Cyberangriffe durch KI-Agenten – DS News KW 38-2026

Transkript zur Folge:

Herzlich willkommen zum Datenschutz-Talk, eurem wöchentlichen Datenschutz-Update der Migosense.
Wir starten wieder mit euch heute gemeinsam ins Wochenende, denn heute ist wieder Freitag.
Genau zu sein Freitag, der 18. September 2026.
Unser Redaktionsschluss wie immer so gegen 10. Und bei mir begrüße ich meinen
Kollegen Gregor Wortberg, meine Wenigkeit Heiko Gossen. Hallo Gregor.
Hi Heiko, hallo.
Was hast du uns heute Feines mitgebracht?
Ich habe drei Themen heute auf der Liste und zwar ein Urteil des Bundesfinanzhofes
im Kontext des Auskunftsrechts, dann das Titelthema, also ein Cyberangriff durch KI-Agenten in Spanien,
und die Hamburgische Datenschutzaufsicht hat ihren Abschlussbericht zu den Ray-Ban-Meta-AI-Glasses veröffentlicht.
Darüber hinaus darf ein Lesehinweis natürlich nicht fehlen in dieser Woche.
So soll es sein. Ich hätte eine Stellungnahme des EuGH-Generalanwalts zur Frage
der Einwilligung in Werbung und inwieweit dort Partner näher benannt werden müssen.
Dann schauen wir nochmal Richtung EuGH.
Dort hat nämlich der Bundesgerichtshof ein paar Fragen vorgelegt.
Da gucken wir auch mal drauf. Da gibt es zwar auch noch keine Entscheidung,
aber es zeichnet sich da vielleicht auch in wesentlichen Entscheidungen vielleicht ab, sagen wir es mal so.
Und für unsere Schweizer Zuhörer hätte ich noch eine Entscheidung aus der Schweiz.
Und last but not least hätte ich dann auch noch was für die Veröffentlichungshinweise mit dem Gepäck.
Wunderbar, dann blicken wir doch einmal auf das Urteil des Bundesfinanzhofs.
Der hat nämlich entschieden, dass wir eine datenschutzrechtliche Auskunft nach Artikel 15 des GVO,
bzw. auch diese Anfrage von einer Finanzbehörde nicht verlangen kann,
dass sie deren Richtigkeit und Vollständigkeit zusätzlich auch noch ein Eides stattversichert.
Im vorliegenden Fall hatte eine betroffene Person von einer Finanzbehörde Auskunft
über die Verarbeitung seiner personenbezogene Daten verlangt.
Und nachdem die Behörde diese Auskunft natürlich auch erteilt hatte,
verlangte er zusätzlich eine eidesstattliche Versicherung, dass die Eingaben
vollständig und richtig seien, da er.
Das persönliche Gefühl hatte, dass dem eben nicht so sei.
Nachdem die Finanzbehörde das dann abgelehnt hatte, zog er vor das Finanzgericht
Berlin-Brandenburg und machte dann dort zudem auch noch 1.500 Euro Schadensersatz
geltend oder wollte diese geltend machen.
Der Bundesfinanzhof wies in dem Kontext jetzt nun die Revision zurück,
nachdem halt auch das Finanzgericht Berlin-Brandenburg das dann abgelehnt hatte, diesen Anspruch.
Zum Kernpunkt der Fragestellung stellt das Gericht jetzt klar,
dass die DSGVO auch keine Regelung enthalte,
die einen Verantwortlichen dazu verpflichtet, die Richtigkeit und Vollständigkeit
eines Auskunftsersuchens an Eidesstatt zu versichern und auch aus der Rechenschaftspflicht
nach Artikel 5 Absatz 2 der DSGVO.
Die der Kläger auch angeführt hatte, lasse sich ein solcher Anspruch eben nicht ableiten.
Darüber hinaus seien auch entsprechende Regelungen des BGB, also des bürgerlichen
Gesetzbuches, eben nicht anwendbar bei einer Finanzbehörde. In anderen Bereichen
wohl schon, muss man dann auch nochmal so ein bisschen eingrenzen.
Interessanterweise ist aber auch nochmal die Begründung, weil bestehen Zweifel
an der Vollständigkeit einer Auskunft, soll sich eine Behörde eben gerade nicht
dadurch entlasten können, dass sie ihre Angaben formal an Eides statt eben bestätigt.
