Berlin-Hack: Gefahren durch 5,8 Terabyte Daten
Berlin-Hack: Welche Gefahren vom Datenklau ausgehen
Nach dem Cyberangriff auf das Berliner Landesnetz sind umfangreiche Daten aus der Verwaltung im Darknet veröffentlicht worden. Betroffen sind die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Umwelt und Klimaschutz.
Der Angriff gefährdet Deutschlands Sicherheit nicht automatisch. Die veröffentlichten Unterlagen können die Bedrohungslage jedoch verschärfen, wenn sie persönliche Informationen, Zugangsdaten, interne Abläufe, Notfallpläne oder Angaben zu sensiblen Einrichtungen enthalten. Wie weit die Folgen reichen, können die Behörden derzeit noch nicht belastbar beziffern.
Was über den veröffentlichten Datenbestand bekannt ist
Die Täter hatten nach Angaben der Berliner Senatskanzlei 30 Bitcoin verlangt, zum damaligen Kurs rund zwei Millionen Euro. Berlin verweigerte die Zahlung. Nach Ablauf des Ultimatums stellte Rhysida am 4. September Daten zum Download bereit. IT-Forensiker untersuchen den veröffentlichten Bestand nach Angaben des Landes mit Hochdruck. Identifizierte Betroffene sollen abhängig vom jeweiligen Risiko informiert werden. Berlin.de: Land will Betroffene kontaktieren
Die Angreifer selbst beziffern ihre Beute auf etwa 5,8 Terabyte. Diese Zahl ist bislang nicht als abschließend geprüftes Ergebnis der Behörden veröffentlicht worden. Auch die Behauptung, das gesamte gestohlene Material sei online gestellt worden, lässt sich derzeit nicht unabhängig bestätigen.
Nach Recherchen des Rundfunks Berlin-Brandenburg sind in den zugänglich gemachten Ordnern unter anderem Arbeitszeugnisse, Personalakten, Ausschreibungen, Bauangelegenheiten, Betriebsratsunterlagen und Notfallpläne zu erkennen. Der rbb weist zugleich darauf hin, dass Beschaffenheit und Vollständigkeit des Datenbestands zunächst nicht abschließend überprüft werden konnten.
Berichte über Geburtsurkunden, Kontoverbindungen, medizinische Informationen oder eingestufte Dokumente müssen deshalb jeweils anhand der laufenden forensischen Prüfung bewertet werden. Dass einzelne entsprechende Dateien gefunden wurden, belegt noch nicht, dass alle genannten Datenarten in großer Zahl oder flächendeckend betroffen sind.
Persönliche Daten erleichtern gezielten Betrug
Für Beschäftigte, Bürger und Vertragspartner entsteht das unmittelbarste Risiko durch die Kombination verschiedener Informationen. Namen, Telefonnummern, E-Mail-Adressen, Bankverbindungen, dienstliche Zuständigkeiten und interne Dokumente können Kriminellen ermöglichen, sehr glaubwürdige Nachrichten oder Anrufe zu formulieren.
Das Bundesamt für Sicherheit in der Informationstechnik warnt laut einer aktuellen Stellungnahme insbesondere vor gezielten Phishing-Angriffen. Täter könnten bekannte Vorgänge, Ansprechpartner oder persönliche Angaben verwenden, um weitere Passwörter, Zugangsdaten oder Zahlungen zu erlangen.
Wer in den vergangenen Jahren mit einer der beiden betroffenen Senatsverwaltungen Kontakt hatte, muss damit nicht automatisch Teil des Leaks sein. Bis zur abgeschlossenen Analyse lässt sich jedoch auch nicht sicher ausschließen, dass Unterlagen von Antragstellern, Beschäftigten, Auftragnehmern oder anderen Verfahrensbeteiligten betroffen sind.
Verdächtig sind insbesondere unerwartete Nachrichten, die auf tatsächliche Verwaltungsangelegenheiten Bezug nehmen, zum Öffnen eines Links auffordern oder Passwörter, Bankdaten und Sicherheitscodes verlangen. Zugangsdaten sollten grundsätzlich nur über die selbst aufgerufene Website des jeweiligen Dienstes geändert werden nicht über Links aus E-Mails oder SMS.
