Das Sozialgericht Nürnberg hat mit Urteil vom 10.06.2026 eine Klage auf Schadensersatz nach einer Cyber-Attacke umfassend abgewiesen. Die Entscheidung betrifft einen Vorfall aus dem Jahr 2023 und ordnet die Haftungsfrage bei Zero-Day-Exploits ein.
Was war passiert?
Im Urteil des SG Nürnberg vom 10.06.2026 (Az. S 5 SF 65/24 DS) ging es um folgenden Sachverhalt: Im Mai 2023 wurde eine weltweit eingesetzte Managed-File-Transfer-Software Ziel einer Cyber-Attacke. Die Hackergruppe nutzte eine bis dahin unbekannte Schwachstelle (Zero-Day-Exploit) aus, um über eine sogenannte Web-Shell Zugriff auf Server zu erlangen. Betroffen waren weltweit rund 2.500 Unternehmen und Behörden.
Im konkreten Fall hatte eine gesetzliche Krankenkasse ihr Bonusprogramm über einen Auftragsverarbeiter abwickeln lassen, der die betroffene Software einsetzte. Beim Datenabfluss wurden Vorname, Name, Krankenversicherungsnummer, Prämienbetrag und eine Bankverbindung erbeutet. Gesundheitsdaten waren nicht betroffen. Die Klägerin, ein zum Zeitpunkt des Angriffs fünfjähriges Kind, begehrte über ihre gesetzlichen Vertreter mindestens 3.000 Euro immateriellen Schadensersatz, die Feststellung einer Ersatzpflicht für künftige Schäden, Unterlassung sowie die Freistellung von vorgerichtlichen Rechtsanwaltskosten.
Bereits einen Tag nach Bekanntwerden der Schwachstelle hatte der Softwarehersteller einen Sicherheitspatch bereitgestellt, den der Dienstleister umgehend installierte. Die Bundesbeauftragte für den Datenschutz stellte in einem Bescheid zu demselben Vorfall fest, dass kein Datenschutzverstoß seitens der Krankenkasse vorlag.
Genügen hier marktübliche Schutzmaßnahmen?
Die zentrale Frage des Verfahrens betraf die Anforderungen an technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Das SG Nürnberg kam unter Verweis auf die Rechtsprechung des EuGH (Urteil vom 14.12.2023, C-340/21) zu dem Ergebnis, dass marktübliche Schutzmaßnahmen ausreichen können. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, die darauf gerichtet sind, Datenschutzverletzungen so weit wie möglich zu verhindern. Ein absoluter Schutz ist weder vorgesehen noch erreichbar.
Der Dienstleister legte umfangreiche Maßnahmen dar, die das Gericht als ausreichend bewertete:
- Zugriff auf die Transferplattform ausschließlich nach Authentifizierung mit personalisierten Nutzerkonten, deren Anlage einen mehrstufigen Genehmigungs- und Identitätsfeststellungsprozess voraussetzte
- Automatische Kontosperrung nach fünf fehlgeschlagenen Anmeldeversuchen innerhalb von sechs Minuten sowie IP-Sperrung bei wiederholten Fehlversuchen
- Umfassende Passwortrichtlinien
- Ausschließlich verschlüsselte Kommunikationsprotokolle (FTPS, SFTP, HTTPS) mit SSL- oder SSH-Verschlüsselung während der Datenübertragung
- Einsatz einer zum Angriffszeitpunkt aktuellen und den Sicherheitsvorgaben des Herstellers entsprechenden Softwareversion
Die Krankenkasse hatte zudem eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO geschlossen, die konkrete Vorgaben zu Infrastruktursicherheit und Schutz vor Schadsoftware enthielt. Das Gericht verneinte eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.
Warum scheiterte der Schadensersatzanspruch noch?
Neben der fehlenden Pflichtverletzung scheiterte die Klage an einer zweiten Hürde. Es fehlte an einem nachgewiesenen immateriellen Schaden. Die vorgetragenen Ängste und Sorgen erwiesen sich als unsubstantiiert. In der mündlichen Verhandlung räumte der Vater der Klägerin ein, dass das Kind keinerlei Kenntnis von den Vorgängen hatte. Zudem war nicht die Bankverbindung der Klägerin, sondern die ihrer Mutter betroffen.
Das Gericht stützte sich auf die Vorgaben des BGH (Az. VI ZR 10/24 vom 18.10.2024). Eine begründete Befürchtung mitsamt ihren negativen Folgen muss nachgewiesen sein. Die bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen genügt ebenso wenig wie ein rein hypothetisches Risiko missbräuchlicher Verwendung. Über zwei Jahre nach dem Vorfall gab es keinerlei Hinweise auf eine tatsächliche Nutzung der Daten im Darknet oder anderweitigen Missbrauch. Der Angriff zielte erkennbar auf die Erpressung der betroffenen Unternehmen, nicht auf die Schädigung einzelner Betroffener.
Welche weiteren Anträge wies das Gericht als unzulässig ab?
Die Feststellungsklage hinsichtlich künftiger materieller Schäden scheiterte am fehlenden Feststellungsinteresse nach § 55 Abs. 1 SGG. Da die Sicherheitslücke unmittelbar nach dem Angriff geschlossen wurde und seither keine Schäden eingetreten waren, lag lediglich eine theoretische Befürchtung vor. Das Gericht betonte, dass sich die Wahrscheinlichkeit eines Schadenseintritts mit fortschreitendem Zeitablauf weiter verringere.
Den Unterlassungsantrag wies das Gericht wegen Unbestimmtheit ab. Die Formulierung, es zu unterlassen, Daten Dritten zugänglich zu machen „ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzunehmen“, lasse nicht erkennen, welche konkreten Handlungen in der Zukunft erfasst sein sollen.
So lassen sich Schadensersatzansprüche nach einer Cyber-Attacke vermeiden
Das Urteil des SG Nürnberg steht in einer Reihe mit den Entscheidungen des LG Krefeld (06.11.2025, 3 O 93/24) und des LG Trier (04.04.2025, 2 O 85/24) zum selben Vorfall. Die Gerichte bewerten übereinstimmend, dass der Einsatz einer marktführenden, zertifizierten Software kein Haftungsrisiko begründet, solange keine konkreten Anhaltspunkte für deren Fehleranfälligkeit bestanden.
Für die Praxis kristallisieren sich drei Faktoren heraus: die lückenlose Dokumentation der getroffenen Maßnahmen, die sorgfältige Auswahl und vertragliche Absicherung von Auftragsverarbeitern sowie eine zeitnahe Reaktion nach Bekanntwerden von Sicherheitslücken. Die Entscheidung verdeutlicht zugleich die Anforderungen auf Klägerseite. Wer Schadensersatz nach Art. 82 DSGVO geltend macht, muss einen konkreten, individuell nachweisbaren Schaden darlegen, der über hypothetische Befürchtungen hinausgeht.
