• Ausweiskopien, Personalakten und Gehaltsabrechnungen veröffentlicht
• BGH erkennt Kontrollverlust über personenbezogene Daten als möglichen Schaden an
• Berliner Senat will Betroffene informieren

Nach dem schweren Cyberangriff auf die Berliner Verwaltung sind rund 5,8 Terabyte mit etwa 1,44 Millionen Dateien im Darknet veröffentlicht worden. Nach Berichten des Handelsblatts vom 6. September 2026 und des rbb vom 5. September 2026 befinden sich darunter auch sensible personenbezogene Daten wie Teile von Personalakten, eingescannte Ausweise, Gehaltsabrechnungen und Vertragsunterlagen. Die Berliner Datenschutzbeauftragte bestätigt, dass Daten von Beschäftigten und möglicherweise auch von Bürgern veröffentlicht wurden.

Aus Sicht der Verbraucherrechtskanzlei Dr. Stoll & Sauer sollten Betroffene prüfen lassen, ob ihnen aufgrund des Verlusts der Kontrolle über ihre personenbezogenen Daten Schadensersatz nach Art. 82 Datenschutz-Grundverordnung (DSGVO) zusteht. Der Bundesgerichtshof (BGH) hat mit Urteil vom 18. November 2024 (Az. VI ZR 10/24) klargestellt, dass bereits der Kontrollverlust über personenbezogene Daten einen immateriellen Schaden darstellen kann. Eine kostenlose Ersteinschätzung bietet Dr. Stoll & Sauer im DSGVO-Online-Check.

Hacker veröffentlichen 1,44 Millionen Dateien der Berliner Verwaltung

Der Cyberangriff auf das Berliner Landesnetz fand nach Angaben der Berliner Datenschutzbeauftragten zwischen dem 7. und 12. August 2026 statt. Betroffen sind Bereiche der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Die Hackergruppe Rhysida bekannte sich zu dem Angriff und verlangte 30 Bitcoin beziehungsweise rund zwei Millionen Euro Lösegeld. Berlin zahlte nicht.

Am 4. September 2026 wurden große Mengen der gestohlenen Informationen im Darknet veröffentlicht. Nach Angaben des Handelsblatts handelt es sich um rund 1,44 Millionen Dateien mit einem Gesamtumfang von 5,8 Terabyte. In der Nacht zum 6. September veröffentlichten die Täter nach Angaben des Berliner Senats zusätzlich ein weiteres Datenpaket, das unter anderem Zugangsdaten enthält.

Nach bisherigem Kenntnisstand sind unter anderem folgende Daten beziehungsweise Unterlagen betroffen:

• Teile von Personalakten
• eingescannte Ausweisdokumente
• Gehaltsabrechnungen
• Arbeitszeugnisse
• Vertragsunterlagen
• personenbezogene Daten von Beschäftigten
• möglicherweise personenbezogene Daten von Bürgerinnen und Bürgern
• Zugangsdaten zu IT-Systemen

Der genaue Umfang des Datenlecks wird weiterhin untersucht. Der Berliner Senat hat eine zentrale Steuerungseinheit eingerichtet, die die abgeflossenen Dateien auswertet und die Information betroffener Personen koordinieren soll. Identifizierte Betroffene sollen nach Angaben des Senats entsprechend der jeweiligen Risikolage informiert werden.

Datenleck birgt Gefahr von Identitätsdiebstahl und Phishing

Für Betroffene endet das Problem nicht mit der Veröffentlichung der Daten. Ausweiskopien, Vertragsunterlagen oder andere personenbezogene Informationen können beispielsweise für Identitätsmissbrauch, Betrugsversuche oder gezielte Phishing-Angriffe genutzt werden.

Die Berliner Datenschutzbeauftragte rät möglicherweise Betroffenen unter anderem dazu, Passwörter zu ändern und bei ungewöhnlichen Nachrichten oder Kontaktversuchen besonders vorsichtig zu sein. Wer konkrete Hinweise darauf hat, dass eigene Daten veröffentlicht oder bereits missbräuchlich verwendet wurden, sollte diese dokumentieren.

DSGVO-Schadensersatz: BGH stärkt Rechte bei Kontrollverlust

Für Betroffene ist vor allem Art. 82 DSGVO von Bedeutung. Danach kann bei einem Verstoß gegen die Datenschutz-Grundverordnung Schadensersatz verlangt werden, wenn dadurch ein materieller oder immaterieller Schaden entstanden ist.

