Am Freitag um 15.35 Uhr lief das Ultimatum ab. Rund eine Stunde später standen die Daten der Berliner Landesverwaltung im DarknetDARKNETTeil des Internets, der nur über besondere Software wie den Tor-Browser erreichbar ist. Adressen sind nicht über Suchmaschinen zu finden, Betreiber bleiben meist anonym. zum Herunterladen bereit. Der Sprecher des Chaos Computer Clubs, Joachim Selzer, sagte der Deutschen Presse-Agentur, die Angreifer hätten „den kompletten Datensatz für alle zur Einsicht live gestellt".
// bilanz// 01Die harten Zahlen
Hinter dem Angriff steht die RansomwareRANSOMWARESchadsoftware, die Daten verschlüsselt oder kopiert, um Geld zu erpressen. Heute wird meist beides kombiniert: Systeme werden gesperrt und zusätzlich mit Veröffentlichung gedroht.-Gruppe Rhysida. Der Tagesspiegel hat das veröffentlichte Paket durchgesehen und kommt auf 1.439.893 Dateien mit 5,26 Terabyte.
| Dateien | 1.439.893 |
| Datenmenge | 5,26 TB gesichtet, 5,79 TB laut Tätern |
| Zugriff der Angreifer | 7. bis 12. August 2026, nach eigenen Angaben |
| Entdeckt | 14. August 2026 |
| Forderung | 30 Bitcoin, rund 2 Millionen Euro |
| Gezahlt | nichts |
| Veröffentlicht | 4. September 2026, 16.35 Uhr |
Die Angaben zur Datenmenge gehen auseinander. Rhysida nannte vorab 5,79 Terabyte, gegenüber dem Tagesspiegel war von 5,7 Terabyte die Rede, gezählt wurden 5,26. Ob das hochgeladene Paket dem entspricht, was die Gruppe erbeutet haben will, hat bisher niemand unabhängig geprüft.
// gesichtet// 02Was in den Daten steckt
Betroffen sind zwei Häuser: die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Umwelt und Klimaschutz. Beide wurden nach dem Angriff am 14. August für rund eine Woche vom Landesnetz getrennt.
In den Personalunterlagen liegen nach der Sichtung des Tagesspiegels Reha-Unterlagen, Arbeitsunfähigkeitsbescheinigungen, ärztliche Atteste und der Scan eines Schwerbehindertenausweises. Dazu kommen Scans von PCR-Testergebnissen sowie Mails zu Krankmeldungen und Impfungen.
Persönlicher wird es bei den Familien der Beschäftigten. In den Ordnern stecken Geburtsurkunden der Kinder, Scans von Personalausweisen und Notfalllisten mit privaten Telefonnummern.
// Warum Gesundheitsdaten schwerer wiegen
Artikel 9 der DSGVO zählt Gesundheitsdaten zu den besonderen Kategorien personenbezogener Daten. Sie dürfen nur unter engen Voraussetzungen verarbeitet werden, weil sie sich nicht ändern lassen. Ein Passwort wechselt man, eine Diagnose nicht.
Der zweite Strang betrifft die kritische Infrastruktur. Der Tagesspiegel schreibt, die Dateien enthielten Informationen zur kritischen Infrastruktur, auch Rüstungsunternehmen seien betroffen.
// unbestätigt// 03Was die Täter behaupten
// Nicht geprüft
Die Angaben in diesem Abschnitt stammen von der Gruppe Rhysida selbst. Weder Polizei noch Senat haben sie bestätigt. Sie stehen hier, weil sie in mehreren Medien zirkulieren, nicht weil sie belegt sind.
Nach Darstellung der Erpresser umfasst das Material mehr als 5.000 Personalakten, Bußgeldvorgänge und Gehaltsabrechnungen, dazu vertrauliche Unterlagen aus Ausschüssen des Bundesrates und Schwachstellenanalysen zur Berliner Trinkwasserversorgung. Die Berliner Zeitung führt dieselbe Aufstellung.
Auch der Zeitraum des Einbruchs ist eine Angabe der Angreifer. Sie sagen, sie hätten vom 7. bis 12. August unbemerkt in den Netzen der beiden Senatsverwaltungen gearbeitet. Bestätigt ist bisher nur das Datum der Entdeckung, der 14. August.
Ein Fachdienst nennt zusätzlich 46.500 Verträge mit externen Dienstleistern und rund 80.000 Ordnungswidrigkeitsverfahren und schreibt diese Zahlen den Angaben des Senats zu, nicht den Tätern. In den übrigen Berichten tauchen sie nicht auf. Deshalb stehen sie hier mit diesem Vorbehalt.
