Cyberangriff Berlin: Bin ich betroffen – und welche Rechte habe ich?

Freitag, 4. September 2026, 15:35 Uhr: Auf der Leak-Seite der Ransomware-Gruppe Rhysida läuft der Countdown ab. Rund eine Stunde später steht ein Datenpaket von etwa 5,8 Terabyte aus dem Berliner Landesnetz im Darknet zum Download bereit. Verträge, Personalakten, Bußgeldvorgänge, IBANs, Passwörter.

Wenn Sie in den letzten Jahren Wohngeld beantragt, einen Bauantrag eingereicht, einen Bußgeldbescheid der Verkehrsverwaltung erhalten oder für das Land Berlin gearbeitet haben, stellen Sie sich jetzt vermutlich drei Fragen. Bin ich betroffen? Muss Berlin mich informieren? Und steht mir etwas zu?

Der Cyberangriff auf Berlin ist der größte bekannte Datendiebstahl in der Geschichte der Berliner Verwaltung. Dieser Ratgeber beantwortet die drei Fragen mit den exakten Rechtsgrundlagen: Art. 34 DSGVO für die Benachrichtigung, Art. 82 DSGVO für den Schadensersatz und dem Urteil des EuGH, das genau einen solchen Behörden-Hack zum Gegenstand hatte. Dazu bekommen Sie sieben Sofortmaßnahmen für heute und einen Vier-Schritte-Plan für die nächsten Wochen.

Was beim Cyberangriff auf Berlin passiert ist

Der Angriff traf zwei Senatsverwaltungen: die für Mobilität, Verkehr, Klimaschutz und Umwelt und die für Stadtentwicklung, Bauen und Wohnen. Die Täter waren nach Angaben des Landes vom 7. bis 12. August 2026 im Netz aktiv, bevor beide Verwaltungen am 14. August vom Landesnetz getrennt wurden. Das Land Berlin hat die Lösegeldforderung von 30 Bitcoin, umgerechnet rund 2 Millionen EUR, abgelehnt.

Die Chronologie stammt aus den Pressemitteilungen der Senatskanzlei und Berichten von heise und Tagesspiegel.

Welche Daten Rhysida veröffentlicht haben will

Die folgenden Zahlen stammen von der Leak-Seite der Gruppe. Das Land Berlin hat sie bislang nicht bestätigt. Sie zeigen aber, welche Personengruppen sich Sorgen machen sollten.

Hinzu kommen nach Angaben der Gruppe Unterlagen aus Bundesratsausschüssen und Schwachstellenanalysen zur Berliner Trinkwasserversorgung. Diese betreffen die öffentliche Sicherheit, nicht Ihre persönlichen Ansprüche.

Wer ist Rhysida?

Rhysida ist seit Mitte 2023 aktiv und arbeitet nach dem Modell Ransomware-as-a-Service: Die Gruppe stellt die Schadsoftware, Partner führen die Angriffe durch. Das Geschäftsmodell heißt Double Extortion. Erst werden Daten kopiert, dann Systeme verschlüsselt, dann wird mit der Veröffentlichung gedroht. Die US-Behörden CISA und FBI haben bereits im November 2023 eine Warnung zur Gruppe herausgegeben.

Bekannte Opfer sind die British Library (Oktober 2023), die Stadt Columbus in Ohio (Juli 2024, ebenfalls 30 Bitcoin gefordert, 3 Terabyte veröffentlicht) und der Flughafen Seattle-Tacoma (August 2024). In Deutschland behauptete die Gruppe im Mai 2026, Daten der Stadt Stuttgart erbeutet zu haben. Nach einer Zählung des Fachmagazins kes gab es bis Ende August 2026 über 280 dokumentierte Opfer weltweit, neun davon in Deutschland.

Bin ich vom Datenleck in Berlin betroffen?

Vom Cyberangriff auf Berlin betroffen sein kann jede Person, deren Daten zwischen etwa 2020 und August 2026 in einem Fachverfahren der beiden Senatsverwaltungen gespeichert waren. Das Land Berlin informiert Betroffene nach eigener Aussage „risikobasiert“, also nicht flächendeckend. Ob Ihre Daten dabei sind, erfahren Sie am schnellsten über eine Auskunftsanfrage nach Art. 15 DSGVO und über Leak-Checker.

Wer besonders gefährdet ist

• —

  Beschäftigte beider Verwaltungen und des IT-Dienstleisters: Personalakten, Gehaltsdaten, teils Gesundheitsdaten und Passwörter

• —

  Wohngeld-Antragsteller*innen: Die Senatsverwaltung für Stadtentwicklung verantwortet das Wohngeld-Verfahren. Anträge enthalten IBAN, Mietvertrag, Einkommensnachweise.

