Berlin und die Sicherheit auf dem Papier

Auf der Website des IT-Dienstleistungszentrums Berlin steht ein Satz, der seit dem 14. August 2026 anders klingt als vorher: Der eigene Anspruch laute „maximal mögliche IT-Sicherheit" gegen Hackerangriffe und Schadsoftware. An jenem Freitag trennte der Senat zwei Verwaltungen vom Berliner Landesnetz, nachdem forensische Untersuchungen einen Sicherheitsvorfall in ihrem Bereich ergeben hatten (1). Die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen und die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt gingen offline. Zwischen dem 7. und 12. August hatten Angreifer unbemerkt Daten aus dem Netz gezogen (2). Erst danach fiel es auf.

Der Angriff trifft auf eine Verwaltungs-IT, deren strukturelle Probleme seit Jahren dokumentiert sind: verzögerte Zentralisierung, veraltete Systeme, unklare Verantwortlichkeiten und ein nur unvollständig umgesetztes Notfallmanagement. Ob eines dieser Defizite den konkreten Zugang ermöglichte, ist bislang unbekannt. Dass sie die Widerstandsfähigkeit der Verwaltung schwächen, war lange vor dem Angriff bekannt.

Wer über Kritis-Pläne und Geheimschutzvorgaben spricht, verliert leicht aus dem Blick, wen ein solcher Vorfall zuerst trifft: nicht die Verwaltung, sondern die Menschen, die von ihr abhängen. Am 19. August bestätigte der Senat, dass Wohngeldanträge nicht bearbeitet und die nächsten Auszahlungen nicht vorbereitet werden konnten. Mehr als 50.000 anspruchsberechtigte Haushalte mussten deshalb zeitweise um die zeitnahe Zahlung fürchten, ebenso Bezieher von Leistungen aus dem Bildungs- und Teilhabepaket (3). Am 23. August waren die Fachverfahren grundsätzlich wieder verfügbar, am 29. August auch der digitale Wohngeldantrag. Ein flächendeckender Ausfall der Zahlungen selbst wurde letztlich nicht bestätigt, wohl aber gut zwei Wochen Unsicherheit für alle, die auf eine zügige Bearbeitung angewiesen waren.

Weil sich unter den veröffentlichten Unterlagen auch Informationen mit möglicher Bedeutung für kritische Infrastrukturen und die militärische Sicherheit befinden, sind inzwischen mehrere Bundesbehörden eingebunden: Bundesamt für Sicherheit in der Informationstechnik (BSI), Bundeskriminalamt und Bundesamt für Verfassungsschutz, ihre Erkenntnisse laufen im Gemeinsamen Cyberabwehrzentrum zusammen.

Nach der Analyse potenzieller Sicherheitsrisiken sollen zudem Maßnahmen zur Wahrung der militärischen Sicherheit eingeleitet werden (4). Der CDU-Verteidigungspolitiker Roderich Kiesewetter bewertet das Ausmaß als gravierend und sieht die nationale Sicherheit gefährdet (5). Einen politischen Hintergrund des Berliner Angriffs sieht das BSI bislang nicht; es geht von einem finanziell motivierten Vorgehen aus. Unabhängig davon warnt die Behörde mit Blick auf die Abgeordnetenhauswahl am 20. September vor dem allgemeinen Risiko sogenannter Hack-and-Leak-Operationen, bei denen authentische Dokumente manipuliert oder irreführend eingeordnet werden (6).

Rhysida forderte 30 Bitcoin, umgerechnet rund zwei Millionen Euro; der Countdown auf der Leak-Seite der Gruppe lief am Freitagnachmittag ab. Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger hatten zuvor öffentlich erklärt, das Land lasse sich nicht erpressen. Nach Ablauf der Frist hat Rhysida den Datensatz auf ihrer Leak-Seite im Darknet zum Download bereitgestellt.

