Rhysida hat geliefert, was die Gruppe angedroht hatte. Seit Freitag liegen 1,44 Millionen Dateien aus dem Berliner Landesnetz im Darknet, in der Nacht zu Sonntag folgte eine zweite Tranche mit Zugangsdaten. Der Senat hat nicht gezahlt – und steht jetzt vor der Frage, warum er wochenlang so kommuniziert hat, als sei nichts passiert. Identiqa-Gründer Daniel Schönland über professionelle Täterkommunikation, den Unterschied zwischen Verhandeln und Zahlen und einen Bezirk, der dem Senat die Gefolgschaft verweigert.
Was seit letztem Freitag im Netz steht
Am 4. September, kurz nach Ablauf des Ultimatums um 15.35 Uhr, hat die Erpressergruppe Rhysida die aus dem Berliner Landesnetz erbeuteten Daten veröffentlicht: rund 5,3 Terabyte, 1,44 Millionen Dateien aus den Senatsverwaltungen für Bauen und für Verkehr. In der Nacht zu Sonntag folgte eine weitere Tranche. Nach Angaben der Angreifer, die heise online in Teilen bestätigen konnte, sind darunter Passwortlisten im Klartext, gespeichert in Office-Dateien – neben Personalakten, Gehaltsabrechnungen, Bundesratsunterlagen und Objektlisten für den Verteidigungsfall.
Das BSI warnt vorsorglich vor gezielten Phishing-Angriffen. Der Senat lässt die Daten gemeinsam mit LKA und Bundesbehörden auswerten und will Betroffene identifizieren und informieren. Was der Datensatz tatsächlich enthält, ist zwei Tage nach der Veröffentlichung noch nicht abschließend klar.
Der Vermerk vom Februar
Politisch heikler als der Leak selbst ist die Chronologie der Kommunikation. Am 19. August hatte der Regierende Bürgermeister von Berlin, Kai Wegner (CDU) erklärt, nach damaligem Kenntnisstand seien keine sensiblen Daten abgeflossen. Am Samstag räumte er gegenüber der Bild ein, offenbar seien doch sensible Daten betroffen – „der Erkenntnisstand heute ein anderer".
Dazwischen liegt ein Dokument, das der Tagesspiegel in den geleakten Daten selbst gefunden hat: eine sogenannte Schutzbedarfsfeststellung vom Februar 2026, in der die Verwaltung festhält, digitaler Geheimschutz im strengen Sinne sei in der Berliner öffentlichen Verwaltung nicht möglich – gefolgt von einer langen Liste an Lösungsvorschlägen. Verschlusssachen wurden nach diesem Vermerk offenbar dennoch in den betroffenen Systemen weiter gespeichert. Manuel Atug von der AG KRITIS wirft dem Land gegenüber der dpa vor, grob fahrlässig gehandelt und Geheimschutzvorgaben vorsätzlich nicht eingehalten zu haben. Man wusste also, dass man die Daten nicht schützen konnte – und ließ sie liegen.
„Der Fehler ist nicht am 4. September passiert. Er ist im Februar dokumentiert worden."
Der Fall erinnert an den Bundestags-Hack von 2015: Auch damals blieben die Angreifer wochenlang unentdeckt, auch damals musste das gesamte Netz am Ende neu aufgebaut werden. Elf Jahre später ist die Landesverwaltung derselben Stadt an derselben Stelle gescheitert.
Lichtenberg verweigert den Zugang
Ein zweiter Krisenherd ist am Wochenende dazugekommen. Die Senatskanzlei hat den US-Anbieter CrowdStrike beauftragt, die Bezirkssysteme auf Schäden und Spuren der Angreifer zu prüfen. Der Bezirk Lichtenberg – einer der wenigen mit eigener IT außerhalb des ITDZ – hat am Sonntag endgültig entschieden, den Falcon-Agenten nicht auf seine Server zu lassen. Laut Tagesspiegel befürchtet das Bezirksamt einen vollumfänglichen Zugriff auf sämtliche Daten, auch personenbezogene, und verweist auf die gesetzlichen Herausgabepflichten des Unternehmens gegenüber US-Behörden sowie auf dessen Technologiepartnerschaft mit Palantir.
