- warum nicht der Hack das Problem ist, sondern die sieben Tage danach
Sieben Tage lang flossen Daten aus dem Berliner Landesnetz, bevor der Angriff überhaupt erkannt wurde. Danach folgte eine Entwarnung, die der Senat wenig später wieder relativieren musste - während bis heute offen ist, was tatsächlich gestohlen wurde und wie die Angreifer eindringen konnten. Der Fall Rhysida wirft deshalb eine größere Frage auf als die nach 5,79 Terabyte möglicher Beute: Wer überwacht eigentlich das digitale Nervensystem der deutschen Hauptstadt - und wie belastbar sind politische Entwarnungen, wenn selbst die eigene IT noch im Dunkeln tappt?
Ein Kommentar von Michael Hollister.
Tagelang zogen Angreifer Daten aus dem Netz der deutschen Hauptstadt ab, bevor überhaupt jemand es bemerkte - und Wochen später kann die Verwaltung noch immer nicht sagen, was genau abhanden kam. Dazwischen liegt eine Entwarnung, die sie kurz darauf zurücknehmen musste. Das ist der eigentliche Vorgang, über den zu reden lohnt. Nicht der Einbruch selbst: Dass jemand in ein Behördennetz gelangt, kann trotz guter Absicherung geschehen, und es geschieht überall. Entscheidend ist, wie schnell ein Angriff erkannt, eingegrenzt und verstanden wird. Und genau hier beginnen im Fall Berlin die Fragen. Der Datenabfluss lief nach Angaben des Senats zwischen dem 07. und 12. August 2026 - bemerkt wurde er erst am 14. August. Sieben Tage, in denen Daten das Landesnetz verließen, ohne dass ein Alarm belastbar anschlug. Die Frage, die dieser Text verfolgt, lautet deshalb nicht, ob Berlin Opfer wurde. Sie lautet: Wer überwacht eigentlich das Landesnetz der Hauptstadt - und was sagt dieser Fall über die Lücke zwischen dem Anspruch des Staates und seinem eigenen Betrieb?
Der aktuelle Anlass
Am 28. August 2026 bestätigten der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger, dass das Land Berlin erpresst wird. Ihre Antwort fiel knapp aus:
„Das Land Berlin lässt sich nicht erpressen."
Landeskriminalamt, Staatsanwaltschaft und Bundessicherheitsbehörden ermittelten mit Hochdruck, die Untersuchung von Inhalt und Umfang der abgeflossenen Daten laufe. Fragen ließen Wegner und Spranger nach ihrem wenige Minuten langen Auftritt nicht zu; zur Höhe der Forderung und zur Identität der Täter äußerten sie sich nicht.
Hinter dem Angriff steht nach Darstellung mehrerer Fachmedien und der Tätergruppe selbst die Ransomware-Bande Rhysida. Auf ihrer Leak-Seite reklamiert sie 5,79 Terabyte erbeutete Daten, rund 1,44 Millionen Dateien, darunter 46.500 Verträge, E-Mails, Telefonnummern, Passwörter und als vertraulich bezeichnete Informationen; genannt werden zudem personenbezogene Angaben zu 12.076 Menschen. Als Mindestgebot für eine Versteigerung nennt die Gruppe 30 Bitcoin, umgerechnet etwa 2 Millionen Euro, und setzt eine Frist von rund einer Woche. All diese Zahlen stammen bislang ausschließlich von den Angreifern - Berlin hat weder die Datenmenge noch die Detailangaben bestätigt. Das gilt auch für die brisanteste Behauptung, es befinde sich eine Analyse zur Berliner Wasserversorgung im Bestand: Ob es sich dabei um eine konkrete Schwachstellenanalyse oder um eine allgemeinere Resilienzbetrachtung handelt, ist offen - und solange das offen ist, verbietet sich jede Dramatisierung.
