1. Ein erfolgreicher Cyberangriff unter Ausnutzung einer bis dahin unbekannten Sicherheitslücke (sog. "Zero-Day-Exploit") begründet für sich genommen keinen Verstoß gegen Art. 5 Abs. 1 lit. f, Art. 24 und Art. 32 DSGVO. Maßgeblich ist, ob der Verantwortliche und der Auftragsverarbeiter ein dem Risiko angemessenes Schutzniveau durch Unterhaltung geeigneter technischer und Organisatorischer Maßnahmen im Zeitpunkt des Angriffs nachweisen können.
2. Der Einsatz einer zum Zeitpunkt des Angriffs marktführenden und zertifizierten Software (hier: MOVEit Transfer) sowie weiterer daneben unterhaltener Maßnahmen können geeignet sein, ein risikoadäquates Schutzniveau herzustellen und den Verantwortlichen von einer Haftung zu entlasten.
3. Behauptete Missbrauchsbefürchtungen ohne nachgewiesene negative Folgen für die betroffene Person infolge eines Datenlecks sind nur dann ersatzfähig, wenn diese sich nach Prüfung durch das Tatgericht als begründet angesehen werden können. Hieran fehlt es, wenn die betroffene Person keinerlei Kenntnis von den Vorgängen um den Verlust ihrer Daten hat.
Anmerkung
Die Entscheidung des SG Nürnberg (veröffentlicht in BeckRS 2026, 12741) reiht sich in die inzwischen als gefestigt zu bezeichnende Rechtsprechung (u.a. LG Trier, Urteil v. 04.04.2025 – 2 O 85/24 = GRUR-RS 2025, 28197; LG Krefeld, Urteil v. 06.11.2025 – 3 O 93/24 = BeckRS 2025, 42450; AG Duisburg, Urteil v. 13.01.2026 – 513 C 1345/25 = BeckRS 2026, 2304; LG Düsseldorf, Urteil v. 27.11.2024 – 13 O 184/24; LG Köln, Urteil v. 04.03.2025 – 32 O 123/24; LG Duisburg, Urteil v. 19.05.2025 – 1 O 92/24; LG Kleve, Urteil v. 31.10.2025 – 6 O 83/24 (letztere allesamt n.v.)) zur datenschutzrechtlichen Haftung nach dem Cyberangriff auf die Mangeged-File-Transfer-Software MOVEit Transfer des Anbieters Progress Software Corp. im Mai 2023 ein.
Dabei verweist die Kammer zutreffend auf die maßstabsbildende Rechtsprechung des EuGH v. 14.12.2023 – C-340/21 (BeckRS 2023, 35786), wonach der bloße Erfolg eines Cyberangriffs keinen haftungsbegründenden Verstoß des Verantwortlichen oder Auftragsverarbeiter gegen Artt. 24 Abs. 1 S. 1, 32 Abs. 1 DSGVO darstellt, sondern ein solcher nur dann vorliegt, wenn ein risikoadäquates Schutzniveau nicht gewährleistet wurde.
Den hierfür von dem Verantwortlichen zu führenden Nachweis sieht das Sozialgericht hinsichtlich des Einsatzes von MOVEit in dem zugrunde liegenden Fall dabei mit überzeugender Begründung als erbracht an. Dabei misst das Gericht insbesondere dem Umstand, dass die gehackte Software zum Zeitpunkt des Vorfalls im Markt als eine der marktführenden Anwendungen im Bereich Managed-File-Transferoftware etabliert war und sowohl die Software selbst als auch der Hersteller Progress im Hinblick auf die Einhaltung von IT-Sicherheitsstandards mehrfach zertifiziert waren, besondere Bedeutung bei.
Die festgestellten Umstände genügen nach Auffassung der Kammer dabei jedenfalls, um eine Exkulpation des Verantwortlichen von der Haftung gem. Art. 82 Abs. 3 DSGVO zu begründen.
Ebenso überzeugend ist auch die Begründung für die Ablehnung eines immateriellen Schadens der Klägerin wegen behaupteter Missbrauchsbefürchtungen. Den hierfür durch den Betroffenen zu führenden Nachweis sieht das Gericht deshalb als nicht erbracht an, weil sich in der mündlichen Verhandlung herausstellte, dass die acht- bzw. zum Zeitpunkt des Cyberangriffs sogar erst fünfjährige Klägerin von dem Vorfall und dem Datenverlust keinerlei Kenntnis hatte.
Die Entscheidung stärkt damit insbesondere die Rechtsposition von Verantwortlichen und Auftragsverarbeitern in den zahlreichen anhängigen Verfahren zu dem MOVEit-Inzident im Mai 2023. Die Erwägungen des SG Nürnberg lassen sich aber auch auf vergleichbare Sachverhalte zu durch Software-Schwachstellen verursachte Datenlecks übertragen und verdeutlichen, dass ein Datenabfluss keinen pauschalen Rückschluss auf eine Haftung des Verantwortlichen zulässt.
Ansprechpartner
RA Tim Brauer, LL.M.
