|
Tobias Lange
Unternehmensberater
Externer Datenschutzbeauftragter
Fachkraft für Medienpädagogik
|
|
|
|
|
|
|
Hamburg, den 04. Januar 2026
|
|
|
DATENSCHUTZ NEWSLETTER
|
|
|
|
Liebe Kund*innen und Abonnent*innen des Newsletters,
|
ich freue mich, Ihnen eine neue Ausgabe des Datenschutz-Newsletters übersenden zu dürfen und habe heute folgende Themen:
|
- Jahresrückblick und Jahresausblick
- Aktuelles aus Datenschutz und IT-Sicherheit
|
1. Jahresrückblick und Jahresausblick
Es ist kaum zu glauben, wieder ist ein Jahr vorbei. Gefühlt hatte 2025 gerade erst angefangen. Nun haben wir schon 2026. Das vergangene Jahr war für mich ein erfolgreiches Jahr und ich kann nicht anders als zu sagen, dass ich sehr zufrieden bin. Es gab viele Herausforderungen, aber am Ende keine, die nicht gelöst werden konnten. Im Datenschutz und bei Datenpannen gab es in Quantität als auch in der Art der Vorfälle kaum Veränderung zum Vorjahr. Der Hinweisgeberschutz ist weiterhin nur eine Nische: Hier hatte ich in 2025 lediglich zwei Fälle auf dem Tisch. Davon nur einen, der eine Relevanz hatte. Allerdings dann auch mit einem Sachverhalt, der es "in sich hatte". In 2025 war KI (künstliche Intelligenz) ein Schwerpunktthema. Dazu komme ich gleich noch. Und es gab deutlich mehr IT-Sicherheitsvorfälle bei Kunden. Letzteres auch deswegen, weil Internetkriminelle zunehmend mit KI und automatisierten Verfahren arbeiten, so dass Angriffe im Netz nicht nur mehr werden, sondern vor allem auch deutlich besser werden und schwerer abzuwehren sind.
|
2025 ist vorbei, gucken wir auf 2026: Schwerpunkt des Jahres wird KI werden. KI entwickelt sich rasant weiter. In vielen Branchen kommt man nicht mehr drum herum und auch in unserem Privatleben zieht KI mehr und mehr ein. Ein sicherer Umgang mit KI, also KI-Kompetenzen, werden früher oder später so etwas wie eine "Bildungsgrundlage für alle" werden. Ich bin mir sicher, dass KI-Schulungen und Workshops auch in 2026 wieder zahlreich gebucht werden. KI wird ferner, so sieht es derzeit aus, in 2026 das Internet drastisch verändern. KI-Suchen haben bereits Ende 2025 die Oberhand gewonnen. Dieses bedeutet, dass klassische Webseiten nicht mehr geklickt und von Menschen besucht werden. Für viele Branchen hängt hieran das Verdienstmodell: Klicks entsprechen Reichweite. Reichweite führt zu Werbeeinnahmen oder Kunden. Keine Klicks bedeutet keine Reichweite und dann auch keine Einnahmen. Viele Verdienst-Modelle in der Onlinewelt stehen damit vor dem Aus. Für die anderen heißt es "AIO statt SEO". Optimierung der Webseiten und Inhalte für KI. Wie dieses AIO genau aussehen muss, um erfolgreich in KI-Suchen zu erscheinen, geht mir persönlich noch nicht in Gänze auf. Ich sehe aber, dass es bei KI-Suchen sehr viel Bias gibt. Bias meint Verzerrungen und Diskriminierungen. Die KI-Ergebnisse liefern also nicht unbedingt korrekte oder beste Ergebnisse. Man sollte vorsichtig damit sein und sie hinterfragen. Und das führt uns zurück zu den KI-Kompetenzen und dazu, dass KI-Schulungen etwas sehr wichtiges und sinnvolles sind. Vor Bias und Fehlern zu warnen, ist aber nur eine Seite der Medaille. KI hilft auch Fehler zu vermeiden und Sicherheit zu erhöhen, nicht nur, aber insbesondere, in der Produktion. Es kommt also auf die richtige Anwendung von KI an. Ich plane mich mit diesem Thema im nächsten Newsletter zu befassen.
