Datenleck Berliner Senat: Welche Rechte Betroffene haben

Wer von dem Hackerangriff auf zwei Berliner Senatsverwaltungen betroffen ist, muss nicht abwarten, bis sich die Behörde meldet. Das wichtigste Instrument ist der Auskunftsanspruch aus Art. 15 DSGVO, mit dem sich innerhalb eines Monats klären lässt, welche eigenen Daten verarbeitet und vom Vorfall erfasst wurden. Daneben steht ein Schadensersatzanspruch aus Art. 82 DSGVO – für den reinen Kontrollverlust allerdings nur in einer Größenordnung von rund 100 Euro. Deutlich wichtiger ist für die meisten Betroffenen der praktische Schutz vor Identitätsdiebstahl und Phishing.

Die wichtigsten Eckdaten des Falls auf einen Blick:

• Betroffene Stellen: zwei Senatsverwaltungen des Landes Berlin
• Angriffszeitraum: nach derzeitigem Stand 7. bis 12. August 2026
• Umfang: rund 1,44 Millionen Dateien beziehungsweise etwa 5,8 Terabyte
• Täter: die Ransomware-Gruppe Rhysida, die die Daten im Darknet veröffentlicht hat

Was in Berlin passiert ist

Angegriffen wurden zwei Senatsverwaltungen des Landes Berlin, klassisch mit Ransomware – also Verschlüsselung der Systeme plus Erpressung. Nach derzeitigem Kenntnisstand hat sich der Angriff zwischen dem 7. und dem 12. August 2026 ereignet. Das Muster ist aus zahlreichen Fällen der vergangenen Jahre bekannt: Bevor die Systeme lahmgelegt werden, ziehen die Angreifer Daten ab; zahlt die betroffene Stelle nicht, landen die Dateien im Darknet. Genau das ist hier geschehen. Nach Berichten unter anderem des Tagesspiegel Background handelt es sich um rund 1,44 Millionen Dateien beziehungsweise etwa 5,8 Terabyte, die von der Gruppe Rhysida veröffentlicht wurden; auch Die Zeit, die Berliner Zeitung und CHIP berichteten über den Umfang des Leaks.

Die Menge ist dabei nicht das eigentliche Problem, sondern die Art der Dokumente. Es geht nicht um ein paar E-Mails, sondern um Personalakten, Verträge, Finanzunterlagen und Vorgänge mit Namen, Adressen und Bankverbindungen. Die Tagesschau berichtete über Arbeitszeugnisse, Personalakten und Betriebsunterlagen im Datensatz. Der Chaos Computer Club warnte gegenüber heise online zudem davor, dass in einem Landesdatenbestand auch Straf- und Bußgeldakten stecken.

In einer Ermittlungsakte finden sich Geburtsdatum, Familienstand, teilweise Einkommen und Mobilfunknummern – und je nach Vorwurf hochsensible Informationen. Bei einer Geschwindigkeitsüberschreitung mag das verkraftbar sein; bei Alkohol oder Drogen am Steuer, Gewaltdelikten oder persönlichem Fehlverhalten kann eine Veröffentlichung erhebliche Folgen haben.

“TerminalFix”: Der vom BSI benannte Angriffsvektor

Das Bundesamt für Sicherheit in der Informationstechnik hat inzwischen den ersten Angriffsvektor erklärt und dabei die sogenannte TerminalFix-Kampagne beschrieben. Dabei wird Nutzern im Browser eine vermeintliche Captcha-Abfrage nach dem Muster “Ich bin kein Roboter” vorgespielt. Wer den angezeigten Schritten folgt, kopiert am Ende Befehle in das Windows-Terminal – und öffnet damit den Weg in die Infrastruktur. Das ist kein exotischer Einzelfall, sondern eine Lücke in einem Produkt, das an vielen Stellen im Einsatz ist. Wer als kleines Unternehmen oder als Freiberufler Fernzugriffs- oder Terminalsoftware nutzt, sollte die Warnmeldung des BSI daher nicht als bloßes Rauschen abtun.

