Stand: 4. September 2026. Die Auktion im Darknet läuft heute aus. Sollte sich bis zum Abend noch etwas ändern, wird dieser Beitrag aktualisiert. Falls das Berliner Landesnetz das erlaubt.
Es gibt Nachrichten, die überraschen. Und es gibt Nachrichten, bei denen man nur den Kalender aufschlägt und nachsieht, ob die Prognose von 2019 wirklich sieben Jahre gebraucht hat, um sich zu erfüllen. Der Cyberangriff auf das Berliner Landesnetz gehört in die zweite Kategorie. Der Tagesspiegel hat es in seinem Kommentar vom 19. August schön auf den Punkt gebracht: Überraschend sei am erfolgreichen Angriff nur eines, nämlich dass er erst jetzt gelungen ist.
Ich bin IT-Dienstleister für eine Gemeinde mit ein paar tausend Einwohnern. Wenn ich mir ansehe, was in Berlin passiert ist, dann sehe ich keinen hochkomplexen Nation-State-Angriff mit Zero-Days, den man beim besten Willen nicht hätte verhindern können. Ich sehe eine Verwaltung, die mit einem Haushalt jenseits der 40 Milliarden Euro Dinge falsch macht, für die ich in einer Gemeinde mit einem Bruchteil davon zu Recht rausgeworfen würde.
Aber der Reihe nach. Erst die Fakten, dann die Wut.
Was passiert ist (der nüchterne Teil)
7. bis 12. August 2026: Angreifer ziehen über rund eine Woche hinweg nach eigenen Angaben 5,79 Terabyte Daten aus zwei Berliner Senatsverwaltungen ab: der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Fünf Tage. Ohne dass jemandem etwas auffällt.
14. August 2026: Das IT-Dienstleistungszentrum Berlin (ITDZ) stellt im Rahmen forensischer Untersuchungen eine „Inkriminierung des Landesnetzes“ fest. Beide Häuser werden vom Landesnetz getrennt. Die Mitarbeiter arbeiten fortan mit Telefon und Papierakte. Wohngeld kann weder beantragt noch ausgezahlt werden.
19. August 2026: Der Regierende Bürgermeister Kai Wegner erklärt, der Vorfall „war ernst und ist ernst“. Nach aktuellem Kenntnisstand seien aber keine sensiblen Daten abgeflossen. Senatssprecherin Christine Richter präzisiert: Es handle sich um Daten, die über Open Data ohnehin frei zugänglich gewesen seien.
Ende August 2026: Der Kenntnisstand ändert sich. Es könne nicht ausgeschlossen werden, dass personenbezogene oder andere nicht öffentliche Daten abgeflossen sind.
28. August 2026: Die Ransomware-Gruppe Rhysida bekennt sich zur Tat und stellt die Daten auf ihrer Leak-Seite zur Auktion. Mindestgebot: 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Frist: Freitag, 4. September. Nach Darstellung der Gruppe enthält der Datensatz unter anderem 46.500 Verträge, 80.000 Verfahren zu Ordnungswidrigkeiten, rund 6.000 Dateien mit Login-Daten sowie Unterlagen zu Kritischer Infrastruktur, Notfallplänen und Justizangelegenheiten. Berlin erklärt, es lasse sich nicht erpressen. Das ist übrigens die einzige Entscheidung in dieser Geschichte, die ich uneingeschränkt richtig finde.
31. August 2026: Der Tagesspiegel veröffentlicht eine Auswertung der bereits einsehbaren Datenfragmente. Darunter befindet sich eine Datei mit dem Namen „Passwort.docx“. Sie ist eine von mehreren Office-Dateien, in denen Zugangsdaten von Mitarbeitern im Klartext abgelegt waren. Eines der Passwörter: „Sonnenschein13“.
