Thomas Kramer

Ende der Rechtshilfe-Mails: Die EU greift direkt auf Cloud-Daten zu

Am 12. März 2026 wurde im Bundesgesetzblatt ein Gesetz verkündet, das weitreichende Folgen für jeden Cloud-Anbieter hat, der in der EU tätig ist. Das Elektronische-Beweismittel-Umsetzungs-und-Durchführungsgesetz (kurz EBewMG) setzt die europäische E-Evidence-Verordnung in deutsches Recht um. Der erste Teil ist bereits in Kraft, der Rest folgt am 18. August 2026.

Im Februar 2026 habe ich angefangen, eine Web-App zu bauen, die die Auslastung von Rettungsdienstfahrzeugen berechnet. Sechs Wochen und 84 Commits später läuft Version 5.4 im Produktivbetrieb. Das klingt nach einem geradlinigen Projekt. War es nicht.

Warum überhaupt?

Im Rettungsdienst gibt es sogenannte Vorhaltungszeiten: festgelegte Zeitfenster, in denen ein Fahrzeug einsatzbereit sein muss. Ob ein Fahrzeug in diesen Zeiten tatsächlich ausgelastet ist, bestimmt langfristig, ob es weiter finanziert wird. Die Berechnung ist nicht trivial: Schichtzeiten, Feiertage, Fahrzeugtypen, Ersatzfahrzeuge, Nachtdienste über Mitternacht. All das fließt ein.

Der IT-Planungsrat hat auf seiner 48. Sitzung am 26. November 2025 überarbeitete Musterverträge für die IT-Beschaffung der öffentlichen Hand beschlossen. Acht der sogenannten Ergänzenden Vertragsbedingungen für IT-Dienstleistungen (EVB-IT) wurden so angepasst, dass Bund, Länder und Kommunen Open-Source-Software künftig rechtssicher beschaffen können. Bislang waren die Vertragsvorlagen ausschließlich auf proprietäre Software ausgelegt.

Was sich konkret ändert

Die gewichtigste Neuerung findet sich im EVB-IT Erstellung: Bei neuen Softwareprojekten wird die Entwicklung und Bereitstellung als Open-Source-Software zum Standard. Vorgesehen ist die Veröffentlichung auf OpenCoDE, der zentralen Plattform der öffentlichen Verwaltung für quelloffene Software. Darüber hinaus sollen Auftragnehmer künftig eine SBOM übergeben, eine maschinenlesbare Software Bill of Materials. Das verbessert die Transparenz über verwendete Bibliotheken und erleichtert das Schwachstellenmanagement.

Die Stadt Cottbus hat angekündigt, ab dem 30. März 2026 erstmals Gebührenbescheide für Rettungsdiensteinsätze direkt an Patienten zu verschicken. Rund 1.000 Betroffene aus dem Januar 2025 erhalten die Schreiben. Ab jetzt können sie die Kosten bei ihrer Krankenkasse zurückfordern. Hintergrund ist ein Finanzierungsstreit, der seit Monaten zwischen Kommunen und gesetzlichen Krankenkassen tobt und der in ganz Deutschland Wellen schlägt.

Was in Cottbus passiert

In Cottbus/Chóśebuz gibt es jährlich 16.000 bis 17.000 Rettungsdiensteinsätze. Die Kosten dafür liegen bei 13 Millionen Euro im Jahr. Die Krankenkassen haben davon bisher etwa 80 Prozent anerkannt. Das bedeutet eine Finanzierungslücke von rund 2,5 Millionen Euro, die im Stadthaushalt fehlt.

Am 19. März 2026 haben das US-Justizministerium, das Bundeskriminalamt über die ZAC NRW und kanadische Behörden in einer koordinierten Aktion vier IoT-Botnetze abgeschaltet, die zusammen mehr als drei Millionen kompromittierte Geräte umfassten. Die Netze mit den Namen Aisuru, Kimwolf, JackSkid und Mossad[1] waren für DDoS-Angriffe mit bis zu 31,4 Terabit pro Sekunde verantwortlich. Das ist fast das Dreifache der bisherigen Rekorde.

Was passiert ist

Die Ermittler haben die Kommando- und Kontrollinfrastruktur der vier Botnetze beschlagnahmt und den Datenverkehr auf kontrollierte Server umgeleitet. Das BSI unterstützte das technische Sinkholing. Bei Durchsuchungen an Wohnorten in Deutschland und Kanada wurden Beweismittel sichergestellt und Kryptowährungen im fünfstelligen Bereich beschlagnahmt.

Gut 3 Prozent sind nie online

Das Statistische Bundesamt veröffentlichte kürzlich Zahlen für das Jahr 2025: Gut 3 Prozent der Bevölkerung zwischen 16 und 74 Jahren haben das Internet nach eigenen Angaben noch nie genutzt. Das entspricht knapp 2,1 Millionen Menschen. Der Trend geht nach unten (2021 lag der Wert noch bei 6 Prozent), aber null wird er nicht.

Im Juni 2025 entdeckten Sicherheitsforscher eine Schwachstelle in Microsoft 365 Copilot, die mit einem CVSS-Score von 9.3 als kritisch eingestuft wurde. Der Name: EchoLeak (CVE-2025-32711). Das Besondere daran war nicht die Komplexität, sondern die Einfachheit.

Ein Angreifer schickte eine harmlos aussehende E-Mail mit versteckten Anweisungen. Für das menschliche Auge unsichtbar, für das KI-Modell eine Befehlsfolge. Die E-Mail wartete geduldig, bis Copilot sie in einen Kontext zog. In dem Moment griff der Agent mit den Rechten des Opfers auf sensible Daten zu und gab sie weiter. Kein Klick nötig. Keine Interaktion. Der Nutzer hat nichts falsch gemacht.

Was drin steckt

Nvidia will OpenClaw sicher machen. Mit NemoClaw, angekündigt auf der GTC 2026, bringt der Chip-Gigant einen Open-Source-Stack, der KI-Agenten in Sandboxen sperrt und ihren Datenzugriff über Richtlinien kontrolliert. Klingt gut. Aber schauen wir genauer hin.

Ein CLI für alles

Die JavaScript-Welt hat ein Tooling-Problem: Zu viele Tools, zu viele Configs, zu viele Versionen. Für ein modernes Frontend-Projekt braucht man heute einen Bundler, einen Linter, einen Formatter, ein Test-Framework, einen Task-Runner und einen Node-Version-Manager. Jedes mit eigener Konfiguration, eigenem Update-Zyklus und eigenen Eigenheiten.

Der KI-Agent auf dem eigenen Server

OpenClaw ist ein Open-Source-Projekt, das KI-Agenten auf dem eigenen Server betreibt. Kein SaaS, keine Cloud-Kontrolle, volle Souveränität. Klingt ideal. Aber genau diese Macht (Dateien lesen, E-Mails schreiben, Befehle ausführen, im Web surfen) macht den KI-Agenten auch zu einem Angriffsziel.