Nach dem schweren Cyberangriff auf das Berliner Landesnetz verschärft sich die Lage. Die mutmaßlichen Täter haben große Mengen gestohlener Verwaltungsdaten im Darknet veröffentlicht. Das Bundesamt für Sicherheit in der Informationstechnik warnt deshalb vor möglichen Folgeangriffen, insbesondere durch gezieltes Phishing und den Missbrauch der veröffentlichten Informationen.

Hinter dem Angriff soll die Ransomware-Gruppe Rhysida stehen. Sie hatte vom Land Berlin 30 Bitcoin verlangt – zum damaligen Kurs rund zwei Millionen Euro. Der Senat verweigerte die Zahlung. Nach Ablauf des Ultimatums veröffentlichten die Cyberkriminellen die erbeuteten Daten.

Inzwischen wurde ein weiteres Datenpaket veröffentlicht, das nach Angaben des Landes Berlin unter anderem auch Zugangsdaten enthält.

Berlin zahlt kein Lösegeld

Der Cyberangriff auf das Berliner Landesnetz wurde Mitte August bekannt. Die Gruppe Rhysida bekannte sich später zu der Attacke und behauptete zunächst, mehrere Terabyte Daten erbeutet zu haben.

Die Angreifer versuchten anschließend, die Daten gegen Zahlung von 30 Bitcoin zu verkaufen beziehungsweise Berlin mit der Veröffentlichung unter Druck zu setzen.

Der Berliner Senat stellte jedoch klar, dass das Land auf die Erpressung nicht eingehen werde.

Nach Ablauf der gesetzten Frist machten die Täter ihre Drohung wahr und stellten die Daten im Darknet zur Verfügung.

Golem berichtet von einem veröffentlichten Datenbestand von rund 5,8 Terabyte. In früheren offiziellen Mitteilungen des Landes war von einer Behauptung der Angreifer über etwa 5,7 Terabyte gestohlene Daten die Rede. Die genaue Menge und der vollständige Inhalt werden weiterhin forensisch untersucht.

BSI warnt vor gezielten Phishing-Angriffen

Besonders problematisch ist nicht nur die Veröffentlichung der Daten selbst.

Das Bundesamt für Sicherheit in der Informationstechnik warnt davor, dass Cyberkriminelle die erbeuteten Informationen für weitere Angriffe verwenden könnten.

Besonders gefährdet sind Personen, Unternehmen oder Organisationen, die in den veröffentlichten Dokumenten auftauchen oder mit betroffenen Stellen in Kontakt standen.

Angreifer könnten die gestohlenen Informationen beispielsweise nutzen, um besonders glaubwürdige Phishing-Mails zu erstellen.

Kennt ein Täter Namen, Funktionen, Ansprechpartner, interne Abläufe oder frühere Kommunikation, lassen sich betrügerische Nachrichten wesentlich überzeugender gestalten als bei gewöhnlichen Massen-Phishing-Kampagnen.

Die Empfänger könnten dadurch eher davon ausgehen, tatsächlich mit einer bekannten Behörde, einem Geschäftspartner oder einem Kollegen zu kommunizieren.

Gestohlene Daten können für weitere Angriffe genutzt werden

Das Risiko beschränkt sich deshalb nicht auf personenbezogene Informationen.

Nach Einschätzung des BSI können veröffentlichte Unterlagen auch Informationen über Unternehmen, Organisationen oder kritische Infrastrukturen enthalten. Je nach Art und Sensibilität der Daten kann daraus eine zusätzliche Sicherheitsgefährdung entstehen.

Denkbar sind unter anderem:

• gezielte Phishing- und Social-Engineering-Angriffe,
• Identitätsmissbrauch und Betrugsversuche,
• Angriffe auf in Dokumenten genannte Unternehmen und Behörden,
• die Nutzung veröffentlichter technischer Informationen zur Vorbereitung weiterer Cyberangriffe,
• sowie der Missbrauch kompromittierter Zugangsdaten.

