„Daten-Super-GAU“ Update zum Cyberangriff in Berlin

Anbieter zum Thema

Ceyoniq Technology GmbH

Materna Information & Communications SE

mgm technology partners GmbH

Nach dem Cyberangriff auf das Berliner Landesnetz haben die Täter interne Zugangsdaten veröffentlicht. Die Bauverwaltung verschärft ihre Schutz­maß­nahmen, personelle Konsequenzen könnten folgen.

Die Hacker-Gruppe Rhysida hatte sich vom 7. bis zum 12. August 2026 unbemerkt Zugang zu Teilen des Berliner Landesnetzes verschafft und Daten abgeschöpft. Betroffen waren die Senatsverwaltungen für Bauen und Verkehr. Die Verwaltung bemerkte den Angriff am 14. August und machte ihn drei Tage später öffentlich. Rhysida forderte 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Berlins Regierender Bürgermeister Kai Wegner (CDU) hat am Freitag, den 28. August, erklärt, das Land werde der Forderung der Erpresser nicht nachkommen. Als das Ultimatum am Nachmittag des 4. Septembers ablief, machten die Kriminellen ihre Drohung wahr und veröffentlichten einen Teil der gestohlenen Daten.

Land Berlin

Senat bestätigt Millionenforderung nach Ransomware-Attacke

Unter den veröffentlichten Daten sind auch personenbezogene Daten wie Arbeitsverträge oder Bewerbungsunterlagen. Laut Medienberichten und der Einschätzung von IT-Experten könnten allerdings auch hochsensible Daten geleakt worden sein, die für den Schutz kritischer In­fra­struk­tur und die Sicherheit von Bund und Ländern relevant sind.

Probleme für die Verwaltung

Mitarbeiter der Berliner Bauverwaltung müssen nach der Veröffentlichung interner Zu­gangs­daten mit Einschränkungen bei der Arbeit rechnen. In der Nacht auf Sonntag, den 6. September, hätten die Täter nach dem Cyberangriff auf das Landesnetz Berlin ein weiteres Datenpaket veröffentlicht. „Gegenstand der neuen Veröffentlichung der Angreifer auf das Landesnetz Berlin sind unter anderem Zugangsdaten.“

Die zuständige Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen habe daher die bisherigen Maßnahmen überprüft und in einigen Aspekten nachgeschärft. Die zusätzlichen Maßnahmen könnten bei der Nutzung von Fachverfahren in der Bauverwaltung kurzfristig zu Einschränkungen führen, so die Senatskanzlei. „Alle Nutzerinnen und Nutzer werden darüber informiert“, so die Senatskanzlei.

Auswirkungen seien auch für Bürgerinnen und Bürger möglich, sagte eine Senatssprecherin auf Anfrage der Deutschen Presse-Agentur (DPA). Dazu, um welche Fachverfahren es geht und um welche konkreten Maßnahmen, machte sie keine Angaben. Ein Fachverfahren ist zum Beispiel das Beantragen und Bewilligen von Wohngeld.

5,8 Terabyte an Daten gestohlen

Die gestohlenen Daten wurden seit Ende August im Darknet im Rahmen einer Versteigerung zum Kauf angeboten, die am Nachmittag des 4. Septembers endete. Rhysida hat bei dem Hackerangriff nach eigenen Angaben Daten im Umfang von fast 5,8 Terabyte gestohlen.

Seit Ende des Ultimatums sind laut DPA rund 1,44 Millionen Dateien mit einem Umfang von 5,8 Terabyte im Darknet veröffentlicht, also alle Daten, die die Hacker gestohlen haben. Ein Terabyte entspricht rund 1.000 Gigabyte. Ein vollständiger Überblick über die geleakten Daten ist wegen der gewaltigen Menge bislang kaum möglich. Außerdem könne man nicht einfach per STRG+F nach bestimmten Begriffen suchen, erklärte Jochim Selzer, Sprecher des Chaos Computer Clubs. Seinen Recherchen zufolge sind unter den Dateien neben personenbezogenen Daten auch sensible Informationen über die Berliner Wasserversorgung zu finden. Dem Tagesspiegel zufolge sollen sich darunter zudem Daten zu Heizkraftwerken, Tanklagern, Notstromanlagen, Umspannwerken, Gefängnissen, Wasserwerken sowie Rüstungsunternehmen und der Bundeswehr befinden.

