Cyberangriff auf Berlins Landesnetz: Weitere Datenpakete im Darknet veröffentlicht

Nach einem umfangreichen Cyberangriff auf das Berliner Landesnetz haben die Angreifer, mutmaßlich die Ransomware-Gruppe Rhysida, weitere Datensätze im Darknet publiziert. Dies erfolgte, nachdem der Berliner Senat eine Lösegeldforderung in Höhe von 30 Bitcoins, was etwa zwei Millionen Euro entspricht, nicht erfüllte. Die Veröffentlichung umfasst nun eine Gesamtmenge von rund 1,3 bis 1,4 Millionen Dateien, was die Herausforderung der Risikobewertung erheblich vergrößert.

Veröffentlichung weiterer Datenpakete und ihr Umfang

Berlins Chief Digital Officer (CDO) Florian Hauer informierte den Digitalisierungsausschuss über die fortgesetzten Veröffentlichungen. Nach einer ersten Freigabe von rund 755.000 Dateien wurde in der Nacht von Samstag auf Sonntag ein weiteres Paket mit etwa 550.000 bis 560.000 Dateien zugänglich gemacht. Die Gesamtzahl der veröffentlichten Datensätze beläuft sich somit auf über 1,3 Millionen, wie Hauer mitteilte. Andere Quellen sprechen von bis zu 1,4 Millionen Dateien und einem Datenvolumen von rund 5,7 Terabyte. Diese enorme Menge an Daten stellt die Verantwortlichen vor die komplexe Aufgabe, den Inhalt und das damit verbundene Risiko zu analysieren.

Die neu veröffentlichten Datenpakete sollen unter anderem Zugangsdaten enthalten. Die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen, die von dem Angriff betroffen ist, hat daraufhin ihre Sicherheitsmaßnahmen überprüft und präventiv angepasst. Es wird erwartet, dass diese Anpassungen kurzfristig zu Einschränkungen bei der Nutzung von Fachverfahren führen könnten.

Einsatz von KI zur Risikobewertung

Angesichts der schieren Menge an Daten, die potenziell mehrere Dokumente pro Datei enthalten können, ist eine manuelle Prüfung jeder einzelnen Datei äußerst zeitaufwendig. Um diesen Prozess zu beschleunigen und zu systematisieren, plant die Berliner Verwaltung den Einsatz von Künstlicher Intelligenz (KI). Laut Florian Hauer sollen KI-Tools die Daten kategorisieren und eine Abstufung nach Risikopotenzial ermöglichen. Dadurch sollen die risikoreichsten Dateien priorisiert und zuerst geprüft werden können, um potenzielle Schäden frühzeitig zu identifizieren und Gegenmaßnahmen einzuleiten. Diese Anwendung von KI demonstriert das Potenzial der Technologie, komplexe Datenmengen effizient zu analysieren und strategische Entscheidungen zu unterstützen.

Ungeklärter Ursprung der Attacke und vermutete Angriffsvektoren

Staatssekretär Alexander Slotty von der betroffenen Senatsbauverwaltung betonte, dass der genaue Ursprung der Cyberattacke weiterhin unklar ist. Die Frage, wie und wo der Angriff initiiert wurde, bleibt Gegenstand der Untersuchungen. Die Hackergruppe Rhysida, der die Attacke zugeschrieben wird, ist dafür bekannt, häufig mit Phishing-E-Mails zu agieren. Bei dieser Methode werden Empfänger dazu verleitet, auf schädliche Links zu klicken, wodurch Schadsoftware in die Systeme gelangen kann.

Eine Sicherheitsmitteilung des BSI vom Wochenende widerspricht jedoch teilweise dieser Annahme eines klassischen Phishing-Angriffs. Demnach soll ein Mitarbeiter durch die Methode „TerminalFix“ angegriffen worden sein und aktiv durch das Öffnen des Windows-Terminals mitgewirkt haben. Dies sei durch ein gefälschtes Captcha auf einer bösartigen Webseite veranlasst worden, wobei die eigentliche Absicht verschleiert wurde. Diese unterschiedlichen Informationen unterstreichen die Komplexität der forensischen Analyse nach solchen Cyberangriffen und die Notwendigkeit einer umfassenden Aufklärung.

Trotz des beträchtlichen Datenabflusses hob Staatssekretär Slotty hervor, dass lediglich etwa ein Prozent der Daten von den Servern der Senatsbauverwaltung abgeflossen sei. Zudem seien keine Systeme verschlüsselt oder dauerhaft zerstört worden, was bei Angriffen der Gruppe Rhysida, die oft Daten löscht oder verschlüsselt, nicht selbstverständlich sei.

Implikationen für die Datensicherheit und Verwaltungsprozesse

Der Vorfall verdeutlicht die anhaltende Bedrohung durch Cyberkriminalität für öffentliche Verwaltungen und kritische Infrastrukturen. Die Veröffentlichung sensibler Daten, auch wenn sie als „Verschlusssache – Nur für den Dienstgebrauch“ (VS-NfD) eingestuft sind, kann weitreichende Folgen für Bürger und Behördenmitarbeiter haben. Die Notwendigkeit robuster Sicherheitsarchitekturen und präventiver Maßnahmen wird durch solche Ereignisse einmal mehr unterstrichen. Der Einsatz von KI zur Risikobewertung stellt einen innovativen Ansatz dar, um mit den Folgen massiver Datenlecks umzugehen und die Resilienz gegenüber zukünftigen Angriffen zu stärken.

Bibliographie

• heise online. (2026, 7. September). Berlin: Zweites Datenpaket veröffentlicht, KI soll Risiko bewerten. heise.de.
• berlin.de. (2026, 6. September). Nach dem IKT-Vorfall – Weiteres Datenpaket veröffentlicht. berlin.de.
• Süddeutsche Zeitung. (2026, 7. September). Cyberkriminalität - KI soll Risiko von gehackten Berliner Daten bewerten helfen. sueddeutsche.de.
• rbb24.de. (2026, 6. September). Nach Cyberangriff: Neues Datenpaket aus dem Berliner Landesnetz aufgetaucht. rbb24.de.
• n-tv.de. (2026, 6. September). „Viel Spaß, Datenjäger“: Hacker veröffentlichen weitere Berliner Behördendaten im Darknet. n-tv.de.
• heise online. (2026, 7. September). Gefahr für die nationale Sicherheit: Berliner Datenleck schlägt hohe Wellen. heise.de.
• taz.de. (2026, 7. September). Von Hackern veröffentlichte Daten: Download dauert eine ganze Woche. taz.de.
• ComputerBase. (2026, 6. September). Berliner Datengau: 1,4 Millionen Dateien landen im Darknet. computerbase.de.
• ntvde. (2026, 7. September). KI soll Risiko von gehackten Berliner Daten bewerten helfen. de.headtopics.com.
• CyberDeutsch Nachrichten. (2026, 7. September). Berlin: Angreifer veröffentlichen weitere gestohlene Zugangsdaten aus Landesnetz. cyberdeutsch.news.