Datenleck Berlin: Nicht zu zahlen ist eine Frage der Architektur

Am Freitag, dem 4. September 2026, um 15:35 Uhr lief auf einer Tor-Seite ein Countdown ab, und die Gruppe Rhysida stellte 1.439.893 Dateien ins Netz — 5,79 Terabyte aus zwei Berliner Senatsverwaltungen: der für Stadtentwicklung, Bauen und Wohnen und der für Mobilität, Verkehr, Klimaschutz und Umwelt. Eine Woche zuvor hatte die Gruppe die Daten zum Startpreis von 30 Bitcoin gelistet, rund zwei Millionen Euro. Der Regierende Bürgermeister und die Innensenatorin hatten noch am selben Tag in einem Satz geantwortet: Das Land Berlin lässt sich nicht erpressen.

Das war die richtige Antwort, und ich würde sie jedem Kunden geben. Es ist zugleich der Punkt, an dem dieser Fall aufhört, eine Kriminalgeschichte zu sein, und eine Engineering-Geschichte wird. Nicht zu zahlen ist billig, wenn zwei Eigenschaften gelten: Sie können Ihren Betrieb ohne die Hilfe des Angreifers wiederherstellen, und die Daten, die er mitgenommen hat, können Ihnen nicht mehr schaden, als das Lösegeld gekostet hätte. Die erste Eigenschaft hatte Berlin, mehr oder weniger. Die zweite hatte es nicht — und alles, was seither veröffentlicht wurde, Personalakten, Passwörter in Word-Dokumenten, eine Schwachstellenanalyse der Berliner Wasserversorgung, ein Ordner zur Rahmenplanung für chemische, biologische, radiologische und nukleare Lagen, ist der Preis dieser Lücke. Dieser Artikel handelt von den beiden Eigenschaften, davon, warum die zweite die schwerere ist, und davon, was eine Organisation, die vor Jahren beschlossen hat, sich nicht erpressen zu lassen, tatsächlich getan haben muss.

Achtundzwanzig Tage, der Reihe nach

Die Daten sind wichtig, weil sie zeigen, wo Kontrollen waren und wo nicht. Nach Angaben des Senats selbst flossen die Daten zwischen dem 7. und dem 12. August ab. Am Freitag, dem 14. August, bemerkte das landeseigene IT-Dienstleistungszentrum, das ITDZ, Unregelmäßigkeiten — einem Pressebericht zufolge einen Domänencontroller, der sich abnormal verhielt —, und die beiden Verwaltungen wurden noch am selben Tag vom Berliner Landesnetz getrennt. Die Öffentlichkeit erfuhr am Montag, dem 17. August, davon. Neun Tage lang waren die beiden Häuser per Festnetz erreichbar; Internet, externe E-Mail, Homeoffice und die Fachverfahren dahinter waren weg, und mit ihnen die Bearbeitung des Wohngelds für mehr als fünfzigtausend Haushalte. Am Wochenende des 22./23. August kam die Wiederanbindung; der Online-Wohngeldantrag war ab dem 29. August wieder verfügbar.

Am 28. August wurde die Erpressung öffentlich: Rhysidas Eintrag auf der Leak-Seite, der siebentägige Countdown, der Auktionspreis und die Absage des Senats. Bis der Countdown ablief, lag die Arbeitsschätzung des Senats, wie viel entwendet worden war, bei rund zweihunderttausend Dateien. Die Veröffentlichung am 4. September war das Siebenfache.

Zwei dieser Intervalle verdienen Aufmerksamkeit. Fünf Tage Exfiltration blieben unbemerkt. Und der Alarm kam, als er kam, vom Netzbetreiber und nicht aus den beiden Verwaltungen — aus einem Grund, der sich als das strukturelle Zentrum des Falls erweist.

