Berlin steht vor einem massiven Sicherheitsproblem. Nach einem Cyberangriff auf Teile der Landesverwaltung sind enorme Datenmengen öffentlich geworden. Rund 1,44 Millionen Dateien sollen inzwischen im Darknet verfügbar sein. Das Datenpaket umfasst mehrere Terabyte – und offenbar weit mehr als gewöhnliche Verwaltungsunterlagen. Besonders schwer wiegt dabei eine zweite Erkenntnis: Innerhalb der Verwaltung war die grundsätzliche Schwäche beim digitalen Umgang mit geheimhaltungsbedürftigen Informationen offenbar schon Monate vor dem Angriff bekannt.
Der Angriff traf zentrale Bereiche der Verwaltung
Hinter der Attacke soll die Ransomware-Gruppe Rhysida stehen. Die Angreifer sollen mehrere Tage Zugriff auf IT-Systeme der Berliner Senatsverwaltungen für Bauen und Verkehr gehabt haben, bevor der Vorfall vollständig erkannt beziehungsweise eingedämmt werden konnte.
Anschließend folgte das bekannte Muster eines Erpressungsangriffs: Die Täter verlangten 30 Bitcoin. Der Gegenwert wurde mit rund zwei Millionen Euro angegeben. Berlin zahlte nicht. Damit vermied die Verwaltung zwar, den Erpressern unmittelbar Geld zukommen zu lassen. Doch die Konsequenz war drastisch: Nach Ablauf der gesetzten Frist veröffentlichten die Angreifer die erbeuteten Daten. Der Umfang soll – abhängig von der jeweiligen Zählweise – zwischen etwa 5,26 und knapp 5,8 Terabyte liegen.
Die Dimension des Vorfalls erschließt sich erst beim Blick auf die mutmaßlich enthaltenen Informationen. Unter den veröffentlichten Daten sollen sich Tausende Personalakten befinden. Hinzu kommen Gehaltsabrechnungen, Disziplinarunterlagen und Zugangsinformationen. Teilweise sollen sogar Passwörter unverschlüsselt gespeichert worden sein. Doch damit endet das Problem nicht. In dem Datenbestand sollen sich ebenfalls Dokumente befinden, die für die Funktionsfähigkeit Berlins in außergewöhnlichen Krisensituationen von erheblicher Bedeutung sein könnten. Dazu gehören Angaben zu Kraftwerken, Tanklagern, Umspannwerken und Notstromanlagen.
Auch Informationen darüber, welche Folgen der Ausfall bestimmter Einrichtungen beispielsweise für Krankenhäuser, Polizei, Haftanstalten oder den Bundestag haben könnte, sollen Teil des Materials sein. Bei Unternehmen aus dem Rüstungsbereich sollen zudem Betriebszeiten, Informationen zum Wachschutz sowie Kontaktdaten zuständiger Personen für Notfälle enthalten sein. Damit wird aus einem gewöhnlichen Datenschutzvorfall ein Problem mit erheblich größerer Tragweite.
Besonders sensibel erscheinen Unterlagen mit Bezug auf Krisen- und Verteidigungsplanung. Im veröffentlichten Material sollen sich Informationen befinden, die Anlagen aufführen, denen im Spannungs- oder Verteidigungsfall besondere Bedeutung zukommt. Außerdem werden Unterlagen mit Bezug zum „Operationsplan Deutschland“ sowie ein Entwurf des als geheim eingestuften Leitfadens „Zivile Verteidigung im Land Berlin“ aus dem August 2025 genannt. Die Berliner Senatskanzlei bewertet entsprechende Verteidigungsunterlagen zwar als äußerst sensibel. Nach Abstimmung mit Bundesbehörden würden sie jedoch nicht als sicherheitskritisch eingestuft.
Das ändert nichts daran, dass Informationen dieser Art nun außerhalb der staatlichen Kontrolle kursieren. Einmal veröffentlichte Daten lassen sich schließlich nicht wieder zurückholen. Selbst wenn ursprüngliche Dateien gelöscht oder Zugänge geschlossen werden, können längst beliebig viele Kopien existieren.
