21.08.2026

Klage nach MOVEit-Datenleck

Kein Schadensersatz Hackerangriff

Sozialgericht weist Klage nach MOVEit-Datenleck ab

Das Sozialgericht Nürnberg hat eine Klage auf Schadensersatz nach einem Hackerangriff abgewiesen. Geklagt hatte die Mutter eines damals fünfjährigen Mädchens, dessen Daten bei einem Angriff auf einen IT-Dienstleister einer gesetzlichen Krankenkasse abgeflossen waren. Das Gericht sah weder einen Verstoß gegen die Datenschutz-Grundverordnung noch einen ersatzfähigen Schaden. Das Urteil vom 10.06.2026 (Az. S 5 SF 65/24 DS) zeigt, wie Gerichte die Haftung nach Cyberangriffen inzwischen bewerten.

Betroffen war ein Bonusprogramm der Krankenkasse. Für die technische Abwicklung nutzte die Kasse einen Auftragsverarbeiter, der wiederum die Software MOVEit einsetzte. Am 31.05.2023 griff die Hackergruppe Clop weltweit tausende Unternehmen und Behörden über eine bis dahin unbekannte Sicherheitslücke in MOVEit an, einen sogenannten Zero-Day-Exploit. Auch beim Auftragsverarbeiter gelang der Zugriff. Erbeutet wurden Vorname, Name, Krankenversicherungsnummer, der Prämienbetrag aus dem Bonusprogramm und eine Bankverbindung, allerdings die des Mutter-Kontos, nicht das der Klägerin selbst. Gesundheitsdaten waren nicht betroffen.

Der Softwarehersteller reagierte schnell: Noch am Tag des Bekanntwerdens gab er eine Sicherheitswarnung heraus, einen Tag später stand ein Patch bereit, den der Auftragsverarbeiter sofort einspielte. Die Klägerin verlangte trotzdem mindestens 3.000 Euro Schmerzensgeld, die Feststellung einer Haftung für künftige Schäden und die Unterlassung weiterer Datenweitergaben. Sie argumentierte, die Krankenkasse habe unzureichende technische und organisatorische Maßnahmen (TOM) getroffen. Insbesondere fehle es an Pseudonymisierung, Verschlüsselung und einer regelmäßigen Überprüfung der Schutzmaßnahmen nach Art. 32 DSGVO. Der Einsatz von MOVEit sei angesichts wiederholter Sicherheitslücken in der Vergangenheit sogar fahrlässig gewesen.

Die Krankenkasse und ihr Auftragsverarbeiter widersprachen. MOVEit sei zum Tatzeitpunkt eine marktführende, zertifizierte Anwendung gewesen, weltweit im Einsatz bei tausenden Unternehmen. Art. 32 DSGVO verlange kein absolutes Schutzniveau, sondern nur angemessene Maßnahmen. Der Auftragsverarbeiter legte umfangreiche technische Schutzmaßnahmen vor: strenge Authentifizierung, automatische Kontosperrung nach Fehlversuchen, verschlüsselte Übertragungsprotokolle und eine aktuelle Softwareversion nach Herstellerstandard. Die Krankenkasse verwies zudem auf einen Bescheid der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit in einem Parallelfall, der zum selben Hackerangriff bereits keinen Verstoß festgestellt hatte.

Das Gericht folgte im Kern der Argumentation der Beklagten und stützte sich dabei ausdrücklich auf ein Urteil des Europäischen Gerichtshofs vom 14.12.2023 (C-340/21). Danach begründet allein die Tatsache, dass ein Hackerangriff erfolgreich war, noch keinen Verstoß gegen Art. 24 und Art. 32 DSGVO. Der Verantwortliche muss vielmehr geeignete Maßnahmen getroffen haben, um Datenschutzverletzungen so weit wie möglich zu verhindern. Ob das gelungen ist, prüft das Gericht im Einzelfall, nicht anhand des bloßen Erfolgs des Angriffs. Die Beweislast dafür liegt zwar beim Verantwortlichen nach Art. 4 und Art. 5 DSGVO, er kann sich aber nach Art. 82 Abs. 3 DSGVO entlasten, wenn er nachweist, dass er für den Schaden in keiner Weise verantwortlich ist.

Das Gericht sah diese Entlastung als erbracht an. MOVEit war zum Zeitpunkt des Angriffs eine anerkannte, zertifizierte Software. Der Auftragsverarbeiter konnte umfassende Sicherheitsmaßnahmen belegen. Dass die Hackergruppe nach klägerischem Vortrag bereits seit 2021 an der Lücke gearbeitet haben soll, wertete das Gericht sogar als Beleg für die Robustheit der Software, nicht als Beleg für ihre Schwäche. Die Klägerin habe zudem keine konkreten Anhaltspunkte vorgetragen, aus denen sich vor dem Angriff eine erkennbare Fehleranfälligkeit der Software ergeben hätte. Eine Verantwortlichkeit der Krankenkasse für die Auswahl ihres Auftragsverarbeiters nach Art. 28 DSGVO ließ sich daraus ebenfalls nicht ableiten. Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO lehnte das Gericht ab, weil zwischen Krankenkasse und Auftragsverarbeiter ein klassisches Auftragsverarbeitungsverhältnis bestand.

