In 18 Tagen wird Artikel 50 der EU-KI-Verordnung scharf geschaltet. Wenn du einen Chatbot auf deiner Website hast, ein KI-generiertes Bild oder Video zeigst, muss das ab dem 2. August erkennbar gekennzeichnet sein. Gleichzeitig sind vier neue kritische WordPress-Lücken aufgetaucht, zwei davon ohne verfügbaren Patch. Und Google-Rankings schwanken seit dem 11. Juli spürbar, ohne dass ein Update offiziell bestätigt wurde.
Was du in 10 Minuten erfährst:
- Was Artikel 50 der KI-Verordnung ab 2. August konkret verlangt und wen es betrifft
- Welche vier WordPress-Plugins sofort geprüft werden müssen, zwei davon ohne Patch
- Wie du mit der aktuellen Google-Ranking-Volatilität umgehst, ohne überzureagieren
Drei Themen mit unterschiedlicher Betroffenheit. Die KI-Kennzeichnungspflicht betrifft jeden mit einem Chatbot oder KI-generierten Inhalten. Die WordPress-Lücken betreffen Betreiber der jeweiligen Plugins. Die Google-Volatilität betrifft im Grunde jeden mit einer Website in der Suche. Als Webentwickler aus der Region Oldenburg bekomme ich zu allen drei Themen diese Woche Fragen von Kunden aus Ganderkesee und Wildeshausen.
Thema | Dringlichkeit | Betrifft dich wenn... |
|---|---|---|
EU AI Act Art. 50 | ⏰ Ab 02.08. (18 Tage) | Du einen KI-Chatbot oder KI-generierte Bilder/Videos nutzt |
Blocksy Companion Pro | 🔥 CVSS 10.0, sofort | Du das Blocksy-Theme oder Companion Pro nutzt |
Business Directory / PrivateContent | 🔥 Kein Patch, deaktivieren | Du eines dieser Plugins nutzt |
BookingPress | ⚠️ CVSS 7.5, updaten | Du Online-Terminbuchung über BookingPress anbietest |
Google-Volatilität | 📊 Beobachten, nicht reagieren | Du auf organischen Suchtraffic angewiesen bist |
KI-Kennzeichnungspflicht: Was ab 2. August gilt
Artikel 50 der EU-KI-Verordnung tritt am 2. August 2026 in Kraft. Die Frist steht seit Längerem fest und wurde durch den Digital-Omnibus-Beschluss des EU-Parlaments vom 16. Juni 2026 nicht verschoben. Der Digital Omnibus hat lediglich Fristen für Hochrisiko-Anwendungen nach Anhang III auf den 2. Dezember 2027 verlegt, das betrifft ein anderes, deutlich engeres Anwendungsfeld. Die Transparenzpflicht aus Artikel 50 bleibt beim 2. August.
Was konkret gilt: KI-Chatbots auf einer Website müssen ab der ersten Interaktion erkennbar als KI gekennzeichnet sein. Nicht versteckt in den AGB, sondern direkt im Chat-Interface sichtbar. Es gibt keinen Bestandsschutz für bereits laufende Chatbots, die Pflicht gilt für alle, unabhängig davon wie lange das System schon im Einsatz ist. Zusätzlich müssen KI-generierte Bilder, Videos und insbesondere Deepfakes entsprechend gekennzeichnet werden.
Was viele nicht wissen: KI-generierte Texte sind von der Kennzeichnungspflicht ausgenommen, wenn ein Mensch die redaktionelle Verantwortung dafür trägt. Wer also KI beim Formulieren eines Blogartikels unterstützend nutzt, aber den Text selbst verantwortet und redigiert, muss das nicht kennzeichnen. Das betrifft praktisch viele kleinere Betriebe, die KI-Schreibhilfen für Website-Texte nutzen.
Die Bußgelder sind ernst zu nehmen: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Für kleine und mittlere Unternehmen sieht der Digital Omnibus eine Reduzierung um 50 Prozent vor, für Kleinstunternehmen um 75 Prozent. Das ändert aber nichts an der grundsätzlichen Pflicht, nur an der Höhe eines möglichen Bußgelds im Ernstfall.
Wer ist konkret betroffen?
Jeder Betrieb mit einem Chat-Widget auf der Website, das automatisiert antwortet, egal ob eigenentwickelt oder über ein Drittanbieter-Tool eingebunden. Jeder Betrieb der KI-generierte Produktbilder, Werbevisuals oder Videos ohne menschliche Nachbearbeitung veröffentlicht. Nicht betroffen: reine KI-Unterstützung bei Texten, wenn ein Mensch die Verantwortung trägt.
Hast du einen Chatbot oder KI-Inhalte auf deiner Website?
Im kostenlosen Website-Check schaue ich mir an, welche KI-Elemente auf deiner Website laufen und ob die Kennzeichnungspflicht dich betrifft.
- Kostenlos für Betriebe aus der Region
- Klare Einschätzung statt Rechtsberatung
⏱️ Antwort binnen 24 Stunden
Vier kritische WordPress-Lücken: Zwei davon ohne Patch
Die aktuelle Lage im WordPress-Ökosystem ist ungewöhnlich angespannt. Vier Schwachstellen wurden Anfang Juli bekannt, zwei davon haben noch keinen Patch vom Hersteller erhalten.
