Berlin Ransomware Attack: Land zahlt nicht

Ein Berlin ransomware attack bringt die deutsche Hauptstadt in genau die Lage, die jeder CISO im öffentlichen Sektor fürchtet: eine bestätigte Datenpanne, eine siebenstellige Lösegeldforderung und eine Wahl in drei Wochen. Die Ransomware-Gruppe Rhysida behauptet, 5,79 Terabyte aus dem Berliner Landesverwaltungsnetz gestohlen zu haben, und fordert 30 Bitcoin, umgerechnet rund 2,05 Millionen Euro, mit einem siebentägigen Auktions-Countdown. Die Berliner Landesregierung hat öffentlich erklärt, nicht zu zahlen.

Was ist passiert

Dieser Berlin ransomware attack begann mit einem Datenabfluss zwischen dem 7. und 12. August 2026. Als Vorsichtsmaßnahme trennte Berlin am 14. August zwei Senatsverwaltungen vom Landesnetz: die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Die Senatskanzlei erhielt um den 25. August einen Hinweis auf den konkreten Datenabfluss, die betroffene Verwaltung bestätigte diesen am 26. August. Rhysida bekannte sich am 28. August öffentlich auf seiner Leak-Seite zu dem Angriff, mit einem schlicht „Berlin, Germany“ betitelten Eintrag.

Die Berichterstattung zum Umfang der gestohlenen Daten variiert je nach Quelle, ist aber im Kern konsistent: Englischsprachige Berichte nennen rund 1,44 Millionen Dateien mit Bezug zu 12.076 Personen, darunter 16.389 E-Mail-Adressen, 11.963 Telefonnummern, 148 IBANs, mehr als 5.000 Personalakten und Gehaltsdaten. Deutschsprachige Berichte nennen zusätzlich knapp 80.000 Ordnungswidrigkeitsverfahren, mehr als 46.500 Verträge, Informationen zu kritischer Infrastruktur, sensible Justizunterlagen, Notfallpläne sowie rund 6.000 Dateien mit Login-Daten. Berlin selbst hat bislang keine offizielle Zahl zum tatsächlichen Umfang des Datenabflusses veröffentlicht.

Rhysida ist seit Mitte 2023 aktiv und beansprucht weltweit rund 280 Opfer, darunter neun in Deutschland; zu den bekanntesten früheren Zielen zählen die British Library und die chilenische Armee.

Warum das wichtig ist

Die Wahl zum Berliner Abgeordnetenhaus findet am 20. September 2026 statt, weniger als einen Monat nach Bekanntwerden des Vorfalls. Innensenatorin Iris Spranger erklärte, wahlrelevante Systeme seien nicht betroffen und es seien keine wahlrelevanten Daten abgeflossen — eine separate, unabhängige Störung im Online-Portal für Briefwahlanträge wurde vom Senat ausdrücklich als nicht mit diesem Angriff zusammenhängend bestätigt. Trotz dieser Einordnung ist eine bestätigte Kompromittierung von Regierungssystemen mit laufendem Erpressungs-Countdown im Vorfeld einer Wahl genau das Szenario, für das NIS2-regulierte öffentliche Stellen und ihre privaten Dienstleister einen eingeübten, nicht improvisierten Reaktionsplan brauchen. Die unter den gestohlenen Daten befindlichen Login-Dateien (laut deutschen Berichten rund 6.000) bergen zudem ein Risiko für seitliche Bewegung in angeschlossene Systeme, weit über die zwei getrennten Verwaltungen hinaus.

Was Sie jetzt tun sollten

1. Wenn Ihre Organisation Daten oder Systemzugänge mit Berliner Landesbehörden austauscht (als Auftragnehmer, Zulieferer oder angeschlossene Stelle), gehen Sie davon aus, dass Zugangsdaten und Vertragsdaten aus dieser Beziehung betroffen sein könnten, und rotieren Sie geteilte Geheimnisse jetzt.
2. Überprüfen und proben Sie Ihren eigenen Entscheidungsprozess für den Umgang mit Erpressung schon heute, nicht erst während eines Vorfalls — wer hat die Befugnis, Nein zu sagen, und wie wird das intern und extern innerhalb von Stunden kommuniziert.
3. Wenn Sie über einen Auftrag mit dem öffentlichen Sektor personenbezogene Daten von Berliner Bürgerinnen und Bürgern verarbeiten, prüfen Sie, ob für Sie eine Meldepflicht entsteht, sobald Berlin offiziell bestätigte Zahlen zu betroffenen Personen veröffentlicht.
4. Behandeln Sie jede unaufgeforderte Kontaktaufnahme mit Bezug auf diesen Vorfall (Phishing als „offizielle Berlin-Benachrichtigung“ getarnt) mit Misstrauen, bis Berlin einen eigenen, bestätigten Kommunikationsweg veröffentlicht.

DIESEC Einschätzung

Wir haben im Mai 2026 über eine ähnliche Zahlen-oder-nicht-Entscheidung berichtet, als Grafana eine Datenerpressung ablehnte, während Instructure in derselben Woche zahlte — Berlins öffentliche gemeinsame Erklärung von Bürgermeister und Innensenatorin folgt dem Grafana-Modell: öffentlich ablehnen, das Leak-Risiko in Kauf nehmen und sich auf die gut dokumentierte Erkenntnis stützen, dass Zahlung ein Leak oder einen erneuten Angriff nicht zuverlässig verhindert. Neu ist hier die Zielgruppe: Eine Landesregierung, die diese Entscheidung öffentlich trifft, drei Wochen vor ihrer eigenen Wahl, sendet damit auch eine Botschaft an jede andere Erpressergruppe, wie diese Verwaltung zu reagieren gedenkt.

Nicht sicher, ob der Notfallplan Ihrer Organisation einem laufenden Erpressungs-Countdown tatsächlich standhält — nicht nur auf dem Papier? Kontaktieren Sie DIESEC für eine schnelle Prüfung Ihrer Incident-Response- und Erpressungs-Entscheidungsbereitschaft.

Quellen: The Hacker News | Security Affairs | Berlin.de (offiziell)
Veröffentlicht: 2026-08-31 | Kategorie: Tägliche News | ~4 Min. Lesezeit