Die Ransomware-Gruppe Rhysida hat ihre Drohung wahrgemacht und Daten der Berliner Landesverwaltung veröffentlicht, nachdem eine Lösegeldforderung von 30 Bitcoin nicht erfüllt wurde. Kurz nachdem ein Countdown-Timer am Freitag, den 11. September, um 15:35 Uhr abgelaufen war, veröffentlichte die Gruppe ein 5,8 Terabyte großes Archiv mit 1.439.893 Dateien auf ihrer Darknet-Leak-Site. Zu dem Material gehört ein Verzeichnis mit dem Titel AG CBRN-Rahmenplanung, was als Arbeitsgruppe zur CBRN-Rahmenplanung übersetzt wird und Szenarioplanungen für chemische, biologische, radiologische und nukleare Vorfälle enthält.

Was das Archiv enthält

Das Ausmaß der Sicherheitsverletzung ist selbst nach jüngsten deutschen Maßstäben außergewöhnlich. Frühere Eindringlinge in das Netzwerk des Berliner Senats in den Jahren 2024 und 2025 ergaben 5,7 bzw. 5,8 Terabyte, aber diese Datensätze bestanden überwiegend aus Infrastrukturplänen und Personalakten. Die aktuelle Veröffentlichung fügt eine Ebene der operativen Sicherheitsplanung hinzu, die in der öffentlichen Offenlegung ohne Präzedenzfall ist. Der Cybersicherheitsforscher Lars Winkelsdorf, der den Dateiindex untersuchte, bestätigte, dass der CBRN-Ordner Bedrohungsmatrizen, Evakuierungsprotokolle und behördenübergreifende Koordinationspläne für Szenarien von Industrieunfällen bis hin zu vorsätzlichen Angriffen enthält.

Über die Sicherheitsplandokumente hinaus enthält das Archiv Personalakten, Gehaltsdaten, interne Korrespondenz und Vertragsdetails für Tausende von Beamten und Auftragnehmern. Das reine Volumen von fast sechs Terabyte deutet darauf hin, dass die Angreifer monatelang dauerhaften Zugriff hatten und die Daten systematisch exfiltrierten, anstatt in einem einzigen Coup zuzuschlagen. Dateinamenlisten, die innerhalb von Stunden nach der Veröffentlichung auf Telegram und X geteilt wurden, deuten darauf hin, dass die Angreifer oder ihre Affiliate-Partner den Datenabfluss aktiv indizieren, um ihn weiterzuverkaufen oder gezielt auszunutzen.

Die Lösegeld-Zeitleiste

Die Leak-Site von Rhysida zeigte einen Countdown-Timer, der am Freitagnachmittag ablaufen sollte, begleitet von einer Forderung von 30 Bitcoin, die zum Zeitpunkt der Frist einen Wert von etwa 2 Millionen Euro hatte. Die Gruppe hat in früheren Kampagnen gegen Gesundheits- und Bildungsziele in Großbritannien und den USA ähnliche Countdown-Mechanismen eingesetzt und in der Regel innerhalb von Stunden nach Ablauf veröffentlicht. Die Senatsverwaltung von Berlin hat die Forderung öffentlich nicht bestätigt und auch Verhandlungen weder bestätigt noch dementiert. Ein Sprecher des Büros des Innensenators äußerte sich am Samstag nicht und verwies auf laufende forensische Untersuchungen.

Die Weigerung zu zahlen entspricht den Vorgaben des Bundes und der Position der meisten europäischen Strafverfolgungsbehörden, die argumentieren, dass Zahlungen weitere Angriffe befeuern und keine Garantie für die Löschung der Daten bieten. Die Entscheidung bringt jedoch einen deutlichen Preis mit sich: Die CBRN-Plandokumente sind nun für jeden Akteur mit Darknet-Zugang erreichbar, einschließlich staatsnaher Gruppen, die solche Lecks wegen ihres Nachrichtendienstwerts überwachen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat bis Montagmorgen keine öffentliche Warnung herausgegeben.

Warum CBRN-Planung wichtig ist

Die CBRN-Rahmenplanung ist eine Standardfunktion des Zivilschutzapparats jeder großen europäischen Hauptstadt. Die Berliner Dokumente würden die Koordination zwischen Feuerwehren, Polizei, Spezialeinheiten der Bundeswehr und Bundesbehörden wie dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) abdecken. Ihre Offenlegung verrät weder Waffenkonstruktionen noch Geheimdienstquellen, aber sie legt Schwachstellenbewertungen, Schutzraumsstandorte, Dekontaminationskorridore und Kommunikationsprotokolle offen, Informationen, die genutzt werden könnten, um Reaktionszeiten zu verlängern oder Ersthelfer bei einem echten Vorfall anzugreifen.

