Ein verheerender Hackerangriff auf die Berliner Senatsverwaltung hat dazu geführt, dass hochsensible Daten von Bürgern und Mitarbeitern im Darknet veröffentlicht wurden. Nach der konsequenten Weigerung des Landes, ein Millionen-Lösegeld an die Hackergruppe Rhysida zu zahlen, kursieren nun riesige Datensätze von Ausweiskopien bis hin zu Gehaltsabrechnungen im Netz. Für die Betroffenen bedeutet das nicht nur ein enormes Sicherheitsrisiko, sondern eröffnet auch klare Schadensersatzansprüche nach der europäischen Datenschutz-Grundverordnung. 

Zwischen dem 7. und 12. August 2026 ist das Landesnetz Berlin Opfer einer massiven Cyberattacke geworden, die tiefgreifende Konsequenzen für die digitale Sicherheit der Hauptstadt nach sich zieht. Im Zentrum des Angriffs stehen die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Die Täter, eine professionell organisierte Ransomware-Gruppierung namens „Rhysida“, forderten ein Lösegeld in Höhe von 30 Bitcoin. Als der Berliner Senat richtigerweise nicht auf diese Erpressung einging, machten die Kriminellen am 4. September 2026 ernst und veröffentlichten rund 1,44 Millionen Dateien mit einem Gesamtvolumen von 5,8 Terabyte im frei zugänglichen Darknet. Jüngste richtungsweisende Urteile des Europäischen Gerichtshofs (EuGH) und des Bundesgerichtshofs (BGH) stärken glücklicherweise die Position der Geschädigten erheblich. Bereits der reine Kontrollverlust über die eigenen Daten stellt einen erstattungsfähigen immateriellen Schaden dar (EuGH, Urt. v. 04.10.2024 – Az. C-200/23). 

Erpressung, Darknet und 5,8 Terabyte: Die Anatomie des Cyberangriffs 

Die Hackergruppe Rhysida ging bei ihrem Angriff auf die Berliner Infrastruktur mit hoher krimineller Energie und technischer Präzision vor. Zunächst infiltrierten die Täter die Systeme, voraussichtlich unter Ausnutzung bekannter Schwachstellen bei Fernzugriffs- oder Terminalsoftware, vor denen das Bundesamt für Sicherheit in der Informationstechnik bereits gewarnt hatte. Sobald die Kriminellen Zugriff auf das Landesnetz hatten, kopierten sie still und heimlich gewaltige Datenmengen, bevor sie die Systeme verschlüsselten und den Zugang für die legitimen Nutzer blockierten. 

Der Berliner Senat stand nach der Entdeckung des Angriffs vor dem klassischen Dilemma der Ransomware-Erpressung. Die Entscheidung, nicht auf die Lösegeldforderung einzugehen, ist aus staatspolitischer Sicht alternativlos, da Zahlungen die organisierte Kriminalität finanzieren und keine Sicherheit für die Daten garantieren. Die Konsequenz dieser Haltung traf die Betroffenen jedoch am 4. September 2026 mit voller Härte, als die gestohlenen Datenpakete im Darknet publiziert wurden. Nur zwei Tage später legten die Angreifer nach und veröffentlichten einen weiteren Datensatz, der brisante Zugangsdaten zu internen IT-Systemen enthielt. 

Hochsensible Informationen als Beute: Das Risiko für Bürger und Beschäftigte 

Die veröffentlichte Datenmenge von 5,8 Terabyte ist an sich schon gewaltig, doch die wahre Brisanz liegt in der Qualität der Informationen. Es handelt sich keineswegs um belanglose E-Mails. In den Händen der Hacker landeten vollständige Personalakten, eingescannte Ausweisdokumente, detaillierte Gehaltsabrechnungen und Vertragsunterlagen. Darüber hinaus sind nicht nur Beschäftigte der Senatsverwaltungen betroffen, sondern auch einfache Bürgerinnen und Bürger, deren Akten und Vorgänge – inklusive Namen, Adressen und Bankverbindungen – digitalisiert auf den Servern lagen. 

Für die Täter sind solche Datensätze ein äußerst lukratives Gut, das sie gewinnbringend weiterverkaufen oder für zielgerichtete Phishing-Angriffe nutzen. Die Gefahr des Identitätsdiebstahls ist immens. Kriminelle können mit Hilfe von Ausweiskopien und Kontodaten auf fremden Namen Waren bestellen oder betrügerische Konten eröffnen. Aus unserer Sicht ist die Dokumentation solcher potenziellen Missbrauchsfälle für die Betroffenen von elementarer Bedeutung, um sich gegen unberechtigte Forderungen Dritter zur Wehr setzen zu können. 

Transparenz und Auskunftspflichten: Die Vorgaben der DSGVO 

Die Datenschutz-Grundverordnung macht keinen Unterschied zwischen privaten Tech-Unternehmen und staatlichen Behörden. Wenn eine Institution personenbezogene Daten verarbeitet, muss sie diese durch angemessene technische und organisatorische Maßnahmen sichern. Kommt es zu einer Verletzung dieses Schutzes, greifen strenge Meldepflichten. 