Also so sagen, ja, passt schon, reicht dann eben nicht aus. Das ist eben nicht das Ziel.
Der eigentliche Auskunftsanspruch bestehe ja weiterhin und die betroffene Person
kann also weiterhin eine vollständige und richtige Auskunft verlangen und im
Zweifel halt auch gerichtlich inhaltlich überprüfen lassen, ob die Behörde oder
die verantwortliche Stelle,
diesem Anspruch nachgekommen ist.
Auch zur Vollständigkeit halber mit dem Schadensersatzanspruch hatte der Kläger
keinen Erfolg, da er diesen nicht zunächst gegenüber der Finanzbehörde vorher geltend gemacht hatte.
Eine Vorlage beim EuGH bedarf es laut Bundesfinanzhof auch nicht,
da die Rechtslage eindeutig sei und eine vorangegangene Rechtsprechung auch
in die Richtung schon geurteilt hat.
Dann dürfte das ja damit dann abschließend wohl erklärt sein.
Ja, wie gesagt, ich habe zwei Themen, die zumindest beim EuGH liegen,
wenn auch noch nicht entschieden.
Das erste ist, nach Ansicht des EuGH-Generalanwalts reicht eine Einwilligung
in Werbung durch nicht näher benannte Partner nicht aus.
Betroffene müssen erkennen können, welche Unternehmen ihre Daten für Direktwerbung nutzen.
Der Generalanwalt Dien Spielmann hält eine solche Einwilligung nur dann für
informiert, wenn die betroffene Person die Identität des für die Werbung verantwortlichen
Unternehmens auch erfahren kann.
Eine pauschale Zustimmung zur Werbung durch die Partner eines Unternehmens genügt
aus seiner Sicht deshalb nicht.
Ist also das konkrete werbende Unternehmen bei der Erteilung der ursprünglichen
Einwilligung nicht bekannt, muss grundsätzlich eine neue Einwilligung eingeholt werden.
Und laut Anwalt muss das spätestens bei der ersten Werbenachricht dann geschehen
bzw. nachgeholt werden.
Auch die Möglichkeit, sich bei dieser ersten Nachricht wieder abzumelden oder
abmelden zu können, kann die fehlende vorherige Einwilligung nach Auffassungsgeneralanwalts
also auch nicht ersetzen.
Ausgangspunkt des Verfahrens ist ein Fall aus Frankreich.
Hier hatte die Kanal Plus Gruppe im Jahr 2021 elektronische Direktwerbung an
rund 3,9 Millionen Personen versendet, deren Daten von zwei Internetzugangsanbietern
stammten, bei denen die Betroffenen eine werbliche Nutzung durch.
Deren Partner zugestimmt hatte.
Und das aber dann ohne, dass diese Partner wohl konkret benannt waren.
Die französische Datenschutzaufsichtsbehörde Knill hatte darin keine wirksame
Einwilligung gesehen und deswegen dann auch ein Bußgeld von 600.000 Euro verhängt.
Und wie gesagt, die haben sich natürlich dagegen gewehrt. Und das zuständige
französische Gericht legte jetzt neben dem EuGH daraufhin die Frage vor,
ob eine solche Einwilligung für eine Kategorie von Empfängern ausreichen kann.
Wie gesagt, das sind jetzt die veröffentlichten Schlussanträge.
Dieses ist noch kein Urteil des EuGH und für die Richter natürlich auch nicht bindend.
Interessant fand ich, dass falls der Gerichtshof dieser Hauptargumentation des
Generalanwalts nicht folgt, gibt Spielmann hier allerdings auch nochmal eine zweite Linie vor.
Denn müsste die Kategorie möglicher Empfänger zumindest genauso beschrieben
sein, dass Betroffene vernünftigerweise damit rechnen kann, gerade von den betreffenden
Unternehmen dann auch kontaktiert zu werden. Also der bloße Begriff Partner,
den hält er für zu unbestimmt.
Wie solche Kategorien dann generell ausgestaltet sein müssten,
das will er allerdings jetzt in diesem Antrag nicht festlegen.
Da hält er sich ein bisschen zurück.
Ja, mich hat das ja an die Entscheidung des Verwaltungsgerichts Berlin erinnert,
dass ebenfalls eine Einwilligung in die Weitergabe personenbezogener Daten regionale
Partnerbetriebe für unwirksam gehalten hat.
