5,26 Terabyte Berlin: Wenn der Staat zur Datenschleuder wird

 

Der Rhysida-Leak, eine zwei Wochen zu spät bestätigte Erpressung und ein Bundestagsabgeordneter, der schon wieder auf Russland zeigt, bevor die Ermittler auch nur das erste Protokoll geschrieben haben.

Ich habe in den letzten Jahren einige Behörden-Hacks kommentiert – Anhalt-Bitterfeld, die Südwestfalen-IT mit ihren 72 mitgerissenen Kommunen, diverse Landkreise, deren Namen inzwischen so geläufig sind wie Bahnhöfe auf der Stammstrecke. Was seit dem 4. September 2026 aus Berlin bekannt wird, sprengt trotzdem den bisherigen Rahmen. Nicht weil die Methode neu wäre, sondern weil hier zum ersten Mal keine Kreisverwaltung, sondern eine Landeshauptstadt und Bundeshauptstadt in einem Aufwasch getroffen wurde – und weil die Reaktion der Verantwortlichen so lehrbuchhaft danebenging, dass man fast wieder eine Art Respekt entwickelt vor der Konsequenz, mit der hier alles falsch gemacht wurde.

Meine Einschätzung vorweg, damit hier kein Zweifel aufkommt: Das ist kein Fiebertraum, keine überdrehte LinkedIn-Panikmache und auch keine Randnotiz. Das ist ein realer, sehr schwerer IT-Sicherheitsvorfall mit sehr konkreten Folgen für Millionen Berlinerinnen und Berliner, für Beschäftigte der Verwaltung und für Unternehmen, die mit dem Land Berlin zu tun hatten. Und er zeigt exemplarisch, was passiert, wenn ein Bundesland seine digitale Verwaltung genauso behandelt wie den Zustand seiner Brücken: bekannt marode, aber irgendwie läuft es ja noch.

Chronologie eines angekündigten Desasters

• 7. bis 12. August 2026: Die Ransomware-Gruppe Rhysida dringt in das Berliner Landesnetz BeLa ein, über das rund 600 Behörden- und öffentliche Standorte der Hauptstadt vernetzt sind, und zieht in aller Ruhe Daten aus den Systemen zweier Senatsverwaltungen ab: Stadtentwicklung, Bauen und Wohnen sowie Mobilität, Verkehr, Klimaschutz und Umwelt.

• 14. August 2026: Beide Verwaltungen werden vom Landesnetz getrennt und sind faktisch arbeitsunfähig. Erst jetzt wird überhaupt ein IT-Vorfall öffentlich.

• 28. August 2026: Der Regierende Bürgermeister Kai Wegner bestätigt öffentlich, dass Berlin erpresst wird. Rhysida verlangt 30 Bitcoin, umgerechnet gut zwei Millionen Euro, und setzt eine Frist von rund einer Woche.

• 4. September 2026, gegen 15:35 Uhr: Die Frist läuft ab. Berlin hat nicht gezahlt. Innensenatorin Iris Spranger lässt verkünden, das Land lasse sich nicht erpressen – eine Formulierung, die staatstragend klingt und für die Betroffenen ungefähr null Trost spendet.

• Gegen 16:54 Uhr: Die komplette Datenmenge steht frei im Darknet. Laut Leak-Seite 5,26 Terabyte in 1.439.893 Dateien, garniert mit dem Hinweis, alles sei nun für „data hunters“ hochgeladen. Rhysida selbst hatte zuvor 5,79 Terabyte angekündigt – die kleine Differenz zeigt vor allem eines: Hier wurde nicht bloss Angst geschnitten, sondern ziemlich genau Buch geführt.

Man kann sich das lange schönreden. Man kann aber auch einfach feststellen: Zwischen der Abschaltung am 14. August und der öffentlichen Bestätigung der Erpressung am 28. August liegen zwei Wochen, in denen offenbar niemand es für nötig hielt, die Berlinerinnen und Berliner in die Lage zu versetzen, sich auf das vorzubereiten, was jetzt über sie hereinbricht.

