Achtung: Bis zum 01.09.26 übernehmen wir nur noch ausgewählte Strafverteidigungen und sind nur per Mail erreichbar!
Anwaltskanzlei Ferner Alsdorf (Rechtsanwalt für Strafrecht & IT-Recht im Raum Aachen, Heinsberg, Düren)

Anwaltskanzlei Ferner Alsdorf (Rechtsanwalt für Strafrecht & IT-Recht im Raum Aachen)

Kategorie: IT-Sicherheit

Blog zu IT-Sicherheit & Cybersecurity: Rechtsanwalt Ferner im Cybersecurity Blog; der Fachanwalt für IT-Recht Jens Ferner berät Unternehmen rund um IT-Sicherheit und zum IT-Sicherheitsgesetz.

Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen

Achtung: Bis zum 01.09.26 übernehmen wir nur noch ausgewählte Strafverteidigungen und sind nur per Mail erreichbar!

Kontakt
Rückruf Buchen
Rechtsanwalt Ferner in Alsdorf, Aachen; Fachanwalt für Strafrecht und Fachanwalt für IT-Recht in der Städteregion Aachen, leicht verfügbar für Betroffene in Alsdorf, Aachen, Würselen, Baesweiler, Herzogenrath, Eschweiler, Übach-Palenberg, Geilenkirchen und Aldenhoven
  • Wenn die eigene KI zum Angreifer wird

    Wenn die eigene KI zum Angreifer wird

    Ein Sicherheitsteam von OpenAI startet einen Testlauf, will die Cyberfähigkeiten neuer Modelle vermessen, und wenige Stunden später steht der Angriff nicht im Testlabor, sondern in der fremden Infrastruktur von Hugging Face. Für ein Unternehmen, das mit Kontrolle über seine Technik wirbt, ist das ein unangenehmer Moment, und für alle anderen ein Vorgeschmack darauf, was auf sie zukommt.

    Ich greife den Vorgang auf, weil ich in KIR 2025, 374 den meines Wissens ersten juristischen Fachaufsatz zum LLM-Hacking, speziell zur strafrechtlichen Relevanz von Cyberangriffen mittels und gegen LLM, publiziert habe. Hier gehe ich konkret auf strafrechtliche Fragen der Zuordnung und Verantwortlichkeit KI-getriebener Angriffe ein und ordne das im Folgenden anhand des nunmehr praktisch aufgetretenen Szenarios kurz ein.

    (mehr …)
  • Untersagung kritischer Komponenten: § 41 BSIG im neuen Cybersicherheitsrecht

    Untersagung kritischer Komponenten: § 41 BSIG im neuen Cybersicherheitsrecht

    Am 23. Juni 2025 legte ein simpler Wartungsfehler am Bahnfunk den gesamten deutschen Zugverkehr lahm, und innerhalb weniger Stunden stand eine ganz andere Forderung im Raum: ein Verbot chinesischer Komponenten in kritischer Infrastruktur. Dabei zeigt der Vorfall vor allem eines, nämlich dass es keinen nachgewiesenen Angriff und keinen Bezug zum Herkunftsland einer Komponente braucht, damit ein Betreiber plötzlich vor einer Untersagungsverfügung nach § 41 BSIG und Millionenkosten für den erzwungenen Ausbau steht.

    Wer in kritischen Infrastrukturen tätig ist, kennt das Thema schon aus dem IT-Sicherheitsgesetz 2.0 von 2021: Bestimmte IKT-Produkte können vom Bundesministerium des Innern (BMI) verboten werden, wenn ihr Einsatz die öffentliche Sicherheit oder Ordnung der Bundesrepublik gefährdet. Früher war das in § 9b BSIG a.F. geregelt, nun – nach dem NIS-2-Umsetzungsgesetz vom 2. Dezember 2025 – findet es sich in § 41 BSIG n.F. Kommentarliteratur zur neuen Fassung ist noch kaum vorhanden.

    Das bedeutet aber nicht, dass die inhaltliche Behandlung von vorn beginnen müss: Die zur Vorgängernorm § 9b BSIG a.F. erschienene Kommentarliteratur dürfte in wesentlichen Teilen ihre Relevanz behalten, weil der neue § 41 BSIG strukturell und inhaltlich stark an die Vorgängernorm anknüpft.

