|
Tobias Lange
Unternehmensberater
Externer Datenschutzbeauftragter
Fachkraft für Medienpädagogik
|
|
|
|
|
|
|
Hamburg, den 03. Dezember 2025
|
|
|
DATENSCHUTZ NEWSLETTER
|
|
|
|
Liebe Kund*innen und Abonnent*innen des Newsletters,
|
ich freue mich, Ihnen eine neue Ausgabe des Datenschutz-Newsletters übersenden zu dürfen und habe heute folgende Themen:
|
- NIS2 Umsetzung
- EU Data Act und EU Cyber Resilience Act
- Aktuelles aus dem Datenschutz
|
1. NIS2 Umsetzung
Die neue Bundesregierung hat das Umsetzungsgesetz fertig und es wird vermutlich um den Jahreswechsel herum in Kraft treten. Wenn Sie mich persönlich fragen, dann hätte man sich das alles sparen und das Gesetz der Ampel nehmen können, denn wesentliche Änderungen, wie zuerst angekündigt, gibt es nicht.
|
Wenn wir das ThemaNIS2 etwas globaler betrachten, dann ist es leider so, dass uns dieses Gesetz vermutlich in der Cybersicherheit auch nicht viel weiterbringen wird. Cybersicherheit bedarf immer der finanziellen Mittel, um angemessene Maßnahmen umsetzen zu können. In der Wirtschat sind diese Finanzmittel regelmäßig vorhanden, auch wenn man hier das Geld lieber anderweitig ausgibt. In den staatlichen Institutionen sind die Mittel nicht vorhanden und werden immer knapper. Ein großer Teil unser kritischen Infrastruktur ist staatlich. Und sie ist zum Teil soweit weg von angemessener Sicherheit, dass die notwendigen Investitionen, um zeitgemäße Sicherheit zu schaffen, sehr hoch sind. Das ist kein rein deutsches Phänomen. Jüngst wurde im Louvre eingebrochen; das wohl bekannteste Museum Frankreichs, wenn nicht der Welt. Es gab dort bereits 2014 einen Sicherheitscheck, der katastrophal ausfiel. Das war vor über 10 Jahren. Seitdem ist aus Kostengründen nichts passiert. Das Sicherheitssystem des Louvre läuft auf Windows 2000. Einige Rechner haben Windows XP. Das Passwort zur Anmeldung auf den Computern ist "Louvre". Das Passwort ist also sehr sicher und kaum zu erraten. Wir haben nicht nur in Deutschland, sondern in weiten Teilen der EU ein strukturelles Problem. Und wir können so viel Gesetze machen, wie wir wollen: Die finanziellen Mittel für mehr Cybersicherheit gibt es dadurch nicht und somit auch nicht mehr Sicherheit.
|
Die konkrete Umsetzung von NIS2 betrifft Unternehmen, welche in den kritischen Branchen tätig sind und dort eine bestimmte Größe haben. An den Kriterien hat sich nichts geändert und auch nicht in Bezug auf die Erfordernisse. In diesem Rahmen hatte Hamburg bereits Ende Januar 2025 eine neue Cybersicherheitsstrategie vorgestellt, die sich in 9 Handlungsfelder aufteilt. Neben rein technischen Handlungsfeldern, find ich persönlich die Felder 5 und 6 sehr wichtig. Diese Handlungsfelder betreffen digitale Kompetenzen, Awareness und Verbraucherschutz. Ziel dabei sind das Stärken eines Bewusstseins für digitale Sicherheit, lebenslanges Lernen und digitale Resilienz. Als Maßnahmen sind medienpädagogische Bildung ab der KITA, Weiterbildung für Lehrpersonal, Schulungen und Kampagnen vorgesehen. Ich halte diesen Ansatz für richtig und wichtig. Allerdings ist er langfristig orientiert und schwierig umzusetzen.
|
Im Rahmen solcher Überlegungen zur Umsetzung von NIS2 gibt es inzwischen auch konkrete Ausführungen, wie einzelne Anforderungen zu verstehen sind. Eine Anforderung unter NIS2 ist die regelmäßige Schulung der Geschäftsführung. Regelmäßig soll hier nun bedeuten, dass diese Schulungen mindestens alle 3 Jahre erfolgen. Und die Schulungen sollen mindestens 4 Stunden betragen. Konkrete Pflichtinhalte habe ich bisher nirgends gefunden. Die Themen für Cybersicherheit sind aber auch bekannt. Ich werde solche Schulungen zeitnah ausarbeiten und ab 2026 anbieten.
