Datenleck bei der Berliner Verwaltung: Was Betroffene jetzt tun können

Nach einem schweren Cyberangriff auf das Berliner Landesnetz haben Kriminelle umfangreiche Datenbestände der Berliner Verwaltung im Darknet veröffentlicht. Inzwischen wurde bekannt, dass die Täter ein weiteres Datenpaket veröffentlicht haben, das unter anderem Zugangsdaten enthalten soll.

Betroffen sein können Beschäftigte der Berliner Verwaltung sowie Bürgerinnen und Bürger und Unternehmen, die mit den angegriffenen Senatsverwaltungen in Kontakt standen. Möglicherweise vom Datenleck Betroffene sollten daher bereits jetzt Schutzmaßnahmen ergreifen. Je nach Art der veröffentlichten Daten drohen gezielte Phishing-Angriffe, Identitätsmissbrauch, Kontenübernahmen und finanzielle Schäden. Es kommen Auskunfts-, Beschwerde- und gegebenenfalls Schadensersatzansprüche nach der Datenschutz-Grundverordnung in Betracht.

Was ist bei der Berliner Verwaltung passiert?

Laut aktueller Berichte verschafften sich Cyberkriminelle zwischen dem 7. und dem 12. August 2026 Zugang zu Teilen des Berliner Landesnetzes. Betroffen sind Bereiche der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Die Berliner Verwaltung bemerkte den Angriff eigenen Angaben zufolge am 14. August 2026.

Die mutmaßlich verantwortliche Hackergruppe Rhysida forderte ein Lösegeld von 30 Bitcoin vom Land Berlin. Dies entsprach zum damaligen Zeitpunkt einem Betrag von rund zwei Millionen Euro. Nachdem das Land die Zahlung abgelehnt hatte, veröffentlichten die Täter nach Ablauf ihres Ultimatums am 4. September 2026 umfangreiche Datenbestände im Darknet. Es soll sich um mehr als 1,4 Millionen Dateien mit einem Gesamtumfang von ca. 5,8 Terabyte handeln.

Unter den veröffentlichten Daten befinden sich ersten Erkenntnissen zufolge unter anderem Teile von Personalakten, eingescannte Ausweisdokumente, Gehaltsabrechnungen, Arbeitszeugnisse, Vertragsunterlagen und weitere interne Verwaltungsdokumente. Auch Informationen zu Bauprojekten und möglicherweise zur kritischen Infrastruktur könnten erfasst sein. Eine vollständige Auswertung der veröffentlichten Daten liegt bislang nicht vor.

Neue Entwicklung: Weiteres Datenpaket mit Zugangsdaten veröffentlicht

Am 6. September 2026 teilte die Berliner Senatskanzlei mit, dass die Angreifer ein weiteres Datenpaket veröffentlicht haben. Gegenstand dieser zusätzlichen Veröffentlichung sollen unter anderem Zugangsdaten sein. Die zuständige Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen überprüfte daraufhin die bereits veranlassten Schutzmaßnahmen und verschärfte diese in einzelnen Punkten. Nach Angaben des Landes können die zusätzlichen Maßnahmen vorübergehend zu Einschränkungen bei der Nutzung von Fachverfahren der betroffenen Senatsverwaltung führen.

Die weitere Veröffentlichung zeigt, dass das vollständige Ausmaß des Vorfalls möglicherweise noch nicht feststeht. Werden Zugangsdaten offengelegt, besteht insbesondere die Gefahr, dass Kriminelle versuchen, auf Benutzerkonten zuzugreifen oder bekannte Zugangsdaten bei anderen Diensten auszuprobieren. Personen, die Passwörter mehrfach verwendet haben, sollten diese daher unverzüglich ändern.

Das Land Berlin hat mitgeteilt, dass Sicherheitsbehörden und beauftragte IT-Forensiker die veröffentlichten Daten untersuchen. Soweit im Rahmen dieser Analyse einzelne betroffene Personen identifiziert werden, sollen sie von den zuständigen Senatsverwaltungen entsprechend den gesetzlichen Vorgaben informiert werden.