1. September 2026: Der Senat bestätigt auf einer Pressekonferenz erstmals, dass Passwörter für Fachverfahren abgeflossen sind. Alle 12.000 Systeme des Landes würden nun „rund um die Uhr“ überprüft. Der Homeoffice-Zugang für beide Verwaltungen wird zum zweiten Mal gekappt, nachdem er eine Woche zuvor wieder freigegeben worden war. Alle Landesbehörden erhalten die Anweisung, Passwörter zu ändern und „vorsorglich verschärfte Passwortregeln“ anzuwenden.
Der genaue Angriffsvektor ist offiziell nicht bestätigt. Der rbb berichtet, Ausgangspunkt sei eine Schwachstelle in der IT der Senatsbauverwaltung gewesen, also in Infrastruktur, die das Land seit 2018 zum ITDZ migrieren will. Ob Phishing, eine ungepatchte Appliance oder etwas anderes am Anfang stand, ist Stand heute Spekulation. Ich lasse das so stehen.
Die Kommunikation: von „Open Data“ zu „Passwort.docx“ in zwölf Tagen
Man muss sich den Ablauf noch einmal langsam vorsagen. Erst: Es sind nur frei verfügbare Geodaten weg. Dann: Naja, personenbezogene Daten können wir nicht ausschließen. Dann: Okay, Passwörter. Im Klartext. In Word.
Ich möchte niemandem Böswilligkeit unterstellen. Vermutlich wusste der Senat am 19. August tatsächlich nicht, was abgeflossen war. Aber genau das ist das Problem. Wenn eine Verwaltung nach fünf Tagen Datenabfluss und weiteren fünf Tagen Forensik nicht sagen kann, welche Daten überhaupt auf den betroffenen Systemen lagen, dann fehlt nicht nur die Sicherheit. Dann fehlt das Inventar. Dann weiß niemand, was wo liegt. Und wer nicht weiß, was er hat, kann es auch nicht schützen.
Dass die Erpresser dem Senat den Inhalt seines eigenen Datenbestands erklären mussten, ist die vermutlich treffendste Zusammenfassung des Berliner IT-Zustands, die man sich ausdenken kann.
Das Einmaleins, das offenbar niemand gelesen hat
Ich unterrichte keine Informatik. Ich betreue Windows-Domänen, Server und Netzwerke für eine Gemeinde. Was ich dabei gelernt habe, passt auf einen Bierdeckel, und es ist nichts, was man nicht auch in jedem BSI-Grundschutz-Baustein nachlesen könnte.
1. Zentralisieren (mit Ausfallsicherheit)
Berlin hat ein zentrales IT-Dienstleistungszentrum. Das ITDZ ist BSI-zertifiziert, betreibt seit 2022 ein Security Operations Center und hat den aktuellen Angriff überhaupt erst entdeckt. Man hat also das Werkzeug. Man hat es nur nicht benutzt.
Denn die beiden betroffenen Senatsverwaltungen wurden nie zum ITDZ migriert. Sie betrieben ihre IT in eigener Verantwortung, in einer Sicherheitsarchitektur, die sie selbst nicht überblickten. Laut Tagesspiegel sind nach wie vor rund zwei Drittel aller Senatsverwaltungen und Landesbehörden selbst für ihre IT-Sicherheit zuständig. Auf parlamentarische Anfragen hat der Senat wiederholt darauf verwiesen, dass es Aufgabe der jeweiligen Senats- oder Bezirksverwaltung sei, Hard- und Software in eigener Zuständigkeit aktuell zu halten. Ein zentrales Controlling darüber ist nicht vorgesehen. Die eigene IT-Landschaft beschreibt der Senat in einer Antwort auf eine Schriftliche Anfrage als „eher heterogen“.
„Eher heterogen“ ist die verwaltungsdeutsche Übersetzung von „jeder macht, was er will, und keiner weiß, was der andere macht“.
