Unklarheiten im Datenschutz: Ihre Rechte auf dem Prüfstand
Die Sächsische Datenschutz- und Transparenzbeauftragte (SDTB) hat deutlich gemacht, dass sie nicht für den ARD ZDF Deutschlandradio Beitragsservice zuständig ist. Dies wirft Fragen zur Durchsetzung von Betroffenenrechten nach der Datenschutz-Grundverordnung auf, da die SDTB in diesen Fällen nicht intervenieren kann.
Die aktuellen Beschwerden an die SDTB bezüglich des ARD ZDF Deutschlandradio Beitragsservice zeigen ein wachsendes Unbehagen über die Verarbeitung personenbezogener Daten. Diese Situation schafft eine rechtliche Unsicherheit für Betroffene, die eine Auskunft gemäß Artikel 15 DSGVO erwarten. Unternehmen sind aufgerufen, ihre Datenschutzstrategien zu überprüfen und ihre Mitarbeiter über die Zuständigkeiten im Datenschutz aufzuklären.
Zuständigkeiten im Datenschutz
In Sachsen ist der Rundfunkdatenschutzbeauftragte die zuständige Instanz für Beschwerden gegenüber dem ARD ZDF Deutschlandradio Beitragsservice. Unternehmen müssen sich vergewissern, dass ihre Praktiken den gesetzlichen Anforderungen entsprechen und auf die richtige Anlaufstelle verweisen, wenn es um datenschutzrechtliche Fragen geht.
Relevanz der Datenschutz-Grundverordnung
Artikel 15 der Datenschutz-Grundverordnung gibt betroffenen Personen das Recht auf Auskunft über ihre gespeicherten personenbezogenen Daten. Dennoch zeigen Umfragen, dass viele Unternehmen sich unsicher fühlen, wie sie diesen Anforderungen gerecht werden können. Die Nichteinhaltung dieser Rechte kann zu kostspieligen Konsequenzen führen.
Empfehlungen zur Verbesserung der Datenorganisation
Um Risiken durch Datenverluste zu minimieren, sollten Unternehmen folgende Strategien implementieren: rollenbasierte Zugriffsrechte, regelmäßige Überprüfungen der Sicherheitsprotokolle sowie Schulungen für Mitarbeiter. Eine ganzheitliche Betrachtung der IT-Sicherheit ist hierbei unerlässlich, um nicht nur rechtliche Anforderungen zu erfüllen, sondern auch das Vertrauen von Kunden und Partnern zu gewinnen.
Fazit
Die Ungewissheit über Zuständigkeiten im Bereich Datenschutz kann erhebliche Risiken für Unternehmen darstellen. Es ist entscheidend, die internen Prozesse zu klären und sicherzustellen, dass alle Mitarbeiter über die geltenden Regelungen informiert sind. Nur so können Unternehmen potenzielle rechtliche Konsequenzen und wirtschaftliche Schäden vermeiden.
Wichtige Maßnahmen zur Sicherstellung der IT-Sicherheit sollten regelmäßig überprüft werden. Dazu gehört auch, die Weiterentwicklung von Angriffstechniken zu berücksichtigen und IT-Sicherheit als strategische Aufgabe zu definieren. Nur eine umfassende Prävention gegen Datenverluste und Cyberangriffe kann weitreichende wirtschaftliche Schäden und Reputationsrisiken minimieren.
Sprechen Sie mit uns
Tulos ist Ihr kompetenter Partner in allen Fragen des Datenschutzes und der Informationssicherheit. Wir unterstützen Sie bei der Implementierung von Datenschutzrichtlinien und der Durchführung von Audits, um Ihre IT-Umgebung abzusichern. Besuchen Sie unsere Webseite für weitere Informationen: Datenschutz.
Inside the Walls: Are Your AI Agents Working for You?
AI agents are rapidly being adopted within enterprises, presenting challenges for identity governance. With traditional identity management systems unable to cope with the unique operational dynamics of AI agents, organisations must seek innovative solutions to manage identity dark matter effectively.