• —

  Personen mit Bußgeldvorgängen der Verkehrs- und Umweltverwaltung: Name, Anschrift, Kennzeichen, Tatvorwurf

• —

  Bauherren und Antragsteller*innen in Bau- und Planungsverfahren

• —

  Unternehmen und Freiberufler mit Verträgen, Rahmenvereinbarungen oder NDAs mit einer der beiden Verwaltungen

Martina R. aus Neukölln hat im Februar 2026 Wohngeld beantragt und dafür Mietvertrag, Gehaltsnachweise und ihre IBAN hochgeladen. Am 3. September liest sie, dass Bürgerdaten betroffen sein könnten, hört aber nichts von der Behörde. Ihr erster Schritt ist keine Klage, sondern eine Auskunftsanfrage nach Art. 15 DSGVO. Die Antwort muss innerhalb eines Monats kommen (Art. 12 Abs. 3 DSGVO) und wird später zum wichtigsten Beweisstück, falls sie Schadensersatz verlangt.

So prüfen Sie es selbst

1. 1.

   Leak-Checker nutzen. Der Identity Leak Checker des Hasso-Plattner-Instituts meldet Ihnen, ob Ihre E-Mail-Adresse in bekannten Datenlecks auftaucht. Die Berlin-Daten werden dort erst nach und nach eingepflegt, prüfen Sie also in den nächsten Wochen erneut.

2. 2.

   Auskunft nach Art. 15 DSGVO verlangen. Richten Sie die Anfrage an die Senatsverwaltung, mit der Sie zu tun hatten, und fragen Sie ausdrücklich, ob Ihre Daten von dem Vorfall vom August 2026 betroffen sind. Eine Vorlage für die Auskunftsanfrage nach Art. 15 DSGVO finden Sie in unserem Ratgeber.

3. 3.

   Behördenpost aufheben. Jedes Schreiben des Landes zu dem Vorfall ist ein Beleg für die Betroffenheit.

Was Sie jetzt sofort tun sollten

Diese sieben Schritte nach dem Cyberangriff auf Berlin entsprechen den Empfehlungen des BSI und der Berliner Datenschutzbeauftragten. Sie kosten Sie eine Stunde und schließen die Türen, die Kriminelle jetzt als Erstes aufstoßen.

1. 1.

   Passwörter ändern, die Sie gegenüber einer Berliner Behörde verwendet haben oder die Sie mehrfach nutzen. Beschäftigte: alle dienstlichen Zugänge, auch die zu externen Fachverfahren.

2. 2.

   Zwei-Faktor-Authentisierung aktivieren für E-Mail, Online-Banking und Behördenkonten.

3. 3.

   Kontoauszüge prüfen, wenn Ihre IBAN in einem Antrag oder Vertrag stand. Widersprechen Sie unbekannten Lastschriften innerhalb von acht Wochen bei Ihrer Bank.

4. 4.

   Anrufe und E-Mails misstrauisch behandeln. Der Senat warnt Beschäftigte ausdrücklich vor Anrufen, bei denen Täter mit echten Details aus den Akten oder KI-generierten Stimmen arbeiten. Rufen Sie die Behörde über die offizielle Nummer zurück.

5. 5.

   Erpressungsmails ignorieren und sichern. Der CCC-Sprecher Joachim Selzer erwartet Mails, die mit echten Dokumenten aus dem Leak „beweisen“, dass Ihr Rechner gehackt sei. Nicht zahlen, Screenshot machen, zur Anzeige mitnehmen.

6. 6.

   Strafanzeige erstatten über die Internetwache der Polizei Berlin, sobald Sie wissen, dass Ihre Daten veröffentlicht oder missbraucht wurden. Das empfiehlt auch das Land selbst. In Betracht kommen §§ 202a, 303b und 253 StGB.

7. 7.

   Schufa-Selbstauskunft einholen, wenn Ausweiskopie oder Gehaltsdaten betroffen sein könnten. So erkennen Sie Verträge, die jemand in Ihrem Namen abschließt.

Muss Berlin mich über das Datenleck informieren?

Ja, wenn für Sie nach dem Cyberangriff auf Berlin voraussichtlich ein hohes Risiko besteht. Art. 34 Abs. 1 DSGVO verpflichtet den Verantwortlichen, Betroffene „unverzüglich“ zu benachrichtigen, sobald eine Datenschutzverletzung ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat. Bei Klartext-Passwörtern, IBANs, Ausweiskopien und Gesundheitsdaten ist dieses Risiko in der Regel gegeben.

