Nach Berliner Cyberangriff: BEMK Rechtsanwälte bereitet gemeinsames Vorgehen für Betroffene vor
Interview mit Rechtsanwalt Maurice Högel über Darknet-Veröffentlichung, mögliche Schadensersatzansprüche und ein gemeinsames Vorgehen gegen das Land Berlin
Der Cyberangriff auf das Berliner Landesnetz könnte weitreichende rechtliche Folgen haben. Eine kriminelle Angreifergruppe verschaffte sich nach Angaben des Landes Berlin Zugang zu Teilen des Verwaltungsnetzes, kopierte Datenbestände und veröffentlichte gestohlene Daten am 4. September 2026 im Darknet. In der Nacht zum 6. September folgte ein weiteres Datenpaket, das nach Angaben des Landes unter anderem Zugangsdaten enthielt. Berlin hat inzwischen eine zentrale Anlaufstelle für möglicherweise Betroffene eingerichtet.
Besonders brisant ist der Vorgang, weil sich unter den abgeflossenen Informationen auch personenbezogene Daten von Bürgerinnen und Bürgern sowie Beschäftigten befinden können. Die zuständigen Behörden weisen darauf hin, dass die vollständige Auswertung noch längere Zeit in Anspruch nehmen kann.
Bei der Bielefelder Kanzlei BEMK Rechtsanwälte hat sich deshalb nach Angaben von Rechtsanwalt Maurice Högel ein Team mit dem Fall befasst. Ziel ist es, mögliche Schadensersatzansprüche Betroffener zu bündeln und ein gemeinsames rechtliches Vorgehen gegen das Land Berlin vorzubereiten. Für einen Betrag von 149 Euro sollen sich Betroffene diesem Vorgehen anschließen können.
Wir haben mit Rechtsanwalt Maurice Högel über die rechtliche Bedeutung der Darknet-Veröffentlichung, mögliche Ansprüche nach der Datenschutz-Grundverordnung und die Frage gesprochen, weshalb ein gemeinsames Vorgehen sinnvoll sein könnte.
Herr Högel, was unterscheidet diesen Cyberangriff von vielen anderen Datenschutzvorfällen?
Der entscheidende Punkt ist aus meiner Sicht, dass wir es hier nicht nur mit einem abstrakten Sicherheitsvorfall zu tun haben. Es geht nach den bislang veröffentlichten Informationen um tatsächlich abgeflossene Daten, von denen zumindest Teile anschließend im Darknet veröffentlicht wurden.
Das ist rechtlich ein erheblicher Unterschied.
Bei vielen Datenschutzfällen besteht zunächst Streit darüber, ob Daten überhaupt von unbefugten Dritten erlangt wurden und ob daraus ein tatsächlicher Kontrollverlust entstanden ist. Wenn personenbezogene Daten dagegen nachweislich kopiert und im Darknet veröffentlicht worden sind, ist die Situation wesentlich konkreter.
Die Betroffenen können diese Daten nicht einfach zurückholen. Was einmal in entsprechenden kriminellen Netzwerken verbreitet wurde, kann kopiert, weitergegeben und gegebenenfalls über Jahre für Betrugsversuche, Phishing oder Identitätsmissbrauch verwendet werden.
Sie haben innerhalb der Kanzlei BEMK ein Team für diesen Fall gebildet. Warum?
Der Umfang dieses Vorgangs macht eine strukturierte Bearbeitung notwendig.
Wir müssen zunächst feststellen, welche Personengruppen betroffen sind, welche Daten jeweils veröffentlicht wurden und welche rechtlichen Ansprüche sich daraus ergeben können.
Es macht einen Unterschied, ob lediglich eine E-Mail-Adresse betroffen ist oder beispielsweise Name, Anschrift, Geburtsdatum, Bankverbindung, Vertragsunterlagen, Zugangsdaten oder andere sensible Informationen veröffentlicht worden sind.
Deshalb haben wir bei BEMK ein Team zusammengestellt, das die weitere Entwicklung verfolgt, die rechtlichen Voraussetzungen prüft und ein gemeinsames Vorgehen für Betroffene vorbereitet.
Sie sprechen von einer Sammelklage. Deutschland kennt aber nicht die klassische amerikanische Class Action. Was genau ist damit gemeint?
Das ist ein wichtiger Hinweis.
Wenn umgangssprachlich von einer Sammelklage gesprochen wird, bedeutet das nicht zwingend, dass wir eins zu eins ein aus den USA bekanntes Verfahren führen können.
Wir prüfen vielmehr, in welcher rechtlichen und prozessualen Form die Interessen einer größeren Zahl Betroffener am wirkungsvollsten gebündelt werden können.
Entscheidend ist für uns nicht die Bezeichnung des Verfahrens, sondern das Ergebnis: Betroffene sollen nicht jeder für sich dieselben rechtlichen und tatsächlichen Fragen von Grund auf bearbeiten müssen.
Wenn viele Menschen vom gleichen Cyberangriff, derselben Datenverarbeitung und vergleichbaren Datenschutzfragen betroffen sind, ist es sinnvoll, Sachverhalt, Beweismittel und rechtliche Argumentation koordiniert aufzubereiten.
Welche konkrete prozessuale Gestaltung am Ende gewählt wird, hängt auch von den weiteren Erkenntnissen über den Vorfall und den individuellen Daten der jeweiligen Betroffenen ab.
Für 149 Euro soll sich ein Betroffener dem Vorgehen anschließen können. Warum haben Sie sich für einen vergleichsweise niedrigen Betrag entschieden?
Unser Ziel ist es, die Zugangsschwelle für Betroffene überschaubar zu halten.
Bei einem Vorfall dieser Größenordnung kann es um sehr viele Menschen gehen. Gleichzeitig wird nicht jeder Betroffene bereit sein, für eine erste rechtliche Verfolgung seines Anspruchs hohe Kosten zu tragen.
Deshalb soll es für einen Betrag von 149 Euro möglich sein, sich unserem gemeinsamen Vorgehen anzuschließen.
Wichtig ist allerdings: Eine Beteiligung bedeutet selbstverständlich nicht, dass wir einen bestimmten Schadensersatzbetrag garantieren können. Zunächst muss bei jedem Betroffenen festgestellt werden, welche Daten konkret betroffen sind und welche rechtlichen Voraussetzungen vorliegen.
Wer kann sich beteiligen?
Grundsätzlich richtet sich das Angebot an Personen, deren personenbezogene Daten im Zusammenhang mit dem Cyberangriff auf das Berliner Landesnetz betroffen sind.
Besonders wichtig sind natürlich diejenigen Fälle, bei denen bereits eine Mitteilung des Landes Berlin oder einer betroffenen Senatsverwaltung vorliegt.
Wir wissen aber, dass die Behörden noch längst nicht alle Datensätze vollständig ausgewertet haben. Berlin selbst weist darauf hin, dass diese Analyse noch Zeit benötigt.
Deshalb werden wir auch Fälle prüfen, in denen Betroffene aufgrund konkreter Umstände davon ausgehen, dass ihre Daten betroffen sein könnten.
Letztlich muss aber für eine Anspruchsdurchsetzung nachvollziehbar festgestellt werden können, dass personenbezogene Daten der jeweiligen Person von dem Vorgang erfasst wurden.
Warum ist gerade die Veröffentlichung im Darknet rechtlich so wichtig?
Weil hier der sogenannte Kontrollverlust besonders deutlich wird.
Wenn personenbezogene Daten lediglich innerhalb eines geschlossenen Systems falsch verarbeitet werden, stellt sich häufig die Frage, ob und in welchem Umfang daraus bereits ein Schaden entstanden ist.
Werden dieselben Informationen aber von Kriminellen abgegriffen und anschließend im Darknet veröffentlicht, verliert der Betroffene faktisch die Kontrolle darüber, wer auf diese Informationen zugreifen, sie kopieren oder weiterverwenden kann.
Und dieser Vorgang lässt sich praktisch nicht rückgängig machen.
Ein Passwort kann man ändern. Eine Kreditkarte kann man sperren.
Aber Name, Geburtsdatum, frühere Vertragsdaten, persönliche Dokumente oder andere Identitätsmerkmale lassen sich nicht ohne Weiteres austauschen.
Gibt es hierzu bereits Rechtsprechung?
Ja, und genau deshalb ist der Berliner Vorgang juristisch besonders interessant.
