Im September 2026 veröffentlichte die Ransomware-as-a-Service-Gruppe Rhysida rund 5,8 Terabyte sensibler Verwaltungs- und Sicherheitsdaten des Landes Berlin im Darknet. Der Vorfall betrifft nicht nur Personal- und Bürgerdaten, sondern auch Notfallpläne, CBRN-Konzepte und Bauakten von Bundesbauten – ein direkter Eingriff in die innere Sicherheit und den Schutz kritischer Infrastrukturen in Deutschland.
Hintergrund zum Cyberangriff und den betroffenen Senatsverwaltungen
Der Datendiebstahl, der bereits Mitte August 2026 zur vorübergehenden Trennung ganzer Verwaltungsbereiche vom Landesnetz führte, konzentrierte sich primär auf die Netze zweier Fachverwaltungen: der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt sowie der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen (Spiegel 2026). Nach Entdeckung wurden diese Netze isoliert, um eine weitere Ausbreitung zu verhindern.
„Man hat mit Vorsatz den schlimmsten staatlichen Datengau verursacht, den man verursachen kann“, sagt Manuel Atug, Experte für kritische Infrastruktur, im Interview für WELT TV.
„Wenn jemand einen Plan erarbeiten will, wie man Berlin und damit auch der Bundesregierung direkt schaden kann, findet er hier mehr als genügend Anhaltspunkte“, warnt die Sicherheitsexpertin Bianca Kastl gegenüber dem Spiegel.
Nach dem vierten Absatz (hinter dem Zitat von Bianca Kastl) einfügen, um die technischen Ausmaße und betroffenen Behörden zu präzisieren.
Die veröffentlichten Archive umfassen exakt 1.439.893 Dateien und belegen ein Gesamtvolumen von etwa 5,8 Terabyte. Das Datenpaket enthält neben vertraulichen Bauplänen auch Dokumente der Arbeitsgruppe „AG CBRN-Rahmenplanung“, die Notfallmaßnahmen bei chemischen, biologischen, radiologischen und nuklearen Gefahrenlagen für den Ballungsraum Berlin festlegen.
Das Ausmaß des Datenlecks: 5,8 Terabyte und 1,439,893 Dateien
- Gesamtdatenvolumen: 5,8 Terabyte (2026)
- Exakte Dateianzahl: 1.439.893 (2026)
- Enthaltene Dokumente: Baupläne, CBRN-Rahmenplanungen, Gehaltslisten, Ausweisscans, Kontoinformationen, interne Personalangelegenheiten
Die Daten wurden nach Ablauf des Ultimatums am 4. September 2026 um 15:35 Uhr von den Angreifern in drei Paketen zum Download angeboten und mit dem Kommentar „Viel Spaß, Datenjäger“ versehen.
Die Ransomware-Gruppe Rhysida und ihre Lösegeldforderung
Rhysida, seit Mai 2023 aktiv, operiert als Ransomware-as-a-Service-Anbieter. Die Gruppe verlangte als Mindestgebot 30 Bitcoin, was zum Stichtag etwa zwei Millionen Euro entsprach. Die Zahlungsfrist lief bis zum 4. September 2026, 15:35 Uhr.
„Die Gruppe nutzt ein Ransomware-as-a-Service-Modell und erbeutete in der Vergangenheit bereits Daten internationaler Einrichtungen“, berichtet der Tagesspiegel. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie internationale Sicherheitsbehörden wie das FBI stuften die Gruppe als hochgefährlich ein.
Der Senat von Berlin entschied, keine Lösegeldzahlung zu leisten – ein Schritt, der den Empfehlungen des BSI und internationalen No-Ransom-Leitlinien entspricht.
Sicherheitsrelevanz: CBRN-Pläne und kritische Infrastrukturen
Zu den besonders sensiblen Dokumenten zählt ein Ordner mit dem Vermerk „AG CBRN-Rahmenplanung“. Diese Unterlagen enthalten detaillierte Notfallmaßnahmen für chemische, biologische, radiologische und nukleare Gefahrenlagen – ein klarer Risikofaktor für den Katastrophenschutz in Berlin.
Zusätzlich wurden mehr als 550 Dateien zur Kanzleramts-Erweiterung veröffentlicht, darunter Gutachten und Sicherheitsanalysen des Landeskriminalamts.
- Risiken für Beschäftigte: Phishing, Identitätsdiebstahl, Erpressungsversuche
- Risiken für Bürger: Missbrauch personenbezogener Daten, gezielte Social-Engineering-Angriffe
- Risiken für kritische Infrastruktur: Erkenntnisse über Schwachstellen in Notfall- und Katastrophenschutzplänen
Reaktionen von Politik und Sicherheitsexperten
Regierender Bürgermeister Kai Wegner (CDU) bezeichnete den Vorfall als „schwere Straftat“ und betonte, dass die Stadt Berlin jetzt das Ziel verfolge, mögliche Betroffene „schnellstmöglich zu erreichen“. Er fügte hinzu: „Da sind wir in der Prüfung.“
Die Bundesregierung führte laut Sprecher eine intensive Prüfung der eigenen Datensysteme durch, kam jedoch zu dem Ergebnis, dass bislang keine eigenen Systeme betroffen seien.
IT-Sicherheitsexperten warnten, dass die Nichtzahlung des Lösegelds zwar das Geschäftsmodell der Erpresser schwächen solle, gleichzeitig aber die Veröffentlichung hochsensibler Daten Dritter unvermeidlich mache.
Schnellüberblick:
Welche Behörden Berlins waren konkret betroffen?
Im Zentrum des Angriffs standen die Netze der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt sowie der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen, die nach Entdeckung isoliert wurden.
Warum zahlt die öffentliche Hand grundsätzlich kein Lösegeld?
Behörden folgen den Empfehlungen des BSI und internationalen Vorgaben, da Zahlungen das Geschäftsmodell der Erpresser finanzieren, Folgetaten provozieren und keine Garantie für Datenlöschung bieten.
Welche Risiken drohen Beschäftigten und Bürgern durch den Leak?
Aufgrund veröffentlichter Gehaltsdaten, Ausweisdokumente und Adressen besteht ein erhöhtes Risiko für gezieltes Phishing, Identitätsdiebstahl und Erpressungsversuche (Social Engineering).
Quellen
- https://www.spiegel.de/netzwelt/web/berlin-hacker-veroeffentlichen-1-4-millionen-sensible-daten-im-darknet-a-02b1eb96-932f-48d8-91c6-66385d0dcb77
- https://www.tagesspiegel.de/berlin/it-sicherheit-senatskanzlei-aussert-sich-nicht-zu-den-erpressern-12275466.html
- https://www.pfalz-express.de/cyberattacke-auf-berlin-daten-im-darknet-veroeffentlicht/
