Rhysida-Ransomware trifft Berlin — Deutschlands Hauptstadt unter Cyberangriff (2026)

Was ist diese Bedrohung?

Im August 2026 drang die Ransomware-Gruppe Rhysida in das IT-Netzwerk der Landesregierung der deutschen Hauptstadt ein — das Berliner Landesnetz —, wenige Wochen vor einer Regionalwahl, und stahl sensible Verwaltungsdaten. Die Behörden bestätigten den Einbruch und lehnten es ab, die Lösegeldforderung der Angreifer zu zahlen.

Dieser Vorfall reiht sich in einen breiteren Trend ein: Deutsche Behörden berichten, dass staatlich unterstützte und finanziell motivierte Gruppen zunehmend die öffentliche Verwaltung ins Visier nehmen und Ransomware nicht nur zur Verschlüsselung von Systemen, sondern auch zum Diebstahl und zur Androhung der Veröffentlichung von Daten einsetzen — eine Taktik, die als doppelte Erpressung bekannt ist.

Zeitlicher Ablauf des Angriffs

| Datum | Ereignis |

|---|---|

| 7. August 2026 | Angreifer verschaffen sich Erstzugang zum Berliner Landesnetz |

| 7.–12. August 2026 | Unbemerkte Datenexfiltration findet statt |

| 14. August 2026 | Berlin trennt betroffene Systeme vom Netz |

| 17. August 2026 | Berlin macht den Vorfall öffentlich |

| 28. August 2026 | Rhysida veröffentlicht die gestohlenen Daten auf seiner Darknet-Leak-Seite und setzt eine Lösegeldfrist |

Die Angreifer hatten fast eine volle Woche Zugang zum Netzwerk, bevor jemand die Verbindung kappte — genug Zeit, um sich unbemerkt seitwärts zu bewegen und große Datenmengen zu kopieren.

Was gestohlen wurde

Laut der eigenen Veröffentlichung der Angreifer auf ihrer Leak-Seite:

Rund 5,79 Terabyte an Daten, verteilt auf etwa 1,44 Millionen Dateien

Persönliche Daten von über 12.000 Personen, darunter E-Mail-Adressen, Telefonnummern und IBANs

Mehr als 46.500 Verträge sowie E-Mails, Passwörter und interne Unterlagen

Geodaten und Kartenmaterial aus einer Berliner Senatsverwaltung

Rhysida forderte ein Lösegeld von rund 30 Bitcoin (etwa 2,3 Mio. US-Dollar) und drohte, die Daten zu versteigern oder zu veröffentlichen. Der Regierende Bürgermeister erklärte, die Stadt werde nicht zahlen, und sprach von Erpressung.

Wie solche Angriffe typischerweise ablaufen

Rhysida und ähnliche Ransomware-Akteure müssen sich in der Regel nicht "einhacken" — sie loggen sich ein:

Erstzugang über kompromittierte VPN-Zugangsdaten ohne Mehr-Faktor-Authentifizierung, ungepatchte Schwachstellen (etwa Zerologon) oder gezielte Phishing-E-Mails

Seitwärtsbewegung durch das interne Netzwerk bis zu Dateiservern und Datenbanken

Datenexfiltration möglichst vieler sensibler Daten, bevor irgendeine Verschlüsselung eingesetzt wird

Erpressung: Drohung, die gestohlenen Daten auf einem Darknet-Portal zu veröffentlichen oder zu verkaufen, falls kein Lösegeld gezahlt wird

Veröffentlichung einer Stichprobe oder des vollständigen Datensatzes, falls die Frist ohne Zahlung verstreicht

Warum das auch Sie betrifft — selbst wenn Sie nicht für den Staat arbeiten

Solche Datenlecks legen die persönlichen Daten gewöhnlicher Bürgerinnen und Bürger offen — Namen, Kontaktdaten und Finanzkennungen —, was gezieltes Phishing, Vishing und Identitätsdiebstahl befeuert. Angreifer nutzen häufig geleakte Daten aus Vorfällen im öffentlichen Sektor, um spätere Betrugsnachrichten glaubwürdiger und persönlicher wirken zu lassen.

Warnsignale-Checkliste

❌ Unerwartete E-Mails, SMS oder Anrufe, die sich auf Ihre Kontakte mit einer Behörde oder Stadtverwaltung beziehen

❌ Nachrichten mit korrekten persönlichen Angaben (Name, Adresse, Aktenzeichen), um nach einem bekannten Datenleck seriös zu wirken

❌ Dringende Aufforderungen, Ihre Identität, Bankdaten oder Zugangsdaten telefonisch oder per E-Mail zu "verifizieren"

❌ Links zu Portalen, die nicht den offiziellen Behörden-Domains (.berlin.de, .bund.de) entsprechen

❌ Jede Aufforderung zu Passwörtern, vollständigen Kartennummern oder Einmalcodes