Die folgende Meldung basiert ausschließlich auf öffentlich zugänglichen Quellen mit Stand vom 8. September 2026.
Die Gruppe Rhysida hat sich nach Angaben des Landes Berlin zum Angriff auf zwei Berliner Senatsverwaltungen bekannt und behauptet, Daten im Umfang von 5,7 Terabyte exfiltriert zu haben. Die Daten wurden gegen ein Mindestgebot von 30 Bitcoin angeboten. Berlin erklärte, auf die Erpressung nicht einzugehen.
https://www.berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1710327.php
Nach Ablauf des Ultimatums veröffentlichte die Tätergruppe am 4. September ein erstes Datenpaket, das laut Medienberichten rund 1,44 Millionen Dateien umfasst.
Wie viel des von Rhysida behaupteten Bestands tatsächlich abrufbar ist, ist öffentlich nicht abschließend geklärt. Der Tagesspiegel berichtet am 6. September von mindestens 755.121 Dateien.
Am 6. September veröffentlichte die Tätergruppe nach Angaben des Landes Berlin ein weiteres Datenpaket, das unter anderem Zugangsdaten enthält. Die zuständige Senatsverwaltung überprüfte daraufhin die nach der ersten Veröffentlichung ergriffenen Maßnahmen und schärfte sie vorsorglich in Teilen nach, was kurzfristig zu Einschränkungen bei Fachverfahren führen kann.
https://berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1710816.php
Nach dem bisherigen Prüfstand des Senats sind auch Verschlusssachen des Geheimhaltungsgrades VS-NfD betroffen. Daten mit noch höherer Sensibilität für die öffentliche Sicherheit wurden bislang nicht festgestellt. Die Auswertung von mehr als 1,2 Millionen Dateien dauert an.
https://www.berlin.de/aktuelles/10618882-958090-keine-hochsicherheitsdaten-von-hackerang.html
Der Tagesspiegel berichtet, das veröffentlichte Material enthalte Dokumente mit Bezügen zu kritischer Infrastruktur, Zivilschutz und Verteidigungsplanung. Ob die betroffenen Systeme für die Verarbeitung von Verschlusssachen freigegeben waren, ist bisher nicht bekannt. Nach einem weiteren Tagesspiegel-Bericht soll ein geleakter interner Vermerk vom Februar 2026 festhalten, dass digitaler Geheimschutz im strengen Sinne in der Berliner Verwaltung nicht möglich sei. Im Berliner Innenausschuss stand das Land Berlin bereits über mehrere Jahre wegen unzureichender Cybersicherheit in der Kritik. Frühere Warnungen vor erheblichen Sicherheitslücken erhalten nun neue Brisanz.
Zum mutmaßlichen Erstzugang beschreibt das BSI die Kampagne TerminalFix. Dabei verleiten gefälschte Captcha-Abfragen Nutzende zur Ausführung von Terminal- oder PowerShell-Befehlen. TerminalFix ist damit als öffentlich zugeordneter Erstzugangsvektor zu bewerten. Aussagen zur vollständigen Angriffskette oder zu strukturellen Ursachen sind öffentlich noch nicht abschließend belegt.
https://social.bund.de/@bsi/117212729947889443
Auch der Umgang mit dem Angriff ist sehr umstritten. Die Senatskanzlei setzte CrowdStrike für die IT-Forensik ein und hat diese als „alternativlos“ bezeichnet. Deren Software sollte in allen Bezirken installiert werden. Lichtenberg lehnte ab, Steglitz-Zehlendorf entfernte den Agenten nach technischen Problemen wieder. Der Senat drohte Lichtenberg daraufhin mit der Abtrennung von Fachverfahren. Später stimmte der Bezirk einer begrenzten Untersuchung zu. CrowdStrike unterliegt als US-Unternehmen dem CLOUD und FISA Act. Darüber hinaus halten sie eine strategische Partnerschaft mit Palantir.
Der Streit zeigt zwei Fragen, die getrennt bewertet werden müssen. Erstens geht es um Datenschutz und mögliche Zugriffsrisiken bei einem US-Anbieter. Zweitens geht es um die Betriebssicherheit eines tief ins System eingreifenden und Konflikt erzeugenden Agenten in produktiven Fachverfahren. Beides muss vor einem Sicherheitsvorfall geklärt sein. Unter Zeitdruck werden aus offenen Fragen operative Risiken.
