Nach Steuerdaten-Hack: Hunderte Betroffene gehen gegen den Staat vor

Béziers – 24.08.2026: Nach dem Cyberangriff auf die französische Steuerverwaltung haben sich mehrere Hundert Betroffene einer gemeinsamen rechtlichen Initiative gegen den Staat angeschlossen. Der in Béziers zugelassene Anwalt Jérémy Roche teilte am Montag mit, seine Kanzlei bündele die Fälle. Die Teilnehmer verlangen Schadenersatz: Ihrer Auffassung nach hat der Staat sensible persönliche Angaben nicht ausreichend vor dem Zugriff Unbefugter geschützt.

Ausgangspunkt ist ein schwerwiegender Sicherheitsvorfall bei der Direction générale des Finances publiques (DGFiP). Nach Angaben des Wirtschafts- und Finanzministeriums verschafften sich Angreifer im Juni und Juli 2026 mithilfe missbrauchter Zugangsdaten Zugriff auf Teile des Informationssystems. Bekannt wurde der Vorfall Mitte August, nachdem ein Angreifer die Tat für sich reklamiert hatte. Die Finanzverwaltung informierte anschließend die Öffentlichkeit und richtete Hinweise für möglicherweise betroffene Bürger und Unternehmen ein.

Nach dem bislang veröffentlichten Stand wurden Datensätze von insgesamt 678.000 Privatpersonen und Unternehmen eingesehen und kopiert. Betroffen sein können unter anderem Steuerkennungen, Namen und Kontaktdaten sowie Angaben zum Referenzeinkommen und zum Familienquotienten. Solche Informationen sind besonders sensibel, weil sie Rückschlüsse auf die wirtschaftliche und familiäre Situation zulassen. Zudem können sie für glaubwürdig wirkende Betrugsversuche, Phishing-Nachrichten oder eine missbräuchliche Kontaktaufnahme genutzt werden.

Ob allen Teilnehmern der Initiative tatsächlich ein ersatzfähiger Schaden entstanden ist, muss rechtlich geprüft werden. Der bloße Verlust der Kontrolle über persönliche Daten kann Ansprüche begründen, doch hängt deren Erfolg von den Umständen des Einzelfalls und dem Nachweis eines immateriellen oder materiellen Schadens ab. Ebenso wird zu klären sein, welche Schutzmaßnahmen die Verwaltung getroffen hatte und ob diese angesichts der Risiken ausreichend waren.

Die französische Datenschutzaufsicht CNIL hat nach eigenen Angaben Überprüfungen eingeleitet. Sie untersucht bei Datenpannen üblicherweise, ob die verantwortliche Stelle ihre Sicherheits- und Meldepflichten eingehalten und die Betroffenen angemessen informiert hat. Diese aufsichtsrechtliche Prüfung ist von den individuellen Entschädigungsforderungen zu unterscheiden. Auch eine gebündelte Initiative bedeutet im französischen Recht nicht automatisch, dass sämtliche Beteiligten denselben Anspruch oder dieselbe Entschädigung erhalten.

Für die Betroffenen entstehen zunächst praktische Risiken. Sie sollten Mitteilungen, die angeblich von der Steuerverwaltung stammen, besonders sorgfältig prüfen, keine Zugangsdaten über Links in E-Mails oder Kurznachrichten eingeben und verdächtige Kontaktversuche dokumentieren. Die DGFiP weist darauf hin, dass sie betroffene Nutzer informiert. Maßgeblich bleiben die Mitteilungen über die offiziellen Kanäle der Steuerverwaltung. Nach deren Angaben umfasst der Vorfall Datensätze von 678.000 Privatpersonen und Unternehmen.

Quellen

• Franceinfo
• Ministerium für Wirtschaft und Finanzen
• Direction générale des Finances publiques
• CNIL