Rhysida-Taktiken und das massive Datenleck in Berlin - Analyse und Folgen

Im August 2026 griff die Ransomware-Gruppe Rhysida das IT-Netz des Berliner Senats an, erbeutete rund 5,8 Terabyte sensibler Behördendaten und veröffentlichte diese nach einer verweigerten Lösegeldzahlung im Darknet. Der Vorfall gilt als einer der größten Cyberangriffe auf den öffentlichen Sektor in Deutschland und wirft ein Schlaglicht auf die Risiken einer "No-Ransom"-Strategie, die von Sicherheitsbehörden wie dem BSI empfohlen wird.

Hintergrund des Angriffs und Ausmaß des Datenlecks

Die Angreifer forderten ein Lösegeld von 30 Bitcoin - etwa 2 bis 2,3 Millionen Euro - und setzten eine Frist, die nach Ablauf am Freitagnachmittag ergebnislos blieb. Daraufhin stellten sie das erbeutete Material öffentlich zur Verfügung. Die wichtigsten Kennzahlen zum Leak lauten:

• Volumen der geleakten Daten: 5,79 Terabyte (≈ 5,8 TB)
• Anzahl der enthaltenen Dateien: 1,44 Millionen
• Personenbezogene Datensätze: 12 076
• Betroffene Dokumente: Personalakten, Gehaltsabrechnungen, unverschlüsselte Passwörter von Zahlungsdienstleistern, Infrastrukturpläne (Wasserversorgung, Notstromanlagen, Krankenhäuser)

Durch die Veröffentlichung entstanden massive Ausfälle in den Berliner Bezirksämtern, Verzögerungen bei Wohngeldzahlungen und ein erheblicher Kontrollverlust über sensible Bürgerdaten.

Vorgehensweise der Ransomware-Gruppe Rhysida

Rhysida operiert als Ransomware-as-a-Service-Netzwerk (RaaS). Partnerfirmen erhalten von der Gruppe Schadsoftware und teilen die Erträge. Die typische Angriffskette umfasst:

• Phishing-Mailings, oft mit täuschend echten Anhängen oder Links
• Ausnutzung unsicherer Fernzugänge, insbesondere VPNs ohne Multi-Faktor-Authentifizierung (MFA)
• Exploits von bekannten Schwachstellen
• "Double Extortion": Zunächst Daten exfiltrieren, bei Nichtzahlung die Veröffentlichung als Druckmittel einsetzen

Bis 2026 wurden weltweit 280 Opfer von Rhysida registriert, davon mindestens neun in Deutschland, darunter der Berliner Senat und die Stadt Stuttgart.

Typische Angriffsmuster

Analyseberichte der US-Behörde CISA und des BSI zeigen, dass Rhysida primär über ungesicherte Fernzugänge und Phishing in Verwaltungs-VPNs eindringt. Die Gruppe nutzt häufig Double-Extortion, um sowohl finanzielle Erpressung als auch reputationsbezogene Schäden zu erzielen.

Die Entscheidung des Berliner Senats - No-Ransom-Strategie

Entgegen der Forderung von Rhysida entschied das Berliner Landesamt, das Lösegeld nicht zu zahlen. Diese Entscheidung stützt sich auf die klare Leitlinie des Bundesamts für Sicherheit in der Informationstechnik (BSI), keine Zahlungen an Ransomware-Banden zu leisten, um kriminelle Strukturen nicht zu finanzieren. Der BSI-Lagebericht von 2024 verzeichnet weltweit über 1,1 Milliarden US-Dollar an erpressten Lösegeldsummen - Zahlungen würden weder die Geheimhaltung garantieren noch die Wiederherstellung der Daten sicherstellen.

Gefahr durch gezieltes Phishing

Durch das Datenleck können Angreifer Phishing-Kampagnen mit authentisch wirkenden Inhalten starten. Die veröffentlichten Passwörter und Infrastrukturpläne ermöglichen gezielte Angriffe auf Bürger, Unternehmen und kritische Versorgungsnetze. Das BSI warnt ausdrücklich vor:

• Identitätsdiebstahl und Missbrauch persönlicher Daten
• Desinformationskampagnen im Vorfeld der Berliner Kommunalwahl am 20. September 2026
• Hack-and-Leak-Operationen, bei denen aus dem Kontext gerissene Dokumente zur Manipulation von Wählermeinungen verwendet werden

BSI-Warnungen und Handlungsempfehlungen

Das BSI empfiehlt Betroffenen und Behörden, sofortige Gegenmaßnahmen zu ergreifen:

• Passwörter ändern und für alle Konten MFA aktivieren
• Verdächtige E-Mails und Links mit äußerster Vorsicht behandeln
• Regelmäßige Sicherheitsupdates und Patch-Management sicherstellen
• Ungeplante Netzwerkisolierungen prüfen, um weitere Ausbreitung zu verhindern

Zahlen und Fakten im Überblick

MetricWertJahrGlobale Opferzahl von Rhysida2802026Opfer in Deutschland92026Geleakte Datenmenge5,79 TB2026Anzahl der Dateien im Leak1,44 Millionen2026Betroffene Personen (Datensätze)12 0762026Geforderte Lösegeldzahlung30 Bitcoin (≈ 2 - 2,3 Mio. €)2026Weltweite Ransomware-Einnahmen1,1 Mrd. USD2024

Kontroverse und Gegenargumente

Einige Experten weisen darauf hin, dass Rhysida die Ausmaße des Datenlecks möglicherweise übertreibt, um zusätzlichen Druck auszuüben. Ohne unabhängige forensische Gutachten sei nicht eindeutig belegt, ob kritische KRITIS-Pläne tatsächlich gestohlen wurden. Zudem könnten Hack-and-Leak-Kampagnen in politisch sensiblen Zeiten gezielt eingesetzt werden, um Wahlentscheidungen zu beeinflussen.

Häufig gestellte Fragen (FAQ)

Warum wurde dem Lösegeldersuchen nicht nachgegeben?Das Berliner Landesamt folgte der strikten Empfehlung des BSI, keine Erpressungen zu bezahlen. Zahlungen würden die kriminellen Strukturen finanzieren und garantierten nicht, dass die Daten nicht veröffentlicht werden.Was können betroffene Berliner jetzt tun?Betroffene sollten Passwörter ändern, MFA aktivieren und verdächtige E-Mails meiden. Zusätzlich empfiehlt das BSI, bei Aufforderungen zur Eingabe von Zugangsdaten besonders vorsichtig zu sein.Gibt es konkrete Angriffsmuster von Rhysida?Laut CISA und BSI dringt Rhysida primär über ungesicherte Fernzugänge (z. B. VPNs ohne MFA) und Phishing ein.

Fazit

Der Angriff von Rhysida auf den Berliner Senat verdeutlicht, wie gefährlich die Kombination aus Ransomware-Erpressung, massiven Datenlecks und politisch sensiblen Wahlperioden sein kann. Die Weigerung, das Lösegeld zu zahlen, entspricht der von BSI empfohlenen No-Ransom-Strategie und verhindert die Finanzierung krimineller Netzwerke. Gleichzeitig führt die Veröffentlichung von 5,8 TB vertraulicher Daten zu erheblichen Risiken für Bürger und kritische Infrastrukturen - insbesondere durch gezielte Phishing- und Desinformationskampagnen. Nur konsequente Sicherheitsmaßnahmen, regelmäßige Audits und ein starkes Bewusstsein für Social-Engineering-Angriffe können zukünftige Vorfälle wirksam eindämmen.