// bewertung// 04Warum die Entscheidung richtig war und trotzdem wehtut
Der Senat hat nicht gezahlt. Kai Wegner hatte in der Woche zuvor bestätigt, dass Berlin erpresst wird; der Senat bekräftigte, auf derartige Erpressungen nicht einzugehen.
Fachlich deckt sich das mit der Empfehlung des Bundesamts für Sicherheit in der Informationstechnik. Eine Zahlung biete „keinerlei Garantie für die Freigabe verschlüsselter Daten oder gesperrter Systeme". Bianca Kastl vom Chaos Computer Club nannte die Entscheidung im RBB Inforadio richtig: „Würde man diese Gruppen weiter unterstützen mit Geld oder anderen Dingen, dann würden die natürlich immer weitermachen."
Den Preis dafür tragen die Beschäftigten. Ihre Atteste und die Geburtsurkunden ihrer Kinder liegen offen, und über die Sicherheit der Systeme, in denen diese Unterlagen lagen, haben sie nie entschieden.
„Dieser Cyberangriff reiht sich nahtlos in die Serie an derartigen Vorfällen rund um unsere Behörden ein. Er hat Berlins Politik einmal mehr deutlich vor Augen geführt, dass hier über Jahre gepennt wurde. Es ist richtig, sich nicht erpressen zu lassen. Aber es kann nicht sein, dass hier tagelang hochsensible Daten geraubt wurden und die einzige Reaktion scheinbar darin besteht, die Beschäftigten anzuweisen, ihre Passwörter zu ändern."Thorsten Schleheider, Landesvize der Gewerkschaft der Polizei Berlin, 4. September 2026
Der für die IT-Sicherheit zuständige Staatssekretär Florian Hauer informierte die Beschäftigten des Landes am Freitagnachmittag über den Stand. In dem Schreiben, das dem Tagesspiegel vorliegt, zitiert er BSI-Präsidentin Claudia Plattner mit dem Hinweis, „dass wir alle uns derzeit im Krisenmodus befinden".
// einordnung// 05Vorsicht bei der Zuspitzung
Seit Freitag kursieren Bewertungen, die weit über das hinausgehen, was belegt ist. Die Einschätzung einer einzelnen Person, auch einer fachkundigen, ist keine Lagebewertung einer Sicherheitsbehörde. LKA Berlin und BSI sind in die Analyse eingebunden; eine Gefährdungseinschätzung dieser Stellen liegt öffentlich nicht vor.
Dasselbe gilt für Ordnernamen. In der Struktur eines geleakten Archivs steht, wie eine Datei heißt. Was in ihr steht, wie aktuell sie ist und ob sie echt ist, steht dort nicht. Mehrere der Bezeichnungen, die derzeit weitergereicht werden, sind bislang genau das: Namen.
Der belegbare Schaden reicht ohne Dramatisierung aus. 1,4 Millionen Dateien sind veröffentlicht, darunter Gesundheitsunterlagen von Beschäftigten und Geburtsurkunden von Kindern, und sie bleiben im Umlauf.
// handeln// 06Was Betroffene jetzt tun können
Selzer geht davon aus, dass die Daten eher mittelfristig für kriminelle Zwecke genutzt werden, und warnt vor Identitätsdiebstahl: Je mehr jemand über eine Person weiß, desto glaubwürdiger kann er sich als diese Person ausgeben. Die Senatskanzlei teilte mit, IT-Forensiker untersuchten die veröffentlichten Daten „mit Hochdruck"; identifizierte Betroffene würden „risikobasiert und entsprechend der gesetzlichen Vorgaben" informiert.
- Strafanzeige erstatten, wenn du konkrete Hinweise darauf hast, dass deine Daten veröffentlicht wurden oder für Betrug und Identitätsmissbrauch genutzt werden. Dazu ruft der Senat ausdrücklich auf.
- Beschwerde einlegen bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit. Die Behörde führt dafür eine eigene Seite zu Datenpannen.
- Auskunft verlangen nach Artikel 15 DSGVO. Das Land Berlin muss dir mitteilen, welche Daten zu dir verarbeitet werden. Bei einer Datenpanne gehört dazu auch die Frage, ob du betroffen bist.
- Passwörter wechseln, vor allem wenn dasselbe Passwort auch privat genutzt wurde, und Zwei-Faktor-Anmeldung einschalten, wo es sie gibt.
- Mit Phishing rechnen, das echte Vorgangsdaten nennt. Wer Aktenzeichen, Namen und Sachbearbeitung kennt, wirkt glaubwürdig. Rückfragen nur über selbst herausgesuchte Telefonnummern, nie über die im Schreiben angegebene.
Zurückholen lässt sich nichts davon. Was jetzt zählt, ist, wie schnell das Land die Betroffenen erreicht und was es ihnen an Unterstützung anbietet. Die Wahl zum Berliner Abgeordnetenhaus ist am 20. September.