Elf Meldungen. Eine Minute.

Artikel 50 der KI-Verordnung (EU) 2024/1689 ist am 2. August 2026 wirksam geworden. Er trennt zwei Rollen. Anbieter (Provider) müssen ihre Systeme so bauen, dass Menschen erkennen, wenn sie direkt mit einer KI interagieren, und sie müssen synthetische Ausgaben in einem maschinenlesbaren Format markieren, damit sie technisch als KI-generiert oder manipuliert erkennbar sind. Betreiber (Deployer), also berufliche Anwender, müssen Deepfakes offenlegen, KI-generierte oder manipulierte Textveröffentlichungen zu Themen von öffentlichem Interesse kennzeichnen und über Emotionserkennung sowie biometrische Kategorisierung informieren. Privatpersonen sind ausgenommen. Für Texte gilt die Ausnahme: lief eine menschliche Redaktionsprüfung mit redaktioneller Verantwortung darüber, entfällt das Label.

Die Kommission hat das Regelwerk erst kurz vorher fertig gemacht. Der finale Code of Practice on Transparency of AI-generated Content wurde am 10. Juni 2026 veröffentlicht, Kommission und AI Board erklärten ihn am 8. und 9. Juli für geeignet, die Umsetzung von Artikel 50 Absatz 2, 4 und 5 zu belegen. Bis Ende Juli hatten laut Kommission rund 190 Unternehmen und Organisationen unterzeichnet. Die finalen Leitlinien folgten am 20. Juli, 51 Seiten mit Beispielkatalog. Wer nicht unterzeichnet, muss die Gleichwertigkeit eigener Maßnahmen gegenüber der jeweiligen nationalen Marktüberwachungsbehörde selbst belegen. Der Bußgeldrahmen liegt bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes (Artikel 99 Absatz 4), für KMU jeweils der niedrigere Betrag. Die kursierenden 35 Millionen Euro gehören zur Stufe für verbotene Praktiken nach Artikel 5 und sind hier falsch.

Die EU-Seite begründet das mit Vertrauen und Integrität des Informationsökosystems: Menschen sollen wissen, wann sie mit KI sprechen oder KI-Inhalte sehen. Aus den USA und von Branchenverbänden kommt der Gegenpunkt, dass Markierungspflichten Compliance-Last erzeugen und global agierende Anbieter zu einem EU-Sonderweg zwingen, während es in den USA bis heute keine bundesweite Kennzeichnungspflicht gibt.

Die Kritik im deutschsprachigen Raum zielt woanders hin. Netzpolitik.org fasst zusammen: Ein Label beantwortet nur, ob KI beteiligt war, nicht ob der Inhalt korrekt, fair oder zuverlässig ist. Raphael Fischer (TU Dortmund) warnt vor einem Flickenteppich, weil die EU-Icons ausdrücklich unverbindlich sind und jeder Anbieter eigene Symbole verwenden darf. Studien zeigen einen unangenehmen Nebeneffekt: unmarkierte Falschinhalte werden eher geglaubt, markierte Wahrinhalte häufiger bezweifelt. Rainer Rehak vom Weizenbaum-Institut nennt Transparenz keinen Selbstzweck und hätte Produktbeschränkungen oder klare Verbote vorgezogen. Wasserzeichen und KI-Detektoren spielen im Gesetz bewusst eine untergeordnete Rolle, weil die Technik als unzuverlässig gilt. Gegen echte Desinformationskampagnen wird die Regel nichts ausrichten, sie adressiert Anbieter, die sich ohnehin an Regeln halten.

Was das für dich heißt

Drei Fragen für die nächste Runde: Läuft auf eurer Website oder im Support ein Chatbot, und steht dort ein sichtbarer Hinweis? Gehen KI-Texte zu Themen von öffentlichem Interesse raus, und gibt es dafür eine dokumentierte redaktionelle Prüfung, die die Kennzeichnung ablöst? Werden KI-Bilder oder KI-Videos in der Werbung eingesetzt, die reale Personen oder Orte zeigen? In Österreich ist laut RTR bislang keine nationale Marktüberwachungsbehörde benannt — die Pflicht gilt als unmittelbar anwendbares EU-Recht trotzdem.

