Rhysida-Angriff auf das Berliner Landesnetz Erpressen lässt sich Berlin nicht. Ausnehmen schon.

Der Datenabfluss in Berlin ist kein Betriebsunfall. Berlin regelte Zu­stän­dig­kei­ten, kürzte die Mittel für Angriffserkennung und bemerkte den Angriff nur über eine Störungsmeldung.

Die Berliner Landesverwaltung wurde gehackt, geplündert und im Darknet bloßgestellt. Dass der Senat nicht gezahlt hat, war richtig. Es war auch der leichteste Teil. Der schwierige Teil: In der Ablage einer Senatsverwaltung lag eine Risikoanalyse zu Anlagen der Berliner Wasserbetriebe. Für den Betreiber dieser Anlagen gilt eine nachweispflichtige Angriffserkennung. Für die Behörde, in deren Ablage seine Risikoanalyse lag, gilt sie nicht. Das hat Berlin selbst so geregelt. Der Angreifer ist seit fast drei Jahren mit Behördenstempel beschrieben, seine Methode seit fast einem Jahr.

„Das Land Berlin lässt sich nicht erpressen.“ So begann am 28. August die gemeinsame Erklärung des Regierenden Bürger­meisters Kai Wegner und der Innensenatorin Iris Spranger. Am 4. September um 15:35 Uhr lief das Ultimatum der Ransomware-Gruppe Rhysida ab. Rund eine Stunde später lagen die Daten im Darknet, frei zugänglich. Die Auktion war ohne Käufer geblieben.

Update: Vorwürfe der Opposition

Hackerangriff in Berlin – Zugangsdaten wurden veröffentlicht

Drei Tage später sagte Digitalstaatssekretär Florian Hauer im Innenausschuss: „Was tatsächlich abgeflossen ist, wissen wir positiv erst seit Freitag 15.35 Uhr.“ Bis dahin kannte der Senat nur das Inhaltsverzeichnis, das die Täter ins Darknet gestellt hatten. Bemerkt worden war der Angriff über die Störung eines Domain Controllers am 13. August, der das CERT des landeseigenen Dienstleisters ITDZ nachging. Am Abend des 14. August wurden zwei Senatsverwaltungen vom Landesnetz getrennt. Der Abfluss war zu diesem Zeitpunkt seit zwei Tagen abgeschlossen.

Daraus folgen die beiden Fragen dieses Falls. Warum sah niemand den Abfluss? Und warum lag dort, was der Angreifer fand?

Eine Risikoanalyse, zwei Schutzniveaus

Die Zahlen der Täter lauten 5,79 Terabyte und 1,44 Millionen Dateien. Der Tagesspiegel hat nachgezählt: 1.439.893 Dateien, 5,26 Terabyte. Der Senat bestätigt den Abflusszeitraum, die beiden betroffenen Häuser und eine „Vielzahl“ kompromittierter Passwörter. Der Tagesspiegel fand Zugangsdaten in einer Datei namens Passwort.docx, der Chaos Computer Club fand Systeme, die Tage nach der Veröffentlichung mit den veröffentlichten Passwörtern noch erreichbar waren.

Cybersicherheitsvorfälle

Aktuelle Cyberangriffe auf deutsche Unternehmen 2026

Wer die veröffentlichte Verzeichnisstruktur durchsieht, muss keine Datei öffnen. Personalakten mit namentlichen Unterordnern, Disziplinarverfahren, ein Ordner Geheimschutz, Hunderte Dateinamen mit Bundesratsbezug. Und ein Ordner für KRITIS und Katastrophenschutz mit als VS-NfD gekennzeichneten Dateien, darunter eine BSI-KRITIS-Liste Wasser und eine Risikoanalyse zur Gefährdung von Anlagen der Berliner Wasserbetriebe. Was darin steht, habe ich nicht geprüft. Für das Argument reicht die Struktur.

Hauer sagte im Ausschuss, betroffen sei nur die niedrigste Geheimhaltungsstufe, VS-NfD, „keine Daten mit erhöhter Sicherheitsrelevanz“. Das mag stimmen. Beruhigend ist es nicht. Die Risikoanalyse zu den Anlagen der Wasserbetriebe trägt genau diesen Stempel.

Systeme zur Angriffserkennung

KRITIS-Betreiber haben Nachholbedarf

Die Wasserbetriebe sind KRITIS-Betreiber. Sie müssen nach dem BSI-Gesetz Systeme zur Angriffserkennung betreiben und das alle zwei Jahre nachweisen. Die Risikoanalyse zu ihren Anlagen in der Ablage der zuständigen Senatsverwaltung unterlag dem E-Government-Gesetz Berlin und einem Rundschreiben. Der Schutz einer Information endet dort, wo der Geltungsbereich des Gesetzes endet. Das beantwortet die zweite Frage. Bleibt die erste.

