Auf einen Blick: Am 4. September 2026, kurz nach 15.35 Uhr, hat die Erpressergruppe Rhysida die geklauten Daten freigegeben: rund 5,8 Terabyte. 1,44 Millionen Dateien aus zwei Berliner Senatsverwaltungen. Der Senat hat die geforderten 30 Bitcoin nicht gezahlt. Richtig. Trotzdem liegen Personalakten, Passwörter und Pläne zur kritischen Infrastruktur jetzt offen. Auf X rennen Accounts mit Screenshots und Tor-Hinweisen durch die Gegend. Der Post von @DerCheapi zeigt, wie das läuft:
Worum es geht: Vom 7. bis 12. August 2026 haben die Angreifer unbemerkt Daten abgesaugt. Entdeckt wurde der Einbruch am 14. August. Gemeldet hat ihn das IT-Dienstleistungszentrum Berlin. Abgetrennt wurden die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt und die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen. Drei Wochen vor der Wahl am 20. September. @DerKaterX hat den Dump zuerst als Super-GAU markiert, mit Ordnern, die als Verschlusssache laufen müssten. Über eine Million Aufrufe. @overcatbe hat denselben Befund weitergereicht: Wer dem deutschen Staat Daten gibt, gibt sie in ein Netz, das so nicht gehalten werden kann.
Rhysida-Leak Berlin: 5,8 Terabyte, Personalakten und Klartext-Passwörter im Darknet
Das große Ganze: Ein Passwort lässt sich in zwei Minuten ändern. Eine geleakte Personalakte, ein Disziplinarakt oder die Schwachstellenanalyse der Berliner Trinkwasserversorgung nicht. Was sich in der Bundeshauptstadt abspielt, ist kein „IT-Sicherheitsvorfall“ und kein Missgeschick. Es ist der digitale Super-GAU einer europäischen Metropole.
Die Tragweite: Während Rhysida die Eingeweide der Berliner Verwaltung ins Netz kippt, versucht das Rote Rathaus um Kai Wegner (CDU) weiter dasselbe: wiegeln, aussitzen, die Lage bis zur Wahl am 20. September kleinhalten. Das ist kein Kalkül mehr. Das ist grob fahrlässige Preisgabe.
Der Dump zerlegt die Senatslage. Mitte August stellte sich Digitalstaatssekretär Florian Hauer (CDU) in den Ausschuss und sagte: Nach damaligem Stand seien nur Daten abgeflossen, die ohnehin öffentlich zugänglich gewesen wären. Die Menge vom 4. September stellt den Satz als das bloß, was er ist: unhaltbar.
Der Blick in die 1,44 Millionen Dateien, nach Klassen:
- Karten und Geo: 124.823
- Recht und Beschwerden: 77.939
- Finanzen: 55.553
- Verträge: 46.522
- Personal: 27.299, darunter mehr als 5.000 Personalakten
- Aufsicht und Regierung: 13.142
- Vertraulich: 11.777
- Infrastruktur: 8.110
- Passwörter: 5.941
- Gesundheit: 2.738
- Kontakte: 2.287
Dazu: 16.389 E-Mails, 11.963 Handynummern, 148 IBANs, tausende NDAs. Klartext-Zugänge zu Payone, GebäudeAtlas und Admin-Konten namens Z_ADMIN. Gehaltsabrechnungen über Convotis. CBRN-Rahmenplanung. Abstimmungen mit der Feuerwehr. LKA-Staatsschutz. Bundesratsprotokolle. Schwachstellen der Trinkwasserversorgung.
Das ist kein Statistikblock. Das ist das Inventar eines offenen Landesnetzes.
Frank sagt:
Die Handlanger auf X. Die Erpresser schrieben auf ihre Leak-Seite: „Alle Dateien wurden im öffentlich zugänglichen Bereich hochgeladen – viel Spaß beim Stöbern, Datenjäger!“ Accounts machen den Rest. Ordnerbäume aus dem Katastrophenschutz. Hinweise, wo die Seite liegt. TinyURL-Ketten. Anleitungen über Darknet-Suche. Das als Aufklärung zu verkaufen, ist falsch. Eine Abschrift reicht. Ein Screenshot aus einer Personalakte oder einer Verschlusssache ist Weitergabe.
Sieben Tage unbemerkt: Wie Hauer, ITDZ und das Landesnetz den Abfluss verpasst haben
Wer in der Kette sitzt. Schwarz-rot, ohne Lücke.
- Kai Wegner (CDU), Regierender Bürgermeister: nach außen hart („Das Land Berlin lässt sich nicht erpressen“), dahinter ein Netz, das sieben Tage lang geleert werden konnte. Politische Gesamtlage.
- Florian Hauer (CDU), CDO seit Mai 2026, zusätzlich Bevollmächtigter beim Bund. Vorgänger Matthias Hundt war nach 69 Tagen weg. Teilzeit-Digitalchef einer Millionenstadt. Die Entwarnung trägt seinen Namen.
- Iris Spranger (SPD), Innensenatorin: erklärte die Wahlumgebung für sicher, als das Landesnetz schon mindestens eine Woche kompromittiert war.
- Ute Bonde (CDU, Mobilität und Umwelt) und Christian Gaebler (SPD, Stadtentwicklung): die zwei betroffenen Häuser.
- Darunter der Betrieb: ITDZ Berlin. Landesbevollmächtigter für Informationssicherheit Olaf Kroll-Peters. Forensik CrowdStrike, so der Tagesspiegel. Payroll Convotis. Wer Klartext-Passwörter auf Servern lässt, betreibt kein gehärtetes Netz. Der hat einen Aktenkeller ans Kabel gehängt.
- Der Rechnungshof hat vor fehlenden IT-Notfallkonzepten, mangelhaften Sicherheitskonzepten und fehlendem BSI-Grundschutz gewarnt. Das erklärt die sieben Tage besser als jedes Opfer-Statement.
Wer nach dem Berlin-Hack gehen muss
- Rücktritt Florian Hauer.
- Freistellung der Geschäftsführung des ITDZ, bis Detektion und Segmentierung aufgeklärt sind.
- Politische Rechenschaft Wegners für die Lage, die unter ihm gehalten wurde.
Ein Passwort kannst du schnell ändern. Eine Akte über Schwerbehinderung, ein Disziplinarakte, oder eine Analyse zur Sicherheit der Wasserversorgung bekommst du nicht mehr aus dem Netz. Wer von dir Steuern und Gesetzestreue will, muss das Minimum an Schutz liefern. Dieser Senat hat das Minimum verfehlt.
Warum das wichtig ist: Der Schaden sitzt nicht im Darknet. Er sitzt bei den Beschäftigten, bei den Firmen in den Verträgen, bei jedem, dessen Nummer oder Konto in den 1,44 Millionen Dateien liegt. Die Wahl am 20. September ändert die Dateien nicht. Sie entscheidet nur, ob dieselbe Kette danach noch im Amt bleibt.
Wer solche Unterlagen unverschlüsselt im Netz hängen lässt, schützt keine Hauptstadt. Er liefert sie ans organisierte Verbrechen aus.
Frank sagt:
Go deeper:
