Rhysida veröffentlicht 5,8 Terabyte Berliner Regierungsdaten nach Verweigerung von 2-Millionen-Euro-Lösegeld

Die Ransomware-Gruppe Rhysida hat am Freitag, den 4. September 2026, fast 5,8 Terabyte gestohlener Regierungsdaten im Darknet veröffentlicht, nachdem die Berliner Behörden sich geweigert hatten, eine Lösegeldforderung zu bezahlen. Die Cyberkriminellen hatten 30 Bitcoin gefordert, ein Betrag in Höhe von rund 2 Millionen Euro, und der Stadtverwaltung eine Frist gesetzt. Das veröffentlichte Datenpaket umfasst rund 1,44 Millionen einzelne Dateien, die von staatlichen Servern während eines bereits Wochen zuvor entdeckten Einbruchs extrahiert wurden. Der Regierende Bürgermeister von Berlin, Kai Wegner, verteidigte die Haltung der Stadtregierung gegen Erpressung und betonte, dass die Nachgiebigkeit gegenüber Lösegeldforderungen keine Gewähr dafür biete, dass gestohlene Daten nicht weiterverbreitet würden.

Bürgermeister Kai Wegner erläuterte die Position der Verwaltung in einem Interview mit der Bild.

Wer kann schon sagen, ob diese Daten, selbst wenn wir gezahlt hätten, nicht längst woanders gewesen wären?

Behördliche Beeinträchtigungen in allen Stadtbezirken

Der Einbruch ereignete sich am 14. August 2026 und zielte auf die Computernetzwerke des Stadtstaates Berlin ab, wobei zwei Hauptverwaltungsabteilungen betroffen waren. Als Reaktion auf den Einbruch kappten IT-Verantwortliche die Netzverbindungen mehrerer städtischer Zweigstellen für eine ganze Woche, um eine seitliche Ausbreitung in der staatlichen Infrastruktur zu verhindern. Die Abschaltung betraf insbesondere die Senatsverwaltungen für Bauen und Umwelt, was die regulären Kommunalabläufe lahmlegte. Als direkte Folge der Netzabschaltung konnten Bürger keine Wohngeldanträge stellen, und regelmäßige Leistungszahlungen blieben mehrere Tage lang blockiert. Die Kommunalbehörden versicherten, dass die für den 20. September 2026 angesetzte Berliner Landtagswahl vollkommen sicher sei und wie geplant stattfinden werde.

Umfang der geleakten Personal- und Sicherheitsunterlagen

Ein großer Teil der kompromittierten Daten umfasst sensible Personalakten von Beamten, darunter Gehaltslisten, Bankverbindungen, Ausweiskopien sowie Aufzeichnungen über interne Disziplinarverfahren und Vorwürfe beruflicher Fahrlässigkeit. Zusätzlich zu den Verwaltungsmitarbeiterdaten enthält das Archiv sensible Betriebsinformationen, wie Gefahrenabwehrpläne der Berliner Feuerwehr und Unterlagen zu baulichen Erweiterungsprojekten im Bundeskanzleramt. Die Dateien enthalten auch Materialien zur nationalen Sicherheit, darunter Ermittlungsakten des Landeskriminalamtes (LKA) und Einsatzpläne für chemische, biologische, radiologische und nukleare Bedrohungen. Der Investigativjournalist Lars Winkelsdorf stellte fest, dass der veröffentlichte Bestand auch Angaben zu Rüstungszulieferern und bundesstaatliche Ausfallkommunikation für Katastrophenszenarien umfasst.

Mobilisierung des Krisenstabs und frühere Erpressungskampagnen

Die Berliner Landesregierung richtete am Samstag, den 5. September 2026, eine zentrale Krisenmanagementeinheit ein, um die zeilenweise Überprüfung und forensische Auswertung der offengelegten Dateien zu koordinieren. Die Stadtverwaltung bezeichnete den Cyberangriff als äußerst schweres Verbrechen gegen den Staat selbst und wies die Allgemeinheit an, keine ungeprüften Materialien in sozialen Netzwerken zu verbreiten. Die Verwaltung kündigte an, dass alle Personen und Unternehmen, die von der Datenveröffentlichung betroffen sind, gemäß den deutschen und europäischen Datenschutzbestimmungen direkt benachrichtigt werden. Der Vorfall folgt einer ähnlichen Kampagne der Rhysida-Gruppe gegen die British Library im Herbst 2023, bei der die Angreifer über 760.000 Euro forderten, bevor sie rund 500.000 Dateien mit Besucher-, Abonnenten- und Mitarbeiterdaten ins Darknet stellten, nachdem auch diese Einrichtung die Forderung abgelehnt hatte.