Update vom 16. September 2026

Das Land Berlin hat inzwischen eine zentrale Anlaufstelle für Betroffene eingerichtet. Nach dem zuletzt veröffentlichten Informationsstand vom 14. September 2026 dauert die Auswertung der abgeflossenen Daten weiterhin an. Nach Angaben des Landes handelt es sich überwiegend um Dateien aus gemeinsam genutzten und persönlichen Verzeichnissen von Beschäftigten der betroffenen Behörden. Darunter können sich personenbezogene Daten von Beschäftigten, Bürgerinnen und Bürgern sowie Unternehmen befinden. Identifizierte Betroffene sollen von der jeweils zuständigen Senatsverwaltung risikobasiert benachrichtigt werden.

Wer eine Betroffenheit vermutet, kann sich unmittelbar an die eingerichteten Kontaktstellen wenden.

• Für Vorgänge der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen ist die E-Mail-Adresse [email protected] vorgesehen.
• Anliegen zur Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt können an [email protected] gerichtet werden.
• Allgemeine Fragen beantwortet die Senatskanzlei unter [email protected]. Betroffene können dort insbesondere Auskunft nach Art. 15 DSGVO über die Verarbeitung und mögliche Offenlegung ihrer personenbezogenen Daten verlangen.

Da auch Zugangsdaten veröffentlicht worden sein sollen, empfiehlt die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Passwörter zu ändern, die Zwei-Faktor-Authentisierung zu aktivieren und Konto- sowie Kreditkartenbewegungen zu kontrollieren. Verdächtige Nachrichten und mögliche Missbrauchsversuche sollten dokumentiert werden.

Welche Personen könnten betroffen sein?

Betroffen sein können zunächst aktuelle und ehemalige Beschäftigte der Berliner Verwaltung, sofern ihre Personal- oder Beschäftigtendaten in den angegriffenen Systemen gespeichert waren.

Daneben kommen Bürgerinnen und Bürger als Betroffene in Betracht, die in der Vergangenheit Kontakt zu den beiden betroffenen Senatsverwaltungen hatten. Dazu können beispielsweise Personen gehören, deren Daten im Zusammenhang mit Bauanträgen, Wohnungsbauförderungen, Planungsverfahren, Verkehrsangelegenheiten, Bußgeldverfahren oder sonstigen Verwaltungsverfahren verarbeitet wurden. Auch Unternehmen, Vertragspartner, Planungsbüros und weitere an Verwaltungsverfahren beteiligte Stellen können betroffen sein.

Eine mögliche Betroffenheit kann zudem bestehen, wenn eine Person nicht selbst Antragsteller oder unmittelbarer Verfahrensbeteiligter war, sondern lediglich in einer Verwaltungsakte erwähnt wurde. Dies kann etwa Nachbarn, Zeugen, Bevollmächtigte, Beschäftigte eines beteiligten Unternehmens oder sonstige Dritte betreffen.

Woher weiß ich, das ich betroffen bin?

Eine abschließende und öffentlich zugängliche Liste sämtlicher Betroffener liegt bislang nicht vor. Die Berliner Datenschutzbeauftragte weist darauf hin, dass das genaue Ausmaß des Datenabflusses noch untersucht wird und eine individuelle Betroffenheit derzeit nicht in jedem Fall bestätigt werden kann. Identifizierte Betroffene sollen im Fortgang der Untersuchungen von der jeweils zuständigen Senatsverwaltung kontaktiert werden.

Wer in den vergangenen Jahren mit einer der betroffenen Senatsverwaltungen in Kontakt stand, sollte jedoch nicht ausschließlich auf eine behördliche Benachrichtigung warten. Betroffene können selbst Auskunft darüber verlangen, ob und welche sie betreffenden personenbezogenen Daten verarbeitet wurden und ob diese möglicherweise von dem Datenabfluss betroffen waren.

