Berlin sprach von Daten der niedrigsten Geheimhaltungsstufe und versuchte erneut zu beruhigen. Doch im Darknet liegen inzwischen Unterlagen zur Gesamtverteidigung, kritischer Infrastruktur und offenbar zur CBRN-Rahmenplanung – während Bundeswehr, BSI und Cyberabwehrzentrum die Folgen prüfen. Der Fall zeigt ein grundsätzliches Problem: Was bedeutet eine offizielle Entwarnung noch, wenn diejenigen, die sie aussprechen, selbst noch nicht wissen, was ihnen tatsächlich abhandengekommen ist?
Ein Kommentar von Michael Hollister.
Zwei Aussagen stehen seit dieser Woche nebeneinander, und sie passen schlecht zusammen. Die eine kommt von Berlins Digitalstaatssekretär Florian Hauer. Im Innenausschuss des Abgeordnetenhauses erklärte er, gestohlen worden seien ausschließlich Daten der niedrigsten von vier Geheimhaltungsstufen – nichts mit erhöhter Sicherheitsrelevanz. Die andere kommt aus den Dateien selbst, die seit dem 04. September 2026 im Darknet stehen. Dort finden sich Unterlagen zur zivilen und militärischen Gesamtverteidigung, nach journalistischer Auswertung ein Ordner zur CBRN-Rahmenplanung, dazu Schwachstellenanalysen kritischer Infrastruktur. Und inzwischen befasst sich die Führung der Bundeswehr mit dem Fall.
Beides gleichzeitig – die Entwarnung und der Alarm – lässt sich nicht widerspruchsfrei denken. Entweder wiegt das Abgeflossene schwer, dann trägt die Beruhigung nicht. Oder es wiegt leicht, dann bleibt zu erklären, warum sich die Bundeswehr, das Bundesamt für Sicherheit in der Informationstechnik und das Nationale Cyberabwehrzentrum damit befassen. Es ist bereits die zweite Entwarnung in diesem Fall, und die erste hat nicht gehalten. Damit ist die Frage gestellt, um die es geht. Sie lautet nicht, ob dieser Angriff schwer wiegt. Sie lautet, was es bedeutet, wenn eine Behörde zum zweiten Mal beruhigt, bevor sie weiß, was ihr abhandengekommen ist – und wer eigentlich festlegt, was „sicherheitsrelevant" heißt.
Was jetzt im Darknet steht
Der Ablauf ist in seinen Eckdaten unstrittig. Die Ransomware-Gruppe Rhysida zog zwischen dem 07. und 12. August 2026 rund 5,79 Terabyte aus den Netzen zweier Berliner Senatsverwaltungen ab. Bemerkt wurde der Einbruch erst am 14. August, und das eher zufällig, über einen sich ungewöhnlich verhaltenden Netzwerk-Server. Als Zugangsweg bestätigte das BSI später eine Kampagne namens TerminalFix, eine Abwandlung der bekannten ClickFix-Masche: Beschäftigte lösen auf einer präparierten Seite ein gefälschtes Sicherheits-Captcha und führen dabei, ohne es zu bemerken, einen Befehl im Windows-Terminal aus. Ein einziger Klick genügte.
Das war bereits der Kern des ersten Teils dieser Geschichte: nicht der Angriff selbst, sondern die Tage danach. Sieben Tage lagen zwischen dem Beginn des Datenabzugs und seiner Entdeckung, und gefunden wurde er nicht durch ein Alarmsystem, sondern durch Zufall. Schon damals stand die Frage im Raum, wie belastbar die Entwarnungen einer Verwaltung sein können, die ihr eigenes Netz erst so spät im Blick hatte. Diese Frage ist nun beantwortet.
Rhysida forderte 30 Bitcoin, umgerechnet etwa zwei Millionen Euro. Berlin zahlte nicht. Am 04. September, kurz nach Ablauf des Ultimatums, stellte die Gruppe die Daten in drei Paketen zum Download bereit – 1.439.893 Dateien, versehen mit dem Kommentar „Viel Spaß, Datenjäger". In der Nacht zum Sonntag folgte ein weiteres Paket mit Zugangsdaten.
