Nach der Cyberattacke auf das Berliner Landesnetz könnte der Schaden weit über die Hauptstadt hinausreichen. Die Ransomware-Bande Rhysida hat am Freitag, 4. September, rund 1,44 Millionen Dateien mit einem Umfang von etwa 5,8 Terabyte aus der Berliner Verwaltung im Darknet veröffentlicht — nachdem ihre Lösegeldfrist abgelaufen war. Das Land Berlin hatte sich geweigert zu zahlen: Ende August war bekannt geworden, dass die Erpresser 30 Bitcoin (rund zwei Millionen Euro) forderten. Der Regierende Bürgermeister Kai Wegner erklärte: „Das Land Berlin lässt sich nicht erpressen.“

Politiker und Sicherheitsexperten sprechen von einem möglichen „Daten-Super-GAU“: Nach Medienberichten könnten in dem Datensatz nicht nur personenbezogene Daten stecken, sondern auch Informationen, die für den Schutz kritischer Infrastruktur und die nationale Sicherheit relevant sind.

Die Angreifer hatten sich zwischen dem 7. und 12. August unbemerkt Zugang zu zwei Senatsverwaltungen verschafft — jenen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt- und Klimaschutz. Am 14. August wurde der Vorfall bemerkt und die Behörden vom Landesnetz getrennt. Die Folgen waren auch im Alltag spürbar: Bis zum 21. August warteten rund 50.000 Haushalte vergeblich auf ihr Wohngeld, weil Systeme offline waren. Am 24. August waren die Dienste weitgehend wiederhergestellt — doch das volle Ausmaß des Datenabflusses zeigte sich erst, als Rhysida die Daten nach Ablauf seines ultimatumsartigen Countdowns veröffentlichte.

Wegen der schieren Datenmenge ist eine Bewertung bislang kaum möglich. Chaos-Computer-Club-Sprecher Joachim Selzer wies darauf hin, dass einfache Textsuche in dem Konvolut praktisch nicht funktioniert. Medienberichten und Experten zufolge gehen die Dateien weit über die Personalakten von Beschäftigten hinaus — gescannte Reisepässe, Arbeitsverträge, Krankmeldungen und Bewerbungsunterlagen. Demnach könnten auch Klartext-Passwörter, mehr als 46.500 Landesverträge und Dokumente zu kritischer Infrastruktur enthalten sein: zur Berliner Wasserversorgung, zu Heizkraftwerken, Tanklagern, Notstromanlagen, Umspannwerken, Gefängnissen und Wasserwerken. Euronews berichtete zudem von einem Ordner zur CBRN-Rahmenplanung (chemische, biologische, radiologische und nukleare Bedrohungen). Der Investigativjournalist Lars Winkelsdorf sieht in den Dokumenten auch Bezüge zur Landesverteidigung — von geheimen Kommunikationskanälen des Bundes bis zu Rüstungsunternehmen und Notfallplänen. Bestätigt sind diese Angaben nicht.

Die Bundeswehr kündigte an, nach einer Analyse möglicher Sicherheitsrisiken Maßnahmen zum Schutz der militärischen Sicherheit einzuleiten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte vor einer „erhöhten Bedrohungslage“ für die Gesellschaft: Angaben zu kritischen Infrastrukturen und Organisationen könnten von fremden Nachrichtendiensten oder Terroristen missbraucht werden, betroffene Einzelpersonen müssten mit Identitätsdiebstahl und gezieltem Phishing rechnen.

Die Politik reagierte alarmiert. Konstantin von Notz, stellvertretender Fraktionsvorsitzender der Grünen, sprach von womöglich dem schwersten bislang bekannten IT-Sicherheitsfall auf Landesebene, der die Steuerzahler Millionen kosten werde. Der CDU-Außenpolitiker Roderich Kiesewetter sagte der Süddeutschen Zeitung, der Datenabfluss sei „von gravierendem Ausmaß und gefährdet unsere nationale Sicherheit“. IT-Experte Manuel Atug erhob schwere Vorwürfe gegen das Land Berlin: Es habe „grob fahrlässig“ gehandelt und Geheimschutz-Vorgaben nicht eingehalten; er habe bereits 2023 und 2025 als Sachverständiger im Innenausschuss vor Sicherheitslücken gewarnt.

Berlin hat inzwischen eine Steuerungseinheit eingerichtet, die Sichtung und Bewertung der geleakten Daten koordiniert. Betroffene Bürger, Beschäftigte und Unternehmen sollen risikobasiert per Brief oder E-Mail kontaktiert werden, wie die Senatskanzlei mitteilte. BSI, Bundeskriminalamt und Bundesamt für Verfassungsschutz sind eingebunden; im Gemeinsamen Cyberabwehrzentrum werden die Erkenntnisse gebündelt. Das Land bezeichnete den Angriff als „äußerst schweres Verbrechen“ und als Angriff auf den Staat selbst; die Öffentlichkeit wurde gebeten, keine unbestätigten Behauptungen in sozialen Medien zu verbreiten.

Der Vorfall kommt weniger als zwei Wochen vor der Wahl zum Berliner Abgeordnetenhaus am 20. September. Landeswahlleiter Stephan Bröchler zufolge ist die Wahlumgebung nach derzeitigem Stand nicht betroffen. Hinweise darauf, dass das Landesnetz weiterhin kompromittiert ist, gibt es nach Behördenangaben nicht; die forensischen Untersuchungen und Ermittlungen dauern an.

Quellen