Neu ist das Grundmuster nicht. Vergleichbare Vorfälle gab es bereits in anderen Zusammenhängen:

• die Citrix-Schwachstellen,
• der Datenabfluss über MoveIt,
• der Angriff auf die Südwestfalen-IT, in dessen Folge über 70 Kommunen wochenlang lahmgelegt waren.

Der Berliner Fall ist vor allem wegen der Menge und der Breite der betroffenen Dokumentenarten besonders weitreichend. Wie schnell Datenschutzverstöße auch im Alltag entstehen, zeigt der Überblick zu typischen Datenschutzverletzungen und ihren Bußgeldern.

Welche Pflichten die Behörde trifft – und was die Anlaufstelle leisten kann

Die DSGVO gilt für Behörden genauso wie für Meta oder die Deutsche Post. Der Verantwortliche muss den Vorfall binnen 72 Stunden der Aufsichtsbehörde melden – hier der Berliner Beauftragten für Datenschutz und Informationsfreiheit, die für Meldungen ein eigenes Portal betreibt. Dass das Land Berlin damit im Ergebnis sich selbst meldet, ist rechtlich sauber, weil es um verschiedene verantwortliche Stellen geht, wirkt eine Ebene höher gedacht aber schief. Besteht ein hohes Risiko für die Betroffenen – und das ist bei Personaldaten und Verfahrensakten regelmäßig der Fall –, müssen nach Art. 34 DSGVO auch die Betroffenen selbst benachrichtigt werden.

Berlin plant stattdessen zunächst eine Anlaufstelle für Bürgerinnen und Bürger mit E-Mail-Adresse und Telefonhotline; auch über diese geplante Kontaktstelle wurde in der Presse berichtet. Ob eine Hotline die individuelle Benachrichtigungspflicht ersetzen kann, ist zweifelhaft – zumal unklar bleibt, welche Auskunft dort überhaupt erteilt werden soll, denn telefonisch wird kaum jemand bestätigen, ob ein konkreter Bußgeldbescheid im Leak steckt. Dass sich der Senat zusätzlich externe anwaltliche Unterstützung holt und die Landesdatenschutzbeauftragte beratend einbindet, beantwortet die Frage nach den Betroffenenrechten ebenfalls nicht.

Auskunft nach Art. 15 DSGVO ist das schärfste Werkzeug

„Betroffene sind nicht auf das Wohlwollen oder das Zutun der Behörde angewiesen“, sagt Tim Platner von VINQO. „Mit dem Auskunftsanspruch aus Art. 15 DSGVO haben sie ein eigenes Instrument in der Hand, das unabhängig davon wirkt, ob der Verantwortliche von sich aus tätig wird.“

Mit dem Antrag nach Art. 15 DSGVO lässt sich klären, welche Daten überhaupt verarbeitet wurden und ob sie vom Vorfall betroffen sind. Grundsätzlich muss die Behörde innerhalb eines Monats antworten; eine gewisse Verlängerung wird man in dieser Lage zubilligen müssen, ein dauerhaftes Schweigen jedoch nicht.

Dass Auskunftsansprüche gegenüber öffentlichen Stellen mitunter erst gerichtlich durchgesetzt werden müssen, zeigt die Praxis: In einem vergleichbaren Fall gegen das Land Brandenburg musste die vollständige Auskunft vor dem Verwaltungsgericht eingeklagt werden – erst dann kamen die vollständigen Personalaktenbestände auf den Tisch, deren Umfang selbst den Mandanten überraschte. Für Beschäftigte und Beamte des Landes Berlin ist der Auskunftsantrag deshalb besonders wichtig.

