Berlin-Hack: 5,8 Terabyte Verwaltungsdaten im Darknet

Anfang September 2026 hat die Ransomware-Gruppe Rhysida rund 5,8 Terabyte an Daten aus dem Berliner Landesnetz im Darknet veröffentlicht, nachdem der Berliner Senat sich geweigert hatte, das geforderte Lösegeld von 30 Bitcoin (ca. 2 Millionen Euro) zu bezahlen. Es handelt sich um den grössten Datendiebstahl in der Geschichte der Berliner Verwaltung, und die Auswirkungen dürften noch über Jahre hinweg spürbar sein.

Ablauf des Angriffs

Zwischen dem 7. und 12. August 2026 drangen die Angreifer in die Netzwerke zweier Senatsverwaltungen ein: der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Nach Einschätzung des BSI erfolgte der Zugang vermutlich über einen externen Fernzugriff (VPN), wobei gefälschte Captcha-Abfragen eingesetzt wurden um bestehende Sicherheitsbarrieren zu umgehen.

Entdeckt wurde der Einbruch erst am 14. August, also zwei Tage nach Ende des eigentlichen Datenabflusses, woraufhin beide Verwaltungen sofort vom Landesnetz getrennt wurden. Dieses Zeitfenster von sieben Tagen zwischen Beginn der Exfiltration und der Isolation ist bemerkenswert, weil es den Angreifern offenbar genügte um 1,44 Millionen Dateien mit einem Gesamtvolumen von 5,79 Terabyte abzuziehen. Erst am 17. August kommunzierte Berlin den Vorfall öffentlich, zunächst als „IKT-Sicherheitsvorfall“ ohne weitere Details.

Das Lösegeld und die Veröffentlichung

Am 28. August tauchte dann die Lösegeldforderung auf: 30 Bitcoin, damals rund 2 Millionen Euro. Auf ihrer Darknet-Seite schrieben die Angreifer „Use the opportunity to bid on exclusive, unique and impressive data. Open your wallet.“ Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger stellten in einer gemeinsamen Erklärung klar: „Das Land Berlin lässt sich nicht erpressen.“

Am 4. September 2026 um 17 Uhr, nachdem die Frist abgelaufen war, veröffentlichte Rhysida die Daten in drei Download-Paketen mit insgesamt 5,26 Terabyte und 1439893 Dateien, begleitet von der Nachricht „All files was uploaded to public access, data hunters, enjoy.“ Die Dateilisten wurden anschliessend auch auf sozialen Medien geteilt.

Was in den Daten steckt

Die veröffentlichten Daten umfassen nach bisherigem Kenntnisstand ein breites Spektrum an Verwaltungsdokumenten, das in seiner Gesamtheit ein detailliertes Bild der Berliner Verwaltungsarbeit zeichnet. Laut den Angaben auf der Leak-Seite und den bisherigen Analysen von Journalisten und Sicherheitsforschern enthält das Material unter anderem:

  • Personaldaten von 12076 Personen, 16389 E-Mail-Adressen, 11963 Telefonnummern und 148 IBANs
  • Über 5000 Personalakten mit Arbeitsverträgen, Arbeitszeugnissen, Gehaltsabrechnungen und disziplinarischen Massnahmen
  • 2738 Gesundheitsdaten und Krankmeldungen
  • 5941 Dateien mit Passwörtern, teilweis im Klartext (z.B. für GebäudAtlas, ePayment PAYONE, administrative Zugänge)
  • 46522 Verträge, 77939 Rechts- und Beschwerdedateien, 55553 Finanzdokumente
  • Über 5000 Ordnungswidrigkeitenakten
  • 3226 Geheimhaltungsvereinbarungen (NDAs)
  • SQL-Datenbank-Dumps aus dem Zeitraum 2020 bis 2026
  • 124823 Kartografie- und Geodaten
  • Gescannte Personalausweise und Reisepässe aus Personalakten

Besonders heikel ist der Bereich kritische Infrastruktur: in den Daten finden sich Verwundbarkeitsanalysen der Berliner Wasserversorgung, ein Ordner mit der Bezeichnung „AG CBRN-Rahmenplanung“ (chemische, biologische, radiologische und nukleare Bedrohungsszenarien) sowie Dokumente mit Bezug zur Bundeswehr und zu geheimen Kommunikationskanälen der Bundesregierung für Krisenszenarien. Der Investigativjournalist Lars Winkelsdorf sprach von einer „Dimension, die die Staatssicherheit gefährdet“ und warnte davor dass dieses Material von Terroristen oder ausländischen Geheimdiensten eingesehen werden könnte.

Berlins Darstellung vs. Realität

Hier wird es interessant, denn die offizielle Kommunikation und die tatsächlichen Funde klaffen auseinander. Digitalstaatssekretär Florian Hauer erklärte, es seien „nur Daten entwendet worden, die die niedrigste von vier Geheimhaltungsstufen gehabt hätten“, also VS-NfD (Verschlusssache, Nur für den Dienstgebrauch). Höher klassifizierte Dokumente seien nicht betroffen. Auch Dateien die zunächst sensibel erschienen, etwa Dokumente mit Bezug zum Militärischen Abschirmdienst (MAD), hätten sich bei näherer Prüfung als reine Verwaltungsdokumente wie Parkgenehmigungen herausgestellt.

