EU verschärft Regeln für Inkasso-Firmen: KI-Gesetz und Cyber-Bedrohungen

EU verschiebt KI-Compliance-Fristen für Inkasso, während Phishing-Angriffe und Gerichtsurteile den Druck auf die Branche erhöhen.

Inkasso-Unternehmen stehen vor einem regulatorischen Kraftakt. Die EU verschiebt zwar zentrale KI-Fristen, doch neue Cyber-Bedrohungen und Gerichtsurteile erhöhen den Druck.

Die europäische Finanzbranche muss sich auf tiefgreifende Veränderungen einstellen. Am 7. Mai 2026 einigten sich EU-Rat und Parlament auf den sogenannten „Digital Omnibus" – ein Gesetzespaket, das die ursprünglichen Fristen des EU-KI-Gesetzes (AI Act) neu justiert. Für Inkasso-Dienstleister bedeutet das: mehr Zeit, aber kein Grund zur Entwarnung.

Anzeige

Die neuen EU-Regeln für Künstliche Intelligenz gelten bereits, doch viele Unternehmen unterschätzen die strengen Dokumentationspflichten und Fristen des AI Acts. Dieser kostenlose Umsetzungsleitfaden verschafft Ihrer Rechts- und IT-Abteilung jetzt den notwendigen Überblick über alle Risikoklassen. EU AI Act in 5 Schritten verstehen

Neue Fristen für Hochrisiko-Systeme

Die Bonitätsprüfung per KI gilt künftig als Hochrisiko-Anwendung nach Anhang III der Verordnung. Ursprünglich erwarteten Experten strenge Auflagen bereits Mitte 2026. Der Digital Omnibus schiebt die Compliance-Frist nun auf den 2. Dezember 2027. Das klingt nach Aufschub – ist aber trügerisch.

Denn andere Pflichten kommen deutlich früher:

• Ab 2. August 2026: Generative KI-Systeme müssen mit Wasserzeichen und Transparenzmaßnahmen gekennzeichnet werden
• Bis 2. Dezember 2026: Bestehende Systeme müssen nachgerüstet sein

Wer die Regeln ignoriert, dem drohen empfindliche Strafen. Bei verbotenen KI-Praktiken – etwa unzulässigem Social Scoring oder Manipulation – sind Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes möglich. Bei Verstößen gegen Transparenzpflichten werden bis zu 15 Millionen Euro fällig.

Explosion der KI-Phishing-Angriffe

Die Dringlichkeit der neuen Regeln zeigt ein Blick auf die aktuelle Bedrohungslage. Laut dem Sicherheitsunternehmen KnowBe4 wurden allein im ersten Quartal 2026 weltweit 8,3 Milliarden Phishing-E-Mails blockiert. Besonders alarmierend: 86 Prozent aller Phishing-Kampagnen nutzen inzwischen Künstliche Intelligenz.

Die KI-generierten Nachrichten sind 4,5-mal erfolgreicher als manuell erstellte. Für Inkasso-Firmen, die täglich mit sensiblen Schuldnerdaten hantieren, ist das eine existenzielle Gefahr.

Das FBI meldete für 2025 Rekordverluste von umgerechnet rund 19,5 Milliarden Euro durch Cyberkriminalität allein in den USA. In Europa zeigt eine aktuelle Studie des österreichischen Gesundheitsministeriums: Der durchschnittliche Schaden pro Phishing-Opfer liegt bei 4.333 Euro. Besonders bitter: In 77 Prozent der Fälle sitzen die Zahlungsempfänger im Ausland – die Rückholung des Geldes ist meist aussichtslos.

Neue Phishing-Welle: Gefälschte Apple- und Amazon-Mails

Erst am 18. Mai 2026 warnten Verbraucherschützer vor einer neuen Angriffswelle. Die Täter geben sich als Apple oder Amazon aus und behaupten, Konten seien gesperrt oder eine Zahlung – etwa 8,99 Euro für Prime Video – stehe aus. Für seriöse Inkasso-Unternehmen entsteht ein doppeltes Problem: Ihre Kommunikationskanäle werden unsicherer, und das Vertrauen der Verbraucher leidet massiv.

