Rhysida-Angriff auf das Berliner Landesnetz Der Staat, der sich selbst ausgenommen hat

Anbieter zum Thema

FTAPI Software GmbH

cyberintelligence.institute GmbH

Der Datenabfluss in Berlin ist kein Betriebsunfall. Er ist die Folge einer Entscheidung, die Bund und Länder 2023 getroffen haben.

Die Berliner Landesverwaltung wurde gehackt, geplündert und im Darknet bloßgestellt. Nachdem der Senat kein Lösegeld zahlte, hat die Ransomware-Gruppe Rhysida die erbeuteten Daten veröffentlicht. Das Drehbuch dieses Angriffs ist seit fast drei Jahren mit Behördenstempel dokumentiert. Dass Berlin nicht zahlt, ist richtig – und es ist der einfachste Teil der Geschichte. Der schwierige Teil beginnt bei zwei Tatsachen: Eine Behörde, in deren Ablage KRITIS-Risiko­analysen liegen, unterliegt selbst keiner Pflicht zur Angriffserkennung. Und der Angreifer, der das ausnutzt, brauchte weder Zero-Days noch Genialität.

„Das Land Berlin lässt sich nicht erpressen.“ So begann am 28. August 2026 die gemeinsame Erklärung des Regierenden Bürgermeisters Kai Wegner und der Innensenatorin Iris Spranger. Eine Woche später, am 4. September um 15:35 Uhr, lief das Ultimatum der Ransomware-Gruppe Rhysida ab. Rund eine Stunde danach standen die Daten im Darknet. Frei zugänglich. Die Auktion war beendet, einen Käufer hatte es nicht gegeben. Joachim Selzer, Sprecher des Chaos Computer Clubs, sagte der Deutschen Presse-Agentur, die Täter hätten „den kompletten Datensatz für alle zur Einsicht live gestellt“.

Update: Vorwürfe der Opposition

Hackerangriff in Berlin – Zugangsdaten wurden veröffentlicht

Bemerkenswert ist der Satz des Senats nicht, weil er falsch wäre. Ein Land darf kein Lösegeld zahlen. Das Haushaltsrecht lässt es nicht zu, und wer es dennoch veranlasst, riskiert den Vorwurf der Untreue. Bemerkenswert ist, was dieser Satz verdeckt. Er ersetzt die eigentlichen Fragen: Warum fiel der Datenabfluss zwischen dem 7. und dem 12. August 2026 tagelang niemandem auf? Warum erfolgte die Netztrennung erst am Abend des 14. August? Und warum erklärte der Regierende Bürgermeister zunächst, es seien keine sensiblen Daten betroffen, nur um diese Entwarnung kurz darauf zu kassieren?

Man muss den Angreifern kein einziges Terabyte glauben

Die Angaben, die seit Tagen durch die Berichterstattung laufen, stammen von den Tätern. 5,79 Terabyte. 1,44 Millionen Dateien. Eine Schwachstellenanalyse zur Berliner Wasserversorgung. Der Senat hat die Datenmenge in seiner Mitteilung vom 3. September ausdrücklich als Behauptung der Angreifer wiedergegeben. Das ist sauber. Und es ändert nichts an der Kritikalität.

Cybersicherheitsvorfälle

Aktuelle Cyberangriffe auf deutsche Unternehmen 2026

Denn was bestätigt ist, reicht. Der Senat hat den Abflusszeitraum bestätigt, die beiden betroffenen Häuser und die Möglichkeit sensibler Daten. Am 2. September wies er alle Behörden an, Passwörter zu ändern, weil eine Vielzahl davon kompromittiert war, und schränkte Fernzugänge ein. Der Tagesspiegel dokumentierte, dass Zugangsdaten in einer Datei mit dem Namen „Passwort.docx“ lagen.