Man stelle sich einen Konzern mit 100.000 Mitarbeitern vor, in dem zwei Drittel der Abteilungen ihre eigenen Server unter dem Schreibtisch betreiben und der zentrale IT-Betrieb per Anfrage erfahren muss, ob dort eigentlich gepatcht wird. Kein Vorstand würde das eine Woche überleben. In Berlin ist es seit 2018 der offizielle Migrationsplan, mit Zielhorizont in den 2030er Jahren.
Und damit mich niemand falsch versteht: Zentralisierung ohne Redundanz ist nur ein größerer Single Point of Failure. Georedundanz, getestete Wiederanlaufpläne, offline gelagerte Backups. Das gehört dazu. Aber es ist kein Argument gegen Zentralisierung. Es ist ein Argument dafür, sie richtig zu machen.
2. Standardisieren
Wenn jede Behörde ihre eigene IT betreibt, dann hat jede Behörde ihre eigene Passwortrichtlinie. Oder keine. Der Senat hat am 1. September „vorsorglich verschärfte Passwortregeln“ angeordnet. Für alle Behörden. Landesweit. Per Anweisung des Chief Digital Officers.
Das klingt nach einer Maßnahme. Es ist aber ein Eingeständnis: Bis zum 1. September 2026 gab es offenbar keine landesweit verbindliche und technisch durchgesetzte Passwortrichtlinie, die „Sonnenschein13“ verhindert hätte. In einer Active-Directory-Umgebung ist das eine Gruppenrichtlinie. Eine. Man klickt sie an, und sie gilt für alle. Dazu Multi-Faktor-Authentifizierung für jeden externen Zugang, ein Passwortmanager als Standardwerkzeug und die schlichte Regel, dass Zugangsdaten nicht in Office-Dateien gehören. Das ist keine Raketenwissenschaft. Das ist der erste Tag der Ausbildung.
Ich habe in Fuldatal keinen Chief Digital Officer. Ich habe eine Gruppenrichtlinie.
3. Automatisieren
5,79 Terabyte. Über fünf Tage. Das sind im Schnitt rund 13 Gigabyte pro Stunde, die das Haus verlassen haben, rund um die Uhr, auch nachts, auch am Wochenende. Wer auf ausgehenden Verkehr auch nur rudimentär schaut, sieht das. Nicht, weil er ein KI-gestütztes Anomalie-Erkennungssystem für Millionen betreibt, sondern weil ein Graph plötzlich eine Wand ist.
Dass es keinen Alarm gab, bedeutet: Es gab nichts, was hätte alarmieren können. Kein Egress-Monitoring, keine Volumenschwellen, keine automatisierte Reaktion. Das ITDZ-SOC erkennt nach eigenen Angaben jährlich Millionen unautorisierter Zugriffsversuche auf das Landesnetz. Nur die Häuser, die nicht am ITDZ hängen, sieht es eben nicht. Das SOC überwachte die Haustür des Rathauses, während im Nebengebäude fünf Tage lang ein Umzugswagen beladen wurde.
Die Chronik der Ankündigung
Das alles wäre halb so ärgerlich, wenn es das erste Mal wäre. Es ist nicht das erste Mal.
2019, Kammergericht. Ein Emotet-Trojaner legt das höchste Berliner Gericht lahm. Totalschaden, monatelang provisorischer Betrieb, 500 Rechner werden ausgetauscht. Der anschließende Forensikbericht liest sich, freundlich formuliert, wie eine Anleitung, was man alles nicht tun sollte. Berlin hatte damit sieben Jahre Vorwarnung.
Juli 2025, Justizverwaltung. Der Senatsverwaltung für Justiz fallen Unstimmigkeiten in einer E-Mail-Korrespondenz auf. Angreifer, die der Spiegel unter Berufung auf Sicherheitskreise der iranischen Gruppe Charming Kitten zuordnet, hatten Zugriff auf Kalender und weitere Daten der Justizsenatorin Felor Badenberg.
August 2026. Siehe oben.
