Mitte August 2026 geriet die Berliner Landesverwaltung in den Fokus eines der schwersten Cyberangriffe der j\u00fcngeren deutschen Verwaltungsgeschichte. Die Erpressergruppe Rhysida drang in interne Netzwerke ein, entwendete nach eigenen Angaben mehrere Terabyte an Daten und setzte das Land Berlin unter Druck, ein L\u00f6segeld zu zahlen. Als die Frist Anfang September verstrich, ohne dass die Forderung erf\u00fcllt wurde, machten die Angreifer ihre Drohung wahr und stellten gro\u00dfe Teile der gestohlenen Informationen im Darknet zum Download bereit. Der Vorfall wirft grundlegende Fragen zur IT-Sicherheit \u00f6ffentlicher Institutionen, zum Umgang mit Erpressungsszenarien und zu den langfristigen Folgen f\u00fcr Betroffene auf.<\/p>\n\n\n\n
Chronologie des Angriffs<\/p>\n\n\n\n
Der Cyberangriff wurde am 14. August 2026 \u00f6ffentlich bekannt, nachdem Unregelm\u00e4\u00dfigkeiten in den Systemen des Berliner Landesnetzes (\u201eBeLa\u201c) aufgefallen waren. Nach Erkenntnissen der Senatskanzlei hatten die T\u00e4ter zwischen dem 7. und 12. August unbemerkt Zugriff auf interne Server und Netzwerkbereiche. Betroffen waren vor allem zwei Schl\u00fcsselressorts: die Senatsverwaltung f\u00fcr Mobilit\u00e4t, Verkehr, Klimaschutz und Umwelt sowie die Senatsverwaltung f\u00fcr Stadtentwicklung, Bauen und Wohnen. Unmittelbar nach der Entdeckung wurden die kompromittierten Systeme vom Landesnetz getrennt, um eine weitere Ausbreitung zu verhindern.<\/p>\n\n\n\n
Ende August best\u00e4tigte der Berliner Senat offiziell, dass es sich um einen Erpressungsversuch handelt. Die Gruppe Rhysida, die sich zu dem Angriff bekannte, forderte 30 Bitcoin \u2013 zum damaligen Zeitpunkt rund zwei Millionen Euro \u2013 und drohte mit der Ver\u00f6ffentlichung der gestohlenen Daten bei Nichtzahlung. Die Frist endete am Freitagnachmittag, dem 4. September 2026. Der Senat hatte bereits im Vorfeld klargestellt, dass man sich nicht erpressen lassen werde.<\/p>\n\n\n\n
Die Hackergruppe Rhysida<\/p>\n\n\n\n
Hinter dem Angriff steht die international operierende Ransomware- und Erpressergruppe Rhysida. Sicherheitskreisen zufolge wird die Gruppe Russland oder Osteuropa zugeordnet und ist seit mehreren Jahren aktiv. Rhysida nutzt typische Methoden von \u201eDouble-Extortion\u201c-Angriffen: Neben der Verschl\u00fcsselung von Systemen oder dem Zugriff auf Netzwerke werden Daten exfiltriert, um im Falle einer Nichtzahlung ver\u00f6ffentlicht oder versteigert zu werden. Das Vorgehen zielt darauf ab, den Druck auf die Opfer zu maximieren \u2013 insbesondere bei \u00f6ffentlichen Institutionen, wo die Gefahr von Reputationssch\u00e4den und Vertrauensverlust besonders hoch ist.<\/p>\n\n\n\n
Umfang und Art der gestohlenen Daten<\/p>\n\n\n\n
Die von Rhysida behauptete Datenmenge liegt bei etwa 5,7 bis 6 Terabyte, verteilt auf mehr als 1,4 Millionen Dateien. Laut Angaben der Gruppe und ersten Analysen betroffener Medien enthalten die gestohlenen Best\u00e4nde hochsensible Informationen: rund 46.500 Verwaltungsvertr\u00e4ge, etwa 80.000 Dokumente zu Ordnungswidrigkeitsverfahren, tausende interne E-Mails, Passw\u00f6rter, Login-Daten, IBANs sowie Unterlagen zu kritischer Infrastruktur \u2013 darunter Analysen zur Wasserversorgung Berlins und Notfallpl\u00e4ne f\u00fcr den Verteidigungsfall. Auch personenbezogene Daten von Besch\u00e4ftigten, B\u00fcrgerinnen und B\u00fcrgern sowie Unternehmen sollen betroffen sein. Eine unabh\u00e4ngige Best\u00e4tigung des gesamten Umfangs steht aufgrund laufender Ermittlungen aus.<\/p>\n\n\n\n
Nach Ablauf der Frist stellte Rhysida die Daten auf ihrer Darknet-Seite zum kostenlosen Download bereit. Erste Berichte sprechen von mehreren Paketen mit insgesamt rund 1,4 Millionen Datens\u00e4tzen. Experten des Chaos Computer Clubs gehen davon aus, dass zumindest Teile der Datenmenge nun dauerhaft im Netz verf\u00fcgbar sind und weiterverbreitet werden k\u00f6nnten.<\/p>\n\n\n\n
Reaktion des Berliner Senats<\/p>\n\n\n\n
