Berlin, 7. September 2026. Nach dem Cyberangriff auf das Berliner Landesnetz ist eingetreten, wovor die Senatskanzlei gewarnt hatte: Die mutmaßlichen Täter haben die nach eigenen Angaben erbeuteten Daten im Darknet veröffentlicht. Nun beginnt für die Hauptstadt eine aufwendige Prüfung. Behörden müssen klären, welche Informationen tatsächlich abgeflossen sind, wie sensibel diese Daten sind und wer persönlich von der Veröffentlichung betroffen ist.

Die Gruppe Rhysida hatte behauptet, insgesamt 5,7 Terabyte Daten erbeutet zu haben. Ob diese Angabe vollständig zutrifft, ist bislang nicht unabhängig bestätigt. Nach Angaben der Senatskanzlei können sich unter dem Material personenbezogene Daten von Landesbeschäftigten, Bürgern und Unternehmen befinden.

Vor der Veröffentlichung hatten die mutmaßlichen Täter ein Mindestgebot von 30 Bitcoin verlangt. Das entsprach nach damaliger Berechnung ungefähr zwei Millionen Euro. Berlin lehnte eine Zahlung ab und erklärte, das Land werde sich nicht erpressen lassen.

IT-Forensiker untersuchen die veröffentlichten Daten

Von entscheidender Bedeutung ist jetzt nicht allein die Größe des veröffentlichten Datenpakets. Viel wichtiger ist, welche Dokumente darin enthalten sind. Interne E-Mails, Bauakten, Vertragsunterlagen, Kontaktdaten oder personenbezogene Vorgänge können sehr unterschiedliche Risiken auslösen.

Nach Angaben der Senatskanzlei arbeiten beauftragte IT-Forensiker mit hoher Priorität an der Auswertung. Erkenntnisse sollen anschließend an die zuständigen Senatsverwaltungen weitergegeben werden. Konkrete Zahlen zu betroffenen Personen oder Unternehmen lagen am Montagmorgen noch nicht vor.

Der Angriff betrifft nach bisherigen Angaben insbesondere die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt sowie die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen. Das Landeskriminalamt, die Staatsanwaltschaft Berlin und das Bundesamt für Sicherheit in der Informationstechnik sind in die Ermittlungen eingebunden.

Das Landeskriminalamt und die Senatsverwaltung für Mobilität haben jeweils eine Besondere Aufbauorganisation eingerichtet. Zusätzlich arbeiten die betroffenen Verwaltungen in einer gemeinsamen Arbeitsgruppe zusammen. In der Senatsverwaltung für Stadtentwicklung koordiniert ein Krisenstab die Maßnahmen.

Betroffene werden nicht automatisch gleichzeitig informiert

Die zuständigen Behörden wollen identifizierte Betroffene nach einer Risikobewertung und entsprechend den gesetzlichen Vorgaben informieren. Das bedeutet, dass nicht sämtliche möglicherweise betroffenen Menschen gleichzeitig eine Nachricht erhalten werden.

Zunächst muss festgestellt werden, ob sich eine Person zweifelsfrei einem veröffentlichten Datensatz zuordnen lässt. Danach ist zu bewerten, welches Risiko durch die Veröffentlichung besteht. Kontaktdaten oder dienstliche Informationen haben eine andere Tragweite als Ausweiskopien, Bankverbindungen, Gesundheitsdaten oder vertrauliche Verwaltungsvorgänge.

Für die Betroffenen kann diese Vorgehensweise eine längere Zeit der Ungewissheit bedeuten. Das Land sollte deshalb regelmäßig veröffentlichen, wie weit die Untersuchung fortgeschritten ist, welche Datenarten gefunden wurden und wie viele Menschen bereits benachrichtigt werden konnten.

Senat sieht Landesnetz nicht mehr als infiltriert an

Nach Angaben der Senatskanzlei gibt es derzeit keine Erkenntnisse dafür, dass sich die Angreifer weiterhin im Berliner Landesnetz befinden. Die forensischen Untersuchungen dauern allerdings an. Geprüft wird auch, ob über die bislang bekannten Daten hinaus weiteres Material abgeflossen sein könnte.

Die Trennung zwischen einem beendeten Zugriff und den langfristigen Folgen des Angriffs ist wichtig. Selbst wenn die Täter keinen Zugang mehr zu den Systemen besitzen, können einmal veröffentlichte Daten kopiert, weiterverkauft und für spätere Straftaten genutzt werden.

Besonders gefährlich sind glaubwürdig wirkende Betrugsversuche. Angreifer können bekannte Namen, Aktenzeichen oder dienstliche Zusammenhänge verwenden, um Empfänger zur Herausgabe weiterer Informationen oder zu Zahlungen zu bewegen.

Bürger sollen verdächtige Vorgänge melden

Wer feststellt, dass persönliche Daten veröffentlicht oder für Betrug und Identitätsdiebstahl verwendet werden, sollte nach Empfehlung des Landes Strafanzeige erstatten. Das ist über die Internetwache der Berliner Polizei oder bei jeder Polizeidienststelle möglich.

Betroffene sollten außerdem ungewöhnliche Kontoabbuchungen, verdächtige E-Mails und unerwartete Schreiben besonders aufmerksam prüfen. Passwörter, die möglicherweise mit dienstlichen oder privaten Konten in Verbindung stehen, sollten geändert werden. Bei Bank- oder Kreditkartendaten ist eine schnelle Kontaktaufnahme mit dem jeweiligen Institut notwendig.

Der Angriff zeigt, dass Digitalisierung in der Verwaltung nicht nur schnellere Verfahren versprechen darf. Sie benötigt zugleich belastbare Sicherheitskonzepte, getrennte Systeme, aktuelle Sicherungskopien und nachvollziehbare Notfallpläne. Welche Schwachstelle den Angriff ermöglicht hat und welche Konsequenzen Berlin daraus zieht, ist bislang nicht öffentlich geklärt.

Quellen

Senatskanzlei Berlin: Aktuelle Lage nach dem IKT-Vorfall
Berlin.de: Veröffentlichung der gestohlenen Daten