Die Hackergruppe Rhysida hat nach dem Angriff auf das Berliner Landesnetz 1,4 Millionen Datensätze ins Darknet gestellt. IT-Experten sehen auch in den norddeutschen Behörden teils großen Nachholbedarf – die Länder reagieren mit neuen Schutzschirmen, BSI-Kooperationen und Sicherheitsstrategien.
Der Cyberangriff auf das Berliner Landesnetz hat Deutschlands Behörden die eigene digitale Verwundbarkeit vor Augen geführt. Die Hackergruppe Rhysida stellte nach einem Angriff auf zwei Senatsverwaltungen rund 1,4 Millionen unverschlüsselte Datensätze ins Darknet – darunter nach Medienberichten Personalakten, Geburtsurkunden und Führungszeugnisse [1]. Das Land Berlin verweigerte die geforderte Lösegeldzahlung von 30 Bitcoin (rund zwei Millionen Euro); die Daten wurden nach Ablauf des Ultimatums am 4. September veröffentlicht [2].
Auslöser war eine Phishing-Mail, auf die ein Mitarbeiter der Berliner Verkehrsverwaltung geantwortet hatte [1]. Der Fall wirft die Frage auf, wie gut die Behörden in den norddeutschen Ländern gegen vergleichbare Angriffe geschützt sind. Eine NDR-Analyse zeigt: Die Länder rüsten auf – doch IT-Experten sehen weiterhin grundlegende Schwachstellen [1].
Note vier für die Behörden-IT
Bianca Kastl vom Chaos Computer Club (CCC) stellt den Behörden – auch in Norddeutschland – nur die Schulnote vier aus. Es fehle oft bereits an Basics wie automatisierten System-Updates oder der systematischen Erfassung und Dokumentation digitaler Daten. Zudem müsse deutlich stärker mit Mehr-Faktor-Identifizierung gearbeitet werden [1].
„IT-Sicherheit ist ein 24/7-Job", sagt Kastl. Diese Erkenntnis sei vor allem auf kommunaler Ebene noch nicht angekommen.
Ein weiterer Faktor sei das Sparen an den falschen Stellen. „Präventions- und Schutzmaßnahmen sind Bereiche, bei denen man ganz gerne spart. Frei nach dem Motto: ‚Ist bisher ja auch gut gegangen.‘ Das ist natürlich eine Fehlannahme", kritisiert die CCC-Hackerin. Sie spricht vom Präventionsparadox: Maßnahmen würden meist erst dann als wichtig erachtet, wenn der Angreifer bereits im System ist [1].
„Auftragshacker" sehen die kleinen Behörden als bevorzugtes Ziel
Philipp Kalweit verschafft sich beruflich Zugang zu IT-Systemen – als „Auftragshacker" im Auftrag von Unternehmen und Institutionen. Sein Kundenstamm reicht vom Bäckerbetrieb bis zur zweitgrößten gesetzlichen Krankenkasse Deutschlands. Die Bedrohungslage beschreibt er als Dauerzustand: „99 Prozent aller Angriffe sind voll automatisiert", rund 1.200 Hacker-Angriffe pro Woche gebe es auf jedes einzelne deutsche Unternehmen [1].
Die größte Sorge gelte dabei nicht den großen Instanzen. „Ich glaube, dass das Bundesverteidigungsministerium oder die Bundesregierung sicherlich gut geschützt sind. Aber gerade wenn es um die kleinen Behörden hier vor Ort geht, mache ich mir ernsthaft Sorgen", sagt Kalweit. Falle etwa eine Pensionskasse oder ein Jobcenter länger aus, habe das auch Auswirkungen auf den gesellschaftlichen Zusammenhalt – und damit auf die innere Sicherheit [1].
Niedersachsen setzt auf „Projekt Aegis"
Die niedersächsische Landesregierung hat seit Anfang des Jahres einen neuen Schutzschirm über die Landesverwaltung gespannt. Kern von „Projekt Aegis" ist eine cloudbasierte Plattform des US-Herstellers Palo Alto Networks, die Daten bündelt, automatisch abgleicht und die Zeit bis zur Erkennung eines Angriffs verkürzen soll. Das Land investiert dafür rund 30 Millionen Euro [3].
