Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Nach dem Cyberangriff auf das Berliner Landesnetz hat die Ransomware-Gruppe Rhysida am 4. September 2026 rund 1,4 Millionen Dateien im Darknet veröffentlicht.
Beim Datenleck Berlin sollen sich demnach Teile von Personalakten, eingescannte Ausweise, Gehaltsabrechnungen und Unterlagen zu kritischer Infrastruktur befinden. In der Nacht zum 6. September folgte nach Angaben des Landes Berlin ein weiteres Datenpaket, das Zugangsdaten enthält.
Das Datenleck Berlin zeigt den Unterschied zwischen einem Verschlüsselungsvorfall und einem Datenabfluss: Verschlüsselte Systeme lassen sich wiederherstellen, veröffentlichte Daten nicht mehr zurückholen.
Das Wichtigste in Kürze
- Zwischen dem 7. und 12. August 2026 flossen Daten aus dem Berliner Landesnetz ab; am 14. August wurden zwei Senatsverwaltungen vom Netz getrennt.
- Rhysida forderte 30 Bitcoin, umgerechnet rund 2 Millionen Euro, mit einer Frist von sechs Tagen. Das Land Berlin zahlte nicht.
- Nach Fristablauf veröffentlichte die Gruppe rund 1,4 Millionen Dateien; der Tagesspiegel zählte 1.439.893 Dateien mit 5,26 Terabyte, Rhysida selbst gibt 5,79 Terabyte an.
- Das zweite Paket enthält laut Land Berlin Zugangsdaten - die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen hat ihre Maßnahmen nachgeschärft, kurzfristige Einschränkungen bei Fachverfahren sind möglich.
- Das BSI warnt vor erhöhter Bedrohungslage durch personalisiertes Phishing; abgeflossene personenbezogene Daten bleiben dauerhaft missbrauchbar.
So entstand das Datenleck Berlin
Der Angriff wurde Mitte August 2026 über auffällige Netzwerkaktivitäten entdeckt, der eigentliche Datenabfluss fand nach bisherigen Erkenntnissen zwischen dem 7. und 12. August statt. Am 14. August trennte das Land zwei Senatsverwaltungen vorsorglich vom Landesnetz: Stadtentwicklung, Bauen und Wohnen sowie Mobilität, Verkehr, Klimaschutz und Umwelt. Beide waren über Tage praktisch arbeitsunfähig.
Ermittelt wird von Landeskriminalamt und Staatsanwaltschaft Berlin, das BSI ist eingebunden; die Krisenbewältigung läuft unter Leitung des Landesbeauftragten für Informationssicherheit. Ende August wurde die Erpressung öffentlich: Rhysida verlangte 30 Bitcoin, rund 2 Millionen Euro, binnen sechs Tagen. Berlin lehnte die Zahlung grundsätzlich ab – eine Entscheidung, die Sicherheitsfachleute begrüßten, die aber zur Veröffentlichung führte.
Der Einfallweg ist laut IT-Administrator nicht abschließend geklärt; bekannte Vorgehensweisen von Rhysida sind gehackte Zugangsdaten, Phishing und Social Engineering. Berichten zufolge betraf der Vorfall IT-Infrastruktur, die nie in den zentralen Betrieb überführt worden war. Parallel wurden VPN-Zugangsdaten öffentlich, woraufhin das Land Homeoffice-Zugänge für Verwaltungsbeschäftigte aussetzte.
Datenleck Berlin in Zahlen
1.439.893
veröffentlichte Dateien, gezählt vom Tagesspiegel
5,26 TB
ausgewertetes Volumen; die Täter geben 5,79 TB an
6 Tage
Erpressungsfrist bei einer Forderung von 30 Bitcoin
0 Euro
Lösegeld – das Land Berlin hat nicht gezahlt
Welche Daten das Datenleck enthält
Nach ersten Auswertungen sollen sich in den Paketen Teile von Personalakten, eingescannte Ausweise, Gehaltsabrechnungen, Arbeitszeugnisse und Vertragsunterlagen befinden. Hinzu kommen sensible Informationen zu Bauprojekten, unter anderem am Bundeskanzleramt, sowie Daten zur kritischen Infrastruktur.
Weitere Auswertungen nennen Zahlungsvorgänge, Gehaltslisten, IBANs, E-Mail-Bestände, Passwörter, KRITIS-Analysen zur Wasserversorgung und Unterlagen aus der CBRN-Rahmenplanung, also zur Vorsorge gegen chemische, biologische, radiologische und nukleare Bedrohungen.
Wichtiger Hinweis
Das zweite Paket verändert die Lage technisch. Zugangsdaten sind kein Beiprodukt, sondern der Rohstoff für den nächsten Angriff – auf dieselbe oder auf verbundene Umgebungen. Genau deshalb hat die Senatsverwaltung für Stadtentwicklung nachgeschärft und weist auf Einschränkungen bei Fachverfahren hin; betroffen sein können damit auch Anträge von Bürgern, etwa beim Wohngeld.
