Stand: 5. September 2026. Der Vorfall ist in der forensischen Auswertung; wir aktualisieren den Beitrag, sobald belastbare Angaben zu den betroffenen Datenkategorien vorliegen.
Das Wichtigste in Kürze
- Was passiert ist: Rhysida hat am 4. September 2026 ca. 5,8 TB Daten aus dem Berliner Landesnetz im Darknet veröffentlicht – darunter nach Medienberichten rund 5.000 Personalakten, Gehaltsabrechnungen und sicherheitsrelevante Verwaltungsdokumente.
- Ihre Ansprüche: Betroffene können Auskunft nach Art. 15 DSGVO verlangen und immateriellen Schadensersatz nach Art. 82 DSGVO prüfen lassen – nach BGH und EuGH kann bereits der Kontrollverlust über die eigenen Daten ein ersatzfähiger Schaden sein.
- Pflichten der Behörden: Meldung an die Berliner Datenschutzbeauftragte binnen 72 Stunden (Art. 33 DSGVO) und unverzügliche Benachrichtigung der Betroffenen bei hohem Risiko (Art. 34 DSGVO).
- Finger weg vom Leak: Wer die Daten beschafft oder weiterverbreitet, um sich zu bereichern oder andere zu schädigen, macht sich wegen Datenhehlerei nach § 202d StGB strafbar. Auch ohne diese Absicht drohen zivilrechtliche Unterlassungs- und Schadensersatzansprüche.
- Sofortmaßnahmen: Passwörter ändern, auf Phishing achten, bei Missbrauch Strafanzeige erstatten, Ansprüche dokumentieren.
Gehaltsabrechnungen, Personalakten, Anträge mit Originalunterschrift, Schwachstellenanalysen zur Trinkwasserversorgung – frei abrufbar im Darknet. Das ist seit dem 4. September 2026 die Lage nach dem Ransomware-Angriff auf das Berliner Landesnetz. Die Erpressergruppe Rhysida hat nach Ablauf ihres Ultimatums rund 5,8 Terabyte mit etwa 1,44 Millionen Dateien veröffentlicht, weil das Land Berlin das geforderte Lösegeld von rund zwei Millionen Euro nicht gezahlt hat. Beschäftigte der Verwaltung, Bürgerinnen und Bürger und Unternehmen fragen sich jetzt: Sind meine Daten dabei, was darf ich verlangen, und wie schütze ich mich? Wir ordnen die Rechtslage ein.
Der Vorfall: Wie es zum Datenleck der Berliner Landesverwaltung kam
Mitte August 2026 bestätigte der Berliner Senat einen Cyberangriff auf das Landesnetz. Dahinter steht Rhysida, eine seit 2023 aktive Gruppe, die nach dem Modell „Ransomware-as-a-Service“ arbeitet und zuvor unter anderem die British Library und die Stadtverwaltung von Columbus (Ohio) angegriffen hat. Das Vorgehen ist immer dasselbe: Systeme verschlüsseln, Daten abziehen, mit der Veröffentlichung drohen. Die Forderung lag nach Medienberichten bei 30 Bitcoin, umgerechnet rund zwei Millionen Euro.
Der Senat hat nicht gezahlt. Aus unserer Sicht war das richtig – eine Zahlung finanziert das Geschäftsmodell und bietet keine Gewähr, dass die Daten tatsächlich gelöscht werden. Die Konsequenz ist dennoch bitter: Am 4. September 2026 stellte Rhysida das gesamte Paket auf seiner Leak-Site bereit.
Welche Daten betroffen sind
Die Angaben stammen bislang von der Leak-Site der Täter, aus Auswertungen von Journalisten und aus ersten Stellungnahmen der Senatskanzlei. Eine behördliche Bestätigung, welche Dokumente in welchem Umfang tatsächlich enthalten sind, steht noch aus. Nach dem derzeitigen Stand geht es um:
- Beschäftigtendaten: rund 5.000 Personalakten, Gehaltsabrechnungen, Arbeitszeugnisse, Abwesenheitslisten, Kontaktdaten und Anschriften.
