Auf einen Blick: Die Hackergruppe Rhysida hat nach Ablauf des Ultimatums am Freitagnachmittag rund 5,8 Terabyte aus dem Berliner Landesnetz ins Darknet gestellt. Gefordert waren 30 Bitcoin – umgerechnet gut zwei Millionen Euro. Der Senat zahlt nicht. Veröffentlicht sind nach Angaben der Täter rund 1,44 Millionen Dateien, darunter Klartext-Passwörter, Personalakten, Gehaltsdaten, Geo- und KRITIS-Unterlagen sowie vertrauliche Justiz- und Bundesratsmaterialien. Wahltermin: 20. September.
All files was uploaded to public access, data hunters, enjoy
Rhysidia
Worum es geht: Zwischen 7. und 12. August 2026 zapften die Angreifer unbemerkt Systeme der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt sowie der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen ab. Erst am 14. August wurden die betroffenen Häuser vom Landesnetz getrennt. Wiederanschluss folgte am 23. August. Die Ermittlungen laufen bei LKA, Staatsanwaltschaft und Bundessicherheitsbehörden. Rhysida nutzte den Countdown bis Freitag, 15.35 Uhr, als Druckmittel und lud danach hoch.
Auf der Leak-Seite steht:
KRITIS: Schwachstellenanalysen der Berliner Wasserversorgung.
Rhysida
Was im Leak steht: Daten im Überblick
Das Archiv, das Rhysida nach eigenen Angaben gescannt und veröffentlicht hat: rund 1,44 Millionen Dateien.
Nach Kategorien:
- Karten & Geo: 124.823
- Recht & Beschwerden: 77.939
- Finanzen: 55.553
- Verträge: 46.522
- Personal (HR): 27.299
- Aufsicht & Regierung: 13.142
- Vertraulich: 11.777
- Infrastruktur: 8.110
- Passwörter: 5.941
- Gesundheit: 2.738
- Kontakte: 2.287
Personenbezogene Treffer im Leak: 16.389 E-Mails, 11.963 Telefonnummern, 12.076 Personenund 148 IBANs. Im Detail:
- Zugänge: Klartext-Passwörter in Office-Dateien, darunter Zugänge zu Fachverfahren wie GebäudeAtlas und dem Bezahldienst PAYONE, Admin-Konten und Führungszugänge. Genau das macht aus einem einmaligen Diebstahl ein Dauerproblem.
- Personen und Geld: Mehr als 5.000 Personalakten inklusive Gehaltsabrechnungen des Dienstleisters Convotis. Ordnungswidrigkeiten-Akten, SQL-Dumps von Postbüchern, Mail-Archive. Private Finanz- und Ausweisdaten von Führungskräften.
- KRITIS und Karten: Über 120.000 Geo- und Kartendateien plus Schwachstellenanalysen zur Berliner Wasserversorgung. Das ist kein Bürokratie-Leak, das ist ein Lagebild der Stadt.
- Justiz und Disziplin: Ermittlungs- und Verfahrensakten, darunter benannte Fälle und Unterlagen aus dem Bereich Staatsschutz/LKA sowie Forst-Verfahren.
- Geheimschutz und Verträge: Bundesrats-Ausschussprotokolle, Material zur Geheimsachenbearbeitung, NDAs in vierstelliger Zahl, Verträge im fünfstelligen Bereich.
Echt Heftig: Sieben volle Tage Exfiltration, bevor jemand den Stecker zog. In den Ämtern lagen Anträge – Wohngeld inklusive – auf Eis. Homeoffice für die beiden Häuser war zeitweise tot, weil Passwörter bekannt waren. Rund 12.000 Systeme des Landes wurden danach rund um die Uhr gescannt.
Wer sagt was: „Der Staat lässt sich nicht erpressen.“ – Kai Wegner nach der Sondersitzung. Innensenatorin Iris Spranger im Gleichklang. Die Wahl-IT sei nicht betroffen, heißt es. Berlin wählt auf Papier – das begrenzt den direkten Schaden am Stimmzettel, nicht den Schaden an Vertrauen, Identitäten und kritischer Infrastruktur.
Die rechtliche Lage
Rhysida listet auf selbst DSGVO-Verstöße als Hebel. Unabhängig von der Täterrhetorik drohen Berlin echte Baustellen: Art. 32 DSGVO (Sicherheit der Verarbeitung), Art. 9 (besondere Kategorien), Art. 33 (Meldung). Dazu Verschlusssachenrecht und BSIG, sobald KRITIS-Analysen im Paket stecken. Ob und wie weit Staatsgeheimnisse betroffen sind, müssen Ermittler klären.
Warum das wichtig ist: Der digitale Einbruch sitzt drei Wochen vor der Abgeordnetenhauswahl. Nicht die Wahlurne ist gehackt, sondern das Betriebssystem der Verwaltung.
- Wer Klartext-Passwörter in Office-Dateien lagert, eine Woche braucht, um kompromittierte Netze zu kappen, und dann erst öffentlich bestätigt, dass Zugangsdaten abgeflossen sind, liefert den Tätern das Drehbuch.
- Zahlen tut am Ende nicht der Senator. Zahlen tun Beschäftigte mit offenen Personalakten, Bürger mit IBANs und OWi-Vorgängen, und die Stadt mit einem veröffentlichten Blick auf die Wasserversorgung.
Wer Passwörter im Klartext speichert und eine Woche braucht, um ein gehacktes Netz abzuschalten, muss sich über den Erpresserbrief im Postfach wahrlich nicht wundern.
Frank sagt:
