Berlins Daten-GAU: Hacker stellen 1,4 Millionen Dateien ins Netz

Der Senat verweigerte das Lösegeld. Jetzt liegen gewaltige Mengen gestohlener Behördendaten im Darknet. Darunter sollen Unterlagen zu kritischer Infrastruktur, persönliche Dokumente und sogar Informationen für den Verteidigungsfall sein.

Berlin hat aus einem schweren Cyberangriff inzwischen eine ausgewachsene Sicherheitskatastrophe. Die Hackergruppe Rhysida hat nach Ablauf ihres Ultimatums Daten veröffentlicht, die sie zuvor aus dem Berliner Landesnetz gestohlen hatte. Der Senat bestätigt inzwischen ausdrücklich, dass gestohlene Daten veröffentlicht wurden und von Sicherheitsbehörden sowie IT Forensikern untersucht werden. Was zunächst als schwerer IT Vorfall begann, betrifft damit nicht mehr nur abgeschaltete Server oder gestörte Verwaltungsabläufe. Interne Unterlagen des Staates sind in den Händen von Kriminellen und teilweise öffentlich im Darknet verfügbar.

Die Dimension ist enorm. Nach übereinstimmenden Berichten behauptet Rhysida, rund 5,8 Terabyte mit etwa 1,44 Millionen Dateien erbeutet zu haben. Eine Auswertung nennt unter anderem mehr als 46.000 Verträge, zehntausende Rechts und Finanzdokumente, Personalunterlagen, Telefonnummern, E Mail Adressen, IBAN Daten und Tausende Zugangsdaten. Besonders brisant sind Berichte über Klartext Passwörter, Unterlagen zu kritischer Infrastruktur und interne Sicherheitsinformationen. Berlin selbst hat diese vollständige Aufstellung bislang nicht bestätigt. Dass tatsächlich große Mengen gestohlener Daten veröffentlicht wurden, bestätigt der Senat dagegen inzwischen offiziell.

Noch gravierender sind Recherchen des Tagesspiegels. Demnach befinden sich in dem veröffentlichten Material geheime Unterlagen für den Verteidigungsfall sowie Informationen zu kritischer Infrastruktur. Auch Rüstungsunternehmen sollen in Dokumenten auftauchen. In einer weiteren Sichtung fanden Journalisten persönliche Unterlagen von Beschäftigten, darunter Geburtsurkunden, Telefonnummern und Reha Dokumente. Damit geht es längst nicht mehr nur um Datenschutz. Solche Informationen können für Identitätsdiebstahl, Erpressung, gezieltes Phishing, Spionage und die Vorbereitung weiterer Angriffe benutzt werden.

Erst unterschätzt, jetzt liegen die Daten draußen

Besonders bitter ist die Entwicklung der offiziellen Einschätzungen. haOlam berichtete bereits Ende August, dass Angreifer tagelang Daten aus dem Berliner Landesnetz abziehen konnten und der Senat zunächst noch nicht wusste, welche Informationen tatsächlich gestohlen worden waren. Damals behauptete Rhysida bereits, 5,79 Terabyte erbeutet zu haben. Berlin bestätigte diese Zahl nicht und verwies auf laufende forensische Untersuchungen.

Fest steht inzwischen: Der Datenabfluss fand bereits zwischen dem 7. und 12. August statt. Erst am 14. August wurden betroffene Senatsverwaltungen vom Landesnetz getrennt. Am 26. August musste die Senatskanzlei mitteilen, dass mehr Daten abgeflossen waren als zuvor bekannt und dass personenbezogene sowie andere nicht öffentliche Informationen betroffen sein könnten. Wenige Tage später begann die Erpressung. Rhysida verlangte 30 Bitcoin, rund zwei Millionen Euro. Berlin lehnte die Zahlung ab.

Dass der Senat nicht zahlte, war richtig. Lösegeld bietet keine Garantie dafür, dass Daten gelöscht werden, und finanziert das Geschäftsmodell der Täter. Nur verschwindet damit das zweite Problem nicht: Warum konnte eine Hackergruppe überhaupt Daten in diesem Umfang aus einem Verwaltungsnetz abziehen? Und warum lagen offenbar Informationen mit erheblicher Sicherheitsrelevanz in Systemen, aus denen sie entwendet werden konnten?

Genau diese Fragen werden jetzt unangenehm. Denn zu den von Rhysida behaupteten Beständen gehören nicht nur mehr als 5.000 Personalakten und Gehaltsdaten. Berichtet wird auch über fast 80.000 Ordnungswidrigkeitsverfahren, Tausende Login Dateien, Schwachstellenanalysen zur Trinkwasserversorgung und vertrauliche Regierungsunterlagen. Nicht jede einzelne Angabe der Hacker ist bislang unabhängig bestätigt. Doch die Veröffentlichung des Datensatzes selbst ist inzwischen Realität.

Ein Angriff auf das Vertrauen in den Staat

Das Bundesamt für Sicherheit in der Informationstechnik warnt laut aktuellen Berichten inzwischen auch vor möglichen Folgen für die bevorstehende Berliner Abgeordnetenhauswahl. Dabei geht es nicht darum, dass Wahlsysteme selbst gehackt worden wären. Dafür gibt es bislang keine Hinweise. Das Risiko liegt vielmehr in sogenannten Hack and Leak Operationen: Echte gestohlene Dokumente können mit manipulierten Dateien vermischt, aus dem Zusammenhang gerissen oder gezielt veröffentlicht werden, um politische Wirkung zu erzielen.

Genau deshalb ist der Fall größer als ein gewöhnlicher Ransomware Angriff. Wenn interne Verwaltungsunterlagen, persönliche Daten von Beschäftigten, Sicherheitsanalysen und womöglich Informationen für den Verteidigungsfall frei zirkulieren, hat der Staat die Kontrolle über Informationen verloren, deren Schutz seine Aufgabe war.

Der Senat erklärt, identifizierte Betroffene informieren zu wollen. Bürger, die feststellen, dass ihre Daten veröffentlicht oder für Betrug und Identitätsmissbrauch verwendet werden, sollen Strafanzeige erstatten. Das ist notwendig. Es klingt angesichts von möglicherweise 1,4 Millionen veröffentlichten Dateien allerdings auch erschreckend defensiv: Erst verliert der Staat die Daten, anschließend sollen Betroffene beobachten, ob Kriminelle sie verwenden.

Berlin muss jetzt nicht nur die Täter finden. Die entscheidende politische Aufarbeitung beginnt im eigenen Haus. Welche Daten lagen wo? Welche Systeme waren erreichbar? Waren besonders sensible Unterlagen ausreichend getrennt und verschlüsselt? Warum wurde der Abfluss nicht früher erkannt? Wer wusste wann, wie groß der Schaden tatsächlich war?

Eine Hauptstadtverwaltung kann Cyberangriffe niemals vollständig verhindern. Sie muss aber so vorbereitet sein, dass ein erfolgreicher Einbruch nicht dazu führt, dass anschließend ein digitales Abbild ihrer innersten Aktenbestände im Darknet landet.

Genau das scheint nun passiert zu sein.

Autor: Redaktion
Samstag, 05 September 2026