Von einem „echten Daten-Super-GAU“ sprach der Grünen-Fraktionsvize Konstantin von Notz im Handelsblatt. „Sollte sich herausstellen, dass Schutzmechanismen bewusst nicht eingehalten wurden und der dringend notwendige Geheimschutz nicht gewährleistet war, wären auch personelle Konsequenzen unausweichlich“, sagte der Grünen-Politiker der Zeitung.

„Die Bundesregierung trifft eine direkte Mitschuld“

Seiner Einschätzung nach könnte es sich um den schwersten bislang bekanntgewordenen IT-Sicherheitsfall auf Landesebene handeln, mit möglicherweise erheblichen finanziellen Folgen, so von Notz. „Der jüngste Fall in Berlin wird die Steuerzahler Millionen kosten. Die Bun­des­re­gie­rung trifft eine direkte Mitschuld.“

CDU-Außenpolitiker Roderich Kiesewetter sagte der Süddeutschen Zeitung: „Dieser Daten­ab­fluss ist von gravierendem Ausmaß und gefährdet unsere nationale Sicherheit.“

Für Betroffene besteht die Gefahr von Identitätsdiebstahl und gezielten Phishing-Angriffen, wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) informiert. Sicherheitsrelevante Informationen könnten zudem von fremden Mächten oder Terroristen missbraucht werden. Das BSI warnt, dass Angaben zu kritischen Infrastrukturen, Unternehmen und Organisationen je nach Sensibilität die Bedrohungslage erhöhen könnten.

Der IT-Experte Manuel Atug wirft dem Land Berlin schwere Versäumnisse vor. „Das Land Berlin hat grob fahrlässig gehandelt und vorsätzlich die Geheimschutz-Vorgaben nicht eingehalten“, sagte er der DPA. „Ich bin darüber wirklich schockiert und sprachlos.“ Atug sagte, er sei 2023 und 2025 als Sachverständiger in den Berliner Innenausschuss geladen worden und habe damals schon auf eklatante Sicherheitslücken hingewiesen.

Betroffene sollen per Brief oder E-Mail kontaktiert werden

In Berlin koordiniert inzwischen eine zusätzliche Steuerungseinheit die Sichtung und Be­wer­tung der Daten. Nach Angaben des Bundesinnenministeriums sind auch das BSI, das Bun­des­kri­mi­nal­amt (BKA) und das Bundesamt für Verfassungsschutz (BfV) an der Aufarbeitung beteiligt. Im Gemeinsamen Cyberabwehrzentrum würden alle Erkenntnisse zusammengetragen und geteilt.

Betroffene Bürgerinnen und Bürger, Beschäftigte und Unternehmen sollen nach Angaben der Senatskanzlei risikobasiert per Brief oder E-Mail kontaktiert und beraten werden.

Konkrete Angaben dazu, welche Daten genau veröffentlicht wurden, machte die Senatskanzlei zunächst nicht. Die forensischen Untersuchungen und Ermittlungen dauern an. Die Bun­des­wehr kündigte an, nach der Analyse möglicher Sicherheitsrisiken Maßnahmen zum Schutz der militärischen Sicherheit einzuleiten.

Auch die Berliner Landesregierung hat die Sicherheitsmaßnahmen nach eigenen Angaben erhöht. In zwei Wochen wird in Berlin ein neues Abgeordnetenhaus gewählt. Die Wahl­um­ge­bung sei nach derzeitigem Stand nicht betroffen, sagte Landeswahlleiter Stephan Bröchler.