Der Angreifer hat sich eingeloggt, und das Drehbuch ist öffentlich

Rhysida ist keine Eliteoperation. Es ist ein Ransomware-as-a-Service-Franchise, aktiv seit Mai 2023, und die US-Cybersicherheitsbehörde hat sein Drehbuch im November 2023 veröffentlicht, mit einer Aktualisierung 2025: Erstzugang über extern erreichbare Fernzugriffsdienste — typischerweise ein VPN — mit gültigen gestohlenen Zugangsdaten dort, wo die Multi-Faktor-Authentifizierung fehlt, über die Zerologon-Schwachstelle von 2020, wo sie noch ungepatcht ist, oder über eine Phishing-Mail; dann Living off the Land mit den Werkzeugen, die im Netz ohnehin vorhanden sind, Ausweitung auf Domänenadministrator, Exfiltration, Verschlüsselung und eine Leak-Seite mit Countdown. Die bisherigen Opfer aus dem öffentlichen Sektor lesen sich wie ein Lehrplan. British Library, Oktober 2023: Einstieg über einen Fernzugriffsserver ohne zweiten Faktor, rund 600 Gigabyte exfiltriert, eine Forderung über 20 Bitcoin abgelehnt, die Daten veröffentlicht, ein Wiederaufbau, der mehr als ein Jahr dauerte. Die Stadt Columbus in Ohio, Juli 2024: 6,5 Terabyte behauptet, versteigert für — dieselbe Zahl — 30 Bitcoin, keine Gebote, 3,1 Terabyte veröffentlicht.

Wie die Affiliates nach Berlin hineinkamen, ist zum Zeitpunkt dieses Textes forensisch nicht bestätigt. Die in der Berliner Presse berichtete Version ist ein Phishing-Link, der in der Verkehrsverwaltung angeklickt wurde. Ob sich das bewahrheitet oder ein Zugangsdatum an einem Fernzugriffspunkt: Der Punkt bleibt, dass der Angreifer sich eingeloggt hat. Nichts an diesem Drehbuch ist neu, also ist auch nichts an der Verteidigung neu. Multi-Faktor-Authentifizierung an jeder Außentür, privilegierte Konten getrennt von denen, die Mails lesen, eine gepatchte Domäne und ein Auge auf den ausgehenden Verkehr — das steht so in den Empfehlungen der CISA, und es stand so im Forensikbericht zur Südwestfalen-IT, dem kommunalen IT-Dienstleister, dessen zweiundsiebzig Kommunen nach dem Oktober 2023 monatelang offline waren und bei dem der Einstieg wieder ein VPN ohne zweiten Faktor war.

Dass diese Angriffe in öffentlichen Verwaltungen immer wieder funktionieren, liegt nicht daran, dass die Angreifer klug wären. Es liegt daran, dass die Verteidiger fragmentiert und unterfinanziert sind und an diesen Eigenschaften nicht gemessen werden — ein Managementbefund, kein technischer, und der Rest dieses Artikels handelt davon.

Die Erpressung ist von der Verfügbarkeit zur Vertraulichkeit gewandert

In ihren ersten beiden Jahrzehnten war Ransomware ein Problem der Verfügbarkeit. Der Angreifer verschlüsselte Ihre Systeme und verkaufte Ihnen den Schlüssel; getestete Backups und eine geübte Wiederherstellung machten die Forderung bedeutungslos. Seit etwa 2019 liegt der Hebel bei der Vertraulichkeit. Der Angreifer kopiert Ihre Daten zuerst, verschlüsselt danach und verhandelt über die Veröffentlichung — und gegen eine Veröffentlichung richtet ein Backup gar nichts aus.

Diese Verschiebung hat eine Konsequenz, die in Vorstandsetagen noch immer nicht überall verstanden ist: Die Kontrollen, die Sie gegen den alten Angriff widerstandsfähig machen, sind für den neuen irrelevant. Wiederherstellung handelt von Kopien, die Sie behalten. Leak-Resistenz handelt von Daten, die Sie nicht behalten, die nicht erreichbar sind oder deren Veröffentlichung nicht schadet.