Die Rechtsprechung hat die Rechte von Betroffenen in den vergangenen Jahren deutlich konkretisiert.

Der Bundesgerichtshof entschied am 18. November 2024 im sogenannten Facebook-Scraping-Verfahren (Az. VI ZR 10/24), dass bereits der bloße und auch kurzzeitige Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden darstellen kann. Eine tatsächliche missbräuchliche Verwendung der Daten oder weitere spürbare negative Folgen sind dafür nicht zwingend erforderlich.

Besonders interessant für das Berliner Datenleck ist zudem ein weiteres BGH-Urteil vom 11. Februar 2025 (Az. VI ZR 365/22). Dabei ging es ausgerechnet um personenbezogene Daten aus einer Personalakte. Der BGH erkannte auch dort den Kontrollverlust über die enthaltenen personenbezogenen Informationen als möglichen Schaden nach Art. 82 DSGVO an.

EuGH: Auch Hackerangriff kann zu Schadensersatz führen

Auch der Europäische Gerichtshof hat sich bereits mit einem sehr ähnlichen Fall beschäftigt. Im Verfahren C-340/21 ging es um einen Cyberangriff auf die bulgarische Finanzverwaltung, bei dem personenbezogene Daten von Millionen Menschen im Internet veröffentlicht worden waren.

Der EuGH stellte mit Urteil vom 14. Dezember 2023 klar:

• Ein Unternehmen oder eine Behörde wird nicht allein deshalb von einer Haftung befreit, weil der Angriff durch externe Cyberkriminelle erfolgte.
• Der Verantwortliche muss darlegen können, dass angemessene technische und organisatorische Sicherheitsmaßnahmen getroffen worden sind.
• Auch eine begründete Angst vor einem möglichen zukünftigen Missbrauch der gestohlenen Daten kann einen immateriellen Schaden darstellen.

Mit Urteil vom 4. Oktober 2024 (C-200/23) hat der EuGH außerdem erneut hervorgehoben, dass bereits der Verlust der Kontrolle über personenbezogene Daten grundsätzlich einen immateriellen Schaden darstellen kann.

Musste Berlin die Daten besser schützen?

Entscheidend für mögliche Schadensersatzansprüche wird auch sein, ob die Berliner Verwaltung angemessene technische und organisatorische Maßnahmen zum Schutz der Daten getroffen hatte.

Hierzu laufen die Untersuchungen noch. Zusätzliche Brisanz erhält die Frage durch Aussagen des IT-Sicherheitsexperten Manuel Atug. Er erklärte gegenüber der Deutschen Presse-Agentur, er habe bereits 2023 und 2025 auf erhebliche Defizite bei der Cybersicherheit des Landes hingewiesen. Nach einem Bericht des Handelsblatts vom 5. September 2026 wirft er dem Land Berlin im Zusammenhang mit dem Angriff „grobe Fahrlässigkeit“ vor. Ob sich dieser Vorwurf bestätigt und daraus datenschutzrechtliche Konsequenzen folgen, ist derzeit offen.

Dr. Stoll & Sauer hält das Berliner Datenleck vor diesem Hintergrund für rechtlich besonders relevant. Anders als bei Fällen, in denen lediglich ein möglicher Datenabfluss vermutet wird, wurden hier große Mengen gestohlener Informationen tatsächlich im Darknet veröffentlicht. Ob im Einzelfall ein Anspruch auf Schadensersatz besteht und gegen wen sich dieser richtet, muss anhand der betroffenen Daten und der konkreten Umstände geprüft werden.

Was Betroffene jetzt tun können

Beschäftigte der Berliner Verwaltung sowie Bürgerinnen und Bürger, deren Daten bei den betroffenen Senatsverwaltungen gespeichert waren, sollten insbesondere:

• Mitteilungen des Berliner Senats aufmerksam verfolgen.
• Benachrichtigungen über eine mögliche Betroffenheit aufbewahren.
• Auffällige E-Mails, SMS oder Anrufe dokumentieren.
• Passwörter insbesondere bei möglicherweise betroffenen Diensten ändern.
• Konto- und Kreditkartenbewegungen aufmerksam kontrollieren.
• Hinweise auf Identitätsmissbrauch oder Betrugsversuche sichern.
• prüfen lassen, ob Schadensersatzansprüche nach Art. 82 DSGVO bestehen.

Dr. Stoll & Sauer bietet Betroffenen eine kostenlose Ersteinschätzung im DSGVO-Online-Check an.