|
In der zweiten Hälfte des Jahres 2026 wird auch der Cyber-Resilience-Act (CRA) in Kraft treten. Dieser wird, ebenso unter Androhung potentiell hoher Bußgelder, mehr Sicherheit verlangen. So gesehen wird 2026 ein Jahr der Cybersicherheit. Aber es gilt das oben gesagte: Es kommt nicht auf Dokumentationen und Regulierungen an, sondern darauf, ob in Institutionen, gleich ob privatwirtschaftlich oder staatlich, Cybersicherheit tatsächlich umgesetzt und gelebt wird.
|
2. EU Data Act
Gefühlt hat es niemand mitbekommen, aber bereits seit dem 12. September 2025 gilt eine neue EU-Verordnung: Der EU Data Act, die Verordnung 2023/2854. - "Juchhu, wieder eine neue Verordnung", könnte man sagen. Ich möchte kurz folgende Problematik anmerken: In einer Welt fortschreitender Globalisierung, wo die Prozesse immer mehr, immer komplexer und auch immer digitaler werden, brauchen wir Regulierung. Ohne Regulierung geht es nicht, da ansonsten jeder macht, was er will; und das führt zu einer unkontrollierten Herrschaft der Tech-Konzerne. Das Ziel wirtschaftliche Dynamik durch technologischen Fortschritt zu erreichen, gleichzeitig alle Regulierung abzuschaffen, damit niemand überfordert ist, ist nicht realistisch. Die Technik der Welt von morgen und Regulierungsumfang aus der Welt von gestern passen nicht zusammen. Richtig ist aber, dass wir in der Digitalisierung in den letzten 3 Jahren sehr viel neue Regulierung dazubekommen haben. Den DSA (digital Service Act), den DMA (Digital Market Act), den AI-Act (künstliche Intelligenz), die sogenannte Omnibusrichtlinie der EU, die Verordnung zur Wahlwerbung im Internet, NIS2 zu kritischer Infrastruktur, eine Verordnung zur Barrierefreiheit, die ePA (elektronische Patientenakte) und noch einiges mehr. Niemand, der sich nicht hauptberuflich damit beschäftigt, schafft es da noch mitzukommen. Die meisten Menschen kennen diese ganzen Regulierungen auch nicht, entsprechend kennen sie auch nicht die Rechte, die sie in der digitalen Welt haben, bzw. die Pflichten, die für die Anbieter, bei denen sie digitale Dienste kaufen, bestehen. Das ist sehr wohl ein Problem, mit dem man sich gesellschaftlich in Zukunft beschäftigen muss. Was gehört in Zukunft zu digitaler Kompetenz des einzelnen Individuums und welche Kompetenzen müssen durch zentrale Fachstellen für die Bürger ausgeübt werden.
|
Seit dem 12. September ist also der EU Data Act in Kraft. Anders als bei der DS-GVO geht es hierbei um alle Daten, auch Daten ohne personenbezogene Merkmale. Der in meinen Augen wichtigste Punkt dieser Verordnung ist der Anspruch der Nutzer von digitalen Geräten im Internet, Zugang zu allen Daten, die diese Geräte sammeln, zu erhalten. Hersteller müssen diese Daten in einem einfachen, sicheren, strukturierten, maschinenlesbaren Format und unentgeltlich zur Verfügung stellen. Soweit möglich direkt auf dem jeweiligen Gerät. Verbraucher dürfen diese Daten für bestimmte Handlungen, zum Beispiel für Reparaturdienste, auch an dritte Stellen weitergeben. Dabei haben Unternehmen ein Recht auf die Wahrung ihrer Geschäftsgeheimnisse, aber es dürfen auch nicht alle Daten als geschäftsgeheim eingestuft werden. Die Umsetzung wird spannend.
|
Im Sinne der Verordnung ist ein "vernetztes Produkt" ein solches, das Daten sammelt und das in der Lage ist sie irgendwohin übertragen zu können. Es kommt also nicht darauf an, ob die Daten auch tatsächlich irgendwohin übertragen werden. Somit muss ein Produkt zwei Eigenschaften haben, um unter die Verordnung zu fallen: Einen Speicher, in dem Daten gesammelt werden, und eine Verbindungsmöglichkeit zum Internet bzw. eine Schnittstelle nach außen, z.B. Lan, WLAN, Bluetooth etc. Ein solches Produkt wäre zum Beispiel ein Auto. Es sammelt fortlaufend Daten. Einige davon werden gespeichert und zum Beispiel für die Diagnostik bei Reparaturen vorgehalten. Bisher kann sie nur eine Werkstatt mit Spezialequipment auslesen. Nun müssten diese Daten auch den Nutzern zur Verfügung gestellt werden. Und das unentgeltlich in einer einfachen und verständlichen Form. Und es würde auch für die Daten gelten, die anonymisiert zum Nutzungs- und Fahrverhalten an den Hersteller gesendet werden. Bisher sind mir keine Umsetzungen dieser Verordnung begegnet, gleich ob bei Autos, Fernsehern oder anderen Produkten. Das führt wieder zu einem anderen Problem: Regulierungen werden nicht umgesetzt. Und diese Problematik besteht nicht, weil die Umsetzung zu kompliziert ist. Sie besteht, weil die Tech-Konzerne es aus macht- und Finanzinteressen nicht wollen. Das Katz-und-Maus-Spiel zwischen Unternehmen und staatlicher Regulierung ist also auch für die Zukunft gesichert.
|
3. Aktuelles aus dem Datenschutz
Ich beginne mal mit einem Urteil des Oberlandesgerichts Frankfurt (AZ: 16 U 58/24): Diesem Urteil nach können Opfer von Cybermobbing und Hassrede nicht nur das Entfernen einzelner beleidigender Beiträge verlangen, sondern unter Umständen auch das Löschen des gesamten Nutzerkontos des Aggressors. Und zwar dann, wenn das Konto ausschließlich oder ganz überwiegend dazu eingerichtet und genutzt wurde, um rechtsverletzende Äußerungen zu verbreiten. Ein sehr gutes Urteil, das ich ausdrücklich begrüße. Problem bleibt aber weiterhin, dass viele Plattformen sich nicht an solche Regeln halten und man diese Rechte kostspielig, langfristig und umständlich einklagen muss.
|
An der KI-Front gibt es ein neues Urteil des LG München I zum Urheberrecht. Geklagt hatte die GEMA und es ging um die Nutzung von Liedertexten zu Trainingszwecken. Das Gericht hat entschieden, dass Open AI durch Trainieren der KI mit Liedertexten das Urheberrecht verletzt und KI nur mit einer erworbenen Lizenz trainieren darf. Die Persönlichkeitsrechte der Künstler an ihrem Werk werden hingegen nicht verletzt. Journalistenverbände applaudieren und wollen das Urteil auch auf ihre Branche übertragen. Das Urteil ist noch nicht rechtskräftig und geht sicher in die nächste Instanz. Open AI spricht von einem Missverständnis und sieht keine begangenen Urheberrechtsverletzungen, da KI Werke nur "maschinell liest", aber nicht speichert und somit nicht kopiert.
|
Laut einem Bericht des Spiegels macht der Meta-Konzern mit betrügerischen Anzeigen Milliarden. Die Erkenntnis ist eigentlich nicht neu und betrifft nicht nur den Meta-Konzern. Internetkriminelle schicken natürlich nicht nur E-Mails an potentielle Opfer, sondern suchen sich Opfer auch auf anderen Wegen. So werden auf Socialmedia-Portalen und im Internet Anzeigen kostenpflichtig platziert. Diese Anzeigen sind inhaltlich Fakenews und haben nur ein Ziel, nämlich jemanden in eine Betrugsmasche zu locken. Im Bericht des Magazins Stern wird von einer Größenordnung von 15 Milliarden Anzeigen täglich auf Instagram, Facebook und WhatsApp gesprochen, die betrügerische Anzeichen aufweisen. Der Meta-Konzern weist die Zahl zurück. Richtig ist aber, dass Internetkriminelle hohe Milliardenumsätze machen und auch Milliarden für die Bewerbung ihrer Betrugsmaschen zur Verfügung haben und einsetzen.
|
Der EuGH ist wieder angerufen worden, um über Datentransfers in die USA zu entscheiden. Diesmal ist es der Abgeordnete im Europaparlament Philippe Latombe, der klagt. Es geht im Kern wieder um US-Überwachungspraktiken unter dem FISA-Act und der Anordnung 12333 der US-Gesetzgebung. Wir werden in 2026 hierzu vermutlich erneut ein Grundsatzurteil des EuGH erhalten. Ich bin gespannt, wie es ausfällt.