Besonders relevant für die Betroffenen ist Artikel 34 der DSGVO. Da durch die Veröffentlichung von Personalakten und Bankdaten zweifellos ein hohes Risiko für die persönlichen Rechte und Freiheiten der Betroffenen besteht, muss die verantwortliche Stelle diese Personen unverzüglich informieren. Die Bürger müssen jedoch nicht passiv abwarten. Artikel 15 der DSGVO verbrieft ein starkes Auskunftsrecht. Jeder Bürger kann von den Senatsverwaltungen innerhalb eines Monats eine präzise Auskunft darüber verlangen, ob und in welchem Umfang seine eigenen Daten von dem Leak betroffen sind. Wir raten dringend dazu, dieses Recht aktiv auszuüben, um Gewissheit zu erlangen und entsprechende Schutzmaßnahmen ergreifen zu können. 

Schadensersatz bei Kontrollverlust: Die klare Linie der Rechtsprechung 

Aus unserer juristischen Perspektive stellt der Hackerangriff nicht nur ein eklatantes Versagen der IT-Sicherheit dar, sondern begründet konkrete finanzielle Ansprüche für die Opfer. Die Rechtslage zu Artikel 82 DSGVO hat sich in den vergangenen Monaten durch mehrere Leitentscheidungen der höchsten Gerichte massiv zugunsten der Verbraucher und Beschäftigten verschoben. Wir beobachten eine sehr klare Tendenz: Verantwortliche Stellen können sich nicht mehr mit dem bloßen Hinweis auf einen externen Angriff aus der Verantwortung ziehen. 

Der Europäische Gerichtshof hat unmissverständlich klargestellt, dass die beklagte Institution beweisen muss, dass ihre Sicherheitsvorkehrungen dem Stand der Technik entsprachen. Ein erfolgreicher Hackerangriff indiziert oftmals, dass genau diese Schutzmaßnahmen unzureichend waren (EuGH, Urt. v. 14.12.2023 – Az. C-340/21). 

Der Bundesgerichtshof ist dieser europäischen Vorgabe konsequent gefolgt. In einer richtungsweisenden Entscheidung stellte das höchste deutsche Zivilgericht fest, dass schon der reine Verlust der Kontrolle über personenbezogene Daten als ersatzfähiger immaterieller Schaden zu werten ist. Betroffene müssen keinen konkreten finanziellen Verlust oder eine bereits erfolgte missbräuchliche Nutzung nachweisen. Die Tatsache, dass sensible Daten wie Ausweise oder Gehaltsnachweise von Unbefugten entwendet wurden, rechtfertigt einen Anspruch auf Entschädigung (BGH, Urt. v. 18.11.2024 – Az. VI ZR 10/24). 

Soforthilfe vom Anwalt

Sie brauchen rechtliche Beratung? Rufen Sie uns an für eine kostenlose Ersteinschätzung oder nutzen Sie unser Kontaktformular.

Prävention und Reaktion: So schützen Sie Ihre Identität 

In der aktuellen Situation kommt es für potenziell Betroffene auf schnelles und besonnenes Handeln an, um die Risiken so weit wie möglich zu minimieren. Wir empfehlen, die Kommunikation des Berliner Senats genau zu verfolgen und eingehende Benachrichtigungen sorgfältig aufzubewahren. Es ist dringend geboten, Passwörter bei zentralen Onlinediensten zu ändern und Konto- sowie Kreditkartenbewegungen regelmäßig zu kontrollieren. 

Darüber hinaus ist erhöhte Wachsamkeit bei E-Mails, SMS oder Anrufen geboten, in denen unerwartet persönliche Daten gefordert werden. Wer konkrete Hinweise auf einen Missbrauch der eigenen Bank- oder Ausweisdaten feststellt, sollte unverzüglich den Sperr-Notruf kontaktieren und Strafanzeige erstatten. 

Wir setzen Ihre Ansprüche beim Berliner Datenleck durch 

Wenn Ihre hochsensiblen Dokumente infolge des Hackerangriffs auf die Berliner Senatsverwaltungen im Darknet gelandet sind, lassen wir Sie mit diesem Sicherheitsrisiko nicht allein. Wir bei WBS.LEGAL vertreten konsequent Ihre Rechte auf Auskunft und immateriellen Schadensersatz. Die jüngste Rechtsprechung von BGH und EuGH gibt uns wirkungsvolle Instrumente an die Hand, um die Verantwortlichen für den fahrlässigen Umgang mit Ihren Daten in die Pflicht zu nehmen. 

Unsere Experten im IT- und Datenschutzrecht prüfen Ihren individuellen Fall, setzen Ihre Auskunftsansprüche gegen den Senat durch und beziffern Ihren Entschädigungsanspruch. Zögern Sie nicht, Ihre Rechte aktiv einzufordern, denn der Kontrollverlust über Ihre Identität darf nicht folgenlos bleiben. Melden Sie sich jederzeit bei uns für eine rechtliche Ersteinschätzung. Wir stehen Ihnen zur Seite und kämpfen für Ihren Datenschutz. 

Libe