Aktuelles

Berlin, gehackt: Statt einer Passwort.docx hätte man wohl doch lieber Postits nehmen sollen...

Ein paar Ransomware-Gangster haben sich durchs Landesnetz der Hauptstadt gegraben und dabei fast sechs Terabyte Daten mitgenommen. Jetzt wollen sie zwei Millionen Euro in Bitcoin. Berlin sagt "Njet". Sehr entschlossen. Und ziemlich zu spät.

Fangen wir mit dem Teil an, den man etwas verschämt erst im Kleingedruckten verschiedener Presseverlautbarungen  findet: Unter den Dateien, die die Erpressergruppe Rhysida aus dem Berliner Landesnetz gezogen haben will, befindet sich offenbar eine Word-Datei mit Passwörtern. Im Klartext. Nicht in einem Passworttresor, nicht verschlüsselt, nicht irgendwie gehasht - eine ganz normale Textdatei. Die jemand offenbar für die praktischste Lösung hielt, sich Zugangsdaten zu merken. Man möchte einfach nur mit dem Kopf auf den Schreibtisch schlagen, immer und immer wieder, bis der Schmerz nachlässt. Oder auch nicht. Aua.

Wenn man wissen will, wie es um die IT-Sicherheit einer deutschen Landeshauptstadt bestellt ist, muss man eigentlich gar nicht weiterlesen. Aber wir tun es trotzdem, denn die Geschichte drumherum ist genauso lesenswert wie verstörend.

Wie alles begann: Zwei Verwaltungen gehen offline, und niemand sagt warum

Am Freitag, den 14. August 2026, wurden die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt vom Landesnetz getrennt. Faktisch bedeutete das: beide Behörden sind arbeitsunfähig. Die offizielle Erklärung, die der Regierende Bürgermeister damals nachschob, war so aussagekräftig wie ein Achselzucken - man sprach von einer "Inkriminierung des Landesnetzes", die sich im Zuge forensischer Untersuchungen ergeben habe. Details? Aus "ermittlungstaktischen Gründen" gab's natürlich keine. Ob Daten abgeflossen waren? Unklar, hieß es. Das war's dann erst mal.

Bemerkenswert ist auch, wie der Angriff überhaupt aufflog: nicht durch ein eigenes Frühwarnsystem der betroffenen Verwaltungen, sondern weil der zentrale IT-Dienstleister ITDZ Berlin ungewöhnliche Netzwerkaktivitäten bemerkte und Alarm schlug - obwohl das offenbar gar nicht direkt seine Zuständigkeit war. Man könnte sagen: Der Nachbar hat den Rauch gerochen, bevor die Bewohner selbst etwas gemerkt haben. Dass es beim ITDZ finanziell seit Jahren eher knapp zugeht, ist dabei kein Zufall, sondern Kontext, der sich durch die ganze Geschichte zieht.

Der 28. August: Aus "wir prüfen noch" wird "wir werden erpresst"

Zwei Wochen nach der ersten, wortkargen Meldung folgte dann die zweite, kaum weniger wortkarge Meldung. Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger verkündeten am 28. August, dass es zwischen dem 7. und 12. August tatsächlich zu Datenabflüssen gekommen sei - bei genau den beiden Verwaltungen, die man später vom Netz genommen hatte. Personenbezogene oder sonstige nicht-öffentliche Daten könnten betroffen sein, ließ man wissen, wolle sich aber nicht festlegen. Und dann der Satz, der für die Pressekonferenz offenbar als Schlagzeile gedacht war: Berlin lasse sich nicht erpressen.

Klingt entschlossen. Ist aber vor allem ein Eingeständnis: Wenn man öffentlich verkündet, sich nicht erpressen zu lassen, gibt es logischerweise eine Erpressung, auf die man reagiert. Und die kam, wie man mittlerweile weiß, mit Ansage.

