|
Tobias Lange
Unternehmensberater
Externer Datenschutzbeauftragter
Fachkraft für Medienpädagogik
|
|
|
|
|
|
|
Hamburg, den 02. Juli 2026
|
|
|
DATENSCHUTZ NEWSLETTER
|
|
|
|
Liebe Kund*innen und Abonnent*innen des Newsletters,
|
ich freue mich, Ihnen eine neue Ausgabe des Datenschutz-Newsletters übersenden zu dürfen und habe heute folgende Themen:
|
- NIS2 Umsetzung
- KI weiterhin im Fokus
- Aktuelles aus Datenschutz und IT-Sicherheit
|
1. NIS2 Umsetzung
Die Registrierungsfrist für Unternehmen, die der Richtlinie unterliegen, ist bereits Anfang März ausgelaufen. Die Registrierungszahlen enttäuschen und das BSI (Bundesamt für Sicherheit in der Informationstechnologie) klingt etwas ratlos. Zunächst setzt man weiter auf Kooperation und hat die Registrierungsfrist bis zum 31. Juli 2026 verlängert. Die Frage ist, warum die Registrierungszahlen so enttäuschend niedrig sind: Entweder ist die Registrierung zu kompliziert, die betroffenen Unternehmen wissen nicht, dass sie sich registrieren müssen, oder NIS2 ist ihnen schlichtweg egal. Vermutlich ist es ein Mix aus allem.
|
Wir sehen also bereits bei der Registrierung, dass NIS2 nicht funktioniert. Mit der tatsächlichen Umsetzung von Sicherheitsmaßnahmen in den betroffenen Unternehmen scheint es mir nicht anders zu sein. Letztlich ist die Registrierung auch nicht entscheidend. Die Unternehmen werden dadurch nicht sicherer gegen Cyberangriffe, sondern die tatsächlich umgesetzten Maßnahmen in den Unternehmen bringen Sicherheit. Und genau hier sehe ich durch NIS2 keinen wesentlichen Fortschritt. Die Notwendigkeit von IT-Sicherheit bestand schon vor NIS2. Wer IT-Sicherheit ernst genommen hat, der hatte schon vor NIS2 gehandelt. Wer nicht schon vor NIS2 gehandelt hatte, der handelt jetzt offensichtlich auch nicht. Am Ende ist es wie mit dem Datenschutz: Bei weitem nicht alle bestellen Datenschutzbeauftragte oder nehmen sich der Thematik an, auch wenn sie dazu gesetzlich verpflichtet sind.
|
Mit NIS2 ist es aber komplizierter als mit dem Datenschutz. Betroffene Unternehmen, die etwas tun wollen, sind oft ratlos. Die Vorschrift ist lang und komplex, im Gegensatz zur DS-GVO aber wenig konkret. Man kann NIS2 zusammenfassen als: "Die IT muss in den genannten Kategorien sicher gemacht werden. Was genau zu machen ist muss jeder selbst rausfinden." Viele Unternehmen reagieren darauf in der Form, dass man sich einen Informationssicherheitsbeauftragten (ISB) sucht. Dieser Schritt ist auch nicht völlig verkehrt. Das Ergebnis sind aber oft umfangreiche, allgemeine, theoretische Konzepte. Diese werden dann, wie ein Verzeichnis der Verarbeitungstätigkeiten im Datenschutz, in die Schublade gelegt. Dort liegen sie als Beruhigung, dass man sie als Nachweis hat, wenn jemand danach fragen sollte. Umgesetzt wird kaum etwas davon. Oftmals auch nicht wegen der sehr hohen Kosten, die mit guter IT-Sicherheit einhergehen. Und so scheitert NIS2 derzeit in der Praxis.
|
|
In der IT-Sicherheit hat sich also nichts geändert: Die Cyber-Bedrohungslage ist hoch und steigt ständig, insbesondere wegen KI. Wer das ernst nimmt und etwas für die Sicherheit seiner IT tut, der tut es, wer es nicht ernst nimmt, der tut nichts. Und wer es ernst nimmt, sich die Sicherheit aber nicht leisten kann, der bangt und hofft jeden Tag, dass nichts passiert. So war es vor NIS2 und so ist es auch mit NIS2. Das ist derzeit die nüchterne Erkenntnis dazu.
