Rhysida veröffentlicht 5,79 Terabyte Berliner Stadtdateien nach Ablauf der Lösegeld-Frist von 2 Millionen Euro
Das Erpressersyndikat Rhysida veröffentlichte 1,4 Millionen kommunale Dateien im Darknet, nachdem die Berliner Behörden sich geweigert hatten, ein Lösegeld von 30 Bitcoin zu zahlen, das nach einem Netzwerkeinbruch im August gefordert wurde.
Ablehnung der Lösegeldforderung
Die Erpressergruppe Rhysida veröffentlichte etwa 1,4 Millionen Dateien, die aus Berliner Kommunalnetzen gestohlen wurden, nachdem die deutsche Hauptstadt sich geweigert hatte, ein Lösegeld zu zahlen. Die Cyberkriminalitätsgruppe stellte ein striktes Ultimatum und forderte die Stadtbehörden auf, 30 Bitcoins zu überweisen, ein Betrag von etwa 2 Millionen Euro. Die Frist für die Transaktion lief am Freitag, den 4. September 2026 um 15:35 Uhr ab. Berlins regierender Bürgermeister Kai Wegner erklärte in den Tagen vor Ablauf der Frist, dass die Stadt sich nicht von Erpressern erpressen lassen werde. Nachdem die Kommunalbehörden die Frist verstreichen ließen, ohne Geld zu überweisen, luden die Angreifer die extrahierten Dateien in mehreren herunterladbaren Paketen in einen offenen Bereich des Darknets hoch.
Alle Dateien wurden in einem öffentlich zugänglichen Bereich platziert – viel Spaß beim Stöbern, Datenjäger!
Ausmaß des kommunalen Netzwerkeinbruchs
Der unbefugte Zugriff auf die Berliner Kommunalserver fand zwischen dem 7. August und dem 12. August 2026 statt. Am 14. August 2026 trennten kommunale IT-Administratoren mehrere Online-Systeme, um den Einbruch einzudämmen und weiteren Datenabfluss zu verhindern. Die Notabschaltung legte grundlegende Verwaltungsfunktionen für mehrere Tage lahm, sodass Bürger keine Anträge auf Wohngeld stellen oder routinemäßige digitale Zahlungen abwickeln konnten. Nachfolgende Untersuchungen Berliner Beamter ergaben, dass der Eindringling zusätzliche kommunale Infrastruktur erreicht hatte, insbesondere die Berliner Senatsverwaltung für Verkehr und Umweltschutz. Die Verwaltung räumte nach diesen forensischen Erkenntnissen das potenzielle Ausmaß des Vorfalls ein.
Es kann nicht ausgeschlossen werden, dass der Einbruch auch personenbezogene Daten oder andere vertrauliche Informationen umfasst haben könnte.
- Hacker dringen in Berliner Kommunalnetze ein und extrahieren Verwaltungsdaten
- Berlin schaltet kommunale Websysteme ab und stoppt die Wohngeldbearbeitung
- Der Spiegel veröffentlicht Screenshot der Leak-Seite mit Details zu gestohlenen Verträgen und Passwörtern
- Ultimatum zur Zahlung von 30 Bitcoin läuft ab, während Berliner Behörden Lösegeldforderung ablehnen
- Rhysida veröffentlicht 5,79 Terabyte kommunaler Daten in öffentlichen Darknet-Paketen
Art der veröffentlichten Dateien
Der veröffentlichte Datenabwurf hat eine Gesamtgröße von 5,79 Terabyte, verteilt auf mehrere Archivpakete. Laut Darknet-Ordnerlisten enthalten die Dateien Verwaltungspersonalakten, Arbeitszeugnisse, Stellenausschreibungen und interne Mitarbeiterbewertungen. In der zweiten Augusthälfte 2026 veröffentlichte das deutsche Wochenmagazin Der Spiegel einen Screenshot von Rhysidas Leak-Plattform, der die gestohlenen Vermögenswerte detailliert auflistete. Die Gruppe behauptete auf dieser Plattform, über interne Verträge, Geheimhaltungsvereinbarungen, Passwörter, Personalakten und Tausende privater Kontaktdaten von Einzelpersonen zu verfügen. Unabhängige Cybersicherheitsanalysten haben die Integrität der hochgeladenen Pakete noch nicht überprüft, und die Behörden haben nicht bestätigt, ob der Leak das gesamte im August entwendete Datenvolumen enthält.
Hintergrund zur Rhysida-Gruppe
Rhysida ist ein Ransomware-Syndikat, das vermutlich von Stützpunkten in Russland und Osteuropa aus operiert. Die Gruppe hat in früheren Operationen bereits institutionelle Infrastruktur angegriffen, darunter einen Cyberangriff auf das British Museum im Jahr 2023. Beim Berliner Angriff folgte das Syndikat seiner etablierten Methode: interne Dokumente stehlen, Zugriff verschlüsseln oder deaktivieren und unter strikter Frist digitale Währung fordern. Als die Kommunalregierung das Lösegeld von 30 Bitcoin verweigerte, wechselte die Gruppe zur öffentlichen Verbreitung der Dateien. Die deutschen Behörden bewerten weiterhin die rechtlichen und sicherheitstechnischen Auswirkungen der veröffentlichten Verwaltungsdaten.