Die Ankündigung des Landes, Betroffene „risikobasiert, entsprechend der gesetzlichen Vorgaben der DSGVO und des Berliner Datenschutzgesetzes“ zu informieren, ist genau diese Art.-34-Prüfung. Das Land sortiert die 1,44 Millionen Dateien danach, für wen das Risiko hoch ist. Wer nur mit einer E-Mail-Adresse in einer Verteilerliste steht, wird möglicherweise nicht persönlich angeschrieben.

Zwei Einschränkungen sollten Sie kennen. Erstens erlaubt Art. 34 Abs. 3 lit. c DSGVO eine öffentliche Bekanntmachung statt Einzelbenachrichtigung, wenn der Aufwand unverhältnismäßig wäre. Die Pressemitteilungen vom 3. September könnte das Land später als solche Bekanntmachung werten.

Zweitens läuft parallel die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO, die binnen 72 Stunden erfolgen muss. Das Land gibt an, die Berliner Beauftragte für Datenschutz und Informationsfreiheit fortlaufend zu informieren.

Wenn Sie keine Benachrichtigung erhalten, aber Grund zur Annahme haben, betroffen zu sein, hilft die Auskunftsanfrage nach Art. 15 DSGVO. Bleibt sie unbeantwortet oder ausweichend, können Sie Beschwerde bei der Berliner Datenschutzbeauftragten nach Art. 77 DSGVO einlegen. Das kostet nichts und erzeugt Aktenlage. Welche Rechte Ihnen die DSGVO darüber hinaus gibt, erklärt der Ratgeber Datenschutz im Alltag.

Datenleck Schadensersatz: Was Betroffenen nach Art. 82 DSGVO zusteht

Der Anspruch aus Art. 82 Abs. 1 DSGVO richtet sich gegen den Verantwortlichen, hier das Land Berlin, vertreten durch die jeweilige Senatsverwaltung. Dass beim Cyberangriff auf Berlin ein Land und keine Firma gehackt wurde, ändert am Anspruch nichts. Drei Voraussetzungen müssen vorliegen: ein Verstoß gegen die DSGVO, ein Schaden und ein ursächlicher Zusammenhang.

Warum ein Hackerangriff das Land nicht entlastet

Genau diese Konstellation hat der EuGH bereits entschieden. Im Verfahren C-340/21 vom 14. Dezember 2023 ging es um den Hack der bulgarischen Finanzbehörde mit sechs Millionen Betroffenen. Die Kernaussagen übertragen sich eins zu eins auf Berlin:

• —

  Ein Angriff Dritter beweist für sich allein nicht, dass die Sicherheitsmaßnahmen des Verantwortlichen ungeeignet waren.

• —

  Die Beweislast dafür, dass die Maßnahmen nach Art. 32 DSGVO angemessen waren, trägt aber der Verantwortliche, nicht Sie.

• —

  Der Verantwortliche kann sich nach Art. 82 Abs. 3 DSGVO nicht allein deshalb entlasten, weil Kriminelle den Schaden verursacht haben. Er muss nachweisen, dass er „in keinerlei Hinsicht“ verantwortlich ist.

• —

  Schon die Befürchtung, dass die Daten künftig missbraucht werden, kann ein ersatzfähiger immaterieller Schaden sein.

Für Berlin heißt das: Das Land muss darlegen, warum Passwörter im Klartext in Office-Dokumenten lagen und warum Angreifer fünf Tage unbemerkt Daten kopieren konnten. Ob das gelingt, entscheiden die Gerichte. Die Ausgangslage für Betroffene ist nach dem EuGH-Urteil jedenfalls günstiger, als viele Ratgeber vermuten lassen.

Welcher Schaden zählt

Seit dem Urteil des BGH vom 18. November 2024 (VI ZR 10/24) genügt der bloße Kontrollverlust über die eigenen Daten als immaterieller Schaden. Sie müssen keinen konkreten Missbrauch nachweisen. Der EuGH hat zudem jede Bagatellgrenze verworfen (C-300/21).

Rein hypothetische Ängste ohne Anhaltspunkte reichen allerdings nicht (C-687/21). Bei Daten, die nachweislich im Darknet stehen, ist die Befürchtung aber nicht hypothetisch, sondern begründet.

