Datenschutz & Sicherheit
Auslegungssache 156: Datenschutz-Dauerbrenner Microsoft 365
In Episode 156 des c’t-Datenschutz-Podcasts Auslegungssache widmen sich Redakteur Holger Bleich und heise-Verlagsjustiziar Joerg Heidrich einem Thema, das die Datenschutzwelt umtreibt wie kaum ein anderes: Microsoft 365. Zu Gast ist Kai Korte, Geschäftsführer der lexICT GmbH, Rechtsanwalt für IT- und Datenschutzrecht in Hannover und Lehrbeauftragter an der Hochschule Hannover.
Weiterlesen nach der Anzeige
Zunächst beleuchten die drei eine auffällige aktuelle Entwicklung: Die Zahl der Datenschutzbeschwerden hat sich bei einigen Aufsichtsbehörden nahezu verdoppelt, wie aus den neuen Tätigkeitsberichten hervorgeht. Baden-Württemberg verzeichnete 2025 einen Anstieg von rund 4000 im Jahr 2024 auf über 7600, Hamburg von 2600 auf 4200. Mehrere Behörden führen das auch auf KI-generierte Beschwerden zurück. Betroffene lassen sich offenbar per Chatbot fertige Texte erstellen und schicken diese an die Aufsicht. Die Behörden warnen, dass sie an ihre Kapazitätsgrenzen stoßen.

Rechtsanwalt Kai Korte podcastet in der Auslegungssache
Ebenfalls Thema ist ein aktuelles Urteil des Europäischen Gerichtshofs (EuGH) zum Auskunftsrecht. Im Fall „Brillen Rottler“ entschied das Gericht, dass bereits ein erster Auskunftsantrag als rechtsmissbräuchlich eingestuft werden kann. Ein Mann hatte sich zum Newsletter eines Optikers angemeldet und nur 13 Tage später ein umfassendes Auskunftsersuchen gestellt. Der EuGH setzt allerdings hohe Hürden: Der Verantwortliche muss objektiv nachweisen, dass der Antragsteller gar nicht die Ziele des Datenschutzrechts verfolgt, und er muss zusätzlich eine missbräuchliche Absicht belegen. Korte warnt davor, das Urteil vorschnell zu verallgemeinern, es bleibe ein Ausnahmefall.
Minenfeld Microsoft 365
Dann steigen die drei ins Hauptthema ein: Microsoft 365. Bleich macht zunächst deutlich, wie komplex das Produktuniversum ist. Hinter dem Namen verbergen sich zahlreiche Einzelprodukte – von Office-Anwendungen bis zu Teams und SharePoint. Die Preise reichen von knapp 11 Euro pro Nutzer und Monat für kleinere Unternehmen bis über 55 Euro im großen Enterprise-Paket. Viele Sicherheitsfunktionen sind nur in den teuren Varianten enthalten und Microsoft verschiebt regelmäßig Features zwischen den Paketen.
Datenschutzrechtlich bleibt Microsoft 365 ein Minenfeld. Zwar nimmt der US-Konzern am Transatlantic Data Privacy Framework teil, was den Datentransfer in die USA formal absichert. Korte weist aber darauf hin, dass der Cloud Act und weitreichende Zugriffsbefugnisse US-amerikanischer Behörden weiterhin problematisch sind. Microsoft sichert vertraglich zu, Daten europäuscher Unternehmen innerhalb der EU zu speichern -– die sogenannte EU Data Boundary. Doch Wartungszugriffe aus den USA sind weiterhin möglich und ein Microsoft-Chefjustiziar räumte öffentlich ein, dass man sich einem US-Herausgabebeschluss kaum widersetzen könnte.
Ein zentraler Kritikpunkt betrifft die Verarbeitung von Telemetrie- und Diagnosedaten. Microsoft sammelt im Hintergrund umfangreich Metadaten – Anmeldezeiten, Gesprächsdauern, Teilnehmerlisten, Nutzeraktivitäten. Welche Datenfelder genau erfasst werden und was damit geschieht, bleibt weitgehend intransparent. Der hessische Datenschutzbeauftragte hat Ende 2025 einen Bericht veröffentlicht, der den Einsatz von Microsoft 365 in öffentlichen Stellen unter bestimmten Bedingungen für möglich erklärt. Allerdings hat er sich dabei ausschließlich auf Microsofts eigene Angaben verlassen, ohne die Datenflüsse technisch zu überprüfen.
