Nach dem schweren Cyberangriff auf die Berliner Verwaltung hat die Lage eine neue Stufe erreicht: Nachdem das Land Berlin die Zahlung eines Lösegelds verweigert hatte, hat die Hackergruppe Rhysida gestohlene Daten veröffentlicht.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt nun vor den möglichen Folgen des Daten-Leaks. Die veröffentlichten Informationen könnten nicht nur für die unmittelbar Betroffenen gefährlich werden. Nach Einschätzung der Sicherheitsbehörde ergeben sich daraus Risiken, die letztlich auch die Gesellschaft insgesamt betreffen können.
Besonders problematisch: In den erbeuteten Daten befinden sich nach bisherigem Kenntnisstand auch sensible Informationen. Das Land Berlin hat eine intensive Prüfung eingeleitet und will identifizierte Betroffene entsprechend der jeweiligen Risikolage informieren.
Hacker wollten rund zwei Millionen Euro
Hinter dem Angriff steht nach Angaben des Landes eine Gruppe, die sich Rhysida nennt.
Die Täter behaupteten, rund 5,7 Terabyte Daten aus dem Berliner Landesnetz erbeutet zu haben. Seit Ende August versuchten sie, Berlin mit den gestohlenen Informationen zu erpressen.
Das Mindestgebot für die Daten lag nach Angaben der Berliner Senatskanzlei bei 30 Bitcoin – umgerechnet rund zwei Millionen Euro.
Die Botschaft der Täter war nach dem bekannten Erpressungsmuster eindeutig: Geld gegen Daten beziehungsweise gegen deren weitere Verbreitung.
Berlin entschied sich gegen eine Zahlung.
Berlin verweigert Lösegeld – Daten werden veröffentlicht
Das Land hatte bereits vor Ablauf des Ultimatums klargestellt, sich nicht erpressen lassen zu wollen.
Nachdem die Forderung nicht erfüllt wurde, veröffentlichte Rhysida die gestohlenen Daten im Darknet. Aktuellen Berichten zufolge umfasst das veröffentlichte Paket rund 5,8 Terabyte.
Damit verändert sich die Gefahrenlage grundlegend.
Bei einem Datendiebstahl besteht zunächst die Gefahr, dass die Angreifer selbst die Informationen missbrauchen oder verkaufen. Werden große Datenmengen jedoch öffentlich zugänglich gemacht, können theoretisch weitere Kriminelle versuchen, daraus verwertbare Informationen herauszufiltern.
Der ursprüngliche Cyberangriff kann dadurch zum Ausgangspunkt weiterer Angriffe werden.
Warum gestohlene Verwaltungsdaten so gefährlich sein können
Behördendaten können eine Vielzahl sensibler Informationen enthalten.
Das Land Berlin hatte bereits vor der Veröffentlichung darauf hingewiesen, dass personenbezogene Daten von Beschäftigten des Landes, Bürgerinnen und Bürgern sowie Unternehmen betroffen sein könnten.
Aktuelle Berichte nennen zudem sensible Informationen aus Personalangelegenheiten.
Das Gefährliche daran: Für Cyberkriminelle müssen solche Daten nicht unbedingt unmittelbar einen finanziellen Wert besitzen.
Schon Namen, Funktionen, E-Mail-Adressen, interne Zuständigkeiten oder andere Hintergrundinformationen können genutzt werden, um spätere Angriffe glaubwürdiger erscheinen zu lassen.
Jetzt drohen besonders glaubwürdige Phishing-Angriffe
Genau hier setzt eine der größten Gefahren nach einem umfangreichen Daten-Leak an.
Wer bereits Informationen über eine bestimmte Person besitzt, kann eine betrügerische Nachricht wesentlich überzeugender formulieren.
Statt einer allgemeinen Phishing-Mail könnte ein Angreifer beispielsweise auf tatsächliche berufliche Zusammenhänge, Behördenkontakte oder bekannte personenbezogene Informationen Bezug nehmen.
Für das Opfer wirkt die Nachricht dadurch möglicherweise glaubwürdig.
Das BSI warnt im Zusammenhang mit der Veröffentlichung insbesondere vor gezielten Phishing-Angriffen.
Besonders brisant: Berlin wählt am 20. September
Hinzu kommt ein politisch sensibler Zeitpunkt.
Am 20. September 2026 finden in Berlin die Wahlen zum Abgeordnetenhaus und zu den Bezirksverordnetenversammlungen statt.
Nach aktueller Berichterstattung weist das BSI deshalb auch auf die Gefahr sogenannter „Hack & Leak“-Operationen hin.
Dabei geht es nicht nur darum, gestohlene Dokumente zu veröffentlichen.
Problematisch kann es insbesondere werden, wenn authentisches Material manipuliert, selektiv präsentiert oder in einen irreführenden Zusammenhang gestellt wird. Gerade vor einer Wahl könnten solche Veröffentlichungen genutzt werden, um öffentliche Debatten zu beeinflussen oder Zweifel zu säen.