Notfallpläne können Sicherheitsrisiken offenlegen
Interne Notfall-, Bau- und Verteidigungsunterlagen sind sicherheitsrelevant, wenn sie Zuständigkeiten, Kommunikationswege, Schutzmaßnahmen oder Schwachstellen erkennen lassen. Ein veröffentlichtes Dokument bedeutet allerdings nicht automatisch, dass eine konkrete Einrichtung unmittelbar gefährdet ist.
Für die Sicherheitsbehörden besteht die Aufgabe nun darin, die Unterlagen nicht nur nach Geheimhaltungsstufen zu sortieren. Sie müssen auch prüfen, ob Telefonnummern, Passwörter und Zugriffsberechtigungen ausgetauscht, Abläufe geändert oder technische und bauliche Schutzmaßnahmen angepasst werden müssen.
Die Bundesregierung erklärte nach den vorliegenden Angaben, dass Datensysteme des Bundes nach ihrem derzeitigen Kenntnisstand nicht betroffen seien. Bund und Land glichen Informationen über das Nationale Cyberabwehrzentrum ab. Eine abschließende amtliche Bewertung der möglichen Auswirkungen auf militärische Sicherheit oder kritische Infrastruktur liegt bislang nicht öffentlich vor.
Auch für einen Abfluss von Bauplänen besonders sensibler Regierungsgebäude gibt es bisher keinen belastbaren öffentlichen Nachweis. Dass Berliner Baubehörden Informationen über Liegenschaften besitzen, reicht für einen solchen Schluss nicht aus.
Vor der Berlin-Wahl droht eine zweite Angriffswelle
Am 20. September 2026 wählt Berlin ein neues Abgeordnetenhaus. Nach Angaben der Innenverwaltung ist die technische Wahlumgebung durch den Cyberangriff nicht betroffen. Auch ein zeitweiliges Problem bei der Online-Beantragung von Briefwahlunterlagen wurde nach damaligem Erkenntnisstand nicht mit dem Angriff in Verbindung gebracht.
Ein anderes Risiko besteht in sogenannten Hack-and-Leak-Operationen. Dabei werden echte gestohlene Dokumente mit manipulierten Inhalten vermischt, verkürzt dargestellt oder in einen falschen Zusammenhang gesetzt. Ziel kann sein, kurz vor einer Wahl Misstrauen gegenüber Kandidaten, Behörden oder demokratischen Verfahren zu erzeugen.
Veröffentlichte Dateien sollten daher nicht allein deshalb als authentisch gelten, weil sie zusammen mit nachweislich echten Unterlagen auftauchen. Für politisch oder sicherheitspolitisch brisante Dokumente sind eine Prüfung der Metadaten, ein Abgleich mit der ausstellenden Stelle und eine unabhängige Bestätigung erforderlich.
Was über Rhysida bekannt ist und was nicht
Rhysida tritt seit 2023 als Ransomware-Gruppe auf und hat Angriffe auf Behörden, Bildungseinrichtungen, Gesundheitseinrichtungen und Unternehmen für sich reklamiert. Das Geschäftsmodell verbindet Datendiebstahl, Erpressung und die Drohung mit einer Veröffentlichung.
Wer die Gruppe steuert und von wo aus sie operiert, ist nicht abschließend geklärt. Hinweise einzelner Sicherheitsforscher auf Verbindungen nach Russland oder Osteuropa sind kein Beleg für eine staatliche Steuerung. Nach Angaben des Berliner Senats liegen bislang keine gesicherten Erkenntnisse über Verbindungen zum russischen Staat vor.
Warum die verweigerte Lösegeldzahlung dennoch richtig war
Eine Zahlung hätte weder die Löschung noch die Nichtveröffentlichung der kopierten Daten garantiert. Die Täter hätten Kopien zurückhalten, weiterverkaufen oder Berlin später erneut erpressen können. Zugleich würde öffentliches Geld das kriminelle Geschäftsmodell finanzieren und weitere Angriffe wirtschaftlich attraktiver machen.
Die Entscheidung gegen eine Zahlung verhindert den bereits eingetretenen Datenverlust nicht. Sie trennt aber die notwendige Schadensbegrenzung von einem Geschäft mit den Erpressern. Für Berlin geht es nun vor allem um die Identifizierung Betroffener, den Austausch kompromittierter Zugangsdaten und die Frage, weshalb der mehrtägige Datenabfluss nicht früher erkannt wurde.