Was diese Dateien enthalten, wird seither Stück für Stück sichtbar. Persönliches zuerst: Personalakten, Gehalts- und Kontodaten, Ausweisscans, dienstliche Postfächer, in Einzelfällen Gesundheitsdaten. Dann die Verwaltung selbst, mit über 46.500 Verträgen, Notfallplänen der Feuerwehr und Klartext-Passwörtern, deretwegen die VPN-Zugänge der Beschäftigten gesperrt werden mussten. Und schließlich die Ebene, die den Fall über Berlin hinaushebt. Nach einer Stichprobe des „Spiegel" liegen mehr als 550 Dateien zur Erweiterung des Bundeskanzleramts im Netz, darunter Gutachten und Stellungnahmen, auch des Landeskriminalamts. Aus Regierungskreisen heißt es, dem „Tagesspiegel" zufolge, rund 8.000 Dateien beträfen kritische Infrastruktur.
Hier ist Genauigkeit nötig, denn die Quellenlage ist gemischt. Belegt ist, dass Bundesbehörden sich eingeschaltet haben: das Operative Führungskommando der Bundeswehr, das Nationale Cyberabwehrzentrum und das BSI prüfen die Folgen. Ein Ordner zur CBRN-Rahmenplanung – chemische, biologische, radiologische und nukleare Gefahrenlagen – wird bislang aus der Auswertung der Dateien berichtet, nicht aus einer amtlichen Bestätigung. Die Bundesregierung wiederum erklärt, ihre zentralen IT-Systeme seien nicht infiltriert, „Daten des Bundes" nicht betroffen. Beides zugleich ist bemerkenswert: Die Bundes-Systeme gelten als sicher, und trotzdem liegen Baupläne des Kanzleramts offen. Beides trifft zu, weil die Unterlagen Berliner Bau- und Planungsakten mit Bundesbezug sind – kein Hack des Bundes, aber ein Schaden, der ihn erreicht.
Wie groß der Schaden am Ende ausfällt, weiß bislang niemand; die Sichtung der 1,4 Millionen Dateien soll noch Wochen dauern. Die Sicherheitsexpertin Bianca Kastl warnt gegenüber dem „Spiegel", wer Berlin und damit der Bundesregierung gezielt schaden wolle, finde in den Daten mehr als genug Anhaltspunkte. Für die einzelnen Betroffenen wiegt Konkreteres schwer: Der Chaos Computer Club warnt vor Identitätsdiebstahl und Betrug, die Berliner Datenschutzbeauftragte rät zu erhöhter Wachsamkeit. Anders als ein Passwort lässt sich eine offengelegte Meldeadresse nicht zurückrufen.
Warum Verteidigungsplanung auf einem Landesnetz liegt
Eine Frage geht in der Aufregung unter: Wie kommt verteidigungsnahes Material überhaupt in die Netze einer Stadtverwaltung? Die Antwort liegt in der Architektur der deutschen Gesamtverteidigung. Ihr militärischer Kern ist der Operationsplan Deutschland, kurz OPLAN DEU – ein rund 1.400 Seiten starkes, als Gesamtdokument geheim eingestuftes Papier, geführt im Operativen Führungskommando der Bundeswehr. Er regelt, wie Landes- und Bündnisverteidigung im Ernstfall ablaufen: welche Verkehrswege und Brücken genutzt werden, wo Bereitstellungsräume liegen, wie verbündete Truppen aufgenommen und weitergeleitet werden, wie kritische Infrastruktur geschützt wird und wie militärische und zivile Stellen zusammenwirken. Seit der veränderten Sicherheitslage von 2022 baut Deutschland diese Gesamtverteidigung mit erheblichem Aufwand aus – und je dichter das Netz aus Plänen, Zuständigkeiten und Verbindungsstellen wird, desto mehr Stellen halten Teile davon vor.
Das Entscheidende steht in den öffentlichen Erläuterungen der Bundeswehr selbst. Der Plan funktioniert nur mit Mitwirkung der Länder, gerade bei innerer Sicherheit, Verkehr und Infrastruktur. Gesamtverteidigung ist damit kein rein militärisches Projekt, sondern eines, das Kommunen, Landesbehörden und Unternehmen schon im Frieden einbindet. Wer die Länder einbindet, verteilt schützenswertes Wissen auf deren Systeme. Berlin ist an dieser Stelle kein Sonderfall, sondern ein Knoten im Netz.