• Aufbewahrung und Datensparsamkeit. Eine Datei, die gelöscht wurde, als ihr Zweck endete, kann nicht veröffentlicht werden. Der Berliner Datensatz enthält Ausweisscans, Krankmeldungen und Geburtsurkunden von Kindern von Beschäftigten — Dokumente, deren Aufbewahrungsfrist, hätte jemand eine gesetzt, längst abgelaufen wäre.
• Klassifizierung, die das Dateisystem durchsetzt. Ein Schutzvermerk ist wertlos, wenn er nicht entscheidet, wer die Datei öffnen darf. Ein Besprechungsprotokoll vom 24. Februar 2026, das sich im Leak findet, hält die Einschätzung der betroffenen Verwaltungen selbst fest: Ein digitaler Geheimschutz „im strengen Sinne“ sei in der Berliner Verwaltung nicht möglich, weil die dafür nötige Infrastruktur nicht ausgerollt sei. Das Material wurde trotzdem gespeichert, auf gewöhnlichen Freigaben, die ein Domänenadministrator lesen konnte.
• Keine Geheimnisse in Dokumenten. Im Datensatz fanden sich Passwörter in Word-Dateien; das Land hat nach der Veröffentlichung VPN-Zugänge gesperrt und das Homeoffice ausgesetzt — was Ihnen sagt, dass diese Zugangsdaten gültig waren.
• Abfluss, den Sie messen. 5,79 Terabyte in fünf Tagen sind ein Dauerkopiervorgang von rund hundert Megabit pro Sekunde, rund um die Uhr, aus einem Büronetz heraus. Das ist keine Nadel im Heuhaufen. Das ist ein Heuhaufen, der das Gebäude verlässt.

Eine Anmerkung zur Verschlüsselung: Daten im Ruhezustand unter eigenen Schlüsseln zu verschlüsseln ist eine Souveränitätskontrolle, und eine gute. Gegen diesen Angriff hilft sie nicht. Ein Angreifer mit den Zugangsdaten eines Domänenadministrators liest Dateien so, wie der Administrator sie liest: entschlüsselt. Die Kontrollen, die gegen Exfiltration zählen, sind die vier oben — plus die eine, die darüber entscheidet, ob ein einzelner gephishter Laptop die Dateiserver zweier Verwaltungen überhaupt erreichen kann.

Ein Netz ist so sicher wie seine am wenigsten konsolidierte Insel

Das Berliner E-Government-Gesetz von 2016 gab der Stadt einen einzigen IKT-Dienstleister, das ITDZ, und verpflichtete jede Behörde, die Basisdienste von ihm zu beziehen. Zehn Jahre später ist die Konsolidierung, die es anordnete, nicht geschehen. Nach der Zählung des digitalpolitischen Sprechers der Grünen im Abgeordnetenhaus haben drei Einrichtungen die Migration abgeschlossen; 233 Standorte sind in Planung, neun in Umsetzung, 38 gar nicht geplant, und rund 210 werden innerhalb der laufenden Haushaltsperiode nicht fertig. Zwei Drittel der Senatsverwaltungen und Landesbehörden, berichtet der Tagesspiegel, sind für ihre IT-Sicherheit selbst verantwortlich. Die beiden gehackten Verwaltungen gehörten dazu: nie migriert, eigene Systeme in einem gemeinsamen Netz.

Diese Konstellation erklärt die Erkennungsgeschichte. Das ITDZ betreibt das Cyber Defence Center des Landesnetzes mit einem Security Operations Center und einem System für Sicherheitsinformationen und Ereignisse. Es sah die Anomalie, weil die Anomalie sein Netz durchquerte. Verhindern konnte es sie nicht, weil die Endgeräte, Identitäten und Dateiserver, auf denen der Angriff lebte, nicht seine waren, um sie zu härten. Ein gemeinsames Netz mit selbstverwalteten Inseln hat genau die Sicherheit seiner schwächsten Insel, und der Angreifer darf sich aussuchen, welche.

