Hackerangriff Berlin: 5,8 TB Daten im Darknet veröffentlicht

Hackerangriff Berlin: 5,8 TB Daten wurden veröffentlicht. Was betroffen ist und was IT-Entscheider daraus lernen können.

Illustration zum Hackerangriff auf Berlin mit Berliner Karte, Fernsehturm, Datenkarten und gebrochenem Schutzschild.

IT-Dock Redaktion
6. September 2026 ·5 Min. Lesezeit

Nach dem Hackerangriff auf Berlin hat die Gruppe Rhysida die erbeuteten Daten im Darknet veröffentlicht. Nach aktuellen Medienauswertungen umfasst das Datenpaket rund 5,8 Terabyte. Der Berliner Senat bestätigt die Veröffentlichung, prüft Inhalt und Umfang aber weiterhin.

Die Angreifer hatten sich zwischen dem 7. und 12. August 2026 Zugriff auf Bereiche der Berliner Verwaltung verschafft und Daten kopiert. Betroffen sind die Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Klimaschutz und Umwelt. Rhysida forderte anschließend 30 Bitcoin Lösegeld. Berlin zahlte nicht.

Welche Daten wurden beim Hackerangriff auf Berlin veröffentlicht?

Wie groß der tatsächlich öffentlich zugängliche Bestand ist, wird noch untersucht. Die Angreifer hatten 1,44 Millionen Dateien angekündigt. Eine Auswertung des Tagesspiegels vom 6. September konnte mindestens 755.121 Dateien im veröffentlichten Bestand erfassen. Weitere Inhalte liegen in Archiven und sind darin noch nicht vollständig berücksichtigt.

Die Auswertung zeigt, warum die reine Datenmenge nur einen Teil des Problems beschreibt. Gefunden wurden unter anderem dienstliche E-Mails, Personalunterlagen, Gesundheitsdaten sowie Dokumente mit Bezügen zu kritischer Infrastruktur. Allein 121.475 E-Mails waren direkt als einzelne Dateien erkennbar. Zusätzlich fanden sich 198 E-Mail-Archive, die weitere Nachrichten und Kalendereinträge enthalten können.

Diese Details stammen aus einer Medienauswertung und sind noch keine vollständige behördliche Bestandsaufnahme. Der Berliner Senat wertet die veröffentlichten Daten mit IT-Forensikern und Sicherheitsbehörden weiter aus. Dafür wurde eine zusätzliche Steuerungseinheit in der Senatskanzlei eingerichtet. Sicherheitskritische Inhalte sollen nach Risiko priorisiert werden.

BSI warnt vor Folgeangriffen mit den veröffentlichten Daten

Mit der Veröffentlichung beginnt eine zweite Phase des Vorfalls. Das Bundesamt für Sicherheit in der Informationstechnik warnt vor gezielten Phishing-Angriffen und weiteren Missbrauchsmöglichkeiten. Interne Ansprechpartner, Kommunikationsverläufe oder persönliche Informationen können Betrugsversuche glaubwürdiger machen. Wie solche gezielten Phishing-Angriffe funktionieren, haben wir bereits ausführlich erklärt.

Das BSI weist außerdem auf mögliche Hack-and-Leak-Szenarien hin. Dabei werden gestohlene Informationen gezielt veröffentlicht, verändert oder in einen falschen Zusammenhang gestellt. Nach bisherigem Stand gehen die Behörden beim ursprünglichen Angriff jedoch von einer finanziellen Motivation aus.

Was IT-Entscheider aus dem Berliner Datenleck ableiten können

Der Fall ist nicht deshalb relevant, weil Unternehmen nun noch ein Awareness-Training planen sollten. Interessanter sind die Fragen, die nach einem erfolgreichen Datenabfluss plötzlich beantwortet werden müssen.

Können Sie den erreichbaren Datenbestand eines kompromittierten Kontos benennen?

Ein Asset-Inventar zeigt, welche Server, Endgeräte und Anwendungen existieren. Nach einem Datenabfluss reicht das nicht. Dann muss innerhalb kurzer Zeit klar sein, welche Informationen ein kompromittierter Benutzer oder Server tatsächlich erreichen konnte.

Dafür braucht es nachvollziehbare Berechtigungen, Datenklassifizierung, Verantwortlichkeiten und Aufbewahrungsregeln. Auch Konzepte wie Zero Trust helfen nur dann, wenn Zugriffe auf Datenbestände tatsächlich granular begrenzt werden. Wer den eigenen Datenbestand erst nach einem Angriff inventarisiert, verliert Zeit bei Bewertung, Benachrichtigung und Gegenmaßnahmen.

Welche Informationen lassen sich nach einem Leak überhaupt noch zurücksetzen?

