Rhysida erpresst Berlin: Landesnetz-Angriff, Senat lehnt Lösegeld ab
Nach dem Cyberangriff auf das Berliner Landesnetz Mitte August 2026 bestätigt der Senat einen Erpressungsversuch und kündigt an, nicht zu zahlen. Die Gruppe Rhysida beansprucht die Tat und behauptet, 5,79 Terabyte Daten gestohlen zu haben und fordert 30 Bitcoin. Diese Angaben sind bislang unbestätigt. Der Artikel ordnet Fakten, offene Fragen und konkrete Maßnahmen für Admins ein.
Der Cyberangriff auf das Berliner Landesnetz Mitte August 2026 ist zu einem offenen Erpressungsfall geworden. Betroffen waren zunächst die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Umwelt und Klimaschutz, die am 14. August vorsorglich vom Landesnetz getrennt wurden und rund eine Woche offline blieben. Der genaue Angriffspfad ist bislang nicht offiziell bestätigt, daher wird an dieser Stelle keine Vermutung dazu aufgestellt. Gesichert ist: Das Land Berlin hat einen Erpressungsversuch öffentlich bestätigt und erklärt, kein Lösegeld zu zahlen. Die Cyber-Erpressergruppe Rhysida beansprucht die Urheberschaft, ihre Behauptungen zu Datenmenge und Forderung sind bislang unabhängig nicht verifiziert.
Für Admins in Behörden, Kommunen und Unternehmen mit ähnlicher Netzarchitektur ist der Fall vor allem aus einem Grund relevant: Die Trennung ganzer Verwaltungsbereiche vom Landesnetz zeigt, wie schnell eine Segmentierungsentscheidung im Ernstfall getroffen werden muss und wie lange Bürgerdienste danach eingeschränkt bleiben können. Wer selbst ein Landesnetz, ein Behördennetz oder eine vergleichbare zentrale Infrastruktur mit mehreren angeschlossenen Fachverfahren betreibt, sollte die eigene Notfallplanung, Segmentierung und Backup-Strategie jetzt gegen dieses Szenario prüfen, unabhängig davon, wie der ursprüngliche Zugang der Angreifer zustande kam.
Was ist passiert?
Anfang bis Mitte August 2026 wurde ein Cyberangriff auf die IT-Infrastruktur des Landes Berlin bekannt. Als unmittelbare Reaktion trennte die Verwaltung am 14. August zwei Senatsverwaltungen vorsorglich vom zentralen Landesnetz. Betroffen waren dienstliche Systeme, mit denen unter anderem Anträge, Genehmigungsverfahren und weitere Bürgerdienste abgewickelt werden. Zunächst hieß es von Seiten des Senats, es seien keine sensiblen Daten erbeutet worden. Diese Einschätzung änderte sich in den folgenden Tagen. Regierender Bürgermeister Kai Wegner bestätigte nach einer Sondersitzung des Senats öffentlich, dass eine Erpressungsforderung im Zusammenhang mit dem Hackerangriff eingegangen ist. Details zur Art der Erpressung nannte er zunächst nicht.
Wenige Tage später tauchte im Darknet ein Eintrag der Gruppe Rhysida auf, in dem die Täter behaupten, erhebliche Datenmengen aus dem Berliner Landesnetz entwendet zu haben, und eine Zahlung von 30 Bitcoin verlangen, umgerechnet rund zwei Millionen Euro nach damaligem Kurs. Diese Zahlenangaben stammen ausschließlich von den mutmaßlichen Tätern und sind bislang nicht unabhängig bestätigt. Nach Berichten mehrerer Medien, unter anderem unter Berufung auf beteiligte Sicherheitskreise, wird die Zuordnung zu Rhysida als plausibel eingestuft, gilt aber ebenfalls nicht als amtlich verifiziert. Landeskriminalamt, Staatsanwaltschaft und Bundessicherheitsbehörden ermitteln nach Angaben des Senats mit Nachdruck.
Wer ist betroffen?
Direkt betroffen waren die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Umwelt und Klimaschutz. Beide Häuser waren rund eine Woche vom Landesnetz isoliert, wodurch zahlreiche Bürgerdienste, darunter zeitweise auch die Beantragung und Auszahlung von Wohngeld, eingeschränkt oder gar nicht verfügbar waren. Ob und in welchem Umfang weitere Berliner Behörden, Bezirksämter oder nachgeordnete Dienststellen indirekt betroffen sind, ist öffentlich nicht abschließend geklärt.
Die von Rhysida behaupteten Datenkategorien umfassen nach bisherigen Medienberichten unter anderem Verträge, als vertraulich eingestufte Dokumente, Passwörter, E-Mails, Kontonummern sowie Zugangsdaten von Führungskräften. Diese Angaben stammen ausschließlich aus der Erpressernachricht selbst und aus Auszügen, die die Täter als Beleg veröffentlicht haben. Ob die gezeigten Dokumente authentisch und vollständig sind, konnte bislang keine unabhängige Stelle bestätigen. Für Bürgerinnen und Bürger, deren persönliche Daten in Verwaltungsverfahren mit den betroffenen Senatsverwaltungen verarbeitet wurden, besteht ein Restrisiko, dass Daten tatsächlich abgeflossen sind, auch wenn der Umfang unklar bleibt.
Wie kritisch ist das?
Der Vorfall zeigt zwei getrennte Risikoebenen, die Admins auseinanderhalten sollten. Die erste Ebene ist der Betriebsausfall: Eine ganze Senatsverwaltung war eine Woche lang praktisch nicht arbeitsfähig, weil sie vorsorglich isoliert wurde. Das ist eine harte Betriebsunterbrechung mit direkter Wirkung auf Bürgerdienste. Die zweite Ebene ist die Erpressung mit angeblich gestohlenen Daten, die typisch für die sogenannte doppelte Erpressung ist: Verschlüsselung oder Störung des Betriebs kombiniert mit der Drohung, gestohlene Daten zu veröffentlichen oder zu versteigern, um Druck auf eine Zahlung aufzubauen.
