LG Krefeld, 3 O 93/24: Zero-Day-Angriff: kein DSGVO-Schadensersatz bei marktüblicher Software und angemessenen Maßnahmen
- Gericht
- LG Krefeld
- Spruchkörper
- Landgericht, 3. Zivilkammer
- Entscheidung vom
- 06.11.2025
- Aktenzeichen
- 3 O 93/24
- Kategorien
- IT-Sicherheit, Datenschutz
- Schlagworte
- Schadensersatz
- Zitiervorschlag
- LG Krefeld, Urt. v. 06.11.2025 – 3 O 93/24
Die Klägerin verlangte Schadensersatz wegen eines Datenlecks vom 31.05.2023: Unbekannte Angreifer waren über eine Zero-Day-Schwachstelle in die Systeme der beklagten Auftragsverarbeiterin eingedrungen und hatten Name, Adresse, Geburtsdatum, Steueridentifikationsnummer und Sozialversicherungsnummer abgerufen. Das LG Krefeld wies die Klage ab. Ein erfolgreicher Cyberangriff zeige nicht automatisch unzureichende Schutzmaßnahmen; die Beklagten hätten geeignete technische und organisatorische Maßnahmen umgesetzt. Sorgen und Ängste ohne konkreten Schadensvortrag begründeten keinen Anspruch, und der Feststellungsantrag für künftige Schäden sei mangels Wahrscheinlichkeit unzulässig.
Kernaussagen
- Der Erfolg eines Angriffs ist kein Beweis für unzureichende TOM.
- Bei einer Zero-Day-Schwachstelle beim Auftragsverarbeiter scheidet eine Haftung aus, wenn angemessene Maßnahmen nachgewiesen sind.
- Bloße Sorge vor Missbrauch genügt nicht; ein Feststellungsantrag für künftige Schäden ist ohne Wahrscheinlichkeit unzulässig.
Bedeutung für die Praxis
Nützlich für die Verteidigung von Mandanten nach Ransomware- und Exploit-Vorfällen.