Backups lösen vor allem ein Verfügbarkeitsproblem. Sie können Systeme und Daten wiederherstellen. Veröffentlichtes Wissen holen sie nicht zurück.

Passwörter, Schlüssel und Zertifikate lassen sich sperren oder rotieren. Bei Architekturunterlagen, internen Zuständigkeiten, Projektinformationen oder Prozesswissen funktioniert das nicht. Nach einem Leak muss deshalb geprüft werden, welche bisherigen Sicherheitsannahmen nicht mehr gelten. Informationen, die bisher als intern vorausgesetzt wurden, müssen gegebenenfalls künftig als bekannt betrachtet werden.

Welche sensiblen Daten über Ihr Unternehmen liegen bei Dritten?

Der Berliner Senat weist darauf hin, dass auch Daten von Unternehmen und Partnern betroffen sein können. Damit zeigt der Vorfall eine oft vernachlässigte Seite des Drittparteirisikos.

Unternehmen prüfen meist, welche Dienstleister Zugriff auf die eigene Infrastruktur erhalten. Ebenso wichtig ist die Gegenfrage: Welche vertraulichen Informationen über das eigene Unternehmen liegen dauerhaft bei Kunden, Behörden, Beratungen und anderen Partnern?

Ein ähnliches Muster zeigte zuletzt das Datenleck bei einem Lidl-Dienstleister. Für IT-Verantwortliche spricht das für strengere Datenminimierung, definierte Löschfristen und Transparenz über externe Datenkopien.

Sind forensische Zugriffsrechte vor dem Ernstfall geklärt?

Auch die Aufarbeitung selbst kann organisatorische Grenzen sichtbar machen. Nach einem aktuellen Bericht des Tagesspiegels lässt der Bezirk Lichtenberg die vom Senat beauftragte Sicherheitsfirma CrowdStrike bislang nicht auf seine Server. Geprüft werden unter anderem Zuständigkeiten und Bedenken gegen den Zugriff.

Für Unternehmen ist daran weniger der konkrete Anbieter interessant. Entscheidend ist, ob im Ernstfall bereits geklärt ist, wer externe Forensiker beauftragen darf, welche Systeme sie untersuchen dürfen und wie dabei sensible Daten behandelt werden. Solche Fragen während eines laufenden Angriffs zwischen IT, Datenschutz, Recht und Geschäftsführung zu klären, kostet Zeit.

Was beim Hackerangriff auf Berlin noch offen ist

Die forensischen Untersuchungen laufen weiter. Noch nicht abschließend geklärt sind der vollständige Umfang der betroffenen Daten, sämtliche betroffenen Personen und Organisationen sowie alle sicherheitsrelevanten Folgen. Nach Angaben Berlins lagen zuletzt keine Erkenntnisse vor, dass das Landesnetz weiterhin infiltriert ist.

Der Hackerangriff auf Berlin zeigt damit vor allem eines: Incident Response endet nicht mit der Wiederherstellung der Systeme. Unternehmen müssen ebenso schnell verstehen können, welche Informationen abgeflossen sind, welche Sicherheitsannahmen dadurch ungültig werden und wer über die nächsten Maßnahmen entscheiden darf.

Quellen zum Hackerangriff auf Berlin

Weitere aktuelle Entwicklungen aus Cybersecurity, Infrastruktur und Unternehmens-IT ordnen wir regelmäßig im IT-Dock Newsletter ein. Die Anmeldung finden Sie unter IT-Dock Newsletter.

IT-Dock Redaktion

Die IT-Dock Redaktion bündelt Expertenwissen aus den Bereichen IT-Infrastruktur, Cloud, Cybersecurity, Unternehmenssoftware, Daten & KI sowie digitale Transformation. Dahinter stehen erfahrene Köpfe aus Redaktion, IT-Marketing und Technologiekommunikation.

Wir bereiten relevante Entwicklungen so auf, dass IT-Entscheider schnell erkennen, was sich verändert, warum es für Unternehmen relevant ist und welche Konsequenzen sich daraus ergeben. Dabei stützen wir uns auf Herstellerinformationen, Primärquellen, Fachmedien und eigene Recherche. Unser Anspruch ist es, komplexe IT-Themen verständlich, sachlich und unabhängig einzuordnen.

Neben fundierten Fachartikeln bietet IT-Dock übrigens einen persönlichen Concierge-Service, der geeignete IT-Anbieter für konkrete Anforderungen identifiziert und vermittelt. Wir begleiten Führungskräfte und Projektverantwortliche bei strategischen Technologiefragen, bei der Bewertung relevanter Lösungen und bei der Suche nach dem richtigen IT-Dienstleister. Unser Ziel ist es, komplexe Themen greifbar zu machen, Orientierung zu geben und Entscheidungen zu beschleunigen – praxisnah, unabhängig und mit Blick auf den echten Bedarf in Unternehmen.