1. Berlin will IT-Sicherheit nach Cyberangriff verstärken

Beim Thema IT-Sicherheit sieht Berlins Regierender Bürgermeisters Kai Wegner dringenden Handlungsbedarf. Das Datennetz der Berliner Verwaltung muss nach seiner Überzeugung schnell besser vor Cyberattacken geschützt werden. „Wir werden nicht warten, bis eine neue Koalition gebildet ist, sondern wir werden alle personellen und finanziellen Ressourcen zur Verfügung stellen“, sagte der CDU-Politiker nach der jüngsten Senatssitzung mit Blick auf die Abgeordnetenhauswahl am 20. September.

Weiterlesen nach der Anzeige

„Wir sind dabei, das Landesnetz zu härten. Hier haben wir aus der aktuellen Cyberattacke neue Erkenntnisse gewonnen.“ Ein Ziel müsse eine stärkere Zentralisierung im Bereich IT für die Berliner Verwaltung sein, sagte Wegner. „Wir leben in einer anderen Bedrohungslage als vielleicht noch vor drei, vier oder fünf Jahren. Wir müssen einfach schauen, wie wir unsere Netze noch sicherer machen.“

Keine Hinweise auf weitere Cyberattacken im Datennetz

Zu der Mitte August bekannt gewordenen Cyberattacke auf die Berliner Verwaltung sagte Wegner, oberste Priorität sei gewesen, den Angriff zu unterbinden. „Und wir können heute feststellen, so zumindest der aktuelle Sachstand, dass uns das gelungen ist“, so der Regierende Bürgermeister.

Zum jetzigen Zeitpunkt gebe es keine Hinweise darauf, dass das Landesnetz noch infiltriert sei. Der nach Bekanntwerden des Cyberangriffs eingesetzte Krisenstab, der sich um die Sicherheit des Landesnetzes kümmere, arbeite aber weiter.

Cyberattacken gebe es inzwischen tagtäglich. „Und bislang ist es uns gelungen, diese Angriffe immer abzuwehren“, sagte Wegner. „Und jetzt ist einer durchgekommen, sehr, sehr professionell und mit einer sehr, sehr hohen kriminellen Energie.“

Der Cyberangriff auf Teile des Datennetzes der Berliner Verwaltung war am 14. August bekanntgeworden. Betroffen waren die beiden Senatsverwaltungen für Bauen und für Verkehr. Die Gruppe Rhysida erpresste das Land und forderte 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Der Senat zahlte nicht, die Cyberkriminellen veröffentlichten mindestens 1,2 Millionen Datensätze nach Ablauf ihres Ultimatums.

Senat will Beratung für Betroffene anbieten

Weiterlesen nach der Anzeige

Für möglicherweise von den Folgen der Cyberattacke betroffene Bürger und Unternehmen plant der Senat eine Anlaufstelle, wie Wegner ankündigte. Die Cyberkriminellen haben auch personenbezogene Daten erbeutet und veröffentlicht, die andere Kriminelle zum Beispiel für Identitätsdiebstahl oder weitere Formen von Betrug nutzen könnten.

Nach Angaben von Digitalstaatssekretär Florian Hauer geht es um Beratung und Hilfe für Menschen, die glauben, dass Daten von ihnen abgeflossen sein könnten. Details der Anlaufstelle sind noch offen, geplant ist zunächst ein zentraler E-Mail-Kontakt. Denkbar sei auch eine Telefon-Hotline. Das Ziel sei, das so schnell wie möglich anzubieten.

