Datenschutz & Sicherheit
Beispiellose Malware-Angriffe auf iPhones: Apple mahnt zum Update
iPhone-, iPad- und Mac-Nutzer sollten schnellstmöglich alle verfügbaren Updates einspielen. Die jüngsten Versionen von iOS 26 bis zurück zu iOS 15 schützen gegen Schwachstellen, die durch die zwei mächtigen Exploit-Kits DarkSword und Coruna offenbar für großflächige Angriffe gegen iPhone-Nutzer eingesetzt wurden, wie Apple mitteilte. Ob ein Update vorliegt, lässt sich auf dem Gerät in „Einstellungen > Allgemein > Softwareupdate“ prüfen. Die Software auf dem neuesten Stand zu halten, bleibe der wichtigste Baustein, um das eigene Gerät zu schützen.
Weiterlesen nach der Anzeige
Nicht alle iOS-Versionen erhalten Patches
Genaue Versionsnummern mit sämtlichen verfügbaren Patches nannte der Hersteller nicht. Aktuell sind iOS, iPadOS und macOS 26.3.1, iOS 18.7.6 sowie iOS/iPadOS 16.7.15 und iOS/iPadOS 15.8.7. Für die alten iOS-/iPadOS-Versionen hatte Apple in der vergangenen Woche unter Verweis auf Coruna ein Notfall-Update veröffentlicht. Ob die Exploit-Kits auch gegen Macs eingesetzt wurden, bleibt unklar, Sicherheits-Updates liefert Apple derzeit für macOS 26, macOS 15 und macOS 14.
Nutzer, die noch iOS 17 einsetzen, müssen demnach auf iOS 18 aktualisieren. iPhones, die noch mit iOS 13 oder iOS 14 laufen, sollten zur Beseitigung der Sicherheitslücken auf iOS 15 umsteigen, merkt der Hersteller an.
Mehrere Sicherheitsforscher haben in den vergangenen Tagen ausführliche Analysen zu DarkSword und Coruna veröffentlicht. Zum ersten Mal scheinen hochkomplexe Exploit-Kits im breiteren Stil gegen beliebige iPhone-Nutzer eingesetzt worden zu sein – auch aus finanzieller Motivation und nicht allein im Rahmen gezielter staatlicher Überwachung.
Malware über Webseiten eingeschleust
Der Aufruf einer manipulierten Webseite reichte demnach zur kompletten Kompromittierung des iPhones aus. Dabei konnten angeblich sensible Daten von den Geräten ausgelesen und an die Angreifer übertragen werden. Die Angriffe richteten sich unter anderem gegen Nutzer in der Ukraine, Türkei und Saudi-Arabien, die Exploits waren speziell auf bestimmte Versionen von iOS 17 und iOS 18 ausgelegt.
Weiterlesen nach der Anzeige
(lbe)
Datenschutz & Sicherheit
DSGVO: EuGH schiebt systematischen Auskunftsmissbräuchen Riegel vor
Das Recht auf Auskunft über die eigenen personenbezogenen Daten gehört zu den schärfsten Schwertern der Datenschutz-Grundverordnung (DSGVO). Doch wer dieses Instrument zweckentfremdet, um daraus ein Geschäftsmodell zu machen, stößt nun an juristische Grenzen. Der Europäische Gerichtshof (EuGH) hat am Donnerstag in einem wegweisenden Urteil klargestellt, dass Auskunftsanträge eindeutig als rechtsmissbräuchlich eingestuft werden können. Voraussetzung ist, dass sie allein mit der Absicht gestellt werden, später Schadenersatzansprüche zu provozieren.
Weiterlesen nach der Anzeige
Mit der Entscheidung in der Rechtssache C-526/24 stärkt das höchste europäische Gericht die Verteidigungsmöglichkeiten von Unternehmen gegen sogenannte Datenschutz-Trolle. Der Fall nahm seinen Ausgang vor dem Amtsgericht Arnsberg. Dort entwickelte sich eine Art Lehrstück über eine moderne juristische Grauzone.
Eine in Österreich wohnhafte Person hatte sich für den Newsletter des Optikerunternehmens Brillen Rottler angemeldet und dabei freiwillig ihre Daten in die Maske eingegeben. Nur 13 Tage später forderte sie das Unternehmen nach Artikel 15 DSGVO auf, umfassend Auskunft über die verarbeiteten Daten zu erteilen. Als das Unternehmen den Antrag mit Verweis auf einen mutmaßlichen Missbrauch ablehnte, klagte die Person auf eine Entschädigung von mindestens 1000 Euro für den angeblich entstandenen immateriellen Schaden.