- Bürgerdaten: Anträge mit Originalunterschriften, Unterlagen aus Bauangelegenheiten, Informationen zu Klageverfahren; nach unbestätigten Berichten auch Bußgeldakten mit Namen, Anschriften und Tatvorwürfen.
- Sicherheitsrelevante Dokumente: Schwachstellenanalysen zur Trinkwasserversorgung, ein Ordner „AG CBRN-Rahmenplanung“ (chemische, biologische, radiologische und nukleare Gefahrenlagen) sowie nach Angaben eines Investigativjournalisten Unterlagen des LKA und Planungen für den Verteidigungsfall.
Die Senatskanzlei hat eingeräumt, dass personenbezogene Daten von Beschäftigten des Landes, von Bürgerinnen und Bürgern sowie von Unternehmen enthalten sein können. Der Chaos Computer Club hat die Veröffentlichung bestätigt und bereits auf mögliche DSGVO-Verstöße hingewiesen.
Strafbarkeit: Warum Sie den Leak nicht herunterladen sollten
Die Dateilisten kursieren in sozialen Netzwerken, und die Versuchung ist groß, selbst nachzusehen. Wir raten dringend davon ab – aus rechtlichen und aus praktischen Gründen.
Datenhehlerei nach § 202d StGB
§ 202d StGB stellt unter Strafe, Daten, die nicht allgemein zugänglich sind und die ein anderer durch eine rechtswidrige Tat erlangt hat, sich oder einem anderen zu verschaffen, zu überlassen, zu verbreiten oder zugänglich zu machen – um sich oder einen Dritten zu bereichern oder einen anderen zu schädigen. Das Strafmaß reicht bis zu drei Jahren Freiheitsstrafe. Zwei Punkte sind dabei wichtig:
- Der Tatbestand verlangt eine Bereicherungs- oder Schädigungsabsicht. Wer den Dump weiterverkauft, für Phishing oder Erpressung nutzt oder Personalakten gezielt „doxxt“, erfüllt sie. Bloße Neugier reicht nach dem Wortlaut nicht – wer sich darauf verlässt, spielt allerdings mit der Beweislage, denn die Absicht wird aus den Umständen geschlossen.
- Ob Daten nach der Veröffentlichung im Darknet noch „nicht allgemein zugänglich“ sind, ist umstritten. Auf dieses Argument sollte sich niemand verlassen.
Journalistische Recherche ist über § 202d Abs. 3 StGB privilegiert, soweit sie ausschließlich der Berichterstattung dient. Dieses Medienprivileg deckt keine Privatpersonen, die sich „nur mal umsehen“ wollen.
Weitere Straftatbestände und zivilrechtliche Folgen
Wer personenbezogene Daten aus dem Leak gewerbsmäßig oder in Schädigungsabsicht verarbeitet, kann sich zusätzlich nach § 42 BDSG strafbar machen. Bei den sicherheitsrelevanten Dokumenten – CBRN-Planung, LKA-Unterlagen, Verteidigungsfall – kommt je nach Inhalt das Staatsschutzstrafrecht in Betracht (§§ 93 ff. StGB); die Schwelle zum Staatsgeheimnis ist hoch, aber bei diesen Kategorien nicht ausgeschlossen.
Unabhängig vom Strafrecht gilt: Wer fremde Gehaltsabrechnungen, Personalakten oder Adressen aus dem Leak weiterverbreitet, verletzt das Datenschutzrecht und das allgemeine Persönlichkeitsrecht der Betroffenen. Diese können Unterlassung und Schadensersatz verlangen – und zwar direkt von demjenigen, der die Daten teilt, nicht nur vom Land Berlin.
Praktisch kommt hinzu: Leak-Pakete dieser Art werden regelmäßig mit Schadsoftware nachgebaut und verteilt. Wer sie herunterlädt, holt sich mit hoher Wahrscheinlichkeit das nächste Problem auf den Rechner.
Pflichten der Berliner Behörden nach der DSGVO
Verantwortlich im Sinne der DSGVO sind die jeweiligen Behörden des Landes Berlin, deren Daten abgeflossen sind. Sie treffen vier Pflichten:
- Meldung an die Aufsicht (Art. 33 DSGVO): binnen 72 Stunden nach Bekanntwerden an die Berliner Beauftragte für Datenschutz und Informationsfreiheit.