Was Rhysida will - und was sie angeblich haben

Am selben Tag, dem 28. August, bekannte sich die Ransomware-Gruppe Rhysida auf ihrer Leak-Seite im Darknet zu dem Angriff. Die Forderung: 30 Bitcoin, je nach Kurs zwischen zwei und gut zwei Millionen Euro, als Mindestgebot für eine Versteigerung der Daten, sollte Berlin nicht binnen einer Woche zahlen. Der Umfang der angeblich erbeuteten Daten: 5,79 Terabyte, verteilt über rund 1,44 Millionen Dateien. Und was in diesen Dateien stecken soll, liest sich wie eine Einkaufsliste für jeden, der Berlin wirklich wehtun will: Verträge - rund 46.500 Stück -, Strafsachen und Ordnungswidrigkeitenverfahren, Zahlungsvorgänge, Gehaltslisten, IBANs, E-Mails, Telefonnummern, dazu eine KRITIS-Analyse zur Wasserversorgung Berlins. Also ausgerechnet die Art von Dokumenten, die man sich eher in einem Tresor als auf einem mit dem Internet verbundenen Server vorstellt.

Bianca Kastl vom Chaos Computer Club hat gegenüber dem RBB bestätigt, dass diese Eckdaten plausibel sind. Auch der Spiegel und heise online berichten übereinstimmend von der Rhysida-Urheberschaft und der Forderung von 30 Bitcoin. Unabhängig verifizieren lässt sich der genaue Inhalt der Daten derzeit nicht - aber ein Detail macht die Sache besonders unangenehm: Ein IT-Sicherheitsvorfall mit tatsächlichem Datenabfluss dieser Größenordnung wurde von offizieller Seite bereits selbst eingeräumt. Es geht also nicht mehr um die Frage, ob etwas passiert ist, sondern nur noch darum, wie viel.

Rhysida: kein neuer Name im Geschäft

Wer jetzt zum ersten Mal von Rhysida hört, sollte wissen: Die Gruppe ist seit mindestens Mai 2023 als Ransomware-as-a-Service unterwegs, verleiht also ihre Werkzeuge und Infrastruktur gegen Gewinnbeteiligung an andere Angreifer. International bekannt wurde sie im Oktober 2023, als sie die British Library traf - rund 600 Gigabyte Daten wurden gestohlen, verschlüsselt und Teile davon später veröffentlicht, nachdem die Bibliothek eine Forderung von 20 Bitcoin nicht bezahlte. Seither hat sich die Gruppe an Gesundheitseinrichtungen, Behörden, Bildungseinrichtungen und Betreibern kritischer Infrastruktur abgearbeitet, mit einem immer gleichen Muster: erst leise Daten abziehen, dann laut damit drohen.

In Deutschland ist Berlin dabei nicht der erste Auftritt. Bereits im Mai 2026 hatte sich Rhysida zu einem Angriff auf die Stadt Stuttgart bekannt, mit einer Forderung von seinerzeit rund 330.000 Euro - eine offizielle Bestätigung eines tatsächlichen Datenabflusses blieb dort allerdings aus. Ob Stuttgart einfach Glück hatte oder ob Rhysida dort größere Reden schwang, als die Faktenlage hergab, ist bis heute nicht restlos geklärt. Bei Berlin ist diese Frage inzwischen beantwortet, und die Antwort ist die unangenehmere von beiden.

Die eigentliche Geschichte steckt nicht im Angriff, sondern in der Vorbereitung darauf

Ransomware-Banden brauchen für einen erfolgreichen Angriff fast immer mehrere Dinge gleichzeitig: einen Anwender, der auf etwas klickt, das er nicht hätte anklicken sollen, ein Netzwerk, das intern zu wenig segmentiert ist, um die Ausbreitung zu bremsen, und - wie es aussieht - Passwörter, die so schlecht verwaltet werden, dass sie in einer einzigen Textdatei zusammengefasst irgendwo im Netzwerk herumliegen. Keiner dieser Punkte ist neu oder exotisch. Alle drei stehen seit Jahren ganz oben auf jeder Checkliste, die IT-Sicherheitsbehörden für öffentliche Verwaltungen herausgeben. Dass sie trotzdem wieder zusammenkommen, hat weniger mit fehlendem Wissen zu tun als mit fehlenden Ressourcen, fehlender Priorität und einer Kultur, in der IT-Sicherheit so lange kein Problem ist, bis sie eins wird - und dann sofort ein sehr großes.