Ich weiß nicht, vielleicht erinnerst du dich auch, Gregor, ich hatte gesehen,
da waren wir sogar zusammen in der Folge hier.
Und dort hatte das VG Berlin auch gesagt, dass die Partner zumindest eingegrenzt
werden müssten, selbst wenn sie halt nicht konkret benannt werden können.
Das heißt also, das war halt VG Berlin. Jetzt haben wir aber eine EuGH-Entscheidung zu erwarten.
Vergleichbare eben.
Ja, genau. Aber zumindest ein vergleichbarer Sachverhalt. Und wie gesagt,
würde mich sehr wundern, wenn der EuGH da auch nicht dem Generalanwalt folgt
und in eine ähnliche Kerbe schlägt wie das VG Berlin dort.
Da hätten wir natürlich dann schon eine recht wirksame Entscheidung für die
Werbewirtschaft und für Adresshandel und so weiter.
Also ich könnte mir vorstellen, dass man da vielleicht auch mit einem gewissen
unguten Gefühl vielleicht der Entscheidung entgegenblickt.
Ja, man liest an vielen Stellen. Also wenn man dann die Bedingungen mal liest,
diese Weitergabe an Partnern und da können wir echt gespannt sein.
Die Werbewirtschaft viel mehr, sehr wahrscheinlich.
Die wird sehr gespannt sein, glaube ich, ja.
Für meine nächste Meldung möchte ich einmal nach Spanien blicken.
Die spanische Datenschutzaufsichtsbehörde IPD hat über eine erste Meldung ihr
gegenüber informiert, bei der
ein Cyberangriff mithilfe eines KI-Agenten ausgeführt worden sein soll.
Der KI basierte dabei auch noch auf einem bekannten Sprachmodell.
Welches Modell konkret zum Einsatz kam, vielleicht besser so,
aber auch ein bisschen Neugier ist da leider nicht mitgeteilt worden.
Und bisher liegen auch nur die Informationen vor, welche der Aufsichtsbehörde
in der Meldung durch das betroffene Unternehmen mitgeteilt wurden.
Betont wurde, dass der Angriff nicht bedeutet, dass ein KI-Anbieter kompromittiert
wurde, vielmehr eben, dass ein Dritter einen KI-Agenten als Instrument genutzt
haben soll, um verschiedene Phasen eines Angriffs erfolgreich miteinander zu verknüpfen.
Und eben das zeigt, der in der Meldung geschilderte Ablauf eben auch,
was einen solchen KI-Agenten von einem klassischen, vielleicht auch KI-gestützten,
aber durch einen Menschen ausgeführten Angriff dann eben unterscheidet.
Und nach Angaben der betroffenen Organisation suchte das System eben zunächst
selbstständig nach Schwachstellen, verschaffte sich anschließend Zugang zu einem
IT-System und suchte dort nach weiteren Angriffsmöglichkeiten,
und am Ende konnte dann der Agent auch auf personenbezogene Daten zugreifen
und diese teilweise dann noch sogar ändern und das Besondere ist dabei weniger,
dass irgendwie neue Angriffsmethoden wohl verwendet wurden.
Neu ist da vielmehr die Art und Weise, wie diese einzelnen Schritte eben miteinander
logisch verbunden werden konnten. Und auch in einer.
Eigenständigen Formen, ein eigenständiges Entscheidungsverhalten dann und dadurch
eine sehr, sehr hohe Angriffsgeschwindigkeit dann halt auch dann mit sich gebracht hat.
Also der Angriff muss halt nicht mehr manuell durch den Angreifer in jedem Schritt
einzeln durchgeführt werden, sondern der KI-Agent führt dieses dann sehr,
sehr schnell hintereinander auf.
Und das sieht auch die spanische Datenschutzaufsichtsbehörde als eine neue Qualität.
Und genau deshalb ist der Fall auch dann so relevant, dass die AIPD,
obwohl sie jetzt noch gar nicht abschließend analysiert hat,
da schon in ihrem Blogbeitrag dann,
den Vorfall veröffentlicht und auch einen Sensibilisierungscharakter eben mit sich bringt.
Vor dem Hintergrund ja auch einer stetig verändernden Bedrohungslage. Und.
Da kann man sich auch nur anschließen, sollten Unternehmen natürlich dann laufend
prüfen, ob ihre bisherigen Annahmen zu Angriffsszenarien, welche ja wahrscheinlich
in der Vergangenheit eher auf menschlichen Angreifern Fuß noch ausreichend sind.
