Ein Phishing-Klick in der Berliner Verkehrsverwaltung reichte, damit die Ransomware-Gruppe Rhysida rund 5,8 Terabyte aus dem Landesnetz zog. Seit dem 4. September 2026 liegen die Akten im Darknet, darunter Baupläne von Kraftwerken und Passwörter im Klartext. Zwölf Tage vor der Berliner Wahl zeigt der Fall, wie verwundbar deutsche Behördennetze bleiben.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Berliner Datenleck ist der bislang größte Angriff auf eine deutsche Landesverwaltung: rund 1,44 Millionen Dateien, erbeutet zwischen dem 7. und 12. August, veröffentlicht am 4. September. Berlin verweigerte das geforderte Lösegeld von 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Die Angreifer stellten daraufhin den kompletten Datensatz ins Darknet. Für Unternehmen lohnt der Blick nach Berlin, weil dieselbe Angriffsklasse längst den Mittelstand trifft.
Das Wichtigste in Kürze
- Rhysida erbeutete rund 5,8 Terabyte aus zwei Berliner Senatsverwaltungen und stellte die Beute ins Darknet.
- Der Datensatz enthält Personalakten, Klartext-Passwörter sowie Schutz- und Baupläne für Kraftwerke und Tanklager.
- Das BSI warnt vor einer Phishing-Welle und vor Desinformation rund um die Berliner Wahl am 20. September.
- secunet und das BSI bieten mit SINA seit Jahren die Architektur, die genau solche Netze abschotten soll.
Wie kam Rhysida ins Berliner Landesnetz?
Ein einziger Klick genügte. Nach übereinstimmenden Berichten öffnete ein Beschäftigter der Verkehrsverwaltung eine Phishing-Mail, danach breitete sich die Schadsoftware wochenlang unbemerkt aus, bis auffällige Aktivität am Domaincontroller den Angriff verriet.
Doppelte Erpressung ist das Geschäftsmodell dahinter. Rhysida arbeitet als Ransomware-as-a-Service, verleast die Werkzeuge an Partner und teilt die Beute. Die Gruppe verschlüsselt die Systeme nicht nur, sondern droht zugleich mit der Veröffentlichung der Daten. Das BSI ordnet die Angriffskampagne genau diesem Muster zu.[1]
Warum trifft Ransomware ausgerechnet Behörden?
Kein Einzelfall. Schon 2021 rief der Landkreis Anhalt-Bitterfeld den ersten kommunalen Cyber-Katastrophenfall Deutschlands aus, 2023 legte die Gruppe Akira über eine VPN-Lücke ohne Zwei-Faktor-Schutz die Südwestfalen-IT und mehr als hundert Kommunen lahm. Rhysida selbst erbeutete zuvor Teile der British Library. Behörden sind attraktive Ziele, weil sie sensible Daten horten und selten das Sicherheitsbudget eines DAX-Konzerns haben.
Der eigentliche Hebel liegt in der Netzarchitektur. Ein flaches, kaum segmentiertes Landesnetz lässt eine einmal eingenistete Schadsoftware bis zum Domaincontroller wandern. Für streng abgeschottete Behördennetze existiert längst ein Standard: SINA, vom BSI und der Essener secunet entwickelt und bis zur Geheimhaltungsstufe GEHEIM zugelassen.[3] Ob diese Architektur den Berliner Fall verhindert hätte, ist nicht belegt, doch der Angriff befeuert die Debatte über verbindliche Standards in den Ländern. secunet meldete für das erste Halbjahr 2026 einen Auftragsbestand von 360,8 Millionen Euro, der Staat rüstet also längst nach.[2]
Nicht die Rechenzentren fallen zuerst, sondern die Netze ohne Brandmauern dazwischen. Berlin führt vor, was ein ungeteiltes Landesnetz kostet.