„Digitalisierung muss Chefinnen- und Chefsache sein. Das muss Priorität haben, weil es so gefährlich ist", sagt Innenministerin Daniela Behrens (SPD). Den Berliner Datenklau bezeichnet sie als „Super-GAU", der die Behörden täglich beschäftige. Es gehe um „den Kampf um die beste Technik, um schnelle Reaktion, um KI-Erkennung und natürlich auch um Personaleinsatz" [1].
Die Zahlen zeigen die Dimension: Laut Innenministerium hat Niedersachsen in den vergangenen 670 Tagen rund 1.880 ernstzunehmende Sicherheitsvorfälle registriert und abgewehrt – im Schnitt drei pro Tag [3]. Der Schutzschirm soll schrittweise auch auf kommunale IT-Dienstleister und Hochschulen ausgeweitet werden [1].
Kritik kommt von der Opposition und aus der Fachwelt. Der innenpolitische Sprecher der CDU, Andrè Bock, nennt den Schutzschirm „lückenhaft und Stückwerk", weil er auf einem sechs Jahre alten Gesetz beruhe [3]. Der IT-Experte Christopher Kunz von „Heise online" hält die Wahl des US-Anbieters angesichts der geopolitischen Lage für problematisch und die 30 Millionen Euro für einen stolzen Preis [3].
Hamburg, Schleswig-Holstein und Mecklenburg-Vorpommern
Auch die übrigen norddeutschen Länder haben reagiert. Hamburg verfügt seit 2025 über eine Cybersicherheitsstrategie, die unter anderem den Schutz kritischer Infrastrukturen und die Sensibilisierung der Beschäftigten vorsieht. Alle Fachverfahren der Stadt würden in einem der sichersten Rechenzentren Europas betrieben, teilt Jörg Schmoll vom Hamburger Amt für IT und Digitalisierung mit. Eine mehrstufige, präventiv wirkende Sicherheitsarchitektur werde durch eine Sicherheitsorganisation ergänzt, deren Aufgabe die schnelle Entdeckung und Reaktion auf Angriffe sei [1].
Schleswig-Holstein hat im Juni eine engere Zusammenarbeit mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) vereinbart. „Die Anforderungen an die IT-Sicherheit in öffentlichen Verwaltungen haben sich in den vergangenen Jahren deutlich erhöht", teilt das Innenministerium mit. Sicherheitsmaßnahmen seien bereits lange vor dem Berliner Vorfall ergriffen und fortgeschrieben worden [1].
Mecklenburg-Vorpommern hat die BSI-Kooperation bereits im Mai besiegelt. Die technischen und organisatorischen Schutzmaßnahmen des Landes würden „regelmäßig und risikoorientiert" auf ihre Wirksamkeit und technologische Aktualität überprüft, heißt es aus dem Innenministerium [1]. Der Fall der Landespolizei, die nach einem Hackerangriff auf Diensthandys reagieren musste, zeigt allerdings, dass auch im Norden Angriffe gelingen [1].
Der Mensch bleibt das größte Risiko
Trotz breit aufgesetzter Sicherheitssysteme reiche für Hacker manchmal nur eine kleine Lücke, sagt Auftragshacker Kalweit. Ein großer Risikofaktor sei nach wie vor der Mensch selbst. „Wir sind nicht schlecht aufgestellt, aber die Sisyphusaufgabe ist immer noch, dem Angreifer immer einen Schritt voraus sein zu müssen" [1].
Der Berliner Fall dürfte die Debatte über die IT-Sicherheit der öffentlichen Verwaltung weiter anheizen. Das BSI warnt nach dem Datenabfluss vor gezielten Phishing-Angriffen und vor Hack-&-Leak-Operationen im politischen Raum – gerade vor der Berliner Abgeordnetenhauswahl am 20. September [2]. Für die norddeutschen Länder bleibt die Frage, ob die neuen Schutzschirme und Kooperationen ausreichen, bevor der nächste Angriff kommt.