- Benachrichtigung der Betroffenen (Art. 34 DSGVO): unverzüglich, wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt. Bei veröffentlichten Gehaltsabrechnungen, Bankverbindungen und Personalakten ist das hohe Risiko kaum zu bestreiten. Die Benachrichtigung muss in klarer Sprache die Art der Verletzung, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen beschreiben.
- Dokumentation (Art. 33 Abs. 5 DSGVO): alle Fakten zum Vorfall, seine Auswirkungen und die Abhilfemaßnahmen.
- Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Die Frage, ob das Landesnetz angemessen geschützt war, ist der Kern jedes späteren Schadensersatzverfahrens.
Soweit Personalakten Angaben zu Krankheitszeiten, Schwerbehinderung oder Gewerkschaftszugehörigkeit enthalten, handelt es sich um besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Bußgeldakten fallen unter den erhöhten Schutz des Art. 10 DSGVO. Für beide Kategorien gelten strengere Anforderungen an die Sicherheit – und der Kontrollverlust wiegt bei der Schadensbemessung schwerer.
Ansprüche für Betroffene: Auskunft, Schadensersatz, Beschwerde
Wenn Ihre Daten Teil des Leaks sind, stehen Ihnen mehrere Wege offen.
Auskunft nach Art. 15 DSGVO
Sie können von der betroffenen Behörde verlangen zu erfahren, welche Ihrer Daten verarbeitet wurden, ob sie vom Abfluss betroffen sind und – über Art. 34 DSGVO – welche Folgen und Schutzmaßnahmen die Behörde sieht. Die Auskunft ist kostenlos und binnen eines Monats zu erteilen. Sie ist zugleich die Grundlage für jeden weiteren Anspruch: Ohne Auskunft wissen Sie nicht, ob Ihre Gehaltsabrechnung oder Ihre Bußgeldakte im Paket steckt.
Schadensersatz nach Art. 82 DSGVO
Art. 82 DSGVO gewährt Ersatz für materielle und immaterielle Schäden, die durch einen Verstoß gegen die DSGVO entstehen. Die Rechtsprechung hat die Hürden in den letzten Jahren deutlich abgesenkt:
- Der EuGH hat in einem Hackerangriff-Fall entschieden, dass allein die Befürchtung eines künftigen Datenmissbrauchs einen immateriellen Schaden darstellen kann und dass die Behörde beweisen muss, dass ihre Sicherheitsmaßnahmen angemessen waren – nicht der Betroffene das Gegenteil (EuGH, Urt. v. 14.12.2023, C-340/21). Ein erfolgreicher Angriff allein beweist zwar noch keine unzureichende Sicherheit, verschiebt aber die Beweislast.
- Der BGH hat für den Facebook-Scraping-Komplex bestätigt, dass bereits der kurzfristige Kontrollverlust über die eigenen Daten ein ersatzfähiger Schaden ist, ohne dass ein konkreter Missbrauch nachgewiesen werden muss (BGH, Urt. v. 18.11.2024, VI ZR 10/24).
Die Höhe des Ersatzes hängt von der Sensibilität der Daten, dem Umfang der Veröffentlichung und den Folgen ab. Bei reinen Kontaktdaten hat der BGH eine Größenordnung von etwa 100 Euro genannt. Gehaltsabrechnungen, Bankverbindungen, Personalakten und Bußgeldverfahren sind eine andere Kategorie – hier lassen sich deutlich höhere Beträge begründen, und bei nachgewiesenen Folgeschäden (Identitätsdiebstahl, Kontomissbrauch, Erpressung) kommt materieller Schadensersatz hinzu. Belastbare Vergleichswerte für ein Behördenleak dieser Größe gibt es noch nicht; wir gehen davon aus, dass der Vorfall die Rechtsprechung in den kommenden Jahren prägen wird.
Das Land kann sich nach Art. 82 Abs. 3 DSGVO entlasten, wenn es nachweist, in keiner Weise für den Schaden verantwortlich zu sein. Dafür muss es die Angemessenheit seiner Sicherheitsarchitektur belegen – genau das ist Gegenstand der laufenden Untersuchungen.
Gilt das auch gegen das Land Berlin?
