenannten Ransomware-Angriffe sind nicht weniger oder harmloser geworden. Ob NIS2 hier hilft bleibt abzuwarten. Jedenfalls sollte mehr in Cyber-Sicherheit investiert und dem Thema vor allem mehr Aufmerksamkeit gegeben werden. Vertrauen Sie niemanden vorschnell, den Sie im Internet kennenlernen, teilen sie keine intimen Fotos und achten sie stets auf aktuelle technische Sicherheitsvorkehrungen.
|
2. TTPW in der Praxis
Wenn ich irgendwo TTPW sage, dann sagen alle: "Hä, was?" - TTPW ist die Verordnung der EU 2024/900 über die Transparenz und das Targeting politischer Werbung. Sie ist seit Oktober 2025 in Kraft. Unsere Regierung plant dazu noch ein Umsetzungsgesetz, das PWTG (Politische-Werbung-Transparenz-Gesetz), welches Durchsetzung und Bußgeldverfahren regelt. Es wurde bereits im Dezember 2025 vom Kabinett beschlossen und im Februar 2026 erstmals im Bundestag gelesen. Mit der zweiten und dritten Lesung sowie Abstimmung scheint man es aber nicht eilig zu haben.
|
Auch für politische Werbung werden personenbezogene Daten verarbeitet, zum Beispiel für Direktmarketing mit Briefen. Hierfür gibt es viele rechtliche Vorschriften und hohe Hürden. Politische Meinungen sind nach Art 9 Abs. 1 DS-GVO besonders schutzwürdige Daten. Eine Speicherung und Verarbeitung darf nur mit einer Einwilligung der betroffenen Personen erfolgen. Für den Abruf von Namens- und Kontaktdaten aus den Melderegistern zu Zwecken von Wahlwerbung bestehen strenge Vorschriften, insbesondere für die Zweckbindung, den Zeitraum der Verwendung und die Löschung. Das TTPW geht hier noch weiter und befasst sich auch mit kommerzieller politischer Werbung im Internet. Für digitale politische Werbung, insbesondere mit Methoden des Targeting (zielgerichtete Werbung), hat die Verordnung sehr strenge Vorschriften. Targeting, dass sich an Minderjährige richtet, ist komplett verboten. Targeting an Erwachsene ist nur mit ausdrücklicher Einwilligung erlaubt. Unabhängig einer Einwilligung dürfen beim Targeting politische Meinungen, Religion oder ethnische Herkunft nicht verarbeitet werden. Ab drei Monaten vor einer Wahl ist Werbung aus Nicht-EU-Ländern verboten. Wenn die Werbung mit informativen Online-Angeboten verbunden ist und jemand die Einwilligung verweigert, muss auch eine alternative, gleichwertige und werbefreie Informationsmöglichkeit bestehen. Ferner muss der Einsatz von Targeting dokumentiert und einschließlich der verwendeten Kriterien öffentlich gemacht werden. Die Herausgeber politischer Werbung mit Targeting müssen eine jährliche Risikobewertung durchführen und derartige Online-Werbung an ein EU-Archiv melden. Und kommerzielle politische Werbung, egal ob per Targeting ausgespielt oder anders verbreitet, muss als solche gekennzeichnet werden sowie den Auftraggeber, die Finanzierungsquelle und den Kontext nennen.
|
Klingt gut, ist auch gut und richtig! Problem ist aber die Umsetzung, wie so oft bei Regulierungen in der digitalen Welt. Die Herausgeber politischer Werbung müssen sich daran halten. Halten sie sich nicht daran, drohen zwar hohe Bußgelder, wie wir es schon aus der DS-GVO, dem DSA, DMA, dem EU-AI Act und zahlreichen anderen Regulierungen kennen. Solche Bußgelder aber auch wirklich zu verhängen und damit jemanden zur Einhaltung einer Regulierung zu zwingen, ist in der Praxis schwierig. Wir sehen im Internet zum Beispiel Wahlwerbung und politische Werbung durch Agenturen, die hierfür intransparente Socialmedia-Accounts anlegen, diese Werbung mit Bots und Trollen auch automatisieren. Es funktioniert, weil andere Socialmedia-Nutzer nicht wissen, dass hinter den Accounts gar keine realen Personen stehen und es bezahlte politische Werbung durch Agenturen ist. Das wäre nun verboten bzw. müsste offengelegt werden. Ich kann aber bisher nicht erkennen, dass sich irgendetwas in dieser Richtung verändert hat. Mit dem Umsetzungsgesetz zum TTPW soll u.a. auch eine Möglichkeit von Durchsuchungen und Beschlagnahme von Beweismitteln geschaffen werden. Das wäre vielleicht ein Schritt diesem bisher sehr zahnlosen Tiger TTPW etwas Biss zu verleihen.
|
3. Aktuelles aus Datenschutz und IT-Sicherheit
Man mag es kaum glauben, aber die Geschichte mit dem SMS-Blaster läuft mal wieder, diesmal in Zürich. Die Netzbetreiber haben inzwischen immer mehr und bessere Möglichkeiten Spam- und Phishing-SMS abzufangen und immer weniger solcher SMS gelangen auf die Endgeräte. Aber es gibt noch einen anderen Weg: Jemand baut sich in seinen Kofferraum ein elektronisches Gerät, dass sich als Mobilfunkantenne ausgibt und ein so starkes 2G Signal sendet, dass sich alle Telefone in der Umgebung dort einloggen. 2G ist ein alter Standard, weitgehend ohne Sicherheit und man kann dann Phishing-SMS an alle Geräte senden. Der Nachteil, aus Sicht des Täters gesehen, ist allerdings der, dass auch alle Telefonate und andere Dienste der gekaperten Geräte abbrechen, die betroffenen Personen eine Störung melden, man die Quelle für die Störung sehr gut orten kann und der Täter dann zügig verhaftet wird.