Das praktische Risiko ist nicht theoretisch. Im Jahr 2023 löste ein ähnlicher Leak schwedischer Zivilschutzpläne eine formelle Überprüfung der Beschilderung von Schutzräumen und der Zuteilung von Notfrequenzen aus, nachdem Analysten die Dokumente in einem russischsprachigen Forum gefunden hatten. Die deutschen Behörden werden nun unter Druck geraten, zu prüfen, welche Pläne noch aktuell sind, welche ersetzt wurden und ob bestimmte operative Details, wie etwa die genauen Standorte medizinischer Vorräte, eine sofortige Verlagerung oder Neueinstufung erfordern.

Das sich wandelnde Modell von Rhysida

Rhysida agiert als Ransomware-as-a-Service-Organisation, die Verschlüsselungstools und Leak-Site-Infrastruktur für Affiliate-Partner bereitstellt, welche die anfänglichen Eindringlinge durchführen. Die Gruppe tauchte Mitte 2023 auf und zeichnete sich schnell dadurch aus, dass sie das Gesundheitswesen und öffentliche Einrichtungen angriff, darunter die British Library, das Gehaltssystem der chilenischen Armee und Prospect Medical Holdings in den USA. Ihre Leak-Site ahmt legitime Datenrepositorien nach und bietet durchsuchbare Dateibäume und Torrent-Downloads an, was die technische Hürde für sekundäre Akteure zur Nutzung der Daten senkt.

Die Berliner Operation weist Merkmale eines Affiliate-Partners auf, der über Vorkenntnisse der Netzwerktopologie des Senats verfügt. Das exfiltrierte Volumen und die spezifische Einbeziehung des CBRN-Verzeichnisses deuten auf eine umfangreiche Aufklärung oder Insider-Wissen hin. Deutsche Staatsanwälte haben eine formelle Untersuchung nach Paragraf 202a des Strafgesetzbuches (Ausspähen von Daten) und Paragraf 303b (Computersabotage) eröffnet, aber die Zuordnung in Ransomware-Fällen führt selten zu Verhaftungen, wenn die Täter in Rechtsgebieten ansässig sind, die nicht mit europäischen Strafverfolgungsbehörden zusammenarbeiten.

Präzedenzfälle und Muster

Dies ist die dritte große Sicherheitsverletzung in der Berliner Verwaltung in ebenso vielen Jahren. Im März 2024 exponierte ein 5,7-Terabyte-Leak Netzwerktopologiekarten und VPN-Zugangsdaten. Im Januar 2025 umfasste ein 5,8-Terabyte-Dump Personalakten der Bildungs- und Sozialabteilungen. Jeder Vorfall löste Versprechen für eine verbesserte Segmentierung, obligatorische Mehrfaktorauthentifizierung und beschleunigte Patch-Zyklen aus. Das Wiederauftreten legt nahe, dass entweder die Behebung unvollständig war oder dass die Angriffsfläche, Tausende von Endgeräten über Dutzende von Behörden hinweg, mit den aktuellen Ressourcen grundsätzlich schwer zu sichern ist.

Der Bundeshaushalt für 2027 sieht 109,7 Milliarden Euro für die Verteidigung vor, einschließlich einer Aufstockung der Cyberfähigkeiten für den Cyber- und Informationsraumdienst der Bundeswehr. Die kommunale und landeseigene IT bleibt jedoch ein Flickwerk aus veralteten Systemen, ausgelagerten Verträgen und unterschiedlicher Sicherheitsreife. Der IT-Grundschutz-Katalog des BSI bietet eine Grundlage, aber die Einhaltung ist für Landesverwaltungen freiwillig. Der Berliner Senat hat für keinen der beiden vorherigen Lecks einen Vorfallsbericht veröffentlicht, wodurch es unmöglich ist zu beurteilen, ob Lehren gezogen wurden.

Wie es weitergeht

Die unmittelbare Priorität für das IT-Sicherheitsteam von Berlin ist die Eindämmung: das Widerrufen kompromittierter Zugangsdaten, das Wechseln von Verschlüsselungsschlüsseln und die Überprüfung, dass keine dauerhaften Hintertüren im Senatsnetzwerk verblieben sind. Das BSI wird diese Woche voraussichtlich einen technischen Hinweis herausgeben, der die Kompromittierungsindikatoren der verwendeten Rhysida-Variante detailliert. Für die CBRN-Dokumente muss das BBK entscheiden, ob Planungsannahmen neu herausgegeben, Schutzraumbezeichnungen geändert oder Kommunikationsprotokolle aktualisiert werden, ein Prozess, der normalerweise Monate dauert. Der nächste konkrete Meilenstein ist die Anhörung des Innenausschusses des Bundestages am 23. September, bei der der Innenminister den Vorfall voraussichtlich ansprechen wird. Bis dahin bleiben die 1,44 Millionen Dateien im Darknet durchsuchbar, und jeder Tag, an dem sie dort bleiben, erhöht die Wahrscheinlichkeit, dass feindliche Geheimdienste sie bereits gespiegelt und indiziert haben.

Erwähnte Personen

  • Lars Winkelsdorf

    Cybersecurity researcher, Independent

Organisationen

Berlin Senate Administration · Rhysida