Genau das war schon etwas weiter oben die Vermutung: dass es um die Finanzierung des ITDZ Berlin nicht zum Besten steht. Ein zentraler IT-Dienstleister, der offenbar selbst mit knappen Mitteln haushalten muss, aber gleichzeitig die digitale Infrastruktur einer 3,7-Millionen-Einwohner-Stadt gegen international organisierte Kriminelle absichern soll - das ist ungefähr so, als würde man einem Wachdienst die Ausrüstung abnehmen und dann erwarten, dass er trotzdem jeden Einbruch verhindert.

"Wir lassen uns nicht erpressen" ist schönes Politikersprech, aber keine Sicherheitsstrategie

Politisch ist die Haltung, kein Lösegeld zu zahlen, absolut richtig - jede Zahlung finanziert das nächste Opfer und bestätigt Kriminellen, dass sich das Geschäftsmodell lohnt. Auch Sicherheitsbehörden empfehlen das seit Jahren unisono. Nur ersetzt diese Haltung eben nicht die Frage, wie es überhaupt so weit kommen konnte, dass Verträge, Gehaltslisten, IBANs und eine Analyse zur kritischen Wasserinfrastruktur der Hauptstadt in einem Datenpaket zusammen abgezogen werden konnten - offenbar unbemerkt, über mehrere Tage hinweg, bis ein IT-Dienstleister, der eigentlich gar nicht zuständig war, zufällig hinschaute.

Politische Verantwortliche treten dann vor die Presse, sprechen von Entschlossenheit und Ermittlungen "mit Hochdruck", tragen für das eigentliche Versagen im eigenen Verantwortungsbereich aber typischerweise keine spürbaren Konsequenzen. Das Landeskriminalamt ermittelt, die Staatsanwaltschaft ermittelt, der Bund ist eingebunden, die Landesdatenschutzbeauftragte und das BSI werden informiert - alles richtig, alles notwendig, alles auch: reaktiv. Die eigentliche Präventionsarbeit, die einen Vorfall wie diesen im besten Fall verhindert hätte, findet in keiner Pressemitteilung statt, weil sie eben keine gute Schlagzeile hergibt. Ein Notfallstab, der nach dem Einbruch aktiv wird, ist gut. Besser wäre ein Sicherheitskonzept gewesen, das den Einbruch gar nicht erst zugelassen hätte.

Was bleibt

Die betroffenen Senatsverwaltungen sind nach eigenen Angaben seit einigen Tagen wieder ans Landesnetz angeschlossen. Die forensischen Untersuchungen laufen weiter, das Ausmaß der abgeflossenen Daten ist noch nicht abschließend geklärt, und Rhysida hat sein Ultimatum gesetzt. Ob am Ende tatsächlich jemand die versteigerten Daten kauft, ob personenbezogene Informationen von Bürgerinnen und Bürgern öffentlich landen und ob aus der Sache über den aktuellen Nachrichtenzyklus hinaus tatsächlich Konsequenzen gezogen werden, ist offen.

Sicher ist nur: Eine Landeshauptstadt, die eine Passwortliste im Klartext als Word-Datei durchs eigene Netz schleppt, hat ein Problem, das mit Pressemitteilungen über Entschlossenheit nicht zu lösen ist. Das lässt sich nur mit Geld, Personal und dem politischen Willen lösen, IT-Sicherheit auch dann ernst zu nehmen, wenn gerade niemand erpresst wird.

Faktenquellen:

borncity.com – Günter Born
berlin.de (Pressemitteilung des Regierenden Bürgermeisters, 28.08.2026)
heise.de, rbb24.de – Bestätigung Rhysida-Urheberschaft, Bianca Kastl (CCC)
barracuda.com, ital.corejournals.org – Hintergrund Rhysida / British-Library-Angriff 2023

Foto: Creative Commons CC0

01.09.2026