Ein Hackerangriff auf die Kryptobörse Binance erschüttert den Markt. Rund 6,3 Milliarden US-Dollar sind nach Unternehmensangaben betroffen, etwa drei Milliarden Dollar konnten bereits eingefroren werden. Was bedeutet das für Anleger in Sachsen und ganz Deutschland? Wer haftet, was geschieht mit persönlichen Daten und können Geschädigte Schadenersatz verlangen?

Redaktioneller Gesprächsentwurf mit Fragen an Rechtsanwalt Daniel Blazek. Die Antworten sind juristisch recherchierte Formulierungsvorschläge und keine tatsächlich autorisierten Äußerungen des Rechtsanwalts.

Redaktion: Herr Blazek, was wissen wir über den Angriff?

Daniel Blazek:Nach bisherigen Erkenntnissen könnte ein kompromittierter Mitarbeiter-Laptop den Zugang zu internen Binance-Systemen ermöglicht haben. Darüber sollen unberechtigte Auszahlungen ausgelöst worden sein. Binance betont, dass bislang keine Hinweise auf den Abfluss privater Wallet-Schlüssel vorliegen. Die Ermittlungen dauern an.

Redaktion: Wer haftet, wenn Kryptowährungen verschwinden?

Daniel Blazek: Entscheidend ist, wo die Sicherheitslücke lag. War ein organisatorisches oder technisches Versagen beim Verwahrer ursächlich, kommen vertragliche Schadenersatzansprüche in Betracht. Artikel 75 Absatz 8 der europäischen Kryptoverordnung MiCA regelt unter bestimmten Voraussetzungen die Haftung von Kryptoverwahrern für ihnen zurechenbare Verluste. Ob diese Vorschrift gegenüber der konkret zuständigen Binance-Gesellschaft anwendbar ist, muss geprüft werden.

Redaktion: Binance verspricht, sämtliche Verluste zu ersetzen. Reicht das?

Daniel Blazek: Das ist zunächst eine wichtige Zusage, ersetzt aber keine rechtliche Prüfung. Anleger sollten dokumentieren, welche Vermögenswerte sie besitzen, ob diese weiterhin verfügbar sind und welche Einschränkungen bestehen. Entscheidend ist die tatsächliche Erfüllung des Erstattungsversprechens.

Redaktion: Was passiert mit meinen persönlichen Daten?

Daniel Blazek: Ein Angriff auf Wallet-Infrastruktur bedeutet nicht automatisch, dass Namen, Anschriften, Ausweiskopien oder Bankverbindungen gestohlen wurden. Kunden dürfen aber wissen wollen, ob auch ihre personenbezogenen Daten betroffen sind.

Redaktion: Besteht ein Auskunftsanspruch?

Daniel Blazek: Ja. Artikel 15 DSGVO gibt Betroffenen grundsätzlich das Recht, Auskunft über die Verarbeitung ihrer personenbezogenen Daten zu verlangen. Dazu gehören unter anderem Datenkategorien, Verarbeitungszwecke und Empfänger. Bei einer meldepflichtigen Datenschutzverletzung können zusätzlich Informationspflichten nach Artikel 34 DSGVO bestehen.

Redaktion: Können Anleger Schadenersatz oder Regress verlangen?

Daniel Blazek: Grundsätzlich ja, sofern die jeweiligen Voraussetzungen erfüllt sind. Bei verlorenen Kryptowährungen kommen vertragliche Ansprüche und gegebenenfalls MiCA-Regelungen infrage. Artikel 82 DSGVO ermöglicht Ersatz materieller und immaterieller Schäden durch Datenschutzverstöße. Ein Hackerangriff allein begründet allerdings noch keinen automatischen Zahlungsanspruch. Erforderlich sind insbesondere ein zurechenbarer Rechtsverstoß, ein Schaden und der ursächliche Zusammenhang.

Redaktion: Was sollten Betroffene sofort unternehmen?

Daniel Blazek: Zugangsdaten absichern, Zwei-Faktor-Authentifizierung kontrollieren, Transaktionsnachweise sichern und Binance schriftlich zur Auskunft sowie gegebenenfalls zur Erstattung auffordern. Bei unberechtigten Transaktionen sollte außerdem Strafanzeige erstattet werden.

Redaktion: Was ist Ihre wichtigste Botschaft an Anleger?

Daniel Blazek: Wer Kryptowährungen einer Handelsplattform anvertraut, muss nicht jeden fremdverschuldeten Sicherheitsfehler entschädigungslos hinnehmen. Allerdings hängt die Durchsetzbarkeit konkreter Ansprüche vom Vertragspartner, dem anwendbaren Recht und der Ursache des Schadens ab.