Cyberangriff Berlin: Rhysida veröffentlicht weitere Zugangsdaten

Nach dem Cyberangriff auf Berlin hat die Ransomware-Gruppe Rhysida ein weiteres Paket gestohlener Daten veröffentlicht. Darin befinden sich nach Angaben der Senatskanzlei auch Zugangsdaten. Die betroffene Stadtentwicklungsverwaltung hat deshalb zusätzliche Sicherheitsmaßnahmen umgesetzt.

Der Vorfall zeigt damit eine zweite Risikophase nach dem eigentlichen Angriff. Verwendbare Zugangsdaten und interne Informationen können weitere Angriffe erleichtern. Das BSI warnt laut dpa insbesondere vor gezieltem Phishing. Grundlagen zu solchen Angriffen finden Sie im IT-Dock-Beitrag über Spear-Phishing.

Rhysida veröffentlicht weiteres Datenpaket aus Berliner Landesnetz

Das neue Datenpaket erschien in der Nacht zum 6. September 2026. Die Senatskanzlei bestätigte anschließend, dass darin unter anderem Zugangsdaten enthalten sind. Welche Konten konkret betroffen sind, teilte das Land zunächst nicht mit.

Die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen überprüfte daraufhin bereits eingeleitete Schutzmaßnahmen und verschärfte einzelne Punkte. Dadurch können Fachverfahren kurzfristig eingeschränkt sein. Nutzer der betroffenen Systeme sollen entsprechend informiert werden.

Bereits nach der ersten Veröffentlichung hatte Berlin eine zusätzliche Steuerungseinheit unter Leitung des Chief Digital Officer eingerichtet. Sie koordiniert die Prüfung der abgeflossenen Daten und die Information betroffener Bürger, Unternehmen und Behörden. Eingebunden sind unter anderem das LKA, die Datenschutzbehörde und weitere Sicherheitsstellen.

Was beim Cyberangriff auf Berlin bislang bestätigt ist

Der Vorfall wurde Mitte August öffentlich bekannt. Betroffen waren die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Beide Verwaltungen wurden am 14. August vorsorglich vom Landesnetz getrennt.

Spätere forensische Untersuchungen bestätigten weitere Datenabflüsse im Geschäftsbereich der Verkehrsverwaltung. Das Land erklärte Ende August, Inhalt und Umfang würden noch untersucht. Personenbezogene und andere nicht öffentliche Daten konnten zu diesem Zeitpunkt nicht ausgeschlossen werden.

Rhysida bekannte sich zu dem Angriff und behauptete, rund 5,7 Terabyte Daten erbeutet zu haben. Die Gruppe verlangte 30 Bitcoin. Berlin lehnte eine Zahlung ab. Nach Ablauf des Ultimatums wurden die gestohlenen Daten veröffentlicht.

Medien berichten unter Berufung auf dpa von rund 1,44 Millionen veröffentlichten Dateien mit etwa 5,8 Terabyte. Die Behörden werten den Bestand weiterhin aus. Deshalb steht noch nicht abschließend fest, welche Personen, Organisationen und sicherheitsrelevanten Informationen konkret betroffen sind.

Warum veröffentlichte Zugangsdaten das Risiko erhöhen

Ein Datenleck endet nicht mit der Veröffentlichung der Dateien. Enthaltene Zugangsdaten können für erneute Anmeldeversuche, Kontoübernahmen oder vorbereitende Social-Engineering-Angriffe eingesetzt werden.

Zusätzliche interne Informationen können Angreifern außerdem helfen, Nachrichten glaubwürdiger zu gestalten. Namen, Zuständigkeiten oder interne Abläufe liefern dafür wertvollen Kontext. Das BSI weist nach der Veröffentlichung ausdrücklich auf eine erhöhte Gefahr gezielter Phishing-Angriffe hin.

Für betroffene Organisationen folgt daraus eine umfangreiche Nacharbeit. Zugangsdaten und Tokens müssen bewertet, kompromittierte Konten gesperrt und verdächtige Sitzungen untersucht werden. Auch Monitoring und Angriffserkennung gewinnen nach einem Leak an Bedeutung. Wie solche Prozesse organisatorisch abgebildet werden können, erläutert unser Überblick zu Managed Detection and Response.