Dazu gehört dann eben auch natürlich die Frage, wie schnell ungewöhnliche Zugriffe
erkannt werden, ob Berechtigungen tatsächlich auch auf das notwendige Maß beschränkt
sind und ob ein komplementiertes Benutzerkonto also inmittelbar den
Zugriff auf weitere Systeme und Daten dann ermöglicht.
Neben der Betrachtung dieses neuen Risikos, bleibt natürlich die Bedeutung von
klassischen Maßnahmen wie einem Patch-Management, einer Protokollierung und
einem Monitoring natürlich weiterhin bestehenden, also die zentrale Bedeutung.
Insbesondere, da im Angriffsfall jetzt die Reaktionszeit noch geringer wird,
spontan eigenständig Maßnahmen umsetzen zu können.
Weil der KI-Agent halt wahrscheinlich in Sekundenschnelle die nächste Maßnahme
hinterher steht, um das Ziel zu erreichen.
Ich glaube, da muss man jetzt auch nicht besonders weitsichtig für sein,
um zu sagen, okay, das wird mehr werden.
Da wird auf der anderen Seite in der Firewall-Technologie und in Intrusion-Detection-Systemen
wahrscheinlich auch einfach vermehrt KI eingesetzt werden müssen,
um genau diese Reaktionsfähigkeit auch auf einem angemessenen Niveau hinzubekommen.
Gleichzeitig, das wissen wir auch, da wo Systeme aktiv vielleicht dann auch
in die Abwehr eingreifen, kann es natürlich auch immer zu Kollateralschälen
kommen. Also das heißt, dass dann vielleicht auch mal Unternehmen plötzlich,
von so einem IDS abgeschnitten werden, weil es vielleicht so einen Angriff abwehren
muss und dann vielleicht sehr großzügig Netzwerkverkehre einschreiben usw.
Also ich glaube, da werden wir noch einiges an Learnings haben in der Zukunft
und das wird nicht ohne Schmerzen erfolgen.
Ja, sehr, sehr viel Dynamik drin.
Der Bundesgerichtshof lässt den EuGH neben den Voraussetzungen der Haushaltsausnahme
auch die grundlegende Frage klären, ob ein Verstoß gegen Informationspflichten
eine Verarbeitung rechtswidrig macht.
Ausgangspunkt sind zwei Verfahren, in denen sich Privatpersonen auf die sogenannte
Haushaltsausnahme der DSGVO berufen.
In einem Fall leitete eine Frau private Chatnachrichten einer ehemaligen Freundin
an deren Arbeitgeberin weiter, woraufhin die Betroffene dann schlussendlich
ihren Arbeitsplatz verlor.
Und im zweiten Fall hatte eine Frau ihre im Haus lebende Mutter heimlich per
Video überwacht und Aufnahmen später an die Polizei weitergegeben.
Die Fälle kommen mir auch bekannt vor. Ich glaube, wir haben da auch drüber berichtet.
Die Vorinstanzen hielten die
DSGVO in beiden Fällen wegen der Haushaltsausnahme für nicht anwendbar.
Der BGH wiederum sieht die Reichweite dieser Ausnahme aber als nicht ausreichend
geklärt an und möchte vom EuGH unter anderem wissen, ob dabei auch der Zweck
der Datenverarbeitung berücksichtigt werden muss.
So stellt sich etwa die Frage, ob eine eigentlich private Verarbeitung noch
als persönliche Tätigkeit gelten kann, wenn sie gezielt Auswirkungen auf das
Arbeitsverhältnis einer anderen Person haben soll.
Daneben enthält die Vorlage aber auch noch eine zweite und ich finde für die
Praxis auch besonders relevante und interessante Frage, denn der EuGH soll klären,
ob eine Verarbeitung schon deshalb rechtswidrig ist, weil die betroffene Person
nicht ordnungsgemäß nach Artikel 13 DSGVO informiert wurde.
Außerdem möchte die BGH dann wissen, welche Folgen es hat, wenn bereits die
Erhebung der Daten rechtswidrig war und die Daten später für einen anderen Zweck
dann weiterverarbeitet werden.
Falls eine solche Weiterverarbeitung nicht automatisch unzulässig ist,
dann soll der EuGH bitte auch noch klären, ob die rechtswidrige Erhebung zumindest
bei der Interessenabwägung zulasten des Verantwortlichen zu berücksichtigen ist.