— Markus Seyfferth, Chefredakteur Dr. Web
So lief der Angriff
Was das Berliner Datenleck für Ihr Unternehmen bedeutet
Die Pflichten steigen. Seit Dezember 2025 gilt das NIS2-Umsetzungsgesetz und verschärft das BSI-Gesetz für rund 29.500 Unternehmen in 18 Sektoren, von Risikomanagement bis Meldepflicht.[4] Im März 2026 kam das KRITIS-Dachgesetz hinzu. Landesverwaltungen fallen durch den Zuständigkeits-Flickenteppich, Ihr Betrieb aber steht in der Haftung, sobald er unter NIS2 fällt.
Zwei Hebel wirken sofort: Zwei-Faktor-Schutz an jedem Zugang und eine strikte Segmentierung, die eine Infektion einsperrt. Unveränderliche Offline-Backups nehmen der Erpressung die Wucht. Und weil der Einstieg oft über einen Dienstleister oder eine einzige Mail läuft, gehört die Lieferkette auf denselben Prüfstand wie das eigene Netz.
Eine Bestandsaufnahme des eigenen Netzes kostet heute deutlich weniger als die Aufräumarbeit nach einem Leak dieser Größe.
FAQ: Berliner Datenleck
Was ist beim Berliner Datenleck passiert?
Die Ransomware-Gruppe Rhysida drang im August 2026 über eine Phishing-Mail in das Berliner Landesnetz ein und erbeutete rund 5,8 Terabyte aus zwei Senatsverwaltungen. Nachdem Berlin die geforderte Zahlung verweigerte, landete der Datensatz am 4. September 2026 im Darknet.
Wer steckt hinter der Ransomware Rhysida?
Rhysida ist eine seit 2023 aktive Ransomware-as-a-Service-Gruppe, die ihre Werkzeuge an Partner verleast und Opfer mit doppelter Erpressung unter Druck setzt. Zu den früheren Zielen zählen die British Library und der Spieleentwickler Insomniac Games.
Was ist SINA und wofür nutzt der Staat die Architektur?
SINA (Secure Inter-Network Architecture) ist eine vom BSI und der secunet AG entwickelte Sicherheitsarchitektur für Behördennetze. Die Architektur schottet sensible Daten in unsicheren Netzen ab und ist bis zur Geheimhaltungsstufe GEHEIM, in der Cloud-Variante bis STRENG GEHEIM zugelassen.
Welche Daten sind beim Berliner Angriff abgeflossen?
Laut übereinstimmenden Berichten umfasst der Datensatz rund 1,44 Millionen Dateien: Personalakten, Disziplinarverfahren, Klartext-Passwörter sowie Schutz- und Baupläne kritischer Infrastruktur wie Heizkraftwerke, Umspannwerke und Tanklager.
Für welche Unternehmen gilt NIS2 seit 2026?
Das NIS2-Umsetzungsgesetz gilt in Deutschland seit Dezember 2025 und verpflichtet rund 29.500 Unternehmen in 18 Sektoren zu Risikomanagement, Meldepflichten und einer Registrierung beim BSI. Betroffen sind auch mittelgroße Betriebe entlang kritischer Lieferketten.
Quellen
[2] secunet Security Networks AG: „Halbjahresfinanzbericht 2026“ (Investor Relations)
[3] secunet Security Networks AG: „SINA Workflow vom BSI für Verschlusssachen bis einschließlich GEHEIM zugelassen“
[4] BSI: „NIS-2-Umsetzungsgesetz in Kraft“
Mehr Newshunger?
- BKA-Lagebild: 165 Sabotagefälle und hybride Angriffe auf kritische Infrastruktur
- CrowdStrike Falcon: Zero-Day macht die Schutzsoftware zur Angriffsfläche
- Gunra-Ransomware: Zwei alte Fortinet-Lücken öffnen die Firewall
- Datenleck bei Netze BW: Wie Kriminelle über einen Zähler-Dienstleister an Stromkundendaten kamen
- secunet und Cloudflare: Wie US-Cloud-Technik unter deutsche Kontrolle kommt
- Verfassungsschutz auf der Werbetafel: Wie Bremen Ströers Screens zur Cyber-Warnung nutzt