Blocksy Companion Pro, CVE-2026-57624, CVSS 10.0: Die höchste mögliche Kritikalitätsstufe. Eine unauthentifizierte Remote-Code-Execution-Lücke, betroffen sind Versionen bis einschließlich 2.1.46. Der Patch in Version 2.1.47 erschien am 24. Juni 2026. Das Blocksy-Ökosystem hat über 300.000 Theme-Installationen, der Sicherheitsdienstleister IONIX meldet bereits aktive Exploit-Versuche. Wer Blocksy als Theme oder Companion Pro als Plugin nutzt, sollte die Version heute prüfen.
Business Directory Plugin, CVE-2026-6070, CVSS 9.1: Unauthentifiziertes Löschen beliebiger Dateien via Path Traversal, betroffen bis Version 4.0.1. Es gibt aktuell keinen Patch. Die Lücke kann die wp-config.php löschen und damit zur vollständigen Übernahme der Website führen, ähnlich wie bei der Avada-Lücke aus einer früheren Ausgabe. Rund 20.000 Installationen sind betroffen. Ohne verfügbaren Patch bleibt nur eine Option: das Plugin deaktivieren, bis ein Fix erscheint.
PrivateContent, CVE-2026-57692, CVSS 9.8: Eine unauthentifizierte Privilege-Escalation-Lücke, betroffen bis Version 9.9.2. Auch hier gibt es aktuell keinen Patch. Gleiche Empfehlung: deaktivieren, bis ein Update verfügbar ist.
BookingPress Appointment Booking, CVE-2026-11823, CVSS 7.5: Eine unauthentifizierte SQL-Injection über den Parameter store_service_date, betroffen bis Version 5.7.1, Patch in 5.7.2 verfügbar. Das Plugin wird häufig von Salons, Praxen und Studios für Online-Terminbuchung genutzt. Die kostenlose Lite-Variante hat über 50.000 aktive Installationen. Für Betriebe mit Online-Terminvergabe ist das direkt relevant.
Was "kein Patch, deaktivieren" konkret bedeutet
Bei Business Directory Plugin und PrivateContent gibt es aktuell keine technische Lösung außer Abschalten. Das bedeutet: Die Funktionalität, die das Plugin bereitstellt, steht vorübergehend nicht zur Verfügung. Das ist unangenehm, aber besser als eine offene Lücke mit CVSS 9 oder höher aktiv zu betreiben.
Aus der Praxis
Was ich bei Website-Checks in der Region häufig sehe: Businessverzeichnis- und Mitgliederbereich-Plugins wie diese laufen oft seit Jahren unverändert im Hintergrund, weil sie nach der Einrichtung "einfach funktionieren". Genau das macht sie zu einem blinden Fleck. Niemand schaut mehr regelmäßig nach Updates, weil niemand mehr aktiv damit arbeitet.
Läuft eines dieser vier Plugins auf deiner Website?
Im Website-Check prüfe ich deine installierten Plugins und Themes auf diese und andere bekannte Lücken und zeige dir konkret was zu tun ist.
- Alle vier Plugins auf einen Blick geprüft
- Klare Priorität: Patch einspielen oder deaktivieren
⏱️ Antwort binnen 24 Stunden
Google-Ranking-Volatilität im Juli: Beobachten statt reagieren
Nach dem bestätigten June 2026 Spam Update, das vom 24. bis 26. Juni lief, berichten SEO-Tools und seroundtable.com über eine weitere, bislang unbestätigte Ranking-Volatilität am 11. und 12. Juli. Ein offizielles Core Update wurde dafür nicht bestätigt. Basierend auf der üblichen 90-Tage-Kadenz wird das nächste Broad Core Update für Juli oder August erwartet.
Was das für lokale Betriebe bedeutet: Schwankungen in der Search Console in diesen Tagen sind nicht zwangsläufig ein Zeichen für ein Problem mit der eigenen Website. Sie können auch Teil einer allgemeinen Suchlandschafts-Bewegung sein, die viele Websites gleichzeitig betrifft.
Die sinnvolle Reaktion ist Beobachtung, nicht Aktionismus. Search-Console-Daten für einen Zeitraum von 14 Tagen vor und nach der aktuellen Volatilität im Blick behalten, bevor größere inhaltliche Änderungen an der Website vorgenommen werden. Wie ich in einem früheren Sammel-Artikel zum Google May Core Update bereits beschrieben habe, ist die Versuchung groß, bei jeder Schwankung sofort etwas zu ändern. Das führt oft zu Änderungen die auf falschen Annahmen basieren.
Was diese Woche zu tun ist
Bei der KI-Kennzeichnungspflicht reicht eine kurze Bestandsaufnahme: Welche Chat-Tools und KI-generierten Inhalte laufen auf der eigenen Website, und ist dort bereits ein Hinweis vorhanden. Wenn nicht, sollte das bis zum 2. August ergänzt werden.
Bei den WordPress-Lücken ist konkretes Handeln angesagt. Dashboard öffnen, alle vier genannten Plugins auf Installation und Version prüfen. Bei Blocksy Companion Pro und BookingPress: updaten. Bei Business Directory Plugin und PrivateContent: deaktivieren, bis ein Patch verfügbar ist.
Bei der Google-Volatilität ist die richtige Reaktion, erstmal nichts zu tun außer zu beobachten. Wer jetzt aus Nervosität die Website umbaut, riskiert mehr als er gewinnt.
Du weißt jetzt, was diese Woche ansteht
Lass uns klären, was bei dir konkret zu prüfen ist und in welcher Reihenfolge.
Termin vereinbaren →