Das Wichtigste in Kürze

  • Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht nach der Veröffentlichung der Daten aus dem Berliner Landesnetz keine Hinweise auf politische Ziele. Die Tat sei „ausschließlich finanziell motiviert“ gewesen, heißt es in Angaben eines Sprechers, die die Deutsche Presse-Agentur am Samstag wiedergibt.
  • Gefordert hatten die Angreifer nach Angaben der Berliner Senatskanzlei 30 Bitcoin – rund zwei Millionen Euro. Das Land Berlin zahlte nicht; nach Ablauf des Ultimatums am Freitagnachmittag stellte die Gruppe den Datensatz ins Darknet.
  • Das BSI warnt vor zwei konkreten Folgen: gezielten Phishing-Angriffen auf Basis der veröffentlichten Kontaktdaten und sogenannten Hack-and-Leak-Operationen, bei denen echte Dokumente in einen falschen Zusammenhang gestellt werden. In Berlin wird am 20. September das Abgeordnetenhaus gewählt.

Das deutsche Bundesamt für Sicherheit in der Informationstechnik hat sich am Samstag, 5. September 2026, zu den Folgen des Datenabflusses aus dem Berliner Landesnetz geäußert. Nach Angaben eines Sprechers, den die Deutsche Presse-Agentur zitiert, gibt es keine Hinweise darauf, dass hinter dem Angriff politische Ziele stehen: Die Tat sei „ausschließlich finanziell motiviert“ gewesen. Zugleich könnten durch die Veröffentlichung gestohlener Daten „verschiedene Risiken für die Betroffenen und letztlich auch für die Gesellschaft“ entstehen.

Die Einordnung kommt, nachdem die Angreifer den Datensatz am Freitag tatsächlich veröffentlicht hatten. Sie beantwortet die Frage nach dem Motiv – und stellt zugleich eine neue nach den Folgen.

Was das BSI konkret befürchtet

Zwei Risiken benennt die deutsche Bundesbehörde nach dieser Darstellung ausdrücklich. Das erste ist Phishing: Wer Namen, Telefonnummern und dienstliche Zusammenhänge aus einer Verwaltung kennt, kann Nachrichten schreiben, die nicht nach Massenmail aussehen, sondern nach einem Vorgang, den die angeschriebene Person kennt. Genau daran scheitert der übliche Rat, verdächtige Mails am schlechten Deutsch zu erkennen.

Das zweite Risiko nennt das BSI Hack-and-Leak: Echte Dokumente werden in einen Zusammenhang gestellt, in den sie nicht gehören – ein Vermerk ohne Datum, ein Entwurf ohne den Beschluss, der ihn später ersetzt hat. Der Reiz für Dritte liegt darin, dass sich die einzelnen Dateien nicht als Fälschung widerlegen lassen, weil sie keine sind. Am 20. September wird in Berlin das Abgeordnetenhaus gewählt. Das BSI hat diesen Zusammenhang nach der zitierten Darstellung nicht selbst hergestellt; es bleibt bei der allgemeinen Warnung vor Kontextmanipulation.

Der Ablauf: Angriff am 7. August, Veröffentlichung am 4. September

Nach der Mitteilung des Presse- und Informationsamts des Landes Berlin vom 3. September begann der Angriff am 7. August; am 14. August wurden zwei Senatsverwaltungen vom Landesnetz getrennt. Betroffen sind nach dieser Mitteilung die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt sowie die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen. Berlins Chief Digital Officer Florian Hauer erklärte nach dem Bericht des Fachdienstes move – moderne verwaltung, man gehe derzeit davon aus, dass der Angriff eingedämmt werden konnte.

Datum 2026 Vorgang Angabe dazu
7. August Beginn des Angriffs auf das Berliner Landesnetz –
7.–12. August Zeitraum, in dem Daten abgeflossen sein sollen 5,79 TB
14. August Zwei Senatsverwaltungen werden vom Landesnetz getrennt 2 Häuser
Ende August Erpressung wird öffentlich, Forderung im Auktionsformat 30 BTC
4. September Ultimatum läuft ab, Daten werden im Darknet veröffentlicht rund 1,44 Mio. Dateien
5. September Das deutsche BSI warnt vor Phishing und Hack-and-Leak –
Quellen: Presse- und Informationsamt des Landes Berlin, Mitteilung vom 3. September 2026; Berlin.de-Meldung vom 4. September 2026; BSI-Angaben vom 5. September 2026 nach dpa. Datenmenge und Dateizahl sind Angaben der Angreifer und vom Land Berlin nicht bestätigt.

Die Forderung lautete nach der Berliner Mitteilung auf 30 Bitcoin, umgerechnet rund zwei Millionen Euro, angeboten im Auktionsformat. Das Land Berlin zahlte nicht. Das Land Berlin hatte zuvor öffentlich erklärt, es werde auf einen solchen Erpressungsversuch nicht eingehen. Nach Ablauf der Frist am Freitagnachmittag stellte die Gruppe, die unter dem Namen Rhysida auftritt, den Datensatz frei zugänglich ins Darknet.

Was in den Daten liegen soll – und was davon belegt ist

Hier ist Vorsicht angebracht, weil fast alle kursierenden Zahlen aus derselben Quelle stammen: von den Angreifern. Nach deren Darstellung, die unter anderem der Fachdienst <kes> Informationssicherheit Ende August wiedergegeben hat, handelt es sich um 5,79 Terabyte und rund 1,44 Millionen Dateien, darunter Verträge, Personalakten, Passwörter und Kartenmaterial. Das Land Berlin hat den Datenabfluss bestätigt, den Umfang aber nicht.

