Rhysida-Datenleck ist der GAU für Berlin und BetroffeneBorns IT- und Windows-Blog

Am Freitag, den 4. September 2026, hat die Cybergruppe Rhysida ihre Drohung wahr gemacht und die 5,79 Terabyte an Daten, die bei einem Hack des Berliner Landesnetzes im Zeitraum vom 7. und 12. August 2026 bei zwei Berliner Senatsverwaltungen abgezogen wurden, im Darknet veröffentlicht. Der regierende Bürgermeister Berlins hat seit dem Vorfall nur spärliche Statements veröffentlicht. Schrittweise kommen die (teilweise haarsträubenden Versäumnisse und) Details ans Tageslicht. Der Vorfall und die Veröffentlichung der Daten erweist sich als “Größter anzunehmender Unfall” (GAU) für die Betroffenen und mutmaßlich (wegen geleakter vertraulicher Dokumente) auch für die Sicherheit des Landes bzw. der Bundesrepublik.

Der Cybervorfall, was an Fakten bekannt ist

Am Freitag, den 14. August 2026, mussten die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt vom Berliner Landesnetz getrennt werden und waren faktisch arbeitsunfähig. Die Senatskanzlei des regierenden Bürgermeisters von Berlin hat erst zum 17. August 2026 ein Problem eingestanden, wobei viele Informationen vorenthalten  wurden (siehe folgender Abschnitt).

Was ich herausgefunden hatte, war im Beitrag Cyberangriff auf Berliner Landesnetz; Senatsverwaltungen offline (14.8.2026) offen gelegt. Es gab damals bereits den Verdacht, dass Daten abgeflossen sind. Inzwischen ist bekannt, dass Berlin Opfer der Cybergruppe  Rhysida geworden ist. Im Zeitraum vom 7. und 12. August 2026 konnte die Gruppe rund 5,79 Terabyte an Daten aus den IT-Systemen der beiden genannten Senatsverwaltungen abziehen.

Im Vorfeld wurde bereits gemutmaßt, dass viele sensible Daten wie Verträge, Strafsachen und Ordnungswidrigkeitenverfahren, Zahlungsvorgänge, eine KRITIS-Analysen der Wasserversorgung Berlins und weitere Gefahren- bzw. Schwachstellenanalysen für kritische Infrastruktur, E-Mails, Gehaltslisten, Passwörter, IBANs und so weiter in den abgeflossenen Daten enthalten seien. Inzwischen ist klar, dass diese “Mutmaßungen” zutreffend sind.

Die Cybergruppe Cybergruppe  Rhysida wollte umgerechnet ca. 2 Millionen Euro an Bitcoin-Zahlungen erpressen und drohte andernfalls die Daten binnen 6 Tagen zu veröffentlichen. Berlin weigerte sich, das Lösegeld zu zahlen, und die erbeuteten Daten wurden am Freitag-Nachmittag, den 4. September 2026 auf der Rhysida Leak-Seite veröffentlicht. Inzwischen werden das Ausmaß des Datenlecks, und die gravierenden Versäumnisse der Mitarbeiter und der Verantwortlichen in Politik und Verwaltung deutlich. Und es wird deutlich, wie nichtssagend die Ausführungen des regierenden Bürgermeisters sind. Ich hatte die Entwicklung in diversen Beiträgen hier im Blog aufgegriffen (siehe Links am Artikelende). Nachfolgend bereite ich noch einige Informationen auf, die reflektieren, wie fatal der ganze Vorfall ist.

Die “spärlichen Informationen” der Berliner Politik

Bereits von Anfang an ist mir aufgefallen, wie spärlich die Informationen der Berliner Politik waren, obwohl man eigentlich von Begin an gewusst haben musste, was droht. Wir erinnern uns: Am Freitag, den 14. August 2026, wurden die Senatsverwaltungen vom Landesnetz abgekoppelt. Erst am Montag, den 17. August 2026, also nach dem Wochenende hat die Senatskanzlei des regierenden Bürgermeisters von Berlin eine kurze Pressemitteilung veröffentlicht, in der ein Problem eingestanden wurde.