Das rückt die Entwarnung in ein anderes Licht. „Nur VS-NfD" – die Abkürzung steht für „Verschlusssache – Nur für den Dienstgebrauch", die unterste der vier Stufen – beschreibt die Einstufung einzelner Dokumente. Die Gefahr eines Lecks dieser Größe entsteht aber nicht aus dem einzelnen Dokument, sondern aus der Masse. 1,4 Millionen für sich unauffällige Dateien ergeben zusammengesetzt ein Bild, das keine von ihnen allein preisgibt: wo Schwachstellen liegen, wer zuständig ist, wie Gebäude geschlossen werden, wie Krisenkommunikation läuft. Ein Bauplan allein ist unspektakulär; zusammen mit dem Schließplan desselben Gebäudes, den Namen der Zuständigen und der Schwachstellenanalyse seiner Stromversorgung wird daraus eine Anleitung. Und selbst wenn die Einstufung stimmt, verschiebt sich die Frage nur: Warum lag Material, das die Gesamtverteidigung berührt, überhaupt auf der untersten Geheimhaltungsstufe? Der CDU-Verteidigungspolitiker Roderich Kiesewetter nennt den Abfluss eine „Katastrophe noch nicht absehbaren Ausmaßes" und verlangt, digitale Abwehr und Geheimschutz an allen föderalen Schnittstellen auf dasselbe hohe Niveau zu heben. Man muss seine Bedrohungseinschätzung nicht teilen, um den strukturellen Kern zu sehen. Eine Kette ist so stark wie ihr schwächstes Glied, und dieses Glied war diesmal ein Landesnetz.
Die zweite Entwarnung
Das Beruhigen hat in diesem Fall Methode, und es ist älter als die Veröffentlichung. Am 17. August meldete die Senatskanzlei knapp einen „IKT-Vorfall im Landesnetz"; wenige Tage zuvor waren zwei Senatsverwaltungen vom Netz getrennt worden, Wohngeldzahlungen stockten, Online-Anträge zur Briefwahl waren zeitweise nicht möglich. Am 19. August hieß es, sensible Daten seien nicht betroffen; diese Aussage wurde später zurückgenommen. Am 24. August erklärte der Regierende Bürgermeister Kai Wegner die Verwaltung für „grundsätzlich arbeitsfähig", am 27. August erklärte Staatssekretär Hauer, man gehe davon aus, der Angriff sei eingedämmt. Einen Tag später, am 28. August, trat Wegner gemeinsam mit Innensenatorin Iris Spranger vor die Öffentlichkeit: „Das Land Berlin lässt sich nicht erpressen." Zu Umfang und Inhalt der abgeflossenen Daten gab es zu diesem Zeitpunkt keine Angaben, die forensische Untersuchung lief noch.
Hier liegt der nüchterne Kern. Die Entscheidung, nicht zu zahlen, und die öffentliche Beruhigung fielen beide, bevor irgendjemand den Umfang des Schadens kannte. Dass im Innenausschuss nun eine dritte Beruhigung folgte – es sei „nur VS-NfD" –, fügt sich ins Muster. Es ist dieselbe Stelle, die zuvor eingeräumt hatte, vom Ausmaß des eigenen Systems überrascht gewesen zu sein.
Ob die Nicht-Zahlung richtig war, ist eine eigene, offene Frage, und sie gehört in beide Richtungen dargestellt. Für sie spricht die gängige Linie von BSI und Strafverfolgung, ein kriminelles Geschäftsmodell nicht zu finanzieren; auch die Bundesregierung nannte die Entscheidung ausdrücklich richtig, zumal eine Zahlung keine Garantie gegen Veröffentlichung oder Weiterverkauf bietet. Dagegen steht die Verhältnisfrage. Die Kosten der Aufarbeitung – Spezialisten, Notbetrieb, das Neuschreiben kompromittierter Pläne – dürften die geforderten zwei Millionen um ein Vielfaches übersteigen; der Grünen-Politiker Konstantin von Notz spricht von einem Schaden in Millionenhöhe. Was einmal offen im Darknet steht, lässt sich nicht zurückholen; Notfallpläne, Schließsysteme und Zuständigkeitslisten müssen dort, wo es geht, neu aufgesetzt werden. Beide Argumente wiegen, und dieser Text entscheidet die Frage nicht. Er hält fest, dass sie sich seriös erst stellen lässt, wenn man den Schaden kennt – und den kannte man beim „Nein" nicht.
