SG Nürnberg: Kein Schadensersatz aus Art. 82 DSGVO bei Cyberangriff auf MOVEit-Software durch Zero-Day-Exploit bei ausreichenden technischen und organisatorischen Sicherheitsmaßnahmen
SG Nürnberg
Urteil vom 10.06.2026
S 5 SF 65/24 DS
Das SG Nürnberg hat entschieden, dass kein Anspruch auf Schadensersatz aus Art. 82 DSGVO bei einem Cyberangriff auf MOVEit-Software durch Ausnutzen von Zero-Day-Exploits besteht, sofern die verantwortliche Stelle ausreichende technische und organisatorische Sicherheitsmaßnahmen vorhält
Aus den Entscheidungsgründen:
I. ) Rechtsweg
Der Rechtsweg zur Sozialgerichtsbarkeit ist eröffnet. Die Klägerin rügt einen Verstoß gegen die DSGVO. Für Klagen der betroffenen Person gegen einen Verantwortlichen oder einen Auftragsverarbeiter wegen eines Verstoßes gegen diese Verordnung ist nach dem expliziten Wortlaut des § 81b Abs. 1 Zehntes Buch Sozialgesetzbuch (SGB X) der Rechtsweg zu den Gerichten der Sozialgerichtsbarkeit eröffnet (vgl. zum Schadensersatz auch Bundessozialgericht – BSG – Beschluss vom 6. März 2023 – B 1 SF 1/22 R – juris).
II. ) Schadensersatz
Soweit die Klägerin Schadensersatz wegen eines geltend gemachten immateriellen Schadens von mindestens 3.000,00 € begehrt, erweist sich die Klage als unbegründet. Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Nach Art. 82 Abs. 3 DSGVO ist die Haftung ausgeschlossen, wenn der Verantwortliche oder der Auftragsverarbeiter nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Gemäß Art. 82 Abs. 4 DSGVO haften sowohl der Verantwortliche – hier die Beklagte zu 1) gemäß Art. 4 Nr. 7 DSGVO – als auch der Auftragsverarbeiter – hier die Beklagte zu 2) gemäß Art. 4 Nr. 8 DSGVO – gesamtschuldnerisch für einen verursachten Schaden.
Die Voraussetzungen für einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO sind nicht erfüllt. Die Kammer konnte sich nicht von einem schuldhaften Verstoß der Beklagten gegen die DSGVO überzeugen. Überdies fehlt es an einem immateriellen Schaden.
1. ) Nach Art. 5 Abs. 1 f) DSGVO müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen. Dies hat der Verantwortliche (Art. 4 Nr. 7 DSGVO) – also die Beklagte zu 1) – nachzuweisen, vgl. Art. 4 Abs. 2 DSGVO. Nach Art. 24 Abs. 1 Satz 1 DSGVO setzt der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Nach Art. 24 Abs. 2 DSGVO müssen die Maßnahmen die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen, sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht. Art. 32 Abs. 1 DSGVO sieht zudem vor, dass der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die erfolgt unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.
Der Europäische Gerichtshof (EuGH) legt in seinem Urteil vom 14.12.2023 – C-340/21 – juris die wesentlichen Grundsätze nieder. Insoweit heiß es (Unterstreichungen eingefügt):
„Die Bezugnahme in Art. 32 Abs. 1 und 2 DSGVO auf „ein dem Risiko angemessenes Schutzniveau“ und ein „angemessenes Schutzniveau“ zeigt, dass mit der DSGVO ein Risikomanagementsystem eingeführt und in ihr in keiner Weise behauptet wird, dass sie das Risiko von Verletzungen des Schutzes personenbezogener Daten beseitigt“ (vgl. EuGH, a.a.O., Rn. 29). Dies zugrunde gelegt geht also auch der EuGH davon aus, dass es in einer digitalen – wie auch in der analogen Welt – keinen absoluten Schutz geben kann, sondern dass ein Risikomangementsystem Sinn und Zweck des Art. 32 DSGVO ist. In der Folge führt der EuGH aus, dass sich aus dem Wortlaut der Art. 24 und 32 DSGVO ergebe, dass diese Bestimmungen dem Verantwortlichen lediglich vorschreiben, technische und organisatorische Maßnahmen zu treffen, die darauf gerichtet sind, jede Verletzung des Schutzes personenbezogener Daten so weit wie möglich zu verhindern. Die Geeignetheit solcher Maßnahmen ist konkret zu bewerten, indem geprüft wird, ob der Verantwortliche diese Maßnahmen unter Berücksichtigung der verschiedenen in den genannten Artikeln aufgeführten Kriterien und der Datenschutzbedürfnisse getroffen hat, die speziell mit der betreffenden Verarbeitung sowie den davon ausgehenden Risiken verbunden sind (vgl. EuGH, a.a.O., Rn. 30). Sodann führt der EuGH in der Folge explizit aus (Unterstreichungen eingefügt): „Folglich können die Art. 24 und 32 DSGVO nicht dahin verstanden werden, dass eine unbefugte Offenlegung von bzw. ein unbefugter Zugang zu personenbezogenen Daten durch einen Dritten für die Schlussfolgerung ausreicht, dass die von dem für die betreffende Verarbeitung Verantwortlichen ergriffenen Maßnahmen nicht im Sinne dieser Bestimmungen geeignet waren, ohne dass ihm die Möglichkeit eingeräumt wird, den Gegenbeweis zu erbringen. Eine solche Auslegung ist umso mehr geboten, als Art. 24 DSGVO ausdrücklich vorsieht, dass der Verantwortliche den Nachweis dafür erbringen können muss, dass die von ihm umgesetzten Maßnahmen im Einklang mit der DSGVO stehen; diese Möglichkeit bliebe ihm verwehrt, wenn eine unwiderlegbare Vermutung angenommen würde“, vgl. EuGH, a.a.O., Rn. 31 f.
