Lagebeschreibung
Im August 2026 wurden zwei Berliner Senatsverwaltungen infolge eines Cyberangriffs zeitweise vom Berliner Landesnetz getrennt. Betroffen waren die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt sowie die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen.
Nach Angaben des Landes Berlin kam es zu einem erheblichen Datenabfluss. Die Cybercrime-Gruppe Rhysida bekannte sich zu dem Angriff und behauptet, rund 5,7 TB Daten erbeutet zu haben. Unter den möglicherweise betroffenen Informationen befinden sich personenbezogene Daten von Beschäftigten, Bürgern und Unternehmen sowie weitere nicht öffentliche Verwaltungsdaten.
Die Angreifer forderten ein Mindestgebot von 30 Bitcoin und drohten mit der Veröffentlichung beziehungsweise dem Verkauf der gestohlenen Daten. Das Land Berlin erklärte, auf die Erpressungsforderung nicht einzugehen.
Durch die vorsorgliche Trennung vom Landesnetz waren E-Mail, Internetzugang und verschiedene Fachverfahren teilweise nicht verfügbar oder nur eingeschränkt nutzbar. Auch nach dem Wiederanschluss der betroffenen Verwaltungen liefen forensische Untersuchungen weiter.
An der Aufarbeitung sind unter anderem das Landeskriminalamt Berlin, die Staatsanwaltschaft, das Bundesamt für Sicherheit in der Informationstechnik sowie weitere Sicherheitsbehörden beteiligt. Nach aktuellem Stand gibt es keine bestätigten Hinweise auf einen fortbestehenden Zugriff der Angreifer auf das Landesnetz.
Der konkrete initiale Angriffsvektor ist öffentlich bislang nicht abschließend bestätigt.
Quellen & weiterführende Informationen
Die folgenden Links führen zu den zu diesem Vorfall gespeicherten Veröffentlichungen.
Einordnung, Prävention und Versicherbarkeit
Kritischer Vorfall: Betriebsfähigkeit, Datenabfluss oder Ausbreitung möglich.
Was hätte vorbeugen können?
- Offline- bzw. immutable Backups vorhalten und Wiederherstellungen regelmäßig testen.
- Administrative Rechte minimieren und privilegierte Zugänge mit MFA absichern.
- Netzsegmentierung sowie EDR/XDR zur Erkennung lateraler Bewegung einsetzen.
- Makros, Skripte und nicht freigegebene Anwendungen technisch einschränken.
- Ransomware- und Notbetriebs-Playbooks regelmäßig üben.
Versicherbarkeit
Ransomware ist grundsätzlich häufig Bestandteil von Cyberdeckungen; entscheidend sind Sicherheitsniveau, Obliegenheiten, Ausschlüsse, Selbstbehalte und die frühzeitige Einbindung des Versicherers.
- Grundsätzlich können Cybervorfälle versicherbar sein; entscheidend sind Police, Obliegenheiten, Ausschlüsse und nachweisbare Mindestschutzmaßnahmen.
- Typische Prüfpunkte: MFA, Patchmanagement, Backups, Logging, Notfallplan, Dienstleisterabhängigkeiten und rechtzeitige Schadenmeldung.
- Bei kritischen Vorfällen sollte die Versicherung sehr früh eingebunden werden, damit Forensik- und Kommunikationsvorgaben eingehalten werden.
Timeline
Keine öffentlichen Timeline-Einträge.