  • 7. bis 12. August 2026: Bei den beiden Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz werden Daten durch Unbekannte ausgeleitet. Der Angriff begann lange vor diesem Zeitpunkt.
  • 14. August 2026: Die beiden Senatsverwaltungen werden vom Landesnetz isoliert.
  • 17. August 2026: Die Senatskanzlei informiert per Pressemitteilung über einen „IKT-Vorfall im Landesnetz Berlin“. Es wird ein Notfallkrisenstab eingerichtet, BKA und LKA ermitteln, das BSI ist informiert.
  • 21. August 2026: Die beiden Behörden sind weiterhin vom Landesnetz abgeschnitten. Es kommt zu Problemen bei Transferleistungen, unter anderem kann an 50.000 berechtigte Haushalten in Berlin kein Wohngeld ausgezahlt werden.
  • 24. August 2026: Alle Teile der Senatsverwaltung sind wieder am Netz und laut des Regierenden Bürgermeisters Kai Wegner „grundsätzlich arbeitsfähig“.
  • 27. August 2026: Florian Hauer, Berliner Staatssekretär für Digitalisierung erklärt: „Derzeit gehen wir davon aus, dass der Angriff eingedämmt werden konnte“. Er kann nicht ausschließen, dass „auch personenbezogene oder sonstige nicht-öffentliche Daten betroffen sind“.
  • 28. August 2026: Sicherheitsbehörden treffen sich mit Vertretern des Landes Berlin zu einer Krisensitzung. Die Angreifer haben Daten erbeutet und stellen eine Lösegeldforderung. Der Regierende Bürgermeister Kai Wegner erklärt: „Das Land Berlin lässt sich nicht erpressen.“ Angaben zu Umfang und Inhalt der Daten gibt es nicht. Am Abend berichtet der Spiegel, dass die bekannte Ransomware-Bande „Rhysida“ dahinter stecken soll. Auf deren Darknet-Webseite gibt es nachvollziehbar eine Forderung nach 30 Bitcoin (rund 2 Millionen Euro), mitsamt angeblichen Auszügen aus den Daten. Die Kriminellen versprechen unter anderem Listen mit Passwörtern im Klartext, Justizunterlagen und über 46.500 Verträge des Landes.
  • 30. August 2026: Der CCC-Sprecher Joachim Selzer warnt vor möglichem Identitätsdiebstahl und anderen Betrugsversuchen. Bürger, von denen persönliche Angaben in dem vermeintlichen Datensatz enthalten sein könnten, würden zudem leicht Opfer von Erpressungsversuchen.
  • 1. September 2026: Auf einer Pressekonferenz bestätigt die Senatsverwaltung, dass auch Passwörter abgeflossen sind. Die Mitarbeiter der beiden Verwaltungen könnten daher derzeit nicht aus dem Home Office arbeiten. Alle 12.000 Systeme des Landes Berlin würden derzeit „rund um die Uhr“ überprüft.
  • 4. September 2026: Die Kriminellen veröffentlichen rund 1,44 Millionen Dateien im Darknet. Darunter sind auch Personalunterlagen, Angaben zu Disziplinarverfahren, Finanzunterlagen sowie Details zur Kritischen Infrastruktur des Landes Berlin.
  • 5. September 2026: Das BSI warnt vor einer „erhöhten Bedrohungslage“ für die Gesellschaft.
  • 6. September 2026: Das Land Berlin richtet eine „Steuerungseinheit“ ein. Vom Leak Betroffene sollen per E-Mail und Brief kontaktiert werden. Politiker und IT-Experten zeigen sich schockiert von Umfang und Inhalt der veröffentlichten Daten.
  • 7. September 2026: Nach einer Analyse des BSI mit Bezug auf einen Sicherheitshinweis von Microsoft wurde Berlin über die Methode „TerminalFix“ angegriffen. Dabei wird ein Nutzer per Phishing dazu verleitet, ein gefälschtes Captcha zu lösen und einen Befehl in das Windows-Terminal zu kopieren und auszuführen. Danach erfolgt eine Kette von Malware-Infektionen.
  • 7. September 2026: In der Nacht zum vorherigen Sonntag wurde von Rhysida ein zweites Datenpaket veröffentlicht. Die Senatsverwaltung will nun KI einsetzen, um eine Risikobewertung zu erleichtern.
  • 7. September 2026: Die Berliner Datenschutzbeauftragte rät zu erhöhter Wachsamkeit. Passwörter sollen geändert, Kontoaktivitäten genau kontrolliert, und verstärkt auf Phising geachtet werden. Das Cyberintelligence-Institut (CII) fordert ein bundesweites Sofortprogramm für kommunale Cyberresilienz.

Nicht auszuschließen ist nach Angaben des Staatssekretärs, dass bei der Cyberattacke auch Daten von Berlinern und von Unternehmen abgeflossen sind, die mit beiden Senatsverwaltungen in Kontakt standen – etwa, um eine Baugenehmigung zu beantragen. Der Prozess, diese zu identifizieren und zu informieren, um ihnen Hilfestellung zu geben, sei wegen der enormen Datenmengen sehr schwierig und könne Wochen dauern.

Anlaufstelle soll Tipps geben

Bei der geplanten Anlaufstelle gehe es unter anderem darum, besorgten Menschen allgemeine Hinweise zu geben, was sie tun könnten und worauf sie achten müssten. Eine externe Rechtsanwaltskanzlei und die Datenschutzbeauftragte des Landes unterstützen dabei beratend.

Wegner sagte, es sei Aufgabe von Staatsanwaltschaft, Landes- und Bundeskriminalamt, die Kriminellen aufzuspüren, die hinter der Cyberattacke steckten. „Wann die Ermittlungen abgeschlossen sind, kann man heute leider noch nicht sagen“, so der CDU-Politiker. „Aber ich kann Ihnen sagen, die Ermittlungen laufen auf Hochtouren.“ Das Landeskriminalamt habe eine besondere Aufbauorganisation dazu eingesetzt.

Gleichzeitig werde weiterhin analysiert, welche Daten bei der Cyberattacke gestohlen wurden. „Wir sind dabei, sämtliche Systeme zu untersuchen, was genau abgeflossen ist, wer wie an welcher Stelle wo drauf war“, sagte er. Staatssekretär Hauer wies darauf hin, die Daten mit Hilfe forensischer Software zu überprüfen, werde allerdings noch lange dauern.

(afl)

Dieser Link ist leider nicht mehr gültig.

Links zu verschenkten Artikeln werden ungültig,
wenn diese älter als 7 Tage sind oder zu oft aufgerufen wurden.

Sie benötigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen – ohne Verpflichtung!