Am 4. September 2026 bestätigte das Land Berlin, dass nach dem schweren Cyberangriff auf das Berliner Landesnetz gestohlene Daten veröffentlicht worden sind. Bereits zuvor war bekannt geworden, dass die Hackergruppe Rhysida nach eigenen Angaben Daten im Umfang von mehreren Terabyte erbeutet hatte. Darunter können personenbezogene Daten von Beschäftigten des Landes Berlin, Bürgerinnen und Bürgern sowie Unternehmen sein.
Sicherheitsbehörden und IT-Forensiker untersuchen den veröffentlichten Datenbestand derzeit weiter. Identifizierte Betroffene sollen nach Maßgabe der gesetzlichen Vorgaben informiert werden.
Damit stellt sich für möglicherweise Betroffene eine rechtlich erhebliche Frage:
Kann der Verlust und die Veröffentlichung personenbezogener Daten einen Schadensersatzanspruch nach Art. 82 DSGVO begründen?
Die kurze Antwort lautet: Ja – aber nicht automatisch.
Für Unternehmen und öffentliche Stellen zeigt der Fall zugleich, wie eng Datenschutz und IT-Sicherheit inzwischen miteinander verbunden sind.
Wann besteht nach einem Cyberangriff ein Anspruch auf Schadensersatz nach Art. 82 DSGVO?
Art. 82 Abs. 1 DSGVO setzt grundsätzlich drei Elemente voraus:
- einen Verstoß gegen die DSGVO,
- einen materiellen oder immateriellen Schaden und
- einen ursächlichen Zusammenhang zwischen dem Verstoß und dem Schaden.
Ein Datenleck allein führt deshalb noch nicht automatisch zu einem Zahlungsanspruch.
Für Cyberangriffe ist diese Unterscheidung besonders wichtig. Dass Hacker erfolgreich in ein IT-System eindringen konnten, beweist für sich genommen noch nicht, dass die verantwortliche Stelle gegen die DSGVO verstoßen hat.
Für Betroffene des Berliner Cyberangriffs müssen deshalb zwei Fragen getrennt betrachtet werden:
Erstens: Hat die verantwortliche Stelle ihre datenschutzrechtlichen Sicherheitspflichten verletzt?
Zweitens: Ist der betroffenen Person hierdurch ein ersatzfähiger Schaden entstanden?
Gerade bei der zweiten Frage hat die neuere Rechtsprechung die Position betroffener Personen deutlich konkretisiert.
Bedeutet ein erfolgreicher Hackerangriff automatisch einen Verstoß gegen Art. 32 DSGVO?
Nein.
Art. 32 DSGVO verpflichtet Verantwortliche nicht dazu, jeden Cyberangriff unter allen Umständen zu verhindern. Gefordert wird vielmehr ein dem jeweiligen Risiko angemessenes Schutzniveau.
Zu berücksichtigen sind insbesondere der Stand der Technik, die Implementierungskosten, Art und Umfang der Datenverarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Rechte und Freiheiten der betroffenen Personen.
Die DSGVO verlangt damit kein technisch unerreichbares Nullrisiko. Auch ein erfolgreicher Angriff eines Dritten lässt nicht automatisch den Schluss zu, dass die eingesetzten technischen und organisatorischen Maßnahmen unzureichend waren.
Die rechtliche Argumentation darf daher nicht lauten:
„Die Hacker waren erfolgreich – also war die IT-Sicherheit rechtswidrig.“
Zu untersuchen ist vielmehr konkret, welche Risiken bestanden, welche Schutzmaßnahmen getroffen worden waren und ob diese Maßnahmen angesichts der verarbeiteten Daten und der bekannten Bedrohungslage angemessen waren.
Die rechtlichen Anforderungen an technische und organisatorische Maßnahmen gehören deshalb zu den zentralen Bestandteilen unserer Beratung zu Datenschutz und IT-Sicherheit.
Wer muss beweisen, dass die IT-Sicherheitsmaßnahmen angemessen waren?
An dieser Stelle wird die Rechtsprechung des Europäischen Gerichtshofs für Betroffene besonders interessant.
Der Verantwortliche trägt im Rahmen eines Schadensersatzprozesses die Beweislast dafür, dass seine Sicherheitsmaßnahmen den Anforderungen des Art. 32 DSGVO entsprachen.
Das bedeutet nicht, dass sämtliche Voraussetzungen eines Schadensersatzanspruchs auf die Behörde oder das Unternehmen verlagert werden. Betroffene müssen weiterhin den Eintritt eines Schadens und den ursächlichen Zusammenhang zwischen dem geltend gemachten DSGVO-Verstoß und diesem Schaden darlegen und beweisen. Soweit jedoch die Angemessenheit der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO streitig ist, trägt hierfür der Verantwortliche die Beweislast.