    Hinweis: Ich kommentiere im BeckOK-StPO zum Thema kritische Komponenten im Bereich der Telekommunikation.

    (mehr …)
  • Rechtsfragen des GPS-Jamming (Update)

    Rechtsfragen des GPS-Jamming (Update)

    GPS-Jamming und Spoofing sind Themen, die man leicht für technische Spielerei halten könnte – in meinem aktuellen juristischen Aufsatz (Ferner, AnwZert ITR 1/2026 Anm. 3) zeige ich aber, wie gefährlich diese Funkstörung für unsere Sicherheit sind und welche rechtlichen Fragen daran hängen. Ausgangspunkt meiner Überlegungen war ein allseits bekannter Vorfall: Das Flugzeug der EU‑Kommissionspräsidentin muss Ende 2025 mitten in Europa auf klassische Navigationsmethoden ausweichen, weil GPS offenbar gezielt gestört wird – ein Ereignis, das ich mit der dokumentierten Zunahme von Störungen im Ostseeraum verbinde und so als Symptom einer neuen Normalität hybrider Bedrohungen aufgreife.

    Doch inzwischen ist die Lage noch klarer: Eine im Juni 2026 veröffentlichte Studie hat erstmals nachgewiesen, dass die GPS-Störungen über Europa nicht allein von bodengebundenen Sendeanlagen in Kaliningrad oder Murmansk ausgehen, sondern von einer Konstellation russischer Frühwarnsatelliten in hochelliptischen Molnija-Umlaufbahnen. Was bislang Gegenstand vorsichtiger Verdachtsmomente war, ist damit technisch erhärtet: Russland betreibt eine raumgestützte GNSS-Interferenzquelle mit kontinentweiter Reichweite – ein qualitativer Sprung gegenüber allen bisher bekannten Störinfrastrukturen.

    (mehr …)
  • MOVEit-Datenleck und DSGVO-Haftung im Sozialrecht

    MOVEit-Datenleck und DSGVO-Haftung im Sozialrecht

    Wer Opfer eines Hackerangriffs wird, sieht sich schnell selbst auf der Anklagebank: Geschädigte verlangen Schmerzensgeld, und der naheliegende Gedanke lautet, dass schon der erfolgreiche Angriff den Beweis für lückenhafte Sicherheit liefere. Genau dieser Schluss ist falsch – das Sozialgericht Nürnberg hat ihn mit Endurteil vom 10.06.2026 (Az. S 5 SF 65/24 DS) im Zusammenhang mit dem weltweiten MOVEit-Datenleck zurückgewiesen und die Klage einer Versicherten gegen ihre Krankenkasse und deren Auftragsverarbeiter vollständig abgewiesen.

    (mehr …)
  • Verbotene Wörter im Schadcode: Wie Angreifer KI-Analysen aushebeln

    Verbotene Wörter im Schadcode: Wie Angreifer KI-Analysen aushebeln

    Sicherheitsfirmen prüfen eine große Anzahl von Open-Source-Paketen automatisiert. Doch was ist, wenn dabei auf ein Sprachmodell vertraut wird, das den Code im ersten Durchlauf bewertet? Wenn man dann eine Datei öffnet, springt einem noch bevor die eigentliche Logik beginnt ein Kommentarblock entgegen, der von Nuklear- und Biowaffen spricht oder das Modell anweist, alle Sicherheitsregeln zu vergessen. Genau das geschieht inzwischen offenbar in freier Wildbahn – und es ist kein Zufallsfund, sondern eine bewusst entwickelte Waffe gegen die Werkzeuge, mit denen wir uns verteidigen.

    (mehr …)
  • Wenn der eigene Mitarbeiter eine Sicherheitslücke findet: Rechtliche Risiken für Unternehmen

    Wenn der eigene Mitarbeiter eine Sicherheitslücke findet: Rechtliche Risiken für Unternehmen

    Ein Mitarbeiter Ihrer IT-Abteilung bemerkt bei der Nutzung einer eingekauften Softwarelösung, dass die Anwendung Datenbankzugangsdaten im Klartext übermittelt und der Zugriff auf deutlich mehr Datensätze möglich ist, als der eigene Account eigentlich erlaubt. Er dokumentiert den Fund, greift kurz auf eine der fremden Kundendaten zu, um die Lücke zu belegen – und meldet den Vorfall intern.