Welche Gefahren drohen nach dem Datenleck?

Das Bundesamt für Sicherheit in der Informationstechnik warnt insbesondere vor einer erhöhten Gefahr gezielter Phishing-Angriffe. Kriminelle können Informationen aus Verwaltungsakten verwenden, um betrügerische E-Mails, Nachrichten oder Anrufe besonders glaubwürdig erscheinen zu lassen. Kennt ein Täter beispielsweise Namen, Anschrift, Aktenzeichen, Ansprechpartner oder Einzelheiten zu einem Verwaltungsverfahren, können Betroffene eine gefälschte Nachricht nur schwer von einer echten Behördenmitteilung unterscheiden.

Daneben besteht das Risiko eines Identitätsmissbrauchs. Eingescannte Ausweisdokumente, Unterschriften, Bankverbindungen, Zugangsdaten oder Vertragsunterlagen können grundsätzlich dazu verwendet werden, dass sich Kriminelle gegenüber Dritten als eine andere Person ausgeben oder weitere Betrugsversuche vorbereiten.

Besonders problematisch ist, dass einmal im Darknet veröffentlichte Daten regelmäßig nicht zuverlässig zurückgeholt werden können. Unbekannte Dritten könnten Kopien anfertigen und später erneut veröffentlichen oder für weitere Angriffe verwenden. Das Risiko ist deshalb nicht zwingend auf den unmittelbar auf die Veröffentlichung folgenden Zeitraum beschränkt.

Was sollten mögliche Betroffene jetzt konkret tun?

1. Passwörter ändern: Passwörter von Verwaltungsportalen, E-Mail-Konten und anderen möglicherweise betroffenen Diensten sollten vorsorglich geändert werden. Wurde dasselbe Passwort bei mehreren Diensten verwendet, sollte es bei sämtlichen betroffenen Konten ersetzt werden. Für jeden Dienst sollte ein eigenes, ausreichend starkes Passwort verwendet werden.
2. Zwei-Faktor-Authentifizierung aktivieren: Wo immer möglich, sollte eine Zwei-Faktor-Authentifizierung aktiviert werden. Dies ist insbesondere für E-Mail-Konten, Online-Banking, Verwaltungsportale und Benutzerkonten mit hinterlegten Zahlungsinformationen empfehlenswert.
3. Konto- und Kreditkartenbewegungen kontrollieren: Betroffene sollten ihre Konto- und Kreditkartenbewegungen regelmäßig auf unbekannte Abbuchungen oder sonstige Auffälligkeiten überprüfen. Unberechtigte Vorgänge sollten unverzüglich der Bank oder dem jeweiligen Zahlungsdienstleister gemeldet werden.
4. Vorsicht vor Phishing-Nachrichten: Unerwartete E-Mails, SMS, Messenger-Nachrichten und Anrufe sollten besonders kritisch geprüft werden. Links und Dateianhänge aus ungewöhnlichen Nachrichten sollten nicht ungeprüft geöffnet werden. Verlangt eine vermeintliche Behörde die Eingabe von Zugangsdaten, die Übermittlung weiterer Dokumente oder eine Zahlung, sollte die Echtheit der Anfrage über einen unabhängig ermittelten Kontaktweg überprüft werden.
5. Karten und Ausweisfunktionen sperren: Bei konkreten Anzeichen für einen Missbrauch von Zahlungskarten oder elektronischen Ausweisfunktionen kann eine Sperrung über den Sperr-Notruf 116 116 erforderlich sein. Auch die Berliner Datenschutzbeauftragte weist auf diese Möglichkeit hin.
6. Verdächtige Vorgänge dokumentieren: Verdächtige E-Mails, Anrufe, Nachrichten, unberechtigte Abbuchungen oder sonstige Missbrauchsversuche sollten sorgfältig dokumentiert werden. Dazu gehören insbesondere Datum, Uhrzeit, Absender, Rufnummer, Inhalt der Kontaktaufnahme und gegebenenfalls entstandene Kosten. E-Mails sollten nach Möglichkeit im Original gespeichert werden. Zusätzlich können Bildschirmaufnahmen angefertigt und Kontoauszüge, Rechnungen sowie sonstige Belege gesichert werden. Eine solche Dokumentation kann für die spätere Durchsetzung von Schadensersatzansprüchen erheblich sein.
7. Strafanzeige erstatten: Wer konkrete Hinweise darauf hat, dass persönliche Daten veröffentlicht oder bereits für Betrug, Identitätsmissbrauch oder andere Straftaten verwendet wurden, sollte Strafanzeige erstatten. Nach den Hinweisen des Landes Berlin kann dies über die Internetwache der Polizei Berlin oder bei jeder örtlichen Polizeidienststelle erfolgen.