So wird eine vollständige Auskunft geltend gemacht

Der Antrag ist an keine bestimmte Form gebunden. Eine E-Mail an die zuständige Senatsverwaltung oder an deren Datenschutzbeauftragten genügt; ein Einwurf-Einschreiben erleichtert später allerdings den Nachweis des Zugangs und damit den Fristbeginn. Begründen muss man das Verlangen nicht – die DSGVO knüpft die Auskunft an keinen bestimmten Zweck, und die erste Auskunft ist kostenfrei zu erteilen. Wichtig ist nur, dass die Behörde die anfragende Person eindeutig zuordnen kann: Name, Geburtsdatum und Anschrift gehören in das Schreiben, dazu – soweit vorhanden – Personalnummer, Aktenzeichen oder Vorgangsnummer. Ein Ausweisdokument muss nicht unaufgefordert beigefügt werden; verlangt die Stelle bei berechtigten Zweifeln einen Identitätsnachweis, reicht in der Regel eine Kopie, auf der alle nicht benötigten Angaben geschwärzt sind.

Wer lediglich pauschal “Auskunft nach der DSGVO” verlangt, bekommt erfahrungsgemäß eine Kurzmitteilung, die kaum mehr enthält als die Bestätigung, dass Daten verarbeitet werden. Deshalb sollte ausdrücklich unbeschränkte Auskunft nach Art. 15 Abs. 1 DSGVO verlangt und jeder dort genannte Punkt einzeln aufgeführt werden:

• sämtliche verarbeiteten personenbezogenen Daten,
• die Zwecke der Verarbeitung,
• die Kategorien der verarbeiteten Daten,
• die Empfänger oder Kategorien von Empfängern, einschließlich solcher in Drittländern oder bei internationalen Organisationen,
• die geplante Speicherdauer beziehungsweise die Kriterien für ihre Festlegung,
• das Bestehen der Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch,
• alle verfügbaren Informationen zur Herkunft der Daten, soweit sie nicht bei der betroffenen Person erhoben wurden,
• das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling nebst Angaben zur involvierten Logik und zur Tragweite einer solchen Verarbeitung.

Diese Aufzählung ist keine Förmelei: Sie macht es der Behörde schwer, einzelne Punkte stillschweigend zu übergehen, und sie liefert später den Maßstab, an dem sich die Vollständigkeit der Antwort messen lässt.

Genauso wichtig ist die ausdrückliche Anforderung einer vollständigen Kopie aller verarbeiteten personenbezogenen Daten nach Art. 15 Abs. 3 DSGVO. Wer nur nach den Informationen aus Absatz 1 fragt, erhält im Zweifel auch nur eine Aufstellung; erst die Kopie bringt die Dokumente selbst – also Personalakte, Vermerke, Schriftwechsel, Bescheide – auf den Tisch und damit die Grundlage für jede weitere Prüfung. Sinnvoll ist der Hinweis, dass die Kopie in einem gängigen elektronischen Format übermittelt werden soll, wenn der Antrag elektronisch gestellt wurde.

Entscheidend für diesen Fall ist schließlich der Vorfallbezug. Ein Standardschreiben beschreibt nur allgemein die eigene Datenverarbeitung; die zusätzliche Frage nach dem Datenbestand auf den angegriffenen Systemen zwingt die Behörde dagegen dazu, sich zum konkreten Angriff zu erklären. Konkret sollte um Auskunft gebeten werden, welche personenbezogenen Daten im Zeitraum vom 7. bis zum 12. August 2026 – dem Zeitraum, in dem sich der Angriff nach derzeitigem Stand ereignet hat – auf den betroffenen Systemen gespeichert waren und welche davon abgeflossen oder veröffentlicht worden sind. Da sich der Umfang solcher Vorfälle erfahrungsgemäß erst nach und nach klärt, sollte das Verlangen zugleich ausdrücklich erweitert werden: Soweit auch vor dem 7. August 2026 oder nach dem 12. August 2026 ein unbefugter Zugriff erfolgt ist, erstreckt sich das Auskunftsersuchen auch hierauf. Ergänzend empfiehlt sich die Bitte, mitzuteilen, auf welchen Zeitraum die Behörde den Vorfall selbst datiert und ob weitere Kompromittierungen bekannt geworden sind. Das nimmt der Stelle die Möglichkeit, sich auf einen eng definierten Zeitpunkt zurückzuziehen.

