6. September 2026 · Ransomware · Rhysida · Sicherheitsvorfall · Verwaltung · Notfallplanung

Berliner Landesnetz: was zwischen Entwarnung und Leak lag

Am 19. August meldete Berlin, es sei nichts Sensibles abgeflossen. Am 4. September stand der Bestand im Netz. Was dazwischen liegt – und was daraus folgt.

Am Freitag, dem 14. August 2026, trennte das Land Berlin zwei Senatsverwaltungen vom Landesnetz – die für Stadtentwicklung, Bauen und Wohnen sowie die für Mobilität, Verkehr, Klimaschutz und Umwelt. Aufgefallen war die Kompromittierung bei forensischen Untersuchungen. Beide Häuser waren danach nur noch telefonisch erreichbar; Wohngeld konnte weder beantragt noch ausgezahlt werden. Landeskriminalamt, Staatsanwaltschaft und BSI wurden eingeschaltet.

Fünf Tage später sagte der Regierende Bürgermeister Kai Wegner, nach bisherigen Erkenntnissen seien keine sensiblen Daten abgeflossen – und schränkte im selben Atemzug ein: „Das ist der jetzige Kenntnisstand.“

Am 4. September veröffentlichte die Tätergruppe Rhysida den Datenbestand – nach Auswertung des tatsächlich Veröffentlichten rund 5,26 Terabyte.

Zwischen diesen beiden Sätzen liegt der eigentliche Lerninhalt dieses Vorfalls – und er hat nichts mit Berlin zu tun, sondern damit, wie solche Angriffe verlaufen.

Was tatsächlich passiert ist

Am 7. August meldete die Senatsverwaltung für Mobilität einen ersten Abfluss – sieben Tage, bevor das Haus vom Landesnetz getrennt wurde. Die forensische Arbeit fand danach weitere Abflüsse und datiert das Fenster auf den 7. bis 12. August. Der Abfluss endete also nicht mit dem Fund: Er lief weiter, während bereits untersucht wurde.

Am 28. August machte Berlin öffentlich, dass es nicht zahlen wird. Nach einer Sondersitzung des Senats erklärte Wegner, das Land Berlin werde erpresst; man gehe auf den Erpressungsversuch nicht ein. Die Gruppe setzte eine Frist und bot die Daten mit einem Mindestgebot von 30 Bitcoin an – rund zwei Millionen Euro.

Am 4. September folgte die Veröffentlichung. Die Angreifer beanspruchen für sich 5,79 Terabyte und rund 1,44 Millionen Dateien mit personenbezogenen Angaben zu 12.076 Personen – Zahlen aus dem Leak-Eintrag, von Berlin nicht bestätigt. Eine Auswertung des tatsächlich Veröffentlichten kommt auf 5,26 Terabyte bei praktisch identischer Dateizahl: Übertrieben haben die Angreifer beim Volumen, nicht bei der Menge der Dokumente. Die Auswertung ordnet den Bestand inhaltlich als Personal-, Finanz- und Verwaltungsunterlagen sowie Zugangsdaten ein.

Ein Detail dieser Auswertung verdient besondere Aufmerksamkeit: Sie findet in den veröffentlichten Beständen auch Inhalte aus dem Papierkorb sowie temporär gespeicherte Word- und Excel-Dateien. Wer abfließende Daten gedanklich mit dem gepflegten Dokumentenbestand gleichsetzt, unterschätzt den Schaden. Genommen wird, was erreichbar ist – einschließlich dessen, was in einem Haus für gelöscht gehalten wird.

Warum die frühe Entwarnung keine Fehlleistung war

Es wäre billig, dem Land die Aussage vom 19. August vorzuhalten. Sie war vorsichtig formuliert, und Wegner hat sie selbst eingeschränkt – und sie beschreibt exakt die Lage, in der sich jede Organisation in den ersten Tagen befindet: Man sieht, was die eigenen Systeme protokolliert haben, und nicht, was auf der Gegenseite bereits liegt.

Genau das ist der Punkt für Ihr Haus. In den ersten Tagen nach einem Fund gibt es keine belastbare Aussage darüber, ob Daten abgeflossen sind. Es gibt nur die Aussage, dass man bisher keinen Abfluss sehen konnte. Wer daraus intern eine Entwarnung macht – gegenüber der Geschäftsführung, dem Betriebsrat, den Kunden –, muss sie unter Umständen Wochen später zurücknehmen, und dann in einer Lage, in der ohnehin niemand mehr ruhig zuhört.

Die praktische Konsequenz ist unbequem, aber einfach: Formulieren Sie Zwischenstände so, dass sie auch dann noch stimmen, wenn es schlimmer kommt.

Wie sie hereinkamen, ist öffentlich nicht geklärt

Auf die Frage, wie die Angreifer technisch hereinkamen, gibt es Wochen nach dem Vorfall keine abschließende öffentliche Antwort.