    Was harmlos klingt und gutgläubig gemeint war, kann erhebliche strafrechtliche und zivilrechtliche Konsequenzen haben. Für das Unternehmen selbst, für den Mitarbeiter – und im schlimmsten Fall für beide.

    (mehr …)
  • Trojanische Pferde in Unternehmen

    Trojanische Pferde in Unternehmen

    Unsichtbare Bedrohung durch nordkoreanische Hacker

    Eine der gravierendsten modernen Cyberrisiken ist die Gefahr durch nordkoreanische IT-Arbeiter, die sich als trojanische Pferde in Unternehmen auf der ganzen Welt einschleichen. Derart hochqualifizierte Hacker agieren verdeckt, tarnen ihre wahre Identität und dringen so in die Netzwerke von Firmen ein, um enorme Summen zu generieren – Gelder, die letztlich das nordkoreanische Waffenprogramm finanzieren. Im Folgenden kurz dazu, wie diese Hacker vorgehen, welche Risiken sie darstellen und warum es unerlässlich ist, funktionierende Verifikationsprozesse für externe IT-Remote-Arbeiter zu etablieren.

    Updates: Im Oktober 2024 hat auch das Bundesamt für Verfassungsschutz eine entsprechende Warnung herausgegeben, die hier aufgenommen wurde. Im Dezember 2025 wurden ein Erfahrungsbericht von Amazon sowie weitere aktuelle Daten in den Beitrag aufgenommen. Und im Juni 2026 habe ich nochmals um aktuelle Entwicklungen erweitert.

    (mehr …)
  • Claude Mythos und die NSA: Neue hybride Kriegsführung?

    Claude Mythos und die NSA: Neue hybride Kriegsführung?

    Cyberwar mittels Claude Mythos? Anfang Juni 2026 berichtete die Financial Times (dazu bei TheDecoder und bei Heise), dass das US-amerikanische Unternehmen Anthropic rund sechs eigene Ingenieure – sogenannte „Forward-Deployed Engineers“ – direkt bei der NSA stationiert haben soll, um sein bislang nicht öffentlich zugängliches KI-Modell Claude Mythos für offensive Cyberoperationen gegen China und Iran einzusetzen.

    Was auf den ersten Blick wie eine technologische Kuriosität aus dem US-Geheimdienstumfeld wirkt, ist bei näherer Betrachtung eine Zäsur: Zum ersten Mal betreibt ein privates Unternehmen hochfähige KI-Systeme aktiv als verlängerter Arm eines staatlichen Nachrichtendienstes – im Rahmen hybrider Konfliktführung, versteht sich ohne förmliche Kriegserklärung, unterhalb der Schwelle des bewaffneten Angriffs. Das verdient eine genauere juristische und konzeptionelle Einordnung.

    Ich befasse mich als Fachanwalt für Strafrecht und für IT-Recht seit Jahren publizistisch mit den rechtlichen Dimensionen des Cyberraums – von der strafrechtlichen Einordnung staatlich gesteuerter Cyberangriffe über die Phänomenologie moderner Cyberkriminalität bis hin zu konkreten Angriffsvektoren wie GPS-Jamming. Zuletzt erschienen sind meine Beiträge „Cyberwar, Hackbacks und Desinformation – Juristische und technische Implikationen unklarer Begriffe“ (AnwZert ITR 3/2025 Anm. 2), „Neuentwicklungen der Cybercrime-Phänomenologie“ (AnwZert ITR 22/2025 Anm. 2) sowie „Rechtsfragen des GPS-Jammings“ (AnwZert ITR 1/2026 Anm. 3), auf die ich im Folgenden an geeigneter Stelle Bezug nehme.

