Es ist der schwerste IT-Sicherheitsvorfall auf Landesebene, der je in Deutschland dokumentiert wurde: Eine Cyberattacke auf die Berliner Verwaltung hat nicht nur personenbezogene Daten von Bürgern und Beschäftigten offengelegt, sondern auch hochsensible Informationen über kritische Infrastrukturen, Rüstungsunternehmen und die Bundeswehr. Seit dem 4. September 2026 sind rund 1,44 Millionen Dateien mit einem Gesamtvolumen von 5,8 Terabyte im Darknet frei zugänglich. Die Analyse der veröffentlichten Daten offenbart ein systemisches Versagen der Sicherheitsarchitektur, das weit über die Hauptstadt hinausreicht.
Der Angriff: Eine Chronologie der Versäumnisse
Die Täter, die der international agierenden Ransomware-Bande „Rhysida“ zugerechnet werden, verschafften sich zwischen dem 7. und 12. August 2026 unbemerkt Zugang zum Berliner Landesnetz. Betroffen waren die Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz. Erst am 14. August wurde die Infektion entdeckt, woraufhin die betroffenen Behörden vom Landesnetz isoliert wurden. Die folgende Lösegeldforderung von 30 Bitcoin – umgerechnet rund zwei Millionen Euro – lehnte der Senat ab. Als die Frist verstrich, veröffentlichte die Gruppierung Mitte September den gesamten Datensatz.
Die zeitliche Abfolge zeigt ein gravierendes Problem: Die Angreifer hatten mindestens fünf Tage ungestörten Zugriff, um Daten zu sichten und abzuschöpfen. Die späte Entdeckung und die offenbar unzureichenden Netzwerksegmentierungen gelten als Indiz für eine unzureichende Sicherheitsarchitektur.
Von Reisepässen bis zur Wasserversorgung: Das ganze Ausmaß des Datenlecks
Die veröffentlichten Daten sind ein digitaler Querschnitt der Verwaltungsarbeit. Neben gescannten Reisepässen, Arbeitsverträgen und Krankmeldungen fanden Sicherheitsforscher des Chaos Computer Clubs (CCC) unter der Leitung von Joachim Selzer deutlich brisantere Inhalte. Dazu gehören detaillierte Angaben zur Berliner Wasserversorgung, zu Heizkraftwerken, Tanklagern, Notstromanlagen, Umspannwerken und Gefängnissen. Besonders schwer wiegt, dass auch vertragliche Beziehungen zu Rüstungsunternehmen und der Bundeswehr offengelegt wurden.
Die Kriminellen selbst hatten vor der Veröffentlichung mit einer Liste der Daten geprahlt, die unter anderem Passwörter im Klartext, Justizunterlagen und über 46.500 Verträge des Landes enthielt. Laut dem Landeswahlleiter Stephan Bröchler ist die Wahlumgebung für die anstehende Wahl zum Abgeordnetenhaus nicht betroffen. Für die betroffenen Bürger steigt jedoch das Risiko von Identitätsdiebstahl und gezielten Phishing-Attacken, wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigte.
Die Sicherheitslücke: Warum ein „Super-GAU“ möglich wurde
IT-Experte Manuel Atug, der bereits 2023 und 2025 als Sachverständiger im Berliner Innenausschuss auf Sicherheitslücken hinwies, wirft dem Land Berlin grobe Fahrlässigkeit vor. „Das Land Berlin hat vorsätzlich die Geheimschutz-Vorgaben nicht eingehalten“, wird Atug zitiert. Die Kritik richtet sich nicht nur gegen die fehlende Netzwerksegmentierung, die es den Angreifern erlaubte, von den Senatsverwaltungen auf sensible Bereiche zuzugreifen. Auch die mangelhafte Umsetzung von Verschlüsselungs- und Authentifizierungsstandards steht im Raum.
Der Grünen-Fraktionsvize Konstantin von Notz sprach gegenüber dem Handelsblatt von einem „echten Daten-Super-GAU“ und sieht eine Mitschuld des Bundes: „Der jüngste Fall in Berlin wird die Steuerzahler Millionen kosten. Die Bundesregierung trifft eine direkte Mitschuld.“ Die Frage, warum die Berliner Verwaltung nicht von den zentralen Sicherheitsvorgaben des Bundes profitierte, wird in den kommenden Wochen die politische Debatte bestimmen.
Folgen für die nationale Sicherheit und die Reaktion der Behörden
Das BSI warnte am 5. September offiziell vor einer „erhöhten Bedrohungslage“ für die Gesellschaft. Der Grund: Die veröffentlichten Informationen zu kritischen Infrastrukturen – wie Wasserwerken, Umspannwerken und Tanklagern – könnten von fremden Mächten, Terroristen oder radikalen Gruppen zur Planung von Angriffen genutzt werden. CDU-Außenpolitiker Roderich Kiesewetter bezeichnete den Datenabfluss gegenüber der Süddeutschen Zeitung als „von gravierendem Ausmaß“ und als Gefahr für die nationale Sicherheit.
Die Bundeswehr hat bereits angekündigt, nach der Analyse der Sicherheitsrisiken Maßnahmen zum Schutz der militärischen Sicherheit einzuleiten. In Berlin koordiniert eine neu eingerichtete Steuerungseinheit die Sichtung der Daten. Betroffene Bürger, Beschäftigte und Unternehmen sollen risikobasiert per Brief oder E-Mail kontaktiert und beraten werden. Die forensischen Untersuchungen von BKA, LKA und dem Bundesamt für Verfassungsschutz laufen auf Hochtouren.
Die digitale Sicherheitsarchitektur der öffentlichen Verwaltung steht vor einer grundlegenden Neubewertung. Der Fall Berlin zeigt, dass die Trennung von Bürokratie und Sicherheitsinfrastruktur in der digitalen Welt nicht mehr haltbar ist. Die kommenden Wochen werden entscheiden, ob dieser Daten-GAU als Wendepunkt für die Cybersicherheitspolitik in Deutschland taugt – oder ob er, wie viele Vorfälle vor ihm, in den Akten der Ausschüsse versandet.