Auch beim geltend gemachten immateriellen Schaden nach Art. 82 Abs. 1 DSGVO blieb die Klage erfolglos. Die Klägerin trug vor, sie leide unter der Ungewissheit über die missbräuchliche Verwendung ihrer Daten und habe Angst vor gehackten Bankkonten. Das Gericht prüfte diesen Vortrag streng, so wie es der EuGH und inzwischen auch der Bundesgerichtshof (Urteil vom 18.11.2024, VI ZR 10/24) verlangen: Eine bloß behauptete Befürchtung reicht nicht, sie muss im Einzelfall begründet und nachgewiesen sein. Hier war die Klägerin zum Zeitpunkt des Angriffs fünf Jahre alt und hatte laut Aussage ihres Vaters bis zur mündlichen Verhandlung überhaupt keine Kenntnis vom Vorfall. Die behaupteten Ängste und Sorgen konnte sie also faktisch gar nicht empfunden haben. Zudem war gar nicht ihr eigenes Konto betroffen, sondern das ihrer Mutter, und es gab keine Anhaltspunkte, dass die Daten im Darknet aufgetaucht sind. Ein rein hypothetisches Missbrauchsrisiko reicht nach der Rechtsprechung des BGH nicht aus, um einen immateriellen Schaden zu begründen.

Auch die weiteren Anträge scheiterten. Der Antrag auf Feststellung künftiger Schäden war unzulässig, weil kein konkretes Feststellungsinteresse bestand: Die Sicherheitslücke war längst geschlossen, und ein künftiger Schaden erschien nicht wahrscheinlich. Der Unterlassungsantrag war dem Gericht zu unbestimmt formuliert, da unklar blieb, welche zukünftigen Sicherheitsmaßnahmen genau gemeint waren. Die Klägerin trägt die Kosten des Verfahrens, der Streitwert wurde auf 10.000 Euro festgesetzt.

Unsere Empfehlungen

Unternehmen und KMU

Dieses Urteil ist kein Freibrief. Es zeigt aber, dass Unternehmen bei einem Hackerangriff nicht automatisch haften, wenn sie ihre Hausaufgaben gemacht haben. Wichtig ist die Dokumentation: Welche TOM wurden getroffen, wann wurden sie zuletzt überprüft, welche Zertifizierungen hatte der eingesetzte Softwareanbieter? Wer diese Unterlagen im Ernstfall nicht schnell vorlegen kann, hat ein Problem, unabhängig vom Ausgang des konkreten Falls. Prüfen Sie auch, wie schnell Ihr Unternehmen auf Sicherheitswarnungen von Softwareherstellern und dem BSI reagiert. Genau diese schnelle Reaktion hat im vorliegenden Fall zur Entlastung beigetragen.

Gesundheitseinrichtungen

Auch wenn hier keine Gesundheitsdaten abgeflossen sind: Bei Einrichtungen mit besonders sensiblen Datenkategorien nach Art. 9 DSGVO fällt die Prüfung durch Gerichte in der Regel strenger aus. Wer Patientendaten oder Abrechnungsdaten über Drittanbieter verarbeiten lässt, sollte die eingesetzte Software und deren Sicherheitsstandard regelmäßig dokumentieren und vertraglich in der Auftragsverarbeitungsvereinbarung nach [INTERNER LINK: Auftragsverarbeitungsvertrag] absichern. Ein Notfallplan für den Fall eines Datenlecks gehört ebenfalls dazu, inklusive klarer Fristen für die Information Betroffener.

Behörden und öffentliche Stellen

Öffentliche Stellen setzen häufig auf externe IT-Dienstleister für zentrale Verfahren. Dieses Urteil macht deutlich, dass die Auswahl und Überwachung des Auftragsverarbeiters entscheidend ist, nicht die bloße Tatsache, dass ein Angriff stattgefunden hat. Eine sorgfältige Dokumentation der Auswahlentscheidung und regelmäßige Kontrollen der Auftragsverarbeiter schützen im Streitfall. Prüfen Sie außerdem, ob Ihre bestehenden AV-Verträge aktuelle Anforderungen an TOM nach Art. 32 DSGVO konkret genug abbilden.

Kanzleien und Freiberufler

Für die Beratungspraxis liefert das Urteil eine klare Argumentationslinie bei der Verteidigung gegen Schadensersatzforderungen nach Hackerangriffen: Der bloße Erfolg eines Angriffs reicht nicht aus, die Beweislastverteilung nach Art. 82 Abs. 3 DSGVO lässt sich mit einer guten TOM-Dokumentation aktiv nutzen. Bei der Vertretung von Betroffenen gilt umgekehrt: Pauschale Verweise auf Angst und Ungewissheit reichen nicht mehr. Die Befürchtung eines Datenmissbrauchs muss konkret und im Einzelfall begründet dargelegt werden, sonst scheitert die Klage bereits an der Darlegungslast.

Quelle: Sozialgericht Nürnberg, Endurteil vom 10.06.2026, Az. S 5 SF 65/24 DS

Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.

Kontakt aufnehmen

Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:

Dieser Absatz enthält Affiliatelinks/Werbelinks