Zwischen dem 7. und 12. August 2026 kopierten Angreifer der Ransomware-Gruppe Rhysida unbemerkt Daten aus zwei Berliner Senatsverwaltungen, bevor der Angriff auf das Landesnetz BeLa am 14. August entdeckt wurde. Nachdem das Land Berlin die geforderte Lösegeldzahlung von rund 2 Millionen Euro verweigerte, veröffentlichte Rhysida den gesamten Datenbestand – 5,79 Terabyte, 1,44 Millionen Dateien – am 4. September im Darknet. Betroffen sind personenbezogene Daten von mehr als 12.000 Menschen sowie Notfallpläne für kritische Infrastruktur. Für die IT-Sicherheitsberatung von team neusta und den Krisenkommunikationsspezialisten NetFed ist der Fall exemplarisch für ein Risiko, dem Unternehmen jeder Größe ausgesetzt sind.

Aus Sicht von team neusta zeigt der Berliner Fall exemplarisch drei technische Versäumnisse, die weit über die öffentliche Verwaltung hinaus verbreitet sind: Zugangsdaten lagen im Klartext in Office-Dateien, der Datenabfluss blieb mehrere Tage lang unerkannt, und eine unzureichende Netzwerksegmentierung ermöglichte offenbar den Zugriff auf sensible Bestände einer anderen Verwaltung. Ähnlich fehleranfällig war die Krisenkommunikation: Die erste Pressemitteilung folgte erst vier Tage nach der Netztrennung und blieb mit Formulierungen wie „ermittlungstaktische Gründe“ vage; eine frühe Entwarnung des Regierenden Bürgermeisters Kai Wegner, wonach keine sensiblen Daten betroffen seien, musste Tage später korrigiert werden; und es gab keinen zentralen Kanal, über den sich Bürger:innen und Medien zum aktuellen Stand informieren konnten. Für die Bürger:innen hatte das handfeste Folgen: Über eine Woche lang konnten rund 50.000 Haushalte kein Wohngeld beantragen, beide Verwaltungen waren zeitweise nur noch telefonisch erreichbar.

team neusta sieht darin ein Problem, das weit über Berlin hinausreicht. Cyberangriffe auf deutsche Organisationen seien „längst Alltag, nicht Ausnahme“, sagt Tascha Schnitzler, Business Development Public Sector bei team neusta. „Trotzdem haben wir das Gefühl, dass dieses Thema noch immer nicht mit der Ernsthaftigkeit behandelt wird, die es verdient“, so Schnitzler weiter. Das betreffe auch das gesellschaftliche Vertrauen in staatliches Handeln: Wahlbeteiligung und Stimmung bei den jüngsten Wahlen in Sachsen-Anhalt zeigten, wie fragil dieses Vertrauen bereits sei und Vorfälle wie der Hackerangriff in Berlin trügen nach Schnitzlers Einschätzung nicht dazu bei, es zu stärken. Digitale Souveränität, Resilienz und Sicherheit seien dabei „keine Kür, sondern Grundlage, die wir nur gemeinsam schaffen“, so Schnitzler; als neusta wolle man dazu seinen Teil beitragen, für Verwaltungen, Unternehmen und Bürger:innen gleichermaßen.

Von der Aufklärungsarbeit zum Angriffswerkzeug

Nach Einschätzung von team neusta liegt eine besondere Gefahr des Falls darin, dass sich aus vielen für sich genommen harmlosen Informationen – Organigrammen, Rufnummern, Dienstleisterverträgen, Zugangsdaten, Notfallprozessen – in ihrer Gesamtheit ein detailliertes Lagebild einer Organisation ergibt. Diese Aufklärungsarbeit muss ein Angreifer normalerweise mühsam über OSINT, Scanning, Phishing und interne Reconnaissance zusammentragen; ein geleaktes internes Dokumentenarchiv nimmt einen Teil davon vorweg.

Besonders unmittelbar wirkt sich das beim Social Engineering aus: Eine Phishing-Mail mit echten Namen, echten Vorgängen und dem tatsächlichen Dienstleister ist deutlich schwerer zu erkennen als eine generische Massen-Mail – ein Risiko, das nicht auf Berlin begrenzt bleibt, sondern jedes Unternehmen betrifft, das mit den betroffenen Stellen zusammenarbeitet. Sollten sich außerdem Berichte über Unterlagen mit Bezug zu Gesamtverteidigung und ziviler-militärischer Zusammenarbeit im veröffentlichten Datenbestand bestätigen, wäre ein solches Material nach Einschätzung von Sicherheitsfachleuten auch für staatliche Akteure von Interesse, etwa zur Vorbereitung hybrider Aktivitäten. Belastbare Aussagen dazu, welche Dokumente konkret enthalten und wie aktuell sie sind, lassen sich nach heutigem Stand allerdings nicht treffen.