Anzeige

Ob CEO-Fraud oder gefälschte Rechnungen – die psychologischen Manipulationstaktiken der Hacker werden immer raffinierter und verursachen Rekord-Schäden in deutschen Betrieben. In diesem kostenlosen Anti-Phishing-Paket erfahren Sie in 4 Schritten, wie Sie Ihr Unternehmen effektiv gegen Cyberkriminalität absichern. Kostenlosen Leitfaden zur Hacker-Abwehr herunterladen

Gericht stärkt Datenschutz-Rechtsprechung

Während die Politik neue KI-Regeln schmiedet, schafft die Justiz Klarheit für traditionelle Datenverarbeitung. Ein wegweisendes Urteil des Amtsgerichts Nürnberg vom 9. Juli 2025 gibt Inkasso-Firmen mehr Sicherheit bei der Weitergabe von Daten an Auskunfteien wie die Schufa.

Die Richter stellten fest: Die DSGVO enthält kein absolutes „Kopplungsverbot". Das bedeutet: Die Einwilligung eines Verbrauchers zur Datenverarbeitung kann auch dann freiwillig sein, wenn sie an einen Vertrag gekoppelt ist – vorausgesetzt, es besteht keine Monopolstellung oder unzulässige Drucksituation.

Besonders wichtig für die Branche: Die Übermittlung von „Positivdaten" – also Informationen über laufende Verträge und zuverlässiges Zahlungsverhalten – an Auskunfteien ist unter dem „berechtigten Interesse" (Artikel 6 Absatz 1f DSGVO) zulässig. Das gilt vor allem für die Betrugsprävention.

Wer allerdings Schadensersatz nach Artikel 82 DSGVO fordert, muss konkrete Schäden nachweisen. Bloßes „Unbehagen" reicht nicht.

Android-Trojaner auf dem Vormarsch

Die technischen Sicherheitslücken wachsen rasant. Kaspersky meldet einen Anstieg von Android-Banking-Trojanern um 56 Prozent im Jahresvergleich. Die Schadsoftware „Mirax" legte sogar um 196 Prozent auf rund 1,2 Millionen Fälle zu. Diese Trojaner kapern Login-Daten und TANs bei Finanztransaktionen.

Eine kritische Zero-Click-Lücke in Android (CVE-2026-0073) ermöglicht Angriffe ohne jede Nutzerinteraktion. Apple reagierte mit iOS 26.5 und schloss über 60 Sicherheitslücken. Auch „Quishing" – Phishing über QR-Codes – explodiert: 18 Millionen gemeldete Fälle bedeuten einen Anstieg von 150 Prozent.

Ausblick: Datenhoheit als Überlebensfrage

Für Inkasso-Unternehmen wird Datenschutz vom Formalakt zur operativen Kernaufgabe. Die verschobenen Fristen des Digital Omnibus bieten eine Atempause – aber keine Entwarnung. Experten raten zu einem mehrstufigen Compliance-Fahrplan:

• KI-Kompetenz-Schulungen für Mitarbeiter, wie bereits seit Februar 2025 in Artikel 4 des AI Act gefordert
• Inventur aller automatisierten Entscheidungssysteme
• Aufbau sicherer, „bot-freier" Kommunikationskanäle
• Lokale KI-Verarbeitung statt Cloud-Lösungen, um Datenhoheit zu wahren

Die Kombination aus milliardenschweren Bußgeldern und immer raffinierteren KI-Angriffen macht klar: Wer im Inkasso-Geschäft überleben will, muss Datenschutz und Cybersicherheit zur Chefsache machen. Die Zeit bis Dezember 2027 ist keine Gnadenfrist – sie ist die letzte Chance zur Umrüstung.