Am Freitagnachmittag begann Rhysida die Daten auf ihrer Erpresserseite im Tor-Netzwerk zu ver\u00f6ffentlichen. Die geforderten 30 Bitcoin \u2013 rund zwei Millionen Euro \u2013 blieben also tats\u00e4chlich aus.<\/p>\n
Nun zeigt sich, was die Erpresser in der Hand hatten.<\/p>\n
Die Beute besteht aus 5,79 Terabyte in rund 1,44 Millionen Dateien, ver\u00f6ffentlicht in drei Tranchen. Nach einer ersten Sichtung durch B.Z. liegen darunter etwa 12.000 Personendatens\u00e4tze, Passkopien, Ausweise und interne Passw\u00f6rter f\u00fcr Landesdatenbanken. Dazu kommen Personalakten, Notfallpl\u00e4ne und Protokolle von Mitarbeitergespr\u00e4chen.<\/p>\n
Darunter sind Angaben zu Wiedereingliederungen nach Krankheiten, Disziplinarma\u00dfnahmen und Aufhebungsvertr\u00e4gen sowie Geh\u00e4lter und Arbeitsvertr\u00e4ge leitender Verwaltungsmitarbeiter. Informationen aus den Personalakten der Betroffenen sind im Tor-Netzwerk frei zug\u00e4nglich.<\/p>\n
Brisanter noch sind die Unterlagen zur Sicherheit der Hauptstadt. In den Daten finden sich nach B.Z.-Recherchen Dokumente mit Sicherheitseinstufung, Analysen zum Stromausfall im S\u00fcdwesten Berlins Anfang des Jahres sowie Strategiepapiere f\u00fcr Ausf\u00e4lle kritischer Infrastruktur. Genannt werden Wasser- und Stromnetze, Heizkraftwerke, Tanklager, Notstromanlagen und Umspannwerke. Unter den Dateien befinden sich zudem Unterlagen, die Gef\u00e4ngnisse, Wasserwerke, R\u00fcstungsunternehmen, die Bundeswehr und die Berliner Innenverwaltung betreffen.<\/p>\n
![\"B.Z.-Reporter](\"https:\/\/www.europesays.com\/de\/wp-content\/uploads\/2026\/09\/d19440c452a942bc07c90fc85d1518e2,86312794.webp\")
<\/p>\n
B.Z.-Reporter erhielten Zugang zu den Daten im Dark Web. Zu den zahlreichen von Rhysida ver\u00f6ffentlichten sicherheitsrelevanten Dokumenten geh\u00f6ren auch vertrauliche Unterlagen zu KRITIS<\/p>\n
Foto: Privat<\/p>\n
F\u00fcr Angreifer w\u00e4ren solche Informationen wertvoll. Sie beschreiben nach den vorliegenden Angaben, wo Berlin bei Wasser- und Stromversorgung verwundbar ist. In einem hybriden Konflikt, etwa mit Russland, k\u00f6nnten diese Analysen Hinweise auf Schwachstellen liefern. Aus Sicherheitsgr\u00fcnden nennt die B.Z. keine Inhalte dieser Dokumente.<\/p>\n
Auch Polizei und Justiz sind betroffen. In den ver\u00f6ffentlichten Best\u00e4nden liegen Telefon- und Kontaktlisten des Landeskriminalamts mit Namen, Erreichbarkeiten und Zust\u00e4ndigkeiten. Hinzu kommen Lage- und Baupl\u00e4ne von Polizeidienststellen, Dienstpl\u00e4ne f\u00fcr Katastrophenf\u00e4lle und Pl\u00e4ne der Justizvollzugsanstalt Tegel<\/a>.<\/p>\n Wie konnte das passieren?<\/p>\n Erste forensische Untersuchungen deuten darauf hin, dass die Hacker \u00fcber einen externen Fernzugang in die Verwaltungsinfrastruktur gelangten. Sicherheitsbeh\u00f6rden warnen seit Langem vor VPN-Verbindungen, die nur mit einfachen Passw\u00f6rtern und ohne verpflichtende Zwei-Faktor-Authentifizierung gesichert sind. Am 7. August bemerkte die Senatsverwaltung f\u00fcr Mobilit\u00e4t, Verkehr, Klimaschutz und Umwelt zum ersten Mal einen ungew\u00f6hnlichen Abfluss von Daten. Vom Berliner Landesnetz (BeLa) getrennt wurden die kompromittierten Systeme erst am 17. August.<\/p>\n Ein internes Protokoll aus dem Februar 2026, das ebenfalls am Freitag ver\u00f6ffentlicht wurde, wirft weitere Fragen auf. Darin hei\u00dft es: \u201eKein digitaler Geheimschutz (im strengen Sinne) in der Berliner \u00f6ffentlichen Verwaltung m\u00f6glich, da SINA Infrastruktur nicht umgesetzt.\u201c SINA, die Sichere Inter-Netzwerk-Architektur, soll Verschlusssachen selbst bei einem Angriff auf das normale Verwaltungsnetz sch\u00fctzen.<\/p>\n Der Vermerk zeigt: Der fehlende Schutz war mindestens ein halbes Jahr vor dem Datenabfluss bekannt. Weil die SINA-Infrastruktur fehlte, lagen Dokumente mit Sicherheitseinstufung auf regul\u00e4ren Servern des Landesnetzes. In der Ordnerstruktur fanden sich nach BZ-Sichtung neben Bereichen wie \u201eControlling\u201c, \u201eKarten\u201c und \u201eKRITIS\u201c sogar private Musiksammlungen, Familienfotos und Bilder von Abschiedsfeiern.<\/p>\n Die Ver\u00f6ffentlichung kommt zwei Wochen vor der Wahl zum Abgeordnetenhaus am 20. September. Der Ablauf der Wahl sei gesichert, erkl\u00e4rt die Senatsinnenverwaltung; bisher seien keine wahlrelevanten Systeme kompromittiert worden.<\/p>\n Wer steckt hinter Rhysida?<\/p>\n Rhysida ist eine sogenannte Ransomware-as-a-Service-Gruppe (RaaS), die im Mai 2023 aufgetaucht ist. Ihr Modell: Daten verschl\u00fcsseln, die Opfer erpressen und bei ausbleibender Zahlung Dateien ver\u00f6ffentlichen. Die Gruppe gibt sich dabei als \u201eCybersecurity Team\u201c aus und nimmt vor allem Einrichtungen des Gesundheits- und Bildungswesens sowie Beh\u00f6rden ins Visier.<\/p>\n Foto: Privat<\/p>\n Nach eigenen Angaben hat Rhysida in drei Jahren Dutzende Angriffe ver\u00fcbt. Ransomware-Tracker, Cyberexperten und Opfer haben diese Angriffe best\u00e4tigt. Seit dem Angriff auf Berlin reklamiert die Gruppe mindestens zwei weitere Hacks f\u00fcr sich: auf eine ungarische Entwicklungsorganisation und ein US-amerikanisches Gesundheitsunternehmen. Zu den Opfern, die Rhysida seit 2023 attackiert hat, geh\u00f6ren au\u00dferdem die chilenische Armee, der Flughafen Seattle-Tacoma und der franz\u00f6sische Luftfahrtkonzern Stelia Aerospace.<\/p>\n![\"\"](\"https:\/\/www.europesays.com\/de\/wp-content\/uploads\/2026\/09\/9ce17409ae33dc9babeb1a2d835cb659,694fa1be.webp\")
<\/p>\n