Was ist passiert?
Die Cyberattacke auf Teile der Berliner Verwaltung entwickelt sich zu einem der schwersten bekannt gewordenen IT-Sicherheitsvorfälle auf Landesebene in Deutschland. Seit dem 4. September 2026 sind rund 1,44 Millionen Dateien mit einem Umfang von 5,8 Terabyte im Darknet veröffentlicht. Zunächst gingen Behörden und Öffentlichkeit davon aus, dass vor allem personenbezogene Daten wie gescannte Reisepässe, Arbeitsverträge, Bewerbungsunterlagen und Krankmeldungen betroffen seien. Mittlerweile mehren sich jedoch Hinweise, dass auch hochsensible Informationen zu kritischer Infrastruktur, Zivilschutz und Rüstungsunternehmen geleakt wurden.
Die Details
Der Angriff begann bereits zwischen dem 7. und 12. August 2026, als Unbekannte unbemerkt Zugang zum Landesnetz der Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz erlangten und Daten ausleiteten. Erst am 14. August wurde der Angriff bemerkt, die betroffenen Behörden wurden vom Landesnetz isoliert. Drei Tage später informierte die Senatskanzlei die Öffentlichkeit über einen „IKT-Vorfall im Landesnetz Berlin“, ein Notfallkrisenstab wurde eingerichtet, BKA, LKA und BSI eingeschaltet.
In den folgenden Wochen kam es zu erheblichen Beeinträchtigungen: An rund 50.000 berechtigte Haushalte in Berlin konnte zeitweise kein Wohngeld ausgezahlt werden. Erst am 24. August waren alle betroffenen Teile der Senatsverwaltung wieder am Netz. Am 28. August trat eine Lösegeldforderung zutage – die Ransomware-Gruppe „Rhysida“ verlangte 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Der Regierende Bürgermeister Kai Wegner erklärte, das Land Berlin lasse sich nicht erpressen. Nach Ablauf des Ultimatums veröffentlichten die Täter die Daten.
Laut Recherchen des Chaos Computer Clubs und Medienberichten des Tagesspiegel befinden sich unter den geleakten Dateien auch Informationen zur Berliner Wasserversorgung, zu Heizkraftwerken, Tanklagern, Notstromanlagen, Umspannwerken, Gefängnissen, Wasserwerken sowie zu Rüstungsunternehmen und der Bundeswehr. Zudem wurden Passwörter im Klartext, Justizunterlagen und mehr als 46.500 Verträge des Landes bekannt. Ein vollständiger Überblick über die Datenmenge ist bislang kaum möglich, da sich die Inhalte nicht einfach durchsuchen lassen.
Einordnung
Politiker und Experten zeigen sich alarmiert. Der Grünen-Fraktionsvize Konstantin von Notz sprach im Handelsblatt von einem „echten Daten-Super-GAU“ und warnte vor möglicherweise erheblichen finanziellen Folgen für die Steuerzahler. Er sieht zudem eine Mitschuld der Bundesregierung und schließt personelle Konsequenzen nicht aus, sollte sich herausstellen, dass Schutzmechanismen bewusst missachtet wurden. CDU-Außenpolitiker Roderich Kiesewetter bezeichnete den Datenabfluss gegenüber der Süddeutschen Zeitung als Gefährdung der nationalen Sicherheit.
Der IT-Experte Manuel Atug wirft dem Land Berlin grobe Fahrlässigkeit vor und erklärte, er habe bereits 2023 und 2025 als Sachverständiger im Berliner Innenausschuss auf eklatante Sicherheitslücken hingewiesen. Das BSI warnt vor einer erhöhten Bedrohungslage für die Gesellschaft, da sicherheitsrelevante Informationen zu kritischer Infrastruktur von fremden Mächten oder Terroristen missbraucht werden könnten.
Für die Zielgruppe der Sicherheitstechnik-Branche verdeutlicht der Fall, wie eng physische und digitale Sicherheit mittlerweile verzahnt sind: Wenn Daten zu Notstromanlagen, Umspannwerken oder Wasserwerken öffentlich einsehbar sind, betrifft das potenziell auch Betreiber von Zutrittskontrollsystemen, Alarmanlagen und Videoüberwachung an diesen Standorten.
Praxis-Tipps
- Betroffene Bürgerinnen, Bürger, Beschäftigte und Unternehmen sollten die angekündigte Kontaktaufnahme durch die neu eingerichtete Steuerungseinheit per Brief oder E-Mail ernst nehmen und die enthaltenen Hinweise befolgen.
- Der CCC warnt vor Identitätsdiebstahl und Erpressungsversuchen – Betroffene sollten bei unerwarteten Kontaktaufnahmen, die sich auf persönliche Daten berufen, besonders wachsam sein.
- Da auch Passwörter im Klartext abgeflossen sind, sollten Mitarbeitende betroffener Verwaltungen und generell alle, die Zugangsdaten mit Behörden-Accounts verknüpft haben, diese umgehend ändern.
- Betreiber kritischer Infrastruktur sollten angesichts der möglichen Veröffentlichung von Detailinformationen zu Anlagen wie Umspannwerken oder Notstromsystemen ihre physischen Schutzmaßnahmen – etwa Zutrittskontrolle und Perimeterschutz – überprüfen.
Ausblick
Die forensischen Untersuchungen und Ermittlungen dauern an, ein vollständiger Überblick über Umfang und Inhalt der geleakten Daten liegt noch nicht vor. Neben BSI, BKA und Bundesamt für Verfassungsschutz ist auch das Gemeinsame Cyberabwehrzentrum an der Aufarbeitung beteiligt. Die Bundeswehr kündigte an, nach Abschluss der Risikoanalyse Maßnahmen zum Schutz der militärischen Sicherheit einzuleiten. Die Berliner Landesregierung hat ihre Sicherheitsmaßnahmen nach eigenen Angaben bereits erhöht.
Besondere Brisanz erhält der Vorfall durch die bevorstehende Wahl zum Berliner Abgeordnetenhaus in zwei Wochen. Landeswahlleiter Stephan Bröchler erklärte zwar, die Wahlumgebung sei nach derzeitigem Stand nicht betroffen – angesichts des Ausmaßes des Lecks dürfte das Thema IT-Sicherheit jedoch auch im Wahlkampf eine Rolle spielen. Der Fall zeigt exemplarisch, welche weitreichenden Folgen mangelhafte Geheimschutz-Vorgaben in der öffentlichen Verwaltung haben können – eine Lehre, die auch für Betreiber sicherheitskritischer Anlagen außerhalb der Verwaltung relevant ist.
