Cyberangriff auf Berliner Verwaltung: Welche Rechte Betroffene nach dem Datenleck haben

Der Cyberangriff auf das Berliner Landesnetz hat eine neue und erheblich gefährlichere Stufe erreicht. Nachdem das Land Berlin die geforderte Lösegeldzahlung abgelehnt hatte, stellte die Hackergruppe Rhysida nach eigenen Angaben die erbeuteten Daten im Darknet zum Download bereit. Medien berichten von rund 1,4 Millionen Dateien, darunter Personalakten, Arbeitszeugnisse, Gehaltsunterlagen, Bewerbungsdaten, Bußgeldvorgänge und möglicherweise Zugangsdaten.

Damit geht es nicht mehr allein um eine technische Sicherheitsstörung. Für Beschäftigte, Bürger und Unternehmen besteht nun das konkrete Risiko, dass ihre Daten für Identitätsdiebstahl, Betrug, Phishing, Erpressung oder weitere Cyberangriffe verwendet werden. Zugleich stellt sich die Frage, ob das Land Berlin seine datenschutzrechtlichen Schutz- und Informationspflichten erfüllt hat.

Was ist beim Cyberangriff auf das Berliner Landesnetz passiert?

Nach den bisher bekannt gewordenen Informationen verschafften sich Angreifer Anfang August 2026 Zugang zu Teilen der Berliner Verwaltungs-IT. Nach Angaben des Senats sollen zwischen dem 7. und dem 12. August große Datenmengen abgeflossen sein. Entdeckt wurde der Angriff am 14. August. Daraufhin wurden die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt vom Landesnetz getrennt.

Die Hackergruppe Rhysida bekannte sich zu dem Angriff und behauptete, etwa 5,7 Terabyte beziehungsweise rund 1,44 Millionen Dateien erbeutet zu haben. Sie verlangte 30 Bitcoin – umgerechnet rund zwei Millionen Euro – und drohte anderenfalls mit der Veröffentlichung.

Das Land Berlin lehnte eine Zahlung ab. Diese Entscheidung ist grundsätzlich richtig: Lösegeldzahlungen bieten keine Gewähr dafür, dass Daten gelöscht oder nicht weiterverkauft werden. Sie finanzieren außerdem kriminelle Strukturen und können weitere Angriffe begünstigen.

Nach Ablauf des Ultimatums wurden am 4. September 2026 umfangreiche Datenpakete im Darknet zugänglich gemacht. Nach Recherchen des rbb waren dort zahlreiche Ordner zu sehen, die unter anderem Arbeitszeugnisse, Ausschreibungsunterlagen, Beurteilungen und Personalakten enthalten sollen. Der Chaos Computer Club berichtete darüber hinaus von Bauangelegenheiten, Notfallplänen, Bewerbungsunterlagen, Stundenzetteln, Wiedereingliederungsmaßnahmen und Betriebsratsunterlagen. Welche Angaben authentisch sind und wie viele Personen tatsächlich betroffen sind, wird noch untersucht. rbb-Bericht zur Veröffentlichung

Warum die Veröffentlichung eine neue rechtliche Ebene eröffnet

Solange lediglich feststand, dass Daten abgeflossen sein könnten, musste zunächst das Risiko bewertet werden. Mit der Veröffentlichung verändert sich die Lage grundlegend: Die Vertraulichkeit der Daten ist nicht mehr nur abstrakt gefährdet, sondern tatsächlich aufgehoben.

Besonders schwer wiegt, dass offenbar nicht nur dienstliche Kontaktdaten betroffen sind. Medien berichten von Personalakten, Gehaltsabrechnungen, Identitätsdokumenten, Bankdaten, Bußgeldverfahren und Unterlagen über Wiedereingliederungsmaßnahmen. Letztere können sogar Gesundheitsdaten und damit besonders geschützte Daten im Sinne von Art. 9 DSGVO enthalten.

Daneben sollen Zugangsdaten und Passwörter für Verwaltungsdatenbanken und Zahlungsdienste betroffen sein. Sollten Passwörter tatsächlich im Klartext gespeichert worden sein, wäre dies datenschutzrechtlich und sicherheitstechnisch besonders problematisch. Ob und in welchem Umfang dies zutrifft, muss allerdings noch verlässlich aufgeklärt werden. ZDF-Bericht zum Umfang des Datenabflusses

Was das Land Berlin nach den Medienberichten falsch gemacht haben könnte

Eine abschließende Bewertung ist erst möglich, wenn der Angriffsweg, die betroffenen Systeme und die getroffenen Sicherheitsmaßnahmen bekannt sind. Bereits jetzt zeigen sich jedoch mehrere kritische Punkte.

