Cyberattacke auf Berlin könnte größere Folgen haben als bisher gedacht

Inhaltsverzeichnis

Es ist von einem „echten Daten-Super-GAU“, von einem Datenabfluss „von gravierendem Ausmaß“ die Rede: Die Cyberattacke auf Teile der Berliner Verwaltung könnte viel weitreichendere Folgen haben als zunächst bekannt, weit über die Hauptstadt hinaus. Seit Freitag sind rund 1,44 Millionen Dateien mit einem Umfang von 5,8 Terabyte im Darknet veröffentlicht.

Zunächst schienen nur personenbezogene Daten betroffen zu sein: gescannte Reisepässe, Arbeitsverträge, Bewerbungsunterlagen, Krankmeldungen. Laut mehreren Medienberichten und der Einschätzung von IT-Experten könnten allerdings auch hochsensible Daten geleakt worden sein, die für den Schutz kritischer Infrastruktur und die Sicherheit von Bund und Ländern relevant sind. Dabei geht es etwa um den Zivilschutz oder Rüstungsunternehmen.

Die Cyberattacke auf Berlin – Zeitablauf und Aufarbeitung

• 7. bis 12. August 2026: Bei den beiden Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz werden Daten durch Unbekannte ausgeleitet. Der Angriff begann lange vor diesem Zeitpunkt.
• 14. August 2026: Die beiden Senatsverwaltungen werden vom Landesnetz isoliert.
• 17. August 2026: Die Senatskanzlei informiert per Pressemitteilung über einen „IKT-Vorfall im Landesnetz Berlin“. Es wird ein Notfallkrisenstab eingerichtet, BKA und LKA ermitteln, das BSI ist informiert.
• 21. August 2026: Die beiden Behörden sind weiterhin vom Landesnetz abgeschnitten. Es kommt zu Problemen bei Transferleistungen, unter anderem kann an 50.000 berechtigte Haushalten in Berlin kein Wohngeld ausgezahlt werden.
• 24. August 2026: Alle Teile der Senatsverwaltung sind wieder am Netz und laut des Regierernden Bürgermeisters Kai Wegner „grundsätzlich arbeitsfähig“.
• 27. August 2026: Florian Hauer, Berliner Staatssekretär für Digitalisierung erklärt: „Derzeit gehen wir davon aus, dass der Angriff eingedämmt werden konnte“. Er kann nicht ausschließen, dass „auch personenbezogene oder sonstige nicht-öffentliche Daten betroffen sind“.
• 28. August 2026: Sicherheitsbehörden treffen sich mit Vertretern des Landes Berlin zu einer Krisensitzung. Die Angreifer haben Daten erbeutet und stellen eine Lösegeldforderung. Der Regierende Bürgermeister Kai Wegner erklärt: „Das Land Berlin lässt sich nicht erpressen.“ Angaben zu Umfang und Inhalt der Daten gibt es nicht. Am Abend berichtet der Spiegel, dass die bekannte Ransomware-Bande „Rhysida“ dahinter stecken soll. Auf deren Darknet-Webseite gibt es nachvollziehbar eine Forderung nach 30 Bitcoin (rund 2 Millionen Euro), mitsamt angeblichen Auszügen aus den Daten. Die Kriminellen versprechen unter anderem Listen mit Passwörtern im Klartext, Justizunterlagen und über 46.500 Verträge des Landes.
• 30. August 2026: Der CCC-Sprecher Joachim Selzer warnt vor möglichem Identitätsdiebstahl und anderen Betrugsversuchen. Bürger, von denen persönliche Angaben in dem vermeintlichen Datensatz enthalten sein könnten, würden zudem leicht Opfer von Erpressungsversuchen.
• 1. September 2026: Auf einer Pressekonferenz bestätigt die Senatsverwaltung, dass auch Passwörter abgeflossen sind. Die Mitarbeiter der beiden Verwaltungen könnten daher derzeit nicht aus dem Home Office arbeiten. Alle 12.000 Systeme des Landes Berlin würden derzeit „rund um die Uhr“ überprüft.
• 4. September 2026: Die Kriminellen veröffentlichen rund 1,44 Millionen Dateien im Darknet. Darunter sind auch Personalunterlagen, Angaben zu Disziplinarverfahren, Finanzunterlagen sowie Details zur Kritischen Infrastruktur des Landes Berlin.
• 5. September 2026: Das BSI warnt vor einer „erhöhten Bedrohungslage“ für die Gesellschaft.
• 6. September 2026: Das Land Berlin richtet eine „Steuerungseinheit“ ein. Vom Leak Betroffene sollen per E-Mail und Brief kontaktiert werden. Politiker und IT-Experten zeigen sich schockiert von Umfang und Inhalt der veröffentlichten Daten.