Rhysida ist als Ransomware-as-a-Service-Gruppe seit 2023 aktiv und war in der Vergangenheit bereits für Angriffe auf Behörden und öffentliche Einrichtungen verantwortlich. Genau dieses Muster, so Sicherheitsexperten gegenüber Medien, ähnelt dem aktuellen Fall in Berlin. Für die technische Bewertung wichtig: Solange kein offizielles forensisches Gutachten vorliegt, bleibt unklar, wie die Täter tatsächlich Zugang erlangt haben und ob es sich um eine klassische Ransomware-Verschlüsselung, reinen Datendiebstahl oder eine Kombination handelte. Diese Unsicherheit sollte in jeder internen Risikoeinschätzung klar benannt werden, statt sie zu überspringen.
| Aspekt | Status |
|---|---|
| Angriffszeitpunkt | Mitte August 2026, Isolierung ab 14. August |
| Betroffene Stellen | Zwei Berliner Senatsverwaltungen, rund eine Woche vom Landesnetz getrennt |
| Erpressung bestätigt | Ja, offiziell durch Senat und Regierenden Bürgermeister Kai Wegner |
| Zahlungsbereitschaft Berlin | Nein, laut offizieller Ankündigung keine Zahlung |
| Taeterzuordnung Rhysida | Von Sicherheitskreisen als plausibel eingestuft, nicht amtlich bestätigt |
| Behauptete Datenmenge | Rhysida gibt rund 5,79 TB an, unbestätigt |
| Geforderte Summe | 30 Bitcoin laut Darknet-Eintrag, unbestätigt und ausschließlich Taeterangabe |
| Angriffsvektor | Bislang nicht offiziell bestätigt |
Was sollten Admins jetzt tun?
- Prüfen, ob im eigenen Netz eine klare Segmentierungsstrategie existiert, mit der einzelne Fachbereiche oder Standorte im Ernstfall isoliert werden können, ohne den gesamten Betrieb lahmzulegen.
- Notfallpläne für den Fall einer Netztrennung testen: Wer entscheidet, wie schnell kann isoliert werden, welche Dienste laufen dann noch, welche nicht.
- Backups auf echte Offline- oder Immutable-Kopien prüfen, die auch bei kompromittierten Admin-Konten nicht verschlüsselt oder gelöscht werden können.
- Zugriffsrechte für Konten mit hoher Berechtigung regelmäßig überprüfen und nach dem Prinzip der minimalen Rechtevergabe reduzieren.
- Logging und Monitoring zentraler Netzübergänge sicherstellen, damit ungewöhnliche Datenabflüsse frühzeitig auffallen.
- Multi-Faktor-Authentifizierung für alle Fernzugriffe und administrativen Zugänge konsequent durchsetzen.
- Meldewege für IT-Sicherheitsvorfälle intern klären, inklusive Ansprechpartnern bei Landeskriminalamt, BSI oder zuständigen Aufsichtsbehörden.
- Kommunikationspläne für den Ernstfall vorbereiten, damit Bürger, Kunden oder Mitarbeitende zeitnah informiert werden können, ohne unbestätigte Details preiszugeben.
- Interne Bewertung, welche eigenen Systeme bei einer mehrtägigen Isolierung einzelner Netzsegmente noch funktionsfähig blieben.
- Vertragliche und technische Absicherung von Drittanbietern und Dienstleistern prüfen, die Zugriff auf das eigene Netz haben.
- Regelmäßige Restore-Tests durchführen, damit im Ernstfall die tatsächliche Wiederherstellungszeit bekannt ist, statt sie nur zu vermuten.
Einordnung für Unternehmen
Auch wenn der Fall eine öffentliche Verwaltung betrifft, ist er für kleine und mittlere Unternehmen relevant, weil das Vorgehen der Angreifer typisch für aktuelle Ransomware-Kampagnen ist. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik gehört die doppelte Erpressung mit Datendiebstahl und Drohung der Veröffentlichung inzwischen zum Standardrepertoire vieler Ransomware-Gruppen, und das BSI rät grundsätzlich davon ab, Lösegeldforderungen nachzukommen, da eine Zahlung weder die Löschung der Daten garantiert noch künftige Angriffe verhindert. Berlins Entscheidung, nicht zu zahlen, folgt dieser Empfehlung.
Für den Mittelstand zeigt der Fall vor allem, wie teuer eine unzureichende Segmentierung und eine fehlende Notfallplanung im Ernstfall werden können, unabhängig vom ursprünglichen Angriffsweg. Auch kleinere Unternehmen mit zentralen Netzwerken, gemeinsam genutzten Fachverfahren oder vielen angeschlossenen Standorten sollten prüfen, ob sie im Fall einer Kompromittierung schnell genug reagieren können, ohne den gesamten Betrieb zu gefährden.
Passende Anleitungen auf S-EDV
- Ransomware-Report Q2 2026: 93 aktive Gruppen, Lösegeldzahlungen um 23 Prozent gesunken - Einordnung der aktuellen Ransomware-Lage und Vergleichszahlen zu aktiven Gruppen und Zahlungsverhalten.
- CISA bestätigt Windows-Task-Host-Lücke: Jetzt von Ransomware ausgenutzt - Beispiel für einen konkret bestätigten Angriffspfad, den Admins gegen den noch offenen Fall in Berlin abgleichen können.