1. Zersplitterte und schwer kontrollierbare IT-Strukturen

Die Berliner Verwaltungs-IT ist nach Medienberichten weiterhin dezentral organisiert. Die einzelnen Senats- und Bezirksverwaltungen sind teilweise selbst dafür verantwortlich, ihre Hard- und Software aktuell und sicher zu halten. Ein durchgängiges zentrales Controlling soll bislang nicht bestehen.

Der Senat selbst bezeichnete die Berliner IT-Landschaft in einer parlamentarischen Antwort als „eher heterogen“. Die beiden angegriffenen Senatsverwaltungen wurden demnach nicht vollständig durch das vom Bundesamt für Sicherheit in der Informationstechnik zertifizierte IT-Dienstleistungszentrum Berlin betreut. Berliner Zeitung zur Struktur der Verwaltungs-IT

Eine dezentrale IT ist nicht automatisch rechtswidrig. Sie erhöht aber den Koordinierungsaufwand und erschwert einheitliche Sicherheitsstandards, zentrale Updates, Zugriffsüberwachung und schnelle Reaktionen. Nach Art. 32 DSGVO muss der Verantwortliche technische und organisatorische Maßnahmen treffen, die dem jeweiligen Risiko angemessen sind. Bei großen Beständen sensibler Bürger- und Beschäftigtendaten gelten entsprechend hohe Anforderungen.

2. Möglicherweise unzureichende Begrenzung von Zugriffen und Datenbeständen

Die behauptete Größenordnung von rund 5,7 Terabyte wirft die Frage auf, warum ein Angreifer aus einem offenbar begrenzten Bereich der Verwaltung auf eine derart große und vielfältige Datenmenge zugreifen konnte.

Zu prüfen ist insbesondere, ob die Systeme hinreichend voneinander getrennt waren, Zugriffsrechte nach dem Erforderlichkeitsprinzip vergeben wurden und ungewöhnlich große Datenbewegungen rechtzeitig erkannt werden konnten. Auch die Speicherung älterer Personal-, Bewerbungs- oder Verfahrensdaten muss anhand der Grundsätze der Datenminimierung und Speicherbegrenzung überprüft werden.

Allein der Umfang des Datenabflusses beweist allerdings noch keinen DSGVO-Verstoß. Er ist aber ein deutlicher Anlass, die Sicherheitsarchitektur und die Löschkonzepte kritisch zu untersuchen.

3. Fragwürdiger Umgang mit Zugangsdaten

Besonders brisant sind die Berichte über Passwörter und Zugangsdaten im Klartext. Sollten solche Daten tatsächlich unverschlüsselt oder unzureichend geschützt gespeichert worden sein, spräche viel für ein erhebliches Sicherheitsdefizit.

Passwörter dürfen grundsätzlich nicht so gespeichert werden, dass sie ohne Weiteres ausgelesen und unmittelbar verwendet werden können. Bei privilegierten Verwaltungszugängen, Datenbankkonten oder Zahlungsdiensten sind außerdem Mehrfaktor-Authentifizierung, konsequente Rechtebegrenzung und eine gesicherte Verwaltung technischer Zugangsdaten zu erwarten.

4. Unklare und zunächst verharmlosende Kommunikation

Kritisch erscheint auch die Informationspolitik. Zunächst hieß es, es seien nach ersten Erkenntnissen keine sensiblen Daten abgeflossen; öffentlich war vor allem von ohnehin zugänglichen Geodaten die Rede. Später musste der Senat einräumen, dass möglicherweise personenbezogene und andere nicht öffentliche Daten betroffen sind. Schließlich wurde der Abfluss großer Datenmengen bestätigt. Bericht zur Korrektur der ersten Darstellung

Auch zwischen der Abtrennung der betroffenen Verwaltungen und der Information der Öffentlichkeit lag ein Wochenende. Zwar können ermittlungstaktische Gründe eine zurückhaltende Kommunikation rechtfertigen. Bei einem erheblichen Risiko für Bürger und Beschäftigte muss die Warnung jedoch so rechtzeitig erfolgen, dass sich die Betroffenen selbst schützen können.