Die Zahlen von 1,44 Millionen Dateien und 5,79 Terabyte wurden zunächst von Rhysida selbst verbreitet und später auch für die veröffentlichten Datenpakete genannt. Sie sagen jedoch weder, ob das Material vollständig ist, noch ob jede Datei tatsächlich aus den betroffenen Berliner Systemen stammt. Noch weniger sagen sie über den Informationsgehalt: Eine Million redundante Dateien können harmloser sein als ein einziges aktuelles Passwortverzeichnis. Das Land Berlin hat den Datenabfluss bestätigt, den Umfang bislang aber nicht.

Was Journalistinnen und Sicherheitsexperten im veröffentlichten Material tatsächlich gesichtet haben, lässt sich von bloßen Behauptungen unterscheiden: private Geburtsurkunden, Telefonnummern und Reha-Unterlagen von Verwaltungsmitarbeitenden (7) ebenso wie Notfall- und Schutzkonzepte zur zivilen Verteidigung, Unterlagen zu Kasernen und Detailpläne zu Wasser- und Heizkraftwerken, Umspannwerken und Rüstungsbetrieben, bis hin zu Bauplänen von Justizvollzugsanstalten (8). Drei Kategorien also: von Behörden bestätigt, von Dritten eingesehen, nur von den Tätern behauptet. Wer über das Ausmaß des Schadens schreibt, sollte diese Unterscheidung nicht verwischen.

Wie die Angreifer ins Landesnetz gelangten, lässt sich inzwischen mit einiger Sicherheit rekonstruieren. Das BSI bestätigte über den Kurznachrichtendienst Mastodon eine Kampagne namens TerminalFix als genutzten Zugangsweg, eine Weiterentwicklung der als ClickFix bekannten Technik, die Microsoft Ende August 2026 beschrieben hatte; in der schriftlichen BSI-Sicherheitsmitteilung selbst taucht Berlin nicht namentlich auf, die Mastodon-Bestätigung verweist aber direkt darauf (9).

Der Ablauf: Auf einer präparierten, oft über Phishing-Mails oder Links in sozialen Netzwerken erreichten Website sollen Beschäftigte ein gefälschtes Cloudflare-Captcha lösen, das sie stattdessen dazu bringt, einen Befehl aus der Zwischenablage im Windows-Terminal auszuführen. Von dort lädt ein Skript weitere Schadsoftware nach, richtet einen dauerhaften Tunnel ins Netz der Organisation ein und erlaubt den Angreifern, sich lateral weiterzubewegen. Wie leicht sich Rhysida anschließend durch die gesamten Systeme beider Senatsverwaltungen bewegen konnte, ist weiterhin offen, ein Faktor dürfte geholfen haben: Zugangsdaten wurden dort offenbar teils im Klartext verwaltet (10). Rhysida selbst agiert seit Mai 2023 als Ransomware-as-a-Service, wie CISA, FBI und das Multi-State Information Sharing and Analysis Center dokumentieren.

Ende 2022 war das Ziel klar benannt: Die Senatsverwaltungen sollten ihren verfahrensunabhängigen IKT-Betrieb, insbesondere Netze, Telefonie, Arbeitsplatzausstattung und Drucker, bis Ende 2024 zum ITDZ überführen. Der Senatsbeschluss vom August 2022 sollte dafür zunächst eine verbindliche Planung schaffen. Die einzelnen Fachverfahren selbst waren von diesem Programm allerdings nicht vollständig erfasst. Schon 2023 war die Migration nur teilweise umgesetzt; dass die Zielmarke Ende 2024 flächendeckend erreicht wurde, ist in den öffentlich zugänglichen Unterlagen nicht dokumentiert. Beide betroffenen Häuser betreiben bis heute eigene IT-Strukturen und werden nicht direkt vom ITDZ verwaltet.

Zentralisierung ist dabei kein Selbstzweck und keine Garantie. Ein zentraler Dienstleister kann einheitliche Standards und bessere Überwachung schaffen, er bündelt aber auch die Verwundbarkeit an einer Stelle. Das ITDZ selbst kämpfte mit eigenen Kapazitätsproblemen: Mit Stand Juni 2023 waren 362 Stellen unbesetzt, der überwiegende Teil davon in technischen Bereichen wie IT-Sicherheit, IT-Planung und IT-Architektur. Ein Dienstleister, der Sicherheit zentralisieren soll, aber selbst an Personalmangel leidet, verlagert das Problem eher, als es zu lösen.