Der siebte Umsetzungsbericht des Senats zum E-Government-Gesetz, datiert auf den 27. März 2026 mit Stichtag 31. Dezember 2025, ist über den Zustand des Übrigen erstaunlich offen. Zum Business Continuity Management: 2025 seien die im Rollenkonzept benannten Rollen in den Behörden „zu großen Teilen nicht besetzt“ gewesen, und die Leitlinie, die die alte Notfallmanagement-Leitlinie ablösen soll, warte noch auf die förmliche Festsetzung. Zum IT-Sicherheitsprogramm für das Landesnetz, dessen Zweck die NIS-2-Umsetzung ist: Die Ergebnisse „entsprachen nicht vollständig den notwendigen Anforderungen, die sich aus NIS-2, dem BSI sowie nationalen Architekturvorgaben ableiten lassen“, und „es liegen bisher keine Realisierungsplanungen für die programmumfassenden Maßnahmen vor“. Zum Security Operations Center: Ein 24/7-Betrieb sei „vorbereitet und nach entsprechender Beauftragung durchführbar“ — mit anderen Worten: nicht in Betrieb. Derweil kürzte der Doppelhaushalt 2026/27 laut Tagesspiegel die Mittel für Digitalisierung um fünfzig Millionen Euro, und externe Sachverständige hatten den Ausschüssen des Abgeordnetenhauses im Dezember 2023 und erneut im Dezember 2025 gesagt, dass die Sicherheitslage des Landes schlecht ist.

Nichts davon ist einzigartig für Berlin. Der BSI-Lagebericht 2025 zählt Kommunen neben kleinen und mittleren Unternehmen und IT-Dienstleistern zu den häufigsten Zielen von Ransomware, und das NIS-2-Umsetzungsgesetz des Bundes, das am 6. Dezember 2025 in Kraft trat, bindet nur die Bundesverwaltung: Jedes Land muss seine eigene regeln. Berlin hat das mit einem Festsetzungsschreiben vom 30. Mai 2025 getan, veröffentlicht im Amtsblatt. Ein Erlass, der NIS-2 auf ein Netz anwendet, für das keine Realisierungsplanung existiert, ist das Compliance-zuerst-Muster, das ich für DORA beschrieben habe: Das Papier kommt vor dem Engineering, und die Prüfung — hier: der Angreifer — findet die Lücke.

Jede korrigierte Entwarnung kostet mehr als der Einbruch

Die Aussagen des Senats folgten einem Muster, das ich bei fast jedem Vorfall gesehen habe, dem ich nahe war, und das einen schlichteren Namen verdient, als die Literatur zur Krisenkommunikation ihm gibt: den Entwarnungsreflex.

Am 18. August sagte die Senatskanzlei, aus der Bauverwaltung seien Daten abgeflossen, aber es handle sich um Daten, „die über Open Data frei zugänglich waren“. Am 23. August: Nach jetzigem Kenntnisstand seien keine sensiblen Daten abgeflossen. Am 28. August, konfrontiert mit dem Auktionseintrag — 46.500 Verträge, rund 80.000 Dateien aus Ordnungswidrigkeitenverfahren, etwa 6.000 Dateien mit Zugangsdaten —, wurde daraus: Es könne nicht ausgeschlossen werden, dass personenbezogene oder andere nicht-öffentliche Daten betroffen seien. Am 4. September erklärte der Digitalstaatssekretär, es sei nur Material der niedrigsten von vier Geheimhaltungsstufen entwendet worden, „nur für den Dienstgebrauch“. Bis zum 6. September hatten Journalisten den Ordner zur CBRN-Rahmenplanung gefunden, die Schwachstellenanalyse der Wasserversorgung, Listen von Einrichtungen, die im Ernstfall besonders zu schützen sind, und die Personalakten.

Columbus durchlief 2024 dieselbe Sequenz. Der Bürgermeister sagte, die geleakten Daten seien „verschlüsselt oder beschädigt“ und für niemanden von Nutzen; ein Sicherheitsforscher zeigte Reportern, dass sie weder das eine noch das andere waren; die Stadt verklagte den Forscher und zog die Klage später zurück; am Ende wurden rund eine halbe Million Menschen benachrichtigt. Der Mechanismus ist in beiden Fällen derselbe, und er ist keine Unehrlichkeit. Er besteht darin, dass eine Organisation, die kein Inventar dessen hat, was sie besitzt, keine wahre Aussage darüber treffen kann, was gestohlen wurde. Sie greift nach dem tröstlichsten Satz, der noch nicht widerlegt ist, und jede Widerlegung kostet mehr Vertrauen als der Einbruch selbst — bei den Beschäftigten, bei den Bürgerinnen und Bürgern und drei Wochen vor einer Wahl.