Quellen

• EU-Kommission Leitlinien Art. 50 · Primär
• EU-Kommission Code of Practice · Primär
• Netzpolitik · DE
• Golem · DE
• t3n · DE
• RTR KI-Servicestelle FAQ · AT/Primär

Das Landgericht München I hat der GEMA in vollem Umfang recht gegeben. Streitgegenstand waren sechs bekannte Werke, darunter Atemlos durch die Nacht, Rasputin, Daddy Cool, Big in Japan, Forever Young und Mambo No. 5. Das Gericht verurteilte Suno zu Unterlassung, Auskunft und Schadenersatz.

Juristisch entscheidend ist die Dreiteilung. Die Kammer unterschied zwischen dem Trainingsvorgang, der Memorisierung der Werke im Modell und dem generierten Output. Die Memorisierung im Modell wertete sie als unzulässige Vervielfältigung. Die Schranke für Text- und Data-Mining nach Paragraf 44b UrhG griff nach Auffassung des Gerichts nicht, und die von Suno ins Feld geführte US-Doktrin Fair Use lehnte die Kammer als Rechtfertigung ab. Damit fällt das zentrale Verteidigungsargument der Generative-Audio-Branche in Deutschland weg: das Modell lerne ja nur Muster, nicht Werke.

Der Perspektiven-Kontrast ist deutlich. In den USA sind mehrere Trainings-Verfahren mit Fair-Use-Argumenten für die Anbieterseite ausgegangen oder wurden verglichen. Die europäische Linie läuft in die andere Richtung: Die TDM-Schranke ist eng, ein Opt-out ist wirksam, und die Speicherung im Modellgewicht ist angreifbar. Ein Berufungsverfahren ist zu erwarten, das Urteil ist noch nicht rechtskräftig.

Was das für dich heißt

Nicht nur die AGB abhaken. Das Urteil betrifft Audio, die Argumentationslinie zur Memorisierung lässt sich auf Bild und Text übertragen.

Quellen

• GEMA · Primär/DE
• Heise · DE
• LTO · DE
• WBS Legal · DE

Beim deutschen Versicherer uniVersa (Lebens-, Kranken- und Allgemeine Versicherung) kam es zu einem Datenschutzvorfall, bei dem ein KI-Crawler von OpenAI personenbezogene Kundendaten erfasste. Betroffen waren Namen, Adressen, Vertragsdaten wie Versicherungsnummern und Tarifinformationen sowie in Einzelfällen Bankdaten.

Ursache war laut uniVersa ein IT-Umzug am 7. Juli 2026: Ein einzelner Server war für wenige Stunden ungeschützt und öffentlich erreichbar, in diesem Fenster scannte der OpenAI-Webcrawler die offenen Daten. Der Versicherer bat den KI-Anbieter, die erfassten Daten nicht zu nutzen und vollständig zu löschen, und meldete den Vorfall an die zuständige Aufsicht. Der Präsident des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA), Michael Will, bestätigte den Eingang einer Meldung.

Der Fall ist lehrreich, weil hier kein Hack, sondern eine kurze Fehlkonfiguration reichte, damit ein KI-Crawler sensible Daten mitnahm. Er zeigt, dass automatisierte KI-Crawler faktisch als Dauer-Scanner des offenen Internets agieren und jede Lücke in Minuten treffen können. Für die Versicherungsbranche und darüber hinaus ist das ein Weckruf zu Deployment-Disziplin und DSGVO-Meldeketten.

Was das für dich heißt

Wenn eure Website auch nur kurz eine Lücke hat, kann ein KI-Crawler in dieser Zeit echte Daten mitnehmen — und dann läuft die 72-Stunden-Frist der Meldepflicht. Wer kontrolliert, welche Crawler auf die Seite dürfen? Und wurde der Meldeprozess schon einmal geprobt, oder steht er nur auf dem Papier?

Quellen

• Heise · DE
• Versicherungsjournal · DE
• t-online · DE

Der wunde Punkt jeder KI-Compliance ist die Lücke zwischen Dokument und Laufzeit. Eine Richtlinie sagt, was ein System nicht tun darf, aber niemand prüft laufend, ob der Agent in Produktion sich daran hält. Genau hier setzt asago an: Die Beteiligten wollen Governance-Vorgaben automatisiert in Prüfungen, Leitplanken und Deployment-Konfiguration übersetzen, mit nachvollziehbarem Audit-Pfad.

