Berlin wird erpresst: Hacker wollen gestohlene Behörden-Daten versteigern

Nach dem Angriff auf das Berliner Landesnetz wird das ganze Ausmaß des Vorfalls erst langsam sichtbar. Eine Ransomware-Gruppe behauptet, fast sechs Terabyte Daten erbeutet zu haben und bietet sie gegen Bitcoin zum Verkauf an. Der Senat verweigert jede Zahlung.

Der Cyberangriff auf das Berliner Landesnetz ist erheblich schwerwiegender als zunächst bekannt. Nachdem tagelang Daten aus Systemen der Hauptstadt abgeflossen waren, hat der Regierende Bürgermeister Kai Wegner am Freitag bestätigt, dass das Land Berlin inzwischen auch erpresst wird.

„Das Land Berlin lässt sich nicht erpressen“, erklärten Wegner und Innensenatorin Iris Spranger nach einer Sondersitzung des Senats. Landeskriminalamt, Staatsanwaltschaft und Sicherheitsbehörden des Bundes ermitteln nach Angaben des Senats gemeinsam gegen die mutmaßlichen Täter.

Die Lösegeldforderung war nach Angaben Wegners am Donnerstag gegen 17.30 Uhr eingegangen. Zur Höhe der Forderung und zum genauen Inhalt der Drohung äußerte sich das Land zunächst nicht.

Inzwischen gibt es jedoch eine Spur zu einer bekannten Ransomware-Gruppe. Nach übereinstimmenden Medienberichten reklamiert Rhysida den Angriff für sich. Die Gruppe veröffentlichte Berlin auf ihrer Darknet-Seite und behauptet, 5,79 Terabyte Daten mit insgesamt mehr als einer Million Dateien erbeutet zu haben.

Reuters zufolge behaupten die Erpresser, darunter befänden sich rund 46.500 Verträge sowie E-Mails, Telefonnummern, Passwörter und als vertraulich bezeichnete Informationen. Die Daten sollen gegen eine Zahlung von 30 Bitcoin angeboten werden. Nach Angaben anderer Medien entspricht das derzeit einer Forderung in Millionenhöhe.

Entscheidend ist allerdings: Diese Angaben stammen von den mutmaßlichen Angreifern und sind bislang nicht unabhängig bestätigt.

Der Berliner Senat hat weder bestätigt, dass Rhysida tatsächlich hinter dem Angriff steckt, noch dass 5,79 Terabyte Daten gestohlen wurden. Offiziell steht bislang lediglich fest, dass Daten abgeflossen sind und dass inzwischen auch personenbezogene oder andere nicht öffentliche Informationen betroffen sein könnten.

Erst Entwarnung, dann immer neue schlechte Nachrichten

Gerade dieser Punkt wirft Fragen zum bisherigen Umgang mit dem Angriff auf.

Entdeckt wurde der Sicherheitsvorfall am 14. August. Die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt sowie die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen wurden daraufhin vom Berliner Landesnetz isoliert.

Doch die Angreifer waren offenbar bereits deutlich früher im System.

Nach den späteren Erkenntnissen waren spätestens seit dem 7. August Daten aus dem Bereich der Verkehrsverwaltung abgeflossen. Damit hatten die Täter mindestens eine Woche Zeit, bevor die betroffenen Systeme vom restlichen Landesnetz getrennt wurden. Der genaue Beginn des Eindringens ist weiterhin nicht abschließend geklärt.

Besonders problematisch ist die Entwicklung der offiziellen Angaben.

Zunächst war öffentlich der Eindruck entstanden, sensible personenbezogene Daten seien nicht betroffen. Am 26. August musste die Senatskanzlei diese Einschätzung korrigieren. Bei den forensischen Untersuchungen seien weitere Datenabflüsse festgestellt worden. Nun könne ausdrücklich nicht ausgeschlossen werden, dass personenbezogene oder andere nicht öffentliche Daten betroffen sind.

Welche Informationen tatsächlich in den Händen der Angreifer gelandet sind, weiß der Senat nach eigenen Angaben weiterhin nicht vollständig.

