Mitte August 2026 wurde ein Cyberangriff auf das Berliner Landesnetz bekannt und zwei Senatsverwaltungen gingen offline. Nun wurde bekannt, dass die Cybergruppe Rhysida hinter dem Angriff steckt, Daten abgreifen konnte und nun 2 Millionen Euro in Bitcoins haben will. Es kristallisieren sich einige Versäumnisse heraus, die da begangen wurden.
Rückblick auf den Cyberangriff
Freitag, den 14. August 2026, wurden zwei Verwaltungen des Berliner Senats vom Landesnetz getrennt und waren faktisch arbeitsunfähig. Es handelte sich um die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Bekannt war aus einer "dünnen" Pressemitteilung des regierenden Bürgermeisters von Berlin, dass sich "im Zuge forensischer Untersuchungen eine Inkriminierung des Landesnetzes Berlin ergeben hat".
Es hieß, dass die Verwaltungen aus Sicherheitsgründen seit 14. August 2026 vom Landesnetz isoliert worden seien. Über weitere Details wollte man sich seinerzeit aus "ermittlungstaktischen Gründen" nicht äußern. Es blieb auch unklar, ob Daten abgeflossen waren. Meinen Informationen nach sind die beiden Senatsverwaltungen seit einigen Tagen wieder online.
Der Vorgang scheint übrigens nur durch Zufall aufgefallen zu sein, da das ITDZ Berlin als zentraler IT-Dienstleister ungewöhnliche Aktivitäten im Netzwerk bemerkte. Die schlugen dann, obwohl mutmaßlich nicht zuständig, Alarm, worauf forensische Untersuchungen angeleiert wurden. Ich hatte im Blog-Beitrag Cyberangriff auf Berliner Landesnetz; Senatsverwaltungen offline (14.8.2026) über den Sachverhalt berichtet und auch angedeutet, dass es mit der Finanzierung des ITDZ Berlin nicht zum Besten steht.
Magere Details: Berlin wird erpresst
In einer weiteren, dünnen Meldung Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger: „Das Land Berlin lässt sich nicht erpressen" vom 28. August 2026 teilen der regierende Bürgermeister und die Innensenatorin dann einige zusätzliche Details zum Cybervorfall mit.
In der Mitteilung heißt es, dass es im Zeitraum vom 7. und 12. August 2026 zu Datenabflüssen bei den genannten Senatsverwaltungen gekommen sei. Über den Umfang der Abflüsse konnte oder wollte man nichts sagen, die Untersuchungen laufen noch. Es kann nicht ausgeschlossen werden, dass auch personenbezogene oder sonstige nicht-öffentliche Daten betroffen sind, hieß es.
Es wurde aber auch verlauten lassen, dass das Land Berlin sich nicht erpresse lasse. Sprich: Den politisch Verantwortlichen liegt wohl ein Schreiben der Angreifer vor, die Lösegeld verlangen, um auf die Veröffentlichung der Daten zu verzichten.
Die inoffiziellen Informationen zum Vorfall
Inzwischen sind aber, abseits der dürren Pressemitteilungen des Berliner Senats einige Information mehr bekannt. Während der RBB in diesem Artikel noch über Details orakelt, wird nach und nach die Misere deutlich.
Rhysida will 2 Millionen Euro für abgezogene Daten
Am Freitag, den 28. August 2026, hat der X-Kanal FalconFeeds.io nachfolgenden Tweet veröffentlicht. Die Cybergruppe Rhysida reklamiert den Angriff auf die Verwaltung des Lands Berlin und will 5,79 Terabyte an Daten abgezogen haben.
Die im Screenshot reklamierten Daten haben es in sich: Verträge, Strafsachen und Ordnungswidrigkeitenverfahren, Zahlungsvorgänge, eine KRITIS-Analyse der Wasserversorgung Berlins, E-Mail, Gehaltslisten, Passwörter, IBANs und so weiter. Wenn Berlin nicht binnen 6 Tagen zahlt, droht die Gruppe mit der Veröffentlichung der Daten. Eine Zahlung hat Berlin aber bereits ausgeschlossen.
In diesem Tweet ist die Rede von 46.500 Verträgen, E-Mails, Telefonnummern, Passwörter und Dateien, die die Gruppe als vertraulich bezeichnet. Die Gruppe will die Daten bei nicht Zahlung versteigern, wobei das Mindestgebot bei 30 Bitcoins liegt. Das entspricht ca. 2 Millionen Euro.
