Cyberattacke auf Berlin könnte größere Folgen haben als bisher gedacht

Berlin: Hackergruppe Rhysida veröffentlicht zusätzliches Datenpaket aus Leak Die Hackergruppe Rhysida hat ein weiteres Datenpaket aus ihrem groß angelegten Cyberangriff auf die Berliner Senatverwaltung veröffentlicht. Dies wurde vom Senat in der Hauptstadt am Sonntag nach dem anfänglichen Leck gestohlener Informationen am Freitag bekannt gegeben. Nach Angaben der Kanzlei des Senats wurden die Maßnahmen, die nach der ersten Veröffentlichung ergriffen wurden, in einigen Aspekten weiter verfeinert. Diese zusätzlichen Maßnahmen könnten zu vorübergehenden Einschränkungen bei der Verwendung spezialisierter Verfahren innerhalb der Gebäudebehörde führen, zu denen Prozesse wie die Beantragung von Wohngeld gehören. Alle Nutzer werden entsprechend informiert.

Die kriminelle Hackergruppe Rhysida erhielt vom 7. bis 12. August 2026 unbefugten Zugriff auf Teile des Berliner Landesnetzes und stahl Daten. Betroffen waren die Senatsverwaltungen für Stadtentwicklung, Bau und Wohnungsbau sowie für Mobilität, Verkehr, Umwelt und Klimaschutz. Der Angriff wurde am 14. August 2026 entdeckt und drei Tage später am 17. August veröffentlicht. Die Hacker forderten zwei Millionen Euro in Bitcoin als Lösegeld mit Zahlung bis Freitag. Die Berliner Landesregierung erklärte jedoch, dass sie nicht erpresst werden würde und sich weigerte zu zahlen. 4 Millionen Dateien wurden zum Herunterladen angeboten.

Der Cyberangriff auf Teile der Berliner Verwaltung könnte weitreichende Konsequenzen über die Hauptstadt hinaus haben und Bereiche betreffen, die zuvor als nicht betroffen galten. 8 Terabyte wurden im Dark Web veröffentlicht. Zunächst schienen nur persönliche Daten betroffen zu sein, einschließlich gescannter Pässe, Arbeitsverträge, Bewerbungen und Krankennotizen. Laut mehreren Medienberichten und Einschätzungen von IT-Experten könnten jedoch auch hochsensible Daten durchgesickert worden sein, Daten, die für den Schutz kritischer Infrastrukturen und die Sicherheit von Bundes- und Landesregierungen relevant sind. Dies beinhaltet Informationen über Zivilschutz oder verteidigungsbezogene Unternehmen.

Der Angriff begann lange vor den genannten Daten und richtete sich an die Senatsverwaltungen für Stadtentwicklung, Bau und Wohnungsbau sowie für Mobilität, Verkehr, Umwelt und Klimaschutz. Am 14. August wurden die beiden Verwaltungen vom staatlichen Netzwerk isoliert. Bis zum 17. August gab die Kanzlei des Senats eine Pressemitteilung heraus, in der die Öffentlichkeit über einen ICTICT-Vorfall im Berliner Landesnetz informiert wurde, ein Notfallkrise-Team eingerichtet wurde und das Bundeskriminalpolizeiamt (BKA) und das Landeskriminalpolizeiamt (LKA) beteiligt wurden.

Bis zum 21. August waren die beiden Verwaltungen vom staatlichen Netzwerk getrennt, was zu Problemen mit den Übertragungsdiensten führte, insbesondere zur Verhinderung der Zahlung von Wohngeld an 50.000 berechtigte Haushalte in Berlin. Am 28. August trafen sich die Sicherheitsbehörden mit Vertretern des Staates Berlin während eines Krisentreffens. Die Angreifer hatten Daten gestohlen und eine Lösegeldforderung gestellt. Details über den Umfang und den Inhalt der Daten wurden nicht bekannt gegeben.

Auf ihrer Dark-Web-Website stellten sie eine Forderung nach 30 Bitcoins (etwa zwei Millionen Euro) zusammen mit angeblichen Auszügen aus den Daten vor. Sie versprachen Listen mit Klartext-Passwörtern, Gerichtsdokumenten und über 46.500 Verträgen des Staates. Am 30. August warnte CCC-Sprecher Joachim Selzer vor potenziellem Identitätsdiebstahl und anderen Betrugsversuchen. Bürger, deren persönliche Informationen in den Datensatz aufgenommen werden könnten, könnten Opfer von Erpressungsversuchen werden.

Alle 12.000 Systeme im Land Berlin wurden derzeit rund um die Uhr überprüft. 44 Millionen Dateien im Dark Web, darunter Personalakten, Disziplinarverfahren, Finanzdokumente und Details über die kritische Infrastruktur des Landes Berlin. Am 5. September warnte die BSI vor einem "erhöhtem Bedrohungsniveau" für die Gesellschaft. Sie wies auf die Möglichkeit von gezielten Phishing-Angriffen nach dem Datenleck hin. Personen, die Kontakt zu betroffenen Personen oder Institutionen hatten, sollten daher besonders wachsam sein. Mögliche Hack-and-Leak-Operationen Insbesondere besteht die Gefahr von sogenannten Hack-and-Leak-Operationen im politischen Bereich, insbesondere vor den Wahlen.

In Berlin soll am 20. September ein neues Parlament gewählt werden. Nach Angaben des BSI gibt es jedoch keine Anzeichen dafür, dass die Hacker, die die Datenbanken des Berliner Senats infiltriert haben, ein politisches Motiv verfolgten. Informationen über kritische Infrastruktur Die Daten können Informationen über kritische Infrastrukturen, Unternehmen und Organisationen enthalten, die je nach Empfindlichkeit der Daten das Bedrohungsniveau erhöhen könnten, warnt das BSI.

Die Betroffenen sollten überprüfen, ob sie speziell von dem Datenleck betroffen sind und welche Art von Daten veröffentlicht wurden, und möglicherweise die Verfahren entsprechend ändern. Bürgermeister Kai Wegner sagte der Zeitung Bild, dass die Stadt derzeit beurteilt, welche Informationen ausgelaufen waren. Das Ziel war, die betroffenen Parteien so schnell wie möglich zu erreichen. Wegner hatte zuvor öffentlich bekannt gegeben, dass die Stadt erpresst worden war, nachdem der Cyberangriff zwei Wochen zuvor bekannt geworden war. Die kriminelle Hackergruppe Rhysida hatte ein Lösegeld von 30 Bitcoins gefordert, was etwa zwei Millionen Euro entspricht. Der Senat hatte beschlossen, nicht zu zahlen. 8 Terabyte Datenpaket wurden im Dark Web veröffentlicht. 44 Millionen einzelne Dateien.

Dazu gehören Berichten zufolge mehr als 5.000 Mitarbeiterakten, Geldbußen und Gehaltserklärungen sowie vertrauliche Dokumente von Bundesratsausschüssen und Analysen von Schwachstellen im Berliner Wasserversorgungssystem. Darüber hinaus rühmen sich die Täter, Login-Anmeldeinformationen und Passwörter in Klartext erhalten zu haben, beispielsweise für Datenbanken der Verwaltung und Zahlungsdienstleister.