Pragmatisch betrachtet: Einsatz ist möglich
Weiterlesen nach der Anzeige
Bleich verweist zudem auf Microsofts Zusatzprodukte Sentinel und Purview, mit denen Unternehmen das Verhalten ihrer Mitarbeiter analysieren können – bis hin zur KI-gestützten Erkennung potenzieller Whistleblower oder Datendiebe (hören Sie speziell hierzu die Episode 123 der Auslegungssache). Korte räumt ein, dass Purview ein mächtiges Sicherheitswerkzeug sei, warnt aber vor dem schmalen Grat zwischen legitimer Sicherheitsüberwachung und unzulässigem Profiling von Beschäftigten.
Ob Unternehmen vor dem Einsatz von Microsoft 365 eine Datenschutz-Folgenabschätzung durchführen müssen, beantwortet Korte differenziert: Die Aufsichtsbehörden fordern das zwar, doch bei kleineren Unternehmen ohne besondere Datenkategorien sei das nicht zwingend erforderlich. Sinnvoll sei es aber allemal, sich einen Überblick über die verarbeiteten Daten zu verschaffen. Pragmatisch betrachtet könne man Microsoft 365 nutzen, solange man die Risiken kenne und die Konfiguration im Griff habe.
Am Ende bleibt die Frage nach Alternativen. Bleich weist auf Nextcloud-basierte Lösungen hin und kommt zu einem ernüchternden Ergebnis: Für die alltägliche Arbeit in größeren Unternehmen reichen diese Produkte nicht an Microsoft 365 heran. Eine neue Initiative namens „Euro-Office“ von Ionos und Nextcloud soll im Sommer starten, doch ob sie den Rückstand aufholen kann, bleibt abzuwarten.
Korte ergänzt, dass auch das OpenDesk-Projekt für die öffentliche Verwaltung ein Schritt in Richtung digitale Souveränität sei. Die drei sind sich einig: Europäische Alternativen sind dringend nötig, aber noch nicht konkurrenzfähig. Die Abhängigkeit von Microsoft bleibt vorerst bestehen – und damit bleiben auch die datenschutzrechtlichen Bauchschmerzen.
Episode 156:
Hier geht es zu allen bisherigen Folgen:
(hob)
Datenschutz & Sicherheit
Mehrheit befürwortet Social-Media-Verbot für Kinder unter 14
Zwei Drittel der Menschen in Deutschland (66 Prozent) sprechen sich für die Einführung eines Verbots von sozialen Medien für Kinder unter 14 Jahren aus. Dies ist das zentrale Ergebnis einer repräsentativen Umfrage des Bayerischen Forschungsinstituts für Digitale Transformation (bidt), die auf der Medienkonferenz re:publica in Berlin vorgestellt wurde.
Weiterlesen nach der Anzeige
Die Studie wirft ein Schlaglicht auf eine zunehmend emotional geführte gesellschaftliche Debatte. Spätestens seit Australien im Dezember 2025 ein entsprechendes Verbot für Kinder unter 16 Jahren in Kraft gesetzt hat, werden auch hierzulande und auf EU-Ebene Forderungen nach ähnlichen Einschränkungen lauter. Doch während der Wunsch der Bürger nach Regulierung immens ist, warnte auf der re:publica die Wissenschaft vehement vor vorschnellen Maßnahmen.
Verbot nur für jüngere Kinder
Die Umfragedaten zeigen ein differenziertes Stimmungsbild: Die Zustimmung zu einem Verbot hängt massiv von der gesetzten Altersgrenze ab. Während das Verbot für unter 14-Jährige auf breite Zustimmung stößt, nimmt die Befürwortung mit steigendem Alter deutlich ab. Für die Altersgruppe der unter 18-Jährigen wendet sich das Blatt komplett: Hier sind mehr Menschen gegen ein Verbot als dafür.