“Im Zuge forensischer Untersuchungen hat sich eine Inkriminierung des Landesnetzes Berlin ergeben. […]  Die erforderlichen Maßnahmen zur Sicherung des Landesnetzes wurden umgehend veranlasst. Die Senatsverwaltungen […] sind als […] aus Sicherheitsgründen […] vom Landesnetz isoliert worden.”

Das ist Schönsprech vom Feinsten (wir haben sofort und umfassend reagiert, gehen Sie weiter, es gibt nichts zu sehen) ohne wirkliche Informationen. Es war in meinen Augen eine reine Nebelkerze, die sofort Befürchtungen weckte. Mir fiel lediglich auf, dass der Vorfall an einem Freitag zu drastischen Maßnahmen (Abkopplung der Senatsverwaltungen) führte, der IKT-Notfallkrisenstab unter Leitung des Landesbevollmächtigen für Informationssicherheit des Landes Berlin aber erst nach dem Wochenende, also am Montag, eingerichtet wurde. Bereits im Blog-Beitrag Cyberangriff auf Berliner Landesnetz; Senatsverwaltungen offline (14.8.2026) hatte ich auf den desolaten finanziellen Zustand der IT-Verwaltung bzw. des Betreibers hingewiesen und einige recherchierbare Sachverhalte angesprochen.

Erst am 28. August 2026, wurde bekannt, dass Berlin durch eine Cybergruppe erpresst werden. In einer weiteren, dünnen Meldung Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger: „Das Land Berlin lässt sich nicht erpressen” vom 28. August 2026 teilen der regierende Bürgermeister und die Innensenatorin dann einige zusätzliche Details zum Cybervorfall mit. Auch hier wurde gemauert und “aus ermittlungstaktischen Gründen” keine Details herausgegeben. Es hieß lediglich, dass nicht gezahlt werde. Die durch die Presse recherchierten Details hatte ich im Beitrag Rhysida Cyberangreifer erpressen Berlin nach Hack des Landesnetzes zusammen getragen.

Bereits dort wurde klar, dass die Angelegenheit brisant werden dürfte. Denn in den von der Cybergruppe geleakten Screenshots aus den Datenbeständen war auch eine Word-Datei mit Passwörtern enthalten (siehe Screenshot in obigem Tweet). In meiner Berichterstattung hatte ich zudem anklingen lassen, dass der Hack mehr durch Zufall aufgefallen zu sein scheint. Das ITDZ Berlin hatte als zentraler IT-Dienstleister ungewöhnliche Aktivitäten im Netzwerk bemerkte. Die schlugen dann, obwohl mutmaßlich nicht zuständig, Alarm, worauf forensische Untersuchungen angeleiert wurden.

Nachdem Rhysida am letzten Freitag, den 4. September 2026 die erbeuteten Daten auf der Leak-Seite eingestellt hat, läuft die Aufarbeitung. Auf der Seite Berlins gibt es wiederum eine kurze Erklärung, nach der personenbezogene Daten von Beschäftigten des Landes Berlin sowie von Bürgern und Unternehmen Betroffen sein könnten. Betroffene sollten, falls ihre Daten im Darknet auftauchen, den Vorfall bei der Polizei zur Anzeige bringen. Ansonsten “geriert sich Berlin” als “Opfer einer schweren Straftat”.

Sensitive Daten, schwere Versäumnisse und Verstöße

Derzeit sichten zahlreiche Personen die im Darknet veröffentlichten Daten, und es kommt das ganze Desaster schrittweise ans Tageslicht. Ich hatte bereits im Blog angedeutet, dass “Homeoffice für Beschäftigte der Berliner Verwaltung” gestrichen wurde. Hintergrund ist, dass durch die geleakten Passwort-Dateien die VPN-Zugänge der Beschäftigten gesperrt werden mussten. Es wurden meinen Informationen nach bereits Zugriffsversuche festgestellt.