Kläger war kein Unbekannter
Das Optikerunternehmen konnte vor Gericht darauf verweisen, dass der Antragsteller kein Unbekannter war. Medienberichte und Informationen von Rechtsanwälten legten nahe, dass die Person systematisch Newsletter abonniert, unmittelbar danach Auskunft verlangt und bei der kleinsten Verzögerung oder Ablehnung Klagewellen wegen Datenschutzverstößen initiiert. Das Amtsgericht Arnsberg rief daraufhin den EuGH an. Es wollte klären lassen, ob bereits ein erster Auskunftsantrag als „exzessiv“ im Sinne der DSGVO gelten kann und unter welchen Bedingungen ein Schadenersatzanspruch in solchen Konstellationen besteht.
Lesen Sie auch
Die Luxemburger Richter stellten nun fest, dass der einschlägige Schutz der DSGVO nicht schrankenlos gilt. Zwar dient das Auskunftsrecht dazu, dass sich Bürger der Datenverarbeitung bewusst werden und deren Rechtmäßigkeit überprüfen können. Ziel ist es, gegebenenfalls Rechte auf Berichtigung oder Löschung wahrzunehmen. Wenn aber nachgewiesen werden kann, dass ein Antrag trotz formaler Korrektheit nur gestellt wurde, um künstlich die Voraussetzungen für eine Schadenersatzklage zu schaffen, liegt ein Rechtsmissbrauch vor.
Weiterlesen nach der Anzeige
Ein solcher Nachweis kann laut EuGH etwa durch das bisherige Verhalten der Person und öffentlich zugängliche Informationen über ähnliche Forderungen gegenüber anderen Unternehmen geführt werden.
Wann wird Schadenersatz fällig?
Relevant für die Praxis ist die Klarstellung des EuGH zu den Voraussetzungen für Schadenersatz. Ein bloßer Verstoß gegen die DSGVO reicht demnach nicht automatisch für eine Geldentschädigung aus. Der Kläger muss vielmehr nachweisen, dass ihm tatsächlich ein konkreter materieller oder immaterieller Schaden entstanden ist.
Zwar umfasst ein immaterieller Schaden grundsätzlich auch den Kontrollverlust über die eigenen Daten. Doch setzt der EuGH hier jetzt eine entscheidende Hürde: Wer durch sein eigenes Verhalten die entscheidende Ursache für den Schaden gesetzt hat – etwa indem er die Datenverarbeitung nur provoziert, um sie später zu „verklagen“ – kann keinen Ersatz verlangen.
Firmen verspricht dieses Urteil eine Erleichterung. Sie können bei exzessiven Anträgen unter Berufung auf Artikel 12 Absatz 5 DSGVO entweder die Auskunft verweigern oder ein angemessenes Entgelt für den Verwaltungsaufwand verlangen. Trotzdem bleibt die Beweislast beim Verantwortlichen.
Das Amtsgericht Arnsberg muss nun im konkreten Einzelfall prüfen, ob das Verhalten des Klägers die Schwelle zum Missbrauch überschritten hat, wobei Faktoren wie die kurze Zeitspanne zwischen Anmeldung und Antrag sowie die Freiwilligkeit der Datenpreisgabe eine zentrale Rolle spielen.
()
Datenschutz & Sicherheit
Maschinen sollen Papierkram erledigen: „Kollege KI“ steht auf wackeligen Beinen
Sogenannte KI-Agenten sollen die Arbeit von Behörden einfacher machen und Personal entlasten. Digitalminister Karsten Wildberger verspricht sich viel davon. Für KI-Experimente gibt die Verfassung der öffentlichen Verwaltung aber wenig Spielraum.

Digitalminister Karsten Wildberger (CDU) lässt wenig Gelegenheiten aus, um über sogenannte Künstliche Intelligenz zu sprechen. Sein Plan: KI in die Workflows der öffentlichen Verwaltung bringen und die KI-Branche in Deutschland ankurbeln. Im Blick hat er dabei nicht mehr nur Chatbots wie BärGPT vom CityLab Berlin oder LLMoin des öffentlichen IT-Dienstleisters Dataport aus Hamburg. Der neue Hype ist sogenannte agentische KI.