Unsicher sind die Befragten allerdings, ob ein Social-Media-Verbot für Kinder und Jugendliche überhaupt umgesetzt werden kann. 59 Prozent der Bevölkerung glauben schlichtweg nicht daran, dass ein gesetzliches Verbot die Nutzung durch Kinder tatsächlich verhindern kann. Selbst unter den Befürwortern eines solchen Schritts ist mehr als die Hälfte (55 Prozent) skeptisch, was dessen Wirksamkeit angeht.
Widerspruch aus der Wissenschaft
In Berlin verwiesen die Forschende des bidt, des Center for Advanced Internet Studies (CAIS) und des Weizenbaum-Instituts darauf, dass die Einführung des Verbots in Australien, vor allem mit den Risiken für die mentale Gesundheit junger Menschen begründet worden sei. Die Perspektiven Jugendlicher seien jedoch vor der Entscheidung kaum berücksichtigt worden.
Weiterlesen nach der Anzeige
„Pauschale Social-Media-Verbote ersetzen oft die Debatte über wirksame Plattformregulierung“, sagte Josephine B. Schmitt, wissenschaftliche Koordinatorin am CAIS. „Sie suggerieren politische Handlungsfähigkeit, verschieben die Verantwortung aber auf junge Menschen, statt Plattformen konsequent zu regulieren.“
Soziale Medien seien für Jugendliche nicht nur Risikoräume, sondern auch Orte für Information, Austausch, Selbstorganisation und gesellschaftliche Teilhabe, sagte Schmitt. „Verbote lösen viele Probleme nicht, sondern verschieben sie in weniger sichtbare Räume.“
Plattformen in die Verantwortung nehmen
Der Psychologe und Wirtschaftsinformatiker Hannes-Vincent Krause forderte, in einem angstgetriebenen Diskurs nicht in „blinden Aktionismus“ zu verfallen. Ein Verbot sei wissenschaftlich weder in seiner Notwendigkeit noch in seiner Effektivität tragbar. Statt pauschaler Plattformverbote brauche es eine klare Regulierung von problematischen Inhalten durch die Provider und eine angemessene Vermittlung von Medienkompetenz.
Für die Studie befragte Statista+ Research im Auftrag des bidt online 2.500 Personen ab 16 Jahren in Deutschland, um Einstellungen der Bevölkerung zu einem Verbot sozialer Medien für Kinder und Jugendliche zu erfassen. Die dargestellten Ergebnisse sind repräsentativ für die Bevölkerung der Bundesrepublik.
Methodik: Statista+ Research führte im Auftrag des bidt eine repräsentative Onlinebefragung von Personen ab 16 Jahren in Deutschland durch, um Einstellungen der Bevölkerung zu einem Verbot Sozialer Medien für Kinder und Jugendliche zu erfassen. Dazu wurden vom 15.04. bis 29.04.2026 insgesamt 2500 Personen befragt. Die dargestellten Ergebnisse sind zudem repräsentativ nach Geschlecht, Alter, Bildung und Bundesland gewichtet.
(afl)
Datenschutz & Sicherheit
PostgreSQL: Updates stopfen hochriskante Sicherheitslecks
In der Datenbank PostgreSQL klaffen mehrere Sicherheitslücken, die Angreifern etwa das Einschmuggeln von SQL-Befehlen ermöglichen. Aktualisierte Software steht bereit. IT-Verantwortliche sollten rasch updaten.