Die Beweislasst dafür, dass personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit dieser Daten im Sinne von Art. 5 Abs. 1 f) und Art. 32 DSGVO gewährleisten, obliegt dem für die betreffende Verarbeitung Verantwortlichen (vgl. EuGH, a.a.O., Rn. 52). Zum Fall von Cyberkriminalität führt der EuGH (Unterstreichungen eingefügt) aus: „Wenn, (…), eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO von Cyberkriminellen und damit von „Dritten“ im Sinne von Art. 4 Nr. 10 DSGVO begangen wurde, kann diese Verletzung dem Verantwortlichen nur dann zugerechnet werden, wenn dieser die Verletzung unter Missachtung einer Verpflichtung aus der DSGVO, insbesondere der Verpflichtung zum Datenschutz, die ihm nach Art. 5 Abs. 1 Buchst. f, Art. 24 und Art. 32 DSGVO obliegt, ermöglicht hat. Somit kann sich der Verantwortliche bei einer Verletzung des Schutzes personenbezogener Daten durch einen Dritten auf der Grundlage von Art. 82 Abs. 3 DSGVO von seiner Haftung befreien, indem er nachweist, dass es keinen Kausalzusammenhang zwischen der etwaigen Verletzung der Verpflichtung zum Datenschutz durch ihn und dem der natürlichen Person entstandenen Schaden gibt“, vgl. EuGH, a.a.O., Rn. 71 f.
Demnach entlasten Hackerangriffe zwar per se nicht von der Haftung, insbesondere dann nicht, wenn der Verantwortliche oder dessen Auftragsverarbeiter unzureichende Schutzmaßnahmen getroffen haben, vgl. dazu auch in diese Richtung EuGH, a.a.O., Rn. 74. Allerdings kann der Verantwortliche nachweisen, dass er in keinerlei Hinsicht für den Umstand, durch den der betreffende Schaden eingetreten ist, verantwortlich ist.
Unter Berücksichtigung dieser Grundsätze konnte sich die erkennende Kammer nicht von einer Verantwortlichkeit der Beklagten überzeugen. So haben die Beklagten substantiiert und umfassend dargelegt, dass die MOVEit-Anwendung zum Zeitpunkt des streitgegenständlichen Vorfalls im Markt als eine der marktführenden Anwendungen im Bereich Managed-File-Transferoftware etabliert war. P. bzw. deren Software war entsprechend zertifiziert. Zudem legte die Beklagte zu 2) im Schriftsatz vom 19.02.2025 umfassend eigene Maßnahmen dar, insbesondere:
- Zugriff auf die MOVEit-Anwendung nur mit Authentifikation mittels eines Nutzerkontos, wobei die Anlage von Nutzerkonten in einem stringenten Prozess erfolgte, der eine Beantragung, Genehmigung und Identitätsfeststellung vorausging.
- Jeder Nutzer erhält eine eindeutige, personalisierte, nutzerbezogene Kennung.
- In der MOVEit-Anwendung erfolgt nach 5 erfolglosen Anmeldeversuchen innerhalb eines Zeitfensters von 6 Minuten eine automatische Sperrung des Nutzerkontos für 30 Minuten. Zudem sperrt die MOVEit-Transfer-Plattform die IP-Adresse eines Endgerätes, wenn von dieser Adresse wiederholte Fehlversuche innerhalb eines Zeitfensters von 5 Minuten festgestellt wurden. Die Sperrung einer IP-Adresse kann nur von der zuständigen IT-Abteilung der Beklagten zu 2) aufgehoben werden und erfordert eine vorherige Prüfung des Vorgangs.
- Umfassende Vorgaben an das festzulegende Passwort (siehe hierzu detailliert Schriftsatz vom 19.02.2025).
- Eine Kommunikation mit der MOVEit-Transfer-Plattform ist nur über gesicherte Protokolle gestattet (FTPS, SFTP, HTTPS, Asx). Während der Dateiübertragung verwendet MOVEit SSL oder SSH zur Verschlüsselung der Kommunikation.
- Zum Zeitpunkt des Angriffs kam die Version 2021.1 (13.1.0.39) zum Einsatz und entsprach den damaligen Sicherheitsvorgaben des Herstellers.
