Nach dem schweren Cyberangriff auf das Berliner Landesnetz hat die Krise eine neue Dimension erreicht: Die mutmaßlichen Angreifer erpressen das Land Berlin und verlangen offenbar Lösegeld. Berlins Regierender Bürgermeister Kai Wegner bestätigte nach einer Sondersitzung des Senats, dass eine entsprechende Forderung eingegangen ist.
Wegner machte zugleich deutlich, dass Berlin nicht zahlen werde. „Das Land Berlin ist Opfer einer schweren Straftat geworden“, erklärte der Regierende Bürgermeister. Auf die Forderung der Täter werde man sich nicht einlassen.
Wie hoch das verlangte Lösegeld ist, bestätigte der Senat zunächst nicht. Nach Medieninformationen soll es um rund zwei Millionen Euro gehen. Die Angreifer drohen demnach damit, erbeutete Daten zu veröffentlichen, sollte Berlin nicht innerhalb einer kurzen Frist zahlen.
Besonders brisant: Unter den gestohlenen Informationen sollen sich nach Medienberichten möglicherweise Angaben zu kritischer Infrastruktur, Notfallpläne und Passwörter befinden.
Lösegeldforderung am Donnerstag eingegangen
Nach Angaben des rbb ging die Erpressungsforderung am Donnerstag gegen 17.30 Uhr beim Land Berlin ein.
Bereits zuvor hatte der Sender aus mehreren Quellen von einer Lösegeldforderung erfahren. Wegner bestätigte anschließend offiziell, dass Berlin erpresst wird.
Über die Höhe der Forderung äußerte er sich nicht.
Nach rbb-Informationen ist dem Senat die hinter der Erpressung stehende Gruppe bekannt. Die Täter sollen ihre Forderung außerdem mit einer sehr kurzen Zahlungsfrist verbunden haben.
Wegner: Berlin lässt sich nicht erpressen
Die Reaktion des Regierenden Bürgermeisters fällt eindeutig aus.
Berlin werde auf die Forderungen nicht eingehen. Damit folgt der Senat dem Grundsatz, Cyberkriminellen kein Lösegeld zu zahlen und ihnen dadurch keinen wirtschaftlichen Anreiz für weitere Angriffe zu geben.
Die Konsequenz könnte allerdings sein, dass die Angreifer versuchen, ihre Drohung wahrzumachen und gestohlene Informationen zu veröffentlichen oder anderweitig zu verwerten.
Welche Daten die Täter tatsächlich besitzen, ist deshalb eine der entscheidenden Fragen der laufenden Ermittlungen.
Bericht: Zwei Millionen Euro und eine Woche Frist
Nach den bislang vorliegenden Medieninformationen sollen die Hacker rund zwei Millionen Euro Lösegeld verlangen.
Berlin soll demnach ungefähr eine Woche Zeit für die Zahlung erhalten haben. Andernfalls drohe die Veröffentlichung der erbeuteten Daten.
Diese Einzelheiten wurden vom Berliner Senat bislang nicht öffentlich bestätigt.
Deshalb muss zwischen den gesicherten Informationen und den Medienberichten unterschieden werden: Bestätigt ist, dass eine Lösegeldforderung vorliegt und Berlin nicht darauf eingehen will. Die konkrete Höhe, die genaue Frist und der vollständige Inhalt der Drohung sind bislang nicht offiziell offengelegt worden.
Hacker waren offenbar länger im Berliner Landesnetz
Besonders schwer wiegt inzwischen die Erkenntnis, dass der Cyberangriff früher begonnen hat als zunächst angenommen.
Nach Angaben der Senatskanzlei flossen mindestens seit dem 7. August 2026 Daten aus dem Berliner Landesnetz ab. Der Angriff wurde erst später entdeckt.
Am 14. August wurden schließlich die Senatsverwaltungen für Verkehr sowie für Stadtentwicklung aus Sicherheitsgründen vom übrigen Landesnetz getrennt.
Damit könnten die Täter ungefähr eine Woche lang Gelegenheit gehabt haben, auf Systeme zuzugreifen und Informationen abzuziehen.
Möglicherweise personenbezogene Daten betroffen
Welche Informationen tatsächlich gestohlen wurden, ist weiterhin Gegenstand der Untersuchungen.
Wegner erklärte, es könne nicht ausgeschlossen werden, dass sich darunter personenbezogene Daten befinden.
Digitalstaatssekretär Florian Hauer hatte zuvor ebenfalls eingeräumt, dass die Angreifer wahrscheinlich Zugriff auf sensible personenbezogene Informationen hatten.
Das genaue Ausmaß des Datenabflusses ist jedoch noch nicht abschließend geklärt.
Kritische Infrastruktur und Notfallpläne besonders heikel
Noch weitreichender wären mögliche Informationen über kritische Infrastruktur.
Nach Medienberichten sollen sich unter den erbeuteten Daten auch Angaben über kritische Infrastruktur, Notfallpläne und Passwörter befinden.
Sollte sich das bestätigen, wäre der Angriff nicht nur aus Datenschutzgründen problematisch.
Informationen über interne Notfallkonzepte könnten Angreifern Einblicke geben, wie Behörden auf Krisen oder Ausfälle reagieren. Gestohlene Zugangsdaten könnten wiederum für weitere Angriffe verwendet werden, sofern sie noch gültig sind.
