Berlin, 29. August 2026. Nach dem Cyberangriff auf das Berliner Landesnetz steht die Verwaltung vor einer neuen Eskalationsstufe. Die Angreifer versuchen offenbar, das Land mit gestohlenen Daten unter Druck zu setzen. Gleichzeitig laufen die forensischen Untersuchungen weiter, um zu klären, welche Informationen tatsächlich aus den Behördennetzen abgeflossen sind.
Besonders brisant ist der Zeitpunkt: Berlin bereitet sich auf die Wahl zum Abgeordnetenhaus am 20. September vor. Nach Angaben der Berliner Innenverwaltung ist die für die Wahl relevante Infrastruktur bislang nicht betroffen.
Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger machten am Freitag deutlich, dass Berlin nicht auf die Forderungen der Erpresser eingehen will. In einer gemeinsamen Erklärung hieß es: „Das Land Berlin lässt sich nicht erpressen.“
Wie hoch die konkrete Lösegeldforderung ist, wurde von der Berliner Landesregierung zunächst nicht öffentlich genannt. Gegen die mutmaßlichen Täter ermitteln das Landeskriminalamt, die Berliner Staatsanwaltschaft sowie Sicherheitsbehörden des Bundes.
Die Ermittlungen haben inzwischen ergeben, dass bereits zwischen dem 7. und 12. August 2026 Daten aus einem Bereich der Berliner Landesverwaltung abgeflossen sein könnten. Betroffen ist unter anderem der Geschäftsbereich der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt.
Erst am 14. August wurden die betroffenen Verwaltungsbereiche vom Berliner Landesnetz getrennt. Die Untersuchungen sollen nun klären, welche Daten die Angreifer tatsächlich erlangt haben. Nach Angaben der Landesregierung kann derzeit nicht ausgeschlossen werden, dass auch personenbezogene oder andere nicht öffentliche Informationen betroffen sind.
Damit ist das Ausmaß des Vorfalls weiterhin nicht abschließend bekannt. Die Berliner Behörden betonen, dass die forensische Analyse und das Scannen des Landesnetzes fortgesetzt werden.
Die Ransomware-Gruppe Rhysida behauptet, insgesamt 5,79 Terabyte Daten aus Berliner Behörden gestohlen zu haben. Nach Angaben der Gruppe sollen darunter Verträge, E-Mails, Telefonnummern, Passwörter und weitere Informationen sein. Sie stellte die Daten nach eigenen Angaben zur Versteigerung und nannte als Einstiegspreis 30 Bitcoin.
Die Angaben der Hacker sind allerdings nicht vollständig unabhängig bestätigt. Die Berliner Behörden haben bislang keine abschließende Einschätzung veröffentlicht, wie groß der tatsächliche Datenabfluss ist. Entsprechend muss zwischen den Behauptungen der Angreifer und den bestätigten Erkenntnissen der Ermittler unterschieden werden.
Für die bevorstehende Wahl in Berlin gibt es nach aktuellem Stand keine Hinweise auf eine Gefährdung. Innensenatorin Iris Spranger erklärte, der für Wahlen relevante Bereich des Landesnetzes sei abgesichert. Nach Angaben der Sicherheitsbehörden seien dort bislang keine entsprechenden Daten abgeflossen.
Das ist für die Berliner Verwaltung besonders wichtig, weil der Cyberangriff nur wenige Wochen vor der Wahl zum Abgeordnetenhaus bekannt wurde. Die Behörden versuchen deshalb, die betroffenen Netzwerke voneinander zu trennen und gleichzeitig den regulären Verwaltungsbetrieb aufrechtzuerhalten.
Nach Angaben der Berliner Landesregierung bleiben sowohl der IKT-Notfallstab als auch die technischen Untersuchungen aktiv. Sicherheitsbehörden von Bund und Land arbeiten gemeinsam an der Aufklärung des Angriffs. Auch die Berliner Datenschutzbeauftragte und das Bundesamt für Sicherheit in der Informationstechnik werden über die neuen Erkenntnisse informiert.
Die Herausforderung besteht derzeit vor allem darin, den tatsächlichen Umfang des Angriffs zu bestimmen. Erst wenn die forensische Untersuchung abgeschlossen ist, lässt sich zuverlässig feststellen, welche Systeme kompromittiert wurden und welche Daten möglicherweise in die Hände der Täter gelangt sind.
Für die Berliner Verwaltung stehen in den kommenden Tagen drei Fragen im Mittelpunkt: Wie groß ist der tatsächliche Datenverlust? Welche Systeme müssen dauerhaft abgesichert oder neu aufgebaut werden? Und lässt sich verhindern, dass weitere Informationen veröffentlicht oder für Erpressungsversuche genutzt werden?
Die Behörden haben bereits klargestellt, dass sie kein Lösegeld zahlen wollen. Gleichzeitig müssen sie den Schutz personenbezogener Daten gewährleisten und die Funktionsfähigkeit der Verwaltung sichern.
Berlin steht damit vor einer längerfristigen Sicherheitsprüfung. Solange die forensischen Untersuchungen laufen, bleibt offen, wie weit die Angreifer tatsächlich in die Verwaltungsinfrastruktur eindringen konnten. Erst die technische Auswertung wird zeigen, ob der bisher bekannte Datenabfluss das gesamte Ausmaß des Cyberangriffs widerspiegelt.