Auf die weiteren aufgezeigten Maßnahmen im Schriftsatz vom 19.02.2025 wird Bezug genommen. Allein der Umstand, dass ein Hackerangriff erfolgreich gewesen ist, belegt nicht, dass die technischen und organisatorischen Maßnahmen im Vorfeld unzureichend gewesen sind (vgl. dazu Oberlandesgericht Stuttgart, Urteil vom 31.03.2021 – 9 U 34/21 – juris Rn. 54), zumal die Hacker nach dem Vortrag der Klägerin seit ca. 2021 versucht hätten, in das System einzudringen. Mithin brauchten sie – die Richtigkeit unterstellt – ca. zwei Jahre, um in das System zu kommen. Gerade die zeitliche Dauer bis zu einem erfolgreichen Angriff Ende Mai 2023 belegt auch die Sicherheit der Software. Soweit die Klägerin darauf abstellt, dass die Beklagten weitere technische Maßnahmen hätten ergreifen können, wovon sie einige aufzählt, ergibt sich hieraus keine Umsetzungspflicht, deren Nichteinhaltung einen datenschutzrechtlichen Verstoß begründen kann. Die Beklagten sind lediglich dazu verpflichtet, geeignete Maßnahmen zu treffen, die darauf gerichtet sich, eine Datenschutzverletzung so weit wie möglich zu verhindern (vgl. Landgericht Krefeld, Urteil vom 06.11.2025 – 3 O 93/24 –, juris, Rn. 30, m.w.N.). Die Auffassung des Landgerichts Krefeld zum streitgegenständlichen Hacker-Angriff vertritt auch die Kammer uneingeschränkt. So führt es aus: „Unzureichend wären die von den Beklagten beschriebenen TOM nur dann, wenn sich zuvor konkrete Anhaltspunkte für die Fehleranfälligkeit der – zum Zeitpunkt des Vorfalls – marktführenden G.-Anwendung ergeben hätten. Die Klägerin behauptet insoweit pauschal und ohne nähere Darlegung. Sie verweist hierzu auf einen unergiebigen öffentlichen Beitrag sowie auf sog. CVE-Einträge einer Fehlerdatenbank. Daraus ergibt sich indes nicht, ob die Beklagten diese Umstände vor dem Cyberangriff konkret wahrgenommen haben oder hätten wahrnehmen müssen, da insbesondere die letztgenannte Quelle vielmehr dafür spricht, dass das Programm seitens des Herstellers regelmäßig überprüft und sicherheitstechnisch weiterentwickelt wurde und wird. Gegen die Annahme, dass die Beklagten entsprechende Bedenken hätten haben müssen, spricht der Umstand, dass weltweit ca. 2.500 Unternehmen und Institutionen dem – insoweit unvorhergesehenen – sog. „zeroday-exploit“ zum Opfer fielen. Die Beklagte zu 1) hatte keinen Anlass zur verstärkten Kontrolle der Beklagten zu 2), Zweifel an der Eignung der Beklagten zu 2) als Auftragsverarbeiterin wurden nicht vorgetragen.“, vgl. Landgericht Krefeld, a.a.O., Rn. 30. Auch insoweit ist für die erkennende Kammer nicht ersichtlich, wie die Beklagten – sondern wenn überhaupt der Hersteller „P.“ – die Lücke in der Software hätten erkennen können. Das Landgericht Trier führt zudem aus: „Weiterhin war für den Datenabfluss eine Software verantwortlich, die weder von der Beklagten noch von ihrer Streithelferin entwickelt wurde, sondern von P.. Die Software war bis zum streitgegenständlichen Vorfall (unstreitig) als eine marktführende Anwendung als datensicherheits- und -schutzkonforme Austauschplattform im Markt etabliert, was sich auch in der potentiellen Betroffenheit von ca. 2.500 Unternehmen und öffentlichen Stellen durch den Cyberangriff zeigte.“, vgl. Landgericht Trier, Urteil vom 04.04.2025 – 2 O 85/24 – juris, Rn. 53. Wenn überhaupt kann daher dem Hersteller, aber nicht den Beklagten, die vollumfänglich auf die Software eines weltweiten Marktführers vertrauten, ein Vorwurf fahrlässigen Handelns gemacht werden. Auch lässt sich zu Lasten der Beklagten zu 1) kein schuldhafter Fehler bei der Auswahlentscheidung durch die Beklagte zu 2) als Auftragsverarbeiterin feststellen.
Nach alledem liegt seitens der Beklagten kein (zu vertretender) Verstoß gegen die DSGVO vor.
2.) Überdies fehlt es im vorliegenden Fall an einem ersatzfähigen immateriellen Schaden. Die Klägerin lässt diesbezüglich schriftsätzlich vortragen, dass der tatsächliche Schaden in dem andauernden Zustand bestehender und belastender Ungewissheit über die unbefugte Veröffentlichung der personenbezogenen Daten läge. Die Umstände hätten zudem zu Sorgen und Ängsten bei der Klagepartei geführt. Die Klägerin habe zudem Sorge, dass ihre Bank und/oder Depotdaten gehackt werden. Es müsse davon ausgegangen werden, dass die Daten der Klägerin bereits im sog. „Darknet“ zum Verkauf angeboten würden. Ferner müsse damit gerechnet werden, dass die Daten der Klägerin von Kriminellen dazu verwendet wurden oder werden, um unbefugt Zugang zu Bankkonten, Online-Diensten etc. zu erhalten, um die Klägerin finanziell zu schädigen. Die Verknüpfung und nachgelagerte Veröffentlichung von personenbezogenen Daten wie jedenfalls dem Vor- und Nachnamen sowie ggf. noch weiterer Daten öffne dem Missbrauch Tür und Tor. Der Verlust der Sozialversicherungsnummer (Anmerkung: diese wurde nicht abgegriffen, siehe oben) erhöhe zudem die Gefahr eines Identitätsdiebstahls erheblich. Zudem sei aber auch bereits der Umstand, dass die Daten der Klägerin einer unbekannten Anzahl von unberechtigten Personen zur Verfügung stehe, für sie beängstigend, da noch nicht bekannt sei, auf welcher Weise diese zweckentfremdet zum Einsatz kommen können.