|
|
Ich möchte im Rückblick, als auch im Ausblick, noch auf einen anderen Punkt kommen: Unsere Abhängigkeit von digitaler Technik. Wir können, um es auf den Punkt zu bringen, nicht mehr ohne Technik leben. Alles hängt daran. Fällt das Internet aus, fallen viele Dienste aus und es gibt Chaos. Das Internet bzw. wichtige digitale Dienste fallen nicht nur aus, wenn ein Anbieter ein Problem hat. Sie fallen dann aus, wenn der Strom weg ist. Ohne Elektrizität geht nichts mehr. Keine Bezahlsysteme, keine Kassen, kein Smartphone kann geladen werden etc. Ich habe es bei einem Kunden erlebt, der über eine recht gute Alarmanlage verfügt. Bei ihm wurde in 2025 eingebrochen, ohne dass es Alarm gab. Die sehr professionellen Einbrecher hatten den Strom für das Gebäude abgestellt. Die Versorgung mit Elektrizität gehört zu unserer KRITIS (kritische Infrastruktur). Sie ist leider sehr verwundbar. Fallen wichtige Komponenten aus, können sehr schnell sehr viele Menschen betroffen sein. Und leider auch in der Form, dass eine Reparatur nicht kurzfristig erfolgen kann und eine anderweitige Versorgung nicht möglich ist. Dieses ist besorgniserregend, da mit Angriffen an den richtigen Stellen, zum Beispiel auch mit Drohnen, verheerende Folgen entstehen können. Wir haben also in 2026 und darüber hinaus die Aufgabe unsere KRITIS, insbesondere das Stromnetz, vor Angriffen besser zu schützen. Auch das ist IT-Sicherheit. Und diese Erkenntnis ist nicht neu. Leider hat es bisher keine Bundesregierung geschafft, auf diesem Gebiet bedeutende Fortschritte zu machen. Hackerangriff-Abwehr allein hilft uns nicht. Wir müssen auch die physischen Komponenten gegen Angriffe von Außen schützen. Da ich mich intensiver mit diesem Thema befasse, weiß ich, wie es um unsere KRITIS wirklich steht und bin hier sehr besorgt. Es so zu formulieren heißt aber nicht, dass es bei uns schlechter aussieht als in anderen Ländern. Es sieht diesbezüglich überall schlecht aus.
|
2. Aktuelles aus Datenschutz und IT-Sicherheit
Der Bundesgerichtshof hat zur Speicherung von Zahlungsversäumnissen bei der SCHUFA entschieden und die bisherige Regelung teilweise bestätigt. Derzeit ist es so, dass negative Einträge bei der SCHUFA drei Jahre gespeichert und auch genutzt werden. In bestimmten Fällen nur 18 Monate. Diese Regelung ist eine Selbstverpflichtung, die durch den für die SCHUFA zuständigen hessischen Datenschutzbeauftragten abgesegnet ist. Der Bundesgerichtshof hat diese Speicher- und Nutzungsfristen im Grundsatz bestätigt, aber ebenso entschieden, dass es immer einer Einzelfallbetrachtung bedarf, bei der Verhältnismäßigkeit und Sachumstände zu berücksichtigen sind. Somit muss, sollte man eine frühere Löschung wollen, nun jeder Einzelfall begründet und dann vermutlich vor Gericht eingeklagt werden.
|
Die BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit) hat eine Umfrage zur ePA (elektronische Patientenakte) gemacht. Diesen Zahlen nach haben 7% der Versicherten der Einrichtung der ePA widersprochen. Die meisten davon geben an, dass sie das aus Datenschutz- oder Sicherheitsgründen getan haben. 85% geben an, dass sie ihre ePA behalten möchten und 45% geben an, dass sie planen ihre ePA innerhalb der nächsten 6 Monate aktiv zu nutzen. Und den Rest fasse ich einmal so zusammen: Ein genaueres Verständnis und Wissen über die Funktionen der ePA ist bei fast allen Versicherten gleich Null. Und diese Tatsache ist natürlich auch das Haupthindernis für eine noch höhere Akzeptanz. Wie man das löst, weiß ich allerdings auch nicht.