Inzwischen steht fest, das hoch sensible Dokumente wie ein Ordner mit dem Titel “AG CBRN-Rahmenplanung”. CBRN steht für chemische, biologische, radiologische und nukleare Bedrohungen. Das bedeutet, dass hochsensible Informationen über potenzielle Bedrohungsszenarien nun öffentlich zugänglich sein könnten und auch von Terroristen oder ausländischen Geheimdiensten eingesehen werden könnten. Auch KRITIS-Analysen von Schwachstellen der Berliner Wasserversorgung oder anderer kritischer Einrichtungen sind im Leak zu finden.

Euro News hat hier berichtet und zitiert den investigativen Journalist Lars Winkelsdorf, der auf auf X Alarm geschlagen hat. Mir waren die Tweets auf X gestern ebenfalls untergekommen. Winkelsdorf stuft den Cyberangriff  als “von einer Größenordnung, die den Staat bedroht”, ein.

Ein weiterer Nutzer ordnet auf Twitter den Vorfall ein und weist darauf hin, dass man ein Passwort ändern könne. Aber Berichte über Schwachstellenanalysen der Berliner Trinkwasserversorgung, Dokumente zu kritischer Infrastruktur, Notfallunterlagen und andere interne Sicherheitsinformationen sind nicht änderbar. Das Leak ist eine Blaupause für hybride Angriffe. Man muss davon ausgehen, dass diese Daten von fremden Nachrichtendiensten, weiteren interessierten Gruppen und wohl auch von LLMs analysiert und ausgewertet werden.

Dieser Nutzer sieht in diesem Tweet einen IT-Security-, Management- und möglicherweise sogar Staatssicherheits-Skandal ersten Ranges. Der CDU-Abgeordnete Roderich Kiesewetter ordnet in diesem Tweet den Vorfall so ein:

Der Cyberangriff ist eine Katastrophe noch nicht absehbaren Ausmaßes. Die geleakten hochsensiblen Daten u.a. zu Gesamtverteidigung, zivil-militärischer Kooperation, zum OPLAN, Schutz KRITIS und Krisenkommunikation können von Staaten wie Russland, China oder von Terroristen nun gezielt für Terroranschläge, Sabotage oder gezielte Erpressung und Beeinflussung genutzt werden. Angesichts der Vorgehensweise Russlands und der Zunahme an staatsterroristischen Anschlägen auch bei uns, muss man nahezu sicher damit rechnen, dass Russland diesen Hack&Leak nutzen wird.

Und n-tv sieht in diesem Beitrag ein Versagen von Land und Bund, das den Steuerzahler, laut Konstantin von Notz (Bündnis 90/Die Grünen), Millionen kosten wird.

Brisant wird die Geschichte durch die Vorwürfe von Manuel Atug (aka Honkhase). Atug ist Gründer und Sprecher der KRITIS AG, die sich mit Sicherheit in kritischen Infrastrukturen befasst. Der Sicherheitsexperte wirft dem Land Berlin und dessen Verwaltungsbediensteten in diesem Welt-Artikel grobe Fahrlässigkeit und Versagen vor.

Zitat von Atug aus dem Welt-Artikel: “Für die Speicherung und Verarbeitung geheimer Verschlusssachen gebe es sehr strenge und genaue Vorschriften sowie mehrere Sicherheitsstufen. Offenbar seien diese nicht ausreichend angewandt worden.” Wenn KRITIS-Analysen im Klartext auf Servern einer Senatsverwaltung gespeichert wurden, scheint da keinerlei Sicherheitsbewusstsein geherrscht zu haben. Gleiches gibt für Passwörter, die in Dateien auf den Servern lagen.

Atug gibt gegenüber der Welt an, er sei 2023 und 2025 als Sachverständiger in den Berliner Innenausschuss geladen worden. Damals habe er die Zuständigen auf eklatante Sicherheitslücken hingewiesen: “Ihr betreibt desolate Cybersicherheit. Ihr müsst euch dringend um eure Sicherheitsprozesse kümmern.”, zitiert die Welt. Atug habe gewarnt, dass eine Vernachlässigung der Sicherheit schwere Konsequenzen haben werde. Der Fall ist jetzt eingetreten. In diesem Tweet schreibt ein Nutzer, dass sich in den Dokumenten ein entlarvendes Protokoll einer Besprechung aus dem Februar 2026 zum Thema IT-Sicherheit findet. Zitat aus diesem Dokument laut Tweet:

Termin mit Hr. R. (ISB SenStadt) und Fr. B. (GSB SenMVKU) am 24.02.2026 – Schutzbedarfsfeststellung: Kein digitaler Geheimschutz (im strengen Sinne) in der Berliner öffentlichen Verwaltung möglich, da SINA Infrastruktur nicht umgesetzt.”