Berlin regelte, wer meldet, nicht wer erkennt

Die Verwaltung wurde nicht vergessen. Die Kette der Entscheidungen ist dokumentiert. Am 3. November 2023 legte der IT-Planungsrat von Bund und Ländern fest, dass die Kommunen nicht in NIS2 einbezogen werden und jedes Land die wichtigen Einrichtungen seiner Verwaltung selbst bestimmt und regelt. Das NIS2-Umsetzungsgesetz des Bundes, seit dem 6. Dezember 2025 in Kraft, erfasst folgerichtig nur Wirtschaft und Bundesverwaltung.

BSI-zugelassene VPN-Infrastruktur

Genua stellt quantenresistentes VPN für Behörden und KRITIS vor

Berlin regelte es am 30. Mai 2025 per Rundschreiben der Senatskanzlei. Sieben Seiten: Die Senatskanzlei beaufsichtigt die Landesverwaltung, also auch sich selbst, das Berlin-CERT wird Notfallteam, erhebliche Vorfälle sind binnen 24 und 72 Stunden zu melden. Was fehlt: der Maßnahmenkatalog aus Artikel 21 der Richtlinie, eine Pflicht zu Systemen zur Angriffserkennung mit Nachweis, wie sie das BSI-Gesetz für KRITIS-Betreiber seit Mai 2023 kennt, eine Sanktion, ein Parlamentsbeschluss. Das Rundschreiben regelt, wer wem meldet. Es regelt nicht, was eine Behörde tun muss, damit es nichts zu melden gibt.

Von der Pflicht zur Angriffserkennung hat sich Berlin ausgenommen. Gespart hat es daran. Im Nachtragshaushalt 2025 setzte der Senat für die Landes-IT 44 Prozent weniger an und strich zwei Millionen Euro für Eindringungserkennung; im Doppelhaushalt 2026/2027 kürzte die Koalition allein bei der Senatskanzlei mehr als 55 Millionen Euro für die Digitalisierung. Der Umsetzungsbericht des Senats zum E-Government-Gesetz, Stichtag Dezember 2025, hält fest, der 24-Stunden-Betrieb des Cyber Defence Centers werde „vorbereitet“. Seit 2018 verpflichtet § 24 desselben Gesetzes jede Behörde, ihre IT-Leistungen beim landeseigenen Dienstleister ITDZ zu beziehen. Acht Jahre später sind laut Senatsbericht drei Behörden vollständig migriert. Die beiden betroffenen gehören nicht dazu, sie betreiben Teile ihrer IT selbst. Am 8. Juli 2026 unterzeichnete Hauer eine Kooperationsvereinbarung mit dem BSI; Berlin werde „noch schneller und effektiver auf Cybergefahren reagieren“. Vier Wochen später begann der Abfluss, bemerkt wurde er über eine Störungsmeldung. Damit ist die erste Frage beantwortet. Wo kein Sensor steht, hilft keine Vereinbarung.

Anhörung zu NIS 2 im Bundestag

Deutschland streitet weiter über NIS 2

Der Angreifer musste nicht einbrechen. Er konnte sich anmelden.

Zwölf Tage nach dem Beschluss des IT-Planungsrats, am 15. November 2023, veröffentlichten FBI, CISA und MS-ISAC ihr Advisory zu Rhysida, aktualisiert im April 2025. Es nennt Regierungsstellen als Zielsektor, den Erstzugang über gültige Zugangsdaten, die Werkzeuge, die Gegenmaßnahmen. Im Oktober 2025 beschrieb der Sicherheitsdienstleister Expel, wie das Rhysida-Umfeld Opfer per „ClickFix“ dazu bringt, Schadcode selbst auszuführen: eine gefälschte Fehlermeldung, eine Anweisung, ein Tastendruck. Anfang 2026 warnte Microsoft davor. Am 4. September beschrieb das BSI eine Variante namens „TerminalFix“ bei der „Kompromittierung des Netzwerks einer staatlichen Institution“ und ordnete sie auf Mastodon dem Berliner Fall zu. Am Anfang stand laut Tagesspiegel eine Phishing-Mail in der Verkehrsverwaltung.

NIS-2 und KRITIS-Dachgesetz verschärfen Anforderungen

Neue EU-Regulierungen überfordern internationale Konzerne

Rhysida braucht keine Zero-Days und hat, so das BSI, kein politisches Motiv. Die Gruppe lässt sich die Tür öffnen, sammelt Zugangsdaten ein und meldet sich an. In Berlin lagen sie in Word-Dateien. Wer einmal drin ist, muss nichts mehr knacken, er liest mit. Auf der Leak-Site stehen rund 280 Opfer, neun aus Deutschland, seit Mai 2026 auch ein Eintrag zur Landeshauptstadt Stuttgart. Nichts an diesem Angriff war neu. Alles daran war nachlesbar.