Ja. Die DSGVO kennt keine Privilegierung der öffentlichen Hand: Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO ausdrücklich auch jede Behörde, und Art. 82 DSGVO enthält keine Öffnungsklausel, mit der Deutschland die Haftung öffentlicher Stellen hätte einschränken können. Die oben genannte EuGH-Entscheidung C-340/21 betraf genau diese Konstellation – einen Hackerangriff auf eine Finanzbehörde. Anspruchsgegner ist das Land Berlin als Rechtsträger der jeweils betroffenen Behörde; ein Auftragsverarbeiter wie der landeseigene IT-Dienstleister haftet daneben nur, wenn er gegen seine eigenen Pflichten oder Weisungen verstoßen hat (Art. 82 Abs. 2 Satz 2 DSGVO). Die Amtshaftung nach § 839 BGB in Verbindung mit Art. 34 GG kommt hinzu, ist für Betroffene aber ungünstiger, weil sie ein Verschulden voraussetzt – Art. 82 DSGVO vermutet es und verlangt vom Land den Entlastungsbeweis.
Ein Unterschied bleibt: Bußgelder gegen Behörden sind in Deutschland ausgeschlossen (§ 43 Abs. 3 BDSG, entsprechend im Berliner Landesrecht). Die Datenschutzaufsicht kann Verstöße feststellen und Anordnungen treffen, aber nicht sanktionieren. Für den Schadensersatzanspruch der Betroffenen spielt das keine Rolle.
Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO)
Parallel können Sie sich bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit beschweren. Die Aufsicht prüft, ob die Behörden ihre Melde- und Benachrichtigungspflichten erfüllt haben und ob die Sicherheitsmaßnahmen ausreichend waren. Ihre Feststellungen können ein späteres Schadensersatzverfahren erheblich erleichtern.
Verjährung
Ansprüche aus Art. 82 DSGVO verjähren nach der regelmäßigen Frist von drei Jahren, gerechnet vom Ende des Jahres, in dem Sie von Schaden und Verantwortlichem Kenntnis erlangt haben (§§ 195, 199 BGB). Es besteht also kein Grund zu überstürztem Handeln, aber ein guter Grund, jetzt zu dokumentieren.
Was Sie als Betroffener jetzt tun sollten
- Zugangsdaten ändern. Alle Passwörter, die in Verbindung mit Behördendiensten oder dem Berliner Landesnetz standen – und überall dort, wo Sie dieselben Passwörter verwendet haben.
- Phishing und Anrufe misstrauen. Wer Ihre Gehaltsabrechnung kennt, kann sehr überzeugend als Ihre Bank, Ihr Dienstherr oder Ihre Personalstelle auftreten. Klicken Sie keine Links in unerwarteten Nachrichten, rufen Sie unter bekannten Nummern zurück.
- Konten und Auskunfteien beobachten. Bei Bankverbindungen im Leak: Kontobewegungen prüfen, Bank informieren, gegebenenfalls Selbstauskunft bei der Schufa einholen.
- Bei Missbrauch Strafanzeige erstatten. Der Senat rät ausdrücklich dazu. Die Anzeige ist zugleich Beweismittel für Ihren Schadensersatzanspruch.
- Dokumentieren. Benachrichtigungen der Behörde, verdächtige Kontakte, Zeitaufwand, Auslagen. Alles, was später den Schaden belegt.
- Auskunft verlangen und Ansprüche prüfen lassen. Ein Auskunftsersuchen nach Art. 15 DSGVO kostet Sie nichts und klärt, ob und in welchem Umfang Sie betroffen sind.
Wie wir Sie unterstützen
Als Fachanwaltskanzlei für IT-Recht vertreten wir Betroffene von Datenpannen und Cyberangriffen gegenüber Unternehmen und öffentlichen Stellen. Wir formulieren das Auskunftsersuchen, bewerten die Antwort der Behörde, prüfen Ihre Schadensersatzansprüche nach Art. 82 DSGVO und setzen sie außergerichtlich oder gerichtlich durch. Für Beschäftigte des Landes Berlin, deren Personalakten betroffen sind, klären wir zusätzlich die arbeits- und beamtenrechtliche Seite.