Rückendeckung kommt aus der deutschen Sicherheitsbranche. Andreas Lüning, Mitgründer und CTO von G DATA CyberDefense, hält die Bedenken des Bezirks auf LinkedIn für richtig: Forensik brauche zwangsläufig sehr weitreichende Zugriffsrechte, gerade deshalb müsse man sich genau überlegen, wem man sie gebe. Besonders irritiere ihn, dass die Senatskanzlei den Einsatz von CrowdStrike als „alternativlos" bezeichnet habe. Dass eine deutsche Verwaltung diesen Auftrag nicht an deutsche oder europäische Unternehmen vergebe, passe nicht zur Dauerdebatte über digitale Souveränität.
Die Wahl in 13 Tagen
Konsequenzen aus dem Vorfall wird es vor dem 20. September kaum geben. Wegner hatte bereits im Juli seine Spitzenkandidatur zurückgezogen – nach der Kritik an seinem Krisenmanagement beim mehrtägigen Blackout im Januar. Finanzsenator Stefan Evers führt die CDU seitdem in eine Wahl, in der die Partei im Juli-Trend von Infratest dimap bei 17 Prozent lag. Das BSI warnt ausdrücklich vor Hack-and-Leak-Operationen im Wahlkampf.
Interview: „Verhandeln heißt nicht zahlen"
</div>
Herr Schönland, der Senat hat nicht gezahlt. Die Fachwelt lobt das nahezu einhellig. Sie nicht?
Doch, die Entscheidung, kein Lösegeld zu zahlen, war richtig. Sie ist für eine Behörde auch gar nicht anders möglich. Was mich irritiert, ist etwas anderes: Nach allem, was öffentlich bekannt ist, hat das Land Berlin gar nicht erst mit den Erpressern kommuniziert. Man hat ein Ultimatum verstreichen lassen wie einen Termin, den man ohnehin nicht wahrnehmen wollte.
Was hätte Kommunikation gebracht, wenn am Ende ohnehin nicht gezahlt wird?
Möglicherweise mehr Zeit. Und Information. In der professionellen Incident Response ist Täterkommunikation Standard – nicht, um zu zahlen, sondern um herauszufinden, was die Gegenseite wirklich hat, welche Fristen sich schieben lassen und ob die Gruppe intern unter Druck steht. Jeder Tag, den Sie gewinnen, ist ein Tag mehr für Forensik, für Passwort-Rotation, für die Warnung der Betroffenen. Berlin hat diese Zeit nicht genutzt. Am Freitag um 15.35 Uhr war der Countdown zu Ende – und die sichtbarste Reaktion bestand darin, die Beschäftigten zum Passwortwechsel aufzufordern.
Sie plädieren also nicht für Verhandeln im Sinne von Zahlungsbereitschaft.
Nein, und diese Unterscheidung ist wichtig. Zahlen finanziert das Geschäftsmodell. Verhandeln ist Handwerk. Es gibt darauf spezialisierte Dienstleister, die nichts anderes tun, als mit Ransomware-Gruppen zu sprechen, ohne einen Cent zu überweisen. Das Ziel ist Kontrolle über den Ablauf. Die Alternative ist das, was wir gerade gesehen haben: Die Gegenseite bestimmt den Zeitplan, und die Verwaltung reagiert.
Der interne Vermerk vom Februar besagt, dass digitaler Geheimschutz in der Berliner Verwaltung nicht möglich sei. Was sagt Ihnen das?
Dass das Kind nicht erst am 4. September in den Brunnen gefallen ist, sondern bereits im Februar. Wer schriftlich festhält, dass er Verschlusssachen nicht schützen kann, hat zwei Optionen: die Daten umgehend aus dem System nehmen oder das System ertüchtigen. Berlin hat offenbar keine von beiden gewählt. Die Klartext-Passwörter in Office-Dateien passen ins Bild. Das ist keine Frage der Technik, das ist eine Frage der Organisation.
Der Senat setzt auf CrowdStrike, Lichtenberg verweigert aber den Zugang. Wer hat recht?
Beide haben einen Punkt, und das ist das Problem. Der Senat braucht schnell Forensik in großem Maßstab, und CrowdStrike kann das. Lichtenberg hat aber recht mit der Frage, was ein Software-Agent mit Vollzugriff auf alle Endgeräte alles sieht – auch Daten, die nie geleakt wurden. Mich hat vor allem die Geschwindigkeit überrascht, mit der der Auftrag vergeben wurde. Klüger wäre gewesen, mit mehreren Anbietern zu sprechen und eine parallele Untersuchung durch ein europäisches Team zuzulassen. Dann hätte man jetzt nicht diesen Konflikt zwischen Senat und Bezirk, sondern zwei Befunde.