Wer die veröffentlichte Verzeichnisstruktur ansieht, braucht die Zahlen der Täter ebenfalls nicht. Man muss keine einzige Datei öffnen, die Ordnernamen genügen. Personalakten mit namentlichen Unterordnern. Laufende Disziplinarverfahren. Ein Ordner Geheimschutz. Ein Ordner, benannt nach einer Vertraulichkeitseinstufung, mit weit über tausend Einträgen. Hunderte Treffer mit Bundesratsbezug. Ein Ordner für KRITIS und Katastrophenschutz, darin als VS-NfD gekennzeichnete Dateien zur Wasserversorgung, darunter eine BSI-KRITIS-Liste Wasser und eine Risikoanalyse zur Gefährdung von Anlagen der Berliner Wasserbetriebe. Es geht also nicht nur um Personaldaten. Was in diesen Dateien steht, habe ich nicht geprüft. Für das Argument ist es nicht nötig.

Systeme zur Angriffserkennung

KRITIS-Betreiber haben Nachholbedarf

Der letzte Punkt verdient einen zweiten Blick. Die Berliner Wasserbetriebe sind KRITIS-Betreiber. Sie unterliegen dem BSI-Gesetz, sie müssen Systeme zur Angriffserkennung betreiben und dies alle zwei Jahre nachweisen. Eine Risikoanalyse zu ihren Anlagen ist bei ihnen ein geschütztes Gut. Dieselbe Analyse in der Ablage der zuständigen Senatsverwaltung unterliegt dem E-Government-Gesetz Berlin. Der Schutz einer Information endet dort, wo die Zuständigkeit des Gesetzes endet. Der Angreifer hat das nicht gewusst. Er hat es auch nicht wissen müssen.

Die Lücke ist kein Versehen. Sie ist beschlossen.

Die öffentliche Verwaltung der Länder und Kommunen ist in Deutschland kein regulierter KRITIS-Sektor. Das war unter dem alten BSI-Gesetz so, und es ist unter dem neuen so. Das NIS2-Umsetzungsgesetz, seit dem 6. Dezember 2025 in Kraft, erfasst die Wirtschaft und die Bundesverwaltung. Länder und Kommunen erfasst es nicht.

BSI-zugelassene VPN-Infrastruktur

Genua stellt quantenresistentes VPN für Behörden und KRITIS vor

Die Begründung des Bundes ist korrekt und unbefriedigend zugleich. Das BSI verweist auf Artikel 70 Absatz 1 und Artikel 28 Absatz 2 des Grundgesetzes: Die Gesetzgebungskompetenz für die Cybersicherheit der Landes- und Kommunalverwaltungen liegt bei den Ländern. Die europäische Richtlinie hätte den Weg geöffnet. Artikel 2 Absatz 5 der NIS2-Richtlinie erlaubt es den Mitgliedstaaten, die Verwaltung auf lokaler Ebene einzubeziehen. Der IT-Planungsrat, das gemeinsame Gremium von Bund und Ländern, hat mit Beschluss 2023/39 jedoch entschieden, von dieser Option keinen Gebrauch zu machen.

Man sollte diesen Vorgang nüchtern benennen. Bund und Länder haben gemeinsam entschieden, dass für die Landesverwaltungen nicht gelten soll, was der Bund den Wasserwerken, Krankenhäusern und Energieversorgern vorschreibt. Die Länder hätten es anschließend selbst regeln können. Berlin hat es nicht getan. Es gibt kein Berliner IT-Sicherheitsgesetz. Es gibt Paragraf 23 des -Government-Gesetzes BerlinE, der jede Behörde zu einem Informationssicherheitsmanagement nach BSI-Standard verpflichtet. Eine Pflicht zur Angriffserkennung, wie sie das BSI-Gesetz für KRITIS-Betreiber seit Mai 2023 kennt, steht dort nicht. Der siebte Umsetzungsbericht des Senats mit Stichtag 31. Dezember 2025 hält fest, der 24-Stunden-Betrieb des Cyber Defence Centers werde „vorbereitet“, und das Landesnetz entspreche den Anforderungen von NIS2 und BSI „nicht vollständig“. Sieben Monate später flossen die Daten fünf Tage lang ab.

