{"id":329252,"date":"2026-09-06T08:28:24","date_gmt":"2026-09-06T06:28:24","guid":{"rendered":"https:\/\/borncity.com\/blog\/?p=329252"},"modified":"2026-09-06T11:33:45","modified_gmt":"2026-09-06T09:33:45","slug":"rhysida-datenleck-ist-der-gau-fuer-berlin-und-betroffene","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2026\/09\/06\/rhysida-datenleck-ist-der-gau-fuer-berlin-und-betroffene\/","title":{"rendered":"Rhysida-Datenleck ist der GAU f\u00fcr Berlin und Betroffene"},"content":{"rendered":"

\"StopAm Freitag, den 4. September 2026, hat die Cybergruppe Rhysida ihre Drohung wahr gemacht und die 5,79 Terabyte an Daten, die bei einem Hack des Berliner Landesnetzes im Zeitraum vom 7. und 12. August 2026 bei zwei Berliner Senatsverwaltungen abgezogen wurden, im Darknet ver\u00f6ffentlicht. Der regierende B\u00fcrgermeister Berlins hat seit dem Vorfall nur sp\u00e4rliche Statements ver\u00f6ffentlicht. Schrittweise kommen die (teilweise haarstr\u00e4ubenden Vers\u00e4umnisse und) Details ans Tageslicht. Der Vorfall und die Ver\u00f6ffentlichung der Daten erweist sich als \"Gr\u00f6\u00dfter anzunehmender Unfall\" (GAU) f\u00fcr die Betroffenen und mutma\u00dflich (wegen geleakter vertraulicher Dokumente) auch f\u00fcr die Sicherheit des Landes bzw. der Bundesrepublik.<\/p>\n

<\/p>\n

Der Cybervorfall, was an Fakten bekannt ist<\/h2>\n

\"\"Am Freitag, den 14. August 2026, mussten die Senatsverwaltung f\u00fcr Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung f\u00fcr Mobilit\u00e4t, Verkehr, Klimaschutz und Umwelt vom Berliner Landesnetz getrennt werden und waren faktisch arbeitsunf\u00e4hig. Die Senatskanzlei des regierenden B\u00fcrgermeisters von Berlin hat erst zum 17. August 2026 ein Problem eingestanden, wobei viele Informationen vorenthalten\u00a0 wurden (siehe folgender Abschnitt).<\/p>\n

Was ich herausgefunden hatte, war im Beitrag\u00a0Cyberangriff auf Berliner Landesnetz; Senatsverwaltungen offline (14.8.2026)<\/a> offen gelegt. Es gab damals bereits den Verdacht, dass Daten abgeflossen sind. Inzwischen ist bekannt, dass Berlin Opfer der Cybergruppe\u00a0 Rhysida geworden ist. Im Zeitraum vom 7. und 12. August 2026 konnte die Gruppe rund 5,79 Terabyte an Daten aus den IT-Systemen der beiden genannten Senatsverwaltungen abziehen.<\/p>\n

Im Vorfeld wurde bereits gemutma\u00dft, dass viele sensible Daten wie Vertr\u00e4ge, Strafsachen und Ordnungswidrigkeitenverfahren, Zahlungsvorg\u00e4nge, eine KRITIS-Analysen der Wasserversorgung Berlins und weitere Gefahren- bzw. Schwachstellenanalysen f\u00fcr kritische Infrastruktur, E-Mails, Gehaltslisten, Passw\u00f6rter, IBANs und so weiter in den abgeflossenen Daten enthalten seien. Inzwischen ist klar, dass diese \"Mutma\u00dfungen\" zutreffend sind.<\/p>\n

Die Cybergruppe Cybergruppe\u00a0 Rhysida wollte umgerechnet ca. 2 Millionen Euro an Bitcoin-Zahlungen erpressen und drohte andernfalls die Daten binnen 6 Tagen zu ver\u00f6ffentlichen. Berlin weigerte sich, das L\u00f6segeld zu zahlen, und die erbeuteten Daten wurden am Freitag-Nachmittag, den 4. September 2026 auf der Rhysida Leak-Seite ver\u00f6ffentlicht. Inzwischen werden das Ausma\u00df des Datenlecks, und die gravierenden Vers\u00e4umnisse der Mitarbeiter und der Verantwortlichen in Politik und Verwaltung deutlich. Und es wird deutlich, wie nichtssagend die Ausf\u00fchrungen des regierenden B\u00fcrgermeisters sind. Ich hatte die Entwicklung in diversen Beitr\u00e4gen hier im Blog aufgegriffen (siehe Links am Artikelende). Nachfolgend bereite ich noch einige Informationen auf, die reflektieren, wie fatal der ganze Vorfall ist.<\/p>\n