5. Die Information der Betroffenen darf nicht zu spät erfolgen

Das Land Berlin erklärt, identifizierte Personen würden „risikobasiert“ und entsprechend den gesetzlichen Vorgaben informiert. IT-Forensiker untersuchten die veröffentlichten Dateien mit Hochdruck. Information des Landes Berlin

Nach Art. 34 DSGVO muss ein Verantwortlicher die Betroffenen jedoch unverzüglich informieren, wenn eine Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat. Bei veröffentlichten Personalakten, Bankdaten, Gesundheitsinformationen oder Identitätsdokumenten liegt ein solches hohes Risiko regelmäßig nahe.

Die Pflicht besteht nicht erst dann, wenn bereits ein Betrug oder Identitätsmissbrauch eingetreten ist. Die Information soll gerade ermöglichen, vorbeugend zu reagieren. Kann eine individuelle Benachrichtigung wegen der Zahl der Betroffenen nicht sofort erfolgen, sieht die DSGVO auch öffentliche Bekanntmachungen oder vergleichbar wirksame Maßnahmen vor.

Der Hinweis des Senats, Betroffene sollten bei einem festgestellten Missbrauch Strafanzeige erstatten, ist deshalb richtig, aber nicht ausreichend. Eine Strafanzeige ersetzt weder die Informationspflichten des Landes noch die Rechte aus der DSGVO.

Welche Rechte haben Betroffene?

Auskunft über die eigenen Daten

Beschäftigte, frühere Beschäftigte, Bewerber, Bürger und Unternehmensvertreter können nach Art. 15 DSGVO von der zuständigen Senatsverwaltung Auskunft verlangen. Sie können insbesondere fragen:

• ob ihre personenbezogenen Daten vom Angriff betroffen sind,
• welche Datenkategorien abgeflossen sind,
• aus welchem Verwaltungsverfahren die Daten stammen,
• welche Empfänger oder Täter Zugriff erhalten haben könnten,
• welche Folgen erwartet werden und
• welche Schutzmaßnahmen das Land ergriffen hat.

Die Anfrage sollte möglichst konkret an die Behörde gerichtet werden, mit der die betroffene Person zuvor Kontakt hatte. Eine allgemeine Anfrage an „das Land Berlin“ kann die Bearbeitung verzögern.

Anspruch auf unverzügliche Benachrichtigung

Liegt voraussichtlich ein hohes Risiko vor, muss die zuständige Stelle nach Art. 34 DSGVO von sich aus informieren. Die Mitteilung muss in klarer Sprache insbesondere die Art der Datenschutzverletzung, mögliche Folgen, Ansprechpartner und ergriffene Gegenmaßnahmen erläutern.

Betroffene müssen daher nicht darauf warten, dass ihre Daten tatsächlich missbräuchlich verwendet werden.

Beschwerde bei der Datenschutzaufsicht

Wer keine ausreichende Antwort erhält oder Zweifel an der Rechtmäßigkeit der Datenverarbeitung und den Sicherheitsmaßnahmen hat, kann sich nach Art. 77 DSGVO an die Berliner Beauftragte für Datenschutz und Informationsfreiheit wenden. Die Behörde stellt hierfür ein Beschwerdeformular bereit. Beschwerde bei der Berliner Datenschutzbeauftragten

Schadensersatz nach Art. 82 DSGVO

Betroffene können Ersatz materieller und immaterieller Schäden verlangen. In Betracht kommen beispielsweise:

• Kosten infolge eines Identitätsmissbrauchs,
• unberechtigte Abbuchungen oder Vertragsabschlüsse,
• notwendige Kosten für neue Dokumente oder Sicherheitsmaßnahmen,
• erhebliche Beeinträchtigungen durch Kontrollverlust,
• begründete Angst vor Datenmissbrauch,
• Rufschäden oder berufliche Nachteile.

Ein DSGVO-Verstoß allein führt allerdings nicht automatisch zu einer Geldentschädigung. Betroffene müssen einen konkreten materiellen oder immateriellen Schaden und dessen Zusammenhang mit dem Datenschutzverstoß darlegen.

Rechtsanwalt Hoesmann: Der Umfang der Rechtsverletzung, die Sensibilität der Daten und der zumindest entspannte Umgang der Stadt Berlin mit dem Thema Datensicherheit sprechen hier aktuell für eine begründete Schadensersatzforderung.

