Was du in 9 Minuten erfährst:
- Warum ab 2. August 2026 eine EU-Kennzeichnungspflicht für KI-Inhalte gilt und wen sie betrifft
- Wie verbreitet KI-Betrug und Deepfakes laut aktueller BSI-Zahlen wirklich sind
- Wie du die aktuelle DKB-Phishing-Welle erkennst und was mit der WordPress-Sicherheitslücke aus der Vorwoche los ist
Drei Dinge, die diese Woche gleichzeitig fällig werden
Am 20. Juli 2026 hat die EU-Kommission die finale Fassung ihrer Leitlinien zu den Transparenzpflichten aus Artikel 50 des AI Acts verabschiedet. Keine zwei Wochen später, am 2. August 2026, tritt die Pflicht in Kraft. Wer online mit Kundschaft kommuniziert oder Inhalte veröffentlicht, sollte jetzt wissen, ob und wie ihn das betrifft.
Parallel dazu zeigt der aktuelle Cybersicherheitsmonitor von BSI und Polizei, wie präsent KI-gestützter Betrug inzwischen im Alltag ist. Und ganz konkret läuft gerade eine Phishing-Welle im Namen der DKB, während eine WordPress-Sicherheitslücke aus der Vorwoche jetzt aktiv ausgenutzt wird. Drei Themen, ein gemeinsamer Nenner: Wer online aktiv ist, sollte diese Woche kurz hinschauen.
Übersicht: Was diese Woche wichtig wird
Thema | Dringlichkeit | Betrifft dich wenn... |
|---|---|---|
EU-KI-Kennzeichnungspflicht | Ab 2.8.2026 | Du einen Chatbot nutzt oder KI-Inhalte veröffentlichst |
KI-Betrug und Deepfakes | Laufend | Du oder dein Team E-Mails und Anrufe bearbeiten |
DKB-Phishing-Welle | Sofort | Du oder Mitarbeitende ein DKB-Konto nutzen |
WordPress-Sicherheitslücke | Sofort | Du WordPress noch nicht aktualisiert hast |
Was ändert sich mit der EU-KI-Kennzeichnungspflicht?
Artikel 50 des AI Acts verpflichtet Anbieter und Betreiber bestimmter KI-Systeme zur Transparenz gegenüber Nutzern. Für lokale Betriebe sind vor allem zwei Fälle praktisch relevant: Chatbots und veröffentlichte KI-Inhalte zu Themen von öffentlichem Interesse.
Setzt du einen Chatbot auf deiner Website ein, muss beim ersten Kontakt klar erkennbar sein, dass die Besucherin oder der Besucher mit einem KI-System spricht. Veröffentlichst du KI-generierte Texte oder Bilder, die sich mit Themen von öffentlichem Interesse befassen, etwa Deepfake-artige Inhalte, müssen diese sichtbar gekennzeichnet werden. Eine Ausnahme gilt für redaktionell geprüfte Texte, für die ein Mensch die inhaltliche Verantwortung übernimmt.
Wichtig für die Praxis: Es gibt keine rückwirkende Kennzeichnungspflicht. Maßgeblich ist bei generierten Inhalten das Erstellungsdatum, bei veröffentlichten Texten zu Themen von öffentlichem Interesse das Veröffentlichungsdatum. Was du schon online hast, muss also nicht nachträglich markiert werden.
Der Bußgeldrahmen bei Verstößen liegt bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, wobei für kleine und mittlere Unternehmen jeweils der niedrigere Wert gilt. Das klingt nach großem Kaliber, richtet sich in der praktischen Durchsetzung aber vor allem gegen vorsätzliche und systematische Verstöße, nicht gegen ein vergessenes Hinweis-Badge im Chat-Fenster.
::cta-problem title: Betrifft dich das? text: Im kostenlosen Website-Check schaue ich mir auch an, ob und wo auf deiner Website KI-Kennzeichnung relevant wird. Kostenlos für Betriebe aus der Region. button: Kostenlosen Check anfragen topic: website-check ::
Wie real ist KI-Betrug für einen normalen Betrieb?
Der aktuelle Cybersicherheitsmonitor von BSI und Polizeilicher Kriminalprävention, eine repräsentative Befragung von 3.060 Personen ab 16 Jahren im Januar 2026, zeigt ein Bild, das viele unterschätzen: Jeder neunte Internetnutzer in Deutschland wurde im vergangenen Jahr Opfer von Cyberkriminalität, mehr als jeder Vierte war insgesamt schon einmal betroffen.
Besonders auffällig: 47 Prozent der Befragten halten sich selbst für fähig, KI-generierte Inhalte zu erkennen. Tatsächlich hat aber ein Drittel noch nie eine konkrete Prüfmaßnahme angewendet, um das zu testen. Die eigene Einschätzung und die tatsächliche Praxis klaffen also deutlich auseinander.