Ob sich ein Vorgehen lohnt, hängt davon ab, welche Ihrer Daten im Leak stecken. Genau das klären wir in einer kostenlosen Ersteinschätzung.
Telefon: 06151-2768225
E-Mail: anfrage@kanzlei-kramarz.de
Kontaktformular
Häufige Fragen zum Datenleck der Berliner Landesverwaltung
Ist der Download der geleakten Berliner Verwaltungsdaten strafbar?
Strafbar nach § 202d StGB (Datenhehlerei) ist, wer sich die Daten verschafft, sie weitergibt oder verbreitet, um sich zu bereichern oder einen anderen zu schädigen. Wer den Leak weiterverkauft, für Phishing nutzt oder Personalakten gezielt veröffentlicht, erfüllt das. Auch ohne diese Absicht drohen zivilrechtliche Unterlassungs- und Schadensersatzansprüche der Betroffenen, und bei sicherheitsrelevanten Dokumenten kann das Staatsschutzstrafrecht greifen. Wir raten dringend davon ab, die Daten zu suchen oder herunterzuladen.
Habe ich als betroffene Person Anspruch auf Schadensersatz?
Nach Art. 82 DSGVO können Betroffene Ersatz für immaterielle und materielle Schäden verlangen. Der BGH hat entschieden, dass bereits der Kontrollverlust über die eigenen Daten ein ersatzfähiger Schaden ist (Urt. v. 18.11.2024, VI ZR 10/24). Bei Gehaltsabrechnungen, Bankverbindungen und Personalakten lassen sich höhere Beträge begründen als bei reinen Kontaktdaten. Das Land Berlin muss nachweisen, dass seine Sicherheitsmaßnahmen angemessen waren, um sich zu entlasten.
Wie erfahre ich, ob meine Daten im Darknet veröffentlicht wurden?
Die betroffenen Behörden müssen Sie nach Art. 34 DSGVO unverzüglich benachrichtigen, wenn ein hohes Risiko für Ihre Rechte besteht. Warten Sie darauf nicht: Mit einem Auskunftsersuchen nach Art. 15 DSGVO können Sie selbst verlangen zu erfahren, welche Ihrer Daten verarbeitet wurden und ob sie vom Abfluss betroffen sind. Die Auskunft ist kostenlos und binnen eines Monats zu erteilen.
Welche Pflichten hat die Berliner Landesverwaltung nach dem Hack?
Die Behörden müssen den Vorfall binnen 72 Stunden an die Berliner Beauftragte für Datenschutz und Informationsfreiheit melden (Art. 33 DSGVO), Betroffene bei hohem Risiko unverzüglich informieren (Art. 34 DSGVO), den Vorfall dokumentieren und ihre Systeme absichern. Ob die Sicherheitsmaßnahmen vor dem Angriff angemessen waren (Art. 32 DSGVO), ist der zentrale Punkt für spätere Schadensersatzverfahren.
Wie lange kann ich Ansprüche wegen des Datenlecks geltend machen?
Schadensersatzansprüche aus Art. 82 DSGVO verjähren nach drei Jahren, gerechnet vom Ende des Jahres, in dem Sie vom Schaden und der verantwortlichen Stelle Kenntnis erlangt haben (§§ 195, 199 BGB). Für Ansprüche aus dem Leak vom September 2026 läuft die Frist also regelmäßig bis Ende 2029. Dokumentieren Sie trotzdem jetzt schon alle Benachrichtigungen, Missbrauchsversuche und Folgekosten.
Kann ich Schadensersatz auch vom Land Berlin als Behörde verlangen?
Ja. Behörden sind Verantwortliche im Sinne der DSGVO (Art. 4 Nr. 7), und Art. 82 DSGVO gilt für sie ohne Einschränkung – der EuGH hat das in einem Hackerangriff-Fall gegen eine Finanzbehörde bestätigt (Urt. v. 14.12.2023, C-340/21). Anspruchsgegner ist das Land Berlin als Träger der betroffenen Behörde. Bußgelder gegen Behörden sind in Deutschland zwar ausgeschlossen (§ 43 Abs. 3 BDSG), der Schadensersatzanspruch der Betroffenen bleibt davon unberührt.