IT-Sicherheitsexpertin Bianca Kastl, Mitglied im Chaos Computer Club, hat gegenüber dem RBB die obigen Informationen bestätigt. Dort (und bei heise) wird der Lösegeldbetrag von rund 2 Millionen Euro genannt und ein ähnlicher Fall in Stuttgart erwähnt. Ich hatte im Mai 2026 im Beitrag Cyberangriffe auf Stuttgart? ARWINI; n8n-Schwachstelle und mehr berichtet, dass die Gruppe Rhysida einen Cyberangriff auf die Stadt Stuttgart reklamierte. Allerdings habe ich von Stuttgart nie eine Bestätigung über einen Datenabfluss erhalten, und die Forderung der Gruppe belief sich damals über 330.000 Euro.
Passwörter im Klartext im Leak
In den von der Gruppe geleakten Screenshots aus den Datenbeständen ist auch eine Word-Datei mit Passwörtern dabei – nachfolgender Tweet zeigt dies.
Sieht richtig übel aus, was da in Berlin abgegangen ist. Jüngere Leute würden es mit "Berlin ist einfach lost" beschreiben.
Ähnliche Artikel:
Cyberangriff auf Berliner Landesnetz; Senatsverwaltungen offline (14.8.2026)
Berlin: IT-Ausfall legt Justiz lahm (13.7.2026)
Cyberangriffe auf Stuttgart? ARWINI; n8n-Schwachstelle und mehr
Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger: „Das Land Berlin lässt sich nicht erpressen"
Pressemitteilung vom 28.08.2026
Das Presse- und Informationsamt des Landes Berlin teilt mit:
Nach dem IKT-Vorfall im Landesnetz Berlin soll das Land Berlin erpresst werden. Der Regierende Bürgermeister von Berlin, Kai Wegner, und die Senatorin für Inneres und Sport, Iris Spranger, erklären dazu am Freitag: „Das Land Berlin lässt sich nicht erpressen. Gegen die mutmaßlichen Täter des Hacker-Angriffs auf das Landesnetz Berlin ermitteln in enger Zusammenarbeit das Landeskriminalamt Berlin, die Staatsanwaltschaft und die Sicherheitsbehörden des Bundes mit Hochdruck. Die Untersuchungen zu Inhalt und Umfang der abgeflossenen Daten werden mit großer Intensität vorangetrieben."
Nach dem IKT-Vorfall wurde im Rahmen der laufenden forensischen Untersuchungen festgestellt, dass es im Geschäftsbereich der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt infolge des IKT-Vorfalls im Landesnetz Berlin zu weiteren Datenabflüssen gekommen ist. Inhalt und Umfang der betroffenen Daten werden weiter geprüft. Es kann nicht ausgeschlossen werden, dass auch personenbezogene oder sonstige nicht-öffentliche Daten betroffen sind. Der Zeitpunkt des Datenabflusses lag zwischen dem 7. und 12. August 2026 – und vor den Netzabtrennungen der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt sowie der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen am 14. August 2026. Die zuständigen Stellen wie die Landesdatenschutzbeauftragte und das Bundesamt für Sicherheit in der Informationstechnik (BSI) werden fortlaufend über die neuen Kenntnisse unterrichtet.
Am Freitagmorgen trafen sich der Regierende Bürgermeister von Berlin, Kai Wegner, die Senatorin für Inneres und Sport, Iris Spranger, die Senatorin für Mobilität, Verkehr, Klimaschutz und Umwelt, Ute Bonde, sowie der Chief Digital Officer des Landes Berlin, Florian Hauer, mit Vertretern der Sicherheitsbehörden von Bund und Land. Um 14:00 Uhr wurde der Senat in einer Sitzung über die aktuelle Lage nach dem IKT-Vorfall informiert. In Anschluss daran informierten der Regierende Bürgermeister und die Innensenatorin auch die Vorsitzenden der Abgeordnetenhaus-Fraktionen.
Die forensischen Untersuchungen und das Scanning des Landesnetzes Berlin dauern bis auf Weiteres an. Auch der IKT-Notfallstab bleibt bis auf Weiteres aktiv.
MVP: 2013 – 2016