Jonas M. arbeitet als Sachbearbeiter in der Verkehrsverwaltung. Seine Personalakte und drei Gehaltsabrechnungen liegen nach seiner Auskunftsanfrage im veröffentlichten Paket. Am 6. September ruft ihn eine angebliche IT-Kollegin an und nennt seine Personalnummer. Er legt auf, dokumentiert den Anruf und meldet ihn. Sein Schaden umfasst damit den Kontrollverlust, die begründete Missbrauchsbefürchtung und einen dokumentierten Täuschungsversuch. Das ist eine deutlich stärkere Position als „nur“ eine E-Mail-Adresse im Leak.

Realistische Höhe

Der BGH nennt für den reinen Kontrollverlust einen Richtwert von rund 100 EUR. Höhere Beträge setzen sensible Daten oder konkrete Folgen voraus. Die Spannen aus der BGH- und OLG-Rechtsprechung:

Die vollständige Höhe-Tabelle mit Fundstellen und eine Vorlage für das Anspruchsschreiben finden Sie im Ratgeber DSGVO-Schadensersatz nach Art. 82 im Detail. Versprechen Sie sich keine fünfstelligen Summen. Wer Ihnen „bis zu 5.000 EUR garantiert“, will meist eine Provision.

So machen Sie den Anspruch geltend

1. 1.

   Auskunft nach Art. 15 DSGVO einholen und die Antwort aufbewahren. Ohne Nachweis der Betroffenheit gibt es keinen Anspruch.

2. 2.

   Anspruchsschreiben an die zuständige Senatsverwaltung mit Fristsetzung von vier Wochen. Nennen Sie Art. 82 DSGVO, EuGH C-340/21 und BGH VI ZR 10/24, beschreiben Sie die betroffenen Daten und Ihre Befürchtungen konkret. Den Ablauf erklärt unser Ratgeber Schadensersatz fordern.

3. 3.

   Beschwerde bei der Berliner Datenschutzbeauftragten nach Art. 77 DSGVO, parallel zum Schreiben. Die Aufsichtsbehörde kann Bußgelder gegen das Land zwar nicht verhängen, ihre Feststellungen zu Art. 32 DSGVO sind vor Gericht aber wertvoll.

4. 4.

   Klage vor dem Zivilgericht, wenn das Land nicht zahlt. Ansprüche nach Art. 82 DSGVO gegen Behörden gehören nach § 40 Abs. 2 S. 1 VwGO vor die ordentlichen Gerichte, nicht vor das Verwaltungsgericht. Das haben zuletzt das VG Osnabrück (12. Dezember 2025, 7 A 230/25) und das VG Düsseldorf (23. März 2026, 29 K 2876/26) bestätigt. Bis 10.000 EUR Streitwert ist seit dem 1. Januar 2026 das Amtsgericht zuständig, dort besteht kein Anwaltszwang.

Die Verjährung beträgt drei Jahre und beginnt mit dem Ende des Jahres, in dem Sie von Ihrer Betroffenheit erfahren (§§ 195, 199 Abs. 1 BGB). Wer im September 2026 Kenntnis erlangt, kann bis zum 31. Dezember 2029 klagen. Mehr dazu im Ratgeber zur Verjährung im Zivilrecht; den Stichtag für Ihren Fall rechnet der Verjährungsrechner aus. Eile ist also nicht nötig, Beweissicherung schon.

Für Kanzleien: Mandate aus dem Berlin-Leak prüfen

Für Anwält*innen ist der Cyberangriff auf Berlin ein Massenfall mit individuellem Prüfbedarf. Die Anspruchsgrundlage ist bei allen Mandaten dieselbe, die Schadenshöhe hängt aber von der Datenkategorie, der Reaktion der Behörde und dokumentierten Folgen ab. Wer jede Anfrage von Hand prüft, verliert pro Mandat schnell eine Stunde für dieselbe Subsumtion.

Rechtsanwältin Nadine S. aus Charlottenburg bekam zwischen dem 1. und 4. September 38 Anfragen von Landesbeschäftigten und Wohngeld-Empfängern. Sie hat sich ein Prüfschema gebaut: Datenkategorie laut Auskunft, Nachweis der Veröffentlichung, konkrete Folgen, Vorschäden. Die Subsumtion unter Art. 82 DSGVO mit der aktuellen EuGH- und BGH-Linie lässt sie als Gutachten-Entwurf erstellen und passt nur die Sachverhaltsschilderung an. So bleiben pro Mandat 20 Minuten statt einer Stunde.

Drei Punkte verdienen bei Berlin-Mandaten besondere Aufmerksamkeit:

• —

  Beweislast nach C-340/21 aktiv einfordern: Verlangen Sie im Anspruchsschreiben die Darlegung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

• —

  Beschäftigte unterliegen der strengeren BAG-Linie vom 20. Februar 2025: Die Missbrauchsbefürchtung muss begründet und gerichtlich überprüfbar sein. Dokumentierte Täuschungsanrufe sind hier Gold wert.