Die \"sp\u00e4rlichen Informationen\" der Berliner Politik<\/h2>\n

Bereits von Anfang an ist mir aufgefallen, wie sp\u00e4rlich die Informationen der Berliner Politik waren, obwohl man eigentlich von Begin an gewusst haben musste, was droht. Wir erinnern uns: Am Freitag, den 14. August 2026, wurden die Senatsverwaltungen vom Landesnetz abgekoppelt. Erst am Montag, den 17. August 2026, also nach dem Wochenende hat die Senatskanzlei des regierenden B\u00fcrgermeisters von Berlin eine kurze Pressemitteilung<\/a> ver\u00f6ffentlicht, in der ein Problem eingestanden wurde.<\/p>\n

\"Im Zuge forensischer Untersuchungen hat sich eine Inkriminierung des Landesnetzes Berlin ergeben. […]\u00a0 Die erforderlichen Ma\u00dfnahmen zur Sicherung des Landesnetzes wurden umgehend veranlasst. Die Senatsverwaltungen […] sind als […] aus Sicherheitsgr\u00fcnden […] vom Landesnetz isoliert worden.\"<\/p><\/blockquote>\n

Das ist Sch\u00f6nsprech vom Feinsten (wir haben sofort und umfassend reagiert, gehen Sie weiter, es gibt nichts zu sehen) ohne wirkliche Informationen. Es war in meinen Augen eine reine Nebelkerze, die sofort Bef\u00fcrchtungen weckte. Mir fiel lediglich auf, dass der Vorfall an einem Freitag zu drastischen Ma\u00dfnahmen (Abkopplung der Senatsverwaltungen) f\u00fchrte, der IKT-Notfallkrisenstab unter Leitung des Landesbevollm\u00e4chtigen f\u00fcr Informationssicherheit des Landes Berlin aber erst nach dem Wochenende, also am Montag, eingerichtet wurde. Bereits im Blog-Beitrag Cyberangriff auf Berliner Landesnetz; Senatsverwaltungen offline (14.8.2026)<\/a> hatte ich auf den desolaten finanziellen Zustand der IT-Verwaltung bzw. des Betreibers hingewiesen und einige recherchierbare Sachverhalte angesprochen.<\/p>\n

Erst am 28. August 2026, wurde bekannt, dass Berlin durch eine Cybergruppe erpresst werden. In einer weiteren, d\u00fcnnen Meldung\u00a0Der Regierende B\u00fcrgermeister Kai Wegner und Innensenatorin Iris Spranger: \u201eDas Land Berlin l\u00e4sst sich nicht erpressen\"<\/a> vom 28. August 2026 teilen der regierende B\u00fcrgermeister und die Innensenatorin dann einige zus\u00e4tzliche Details zum Cybervorfall mit. Auch hier wurde gemauert und \"aus ermittlungstaktischen Gr\u00fcnden\" keine Details herausgegeben. Es hie\u00df lediglich, dass nicht gezahlt werde. Die durch die Presse recherchierten Details hatte ich im Beitrag Rhysida Cyberangreifer erpressen Berlin nach Hack des Landesnetzes<\/a> zusammen getragen.<\/p>\n

\"Berlin-Rhysida-Passwords\"<\/p>\n

Bereits dort wurde klar, dass die Angelegenheit brisant werden d\u00fcrfte. Denn in den von der Cybergruppe geleakten Screenshots aus den Datenbest\u00e4nden war auch eine Word-Datei mit Passw\u00f6rtern enthalten (siehe Screenshot in obigem Tweet<\/a>). In meiner Berichterstattung hatte ich zudem anklingen lassen, dass der Hack mehr durch Zufall\u00a0aufgefallen zu sein scheint. Das ITDZ Berlin hatte als zentraler IT-Dienstleister ungew\u00f6hnliche Aktivit\u00e4ten im Netzwerk bemerkte. Die schlugen dann, obwohl mutma\u00dflich nicht zust\u00e4ndig, Alarm, worauf forensische Untersuchungen angeleiert wurden.<\/p>\n