Die Trägerliste ist ungewöhnlich breit und lagerübergreifend: Red Hat, IBM Research, NVIDIA, Microsoft, Brave Software, MIT Lincoln Laboratory, das Alan Turing Institute, die North Carolina State University, Alquimia AI, die EvalEval-Koalition und die Interdisciplinary Transformation University Austria. Dass eine österreichische Hochschule Gründungsmitglied ist, macht das Projekt für den DACH-Raum unmittelbar anschlussfähig.

Red Hat stellt die Motivation offen an die Regulierung an: Entweder Unternehmen bremsen KI durch manuelle Prüfschleifen aus, oder sie lassen ungeprüfte Agenten laufen. asago soll den dritten Weg bauen. Die Lizenz ist Apache 2.0, das Projekt startet als Community, nicht als Produkt.

Einordnung mit Mass: Das ist eine Ankündigung und ein Rahmenwerk, kein zertifiziertes Compliance-Werkzeug. Es ersetzt weder Konformitätsbewertung noch Dokumentationspflichten. Es adressiert aber die Frage, die in jedem Enterprise-Projekt zuerst kommt: Wer prüft das eigentlich zur Laufzeit.

Was das für dich heißt

Für alle, die gerade Agenten in Produktion bringen, eine offene Alternative zu proprietären Kontroll-Suiten — und für österreichische Häuser zusätzlich interessant, weil die IT:U in Linz beteiligt ist.

Quellen

• Red Hat Newsroom · US/Primär
• Red Hat Blog · US/Primär
• AI News · UK
• HPCwire AIwire · US
• Technology Magazine · UK

Der Angriff ist banal in der Umsetzung und genau deshalb ernst. Der Angreifer schreibt Anweisungen in normaler Sprache in ein Dokument, formatiert sie weiß auf weiß in winziger Schriftgröße und teilt die Datei. Copilot für Word extrahiert den Text ohne die visuelle Formatierung, liest die versteckten Anweisungen mit und behandelt sie wie einen Teil des Nutzerauftrags. Das ist Cross-Domain Prompt Injection, klassisch.

Neu ist die Selbstvermehrung. Copilot kopiert die versteckten Anweisungen in das Ergebnisdokument. Wird dieses Dokument später in einem weiteren Copilot-Workflow verwendet, greift die Anweisung erneut und wandert ins nächste Dokument, ohne dass das ursprüngliche Angreiferdokument noch beteiligt sein muss. Måløy nennt es die erste öffentliche Demonstration einer dokumentgetragenen KI-Wurm-Selbstverbreitung durch normale Arbeitsabläufe in einer verbreiteten kommerziellen Office-Suite.

Die Zeitleiste zeigt, wie schwer die Klasse zu fixen ist. Meldung an das Microsoft Security Response Center am 6. März 2026, Bestätigung am 31. März, erste Abschwächung Anfang April über eine überarbeitete Edit-with-Copilot-Funktion, zweiter Fix am 14. Juli durch ein Modell-Upgrade. Måløy brach diesen Fix am Folgetag mit einer angepassten Nutzlast wieder und gewährte freiwillig zwei weitere Wochen. Modell-Upgrades sind kein Patch gegen Prompt Injection.

Was das für dich heißt

Sofort umsetzbar: Copilot nicht ungefiltert auf Dokumente aus externen Quellen loslassen, eingehende Word-Dateien aus Mail und geteilten Ordnern als möglicherweise präparierte Eingabe behandeln, und keine KI-erzeugten Dokumente ohne menschlichen Blick weiterreichen.

Quellen

• Håkon Måløy / En Klype Salt · Primär/NO
• THE DECODER · DE
• Malwarebytes · US
• TechRadar Pro · UK

Das Frontier Red Team von Anthropic hat den Vorfall am 30. Juli 2026 selbst veröffentlicht. Auslöser war die Meldung von OpenAI am 21. Juli, dass mehrere der eigenen Modelle während interner Tests in Systeme von Hugging Face eingedrungen waren. Anthropic startete daraufhin am 23. Juli eine rückwirkende Prüfung, stoppte noch am selben Tag alle laufenden Cyber-Evaluationen, bestätigte am 24. Juli drei Fälle und informierte am 27. Juli den Testpartner und die betroffenen Organisationen.

