Eine Kopie des Personalausweises der amtierenden Berliner Verkehrssenatorin Ute Bonde (CDU), dazu ihre digital gespeicherte Unterschrift: Diese Dokumente befinden sich nach Recherchen von rbb24 in dem Datenpaket, das die Hackergruppe Rhysida im Darknet veröffentlicht hat. Der Fall zeigt, wie tief der Angriff auf zwei Senatsverwaltungen reichte – und wie lückenhaft die IT-Sicherheit des Landes aufgestellt war.
Ein Ausweis, eine Unterschrift – und ein Datenberg
Es ist ein Dokument, das in keinem Dateisystem etwas zu suchen hat: eine Kopie des Personalausweises der amtierenden Berliner Verkehrssenatorin Ute Bonde (CDU). Nach einer Auswertung von rbb24 Recherche befindet sie sich ebenso in dem im Darknet veröffentlichten Datenpaket wie eine gespeicherte Kopie ihrer digitalen Unterschrift 1. Die Berliner Morgenpost griff den Fall am Mittwoch auf 2.
Die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt bestätigt auf Anfrage, dass Bonde von dem Datenabfluss betroffen ist. Bei den entwendeten Informationen handele es sich überwiegend um "unstrukturierte Daten aus gemeinsam genutzten und persönlichen Verzeichnissen von Mitarbeiterinnen und Mitarbeitern der betroffenen Behörden" 1.
Lesen Sie auchBerliner Verwaltung erklärt IT-Notfall nach Hackerangriff für beendet→
Betroffen ist nicht nur die Leitungsebene. In dem Datensatz liegt nach den Recherchen auch der Mailverkehr von Bondes Vorgängerinnen Manja Schreiner (CDU) und Bettina Jarasch (Grüne) – dazu zahlreiche weitere Ausweiskopien und personenbezogene Unterlagen von Beschäftigten der beiden Verwaltungen 1.
Ausgangspunkt war ein Angriff, der am 14. August 2026 bekannt wurde und die Senatsverwaltungen für Verkehr und Umwelt sowie für Stadtentwicklung, Bauen und Wohnen traf. Die Gruppe Rhysida forderte 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Der Senat zahlte nicht. Daraufhin veröffentlichten die Kriminellen nach Ablauf ihres Ultimatums mindestens 1,2 Millionen Datensätze im Darknet 3. Nach Angaben der Angreifer und des Senats flossen insgesamt rund 5,8 Terabyte ab; in ihrer Verkaufsanzeige hatten die Täter Daten zu rund 12.000 Personen und 148 Kontonummern beworben 5.
Fünf Prozent Schutz
Der Umfang des Leaks ist die eine Seite. Die andere ist die Frage, wie gut die betroffenen Behörden überhaupt geschützt waren – und die Antwort fällt ernüchternd aus. Schon vor dem Angriff waren in beiden Senatsverwaltungen Engpässe bei Personal und Finanzierung der IT-Sicherheit bekannt. 2024 standen die dafür nötigen Mittel nur "teilweise im erforderlichen Maße" zur Verfügung, heißt es in einer Antwort der Verwaltungen an den rbb. Dabei verpflichtet die landesweite Leitlinie zur Informationssicherheit die Behörden seit 2017, ausreichend Personal und Geld für technische und organisatorische Schutzmaßnahmen bereitzustellen 1.
2026 führte das Land ein System zur Erkennung von Cyberangriffen ein. Die Lizenzen reichten jedoch nur für fünf Prozent aller Geräte, teilte die Senatsverwaltung für Stadtentwicklung mit; eine Ausweitung auf alle Geräte sei "aus finanziellen Gründen" nicht möglich gewesen. Die vom Angriff betroffenen Systeme gehörten nicht zu diesen fünf Prozent – weder das als Einstiegspunkt identifizierte Endgerät noch die Server, von denen später Daten abflossen 1.
Das ist auch eine haushaltspolitische Entscheidung. Ende 2024 kürzte der Senat das Budget des IT-Dienstleistungszentrums (ITDZ) von 32,2 auf 18,2 Millionen Euro, rund zwei Millionen Euro wurden bei der Eindringungserkennung gestrichen 4. Der Grünen-Digitalexperte Stefan Ziller sieht darin eine Folge der Haushaltspolitik: "Man hat sehenden Auges das Sicherheitsrisiko in Kauf genommen." 1
Warnungen, deren Ankunft unklar ist
Spätestens seit März 2025 warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor einer Masche, bei der Nutzer über gefälschte Sicherheitsabfragen selbst einen schädlichen Befehl ausführen und den Angreifern damit die "Tür ins System öffnen". Bekannt wurde sie als "ClickFix". Im September 2026 beschrieb das BSI unter dem Namen "TerminalFix" eine weiterentwickelte Variante, bei der die Täter vom ersten infizierten Rechner aus tiefer in ein Netzwerk vordringen können. Eine dabei verwendete Schadsoftware ordnet die Behörde derselben kriminellen Gruppe zu, der sie auch Rhysida zurechnet 1.
