Veröffentlicht am 17.07.2026
3.000 Euro Schmerzensgeld – so viel forderte eine Familie von ihrer Krankenkasse, nachdem persönliche Daten ihres Kindes bei einem Cyberangriff abgeflossen waren. Das Sozialgericht Nürnberg wies die Klage am 10. Juni 2026 vollumfänglich ab (Az. S 5 SF 65/24 DS). Die Begründung ist für jeden Unternehmer mit Website und Datenverarbeitung von zentraler Bedeutung: Wer marktübliche Schutzmaßnahmen einsetzt, diese sauber dokumentiert und zeitnah patcht, haftet auch bei einem erfolgreichen Angriff in der Regel nicht auf Schadensersatz.
Damit reiht sich das Urteil in eine Serie gleichlautender Entscheidungen deutscher Gerichte ein – und liefert eine klare Orientierung, was die DSGVO von Ihnen wirklich verlangt. Wir erklären, was passiert ist, wer betroffen ist und was Sie jetzt konkret tun sollten.
Am 31. Mai 2023 nutzte die international bekannte Cybercrime-Gruppe Cl0p (auch als TA505 bezeichnet) eine bis dahin unbekannte Sicherheitslücke in der Software MOVEit Transfer aus. Dabei handelt es sich um eine sogenannte Managed-File-Transfer-Software – also ein Programm, mit dem Unternehmen große Datenmengen sicher zwischen Systemen austauschen. Die ausgenutzte Schwachstelle trägt die Kennung CVE-2023-34362 und erhielt den höchstmöglichen Schweregrad-Bereich: einen CVSS-Score von 9,8 von 10 (kritisch).
Weil die Lücke zum Zeitpunkt des Angriffs noch niemandem bekannt war und noch kein Patch existierte, spricht man von einem Zero-Day-Exploit – einem Angriff auf eine Schwachstelle, gegen die es am „Tag null“ noch keine Verteidigung gab.
Im konkreten Fall hatte eine gesetzliche Krankenkasse (nach Parallelberichten die Barmer) ihr Bonusprogramm über einen Dienstleister – juristisch ein Auftragsverarbeiter, also ein Unternehmen, das Daten im Auftrag verarbeitet – abwickeln lassen. Dieser Dienstleister setzte MOVEit Transfer ein. Beim Angriff wurden folgende Daten erbeutet: Vorname, Name, Krankenversicherungsnummer, Prämienbetrag und eine Bankverbindung (die IBAN der Mutter). Gesundheitsdaten waren nicht betroffen.
Die Dimension des Vorfalls war weltweit enorm: Nach Angaben des Sicherheitsunternehmens Emsisoft (Stand 18. Januar 2024) waren mindestens 2.731 Organisationen und über 94,2 Millionen Einzelpersonen betroffen. Am stärksten traf es den Bildungssektor (39,1 %) und den Gesundheitssektor (20,1 %).
Die Schwachstelle CVE-2023-34362 ist eine sogenannte SQL-Injection – eine Angriffstechnik, bei der ein Angreifer eigene Datenbankbefehle in ein Eingabefeld einschleust, weil die Software diese Eingaben nicht sauber prüft. Bei MOVEit Transfer konnte ein Angreifer so ohne Anmeldung und ohne Zutun eines Nutzers über das Internet beliebige Befehle an die dahinterliegende Datenbank senden, Daten auslesen und sogar verändern.
Im zweiten Schritt lud Cl0p eine speziell entwickelte Schadsoftware namens LEMURLOOT auf die betroffenen Server hoch – eine sogenannte Web-Shell, also ein verstecktes Fernsteuerungswerkzeug. Damit konnten die Angreifer Dateien herunterladen und Benutzerkonten manipulieren.
Bemerkenswert ist die Strategie von Cl0p: Statt Daten zu verschlüsseln und Lösegeld zu fordern (klassische Ransomware), setzte die Gruppe auf reinen Datendiebstahl als Druckmittel – die sogenannte „pure extortion“-Taktik. Die gestohlenen Daten sollten die betroffenen Unternehmen erpressbar machen, nicht einzelne Betroffene direkt schädigen. Genau dieser Punkt wurde im Gerichtsverfahren später relevant.
Neben CVE-2023-34362 wurden im Juni 2023 zwei weitere kritische Lücken entdeckt und geschlossen: CVE-2023-35036 (Patch am 9. Juni 2023) und CVE-2023-35708 (Patch am 15. Juni 2023).
Die Klägerin – ein im Jahr 2018 geborenes Kind, vertreten durch die Eltern – forderte mindestens 3.000 Euro immateriellen Schadensersatz nach Art. 82 DSGVO, dazu Unterlassung, die Feststellung künftiger Ersatzpflicht und die Übernahme von Anwaltskosten. Das Gericht wies alle Anträge ab. Die Begründung stützt sich auf zwei tragende Säulen:
Das Gericht stellte klar, dass Art. 32 DSGVO – die Vorschrift zu technischen und organisatorischen Maßnahmen (kurz „TOM“, also allen konkreten Sicherheitsvorkehrungen) – zwar geeignete, marktübliche Schutzmaßnahmen fordert, aber keinen absoluten Schutz:
„Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, die darauf gerichtet sind, Datenschutzverletzungen so weit wie möglich zu verhindern. Ein absoluter Schutz ist weder vorgesehen noch erreichbar.“
– SG Nürnberg, Endurteil v. 10.06.2026, S 5 SF 65/24 DS
Entscheidend war: Der Dienstleister hatte umfangreiche Schutzmaßnahmen dokumentiert – Authentifizierung, automatische Kontosperrung, verschlüsselte Übertragungsprotokolle (FTPS, SFTP, HTTPS) und eine aktuelle Softwareversion. Vor allem aber installierte er den Patch bereits einen Tag nach Bekanntwerden der Lücke, am 1. Juni 2023. Die Bundesbeauftragte für den Datenschutz hatte zudem in einem Parallelbescheid festgestellt, dass kein Datenschutzverstoß der Krankenkasse vorlag.
Der zweite entscheidende Punkt: Es fehlte ein konkreter, nachweisbarer immaterieller Schaden. Der Vater räumte in der mündlichen Verhandlung ein, dass das Kind keinerlei Kenntnis von den Vorgängen hatte. Über zwei Jahre nach dem Vorfall gab es keine Hinweise auf einen Missbrauch der Daten. Bloße Befürchtungen oder hypothetische Risiken genügen nach der Rechtsprechung des Bundesgerichtshofs (BGH VI ZR 10/24) nicht für einen Schadensersatzanspruch.
Ähnlich argumentierte bereits das LG Krefeld in einem gleichgelagerten Fall:
„Die Klägerin unterliegt vielmehr irrig der Annahme, der erfolgreiche Angriff liefere ein belastbares Indiz für unzureichende technische und organisatorische Maßnahmen im Vorfeld. Ein derartiger Rückschluss ist jedoch verfehlt.“
– LG Krefeld, Urt. v. 06.11.2025, Az. 3 O 93/24
Damit weisen inzwischen drei deutsche Gerichte gleichlautende MOVEit-Klagen ab: LG Trier (04.04.2025), LG Krefeld (06.11.2025) und nun das SG Nürnberg (10.06.2026).
Betroffen sind grundsätzlich alle Organisationen, die MOVEit Transfer selbst betreiben oder deren Dienstleister diese Software einsetzen. In Deutschland waren nach Medienberichten unter anderem Dienstleister der Krankenkassen AOK und Barmer betroffen. Für Sie als KMU besteht das Risiko häufig mittelbar über die Lieferkette – also dann, wenn ein von Ihnen beauftragter Dienstleister die verwundbare Software nutzt.
Gute Nachricht: Wer den Patch vom 31. Mai 2023 oder später eingespielt hat, ist gegen die konkrete Schwachstelle CVE-2023-34362 geschützt.
Falls Sie MOVEit Transfer noch ungepatcht einsetzen, handeln Sie sofort:
Unabhängig davon, ob Sie MOVEit nutzen – aus dem Urteil lassen sich diese generellen Haftungs-Vorsorgemaßnahmen ableiten:
Das Urteil ist eine gute Nachricht für sorgfältig arbeitende Unternehmen – aber kein Freifahrtschein. Der Volljurist Justus Brandt fasst die Kernbotschaft treffend zusammen:
„Für die Praxis kristallisieren sich drei Faktoren heraus: die lückenlose Dokumentation der getroffenen Maßnahmen, die sorgfältige Auswahl und vertragliche Absicherung von Auftragsverarbeitern sowie eine zeitnahe Reaktion nach Bekanntwerden von Sicherheitslücken.“
– Justus Brandt, dr-datenschutz.de
Wichtig ist die Unterscheidung zwischen Meldepflicht und Haftung: Ein Datenabfluss muss unabhängig vom Verschulden binnen 72 Stunden gemeldet werden. Für einen Schadensersatzanspruch nach Art. 82 DSGVO reicht der Angriff allein aber nicht – der Verantwortliche kann sich befreien, wenn er nachweist, dass ihn keinerlei Verantwortung trifft (Art. 82 Abs. 3 DSGVO). Genau hier zählt die Dokumentation.
Umgekehrt steigt das Haftungsrisiko erheblich, wenn keine AVV besteht, TOM nicht dokumentiert sind, Patches verspätet eingespielt werden oder die Meldung unterbleibt. Bei unzureichenden Sicherheitsmaßnahmen drohen Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).
Das Urteil des SG Nürnberg bestätigt eine beruhigende, aber verantwortungsvolle Linie: Ein erfolgreicher Cyberangriff bedeutet nicht automatisch eine Haftung. Entscheidend ist, ob Sie Ihre Hausaufgaben gemacht haben – marktübliche Sicherheitsmaßnahmen, saubere Dokumentation, schnelle Patches und wasserdichte Verträge mit Dienstleistern. Der MOVEit-Fall zeigt, wie ein Angriff über die Lieferkette bis zum kleinsten Datensatz eines Kindes reicht. Nutzen Sie die drei Faktoren – Dokumentation, Dienstleisterauswahl, schnelle Reaktion – als Ihre Checkliste. Dann sind Sie im Ernstfall rechtlich wie technisch auf der sicheren Seite.