Berlin steht nach einem der schwerwiegendsten Cyberangriffe auf die Landesverwaltung vor einem kritischen Tag. Am heutigen 4. September 2026 läuft das Ultimatum der mutmaßlichen Cybererpresser ab. Die Gruppe „Rhysida“ behauptet, bei ihrem Angriff rund 5,7 Terabyte Daten aus dem Berliner Landesnetz erbeutet zu haben. Als Mindestforderung beziehungsweise Mindestgebot für die Daten werden 30 Bitcoin – nach Angaben des Berliner Senats rund zwei Millionen Euro – genannt.
Die Berliner Landesregierung will nicht zahlen. Bereits am 28. August hatten der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger erklärt, Berlin werde sich nicht erpressen lassen. Landeskriminalamt, Staatsanwaltschaft und Sicherheitsbehörden des Bundes ermitteln.
Besonders brisant ist inzwischen das Ausmaß des Datenabflusses. Nach Erkenntnissen des Landes können personenbezogene Daten von Beschäftigten der Berliner Verwaltung, Bürgerinnen und Bürgern sowie Unternehmen betroffen sein. Welche Informationen tatsächlich vollständig in die Hände der Angreifer gelangt sind, ist noch Gegenstand forensischer Untersuchungen.
Der Angriff blieb offenbar mehrere Tage unentdeckt. Nach Angaben der Senatskanzlei flossen zwischen dem 7. und 12. August 2026 Daten ab. Erst am 14. August wurden die betroffenen Senatsverwaltungen für Mobilität und Verkehr sowie für Stadtentwicklung und Bauen vom übrigen Landesnetz getrennt.
Die Gruppe Rhysida behauptet, insgesamt rund 5,8 Terabyte erbeutet zu haben. Nach Berichten über von den Angreifern präsentierte Daten könnten darunter E-Mails, Telefonnummern, Passwörter und weitere interne Informationen sein. Reuters berichtete bereits Ende August unter Berufung auf die Angaben der Gruppe zudem von Zehntausenden Verträgen und als vertraulich bezeichneten Informationen. Der tatsächliche vollständige Inhalt des Datenbestandes ist von unabhängiger Seite bislang nicht abschließend bestätigt.
Genau diese Unterscheidung ist wichtig: Dass Daten in großem Umfang abgeflossen sind, hat Berlin bestätigt. Die von Rhysida genannte Gesamtmenge und sämtliche Behauptungen der Täter über den Inhalt sind dagegen nicht automatisch als behördlich verifizierte Tatsachen zu behandeln.
Die Erpressung funktioniert nach einem inzwischen typischen Muster moderner Ransomware-Gruppen. Gestohlene Daten werden nicht nur als Druckmittel verwendet, sondern können im Darknet zum Verkauf angeboten oder nach Ablauf einer Frist veröffentlicht werden. Im Berliner Fall läuft eine solche Versteigerung. Das Mindestgebot liegt nach Angaben der Senatskanzlei bei 30 Bitcoin.
Damit könnte die eigentliche zweite Phase des Angriffs erst jetzt beginnen. Werden personenbezogene Informationen veröffentlicht oder verkauft, können daraus weitere Risiken entstehen – beispielsweise gezielte Phishing-Angriffe, Identitätsmissbrauch oder Betrugsversuche. Auch interne Verwaltungsinformationen könnten für weitere Angriffe interessant sein.
Der IT-Experte Joachim Selzer vom Chaos Computer Club rechnet damit, dass zumindest Teile der Daten nach Ablauf der Frist veröffentlicht oder anderweitig angeboten werden könnten. Das ist allerdings eine Experteneinschätzung und keine Gewissheit darüber, was die Täter heute tatsächlich tun werden.
Immerhin gibt es auch eine wichtige positive Nachricht: Nach Angaben des Berliner Senats liegen derzeit keine Erkenntnisse vor, dass das Landesnetz weiterhin infiltriert ist. Entwarnung bedeutet das jedoch noch nicht. Die forensischen Untersuchungen dauern an und sollen auch klären, ob möglicherweise weitere bislang unbekannte Daten abgeflossen sind.
Politisch dürfte der Fall dennoch erhebliche Fragen aufwerfen. Wenn Angreifer tatsächlich vom 7. bis zum 12. August Daten aus dem Landesnetz abziehen konnten, bevor die betroffenen Verwaltungen am 14. August abgetrennt wurden, wird zu klären sein, wie die Täter eindringen konnten, warum der Datenabfluss nicht früher erkannt wurde und welche Sicherheitsmechanismen versagten oder umgangen wurden. Antworten darauf liegen bislang nicht vollständig vor.
Besonders sensibel ist der Angriff auch wegen der bevorstehenden Berliner Wahl. Nach Angaben von Innensenatorin Spranger waren die Wahlinfrastruktur und Wahldaten nach dem bisherigen Kenntnisstand nicht betroffen. Eine Verbindung zwischen Cyberangriff und Wahl sollte daher ohne neue Erkenntnisse nicht hergestellt werden.
Für Menschen, deren Daten tatsächlich veröffentlicht werden, empfiehlt die Senatskanzlei eine Strafanzeige bei der Berliner Polizei, entweder über die Internetwache oder bei einer Polizeidienststelle. Werden einzelne Betroffene bei der Analyse identifiziert, sollen sie nach Angaben des Landes entsprechend dem jeweiligen Risiko und den datenschutzrechtlichen Vorgaben informiert werden.
Das Ultimatum macht den heutigen Tag deshalb zu einem entscheidenden Zeitpunkt – allerdings nicht zwingend zum Ende des Cyberangriffs. Selbst wenn Berlin keinen Bitcoin zahlt, können die Folgen des bereits erfolgten Datendiebstahls noch lange nachwirken.
Die zentrale Frage lautet nun nicht mehr nur, ob Berlin den Erpressern nachgibt – diese Frage hat der Senat mit einem klaren Nein beantwortet. Entscheidend ist vielmehr, was mit den gestohlenen Daten nach Ablauf des Ultimatums geschieht und wie gravierend ihr Inhalt tatsächlich ist.