    (mehr …)
  • Privacy by Design und Mangelhaftung: Wenn nicht-datenschutzkonforme Software den Käufer trifft

    Privacy by Design und Mangelhaftung: Wenn nicht-datenschutzkonforme Software den Käufer trifft

    Stellen Sie sich vor, ein mittelständisches Unternehmen kauft für teures Geld eine Personalverwaltungssoftware – modern, funktional, vom etablierten Anbieter. Zwei Jahre später steht die Aufsichtsbehörde im Haus, weil sich Bewerberdaten nicht löschen lassen, jeder Sachbearbeiter sämtliche Personalakten einsehen kann und im Hintergrund Datenbestände schlummern, von denen niemand wusste. Das Bußgeld trifft nicht den Hersteller, sondern den Käufer. Genau hier liegt der wunde Punkt, an dem datenschutzfreundliche Technikgestaltung von einer abstrakten Programmieridee zum handfesten wirtschaftlichen Risiko wird – und an dem sich entscheidet, wer am Ende für die Versäumnisse haftet.

    (mehr …)
  • Cyberangriff auf Unternehmen

    Cyberangriff auf Unternehmen

    Was in den ersten Stunden nach einem Cyberangriff über Schaden und Haftung entscheidet

    Am Stuttgarter Staatstheater stand Anfang 2026 plötzlich ein Mann am Telefon, den niemand bestellt hatte: ein Verhandler, der zwischen einem öffentlichen Kulturbetrieb und einer Erpressergruppe vermitteln sollte. Die ZEIT hat den Fall im Januar nachgezeichnet – verschlüsselte Systeme, eine Lösegeldforderung in Kryptowährung, ein Prozess vor dem Landgericht, und am Ende die nüchterne Erkenntnis, dass die Täter sich verhalten wie scheue Wildtiere, die beim kleinsten Fehler verschwinden. Was sich liest wie ein Krimi, ist für die deutsche Wirtschaft längst Alltag. Und es trifft nicht mehr nur die Konzerne, sondern mit voller Wucht den Mittelstand.

    Der Bitkom beziffert den jährlichen Schaden durch Datendiebstahl, Spionage und Sabotage für 2025 auf 289,2 Milliarden Euro, davon über 200 Milliarden allein durch Cyberattacken. 87 Prozent der Unternehmen waren betroffen. Das Bundesamt für Sicherheit in der Informationstechnik registrierte zuletzt täglich 119 neue Schwachstellen – ein Zuwachs von fast einem Viertel binnen eines Jahres. Wer in dieser Lage glaubt, ein gut gemeinter Notfallplan im Aktenordner reiche aus, hat die eigentliche Dynamik eines Angriffs nicht verstanden.

    Ich selbst habe umfangreich fachlich zu dem Thema publiziert: zur Haftung der Geschäftsleitung, Haftungsverteilung im Schadensfall beim CEO-Fraud, dem Recht der Cyberversicherungen – aber auch zu Erscheinungsformen modernen Cybercrimes.

    (mehr …)
  • Phishing per pushTAN: OLG Düsseldorf zu Autorisierung und grober Fahrlässigkeit im Onlinebanking

    Phishing per pushTAN: OLG Düsseldorf zu Autorisierung und grober Fahrlässigkeit im Onlinebanking

    Mit Hinweisbeschluss vom 23. Februar 2026 (14 U 37/25) hat der 14. Zivilsenat des Oberlandesgerichts Düsseldorf die beabsichtigte Zurückweisung der Berufung einer Bankkundin angekündigt, die von ihrer Sparkasse die Erstattung einer durch Telefonbetrug erlangten Überweisung in Höhe von 14.000 Euro begehrt hatte. Die Entscheidung verzahnt zwei zentrale Linien der Onlinebanking-Rechtsprechung: die Bestimmung der Reichweite einer „Autorisierung“ nach § 675j BGB bei täuschungsbedingten pushTAN-Freigaben und die Konturierung grober Fahrlässigkeit bei Opfern moderner Social-Engineering-Angriffe.

    (mehr …)
  • KI und Cybersicherheit

    KI und Cybersicherheit

    Im Frühjahr 2026 hat sich im Verhältnis von Künstlicher Intelligenz und IT-Sicherheit etwas verschoben, das über den üblichen Takt technischer Innovation hinausgeht. Anthropic stellte mit „Claude Mythos Preview“ ein Modell vor, das in OpenBSD eine 27 Jahre alte Schwachstelle aufspürte, in FFmpeg eine seit 16 Jahren schlummernde Lücke fand und insgesamt Tausende Schwachstellen in Betriebssystemen und Browsern identifizierte.