|
Die BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit) arbeitet fleißig mit dem neu geschaffenen Instrument "BfDI-Datenbarometer". Es wurde herausgefunden, dass die Mehrheit der Internetnutzer:innen sich mehr Kontrolle und Transparenz über ihre eigenen Daten wünschen. Das ist jetzt ehrlich gesagt keine neue Erkenntnis. In diesem Zusammenhang weist die BfDI daraufhin, dass ein erster Dienstleister nach der Einwilligungsverwaltungsverordnung (EinwV) anerkannt wurde. Ob das wirklich so ein großer Schritt nach Vorne ist, um für Nutzer:innen die Verwaltung Ihrer Daten im Internet zu vereinfachen, muss die Zukunft zeigen.
|
Das BSI (Bundesamt für Sicherheit in der Informationstechnologie) weist daraufhin, dass nicht alle Passwortmanager als sicher zu bezeichnen sind. Zwar verschlüsseln alle Passwortmanager die Passwörter, wodurch die Passwörter sicher sind, jedoch verschlüsseln nicht alle Passwortmanager auch die Benutzernamen, die ebenso sensible Daten darstellen. Man sollte stets Passwortmanager wählen, die sowohl Passwörter als auch Benutzernamen verschlüsseln.
|
Und wenn wir schon beim BSI Sind: Das BSI weist unter Bezug auf eine Studie von Security Insider darauf hin, dass Personen der Generation Z (Jahrgänge 1997 bis 2012) besonders häufig auf Betrugsmaschen hereinfallen. Circa die Hälfte dieser Altersgruppe erkennt keine betrügerischen E-Mails, Anhänge oder Angebote. Es besteht hier also ein höheres Maß an Naivität und Bildschirmgläubigkeit als in anderen Altersgruppen. Das ist besorgniserregend und deutet auf fehlende Medienkompetenzen hin.
|
Im November wurden weitere kleine Call-Center ausgehoben, welche vor allem die Enkeltrick-Masche betrieben haben. Es waren drei Center und es kam dabei zu 16 Verhaftungen. Ein Center befand sich in Deutschland, eines in Österreich. Es ist also verkehrt anzunehmen, dass dieser Betrug immer aus dem Ausland kommt. Solche Center sitzen auch mitten unter uns, in Europa und vor unserer Haustür in Deutschland.
|
In den Medien machten Nachrichten über ein großes Datenleck von 1,2 Milliarden E-Mails die Runde. Zuerst war es bei Chip-Online zu lesen, später auch in anderen Medien, zum Beispiel beim NDR-Online. Tatsächlich geht es nicht um neue bekanntgewordene E-Mailkonten mit Passwörtern. Vielmehr wurden Daten zusammengeführt und so wurden E-Mailkonten bereits bekannte Passwörter zugeordnet, wobei man davon ausgeht, dass die betroffenen Nutzer gleiche Passwörter für verschiedene Online-Dienste nutzen. Die Sache ist also eher eine Mutmaßung und deutlich weniger heiß, als sie gekocht wurde. Der Webseite "Have I been pwned?", wo man abfragen kann, ob man in diesen Daten enthalten ist, hat die Geschichte in jedem Fall viel Traffic und Aufmerksamkeit gebracht.
|
Cloudflare war mal wieder "down". Genaugenommen am 18. November und für gute 90 Minuten. Zahlreiche Webseiten, ChatGPT und SocialMedia-Portale funktionierten nicht mehr oder waren nicht mehr erreichbar. Der Vorfall zeigt, wie digital verwundbar wir sind. Es bedarf nicht viel, und nichts geht mehr.
|
|
Beim Landebeauftragten für den Datenschutz in Niedersachsen wurde ein KI-Symposium abgehalten. 150 Teilnehmer:innen haben das Thema rechtssichere KI-Nutzung diskutiert. Eine sehr gute Zusammenfassung der Ergebnisse gibt es hier: Abschlussbericht
|
|
|
Ich bedanke mich für Ihre Aufmerksamkeit und hoffe, dass die Themen interessant waren.
|
Themen für den nächsten Newsletter habe ich mir noch nicht überlegt. Ich bin mir aber sicher, dass bis dahin viel Spannendes im Datenschutz und der digitalen Welt passiert, und es mir nicht an Themen mangeln wird.
|
Tobias Lange
Unternehmensberater
Externer Datenschutzbeauftragter
|
|
|
|
|
Tobias Lange - Unternehmensberater
|
Externer Datenschutzbeauftragter (DSB)
Informationssicherheitsbeauftragter (ISB)
Fachkraft für Medienpädagogik
Zustellungsfähige Anschrift:
Berner Heerweg 246, 22159 Hamburg
Steuernummer: 50/139/02404
Finanzamt Hamburg Oberalster
Email: info@tl-datenschutz,de
Web:www.tl-datenschutz.de
|
|
|
|
|