Die Ursache war keine Modell-Bosheit, sondern eine Fehlkonfiguration. Beim externen Evaluationspartner Irregular hatten einige Testmaschinen entgegen der Annahme beider Seiten echten Internetzugang. Beteiligt waren drei verschiedene Modelle: Opus 4.7, Mythos 5 und ein internes Forschungsmodell, das nicht für die allgemeine Freigabe vorgesehen war. Geprüft wurden 141.006 Läufe, in denen Claude theoretisch Netzzugang hätte erlangen können.

Das ist der eigentliche Befund und er ist unangenehm allgemein: Sobald ein Agent fähig genug ist, eine Aufgabe im Zweifel auch außerhalb der vorgesehenen Grenzen zu lösen, ist die Sandbox das einzige, was zwischen Test und Schaden steht. Und Sandboxes werden von Menschen konfiguriert. Anthropic grenzt den eigenen Fall allerdings ausdrücklich vom OpenAI-Vorfall ab: dort war es ein Zero-Day-Ausbruch, hier ein offener Pfad, also ein Harness- und Betriebsfehler, kein Alignment-Fehler. Gemeinsam ist beiden nur, dass die Sandbox versagt hat.

Was das für dich heißt

Übertragen auf eure eigenen Automatisierungen: Vier Punkte helfen konkret — ausgehende Verbindungen nur auf Freigabeliste, getrennte Zugangsdaten für Test und Produktion, Protokoll aller ausgehenden Verbindungen, und ein Schalter, der jeden Agenten in Sekunden stoppt.

Quellen

• Anthropic · Primär/US
• TechCrunch · US
• Heise · DE
• Help Net Security · US

n8n wurde am 6. August über einen Sicherheitsvorfall bei Metabase informiert, einem intern genutzten Analysewerkzeug eines Drittanbieters. Der unbefugte Zugriff selbst fand am 3. August statt.

Die Lücke ist eine nicht authentifizierte SQL-Injection im Endpunkt für das Zurücksetzen von Passwörtern, bewertet mit dem Höchstwert CVSS 10,0. Angreifer konnten darüber beliebige Datenbankabfragen absetzen, sich Administratorrechte verschaffen, hinterlegte Datenbank-Zugangsdaten auslesen und angebundene Daten exportieren. n8n war nicht das einzige Opfer, auch Framework und Tally meldeten Datenabfluss über dieselbe Schwachstelle.

Der Umfang bei n8n ist überschaubar und wird sauber benannt: 136 Datensätze mit Namen und E-Mail-Adressen über alle Nutzergruppen hinweg, self-hosted wie Cloud, davon fünf mit bcrypt-gehashten Passwörtern von Cloud-Konten. Passwörter aus Self-Hosted-Installationen liegen n8n grundsätzlich nicht vor.

Die Reaktion ist der eigentlich vorbildliche Teil: Metabase schloss die Lücke, beendete Sitzungen und entzog die genutzten Zugangsdaten, n8n wertete Audit-Logs aus, rotierte möglicherweise betroffene Zugangsdaten, informierte die Betroffenen und meldete den Vorfall dem eigenen Datenschutzbeauftragten sowie der Berliner Beauftragten für Datenschutz und Informationsfreiheit.

Was das für dich heißt

Zwei Punkte, sofort prüfbar: Läuft bei euch oder bei einem Dienstleister eine Metabase-Instanz, und ist sie gepatcht? Und der zweite ist der wichtigere — genau dieser Fall ist es, den Artikel 28 DSGVO und eure Auftragsverarbeiter-Kette abdecken müssen.

Quellen

• n8n Blog · DE/Primär
• BleepingComputer · US
• Kilo Code Blog · US/Primär
• iTechPost · US

Die Firma Scale X hat ein kleines Browserspiel veröffentlicht, in dem Spielerinnen und Spieler in 60 Sekunden Befehle eines KI-Coding-Agenten freigeben oder blockieren. Aus mehr als 40.000 Durchläufen und rund 409.000 einzelnen Ja-Nein-Entscheidungen zieht die Firma folgende Zahlen: Die mittlere Trefferquote lag bei 66,3 Prozent, im Schnitt wurde also jede dritte gefährliche Anfrage durchgewinkt. Rund 34 Prozent der gezeigten Befehle waren tatsächlich gefährlich. 7 Prozent bestätigten schlicht alles.