|
Bei der Hotelkette Best Western Hotels kam es zu einer Datenpanne. Die Hotelkette hat darüber informiert, dass Hacker vom 14. Oktober 2025 bis zum 22. April 2026 Zugriff auf einen Server hatten und Daten abgezogen wurden. Es handelt sich um Namens-, Adress-, Kontakt- und Buchungsdaten. Zahlungsdaten sollen nicht betroffen sein. Die Hotelkette bittet die betroffenen Kunden achtsam in Bezug auf Phishing-Versuche zu sein. Die Sicherheitslücke ist geschlossen, die Ursachen werden untersucht, wie es dann immer heißt.
|
Auch der Verein "Arbeitsgemeinschaft Wirtschaftlichkeitsprüfung Niedersachsen" wurde gehackt. Dieser überprüft von Ärzten ausgestellte Rezepte auf ihre Wirtschaftlichkeit und verarbeitet besonders schutzwürdige Daten. Mutmaßlich wurden Daten abgezogen. Um die 80.000 Personen könnten betroffen sein. Auch das UKE in Hamburg wurde laut einem NDR-Artikel gehakt und tausende Patientenakten wurden entwendet.
|
Ich könnte jetzt ewig mit Hacks weitermachen, aber ich nehme stattdessen mal diese Meldung aus der Politik auf: Unser Innenminister Alexander Dobrindt plant ein neues Gesetz und will es deutschen Cyberabwehr- und Sicherheitsdiensten erlauben, Server, von denen aus Hacker Unternehmen in Deutschland angreifen, auszuschalten. Das heißt, dass wir ein ausländisches Land zu Abwehrzecken digital angreifen würden, so genannte Re-Hacks. Natürlich müssen wir uns gegen Angriffe verteidigen, aber ein digitaler Gegenangriff auf fremden Territorium ist rechtlich sehr problematisch zu sehen und könnte auch leicht jemanden falschen treffen. Mich persönlich verwundert dieser Ansatz.
|
Aus der Welt der KI kommt eine etwas erschreckende, aber nicht unerwartete Nachricht: KI-Agenten können sich jetzt durch Hacking selbst reproduzieren. Eine KI hackt also einen Computer, kopiert sich auf diesen und macht von dort weiter. KI als intelligenter Virus oder Trojaner, der sich selbständig an die jeweiligen digitalen Umgebungen optimal anpasst und stetig verbessert. Klingt erschreckend und ist es auch.
|
Und ebenso aus der Welt der KI, so passiert im Unternehmen PocketOS, das Softwarelösungen für Autovermietungen anbietet: Ein KI-Agent führt eine Routine-Aufgabe durch, stößt dabei auf ein Problem mit Zugangsdaten und löscht binnen 9 Sekunden die gesamte Produktionsdatenbank mit sämtlichen Backups. Dass das hier so passieren konnte, hatte gleich mehrere Ursachen, die im Training der KI als auch in der Sicherheit des Cloud-Anbieters lagen. Das autonome KI-Systeme Firmenstrukturen schwer beschädigen kommt häufiger vor und sollte nicht unterschätzt werden.
|
Aus gegebenen Anlass und ohne zu sagen, wo das passiert ist: Auch WhatsApp-Konten sind personenbezogene Daten und niemand sollte in einer Gruppe sein, deren Gruppenname "mitGlied" heißt und dort sexualisierte Inhalte von dritten Personen ohne deren Einwilligung teilen. Kommt sowas raus, hat es Folgen für die Täter, und irgendjemand leakt sowas immer. Und wenn wir schon bei einem solchen Thema sind: Laut einem Artikel auf t-online, NDR und taz hat im Hamburger Polizeikommissariat 14 ein Polizist mit einer Minikamera den Duschbereich von Polizistinnen gefilmt. Ich lasse das mal so stehen.
|
Auch Spiele können mit Malware infiziert sein. Das BSI berichtet in einem Newsletter von einem Vorfall auf der Plattform Steam, wo zahlreiche mit Malware infizierte Spiele zum Verkauf eingeschleust worden sind. G-Data Sicherheitsforscher warnen vor einer Minecraft-Erweiterung, in der Malware eingeschleust wurde. Kaufen Sie auch Spiele und Erweiterungen hierzu immer nur von den offiziellen Anbietern.
|
|
Als letzten Punkt mal diese Problematik in Bezug auf kritische Infrastruktur: Wir sind abhängig von elektronischen Zahlungen mit Karte. Die Plattform Campact weißt in einer Petition sehr richtig drauf hin, dass diese Zahlungssysteme von US-Tech-Milliardären betrieben werden und man sie für Europa jederzeit abstellen könnte, wenn Donald Trump gerade wütend ist. Wir sind hier nicht autark und müssten es dringend werden.
|
|
Ich bedanke mich für Ihre Aufmerksamkeit und hoffe, dass die Themen interessant waren. Im nächsten Newsletter sprechen wir mal wieder über NIS2 und die Rolle eines ISB (Informationssicherheitsbeauftragten) und es finden sich darüber hinaus sicher noch weitere spannende Themen.
|
Tobias Lange
Unternehmensberater
Externer Datenschutzbeauftragter
|
|
|
|
|
Tobias Lange - Unternehmensberater
|
Externer Datenschutzbeauftragter (DSB)
Informationssicherheitsbeauftragter (ISB)
Fachkraft für Medienpädagogik
Zustellungsfähige Anschrift:
Berner Heerweg 246, 22159 Hamburg
Steuernummer: 50/139/02404
Finanzamt Hamburg Oberalster
Email: info@tl-datenschutz,de
Web:www.tl-datenschutz.de
|
|
|
|
|