Der Vortrag der Klägerin zum behaupteten Schaden ist weitgehend unschlüssig. Zwar ist der Ersatz eines immateriellen Schadens nicht davon abhängig, dass eine bestimmte Erheblichkeitsschwelle überschritten wird (vgl. dazu EuGH, Urteil vom 04.05.2023 – C-300/21 – juris) und es kann auch nach dem Erwägungsgrund 85 DSGVO eine Verletzung des Schutzes personenbezogener Daten einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen, zum Beispiel bei Verlust der Kontrolle über personenbezogenen Daten oder Identitätsdiebstahl. Abgesehen davon, dass der Kontrollverlust aber lediglich einen Schaden darstellen kann, nicht muss, gilt es auch hier zu beachten, dass stets im zur Entscheidung stehenden Einzelfall eine entsprechende Prüfung des Vorliegens eines Schadens zu erfolgen hat. So führt der EuGH im Urteil vom 14.12.2023, a.a.O., Rn. 84 f. aus: „Allerdings ist darauf hinzuweisen, dass eine Person, die von einem Verstoß gegen die DSGVO betroffen ist, der für sie negative Folgen gehabt hat, nachweisen muss, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen (…). Insbesondere muss das angerufene nationale Gericht, wenn sich eine Person, die auf dieser Grundlage Schadenersatz fordert, auf die Befürchtung beruft, dass ihre personenbezogenen Daten in Zukunft aufgrund eines solchen Verstoßes missbräuchlich verwendet werden, prüfen, ob diese Befürchtung unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann.“
Dementsprechend obliegt es der Kammer zu prüfen, ob die Befürchtungen der Klägerin als begründet angesehen werden können. Diesbezüglich gilt es zu beachten, dass die derzeit 8- jährige und zum Zeitpunkt des Hackerangriffs 5-jährige Klägerin nach den Ausführungen ihres Vaters im Rahmen der mündlichen Verhandlung keinerlei Kenntnis von den Vorgängen um den Verlust ihrer Daten hat. Der Vortrag in den klägerischen Schriftsätzen, wonach „belastende Ungewissheit“ über die unbefugte Veröffentlichung oder Ängste und Sorgen bestünde, erweist sich daher mangels Kenntnis der Klägerin von den Vorgängen als völlig unsubstantiiert. Wenn und soweit ausgeführt wird, dass die Klägerin Sorge habe, dass ihre Bankdaten gehackt würden, so gilt es zu beachten, dass nicht ihr Konto betroffen war, sondern das ihrer Mutter. Insoweit fragt sich, warum die Klägerin sodann – abgesehen von der fehlenden Kenntnis – Ängste haben will, wenn nicht einmal ihr Konto selbst betroffen ist. Im Übrigen bestehen keinerlei Anhaltspunkte dafür, dass die Daten im Darknet oder sonst missbräuchlich verwendet würden, zumal der Hackerangriff darauf abzielte, die betroffenen Unternehmen zu erpressen.
Dem steht auch nicht die Entscheidung des Bundesgerichtshofes (BGH) vom 18.11.2024 – VI ZR 10/24 – juris entgegen. Denn auch nach diesem Urteil ist eine „begründete Befürchtung“ der betroffenen Person erforderlich und diese Befürchtung muss, samt ihrer negativen Folgen „ordnungsgemäß nachgewiesen sein“ (vgl. nach juris Rn. 32). Der BGH führt auch aus, dass die „bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen“ ebenso wenig ausreicht, wie ein „rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten“ (vgl. nach juris Rn. 32). Dies zugrunde gelegt kann auch unter Berücksichtigung dieser Entscheidung des BGH vorliegend kein Schaden entstanden sein, nachdem hier schriftsätzlich Behauptungen zu vermeintlichen Ängsten der Klägerin aufgestellt werden, die diese mangels Kenntnis vom Datenverlust denknotwendig nicht haben kann. Es bestehen zudem nach über drei Jahren seit dem Hackerangriff nicht die geringsten Anhaltspunkte dafür, dass die Daten der Klägerin missbräuchlich verwendet wurden. Gerade das rein hypothetische Risiko einer missbräuchlichen Verwendung ist nach der Rechtsprechung des BGH nicht ausreichend, um einen immateriellen Schaden zu begründen.
Nach alledem fehlt es daher auch an einem ersatzfähigen Schaden. Die Klage erweist sich insoweit als unbegründet.
III. ) Feststellung künftiger Schäden
Soweit die Klägerin festgestellt haben will, dass die Beklagten verpflichtet sind, ihr alle materiellen künftigen Schäden zu ersetzen, fehlt es bereits am Feststellungsinteresse im Sinne des § 55 Abs. 1 Sozialgerichtsgesetz (SGG). Ein Interesse an der Feststellung einer Ersatzpflicht für künftige Schäden rein materieller Art hängt von der Wahrscheinlichkeit des ausstehenden Schadenseintritts ab. Ist hingegen bei verständiger Würdigung des Einzelfalls nicht mit dem Eintritt eines künftigen Schadens zu rechnen, so ist bereits eine derartige Möglichkeit zu verneinen, vgl. Landgericht Krefeld, a.a.O., Rn. 36 m.w.N.
Vorliegend sind keine Umstände ersichtlich, die den Eintritt künftiger Schäden über eine bloß theoretische Befürchtung hinaus wahrscheinlich werden lassen. Abgesehen davon, dass nicht die Kontodaten der Klägerin (sondern der Mutter) betroffen waren mit der Folge, dass der Klägerin kein Schaden materieller Art entstehen kann, gilt es zu beachten, dass die Sicherheitslücke unmittelbar nach dem Hackerangriff behoben wurde. Seither kam es zu keinen Schäden materieller Art. Dabei verringert sich eine solche Möglichkeit stetig mit fortschreitendem Zeitablauf (Landgericht Krefeld, a.a.O., Rn. 36 m.w.N.). Es handelt sich daher um eine bloße theoretische Befürchtung, die ein Feststellungsinteresse nicht zu begründen vermag.
IV. ) Unterlassung
Soweit die Klägerin Unterlassung begehrt, erweist sich die Klage als unzulässig. Die Klägerin beantragt – ähnlich wie der Kläger im Verfahren vor dem Landgericht Trier, a.a.O. – es zu unterlassen, „personenbezogene Daten der Klägerseite (…) Dritten zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzunehmen und ohne, dass eine Einwilligung der Klägerin vorliegt oder ein Rechtfertigungsgrund nach der DSGVO.“
Der Antrag ist zu unbestimmt. So wird nicht klar, welche Fälle des „Dritten zugänglich machens“ erfasst sein sollen und welche Sicherheitsmaßnahmen „dem Stand der Technik“ in der Zukunft entsprechen. Die erkennende Kammer schließt sich insoweit den zutreffenden rechtlichen Ausführungen des Landgerichts Trier, a.a.O., Rn. 34 ff. nach eigener Prüfung an und nimmt auf diese Bezug.