Dazwischen: jedes Jahr ein IT-Sicherheitsbericht des Senats, in dem die Defizite aufgelistet werden. Der Bericht ist unter Verschluss. Man braucht ihn auch nicht. Die taz hat es treffend formuliert: Es gibt ohnehin immer wieder größere und kleinere Pannen, an denen man den Zustand ablesen kann.
Und was hat die Politik daraus gemacht? Im Doppelhaushalt 2026/2027 kürzte die Koalition aus CDU und SPD mehr als 50 Millionen Euro im Digitalisierungsetat. So drastisch, dass die damalige Digitalisierungs-Staatssekretärin öffentlich protestierte, bevor sie nach Potsdam wechselte. Das ITDZ selbst ist derart unterfinanziert, dass laut Berichten Ende 2025 ohne zwei Notkredite weder Gehälter noch Lieferanten hätten bezahlt werden können.
Man hat also den einen Dienstleister, der den Angriff erkannt hat, an den Rand der Zahlungsunfähigkeit gespart, während zwei Drittel der Behörden weiter ihre eigenen Server pflegen. Man nennt das in der Betriebswirtschaft „Fehlallokation“. Ich nenne es etwas anderes, aber das gehört nicht in einen Blog.
Der Blick aus der Provinz
Und jetzt zu dem Teil, der mich wirklich beschäftigt.
Berlin hat einen Landeshaushalt, von dem 98 Prozent der deutschen Kommunen nicht einmal zu träumen wagen. Berlin hat einen eigenen IT-Dienstleister mit BSI-Zertifikat und SOC. Berlin hat einen Chief Digital Officer, einen Landesbevollmächtigten für Informationssicherheit, ein E-Government-Gesetz und einen Digitalisierungsausschuss im Abgeordnetenhaus. Berlin hat Personal, Budget, Strukturen und seit 2019 den handfesten Beweis, was passiert, wenn man sie nicht nutzt.
Und Berlin schafft es trotzdem nicht.
Was heißt das für eine Gemeinde mit 12.000 Einwohnern, einem IT-Budget im fünfstelligen Bereich und einem externen Dienstleister, der einen Nachmittag pro Woche vorbeikommt? Was heißt das für die Verwaltungsgemeinschaft, in der der Kämmerer nebenbei die Firewall administriert, weil er „sich mit Computern auskennt“? Was heißt das für die tausenden Kommunen, in denen der Domänencontroller noch auf Windows Server 2012 läuft, weil das Fachverfahren angeblich nichts anderes unterstützt?
Die ehrliche Antwort: In vielen kleinen Kommunen sieht es nicht schlechter aus als in Berlin. Es sieht genauso aus. Nur mit weniger Terabyte.
Der Unterschied ist: Die kleine Kommune hat eine Ausrede. Sie hat wirklich kein Geld, wirklich kein Personal und wirklich keinen eigenen Dienstleister. Berlin hat all das und hat sich trotzdem entschieden, es nicht zu benutzen. Das ist nicht Unvermögen. Das ist eine Entscheidung. Jedes Jahr aufs Neue, in jedem Haushalt, in jeder verschobenen Migration.
Nur gut, dass NIS-2 nicht für Kommunen gilt
Da fällt mir ein: Die NIS-2-Richtlinie, die in Deutschland mit einiger Verspätung umgesetzt wurde, verpflichtet Betreiber wichtiger und besonders wichtiger Einrichtungen zu Risikomanagement, Meldepflichten, Lieferkettensicherheit und persönlicher Haftung der Geschäftsleitung. Die Kommunalverwaltung wurde vom Bund bewusst ausgeklammert. Ob die Länder ihre Kommunen einbeziehen, bleibt ihnen überlassen. Die meisten haben es bislang nicht getan.