Zwei Wochen Schweigen, zehn Meter Feldweg

Ich formuliere das bewusst so hart, wie es ist: Wer sich die Faktenlage anschaut, landet bei einem Führungsversagen, das sich auf drei Fragen komprimieren lässt, die offenbar niemand rechtzeitig gestellt hat.

Erstens: Warum hängen zwei komplette Senatsverwaltungen an einem einzigen Landesnetz, ohne dass die Kompromittierung der einen Seite die andere sofort isoliert? Netzwerksegmentierung ist keine Raketenwissenschaft, das lehrt man in der IT-Grundausbildung seit Jahrzehnten – und genau daran scheint es bei BeLa gemangelt zu haben, sonst hätten nicht gleich zwei Verwaltungen vom Netz genommen werden müssen.

Zweitens: Warum vergehen zwischen der faktischen Arbeitsunfähigkeit am 14. August und dem öffentlichen Eingeständnis der Erpressung am 28. August zwei Wochen, in denen kein einziges Wort in Richtung der Betroffenen fällt – während die Täter in aller Ruhe ihre Auktion vorbereiten? Zwei Wochen, in denen Bevölkerung, Behörden und Unternehmen hätten gewarnt und vorbereitet werden können, und in denen stattdessen offenbar gar nichts passiert ist.

Drittens: Warum wirkt die gesamte Kommunikation danach, als hätte man sich auf Presseerklärung und Trotzreaktion beschränkt – „das Land Berlin lässt sich nicht erpressen“ klingt gut in der Tagesschau, hilft aber niemandem, der plötzlich einen täuschend echten Bußgeldbescheid im Briefkasten hat – statt eine breite Warnkampagne für Bürger, Ämter und Unternehmen zu starten, bevor die Daten überhaupt draußen waren?

Das ist der Unterschied zwischen einer Behörde, die einen Cyberangriff als Betriebsunfall behandelt, und einer, die ihn als das begreift, was er ist: ein Ereignis mit Wirkung auf Millionen Menschen, das ab Minute eins eine Kommunikationsstrategie braucht, nicht erst ab dem Moment, in dem die Presse ohnehin schon alles weiß. Bei Anhalt-Bitterfeld und der Südwestfalen-IT hat man exakt dasselbe Muster gesehen, nur kleiner. Dass daraus offenbar nichts gelernt wurde und Berlin dasselbe Theater in groß noch einmal aufführt, ist der eigentliche Skandal – nicht der Hack selbst, den kann man einer kriminellen Bande kaum verdenken, die schlicht tut, was kriminelle Banden tun. Zehn Meter Feldweg vorausgedacht hätte gereicht, um wenigstens die zweite und dritte Frage anders zu beantworten.

Was tatsächlich drinsteckt

Der Senat hat die Inhalte nicht im Einzelnen bestätigt, die Ermittlungen laufen. Aber die von Rhysida veröffentlichte Liste gilt in Sicherheitskreisen als plausibel – unter anderem, weil die Gruppe bei der Zahl der Passwortdateien fast punktgenau lag. Was demnach im Datensatz steckt, liest sich wie ein Best-of dessen, was man in einer Verwaltung besser nicht verlieren sollte:

• 46.522 Verträge

• 77.939 Rechts- und Beschwerdevorgänge

• mehr als 5.000 Ordnungswidrigkeitenakten, etwa aus Verkehrs-, Umwelt- und Bauverfahren

• mehr als 5.000 Personalakten mit Gehaltsdaten und Beschäftigteninformationen

• Postbuch-Datenbanken der Jahre 2020 bis 2026 – wer wann was an wen geschickt hat