Zum Schluss gehört eine Frist in das Schreiben: einen Monat ab Zugang, wie es Art. 12 Abs. 3 DSGVO vorsieht. Eine Verlängerung um bis zu zwei weitere Monate ist zwar möglich, muss aber begründet und innerhalb des ersten Monats mitgeteilt werden – ein bloßes Schweigen genügt dafür nicht. Das Schreiben sollte datiert, eine Kopie zu den eigenen Unterlagen genommen und der Fristablauf notiert werden. Wer diese drei Elemente – vollständige Auskunft nach Absatz 1, Datenkopie nach Absatz 3 und konkreter Bezug auf den Angriffszeitraum – zusammenführt, hat ein Auskunftsverlangen, das sich im Zweifel auch gerichtlich durchsetzen lässt.

Musterschreiben für den Auskunftsantrag

Damit aus diesen Anforderungen kein Bastelprojekt wird, folgt hier ein Text, der sich unmittelbar verwenden lässt. Die eckigen Klammern sind auszufüllen oder zu streichen; alles Übrige kann so stehen bleiben.

Absender: [Vorname Name], [Straße, Hausnummer], [PLZ, Ort], geboren am [Geburtsdatum], [ggf. Personalnummer / Aktenzeichen / Vorgangsnummer]

Empfänger: An die Senatsverwaltung für [Bezeichnung], – Behördliche Datenschutzbeauftragte / Behördlicher Datenschutzbeauftragter –, [Anschrift]

Ort und Datum: [Ort], den [Datum]

Betreff: Auskunftsersuchen nach Art. 15 DSGVO, auch mit Bezug auf den Cyberangriff im August 2026

Sehr geehrte Damen und Herren,

hiermit mache ich mein Recht auf Auskunft nach Art. 15 DSGVO geltend und bitte um unbeschränkte Auskunft über sämtliche mich betreffenden personenbezogenen Daten, die Sie verarbeiten.

Ich bitte insbesondere um Mitteilung sämtlicher verarbeiteter personenbezogener Daten zu meiner Person, der Verarbeitungszwecke, der Kategorien der verarbeiteten Daten, der Empfänger oder Kategorien von Empfängern – einschließlich solcher in Drittländern oder bei internationalen Organisationen –, der geplanten Speicherdauer beziehungsweise der Kriterien für deren Festlegung, des Bestehens meiner Rechte auf Berichtigung, Löschung, Einschränkung der Verarbeitung und Widerspruch, aller verfügbaren Informationen zur Herkunft der Daten, soweit diese nicht bei mir erhoben wurden, sowie des Bestehens einer automatisierten Entscheidungsfindung einschließlich Profiling nebst Angaben zur involvierten Logik und zur Tragweite einer solchen Verarbeitung.

Darüber hinaus verlange ich nach Art. 15 Abs. 3 DSGVO eine vollständige Kopie aller mich betreffenden personenbezogenen Daten, einschließlich der zugrunde liegenden Dokumente wie Personalakte, Vermerke, Schriftwechsel und Bescheide. Da ich dieses Ersuchen elektronisch übermittle, bitte ich um Übermittlung in einem gängigen elektronischen Format.

Mit Blick auf den Cyberangriff auf Berliner Senatsverwaltungen bitte ich zusätzlich um Auskunft darüber, welche mich betreffenden personenbezogenen Daten im Zeitraum vom 7. bis zum 12. August 2026 auf den betroffenen Systemen gespeichert waren und welche dieser Daten unbefugt abgeflossen oder veröffentlicht worden sind. Soweit auch vor dem 7. August 2026 oder nach dem 12. August 2026 ein unbefugter Zugriff erfolgt ist, erstreckt sich mein Auskunftsersuchen ausdrücklich auch hierauf. Bitte teilen Sie mir außerdem mit, auf welchen Zeitraum Sie den Vorfall datieren und ob Ihnen weitere Kompromittierungen bekannt geworden sind.

Für die Erteilung der Auskunft setze ich Ihnen eine Frist von einem Monat ab Zugang dieses Schreibens (Art. 12 Abs. 3 DSGVO). Sollten Sie eine Verlängerung in Anspruch nehmen wollen, bitte ich um begründete Mitteilung innerhalb dieser Frist.

