Am 14. August 2026 wurde das Berliner Landesnetz nach einer Inkriminierung von zwei Senatsverwaltungen – der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt – vom restlichen Netzwerk getrennt. Der Vorfall verdeutlicht die Verwundbarkeit kommunaler und landeseigener digitaler Infrastrukturen gegenüber Cyberangriffen und wirft ein Licht auf die Risiken dezentraler IT-Strukturen für die Arbeitsfähigkeit kritischer Verwaltungsbereiche.
Hintergrund des Angriffs und betroffene Verwaltungen
Nach Angaben der Senatskanzlei kam es zu einer „Inkriminierung des Landesnetzes Berlin“, was im IT-Sicherheitskontext bedeutet, dass Angreifer unberechtigten Zugriff erlangt oder Schadcode platziert haben. Die betroffenen Fachressorts betrieben Teile ihrer IT-Systeme eigenständig außerhalb des zentralen IT-Dienstleistungszentrums Berlin (ITDZ). Diese dezentrale Betriebsverantwortung erschwerte einheitliche Sicherheitsstandards und ein zentrales Monitoring.
- Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen
- Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt
Die beiden Verwaltungen teilen sich Teilbereiche ihrer Informationstechnik und betrieben relevante Serverkomponenten in Eigenverantwortung, während das ITDZ lediglich das physische Glasfasernetz bereitstellt.
Technische Details des Berliner Landesnetzes
Das landeseigene IT-Dienstleistungszentrum (ITDZ) betreibt ein rund 1.000 km langes Hochgeschwindigkeits-Glasfasernetz, das über 600 Verwaltungs- und Infrastrukturlokationen verbindet. Dieses Netz dient Behörden, Polizei, Feuerwehr und Kliniken. Für die betroffenen Fachanwendungen liegt jedoch keine Betriebsverantwortung beim ITDZ.
- Netzlänge: 1.000 km (2026)
- Angebundene Standorte: 600 (2026)
Die Sicherheitslücke, die von den Angreifern ausgenutzt wurde, befand sich in der internen IT-Architektur der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen. Das ITDZ war für diesen Vorfall nicht verantwortlich.
Ablauf der Netztrennung und Krisenmanagement
Bereits am Freitag, dem 11. August 2026, wurden die beiden Fachressorts aus Sicherheitsgründen vom Landesnetz isoliert, um weiteren Schaden zu verhindern. Die Trennung dauerte drei Tage, bis die erste offizielle Senatsmitteilung erfolgte (Quelle: S2).
- Isolierungsdauer: 3 Tage
- Beteiligte Behörden: LKA Berlin, Staatsanwaltschaft Berlin, Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Einrichtung eines Notfallkrisenstabs unter Leitung des Landesbevollmächtigten für Informationssicherheit
Die Kommunikation der Landesregierung wurde kritisiert. Die Presseerklärung der Senatskanzlei wurde als „lapidar“ und informationsarm bezeichnet, was Gerüchte verstärken und das Vertrauen in die Regierung untergraben könnte.
Mitarbeiter: „Wir sind praktisch arbeitsunfähig“
Ein nicht namentlich genannter Mitarbeiter der Senatsverkehrsverwaltung äußerte gegenüber dem Tagesspiegel: „Wir sind praktisch arbeitsunfähig, ohne Internet und Mailkommunikation nach außen.“ Er fügte hinzu, dass Home-Office am Montag nicht möglich sei und an einer Lösung bis zum nächsten Tag kaum geglaubt werde.
Die Angestellten konnten nur telefonisch erreicht werden, während E-Mail- und Internetdienste komplett abgeschaltet waren.
Expertenstatement zu den Sicherheitslücken
Der IT-Experte Manuel Altug, der im RBB zu Wort kam, kritisierte die Vorbereitung Berlins auf einen Hackerangriff: „Es gibt beispielsweise Fachverfahren, die auf Betriebssystemen laufen, die wirklich seit vielen, vielen Jahren keine Updates mehr erhalten haben.“ Altug wies zudem darauf hin, dass veraltete Softwarestände und verzögerte Migrationen die Angriffsfläche vergrößerten. „Es ist möglich, dass ein KI-gestütztes Botnetz in das System eingedrungen ist“, ergänzte er.
Ermittlungen und mögliche Motive – Ablenkungsmanöver?
Forensische IT-Ermittler des LKA und des BSI prüfen im Rahmen der Incident-Response, ob der sichtbare Angriff als Ablenkungsmanöver („Decoy“) für tiefere Spionage- oder Sabotageaktivitäten an anderer Stelle des Landesnetzes diente. Der Tagesspiegel berichtete, dass Insider-Quellen von abgeflossenen Daten sprachen, die jedoch teils öffentlich, teils als „sehr sensible“ eingestuft werden.
- Verdacht auf Ablenkungsmanöver: ja
- Unklarer Umfang abgeflossener Daten: noch nicht bestätigt
- Unterschiedliche Aussagen: offizielle Stellen vs. Insider-Quellen
Parlamentarier fordern eine lückenlose Aufklärung, insbesondere im Hinblick auf veraltete Softwarestände und die Verzögerung bei Migrationen.
Expertenmeinungen zur IT-Sicherheitslage in Berlin
Manuel Altug, Sachverständiger für kritische Infrastruktur, betont, dass die Cybersicherheit in Berlin „noch schlechter geworden“ sei. Er kritisiert, dass große Upgrades verpasst wurden und dass lange Support-Verträge für veraltete Systeme nötig seien. Altug warnt zudem vor unzureichender Krisenkommunikation: „Ein professioneller Ansatz ist nötig, statt einer lapidaren Pressemitteilung, die nichts aussagt.“
Schnellüberblick:
Was bedeutet der Begriff ‚Inkriminierung des Landesnetzes‘?
Im IT-Sicherheitskontext beschreibt die Inkriminierung bzw. Kompromittierung den Zustand, dass Angreifer unberechtigten Zugriff auf Systeme erlangt oder Schadcode platziert haben, wodurch die Vertraulichkeit und Integrität der Infrastruktur nicht mehr garantiert werden kann.
Warum waren die Verwaltungen trotz Netzwerktrennung telefonisch erreichbar?
Moderne Telefoniesysteme können teilweise über getrennte Voice-over-IP-Segmente oder Notfallkanäle laufen, während internetbasierte Dienste wie E-Mail und Fachverfahren zur Schadenseindämmung vollständig abgeschaltet wurden.
Könnte es sich um einen KI-gestützten Botangriff gehandelt haben?
Nach Angaben des IT-Experten Manuel Altug ist es durchaus möglich, dass ein KI-gestütztes Tool in das System eingedrungen ist. Solche Botnetze nutzen automatisierte Techniken, um Verwaltungsnetze nach Schwachstellen zu durchforsten.
