Das Ultimatum der mutmaßlichen Angreifer auf das Berliner Landesnetz ist abgelaufen. Der Senat verweigert die geforderten 30 Bitcoin, obwohl nun möglicherweise sensible Behörden- und Bürgerdaten veröffentlicht werden.

Berlin lässt sich nicht erpressen

Die Hackergruppe Rhysida hatte vom Land Berlin ein Lösegeld von 30 Bitcoin verlangt. Der Gegenwert lag zum Zeitpunkt der Forderung bei ungefähr zwei Millionen Euro. Im Gegenzug sollten die angeblich gestohlenen Daten weder verkauft noch veröffentlicht werden.

Der Berliner Senat lehnte eine Zahlung ab. Regierender Bürgermeister Kai Wegner und Innensenatorin Iris Spranger erklärten, dass sich das Land nicht erpressen lasse. Eine Zahlung könnte weitere Angriffe finanzieren und Kriminellen signalisieren, dass Attacken auf staatliche Einrichtungen wirtschaftlich erfolgreich sind.

Nach Ablauf des Ultimatums behaupteten die Angreifer, die erbeuteten Dateien veröffentlicht zu haben. Ein zunächst angebotener Zugang zu den Daten funktionierte jedoch nicht. Deshalb ist nicht belegt, dass das gesamte behauptete Datenpaket tatsächlich frei abrufbar ist.

Möglich bleibt, dass die Veröffentlichung verzögert erfolgt, einzelne Dateien verkauft werden oder die Täter mit weiteren Drohungen versuchen, den Druck auf das Land zu erhöhen.

Hacker behaupten Diebstahl von 1,44 Millionen Dateien

Nach Angaben der Täter umfasst das erbeutete Material rund 5,79 Terabyte und etwa 1,44 Millionen Dateien. Betroffen sein könnten den Behauptungen zufolge Daten zu mehr als 12.000 Personen sowie Zehntausende Verträge.

In veröffentlichten Beschreibungen ist außerdem von E-Mails, Telefonnummern, Zugangsdaten, Personalunterlagen, Gehaltsabrechnungen, Kontoverbindungen und internen Sicherheitsinformationen die Rede. Auch vertrauliche Verwaltungsdokumente könnten darunter sein.

Diese Angaben stammen jedoch überwiegend von der Hackergruppe und sind noch nicht vollständig unabhängig bestätigt. Der Berliner Senat hat einen umfangreichen Datenabfluss eingeräumt, konnte Art, Vollständigkeit und genaue Menge der gestohlenen Informationen bislang aber nicht abschließend beziffern.

Damit bleibt offen, wie viele Bürger, Beschäftigte und Unternehmen tatsächlich betroffen sind. Ebenso ungeklärt ist, ob die Angreifer alle behaupteten Dateien besitzen oder den Umfang aus taktischen Gründen übertreiben.

Angriff blieb mehrere Tage unentdeckt

Nach bisherigen Erkenntnissen flossen zwischen dem 7. und 12. August 2026 Daten aus dem Berliner Verwaltungsnetz ab. Entdeckt wurde der Cyberangriff erst am 14. August. Anschließend trennte das Land die beiden betroffenen Senatsverwaltungen vom Landesnetz.

Betroffen waren die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Internetzugänge und externe E-Mail-Verbindungen standen zeitweise nicht zur Verfügung. Auch die Arbeit im Homeoffice war eingeschränkt.

Seit dem 23. August sind sämtliche Senatsverwaltungen wieder grundsätzlich mit dem Landesnetz verbunden. Die technische Untersuchung ist damit jedoch nicht abgeschlossen. Alle Systeme müssen auf Schadprogramme, manipulierte Zugänge und weitere Spuren der Angreifer überprüft werden.

Der zeitliche Ablauf wirft zentrale Fragen auf: Wie gelangten die Täter in das Netz? Warum wurde der Datenabfluss nicht früher erkannt? Konnten sie sich zwischen einzelnen Systemen bewegen? Und weshalb griffen vorhandene Warn- und Kontrollmechanismen offenbar nicht rechtzeitig?

Gestohlene Daten bleiben dauerhaft gefährlich

Selbst wenn die Dateien nicht öffentlich im Internet erscheinen, ist die Gefahr nicht beendet. Vertrauliche Informationen können gezielt an Kriminelle, Nachrichtendienste oder andere Interessenten verkauft werden.

Personenbezogene Daten lassen sich für Identitätsdiebstahl, Betrugsversuche oder besonders glaubwürdige Phishing-Nachrichten verwenden. Interne E-Mails und Vertragsunterlagen könnten Unternehmen, Beschäftigte oder politische Entscheidungsträger unter Druck setzen.

Besonders problematisch wären Zugangsdaten und Sicherheitsanalysen. Sie könnten Angreifern Hinweise auf weitere Schwachstellen, interne Zuständigkeiten und technische Schutzmaßnahmen liefern. Deshalb müssen möglicherweise Passwörter, Zertifikate und Zugangsberechtigungen vorsorglich ausgetauscht werden.

Betroffene Personen müssten außerdem informiert werden, sobald feststeht, welche ihrer Daten entwendet wurden und welche konkreten Risiken bestehen. Eine pauschale Warnung reicht bei sensiblen Personal-, Finanz- oder Zugangsdaten nicht aus.

Wahltechnik laut Senat nicht betroffen

Der Angriff ereignet sich wenige Wochen vor der Berliner Abgeordnetenhauswahl am 20. September 2026. Nach Angaben der Verantwortlichen sind die technische Wahlinfrastruktur und die für die Wahl benötigten Daten nicht betroffen.

Hinweise auf eine Manipulation der Wahl liegen bislang nicht vor. Der zeitliche Zusammenhang erhöht dennoch den politischen Druck auf den Senat. Die Bevölkerung muss darauf vertrauen können, dass staatliche Netze geschützt und Sicherheitsvorfälle transparent aufgearbeitet werden.

Entscheidend ist deshalb nicht nur, ob die Täter ihre Drohung umsetzen. Der Senat muss erklären, wie der Angriff möglich war, weshalb er erst nach mehreren Tagen entdeckt wurde und welche Daten tatsächlich abgeflossen sind.

Ebenso gehört offengelegt, wann Betroffene benachrichtigt werden, welche Sicherheitsmaßnahmen inzwischen gelten und welche Kosten dem Land durch Untersuchung, Wiederherstellung und zusätzlichen Schutz entstehen. Das abgelaufene Ultimatum beendet die Krise nicht. Es eröffnet vielmehr eine neue Phase, in der Transparenz und überprüfbare Antworten gefragt sind.

Quelle: Senatskanzlei Berlin; Rundfunk Berlin-Brandenburg; Reuters; Bundesamt für Sicherheit in der Informationstechnik; Landeskriminalamt Berlin