Eine Spezialfirma untersucht deshalb das Landesnetz. Die forensische Aufarbeitung könnte noch Wochen oder Monate dauern.

Das macht die Behauptungen von Rhysida besonders brisant. Sollte auch nur ein wesentlicher Teil der von der Gruppe genannten Datenmengen authentisch sein, wäre der Vorfall weit mehr als eine technische Störung einzelner Behörden. Dann müsste Berlin mit der möglichen Veröffentlichung großer Mengen interner Verwaltungsdaten rechnen.

Genau darauf beruht das Geschäftsmodell moderner Ransomware-Gruppen. Daten werden nicht mehr nur verschlüsselt. Häufig werden sie zuvor kopiert und anschließend als zusätzliches Druckmittel benutzt: Zahlt das Opfer nicht, drohen die Täter mit Veröffentlichung oder Verkauf. Das Bundesamt für Sicherheit in der Informationstechnik zählt solche Erpressungsmodelle seit Jahren zu den größten operativen Gefahren für die Cybersicherheit.

Rhysida ist dabei kein unbekannter Name. Die Gruppe tritt seit 2023 in Erscheinung und hat sich bereits zu Angriffen auf öffentliche Einrichtungen, Unternehmen, Krankenhäuser und andere Organisationen bekannt. Sicherheitsforscher beschreiben sie als international aktive Ransomware-Struktur. Eine belastbare Herkunft oder staatliche Steuerung ist dagegen nicht nachgewiesen.

Berliner Wahl soll nicht betroffen sein

Besonders sensibel ist der Zeitpunkt des Angriffs. Am 20. September wird in Berlin ein neues Abgeordnetenhaus gewählt.

Innensenatorin Spranger versichert deshalb ausdrücklich, dass die für die Wahl verwendete IT-Infrastruktur nicht betroffen sei. Die Wahlumgebung sei nach Angaben der Sicherheitsverantwortlichen „zu 100 Prozent“ abgesichert. Hinweise darauf, dass Wahldaten durch den Angriff kompromittiert wurden, gibt es bislang nicht.

Diese Trennung ist wichtig. Einen Angriff auf das Berliner Landesnetz mit einem Angriff auf die Wahl gleichzusetzen, wäre nach dem derzeitigen Ermittlungsstand falsch.

Trotzdem kommt der Vorfall für die Hauptstadt zu einem denkbar schlechten Zeitpunkt.

Denn unabhängig davon, ob sich sämtliche Behauptungen der Erpresser bestätigen, steht bereits fest, dass Angreifer über Tage Daten aus Verwaltungsnetzen abziehen konnten, bevor das ganze Ausmaß erkannt wurde. Anschließend musste die Einschätzung über möglicherweise betroffene sensible Daten nachträglich korrigiert werden.

Jetzt folgt die Erpressung.

Wegners Entscheidung, nicht zu zahlen, ist deshalb richtig. Eine Zahlung bietet keine Garantie dafür, dass gestohlene Daten gelöscht oder nicht trotzdem verkauft werden. Gleichzeitig finanziert Lösegeld das Geschäftsmodell, das solche Angriffe erst attraktiv macht.

Die schwierigere Aufgabe beginnt allerdings erst jetzt.

Berlin muss klären, wie die Täter eindringen konnten, warum der Datenabfluss nicht früher gestoppt wurde, welche Informationen tatsächlich gestohlen wurden und ob betroffene Bürger informiert werden müssen.

Vor allem darf sich die Aufarbeitung nicht darin erschöpfen, dass der Angriff irgendwann technisch als „bereinigt“ gilt.

Wenn eine Hauptstadtverwaltung über mindestens mehrere Tage unbemerkt Daten an Angreifer verliert und anschließend von Cyberkriminellen erpresst wird, ist das kein gewöhnlicher IT-Zwischenfall.

Es ist ein Angriff auf die Funktionsfähigkeit und Vertrauenswürdigkeit des Staates.

Autor: Redaktion
Samstag, 29 August 2026