Gleichzeitig fanden Journalisten in den veröffentlichten Daten aber CBRN-Planungsdokumente, Schwachstellenanalysen der Wasser- und Stromversorgung und Informationen über Bundeswehr-Verträge. Ob Berlin die Brisanz bewusst herunterspielt oder ob die Regierung tatsächlich erst nach und nach das volle Ausmass erfasst, bleibt offen. Die Prüfung von über 1,2 Millionen Dateien war zum Zeitpunkt von Hauers Aussage jedenfalls noch nicht abgeschlossen…

Ermittlungsstand

Die Ermittlungen werden gemeinsam von mehreren Behörden geführt: dem Landeskriminalamt Berlin (LKA), der Berliner Staatsanwaltschaft, dem Bundeskriminalamt (BKA), dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und dem Bundesamt für Verfassungsschutz (BfV). Die Koordination läuft über das Gemeinsame Cyberabwehrzentrum.

Am 5. September warnte das BSI vor einer „erhöhten Bedrohungslage“ für die Gesellschaft und verwies insbesondere auf Risiken durch Identitätsdiebstahl, gezielte Phishing-Wellen und möglichen Missbrauch durch feindliche Staaten oder terroristische Akteure. Am 6. September richtete der Senat dann eine zentrale Steuerungseinheit in der Senatskanzlei ein, geleitet von Chief Digital Officer Florian Hauer, die für die Sichtung, Prüfung und Bewertung der abgeflossenen Daten zuständig ist und Betroffene nach einer risikobasierten Priorisierung kontaktieren soll..

Zur Gruppe Rhysida selbst: die Bande ist seit Mai 2023 aktiv und hat in der Vergangenheit unter anderem die British Library, die chilenische Armee und diverse Gesundheitseinrichtungen angegriffen. Sie gilt als finanziell motiviert und operiert nach dem klassischen Double Extortion Modell, bei dem Daten zuerst gestohlen und dann verschlüsselt werden, sodass die Opfer gleich zweimal unter Druck stehen. Ob es sich bei Rhysida um eine eigenständige Gruppe oder einen Rebrand einer älteren Operation handelt, ist Gegenstand laufender Untersuchungen.

Politische Dimension

Die Veröffentlichung fällt in eine politisch heikle Phase, weil am 20. September 2026 die Wahl zum Berliner Abgeordnetenhaus stattfindet. Sicherheitsexperten warnen vor möglichen „Hack-and-Leak-Operationen“, bei denen gestohlene Daten strategisch veröffentlicht werden um öffentliche Debatten oder politische Prozesse zu beeinflussen. Die Berliner Behörden betonen allerdings, dass die Wahlinfrastruktur nicht betroffen sei.

Grünen-Politiker Konstantin von Notz sprach von einer „Daten-Superkatastrophe“ und forderte „personelle Konsequenzen“, falls Sicherheitsprotokolle bewusst verletzt worden seien. IT-Sicherheitsexperte Manuel Atug warf der Berliner Verwaltung „grobe Fahrlässigkeit“ und „vorsätzliche Nichtbeachtung“ von Geheimhaltungsvorschriften vor und verwies auf Warnungen die bereits 2023 und 2025 ausgesprochen worden seien. CDU-Sicherheitspolitiker Roderich Kiesewetter warnte vor „gravierenden Auswirkungen auf die nationale Sicherheit“.

Offene Fragen

Es gibt eine ganze Reihe von Fragen auf die es bisher keine befriedigenden Antworten gibt:

Warum lagen derart sensible Daten (CBRN-Pläne, Infrastruktur-Analysen, Bundeswehr-Dokumente) überhaupt auf Fileservern von zwei Senatsverwaltungen, die primär für Stadtentwicklung und Verkehr zuständig sind? Wie konnte ein Datenabfluss von fast 6 Terabyte über fünf Tage unbemerkt bleiben? Warum dauerte es nach Entdeckung des Einbruchs noch weitere drei Tage bis zur öffentlichen Kommunikation? Und welche konkreten Sicherheitsmassnahmen wurden seit den dokumentierten Warnungen von 2023 und 2025 umgesetzt?
Berlin hat nach eigener Darstellung die betroffenen Systeme inzwischen gesichert, die Senatsverwaltungen wieder ans Landesnetz angebunden und 12000 Systeme überprüft. Zahlungssysteme die zwischenzeitlich ausgefallen waren (ca. 50000 Haushalte konnten vorübergehend kein Wohngeld erhalten) sind wieder funktionsfähig.

Für betroffene Bürger, Mitarbeiter und Unternehmen gilt: wer vermutet dass persönliche Daten betroffen sein könnten, kann über die Online-Wache der Polizei Berlin Anzeige erstatten und sollte besonders aufmerksam gegenüber Phishing-Versuchen und ungewöhnlichen Kontaktaufnahmen sein. Die Steuerungseinheit hat angekündigt, Betroffene nach DSGVO-Vorgaben aktiv zu kontaktieren, allerdings ohne einen konkreten Zeitrahmen zu nennen…

Ein Angriff dieser Grössenordnung zeigt einmal mehr, dass die Grundlagen der IT-Sicherheit in öffentlichen Verwaltungen nicht optional sind. Wenn Sie wissen möchten, wie Ihre Organisation gegen vergleichbare Bedrohungen aufgestellt ist: Kontaktieren Sie uns.

Quellen:

Autor: Andriu Isenring CISSP