Wichtig ist allerdings: Das BSI sieht nach der aktuellen Berichterstattung keine Hinweise auf eine politische Motivation des ursprünglichen Angriffs. Der Angriff wird vielmehr als finanziell motivierte Cyberkriminalität eingeordnet.
Das muss von der Frage unterschieden werden, wie bereits veröffentlichte Daten anschließend von Dritten missbraucht werden könnten.
Betroffene sollen informiert werden
In Berlin läuft jetzt eine umfangreiche Auswertung des veröffentlichten Materials.
Nach Angaben der Senatskanzlei prüfen Sicherheitsbehörden und beauftragte IT-Forensiker die Daten mit Hochdruck.
Wer dabei als konkret betroffene Person identifiziert wird, soll von der jeweils zuständigen Senatsverwaltung risikobasiert und entsprechend den gesetzlichen Vorgaben informiert werden.
Das bedeutet allerdings nicht, dass Betroffene ausschließlich auf eine offizielle Benachrichtigung warten sollten.
Eigene Daten entdeckt? Berlin empfiehlt Strafanzeige
Die Berliner Behörden geben eine klare Empfehlung.
Wer unabhängig von einer Behördeninformation erfährt oder konkrete Hinweise darauf erhält, dass eigene Daten veröffentlicht oder bereits für Straftaten wie Betrug oder Identitätsmissbrauch eingesetzt wurden, sollte Strafanzeige erstatten.
Das ist über die Internetwache der Berliner Polizei oder bei jeder örtlichen Polizeidienststelle möglich.
Betroffene können sich außerdem an die Berliner Landesdatenschutzbeauftragte wenden. Der Senat steht nach eigenen Angaben mit ihr in engem Austausch.
Für Beschäftigte beginnt eine besonders sensible Phase
Besonders aufmerksam sollten Personen sein, deren berufliche oder persönliche Informationen in den veröffentlichten Datensätzen enthalten sein könnten.
Unerwartete E-Mails, SMS oder Anrufe sollten derzeit besonders kritisch betrachtet werden.
Das gilt vor allem, wenn sich jemand als Kollege, IT-Mitarbeiter, Vorgesetzter, Bankmitarbeiter oder Behördenvertreter ausgibt und zur Herausgabe von Passwörtern, zur Anmeldung auf einer Internetseite oder zur Freigabe einer Zahlung auffordert.
Je mehr echte Informationen ein Angreifer über sein Opfer kennt, desto überzeugender kann eine solche Kontaktaufnahme wirken.
Warum Lösegeldzahlungen grundsätzlich problematisch sind
Der Berliner Fall zeigt zugleich das Dilemma bei Ransomware- und Erpressungsangriffen.
Eine Zahlung garantiert keineswegs, dass gestohlene Informationen tatsächlich gelöscht werden oder später nicht erneut auftauchen.
Gleichzeitig finanziert Lösegeld das Geschäftsmodell der Täter und kann weitere Angriffe wirtschaftlich attraktiv machen.
Berlin hatte deshalb öffentlich erklärt, sich nicht erpressen zu lassen.
Der Preis dieser Entscheidung kann allerdings kurzfristig hoch sein: Die Täter haben ihre Drohung zur Veröffentlichung der Daten nun umgesetzt.
Der Angriff endet nicht mit der Veröffentlichung
Genau darin liegt die wichtigste Botschaft der aktuellen BSI-Warnung.
Der ursprüngliche Angriff mag technisch beendet oder eingedämmt sein – die Gefahr durch die gestohlenen Informationen kann dagegen noch lange bestehen.
Daten können kopiert werden. Ein einmal veröffentlichtes Dokument lässt sich nicht zuverlässig wieder aus allen Händen zurückholen.
Deshalb beginnt nach einem solchen Leak eine zweite Phase der Cyberabwehr: Behörden und Betroffene müssen beobachten, ob die Informationen für Phishing, Identitätsmissbrauch, Betrugsversuche oder andere Angriffe verwendet werden.
Ein Daten-Leak mit Folgen weit über Berlin hinaus
Der Cyberangriff auf die Berliner Verwaltung ist damit längst mehr als ein technischer IT-Vorfall.
Eine Hackergruppe hat nach eigenen Angaben mehrere Terabyte Daten gestohlen, rund zwei Millionen Euro Lösegeld verlangt und nach der Zahlungsverweigerung Informationen veröffentlicht. Berlin lässt die Daten nun von Sicherheitsbehörden und IT-Forensikern untersuchen.
Das BSI warnt gleichzeitig vor den möglichen Folgewirkungen.
Besonders gefährlich könnte dabei sein, dass authentische Informationen aus den veröffentlichten Datensätzen für neue Angriffe genutzt werden.
Für Betroffene bedeutet das:
Der Datendiebstahl ist mit der Veröffentlichung nicht vorbei. Die eigentliche Missbrauchsphase könnte gerade erst begonnen haben.