Warum Datenschutz jetzt geschäftskritisch ist
Bei einem reinen Verschlüsselungsvorfall ist ein geprüftes Backup die Antwort. Bei einem Datenabfluss gibt es diese Antwort nicht.
Veröffentlichte Daten sind kopiert und weiterverbreitet, bevor eine Löschung technisch möglich wäre. Der Schaden ist damit nicht behebbar, sondern nur begrenzbar – und zwar ausschließlich vorher.
Das macht jeden gespeicherten Datensatz zu einer Verbindlichkeit. Ausweisscans, Gehaltsabrechnungen und IBANs sind in Kombination ein vollständiger Identitätsbaukasten: Sie ermöglichen Kontoeröffnungen, Bestellbetrug und Vertragsabschlüsse im Namen der Betroffenen, noch Jahre nach dem Vorfall. Zugangsdaten wirken dagegen sofort, sofern sie irgendwo unverändert weiterverwendet werden.
Das BSI weist darauf hin, dass Informationen aus Datenlecks Phishing-Nachrichten deutlich glaubwürdiger machen: echte Namen, echte Zuständigkeiten, echte Vorgangsdaten. Zusätzlich warnt die Behörde vor Hack-and-Leak-Operationen, bei denen authentische Inhalte aus dem Zusammenhang gelöst oder mit manipuliertem Material vermischt werden – kurz vor der Wahl zum Berliner Abgeordnetenhaus am 20. September 2026 ein wirksames Muster.
Für Unternehmen ist die Übertragung unmittelbar. Die DSGVO benennt die Pflichten konkret:
- Artikel 5 - Datenminimierung und Speicherbegrenzung: nur aufbewahren, was gebraucht wird.
- Artikel 32 - angemessene technische und organisatorische Maßnahmen, nachweisbar dokumentiert.
- Artikel 33 - Meldung an die Aufsichtsbehörde binnen 72 Stunden ab Kenntnis.
- Artikel 34 - Benachrichtigung der Betroffenen bei hohem Risiko.
Wer Daten nicht mehr vorhält, muss sie nicht schützen, nicht melden und kann sie nicht verlieren. Datenschutz ist damit keine Formalie der Rechtsabteilung, sondern die wirksamste Begrenzung des Schadensradius.
Empfehlungen für IT-Admins
- Datenbestände inventarisieren - wissen, wo personenbezogene Daten, Ausweiskopien und Vertragsunterlagen liegen. Ohne Inventar ist ein Datenleck weder bewertbar noch meldbar.
- Löschkonzept durchsetzen - Aufbewahrungsfristen technisch erzwingen statt organisatorisch hoffen. Altbestände auf Dateiservern erklären ein Vielfaches der erwarteten Datenmenge.
- Zugriffe segmentieren - Berechtigungen auf Fachbereiche begrenzen, offene Freigaben und alte Gruppenmitgliedschaften abbauen. Ein gekapertes Konto darf nicht das gesamte Dateiarchiv erreichen.
- Geheimnisse aus Dokumenten entfernen - Passwörter, VPN-Profile und Schlüssel gehören in einen Passwort-Manager, nicht in Tabellen auf dem Dateiserver.
- Verschlüsselung dort einsetzen, wo sie wirkt - Festplattenverschlüsselung schützt nicht gegen exfiltrierte Dateien. Wirksam sind Datei- und Archivverschlüsselung.
- Fernzugänge härten - VPN- und Portalzugänge ausschließlich mit Multi-Faktor-Authentifizierung; bei Leak-Verdacht Kennwörter zurücksetzen und aktive Sitzungen widerrufen.
- Abfluss erkennbar machen - ungewöhnlich große Lese- und Kopiervorgänge auf Dateiservern alarmieren. In Berlin lagen zwischen Abfluss und Netztrennung Tage.
- Schatten-IT einsammeln - was niemand betreut, wird auch nicht gepatcht. Systeme außerhalb des zentralen Betriebs sind hier ein Kernthema.
Hinweise zum Vorgehen bei Betroffenheit
1
Zugangsdaten invalidieren
Passwörter potenziell betroffener Konten zurücksetzen, Sitzungen und Tokens widerrufen, wiederverwendete Passwörter aufspüren.
2
Meldewege klären
Vorfall bewerten, Fristen nach Artikel 33 und 34 DSGVO einhalten, Datenschutzbeauftragten früh einbinden.
3
Belegschaft warnen
Konkret vor Anrufen und Mails mit korrekten Personendaten warnen; Aufforderungen über einen zweiten Kommunikationsweg verifizieren.
