Berlin – Erst fordern die Hacker Geld. Dann stellen sie die Beute ins Netz. Das ist die Vorgehensweise der Hackergruppe Rhysida, die Anfang August in die IT-Systeme der Senatsverwaltung eingedrungen ist.
Die Senatskanzlei erklärte: „Das Land Berlin ist Opfer einer äußerst schweren Straftat geworden. An erster Stelle steht die Sicherheit des Landesnetzes Berlin, der Beschäftigten des Landes Berlin sowie der Bürgerinnen und Bürger des Landes Berlin.“ Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger bekräftigten diese Haltung. Berlin zahle kein Lösegeld an Cyberkriminelle.
Am Freitagnachmittag begann Rhysida die Daten auf ihrer Erpresserseite im Tor-Netzwerk zu veröffentlichen. Die geforderten 30 Bitcoin – rund zwei Millionen Euro – blieben also tatsächlich aus.
Nun zeigt sich, was die Erpresser in der Hand hatten.
Die Beute besteht aus 5,79 Terabyte in rund 1,44 Millionen Dateien, veröffentlicht in drei Tranchen. Nach einer ersten Sichtung durch B.Z. liegen darunter etwa 12.000 Personendatensätze, Passkopien, Ausweise und interne Passwörter für Landesdatenbanken. Dazu kommen Personalakten, Notfallpläne und Protokolle von Mitarbeitergesprächen.
Darunter sind Angaben zu Wiedereingliederungen nach Krankheiten, Disziplinarmaßnahmen und Aufhebungsverträgen sowie Gehälter und Arbeitsverträge leitender Verwaltungsmitarbeiter. Informationen aus den Personalakten der Betroffenen sind im Tor-Netzwerk frei zugänglich.
Brisanter noch sind die Unterlagen zur Sicherheit der Hauptstadt. In den Daten finden sich nach B.Z.-Recherchen Dokumente mit Sicherheitseinstufung, Analysen zum Stromausfall im Südwesten Berlins Anfang des Jahres sowie Strategiepapiere für Ausfälle kritischer Infrastruktur. Genannt werden Wasser- und Stromnetze, Heizkraftwerke, Tanklager, Notstromanlagen und Umspannwerke. Unter den Dateien befinden sich zudem Unterlagen, die Gefängnisse, Wasserwerke, Rüstungsunternehmen, die Bundeswehr und die Berliner Innenverwaltung betreffen.
B.Z.-Reporter erhielten Zugang zu den Daten im Dark Web. Zu den zahlreichen von Rhysida veröffentlichten sicherheitsrelevanten Dokumenten gehören auch vertrauliche Unterlagen zu KRITIS
Foto: Privat
Für Angreifer wären solche Informationen wertvoll. Sie beschreiben nach den vorliegenden Angaben, wo Berlin bei Wasser- und Stromversorgung verwundbar ist. In einem hybriden Konflikt, etwa mit Russland, könnten diese Analysen Hinweise auf Schwachstellen liefern. Aus Sicherheitsgründen nennt die B.Z. keine Inhalte dieser Dokumente.
Auch Polizei und Justiz sind betroffen. In den veröffentlichten Beständen liegen Telefon- und Kontaktlisten des Landeskriminalamts mit Namen, Erreichbarkeiten und Zuständigkeiten. Hinzu kommen Lage- und Baupläne von Polizeidienststellen, Dienstpläne für Katastrophenfälle und Pläne der Justizvollzugsanstalt Tegel.
Wie konnte das passieren?
Erste forensische Untersuchungen deuten darauf hin, dass die Hacker über einen externen Fernzugang in die Verwaltungsinfrastruktur gelangten. Sicherheitsbehörden warnen seit Langem vor VPN-Verbindungen, die nur mit einfachen Passwörtern und ohne verpflichtende Zwei-Faktor-Authentifizierung gesichert sind. Am 7. August bemerkte die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt zum ersten Mal einen ungewöhnlichen Abfluss von Daten. Vom Berliner Landesnetz (BeLa) getrennt wurden die kompromittierten Systeme erst am 17. August.
Ein internes Protokoll aus dem Februar 2026, das ebenfalls am Freitag veröffentlicht wurde, wirft weitere Fragen auf. Darin heißt es: „Kein digitaler Geheimschutz (im strengen Sinne) in der Berliner öffentlichen Verwaltung möglich, da SINA Infrastruktur nicht umgesetzt.“ SINA, die Sichere Inter-Netzwerk-Architektur, soll Verschlusssachen selbst bei einem Angriff auf das normale Verwaltungsnetz schützen.
Der Vermerk zeigt: Der fehlende Schutz war mindestens ein halbes Jahr vor dem Datenabfluss bekannt. Weil die SINA-Infrastruktur fehlte, lagen Dokumente mit Sicherheitseinstufung auf regulären Servern des Landesnetzes. In der Ordnerstruktur fanden sich nach BZ-Sichtung neben Bereichen wie „Controlling“, „Karten“ und „KRITIS“ sogar private Musiksammlungen, Familienfotos und Bilder von Abschiedsfeiern.
Die Veröffentlichung kommt zwei Wochen vor der Wahl zum Abgeordnetenhaus am 20. September. Der Ablauf der Wahl sei gesichert, erklärt die Senatsinnenverwaltung; bisher seien keine wahlrelevanten Systeme kompromittiert worden.
Wer steckt hinter Rhysida?
Rhysida ist eine sogenannte Ransomware-as-a-Service-Gruppe (RaaS), die im Mai 2023 aufgetaucht ist. Ihr Modell: Daten verschlüsseln, die Opfer erpressen und bei ausbleibender Zahlung Dateien veröffentlichen. Die Gruppe gibt sich dabei als „Cybersecurity Team“ aus und nimmt vor allem Einrichtungen des Gesundheits- und Bildungswesens sowie Behörden ins Visier.
Foto: Privat
Nach eigenen Angaben hat Rhysida in drei Jahren Dutzende Angriffe verübt. Ransomware-Tracker, Cyberexperten und Opfer haben diese Angriffe bestätigt. Seit dem Angriff auf Berlin reklamiert die Gruppe mindestens zwei weitere Hacks für sich: auf eine ungarische Entwicklungsorganisation und ein US-amerikanisches Gesundheitsunternehmen. Zu den Opfern, die Rhysida seit 2023 attackiert hat, gehören außerdem die chilenische Armee, der Flughafen Seattle-Tacoma und der französische Luftfahrtkonzern Stelia Aerospace.
Eine Verbindung zum russischen Staat wird vielfach vermutet, ist aber nicht bestätigt. Rhysida setzt auf doppelte Erpressung: Wer nicht zahlt, verliert nicht nur den Zugriff auf seine Dateien – er findet sie im Netz wieder, wie alle anderen auch.
Haben Sie einen Fehler in diesem Artikel entdeckt? Dann schreiben Sie uns gern: fehler.melden@bz.de.