Was möglicherweise Betroffene jetzt tun sollten
- Unerwartete E-Mails, SMS und Anrufe mit Bezug zu Berliner Behörden besonders kritisch prüfen.
- Keine Passwörter, Bankdaten oder Sicherheitscodes am Telefon oder über zugesandte Links übermitteln.
- Identische Passwörter bei mehreren Diensten sofort durch unterschiedliche, starke Passwörter ersetzen.
- Wo möglich Mehrfaktor-Authentifizierung aktivieren und ungewöhnliche Kontoanmeldungen kontrollieren.
- Bei veröffentlichten Daten, Betrugsversuchen oder Identitätsmissbrauch Beweise sichern und Strafanzeige erstatten.
Ob einzelne Personen betroffen sind, wird erst die laufende Analyse zeigen. Die zentralen offenen Fragen betreffen den vollständigen Datenumfang, mögliche kompromittierte Zugangsdaten, sicherheitsrelevante Unterlagen und die genaue technische Ursache des Angriffs.
FAQ
Wie erfahre ich, ob meine Daten veröffentlicht wurden?
Das Land Berlin will identifizierte Betroffene risikobasiert und nach den gesetzlichen Vorgaben informieren. Wann dies im Einzelfall geschieht, hängt von der Auswertung des umfangreichen Datenbestands ab.
Welche Personen könnten betroffen sein?
Möglich ist eine Betroffenheit von Beschäftigten, Antragstellern, Auftragnehmern und weiteren Personen, deren Unterlagen bei den zwei angegriffenen Senatsverwaltungen gespeichert waren. Eine abschließende Liste liegt noch nicht vor.
Sollte ich vorsorglich meine Passwörter ändern?
Insbesondere dienstlich verwendete, wiederverwendete oder möglicherweise in Verwaltungsunterlagen enthaltene Passwörter sollten geändert werden. Wo möglich sollte zusätzlich Mehrfaktor-Authentifizierung aktiviert werden.
Darf ich die veröffentlichten Dateien herunterladen?
Vom Aufrufen, Herunterladen, Speichern oder Weiterverbreiten der gestohlenen Daten ist abzuraten. Je nach Inhalt und Handlung können Strafrecht, Datenschutzrecht, Urheberrecht und Persönlichkeitsrechte betroffen sein. Hinweise sollten an Polizei oder zuständige Behörden weitergegeben werden.
Ist die Berliner Wahl durch den Angriff gefährdet?
Nach Angaben der Berliner Innenverwaltung ist die Wahlumgebung nicht betroffen. Das BSI warnt jedoch vor Phishing und einer möglichen manipulativen Verwendung gestohlener Dokumente im Vorfeld der Wahl.
Quellen und Transparenz
- Berliner Senatskanzlei/Berlin.de: „Veröffentliche Daten: Land will Betroffene kontaktieren“, 4. September 2026 amtliche Angaben und dpa-Meldung
- Berlin.de: „Hackerangriff auf Landesnetz: Arbeit mit Hochdruck an Lösungen“, 19. August 2026 amtliche Angaben und dpa-Meldung
- Landeswahlleiter für Berlin: Informationen zur Wahl am 20. September 2026 Primärquelle
- rbb24: „Hackergruppe veröffentlicht Daten nach Angriff auf Berliner Landesnetz“, 4. September 2026 ergänzender Medienbericht
- Reuters: „Ransomware group says it stole Berlin data“, 28. August 2026 ergänzender Medienbericht
- ZEIT/dpa: „BSI warnt vor Wahlbeeinflussung nach Cyberangriff“, 5. September 2026 Wiedergabe einer BSI-Stellungnahme
Transparenzhinweis: Die Mengenangabe von rund 5,8 Terabyte stammt ursprünglich von den Angreifern. Umfang, Vollständigkeit und Inhalt des veröffentlichten Datenbestands werden weiterhin forensisch geprüft.
🔔 Unabhängiger Journalismus lebt von Reichweite. Folgen Sie auf X, Linkedin oder Instagram und bleiben Sie informiert