The deployment of AI agents is accelerating at a pace that outstrips the development of governance policy controls, as highlighted by Gartner in their inaugural Market Guide for Guardian Agents. This has raised alarms among identity security teams, who are grappling with a structural gap in identity management. Traditional systems were designed primarily for human users, whereas AI agents operate continuously and across multiple applications, generating activity at machine speed.
Orchid Security has identified this phenomenon as „identity dark matter,“ which refers to the invisible and unmanaged identity activity that occurs outside the visibility of conventional identity and access management (IAM) platforms. Approximately half of enterprise identity activity is occurring outside central IAM visibility, creating an urgent need for organisations to enhance their governance processes.
Understanding AI Agents in Enterprise Environments
One of the pressing questions for identity teams is identifying the AI agents running within their environments. Many enterprises lack a central inventory of these agents, leading to a lack of visibility regarding what data they access and what identities they utilise. Orchid’s „Ask Orchid“ AI agent addresses this by applying identity observability across applications, examining user accounts, authentication flows, and runtime activity.
This capability allows organisations to automatically discover AI agents and understand their risk profiles, ensuring oversight of AI adoption rather than being overwhelmed by it. Furthermore, compliance with standards such as the NIST Cybersecurity Framework (CSF) has also become a critical concern for enterprise Chief Information Security Officers (CISOs).
Compliance and Credential Management Challenges
Maintaining compliance with NIST requirements has historically necessitated external audits; however, Orchid’s platform changes this paradigm. By assessing identity controls at the binary level, it provides a clear view of compliance status and identifies gaps that need addressing. This proactive approach allows organisations to rectify compliance issues before they are highlighted in an audit.
Static credentials present another significant challenge in identity security. These often forgotten credentials, such as service accounts and API tokens, can become prime targets for attackers. By querying „Ask Orchid,“ organisations can gain visibility into static credentials that require immediate rotation, allowing them to prioritise remediation based on risk exposure.
Closing the Gap in Identity Management
The gap in visibility within traditional IAM platforms stems from their inability to monitor activities post-authentication. Orchid Security’s approach, which involves working directly within applications at the source of identity activity, allows for a more comprehensive view of the identity landscape. This method not only identifies AI agents but also tracks their actions, ensuring accountability and compliance.
Orchid’s five principles for secure AI-agent adoption include human-to-agent attribution, comprehensive activity audits, and dynamic context-aware guardrails. This framework aims to ensure that AI agents operate within secure parameters and do not compromise enterprise security.
In conclusion, enterprises must tackle the challenges posed by the rapid adoption of AI agents and the resulting identity dark matter. By leveraging platforms like Orchid Security, organisations can enhance their visibility, compliance, and overall security posture.
For further insights on managing AI agents and improving identity governance, consider reaching out to experts in the field to explore tailored solutions for your enterprise.
Quelle: Hacker-News
MuddyWater Exploits Microsoft Teams in Deceptive Ransomware Scheme
The Iranian state-sponsored hacking group MuddyWater has executed a ransomware attack, leveraging Microsoft Teams in a sophisticated social engineering operation. This incident, described as a „false flag“ operation, highlights the group’s evolving tactics in the cyber landscape.
The MuddyWater group, also known by aliases such as Mango Sandstorm, Seedworm, and Static Kitten, has been linked to a ransomware attack identified by Rapid7 in early 2026. This attack was characterised by its use of Microsoft Teams for social engineering, allowing attackers to manipulate targets into revealing credentials and bypassing multi-factor authentication. While the attack bore initial similarities to ransomware-as-a-service (RaaS) operations associated with the Chaos brand, further analysis indicates its nature as a state-sponsored effort masquerading as opportunistic extortion.
The campaign’s execution involved a high-touch phase of social engineering, where attackers used interactive screen-sharing sessions to harvest sensitive information. Rather than employing traditional ransomware techniques, MuddyWater opted for data exfiltration and sustained access through remote management tools such as DWAgent. This marked a significant shift in their approach, as they increasingly relied on readily available tools from the cybercrime underground to complicate attribution efforts.