Anhörung zu NIS 2 im Bundestag

Deutschland streitet weiter über NIS 2

Gewarnt hatte jeder, der gefragt wurde. Auch die Länder selbst. Der Bundesrat sah im Gesetzgebungsverfahren „systematische Schutzlücken“ durch die Ausklammerung der Landes- und Kommunalverwaltungen und vermisste zugleich Geld des Bundes dafür. Dieselben Länder hatten im IT-Planungsrat entschieden, die Option nicht zu ziehen. Man kann eine Lücke nicht beklagen und sie zugleich offenhalten. Der Bitkom schrieb in seiner Stellungnahme, damit blieben „Verwaltung und staatliche Einrichtungen die Schwachstelle für die Cybersicherheit in Deutschland“. Die AG KRITIS fordert seit Jahren, den Sektor Staat und Verwaltung vollständig in den Geltungsbereich zu nehmen. Man kann diesen Stimmen unterstellen, sie hätten Interessen. Man kann ihnen nicht unterstellen, sie hätten nicht recht gehabt.

Der Angreifer musste nicht einbrechen. Er konnte sich anmelden.

Rhysida ist kein neuer Akteur. Seit dem 15. November 2023 liegt ein gemeinsames Advisory von FBI, CISA und MS-ISAC vor, aktualisiert am 30. April 2025. Es benennt die Zielsektoren, darunter Regierung. Es benennt den Erstzugang: gültige Zugangsdaten gegen VPN-Zugänge ohne Mehrfaktor-Authentifizierung. Es benennt die Werkzeuge, den Diebstahl der Domänen-Datenbank und die Exfiltration in Cloud-Speicher. Es benennt die Gegenmaßnahmen.

NIS-2 und KRITIS-Dachgesetz verschärfen Anforderungen

Neue EU-Regulierungen überfordern internationale Konzerne

Rhysida nutzt keine Zero-Days. Die Gruppe kauft oder stiehlt Zugangsdaten und meldet sich an. Wie der Erstzugang in Berlin exakt aussah, ließ der Senat offen. Was die Gruppe dort vorfand, ist bekannt: Passwörter in Word-Dateien. Wer einmal drin ist, muss für den Rest des Weges nichts mehr knacken, er liest mit. Dass die Gruppe Verwaltungen angreift, war ebenfalls bekannt. Auf ihrer Leak-Site stehen rund 280 Opfer, neun aus Deutschland, seit Mai 2026 auch ein Eintrag zur Landeshauptstadt Stuttgart. Berlin reiht sich in diese Serie ein.

Das ist der Punkt, an dem die Zuständigkeitsfrage in eine Verantwortungsfrage übergeht. Wer IT-Verantwortung für ein Land trägt, braucht keine Regulierung, um zu wissen, wer die eigene Verwaltung angreift. Er braucht ein Dokument, das seit fast drei Jahren frei verfügbar ist, und die Bereitschaft, die eigene Umgebung daran zu messen. Wer die Frage stellt, wer uns angreift und wie, bekommt eine Antwort mit Behördenstempel. Wer sie nicht stellt, bekommt sie von Rhysida.

Cyberrisiken im Mittelstand

Cyberangriffe treiben Bedarf an Services und Beratung

Föderalismus ist keine Sicherheitsarchitektur

Berlin ist nicht der erste Fall. Anhalt-Bitterfeld rief im Juli 2021 als erster Landkreis Deutschlands nach einem Cyberangriff den Katastrophenfall aus. Südwestfalen-IT fiel im Oktober 2023 über ein schwaches Passwort und ein VPN ohne zweiten Faktor, mindestens 103 Kommunen waren betroffen. Berlin verlor im August 2026 fünf Tage lang Daten, während Passwörter in Office-Dateien lagen. Drei Fälle, drei Bundesländer, dieselbe Lücke im Gesetz. Eine Pflicht zur Angriffserkennung für Landes- oder Kommunalverwaltungen ist aus keinem gefolgt.