Cyberrisiken im Mittelstand

Cyberangriffe treiben Bedarf an Services und Beratung

Die Länder regeln sich nicht, der Bund zieht sich zurück

Berlin ist nicht der erste Fall. Anhalt-Bitterfeld rief 2021 als erster Landkreis den Katastrophenfall aus. Südwestfalen-IT fiel 2023 über ein VPN ohne zweiten Faktor, mehr als hundert Kommunen waren betroffen. Eine nachweispflichtige Angriffserkennung für Landes- und Kommunalverwaltungen ist aus keinem der Fälle gefolgt.

An Warnungen fehlte es nicht. Der Bundesrat sah im Gesetzgebungsverfahren „systematische Schutzlücken“. Dieselben Länder hatten die Kommunen im IT-Planungsrat nicht einbezogen. Manuel Atug von der AG KRITIS hat nach eigenen Angaben dem Berliner Innenausschuss zweimal als Sachverständiger gesagt, das Land betreibe „desolate Cybersicherheit“. In den geleakten Daten liegt laut Tagesspiegel eine Schutzbedarfsfeststellung vom Februar 2026, nach der es in der Berliner Verwaltung keinen digitalen Geheimschutz im strengen Sinne gebe. Und als die Senatskanzlei nach dem Leak den Dienstleister CrowdStrike mit der Prüfung der Systeme beauftragte, verweigerte der Bezirk Lichtenberg zunächst den Zugang zu seinen Servern. Zwölf Bezirke, zwölf Zuständigkeiten.

Der Bund zieht sich derweil zurück. Im Koalitionsvertrag hatten CDU, CSU und SPD zugesagt, das BSI zur Zentralstelle auszubauen. Dafür braucht es eine Grundgesetzänderung, weil das BSI den Ländern bislang nur auf förmliches Amtshilfeersuchen beistehen darf. Am 3. September, einen Tag vor dem Leak, wurde die Antwort des Innenministeriums auf eine Anfrage des Grünen-Fraktionsvizes Konstantin von Notz bekannt: keine Grundgesetzänderung, der bestehende Rahmen genüge, es gebe Kooperationsvereinbarungen mit 14 Ländern. Berlin ist eines davon.

Regulierung verhindert keinen Angriff. Sie erzwingt einen Nachweis, ein Datum, eine Unterschrift. Und sie macht bestimmte Entscheidungen unmöglich: Kein KRITIS-Betreiber könnte zwei Millionen Euro für Eindringungserkennung streichen und den Nachweis zwei Jahre später bestehen. Genau diese Pflicht fehlt den Landesverwaltungen. Nicht das Wissen. Die Pflicht, danach zu handeln und das Ergebnis nachzuweisen.

Ein Jahr danach

Das hat den IT-Dienstleister SIT die Cyberattacke gekostet

Ein Arbeitsauftrag für die Landesregierungen

Wer nach der Wahl vom 20. September in Berlin Verantwortung übernimmt, und wer sie in einem der fünfzehn anderen Länder bereits trägt, sollte vier Dinge anordnen und ein fünftes ins Parlament bringen, bevor er das nächste Konzept in Auftrag gibt.

• 1. Mehrfaktor-Authentifizierung für jeden Fernzugang, ohne Ausnahme für die Domänenanmeldung. Das unterbricht den dokumentierten Erstzugang von Rhysida.

• 2. Kommandozeilen- und PowerShell-Protokollierung, zentral vorgehalten, 180 Tage. ClickFix lebt davon, dass niemand sieht, was der Nutzer in sein Terminal tippt.

• 3. Volumenalarm am Internet-Uplink. Mehrere Terabyte in fünf Tagen sind kein Rauschen. Berlin bemerkte sie über eine Störungsmeldung.

• 4. Klartext-Passwörter finden und beseitigen. Das ist keine Technikfrage, sondern eine Anordnung, die ein Staatssekretär in einer Woche erlassen kann.

• 5. Eine Pflicht zu Systemen zur Angriffserkennung für das gesamte Landesnetz, per Gesetz, nicht per Rundschreiben, mit Nachweis und Frist, für jedes Haus. Was für die Wasserbetriebe gilt, muss für die Behörde gelten, die deren Risikoanalyse verwahrt.

Und ein sechster Punkt, der in kein Advisory passt: Betroffene informieren, bevor die Täter es tun. Der Senat hat dafür am 6. September eine Steuerungseinheit eingerichtet; eine Zahl der Informierten nennt er bis heute nicht. Das ist keine Forderung der Opposition, das ist Artikel 34 der Datenschutz-Grundverordnung. Rhysida hat Berlin eine Frist gesetzt. Sie lief am 4. September um 15:35 Uhr ab. Die Frist für die anderen fünfzehn Länder läuft noch. Nur kennt sie niemand.

Über den Autor: Daniel Thomas Heessel ist Gründer von Threat-Informed Cybersecurity Solutions. Heessel erhielt von der CISO Alliance die Auszeichnung CISO des Jahres 2026.

IT-Sicherheit

Cybersecurity in Kommunen: Zwischen Gefahrenlage und Realität

(ID:50955075)