The implications of this attack extend beyond mere credential theft. The group’s ability to blend state-sponsored tactics with cybercriminal methods complicates the landscape for cybersecurity professionals, making it challenging to determine the true nature of the threat. The attackers demonstrated a calculated strategy, exploiting weaknesses in organisations‘ security postures while leveraging elements of RaaS frameworks to obscure their intentions.
In previous operations, such as those conducted in 2020 and 2023, MuddyWater has targeted high-profile organisations, particularly within Israel. Their tactics have evolved over time, incorporating methods associated with the broader extortion market while serving strategic objectives aligned with Iranian interests. The use of tools like Qilin ransomware further illustrates this trend, as the group seeks to operate under layers of plausible deniability.
The ongoing cyber activities attributed to MuddyWater reflect a broader escalation in Iranian-linked operations, which may have significant implications for international relations and cybersecurity practices. As the lines between state-sponsored actions and financially motivated cybercrime blur, organisations must remain vigilant and proactive in defending against these evolving threats.
In conclusion, the MuddyWater group’s recent activities underscore the increasing sophistication of cyber threats. The interplay between state-sponsored and cybercriminal actions requires organisations to adopt comprehensive security strategies to safeguard their assets and data from such complex adversaries.
To stay informed about emerging threats in cybersecurity, consider implementing regular training sessions for your staff on recognising social engineering tactics and investing in advanced security solutions.
Quelle: Hacker-News
Wo ist Timmy?
Wo ist Wal Timmy – und wie geht es ihm? Der angebrachte Peilsender liefert keine Daten mehr. Ein typischer Fall von einer Datenpanne, im Fachjargon „Data Incident“.
Datenpannen treten im Alltag leider regelmäßig auf, nicht nur bei Wal Timmy. Die Auswirkungen können erheblich sein. Sie reichen von hohen Kosten für die Wiederherstellung verlorener Daten bis hin zu Haftungsrisiken bei der Verletzung gesetzlicher Vorgaben wie der DSGVO oder vertraglicher Verpflichtungen. Hinzu kommen Reputationsschäden, also ein sinkendes Vertrauen von Kunden und Partnern in das Unternehmen.
Wie entstehen Datenpannen?
Im Fall des Peilsenders von Timmy deuten Berichte auf ein technisches Problem hin. Auch in Unternehmen können solche technischen Defekte vorkommen. Sie sind allerdings nicht die einzige Ursache.
Für viel Aufsehen sorgen Datenpannen, wenn sie absichtlich herbeigeführt wurden, etwa durch Cyberangriffe und Schadsoftware.
Oft sind die Ursachen aber weitaus banaler. Nicht selten sind menschliche Fehler die Ursache. Versehentlich wurden Daten gelöscht oder entsorgt, die eigentlich noch hätten aufbewahrt werden müssen.
Meistens gibt es verschiedene Ursachen, etwa einen menschlichen Fehler, der einen Cyberangriff erst möglich macht. Ein Beispiel dafür ist die Phishing-Attacke auf Signal-Konten von Mitgliedern des Bundestags. Der Angriff war nur möglich, weil die Betroffenen Sicherheitsstandards ignorierten.
So vermeiden Sie Datenverluste
Datenverluste lassen sich jedoch vermeiden oder zumindest deutlich reduzieren – durch ein systematisches Vorgehen:
- Identifikation der verarbeiteten Daten und Bewertung ihrer Bedeutung für das Unternehmen
- Analyse der Risiken, insbesondere:
-
- Wie hoch ist der Schaden, wenn Daten nicht verfügbar oder fehlerhaft sind?
- Wie häufig treten vergleichbare Vorfälle auf?
- Was sind die Ursachen?
