SG Nürnberg, Urteil v. 10.06.2026 – S 5 SF 65/24 DS, abrufbar unter: https://www.gesetze-bayern.de/Content/Document/Y-300-Z-BECKRS-B-2026-N-12741?hl=true (Gesetze Bayern)
Kurzzusammenfassung
Das Sozialgericht Nürnberg stellt klar, dass ein erfolgreicher Hackerangriff nicht automatisch einen Verstoß gegen Art. 32 DSGVO oder einen Schadensersatzanspruch nach Art. 82 DSGVO begründet. Maßgeblich ist vielmehr, ob der Verantwortliche angemessene technische und organisatorische Maßnahmen (TOM) entsprechend dem Stand der Technik getroffen hat. Wird eine bis dahin unbekannte Zero-Day-Sicherheitslücke ausgenutzt, spricht der bloße Erfolg des Angriffs noch nicht gegen ein angemessenes Sicherheitsniveau. Darüber hinaus muss der Betroffene einen konkreten immateriellen Schaden darlegen und beweisen; bloße Befürchtungen oder abstrakte Missbrauchsrisiken reichen hierfür regelmäßig nicht aus.
Worum ging es?
Die Klägerin war bei einer gesetzlichen Krankenkasse versichert und nahm an einem Bonusprogramm teil, dessen technische Abwicklung über einen externen Dienstleister erfolgte. Im Zuge des weltweit bekannt gewordenen MOVEit-Hackerangriffs im Mai 2023 verschafften sich Angreifer über eine bis dahin unbekannte Zero-Day-Sicherheitslücke Zugriff auf personenbezogene Daten.
Betroffen waren insbesondere Stammdaten sowie einzelne Vertragsdaten. Gesundheitsdaten wurden nach den Feststellungen des Gerichts nicht kompromittiert. Die Klägerin machte Schadensersatz nach Art. 82 DSGVO geltend, verlangte die Feststellung einer Ersatzpflicht für zukünftige Schäden, begehrte Unterlassung weiterer Datenweitergaben sowie Ersatz vorgerichtlicher Rechtsanwaltskosten.
Das Sozialgericht Nürnberg wies die Klage vollständig ab.
Entscheidungsgründe
Das Gericht verneinte bereits einen Datenschutzverstoß.
Es stellte fest, dass Art. 32 DSGVO keine absolute Sicherheit verlangt. Verantwortliche schulden vielmehr ein dem Risiko angemessenes Schutzniveau. Im konkreten Fall handelte es sich um einen Angriff über eine bis dahin unbekannte Zero-Day-Sicherheitslücke. Nachdem der Hersteller den Patch veröffentlicht hatte, wurde dieser kurzfristig eingespielt. Weitere zumutbare Schutzmaßnahmen seien nach Auffassung des Gerichts nicht ersichtlich gewesen. Der Umstand, dass ein Angriff erfolgreich war, lasse daher keinen Rückschluss auf unzureichende Sicherheitsmaßnahmen zu.
Darüber hinaus fehle es an einem nachgewiesenen immateriellen Schaden im Sinne des Art. 82 DSGVO. Zwar könne bereits der Verlust der Kontrolle über personenbezogene Daten grundsätzlich einen ersatzfähigen immateriellen Schaden darstellen. Dies setze jedoch voraus, dass der Betroffene nachvollziehbar darlegt, weshalb gerade im konkreten Einzelfall eine tatsächliche Beeinträchtigung vorliegt.
Die Klägerin berief sich im Wesentlichen auf Sorgen, Unsicherheit sowie die abstrakte Gefahr eines zukünftigen Identitätsmissbrauchs. Das Gericht hielt diese Darlegungen für nicht ausreichend. Es fehlten konkrete Anhaltspunkte dafür, dass ihre Daten tatsächlich missbräuchlich verwendet worden waren oder eine solche Verwendung unmittelbar bevorstand. Damit scheiterte auch der Schadensersatzanspruch.
