Cyberangriff auf Berlin: Rhysida behauptet Diebstahl von 5,79 Terabyte : Berlin bestätigt Datenabflüsse und einen Erpressungsversuch – zahlen will der Senat nicht.
Nach dem Angriff auf das Berliner Landesnetz bestätigt der Senat weitere Datenabflüsse. Die Ransomware-Gruppe Rhysida reklamiert 5,79 Terabyte gestohlene Daten für sich. Wie die Täter eindrangen, ist noch offen – bekannte Angriffsmuster der Gruppe zeigen jedoch mehrere kritische Einfallswege.
Die Ransomware-Gruppe Rhysida hat den Angriff für sich beansprucht. Auf ihrer Leak-Seite behauptet sie, 5,79 Terabyte Daten aus Berliner Behörden erbeutet zu haben. Reuters zufolge nennt die Gruppe darunter unter anderem 46.500 Verträge sowie E-Mails, Telefonnummern, Passwörter und als vertraulich bezeichnete Informationen. Die Daten sollen versteigert werden.
Nach den vorliegenden Angaben der Leak-Seite soll der Bestand rund 1,44 Millionen Dateien umfassen. Genannt werden außerdem personenbezogene Informationen zu 12.076 Menschen sowie elf Dateikategorien, darunter 124.823 Karten- und Geodateien. Diese Zahlen stammen jedoch ausschließlich von den Angreifern. Berlin selbst hat bislang weder die Datenmenge noch diese Detailangaben bestätigt. Der Monitoring-Dienst Ransomware.live führte mit Stand vom 29. August 280 Rhysida-Opfer auf, darunter neun in Deutschland. Dazu zählen die Stadtverwaltung Stuttgart im Mai 2026 und die Hilfsorganisation Welthungerhilfe im Juni 2025. In der Opferliste findet sich außerdem der Port of Seattle, der den Seattle-Tacoma International Airport betreibt und im September 2024 erfasst wurde.
Das Vorgehen der Rhysida-Gruppe entspricht dem Modell der Double Extortion. Dabei stehlen Täter zunächst Daten und nutzen deren Veröffentlichung anschließend als zusätzliches Druckmittel. Eine Verschlüsselung der Systeme ist für dieses Geschäftsmodell nicht zwingend erforderlich: Selbst wenn die IT aus Backups wiederhergestellt werden kann, bleibt die Drohung mit Veröffentlichung oder Verkauf der kopierten Informationen bestehen.
Wie Rhysida typischerweise in Netze gelangt
Über den konkreten Erstzugriff auf das Berliner Landesnetz ist bislang nichts veröffentlicht. Eine gemeinsame Analyse der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA), des Federal Bureau of Investigation (FBI) und des Multi-State Information Sharing and Analysis Center (MS-ISAC) dokumentiert für Rhysida jedoch mehrere wiederkehrende Zugangswege:
- Gültige Zugangsdaten: Die Täter verwenden kompromittierte Konten, um sich beispielsweise an extern erreichbaren Virtual-Private-Network-(VPN)-Zugängen anzumelden. Besonders riskant sind Umgebungen ohne Multi-Faktor-Authentifizierung (MFA).
- Zerologon (CVE-2020-1472): Rhysida wurde beim Missbrauch dieser kritischen Schwachstelle im Microsoft Netlogon Remote Protocol beobachtet. Die bereits 2020 geschlossene Lücke kann zur Ausweitung von Berechtigungen genutzt werden.
- Phishing: Die Gruppe verschafft sich auch über manipulierte Nachrichten Zugang zu Konten und internen Systemen.
Nach erfolgreichem Eindringen setzt Rhysida laut der Behördenanalyse unter anderem PowerShell, Windows-Kommandozeilen und Skripte ein. Damit lassen sich Systeme erkunden, weitere Angriffsschritte automatisieren und Schadsoftware verteilen. CISA, FBI und MS-ISAC empfehlen deshalb insbesondere, bekannte ausgenutzte Schwachstellen schnell zu schließen, MFA flächendeckend einzusetzen und Netzwerke zu segmentieren.
Die US-Behörden raten zudem ausdrücklich von Lösegeldzahlungen ab: Eine Zahlung garantiere weder die Wiederherstellung von Daten noch verhindere sie weitere Angriffe.
Wahlbereiche laut Senat nicht betroffen
Der Vorfall ist auch wegen der Berliner Abgeordnetenhauswahl am 20. September besonders sensibel. Nach Angaben Sprangers sind jedoch nach bisherigem Erkenntnisstand keine Daten aus den für die Durchführung der Wahl relevanten Bereichen abgeflossen. Die zuständigen Sicherheitsstellen bewerten die Wahlinfrastruktur als sicher. Reuters bestätigt diese Darstellung aus der Pressekonferenz.
Die Auswirkungen des Angriffs waren dennoch spürbar. Während der Isolation der beiden Verwaltungen standen einzelne Fachverfahren zeitweise nicht zur Verfügung. Seit dem 23. August sind alle Senatsverwaltungen wieder angebunden. Forensische Untersuchungen, Scans des Landesnetzes und die Arbeit des IT-Notfallstabs laufen weiter.
Auch britische Flughäfen melden Kundendatenverlust
Parallel wurde in Großbritannien ein weiterer größerer Cybervorfall bekannt. Manchester Airports Group (MAG), Betreiber der Flughäfen Manchester, London Stansted und East Midlands, bestätigte am 27. August einen unbefugten Zugriff auf ein externes System. Gestohlen wurden Daten aus Parkplatz-, Lounge- und Fast-Track-Buchungen sowie WLAN-Anmeldungen. Betroffen sind E-Mail-Adressen, Telefonnummern, Fahrzeugkennzeichen und Postleitzahlen. Bank- oder Zahlungsdaten seien weder bei MAG noch in dem angegriffenen System gespeichert gewesen. „Zu keinem Zeitpunkt waren die Sicherheit der Passagiere oder die Luftfahrtsicherheit beeinträchtigt“, erklärte MAG. Operative Flughafensysteme seien nicht betroffen, der Betrieb laufe normal weiter.
Auch dieser Fall zeigt jedoch, dass Datendiebstahl nicht erst durch einen Betriebsausfall gefährlich wird. Kontakt-, Fahrzeug- und Reisedaten lassen sich für glaubwürdige Phishing-Nachrichten, Social Engineering und weitere zielgerichtete Angriffe kombinieren. Bei Berlin bleibt daher nicht nur entscheidend, wie viele Daten tatsächlich entwendet wurden, sondern vor allem, welche Informationen die Angreifer besitzen und welche weiteren Angriffe sich daraus ableiten lassen.