• 5.941 Dateien mit Passwörtern und Zugangsdaten

• 148 IBANs sowie Ausweiskopien, E-Mail-Adressen und Telefonnummern

• eine KRITIS-Analyse der Berliner Wasserversorgung und weitere Dokumente zur kritischen Infrastruktur

Die Kombination aus echten Aktenzeichen, echten Vorwürfen, echten Adressen und echten Bankverbindungen macht dieses Material für Betrug ungefähr so wertvoll, wie ein Nachschlüssel-Satz für einen Einbrecher. Jede einzelne der 1,44 Millionen Dateien ist ein potenzieller Ansatzpunkt für maßgeschneidertes Phishing, gefälschte Bescheide oder Anrufe, die sich auf reale Vorgänge berufen. Und weil ein solcher Datensatz, einmal frei verfügbar, erfahrungsgemäß von mehreren kriminellen Gruppen parallel genutzt wird, ist mit der Veröffentlichung nichts abgeschlossen – es fängt gerade erst an.

Wer da eigentlich eingebrochen ist

Rhysida ist keine mysteriöse Cyber-Elitetruppe eines feindlichen Geheimdienstes, sondern eine ganz gewöhnliche Ransomware-as-a-Service-Bande, aktiv seit Mai 2023, mit einer sehr überschaubaren Motivation: Geld. Vorher hat die Gruppe unter anderem die British Library, den Spieleentwickler Insomniac Games, den Bootshändler MarineMax und weitere kommerzielle Ziele getroffen – alles Fußball, kein Schach. Sicherheitsbehörden und Forschung ordnen Rhysida als russischsprachig beziehungsweise aus Russland oder dem GUS-Raum operierend ein. Eine offizielle staatliche Zuordnung, etwa zu einer der bekannten „Bären“-Gruppen wie Fancy Bear oder Cozy Bear, gibt es nicht. Auch Nordkorea oder China tauchen in keiner ernstzunehmenden Einordnung auf. Rhysida ist kriminell, nicht geopolitisch.

Kiesewetter zuckt schon wieder

Wenig überraschend hat sich der CDU-Sicherheitspolitiker Roderich Kiesewetter zu Wort gemeldet und den Vorfall als „Katastrophe noch nicht absehbaren Ausmaßes“ eingeordnet. Er warnt, dass geleakte Daten zu Gesamtverteidigung, ziviler-militärischer Kooperation und KRITIS-Schutz nun von Staaten wie Russland und China oder von Terroristen für Anschläge, Sabotage oder gezielte Erpressung genutzt werden könnten. Der Süddeutschen Zeitung sagte er, der Datenabfluss sei von gravierendem Ausmaß und gefährde die nationale Sicherheit.

Das ist nicht per se falsch – ein einmal veröffentlichter Datensatz kennt keine Absender-Ideologie, und natürlich können auch staatliche Akteure kriminell erbeutetes Material sekundär nutzen. Nur fällt eben auf, wie vertraut sich dieses Muster inzwischen anfühlt. Erst im Januar 2026, nach dem Brandanschlag auf Berliner Stromleitungen, hatte derselbe Abgeordnete öffentlich vermutet, das Bekennerschreiben sei aus dem Russischen übersetzt worden, und mehr Resilienz gegen russische Sabotage gefordert. Jetzt, acht Monate später, bei einer Tat, die forensisch und nach übereinstimmender Einschätzung von Sicherheitsbehörden und Threat-Intelligence-Dienstleistern das Werk einer stinknormalen, geldgierigen Erpresserbande ist, wird derselbe Reflex bedient: Schwachstelle zeigen, Bedrohung auf Staatsniveau hochskalieren, harte Haltung fordern. Man muss Rhysida nicht verharmlosen, um festzustellen, dass hier zwei verschiedene Ebenen – wer hackt, und wer von den Folgen profitieren könnte – in der öffentlichen Debatte gerne zu einer einzigen, angsteinflößenderen Erzählung verschmolzen werden.

Die Zahlen, die das Ganze einordnen

Damit hier niemand glaubt, Berlin sei ein unglaubliches Pech-Einzelschicksal: Laut BSI-Lagebericht 2025 wurden im Berichtszeitraum Juli 2024 bis Juni 2025 in Deutschland 950 Ransomware-Angriffe registriert, 72 Prozent davon mit zusätzlichem Datenleck, rund 80 Prozent gegen kleine und mittlere Unternehmen. Der Gesamtschaden durch Datendiebstahl, Sabotage und Industriespionage für die deutsche Wirtschaft liegt laut Bitkom bei 289,2 Milliarden Euro jährlich – Rekordwert. Und die Südwestfalen-IT hat schon einmal vorgeführt, was passiert, wenn ein zentraler Dienstleister für viele Kommunen ausfällt: 72 Gemeinden, 22.000 Arbeitsplätze, wochenlanger Wiederaufbau. Berlin ist also keine Ausnahme, sondern die vorläufig größte Ausgabe eines Musters, das längst bekannt ist.

Was jetzt hilft – und wo ich zustimme

In der Diskussion um diesen Fall bin ich auf einen LinkedIn-Beitrag von Carolin Desiree Töpfer gestoßen, der die Risiken aus IT-Sicherheitssicht sehr treffend zusammenfasst, und dem ich mich hier ausdrücklich anschließe. Ihre zentrale Beobachtung: Jede der 1,44 Millionen Dateien ist ein eigener Angriffsvektor, und ein solcher Datenschatz wird erfahrungsgemäß von mehreren Gruppen parallel genutzt – nicht nur von Rhysida selbst. Daraus lassen sich ein paar sehr konkrete Verhaltensregeln ableiten, die für alle gelten, nicht nur für Berlinerinnen und Berliner:

• Misstrauisch bei jeder unerwarteten Forderung per Mail, Brief oder Anruf – vor allem, wenn eine neue IBAN genannt oder kurzfristig Druck aufgebaut wird.

• Keine Links in verdächtigen Mails anklicken, keine QR-Codes auf Zetteln scannen, die sich nicht eindeutig zuordnen lassen.

• Kontobewegungen regelmäßig prüfen und bei Auffälligkeiten die Bank sofort informieren.

• Passwörter ändern, wenn der Verdacht besteht, dass Zugangsdaten betroffen sein könnten – besonders bei beruflich genutzten Diensten.

• Bei angeblichen Bescheiden die Behörde über die offiziell bekannte Nummer kontaktieren, nicht über die im verdächtigen Schreiben angegebenen Kontaktdaten.

• Kinder und ältere Angehörige gezielt einbeziehen: keine Daten am Telefon herausgeben, keine Zahlung ohne Rückfrage.

Fazit

Es handelt sich um einen realen, sehr schweren Behörden-Hack, bei dem ein riesiger, hochsensibler Datensatz öffentlich geworden ist – mit der Folge, dass maßgeschneiderter Betrug und Identitätsmissbrauch für viele Haushalte und Unternehmen in Berlin auf absehbare Zeit zum Alltag gehören werden. Die Verantwortung dafür liegt zuallererst bei einer kriminellen Erpresserbande. Die Verantwortung für zwei Wochen Schweigen, für eine Cybersicherheitsarchitektur, die einen einzelnen Zugriffspunkt für 600 Standorte offenlässt, und für eine politische Debatte, die lieber auf Moskau zeigt als auf die eigene IT-Abteilung, liegt woanders. Man darf sich aussuchen, welcher Teil davon einen mehr auf die Palme bringt. Ich habe mich entschieden.

Quellen: borncity.com, tech-insider.org, blogspan.net, christopher-helm.com, dts/Nachrichtenagentur, BSI-Lagebericht IT-Sicherheit 2025, Bitkom-Wirtschaftsschutzstudie 2025, LinkedIn-Beitrag von Carolin Desiree Töpfer.