Die beiden Verfahren, die ich eben angesprochen habe beim BGH,
die sind jetzt natürlich bis zur Entscheidung des EuGH erstmal ausgesetzt.
Und ja, wir sind, also ich persönlich bin in dem Fall auch sehr gespannt,
weil für mich ist es auch sehr praxisrelevant, also dieser zweite Teil,
diese zweite Frage, weil Informationspflichten damit natürlich nicht nur eine
eigenständige Transparenzpflicht wären, wenn der EuGH sagt, die Datenverarbeitung ist dann unzulässig,
sondern damit natürlich dann auch die Rechtmäßigkeit der Verarbeitung selbst
darauf dann durchschlägt.
Mich würde es jetzt nicht überraschen, wenn der EuGH so entscheidet,
da wir ja einen ähnlichen Fall
ja bereits mit den berechtigten Interessen entschieden haben vom EuGH.
Da hat er ja ganz klar gesagt, sind die berechtigten Interessen nicht in Artikel
13 Informationen genannt.
Dann ist die Datenverarbeitung unrechtmäßig. Also die Entscheidung haben wir schon.
Mich würde es, wie gesagt, nicht allzu sehr überraschen, wenn der EuGH hier,
nochmal eine klare, wie sagt man, Axt einschlägt, nochmal einen klaren Meilenstein
setzt, um irgendwie ein paar falsche Redewende zu zitieren.
Du weißt, was ich meine.
Oder?
Ein Flock einschlagen, so.
Jetzt habe ich nochmal einen Flock einschlägt.
So.
Dahin sollte die Reise gehen.
Dahin sollte die Reise gehen.
Schlechte Überleitung, wohin die Reise geht.
Bei den Ray-Ban-Meta-AI-Glasses ist ja auch in den vergangenen Wochen eine laufende
Diskussion gewesen, die wir ja auch mehrfach aufgegriffen haben.
Für Interessierte ist auch nochmal der Hinweis, dass die Hamburgische Datenschutzbehörde,
nun ihren 55-seitigen Abschlussbericht zu der technischen und datenschutzrechtlichen
Untersuchung der Brillen veröffentlicht hat.
Eine besondere Problematik.
Wird da, wie ja schon mal thematisiert, bei der mangelnden Transparenz gesehen,
gerade bei laufenden Aufnahmen, sowohl im privaten als auch im öffentlichen
Raum, eine zulässige Nutzung sei da kaum darstellbar.
Einmal wegen der angesprochenen Transparenz, aber auch aufgrund fehlender Rechtsgrundlagen,
also eine wirksame Einwilligung einzuhören, wird da schon sehr,
sehr schwierig und ein berechtigtes Interesse wird da auch nun ganz,
ganz selten in Fällen gesehen.
Daneben wird dann auch nochmal die mögliche Nutzung der Daten zum KI-Training
durch Meta in dem Bericht beleuchtet. Verlinken wir, wie immer gerne, in den Shownotes.
Ich hätte dann, wie eingangs angekündigt, für die Schweizer Zuhörer noch eine Meldung.
Das Schweizer Bundesverwaltungsgericht hat bestätigt, dass an den Kassounternehmen
Personendaten mutmaßlicher Schuldner nicht öffentlich im Internet einen Pranger
stellen darf, um sie aufzuspüren und oder andere zu warnen.
Die Inkasso-Team AG hatte wohl unter anderem Namen, Fotos, Angaben zu Wohnort
und Geschäftstätigkeit sowie Informationen zu zivil- und strafrechtlichen Verfahren,
von den Schuldnern veröffentlicht und,
das Gericht sah darin dann Verstöße gegen die Grundsätze der Transparenz,
Zweckbindung und Verhältnismäßigkeit.
Besonders schwer wiegt aus Sicht des Gerichts dieser Pranger-Effekt.
Die Daten werden quasi praktisch unbegrenzt im Personenkreis damit zugänglich
und können sich natürlich im Internet damit auch dauerhaft verbreiten.
Auch das Interesse von Gläubigern, Forderungen durchzusetzen und auch das Ziel
der Betrugsprävention rechtfertigen diese Veröffentlichung nach dem Urteil nicht.
Für die Forderungsdurchsetzung stehen laut Gericht vielmehr gesetzlich geregelte
Mittel, die Gerichts- und Beitreibungsverfahren zur Verfügung.