Der Bundesgerichtshof hat mit Urteil vom 11. November 2025 – VI ZR 396/24 ausdrücklich festgestellt, dass ein immaterieller Schaden im Sinne von Artikel 82 Absatz 1 DSGVO vorliegen kann, wenn personenbezogene Daten abgegriffen und anschließend im Darknet zum Verkauf angeboten werden.
Das ist für die rechtliche Bewertung eines tatsächlichen Kontrollverlustes von erheblicher Bedeutung.
Allerdings muss man aufpassen: Daraus folgt nicht automatisch, dass jeder Betroffene des Berliner Angriffs einen Anspruch in einer bestimmten Höhe besitzt.
Für einen Schadensersatzanspruch müssen die gesetzlichen Voraussetzungen des Artikels 82 DSGVO im jeweiligen Fall erfüllt sein. Dazu gehören insbesondere ein Datenschutzverstoß, ein Schaden und der notwendige Zusammenhang zwischen beiden.
Der BGH hat allerdings ausdrücklich entschieden, dass das Abgreifen personenbezogener Daten und deren Angebot im Darknet einen immateriellen Schaden darstellen kann.
Bedeutet ein erfolgreicher Hackerangriff automatisch, dass das Land Berlin gegen die DSGVO verstoßen hat?
Nein.
Das wäre rechtlich zu einfach.
Eine Behörde haftet nicht automatisch allein deshalb, weil hochprofessionelle Kriminelle ein IT-System angegriffen haben.
Wir müssen prüfen, ob die nach der DSGVO erforderlichen technischen und organisatorischen Schutzmaßnahmen vorhanden und angemessen waren.
Dabei werden Fragen eine Rolle spielen wie: Welche Sicherheitsarchitektur bestand? Waren die Systeme auf einem aktuellen Stand? Waren Zugriffsrechte angemessen beschränkt? Wie war das Netzwerk segmentiert? Welche Schutzmaßnahmen bestanden gegen das Abgreifen größerer Datenbestände? Wann wurde der Angriff erkannt? Und welche Maßnahmen wurden danach getroffen?
Diese Fragen werden sich erst mit zunehmender Aufklärung des Cyberangriffs belastbar beantworten lassen.
Das heißt, die Veröffentlichung im Darknet allein reicht noch nicht für eine erfolgreiche Klage?
Für die Frage des Schadens ist sie außerordentlich relevant.
Für die Haftung muss aber zusätzlich geprüft werden, ob ein datenschutzrechtlicher Verstoß vorliegt und ob dieser für den Schaden ursächlich war.
Genau deshalb beobachten wir sehr genau, welche Erkenntnisse das Land Berlin, die Datenschutzaufsicht und gegebenenfalls Ermittlungsbehörden in den kommenden Wochen veröffentlichen.
Wir wollen nicht mit voreiligen Versprechen arbeiten.
Wir wollen einen juristisch belastbaren Fall aufbauen.
Spielt es eine Rolle, welche Daten einer Person veröffentlicht wurden?
Eine sehr große Rolle.
Wir werden die Fälle deshalb differenzieren müssen.
Name und eine öffentlich bekannte E-Mail-Adresse sind anders zu bewerten als eine Kombination aus Name, Privatanschrift, Geburtsdatum, Telefonnummer, Bankverbindung, Zugangsdaten oder persönlichen Dokumenten.
Nochmals anders ist die Situation bei besonders sensiblen Daten.
Hinzu kommt die Frage, ob bereits konkrete Folgen eingetreten sind.
Hat jemand beispielsweise ungewöhnliche Phishing-Nachrichten erhalten?
Gab es Versuche, Passwörter zurückzusetzen?
Wurden Verträge im Namen des Betroffenen abgeschlossen?
Sind verdächtige Kontoaktivitäten aufgetreten?
Gab es andere Hinweise auf einen Identitätsmissbrauch?
Solche Informationen sollten Betroffene unbedingt dokumentieren.
Mit welchen Schadensersatzsummen rechnen Sie?
Hier würde ich ausdrücklich vor pauschalen Versprechen warnen.
Es wäre unseriös, heute zu behaupten, jeder Betroffene bekomme beispielsweise 1.000, 3.000 oder 5.000 Euro.
Die Höhe eines möglichen Schadensersatzanspruchs hängt vom jeweiligen Einzelfall und von der weiteren Rechtsprechung ab.
