Hinweis: Stand dieses Artikels ist der 12. September 2026. Die forensische Auswertung ist nicht abgeschlossen, insbesondere Angaben zu Umfang und Inhalt der abgeflossenen Daten sind vorläufig.

Am 14. August 2026 nahm das Land Berlin zwei Senatsverwaltungen vom Landesnetz. Drei Wochen später lagen rund 1,44 Millionen Dateien aus diesen Häusern im Darknet. Der Fall ist inzwischen ausreichend dokumentiert, um daraus belastbare Schlüsse zu ziehen. Auch für Organisationen, die nichts mit öffentlicher Verwaltung zu tun haben.

Was ist passiert

Betroffen sind die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Beide wurden am Freitag, dem 14. August, vorsorglich vom Landesnetz isoliert, nachdem forensische Untersuchungen eine „Inkriminierung des Landesnetzes Berlin“ ergeben hatten. Öffentlich informierte die Senatskanzlei erst am 17. August. Eingebunden wurden Landeskriminalamt, Staatsanwaltschaft Berlin und BSI, dazu ein IKT-Notfallkrisenstab unter Leitung des Landesbevollmächtigten für Informationssicherheit.

Der wesentliche Datenabfluss fand nach Angaben des Senats zwischen dem 7. und 12. August statt. Bemerkt wurde er erst danach. Der Erstzugriff lag nach Darstellung von heise deutlich früher.

Die Auswirkungen auf den Betrieb waren direkt spürbar. Beide Häuser waren zeitweise nur telefonisch erreichbar, Wohngeld für rund 50.000 berechtigte Haushalte konnte nicht ausgezahlt werden. Am 23. August meldete der Senat, dass alle Senatsverwaltungen wieder am Landesnetz hängen.

Am 28. August bekannte sich die Ransomware-Gruppe Rhysida zu dem Angriff und forderte 30 Bitcoin, umgerechnet etwa zwei Millionen Euro. Berlin zahlte nicht. Am 1. September bestätigte eine Senatssprecherin, dass auch Passwörter für Fachverfahren abgeflossen sind, im Klartext aus Office-Dokumenten. Der VPN-Zugang wurde gekappt, Homeoffice für die Beschäftigten der betroffenen Häuser war nicht mehr möglich. Parallel liefen Prüfungen aller rund 12.000 Systeme des Landes.

Nach Ablauf des Ultimatums veröffentlichte Rhysida am 4. September den kompletten Datensatz. Der Senat beschreibt den Bestand als überwiegend unstrukturierte Daten aus gemeinsamen und persönlichen Verzeichnissen, nicht aus Fachanwendungen. Berichtet wird unter anderem über Personalunterlagen, Verträge, Passwortlisten sowie Unterlagen zu kritischen Infrastrukturen. Am 5. September warnte das BSI vor einer erhöhten Bedrohungslage, insbesondere vor gezieltem Phishing mit den geleakten Informationen. Seit dem 9. September informiert die Senatsverwaltung für Mobilität und Verkehr Betroffene, darunter Bewerberinnen und Bewerber sowie ehemalige Beschäftigte.

Bei den Zahlen ist Vorsicht angebracht. Die Angabe von 5,79 Terabyte stammt zunächst von den Tätern selbst. Je nach Auswertung kursieren 5,26 bis 5,8 Terabyte und 1,2 bis 1,44 Millionen Dateien. Der Senat prüft Inhalt und Umfang weiterhin. Eine Erpresserangabe ist kein forensisches Ergebnis, auch wenn sie sich in vielen Meldungen als Faktum wiederfindet.

Wie es wahrscheinlich passiert ist

Das BSI veröffentlichte am 4. September eine Cybersicherheitswarnung: Im August sei es über die sogenannte TerminalFix-Kampagne zur Kompromittierung des Netzwerks einer staatlichen Institution gekommen, mit Versuch einer Ransomware-Installation und Datenabfluss im Rahmen von Double Extortion. Die Warnung selbst nennt Berlin nicht. Die Verbindung zum Berliner Fall stellte heise her, gestützt auf einen Beitrag des BSI auf Mastodon. Das ist eine belastbare, aber indirekte Zuordnung. Wer sauber arbeitet, formuliert hier im Konjunktiv.

TerminalFix ist eine Weiterentwicklung von ClickFix. Microsoft hat die Kampagne am 28. August technisch beschrieben. Der Ablauf:

Eine kompromittierte Webseite blendet ein gefälschtes Cloudflare-Turnstile-Captcha ein. Beim Klick landet ein PowerShell-Befehl in der Zwischenablage. Der Nutzer wird angewiesen, den Befehl in Windows Terminal oder PowerShell einzufügen. Der Umweg über das Terminal statt über den Ausführen-Dialog erhöht die Erfolgsquote bei mehrzeiligen Skripten. Das Skript lädt ein ZIP-Archiv nach C:\ProgramData und startet eine signierte Windows-Binary, die eine mitgelieferte bösartige dui70.dll seitlädt. Ausführung beginnt damit in einem vertrauenswürdigen Prozess. Weitere Payloads werden per Steganographie aus PNG-Dateien extrahiert. Persistenz über Registry-Run-Key und geplante Aufgabe im 60-Minuten-Takt, das Verzeichnis wird versteckt. Es folgt Aufklärung im Active Directory: Domänenvertrauensstellungen, Mitglieder der Domänen-Admins, Benutzer- und Rechnerenumeration, gezielte Ping-Sweeps auf Server. Am Ende steht ein Python-Implantat, das einen Reverse-Tunnel über TLS und WebSocket auf Port 443 aufbaut und beliebigen TCP-Verkehr ins interne Netz weiterleitet.