Der Landesvize der Gewerkschaft der Polizei, Thorsten Schleheider, sagte, der Vorfall habe Berlins Politik vor Augen geführt, „dass hier über Jahre gepennt wurde“. Man muss die Wortwahl nicht teilen, um den Befund zu teilen. Der Grünen-Fraktionsvize im Bundestag, Konstantin von Notz, verlangt, das BSI solle den Ländern mehr helfen dürfen. Die Bundesregierung will an der verfassungsrechtlichen Grundlage nichts ändern. Beides hat Gründe. Zusammen ergibt es Stillstand.

Ich war lange genug auf beiden Seiten des Tisches, als Auditor und als CISO, um zu wissen, was Regulierung leistet. Sie verhindert keinen einzelnen Angriff. Sie erzwingt, dass jemand hinschaut. Sie erzwingt einen Nachweis, ein Datum, eine Person, die unterschreibt. Genau das fehlt den Landesverwaltungen. Nicht das Wissen, nicht die Warnungen, nicht das Advisory. Es fehlt die Pflicht, danach zu handeln und das Ergebnis nachzuweisen. Der Föderalismus hat viele Vorzüge. Ein Sicherheitskonzept ist er nicht. Ein Angreifer, der sich mit gestohlenen Zugangsdaten anmeldet, prüft vorher nicht die Gesetzgebungskompetenz. Der Staat hat sich selbst ausgenommen. Rhysida hat ihn dann ausgenommen.

Ein Jahr danach

Das hat den IT-Dienstleister SIT die Cyberattacke gekostet

Ein Arbeitsauftrag für die Landesregierungen

Am 20. September wählt Berlin ein neues Abgeordnetenhaus. Wer danach Verantwortung trägt, in Berlin oder in einem der fünfzehn anderen Länder, sollte vier Dinge anordnen und ein fünftes ins Parlament bringen, bevor er das nächste Konzept in Auftrag gibt:

• 1. Mehrfaktor-Authentifizierung für jeden Fernzugang. VPN, Terminal-Server, RDP-Gateways, Webmail, Dienstleisterzugänge. Ohne Ausnahme für die Anmeldung an der Domäne. Das ist die eine Maßnahme, die den dokumentierten Erstzugang von Rhysida unterbricht.

• 2. Kommandozeilen- und PowerShell-Protokollierung, zentral vorgehalten, mindestens 180 Tage. Ohne diese Logs ist die Aufklärungsphase eines Angreifers unsichtbar, und die Forensik danach ist Kaffeesatzleserei.

• 3. Volumenalarm am Internet-Uplink. Was jetzt im Darknet liegt, misst mehrere Terabyte und floss in fünf Tagen ab. Das ist kein Rauschen. Wer nachts und am Wochenende den ausgehenden Verkehr nicht misst, erfährt von jeder Exfiltration zuerst aus der Zeitung.

• 4. Klartext-Passwörter finden und beseitigen. Dateiablagen nach Passwortlisten durchsuchen, Passwort-Manager erzwingen, Dienstkonten in Tresore. Das ist keine Technikfrage, sondern eine Anordnung, die ein Staatssekretär in einer Woche erlassen kann.

• 5. Eine gesetzliche Pflicht zur Angriffserkennung für das Landesnetz, mit Nachweis und Frist. Was für die Wasserbetriebe gilt, muss für die Behörde gelten, die deren Risikoanalyse verwahrt.

Dazu gehört ein sechster Punkt, der in kein Advisory passt: Betroffene informieren, bevor die Täter es tun, und ihnen ein einfaches Verfahren geben, mit dem sie prüfen können, ob ihre Daten dabei sind. Das ist keine Forderung der Opposition, auch wenn sie sie erhebt. Das ist Artikel 34 der Datenschutz-Grundverordnung. Rhysida hat Berlin eine Frist gesetzt. Sie lief am 4. September um 15:35 Uhr ab. Die Frist für die anderen fünfzehn Länder läuft noch. Nur kennt sie niemand.

Über den Autor: Daniel Thomas Heessel ist Gründer von Threat-Informed Cybersecurity Solutions. Heessel erhielt von der CISO Alliance die Auszeichnung CISO des Jahres 2026.

IT-Sicherheit

Cybersecurity in Kommunen: Zwischen Gefahrenlage und Realität

(ID:50955075)