• —

  Rechtsweg vorab klären und die Klage direkt beim Amts- oder Landgericht einreichen, um eine Verweisung nach § 17a GVG zu vermeiden.

Lulius für Kanzleien: Subsumtion nach Art. 82 DSGVO mit der aktuellen EuGH- und BGH-Linie als Gutachten-Entwurf, die Rechtsprechung dazu direkt verlinkt und prüfbar. Kanzlei-Suite kostenlos testen.

Cyberangriff Berlin: häufige Fragen und Antworten

Sind meine Daten wirklich im Darknet?

Sicher wissen Sie es nach dem Cyberangriff auf Berlin erst durch eine Benachrichtigung des Landes oder eine Auskunft nach Art. 15 DSGVO. Die Veröffentlichung am 4. September 2026 ist belegt, der genaue Inhalt wird noch analysiert. Laden Sie das Paket nicht selbst herunter, der Besitz fremder Zugangsdaten und Personalakten kann strafbar sein.

Bekomme ich automatisch Geld vom Land Berlin?

Nein. Art. 82 DSGVO gibt Ihnen einen Anspruch, den Sie geltend machen müssen. Ohne Anspruchsschreiben und notfalls Klage zahlt niemand. Sammelverfahren oder Legal-Tech-Anbieter nehmen Ihnen das ab, behalten aber in der Regel 25 bis 35 Prozent der Summe.

Gilt das auch für Beschäftigte des Landes?

Ja, und für sie oft mit höheren Beträgen, weil Personalakten und Gehaltsdaten sensibler sind als eine E-Mail-Adresse. Beschäftigte sollten den Personalrat einschalten und die vom Land angebotene Beratung nutzen, bevor sie eigene Ansprüche stellen.

Was ist, wenn ich nur eine Bußgeld-Akte hatte?

Ein Bußgeldvorgang enthält Name, Anschrift, Kennzeichen und Tatvorwurf. Das ist mehr als eine Kontaktangabe und rechtfertigt nach der OLG-Linie Beträge im mittleren Bereich, vor allem wenn Sie eine Erpressungs- oder Bloßstellungsgefahr darlegen können.

Muss ich einen Anwalt beauftragen?

Für die Auskunft, das Anspruchsschreiben und die Beschwerde nicht. Für eine Klage am Amtsgericht bis 10.000 EUR ebenfalls nicht. Bei Identitätsdiebstahl mit Vermögensschaden oder bei einer Klage vor dem Landgericht sollten Sie eine Fachanwältin oder einen Fachanwalt für IT-Recht einschalten.

Fazit: Ihre Rechte nach dem Cyberangriff auf Berlin

Der Cyberangriff auf Berlin ist seit dem 4. September 2026 kein abstraktes Risiko mehr, sondern ein veröffentlichtes Datenpaket. Das Wichtigste in Kürze:

• —

  Betroffenheit klären mit Leak-Checker und Auskunft nach Art. 15 DSGVO, Antwortfrist ein Monat (Art. 12 Abs. 3 DSGVO)

• —

  Sofort schützen: Passwörter, Zwei-Faktor, Kontoauszüge, Vorsicht bei Anrufen, Strafanzeige über die Internetwache

• —

  Benachrichtigung steht Ihnen bei hohem Risiko nach Art. 34 DSGVO zu; das Land prüft „risikobasiert“

• —

  Schadensersatz nach Art. 82 DSGVO ist möglich; der Hackerangriff entlastet das Land nicht automatisch (EuGH C-340/21), der Kontrollverlust genügt als Schaden (BGH VI ZR 10/24)

• —

  Richtwert 100 EUR für Kontaktdaten, 500 bis 3.000 EUR für Personal-, Bußgeld- und Gesundheitsdaten

• —

  Rechtsweg Zivilgericht, bis 10.000 EUR das Amtsgericht ohne Anwaltszwang, Verjährung Ende 2029

Sichern Sie heute die Beweise und stellen Sie die Auskunftsanfrage. Ob und in welcher Höhe sich ein Anspruch lohnt, zeigt Ihnen Lulius in zwei Minuten: Jetzt Ihren Fall prüfen – ab 4,99 EUR pro Frage. Über 4.600 Bundesgesetze, exakte Verweise, verifizierbare Zitate. Sie müssen diesen Vorfall nicht hinnehmen, Sie müssen nur den ersten Schritt gehen.