Eine Randbemerkung dazu, weil die Verknüpfung sonst jemand anders herstellt: Das BSI beschreibt in einer Warnung vom 4. September für die Kompromittierung einer nicht namentlich genannten staatlichen Institution im August 2026 eine konkrete Kette – präparierte Webseite, vorgetäuschtes CAPTCHA, ein vom Nutzer selbst ausgeführter PowerShell-Befehl, danach Sideloading und ein Rückkanal über Port 443 – und ordnet die dabei eingesetzte Schadsoftware derselben Gruppe zu, die hinter Rhysida steht. Ob das der Berliner Weg war, sagt das Dokument nicht. Und keine andere öffentliche Quelle sagt es auch.

Für die eigene Planung ist das die wichtigste Beobachtung des ganzen Vorgangs. Wenn ein Land mit Landeskriminalamt, Staatsanwaltschaft und BSI im Rücken den Erstzugang nach Wochen öffentlich nicht benennt, sollten Sie für Ihr Haus nicht damit rechnen, ihn im Ernstfall in drei Tagen zu kennen. Ein Notfallplan, der voraussetzt, dass man den Weg kennt, bevor man handelt, ist kein Plan.

Was die Trennung vom Netz zeigt

Die erste Maßnahme in Berlin war struktureller Natur: Zwei Verwaltungen wurden vom Landesnetz getrennt – nicht der Rest. Dass eine solche Trennung überhaupt zur Wahl steht, ist keine Selbstverständlichkeit, sondern eine Frage der Netzarchitektur. Billig ist sie trotzdem nicht: An den getrennten Häusern hingen Fachverfahren, und das Wohngeld stand still. Eindämmung kostet – die Frage ist nur, ob sie überhaupt eine Option ist.

In einem flachen Netz gibt es diese Option nicht. Dort heißt Eindämmung: alles aus, oder nichts aus. Segmentierung ist deshalb keine Compliance-Übung, sondern die Voraussetzung dafür, im Ernstfall überhaupt eine Wahl zu haben.

Für Ihr Haus gilt das für die Wiederherstellung genauso. Sicherungen, die vom selben Netz aus erreichbar und veränderbar sind, sind im Ransomware-Fall keine Sicherungen. Unveränderbar, getrennt, und – der Teil, den fast alle auslassen – mindestens einmal zurückgespielt, bevor es darauf ankommt.

Was das für die Frist bedeutet

Das BSI gibt in seiner Warnung die Kenntnislage eines kommerziellen Dienstleisters wieder: Auf die Nennung auf der Leak-Seite dieser Gruppe folgt in 92 Prozent der Fälle auch eine Veröffentlichung, im Schnitt 11 Tage danach. Berlin bestätigt den ersten Teil – und unterbot den zweiten: Zwischen der Nennung am 28. August und der Veröffentlichung am 4. September lagen sieben Tage.

Eine knappe Woche ist keine Verhandlungszeit. Sie ist die Zeit, um Betroffene zu identifizieren, Meldepflichten zu erfüllen und eine Kommunikation vorzubereiten, die nicht am Tag der Veröffentlichung improvisiert wird. Und der Mittelwert ist keine Zusage – Berlin hatte vier Tage weniger. Wer diese Woche erst nach dem Fund zu organisieren beginnt, verliert sie mit der Organisation.

Wie sector7 unterstützt

Was für Ihr Haus daraus trägt, kommt bei uns aus zwei Richtungen. Aus der Verteidigungsindustrie: Unsere Engineers sind VS-NfD-belehrt und haben Projekterfahrung in eingestuften Umgebungen des Verteidigungssektors – von der Architektur und Pilotierung einer SD-WAN-Landschaft für einen Konzern des Sektors bis zur Übernahme einer Application-Delivery-Plattform in den Regelbetrieb. Und aus der Arbeit für Kommunen und Behörden. Was daraus trägt, ist weniger die Technik als der Umgang mit ihr: dokumentierte Änderungen, nachvollziehbare Zugriffe, keine Abkürzungen.

Praktisch heißt das dreierlei. Wir planen und betreiben segmentierte Netze mit kontrollierten Übergängen – damit Eindämmung eine Option ist und nicht ein Totalausfall. Wir richten unveränderbare Sicherungen auf geo-redundante eigene Ziele ein, testen die Wiederherstellung und üben den Notfallplan, statt ihn abzuheften. Und wir betreiben unsere Systeme auf eigener Infrastruktur in Deutschland, mit eigenem Serverpark und eigenem IP-Adressraum.

Eine Grenze nennen wir dabei von vornherein, weil sie im Gespräch sonst zu spät kommt: VS-NfD ist die unterste Geheimschutzstufe und die einzige, die ohne förmliche Sicherheitsüberprüfung auskommt. Wir sind VS-NfD-belehrt – wir sind kein geheimschutzbetreutes Unternehmen. Wo Ihr Auftrag mehr verlangt, sagen wir das vorher. Mehr dazu unter Verteidigungsindustrie und Rüstungszulieferer.

Quellen

Sprechen wir über Ihre Situation.

Gespräch vereinbaren+49 212 240915 0