Das Wichtigste in Kürze
Die Ransomware-Gruppe Rhysida griff zwischen dem 7. und 12. August 2026 zwei Berliner Senatsverwaltungen an und stahl nach eigenen Angaben 5,79 TB Daten — darunter nachweislich Klartextpasswörter aus Office-Dokumenten. Berlin verweigerte die Zahlung des Lösegelds (30 Bitcoin, rund 2 Mio. Euro), isolierte die Systeme am 14. August und scannt seitdem alle 12.000 Systeme des Landesnetzes. BKA, LKA und BSI ermitteln. Der Vorfall unterstreicht einen kritischen Konstruktionsfehler, der auch in Unternehmensumgebungen weit verbreitet ist: Zugangsdaten in Klartextdokumenten statt in einem zentralen Secrets-Management-System.
Für Softwareanbieter und Dienstleister, die öffentliche Einrichtungen in Deutschland beliefern oder deren Cloud-Infrastrukturen betreuen, ist der Vorfall auch ein NIS2-Signal: Die Richtlinie verpflichtet zur Absicherung der Lieferkette — und damit zu denselben Standards, die der Berliner Angriff sichtbar vermisst hat.
Chronologie des Angriffs
Die Ransomware-Gruppe verschaffte sich Zugang zu den Netzwerken der Senatsverwaltung für Stadtentwicklung und Wohnen sowie der Senatsverwaltung für Mobilität und Umwelt. Der eigentliche Datenabfluss fand laut Erkenntnissen der Sicherheitsbehörden zwischen dem 7. und 12. August 2026 statt. Am 14. August wurden die betroffenen Systeme vom Berliner Landesnetz isoliert — sechs Tage nach Beginn des Angriffs, was den Angreifern ausreichend Zeit ließ, sich seitlich durch das Netz zu bewegen und Daten zu exfiltrieren.
Am 28. August veröffentlichte Rhysida eine Lösegeldforderung über 30 Bitcoin, umgerechnet rund 2 Millionen Euro, und drohte mit der Veröffentlichung der erbeuteten Daten. Berlin lehnte die Zahlung ab. Am 1. September 2026 trat eine Senatssprecherin vor die Presse und bestätigte offiziell: Passwörter für Fachverfahren sind abgeflossen. Mitarbeiterinnen und Mitarbeiter können derzeit nicht aus dem Homeoffice auf Systeme zugreifen, da die Authentifizierungsinfrastruktur im Sicherheitsmodus arbeitet.
Parallel laufen seit dem Bekanntwerden des Vorfalls rund-um-die-Uhr-Scans aller 12.000 Systeme des Landes Berlin. BKA, LKA und das Bundesamt für Sicherheit in der Informationstechnik (BSI) ermitteln gemeinsam.
Was gestohlen wurde
Die Angreifer geben an, insgesamt 5,79 Terabyte Daten in rund 1,44 Millionen Dateien erbeutet zu haben. Das sind nach aktuellem Stand keine unabhängig verifizierten Zahlen — sie stammen aus der Rhysida-Pressemitteilung, die regelmäßig eingesetzt wird, um den Druck auf Zahlungsbereitschaft zu erhöhen. Was Berlin selbst bestätigt hat, ist gravierend genug: Klartextpasswörter, die in Office-Dokumenten gespeichert waren, sind abgeflossen.
Darüber hinaus sollen sich unter den Daten Personalausweise, Gerichtsunterlagen und behördliche Dienstverträge befinden. Für öffentliche Einrichtungen bedeutet das konkret: Betroffene Personen müssen mit Identitätsmissbrauch rechnen, falls Ausweiskopien im Umlauf gebracht werden. Gerichtsunterlagen können sensible Verfahrensinhalte enthalten, die unter das Datenschutzrecht fallen. Die Meldepflicht nach Art. 33 DSGVO greift in solchen Fällen unmittelbar — und nach dem Cyber Resilience Act auch die neuen 24-Stunden-Meldefristen an CERT-Bund / BSI, die ab dem 11. September 2026 verbindlich gelten.
Reaktion des Landes Berlin
Berlin verweigerte die Zahlung konsequent. Die Senatssprecherin formulierte es klar: „Das Land Berlin lässt sich nicht erpressen." Das ist die richtige Haltung — Lösegeldzahlungen finanzieren Folgeangriffe und geben keine Garantie auf Datenlöschung. Gleichzeitig macht die Reaktionszeit deutlich, wo der eigentliche Handlungsbedarf liegt: Sechs Tage zwischen Angriffsbeginn und Netzabkopplung sind in einem modernen Angriffsszenario ein langer Zeitraum, in dem Rhysida ungehindert lateral navigieren konnte.
Die laufenden Systemscans dienen der Schadensbegrenzung und der Suche nach verbliebenen Backdoors. Der eingeschränkte Homeoffice-Zugang zeigt, dass die Authentifizierungsinfrastruktur selbst als kompromittiert eingestuft wird — ein richtiger, aber für Mitarbeiterinnen und Mitarbeiter einschneidender Schritt. Für externe Dienstleister, die Systeme des Landes Berlin betreuen oder Zugang zu dessen Netzwerk haben, empfiehlt das BSI derzeit erhöhte Wachsamkeit und die Überprüfung eigener Anmeldedaten.
