Berlin im Visier: Warum der Rhysida-Angriff mehr ist als nur ein Lösegeld-Erpressungsversuch

Berlin steht nach einem der schwerstenCyberangriffe seiner Geschichte unter Druck. Die Hackergruppe Rhysida hat sich zu dem Angriff auf das Berliner Landesnetz bekannt und fordert 30 Bitcoin – rund zwei Millionen Euro – für die angeblich gestohlenen Daten. Doch hinter dieser Erpressung steckt weit mehr als nur eine Forderung nach Geld: Es geht um die Verwundbarkeit kritischer Infrastrukturen, um das Vertrauen der Bürger in die digitale Verwaltung und um eine strategische Entscheidung, die weit über Berlin hinaus Signalwirkung hat.

Die Anatomie eines Angriffs: Wie Rhysida Berlin lahmlegte

Der Angriff auf Berlin wurde am 14. August 2026 entdeckt, doch die Hacker waren bereits seit dem 7. August unbemerkt im System aktiv. Über einen Zeitraum von mehreren Tagen konnten sie Daten im Umfang von bis zu 5,79 Terabyte extrahieren – eine Menge, die Experten als „immens” bezeichnen.

Die Angreifer nutzten dabei klassische Ransomware-Taktiken: Zunächst verschafften sie sich über eine Phishing-E-Mail Zugang zum Netzwerk, dann verschlüsselten sie Systeme und kopierten parallel sensible Daten. Die betroffenen Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz wurden aus Sicherheitsgründen vom Landesnetz isoliert – eine Maßnahme, die tagelang zu Einschränkungen bei Bürgerdiensten führte.

Besonders brisant: Die gestohlenen Daten umfassen laut den Angaben der Hacker nicht nur 46.500 Verträge und 11.000 vertrauliche Dokumente, sondern auch 6.000 Passwörter, 16.000 E-Mails, 148 IBAN-Kontonummern sowie Informationen zu rund 80.000 Ordnungswidrigkeitsverfahren. Hinzu kommen angeblich Analysen zur Verwundbarkeit von Berlins Wasserversorgung und andere Details zur kritischen Infrastruktur.

Warum diese Erpressung anders ist als frühere Attacken

Die Gruppe Rhysida ist keine unbekannte Größe im Cybercrime-Ökosystem. Sie hat bereits 2023 die British Library angegriffen und 2024 die Landeshauptstadt Stuttgart erpresst – mit einem sehr ähnlichen Muster wie jetzt in Berlin. Doch der Angriff auf die Bundeshauptstadt hat eine andere Dimension.

Zum einen geht es um das politische Symbol: Berlin ist nicht irgendeine Stadtverwaltung, sondern die Hauptstadt Deutschlands. Ein erfolgreicher Angriff hier sendet ein Signal an andere Behörden, an internationale Partner und an die eigene Bevölkerung. Zum anderen zeigt die Art der gestohlenen Daten, dass die Hacker nicht nur auf schnelle Beute aus waren, sondern auf langfristige Erpressungspotenziale.

IT-Sicherheitsexpertin Bianca Kastl vom Chaos Computer Club betont: „Die hat zum Beispiel auch schon die Landeshauptstadt Stuttgart angegriffen und erpresst. Es gab durchaus ein sehr ähnliches Muster, wie wir es in Berlin sehen.” Dieses Muster umfasst nicht nur die Verschlüsselung von Systemen, sondern auch den gezielten Diebstahl von Daten, die später als Druckmittel dienen.

Die strategische Entscheidung: Warum Berlin nicht zahlt

Innensenatorin Iris Spranger (SPD) machte am Freitagnachmittag unmissverständlich klar: „Egal, in welcher Höhe und wie die Erpressung stattfindet: Wir werden nicht zulassen, dass diese Erpressung in der Bundeshauptstadt und in Berlin erfolgt.” Diese Haltung wird von Sicherheitsexperten ausdrücklich unterstützt.

„Weil durch das Geschäftsmodell erst ermöglicht wird, dass es immer wieder Geldzufluss für diese Banden gibt. Wenn keiner mehr zahlt, ist das Geschäft irgendwann ausgetrocknet”, so Kastl. Die Logik dahinter ist einfach: Jede Zahlung bestätigt die Angreifer in ihrem Vorgehen und finanziert zukünftige Attacken – nicht nur auf Berlin, sondern auf andere Ziele weltweit.

Doch diese Strategie hat auch Schattenseiten. Wenn Berlin nicht zahlt, könnten andere – etwa kriminelle Gruppen – die gestohlenen Daten kaufen. Diese könnten dann die sensiblen, personenbezogenen Daten für ihre Machenschaften nutzen. Besonders gefährdet sind dabei die 80.000 Ordnungswidrigkeitsverfahren, die Passwörter und die IBAN-Daten.

Die realen Folgen für Bürger und Verwaltung

Während die politischen und sicherheitsstrategischen Debatten laufen, spüren die Bürger von Berlin die praktischen Auswirkungen des Angriffs. Tagelang konnten keine Wohngeldanträge bearbeitet werden, was mehr als 50.000 berechtigte Haushalte betraf. Auch Leistungen aus dem Bildungs- und Teilhabepaket für Kinder und Jugendliche waren eingeschränkt.