Besteht ein Anspruch auf Schadensersatz?

Nach Art. 82 Abs. 1 DSGVO kann eine Person Schadensersatz verlangen, wenn ihr wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist.

Ein Schadensersatzanspruch entsteht allerdings nicht automatisch durch jeden Cyberangriff. Erforderlich sind grundsätzlich ein Verstoß gegen die DSGVO, ein materieller oder immaterieller Schaden und ein ursächlicher Zusammenhang zwischen dem Datenschutzverstoß und dem eingetretenen Schaden.

Im Fall des Berliner Datenlecks wird insbesondere zu prüfen sein, ob die verantwortlichen Stellen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO getroffen hatten, um die personenbezogenen Daten vor einem unbefugten Zugriff, einer unbefugten Offenlegung und einem Verlust der Vertraulichkeit zu schützen. Nach vorliegenden Informationen und der aktuellen Berichterstattung wurden grundlegende Vorgaben der IT-Sicherheit trotz zahlreicher Warnungen in den letzten Jahren missachtet. Ein Verstoß gegen Art. 32 DSGVO könnte daher vorliegen.

Bereits der Kontrollverlust kann einen Schaden darstellen

Für die rechtliche Beurteilung ist insbesondere das Urteil des Europäischen Gerichtshofs vom 14. Dezember 2023, Az. C-340/21, von Bedeutung. Der EuGH hat entschieden, dass die Befürchtung eines möglichen Missbrauchs personenbezogener Daten für sich genommen einen immateriellen Schaden darstellen kann. Voraussetzung ist, dass diese Befürchtung unter den konkreten Umständen als begründet angesehen werden kann.

Auch der Bundesgerichtshof hat mit Urteil vom 18. November 2024, Az. VI ZR 10/24, entschieden, dass bereits der bloße und kurzzeitige Verlust der Kontrolle über personenbezogene Daten einen immateriellen Schaden im Sinne des Art. 82 Abs. 1 DSGVO darstellen kann. Eine bereits erfolgte missbräuchliche Verwendung der Daten oder zusätzliche spürbare negative Folgen sind danach nicht in jedem Fall erforderlich.

Ob ein solcher Kontrollverlust im konkreten Fall eingetreten ist, muss individuell geprüft werden. Dafür sind insbesondere die Art der veröffentlichten Daten, deren Sensibilität, die tatsächliche Zugänglichkeit, die Dauer des Kontrollverlusts und das konkrete Missbrauchsrisiko von Bedeutung.

Welche Entschädigung ist möglich?

Die Höhe eines möglichen Schadensersatzes lässt sich nicht pauschal bestimmen. Sie hängt von den Umständen des Einzelfalls ab. Von Bedeutung können insbesondere folgende Faktoren sein:

• Art und Sensibilität der veröffentlichten Daten,
• Umfang der betroffenen Informationen,
• Veröffentlichung im Darknet,
• mögliche Offenlegung von Ausweis-, Bank- oder Zugangsdaten,
• Dauer und Intensität des Kontrollverlusts,
• konkrete Phishing- oder Betrugsversuche,
• bereits eingetretene finanzielle Schäden,
• nachvollziehbare Belastungen und Befürchtungen der betroffenen Person.