Um diese flächendeckend in der öffentlichen Verwaltung einzuführen, hat das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) im Februar den Agentic AI Hub gestartet. Die Idee des Hubs: KI-Start-ups entwickeln KI-Tools, zugeschnitten auf die Bedürfnisse von Behörden und Ämtern. Staatssekretär Thomas Jarzombek (CDU) sagt dazu: „Wir wollen Start-ups eine Rampe in die Verwaltung bauen.“
Mit KI-Agenten soll die öffentliche Verwaltung effizienter arbeiten und Verwaltungsverfahren sollen insgesamt schneller werden, teilt das BMDS auf Anfrage mit. Das könne man dadurch erreichen, dass agentische KI die Entscheidungsfindung von Sachbearbeiter:innen unterstützt.
„Kollege KI“
Personal in Behörden ist vielerorts überlastet. Unter anderem liegt das an Personalknappheit. Schon jetzt zeichnet sich ab, dass sich das Problem weiter verschärfen wird, wenn Mitarbeiter:innen aus der Boomer-Generation in den Ruhestand gehen.
Mit KI will das BMDS gegen diese Entwicklung ankommen. Die Idee dahinter ist ein „Kollege KI“. Den solle man in die Verwaltung bringen, sagte Heiko Geue im Kontext des KI-Marktplatzes beim Pressegespräch im November. Er ist Vorsitzender des IT-Planungsrats und Finanz- und Digitalminister des Landes Mecklenburg-Vorpommern. Agentische KI könne ähnlich wie ein:e Mitarbeiter:in damit beauftragt werden, bestimmte Aufgaben selbstständig zu erledigen, so das BMDS gegenüber netzpolitik.org. Generative KI könne eine Aufforderung wie „Schreibe einen Bescheid“ in Text umsetzen.
Agentische KI hingegen generiere keine Inhalte wie Texte, Code oder Bilder, sondern könne Aufgaben übernehmen, etwa Antragsunterlagen auf Vollständigkeit prüfen oder personenbezogene Daten in Dokumenten schwärzen. Die Entscheidung solle am Ende aber immer der Mensch treffen, so das Ministerium.
Kommunale KI-Piloten
Ob KI-Programme Mitarbeiter:innen wirklich entlasten und die Arbeit beschleunigen, hierfür legt das BMDS gegenüber netzpolitik.org keine Belege vor. Auf die Frage, welche KI-Projekte Verwaltungsarbeit übernehmen können sollen, verweist die Pressestelle auf den KI-Marktplatz und die H2KI-Plattform. Diese Plattform nutzt KI um Genehmigungsverfahren abzuwickeln. Laut BMDS sei sie „eine Blaupause für den KI-Einsatz bei der Genehmigung von Infrastrukturprojekten“.
Ähnliche Projekte aus Kommunen wählte das BMDS Anfang März aus. Davon gehen zunächst 18 in die Pilotphase und sollen langfristig Verwaltungen bundesweit zur Verfügung stehen. Das Programm Forml der Städte Frankfurt am Main und Düsseldorf richtet sich etwa an Sachbearbeiter:innen von Anträgen auf einen Wohnberechtigungsschein. Laut Produktbeschreibung ist Forml eine Cloud-Software, die „unstrukturierte Daten aus Dokumenten, Scans oder Bildern“ verarbeitet. Es soll eingehende Anträge „auf Vollständigkeit und Einkommen“ prüfen.
Formfix, entwickelt in Köln, Heinsberg und zwei Berliner Bezirken, soll Antragsprozesse auf Hilfe zur Pflege vereinfachen; sowohl für die Antragstellenden als auch für das Amt, das die eingereichten Unterlagen schneller bearbeiten können soll.
Aus dem Neckar-Odenwald-Kreis stammt Lector.ai. „Mittels Vision-LLMs“ verarbeitet die Software Behördenpost und soll „den hohen manuellen Sortieraufwand großer Dokumentenmengen“ reduzieren.
Mehr als Marketing?
Wie viel Zeit können die Werkzeuge in der Praxis einsparen; wie viel Arbeit machen sie langfristig durch Pflege und Fehler? Während solche Fragen noch unbeantwortet sind, rührt der Digitalminister die Werbetrommel. Im Januar warb er damit, dass die KI-Agenten Genehmigungsverfahren zu über 80 Prozent beschleunigen könnten.
Die Bundestagsabgeordnete Rebecca Lenhard von den Grünen fragte nach, wie er zu dieser Einschätzung komme. Weder Methodik noch Vergleichsmaßstäbe hat der Minister offengelegt. „Für eine so weitreichende Behauptung ist das zu wenig“, kommentiert Lenhard in einem Pressestatement.
