Der Berliner Senat hat bestätigt, er werde eine Lösegeldforderung nach einem massiven Cyberangriff auf sein Netzwerk nicht erfüllen, eine Entscheidung, die zur Veröffentlichung sensibler Behördendaten führte. Die Hackergruppe Rhysida stellte am späten 5. September 2026 einen 5,8-Terabyte-Datensatz im Darknet ein, etwa eine Stunde nachdem ihre Zahlungsfrist abgelaufen war.
Die Täter hatten 30 Bitcoin gefordert, zum damaligen Zeitpunkt rund 2 Millionen Euro wert, im Gegenzug für die Löschung der gestohlenen Informationen. Stadtbeamte bekräftigten ihre geltende Politik, sich nicht auf Erpressungsversuche einzulassen, und stellten langfristige Sicherheitsanreize über kurzfristige Schadensbegrenzung. Damit reiht sich Berlin in die Reihe mehrerer europäischer öffentlicher Stellen ein, die die Grenzen von Nichtzahlungsstrategien gegen organisierte Cyberkriminalität austesten.
Umfang der offengelegten Datensätze
Eine erste Analyse des geleakten Materials deutet darauf hin, dass der Einbruch tief in administrative Funktionen reicht. Joachim Selzer, Sprecher des Chaos Computer Club, sichtete die hochgeladenen Dateien und stellte das Vorhandensein von Personalunterlagen fest. Diese enthalten typischerweise persönliche Kennungen, Beschäftigungsverläufe und Leistungsbeurteilungen, die nicht für die Öffentlichkeit bestimmt sind.
Die Offenlegung schafft unmittelbare Risiken für aktuelle und ehemalige Mitarbeiter der Berliner Verwaltung. Arbeitszeugnisse und Personalakten lassen sich nutzen, um detaillierte Profile für Identitätsbetrug oder gezielte Phishing-Kampagnen zu erstellen. Zwar wurden Finanzdaten im ersten Datensatz nicht explizit hervorgehoben, doch das schiere Volumen an Informationen liefert ausreichend Material für raffinierte Social-Engineering-Angriffe gegen Bedienstete.
Der Preis der harten Linie
Die Verweigerung der Lösegeldzahlung vermeidet die Finanzierung krimineller Unternehmen, garantiert aber, dass die Daten öffentlich werden. Sicherheitsexperten argumentieren, dass Zahlungen weitere Angriffe auf dasselbe Ziel ermutigen und anderen Gruppen Verwundbarkeit signalisieren. Die Haltung des Berliner Senats deckt sich mit Empfehlungen verschiedener Sicherheitsbehörden, doch die praktische Konsequenz ist der Verlust der Kontrolle über sensible interne Kommunikation.
Öffentliche Einrichtungen stehen vor einem anderen Dilemma als Privatunternehmen. Eine Bank mag den Reputationsschaden eines Leaks gegen den Lösegeldbetrag abwägen, ein Regierungsorgan muss jedoch das öffentliche Vertrauen und rechtliche Verpflichtungen zum Schutz von Bürgerdaten berücksichtigen. Die Veröffentlichung interner Verwaltungsdokumente könnte laufende Politikvorhaben erschweren und Beratungsprozesse externer Prüfung aussetzen.
Regulatorischer Druck in ganz Europa
Dieser Vorfall ereignet sich, während die Mitgliedstaaten der Europäischen Union strengere Cybersicherheitspflichten für öffentliche Verwaltungen umsetzen. Nach der NIS2-Richtlinie müssen wesentliche Einrichtungen bedeutende Vorfälle melden und angemessene Sicherheitsmaßnahmen vorhalten. Die Cybersicherheitsstrategie der Europäischen Kommission betont Resilienz, doch lokale Behörden kämpfen oft mit veralteten IT-Systemen und Budgetrestriktionen, die sie für Gruppen wie Rhysida angreifbar machen.
Compliance garantiert keine Immunität vor Angriffen, schreibt aber einen strukturierten Reaktionsprozess vor. Berlin wird sich wahrscheinlich Fragen stellen müssen, ob seine Sicherheitsprotokolle vor dem Einbruch den geforderten Standards entsprachen. Aufsichtsbehörden könnten prüfen, ob der Einbruch durch andere Infrastrukturinvestitionen oder Schulungsprogramme hätte verhindert werden können.
Unmittelbare technische Folgen
Der Zugriff auf die geleakten Daten war zunächst uneinheitlich. Berichte zufolge führten die von den Hackern geposteten Links kurz nach der Ankündigung zu Fehlermeldungen, was auf potenzielle Instabilität in der Hosting-Infrastruktur der Täter hindeutet. Spiegel des Datensatzes tauchen jedoch typischerweise schnell in mehreren Darknet-Foren auf, sobald ein Leck dieser Größenordnung von unabhängigen Forschern verifiziert wurde.
IT-Teams im Senat konzentrieren sich nun auf Eindämmung und Forensik. Sie müssen ermitteln, wie die Angreifer Zugang erlangten und ob Hintertüren im Netzwerk weiterhin aktiv sind. Die Absicherung der verbleibenden Infrastruktur hat Vorrang, bevor der Normalbetrieb vollständig wieder aufgenommen werden kann, ein Prozess, der bei Organisationen dieser Größe oft Wochen dauert.
Erwähnte Personen
-
Joachim Selzer
Organisationen
Berlin Senate · Rhysida · Chaos Computer Club