Was Betroffene jetzt konkret tun sollten

Praxis-Tipp: Wer mit einer der betroffenen Senatsverwaltungen Kontakt hatte oder dort beschäftigt war, sollte nicht ausschließlich auf eine behördliche Mitteilung warten.

Sinnvoll sind insbesondere folgende Maßnahmen:

• schriftliche Auskunft nach Art. 15 DSGVO verlangen,
• dienstlich und privat verwendete Passwörter unverzüglich ändern,
• niemals dasselbe Passwort für mehrere Dienste verwenden,
• Mehrfaktor-Authentifizierung aktivieren,
• Bankkonten, Kreditkarten und ungewöhnliche Vertragsschreiben kontrollieren,
• bei verdächtigen Vorgängen Bank und Polizei informieren,
• unerwartete E-Mails und Anrufe angeblicher Behörden besonders kritisch prüfen,
• alle Benachrichtigungen, verdächtigen Kontaktversuche und finanziellen Folgen dokumentieren,
• nicht selbst versuchen, die veröffentlichten Dateien im Darknet herunterzuladen.

Gerade die Dokumentation ist wichtig. Wer später Schadensersatz beanspruchen möchte, sollte nachweisen können, welche Beeinträchtigungen, Kosten oder Missbrauchshandlungen infolge des Datenlecks entstanden sind.

Fazit

Die Veröffentlichung der gestohlenen Verwaltungsdaten macht aus einem Cyberangriff einen Datenschutzfall von außergewöhnlicher Tragweite. Der eigentliche Angriff ist den Kriminellen zuzurechnen. Das entlastet das Land Berlin jedoch nicht automatisch von seiner eigenen Verantwortung.

Aufzuklären ist, ob die technischen und organisatorischen Schutzmaßnahmen ausreichend waren, warum offenbar sehr unterschiedliche und teilweise hochsensible Daten erreichbar waren, wie Zugangsdaten gespeichert wurden und ob Bürger und Beschäftigte rechtzeitig informiert worden sind.

Betroffene sollten ihre Rechte aktiv wahrnehmen und bei konkreten Hinweisen auf einen Datenmissbrauch schnell handeln. Wer erfahren möchte, ob die eigene Auskunft vollständig ist, ob eine Beschwerde sinnvoll erscheint oder ob Schadensersatzansprüche bestehen, sollte den Einzelfall datenschutzrechtlich prüfen lassen.

Als Rechtsanwalt im Datenschutz- und IT-Recht unterstütze ich Betroffene bei Auskunftsanfragen gegenüber Berliner Behörden, Beschwerden bei der Datenschutzaufsicht sowie bei der Prüfung und Durchsetzung möglicher Schadensersatzansprüche.

 

FAQ

Woher weiß ich, ob meine Daten betroffen sind?

Das Land Berlin will identifizierte Personen informieren. Zusätzlich können Sie bei der zuständigen Senatsverwaltung eine Auskunft nach Art. 15 DSGVO beantragen.

Habe ich automatisch Anspruch auf Schadensersatz?

Nein. Neben einem DSGVO-Verstoß muss ein konkreter materieller oder immaterieller Schaden vorliegen. Dieser kann aber auch in einem nachweisbaren Kontrollverlust oder einer begründeten Angst vor Datenmissbrauch bestehen.

Muss ich Strafanzeige erstatten?

Eine Strafanzeige ist insbesondere bei Identitätsdiebstahl, Betrug, Erpressung oder einem konkreten Missbrauch sinnvoll. Sie ersetzt jedoch keine datenschutzrechtliche Auskunft oder Beschwerde.

Darf das Land mit der Benachrichtigung warten, bis alle Dateien geprüft sind?

Eine gewisse Prüfungszeit kann erforderlich sein. Bei einem voraussichtlich hohen Risiko verlangt Art. 34 DSGVO jedoch eine Benachrichtigung ohne unangemessene Verzögerung. Bei sehr vielen Betroffenen kann ergänzend eine wirksame öffentliche Warnung erforderlich sein.

Gegen wen richten sich mögliche Ansprüche?

Ansprüche richten sich grundsätzlich gegen die für die konkrete Datenverarbeitung verantwortliche öffentliche Stelle. Welche Senatsverwaltung verantwortlich ist, hängt davon ab, wo und zu welchem Zweck die Daten gespeichert wurden.

Cybersecurity im Unternehmen: Warum eine Betriebsvereinbarung heute wichtiger ist denn je