- Geeignete Maßnahmen, um Risiken zu vermeiden und dadurch Datenschäden zu verhindern
Gerne helfen wir Ihnen bei der Implementierung eines Informationssicherheits-Managementsystems (ISMS). Dabei arbeiten wir von Tulos Consulting strukturiert nach anerkannten Standards wie ISO/IEC 27001, BSI-Grundschutz und NIS-2. Dadurch liefern unsere Audits nachvollziehbare Ergebnisse und praxisnahe Maßnahmen zur Verbesserung der Datensicherheit.
Zunehmend verlangt auch der Gesetzgeber Maßnahmen zum Schutz vor Datenpannen, die durch Zertifizierungen nachgewiesen werden müssen. Auch Kunden bestehen nicht selten auf Sicherheit in der Datenverarbeitung. Schließlich verlangen auch Versicherungen gegen Cyberschäden nachweisbare Maßnahmen für den Datenschutz. In diesen Fällen ist es wichtig, einen Partner zu haben, der sie fit für die Zertifizierung macht.
Viele Rechtsstreitigkeiten, lassen sich mit nachweisbar sicherer Datenverarbeitung besser bestreiten. Die Zertifikate nach ISO- oder BSI-Normen sind international anerkannt.
Rechtzeitig aktiv werden
Hätte man im Vorfeld geprüft, ob der eingesetzte Peilsender für Wal Timmy geeignet ist, wüssten wir heute mehr über seinen Aufenthaltsort und seinen Zustand. Vielleicht hätte man Timmy auch weiterhelfen können, falls er sich, trotz Freiheit weiterhin in Schwierigkeiten begibt.
Tulos-Consulting-Experten kennen sich mit Meeressäugern nicht aus. Wir haben aber über 20 Jahre Erfahrungen mit Betriebsprozessen, den Menschen darin und den eingesetzten IT-Systemen.
Wir analysieren die Risiken der Datenverarbeitung und unterstützen Sie dabei, geeignete Maßnahmen zu implementieren, die Datenpannen präventiv vermeiden. Ist der Schaden bereits eingetreten, können wir oft trotzdem helfen und die Folgen reduzieren. Verschaffen Sie sich unter Lösungen einen Überblick über unsere Angebote oder schreiben Sie uns eine Nachricht.
Datenschutzgerechte Kommunikation bei Mitarbeiterwechsel
Die datenschutzkonforme Kommunikation bei Mitarbeiterfluktuation ist für Unternehmen von entscheidender Bedeutung. Eine fehlerhafte Informationsweitergabe kann rechtliche Konsequenzen und finanzielle Risiken nach sich ziehen. Unternehmen müssen daher eine klare Strategie zur Kommunikation von Personalveränderungen entwickeln.
In der heutigen Arbeitswelt, in der Mitarbeiterfluktuation häufig vorkommt, stellt sich die Frage, wie Unternehmen ihre Belegschaft über personelle Veränderungen informieren dürfen. Datenschutzrechtliche Vorgaben sind in diesem Kontext zu beachten, da sie maßgeblich die Art und Weise der Kommunikation steuern.
Rechtsgrundlagen der Datenverarbeitung
Die Informationsweitergabe über Mitarbeiter, die das Unternehmen verlassen oder neu hinzukommen, fällt unter die Datenschutz-Grundverordnung (DSGVO). Die Verarbeitung personenbezogener Daten ist nur dann rechtmäßig, wenn sie zur Erfüllung arbeitsvertraglicher Verpflichtungen erforderlich ist. Hierbei sind Artikel 6 Absatz 1 lit. b DSGVO sowie § 26 Bundesdatenschutzgesetz zu beachten.
Prüfung der Erforderlichkeit der Kommunikation
Die Erforderlichkeit der Datenverarbeitung variiert je nach Einzelfall. Datenschutzbehörden gehen in der Regel davon aus, dass eine Verarbeitung rechtmäßig ist, wenn sie zur Aufrechterhaltung interner Abläufe dient. Bei Kündigungen von Führungspersonen, deren Abgang das Team betrifft, ist es wichtig, die betroffenen Mitarbeiter zu informieren, um interne Abläufe transparent zu halten.