Rhysida ist keine Unbekannte. Die Gruppe arbeitet nach dem Modell der doppelten Erpressung - erst Datendiebstahl, dann die Drohung mit Veröffentlichung - und wird auf dem Monitoring-Dienst Ransomware.live mit rund 280 Opfern geführt, darunter die Stadtverwaltung Stuttgart im Mai 2026. Ob die IT verschlüsselt wurde, ist für dieses Geschäftsmodell zweitrangig: Selbst wer aus Sicherungskopien wiederherstellen kann, bleibt der Drohung mit Veröffentlichung ausgesetzt. Dass die Bande tatsächlich über Material verfügt, legte sie im Darknet selbst nahe: Als Beleg veröffentlichte sie Dokumentenauszüge mit Briefköpfen unter anderem der Berliner Verkehrsverwaltung und des Bundesrats.
Sieben Tage, und die zurückgenommene Entwarnung
Aufgefallen ist der Angriff offenbar durch Zufall: Das IT-Dienstleistungszentrum Berlin bemerkte ungewöhnliche Aktivitäten im Netz und schlug Alarm, woraufhin die forensischen Untersuchungen begannen. Am 14. August trennte die Verwaltung die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die für Mobilität, Verkehr, Klimaschutz und Umwelt vom Landesnetz. Über dieses Netz sind hunderte Behördenstandorte der Hauptstadt miteinander verbunden; als Folge stockte tagelang unter anderem die Bearbeitung von Wohngeldanträgen. Weil der Abfluss zu diesem Zeitpunkt bereits abgeschlossen war, begrenzte die Trennung zwar weiteren Schaden - den Datenverlust selbst konnte sie nicht mehr rückgängig machen. Öffentlich hielt sich der Senat zunächst bedeckt und verwies auf „ermittlungstaktische Gründe".
Was folgte, ist der eigentliche Kern. Am 19. August erklärte Wegner vor Journalisten, nach bisherigen Erkenntnissen seien keine sensiblen Daten abgeflossen, schränkte aber ein: „Das ist der jetzige Kenntnisstand." Die Rede war zunächst nur von Geodaten, die ohnehin frei verfügbar seien. Gut eine Woche später kassierte die Senatskanzlei diese Lesart: Es könne
„nicht ausgeschlossen werden, dass auch personenbezogene oder sonstige nicht-öffentliche Daten betroffen sind".
Am 28. August kam hinzu, dass im Verkehrsressort weitere Daten abgeflossen waren.
Der Vorgang erinnert an einen Fall, über den an anderer Stelle bereits zu lesen war: die Europäische Kommission, die im Frühjahr 2026 binnen zwei Monaten zweimal gebrochen wurde - ausgerechnet jene Institution, die einem Kontinent Sicherheitsregeln vorschreibt. Das Muster ist dasselbe: die Lücke zwischen dem, was eine Institution nach außen verkörpert, und dem, was ihr Betrieb im Ernstfall leistet. Berlin ist damit kein Einzelfall; erst im Mai traf es die Stadtverwaltung Stuttgart, und schon im Juli hatte ein IT-Ausfall die Berliner Justiz weitgehend lahmgelegt. Die Häufung solcher Vorfälle im öffentlichen Sektor ist unübersehbar.
Was ein gut überwachtes Netz hätte leisten müssen
Hier lohnt der nüchterne Blick des Praktikers. Ein großes, vernünftig überwachtes Behördennetz verfügt über mehrere Sicherheitsschichten: zentrale Protokollierung, Ereigniskorrelation, Netzwerküberwachung, Endpunkterkennung und - entscheidend - die Beobachtung ungewöhnlicher Datenströme nach außen sowie privilegierter Konten. Der Mindeststandard des Bundesamts für Sicherheit in der Informationstechnik zur Protokollierung und Detektion von Cyberangriffen macht genau das zur Grundlage: Ereignisse sollen protokolliert und zentral ausgewertet werden, weil erst diese Auswertung laufende oder zurückliegende Angriffe sichtbar macht. Dieser Standard bindet formal die Bundesverwaltung, nicht ein Land - er gilt aber als anerkannter Maßstab für den Stand der Technik, an dem sich auch eine Landesverwaltung messen lassen muss.
