Als die Ransomware-Gruppe Rhysida im August 2026 in zwei Netzwerke der Berliner Senatsverwaltung eindrang, fanden die Angreifer ein Ziel vor, das durch IT-Sicherheitsrichtlinien geschützt war, die seit 2017 nicht mehr angefasst wurden. Der Einbruch, der erst diese Woche bekannt wurde, hat ein Versagen der Governance im Herzen der deutschen Hauptstadt offengelegt: neun Jahre ohne Aktualisierung der Regeln, die sensible Regierungsinfrastruktur schützen sollen.

Was die Angreifer vorfanden

Rhysida, eine Gruppe, die für Angriffe auf Regierungs- und Gesundheitssektoren bekannt ist, erlangte über einen Phishing-Angriff Zugang zu den Senatsnetzwerken. Mindestens ein Mitarbeiter übergab unwissend seine Zugangsdaten. Von dort aus nutzten die Angreifer Schwachstellen aus, die schon vor Jahren hätten behoben werden müssen, darunter die Speicherung von Passwortsammlungen als Klartextdokumente auf internen Systemen.

Passwortdateien im Klartext stellen eine bekannte Schwachstelle dar. Sicherheitsexperten drängen seit Jahren darauf, dass Organisationen verschlüsselte Tresore und Mehrfaktor-Authentifizierung einführen. Dass solche Dokumente im Jahr 2026 innerhalb einer Staatsverwaltung existierten, deutet nicht auf eine hochentwickelte neue Bedrohung hin, sondern auf ein Versagen bei der Umsetzung grundlegender Sicherheitsmaßnahmen.

Die neunjährige Richtlinienlücke

Berlins IT-Sicherheitsrichtlinien, die Mindeststandards für die öffentliche Verwaltung des Stadtstaates festlegen, wurden zuletzt 2017 überarbeitet. In den Jahren seitdem hat sich die Bedrohungslage erheblich verändert: Ransomware-as-a-Service hat die Einstiegshürde für Cyberkriminelle gesenkt, Supply-Chain-Angriffe sind zur Routine geworden, und die EU hat die NIS2-Richtlinie eingeführt, die strengere Cybersicherheitsverpflichtungen für öffentliche Stellen vorsieht. Keine dieser Entwicklungen spiegelte sich in Berlins internen Regeln wider.

Eine neunjährige Lücke zwischen Überarbeitungen ist kein geringfügiges Versäumnis. Sicherheitsrahmenwerke erfordern in der Regel mindestens eine jährliche Überprüfung. Das Bundesamt für Sicherheit in der Informationstechnik (BSI), Deutschlands nationale Cybersicherheitsbehörde, veröffentlicht regelmäßig aktualisierte Empfehlungen. Die Berliner Verwaltung hat diese einfach nicht in bindende interne Richtlinien umgesetzt.

Kein Einzelfall in Berlin, jedoch symptomatisch

Falk Steiner, ein in Berlin ansässiger Journalist, der über Digitale Politik berichtet, hat argumentiert, dass die durch diesen Vorfall aufgedeckten Versäumnisse nicht nur für die Hauptstadt gelten. Phishing funktioniert überall. Die Speicherung von Passwörtern im Klartext ist zwar inakzeptabel, aber in deutschen Organisationen weiter verbreitet, als jemand, der mit Informationssicherheit vertraut ist, zugeben möchte. Der Unterschied ist, dass eine Staatsverwaltung Verantwortlichkeiten trägt, die private Unternehmen nicht haben.

Dennoch ist der Berliner Fall, wie Steiner es ausdrückte, ein Lehrbuchbeispiel dafür, wie es 2026 nicht mehr laufen sollte. Der Stadtstaat hatte Jahre der Warnung. Vorangegangene Vorfälle in anderen deutschen Kommunen in Verbindung mit wiederholten Warnungen des BSI hatten die Risiken klar gemacht. Die Lücke zwischen dem Wissen, was zu tun ist, und dem tatsächlichen Handeln ist der Kern dieser Geschichte.

Institutionelle Trägheit

Die Berliner Verwaltung ist kein kleiner Betrieb. Der Senat ist für Bildung, Polizei, Stadtplanung und Gesundheit für fast vier Millionen Einwohner zuständig. Seine Netzwerke enthalten persönliche Daten, Beschaffungsdetails und Infrastrukturpläne. Der Schutz dieser Systeme erfordert sowohl technische Investitionen als auch politischen Willen.

Die Richtlinien aus dem Jahr 2017 stammen nicht nur aus der Zeit vor den aktuellen Ransomware-Taktiken, sondern auch vor wesentlichen Veränderungen in der Handhabung der IT-Sicherheit durch die deutsche öffentliche Beschaffung. Die Bundesregierung hat sich für den zentralen Einkauf von Sicherheitssoftware und strengere Anforderungen an Anbieter eingesetzt. Berlin war, wie mehrere andere Länder, langsam darin, seine internen Prozesse an diese Erwartungen anzupassen. Das Ergebnis ist ein Flickwerk aus veralteten Regeln, unterfinanzierten IT-Abteilungen und verzögerten Upgrades.

Die deutschlandweite Perspektive

Die IT des öffentlichen Sektors in Deutschland ist ein wiederkehrendes Sorgenkind. Der Bundestag-Hack von 2015, der dem russischen Geheimdienst zugeschrieben wird, löste Investitionen in Bundessysteme aus, ließ jedoch viele Netzwerke auf Kommunal- und Länderebene untergeschützt. Ein BSI-Bericht aus dem Jahr 2023 stellte fest, dass Kommunalverwaltungen weiterhin das schwächste Glied in den digitalen Verteidigungslinien des Landes blieben, und nannte veraltete Software, fehlende Patches und unzureichendes Personal.

Die Europäische Kommission hat die Mitgliedstaaten auch gedrängt, die Umsetzung der EU-Cybersicherheitsgesetzgebung zu beschleunigen. NIS2, die 2023 in Kraft trat und bis Ende 2024 die nationale Umsetzung erforderte, schreibt vor, dass öffentliche Verwaltungen bestimmte Standards für das Risikomanagement und die Berichterstattung erfüllen. Berlins Versäumnis, die eigenen Richtlinien zu aktualisieren, deutet darauf hin, dass es Schwierigkeiten haben könnte, die Einhaltung nachzuweisen.

Verzögerte Bekanntgabe

Der Einbruch ereignete sich im August 2026, wurde aber erst im September bekannt gegeben. Diese Verzögerung wirft Fragen zur Transparenz auf, auch wenn sie bei Ransomware-Vorfällen, bei denen forensische Untersuchungen Zeit in Anspruch nehmen, nicht ungewöhnlich ist. Senatsverwaltungen halten öffentliche Daten vor. Bürger und Unternehmen, die von potenziellen Lecks betroffen sind, verdienen rechtzeitige Informationen darüber, worauf zugegriffen wurde und was entwendet wurde.

Rhysida ist dafür bekannt, gestohlene Daten zu veröffentlichen, wenn Lösegeldforderungen nicht erfüllt werden. Das Volumen der Berichten zufolge aus den Senatsnetzwerken extrahierten Daten, das zuvor mit über fünf Terabyte angegeben wurde, deutet darauf hin, dass die Angreifer vor der Entdeckung umfangreichen Zugang hatten.

Organisationen

Rhysida · Berlin Senate Administration