Dieses Protokoll belegt, so der Tweet, dass Sicherheitsverantwortliche der Berliner Verwaltung gravierende Sicherheitsmängel schriftlich festhielten. Hinter dem Kürzel SINA steht die Sichere Inter-Netzwerk-Architektur. Das System wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeinsam mit dem Essener IT-Sicherheitskonzern Secunet entwickelt.”

Wird es Konsequenzen geben?

Geht man die langsam öffentlich werdenden Informationen durch, offenbar sich die Berliner Verwaltung und deren IT sowie die verantwortliche Politik als sicherheitstechnisch “im Blindflug unterwegs und als lost”. Ich möchte hier im Artikel und im Blog jetzt nicht vorschnell die Schiene “alle Verantwortlichen sofort entlassen” betreten und habe in diversen Blog-Beiträgen Kommentare, die in die unsachliche Schiene abgedriftet sind, gelöscht.

Aber die Frage steht im Raum, welche dienstrechtlichen, politischen und strafrechtlichen Konsequenzen dieser Vorfall haben wird. Ich gehe davon aus, dass es Strafanzeigen geben wird, und die Staatsanwaltschaft Versäumnisse zu untersuchen hat und ggf. Anklagen erheben wird. Auch wird da einiges intern in der Verwaltung aufzuarbeiten sein – sollten sich die Vorwürfe, dass Verschlusssachen, unter Umgehung der Vorgaben, einfach so gespeichert wurden, bestätigen, müsste dies dienstrechtliche Konsequenzen nach sich ziehen. Da wird noch vieles aufzuklären und nachzubereiten sein.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt laut diesem heise-Artikel immerhin “vor gezielten Phishing-Angriffen und rät zu Wachsamkeit”. Betroffene sollten prüfen, ob sie konkret von einem Datenleak betroffen sind, welcher Art die veröffentlichten Daten sind, sowie gegebenenfalls Prozesse verändern. Klingt eher hilflos, einen politischen Hintergrund “vermutet” das BSI eher nicht.

Heute ist wieder Digital Independence Day

Wir haben wieder den 1. Sonntag im Monat – “Digital Independence Day”. Angesichts solcher Vorfälle kann man als Bürger nur versuchen, seinen digitalen Fußabdruck möglichst gering zu halten. Die begeisterte Annahme von elektronischer Patientenakte (hat ja Vorteile, wurde versprochen), digitale Apps zum Parken, Bezahlen, Einkaufen, Terminvereinbarung, US-Cloud- und Dienstangebote, KI-Hype etc. führen in digitale Abhängigkeiten, die den Leuten dann bei solchen Vorfällen auf die Füße fallen. Als weitere Maßnahme wäre die Verringerung der Abhängigkeiten von große Tech-Anbietern zu nennen, die jeder im persönlichen Umfeld selbst in der Hand hat. Wir zahlen nun den Preis der Bequemlichkeit und der grassierenden Digitalisierung ohne Verstand. Die digitale “Götterdämmerung” hat imho begonnen, wir sehen nun immer mehr Anzeichen.

Ähnliche Artikel:
Cyberangriff auf Berliner Landesnetz; Senatsverwaltungen offline (14.8.2026)
Rhysida Cyberangreifer erpressen Berlin nach Hack des Landesnetzes
Rhysida hat sensible Daten aus Hack in Berlin offen gelegt

Berlin: IT-Ausfall legt Justiz lahm (13.7.2026)
Cyberangriffe auf Stuttgart? ARWINI; n8n-Schwachstelle und mehr