|
Die BfDI hat auch eine Handreichung "KI für Behörden - Datenschutz von Anfang an mitdenken" herausgegeben. Man kann sie hier herunterladen: Handreichung KI Leider ist die Handreichung wenig konkret, aber sicher ein guten Denkansatz, worauf man achten sollte.
|
Eine neue Betrugsmasche läuft: Dabei werden Beträge um die EUR 90,00 herum per Lastschrift willkürlich abgebucht. Die Abbuchungen erfolgen durch ein Unternehmen "Megatipp Emercengy Call-Services". Das Unternehmen beruft sich bei Rückfragen darauf, dass ein Vertrag online abgeschlossen wurde. Dieses ist aber nie passiert. Betroffene Personen sollten gar nicht erst mit dem Unternehmen Kontakt aufnehmen und diskutieren. Man sollte bei seiner Bank die Rückbuchung beauftragen und weiteres Tätigwerden ist dann nicht erforderlich.
|
Eine besondere Form digitaler Kriminalität sind Bombendrohungen per E-Mail gegen Schulen, Einkaufszentren, Bahnhöfe etc. Das BKA hat im Dezember eine kleine Gruppe, 4 Personen, 2 Jugendliche und 2 junge Erwachsene, verhaftet. Sie haben sich online kennengelernt und stammen aus vier verschiedenen Bundesländern. Sie haben sich in einer geschlossenen Messenger-Gruppe organisiert und von dort Bombendrohungen an diverse, willkürlich gewählte Ziele geschickt. Teilweise kam es daraufhin zu Räumungen und Polizeieinsätzen. Teilweise wurden die Drohungen islamistisch unterlegt, um die Aufmerksamkeit zu erhöhen. Ein religiöser Hintergrund bestand aber nicht, auch liegt kein Migrationshintergrund bei den Tätern vor. Die Täter nannten Ihre Gruppe "Schweinetreffen".
|
In der neuesten Studie zu Internetkriminalität geben 22% der befragten Personen an, schon einmal von Betrug beim Online-Shopping betroffen gewesen zu sein. Bei Phishing sind es 12%, bei Online-Banking-Betrug 11% und bei Identitätsdiebstahl 10%. Betrug beim Online Shopping ist klarer Spitzenreiter. Man sollte also beim Shopping besonders aufmerksam und vorsichtig sein. Ich hatte im Sommer einen Fake-Shop wegen Betrugs angezeigt. Im Dezember erhielt ich die Einstellungsmitteilung, da die Betreiber nicht zu ermitteln sind. Dieses passiert regelmäßig. Wer auf einen Betrug hereinfällt, kann in über 90% der Fälle keine Rechte gegen den Täter geltend machen, geschweige denn ihn überhaupt ausfindig machen.
|
Das BSI hat ein neues Whitepaper zur E-Mail-Sicherheit herausgegeben. Sie finden es hier: Whitepaper BSI - Ob das Papier bahnbrechende neue Erkenntnisse hat, will ich nicht behaupten. Es nennt aber nochmal das, worauf man achten sollte, um sicher E-Mail zu empfangen und zu senden. E-Mail ist weiterhin die Angriffsmethode Nummer-Eins von Internetkriminellen.
|
Einen ungewöhnlichen SCAM gab es in Heide, Dithmarschen. Eine Person verlor bei einem Fake-Onlineshop eine fünfstellige Summe. Es wurde ein Konto eingerichtet, um Second-Hand-Ware über die Plattform zu verkaufen. Es kam zu mehreren Kaufanfragen. Diese wurden zu einem internen Bezahlsystem weitergeleitet. Die betroffene Person verstand den Sachverhalt nicht, dachte dass sie Gutschriften bekommt, genehmigte bei Ihrer Bank aber Zahlungen. Es ist sehr ratsam bei den Bezahlsystemen immer genau hinzusehen, ob es Gutschrift oder Abbuchung ist.