Wie es um die Umsetzung tatsächlich stand, hat Manuel Atug, Gründer der unabhängigen AG Kritis, im November 2025 im Innenausschuss des Abgeordnetenhauses mit Zahlen belegt: Von 415 bekannten Fachverfahren der Berliner Verwaltung galten 156 als nicht mit Windows 11 kompatibel. Für 133 Fachverfahren fehlte eine Rückmeldung; sie wurden als Risiko klassifiziert. Noch bezeichnender war ein anderer Fund: Die Leitlinie zur Informationssicherheit der Landesverwaltung stammte weiterhin aus dem Jahr 2017, verwies auf längst ersetzte BSI-Grundschutz-Standards und war entgegen ihrer eigenen Vorgabe, sich mindestens alle zwei Jahre selbst zu überprüfen, seither nicht aktualisiert worden.

Atug hatte genau diesen Punkt schon 2023 im selben Ausschuss benannt, als er die IT-Sicherheitslage in Berlin und allen anderen Bundesländern als „gruselig und desolat" beschrieb. Sein eigenes Fazit im November 2025: Einer Papercompliance helfe nicht, entscheidend seien Umsetzung, Vollständigkeitsprüfung und Wirksamkeitsprüfung gelebter Sicherheitsprozesse. Es fehlte nicht an Strategie, sondern an ihrer Umsetzung.

Nach dem Datenabfluss wurde Atug deutlicher und warf dem Land vor, grob fahrlässig und teilweise mit Vorsatz gehandelt zu haben (4). Ihm zufolge hatte Berlin 2024 zudem beschlossen, die Ausgaben für den IT-Dienstleister um die Hälfte zu kürzen; zwei Millionen Euro für Angriffs- und Einbruchserkennung seien gestrichen worden, während vergleichbare Summen in Massenüberwachung und Gesichtserkennung flossen (11). Unabhängig prüfen lässt sich diese konkrete Angabe anhand der bislang herangezogenen Haushaltsunterlagen nicht.

In derselben Anhörung im November 2025 wies auch der Cybersicherheitsexperte Sven Herpig darauf hin, dass die Berliner Landesverwaltung mit Stand August 2025 noch über kein umfassend implementiertes IKT-Business-Continuity-Management verfügte. Übungen hatte Berlin durchaus durchgeführt, 2024 etwa eine übergreifende Informationssicherheits- und Notfallübung. Nach Herpigs Befund fehlte die umfassende Implementierung eines Systems, das Zuständigkeiten, Wiederanlauf, getestete Backups und Krisenkommunikation dauerhaft miteinander verbindet. Eine Übung ist ein Termin. Resilienz ist ein Betriebszustand.

Dieselbe Zersplitterung zeigt sich jetzt sogar bei der Aufarbeitung: Für die forensische Untersuchung beauftragte die Senatskanzlei das US-Unternehmen CrowdStrike, der Bezirk Lichtenberg verweigert aber den Einsatz von dessen Software auf eigenen Servern, aus Sorge vor weitreichendem Datenzugriff, Störungen eigener Fachverfahren und zusätzlichen Überwachungsmöglichkeiten gegenüber den Beschäftigten (12). Selbst die Reaktion auf den Angriff läuft damit so unkoordiniert wie die Struktur, die die Verwaltung ohnehin kennzeichnet.

Mit der Veröffentlichung im Darknet tritt der Vorfall in eine zweite Phase ein. Dass solche Drohungen ernst zu nehmen sind, zeigt eine Zahl, auf die sich das BSI beruft: In 92 Prozent der Fälle, in denen Ransomware-Gruppen mit einer Veröffentlichung drohen, setzen sie diese Drohung auch um. Rhysida selbst zielt nach eigenem Muster vor allem auf den Gesundheits- und Bildungssektor, öffentliche Verwaltungen gehören aber ebenfalls zu den fünf meistgenannten Opfertypen.