Nachdem Rhysida am letzten Freitag, den 4. September 2026 die erbeuteten Daten auf der Leak-Seite eingestellt hat, l\u00e4uft die Aufarbeitung. Auf der Seite Berlins gibt es wiederum eine kurze Erkl\u00e4rung<\/a>, nach der personenbezogene Daten von Besch\u00e4ftigten des Landes Berlin sowie von B\u00fcrgern und Unternehmen Betroffen sein k\u00f6nnten. Betroffene sollten, falls ihre Daten im Darknet auftauchen, den Vorfall bei der Polizei zur Anzeige bringen. Ansonsten \"geriert sich Berlin\" als \"Opfer einer schweren Straftat\".<\/p>\n

Sensitive Daten, schwere Vers\u00e4umnisse und Verst\u00f6\u00dfe<\/h2>\n

Derzeit sichten zahlreiche Personen die im Darknet ver\u00f6ffentlichten Daten, und es kommt das ganze Desaster schrittweise ans Tageslicht. Ich hatte bereits im Blog angedeutet, dass \"Homeoffice f\u00fcr Besch\u00e4ftigte der Berliner Verwaltung\" gestrichen wurde. Hintergrund ist, dass durch die geleakten Passwort-Dateien die VPN-Zug\u00e4nge der Besch\u00e4ftigten gesperrt werden mussten. Es wurden meinen Informationen nach bereits Zugriffsversuche festgestellt.<\/p>\n

Inzwischen steht fest, das hoch sensible Dokumente wie ein Ordner mit dem Titel \"AG CBRN-Rahmenplanung\". CBRN steht f\u00fcr chemische, biologische, radiologische und nukleare Bedrohungen. Das bedeutet, dass hochsensible Informationen \u00fcber potenzielle Bedrohungsszenarien nun \u00f6ffentlich zug\u00e4nglich sein k\u00f6nnten und auch von Terroristen oder ausl\u00e4ndischen Geheimdiensten eingesehen werden k\u00f6nnten. Auch KRITIS-Analysen von Schwachstellen der Berliner Wasserversorgung oder anderer kritischer Einrichtungen sind im Leak zu finden.<\/p>\n

Euro News hat hier berichtet<\/a> und zitiert den investigativen Journalist Lars Winkelsdorf, der auf auf X Alarm geschlagen<\/a> hat. Mir waren die Tweets<\/a> auf X gestern ebenfalls untergekommen. Winkelsdorf stuft den Cyberangriff\u00a0 als \"von einer Gr\u00f6\u00dfenordnung, die den Staat bedroht\", ein.<\/p>\n

Ein weiterer Nutzer ordnet auf Twitter<\/a> den Vorfall ein und weist darauf hin, dass man ein Passwort \u00e4ndern k\u00f6nne. Aber Berichte \u00fcber Schwachstellenanalysen der Berliner Trinkwasserversorgung, Dokumente zu kritischer Infrastruktur, Notfallunterlagen und andere interne Sicherheitsinformationen sind nicht \u00e4nderbar. Das Leak ist eine Blaupause f\u00fcr hybride Angriffe. Man muss davon ausgehen, dass diese Daten von fremden Nachrichtendiensten, weiteren interessierten Gruppen und wohl auch von LLMs analysiert und ausgewertet werden.<\/p>\n

Dieser Nutzer sieht in diesem Tweet<\/a> einen IT-Security-, Management- und m\u00f6glicherweise sogar Staatssicherheits-Skandal ersten Ranges.\u00a0Der CDU-Abgeordnete Roderich Kiesewetter ordnet in diesem Tweet<\/a> den Vorfall so ein:<\/p>\n