Gemessen daran wirft der bekannte Ablauf Fragen auf. Ein Datenabfluss dieser Größenordnung, der über sieben Tage läuft und dann nicht durch die eigene Detektion, sondern durch einen zufälligen Fund auffällt, deutet auf Lücken in Erkennung und Reaktion hin. Warum eine Exfiltration in diesem Umfang - die Täterangaben unterstellt - nicht früher zu einer belastbaren Alarmierung führte, bleibt die entscheidende offene Frage. Dass Wochen später noch immer nicht öffentlich geklärt ist, auf welchem Weg die Angreifer überhaupt eindrangen, macht die Rekonstruktion nicht leichter. Schnelle Eindämmung nach der Entdeckung ist das eine; die frühzeitige Erkennung, die einen Abfluss gar nicht erst über sieben Tage laufen lässt, ist das andere. Dass der zuständige Chief Digital Officer, Florian Hauer, vor dem Innenausschuss einräumte,
man sei „überrascht, wie groß" das eigene IT-System sei,
ist in diesem Zusammenhang der aufschlussreichste Satz des ganzen Vorgangs.
Die Kommunikation und die Wahl
Damit rückt die zweite Frage in den Blick: nicht nur, was man nicht erkannte, sondern wie man darüber sprach. Es ist ein Unterschied, ob eine Behörde sagt, sie habe einen Bereich forensisch geprüft und dort nichts gefunden - oder ob sie, ohne den Umfang zu kennen, dennoch Entwarnung gibt. Am 19. August fiel die Entwarnung, obwohl die Forensik, wie Hauer wenige Tage später selbst andeutete, den Umfang noch gar nicht bestimmen konnte; „Es ist zu früh, eine absolute Entwarnung zu geben", sagte er am 24. August. Dass Wegner seine frühere Aussage mit dem „jetzigen Kenntnisstand" versehen hatte, spricht für Vorsicht - doch eine Entwarnung, die man kurz darauf zurücknimmt, wiegt schwerer als der Vorbehalt, mit dem sie ausgesprochen wurde.
Dieselbe Formel kehrt bei der Wahl wieder. Am 20. September 2026 wählt Berlin ein neues Abgeordnetenhaus, dazu die Bezirksverordnetenversammlungen. Die für die Wahl benötigten Systeme seien „nach derzeitigem Kenntnisstand nicht betroffen", die Wahl technisch abgesichert, erklärte Spranger; Hauer sah
„keine Anhaltspunkte für eine Gefährdung der Wahlen"
- und konnte zugleich nicht sagen, auf welchem Weg die Täter überhaupt ins Netz gelangt waren. Wie belastbar eine Entwarnung ist, deren Grundlage offen bleibt, muss der Leser selbst bewerten. Ein Vorwurf liegt darin nicht; wohl aber ein Muster: die Beruhigung vor dem Befund, drei Wochen vor der Wahl.
Warum der Datensatz gefährlicher ist als die Schlagzeile
Der öffentliche Blick heftet sich an die Terabyte-Zahl. Aufschlussreicher ist, was in einem solchen Bestand steckt. Interne E-Mails sind weniger wegen einzelner Inhalte wertvoll als als Landkarte: Sie legen Zuständigkeiten, Arbeitsabläufe, Lieferanten, Projekte und Ansprechpartner offen - Material, mit dem sich künftige Täuschungs- und Social-Engineering-Angriffe erheblich glaubwürdiger gestalten lassen. Verträge, bei 46.500 Stück, ergeben ein Rundumbild über Dienstleister, Wartungsvereinbarungen, Sicherheitsfirmen und technische Systeme. Und der eigentliche Sprengsatz sind Zugangsdaten: Wenn nicht nur Benutzerpasswörter, sondern Klartext-Anmeldedaten für Service-, API- und technische Konten betroffen sind, hilft das bloße Zurücksetzen von Kennwörtern nicht weiter - solche Konten in einem ganzen Landesnetz umzustellen, ist ungleich schwerer. In den von der Gruppe veröffentlichten Auszügen fand sich Berichten zufolge sogar eine Datei mit Passwörtern im Klartext - für eine Verwaltung dieser Größe ein besonders unangenehmer Fund. Kämen Personal-, Justiz- oder Gesundheitsunterlagen hinzu, ginge es um die persönliche Kompromittierung Betroffener bis hin zum Identitätsdiebstahl.