Die möglicherweise betroffene Person muss aber nicht von außen die vollständige technische Infrastruktur einer Behörde rekonstruieren und im Einzelnen beweisen, welche Firewall, Netzwerksegmentierung, Zugriffskontrolle oder sonstige Schutzmaßnahme unzureichend war.
Ist die Angemessenheit der technischen und organisatorischen Maßnahmen streitig, muss der Verantwortliche seine Sicherheitsarchitektur und die zugrunde liegende Risikobewertung nachvollziehbar darlegen können.
Diese Rechenschaftspflicht macht die Dokumentation der IT-Sicherheit nicht nur zu einer Compliance-Frage. Sie kann im Schadensersatzprozess unmittelbar haftungsrelevant werden.
Ähnliche Nachweis- und Organisationspflichten gewinnen auch durch die neuen Anforderungen des Cybersicherheitsrechts an Bedeutung. Einen Überblick geben wir in unserem Beitrag zu BSIG und NIS-2.
Kann sich eine Behörde darauf berufen, dass kriminelle Hacker den Schaden verursacht haben?
Nicht ohne Weiteres.
Nach Art. 82 Abs. 3 DSGVO kann sich ein Verantwortlicher von seiner Haftung entlasten, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist.
Der bloße Hinweis darauf, dass der eigentliche Angriff von kriminellen Dritten ausgeführt wurde, reicht dafür nicht aus.
Entscheidend kann insbesondere sein, ob die Sicherheitsmaßnahmen angemessen waren und ob zwischen einer etwaigen Verletzung der datenschutzrechtlichen Sicherheitspflichten und dem Datenabfluss ein Zusammenhang besteht.
Damit dürfte die technische und organisatorische Aufarbeitung des Berliner Vorfalls auch für mögliche spätere Schadensersatzverfahren eine zentrale Rolle spielen.
Ist schon der Verlust der Kontrolle über personenbezogene Daten ein Schaden?
Ja, das kann der Fall sein.
Der Bundesgerichtshof hat inzwischen klargestellt, dass bereits der Verlust der Kontrolle über eigene personenbezogene Daten einen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO darstellen kann.
Eine zusätzliche missbräuchliche Verwendung der Daten muss dafür nicht zwingend bereits stattgefunden haben. Auch erhebliche psychische oder wirtschaftliche Folgen sind nicht in jedem Fall Voraussetzung.
Das ist für einen Sachverhalt wie den Berliner Cyberangriff von erheblicher Bedeutung.
Wenn feststeht, dass die personenbezogenen Daten einer bestimmten Person tatsächlich aus einem geschützten Bereich abgeflossen und unbefugten Dritten zugänglich geworden sind, kann darin bereits ein ersatzfähiger Kontrollverlust liegen.
Davon zu unterscheiden ist die bloße allgemeine Befürchtung, möglicherweise könnten auch eigene Daten betroffen sein.
Allein die Nachricht, dass eine Behörde gehackt wurde, begründet noch keinen individuellen Schadensersatzanspruch.
Die konkrete Betroffenheit bleibt daher entscheidend.
Was bedeutet die Veröffentlichung der Daten im Darknet?
Eine Veröffentlichung gestohlener Daten verschärft die Situation erheblich.
Der Bundesgerichtshof hat bereits einen Fall entschieden, in dem personenbezogene Daten unbefugt abgegriffen und anschließend im Darknet zum Verkauf angeboten wurden. Für diesen Fall hat er angenommen, dass spätestens mit dem Angebot im Darknet ein immaterieller Schaden entstanden war.
Die rechtliche Bedeutung liegt auf der Hand: Ein zunächst auf die Angreifer begrenzter Kontrollverlust kann sich durch eine Veröffentlichung auf einen praktisch nicht mehr überschaubaren Empfängerkreis ausweiten.
Hinzu kommt die Gefahr weiterer Verwendungen der Daten – etwa für Phishing, Identitätsmissbrauch oder die Kombination mit anderen bereits verfügbaren Datensätzen.
Auch begründete Sorgen vor einer zukünftigen missbräuchlichen Verwendung können datenschutzrechtlich relevant sein.
Für den Berliner Fall bedeutet dies allerdings weiterhin nicht, dass jeder Bürger automatisch geschädigt ist. Entscheidend ist, ob gerade die personenbezogenen Daten der jeweiligen Person betroffen waren.
Was gilt, wenn Sicherheitsmängel schon vor dem Angriff bekannt waren?
Dieser Punkt könnte für die weitere Entwicklung des Berliner Falls besonders interessant werden.