Kurz zur Erinnerung, in der Schweiz haben wir ja nicht dieses grundsätzliche
Verbotsprinzip mit Erlaubnisvorbehalt, so eng und streng, wie wir das in der EU kennen.
Aber dennoch gelten natürlich die gleichen Grundsätze wie Transparenz und Verhältnismäßigkeit,
die wir auch in der EU kennen. Also von daher ist es natürlich auch ehrlich
gesagt nicht sehr überraschend, diese Entscheidung.
Ich habe einen Veröffentlichungshinweis angekündigt, es sind aber eigentlich drei.
Von daher möchte ich die gerne einmal aufgreifen.
Mehrere Datenschutzaufsichtsbehörden haben neue Informations- und Unterstützungsangebote veröffentlicht.
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit hat ihr fortlaufendes
FAQ zum Cyberangriff auf die Berliner Landesverwaltung, über die wir ja auch
schon berichtet haben, aktualisiert.
Zudem erweitert die niedersächsische Aufsicht zum Schuljahresbeginn ihr medienpädagogisches
Angebot unter dem Motto Fit fürs Netz, Datenschutz verstehen, Medien smart nutzen.
Und der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern
hat einen Leitfaden für den datenschutzkonformen und digital souveränen Einsatz
von KI-Systemen mit beschränktem oder minimalem Risiko vorgelegt.
Also was zu lesen übers Wochenende.
Wunderbar. Ja, ich hätte auch noch was für interessierte und geneigte Leser.
Eine neue Studie der Plattform Privatheit kommt zu dem Ergebnis,
dass die These Datenschutzbremse Europas digitale Wettbewerbsfähigkeit zu kurz greift.
Entscheidend seien vielmehr Rechtssicherheit,
Datenqualität und eine praxistaugliche Umsetzung der Regeln.
Der Bericht zeigt zwar, dass Datenschutzvorgaben gerade für kleine und junge
Unternehmen spürbare Kosten und Unsicherheiten verursachen können.
Die Autoren, zu denen auch unter anderem Professor Alexander Rostnagel gehört,
den wir ja auch schon hier,
im Podcast hatten dieses Jahr, sehen das eigentliche Problem aber weniger im
Datenschutzniveau selbst als in einer uneinheitlichen Rechtsanwendung.
Anwendung, komplexen Verfahren und auch fehlender technischer sowie organisatorischer Infrastruktur.
Auch bei datengetriebenen Innovationen widersprechen sie der Vorstellung,
dass möglichst viele Daten automatisch zu besseren Ergebnissen führen.
Wichtiger seien eigentlich Qualität, natürlich Passgenauigkeit und geeignete
Verfahren zur Datennutzung.
Und deswegen sagen sie, Datenschutz könne sogar Teil einer Innovationsstrategie
sein, wenn er früh in Technikgestaltung und Unternehmensprozesse eingebaut wird,
statt erst nachträglich als Compliance-Aufgabe dazuzukommen.
Ja, wie gesagt, ich glaube für uns Datenschutzbeauftragte ist der Bericht deswegen
interessant, weil er Argumente dann für diese differenzierte Debatte liefert,
dass nicht weniger Datenschutz um jeden
Preis, sondern eigentlich bessere Rahmenbedingungen für Innovationen und,
auch klare und praxistaugliche Regeln eigentlich viel wichtiger sind.
Und ja, wie gesagt, ich denke, es ist hilfreich nochmal, wenn wir uns wieder
mal solchen Vorwürfen, wie gesagt, ausgesetzt sehen in den Diskussionen und,
auch diesem Bild einen Riegel vorschieben können. Datenschutz verhindert halt das.
Jetzt hast du es mit deinen Redewendungen gemacht.
Ja, ich kriege sie vor dem Wochenende wahrscheinlich nicht mehr ganz sortiert.
Ich soll es wieder lassen.
Gut, dann sind wir durch soweit.
Vielen Dank, Gregor.
Danke, Heiko.
Euch viel Spaß. Vielleicht nochmal kurz zur Erinnerung. Wir hatten es letzte
Woche, am 25. Heute in einer Woche, werden die Big Brother Awards verliehen.
Wer es sich noch nicht eingetragen hat, hier nochmal eine kleine Reminder.
Und ansonsten bleibt uns gewogen und auf bald.
Bis bald.