IT-Experte kritisiert Berliner Sicherheitsmaßnahmen

Zusätzliche Aufmerksamkeit erhält der Vorfall durch Vorwürfe des Sicherheitsexperten Manuel Atug. Der Gründer und Sprecher der AG KRITIS wirft Berlin grobe Fahrlässigkeit vor und kritisiert insbesondere den Umgang mit Geheimschutzvorgaben.

Diese Aussagen sind eine Bewertung des Experten und keine behördlich oder gerichtlich festgestellte Verantwortlichkeit. Ob bei den veröffentlichten Dokumenten tatsächlich konkrete Geheimschutzbestimmungen verletzt wurden, ist bislang nicht abschließend geklärt.

Fest steht jedoch, dass Atug die Cybersicherheit der Berliner Verwaltung schon vor dem aktuellen Angriff kritisierte. Er war 2023 und erneut im November 2025 als Sachverständiger im Innenausschuss vertreten. Im damaligen Wortprotokoll sprach er unter anderem von Defiziten bei gelebten Sicherheitsprozessen und deren Wirksamkeitsprüfung. Auch der Sachverständige Sven Herpig sah bei mehreren bereits 2023 angesprochenen Problemen kaum Fortschritte.

Ob Geheimschutzvorgaben verletzt wurden, bleibt offen

Für Verschlusssachen gelten in Berlin konkrete Vorgaben. Die Verschlusssachenanweisung verlangt beispielsweise, dass Verschlusssachen nur auf dafür freigegebener IT verarbeitet werden. Bei Dokumenten ab der Einstufung VS-VERTRAULICH ist außerdem eine Risikoanalyse nach BSI-Standards vorgeschrieben.

Aus der Existenz dieser Regeln folgt jedoch nicht automatisch, dass sie beim aktuellen Vorfall verletzt wurden. Dafür müsste zunächst geklärt werden, welche eingestuften Unterlagen tatsächlich abgeflossen sind, auf welchen Systemen sie lagen und ob diese Systeme den jeweiligen Anforderungen entsprachen.

Diese Prüfung ist noch nicht abgeschlossen. Entsprechend sollte der Vorwurf eines Verstoßes gegen Geheimschutzvorgaben derzeit nicht als erwiesene Tatsache dargestellt werden.

Welche Lehren Unternehmen aus dem Berliner Datenleck ziehen können

Der Cyberangriff auf Berlin verdeutlicht vor allem, dass Incident Response über die technische Eindämmung hinausgeht. Selbst nachdem Systeme wieder erreichbar sind, können gestohlene Daten langfristig weitere Risiken erzeugen.

Unternehmen sollten deshalb besonders schützenswerte Informationen klassifizieren, Zugriffsrechte regelmäßig prüfen und privilegierte Konten begrenzen. Netzwerksegmentierung erschwert zudem die Bewegung zwischen unterschiedlichen Systembereichen. Bei veröffentlichten Credentials müssen Sitzungen, Tokens und Passwörter schnell widerrufen oder ersetzt werden.

Ebenso wichtig ist ein belastbares Verfahren für die Zeit nach dem Angriff. Verantwortlichkeiten für Forensik, Benachrichtigung, Credential-Rotation und Monitoring sollten bereits vor einem Vorfall feststehen. Weitere Beiträge zu diesen Themen bündelt IT-Dock im Bereich Cybersecurity.

Der Berliner Fall zeigt damit, dass der Schaden eines Ransomware-Angriffs nicht mit dem Ende der Erpressungsfrist abgeschlossen ist. Die Auswertung gestohlener Daten und der Schutz vor Folgeangriffen können noch lange danach erhebliche Ressourcen binden.

Der IT-Dock Newsletter informiert regelmäßig über aktuelle Entwicklungen aus Cybersecurity und Infrastruktur. Im Mittelpunkt stehen die technischen und organisatorischen Folgen für Unternehmen.