Datenleck bei Stromanbieter Tibber

Der aktuelle Hackerangriff auf den Stromanbieter Tibber hat die Daten von über 50.000 deutschen Kunden offengelegt. Die Datensätze werden laut Medienberichten seit dem 11. November 2024 im Darknet zum Verkauf angeboten.

Unter anderem haben Cyberkriminelle Namen, E-Mail-Adressen, Bestellbeträge und teilweise unvollständige Adressdaten der Tibber-Kunden entwendet. Auch wenn das Unternehmen Tibber betont, dass keine Zahlungs- oder Verbrauchsdaten betroffen sind, hat der Vorfall erhebliche Unsicherheiten bei den Betroffenen ausgelöst.

Die Chancen auf Schadensersatz sind enorm gestiegen. Der Bundesgerichtshof (BGH) hat sich am 11. November 2024 eindeutig verbraucherfreundlich zum Facebook-Datenleck positioniert (Az.: VI ZR 10/24). Dr. Stoll & Sauer empfiehlt daher Verbrauchern, die möglicherweise vom Tibber-Datenleck betroffen sind, eine kostenlose Erstberatung über den Datenleck-Online-Check. Die Kanzlei prüft dort die mögliche Betroffenheit und die rechtlichen Optionen zur Geltendmachung von Schadensersatzansprüchen. Die Kanzlei hat vor Landgerichten mehrfach Schadensersatzansprüche aufgrund des Facebook-Datenlecks geltend gemacht.

Ermittlungen laufen: Behörden über Tibber-Datenleck informiert

Kaum ein Tag vergeht, ohne dass ein neues Datenleck bekannt wird. Nun reiht sich auch der Stromanbieter Tibber in die Liste der betroffenen Unternehmen ein. Tibber, bekannt für seine dynamischen Strompreise, bietet Ökostrom für Kunden in Nordeuropa und Deutschland an. Mit den an den Börsenpreis gekoppelten Stromtarifen sollen Haushalte durch smarte Technik Geld sparen können.

Seit dem 11. November 2024 steht in einem beliebten Darknet-Forum ein Datensatz mit dem Titel „Tibber Data Breach – Leaked, Download“ bereit. Einige Beispielzeilen enthalten Name, E-Mail-Adresse, Bestellbetrag und unvollständige Adressdaten.

Die Kanzlei Dr. Stoll & Sauer fasst die bisherigen Erkenntnisse zusammen:

• Am 11. November 2024 tauchten gestohlene Datensätze im Darknet auf. Tibber bestätigte, dass die Daten aus dem Tibber-Shop stammen.
• Tibber verkaufte in seinem Online-Shop Smart-Energy-Hardware, darunter den Strom-Tracker „Pulse“.
• Laut Tibber wurden keine Zahlungs- oder Verbrauchsdaten, Passwörter oder vollständige Adressen entwendet.
• Die Hacker behaupten, 243.000 Datenzeilen gestohlen zu haben. Tibber geht hingegen von 50.000 betroffenen Kunden aus.
• Die Diskrepanz könnte auf Mehrfachnennungen oder die Aufteilung von Daten in mehrere Zeilen zurückzuführen sein.
• Tibber hat den Vorfall bei der Berliner Polizei angezeigt und die betroffenen Kunden informiert. Interne und externe Experten sowie Behörden arbeiten an der Aufklärung des Vorfalls und an Verbesserungsmaßnahmen.

Datenlecks: BGH erleichtert Durchsetzung von Ansprüchen auf Schadensersatz

Betroffene eines Datenlecks sollten den Vorfall bei Tibber nicht auf die leichte Schulter nehmen. Neben einer möglichen Spam-Welle könnten personenbezogene Daten wie Name, Adresse, E-Mail-Adresse, Bankdaten und Passwörter im Darknet verkauft und für kriminelle Aktivitäten genutzt werden. Dies kann bis zum Identitätsdiebstahl führen, bei dem Kriminelle im Namen der Opfer Geschäfte tätigen. Was bedeutet das für Tibber-Kunden? Welche Rechte haben Verbraucher?

• Auskunftsanspruch gemäß Art. 15 DSGVO: Nutzer können von Tibber verlangen, Auskunft darüber zu erhalten, ob sie vom Datenleck betroffen sind. Sollte Tibber keine oder eine unvollständige Auskunft erteilen, kann dies bereits einen Schadensersatzanspruch nach Art. 82 DSGVO begründen.
• BGH stärkt Verbraucherrechte: Der BGH hat am 11. November 2024 klargestellt, dass der reine Kontrollverlust über personenbezogene Daten bereits einen Schaden nach der DSGVO darstellt. Dies erleichtert die Durchsetzung von Schadensersatzansprüchen erheblich.
• Keine zusätzlichen Nachweise erforderlich: Nach der Rechtsprechung des BGH sind weitere Nachweise über Ängste oder Befürchtungen nicht zwingend erforderlich, auch wenn solche Nachweise den Schadensersatz erhöhen können.
• Erleichterungen für Betroffene: Mit der erwarteten BGH-Entscheidung vom 18. November 2024 wird es Verbrauchern künftig noch einfacher gemacht, immateriellen Schadensersatz bei Datenschutzverletzungen geltend zu machen.
• Präzedenzfall Facebook-Datenleck: Das Facebook-Datenleck zeigt exemplarisch, wie Kontrollverluste über personenbezogene Daten Schadensersatzansprüche nach der DSGVO auslösen können – eine Entwicklung, die auch für Tibber-Betroffene relevant ist.

(pd/Kanzlei Dr. Stoll & Sauer Rechtsanwaltsgesellschaft)