Weiterlesen nach der Anzeige
Die Entwickler von PostgreSQL schreiben in einer Versionsankündigung, dass die neu verfügbaren Fassungen 18.4, 17.10, 16.14, 15.18 und 14.23 insgesamt elf Schwachstellen ausbessern. Mehrere davon schrammen an der Einordnung als kritisches Sicherheitsleck nur sehr knapp vorbei. Ein Integer-Unterlauf in mehreren Funktionen ermöglicht Angreifern, zu kleine Speicherbereiche zu allokieren und außerhalb der vorgesehenen Speichergrenzen zu schreiben – das führt zu Segmentierungsfehlern (Abstürzen) (CVE-2026-6473, CVSS 8.8, Risiko „hoch“). Ein Origin-Superuser kann aufgrund einer Linkverfolgungsschwachstelle in pg_basebackup und in pg_rewind lokale Dateien wie „/var/lib/postgres/.bashrc“ überschreiben und damit das Konto im Betriebssystem übernehmen (CVE-2026-6475, CVSS 8.8, Risiko „hoch“). Eine weitere Lücke ermöglicht Server-Superusern, Client-Speicher auf dem Stack zu überschreiben (CVE-2026-6477, CVSS 8.8, Risiko „hoch“).
Schließlich ermöglicht ein Stack-basierter Pufferüberlauf in refint Datenbanknutzern mit geringen Rechten, beliebigen Code als der Datenbank-User im Betriebssystem auszuführen, außerdem ist eine SQL-Injection-Attacke möglich (CVE-2026-6637, CVSS 8.8, Risiko „hoch“). Zwei weitere Schwachstellen stufen die Entwickler als hohes Risiko ein, vier als mittleren Bedrohungsgrad und eine noch als niedriges Risiko.
Zahlreiche Bugfixes
Neben den elf Schwachstellen korrigieren die Entwickler in den aktualisierten Paketen auch noch mehr als 60 Fehler. Die Versionsankündigung listet 24 davon auf, die insbesondere PostgreSQL 18 betreffen. Auf der Download-Seite des PostgreSQL-Projekts finden sich aktuelle Installer-Pakete für die wichtigen Betriebssysteme und gleich mehrere Linux-Distributionen.
(dmk)
Datenschutz & Sicherheit
Katholikentag: Merz sagt „Nein“ zu Social-Media-Verbot
Auf dem Katholikentag in Würzburg hat Friedrich Merz (CDU) eine Wende in der Debatte um soziale Medien und Alterskontrollen angedeutet. Auf die Frage nach seiner Position zum Social-Media-Verbot („Sind Sie dafür?“) sagte der Bundeskanzler: „Nein. Ich bin der Meinung, dass wir die Frage behandeln müssen, ob wir die Plattformen besser regulieren.“
Hintergrund sind internationale Forderungen, dass junge Menschen nach australischem Vorbild keine sozialen Medien mehr nutzen sollen. Ein entsprechendes Verbot wollen hochrangige Politiker*innen in Deutschland und der EU, darunter Familienministerin Karin Prien (CDU), der französische Präsident Emmanuel Macron und EU-Kommissionspräsidentin Ursula von der Leyen (CDU).
Noch im Februar hatte der Kanzler im Podcast Machtwechsel „viel Sympathie“ für ein Verbot geäußert. Auf ein klares Ja zum Social-Media-Verbot bis 14 Jahre hatte sich die CDU per Parteitagsbeschluss kurz darauf geeinigt. Im April war der Kanzler Gast bei einem von Macron einberufenen virtuellen Gipfeltreffen von Befürworter*innen des Verbots in der EU.
„Hundertprozentige Zustimmung“ – aber wofür?
Dem entgegen steht das jüngste „Nein“ des Kanzlers auf dem Katholikentag am 15. Mai. Mit seinem Verweis auf „bessere“ Regulierung nähert sich Merz den Kritiker*innen eines Verbots an, die digitale Räume lieber sicherer machen wollen, statt junge Menschen auszusperren. In diese Richtung gehen Positionen von Fachleuten für unter anderem Kinderschutz, Medienpädagogik, Privatsphäre und IT-Sicherheit. Klappen soll das mit strengeren Regeln, etwa für algorithmisch sortierte Feeds oder manipulative Designs.
Zur Begründung seiner Position sagt der Kanzler:
Wie gehen wir so damit um, dass gerade Kinder und Jugendliche in ihrer wichtigsten Zeit, in der sie […] fürs Leben geprägt werden, so auch auf einen guten Weg gebracht werden, dass sie ihr Leben meistern können? Und wenn Social Media dazu beiträgt: hundertprozentige Zustimmung. Aber es gibt auch Risiken. Und über diese Risiken müssen wir sprechen.