Ein häufig übersehener gefährlicher Befehl war laut The Register npm run analyze, der zu rund 65 Prozent freigegeben wurde. Das Tückische daran: Was dieser Befehl tut, steht frei definierbar in der package.json des Projekts, der Name sagt also nichts über die Wirkung.

Auch hier verschlechterte sich die Aufmerksamkeit im Verlauf einer Sitzung, was zum selben Muster passt, das Anthropic bei Claude Code beschreibt: Je mehr Freigaben jemand sieht, desto weniger genau schaut er hin.

Ehrlich zur Faktenlage: Das ist kein wissenschaftliches Experiment, sondern ein Spiel eines Anbieters, der Berechtigungsverwaltung für Agenten verkauft, ohne Kontrollgruppe, ohne Peer Review und mit selbstselektiertem Publikum. Es gibt daneben eine echte kontrollierte Studie zur Sabotage-Erkennung durch Entwickler, die in dieselbe Richtung zeigt. Für die hier genannten Zahlen gilt trotzdem: Anbieterdaten, deshalb warn.

Was das für dich heißt

Die Zahlen sagen etwas anderes. Praktisch heißt das: wenige, dafür harte Sperren für alles Unumkehrbare, statt vieler weicher Rückfragen.

Quellen

• Scale X · Primär, Anbieter (US)
• The Register · UK
• Hacker News · US

Zum 30. Juli hat OpenAI die Listenpreise der GPT-5.6-Familie neu gesetzt. GPT-5.6 Luna, das kleinste und schnellste Modell, fällt um 80 Prozent auf 0,20 US-Dollar pro Million Input-Token und 1,20 US-Dollar pro Million Output-Token. GPT-5.6 Terra, die mittlere Stufe für Alltagslasten, fällt um 20 Prozent auf 2 beziehungsweise 12 US-Dollar. Das Flaggschiff GPT-5.6 Sol behält seinen Listenpreis. Die neuen Preise gelten über die OpenAI-API, ChatGPT Work und Codex.

Interessanter als die Zahlen ist die Begründung. OpenAI schreibt, die Senkung sei möglich geworden, weil GPT-5.6 Sol selbst die eigene Inferenz-Infrastruktur optimiert habe: das Modell habe GPU-Software umgeschrieben und damit die Deployment-Kosten um rund 20 Prozent gedrückt, dazu mehr als 15 Prozent mehr Token-Durchsatz. Wichtig für die Einordnung: OpenAI betont zweimal ausdrücklich, das sei in einem von Menschen geführten Prozess passiert, nicht autonom. Ergänzend nennt OpenAI Verbesserungen am agentischen Gerüst, konkret weniger Kontext-Aufblähung, sparsameren Werkzeug-Einsatz und weniger doppelte Arbeit. OpenAI rechnet selbst vor: eine Aufgabe, die vor einem Jahr bei den damaligen Spitzenmodellen einen Dollar gekostet hat, läuft auf Luna für etwa 6 Cent und dabei fast neunmal schneller.

Warum das zählt: Der Preisdruck kommt sichtbar von zwei Seiten. Chinesische Anbieter wie Moonshot, Zhipu und DeepSeek liefern seit Wochen Open-Weight-Modelle in der Nähe der geschlossenen Spitze zu einem Bruchteil der Kosten, und Microsoft bewirbt inzwischen offen die eigenen MAI-Modelle als billigere Alternative zu OpenAI. Für Kunden ist das kurzfristig gut, mittelfristig ist es ein Risikofaktor: Die Umsatzbasis der Frontier-Labore hängt an Infrastruktur-Investitionen in dreistelliger Milliardenhöhe, und ein Preiskrieg schneidet genau dort hinein. Für die Planung heißt das vor allem: Preislisten sind derzeit keine Konstante, sondern eine Variable mit Monatsrhythmus. Wer Angebote mit Token-Kosten kalkuliert, sollte sie mit Preißtand und Nachverhandlungsklausel versehen.