Entscheidend wird unter anderem sein, welche Daten betroffen waren, wie sensibel diese Daten sind, in welchem Umfang sie verbreitet wurden und welche konkreten Auswirkungen der Kontrollverlust für den einzelnen Betroffenen hat.
Unser Ansatz lautet deshalb nicht: Wir nennen möglichst hohe Zahlen.
Unser Ansatz lautet: Wir dokumentieren den konkreten Schaden und machen den daraus rechtlich ableitbaren Anspruch geltend.
Könnte die große Zahl der möglicherweise Betroffenen ein Vorteil sein?
Sie kann zumindest dazu führen, dass sich bestimmte tatsächliche und rechtliche Fragen effizient bündeln lassen.
Wenn beispielsweise bei Hunderten oder Tausenden Betroffenen derselbe technische Vorgang zugrunde liegt, muss nicht jeder Sachverhalt vollständig neu analysiert werden.
Das betrifft vor allem die Ursachen des Angriffs, die Sicherheitsmaßnahmen, mögliche organisatorische Defizite und grundsätzliche Fragen der Haftung.
Der individuelle Schaden bleibt trotzdem eine Frage des jeweiligen Betroffenen.
Gerade deshalb halten wir ein koordiniertes Vorgehen für sinnvoll.
Was sollte jemand tun, der vermutet, betroffen zu sein?
Zunächst sollte alles dokumentiert werden.
Mitteilungen des Landes Berlin oder einer Senatsverwaltung sollten vollständig gespeichert werden.
Auch E-Mails, Briefe, Aktenzeichen und sonstige Informationen zum Datenschutzvorfall sind wichtig.
Wer seit dem Angriff ungewöhnliche Aktivitäten feststellt, sollte diese ebenfalls dokumentieren.
Dazu gehören beispielsweise verdächtige Login-Versuche, Phishing-Nachrichten, fremde Kontoeröffnungen, ungewöhnliche Zahlungsaufforderungen oder andere Hinweise auf einen möglichen Identitätsmissbrauch.
Betroffene sollten ihre Passwörter überprüfen und, soweit sinnvoll, ändern. Bei sensiblen Konten sollte Mehr-Faktor-Authentifizierung genutzt werden.
Das Land Berlin hat inzwischen selbst eine zentrale Anlaufstelle für möglicherweise Betroffene eingerichtet.
Sollte ein Betroffener selbst im Darknet nach seinen Daten suchen?
Davon würde ich grundsätzlich abraten.
Niemand sollte sich aus Beweisgründen selbst in kriminelle Plattformen oder Datenbestände begeben und möglicherweise sogar umfangreiche gestohlene Daten herunterladen.
Die Sicherung solcher Beweise gehört gegebenenfalls in professionelle Hände.
Wichtig ist zunächst, sämtliche offiziellen Informationen und die eigene Betroffenheit zu dokumentieren.
Erwarten Sie, dass sich der Fall über einen längeren Zeitraum entwickeln wird?
Davon gehe ich aus.
Das Land Berlin selbst erklärt, dass die Analyse des Datenbestandes noch nicht abgeschlossen ist.
Bei mehreren Terabyte potentiell entwendeter Daten und unterschiedlichen betroffenen Behörden ist nicht zu erwarten, dass innerhalb weniger Tage abschließend feststeht, wer mit welchen Informationen betroffen ist.
Für die rechtliche Aufarbeitung ist deshalb Geduld erforderlich.
Auf der anderen Seite sollten Betroffene nicht einfach mehrere Jahre abwarten und sämtliche Unterlagen verlieren.
Genau deshalb beginnen wir jetzt damit, Fälle zu erfassen und strukturiert vorzubereiten.
Warum sollte sich jemand für das gemeinsame Vorgehen entscheiden, statt selbst einen Anwalt zu beauftragen?
Selbstverständlich steht jedem Betroffenen frei, einen Anwalt seiner Wahl zu beauftragen.
Der Vorteil eines gebündelten Vorgehens liegt darin, dass zentrale Fragen nicht in jedem einzelnen Mandat komplett neu bearbeitet werden müssen.
Wir können Erkenntnisse aus den verschiedenen Fällen zusammenführen, Gemeinsamkeiten erkennen und die Argumentation entsprechend strukturieren.
Bei einem Cyberangriff dieser Größenordnung kann genau dieser Informationsvorsprung relevant sein.