Zwei Punkte daran sind wichtig. Erstens gibt es keine ausgenutzte Schwachstelle, keinen Zero-Day, keine ungepatchte Appliance. Der Einstieg ist ein Mensch, der einen Befehl einfügt. Zweitens endet der Angriff nicht auf diesem einen Rechner. Der Tunnel macht den kompromittierten Client zum Pivot ins gesamte erreichbare Netz. Genau das unterscheidet TerminalFix von klassischem ClickFix, bei dem meist ein Infostealer auf einer Einzelmaschine landete.

Die als Loader eingesetzte Schadsoftware ordnet das BSI derselben finanziell motivierten Gruppe zu, die hinter Rhysida steht. Alles, was darüber hinausgeht, etwa der genaue Weg vom Erstzugriff bis zur Exfiltration, ist derzeit nicht offiziell belegt.

Was wir daraus mitnehmen

Awareness allein trägt nicht. Der Einstiegsvektor war Social Engineering, aber über eine kompromittierte Webseite, nicht über E-Mail. Mailfilter greifen hier nicht. Es braucht technische Leitplanken: PowerShell Constrained Language Mode, Script Block Logging, Application Control oder AppLocker für Standardnutzer, ASR-Regeln gegen obfuskierte Skripte. Windows Terminal lässt sich so konfigurieren, dass mehrzeilige Einfügungen eine Warnung auslösen. Im Awareness-Programm gehört das Muster „Webseite fordert Terminal-Befehl“ explizit behandelt.

Erkennung ist das eigentliche Defizit. Fünf Tage Exfiltration blieben unbemerkt, der Zugriff selbst noch länger. Die Aktivitäten der Kampagne sind nicht leise: Sideloading aus C:\ProgramData, nltest /domain_trusts, net group “domain admins”, pythonw.exe mit ungewöhnlichen Argumenten, ausgehende Dauerverbindungen zu einer einzelnen Domain auf 443. Das erzeugt Telemetrie. Sie muss nur jemand auswerten. Ein EDR ohne 24/7-Auswertung ist eine Lizenz, keine Fähigkeit.

Klartextpasswörter in Dateiablagen sind ein Eskalationsverstärker. Sie machen aus einem Datenabfluss eine Kompromittierung aller darin genannten Systeme. Secrets Management, regelmäßige Suche nach Passwortmustern in Fileshares und ein klarer Prozess für geteilte Zugangsdaten sind hier die naheliegenden Maßnahmen.

Incident Response endet nicht mit der Wiederherstellung. Die Systeme waren nach neun Tagen wieder verfügbar, die eigentliche Krise begann danach. Nach einem Datenabfluss ist zu klären, welche Sicherheitsannahmen jetzt ungültig sind: Passwörter, Netzpläne, Notfallkonzepte, Kontaktlisten. Wer das nicht vorbereitet hat, verliert Wochen.

Segmentierung begrenzt den Schaden. Ein Landesnetz, das laut Berichten rund 600 Standorte verbindet, ist ohne harte Trennung ein Multiplikator. Für Unternehmen gilt dasselbe in kleinerem Maßstab: Ein Arbeitsplatzrechner sollte nicht als Sprungbrett zu Domänencontrollern, Backup- und Datenbankservern taugen.

Zuständigkeit schlägt Technik. Laut Tagesspiegel betreiben zwei Drittel der Berliner Senatsverwaltungen und Landesbehörden ihre IT-Sicherheit selbst, nicht über den zentralen Dienstleister. Zwei Bezirke verweigerten die vom Senat beschaffte Forensik-Software. Ohne Durchgriffsrecht gibt es im Ernstfall keine einheitliche Reaktion. Die Frage, wer im Krisenfall anordnen darf, gehört vor den Vorfall geklärt, nicht während.

Nicht zu zahlen ist vertretbar, aber nicht folgenlos. Das BSI verweist auf eine Auswertung, nach der in 92 Prozent der Fälle einer angedrohten Veröffentlichung auch tatsächlich veröffentlicht wird. Wer sich gegen Zahlung entscheidet, und das ist die richtige Grundhaltung, muss die Folgephase planen: Benachrichtigung Betroffener, Rechtsberatung, eine absehbare Welle an gezieltem Phishing und Identitätsmissbrauch.

Kommunikation zahlt auf Vertrauen ein oder kostet es. Zunächst hieß es, es seien keine sensiblen Daten abgeflossen. Kurz darauf war das Gegenteil belegt. Besser ist, wenig zu sagen und dieses Wenige zu halten.

Quellen