Am 4. September 2026 hat die Erpressergruppe Rhysida rund 1,44 Millionen Dateien aus dem Berliner Landesnetz im Darknet veröffentlicht. Betroffen sind die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Dieser Beitrag fasst zusammen, was bekannt ist, wer betroffen sein kann, was Sie jetzt tun sollten und welche Ansprüche Ihnen zustehen.

Was passiert ist

Zwischen dem 7. und 12. August 2026 verschafften sich Angreifer bei einem Cyberangriff Zugriff auf Systeme der beiden Senatsverwaltungen, wie die Berliner Beauftragte für Datenschutz und Informationsfreiheit mitteilt. Mitte August wurde der Vorfall öffentlich bekannt. Rhysida forderte 30 Bitcoin, rund zwei Millionen Euro, für den Verzicht auf eine Veröffentlichung; der Senat lehnte die Zahlung ausdrücklich ab. Nach Ablauf des Ultimatums stellte die Gruppe die Daten ins Darknet: nach eigenen Angaben etwa 5,7 Terabyte, darunter Personalakten, Beurteilungen, Arbeitszeugnisse, Stundenzettel, Bewerbungsunterlagen, Steuerunterlagen, Verträge, E-Mail-Verkehr, Passwörter, Adressen und Telefonnummern.

Wer betroffen sein kann

• Beschäftigte und ehemalige Beschäftigte der beiden Senatsverwaltungen: Personalakten, Beurteilungen, Arbeitszeugnisse, Stundenzettel.
• Bewerberinnen und Bewerber auf Stellen bei diesen Senatsverwaltungen: Bewerbungsunterlagen.
• Bürgerinnen und Bürger sowie Unternehmen mit Vorgängen bei diesen Senatsverwaltungen, etwa in Bau-, Wohnungs-, Verkehrs- oder Umweltangelegenheiten: Stammdaten, Kontaktdaten, Bankdaten, Schriftverkehr, Kopien eingereichter Dokumente.

Die Berliner Datenschutzbeauftragte weist darauf hin, dass eine individuelle Betroffenheit derzeit noch nicht abschließend bestätigt werden kann und Betroffene von der zuständigen Senatsverwaltung informiert werden. Unabhängig davon haben Sie nach Art. 15 DSGVO einen Auskunftsanspruch: Die Senatsverwaltung muss Ihnen mitteilen, welche Daten sie zu Ihrer Person verarbeitet, grundsätzlich innerhalb eines Monats.

Was Sie jetzt tun sollten

• Passwörter ändern, vor allem bei Verwaltungs- und Onlinediensten, und für jeden Dienst ein eigenes Passwort vergeben.
• Zwei-Faktor-Authentisierung aktivieren, besonders bei E-Mail-Konten, Online-Banking und Behördendiensten.
• Wachsam bleiben bei Phishing: Die Verwaltung fordert niemals per E-Mail, SMS oder Telefon zur Zahlung, zur Herausgabe von Passwörtern oder zum Anklicken von Links auf.
• Konto- und Kreditkartenbewegungen regelmäßig kontrollieren und verdächtige Nachrichten mit Datum dokumentieren, etwa per Screenshot.
• Bei Missbrauch von Karten oder Ausweisdaten den Sperr-Notruf 116 116 anrufen und Anzeige bei der Polizei erstatten.

Welche Ansprüche Betroffene haben

Verantwortlich im Sinne der DSGVO sind die beiden Senatsverwaltungen; Anspruchsgegner ist das Land Berlin. Nach Art. 82 DSGVO haftet es auf Ersatz des materiellen und immateriellen Schadens, sofern es nicht nachweist, dass es für den Vorfall in keinerlei Hinsicht verantwortlich ist. Die Rechtsprechung hat die Rechte der Betroffenen zuletzt deutlich gestärkt: Schon der Verlust der Kontrolle über die eigenen Daten ist ein ersatzfähiger Schaden (BGH, Urteil vom 18.11.2024, VI ZR 10/24), ebenso die begründete Sorge vor Missbrauch (BGH, Urteil vom 11.11.2025, VI ZR 396/24), und eine Bagatellgrenze gibt es nicht (EuGH, Urteil vom 04.09.2025, C-655/23).

Die Höhe des Schadensersatzes hängt vom Einzelfall ab und ist nicht garantiert. Für den reinen Kontrollverlust hat der BGH rund 100 Euro als angemessen angesehen; bei besonders sensiblen Daten wie Personalakten oder Bankdaten kann im Einzelfall mehr in Betracht kommen. Ansprüche verjähren regelmäßig drei Jahre nach Ablauf des Jahres, in dem Sie von dem Vorfall Kenntnis erlangt haben.

So machen Sie Ihren Anspruch geltend

Auf unserer Fallseite Berliner Verwaltung – Datenleck melden Sie Ihren Fall in wenigen Minuten. Wir bündeln die Ansprüche der Betroffenen und setzen sie über unsere Kooperationsanwälte durch, nötigenfalls vor Gericht. Sind Sie rechtsschutzversichert, stellt die Kooperationskanzlei die Deckungsanfrage bei Ihrer Versicherung und Sie erhalten 100 % des durchgesetzten Anspruchs. Ohne Rechtsschutzversicherung fällt ausschließlich im Erfolgsfall ein Honorar von 25 % an. Ein Kostenrisiko tragen Sie in beiden Fällen nicht.

Weitere Informationen: Schadensersatz nach Art. 82 DSGVO und die Übersicht der aktuellen Datenleck-Fälle.

Stand: 7. September 2026. Quellen: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Senatskanzlei Berlin, tagesschau.de, Süddeutsche Zeitung.