Den Volltext der Entscheidung finden Sie hier:
Urteil vom 10.06.2026
S 5 SF 65/24 DS
Das SG Nürnberg hat entschieden, dass kein Anspruch auf Schadensersatz aus Art. 82 DSGVO bei einem Cyberangriff auf MOVEit-Software durch Ausnutzen von Zero-Day-Exploits besteht, sofern die verantwortliche Stelle ausreichende technische und organisatorische Sicherheitsmaßnahmen vorhält
Aus den Entscheidungsgründen:
I. ) Rechtsweg
Der Rechtsweg zur Sozialgerichtsbarkeit ist eröffnet. Die Klägerin rügt einen Verstoß gegen die DSGVO. Für Klagen der betroffenen Person gegen einen Verantwortlichen oder einen Auftragsverarbeiter wegen eines Verstoßes gegen diese Verordnung ist nach dem expliziten Wortlaut des § 81b Abs. 1 Zehntes Buch Sozialgesetzbuch (SGB X) der Rechtsweg zu den Gerichten der Sozialgerichtsbarkeit eröffnet (vgl. zum Schadensersatz auch Bundessozialgericht – BSG – Beschluss vom 6. März 2023 – B 1 SF 1/22 R – juris).
II. ) Schadensersatz
Soweit die Klägerin Schadensersatz wegen eines geltend gemachten immateriellen Schadens von mindestens 3.000,00 € begehrt, erweist sich die Klage als unbegründet. Nach Art. 82 Abs. 1 DSGVO hat jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Nach Art. 82 Abs. 3 DSGVO ist die Haftung ausgeschlossen, wenn der Verantwortliche oder der Auftragsverarbeiter nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Gemäß Art. 82 Abs. 4 DSGVO haften sowohl der Verantwortliche – hier die Beklagte zu 1) gemäß Art. 4 Nr. 7 DSGVO – als auch der Auftragsverarbeiter – hier die Beklagte zu 2) gemäß Art. 4 Nr. 8 DSGVO – gesamtschuldnerisch für einen verursachten Schaden.
Die Voraussetzungen für einen Schadensersatzanspruch nach Art. 82 Abs. 1 DSGVO sind nicht erfüllt. Die Kammer konnte sich nicht von einem schuldhaften Verstoß der Beklagten gegen die DSGVO überzeugen. Überdies fehlt es an einem immateriellen Schaden.
1. ) Nach Art. 5 Abs. 1 f) DSGVO müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen. Dies hat der Verantwortliche (Art. 4 Nr. 7 DSGVO) – also die Beklagte zu 1) – nachzuweisen, vgl. Art. 4 Abs. 2 DSGVO. Nach Art. 24 Abs. 1 Satz 1 DSGVO setzt der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Nach Art. 24 Abs. 2 DSGVO müssen die Maßnahmen die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen, sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht. Art. 32 Abs. 1 DSGVO sieht zudem vor, dass der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die erfolgt unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.
Der Europäische Gerichtshof (EuGH) legt in seinem Urteil vom 14.12.2023 – C-340/21 – juris die wesentlichen Grundsätze nieder. Insoweit heiß es (Unterstreichungen eingefügt):
„Die Bezugnahme in Art. 32 Abs. 1 und 2 DSGVO auf „ein dem Risiko angemessenes Schutzniveau“ und ein „angemessenes Schutzniveau“ zeigt, dass mit der DSGVO ein Risikomanagementsystem eingeführt und in ihr in keiner Weise behauptet wird, dass sie das Risiko von Verletzungen des Schutzes personenbezogener Daten beseitigt“ (vgl. EuGH, a.a.O., Rn. 29). Dies zugrunde gelegt geht also auch der EuGH davon aus, dass es in einer digitalen – wie auch in der analogen Welt – keinen absoluten Schutz geben kann, sondern dass ein Risikomangementsystem Sinn und Zweck des Art. 32 DSGVO ist. In der Folge führt der EuGH aus, dass sich aus dem Wortlaut der Art. 24 und 32 DSGVO ergebe, dass diese Bestimmungen dem Verantwortlichen lediglich vorschreiben, technische und organisatorische Maßnahmen zu treffen, die darauf gerichtet sind, jede Verletzung des Schutzes personenbezogener Daten so weit wie möglich zu verhindern. Die Geeignetheit solcher Maßnahmen ist konkret zu bewerten, indem geprüft wird, ob der Verantwortliche diese Maßnahmen unter Berücksichtigung der verschiedenen in den genannten Artikeln aufgeführten Kriterien und der Datenschutzbedürfnisse getroffen hat, die speziell mit der betreffenden Verarbeitung sowie den davon ausgehenden Risiken verbunden sind (vgl. EuGH, a.a.O., Rn. 30). Sodann führt der EuGH in der Folge explizit aus (Unterstreichungen eingefügt): „Folglich können die Art. 24 und 32 DSGVO nicht dahin verstanden werden, dass eine unbefugte Offenlegung von bzw. ein unbefugter Zugang zu personenbezogenen Daten durch einen Dritten für die Schlussfolgerung ausreicht, dass die von dem für die betreffende Verarbeitung Verantwortlichen ergriffenen Maßnahmen nicht im Sinne dieser Bestimmungen geeignet waren, ohne dass ihm die Möglichkeit eingeräumt wird, den Gegenbeweis zu erbringen. Eine solche Auslegung ist umso mehr geboten, als Art. 24 DSGVO ausdrücklich vorsieht, dass der Verantwortliche den Nachweis dafür erbringen können muss, dass die von ihm umgesetzten Maßnahmen im Einklang mit der DSGVO stehen; diese Möglichkeit bliebe ihm verwehrt, wenn eine unwiderlegbare Vermutung angenommen würde“, vgl. EuGH, a.a.O., Rn. 31 f.