Mit freundlichen Grüßen

[Unterschrift / Name]

Beim Versand sind drei Punkte zu beachten:

• Nachweis sichern: Wer das Schreiben per E-Mail versendet, sollte sich eine Kopie an die eigene Adresse schicken und die Sendung archivieren; beim Versand per Post ist das Einwurf-Einschreiben die einfachere Nachweisvariante.
• Identitätsnachweis: Verlangt die Behörde einen solchen, genügt in aller Regel eine Ausweiskopie mit geschwärzten, für die Zuordnung nicht erforderlichen Angaben.
• Mehrere Stellen getrennt anschreiben: Wer mit mehreren Stellen zu tun hatte – etwa als Beschäftigter der einen und als Verfahrensbeteiligter der anderen Senatsverwaltung –, sollte den Text an jede verantwortliche Stelle einzeln senden, weil jede von ihnen ihre eigene Auskunft schuldet.

Was Schadensersatz realistisch bringt

Art. 82 DSGVO gibt einen Anspruch auf immateriellen Schadensersatz, und zwar ohne Bagatellgrenze. Der BGH hat in der Facebook-Scraping-Entscheidung vom 18.11.2024 (VI ZR 10/24) allerdings eine Größenordnung genannt, die überzogene Erwartungen dämpft; die Bundesrechtsanwaltskammer fasste sie mit rund 100 Euro für den bloßen Kontrollverlust zusammen. „Für das reine Gefühl, die Kontrolle über die eigenen Daten verloren zu haben, ohne dass konkrete Folgen eingetreten sind, bewegt sich das Schmerzensgeld etwa in dieser Größenordnung“, ordnet Tim Platner ein.

Anders sieht es aus, wenn vertrauliche Personalakten mit Gesundheitsdaten oder Bewertungen des Führungsverhaltens im Netz landen – dort geht es um ein vollständiges Profil mit erheblichem Missbrauchspotenzial. Neben der DSGVO kommt die Amtshaftung nach Art. 34 GG in Betracht; sie ist in der Praxis deutlich schwerer durchzusetzen, kann bei größeren Vermögensschäden aber eine zweite Schiene sein. Dass ein Verantwortlicher sich nach einem Hackerangriff nicht automatisch entlasten kann, hat auch der EuGH in der Entscheidung C-340/21 klargestellt.

Was jetzt konkret zu tun ist

Wichtiger als die Schadensersatzsumme ist für die meisten die Schadensbegrenzung. Wer in den letzten Jahren mit einer Berliner Senatsverwaltung zu tun hatte – als Beschäftigter, in einem Verfahren, über einen Vertrag oder eine Förderung –, sollte davon ausgehen, dass eigene Daten betroffen sein könnten, auch ohne Anschreiben. In dieser Reihenfolge ist vorzugehen:

1. Passwörter ändern, soweit sie möglicherweise im Klartext gespeichert waren.
2. Mit Phishing rechnen: Wer echte Aktenzeichen, Vorgangsnummern und Sachbearbeiternamen besitzt, kann äußerst überzeugende Schreiben und Mails automatisiert erzeugen. Platners Rat dazu ist klar: „Links aus solchen Nachrichten sollte man grundsätzlich nie anklicken und im Zweifel bei der Behörde anrufen – aber nicht unter der Nummer, die im Schreiben steht, sondern unter einer selbst recherchierten.“
3. Auskunftsschreiben an die Senatsverwaltung senden, datiert und mit Kopie zu den eigenen Unterlagen.
4. Beschwerde bei der Datenschutzaufsicht: Bleibt eine Reaktion aus oder fällt die Antwort dünn aus, ist eine kostenfreie Beschwerde bei der Berliner Datenschutzaufsicht möglich.
5. Strafanzeige erstatten, wenn tatsächlich Geld abgeflossen ist oder im eigenen Namen gehandelt wurde – die Anzeige wirkt gegenüber Bank und Inkasso zugleich als Beleg dafür, dass man sich wehrt.

Die Verjährung beträgt grundsätzlich drei Jahre; je früher die Unterlagen zusammenliegen, desto besser die Ausgangslage.