Laut Tagesspiegel geht es nicht nur um Forensik: Die Bezirke wurden vom Berliner Chief Digital Officer angewiesen, CrowdStrike dauerhaft als Sicherheitssoftware auszurollen. Lichtenberg spricht von einem „positiven Virus", der auf den Systemen bleibt. Übertrieben?
Nein, das ist der eigentliche Kern des Streits, und er wird in der Berichterstattung zu wenig getrennt. Eine forensische Untersuchung ist zeitlich begrenzt und endet mit einem Bericht. Ein Endpoint-Agent mit Kernel-Zugriff, der danach auf jedem Gerät bleibt, ist eine strategische Architekturentscheidung – und die trifft man nicht unter Zeitdruck drei Wochen vor einer Wahl. Was mich stört, ist nicht das Produkt. Was mich stört, ist, dass aus einer Notfallmaßnahme nebenbei eine Systementscheidung für die gesamte Berliner Verwaltung wird, ohne dass jemand die Ausschreibung, die Vertragsbedingungen oder die Exit-Strategie gesehen hätte. Lichtenberg fragt genau danach: Welcher Vertrag, welche Dokumentation, was passiert mit den Daten. Das sind keine Bedenkenträger-Fragen, das sind Einkäufer-Fragen.
Lichtenberg betreibt als einer der wenigen Bezirke eigene IT-Infrastruktur außerhalb des landeseigenen ITDZ und hat nach eigener Prüfung keine Spuren der Angreifer gefunden. Ist das nicht gerade der Grund, es zu prüfen?
Beides ist richtig. Ein Bezirk, der sein eigenes Netz betreibt und einen anderen Schutzanbieter einsetzt, war möglicherweise gar nicht im Angriffspfad – das wäre dann eher ein Argument für Diversität in der Infrastruktur als dagegen. Aber „wir haben selbst geschaut und nichts gefunden" reicht nach einem Vorfall dieser Größe nicht. Die saubere Lösung wäre eine unabhängige Prüfung durch einen Dienstleister, dem beide Seiten vertrauen, mit klar begrenztem Auftrag und definiertem Enddatum. Dass Senat und Bezirk stattdessen darüber streiten, wer im Zweifel die Kosten trägt, zeigt, wie wenig Vorbereitung es für genau diesen Fall gab.
G DATA Mitgründer und CTO Andreas Lüning hat dazu geschrieben, digitale Souveränität bleibe sonst etwas, worüber wir nur gerne reden.
Das sehe ich auch so. Und es geht nicht um Nationalismus bei der Anbieterwahl. Es geht darum, dass eine deutsche Verwaltung bei der forensischen Untersuchung ihres eigenen Landesnetzes weiß, unter welchem Recht der Dienstleister steht. Das ist gerade nach so einem Vorfall wichtig, wie ich finde.
Was wäre jetzt Ihre Priorität – bis zur Wahl in 13 Tagen?
Erstens: alle Zugangsdaten rotieren, die in den Daten stehen könnten, und zwar systemweit, nicht nur in den zwei betroffenen Verwaltungen. Zweitens: Betroffene aktiv warnen, bevor die erste Phishing-Welle sie erreicht. Drittens: die Forensik weiterführen, aber getrennt vom politischen Betrieb. Die Aufarbeitung darf nicht zum Wahlkampfinstrument werden, in keine Richtung.
Und langfristig?
Berlin braucht eine konsistente Sicherheitsstrategie, die anerkennt, dass die eigene Verwaltung angreifbar bleibt. Absolute Sicherheit gibt es nicht, das weiß jeder in dieser Branche. Aber zwischen „absolut" und „Klartext-Passwörter in Word-Dateien" liegt ein Unterschied. Meine Empfehlung an andere Behörden und Kommunen: Holen Sie sich unabhängige Expertise, denken Sie in Szenarien, und üben Sie den Ernstfall, bevor er eintritt. Wer erst nach dem Angriff lernt, wie man mit Angreifern umgeht, hat im ersten Schritt bereits verloren.
Herr Schönland, vielen Dank für das Gespräch.
Daniel Schönland ist Gründer und CEO von Identiqa, einem europäischen Cybersicherheitsunternehmen mit Sitz in Dublin und Büros in Berlin, Düsseldorf, Frankfurt und München.