Was für ein Glück. Man stelle sich vor, ein Bürgermeister müsste persönlich dafür geradestehen, dass sein Rathaus Zugangsdaten in einer Datei namens „Passwort.docx“ ablegt. Man stelle sich vor, eine Verwaltung müsste binnen 24 Stunden eine Erstmeldung abgeben, statt fünf Tage lang gar nichts zu bemerken und dann zwölf Tage lang „Open Data“ zu sagen. Man stelle sich vor, jemand müsste nachweisen, dass er ein Konzept zur Aufrechterhaltung des Betriebs hat, bevor 50.000 Haushalte drei Wochen auf ihr Wohngeld warten.
Nein, das wäre für die Verwaltungen wirklich zu viel Bürokratie. Also lieber keine Regeln, keine Pflichten, keine Haftung. Dann kann auch nichts schiefgehen. Fragen Sie in Berlin.
Der eigentliche Punkt ist ernst: Die Angreifer interessiert es nicht, ob eine Verwaltung unter NIS-2 fällt. Rhysida hat in diesem Jahr Stuttgart angegriffen, davor die British Library, davor Krankenhäuser und die Stadt Columbus in Ohio. Die Gruppe sucht sich keine Ziele nach Rechtsrahmen aus, sondern nach Erreichbarkeit. Und eine deutsche Kommunalverwaltung, die ihre Sicherheit selbst in die Hand nimmt, ist erreichbar. Sehr.
Was jetzt eigentlich passieren müsste
Ich mache es kurz, weil es so kurz ist:
- Betriebsverantwortung für alle sicherheitskritischen Systeme zum ITDZ. Nicht in den 2030er Jahren. Jetzt. Mit einem Fahrplan, der in Monaten und nicht in Legislaturperioden gemessen wird. Und mit einer Finanzierung, die den Dienstleister nicht in die Notkredite treibt.
- Ein landesweites Identity-Konzept: MFA für jeden Fernzugriff, zentrale Passwortrichtlinien per Gruppenrichtlinie, Passwortmanager als Pflichtwerkzeug, technisch durchgesetzt, nicht per Rundschreiben empfohlen.
- Egress-Monitoring und Netzsegmentierung. Wer 5,79 Terabyte nicht bemerkt, bemerkt auch 50 Terabyte nicht.
- Ein Inventar. Welche Daten liegen wo, wer ist verantwortlich, wie kritisch sind sie. Wer das nicht weiß, kann weder schützen noch nach einem Vorfall ehrlich kommunizieren.
- Den IT-Sicherheitsbericht veröffentlichen. Zumindest in Teilen. Die Angreifer kennen die Schwachstellen ohnehin. Die einzigen, die sie nicht kennen, sind die Bürger, die den Laden bezahlen.
Nichts davon ist neu. Alles davon stand sinngemäß bereits 2019 im Bericht zum Kammergericht. Berlin hat es sieben Jahre lang nicht gelesen.
Schluss
Heute Abend läuft die Auktion aus. Vielleicht veröffentlicht Rhysida die Daten, vielleicht verlängert die Gruppe die Frist, vielleicht findet sich ein Käufer, und wir erfahren nie, was genau in den 5,79 Terabyte steckt. Für die Betroffenen, die Mitarbeiter, deren Passwörter im Netz stehen, die Bürger, deren Bußgeldverfahren und Bauakten möglicherweise bald frei verfügbar sind, macht das keinen Unterschied mehr.
Für alle anderen Verwaltungen in Deutschland ist der Fall eine Vorlage. Nicht, weil Berlin besonders schlecht wäre. Sondern weil Berlin mit allen Mitteln, die man sich wünschen kann, exakt die Fehler gemacht hat, die überall gemacht werden. Der Unterschied zwischen Berlin und der Gemeinde nebenan ist nicht die Qualität der IT-Sicherheit. Es ist die Größe der Datei, die am Ende im Darknet landet.
Wer in seiner Kommune heute eine Datei namens „Passwort.docx“ findet, hat noch die Chance, sie zu löschen, bevor es jemand anderes tut.