4
Missbrauch verfolgen
Bei Identitätsmissbrauch Strafanzeige erstatten; das Land Berlin verweist Betroffene ausdrücklich auf die Internetwache der Polizei Berlin.
Bedeutung für Geschäftsführung und Entscheider
Der Fall Berlin ist teuer, obwohl kein Lösegeld gezahlt wurde. Die Kosten entstehen an anderer Stelle: Wochen eingeschränkter Handlungsfähigkeit in zwei Ressorts, Nacharbeiten nach jedem neuen Datenpaket, Einschränkungen in Fachverfahren mit direkter Wirkung auf Bürger sowie ein dauerhafter Vertrauensschaden.
Das ist die realistische Kostenstruktur eines Datenabflusses, und sie gilt für Unternehmen genauso.
Entscheidend ist der Unterschied zur reinen Verfügbarkeitsfrage. Für Ausfälle gibt es Backups und definierte Wiederanlaufzeiten – alles planbar. Für abgeflossene Daten gibt es keinen Wiederanlauf. Die einzige Steuerungsgröße ist, was zum Zeitpunkt des Angriffs überhaupt greifbar ist. Darüber entscheidet nicht die IT allein, sondern die Freigabe von Löschkonzepten, Aufbewahrungsfristen und Berechtigungsmodellen.
Der Aufwand ist überschaubar, aber ungleich verteilt. Multi-Faktor-Authentifizierung für Fernzugänge und das Entfernen von Passwörtern aus Dokumenten sind Arbeiten von Tagen. Ein belastbares Löschkonzept und ein aufgeräumtes Berechtigungsmodell sind Vorhaben von Monaten – und genau der Teil, der im Schadensfall zählt. Hinzu kommt die regulatorische Seite: Aufsichtsbehörden prüfen nach einem Datenleck nicht den Angriff, sondern die vorher getroffenen Maßnahmen.
Die Frage an die Geschäftsführung lautet deshalb nicht nur „Wie schnell sind wir wieder handlungsfähig?“, sondern „Was genau könnte ein Angreifer heute bei uns mitnehmen?“.
FAQ zum Datenleck Berlin
Ja, das ist möglich. Nach Auswertungen sollen die Pakete Personalunterlagen, Ausweisscans und Vertragsdaten enthalten-. Das Land Berlin hält Auswirkungen auf Bürger für möglich, etwa in Fachverfahren wie dem Wohngeld. Eine belastbare öffentliche Liste der Betroffenen liegt bislang nicht vor.
Rhysida ist eine seit mehreren Jahren aktive Gruppe, die nach dem Modell Ransomware-as-a-Service arbeitet. Typisch ist die doppelte Erpressung: Daten werden abgezogen und bei Nichtzahlung veröffentlicht. Für eine politische Motivation gibt es laut IT-Administrator keine Belege.
Ein Backup stellt Verfügbarkeit wieder her, nicht Vertraulichkeit. Sobald Daten kopiert und veröffentlicht sind, ist der Vorgang irreversibel - Löschansprüche erreichen Kopien im Darknet nicht. Wirksam sind daher nur vorbeugende Maßnahmen wie Datenminimierung, Verschlüsselung und Zugriffsbegrenzung.
Nach Artikel 33 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde binnen 72 Stunden zu melden. Besteht ein hohes Risiko für die Betroffenen, kommt nach Artikel 34 deren unverzügliche Benachrichtigung hinzu. Die Frist läuft ab Kenntnis des Vorfalls, nicht ab abgeschlossener Analyse.
Meist an nichts Offensichtlichem - genau das ist das Problem. Laut BSI können korrekte Namen, Zuständigkeiten und Vorgangsdaten aus Datenlecks stammen. Prüfen Sie Aufforderungen zu Zahlungen oder Datenfreigaben über einen zweiten, selbst gewählten Kommunikationsweg.
Fazit
1,4 Millionen veröffentlichte Dateien und ein zweites Paket mit Zugangsdaten machen das Datenleck Berlin zu einem Lehrstück über den Unterschied zwischen Ausfall und Abfluss. Der Ausfall war nach Tagen beherrschbar, der Abfluss bleibt es dauerhaft nicht. Wirksam war rückblickend nur, was vor dem Angriff entschieden wurde: welche Daten überhaupt gespeichert waren, wer sie erreichen konnte und wie Fernzugänge geschützt waren. Die Konsequenz ist unbequem einfach – Daten, die nicht mehr vorhanden sind, können nicht veröffentlicht werden; für alles Übrige zählen Verschlüsselung, Segmentierung und Multi-Faktor-Authentifizierung. Die Frage ist nicht, ob die eigene Umgebung interessant genug für einen Angriff ist, sondern wie viel bei einem erfolgreichen Zugriff mitgehen würde.
Fanden Sie den Blogbeitrag hilfreich und interessant?
Vielen Dank für Ihre Rückmeldung!