Gerade deshalb dürfte eine zentrale Aufgabe der Behörden darin bestehen, kompromittierte Zugangsdaten zu identifizieren, Zugänge abzusichern und festzustellen, welche Dokumente die Täter tatsächlich kopiert haben.
Bis die Untersuchungen abgeschlossen sind, sollte allerdings nicht als gesichert dargestellt werden, dass sämtliche in Medienberichten genannten Datensätze tatsächlich in den Händen der Erpresser sind.
Wahl-Systeme laut Innensenatorin nicht betroffen
Eine wichtige Entwarnung gibt es zumindest hinsichtlich der Berliner Wahlen.
Innensenatorin Iris Spranger erklärte, der für Wahlen relevante Teil des Landesnetzes sei „zu 100 Prozent“ abgesichert.
Nach dem bisherigen Erkenntnisstand seien dort keine Daten abgeflossen. Auch die Wahlumgebung sei nach Angaben der zuständigen Sicherheitsverantwortlichen sicher.
Diese Aussage ist angesichts der Dimension des Angriffs von besonderer Bedeutung. Ein erfolgreicher Zugriff auf Wahlsysteme hätte neben technischen und datenschutzrechtlichen Problemen erhebliche politische Folgen.
LKA und Staatsanwaltschaft ermitteln
Die Suche nach den Verantwortlichen läuft inzwischen auf mehreren Ebenen.
Das Berliner Landeskriminalamt und die Staatsanwaltschaft ermitteln gegen die mutmaßlichen Täter. Dabei arbeiten sie nach Angaben des rbb eng mit den Sicherheitsbehörden des Bundes zusammen.
Ein Notfallstab beschäftigt sich parallel mit den Folgen des Angriffs.
Zusätzlich wurde eine US-amerikanische Spezialfirma eingeschaltet, die das Berliner Landesnetz untersucht. Die Experten sollen feststellen, welche Systeme kompromittiert wurden und wie weit die Angreifer tatsächlich vorgedrungen sind.
Die vollständige Aufarbeitung könnte Monate dauern.
Möglicherweise größter Cybervorfall des Landes Berlin
Nach Informationen des rbb handelt es sich um den bislang größten Cybervorfall, mit dem das Land Berlin konfrontiert war.
Das Ausmaß ergibt sich dabei nicht allein aus der Lösegeldforderung.
Entscheidend ist vielmehr die Kombination aus einem offenbar über mehrere Tage unbemerkten Zugriff auf das Landesnetz, dem Abfluss bislang nicht vollständig identifizierter Daten und der anschließenden Erpressung.
Damit steht Berlin vor zwei parallelen Aufgaben: Die IT-Systeme müssen technisch abgesichert werden, während Polizei und Staatsanwaltschaft versuchen, die Verantwortlichen zu identifizieren.
Gleichzeitig muss geklärt werden, welche Daten betroffen sind und welche Konsequenzen sich daraus für Behörden, Beschäftigte und möglicherweise auch Bürger ergeben.
Nichtzahlung kann Veröffentlichung der Daten bedeuten
Wegners Ankündigung, kein Lösegeld zu zahlen, bedeutet nicht automatisch das Ende des Angriffs.
Bei sogenannten Ransomware- beziehungsweise Double-Extortion-Angriffen versuchen Täter häufig, ihre Opfer zusätzlich durch die Drohung mit einer Veröffentlichung gestohlener Daten unter Druck zu setzen.
Ob die Berliner Angreifer tatsächlich sämtliche behaupteten Informationen besitzen und ob sie diese nach Ablauf ihrer Frist veröffentlichen werden, lässt sich derzeit nicht zuverlässig vorhersagen.
Berlin muss sich deshalb offenbar auf ein Szenario vorbereiten, in dem Daten im Internet auftauchen.
Die entscheidende Frage: Was haben die Hacker tatsächlich erbeutet?
Genau diese Frage dürfte in den kommenden Tagen im Mittelpunkt stehen.
Die Lösegeldsumme von angeblich rund zwei Millionen Euro ist spektakulär. Für die langfristigen Folgen des Angriffs ist jedoch wesentlich wichtiger, welche Daten aus dem Landesnetz abgeflossen sind.
Sollten tatsächlich sensible personenbezogene Informationen, Passwörter oder sicherheitsrelevante Dokumente betroffen sein, könnten die Folgen weit über die aktuelle Erpressung hinausreichen.
Auch nach einer technischen Bereinigung der Systeme müsste dann geprüft werden, ob gestohlene Informationen für spätere Cyberangriffe, Betrugsversuche oder andere Straftaten missbraucht werden können.
Fazit: Der Hackerangriff auf das Berliner Landesnetz ist zu einem Erpressungsfall geworden. Regierender Bürgermeister Kai Wegner bestätigt die Lösegeldforderung, schließt eine Zahlung jedoch aus. Gesichert ist außerdem, dass mindestens seit dem 7. August Daten aus dem Landesnetz abgeflossen sind. Berichten zufolge verlangen die Täter rund zwei Millionen Euro und drohen mit der Veröffentlichung gestohlener Informationen. Wie umfangreich und wie sensibel diese Daten tatsächlich sind, wird derzeit noch untersucht. Genau davon hängt ab, wie schwer die langfristigen Folgen des Cyberangriffs für Berlin ausfallen werden.