Die technische Antwort ist unspektakulär: ein Inventar und eine Klassifizierung der Daten je Freigabe und je System, gepflegt, damit der erste Satz lauten kann: „Wir wissen, was auf diesen Servern lag, und das bedeutet es für Sie.“ Der Senat hat jetzt eine Steuerungseinheit, die 1,44 Millionen Dateien durchgeht, um es herauszufinden — Wochen, nachdem der Angreifer es getan hat.

Die Entscheidung fällt, bevor die Forderung kommt

Ob Sie zahlen, ist keine Entscheidung, die Sie in der Woche, in der der Countdown läuft, noch gut treffen können. Sie wurde vom Zustand Ihrer Architektur Monate oder Jahre zuvor getroffen, entlang zweier Achsen. Können Sie ohne den Angreifer wiederherstellen? Berlin konnte es, in neun Tagen für das Netz und etwa zwei Wochen für die Leistungen. Wie sehr können die Daten schaden? In Berlins Fall: sehr, und lange — Personalakten verfallen nicht, und die Infrastrukturanalysen werden von Leuten gelesen werden, für die sie nicht geschrieben wurden.

Bewegen Sie eine Organisation entlang der ersten Achse, und der Verschlüsselungsteil der Forderung wird zu Rauschen; das ist es, was eine getestete Wiederherstellung kauft, und nach Südwestfalen-IT und der British Library sollte in der öffentlichen IT niemand mehr davon überzeugt werden müssen. Bewegen Sie sie die zweite Achse hinunter, und auch die Veröffentlichungsdrohung wird zu Rauschen. Das ist das schwerere, weniger sichtbare Programm, und es ist dasjenige, das Berlin — und nach meiner Erfahrung die meisten Organisationen, die sich für vorbereitet halten — nicht durchgeführt hat.

Für ein Finanzunternehmen unter DORA sind das keine Ratschläge, sondern Pflichten mit Fristen — eine Erstmeldung binnen vier Stunden nach der Einstufung eines Vorfalls und spätestens vierundzwanzig nach Kenntnis, getestete Wiederherstellung, gesteuertes Konzentrationsrisiko. Die öffentliche Verwaltung in Deutschland hat auf Landesebene noch keine solche Uhr. Ihren Bürgerinnen und Bürgern wäre mit einer gedient.

Was das für eine europäische Organisation 2026 bedeutet

Drei Schlüsse reisen über Berlin hinaus.

Erstens: Wenn Ihre Organisation eine gemeinsame Infrastruktur mit selbstverwalteten Einheiten betreibt — ein Konzern mit Tochtergesellschaften, eine Universität mit Fakultäten, ein Krankenhaus mit Abteilungen, ein Land mit Senatsverwaltungen —, dann ist Ihre Sicherheit die Sicherheit der am wenigsten gemanagten Einheit, und Konsolidierung ist keine IT-Vorliebe, sondern eine Kontrolle. Das E-Government-Gesetz hatte 2016 recht. Das Versagen war, dass es nie durchgesetzt wurde.

Zweitens: Bereiten Sie sich auf den Angriff vor, den Sie tatsächlich bekommen werden. Er wird Sie nicht zuerst verschlüsseln; er wird Sie zuerst kopieren. Budgetieren Sie Aufbewahrung, Klassifizierung und Abflussüberwachung mit demselben Ernst wie Backups, und üben Sie den Leak so, wie Sie die Wiederherstellung üben. Frontier-Modelle haben die Kopierseite noch billiger gemacht: Der Long Tail der Freigaben, die seit Jahren niemand angesehen hat, ist jetzt die Minute eines Angreifers wert.

Drittens: Entscheiden Sie jetzt, was Sie sagen werden. Die Absage an das Lösegeld ist der leichte Satz. Der Satz, der schwer zu verdienen ist, lautet: „Wir wissen, was sie mitgenommen haben, und das bedeutet es für Sie“ — und er steht nur Organisationen zur Verfügung, die wussten, was sie hatten, bevor jemand es nahm.

Berlins Absage war richtig. Was sie gekostet hat, war lange vor dem 28. August entschieden — durch alles, was nicht gebaut worden war. Das ist die eigentliche Lehre, und sie gilt für jede Organisation, die je gesagt hat, sie werde nicht zahlen.