Je sensibler die veröffentlichten Daten sind und je größer das konkrete Missbrauchsrisiko ist, desto gewichtiger kann der eingetretene Kontrollverlust sein. Die genaue Höhe eines Anspruchs bleibt jedoch einer einzelfallbezogenen rechtlichen und gegebenenfalls gerichtlichen Bewertung vorbehalten.

Wer trägt die Beweislast?

Hinsichtlich der Sicherheit der Verarbeitung ist die Rechtsprechung des EuGH für Betroffene von besonderer Bedeutung. Der Verantwortliche, also hier die Berliner Verwaltung, muss nachweisen, dass die von ihm getroffenen technischen und organisatorischen Maßnahmen unter Berücksichtigung der konkreten Risiken angemessen waren.

Feststellung der Ersatzpflicht für zukünftige Schäden

Neben einem bereits bezifferbaren Schadensersatzanspruch kann im Einzelfall auch die Feststellung in Betracht kommen, dass der Verantwortliche für zukünftige materielle Schäden einzustehen hat.

Dies kann bei einem Datenleck besonders bedeutsam sein. Personenbezogene Daten, die einmal im Darknet veröffentlicht wurden, können möglicherweise noch Jahre später für Identitätsmissbrauch, Betrug oder andere Straftaten verwendet werden. Der spätere Eintritt eines finanziellen Schadens ist zum Zeitpunkt der ersten Anspruchsgeltendmachung häufig noch nicht absehbar. Ein Feststellungsantrag kann daher dazu dienen, mögliche zukünftige Schäden rechtlich abzusichern. Ob die erforderlichen Voraussetzungen vorliegen, muss für jeden Betroffenen gesondert geprüft werden.

Checkliste für Betroffene

Betroffene und möglicherweise Betroffene sollten jetzt insbesondere:

• Schreiben und E-Mails der Berliner Verwaltung sichern
• Passwörter betroffener oder mehrfach genutzter Konten ändern
• Eine Zwei-Faktor-Authentifizierung aktivieren
• Konto- und Kreditkartenbewegungen regelmäßig kontrollieren
• Unerwartete Behördennachrichten besonders kritisch prüfen
• Verdächtige Vorgänge und mögliche Schäden dokumentieren
• Bei konkretem Missbrauch Strafanzeige erstatten
• Auskunfts-, Schadensersatz- und Feststellungsansprüche rechtlich prüfen lassen

So hilft unsere Kanzlei Betroffenen weiter – Kostenfreie Ersteinschätzung

Betroffene des Datenlecks bei der Berliner Verwaltung sollten frühzeitig prüfen lassen, welche personenbezogenen Daten veröffentlicht wurden und welche rechtlichen Schritte in ihrem Fall sinnvoll sind. Unsere Kanzlei prüft kostenlos mögliche Auskunfts- und Schadensersatzansprüche nach der DSGVO. Darüber hinaus prüfen wir, ob eine Feststellung der Ersatzpflicht für zukünftige materielle Schäden in Betracht kommt. Wir vertreten insbesondere rechtsschutzversicherte Verbraucherinnen und Verbraucher und setzen ihren Anspruch auf Entschädigung durch. Auf Wunsch holen wir die Deckungszusage der Rechtsschutzversicherung ein und übernehmen den weiteren Schriftverkehr mit der Versicherung.

Jetzt unverbindliche und kostenfreie Prüfung anfordern

Sie haben Fragen? Rufen Sie uns an unter 0711 9 30 81 10 oder schreiben Sie uns über unser Kontaktformular. Weitere Informationen finden Sie auf unserer Themenseite Datenleck Schadensersatz.