Nach der Meldung des Landes Berlin vom 4. September prüfen IT-Forensiker im Auftrag des Landes die veröffentlichten Daten rund um die Uhr. Werden dabei einzelne betroffene Personen erkannt, sollen sie von den zuständigen Senatsverwaltungen risikobasiert und nach den gesetzlichen Vorgaben benachrichtigt werden. Genau darin liegt die praktische Schwierigkeit: Bis diese Prüfung abgeschlossen ist, weiß niemand verlässlich, wer in dem Datensatz steht.

Praxishinweis: Was jetzt hilft, solange die Prüfung läuft

  • Nicht selbst im Darknet suchen. Das Herunterladen des Datensatzes verbreitet ihn weiter und kann eigene Rechtsprobleme auslösen. Die Prüfung, wer betroffen ist, läuft nach Angaben des Landes Berlin ohnehin bereits.
  • Anrufe und Mails mit Bezug auf einen Verwaltungsvorgang unabhängig prüfen. Rückruf über eine selbst herausgesuchte Behördennummer, nicht über die in der Nachricht genannte. Das ist der Kern der BSI-Warnung.
  • Passwörter tauschen, die auch dienstlich verwendet wurden. In dem Datensatz sollen nach Darstellung der Angreifer auch Zugangsdaten liegen. Wer dasselbe Passwort privat weiterverwendet, verlagert das Risiko in den eigenen Alltag.
  • Bei Verdacht auf Missbrauch Anzeige erstatten. Das Land Berlin verweist dafür auf die Internetwache der deutschen Polizei Berlin und die örtlichen Dienststellen.

Rhysida ist kein Einzelfall, sondern ein Geschäftsmodell

Die Gruppe arbeitet nach dem Muster der doppelten Erpressung: erst Daten abziehen, dann mit deren Veröffentlichung Druck aufbauen. Das gemeinsame Advisory von FBI, der US-Behörde CISA und dem MS-ISAC beschreibt dieses Vorgehen bereits seit November 2023 und nennt als bevorzugte Ziele Bildung, Gesundheitswesen, Industrie, IT und den öffentlichen Sektor. Nach der oben genannten Aufstellung von <kes> führte die Auswertungsplattform Ransomware.live Ende August rund 280 Fälle, die der Gruppe zugerechnet werden – darunter die Stadtverwaltung Stuttgart im Mai 2026.

Der Fall Berlin fügt sich damit in eine Reihe, die NETZ-TRENDS in den vergangenen Wochen mehrfach berührt hat: von der Bedrohungslage in Deutschland insgesamt bis zu den Angriffen auf deutsche Umspannanlagen, bei denen Nordrhein-Westfalens Innenminister inzwischen ebenfalls eher einen Einzeltäter als einen fremden Staat für wahrscheinlich hält. Zweimal binnen weniger Tage steht damit dieselbe Frage im Raum – und zweimal fällt die Antwort nüchterner aus, als die erste Aufregung erwarten ließ.

Warum die Zahlungsverweigerung die Lage nicht beendet

Die Entscheidung, nicht zu zahlen, entspricht dem, wozu deutsche Sicherheitsbehörden bei Erpressungsfällen raten – sie löst das Problem der betroffenen Personen aber nicht. IT-Sicherheitsfachleute verweisen darauf, dass keine Fälle bekannt seien, in denen eine Zahlung die Veröffentlichung dauerhaft verhindert hätte. Der Datensatz bleibt jetzt im Umlauf, unabhängig davon, wie schnell die Forensik arbeitet.

Für die Beschäftigten der beiden Senatsverwaltungen ist das die eigentlich unangenehme Nachricht. Wessen Personalakte in dem Bestand liegt, kann daran nichts mehr ändern – weder durch ein neues Passwort noch durch eine Anzeige. Was bleibt, ist die Vorsicht bei jeder Nachricht, die auf Kenntnisse aus dem eigenen Arbeitsumfeld aufsetzt. Es ist ein schwacher Trost, aber ein belastbarer: Genau davor warnt die deutsche Bundesbehörde ausdrücklich, statt den Vorgang als abgeschlossen zu behandeln.

Was offen bleibt

  • Der Einstiegsweg. Wie die Angreifer in das Netz gelangten, ist öffentlich nicht mitgeteilt. Das ist die Frage, an der sich entscheidet, ob andere deutsche Landesverwaltungen aus dem Fall etwas lernen können.
  • Die Zahl der betroffenen Personen. Das Land Berlin nennt keine Größenordnung, solange die Prüfung läuft. Die kursierenden Zahlen stammen von den Angreifern.
  • Die datenschutzrechtliche Seite. Ob und mit welchem Ergebnis die Berliner Beauftragte für Datenschutz und Informationsfreiheit den Vorgang prüft, ist bislang nicht öffentlich mitgeteilt.

Belegbar ist nach dem heutigen Stand vor allem eines: Der teuerste Teil dieses Angriffs war nicht das Lösegeld, das nicht gezahlt wurde. Es ist die Zeit, in der die veröffentlichten Dokumente abrufbar bleiben – und jede Nachricht, die darauf aufbauen kann.

Waren Sie schon einmal von einem Datenleck bei einer Behörde oder einem Unternehmen betroffen, und wie haben Sie davon erfahren? Schreiben Sie uns Ihre Meinung gerne in die Kommentare.

Quellen

Transparenzhinweis: Bei Recherche, Strukturierung und Erstellung dieses Beitrags kamen KI-gestützte Werkzeuge zum Einsatz. Die verwendeten Quellen sind im Artikel aufgeführt. Die Veröffentlichung erfolgt erst nach manueller redaktioneller Freigabe.

BerlinBSICyberangriffDatenleckRansomware

Kommentar schreiben