Sollten sich im Rahmen der laufenden Untersuchungen konkrete Sicherheitsdefizite ergeben, die bereits vor dem Cyberangriff bekannt waren und gleichwohl nicht angemessen beseitigt wurden, könnte dies für die Bewertung nach Art. 32 DSGVO erhebliches Gewicht haben.
Dabei genügt allerdings nicht irgendein allgemeiner IT-Sicherheitsmangel.
Entscheidend wäre insbesondere, ob das betreffende Defizit für die konkret betroffenen Systeme und Datenbestände relevant war und ob ein Zusammenhang zwischen dem Sicherheitsdefizit, dem erfolgreichen Angriff und dem späteren Datenabfluss bestand.
Öffentlich belastbar geklärt ist dies beim Berliner Angriff derzeit noch nicht.
Gerade deshalb sollte zwischen gesicherten Erkenntnissen und Spekulationen über mögliche technische Versäumnisse klar unterschieden werden.
Für Unternehmen zeigt dies zugleich ein grundsätzliches Problem: Werden bekannte IT-Risiken intern festgestellt, aber nicht bewertet, dokumentiert und angemessen behandelt, kann aus einem technischen Risiko später ein erhebliches Compliance- und Haftungsrisiko werden. Dies betrifft nicht nur die DSGVO, sondern zunehmend auch das allgemeine Compliance-Management.
Was müssen Betroffene des Berliner Datenlecks nachweisen?
Wer einen Schadensersatzanspruch nach Art. 82 DSGVO prüfen möchte, sollte zunächst die eigene Betroffenheit klären.
Wesentlich sind insbesondere folgende Fragen:
- Hat die zuständige Berliner Stelle mitgeteilt, dass eigene personenbezogene Daten betroffen sind?
- Welche konkreten Daten wurden entwendet?
- Wurden diese Daten auch veröffentlicht?
- Sind danach ungewöhnliche Phishing-Nachrichten, Accountzugriffe oder sonstige Auffälligkeiten aufgetreten?
- Mussten Passwörter geändert, Konten gesperrt oder andere Schutzmaßnahmen ergriffen werden?
- Sind weitere materielle oder immaterielle Folgen eingetreten?
Eine Mitteilung nach Art. 34 DSGVO kann für die spätere Anspruchsprüfung besonders wichtig sein.
Daneben kann ein Auskunftsanspruch nach Art. 15 DSGVO helfen, die eigene Betroffenheit näher aufzuklären. Er verschafft allerdings nicht automatisch eine vollständige forensische Auskunft darüber, welche Daten von den Angreifern tatsächlich abgegriffen oder veröffentlicht wurden.
Wie hoch kann der Schadensersatz nach einem Datenleck sein?
Eine allgemeine „Preisliste“ für DSGVO-Schadensersatz gibt es nicht.
Auch aus der bisherigen Rechtsprechung lässt sich kein pauschaler Betrag für eine Darknet-Veröffentlichung ableiten.
Für die Höhe können insbesondere relevant sein:
- Art und Sensibilität der betroffenen Daten,
- Umfang des Kontrollverlusts,
- Dauer und mögliche Irreversibilität der Veröffentlichung,
- Zahl und Art möglicher Empfänger,
- ein tatsächlicher Missbrauch der Daten,
- wirtschaftliche Folgen sowie
- weitere nachweisbare persönliche Beeinträchtigungen.
Ein Kontrollverlust über öffentlich zugängliche Kontaktdaten ist deshalb nicht ohne Weiteres mit der Veröffentlichung einer vollständigen Personalakte, von Finanzdaten, Zugangsdaten oder besonders sensiblen personenbezogenen Informationen vergleichbar.
Seriös lässt sich die Höhe eines möglichen Schadensersatzes beim Berliner Datenleck deshalb erst beurteilen, wenn feststeht, welche Daten einer konkreten Person tatsächlich betroffen waren und welche Folgen daraus entstanden sind.
Was bedeutet der Berliner Cyberangriff für Unternehmen?
Der Fall betrifft nicht nur mögliche Schadensersatzansprüche gegen eine öffentliche Stelle.
Er zeigt zugleich eine Entwicklung, die für Unternehmen mindestens ebenso relevant ist: IT-Sicherheit und Datenschutzhaftung lassen sich kaum noch voneinander trennen.
Art. 32 DSGVO verlangt kein Nullrisiko. Verantwortliche müssen aber nachvollziehbar bewerten,
- welchen Risiken ihre Datenverarbeitung ausgesetzt ist,
- welche technischen und organisatorischen Maßnahmen erforderlich sind,
- wie deren Wirksamkeit kontrolliert wird und
- wie diese Entscheidungen dokumentiert werden.
Kommt es später zu einem Cyberangriff, wird genau diese Dokumentation wichtig.
