Es seien „eine Menge an Daten abgeflossen“, sagte die Berliner Senatssprecherin Christine Richter bei einer Pressekonferenz im Anschluss an eine Sitzung des Senats am Dienstag. Dabei seien auch „Passwörter für einige Fachverfahren abgeflossen.“ Richter bestätigte damit erstmals, was die Erpresser Ende der vergangenen Woche behauptet hatten: Bei dem Cyberangriff, der mindestens seit Mitte August auf zwei Senatsverwaltungen durchgeführt wurde, fielen den Kriminellen auch Passwörter im Klartext in die Hände.

Weiterlesen nach der Anzeige

Dies belegt einen Teil der Darstellung der Ransomware-Bande „Rhysida“, welche diese mit Screenshots auf ihrer Darkweb-Seite erhebt. Demnach wurden bei den beiden angegriffenen Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz Passwortlisten im Klartext in Office-Dateien gespeichert. Rhysida behauptet auch, dass daneben zehntausende Verträge des Landes Berlin, Justizunterlagen über laufende Verfahren sowie gescannte Ausweisdokumente erbeutet wurden.

  • 7. bis 12. August 2026: Bei den beiden Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz werden Daten durch Unbekannte ausgeleitet. Der Angriff begann lange vor diesem Zeitpunkt.14. August 2026: Die beiden Senatsverwaltungen werden vom Landesnetz isoliert.
  • 17. August 2026: Die Senatskanzlei informiert per Pressemitteilung über einen „IKT-Vorfall im Landesnetz Berlin“. Es wird ein Notfallkrisenstab eingerichtet, BKA und LKA ermitteln, das BSI ist informiert.21. August 2026: Die beiden Behörden sind weiterhin vom Landesnetz abgeschnitten. Es kommt zu Problemen bei Transferleistungen, unter anderem kann an 50.000 berechtigte Haushalten in Berlin kein Wohngeld ausgezahlt werden.
  • 24. August 2026: Alle Teile der Senatsverwaltung sind wieder am Netz und laut des Regierernden Bürgermeisters Kai Wegner „grundsätzlich arbeitsfähig“.
  • 27. August 2026: Florian Hauer, Berliner Staatssekretär für Digitalisierung erklärt: „Derzeit gehen wir davon aus, dass der Angriff eingedämmt werden konnte“. Er kann nicht ausschließen, dass „auch personenbezogene oder sonstige nicht-öffentliche Daten betroffen sind“.
  • 28. August 2026: Sicherheitsbehörden treffen sich mit Vertretern des Landes Berlin zu einer Krisensitzung. Die Angreifer haben Daten erbeutet und stellen eine Lösegeldforderung. Der Regierende Bürgermeister Kai Wegner erklärt: „Das Land Berlin lässt sich nicht erpressen.“ Angaben zu Umfang und Inhalt der Daten gibt es nicht. Am Abend berichtet der Spiegel, dass die bekannte Ransomware-Bande „Rhysida“ dahinter stecken soll. Auf deren Darknet-Webseite gibt es nachvollziehbar eine Forderung nach 30 Bitcoin (rund 2 Millionen Euro), mitsamt angeblichen Auszügen aus den Daten. Die Kriminellen versprechen unter anderem Listen mit Passwörtern im Klartext, Justizunterlagen und über 46.500 Verträge des Landes.
  • 30. August 2026: Der CCC-Sprecher Joachim Selzer warnt vor möglichem Identitätsdiebstahl und anderen Betrugsversuchen. Bürger, von denen persönliche Angaben in dem vermeintlichen Datensatz enthalten sein könnten, würden zudem leicht Opfer von Erpressungsversuchen.
  • 1. September 2026: Auf einer Pressekonferenz bestätigt die Senatsverwaltung, dass auch Passwörter abgeflossen sind. Die Mitarbeiter der beiden Verwaltungen könnten daher derzeit nicht aus dem Home Office arbeiten. Alle 12.000 Systeme des Landes Berlin würden derzeit „rund um die Uhr“ überprüft.

Außer zu den Passwörtern wollte sich die Senatsverwaltung in der Pressekonferenz auf Nachfragen nicht zu Art und Umfang der abgeflossenen Daten äußern. Die Senatorin für Justiz und Verbraucherschutz, Dr. Felor Badenberg, betonte zum Ermittlungsverfahren, dass sie aus ermittlungstaktischen Gründen keine Stellung nehmen könne. Bestätigt wurde jedoch, dass die Mitarbeiter der beiden betroffenen Verwaltungen sich derzeit nicht aus dem Homeofficeoffice in die Systeme einloggen könnten. Sie seien aber per Mail erreichbar. Derzeit würden „weitere Sicherheitsmaßnahmen ergriffen.“

Systeme werden rund um die Uhr geprüft

Dazu gehöre auch, dass alle 12.000 digitalen Systeme des Landes Berlin derzeit überprüft würden. Wie lange das dauern soll, ist unklar, es werde „rund um die Uhr daran gearbeitet“. Nach bisherigem Stand sollen die Kriminellen nur Zugang zu den beiden genannten Verwaltungen gehabt haben, so die Sprecherinnen am Dienstag. Die beiden „Hauptdomains“ dieser Behörden seien schon „zu 100 Prozent überprüft worden.“ Die Cybergangster behaupten, 5,79 TByte an Daten aus den Systemen ausgeleitet zu haben.

Diese wollen sie, falls das Land Berlin nicht 30 Bitcoin bezahlt (derzeit rund 2 Millionen Euro), am Freitag veröffentlichen. „Das Land Berlin wird sich nicht erpressen lassen“, sagte Christine Richter. Sie wiederholte damit wortgleich die Haltung des Regierenden Bürgermeisters Kai Wegner vom Freitag. Falls Daten veröffentlicht würden, sollen „Bürgerinnen und Bürger sowie Mitarbeiterinnen und Mitarbeiter informiert werden“.

Weiterlesen nach der Anzeige

Im Übrigen liegt der Senatsverwaltung seit Samstag ein kurzer Fragenkatalog von heise online zur Art der abgeflossenen Daten, deren möglicher Authentizität und den technischen Umständen der Attacke vor. Darauf gibt es bisher keinerlei inhaltliche Antwort.

(nie)

Dieser Link ist leider nicht mehr gültig.

Links zu verschenkten Artikeln werden ungültig,
wenn diese älter als 7 Tage sind oder zu oft aufgerufen wurden.

Sie benötigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen – ohne Verpflichtung!