Der vielleicht folgenreichste Aspekt des gesamten Falls liegt allerdings zeitlich vor dem eigentlichen Cyberangriff. Bereits im Februar soll innerhalb der Bau- und Verkehrsverwaltung schriftlich festgehalten worden sein, dass ein digitaler Geheimschutz nach strengen Maßstäben innerhalb der Berliner öffentlichen Verwaltung nicht gewährleistet werden könne. Damit verschiebt sich die zentrale Frage. Es geht nicht mehr ausschließlich darum, wie professionelle Cyberkriminelle in die Systeme gelangen konnten. Entscheidend ist ebenso, weshalb besonders sensible Dokumente offenbar weiterhin digital in einer Umgebung gespeichert wurden, deren Grenzen intern bekannt waren. Sollte sich dieser Zusammenhang bestätigen, wäre der Datenabfluss nicht allein die Folge eines erfolgreichen Hackerangriffs. Er würde zugleich grundlegende Fragen über Organisation, Verantwortlichkeiten und Risikomanagement innerhalb der Verwaltung aufwerfen.
Wer wusste von der Schwachstelle? Welche Konsequenzen wurden aus der internen Einschätzung gezogen? Wurden besonders schützenswerte Unterlagen anschließend anders behandelt? Und falls nicht: Warum nicht?
Auch die bisherige Kommunikation des Berliner Senats erscheint vor diesem Hintergrund problematisch. Der Regierende Bürgermeister Kai Wegner hatte am 19. August erklärt, sensible Daten seien nicht abgeflossen. Angesichts des inzwischen beschriebenen Inhalts der veröffentlichten Dateien steht diese Einschätzung erheblich unter Druck. Denn wenn Personalunterlagen, Zugangsdaten und Dokumente zur kritischen Infrastruktur tatsächlich Bestandteil des Datenpakets sind, lässt sich die Tragweite des Angriffs kaum auf einen gewöhnlichen IT-Ausfall reduzieren.
Die Folgen waren ohnehin bereits im Alltag spürbar. Unter anderem konnten Wohngeldzahlungen zeitweise nicht regulär abgewickelt werden. Nun zeigt sich jedoch, dass der unmittelbare Verwaltungsausfall möglicherweise nur die sichtbarste Konsequenz des Angriffs gewesen ist.
Der Vorfall macht ein grundsätzliches Problem moderner Verwaltungen sichtbar: Digitalisierung schafft Geschwindigkeit und Effizienz, konzentriert zugleich aber enorme Informationsmengen in miteinander verbundenen Systemen. Je stärker Behörden von diesen Strukturen abhängig werden, desto größer können die Folgen eines erfolgreichen Angriffs sein. Dabei genügt es nicht, einzelne Server oder Arbeitsplätze technisch abzusichern. Entscheidend ist, welche Informationen überhaupt digital gespeichert werden, wer Zugriff darauf besitzt und ob besonders sensible Dokumente von gewöhnlichen Verwaltungsdaten ausreichend getrennt sind.
Genau an diesem Punkt wird der Berliner Fall besonders brisant. Wenn eine Behörde selbst zu dem Ergebnis kommt, dass ein bestimmtes Schutzniveau technisch nicht gewährleistet werden kann, müsste daraus eigentlich eine organisatorische Konsequenz folgen. Besonders kritische Informationen dürften dann nicht einfach nach demselben Prinzip behandelt werden wie gewöhnliche Verwaltungsakten.
Bei klassischen Ransomware-Angriffen steht häufig zunächst der finanzielle Schaden im Mittelpunkt. In Berlin dürfte diese Rechnung wesentlich komplizierter ausfallen. IT-Systeme können neu aufgebaut, Passwörter geändert und Sicherheitslücken geschlossen werden. Veröffentlichte Informationen dagegen bleiben möglicherweise dauerhaft verfügbar. Personalakten betreffen die Privatsphäre von Beschäftigten. Zugangsdaten können weitere Angriffe ermöglichen. Informationen über kritische Infrastruktur besitzen einen völlig anderen strategischen Wert. Und Dokumente aus der Krisen- oder Verteidigungsplanung verlieren einen wesentlichen Teil ihres Schutzes, sobald unbekannte Dritte sie kopieren können.
Deshalb dürfte die entscheidende Aufarbeitung erst beginnen. Sie muss nicht nur klären, wie die Angreifer eindringen konnten. Ebenso wichtig ist die Frage, weshalb eine Verwaltung, die ihre eigenen technischen Grenzen offenbar kannte, besonders sensible Informationen dennoch einem entsprechenden Risiko aussetzte. Der Cyberangriff ist damit mehr als eine weitere Meldung über Hacker und ausgefallene Computersysteme. Er wird zum Testfall dafür, ob staatliche Digitalisierung und staatlicher Geheimschutz tatsächlich miteinander Schritt gehalten haben.