Die Beweislasst dafür, dass personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit dieser Daten im Sinne von Art. 5 Abs. 1 f) und Art. 32 DSGVO gewährleisten, obliegt dem für die betreffende Verarbeitung Verantwortlichen (vgl. EuGH, a.a.O., Rn. 52). Zum Fall von Cyberkriminalität führt der EuGH (Unterstreichungen eingefügt) aus: „Wenn, (…), eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO von Cyberkriminellen und damit von „Dritten“ im Sinne von Art. 4 Nr. 10 DSGVO begangen wurde, kann diese Verletzung dem Verantwortlichen nur dann zugerechnet werden, wenn dieser die Verletzung unter Missachtung einer Verpflichtung aus der DSGVO, insbesondere der Verpflichtung zum Datenschutz, die ihm nach Art. 5 Abs. 1 Buchst. f, Art. 24 und Art. 32 DSGVO obliegt, ermöglicht hat. Somit kann sich der Verantwortliche bei einer Verletzung des Schutzes personenbezogener Daten durch einen Dritten auf der Grundlage von Art. 82 Abs. 3 DSGVO von seiner Haftung befreien, indem er nachweist, dass es keinen Kausalzusammenhang zwischen der etwaigen Verletzung der Verpflichtung zum Datenschutz durch ihn und dem der natürlichen Person entstandenen Schaden gibt“, vgl. EuGH, a.a.O., Rn. 71 f.
Demnach entlasten Hackerangriffe zwar per se nicht von der Haftung, insbesondere dann nicht, wenn der Verantwortliche oder dessen Auftragsverarbeiter unzureichende Schutzmaßnahmen getroffen haben, vgl. dazu auch in diese Richtung EuGH, a.a.O., Rn. 74. Allerdings kann der Verantwortliche nachweisen, dass er in keinerlei Hinsicht für den Umstand, durch den der betreffende Schaden eingetreten ist, verantwortlich ist.
Unter Berücksichtigung dieser Grundsätze konnte sich die erkennende Kammer nicht von einer Verantwortlichkeit der Beklagten überzeugen. So haben die Beklagten substantiiert und umfassend dargelegt, dass die MOVEit-Anwendung zum Zeitpunkt des streitgegenständlichen Vorfalls im Markt als eine der marktführenden Anwendungen im Bereich Managed-File-Transferoftware etabliert war. P. bzw. deren Software war entsprechend zertifiziert. Zudem legte die Beklagte zu 2) im Schriftsatz vom 19.02.2025 umfassend eigene Maßnahmen dar, insbesondere:
- Zugriff auf die MOVEit-Anwendung nur mit Authentifikation mittels eines Nutzerkontos, wobei die Anlage von Nutzerkonten in einem stringenten Prozess erfolgte, der eine Beantragung, Genehmigung und Identitätsfeststellung vorausging.
- Jeder Nutzer erhält eine eindeutige, personalisierte, nutzerbezogene Kennung.
- In der MOVEit-Anwendung erfolgt nach 5 erfolglosen Anmeldeversuchen innerhalb eines Zeitfensters von 6 Minuten eine automatische Sperrung des Nutzerkontos für 30 Minuten. Zudem sperrt die MOVEit-Transfer-Plattform die IP-Adresse eines Endgerätes, wenn von dieser Adresse wiederholte Fehlversuche innerhalb eines Zeitfensters von 5 Minuten festgestellt wurden. Die Sperrung einer IP-Adresse kann nur von der zuständigen IT-Abteilung der Beklagten zu 2) aufgehoben werden und erfordert eine vorherige Prüfung des Vorgangs.
- Umfassende Vorgaben an das festzulegende Passwort (siehe hierzu detailliert Schriftsatz vom 19.02.2025).
- Eine Kommunikation mit der MOVEit-Transfer-Plattform ist nur über gesicherte Protokolle gestattet (FTPS, SFTP, HTTPS, Asx). Während der Dateiübertragung verwendet MOVEit SSL oder SSH zur Verschlüsselung der Kommunikation.
- Zum Zeitpunkt des Angriffs kam die Version 2021.1 (13.1.0.39) zum Einsatz und entsprach den damaligen Sicherheitsvorgaben des Herstellers.
Auf die weiteren aufgezeigten Maßnahmen im Schriftsatz vom 19.02.2025 wird Bezug genommen. Allein der Umstand, dass ein Hackerangriff erfolgreich gewesen ist, belegt nicht, dass die technischen und organisatorischen Maßnahmen im Vorfeld unzureichend gewesen sind (vgl. dazu Oberlandesgericht Stuttgart, Urteil vom 31.03.2021 – 9 U 34/21 – juris Rn. 54), zumal die Hacker nach dem Vortrag der Klägerin seit ca. 2021 versucht hätten, in das System einzudringen. Mithin brauchten sie – die Richtigkeit unterstellt – ca. zwei Jahre, um in das System zu kommen. Gerade die zeitliche Dauer bis zu einem erfolgreichen Angriff Ende Mai 2023 belegt auch die Sicherheit der Software. Soweit die Klägerin darauf abstellt, dass die Beklagten weitere technische Maßnahmen hätten ergreifen können, wovon sie einige aufzählt, ergibt sich hieraus keine Umsetzungspflicht, deren Nichteinhaltung einen datenschutzrechtlichen Verstoß begründen kann. Die Beklagten sind lediglich dazu verpflichtet, geeignete Maßnahmen zu treffen, die darauf gerichtet sich, eine Datenschutzverletzung so weit wie möglich zu verhindern (vgl. Landgericht Krefeld, Urteil vom 06.11.2025 – 3 O 93/24 –, juris, Rn. 30, m.w.N.). Die Auffassung des Landgerichts Krefeld zum streitgegenständlichen Hacker-Angriff vertritt auch die Kammer uneingeschränkt. So führt es aus: „Unzureichend wären die von den Beklagten beschriebenen TOM nur dann, wenn sich zuvor konkrete Anhaltspunkte für die Fehleranfälligkeit der – zum Zeitpunkt des Vorfalls – marktführenden G.-Anwendung ergeben hätten. Die Klägerin behauptet insoweit pauschal und ohne nähere Darlegung. Sie verweist hierzu auf einen unergiebigen öffentlichen Beitrag sowie auf sog. CVE-Einträge einer Fehlerdatenbank. Daraus ergibt sich indes nicht, ob die Beklagten diese Umstände vor dem Cyberangriff konkret wahrgenommen haben oder hätten wahrnehmen müssen, da insbesondere die letztgenannte Quelle vielmehr dafür spricht, dass das Programm seitens des Herstellers regelmäßig überprüft und sicherheitstechnisch weiterentwickelt wurde und wird. Gegen die Annahme, dass die Beklagten entsprechende Bedenken hätten haben müssen, spricht der Umstand, dass weltweit ca. 2.500 Unternehmen und Institutionen dem – insoweit unvorhergesehenen – sog. „zeroday-exploit“ zum Opfer fielen. Die Beklagte zu 1) hatte keinen Anlass zur verstärkten Kontrolle der Beklagten zu 2), Zweifel an der Eignung der Beklagten zu 2) als Auftragsverarbeiterin wurden nicht vorgetragen.