Welche dieser Risiken tatsächlich bestehen, hängt davon ab, welche Informationen sich in den veröffentlichten Datensätzen befinden.

Weiteres Datenpaket enthält Zugangsdaten

Am 6. September bestätigte die Berliner Senatskanzlei eine weitere Entwicklung.

In der Nacht von Samstag auf Sonntag hatten die Täter ein zusätzliches Datenpaket veröffentlicht. Darin befinden sich nach offiziellen Angaben unter anderem Zugangsdaten.

Die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen überprüfte daraufhin bereits eingeleitete Sicherheitsmaßnahmen und verschärfte diese vorsorglich.

Dadurch kann es nach Angaben des Landes kurzfristig auch zu Einschränkungen bei bestimmten Fachverfahren kommen.

Die Veröffentlichung von Zugangsdaten erhöht die Brisanz des Vorfalls erheblich. Entscheidend ist nun unter anderem, ob die enthaltenen Zugangsinformationen noch gültig sind, zu welchen Systemen sie gehören und ob sie von Dritten für weitere Angriffe verwendet werden könnten.

Zentrale Steuerungseinheit koordiniert die Folgen

Berlin hat inzwischen eine zusätzliche Steuerungseinheit in der Senatskanzlei eingerichtet.

Sie steht unter Leitung des Chief Digital Officer des Landes, Florian Hauer, und soll die Prüfung und Bewertung der veröffentlichten Daten koordinieren.

Beteiligt sind unter anderem das Landeskriminalamt, die betroffenen Senatsverwaltungen, die Berliner Datenschutzbehörde sowie weitere Sicherheitsstellen.

Die Analyse erfolgt nach Angaben des Landes risikobasiert. Informationen, die besonders sicherheitskritische Behörden oder Einrichtungen betreffen könnten, sollen entsprechend priorisiert behandelt werden.

Parallel laufen die strafrechtlichen Ermittlungen und die IT-forensische Untersuchung der betroffenen Systeme weiter.

BSI sieht Gefahr von „Hack-and-Leak“-Operationen

Neben klassischen Cybercrime-Folgen warnt das BSI auch vor einem weiteren Szenario.

Gestohlene Daten können bei sogenannten Hack-and-Leak-Operationen gezielt veröffentlicht werden, um politische oder gesellschaftliche Wirkung zu erzielen.

Dabei müssen die veröffentlichten Dokumente nicht zwingend manipuliert sein. Bereits die gezielte Auswahl einzelner Inhalte oder deren Veröffentlichung zu einem bestimmten Zeitpunkt kann dazu dienen, Personen oder Institutionen unter Druck zu setzen oder Informationen aus ihrem ursprünglichen Zusammenhang zu lösen.

Besondere Bedeutung bekommt dieser Hinweis durch die bevorstehende Wahl zum Berliner Abgeordnetenhaus am 20. September 2026.

Das BSI geht nach dem bislang bekannten Stand allerdings nicht davon aus, dass der konkrete Angriff auf Berlin politisch motiviert war. Nach Einschätzung der Behörde handelte Rhysida offenbar aus finanziellen Motiven.

Die Warnung bezieht sich vielmehr darauf, wie die nun frei verfügbaren Daten möglicherweise von anderen Akteuren weiterverwendet werden könnten.

Veröffentlichung vor der Berlin-Wahl besonders sensibel

Dass das Datenleck nur wenige Wochen vor der Abgeordnetenhauswahl bekannt wird, macht die Situation dennoch besonders sensibel.

Sollten sich politische Dokumente, interne E-Mails oder andere vertrauliche Unterlagen in dem Datenbestand befinden, könnten einzelne Inhalte öffentlich verbreitet und dabei ohne den notwendigen Kontext dargestellt werden.

Das bedeutet allerdings nicht automatisch, dass veröffentlichte Dokumente gefälscht oder manipuliert sind.

Gerade bei umfangreichen Datenlecks ist deshalb entscheidend, Informationen zunächst auf ihre Echtheit, Vollständigkeit und ihren ursprünglichen Zusammenhang zu überprüfen.