Dazu tritt die Frage, wer nun Zugriff hat. Mit der Aufarbeitung wurde das US-Unternehmen CrowdStrike beauftragt - nachvollziehbar, weil ein Vorfall dieser Größe sofort viele hochspezialisierte Kräfte verlangt, die in Deutschland kurzfristig kaum in dieser Zahl verfügbar sind. Doch ein US-Dienstleister unterliegt US-Recht, etwa dem CLOUD Act, der die Herausgabe von Daten unabhängig vom Speicherort erzwingen kann. Welche Zugriffsrechte CrowdStrike im Landesnetz besitzt, welche Daten eingesehen oder exportiert werden dürfen, wo sie gespeichert und wie sie nach dem Einsatz gelöscht oder zurückgegeben werden - das sind keine Nebenfragen, sondern die Governance, die eine Verwaltung vorab geklärt haben muss, statt sie unter Zeitdruck nachzureichen.
Was am Ende bleibt
Vieles hat funktioniert: Die betroffenen Verwaltungen wurden vom Netz getrennt, Landeskriminalamt, Staatsanwaltschaft und BSI eingeschaltet, die Lösegeldforderung zurückgewiesen - eine Haltung, die aus Sicherheitssicht ihre guten Gründe hat. Und Ransomware trifft heute jeden; das BSI führt sie seit Jahren als größte Bedrohung für Behörden und Unternehmen. Der Befund liegt deshalb nicht im Opfer-Sein.
Er liegt in der Lücke: zwischen den sieben Tagen unbemerkten Abflusses und dem Anspruch, den eine Hauptstadt an ihre eigene Wehrhaftigkeit stellen müsste; zwischen der Entwarnung vom 19. August und ihrer stillen Rücknahme; zwischen der Beruhigung nach außen und dem Eingeständnis, man sei von der Größe des eigenen Systems überrascht.
Wer tagelang Daten verliert und Wochen später noch nicht weiß, was gestohlen wurde, hat weniger ein Erkenntnis- als ein Kontrollproblem. Für die Bürger, deren Verträge, Vorgänge und womöglich persönliche Daten in dem Bestand liegen, verschiebt sich das Risiko damit in eine Zukunft, die sich nicht mehr einfangen lässt: Anders als ein Passwort kann man einen einmal abgeflossenen Datensatz nicht zurückrollen. Die eigentliche Prüfung steht Berlin deshalb noch bevor - nicht im Umgang mit den Erpressern, sondern in der Antwort auf eine schlichte Frage:
Wer überwacht das Landesnetz der deutschen Hauptstadt, und was zählt am Ende mehr - die sichtbare Krisenkommunikation oder die unsichtbare Widerstandsfähigkeit, die sich erst im Ernstfall zeigt?
Quellen und Anmerkungen
Michael Hollister war sechs Jahre Bundeswehrsoldat (SFOR, KFOR) und blickt hinter die Kulissen militärischer Strategien. Nach 14 Jahren im IT-Security-Bereich analysiert er primärquellenbasiert europäische Militarisierung, westliche Interventionspolitik und geopolitische Machtverschiebungen. Ein Schwerpunkt seiner Arbeit liegt auf dem asiatischen Raum, insbesondere Südostasien, wo er strategische Abhängigkeiten, Einflusszonen und Sicherheitsarchitekturen untersucht. Hollister verbindet operative Innensicht mit kompromissloser Systemkritik - jenseits des Meinungsjournalismus. Seine Arbeiten erscheinen zweisprachig auf www.michael-hollister.com sowie in kritischen Medien im deutsch- und englischsprachigen Raum.