Das BSI warnt vor gezielten Phishing-Angriffen, die sich der nun öffentlichen Daten bedienen, insbesondere gegenüber Menschen, die mit betroffenen Personen oder Institutionen in Kontakt standen. Der Unterschied zu gewöhnlichem Phishing liegt in der Präzision: Wer echte interne Aktenzeichen, echte Namen und echte Vorgänge kennt, formuliert Betrugsversuche, die sich schwerer als solche erkennen lassen.

Eine E-Mail, die sich auf einen tatsächlichen Bauantrag oder eine echte Reha-Maßnahme bezieht, wirkt glaubwürdiger als jede generische Betrugsnachricht. Berlins Datenschutzbeauftragte Meike Kamp rät Betroffenen deshalb zu erhöhter Wachsamkeit: Passwörter ändern, Kontobewegungen kontrollieren, bei unaufgeforderten Kontaktversuchen skeptisch bleiben und bei konkreten Drohungen oder dem Nachweis veröffentlichter persönlicher Daten unverzüglich die Polizei einschalten (13).

Hinzu kommt ein Kontrollverlust, der sich nicht rückgängig machen lässt. Einmal im Darknet veröffentlichte Daten lassen sich kopieren, weiterverbreiten und von anderen Kriminellen auswerten, unabhängig davon, ob Rhysida selbst noch beteiligt ist. Für Bürgerinnen und Mitarbeitende bedeutet das eine Unsicherheit ohne Enddatum: Ein gestohlenes Passwort lässt sich ändern, eine veröffentlichte Geburtsurkunde nicht.

Was für das Berliner Landesnetz gilt, gilt in kleinerem Maßstab für jeden Verband, jede Kanzlei und jede Praxis. Ein Sicherheitskonzept in der Schublade wirkt gegen keinen einzigen Angriff. CISA empfiehlt im Umgang mit Kampagnen wie TerminalFix und mit Gruppen wie Rhysida unter anderem eine eingeschränkte Ausführung von PowerShell und Terminal-Zugriffen für Standardnutzer, Mehrfaktor-Authentifizierung für alle Fernzugänge, eine konsequente Netzwerksegmentierung gegen laterale Bewegungen sowie Backups, die getrennt vom Produktivnetz liegen und regelmäßig getestet werden.

Der bequeme Satz vom Menschen als „schwächstem Glied" greift zu kurz. Gute Sicherheitsarchitektur rechnet damit, dass Menschen Fehler machen, gerade weil Angriffe wie TerminalFix gezielt auf einen kurzen Moment der Unachtsamkeit setzen. Schulungen können das Risiko eines erfolgreichen Angriffs senken. Phishing-resistente Mehrfaktor-Authentifizierung, begrenzte Zugriffsrechte und segmentierte Netze entscheiden jedoch darüber, ob ein falscher Klick auf einem Arbeitsplatz endet oder sich durch eine ganze Organisation bewegt. Resilienz beginnt dort, wo ein einzelner Fehler nicht mehr das gesamte System gefährdet.

Dass es sich dabei nicht um ein rein Berliner Problem handelt, betont auch das Cyberintelligence-Institut: Ein vergleichbarer Angriff hätte praktisch jede andere deutsche Großstadt ähnlich schwer treffen können, weil die Cybersicherheitsarchitektur auf Länder- und Kommunalebene bundesweit einem Flickenteppich aus kaum überschaubaren Zuständigkeiten gleiche (14).

Der Vorfall wird noch Monate beschäftigen: forensische Gutachten, Ausschusssitzungen, vermutlich auch juristische Aufarbeitung. Was jetzt schon feststeht, ist unabhängig vom Ausgang dieser Verfahren. Berlin fehlte es nicht an Warnungen. Es fehlte an den Konsequenzen daraus.