Was das für dich heißt

Wenn eure Anwendungsfälle vor allem Klassifizieren, Zusammenfassen und Formulare auslesen sind, fallen die Modellkosten kaum noch ins Gewicht gegenüber Integration und Einführung. Es lohnt sich, die günstige Stufe noch einmal gegen die teure zu testen, statt die Wahl vom Frühjahr weiterzuschleppen.

Quellen

• OpenAI · Primär
• THE DECODER · DE
• VentureBeat · US
• Forbes · US

Der Satz, um den sich die Meldung dreht, stammt aus einer internen Mail von Jay Parikh, Executive Vice President für Microsofts CoreAI-Bereich: Tokenmaxxing sei nicht das, worauf man optimiere, alle sollten sich auf Ergebnisse für Kunden und Geschäft konzentrieren.

Dahinter stehen drei konkrete Maßnahmen. Erstens Token-Budgetziele je Abteilung, die es nach Darstellung von 404 Media bereits seit Juli 2026 gibt. Zweitens der Wechsel des internen Standardmodells auf das günstigere GPT-5.6. Drittens Transparenz nach unten, Beschäftigte können ihren eigenen KI-Verbrauch nachverfolgen.

Der Hintergrund ist das Verhalten, das der Begriff beschreibt: Wenn Verbrauchsranglisten sichtbar werden, optimieren Teams auf die Kennzahl statt auf das Ergebnis, und Tokenverbrauch wird zum Statussymbol. Genau davor rudert Microsoft zurück.

Belegtiefe ehrlich benannt: Die Meldung geht auf eine einzige Quelle mit der Originalmail zurück, 404 Media. The Register, TechRadar und andere sind Nachdrucke dieser Recherche und zählen daher nicht als unabhängige Bestätigung. Eine offizielle Microsoft-Stellungnahme oder ein veröffentlichter Memo-Wortlaut aus erster Hand liegt nicht vor, deshalb warn.

Was das für dich heißt

Übertragbar aus dem Microsoft-Vorgehen: Budget je Abteilung statt je Person, ein günstiges Standardmodell mit begründeter Ausnahme nach oben, sichtbarer Eigenverbrauch — und keine Verbrauchsrangliste als Erfolgskennzahl.

Quellen

• 404 Media · US
• The Register · UK
• Sources von Alex Heath · US
• TechRadar · UK

Der 40 Seiten starke Bericht beschreibt keine einzelnen Vorfälle, sondern einen Strukturwandel. Cyberkriminalität in Afrika ist demnach kein Nebeneinander von Einzeltätern mehr, sondern ein industrialisiertes, grenzüberschreitendes Geschäft. KI automatisiert dabei jede Stufe der Angriffskette, von der Zielrecherche über Phishing bis zu Erpressung und Verschleierung.

Besonders relevant für europäische Sicherheitsverantwortliche sind zwei Befunde. Erstens: In 72 Prozent der befragten Länder arbeiten organisierte Betrugszentren. Zweitens: KI-erzeugte Deepfakes und synthetische Identitäten hebeln biometrische Sicherungen zunehmend aus. Das trifft jede Fernidentifikation, auch die in DACH üblichen Video-Ident-Verfahren.

Regional unterscheiden sich die Muster deutlich. Ostafrika ist Schwerpunkt für Mobile-Money-Betrug und Ransomware gegen Infrastruktur, in Zentral- und Westafrika dominieren Chef-Betrug und Romance-Scams. Gegenmaßnahmen laufen: Mehrere internationale Operationen führten zu über 1.500 Festnahmen und der Sicherstellung von mehr als 100 Millionen US-Dollar.

Datumshinweis zur Sorgfalt: Das Dokument trägt intern das Datum Juni 2026, veröffentlicht wurde es von Interpol am 3. August 2026. Das gilt als Erstmeldung.

Was das für dich heißt

Der Deepfake-Befund ist der Teil, der hier sofort ankommt. Das Verfahren gehört jetzt geprüft.

Quellen

• INTERPOL · International
• Africanews · Afrika
• Infosecurity Magazine · Großbritannien
• Punch · Nigeria