Der Cyberangriff ist eine Katastrophe noch nicht absehbaren Ausma\u00dfes. Die geleakten hochsensiblen Daten u.a. zu Gesamtverteidigung, zivil-milit\u00e4rischer Kooperation, zum OPLAN, Schutz KRITIS und Krisenkommunikation k\u00f6nnen von Staaten wie Russland, China oder von Terroristen nun gezielt f\u00fcr Terroranschl\u00e4ge, Sabotage oder gezielte Erpressung und Beeinflussung genutzt werden. Angesichts der Vorgehensweise Russlands und der Zunahme an staatsterroristischen Anschl\u00e4gen auch bei uns, muss man nahezu sicher damit rechnen, dass Russland diesen Hack&Leak nutzen wird.<\/p><\/blockquote>\n

Und n-tv sieht in\u00a0diesem Beitrag<\/a> ein Versagen von Land und Bund, das den Steuerzahler, laut Konstantin von Notz (B\u00fcndnis 90\/Die Gr\u00fcnen), Millionen kosten wird.<\/p>\n

\"Berlin-Hack<\/p>\n

Brisant wird die Geschichte durch die Vorw\u00fcrfe von Manuel Atug (aka Honkhase). Atug ist Gr\u00fcnder und Sprecher der KRITIS AG, die sich mit Sicherheit in kritischen Infrastrukturen befasst. Der Sicherheitsexperte wirft dem Land Berlin und dessen Verwaltungsbediensteten in diesem Welt-Artikel<\/a> grobe Fahrl\u00e4ssigkeit und Versagen vor.<\/p>\n

Zitat von Atug aus dem Welt-Artikel: \"F\u00fcr die Speicherung und Verarbeitung geheimer Verschlusssachen gebe es sehr strenge und genaue Vorschriften sowie mehrere Sicherheitsstufen. Offenbar seien diese nicht ausreichend angewandt worden.\" Wenn KRITIS-Analysen im Klartext auf Servern einer Senatsverwaltung gespeichert wurden, scheint da keinerlei Sicherheitsbewusstsein geherrscht zu haben. Gleiches gibt f\u00fcr Passw\u00f6rter, die in Dateien auf den Servern lagen.<\/p>\n

Atug gibt gegen\u00fcber der Welt an, er sei 2023 und 2025 als Sachverst\u00e4ndiger in den Berliner Innenausschuss geladen worden. Damals habe er die Zust\u00e4ndigen auf eklatante Sicherheitsl\u00fccken hingewiesen: \"Ihr betreibt desolate Cybersicherheit. Ihr m\u00fcsst euch dringend um eure Sicherheitsprozesse k\u00fcmmern.\", zitiert die Welt. Atug habe gewarnt, dass eine Vernachl\u00e4ssigung der Sicherheit schwere Konsequenzen haben werde. Der Fall ist jetzt eingetreten.\u00a0In diesem Tweet<\/a> schreibt ein Nutzer, dass sich in den Dokumenten ein entlarvendes Protokoll einer Besprechung aus dem Februar 2026 zum Thema IT-Sicherheit findet. Zitat aus diesem Dokument laut Tweet:<\/p>\n

Termin mit Hr. R. (ISB SenStadt) und Fr. B. (GSB SenMVKU) am 24.02.2026 \u2013 Schutzbedarfsfeststellung: Kein digitaler Geheimschutz (im strengen Sinne) in der Berliner \u00f6ffentlichen Verwaltung m\u00f6glich, da SINA Infrastruktur nicht umgesetzt.\"<\/span><\/p><\/blockquote>\n

Dieses Protokoll belegt, so der Tweet, dass Sicherheitsverantwortliche der Berliner Verwaltung gravierende Sicherheitsm\u00e4ngel schriftlich festhielten. Hinter dem K\u00fcrzel SINA steht die Sichere Inter-Netzwerk-Architektur. Das System wurde vom Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) <\/span>gemeinsam mit dem Essener IT-Sicherheitskonzern Secunet entwickelt.\"<\/p>\n

Wird es Konsequenzen geben?<\/h2>\n

Geht man die langsam \u00f6ffentlich werdenden Informationen durch, offenbar sich die Berliner Verwaltung und deren IT sowie die verantwortliche Politik als sicherheitstechnisch \"im Blindflug unterwegs und als lost\". Ich m\u00f6chte hier im Artikel und im Blog jetzt nicht vorschnell die Schiene \"alle Verantwortlichen sofort entlassen\" betreten und habe in diversen Blog-Beitr\u00e4gen Kommentare, die in die unsachliche Schiene abgedriftet sind, gel\u00f6scht.<\/p>\n