Effekte der KI-Nutzung müssten „transparent, nachvollziehbar und belastbar evaluiert werden“. Da KI bereits in Genehmigungsverfahren eingesetzt werde, brauche es umso dringlicher „klare Standards für Qualitätssicherung, Nachvollziehbarkeit und Verantwortlichkeit“, fordert die Abgeordnete.
KI ist nicht neutral
Technisch beruhen agentische und generative KI auf denselben großen Sprachmodellen und teilen deren strukturelle Schwächen: KI ist eine Black Box und liefert Output, der nicht neutral ist, sondern „biased“, verzerrt. Black Box meint, es lässt sich nicht genau nachvollziehen, warum KI-Programme zu einem bestimmten Ergebnis kommen.
Das Bias-Problem besteht darin, dass KI-Systeme auf Trainingsdaten basieren, die ihrerseits von Vorurteilen und Ressentiments geprägt sein können. KI-Output kann daher je nach Kontext diskriminierend sein, rassistisch, ableistisch, sexistisch oder ageistisch.
Dieser Effekt kann sich durch kognitive Verzerrungen bei Menschen verstärken, die mit KI-Erzeugnissen arbeiten. Vorurteile und Ressentiments verbergen sich nicht nur in Trainingsdaten, sondern auch in der Interaktion zwischen Mensch und KI. Welche Fragen Menschen KI stellen, wie sie den Output interpretieren und wie sie darauf reagieren, kann beeinflussen, was diese Systeme tun. Zudem kann der sogenannte Automation Bias dazu führen, dass Menschen die Ergebnisse einer Maschine weniger kritisch hinterfragen als Ergebnisse von Kolleg:innen.
Weiter sind Ergebnisse von KI-Systemen sind nicht verlässlich reproduzierbar. Das macht das Arbeiten nach Grundsätzen wie Nachvollziehbarkeit und Verantwortlichkeit schwer.
Verwaltung muss neutral arbeiten
Wenn Unternehmen mit KI experimentieren, haben sie größere rechtliche Spielräume. Die Verwaltung wiederum muss laut Verfassung neutral, objektiv und gesetzestreu handeln. KI-Systeme sind durch ihre Funktionsweise allerdings nicht in der Lage, Normen anzuwenden oder ethische Verantwortung zu übernehmen – ihre Outputs basieren auf berechneten Wahrscheinlichkeiten. Wie lässt sich das mit der Arbeit der Verwaltung vereinbaren?
David Wagner von der Kanzlei Spirit Legal untersucht, wie die öffentliche Verwaltung KI dennoch in verfassungskonformer Weise nutzen kann. Der Rechtsanwalt beschäftigt sich mit Legal Requirement Engineering, er übersetzt also rechtliche Vorgaben methodisch in technische Anforderungen. Unternehmen regulatorische Anforderungen effizient und rechtskonform in technische Lösungen überführen Zwar schließe das Grundgesetz den KI-Einsatz nicht aus. Doch bedürfe es technischer und rechtlicher Leitplanken. Ein Baustein könne eine Protokollpflicht sein, die Sachbearbeiter:innen verpflichtet, Eingaben, Ausgaben und eigene Änderungen am Ergebnis zu dokumentieren. Das allein genüge aber nicht.
Das BMDS betont, am Ende treffe immer ein Mensch die Entscheidung. Wagner hält dagegen: Wenn KI-Systeme Anträge vorprüfen oder Bescheide vorbereiten, präge ihr Output die Entscheidung der Sachbearbeiter:innen. Das europäische Datenschutzrecht schränke solche Konstellationen ein. Demnach dürften Entscheidungen gegenüber Betroffenen nicht allein auf automatisierter Verarbeitung beruhen.
Der EuGH habe klargestellt, dass das Verbot auch greife, wenn die Verarbeitung eine menschliche Entscheidung maßgeblich beeinflusse, so Wagner. Menschliche Kontrolle sei ohnehin gefordert. Im Kontext der Verwaltung entbinde sie den Gesetzgeber aber nicht, den Einsatz von KI durch spezielle Rechtsgrundlagen einzuhegen.
Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.