Die Warnungen, die aktenkundig waren
Was den Fall von einem Unglück unterscheidet, ist seine Vorgeschichte. Der IT-Sicherheitsexperte Manuel Atug, Sprecher der unabhängigen AG KRITIS, war 2023 und 2025 als Sachverständiger in den Berliner Innenausschuss geladen. Beide Male, sagt er, habe er die Zuständigen auf eklatante Lücken hingewiesen: „Ihr betreibt desolate Cybersicherheit." Heute wirft er dem Land grobe Fahrlässigkeit vor und das vorsätzliche Nichteinhalten der Geheimschutz-Vorgaben. Für geheime Verschlusssachen gälten strenge Vorschriften und mehrere Sicherheitsstufen; angewandt worden seien sie offenbar nicht.
Er steht mit dem Befund nicht allein. Der Landesrechnungshof rügte im Dezember 2025 in einem Bezirk massive IT-Mängel – weder die Vorgaben des Landes noch die Standards des BSI erfüllt, seit Jahren fehlende Sicherheits- und Notfallkonzepte, ein IT-Notfallkonzept, das seit 2015 nicht mehr existierte. Solche Versäumnisse, so die Prüfer, machten Behörden anfällig für genau das, was nun eingetreten ist. Der Maßstab für den Umgang mit solchen Daten ist dabei kein Geheimnis. Er steht im BSI-Grundschutz und in der Norm ISO 27001: Verschlusssachen gehören auf getrennte, gehärtete Systeme, Zugriffe werden protokolliert und auf einen kleinen Kreis begrenzt, das Kopieren größerer Mengen ist die Ausnahme und schlägt Alarm, unangekündigte Audits prüfen regelmäßig, ob das alles auch eingehalten wird. Dass Passwörter im Klartext in Dateien lagen und ein Abzug von 5,79 Terabyte wochenlang niemandem auffiel, deutet darauf, dass wenig davon vorhanden war.
Aus dokumentierter Warnung folgt nicht automatisch, dass dieser konkrete Einbruch vermeidbar gewesen wäre; das ließe sich erst nach vollständiger Rekonstruktion sagen. Festhalten lässt sich das Nüchterne: Die Mängel waren bekannt, sie waren aktenkundig, und die Tür stand offen. Verantwortlich ist keine einzelne Person, sondern eine Kette – vom Landesbevollmächtigten für Informationssicherheit über den Digitalstaatssekretär und den IT-Dienstleister bis zu den betroffenen Senatsverwaltungen, mit der politischen Gesamtverantwortung beim Senat.
Die Opposition zieht daraus bereits Schlüsse. Die FDP fordert den Rücktritt von Wegner und Spranger sowie einen Untersuchungsausschuss, Linke und Grüne setzten für Donnerstag eine Aktuelle Stunde durch, der Linken-Politiker Tobias Schulze spricht vom womöglich schwersten IT-Sicherheitsfall der Bundesrepublik und verlangt, eine Großschadenslage auszurufen. Selbst aus der eigenen Koalition kommt Druck; Wirtschaftssenatorin Franziska Giffey nimmt den Regierenden Bürgermeister in die Pflicht. Dass all dies zwölf Tage vor der Wahl zum Abgeordnetenhaus geschieht, ist der Lärm im Hintergrund. Einen Zusammenhang mit dem Wahltermin legen Regierungskreise nahe; belegt ist er nicht.
