Berlin zahlt nicht: 1,44 Millionen Dateien aus der Verwaltung stehen im Darknet

Am Freitag, dem 4. September 2026, ist gegen 15:35 Uhr eine Frist abgelaufen, die die Erpressergruppe Rhysida dem Land Berlin gesetzt hatte. Der Senat hatte zuvor erklärt, kein Lösegeld zu zahlen. Kurz darauf stellten die Erpresser den erbeuteten Datensatz vollständig und frei zugänglich ins Darknet. Nach ihren eigenen Angaben handelt es sich um rund 1,44 Millionen Dateien.

Gefordert waren 30 Bitcoin, umgerechnet etwa zwei Millionen Euro. Der Fall zeigt in ungewöhnlicher Ausführlichkeit, was zwischen dem ersten Alarm und der Veröffentlichung passiert - und welche Entscheidungen in dieser Zeit anstehen.

Der Ablauf in drei Wochen

Am Abend des 14. August 2026 trennte das Land Berlin zwei Senatsverwaltungen vollständig vom Landesnetz: die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Die Isolierung war eine Vorsichtsmaßnahme, um das übrige Landesnetz zu schützen.

Neun Tage später, am 23. August, meldete die Senatskanzlei die beiden Verwaltungen als wieder angebunden. Beide hätten Sofortmaßnahmen zur Erhöhung der IT-Sicherheit umgesetzt, darunter eine laufende Überwachung ihrer Systeme. Die forensische Untersuchung lief weiter.

Am 26. August teilte das Land mit, dass im Zuge dieser Untersuchung ein weiterer Datenabfluss festgestellt wurde. Inhalt und Umfang seien noch in Prüfung, personenbezogene oder sonstige nicht-öffentliche Daten könnten betroffen sein. Informiert wurden zu diesem Zeitpunkt die Berliner Datenschutzbeauftragte und das Bundesamt für Sicherheit in der Informationstechnik, noch nicht die einzelnen Betroffenen.

Ende August stellte Rhysida den Datensatz dann als Auktion auf ihre Leak-Seite, mit Countdown und einem Mindestgebot von 30 Bitcoin. Am 4. September lief die Frist ab.

Was in den Daten steht

Nach Angaben der Angreifer und ersten Sichtungen enthält der Datensatz unter anderem über 5.000 Personalakten, Gehaltsabrechnungen, Bußgeldvorgänge, Unterlagen aus Bundesratsausschüssen und Schwachstellenanalysen zur Berliner Trinkwasserversorgung. Berichtet werden außerdem Gesundheitsdokumente wie ärztliche Atteste und Schwerbehindertenausweise sowie Zugangsdaten im Klartext für Verwaltungsdatenbanken und Zahlungsdienstleister.

Joachim Selzer vom Chaos Computer Club, der den Datensatz gesichtet hat, sagte der dpa:

Hier sind viele interne Informationen, die sich für einen Identitätsdiebstahl gut ausnutzen lassen.

Der Grünen-Politiker Werner Graf verwies darauf, dass Passwörter, Kontodaten und persönliche Informationen von Zehntausenden Berlinerinnen und Berlinern sowie Landesbeschäftigten für Identitätsdiebstahl und gezielte Phishing-Angriffe genutzt werden könnten.

Warum die Entscheidung gegen die Zahlung trotzdem verbreitet befürwortet wird

Sicherheitsfachleute haben die Haltung des Senats überwiegend unterstützt. Bianca Kastl vom Chaos Computer Club begründete das mit der Wirtschaftlichkeit der Angreifer: Wer zahle, halte die Gruppen am Leben. Man müsse sie finanziell austrocknen.

Für staatliche Stellen kommt hinzu, dass eine Zahlung aus Haushaltsmitteln rechtlich kaum darstellbar ist. Für Unternehmen ist die Lage anders: Ein generelles Verbot, Lösegeld zu zahlen, gibt es in Deutschland nicht. Es gibt aber erhebliche Risiken, wenn die Empfänger auf Sanktionslisten stehen oder ein Bezug zu Terrorismusfinanzierung im Raum steht. Und es gibt keine Zusage, die etwas wert wäre: Auch wer zahlt, bekommt lediglich das Versprechen, dass die Daten gelöscht werden.

Die Berliner Entscheidung beendet den Vorfall nicht. Sie verlagert ihn nur: von der Verhandlung mit den Angreifern hin zur Aufarbeitung. Der Senat prüft weiterhin, welche Daten genau betroffen sind, und muss die Betroffenen informieren. Landeskriminalamt und BSI werten aus und beobachten einschlägige Foren.

Was das für Ihr Unternehmen heißt

Der Fall Berlin ist wegen der Datenmenge außergewöhnlich, im Ablauf aber typisch. Wer daraus etwas mitnehmen will, prüft am besten die eigenen Voraussetzungen:

• Die Entscheidung über eine Zahlung fällt nicht im Ernstfall. Wer erst nach dem Angriff überlegt, verhandelt unter Zeitdruck und ohne Beschlusslage. Die Linie gehört vorher festgelegt, samt Zuständigkeit für die Freigabe.
• Meldefristen laufen ab Kenntnis, nicht ab Klärung. Bei personenbezogenen Daten sieht die DSGVO eine Meldung an die Aufsichtsbehörde binnen 72 Stunden vor, auch wenn Umfang und Inhalt noch unklar sind. Berlin hat genau so gehandelt: erst melden, dann prüfen.
• Betroffene wollen früh informiert werden. Beschäftigte, Kunden und Partner erfahren sonst aus der Presse davon, dass ihre Daten im Umlauf sind. Vorbereitete Textbausteine und ein benannter Ansprechpartner sparen im Ernstfall Tage.
• Zugangsdaten im Klartext sind der teuerste Einzelfehler. Passwörter in Office-Dateien oder Netzlaufwerken verwandeln einen begrenzten Einbruch in einen unbegrenzten. Ein Passwortmanager und ein Verbot solcher Ablagen kosten nichts und wirken sofort.
• Netze müssen sich trennen lassen. Berlin konnte zwei Verwaltungen binnen Stunden isolieren, ohne den Rest lahmzulegen. Wer alles in einem flachen Netz betreibt, hat diese Option nicht.
• Die Aufarbeitung dauert länger als der Angriff. Zwischen Entdeckung und Veröffentlichung lagen hier drei Wochen. Forensik, Kommunikation und Wiederanlauf binden in dieser Zeit Personal, das an anderer Stelle fehlt.

Für die meisten Unternehmen sind das keine großen Projekte, sondern Festlegungen, die man einmal trifft und dokumentiert: Wer entscheidet, wer meldet, wer spricht, und wie schnell lassen sich Teile des Netzes vom Rest abkoppeln. Wer das für die eigene IT-Landschaft einmal in Ruhe durchgehen möchte, kann sich dazu gern melden.