BSI-Präsidentin Claudia Plattner warnt insbesondere vor Deepfakes und sogenanntem Cybertrading-Fraud, bei dem gefälschte Investment-Angebote mit KI-generierten Inhalten glaubwürdig gemacht werden. Für einen lokalen Betrieb heißt das konkret: Sowohl die eigene Kommunikation nach außen als auch die interne Wachsamkeit bei E-Mails, Anrufen und Zahlungsanweisungen gewinnen an Bedeutung.
Was ich bei Website-Checks in der Region häufig sehe: Die technische Seite, also Website und E-Mail-Sicherheit, wird meist ernst genommen. Die menschliche Seite, also Team-Sensibilisierung für gefälschte Anrufe oder täuschend echte Nachrichten, bleibt oft auf der Strecke.
Was hat es mit der DKB-Phishing-Welle auf sich?
Die Verbraucherzentrale NRW meldet mit Stand 24. Juli 2026 eine aktuelle Phishing-Kampagne im Namen der DKB. Die gefälschten Mails fordern zur Aktivierung eines angeblich neuen Sicherheitsstandards namens "3D Secure 2.0" auf und zielen darauf ab, Mobilfunknummern abzugreifen.
Zusätzlich läuft mit Stand 17. Juli 2026 eine Betrugsmasche mit vermeintlich wertvollen Buchsammlungen, die auf einem ähnlichen Muster aufbaut: vermeintliche Dringlichkeit, vermeintliche Seriosität, ein Klick zu viel.
Betrifft dich das? Schnelltest in 30 Sekunden
Ja, sofort handeln wenn: Du oder dein Team eine DKB-Mail zur Sicherheits-Aktivierung erhalten habt.
Im Blick behalten wenn: Ihr generell viel Zahlungsverkehr per Mail abwickelt.
Nicht akut wenn: Ihr kein DKB-Konto nutzt, das Grundprinzip der Masche bleibt trotzdem relevant.
Was ist mit der WordPress-Lücke aus der Vorwoche?
Bereits in der Vorwoche hatten wir über eine kritische Sicherheitslücke in einem verbreiteten WordPress-Plugin berichtet. Seit dem 19. Juli 2026 wird diese Lücke nach Angaben von Sicherheitsforschern aktiv massenhaft ausgenutzt, mit mehr als zwei Dutzend öffentlich dokumentierten Angriffsmustern, Webshells und untergeschobenen Admin-Zugängen.
Wer bisher noch nicht auf die gepatchten Versionen aktualisiert hat, sollte das jetzt nachholen und die eigene Website zusätzlich auf verdächtige Admin-Accounts oder unbekannte Dateien prüfen. Das ist kein Thema, das sich noch eine weitere Woche aufschieben lässt.
Aus der Praxis
Was ich bei Website-Checks in der Region häufig sehe:
Viele Betriebe haben WordPress und diverse Plugins vor Jahren einmal eingerichtet und seitdem nicht mehr aktiv betreut. Solange die Seite läuft, fällt das nicht auf. Genau in dieser Konstellation werden aktiv ausgenutzte Sicherheitslücken wie diese zum echten Risiko.
::cta-implementation title: Ist deine WordPress-Seite betroffen? text: Im kostenlosen Website-Check prüfe ich auch, ob deine Website aktuelle Sicherheitslücken betreffen und wie es um Updates steht. button: Website-Check anfragen topic: website-check ::
Was bedeutet das jetzt für deinen Betrieb?
Als Webentwickler aus Sandkrug bei Oldenburg sehe ich bei Betrieben in der Region regelmäßig, dass genau diese drei Themenfelder, rechtliche Vorgaben, KI-Betrug und klassische Phishing-Wellen, selten isoliert betrachtet werden, obwohl sie zusammenhängen. Wie ich im Artikel zur Löschung von Google-Bewertungen beschrieben habe, verändern sich die Spielregeln online derzeit an mehreren Stellen gleichzeitig.
Für die meisten Betriebe reicht es, sich einmal bewusst zu machen, wo ein Chatbot oder KI-Inhalt betroffen sein könnte, das Team kurz für aktuelle Phishing-Maschen zu sensibilisieren und offene WordPress-Updates nicht länger vor sich herzuschieben. Die gute Nachricht: Wer das diese Woche einmal angeht, ist damit für eine ganze Weile auf der sicheren Seite.
Fazit
Keines der drei Themen dieser Woche verlangt eine große Kampagne. Aber alle drei haben eines gemeinsam: Wer sie ignoriert, merkt es meist erst, wenn es schon passiert ist, entweder in Form eines Bußgeldbescheids, eines betrogenen Kunden oder einer gehackten Website. Ein kurzer, bewusster Blick diese Woche reicht in der Regel aus.
::cta-final title: Du weißt bereits was geprüft werden muss text: Lass uns den ersten Schritt machen. button: Website-Check anfragen topic: website-check ::