|
2. KI weiterhin im Fokus
Ich möchte gar nicht immer über KI reden, aber es geht irgendwie gar nicht anders. Auch viele meiner Kunden wollen derzeit nur darüber reden und es bestehen viele Fragezeichen, zum Beispiel zu den Auswirkungen von KI auf unsere Arbeitswelt und Gesellschaft. Hierzu habe ich einmal einige Aussagen über KI gesammelt:
|
Der britische Informatiker Stuart Russell ist der renommierteste KI-Forscher und schon seit 50 Jahren auf dem Gebiet tätigt. Er sagt: "Die Menschheit ist in einer schlechten Lage. Alle Tests schlagen Alarm, die Sirenen heulen. Und wir ignorieren das einfach. Das ist Wahnsinn. Wir wissen nicht, was die Modelle denken. Wir verstehen nicht einmal ihre genaue Funktionsweise. Sobald es Systeme gibt, die im Wesentlichen fähiger seien als Menschen, haben wir Menschen kein Mitspracherecht mehr. Die Frage ist, ob die Maschinen uns sie dann noch abschalten lassen. Wenn die Maschinen mitbekommen, dass wir sie abschalten wollen, haben sie allen Grund, das zu verhindern. Sie müssen uns auslöschen. Wenn wir also weiter Superintelligenz entwickeln, ohne sie an unsere Interessen anzupassen, ohne sie zu verstehen, ohne Sicherheitsgarantien, dann halte ich es für sehr wahrscheinlich, dass wir die Kontrolle verlieren.“ - Klingt ziemlich beängstigend!
|
Anthropic zieht Claude Mythos 5 und Fable 5 zurück. Anthropic ist derzeit das führende KI Unternehmen. Aber es gibt gerade Meldungen, wonach das japanische KI-Startup Sakana eine KI entwickelt hat, die besser ist als Claude und Fable. Der Rückzug der aktuellsten Anthropic-Modelle durch das Unternehmen erfolgt auf Druck der US-Regierung, weil man diese als Bedrohung für die nationale Sicherheit sieht. Kurz bevor es hierzu gekommen ist, hat Anthropic selbst öffentlich dafür plädiert, dass alle KI-Unternehmen eine Entwicklungspause machen sollten und man zuerst beim derzeitigen Stand der KI Regulierung und Sicherheit braucht, da die nächste KI-Generation mutmaßlich dazu führt, dass der Mensch die Kontrolle über KI verliert. - Klingt ebenso beängstigend!
|
Elon Musk, wie immer kurz und knapp: "KI und Roboter werden alle Jobs übernehmen." Mustafa Suleyman von Microsoft: "Die meisten höheren Aufgaben werden in 12 bis 18 Monaten automatisiert." Dario Amodei von Anthropic: "KI ist ein genereller Ersatz für Menschen." - Keiner von Ihnen sagt, was Menschen machen, wenn KI deren Arbeitsplatz einnimmt und wer dann ihren Lebensunterhalt bezahlt!
|
Und Papst Leo XIV wird nicht müde weiter zu KI zu posten und schrieb auf seinem Socialmedia-Account: "Künstliche Intelligenzen durchleben keine Erfahrungen, besitzen keinen Körper, fühlen keine Freude oder Schmerzen, reifen nicht durch Beziehungen heran und wissen nicht aus sich heraus, was Liebe, Arbeit, Freundschaft oder Verantwortung bedeuten. Ebenso fehlt ihnen ein moralisches Gewissen, da sie Gutes und Böses nicht beurteilen, den ultimativen Sinn von Situationen nicht erfassen oder Verantwortung für Konsequenzen tragen. Sie können nachahmen oder sogar simulieren, aber sie verstehen nicht, was sie hervorbringen, denn es fehlt ihnen die affektive, relationale und spirituelle Perspektive, durch die Menschen in Weisheit wachsen." - Schöner und richtiger kann man es nicht formulieren!
|
Wo stehen wir also derzeit mit KI? Es fällt mir schwer einzuordnen, wie hoch die Bedrohungslage durch KI für uns Menschen und die Gesellschaft wirklich ist. Richtig ist in jedem Fall, dass KI-Agenten sich verselbständigen und die digitale Welt quasi übernehmen können. Aber kann man dann keinen Stecker mehr ziehen? Verlieren wir als Menschen wirklich die Kontrolle oder sind die Aussagen nur Marketing in einem harten Wettbewerb? Ich persönlich befürchte in jedem Fall, dass die Profitgier der Tech-Konzerne an ethischen Fragen keinen halt machen wird. Wir sollten Warnungen ernst nehmen und vorsichtig mit dieser Technik sein. Bei allen Chancen dürfen wir die Risiken nicht aus dem Auge verlieren.
|
Und ganz praktisch zu KI hat das OLG Hamm am 12. Mai ein Urteil gefällt, wo es um die Frage der Haftung ging, wenn KI Falschaussagen macht. Die Entscheidung war eindeutig: Derjenige, der KI einsetzt, haftet auch für die Richtigkeit der Aussagen. Halluziniert eine KI und erzählt Kunden eines Unternehmens etwas falsches, dann haftet das Unternehmen dafür und Ersatz für ggf. entstandenen Schaden kann geltend gemacht werden.
|
3. Aktuelles aus Datenschutz und IT-Sicherheit
In der digitalen Welt passieren verrückte Dinge. Accounts auf Socialmedia sind personenbezogen. Was man dort tut, kann auf jemanden zurückverfolgt werden. So geschah es bei einem 17jährigen Jungen aus Schweden: Er nahm über Telegram einen Auftragsmord (Sie lesen hier richtig!) an, reiste nach Köln, wo dieser ausgeführt werden sollte, wurde dort verhaftet und jetzt verurteilt. Er berief sich darauf, dass er die Zielperson nicht wirklich umbringen wollte und dass das alles nicht so ernst gemeint war. Die Richter glaubten ihm nicht.
