Was Rhysida tatsächlich erbeutet hat
Rhysida erklärt, 5,79 Terabyte an Daten aus Berlins Landesverwaltungsnetz erbeutet zu haben, verteilt auf rund 1,44 Millionen Dateien. Die Ransomware-Gruppe, aktiv seit 2023 und vermutlich aus Russland oder Osteuropa operierend, veröffentlichte ihre Behauptung am 28. August 2026 auf einer Leak-Seite im Darknet. Dieselbe Gruppe nennt bereits die British Library und die chilenische Armee als frühere Opfer, es handelt sich also nicht um einen Erstversuch an einem großen Regierungsziel.
Die Dateiliste umfasst Verträge, E-Mails, Telefonnummern, Passwörter, als geheim eingestufte Unterlagen sowie Gehalts- und Bußgeldakten mit jeweils über 5.000 Personalakten. Rhysida behauptet zudem, SQL-Datenbankauszüge von 2020 bis 2026 sowie 3.226 unterzeichnete Vertraulichkeitsvereinbarungen zu besitzen. Personenbezogene Daten von rund 12.076 Personen sollen ebenfalls enthalten sein, eine Zahl, die unabhängig vom Rest der Daten die Meldepflichten bei Datenschutzverletzungen bestimmen wird.
Das Detail zur Wasserversorgung verändert die Risikolage
Versteckt in dieser Dateiliste liegen Schwachstellenanalysen von Berlins Wasserversorgung, und genau diese Kategorie wiegt schwerer als die Terabyte-Zahl. Personalakten und Gehaltsdaten sind der übliche Inhalt eines kommunalen Datenlecks, eine dokumentierte Übersicht über Schwachstellen in der Wasserinfrastruktur einer Hauptstadt ist es nicht. Wer diese Analyse jetzt besitzt, hat einen Vorsprung bei der Frage, wo ein Folgeangriff auf physische Infrastruktur den größten Schaden anrichten würde, egal ob der Angreifer Rhysida selbst ist, ein Käufer bei der angedrohten Auktion, oder ein unbeteiligter Akteur, der die Leak-Seite nie besucht.
Diese Unterscheidung geht verloren, wenn ein Datenleck nur an seiner Größe gemessen wird. Eine typische Ransomware-Offenlegung bringt Peinlichkeit, Meldekosten und möglicherweise späteren Betrug mit sich. Eine Offenlegung, die Schwachstellendaten von Infrastruktur enthält, liefert eine Zielliste. TheHackerNews und andere Medien, die über das Leck berichteten, behandelten das Wasserdetail als eine Zeile unter vielen, für jeden, der für kritische Infrastruktur verantwortlich ist, sollte es die Schlagzeile sein.
Zahlungsverweigerung löst ein Problem, nicht das andere
Berlins Regierender Bürgermeister Kai Wegner und Innensenatorin Iris Spranger erklärten in einer gemeinsamen Stellungnahme, das Land Berlin werde sich Erpressung nicht beugen, und diese Haltung ist aus sich heraus vertretbar. Rhysida forderte 30 Bitcoin, zum Zeitpunkt der Forderung rund 2 Millionen Euro wert, mit einer Frist von etwa sieben Tagen, bevor die Daten versteigert werden sollten. Ein Lösegeld zu zahlen finanziert den nächsten Angriff und bietet keine verbindliche Garantie, dass gestohlene Kopien gelöscht statt heimlich weiterverkauft werden.
Was die Weigerung nicht leistet, ist die Daten zurückzuholen. Sobald ein Datensatz exfiltriert und auf einer Leak-Seite veröffentlicht wurde, entscheidet Zahlen oder Nichtzahlen nur noch darüber, ob Rhysida das vollständige Archiv veröffentlicht oder die Erpressung privat fortsetzt, die bereits angefertigten Kopien liegen so oder so außerhalb Berlins Kontrolle. Behörden erklärten, Systeme und Daten für die Wahl am 20. September seien nicht betroffen, was die dringendste Frage beantwortet, aber nichts darüber sagt, welchen Zugriff die Angreifer vor Entdeckung des Einbruchs auf das Verwaltungsnetz hatten.
Was NIS2 von hier an tatsächlich verlangt
Für Betreiber im Geltungsbereich der EU-Richtlinie NIS2 ist eine Haltung gegen Lösegeldzahlungen eine politische Entscheidung, keine Antwort auf Compliance-Fragen. NIS2 verpflichtet wesentliche und wichtige Einrichtungen zu Risikomanagement, Meldefristen bei Vorfällen und Sicherheit in der Lieferkette, und ein kommunaler Wasserversorger fällt genau in die Kategorien, die die Richtlinie schützen soll, ein Standard, zu dem auch das britische National Cyber Security Centre Betreiber schon jetzt drängt, selbst außerhalb des EU-Regimes. Die Frage, die NIS2 stellt, ist nicht, ob Berlin das Lösegeld zahlte, sondern ob die Schwachstellendaten, die Rhysida jetzt besitzt, überhaupt vom selben Netz aus erreichbar sein durften wie Gehaltsdaten und Vertragsarchive.
Die von Rhysida beanspruchten Kategorien zeigen die Bandbreite der Offenlegung in einem einzigen Vorfall:
| Datenkategorie | Gemeldeter Umfang |
|---|---|
| Verträge | 46.500 |
| Personalakten | über 5.000 |
| Bußgeldakten | über 5.000 |
| Vertraulichkeitsvereinbarungen | 3.226 |
| Betroffene Personen mit personenbezogenen Daten | rund 12.076 |
Eine Trennung zwischen Verwaltungsdaten und Daten zu Betriebstechnik oder kritischer Infrastruktur ist genau die Art von Kontrolle, die NIS2 dokumentiert, getestet und gemeldet sehen will, nicht vorausgesetzt. Eine Organisation, die zeigen kann, dass sie diese Trennung vorgenommen hat, selbst wenn die Trennung versagte, steht anders da als eine, die niemals getrennt hat.
Warum wir das tun
Wir tun das für alle, die versuchen, mit dem Schritt zu halten, was Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen gehört.
Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verständnis dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu zahlen.
Wenn es Ihnen heute etwas gegeben hat, sagen Sie uns, dass wir weitermachen sollen. Folgen Sie uns, hinterlassen Sie ein Like, oder schreiben Sie einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, was uns weitermachen lässt.
Weiterlesen: Beacons Datenleck fällt durch jedes Sicherheitsnetz | Eine KI führte diesen Ransomware-Angriff allein aus