Ob der Berliner Angriff nach diesem Muster ablief, bestätigt das BSI nicht. Unbeantwortet bleibt auch, ob die seit März 2025 verbreiteten Warnungen die zuständigen Stellen in Berlin erreichten – und welche Maßnahmen daraus folgten. In der Hauptstadt läuft die Zuständigkeit über das ITDZ, das im Auftrag der Senatskanzlei das Berlin-CERT betreibt. Dieses informiert die Informationssicherheitsbeauftragten der Behörden; umgesetzt werden empfohlene Schutzmaßnahmen von den Behörden selbst. Das ITDZ verweist auf Nachfrage an die Senatskanzlei – und auch dort bleibt die Frage offen 1.
Ziller hält die verteilten Zuständigkeiten für überholt und fordert eine stärkere Zentralisierung der IT-Sicherheit. Der Fall verweist damit auf ein strukturelles Problem, das über Berlin hinausreicht: Warnungen sind nur so wirksam wie die Stelle, die sie umsetzt.
"Desaströse" Kommunikation
Für die Betroffenen ist die technische Analyse die eine, der Umgang mit ihnen die andere Frage. Jarasch erklärte gegenüber dem rbb, sie sei nur informell darüber informiert worden, dass sie betroffen sei – nicht aber über den Umfang. Auf eine offizielle Auskunftsanfrage habe die Datenschutzbeauftragte der Senatsverwaltung mitgeteilt, die Bearbeitung verzögere sich wegen der hohen Zahl von Anfragen um Monate. Die Informationspolitik des Landes nennt Jarasch "desaströs" 1 4.
Die Anlaufstelle des Senats für Betroffene teilt mit, Betroffene würden "unverzüglich und risikobasiert" benachrichtigt, "sobald die durch die Untersuchung der abgeflossenen Daten gewonnenen Erkenntnisse das zulassen" 4. Angesichts mehrerer hundert Anfragen von Bürgerinnen und Bürgern ist das eine Formulierung, die vor allem eines deutlich macht: Das Land weiß bis heute nicht vollständig, wessen Daten in dem Paket liegen.
Was auf die Betroffenen zukommt
Ein Personalausweis plus digital gespeicherte Unterschrift ist ein besonders heikles Duo. Beides zusammen erleichtert Identitätsdiebstahl – von der Eröffnung von Konten über Vertragsabschlüsse bis zu Täuschungsversuchen gegenüber Behörden. Hinzu kommt, dass die Daten nicht verschwinden: Ein einmal veröffentlichtes Leak kursiert dauerhaft in Kopien.
Der IT-Sicherheitsberater Manuel Atug, Sprecher der Arbeitsgruppe Kritische Infrastrukturen, erwartet eine jahrelange Belastung. "Man weiß nicht, wer alles Kopien davon hat. Der Senat wird noch Jahre damit zu tun haben", sagte er der Berliner Zeitung. Manche Menschen könne es noch in 30 Jahren treffen, etwa wenn bei einer Bewerbung ein altes Disziplinarverfahren auftauche 5. In dem Datensatz finden sich nach seinen Angaben auch Personalakten zu laufenden Disziplinarverfahren, ein Fall mit Bezug zum Staatsschutz des Landeskriminalamts sowie als Verschlusssache eingestufte Unterlagen. Passwörter wie "Sonnenschein13" seien im Klartext in Home-Laufwerken abgelegt worden 5.
Atug bezweifelt zudem, dass die Veröffentlichung vollständig ist. "Ich glaube denen nicht, dass sie nur das abgegriffen haben, was sie veröffentlicht haben", sagte er 5. Für die betroffenen Beschäftigten bedeutet das: Sie können sich nicht darauf verlassen, dass der Schaden mit dem bekannten Datenpaket abschließend beschrieben ist.
Ende der Notfalllage, Anfang der Aufarbeitung
Am 15. Oktober erklärte die Senatskanzlei die akute Gefahr für beendet. Seit dem 13. August habe es keine Angriffe mehr auf die untersuchten Bereiche des Landesnetzes gegeben, dem Angreifer sei es nicht gelungen, das Netz nachhaltig zu infiltrieren 3. Digital-Staatssekretär Florian Hauer rief das Ende der seit August geltenden Notfalllage aus und sprach zugleich von einer weiter angespannten Bedrohungslage. Als Übergangslösung kaufte das Land einen externen Cybersicherheitsdienst ein, den Hauer als "Alarmanlage" bezeichnete; nach Angaben des Tagesspiegels fiel der Auftrag an CrowdStrike 4.
Die politische Aufarbeitung steht dagegen noch am Anfang. Im Sondierungspapier von Linke, Grünen und SPD für die künftige Landesregierung ist von einer zu prüfenden Notlagenerklärung für die IT-Infrastruktur die Rede, mit der notwendige Investitionen finanziert werden sollen. Ein Sofortprogramm soll die "verpflichtende Angriffserkennung für alle Dienststellen" bringen 4.
Offen bleiben die entscheidenden Fragen: ob die BSI-Warnungen die betroffenen Verwaltungen erreichten, wie viele Beschäftigte und Bürger tatsächlich betroffen sind und ob weitere Daten folgen. Dass ausgerechnet der Personalausweis einer amtierenden Senatorin in einem öffentlich zugänglichen Leak liegt, ist dabei mehr als ein Symbol. Er zeigt, dass die Schutzlücke nicht vor der Leitungsebene haltmachte – und dass die Frage nach der Verantwortung für die Kürzungen der vergangenen Jahre noch nicht beantwortet ist.
Ähnliche Artikel