Zusätzlich waren das Geodatenportal und die Unterlagen des Liegenschaftskatasters nicht verfügbar, was Flurkartenauszüge, technische Stellungnahmen und Registernachweise unmöglich machte. Selbst Denkmalschutzbehörden konnten ihre Dienste nur eingeschränkt anbieten – Anträge mussten teilweise in Papierform eingereicht werden.

Diese Einschränkungen zeigen, wie abhängig die moderne Verwaltung von funktionierenden IT-Systemen ist. Ein Angriff wie dieser legt nicht nur Computer lahm, sondern unterbricht reale Dienstleistungen, von denen Menschen täglich abhängen.

Was dieser Angriff über die Zukunft der Cybersicherheit verrät

Der Vorfall in Berlin ist kein isoliertes Ereignis, sondern Teil eines größeren Trends. Ransomware-Gruppen wie Rhysida haben ihr Geschäftsmodell verfeinert: Sie verschlüsseln nicht mehr nur Daten, sondern stehlen sie auch, um zusätzlichen Druck auszuüben. Diese „Double Extortion”-Taktik macht es für Opfer noch schwieriger, sich zu wehren.

Gleichzeitig zeigt der Angriff, wie verwundbar selbst große Behörden sind. Trotz aller Sicherheitsvorkehrungen konnten die Hacker eine Woche lang unbemerkt Daten abfließen lassen. Digitalstaatssekretär Florian Hauer räumte ein: „Mindestens seit dem 7. August, also eine Woche vor Entdeckung, seien Daten abgeflossen.”

Für die Zukunft bedeutet das: Cybersicherheit muss nicht nur technisch, sondern auch organisatorisch gedacht werden. Früherkennung, Incident Response und vor allem die Schulung von Mitarbeitern im Umgang mit Phishing-E-Mails werden noch wichtiger.

Die internationale Dimension: Rhysida und das globale Cybercrime-Netzwerk

Rhysida wird von Sicherheitsforschern Russland oder Osteuropa zugeordnet. Die Gruppe operiert jedoch global und hat bereits Ziele in Großbritannien, Deutschland und anderen Ländern attackiert. Diese Internationalisierung des Cybercrime macht die Verfolgung und Bekämpfung besonders schwierig.

Strafrechtliche Ermittlungen laufen in Berlin bereits: Das Landeskriminalamt und die Berliner Staatsanwaltschaft arbeiten in enger Zusammenarbeit mit den Sicherheitsbehörden des Bundes. Doch die Aussicht, die Täter schnell zu fassen, ist gering. Cyberkriminelle agieren oft aus Ländern, in denen keine Auslieferungsabkommen bestehen oder wo sie staatlichen Schutz genießen.

Was jetzt für Berlin und andere Behörden zählt

Die Systeme der betroffenen Senatsverwaltungen sind mittlerweile wieder online. Alle Senatsverwaltungen sind wieder ans Landesnetz Berlin angeschlossen und grundsätzlich arbeitsfähig. Doch vereinzelte Beeinträchtigungen und Verzögerungen könnten noch auftreten.

Wichtiger als die technische Wiederherstellung ist nun die langfristige Lernkurve. Der Angriff auf Berlin muss als Weckruf verstanden werden – nicht nur für andere deutsche Behörden, sondern für Organisationen weltweit. Cybersicherheit ist keine IT-Frage allein, sondern eine strategische Priorität, die Chefsache sein muss.

Die Entscheidung, nicht zu zahlen, war richtig. Doch sie reicht nicht. Es braucht Investitionen in Prävention, in Detection und in die Resilienz der Systeme. Nur so kann verhindert werden, dass Berlin zum Präzedenzfall wird – nicht für erfolgreiche Abwehr, sondern für wiederholte Angriffe.

Fazit: Ein Angriff auf das Vertrauen in den digitalen Staat

Der Rhysida-Angriff auf Berlin ist mehr als ein Cybercrime-Vorfall. Er ist ein Testfall dafür, wie resilient moderne Staaten gegenüber digitalen Bedrohungen sind. Die gestohlenen Daten mögen sensibel sein, doch der eigentliche Schaden entsteht durch das erschütterte Vertrauen in die Fähigkeit des Staates, seine Systeme und die Daten seiner Bürger zu schützen.

Berlin hat sich entschieden, nicht zu zahlen. Diese Haltung verdient Respekt. Doch sie muss begleitet werden von konkreten Maßnahmen, die sicherstellen, dass solche Angriffe in Zukunft seltener werden – und wenn sie doch kommen, weniger Schaden anrichten. Denn am Ende geht es nicht nur um Terabyte an Daten oder Millionen an Lösegeld. Es geht um die Frage, ob wir in einer Welt leben können, in der digitale Infrastrukturen sicher sind – oder ob wir uns dauerhaft im Zustand der Verwundbarkeit einrichten müssen.

Quellen

Hacker fordern rund zwei Millionen Euro in Bitcoin für gestohlene Daten
Agieren die Erpresser aus Russland?: Das ist über die Hackergruppe „Rhysida“ bekannt, die Berlins IT-Netz angegriffen hat