|
Zwischen Russland und der Ukraine tobt nicht nur ein realer Krieg, sondern auch ein virtueller. Im Dezember gelang es ukrainischen Hackern 165 Terabyte an Daten eines russischen Logistikkonzerns, Eltrans+, ein wichtiger Zulieferer chinesischer Elektronik für Raketentechnik, zu löschen. Dabei wurden 700 Server lahmgelegt, Frachtdeklarationen vernichtet und die Arbeit des Unternehmens für längere Zeit unmöglich gemacht. Auch das könnte jederzeit deutschen Unternehmen in einem hybriden Krieg blühen.
|
Das Verfassungsgericht hat der Beschwerde eines Telekommunikationsanbieters stattgegeben und eine einstweilige Verfügung zu dessen Gunsten erlassen. In dem Rechtsstreit vor dem AG Oldenburg geht es um die Anordnung Anfragen an einen DNS-Server aufzuzeichnen und herauszugeben. Dieses ist eine gänzlich neue Form einer Telekommunikationsüberwachung für strafrechtliche Ermittlungen. Solche Aufzeichnungen sind keine Aufzeichnungen von IP-Adressen. Telekommunikationsanbieter haben dafür auch keine technischen Verfahren. Darüber hinaus stellt sich die Frage nach der Verhältnismäßigkeit. Es wird interessant, wie dieses Verfahren in der Hauptverhandlung entschieden wird.
|
Das BSI hat eine Warnung vor dem Google Passwortmanager herausgegeben. Die Bedrohung besteht dann, wenn man die Browser-Synchronisation nutzt. Wer diese Funktion nutzt, sollte in die Einstellungen des Browser gehen, dort unter "Google und Ich" das Menü "Synchronisierung und Google-Dienste" öffnen und eine Passphrase aktivieren. Dadurch wird das Sicherheitsproblem behoben.
|
Der Niedersächsische Datenschutzbeauftragte informiert in einem Newsletter über Reformvorschläge der EU-Kommission: Diese beinhalten Änderungen an der DS-GVO, an der KI-Verordnung, der Omnibusrichtlinie und weiterer Digitalrechtsakte. Ziel der Kommission ist es Bürokratie und Regulierung abzubauen. Dabei werden auch wichtige Schutzrechte privater Personen beeinträchtigt. Ich persönlich sehe das Vorhaben einer Verschlankung in dieser Form sehr kritisch und nicht im Sinne der Verbraucher noch der Wirtschaft.
|
|
Unter all den Warnungen, bei denen schon keiner mehr mitkommt, gibt es auch eine zu gravierenden Schwachstellen auf Android Smartphones. Diese sind nur dann behoben, wenn das Sicherheitsupdate jünger als 05. Dezember 2025 ist. Das ist quasi nirgends der Fall (ausgenommen Google Pixel Geräte) und ein Problem. Insbesondere werden ältere Geräte nicht mehr mit Sicherheitsupdates unterstützt, obwohl dieses technisch einwandfrei funktionieren. Hier wäre der Gesetzgeber gefragt, die Konzerne in die Pflicht zu nehmen Sicherheitsupdates sofort und für mindestens 15 Jahre ab Verkaufsstart zur Verfügung zu stellen.
|
|
Ich bedanke mich für Ihre Aufmerksamkeit und hoffe, dass die Themen interessant waren. Ihnen allen wünsche ich ein gutes und erfolgreiches Jahr 2026.
|
Tobias Lange
Unternehmensberater
Externer Datenschutzbeauftragter
|
|
|
|
|
Tobias Lange - Unternehmensberater
|
Externer Datenschutzbeauftragter (DSB)
Informationssicherheitsbeauftragter (ISB)
Fachkraft für Medienpädagogik
Zustellungsfähige Anschrift:
Berner Heerweg 246, 22159 Hamburg
Steuernummer: 50/139/02404
Finanzamt Hamburg Oberalster
Email: info@tl-datenschutz,de
Web:www.tl-datenschutz.de
|
|
|
|
|
