SG Nürnberg, S 5 SF 65/24 DS: Zero-Day-Lücke im eingesetzten Fremdprodukt begründet keinen Verstoß gegen Art. 32 DSGVO
- Gericht
- SG Nürnberg
- Spruchkörper
- Sozialgericht, 5. Kammer
- Entscheidung vom
- 10.06.2026
- Aktenzeichen
- S 5 SF 65/24 DS
- Kategorien
- IT-Sicherheit, Datenschutz
- Schlagworte
- Schadensersatz, Unterlassung
- Zitiervorschlag
- SG Nürnberg, Endurt. v. 10.06.2026 – S 5 SF 65/24 DS; BeckRS 2026, 12741
Eine im Jahr 2018 geborene Klägerin verlangte Schadensersatz von mindestens 3.000 Euro, Feststellung künftiger Ersatzpflicht und Unterlassung, nachdem Angreifer am 31. Mai 2023 über eine Schwachstelle der Software MOVEit beim Auftragsverarbeiter des Bonusprogramms ihrer Krankenkasse Daten abgezogen hatten: Name, Krankenversicherungsnummer, Prämienbetrag und die Bankverbindung der Mutter. Das Sozialgericht Nürnberg wies die Klage mit Endurteil vollständig ab. Unter Verweis auf die Rechtsprechung des EuGH (C-340/21) sieht die DSGVO ein Risikomanagement vor und keinen absoluten Schutz; der Eintritt eines erfolgreichen Angriffs beweist für sich keinen Verstoß gegen Art. 32 DSGVO. Die Beklagten hatten angemessene Maßnahmen getroffen und ein marktführendes, zertifiziertes Produkt eingesetzt, dessen Lücke Hersteller und Anwender nicht bekannt war. Einen ersatzfähigen immateriellen Schaden verneinte das Gericht ebenfalls: Die Klägerin hatte vom Vorfall keine Kenntnis, das betroffene Konto gehörte der Mutter, und auch nach über drei Jahren gab es keine Anhaltspunkte für einen Missbrauch.
Kernaussagen
- Art. 32 DSGVO verlangt angemessene, nicht absolute Sicherheit; der Erfolg eines Angriffs indiziert keinen Verstoß.
- Wer ein zertifiziertes, marktführendes Produkt einsetzt und Updates unverzüglich einspielt, erfüllt bei einer Zero-Day-Lücke seine Pflichten.
- Die bloße Besorgnis eines künftigen Missbrauchs ist kein ersatzfähiger Schaden nach Art. 82 DSGVO.
- Ein pauschal formulierter Unterlassungsantrag zu künftigen Sicherheitsmaßnahmen ist unzulässig.
Bedeutung für die Praxis
Die derzeit beste Entlastungsargumentation nach einem Supply-Chain-Vorfall: dokumentierte Produktauswahl, Zertifizierungen und ein belegbar unverzügliches Patchen tragen die Verteidigung.