+++
Offizielle Quellen und Behörden
- Der Regierende Bürgermeister von Berlin, Pressemitteilung vom 28. August 2026, „Das Land Berlin lässt sich nicht erpressen": https://www.berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1708208.php
- Mindeststandard des BSI zur Protokollierung und Detektion von Cyberangriffen (§ 8 Abs. 1 BSIG): https://www.bsi.bund.de/DE/Themen/Oeffentliche-Verwaltung/Mindeststandards/PDCA/PDCA_node.html
- rbb24, „Berlin-Wahl 2026" - Abgeordnetenhaus, Bezirksverordnetenversammlungen und Volksentscheid am 20. September 2026: https://www.rbb24.de/politik/berlin-wahl-2026/beitraege/agh-bvv-volksentscheid-waehler-termin-kandidaten-faq.html
Chronologie, Entwarnung und Rücknahme
- Berliner Zeitung, „Hackerattacke auf Berliner Behörden: Sind sensible Daten abgeflossen?" (Wegner, 19. August 2026): https://www.berliner-zeitung.de/article/hackerattacke-auf-berliner-behoerden-sind-sensible-daten-abgeflossen-10310110
- Tagesspiegel, „Keine belastbaren Erkenntnisse: Berliner Senat tappt nach Hackerangriff im Dunklen" (Hauer im Innenausschuss, 24. August 2026; Paywall, im Browser aufrufbar): https://www.tagesspiegel.de/berlin/keine-belastbaren-erkenntnisse-berliner-senat-tappt-nach-hackerangriff-im-dunklen-15976892.html
- heise online, „Sensible Daten bei Cyberangriff womöglich doch betroffen" https://www.heise.de/news/Sensible-Daten-bei-Cyberangriff-womoeglich-doch-betroffen-11427279.html
- eGovernment, „Senatskanzlei äußert sich nicht zu Erpressern": https://www.egovernment.de/senatskanzlei-aeussert-sich-nicht-zu-erpressern-a-673dfc71fbfb6e245faee57a0d0155bb/
Erpressung, CrowdStrike und Datenumfang
- Tagesspiegel, „Berliner Senat bestätigt Erpressung: Wegner weist Ultimatum von Hackern zurück" (Beauftragung von CrowdStrike): https://www.tagesspiegel.de/berlin/berliner-senat-bestatigt-erpressung-wegner-weist-ultimatum-von-hackern-zuruck-15984600.html
- <kes> Informationssicherheit, „Cyberangriff auf Berlin: Rhysida behauptet Diebstahl von 5,79 Terabyte": https://www.kes-informationssicherheit.de/artikel/cyberangriff-auf-berlin-rhysida-behauptet-diebstahl-von-579-terabyte/
- Borns IT- und Windows-Blog, „Rhysida Cyberangreifer erpressen Berlin nach Hack des Landesnetzes": https://borncity.com/blog/2026/08/31/rhysida-cyberangreifer-erpressen-berlin-nach-hack-des-landesnetzes/
Hintergrund und Präzedenz
- Michael Hollister, „Die Vorgabe, die im eigenen Haus scheiterte" (zwei Cyberangriffe auf die EU-Kommission, 2026); zugrunde liegende Analyse: CERT-EU, „European Commission cloud breach: a supply-chain compromise": https://cert.europa.eu/blog/european-commission-cloud-breach-trivy-supply-chain
+++
© Michael Hollister - Alle Rechte vorbehalten. Die Weitergabe, Veröffentlichung oder Nutzung dieses Textes bedarf der ausdrücklichen schriftlichen Genehmigung des Autors. Bei Interesse an einer Weiterverwendung kontaktieren Sie bitte den Autor über www.michael-hollister.com.
+++
Dank an den Autor für das Recht zur Veröffentlichung dieses Beitrags.
+++
Bild: Sieben Tage lang flossen Daten aus dem Berliner Landesnetz
Bildquelle: KI generiert / shutterstock
+++
Ihnen gefällt unser Programm? Machen wir uns gemeinsam im Rahmen einer "digitalen finanziellen Selbstverteidigung" unabhängig vom Bankensystem und unterstützen Sie uns bitte mit der:
Spenden-Kryptowährung „Nackte Mark“: https://apolut.net/unterstuetzen/#nacktemark
oder mit
Bitcoin: https://apolut.net/unterstuetzen#bitcoin
Informationen zu weiteren Unterstützungsmöglichkeiten finden Sie hier: https://apolut.net/unterstuetzen/
+++
Bitte empfehlen Sie uns weiter und teilen Sie gerne unsere Inhalte in den Sozialen Medien. Sie haben hiermit unser Einverständnis, unsere Beiträge in Ihren eigenen Kanälen auf Social-Media- und Video-Plattformen zu teilen bzw. hochzuladen und zu veröffentlichen.
+++
Abonnieren Sie jetzt den apolut-Newsletter: https://apolut.net/newsletter/
+++
Unterstützung für apolut kann auch als Kleidung getragen werden! Hier der Link zu unserem Fan-Shop: https://harlekinshop.com/pages/apolut