Wer ist Rhysida?
Rhysida ist eine Ransomware-as-a-Service-Gruppe, die seit 2023 aktiv ist und sich auf Behörden, Gesundheitseinrichtungen und Bildungsinstitutionen spezialisiert hat. Die Gruppe setzt auf doppelte Erpressung: Daten werden verschlüsselt und gleichzeitig exfiltriert, die Veröffentlichung der gestohlenen Inhalte als zweiter Druckhebel genutzt. Bekannte frühere Opfer umfassen das British Library und mehrere US-amerikanische Kommunalverwaltungen.
Technisch nutzt Rhysida typischerweise kompromittierte VPN-Zugangsdaten oder Phishing als Einstiegspunkt, arbeitet sich dann lateral durch das Netz und platziert ihre Ransomware strategisch auf möglichst vielen Systemen, bevor die Verschlüsselung aktiviert wird. Die Fähigkeit, sechs Tage unentdeckt im Berliner Landesnetz zu operieren, deutet auf unzureichende Netzwerksegmentierung und fehlende Anomalieerkennung hin.
Was Unternehmen daraus lernen können
Der Berliner Vorfall destilliert sich auf vier strukturelle Schwachstellen, die sich in praktisch jeder gewachsenen IT-Umgebung finden — ob Behörde oder mittelständisches Unternehmen:
- Klartextpasswörter in Dokumenten. Das ist das offensichtlichste und am einfachsten zu behebende Problem. Zugangsdaten gehören in ein dediziertes Secrets-Management-System, nicht in Office-Dokumente. Wer heute noch keine zentrale Lösung betreibt, sollte das als P0-Aufgabe einordnen — bevor ein Angreifer die vorhandenen Dokumente automatisiert durchsucht.
- Fehlende Netzwerksegmentierung. Sechs Tage unentdeckte Lateralbewegung ist ohne flache Netzarchitektur kaum möglich. Mikrosegmentierung — ob per VLAN, Zero-Trust-Overlay oder Software-defined Networking — begrenzt den Schaden eines Erstzugangs strukturell auf das betroffene Segment.
- Zu langsame Erkennung und Isolation. Moderne Endpoint-Detection-and-Response-Systeme (EDR) und Security Information and Event Management (SIEM) können ungewöhnliche Lateralbewegungen in Minuten bis Stunden flaggen. Sechs Tage ohne Alarm deuten auf fehlende Abdeckung oder nicht ausgewertete Telemetrie hin.
- Kein geübter Incident-Prozess. Die Entscheidung, ob und wann ein Netz isoliert wird, muss vorab definiert und geprobt sein — nicht erst unter Zeitdruck im laufenden Angriff. Unternehmen, die ihre Incident-Response-Playbooks nicht regelmäßig testen, zahlen im Ernstfall mit Zeit, die der Angreifer nutzt.
Für Teams, die Enterprise-Software entwickeln oder betreiben und dabei auf Behörden oder kritische Infrastruktur zugreifen, gilt: NIS2 macht genau diese Punkte zur Nachweispflicht. Wer Lieferant einer betroffenen Einrichtung ist, wird zunehmend in deren Sicherheitsanforderungen einbezogen — und muss entsprechende Kontrollen nachweisen können.
Häufig gestellte Fragen
Wann fand der Rhysida-Angriff auf die Berliner Senatsverwaltungen statt?
Der Angriff erfolgte zwischen dem 7. und 12. August 2026. Am 14. August wurden die Systeme vom Landesnetz isoliert. Am 28. August folgte die Lösegeldforderung (30 Bitcoin, rund 2 Mio. Euro), die Berlin ablehnte. Den Passwortabfluss bestätigte das Land offiziell am 1. September 2026.
Welche Daten wurden bei dem Berliner Ransomware-Angriff gestohlen?
Laut Angreifern 5,79 TB in rund 1,44 Millionen Dateien. Offiziell bestätigt: Klartextpasswörter aus Office-Dokumenten, Personalausweise, Gerichtsunterlagen und Dienstverträge.
Welche Berliner Behörden waren betroffen?
Die Senatsverwaltung für Stadtentwicklung und Wohnen sowie die Senatsverwaltung für Mobilität und Umwelt. Im Rahmen der Sicherheitsüberprüfung werden sämtliche 12.000 Systeme des Landes Berlin gescannt.
Was können Unternehmen aus dem Berliner Rhysida-Angriff lernen?
Vier Lehren: keine Klartextpasswörter in Dokumenten (Secrets Management), konsequente Netzwerksegmentierung, aktive EDR-Überwachung mit ausgewerteter Telemetrie und ein vorab definierter und getesteter Incident-Response-Prozess.
Quellen
heise online — Berlin: Passwörter abgeflossen, 12.000 Systeme werden gescannt (1. September 2026)
Behörden Spiegel — Cyber-Angriff trifft zwei Berliner Senatsverwaltungen (18. August 2026)
Berliner Kurier — Berliner Datenpanne wohl größer als bisher bekannt