Adressatenkreis und Informationsgehalt
Bei der Bekanntgabe von personellen Veränderungen ist der Adressatenkreis maßgeblich. Informationen sollten nur an direkt betroffene Mitarbeiter weitergegeben werden. Eine Rundmail an alle Angestellten ist meist nicht zulässig. Der Inhalt der Mitteilung sollte sich auf die wesentlichen Informationen beschränken – insbesondere Angaben zu Kündigungsgründen sind zu vermeiden.
Folgen rechtswidriger Datenverarbeitung
Wenn die Weitergabe von Daten über die erforderlichen Informationen hinausgeht, kann dies erhebliche rechtliche Konsequenzen nach sich ziehen. Betroffene Mitarbeiter haben möglicherweise Anspruch auf Schadensersatz, und das Unternehmen kann mit Bußgeldern von bis zu 4% des Jahresumsatzes bestraft werden.
Einvernehmliche Regelungen zur Kommunikation
Bei Führungskräften kann es sinnvoll sein, eine einvernehmliche Regelung zur Mitteilung des Ausscheidens zu treffen. Diese Regelung sollte sicherstellen, dass der Mitarbeiter über den Inhalt der Mitteilung informiert wird und die Möglichkeit hat, die Freigabe seiner Daten zu widerrufen. Durch diese Transparenz wird auch das Risiko von Konflikten minimiert.
Etablierung eines Kommunikationsprozesses
Unternehmen sollten die Kommunikation über Personalwechsel als festen Bestandteil ihrer On- und Offboarding-Prozesse etablieren. Dazu empfiehlt es sich, einer standardisierten Checkliste zu folgen, um sicherzustellen, dass Informationen nur auf das notwendige Minimum beschränkt sind und dass datenschutzrechtliche Anforderungen erfüllt werden.
Schlussfolgerung
Unternehmen sind gefordert, die Kommunikation über Mitarbeiterfluktuationen so zu gestalten, dass sie den gesetzlichen Vorgaben entspricht und gleichzeitig die Interessen aller Mitarbeiter wahrt. Ein proaktiver und gut strukturierter Ansatz kann Risiken minimieren sowie das Vertrauen innerhalb des Unternehmens stärken.
Optimieren Sie Ihre Kommunikationsstrategien
Nutzen Sie die Expertise von Tulos, um sicherzustellen, dass Ihre personalpolitischen Kommunikation den datenschutzrechtlichen Anforderungen gerecht wird und rechtlichen Risiken vorbeugt. Besuchen Sie uns für weitere Informationen:
Datenschutz 2025: Herausforderungen und Lösungen
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit hat kürzlich seine Tätigkeitsberichte für 2025 vorgelegt. Die Berichte zeigen einen signifikanten Anstieg der Datenschutzanfragen und -beschwerden, was die wachsende Relevanz des Themas Datenschutz unterstreicht.
Mit der fortschreitenden Digitalisierung wird der Datenschutz immer bedeutender für Unternehmen und Bürger. Die steigenden Anfragen und Beschwerden zeugen von einem wachsenden Bewusstsein für Persönlichkeitsrechte und der Notwendigkeit, Daten angemessen zu schützen. Es wird für Unternehmen zunehmend wichtiger, den gesetzlichen Anforderungen der Datenschutz-Grundverordnung (DS-GVO) gerecht zu werden.
Erhöhte Arbeitsbelastung der Datenschutzaufsicht
Die HBDI-Behörde verzeichnete im Jahr 2025 einen Anstieg der Beschwerden um 58 % auf insgesamt 6.070. Besonders relevant sind die steigenden Zahlen in sensiblen Bereichen wie Auskunfteien und Beschäftigtendatenschutz, wo sich die Beschwerden mehr als verdreifachten. Trotz dieser Zunahme ist die Anzahl der Mitarbeiter gleich geblieben, was die Arbeitsbelastung der Behörde erhöht und die Bearbeitungszeiten für Anfragen verlängert.