Aber die Frage steht im Raum, welche dienstrechtlichen, politischen und strafrechtlichen Konsequenzen dieser Vorfall haben wird. Ich gehe davon aus, dass es Strafanzeigen geben wird, und die Staatsanwaltschaft Vers\u00e4umnisse zu untersuchen hat und ggf. Anklagen erheben wird. Auch wird da einiges intern in der Verwaltung aufzuarbeiten sein – sollten sich die Vorw\u00fcrfe, dass Verschlusssachen, unter Umgehung der Vorgaben, einfach so gespeichert wurden, best\u00e4tigen, m\u00fcsste dies dienstrechtliche Konsequenzen nach sich ziehen. Da wird noch vieles aufzukl\u00e4ren und nachzubereiten sein.<\/p>\n

Das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) warnt laut diesem heise-Artikel<\/a> immerhin \"vor gezielten Phishing-Angriffen und r\u00e4t zu Wachsamkeit\". Betroffene sollten pr\u00fcfen, ob sie konkret von einem Datenleak betroffen sind, welcher Art die ver\u00f6ffentlichten Daten sind, sowie gegebenenfalls Prozesse ver\u00e4ndern. Klingt eher hilflos, einen politischen Hintergrund \"vermutet\" das BSI eher nicht.<\/p>\n

Heute ist wieder Digital Independence Day<\/h2>\n

Wir haben wieder den 1. Sonntag im Monat – \"Digital Independence Day\". Angesichts solcher Vorf\u00e4lle kann man als B\u00fcrger nur versuchen, seinen digitalen Fu\u00dfabdruck m\u00f6glichst gering zu halten. Die begeisterte Annahme von elektronischer Patientenakte (hat ja Vorteile, wurde versprochen), digitale Apps zum Parken, Bezahlen, Einkaufen, Terminvereinbarung, US-Cloud- und Dienstangebote, KI-Hype etc. f\u00fchren in digitale Abh\u00e4ngigkeiten, die den Leuten dann bei solchen Vorf\u00e4llen auf die F\u00fc\u00dfe fallen. Als weitere Ma\u00dfnahme w\u00e4re die Verringerung der Abh\u00e4ngigkeiten von gro\u00dfe Tech-Anbietern zu nennen, die jeder im pers\u00f6nlichen Umfeld selbst in der Hand hat. Wir zahlen nun den Preis der Bequemlichkeit und der grassierenden Digitalisierung ohne Verstand. Die digitale \"G\u00f6tterd\u00e4mmerung\" hat imho begonnen, wir sehen nun immer mehr Anzeichen.<\/p>\n

\u00c4hnliche Artikel:<\/strong>
\nCyberangriff auf Berliner Landesnetz; Senatsverwaltungen offline (14.8.2026)<\/a>
\nRhysida Cyberangreifer erpressen Berlin nach Hack des Landesnetzes<\/a>
\nRhysida hat sensible Daten aus Hack in Berlin offen gelegt<\/a><\/p>\n

Berlin: IT-Ausfall legt Justiz lahm (13.7.2026)<\/a>
\nCyberangriffe auf Stuttgart? ARWINI; n8n-Schwachstelle und mehr<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Am Freitag, den 4. September 2026, hat die Cybergruppe Rhysida ihre Drohung wahr gemacht und die 5,79 Terabyte an Daten, die bei einem Hack des Berliner Landesnetzes im Zeitraum vom 7. und 12. August 2026 bei zwei Berliner Senatsverwaltungen abgezogen … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7263,908,426],"tags":[1171,5535,1019,6932,2564,4338],"class_list":["post-329252","post","type-post","status-publish","format-standard","hentry","category-cloud","category-internet","category-sicherheit","tag-cloud","tag-datenleck","tag-datensicherheit","tag-dsgvo","tag-hack","tag-internet"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/329252","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=329252"}],"version-history":[{"count":10,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/329252\/revisions"}],"predecessor-version":[{"id":329265,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/329252\/revisions\/329265"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=329252"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=329252"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=329252"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}