Könnte das Land Berlin versuchen, sich darauf zu berufen, selbst Opfer einer Straftat geworden zu sein?
Natürlich ist das Land Berlin zunächst ebenfalls Opfer eines kriminellen Angriffs.
Aber das beantwortet noch nicht die datenschutzrechtliche Frage.
Verantwortliche Stellen speichern personenbezogene Daten teilweise deshalb, weil Bürger gesetzlich verpflichtet sind, diese Daten zur Verfügung zu stellen.
Gerade dann besteht auf der anderen Seite eine erhebliche Verantwortung für deren Schutz.
Wir werden deshalb nicht die Frage stellen, ob Berlin den Angriff gewollt hat. Das ist offensichtlich nicht der Fall.
Die entscheidende rechtliche Frage lautet vielmehr:
Hat das Land Berlin alles getan, was datenschutzrechtlich erforderlich und angesichts des bestehenden Risikos angemessen war, um die ihm anvertrauten personenbezogenen Daten zu schützen?
Genau diese Frage muss beantwortet werden.
Was ist das Ziel Ihres Teams bei BEMK?
Zunächst wollen wir Klarheit schaffen.
Welche Betroffenen gibt es?
Welche Daten wurden veröffentlicht?
Welche Schäden beziehungsweise Risiken sind entstanden?
Welche Sicherheitsmaßnahmen bestanden?
Welche Ansprüche lassen sich daraus rechtlich ableiten?
Danach geht es darum, diese Ansprüche konsequent geltend zu machen.
Es wäre aus meiner Sicht falsch, bereits heute ein bestimmtes Prozessergebnis zu versprechen.
Aber genauso falsch wäre es, die Veröffentlichung personenbezogener Daten im Darknet als bloße technische Panne abzutun.
Wenn private Informationen dauerhaft der Kontrolle der Betroffenen entzogen worden sind, muss geklärt werden, wer dafür rechtlich einzustehen hat.
Herr Högel, zum Abschluss: Was ist Ihre wichtigste Botschaft an möglicherweise Betroffene?
Nicht in Panik geraten – aber den Vorgang auch nicht ignorieren.
Dokumentieren Sie Ihre Betroffenheit.
Bewahren Sie sämtliche Schreiben und elektronischen Mitteilungen auf.
Achten Sie in den kommenden Monaten besonders auf ungewöhnliche Vorgänge rund um Ihre Identität, Konten und Onlinezugänge.
Und lassen Sie prüfen, welche Rechte Ihnen zustehen.
Die Tatsache, dass personenbezogene Daten tatsächlich im Darknet veröffentlicht wurden, ist juristisch keineswegs bedeutungslos.
Ob daraus im konkreten Einzelfall ein durchsetzbarer Schadensersatzanspruch gegen das Land Berlin entsteht, werden wir nun prüfen.
Gemeinsames Vorgehen für Betroffene
Nach Angaben von Rechtsanwalt Maurice Högel bereitet die Kanzlei BEMK Rechtsanwälte in Bielefeld ein gebündeltes rechtliches Vorgehen für Betroffene des Berliner Cyberangriffs vor.
Für 199 Euro soll sich ein Betroffener dem gemeinsamen Vorgehen anschließen können. Voraussetzung für eine erfolgreiche Anspruchsdurchsetzung bleibt die Prüfung des jeweiligen Einzelfalls. Mit der Teilnahme ist insbesondere keine Garantie für einen bestimmten Schadensersatzbetrag oder einen bestimmten Ausgang eines gerichtlichen Verfahrens verbunden.
BEMK Rechtsanwälte hat seinen Hauptsitz in Bielefeld. Rechtsanwalt Maurice Högel ist als Rechtsanwalt bei der Kanzlei tätig.
Wichtiger redaktioneller Hinweis vor Veröffentlichung: Die Angaben zum gebildeten BEMK-Team, zum geplanten gemeinsamen Vorgehen, zu den Bedingungen einer Teilnahme und insbesondere zum Betrag von 149 Euro sollten vor Veröffentlichung von Rechtsanwalt Maurice Högel ausdrücklich bestätigt werden. Auch die Bezeichnung „Sammelklage“ und die konkrete prozessuale Ausgestaltung sollten in der endgültigen Fassung entsprechend seiner Freigabe verwendet werden.
Stand: 12. September 2026
Kommentar hinterlassen