Rhysida Berlin: Akute Gefährdung nach Datenleck gebannt

Die akute Gefährdungslage rund um den Angriff auf das Berliner Landesnetz ist nach derzeitigem Stand beendet. Damit endet formal eine Phase, die am 14. August 2026 mit der vorsorglichen Netztrennung zweier Senatsverwaltungen begann und am 4. September 2026 in der Veröffentlichung großer Datenmengen im Darknet gipfelte. Der Fall Rhysida Berlin ist damit nicht abgeschlossen, sondern nur aus dem akuten Zustand getreten: Die gestohlenen Daten stehen bereits im Darknet, eine zweite Veröffentlichung mit Login-Zugangsdaten ist nicht abschließend bewertet, und die Zuordnung zur Ransomware-Gruppe stammt bislang vor allem von der Gruppe selbst.

Rhysida Berlin: Was die Entwarnung belegt – und was offen bleibt

Die Kernaussage der Entwarnung ist dünn belegt. Sie stützt sich ausschließlich auf Titel und Teaser der Meldung; der vollständige Text lag bei Redaktionsschluss nicht vor. Unklar bleibt damit, worauf sich „akute Lage" konkret bezieht – ob die getrennten Systeme wieder am Netz sind, ob Sofortmaßnahmen abgeschlossen wurden oder ob die Gefährdung schlicht neu bewertet wurde. Wer die Meldung als „Vorfall beendet" liest, interpretiert mehr hinein, als derzeit belegbar ist.

Belastbarer ist der amtlich dokumentierte Stand. Beim Land Berlin sind Ablauf des Vorfalls, betroffene Verwaltungen, Datenarten und Kontaktwege öffentlich dokumentiert; der veröffentlichte Stand datiert vom 29. September 2026 und wird fortlaufend aktualisiert. Das ist die tragfähigste Grundlage für Betroffene – auch wenn sie naturgemäß die Sicht der betroffenen Verwaltung wiedergibt.

Angriffsablauf: Datenabfluss im August, Veröffentlichung im September

Der wesentliche Datenabfluss erfolgte nach bisherigen Erkenntnissen zwischen dem 7. und 12. August 2026. Am 14. August wurden die IT-Systeme der beiden betroffenen Senatsverwaltungen – Mobilität, Verkehr, Klimaschutz und Umwelt (SenMVKU) sowie Stadtentwicklung, Bauen und Wohnen (SenStadt) – vorsorglich vom Netz getrennt. Anfang September folgte die Eskalation: Nach Ablauf eines Ultimatums wurden mehrere Terabyte Daten aus dem Landesnetz veröffentlicht, weil das Land Berlin nicht auf die Erpresserforderung eingegangen war. Dass tatsächlich Daten veröffentlicht wurden, ist mehrfach belegt und nicht bloße Behauptung der Angreifer.

Regierender Bürgermeister Kai Wegner bestätigte die Zahlungsverweigerung; Chief Digital Officer Florian Hauer wird mit dem Satz zitiert: „The State of Berlin will not be blackmailed." Für Betroffene ist das eine zwiespältige Entscheidung: Sie verhindert die Finanzierung weiterer Angriffe, hält die veröffentlichten Bestände aber nicht zurück. Der Schaden war zum Zeitpunkt der Entscheidung bereits eingetreten – die Verweigerung ist keine Rettung der Daten, sondern eine Positionierung für künftige Fälle.

Welche Daten betroffen sind – und welche Zahlen belastbar sind

Betroffen sind überwiegend unstrukturierte Daten aus gemeinsam genutzten und persönlichen Verzeichnissen von Mitarbeitenden, nicht aus spezifischen Fachanwendungen. Das klingt harmloser als es ist: In solchen Verzeichnissen liegen typischerweise Vertragsentwürfe, Korrespondenz, Tabellen mit Kontaktdaten und Zwischenstände, die nie für eine Veröffentlichung gedacht waren. Betroffen sind personenbezogene Daten von Beschäftigten des Landes Berlin, von Bürgern sowie Daten von Unternehmen.

Bei den Mengenangaben ist Vorsicht geboten. Die Gruppe selbst behauptete Ende August, 5,79 Terabyte erbeutet zu haben, darunter Verträge, E-Mails und Passwörter. Berlin bestätigte den Datendiebstahl und den Erhalt einer Erpresserforderung, verifizierte Menge und Inhalt der Angreiferangaben aber nicht und ordnete den Angriff auch nicht öffentlich einer Gruppe zu. Andere kursierende Zahlen zu Dateimengen und Lösegeldhöhe sind bislang nicht amtlich bestätigt; sie taugen weder für die Kommunikation gegenüber Betroffenen noch für rechtliche Einschätzungen.

Eine relevante Entlastung gibt es: Laut Innensenatorin Iris Spranger gab es keine Hinweise auf Datendiebstahl aus Wahlsystemen. Die Wahl am 20. September 2026 war nach Behördenangaben abgesichert.

Zweitveröffentlichung mit Zugangsdaten und BSI-Warnung

Über ein Wochenende Anfang September wurde eine weitere Datensammlung veröffentlicht, diesmal inklusive Login-Zugangsdaten. Die Untersuchung dieser zweiten Datenpanne dauert an. Das ist der eigentlich kritische Punkt: Zugangsdaten sind nicht statisch wie ein Dokumentenleck. Sie lassen sich gegen andere Systeme testen, sofern sie wiederverwendet wurden – ein Credential-Stuffing-Szenario, das weit über die beiden betroffenen Verwaltungen hinausreichen kann.

Das BSI hat im Umfeld von Rhysida vor einer Kampagne mit „TerminalFix"-Attacken und den Schadprogrammen LoremIpsumLoader und AxolotLoader gewarnt. Eine Verbindung zu staatlich gesteuerten Akteuren wurde nach Quellenlage nicht festgestellt; die Einordnung als Kriminalitätsphänomen trägt. Wer in diesem Fall mit einer staatlichen Attribution argumentiert, tut das ohne Grundlage.

Betroffenen-Hilfe: Kontaktstellen und was jetzt zu tun ist

Für Betroffene hat das Land Berlin zentrale Kontaktstellen eingerichtet: Datenschutzvorfall@SenStadt.berlin.de, Datenschutzvorfall@senmvku.berlin.de und Cyberangriff@senatskanzlei.berlin.de. Wer vermutet, dass eigene Daten in den veröffentlichten Beständen liegen, sollte sich dort melden, statt eigenständig in Darknet-Foren nach den eigenen Daten zu suchen.

Praktisch relevanter ist für viele der Passwortwechsel: Wo Zugangsdaten im Umlauf sind, hilft nur das Zurücksetzen gefährdeter Konten – inklusive privater Adressen, die im beruflichen Umfeld verwendet wurden. Und unabhängig vom Ausgang der Entwarnung gilt: Wer E-Mails im Namen der Berliner Verwaltung erhält, sollte Absender und Links prüfen, bevor Anhänge geöffnet werden.

Die Entwarnung ist eine gute Nachricht für den Betrieb, keine für den Datenschutz. Veröffentlichte Bestände verschwinden nicht, weil eine Gefährdungslage endet. Und bis der vollständige Bericht vorliegt, bleibt offen, ob die getrennten Systeme wieder regulär am Netz sind – diese Frage sollten Verantwortliche beantworten können, bevor die nächste Bewertung ansteht.

Quellen