“, vgl. Landgericht Krefeld, a.a.O., Rn. 30. Auch insoweit ist für die erkennende Kammer nicht ersichtlich, wie die Beklagten – sondern wenn überhaupt der Hersteller „P.“ – die Lücke in der Software hätten erkennen können. Das Landgericht Trier führt zudem aus: „Weiterhin war für den Datenabfluss eine Software verantwortlich, die weder von der Beklagten noch von ihrer Streithelferin entwickelt wurde, sondern von P.. Die Software war bis zum streitgegenständlichen Vorfall (unstreitig) als eine marktführende Anwendung als datensicherheits- und -schutzkonforme Austauschplattform im Markt etabliert, was sich auch in der potentiellen Betroffenheit von ca. 2.500 Unternehmen und öffentlichen Stellen durch den Cyberangriff zeigte.“, vgl. Landgericht Trier, Urteil vom 04.04.2025 – 2 O 85/24 – juris, Rn. 53. Wenn überhaupt kann daher dem Hersteller, aber nicht den Beklagten, die vollumfänglich auf die Software eines weltweiten Marktführers vertrauten, ein Vorwurf fahrlässigen Handelns gemacht werden. Auch lässt sich zu Lasten der Beklagten zu 1) kein schuldhafter Fehler bei der Auswahlentscheidung durch die Beklagte zu 2) als Auftragsverarbeiterin feststellen.
Nach alledem liegt seitens der Beklagten kein (zu vertretender) Verstoß gegen die DSGVO vor.
2.) Überdies fehlt es im vorliegenden Fall an einem ersatzfähigen immateriellen Schaden. Die Klägerin lässt diesbezüglich schriftsätzlich vortragen, dass der tatsächliche Schaden in dem andauernden Zustand bestehender und belastender Ungewissheit über die unbefugte Veröffentlichung der personenbezogenen Daten läge. Die Umstände hätten zudem zu Sorgen und Ängsten bei der Klagepartei geführt. Die Klägerin habe zudem Sorge, dass ihre Bank und/oder Depotdaten gehackt werden. Es müsse davon ausgegangen werden, dass die Daten der Klägerin bereits im sog. „Darknet“ zum Verkauf angeboten würden. Ferner müsse damit gerechnet werden, dass die Daten der Klägerin von Kriminellen dazu verwendet wurden oder werden, um unbefugt Zugang zu Bankkonten, Online-Diensten etc. zu erhalten, um die Klägerin finanziell zu schädigen. Die Verknüpfung und nachgelagerte Veröffentlichung von personenbezogenen Daten wie jedenfalls dem Vor- und Nachnamen sowie ggf. noch weiterer Daten öffne dem Missbrauch Tür und Tor. Der Verlust der Sozialversicherungsnummer (Anmerkung: diese wurde nicht abgegriffen, siehe oben) erhöhe zudem die Gefahr eines Identitätsdiebstahls erheblich. Zudem sei aber auch bereits der Umstand, dass die Daten der Klägerin einer unbekannten Anzahl von unberechtigten Personen zur Verfügung stehe, für sie beängstigend, da noch nicht bekannt sei, auf welcher Weise diese zweckentfremdet zum Einsatz kommen können.
Der Vortrag der Klägerin zum behaupteten Schaden ist weitgehend unschlüssig. Zwar ist der Ersatz eines immateriellen Schadens nicht davon abhängig, dass eine bestimmte Erheblichkeitsschwelle überschritten wird (vgl. dazu EuGH, Urteil vom 04.05.2023 – C-300/21 – juris) und es kann auch nach dem Erwägungsgrund 85 DSGVO eine Verletzung des Schutzes personenbezogener Daten einen physischen, materiellen oder immateriellen Schaden für natürliche Personen nach sich ziehen, zum Beispiel bei Verlust der Kontrolle über personenbezogenen Daten oder Identitätsdiebstahl. Abgesehen davon, dass der Kontrollverlust aber lediglich einen Schaden darstellen kann, nicht muss, gilt es auch hier zu beachten, dass stets im zur Entscheidung stehenden Einzelfall eine entsprechende Prüfung des Vorliegens eines Schadens zu erfolgen hat. So führt der EuGH im Urteil vom 14.12.2023, a.a.O., Rn. 84 f. aus: „Allerdings ist darauf hinzuweisen, dass eine Person, die von einem Verstoß gegen die DSGVO betroffen ist, der für sie negative Folgen gehabt hat, nachweisen muss, dass diese Folgen einen immateriellen Schaden im Sinne von Art. 82 DSGVO darstellen (…). Insbesondere muss das angerufene nationale Gericht, wenn sich eine Person, die auf dieser Grundlage Schadenersatz fordert, auf die Befürchtung beruft, dass ihre personenbezogenen Daten in Zukunft aufgrund eines solchen Verstoßes missbräuchlich verwendet werden, prüfen, ob diese Befürchtung unter den gegebenen besonderen Umständen und im Hinblick auf die betroffene Person als begründet angesehen werden kann.“
Dementsprechend obliegt es der Kammer zu prüfen, ob die Befürchtungen der Klägerin als begründet angesehen werden können. Diesbezüglich gilt es zu beachten, dass die derzeit 8- jährige und zum Zeitpunkt des Hackerangriffs 5-jährige Klägerin nach den Ausführungen ihres Vaters im Rahmen der mündlichen Verhandlung keinerlei Kenntnis von den Vorgängen um den Verlust ihrer Daten hat. Der Vortrag in den klägerischen Schriftsätzen, wonach „belastende Ungewissheit“ über die unbefugte Veröffentlichung oder Ängste und Sorgen bestünde, erweist sich daher mangels Kenntnis der Klägerin von den Vorgängen als völlig unsubstantiiert. Wenn und soweit ausgeführt wird, dass die Klägerin Sorge habe, dass ihre Bankdaten gehackt würden, so gilt es zu beachten, dass nicht ihr Konto betroffen war, sondern das ihrer Mutter. Insoweit fragt sich, warum die Klägerin sodann – abgesehen von der fehlenden Kenntnis – Ängste haben will, wenn nicht einmal ihr Konto selbst betroffen ist. Im Übrigen bestehen keinerlei Anhaltspunkte dafür, dass die Daten im Darknet oder sonst missbräuchlich verwendet würden, zumal der Hackerangriff darauf abzielte, die betroffenen Unternehmen zu erpressen.
