LG Traunstein: Warum ein Cyberangriff allein noch keinen Schadensersatz auslöst

Ein erfolgreicher Cyberangriff ist für jedes Unternehmen ein ernstes Ereignis. Neben der technischen Aufarbeitung stehen schnell weitere Fragen im Raum: Wurden personenbezogene Daten entwendet? Drohen Schadensersatzforderungen? Und bedeutet ein Datenleck automatisch, dass die IT-Sicherheit unzureichend war?

Um genau diese Fragen geht es im Urteil des Landgerichts Traunstein vom 17. Juli 2026 (Az. 9 O 1560/24). Die Entscheidung ist besonders für die Geschäftsführung und Verantwortliche in Unternehmen relevant: Ein Hackerangriff allein beweist noch keinen Verstoß gegen die Datenschutz-Grundverordnung. Entscheidend ist vielmehr, ob das Unternehmen vor dem Vorfall angemessene Sicherheitsmaßnahmen getroffen hatte und ob ein konkret geltend gemachter Schaden tatsächlich auf einem Datenschutzverstoß beruht.

Worum ging es in dem Verfahren?

Nach einem Cyberangriff waren Daten eines Unternehmens auf einschlägigen Plattformen veröffentlicht worden. Ein Betroffener verlangte unter anderem immateriellen Schadensersatz. Er berief sich auf einen Kontrollverlust über seine Daten und die Sorge vor einem möglichen Missbrauch.

Das Gericht wies die Klage ab. Nach Auffassung des Gerichts war nicht ausreichend belegt, dass das Unternehmen gegen seine datenschutzrechtlichen Pflichten verstoßen hatte. Ebenso fehlten hinreichend konkrete Nachweise dafür, dass dem Kläger gerade durch diesen Vorfall ein ersatzfähiger Schaden entstanden war.

Ein Angriff beweist noch keine mangelhafte IT-Sicherheit

Die unter anderem wichtigste Aussage des Urteils lautet: Auch gute Schutzmaßnahmen können überwunden werden. Die DSGVO verlangt keine hundertprozentige Sicherheit. Unternehmen müssen jedoch ein Schutzniveau schaffen, das zu ihren konkreten Risiken, den verarbeiteten Daten und dem aktuellen Stand der Technik passt.

Ob die Maßnahmen angemessen waren, ist aus der Sicht vor dem Angriff zu beurteilen. Dass ein Angriff im Nachhinein erfolgreich war, reicht deshalb nicht aus, um automatisch auf einen Verstoß zu schließen.

Im Ergebnis bedeutet es: Nicht der erfolgreiche Angriff entscheidet über die Haftung, sondern die Frage, ob das Unternehmen seine Risiken im Vorfeld angemessen beherrscht und dies belegen kann.

Was bedeutet das für Schadensersatzforderungen?

Für einen Anspruch nach der DSGVO genügt es nicht, lediglich auf ein Datenleck hinzuweisen. Betroffene müssen grundsätzlich darlegen, dass ihre eigenen Daten betroffen waren, ein Datenschutzverstoß vorlag, ihnen ein konkreter materieller oder immaterieller Schaden entstanden ist und dieser Schaden durch den Verstoß verursacht wurde.

Ein Kontrollverlust kann zwar grundsätzlich einen immateriellen Schaden darstellen. Allgemeine Sorgen vor Spam, unerwünschten Anrufen oder Identitätsmissbrauch genügen aber nicht automatisch. Gerade wenn Daten bereits öffentlich zugänglich waren oder aus früheren Vorfällen stammen könnten, ist der Zusammenhang mit einem bestimmten Datenleck besonders sorgfältig zu prüfen.

Vier Aufgaben für die Geschäftsleitung

Die Entscheidung zeigt, wie wichtig eine belastbare Vorbereitung auf Cybervorfälle ist:

1. Risiken regelmäßig bewerten: Welche Daten verarbeitet das Unternehmen, wie sensibel sind sie und welche Angriffsszenarien sind realistisch?
2. Sicherheitsmaßnahmen dokumentieren: Technische und organisatorische Maßnahmen sollten nicht nur vorhanden, sondern auch nachvollziehbar beschrieben und regelmäßig aktualisiert werden.
3. Entscheidungen festhalten: Warum wurde eine bestimmte Schutzmaßnahme gewählt? Welche Alternativen wurden geprüft? Diese Dokumentation kann später entscheidend sein.
4. Den Ernstfall vorbereiten: Zuständigkeiten, Meldewege, Kommunikation und rechtliche Prüfung gehören in einen eingeübten Incident-Response-Prozess.

Auch Anträge und Auskünfte müssen konkret sein

Das Urteil enthält außerdem zwei praktische Hinweise: Wer von einem Unternehmen bestimmte Sicherheitsmaßnahmen verlangt, muss diese möglichst konkret benennen. Die allgemeine Forderung, den „Stand der Technik“ einzuhalten, ist für sich genommen zu unbestimmt.

Auch das Auskunftsrecht hat Grenzen. Ein Unternehmen muss keine Angaben machen, über die es nicht verfügt und die es objektiv nicht ermitteln kann, etwa zur Identität anonym handelnder Angreifer. Trotzdem sollte die Kommunikation mit Betroffenen sorgfältig, transparent und nachvollziehbar erfolgen.

Fazit

Ein Datenleck führt nicht automatisch zu einer Haftung nach der DSGVO. Für Unternehmen ist das eine wichtige Klarstellung. Entscheidend bleibt aber, ob angemessene Schutzmaßnahmen getroffen, regelmäßig überprüft und sauber dokumentiert wurden.

Für die Geschäftsführung lautet die zentrale Botschaft daher: Cybersecurity ist keine rein technische Aufgabe. Sie ist Teil der Unternehmensorganisation und sollte entsprechend gesteuert werden. Wer Risiken kennt, Verantwortlichkeiten festlegt und Entscheidungen nachvollziehbar dokumentiert, verbessert nicht nur die Sicherheit des Unternehmens, sondern auch seine Position im Streitfall.