Eine einzelne E-Mail, ein interner Entwurf oder eine aus einer längeren Kommunikation herausgelöste Passage kann ohne Kontext ein völlig anderes Bild vermitteln als die vollständigen Unterlagen.

Auch Bürger und Unternehmen können betroffen sein

Der Angriff betrifft möglicherweise nicht ausschließlich Beschäftigte der Berliner Verwaltung.

Das Land hatte bereits vor der Veröffentlichung darauf hingewiesen, dass sich unter den gestohlenen Informationen auch personenbezogene Daten von Bürgerinnen und Bürgern sowie Unternehmen befinden könnten.

Welche Personen konkret betroffen sind, wird derzeit untersucht.

Wer im Rahmen der Analyse eindeutig identifiziert wird, soll von der jeweils zuständigen Senatsverwaltung entsprechend dem bestehenden Risiko informiert werden.

Die Behörden weisen zugleich darauf hin, dass Bürger, die selbst feststellen, dass ihre Daten veröffentlicht oder bereits für Straftaten verwendet wurden, Strafanzeige erstatten sollten.

Auch die Berliner Beauftragte für Datenschutz und Informationsfreiheit steht Betroffenen als Anlaufstelle zur Verfügung.

Was Betroffene jetzt beachten sollten

Insbesondere Personen, die regelmäßig mit Berliner Behörden kommunizieren oder deren Daten möglicherweise Teil des Leaks sein könnten, sollten in nächster Zeit besonders vorsichtig sein.

Verdächtig sind beispielsweise E-Mails oder Nachrichten, die unerwartet zur Anmeldung bei einem Dienst, zum Zurücksetzen eines Passworts, zur Übermittlung vertraulicher Daten oder zu Zahlungen auffordern.

Auch eine Nachricht, die korrekte persönliche Angaben enthält, ist nach einem solchen Datenleck nicht automatisch authentisch.

Links in unerwarteten Nachrichten sollten deshalb nicht ungeprüft geöffnet werden. Bei vermeintlichen Aufforderungen von Behörden oder Unternehmen kann es sinnvoll sein, den Absender über einen bereits bekannten Kommunikationsweg unabhängig zu kontaktieren.

Passwörter sollten zudem geändert werden, wenn Grund zu der Annahme besteht, dass entsprechende Zugangsdaten in den veröffentlichten Unterlagen enthalten sein könnten. Werden identische Passwörter bei mehreren Diensten verwendet, betrifft ein kompromittiertes Kennwort potenziell auch diese Konten.

Wo möglich, sollte zusätzlich eine Mehrfaktor-Authentifizierung aktiviert werden.

Aus einem Cyberangriff wird ein langfristiges Sicherheitsproblem

Mit der Veröffentlichung der gestohlenen Daten ist der Angriff für Berlin nicht beendet.

Im Gegenteil: Während die ursprüngliche Kompromittierung des Landesnetzes technisch untersucht und abgesichert werden kann, lassen sich bereits veröffentlichte Informationen nicht wieder zurückholen.

Einmal im Darknet verbreitete Datensätze können kopiert, weitergegeben und noch Jahre später für Betrugsversuche, Social Engineering oder andere Angriffe verwendet werden.

Damit verlagert sich die Aufgabe zunehmend von der unmittelbaren Abwehr des Angriffs zur langfristigen Bewältigung seiner Folgen.

Besonders kritisch dürfte die Frage sein, welche Zugangsdaten, internen Verwaltungsinformationen und personenbezogenen Daten tatsächlich veröffentlicht wurden – und ob sich daraus konkrete Gefahren für einzelne Personen, Unternehmen oder staatliche Einrichtungen ergeben.

Die laufende Analyse des mehrere Terabyte großen Datenbestands dürfte deshalb eine zentrale Rolle dabei spielen, das tatsächliche Ausmaß des Angriffs auf Berlin zu bestimmen.