TTS-Player überspringen↵Artikel weiterlesen
Berlin – Gigantisches Datenleck in der Hauptstadt: Hacker haben rund 5,8 Terabyte sensibler Daten aus den IT-Systemen des Berliner Senats gestohlen. Nachdem der Senat sich nicht erpressen ließ und kein Lösegeld an die Cyberverbrecher zahlte, luden die Hacker die Daten ins Darknet.
Nun sind sensible Daten von Millionen Menschen frei einsehbar – auch für andere Cybergangster. Unklar bislang, wer betroffen ist. Das komplette Ausmaß des Schadens ist jetzt noch nicht zu überblicken, zu groß ist die Menge an geklauten Daten.
Schadensersatzansprüche möglich
Rechtsanwältin Nicole Mutschke erklärt, was man als Betroffener des Angriffs durch Hacker tun kann. Grundlage dafür ist die Datenschutz-Grundverordnung (DSGVO). Die DSGVO gilt auch für Behörden. Gegen öffentliche Stellen des Landes Berlin werden zwar keine DSGVO-Bußgelder verhängt. Schadensersatzansprüche der Betroffenen sind aber durchaus möglich.
Rechtsanwältin Nicole Mutschke
Foto: Privat
Was kann ich als Betroffener jetzt tun?
Zunächst sollte man klären, ob die eigenen Daten überhaupt betroffen sind und welche Daten konkret abgeflossen oder veröffentlicht worden sind. Berlin wertet die veröffentlichten Daten derzeit aus und will identifizierte Betroffene informieren.
Wird eine meldepflichtige Datenschutzverletzung entdeckt, muss der Verantwortliche sie innerhalb von 72 Stunden der Datenschutzaufsicht anzeigen. Die betroffenen Bürger müssen bei einem hohen Risiko „unverzüglich“ informiert werden. Dafür gibt es aber keine feste 48- oder 72-Stunden-Frist.
Es kann aber sinnvoller sein, nicht nur darauf zu warten, sondern selbst bei der zuständigen Behörde Auskunft zu verlangen. Denn die Behörde muss Betroffene von sich aus nur dann individuell über das Datenleck informieren, wenn für sie voraussichtlich ein hohes Risiko besteht.
Mehr zum ThemaAuskunft über eigene Daten verlangen
Wer selbst nachfragt, hat im Idealfall eine schriftliche Grundlage – wichtig, falls man später Schadensersatz fordern will. Dabei sollte man ausdrücklich fragen, ob die eigenen Daten von dem Hackerangriff betroffen sind, welche Daten es konkret sind und ob sie nach bisherigem Stand abgeflossen oder veröffentlicht worden sind.
Sinnvoll ist außerdem, danach zu fragen, wie die Daten vor dem Angriff geschützt waren. Für einen späteren Schadensersatzprozess kann gerade die Frage nach den Sicherheitsmaßnahmen wichtig werden.
Wann macht eine Schadensersatzklage Sinn?
Erste Voraussetzung ist, dass tatsächlich die eigenen personenbezogenen Daten betroffen waren. Das muss der Bürger darlegen und gegebenenfalls beweisen können. Gerade deshalb ist es sinnvoll, eine schriftliche Auskunft einzuholen.
Dann kommt es darauf an, ob Berlin gegen die Datenschutzvorgaben verstoßen hat. Ein erfolgreicher Hackerangriff allein reicht dafür nicht aus. Die DSGVO verlangt keinen perfekten und absolut unüberwindbaren Schutz. Auch ein ausreichend geschütztes System kann gehackt werden.
So bieten die Hacker die Daten im Darknet an. Unten steht: „Alle Daten wurden der Öffentlichkeit zugänglich gemacht. Viel Spaß damit, Datenjäger“
Foto: Berlin.de
Entscheidend ist, ob Berlin angesichts des konkreten Risikos angemessene technische und organisatorische Sicherheitsmaßnahmen getroffen hatte. Der Europäische Gerichtshof (EuGH) hat hierzu klargestellt: Der Bürger muss nicht selbst technisch nachweisen, welche konkrete Sicherheitslücke bestand. Die verantwortliche Behörde muss im Streitfall darlegen und beweisen, dass ihre Schutzmaßnahmen angemessen waren. Kann Berlin das nachweisen, kann ein Schadensersatzanspruch trotz des Datenlecks ausscheiden.
Schadensersatz auch ohne Geldverlust möglich
Liegt dagegen ein Datenschutzverstoß vor, muss der Bürger zusätzlich darlegen, dass ihm dadurch ein Schaden entstanden ist und dieser auf dem Datenschutzverstoß beruht. Die Gerichte urteilen inzwischen recht freundlich für Betroffene. Nach EuGH und Bundesgerichtshof (BGH) kann bereits der tatsächliche Verlust der Kontrolle über die eigenen Daten einen immateriellen Schaden darstellen. Man muss also nicht erst Geld verloren haben oder Opfer eines Identitätsdiebstahls geworden sein.
Wie hoch ein möglicher Schadensersatz ausfällt, lässt sich derzeit kaum seriös sagen. Der BGH hat beim bloßen Kontrollverlust durch ein Datenleck bei Facebook eine Größenordnung von etwa 100 Euro für vertretbar gehalten. Das ist aber keine feste Pauschale für jedes Datenleck. Bei besonders sensiblen Daten, etwa Gesundheits-, Bank-, Steuer- oder Personaldaten, einer dauerhaften Veröffentlichung oder einem tatsächlichen Missbrauch kann auch eine höhere Entschädigung in Betracht kommen.
Rechtsanwältin Nicole Mutschke unterrichtete nach ihrem Jurastudium als wissenschaftliche Mitarbeiterin deutsches Recht an einer spanischen Universität.