Das waren die Möglichkeiten der Kriminellen

Selzer hatte bereits damit gerechnet, dass zumindest Teile der riesigen Datenmenge veröffentlicht werden, wenn das Land Berlin sich nicht darauf einlässt, wie er der Deutschen Presse-Agentur (DPA) noch vor Ablauf des Ultimatums sagte. „Ich vermute, dass sie die leicht verkäuflichen Teile der Daten wie zum Beispiel Mailadressen dann auf dem Schwarzmarkt zum Kauf anbieten werden. Es war möglich, auf der Webseite der Gruppe seine Mailadresse zu hinterlassen und ein Gebot“, hatte der IT-Experte erklärt. „Ich nehme an, dass in den vergangenen Tagen bereits Leute geboten haben und dass nach Ende des Ultimatums Kontakt zu diesen Leuten aufgenommen wird, um festzustellen, ob das wirklich ein ernst gemeintes Angebot ist.“

Für die Cyberkriminellen hat es noch weitere Möglichkeiten gegeben: „Es kann natürlich sein, dass sie Daten, die für die Verwaltung peinlich sind, aber sich vielleicht nicht wahnsinnig gut verkaufen lassen, einfach nur zur Schau stellen“, sagte der IT-Administrator. „Auch um die Botschaft zu hinterlassen: 'Achtung, mit uns ist nicht zu spaßen'.“ Den Cyberkriminellen war nach Selzers Einschätzung daran gelegen, ernst genommen zu werden, auch mit Blick auf künftige Erpressungsversuche.

Er ging davon aus, dass sie bei dem Angriff aufs Datennetz der Senatsverkehrsverwaltung und der Bauverwaltung an Daten gekommen sind, deren Veröffentlichung tatsächlich unangenehm werden könnte: „Die Hacker haben ja paar Seiten gezeigt, unter anderem mit Daten aus Disziplinarverfahren. Sie behaupten, auch Sicherheitsanalysen zur Angreifbarkeit der Berliner Wasserversorgung zu besitzen.“

Sollte das BSI bei Cyberangriffen mehr helfen dürfen?

Gleichzeitig zu den Vorfällen in Berlin beantwortete das Innenministerium eine Anfrage des Grünen-Fraktionsvize Konstantin von Notz, die der DPA in Berlin vorliegt. Die Bundesregierung will die verfassungsrechtliche Grundlage für das BSI unverändert belassen. Dies schränke die Möglichkeiten der Bonner Behörde zur Reaktion auf Cyberangriffe erheblich ein, beklagt von Notz.

„Die Bundesregierung wird den bestehenden verfassungsrechtlichen Rahmen ausschöpfen, um die Zusammenarbeit zwischen Bund und Ländern zu vertiefen“, heißt es in der Auskunft des Ministeriums. Es gebe bereits eine gute Zusammenarbeit mit den Ländern, darüber hinaus sei ohnehin eine Erweiterung der Befugnisse des BSI zur Entdeckung von und Vorbeugung gegen Cyberattacken vorgesehen. Auch eine finanzielle und personelle Stärkung sei geplant.

Nach Ansicht von von Notz reicht das nicht aus. Die aktuellen Vorgaben für das BSI seien zu eng. Seit Jahren gebe es sehr schwerwiegende IT-Angriffe. Gerade Länder und Kommunen würden immer wieder gezielt angegriffen, seien aber häufig sehr viel schlechter geschützt als Bundeseinrichtungen. „Gerade, wenn sie sich hochprofessionellen, oftmals teilstaatlichen Angreifern gegenübersehen, sind Länder und Kommunen mit der Abwehr häufig überfordert und dringend auf Unterstützung angewiesen.“

Von Notz: Aktuelle Verfahren zu zeitaufwendig

Bisher dürfe das BSI die Länder bei der Abwehr selbst schwerwiegender IT-Angriffe nur dann unterstützen, wenn diese Amtshilfe angefordert hätten, beklagte von Notz. „Dieses Prozedere ist nicht nur aufwendig, es kostet auch Zeit. Doch gerade bei Cyberangriffen ist es extrem wichtig, schnell zu handeln, um weitere Schäden abzuwenden.“

In ihrem Koalitionsvertrag haben CDU, CSU und SPD vereinbart, das BSI zu stärken und es zu einer „Zentralstelle für Fragen der Informations- und Cybersicherheit“ auszubauen.

Land Berlin

Senatskanzlei äußert sich nicht zu Erpressern

(ID:50947066)