Mangels Datenschutzverstoßes und Schadensersatzanspruchs hatten auch die weiteren Anträge auf Feststellung zukünftiger Ersatzpflicht, Unterlassung sowie Erstattung vorgerichtlicher Anwaltskosten keinen Erfolg.
Anmerkungen zum Urteil
Die Entscheidung fügt sich in die jüngere Rechtsprechung zu Art. 82 DSGVO ein und konkretisiert deren Anwendung auf Cyberangriffe. Das Gericht betont erneut den risikobasierten Ansatz der DSGVO. Verantwortliche müssen keine absolute IT-Sicherheit gewährleisten. Entscheidend ist vielmehr, dass die getroffenen technischen und organisatorischen Maßnahmen dem Stand der Technik sowie dem jeweiligen Risiko angemessen sind.
Besonders praxisrelevant ist die Aussage zur Beweislast. Das Urteil verdeutlicht, dass der bloße Eintritt einer Datenschutzverletzung keine Vermutung begründet, die Sicherheitsmaßnahmen seien unzureichend gewesen. Ebenso wenig genügt die abstrakte Sorge vor einem künftigen Datenmissbrauch, um einen immateriellen Schadensersatzanspruch auszulösen.
Für Unternehmen bedeutet dies allerdings keinen Freibrief. Die Entscheidung stärkt vielmehr diejenigen Verantwortlichen, die ihre Informationssicherheit dokumentieren, Sicherheitsmaßnahmen regelmäßig überprüfen und Sicherheitsupdates zeitnah implementieren. Gerade diese Dokumentation dürfte im Streitfall den entscheidenden Unterschied machen.
Gibt es hier Handlungsbedarf?
Unternehmen sollten ihre Datenschutz- und IT-Sicherheitsorganisation kritisch überprüfen. Empfehlenswert ist insbesondere folgende Checkliste:
- Dokumentation der technischen und organisatorischen Maßnahmen (TOM) regelmäßig aktualisieren.
- Nachweisbar ein Patch- und Schwachstellenmanagement betreiben.
- Informationssicherheitskonzept regelmäßig anhand des aktuellen Risikos überprüfen.
- Incident-Response-Prozesse einschließlich Melde- und Dokumentationspflichten testen.
- Verträge mit Auftragsverarbeitern auf aktuelle Sicherheitsanforderungen überprüfen.
- Nachweise über Sicherheitsmaßnahmen und deren regelmäßige Wirksamkeitskontrolle revisionssicher dokumentieren.
- Mitarbeitende regelmäßig zu IT-Sicherheit und Datenschutz sensibilisieren.
- Dokumentieren, warum die getroffenen Maßnahmen dem jeweiligen Risiko angemessen sind.
Unsere Kanzlei steht Ihnen bei Fragen zu diesem Thema sowie bei der Überprüfung Ihrer Datenschutz- und IT-Sicherheitsorganisation gerne zur Verfügung.
Ebenfalls für diese Fragen könnte interessant sein:
- Flex Routing bei Microsoft Copilot führt zu Verarbeitung außerhalb der EU
https://anwalt-willich.de/blog/flex-routing-bei-microsoft-copilot-fuehrt-zu-verarbeitung-ausserhalb-der-eu/ - DSK-Liste der Verarbeitungstätigkeiten, für die eine Datenschutz-Folgenabschätzung durchzuführen ist
https://anwalt-willich.de/blog/dsk-liste-der-verarbeitungstätigkeiten-fuer-die-eine-datenschutz-folgenabschaetzung-durchzufuehren-ist/ - Ungelöste Frage im Datenschutz: Müssen personenbezogene Daten in einem Backup gelöscht werden, wenn der Betroffene eine Löschung nach Art. 17 DSGVO verlangt?
https://anwalt-willich.de/blog/ungeloeste-frage-im-datenschutz-muessen-personenbezogene-daten-in-einem-backup-geloescht-werden-wenn-der-betroffene-eine-loeschung-nach-art-17-dsgvo-verlangt/