    Das Modell wird nicht öffentlich angeboten, sondern nur rund vierzig Unternehmen – darunter Apple, Amazon, Microsoft, Cisco, Crowdstrike und Palo Alto Networks – im Rahmen von „Project Glasswing“ zugänglich gemacht. US-Finanzminister Scott Bessent und Notenbankchef Jerome Powell beriefen eine Dringlichkeitssitzung mit den Chefs der systemrelevanten Wall-Street-Banken ein, das BSI spricht von einer „Verschiebung der Angriffsvektoren“ und einem „Paradigmenwechsel“ in der Cyberbedrohungslage.

    Der IWF hat wenige Tage später, am 7. Mai 2026, in einem Blogbeitrag festgehalten, dass KI-getriebene Cyberrisiken zu einem makro-finanziellen Schock eskalieren können, wenn Entdeckung und Ausnutzung von Schwachstellen in Maschinentempo parallel in vielen Instituten erfolgen.

    Für den juristischen Beobachter ist das keine schlichte Randnotiz der Technikgeschichte: Der europäische Regulierungsrahmen für KI und Cybersicherheit wird nun an einer Realität gemessen, die schneller ist als der Gesetzgebungsprozess.

    (mehr …)
  • Cyber Resilience Act als Ende der analogen Fabrik

    Cyber Resilience Act als Ende der analogen Fabrik

    Wer eine Maschine baut, denkt an Stahl, Hydraulik und Steuerungslogik. Dass er künftig auch an Firewalls, Schwachstellenscans und automatische Sicherheitsupdates denken muss, markiert einen Epochenwechsel im europäischen Produktsicherheitsrecht. Der Cyber Resilience Act der Europäischen Union verlangt von Herstellern vernetzter Produkte, was ihnen bislang weitgehend fremd war: lebenslange digitale Verantwortung für das, was sie auf den Markt bringen. Für den Maschinen- und Anlagenbau, das industrielle Rückgrat Europas, ist das mehr als ein regulatorisches Update. Es ist ein Paradigmenwechsel, der Geschäftsmodelle, Lieferketten und das Selbstverständnis einer ganzen Branche auf den Prüfstand stellt.

    (mehr …)
  • Autoritarian-Stack-Recherche: Technologie der Machtverschiebung

    Autoritarian-Stack-Recherche: Technologie der Machtverschiebung

    Das Projekt „The Authoritarian Stack“ ist eine interaktive, recherchierte Kartografie der Machtverflechtungen zwischen US-Tech-Milliardären, ihren Unternehmen, Venture-Capital-Fonds, Think-Tanks und staatlichen Stellen. Es macht sichtbar, wie sich rund um Cloud-Infrastrukturen, KI, Überwachungstechnologien, Rüstung und Weltraumprojekte ein zusammenhängendes technopolitisches System herausgebildet hat, in dem private Plattformakteure immer tiefer in klassische Staatsfunktionen hineinwachsen. Auf der Website lassen sich Personen, Firmen, Geldflüsse und institutionelle Knotenpunkte nachvollziehen und in ihrer Dichte und ideologischen Ausrichtung betrachten – weit über das übliche „Big Tech“-Framing hinaus.

    Die Autoritarian-Stack-Recherche erzählt dabei keine abstrakte Tech-Geschichte, sondern beschreibt eine tektonische Verschiebung staatlicher Souveränität hin zu einem oligarchischen Plattform-Regime, das von einem engen Kreis US-amerikanischer Tech-Milliardäre vorangetrieben wird. Cloud-Infrastruktur, KI-Modelle, Zahlungsnetze, Drohnen und Satelliten werden nicht mehr nur als Dienstleistungen verstanden, sondern als Hebel, mit denen politische Entscheidungsprozesse, militärische Operationen und Finanzströme zunehmend in privat kontrollierte Systeme ausgelagert werden.

    Der Begriff „Authoritarian Stack“ markiert dabei ein vertikal integriertes Machtarrangement: von Ideologie und Regulierung über Kapital und Infrastruktur bis hinein in zentrale staatliche Funktionen.

    (mehr …)