Ein eigener Streit hat sich an der Aufklärung selbst entzündet. Mit der Spurensuche beauftragte die Senatskanzlei die US-Firma CrowdStrike, deren Software Falcon Agent tiefen Zugriff auf die betroffenen Systeme verlangt und die als US-Unternehmen dem CLOUD Act untersteht. Zwei der zwölf Bezirke wollen die Software nicht auf ihren Servern: Lichtenberg verweigert den Einsatz und verweist auf den nahezu unbegrenzten Datenzugriff, Steglitz-Zehlendorf installierte sie und löschte sie wieder; der Senat warnt vor Fahrlässigkeit und droht mit der Isolation der betroffenen Netze. Ein Kontrollverlust, der ausgerechnet mit weitreichendem Zugriff eines weiteren ausländischen Akteurs aufgearbeitet wird – auch darüber wird nun gestritten.
Was bleibt
Der Fall Berlin ist damit kein IT-Betriebsunfall mehr, sondern eine Frage der Zuständigkeit für die eigene Sicherheit. Eine Behörde, die zweimal beruhigt hat, bevor sie den Schaden kannte, beansprucht mit der dritten Beruhigung die Deutungshoheit darüber, was „sicherheitsrelevant" ist – ausgerechnet jene Stelle, die den Schaden zu verantworten hat.
Dahinter steht die größere Frage, die über Berlin hinausreicht. Die deutsche Gesamtverteidigung setzt darauf, dass Bund, Länder und Kommunen im Ernstfall ineinandergreifen, und bindet zivile Strukturen schon im Frieden ein. Sie teilt mit ihnen schützenswertes Wissen. Was aber ist eine solche Planung wert, wenn ihr schwächstes Glied ein Landesnetz ist, in dem Passwörter im Klartext liegen und ein Abzug dieser Größe wochenlang niemandem auffällt? Diese Antwort gibt kein Untersuchungsausschuss. Sie entscheidet sich daran, ob der Schutz künftig so ernst genommen wird wie die Planung, die er schützen soll.
Anmerkungen und Quellen
Über den Autor: Michael Hollister war sechs Jahre Bundeswehrsoldat (SFOR, KFOR) und blickt hinter die Kulissen militärischer Strategien. Nach 14 Jahren im IT-Security-Bereich analysiert er primärquellenbasiert europäische Militarisierung, westliche Interventionspolitik und geopolitische Machtverschiebungen. Ein Schwerpunkt seiner Arbeit liegt auf dem asiatischen Raum, insbesondere Südostasien, wo er strategische Abhängigkeiten, Einflusszonen und Sicherheitsarchitekturen untersucht. Hollister verbindet operative Innensicht mit kompromissloser Systemkritik - jenseits des Meinungsjournalismus. Seine Arbeiten erscheinen zweisprachig auf www.michael-hollister.com sowie in kritischen Medien im deutsch- und englischsprachigen Raum.
+++
Veröffentlichung, Umfang und Ablauf
- BSI erklärt ersten Angriffsvektor auf Berliner Behörden (heise online): https://www.heise.de/news/BSI-erklaert-ersten-Angriffsvektor-auf-Berliner-Behoerden-11444072.html
- Rhysida-Datenleck ist der GAU für Berlin und Betroffene (Borns IT- und Windows-Blog): https://borncity.com/blog/2026/09/06/rhysida-datenleck-ist-der-gau-fuer-berlin-und-betroffene/
- Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger: „Das Land Berlin lässt sich nicht erpressen" (berlin.de): https://www.berlin.de/rbmskzl/aktuelles/pressemitteilungen/2026/pressemitteilung.1708208.php
- Cyberangriff auf Landesnetz: Daten werden möglicherweise veröffentlicht (berlin.de): https://www.berlin.de/aktuelles/10611709-958090-cyberangriff-auf-landesnetz-daten-werden.html
- IKT-Vorfall: Auswirkungen auf Verwaltungsleistungen und Briefwahl-Anträge (move - moderne verwaltung): https://www.move-online.de/k21-meldungen/mangelnder-schutz-der-bundes-it/
Inhalt der Daten und nationale Sicherheit