Für André Conin, Key Account KI bei team neusta, markiert die Veröffentlichung der gestohlenen Daten im Darknet einen Wendepunkt in der Bewertung solcher Fälle. Die entscheidende Frage könne nicht mehr lauten, ob sich jeder Cyberangriff verhindern lasse, sondern ob eine Organisation vorbereitet sei, wenn er trotzdem eintrete: „Technische Sicherheit, Incident Response und Krisenkommunikation müssen heute zusammengedacht werden“, so Conin. „Systeme lassen sich wiederherstellen, verlorenes Vertrauen deutlich schwerer.“ Im schlimmsten Fall verliere eine Organisation bei einem Cyberangriff nicht nur Daten, sondern etwas, das sich noch schwerer wiederherstellen lasse: Vertrauen. Spätestens mit der Veröffentlichung gestohlener Informationen im Darknet werde aus einem IT-Sicherheitsvorfall eine Vertrauenskrise. Cyber Resilience bedeute deshalb nicht nur, Systeme zu schützen, sondern im Ernstfall handlungsfähig zu bleiben, transparent zu kommunizieren und Vertrauen zu bewahren, erklärt Conin.

Strukturen statt Geheimnisse

Thorsten Greiten, Geschäftsführer des team-neusta-Partners NetFed, bringt den Unterschied zwischen einem klassischen Datenschutzvorfall und dem Berliner Fall auf eine einfache Formel: Ein Passwort lasse sich am Montag zurücksetzen, ein Wasserwerk nicht. Die veröffentlichten 1,44 Millionen Dateien seien dabei „kein Aktenstapel, sondern ein Datensatz“, betont Greiten. Einzeln seien die meisten Dokumente harmlos, zusammengesetzt ergäben sie jedoch ein Bild davon, wie eine Organisation funktioniert und wo sie verwundbar ist. Die entscheidende Sicherheitsbarriere müsse deshalb vor dem Datenabfluss stehen und nicht erst hinterher vor der Suchmaschine ansetzen; auch der kommunikative Ernstfall beginne nicht, wenn Systeme ausfallen, sondern wenn Daten veröffentlicht werden, so Greiten. Löschaufforderungen an Plattformen oder Delisting-Anfragen an Suchmaschinen, wie sie nach solchen Vorfällen häufig gefordert werden, stellten dabei keine Vertraulichkeit wieder her – sie kommen für die eigentliche Sicherheitsbarriere zu spät.

Fünf Bausteine für mehr Resilienz

team neusta und NetFed begleiten Unternehmen und Verwaltungen bereits seit mehreren Jahren bei der Vorbereitung auf IT-Sicherheitsvorfälle. Aus der Analyse des Berliner Falls leiten die beiden Unternehmen fünf Bausteine ab, die sich auf Unternehmen jeder Größe übertragen lassen: ein dokumentierter und geübter Incident-Response-Plan, der regelt, wer wann informiert wird und wer nach außen kommuniziert; eine vorbereitete, juristisch geprüfte Darksite mit Krisenkommunikationsvorlagen, die im Ernstfall innerhalb von Minuten aktivierbar ist; regelmäßige, quartalsweise Sicherheitsaudits und Penetrationstests statt einmaliger Prüfungen pro forma; eine Backup-Strategie nach der 3-2-1-Regel, um im Fall einer Verschlüsselung handlungsfähig zu bleiben; sowie kontinuierliche Mitarbeiterschulungen mit Phishing-Simulationen und einer Kultur, in der das Melden eines Verdachts nicht sanktioniert wird.

Wichtig dabei: Der kommunikative Ernstfall endet nicht mit der Wiederherstellung der Systeme, sondern beginnt häufig erst, wenn gestohlene Daten veröffentlicht werden und sich Betroffene, Kundschaft, Aufsicht und Medien gleichzeitig melden.

Ziel ist eine Organisation, die technisch abgesichert und im Ernstfall unmittelbar kommunikationsfähig ist – statt im Krisenfall tagelang zu improvisieren.

Passende team neusta Deployed Blogs zum Thema: Ransomware-Angriff auf Berlin (https://deployed-blog.de/ransomware-berlin-krisenkommunikation-unternehmen/) und Berliner Datenleak, drei Wochen später (https://deployed-blog.de/berliner-datenleak-kritis-informationssicherheit/)

IT-Sicherheit für Unternehmen – Penetrationstests und Sicherheitsberatung: IT-Security | team neusta (https://www.team-neusta.de/de/was-wir-machen/services/hosting-und-betrieb-security)

IT-Sicherheit speziell für Verwaltungen: eGovernment IT-Sicherheit | team neusta (https://egovernment.team-neusta.de/de/Leistungen/IT-Sicherheit)

Andre Conin (team neusta): a.conin@neusta.de

Tascha Schnitzler (team neusta): t.schnitzler@neusta.de

Krisenkommunikation und Darksites: Beratung & Strategie | NetFed (https://www.netfed.de/leistungen/beratung-strategie/)

Thorsten Greiten (NetFed): thorsten.greiten@net-federation.de

Pressekontakt:

Wiebke Jakob | Unternehmenskommunikation team neusta | Telefon: +49 421 20 696 512 |
E-Mail: presse@neusta.de

Original-Content von: team neusta SE, übermittelt durch news aktuell

  it-security