Beratungsanfragen und individuelle Unterstützung
Die Vielzahl an Beratungsanfragen zeigt, dass sowohl Behörden als auch Unternehmen rechtliche Klarheit benötigen. Im Jahr 2025 führte die HBDI 1.200 individuelle Beratungen durch, beispielsweise zur datenschutzgerechten Nutzung von Gesundheitsdaten oder zum Schutz von Patientendaten. Besonders häufig werden auch Fragen zu Künstlicher Intelligenz gestellt, was die Komplexität der Datenschutzpraxis erhöht.
Sanktionen und Bußgelder im Jahr 2025
Obwohl keine schwerwiegenden Verstöße gegen den Datenschutz festgestellt wurden, blieb eine präventive Maßnahme unerlässlich. Die HBDI verhängte im Berichtsjahr 47 Geldbußen im Gesamtwert von 190.100 €, beispielsweise wegen unzulässiger Nutzung personenbezogener Daten in der Werbung oder im Bereich der Polizei. Die rechtzeitige Identifikation und Beseitigung von datenschutzwidrigen Zuständen bleibt eine zentrale Aufgabe der Datenschutzaufsicht.
Zunahme von Cyberangriffen und Datenschutzverletzungen
Cyberangriffe und Meldungen von Datenschutzverletzungen nahmen signifikant zu. Im Jahr 2025 wurden über 2.700 Datenschutzverletzungen gemeldet, was einem Anstieg von 28 % gegenüber dem Vorjahr entspricht. Die Gefahren durch raffinierte Cyberangriffe verlangen von Unternehmen eine verstärkte Aufmerksamkeit hinsichtlich ihrer IT-Sicherheitsstrategien.
Wichtigkeit der Informationsfreiheit
Zusätzlich zu den Datenschutzberichten wurde der Tätigkeitsbericht zur Informationsfreiheit veröffentlicht. Hier stieg die Anzahl der Beratungen leicht an, was darauf hinweist, dass auch das Bewusstsein für den Zugang zu Informationen wächst. Die fortschreitende Digitalisierung eröffnet neue Möglichkeiten zur Antragsstellung, erfordert jedoch gleichzeitig Anpassungen an den sich ändernden technologischen Rahmenbedingungen.
Schlussfolgerung: Bedeutung des Datenschutzes verstehen
Die Berichte verdeutlichen die zunehmende Relevanz des Datenschutzes in der heutigen Gesellschaft. Unternehmen sollten verstehen, welche rechtlichen Verpflichtungen bestehen und wie sie diese umsetzen können, um ihre Reputationen zu schützen und wirtschaftliche Schäden zu vermeiden. Der gestiegene Bedarf an rechtlich fundierter Beratung und Unterstützung ist ein klares Indiz für die Notwendigkeit, sich aktiv mit dem Thema Datenschutz auseinanderzusetzen.
Um langfristig wettbewerbsfähig zu bleiben, sind regelmäßige Security-Checks und die Weiterentwicklung der IT-Sicherheitsstrategien unerlässlich. IT-Sicherheit sollte als strategische Aufgabe betrachtet werden, um präventiv gegen Datenverluste und Cyberangriffe vorzugehen. Es ist entscheidend, klare Standards zu definieren und die Zugriffe auf sensible Daten, wie Kunden- und Mitarbeiterdaten, kontrolliert zu gestalten. Dies trägt zur Minimierung von wirtschaftlichen Schäden und Reputationsrisiken bei und erfordert die Verantwortung des Managements.
Jetzt handeln und informieren
Nutzen Sie die Expertise von Tulos, um Ihre Datenschutzstrategien zu optimieren. Wir unterstützen Sie bei der Umsetzung der DS-GVO und der gesamtheitlichen Sicherstellung Ihrer IT-Infrastruktur. Informieren Sie sich über unsere Angebote:
Quelle: datenschutz.hessen.de