Von einem „echten Daten-Super-GAU“ sprach der Grünen-Fraktionsvize Konstantin von Notz im Handelsblatt. „Sollte sich herausstellen, dass Schutzmechanismen bewusst nicht eingehalten wurden und der dringend notwendige Geheimschutz nicht gewährleistet war, wären auch personelle Konsequenzen unausweichlich“, sagte der Grünen-Politiker der Zeitung.

„Die Bundesregierung trifft eine direkte Mitschuld“

Seiner Einschätzung nach könnte es sich um den schwersten bislang bekanntgewordenen IT-Sicherheitsfall auf Landesebene handeln – mit möglicherweise erheblichen finanziellen Folgen, so von Notz: „Der jüngste Fall in Berlin wird die Steuerzahler Millionen kosten. Die Bundesregierung trifft eine direkte Mitschuld.“ CDU-Außenpolitiker Roderich Kiesewetter sagte der Süddeutschen Zeitung: „Dieser Datenabfluss ist von gravierendem Ausmaß und gefährdet unsere nationale Sicherheit.“

Die Kriminellen hatten sich vom 7. bis zum 12. August unbemerkt Zugang zu Teilen des Berliner Landesnetzes verschafft und Daten abgeschöpft. Betroffen waren die Senatsverwaltungen für Bauen und Verkehr. Die Verwaltung bemerkte den Angriff am 14. August und machte ihn drei Tage später öffentlich. Die Bande namens „Rhysida“ forderte 30 Bitcoin, was umgerechnet rund zwei Millionen Euro entspricht. Der Senat zahlte nicht und die Täter veröffentlichten die Daten nach Ablauf ihres Ultimatums.

Ein Sprecher des Innenministeriums sagte, die Gruppierung gelte als kriminell und handle aus finanziellen Gründen. Ein vollständiger Überblick über die geleakten Daten ist wegen der gewaltigen Menge bislang kaum möglich. Außerdem könne man nicht einfach per STRG+F nach bestimmten Begriffen suchen, erklärte Jochim Selzer, Sprecher des Chaos Computer Clubs.

Seinen Recherchen zufolge sind unter den Dateien neben personenbezogenen Daten auch sensible Informationen über die Berliner Wasserversorgung zu finden. Dem Tagesspiegel zufolge sollen sich darunter zudem Daten zu Heizkraftwerken, Tanklagern, Notstromanlagen, Umspannwerken, Gefängnissen, Wasserwerken sowie Rüstungsunternehmen und der Bundeswehr befinden.

IT-Experte wirft Berlin grobe Fahrlässigkeit vor

Für Betroffene besteht die Gefahr von Identitätsdiebstahl und gezielten Phishing-Angriffen, wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) informiert. Sicherheitsrelevante Informationen könnten zudem von fremden Mächten oder Terroristen missbraucht werden. Das BSI warnt, dass Angaben zu kritischen Infrastrukturen, Unternehmen und Organisationen je nach Sensibilität die Bedrohungslage erhöhen könnten.

Der IT-Experte Manuel Atug wirft dem Land Berlin schwere Versäumnisse vor. „Das Land Berlin hat grob fahrlässig gehandelt und vorsätzlich die Geheimschutz-Vorgaben nicht eingehalten“, sagte er der Deutschen Presse-Agentur. „Ich bin darüber wirklich schockiert und sprachlos.“ Atug sagte, er sei 2023 und 2025 als Sachverständiger in den Berliner Innenausschuss geladen worden und habe damals schon auf eklatante Sicherheitslücken hingewiesen.

Betroffene sollen per Brief oder E-Mail kontaktiert werden

In Berlin koordiniert inzwischen eine zusätzliche Steuerungseinheit die Sichtung und Bewertung der Daten. Nach Angaben des Bundesinnenministeriums sind auch das Bundesamt für Sicherheit in der Informationstechnik (BSI), das Bundeskriminalamt (BKA) und das Bundesamt für Verfassungsschutz (BfV) an der Aufarbeitung beteiligt. Im Gemeinsamen Cyberabwehrzentrum würden alle Erkenntnisse zusammengetragen und geteilt.

Betroffene Bürgerinnen und Bürger, Beschäftigte und Unternehmen sollen nach Angaben der Senatskanzlei risikobasiert per Brief oder E-Mail kontaktiert und beraten werden. Konkrete Angaben dazu, welche Daten genau veröffentlicht wurden, machte die Senatskanzlei zunächst nicht. Die forensischen Untersuchungen und Ermittlungen dauern an.

Die Bundeswehr kündigte an, nach der Analyse möglicher Sicherheitsrisiken Maßnahmen zum Schutz der militärischen Sicherheit einzuleiten. Auch die Berliner Landesregierung hat die Sicherheitsmaßnahmen nach eigenen Angaben erhöht. In zwei Wochen wird in Berlin ein neues Abgeordnetenhaus gewählt. Die Wahlumgebung sei nach derzeitigem Stand nicht betroffen, sagte Landeswahlleiter Stephan Bröchler.

(nie)