|
Anders verrückt, aber ebenso geschehen: Nutzt man Bluetooth, dann können andere Personen in der Umgebung, wie auch bei WLAN, das Netzwerk und dessen Namen sehen. So auch auf einem United Airlines Flug, wo ein 16jähriger Junge Kopfhörer nutzte. Diesen Kopfhörern hatte er den virtuellen Bluetooth-Namen "Bomb" gegeben. Andere Passagiere bekamen daraufhin Angst, dass an Bord des Flugzeugs eine Bombe ist und der Flug wurde seitens der Piloten abgebrochen. Der 16jährige Junge vom FBI verhaftet.
|
Der Landesbeauftragte für den Datenschutz Niedersachsen setzt sich für eine Verbesserung des Verfahrensrechts bei datenschutzrechtlichen Bußgeldern und zugleich für die Vermeidung von Doppelarbeit in der Verwaltung und in der Justiz ein. Die Datenschutzaufsicht sollte, gleich dem Kartellamt, in Bußgeldverfahren dieselben Rechte erhalten wie die Staatsanwaltschaften. Ich persönlich begrüße den Ansatz und halte die Überlegung für richtig. Die Behörde teilt ferner mit, dass die Anzahl gemeldeter Datenschutzpannen zum Vorjahr deutlich gestiegen ist. Das kann ich persönlich ebenso bestätigen: Es ist erst Juni und ich habe in 2026 bereits jetzt mehr Datenpannen und Beschwerdeverfahren bearbeitet, als im ganzen Jahr 2025.
|
Die BfDI (Bundesbeauftragte für den Datenschutz und die Informationssicherheit) hat jetzt auch die Datenschutzaufsicht nach dem EU-Data-Act übernommen. Sie wissen nicht, was das der EU-Data-Act ist? Es ist die Verordnung der EU 2854 aus 2023. Wenn Sie bei allen diesen Verordnungen nicht mehr mitkommen, dann machen Sie sich keinen Kopf darüber: Sie gehören damit der großen Mehrheit und keinesfalls einer Minderheit an.
|
Die EU plant ein Verbot für KI-Deepfakes. Dieses soll bereits ab dem 2.Dezember 2026 in Kraft treten. Der Missbrauch von KI zur Herstellung von Bildern anderer Personen ohne deren Einwilligung, insbesondere sexualisierte oder beschämende Deepfakes, wären dann in allen EU-Ländern verboten. Wie die konkreten Strafen aussehen und umgesetzt werden können, ist noch nicht final geregelt.
|
Phishing und Betrugsversuche gibt es nicht nur Online. Derzeit läuft eine Masche, bei der Photovoltaikanlagenbesitzer im Namen der Bundesnetzagentur angeschrieben werden (Fake-Schreiben per Post im Briefkasten) und Strafzahlungen vornehmen sollen, weil sie die Anlage nicht richtig angemeldet haben.
|
Der Cybersicherheitsmonitor des BSI für 2026 zeigt die gleichen Werte auf wie immer: Nur 14% der Menschen kümmern sich proaktiv um ihre IT-Sicherheit. 43% kümmern sich nie darum und nur dann, wenn etwas passiert. Diese ernüchternden Zahlen bleiben jedes Jahr konstant.
|
|
Ich zitiere abschließend noch einmal aus einer repräsentativen Umfrage der BfDI zu Informationsfreiheit: "Die Menschen erwarten einen transparenten Staat und sehen genau hier erheblichen Handlungsbedarf: 96% der insgesamt 2.500 Befragten erwarten transparentes Behördenhandeln, 60% erleben Behörden aber häufig als intransparent." Im gleichen Zuge warnt die BfDI auch vor dem Vorhaben der Bundesregierung ihrer Behörde die Aufsicht über den Auslandsgeheimdienst zu entziehen. - Informationsfreiheit, Transparenz und Kontrolle staatlichen Handelns sind Grundlage unser Demokratie und sollten nicht angefasst oder beschränkt werden!
|
|
Ich bedanke mich für Ihre Aufmerksamkeit und hoffe, dass die Themen interessant waren. Im nächsten Newsletter sprechen wir mal über Pläne der EU, die die DS-GVO mit dem sogenannten "Digitalen Omnibus" nach 10 Jahren reformieren will. Und es finden sich darüber hinaus sicher noch weitere spannende Themen.
|
Tobias Lange
Unternehmensberater
Externer Datenschutzbeauftragter
|
|
|
|
|
Tobias Lange - Unternehmensberater
|
Externer Datenschutzbeauftragter (DSB)
Informationssicherheitsbeauftragter (ISB)
Fachkraft für Medienpädagogik
Zustellungsfähige Anschrift:
Berner Heerweg 246, 22159 Hamburg
Steuernummer: 50/139/02404
Finanzamt Hamburg Oberalster
Email: info@tl-datenschutz,de
Web:www.tl-datenschutz.de
|
|
|
|
|
|
|