Der Berliner Senat hat konsequent die Linie vertreten, sich nicht erpressen zu lassen. Regierender B\u00fcrgermeister Kai Wegner betonte mehrfach, dass keine L\u00f6segeldzahlungen erfolgen w\u00fcrden. Die Senatskanzlei informierte in Schreiben an Beh\u00f6rden und Betroffene \u00fcber die Lage und wies darauf hin, dass derzeit keine Erkenntnisse vorl\u00e4gen, das Landesnetz sei weiterhin infiltriert. Gleichzeitig wurde einger\u00e4umt, dass die Ver\u00f6ffentlichung personenbezogener Daten nicht auszuschlie\u00dfen sei. Das Land Berlin k\u00fcndigte an, Betroffene je nach Risikoeinsch\u00e4tzung zu informieren und Strafanzeigen zu unterst\u00fctzen.<\/p>\n\n\n\n
Parallel dazu laufen umfangreiche forensische Untersuchungen und Ermittlungen durch spezialisierte Beh\u00f6rden. Die kompromittierten Systeme bleiben vorerst vom Hauptnetz getrennt, w\u00e4hrend die Aufarbeitung der Sicherheitsl\u00fccken und die Pr\u00fcfung von Schutzma\u00dfnahmen fortgesetzt werden.<\/p>\n\n\n\n
Risiken f\u00fcr Betroffene und \u00d6ffentlichkeit<\/p>\n\n\n\n
Die Ver\u00f6ffentlichung der Daten birgt erhebliche Risiken f\u00fcr die betroffenen Personen und Institutionen. Personenbezogene Informationen wie Adressen, Telefonnummern oder Ausweiskopien k\u00f6nnen f\u00fcr gezielte Phishing-Angriffe, Identit\u00e4tsmissbrauch oder betr\u00fcgerische Kontaktversuche genutzt werden. F\u00fcr Unternehmen, die in den Dokumenten vorkommen, bestehen Reputationsrisiken und m\u00f6gliche wirtschaftliche Nachteile. Besonders sensibel sind Unterlagen zur kritischen Infrastruktur: Details zur Wasserversorgung oder zu Notfallpl\u00e4nen k\u00f6nnten theoretisch von Dritten missbraucht werden, auch wenn eine konkrete Gef\u00e4hrdungslage nach offiziellen Angaben derzeit nicht besteht.<\/p>\n\n\n\n
F\u00fcr die Berliner Verwaltung selbst bedeutet der Vorfall einen erheblichen Vertrauensverlust. Die Offenlegung interner Vertr\u00e4ge, Verfahrensdokumente und kommunikativer Abl\u00e4ufe k\u00f6nnte politische Prozesse beeinflussen und das Verh\u00e4ltnis zwischen B\u00fcrgern und Verwaltung belasten. Langfristig d\u00fcrften die Kosten f\u00fcr forensische Analysen, Sicherheitsnachr\u00fcstungen und m\u00f6gliche Schadensersatzforderungen erheblich sein<\/p>\n\n\n\n
Einordnung im Kontext zunehmender Cyberangriffe<\/p>\n\n\n\n
Der Angriff auf Berlin reiht sich in eine wachsende Serie von Cyberattacken auf \u00f6ffentliche Einrichtungen in Deutschland und Europa ein. Beh\u00f6rden, Kommunen und kritische Infrastrukturen gelten zunehmend als attraktive Ziele f\u00fcr organisierte Cyberkriminelle, die mit Erpressungssoftware und Datendiebstahl hohe Summen erzielen wollen. Experten warnen seit Jahren vor unzureichenden Sicherheitsstandards in vielen Verwaltungen, veralteter IT-Infrastruktur und Personalmangel im Bereich Cybersicherheit. Der Fall Berlin unterstreicht die Dringlichkeit, Investitionen in moderne IT-Sicherheit, Schulungen und Notfallpl\u00e4ne deutlich zu erh\u00f6hen \u2013 nicht nur auf Landesebene, sondern bundesweit.<\/p>\n\n\n\n
Fazit<\/p>\n\n\n\n
Der Cyberangriff auf die Berliner Verwaltung im August 2026 markiert einen gravierenden Einschnitt in der digitalen Sicherheitslage \u00f6ffentlicher Institutionen in Deutschland. Die Entscheidung des Senats, kein L\u00f6segeld zu zahlen, folgt einer prinzipiellen Linie, die von vielen Sicherheitsexperten unterst\u00fctzt wird, um keine weiteren Anreize f\u00fcr \u00e4hnliche Attacken zu schaffen. Gleichzeitig zeigt der Vorfall eindr\u00fccklich, wie verwundbar selbst zentrale Verwaltungsnetze sind und welche weitreichenden Konsequenzen ein erfolgreicher Angriff haben kann \u2013 von der Ver\u00f6ffentlichung sensibler Daten bis hin zu langfristigen Vertrauensverlusten. Die Aufarbeitung des Falls wird nicht nur f\u00fcr Berlin, sondern f\u00fcr die gesamte \u00f6ffentliche Hand in Deutschland richtungsweisend sein.<\/p>\n\n\n\n
Quellen:
rbb24<\/a>
tagesschau<\/a>
Reuters<\/a>
S\u00fcddeutsche Zeitung<\/a><\/p>\n\n\n\n