Aus dem Zitat geht nicht klar hervor, wofür der Kanzler „hundertprozentige Zustimmung“ hat. Anscheinend hat es etwas mit dem Beitrag sozialer Medien fürs Leben junger Menschen zu tun. Im Kern verweist Merz an dieser Stelle jedenfalls auf Risiko-basierte Regulierung – das Gegenstück zu pauschalen Verboten. Dieses Modell verfolgt die EU etwa mit dem Gesetz über digitale Dienste (DSA) und mit Plänen für ein Gesetz über digitale Fairness (DFA).
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Zustimmung für seine Aussage bekam Merz direkt auf der Bühne von Lisa Quarch, Theologin beim Bund der Deutschen Katholischen Jugend (BDKJ). Der Bund lehnt ein Social-Media-Verbot ab. Quarch pochte auf „Ausgewogenheit zwischen Teilhabe und Schutz“, woraufhin der Kanzler mehrfach nickte.
Merz sendet verschiedene Signale
Eine eindeutige Position lässt sich aus den Aussagen des Kanzlers vom Katholikentag allerdings nicht ableiten. Denn an anderer Stelle stärkt Merz die Forderung nach Altersgrenzen:
Wir haben eine Diskussion über die Frage Altersbegrenzung und Zugänge zu bestimmten Plattformen. Ich glaube, dass wir da auf dem richtigen Weg sind. Natürlich kann man alles umgehen. Aber wenn wir immer nur danach gehen, was man alles umgehen kann, dann können wir nichts mehr machen.
Merz versucht hier, ein zentrales Argument der Verbots-Gegner*innen zu entkräften: Dass Verbote keine Wirkung hätten, weil junge Menschen sie umgehen würden. Unklar ist, was Merz mit dem „richtigen Weg“ meint. Denn die Debatte um Altersbegrenzung geht in mehrere Richtungen. Viele prominent vorgebrachte Positionen sind nicht schlüssig oder ambivalent. EU-Kommissionspräsidentin von der Leyen spricht inzwischen von „Aufschub“ statt „Verbot“ – meint jedoch das gleiche.
Was die Kommentare des Kanzlers zur Debatte mindestens zeigen: Die Meinungsbildung in der Bundesregierung geht weiter. Während der Kanzler verschiedene Signale sendet, hat sich die SPD-Fraktion im Bundestag im April für ein Social-Media-Verbot ausgesprochen. CSU-Politiker wie Markus Söder lehnen das Vorhaben jedoch ab. Noch im April hatte die Bundesregierung mitgeteilt, sie habe noch keine Position. Bis zum Sommer sollen Fachleute in Deutschland und auf EU-Ebene Empfehlungen für digitalen Kinder- und Jugendschutz vorlegen.
-
Künstliche Intelligenzvor 3 Monaten
Top 10: Die beste kabellose Überwachungskamera im Test – Akku, WLAN, LTE & Solar
-
Social Mediavor 3 MonatenCommunity Management und Zielgruppen-Analyse: Die besten Insights aus Blog und Podcast
-
Entwicklung & Codevor 2 MonatenCommunity-Protest erfolgreich: Galera bleibt Open Source in MariaDB
-
Künstliche Intelligenzvor 2 MonatenBlade‑Battery 2.0 und Flash-Charger: BYD beschleunigt Laden weiter
-
Künstliche Intelligenzvor 2 Monaten
Top 10: Der beste Luftgütesensor im Test – CO₂, Schadstoffe & Schimmel im Blick
-
Apps & Mobile Entwicklungvor 2 MonatenMähroboter ohne Begrenzungsdraht für Gärten mit bis zu 300 m²
-
Künstliche Intelligenzvor 2 MonateniPhone Fold Leak: Apple spart sich wohl iPad‑Multitasking
-
Social Mediavor 2 MonatenVon Kennzeichnung bis Plattformpflichten: Was die EU-Regeln für Influencer Marketing bedeuten – Katy Link im AllSocial Interview