Datenschutz & Sicherheit
Fake-Entwickler aus Pjöngjang: Wie Nordkorea westliche Unternehmen unterwandert
Gefälschte Profile auf Job-Plattformen, KI-generierte Gesichter im Vorstellungsgespräch, gestohlene Identitäten im Lebenslauf: Nordkorea schleust laut US-Behörden systematisch IT-Arbeiter in westliche Unternehmen ein – und kassiert deren Gehälter für sein Atomwaffenprogramm. Die Aktivitäten sind Teil einer globalen Strategie im Bereich Cybercrime. Die USA haben im Zuge einer laufenden Kampagne Sanktionen gegen sechs Personen und zwei Organisationen verhängt, die das globale Netzwerk am Laufen halten. Auch Europa ist kein sicherer Hafen: Ein Mittelsmann operierte aus Spanien. Auch in anderen Teilen des Kontinents beobachtet die Google Threat Intelligence Group mehr Bewerbungen von nordkoreanischen IT-Fachkräften bei Firmen in Europa.
Weiterlesen nach der Anzeige
Bei der Suche nach geeigneten IT-Fachkräften haben einige US-Unternehmen in den vergangenen Jahren offenbar auf jede Form von Präsenz verzichtet – selbst beim Vorstellungsgespräch. Das FBI riet deshalb bereits im Januar 2025 dazu, dass Firmen zumindest den Einstellungsprozess möglichst von Angesicht zu Angesicht vornehmen sollten. Zum Teil sind die Firmen offenbar auch auf dubiose Personalvermittler hereingefallen.
Nicht nur Fake-Arbeit, sondern auch Erpressung
Wäre es nur das Abkassieren von Löhnen gegen eine Arbeitsleistung, könnten vermutlich einige Firmen sogar damit leben, wenn das Geld nicht in Waffenprogramme fließen würde. Doch die US-Behörden warnen, dass solche IT-Agenten in Einzelfällen auch dazu übergehen, die Unternehmen zu erpressen. Dazu schleusten sie Malware in Firmennetzwerke ein und stahlen sensible Daten. Laut FBI wurden Quelltexte gestohlen und erst gegen Geld freigegeben. Ganze Code-Repositories, etwa auf GitHub, seien auf eigene Accounts und private Cloud-Speicher übertragen worden.
Das US-Finanzministerium beziffert den von Nordkoreanern erwirtschafteten Betrag allein für das Jahr 2024 auf 800 Millionen US-Dollar. Diese Summe ist jedoch nur ein Teil der Einnahmen: In einem Rekordjahr soll Nordkorea zudem zwei Milliarden US-Dollar Kryptogeld gestohlen haben. Bei den jetzt sanktionierten Personen handelt es sich unter anderem um den CEO einer Briefkastenfirma in Vietnam, die 2,5 Millionen US-Dollar für Nordkoreaner in Kryptowährung umtauschte. Der spanische Akteur vermittelte Freelance-IT-Verträge, andere koordinierten die Auslandsentsendung von IT-Arbeitern oder betrieben Geldwäsche. In den USA wurde erst kürzlich eine Helferin wegen des Einschleusens falscher IT-Fachkräfte aus Nordkorea zu einer langjährigen Haftstrafe verurteilt.
Was das FBI Firmen rät
Das FBI rät Unternehmen dazu, bei der Vergabe von Zugriffsrechten restriktiv vorzugehen und den Netzwerktraffic sowie Remote-Verbindungen zu überwachen. Wie wichtig eine genaue Analyse ist, zeigte sich bei Amazon, wo eine minimale Tastatur-Verzögerung einen nordkoreanischen IT-Maulwurf entlarvte. Auch sollten externe Personalvermittler dahingehend überprüft werden, wie sie Neueinstellungen vornehmen.
Weiterlesen nach der Anzeige
Lesen Sie auch
(mki)
-
Künstliche Intelligenzvor 3 MonatenSchnelles Boot statt Bus und Bahn: Was sich von London und New York lernen lässt
-
Social Mediavor 2 WochenCommunity Management und Zielgruppen-Analyse: Die besten Insights aus Blog und Podcast
-
Social Mediavor 1 MonatCommunity Management zwischen Reichweite und Verantwortung
-
Künstliche Intelligenzvor 4 Wochen
Top 10: Die beste kabellose Überwachungskamera im Test – Akku, WLAN, LTE & Solar
-
UX/UI & Webdesignvor 2 MonatenEindrucksvolle neue Identity für White Ribbon › PAGE online
-
Künstliche Intelligenzvor 2 MonatenAumovio: neue Displaykonzepte und Zentralrechner mit NXP‑Prozessor
-
Künstliche Intelligenzvor 3 MonatenÜber 220 m³ Fläche: Neuer Satellit von AST SpaceMobile ist noch größer
-
Künstliche Intelligenzvor 2 MonateneHealth: iOS‑App zeigt Störungen in der Telematikinfrastruktur