Wer im Prozess nachweisen muss, dass seine Sicherheitsmaßnahmen angemessen waren, sollte nicht erst nach einem Datenleck beginnen, die zugrunde liegenden Entscheidungen zu rekonstruieren.
Für Unternehmen kommt hinzu, dass sich die Anforderungen an die IT-Sicherheit durch NIS-2 und das novellierte BSIG erheblich erweitert haben. Mehr dazu erläutern wir in unserem Beitrag "Neue Pflichten in der IT-Sicherheit: BSIG und NIS-2 im Überblick".
Bei der dauerhaften rechtlichen Einbindung von Datenschutz, IT-Sicherheit und Compliance unterstützen wir Unternehmen außerdem im Rahmen unserer Smarten Rechtsabteilung.
Fazit: Veröffentlichung der Daten bedeutet noch keinen automatischen Schadensersatz
Der Cyberangriff auf die Berliner Verwaltung ist auch datenschutzrechtlich außergewöhnlich gravierend. Dass gestohlene Daten tatsächlich veröffentlicht wurden, unterscheidet den Fall deutlich von Vorfällen, bei denen lediglich ein möglicher Zugriff Dritter vermutet wird.
Für einen Anspruch nach Art. 82 DSGVO genügt die Veröffentlichung allein dennoch nicht.
Erforderlich bleiben ein Verstoß gegen die DSGVO, ein Schaden und der notwendige Kausalzusammenhang.
Die aktuelle Rechtsprechung verbessert die Position betroffener Personen jedoch in zwei wichtigen Punkten:
Der Verantwortliche muss die Angemessenheit seiner Sicherheitsmaßnahmen nach Art. 32 DSGVO nachweisen. Und ein tatsächlich eingetretener Kontrollverlust über personenbezogene Daten kann bereits selbst einen immateriellen Schaden darstellen.
Für den Berliner Fall wird daher entscheidend sein, welche personenbezogenen Daten tatsächlich betroffen sind und was die laufenden Untersuchungen über Ursache, Angriffsweg und Sicherheitsmaßnahmen ergeben.
Wer bereits eine Mitteilung über die eigene Betroffenheit erhalten hat oder konkrete Anhaltspunkte dafür besitzt, dass personenbezogene Daten veröffentlicht wurden, sollte die Voraussetzungen eines Anspruchs nach Art. 82 DSGVO im Einzelfall prüfen lassen.
Wir beraten zu Datenschutzverletzungen, Cyberangriffen und den daraus entstehenden Haftungs- und Compliance-Fragen im Bereich Datenschutz und IT-Sicherheit.
Häufige Fragen zum Cyberangriff auf Berlin und Schadensersatz nach der DSGVO
Bekomme ich automatisch Schadensersatz, wenn meine Daten beim Cyberangriff auf Berlin betroffen sind?
Nein. Ein Anspruch nach Art. 82 DSGVO setzt grundsätzlich einen Datenschutzverstoß, einen Schaden und einen ursächlichen Zusammenhang voraus. Der erfolgreiche Hackerangriff allein genügt nicht.
Ist ein erfolgreicher Cyberangriff automatisch ein Verstoß gegen Art. 32 DSGVO?
Nein. Entscheidend ist, ob die technischen und organisatorischen Sicherheitsmaßnahmen angesichts des konkreten Risikos angemessen waren.
Wer muss beweisen, dass die IT-Sicherheit ausreichend war?
Der Verantwortliche muss im Streitfall nachweisen können, dass seine technischen und organisatorischen Maßnahmen den Anforderungen des Art. 32 DSGVO entsprachen.
Kann schon der Kontrollverlust über meine personenbezogenen Daten ein Schaden sein?
Ja. Nach der Rechtsprechung des Bundesgerichtshofs kann bereits der Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen. Eine konkrete spätere missbräuchliche Verwendung ist nicht zwingend erforderlich.
Ist eine Veröffentlichung im Darknet besonders relevant?
Ja. Durch eine Veröffentlichung können personenbezogene Daten einem kaum kontrollierbaren Empfängerkreis zugänglich werden. Das kann den Kontrollverlust erheblich vertiefen und die Gefahr weiterer missbräuchlicher Verwendungen erhöhen.
Wie viel Schadensersatz gibt es bei einem Datenleck?
Dafür gibt es keinen festen Betrag. Entscheidend sind insbesondere Art und Sensibilität der betroffenen Daten, Umfang und Dauer des Kontrollverlusts und mögliche weitere Folgen.
Was sollten Betroffene jetzt tun?
Betroffene sollten behördliche Mitteilungen aufbewahren, bekannte betroffene Daten und mögliche Folgen dokumentieren und gegebenenfalls mit einem Auskunftsersuchen nach Art. 15 DSGVO versuchen, ihre konkrete Betroffenheit weiter aufzuklären.