Vad har hänt?
Cyberattacken mot delar av Berlins förvaltning utvecklas till en av de allvarligaste kända IT-säkerhetsincidenterna på delstatsnivå i Tyskland. Sedan den 4 september 2026 har omkring 1,44 miljoner filer med en total omfattning på 5,8 terabyte publicerats på darknet. Inledningsvis antog myndigheter och allmänhet att det främst rörde sig om personuppgifter såsom inskannade pass, anställningsavtal, ansökningshandlingar och sjukintyg. Numera tilltar dock indikationerna på att även mycket känslig information om kritisk infrastruktur, civilskydd och försvarsföretag har läckt ut.
Detaljerna
Attacken inleddes redan mellan den 7 och 12 augusti 2026, då okända gärningsmän i hemlighet fick tillgång till delstatsnätet för senatsförvaltningarna för stadsutveckling, byggande och boende samt för mobilitet, trafik, miljö och klimatskydd, och förde ut data. Attacken upptäcktes först den 14 augusti, varpå de berörda myndigheterna isolerades från delstatsnätet. Tre dagar senare informerade senatskansliet allmänheten om en "IKT-incident i Berlins delstatsnät", en krisstab inrättades och BKA (den federala kriminalpolisen), LKA (delstatens kriminalpolis) och BSI (federala myndigheten för IT-säkerhet) kopplades in.
Under de följande veckorna uppstod betydande störningar: Omkring 50 000 berättigade hushåll i Berlin kunde tidvis inte få ut sitt bostadsbidrag. Det var först den 24 augusti som alla berörda delar av senatsförvaltningen åter var uppkopplade. Den 28 augusti framkom ett lösensumskrav – ransomware-gruppen "Rhysida" krävde 30 bitcoin, motsvarande omkring två miljoner euro. Den regerande borgmästaren Kai Wegner förklarade att delstaten Berlin inte skulle låta sig utpressas. Efter att ultimatumet löpt ut publicerade gärningsmännen uppgifterna.
Enligt efterforskningar från Chaos Computer Club och mediarapportering i Tagesspiegel finns bland de läckta filerna även information om Berlins vattenförsörjning, värmekraftverk, bränsledepåer, reservkraftanläggningar, transformatorstationer, fängelser, vattenverk samt om försvarsföretag och den tyska försvarsmakten. Dessutom blev lösenord i klartext, rättsliga handlingar och mer än 46 500 avtal från delstaten kända. En fullständig överblick över datamängden är hittills knappast möjlig, eftersom innehållet inte går att genomsöka enkelt.
Analys
Politiker och experter är alarmerade. De grönas vice gruppledare Konstantin von Notz talade i Handelsblatt om en "verklig data-superkatastrof" och varnade för eventuellt betydande ekonomiska konsekvenser för skattebetalarna. Han ser dessutom en delskuld hos den federala regeringen och utesluter inte personella konsekvenser om det visar sig att skyddsmekanismer medvetet åsidosatts. CDU:s utrikespolitiske talesperson Roderich Kiesewetter betecknade dataläckan gentemot Süddeutsche Zeitung som ett hot mot den nationella säkerheten.
IT-experten Manuel Atug anklagar delstaten Berlin för grov vårdslöshet och förklarade att han redan 2023 och 2025 som sakkunnig i Berlins inrikesutskott påpekat flagranta säkerhetsluckor. BSI varnar för ett förhöjt hotläge för samhället, eftersom säkerhetsrelevant information om kritisk infrastruktur kan missbrukas av främmande makter eller terrorister.
För säkerhetsteknikbranschens målgrupp belyser fallet hur tätt sammanflätade fysisk och digital säkerhet numera är: när uppgifter om reservkraftanläggningar, transformatorstationer eller vattenverk blir offentligt tillgängliga påverkar det potentiellt även operatörer av passerkontrollsystem, larmanläggningar och videoövervakning på dessa platser.
Praktiska råd
- Berörda medborgare, anställda och företag bör ta den aviserade kontakten från den nyinrättade styrenheten – via brev eller e-post – på allvar och följa de anvisningar som ges.
- CCC varnar för identitetsstöld och utpressningsförsök – drabbade bör vara särskilt vaksamma vid oväntade kontakter som åberopar personuppgifter.
- Eftersom även lösenord i klartext läckt ut bör anställda vid berörda förvaltningar, och generellt alla som kopplat inloggningsuppgifter till myndighetskonton, omgående byta dessa.
- Operatörer av kritisk infrastruktur bör, mot bakgrund av den möjliga publiceringen av detaljerad information om anläggningar som transformatorstationer eller reservkraftsystem, se över sina fysiska skyddsåtgärder – exempelvis passerkontroll och perimeterskydd.
Framtidsutsikter
De forensiska undersökningarna och utredningarna pågår fortfarande, och en fullständig överblick över omfattningen och innehållet i de läckta uppgifterna finns ännu inte. Förutom BSI, BKA och den federala författningsskyddsmyndigheten deltar även det gemensamma cyberförsvarscentret i uppföljningsarbetet. Försvarsmakten meddelade att man, efter avslutad riskanalys, kommer att vidta åtgärder för att skydda den militära säkerheten. Berlins delstatsregering uppger att man redan har skärpt sina säkerhetsåtgärder.
Incidenten får särskild sprängkraft genom det förestående valet till Berlins delstatsparlament om två veckor. Delstatens valledare Stephan Bröchler förklarade visserligen att valmiljön enligt nuvarande kunskapsläge inte är berörd – men med tanke på läckans omfattning lär frågan om IT-säkerhet ändå spela en roll i valrörelsen. Fallet visar exemplariskt vilka långtgående konsekvenser bristfälliga krav på sekretesskydd inom den offentliga förvaltningen kan få – en läxa som även är relevant för operatörer av säkerhetskritiska anläggningar utanför förvaltningen.