- Gefahr für die nationale Sicherheit: Berliner Datenleck schlägt hohe Wellen (heise online): https://www.heise.de/news/Gefahr-fuer-die-nationale-Sicherheit-Berliner-Datenleck-schlaegt-hohe-Wellen-11444301.html
- Berliner Hackerangriff beschäftigt jetzt auch die Bundeswehr-Führung (Tagesspiegel, teils hinter Paywall): https://www.tagesspiegel.de/berlin/berliner-hackerangriff-beschaftigt-jetzt-auch-die-bundeswehr-fuhrung-linken-politiker-sieht-schwersten-it-sicherheitsfall-in-der-geschichte-der-bundesrepublik-16021348.html
- Sensible Kanzleramts-Pläne nach Berliner Cyberattacke im Darknet (dts Nachrichtenagentur): https://www.ad-hoc-news.de/politik/nach-dem-cyberangriff-auf-das-land-berlin-haben-erpresser-1-4-millionen/70057984
- Hacker-Attacke auf Berlin: Hochsensible Daten im Darknet (Euronews): https://de.euronews.com/next/2026/09/05/mega-datenleck-berlin-hochsensible-staatsdaten-darknet
Operationsplan Deutschland und Gesamtverteidigung
- Operationsplan Deutschland (Operatives Führungskommando der Bundeswehr): https://www.bundeswehr.de/de/organisation/operatives-fuehrungskommando-der-bundeswehr/auftrag-und-aufgaben/operationsplan-deutschland
Entwarnung und politische Reaktionen
- Giffey attackiert Wegner nach Berliner Datenleck (dpa / web.de): https://web.de/magazine/politik/inland/giffey-attackiert-wegner-berliner-datenleck-42698366
- Hackerangriff Berlin: Datensichtung dauert noch Wochen (security-network): https://security-network.com/hackerangriff-berlin-datensichtung-wochen/
Aufarbeitung und Streit um die Forensik
- Berliner Bezirk blockiert nach Hackerangriff US-Software - jetzt droht Isolation (Tagesspiegel): https://www.tagesspiegel.de/berlin/bezirke/lichtenberg/meine-geduld-ist-am-ende-berliner-bezirk-blockiert-nach-hackerangriff-us-software--jetzt-droht-isolation-16028000.html
Vorwarnungen
- IT-Experte wirft Berlin „grobe Fahrlässigkeit" vor (dpa / Aachener Zeitung): https://www.aachener-zeitung.de/politik/it-experte-wirft-berlin-grobe-fahrlaessigkeit-vor/161023524.html
- Landesrechnungshof ermahnt Berliner Bezirk: Massive IT-Sicherheitsmängel in Marzahn-Hellersdorf (Tagesspiegel): https://www.tagesspiegel.de/berlin/bezirke/marzahn-hellersdorf/landesrechnungshof-ermahnt-berliner-bezirk-massive-it-sicherheitsmangel-in-marzahn-hellersdorf-15007229.html
Michael Hollister -Alle Rechte vorbehalten. Die Weitergabe, Veröffentlichung oder Nutzung dieses Textes bedarf der ausdrücklichen schriftlichen Genehmigung des Autors. Bei Interesse an einer Weiterverwendung kontaktieren Sie bitte den Autor über www.michael-hollister.com.
+++
Dank an den Autor für das Recht zur Veröffentlichung dieses Beitrags.
+++
Bild: Hacker sitzt hinter Laptop mit rotem Warnsignal im Bild
Bildquelle: Raphael_HJ / shutterstock
+++
Ihnen gefällt unser Programm? Machen wir uns gemeinsam im Rahmen einer "digitalen finanziellen Selbstverteidigung" unabhängig vom Bankensystem und unterstützen Sie uns bitte mit der:
Spenden-Kryptowährung „Nackte Mark“: https://apolut.net/unterstuetzen/#nacktemark
oder mit
Bitcoin: https://apolut.net/unterstuetzen#bitcoin
Informationen zu weiteren Unterstützungsmöglichkeiten finden Sie hier: https://apolut.net/unterstuetzen/
+++
Bitte empfehlen Sie uns weiter und teilen Sie gerne unsere Inhalte in den Sozialen Medien. Sie haben hiermit unser Einverständnis, unsere Beiträge in Ihren eigenen Kanälen auf Social-Media- und Video-Plattformen zu teilen bzw. hochzuladen und zu veröffentlichen.
+++
Abonnieren Sie jetzt den apolut-Newsletter: https://apolut.net/newsletter/
+++
Unterstützung für apolut kann auch als Kleidung getragen werden! Hier der Link zu unserem Fan-Shop: https://harlekinshop.com/pages/apolut
