DSGVO-Briefing

Die übermäßige Datenspeicherung der Schufa kommt ans Licht, noyb klagt gegen österreichische Kreditauskunftei, der JadePuffer-KI-Agent führt unabhängig Ransomware-Angriffe aus, OpenAIs KI-Modelle attackieren eigenmächtig die Hugging Face-Plattform, Coca-Cola stellt USA-Milchproduktion nach Ransomware-Angriff ein.

Schufa speichert veraltete Daten über Jahre hinweg.

Die Schufa speichert auch veraltete Daten – und das über Jahre. Dies stellte eine Untersuchung vom NDR und der SZ, deren Ergebnisse im Juli bei der Tagesschau veröffentlicht wurden, fest. Bei den so gespeicherten Informationen handelt es sich um nicht mehr aktuelle Daten der Betroffenen, bei denen diese eigentlich davon ausgehen konnten, dass sie gelöscht worden seien.

Die Schufa selbst gibt an, die Details nur zu „Testzwecken“ zu speichern – als Marketing-Tool, um für potentielle Kunden Test-Scores ihres neuen Modells zu erstellen. Unter ihnen befinden sich nicht nur Banken, sondern auch Zahlungsdienstleister, Energieversorger, Telekom-Konzerne, eCommerce-Anbieter und mehr. Drei der vom NDR/der SZ kontaktierten Unternehmen gaben sogar zu, die „historischen“ Informationen zu nutzen.

Die Schufa sieht ihre Datenspeicherung im großen Stil als rechtmäßig. Verbraucher werden bislang nicht informiert. Datenschützer fordern nun Untersuchungen; der Hessische Landesdatenschutzbeauftragte erklärte der Tagesschau, man sei bereits seit dem Frühling 2025 an der Sache dran.

noyb reicht Unterlassungsklage gegen CRIF-Auskunftei ein.

Schon im Juni reichte die Datenschutzorganisation noyb eine Unterlassungsklage gegen die österreichische Kreditauskunftei CRIF ein. Kunden der Auskunftei sind unter anderem Magenta, Klarna und die Santander-Bank. Der Organisation zufolge unterhält die Beklagte ein internes Melderegister und damit verbundenes Scoring-System, das Namen, Geburtsdaten und Anschriften fast alle erwachsenen Personen in Österreich enthält. Finanzinformationen soll die Auskunftei in „nur“ weniger als 10 % der Fälle speichern.

JadePuffer-KI-Agent greift autonom andere KIs mit gezielter Ransomware an.

JadePuffer, eine Ransomware-Entität, die ihre Angriffe ausschließlich mit einem gleichnamigen, unabhängig agierenden KI-Agenten durchführt, greift nun gezielt Datensätze von KI-Modellen an. Die „EncForge“-Malware geht gezielt 180 bestimmte Datei-Erweiterungen an, darunter Modell-Checkpoints, Vektor-Datenbanken, Trainingsdaten und mehr. Findet „EncForge“ eine Schwachstelle, läd sie die Ransomware-Payload herunter und verschlüsselt mit dieser Teile der Ziel-Dateien.

OpenAIs KI-Modelle greifen Hugging Face an.

Hugging Face veröffentlichte am 16. Juli einen Bericht über einen Einbruch in Teile der Produktionsinfrastruktur. Zwei Code-Execution-Pfade in der Dataset-Processing-Pipeline dienten als ursprünglichen Angriffsvektor. Diese wurden mit einem Remote-Code-Datensatz-Loader und einer Template-Injection bespielt, so dass bösartiger Code ausgeführt werden konnte. Danach gelang ein Zugriff auf die Nodes, mit dem dann Zugangsdaten zu Cloud- und Clustern abgegriffen werden konnten. Damit konnte weitere internen Clustern kompromittiert werden.

Die Besonderheit daran: Der gesamte Angriff wurde von einem autonomen KI-Agenten-Framework mit über 17.000 protokollierten Einzelaktionen durchgeführt. Betroffen waren interne Datensätze sowie Service-Credentials. Nutzerseitige Modelle, Datasets und die Software-Supply-Chain blieben unberührt. Die forensische Analyse erfolgte intern mit dem Open-Weight-Modell GLM 5.2, da kommerzielle API-Modelle die Analyse von Angriffspayloads durch Safety-Guardrails blockierten.

OpenAI übernahm die Verantwortung für den Vorfall und veröffentlichte einen detaillierten Bericht. Diesem zufolge ist der Angriff auf interne Tests zurückzuführen, bei denen Einstellungen der verantwortlichen Modellen deaktiviert wurden, die „hochriskante Cyber-Aktivitäten“ blockieren sollten. Diese hätten Schwachstellen bei sowohl OpenAI als auch HuggingFace gefunden und ausgenutzt, um Testlösungen aus der Hugging Face-Datenbank zu ziehen.

Hierfür verschafften sich die KI-Modelle über eine Zero Day-Schwachstelle Zugriff auf das offene Internet, um dann bei Hugging Face nach einer Lösung für ExploitGym (dem verwendeten Benchmark) zu suchen.

Coca-Cola stoppt Fairlife-Milchprodukte-Herstellung nach Ransomware-Attacke.

Coca‑Cola setzte die US‑Herstellung ihrer Fairlife-Milchprodukte aus, nachdem der Konzern am 16. Juli einen Ransomware‑Angriff bestätigte. Betroffen waren laut der Pflichtmitteilung des Unternehmens nur die US‑Anlagen, während der Betrieb in Kanada normal weiterlief. Coca‑Cola erklärte, man prüfe den Vorfall aktuell, habe Fachleute hinzugezogen und die Behörden informiert.

Fairlife steht für Milch, Proteinshakes und weitere gekühlte Produkte. Die Produktsicherheit sei nicht beeinträchtigt worden. Ob Daten abgeflossen sind, blieb zunächst unklar.

Die Anubis-Ransomware-Gruppierung beanspruchte den Angriff am 20. Juli allerdings für sich und drohte damit, ihre angebliche Beute zu veröffentlichen, sollte sich das Unternehmen nicht bis Ende derselben Woche melden. Die Gruppe will interne Nutanix-Systeme verschlüsselt und 1 TB Daten gestohlen haben.

Quellen