Dem steht auch nicht die Entscheidung des Bundesgerichtshofes (BGH) vom 18.11.2024 – VI ZR 10/24 – juris entgegen. Denn auch nach diesem Urteil ist eine „begründete Befürchtung“ der betroffenen Person erforderlich und diese Befürchtung muss, samt ihrer negativen Folgen „ordnungsgemäß nachgewiesen sein“ (vgl. nach juris Rn. 32). Der BGH führt auch aus, dass die „bloße Behauptung einer Befürchtung ohne nachgewiesene negative Folgen“ ebenso wenig ausreicht, wie ein „rein hypothetisches Risiko der missbräuchlichen Verwendung durch einen unbefugten Dritten“ (vgl. nach juris Rn. 32). Dies zugrunde gelegt kann auch unter Berücksichtigung dieser Entscheidung des BGH vorliegend kein Schaden entstanden sein, nachdem hier schriftsätzlich Behauptungen zu vermeintlichen Ängsten der Klägerin aufgestellt werden, die diese mangels Kenntnis vom Datenverlust denknotwendig nicht haben kann. Es bestehen zudem nach über drei Jahren seit dem Hackerangriff nicht die geringsten Anhaltspunkte dafür, dass die Daten der Klägerin missbräuchlich verwendet wurden. Gerade das rein hypothetische Risiko einer missbräuchlichen Verwendung ist nach der Rechtsprechung des BGH nicht ausreichend, um einen immateriellen Schaden zu begründen.
Nach alledem fehlt es daher auch an einem ersatzfähigen Schaden. Die Klage erweist sich insoweit als unbegründet.
III. ) Feststellung künftiger Schäden
Soweit die Klägerin festgestellt haben will, dass die Beklagten verpflichtet sind, ihr alle materiellen künftigen Schäden zu ersetzen, fehlt es bereits am Feststellungsinteresse im Sinne des § 55 Abs. 1 Sozialgerichtsgesetz (SGG). Ein Interesse an der Feststellung einer Ersatzpflicht für künftige Schäden rein materieller Art hängt von der Wahrscheinlichkeit des ausstehenden Schadenseintritts ab. Ist hingegen bei verständiger Würdigung des Einzelfalls nicht mit dem Eintritt eines künftigen Schadens zu rechnen, so ist bereits eine derartige Möglichkeit zu verneinen, vgl. Landgericht Krefeld, a.a.O., Rn. 36 m.w.N.
Vorliegend sind keine Umstände ersichtlich, die den Eintritt künftiger Schäden über eine bloß theoretische Befürchtung hinaus wahrscheinlich werden lassen. Abgesehen davon, dass nicht die Kontodaten der Klägerin (sondern der Mutter) betroffen waren mit der Folge, dass der Klägerin kein Schaden materieller Art entstehen kann, gilt es zu beachten, dass die Sicherheitslücke unmittelbar nach dem Hackerangriff behoben wurde. Seither kam es zu keinen Schäden materieller Art. Dabei verringert sich eine solche Möglichkeit stetig mit fortschreitendem Zeitablauf (Landgericht Krefeld, a.a.O., Rn. 36 m.w.N.). Es handelt sich daher um eine bloße theoretische Befürchtung, die ein Feststellungsinteresse nicht zu begründen vermag.
IV. ) Unterlassung
Soweit die Klägerin Unterlassung begehrt, erweist sich die Klage als unzulässig. Die Klägerin beantragt – ähnlich wie der Kläger im Verfahren vor dem Landgericht Trier, a.a.O. – es zu unterlassen, „personenbezogene Daten der Klägerseite (…) Dritten zugänglich zu machen, ohne die nach dem Stand der Technik möglichen Sicherheitsmaßnahmen vorzunehmen und ohne, dass eine Einwilligung der Klägerin vorliegt oder ein Rechtfertigungsgrund nach der DSGVO.“
Der Antrag ist zu unbestimmt. So wird nicht klar, welche Fälle des „Dritten zugänglich machens“ erfasst sein sollen und welche Sicherheitsmaßnahmen „dem Stand der Technik“ in der Zukunft entsprechen. Die erkennende Kammer schließt sich insoweit den zutreffenden rechtlichen Ausführungen des Landgerichts Trier, a.a.O., Rn. 34 ff. nach eigener Prüfung an und nimmt auf diese Bezug.
Den Volltext der Entscheidung finden Sie hier: