Ein Ransomware-Angriff auf die Berliner Landesverwaltung hat sich zu einem der größten Datenlecks im öffentlichen Sektor der jüngeren deutschen Geschichte ausgeweitet. Am Freitag veröffentlichte die kriminelle Gruppe Rhysida 1,44 Millionen Dateien mit einem Gesamtvolumen von 5,8 Terabyte im Darknet, rund zwei Wochen bevor die Wähler zur Wahl des Abgeordnetenhauses an die Urnen gehen.

Die Bande hatte sich Mitte August in das Netzwerk eingeschlichen, die Daten unentdeckt extrahiert und 30 Bitcoin, etwa zwei Millionen Euro, für ihre Rückgabe gefordert. Der von Kai Wegner (CDU) geführte Senat in Koalition mit der SPD verweigerte die Zahlung. Daraufhin erfolgte die Veröffentlichung.

Inhalt des Datenlecks

Berichten des Tagesspiegels zufolge, die von unabhängigen Experten bestätigt wurden, vermischt der Datenstapel routinemäßige persönliche Aufzeichnungen mit Material, das unter das deutsche Geheimschutzregime fällt. Jochim Selzer, Sprecher des Chaos Computer Clubs, untersuchte eine Stichprobe und fand ungeschwärzt eingescannte Pässe, Arbeitsverträge, Bewerbungen und Krankmeldungen. Er fand auch sensible technische Daten zur Berliner Wasserversorgung.

Über personenbezogene Daten hinaus umfasst das Leak Berichten zufolge Dokumente zu Heizkraftwerken, Tanklagern, Notstromanlagen, Umspannwerken, Gefängnissen, Wasserwerken, Rüstungsherstellern, Bundeswehrstandorten und den verteidigungsrelevanten Beständen der Innenverwaltung. Ein Sprecher der Bundesregierung bestätigte die Veröffentlichung und erklärte, dass die Behörden kontinuierlich Informationen abgleichen, um militärische Sicherheitsrisiken zu bewerten. Die Bundesdatensysteme seien voraussichtlich nicht betroffen.

Seit Jahren ignorierte Warnungen

Manuel Atug, Gründer der Arbeitsgruppe Kritis AG Kritis, gehört zu den schärfsten Kritikern. Er sagte der Deutschen Presse-Agentur, dass Berlin "grob fahrlässig" gehandelt und die Geheimschutzvorgaben vorsätzlich missachtet habe. Atug trat 2023 und erneut 2025 als Sachverständiger vor dem Innenausschuss des Landes auf und warnte jedes Mal, dass die Cybersicherheitsprozesse der Stadt verödet seien und dass Missstand schwerwiegende Folgen haben würde. "Genau das ist nun eingetreten", sagte er.

Die Geheimschutzvorgaben schreiben strenge Verfahren für den Umgang mit Verschlusssachen vor, einschließlich gestufter Sicherheitsstufen, Zugangskontrollen und Verschlüsselung. Atugs These ist, dass diese Regeln zwar existierten, aber auf die von Rhysida kompromittierten Systeme nicht angewandt wurden.

Politische Folgen vor der Wahl

Da die Wahl zum Abgeordnetenhaus für den 22. September angesetzt ist, haben Oppositionsparteien den Vorfall aufgegriffen. Die Spitzenkandidatin der Linken, Elif Eralp, nannte es ein "massives Regierungsversagen der CDU" und forderte, dass der Senat eine "Großschadenslage" ausruft, eine Situation großen Schadens, die Notfallbefugnisse und Ressourcen freigeben würde. Die AfD-Politikerin Kristin Brinker forderte eine sofortige und umfassende Aufklärung. Der Grünen-Politiker Werner Graf kritisierte das Fehlen eines sichtbaren Plans zum Schutz und zur Warnung betroffener Personen oder zur Reorganisation der Sicherheit. "Die Woche verging ohne erkennbare Vorsichtsmaßnahmen. Das ist ein Skandal", sagte er.

Der SPD-Bürgermeisterkandidat Steffen Krach befürwortete einen massiven Ausbau der IT-Sicherheit und Cyberabwehr. Der FDP-Politiker Christoph Meyer ging weiter und forderte den Rücktritt von Wegner und Innensenatorin Iris Spranger. "In diesem Senat scheint jeder an seinem Amt festzuhalten, während schwerwiegende Fehler ohne Konsequenzen bleiben", sagte Meyer.

Die Ransomware-Gruppe und ihre Methoden

Rhysida agiert als Ransomware-as-a-Service-Gruppe und ist für Angriffe auf den Gesundheits-, Bildungs- und Regierungssektor in Europa und Amerika bekannt. Die Gruppe nutzt typischerweise Phishing und den Missbrauch gültiger Zugangsdaten für den Erstzugriff, bewegt sich dann seitlich, bevor sie Daten exfiltriert und verschlüsselt. Die Forderung von 30 Bitcoin passt zu ihrem etablierten Muster, Lösegeld an der vermuteten Zahlungsfähigkeit des Opfers auszurichten. Die Weigerung Berlins zu zahlen, entspricht der seit langem bestehenden Politik der Bundesregierung gegen die Belohnung von Erpressung, obwohl die Entscheidung unweigerlich die Veröffentlichung nach sich zieht.

Technische Herausforderungen bei der Schadensbewertung

Selzer stellte fest, dass die Darknet-Seite das Material auf drei Unterseiten organisiert, jede mit einem navigierbaren Dateibaum. Das reine Volumen von 5,8 Terabyte macht eine systematische Überprüfung extrem schwierig; einfache Schlüsselwortsuchen sind unpraktikabel. Das bedeutet, dass das volle Ausmaß der enthüllten Geheimnisse, insbesondere in Bezug auf kritische Infrastruktur und Verteidigungsanlagen, vielleicht wochenlang nicht bekannt sein wird. Atug hat aus ethischen Gründen davon abgesehen, die Daten selbst anzusehen, sagte aber, dass zuverlässige Quellen die Berichterstattung des Tagesspiegels über Dokumente zum Zivilschutz und zur Rüstungsindustrie bestätigen.

Erwähnte Personen

  • Manuel Atug

    Founder and spokesperson of AG Kritis, security adviser for critical infrastructure, AG Kritis

  • Kai Wegner

    Regierender Bürgermeister of Berlin, Senate of Berlin

  • Jochim Selzer

    Spokesperson of the Chaos Computer Club, Chaos Computer Club

Organisationen

Senate of Berlin · AG Kritis · Chaos Computer Club · Rhysida · Bundeswehr · Federal Government of Germany