Nachtrag: Was am 4. September wirklich im Darknet landete

Am Freitag, dem 4. September 2026, gegen 15:35 Uhr lief das Ultimatum ab. Das Land Berlin hatte nicht geboten, und Rhysida machte die Drohung wahr. Auf der Leak-Seite der Gruppe steht seither unter dem Eintrag „Berlin, Germany“ ein Fortschrittsbalken auf 100 Prozent, drei Download-Pakete und ein Satz in gebrochenem Englisch: „All files was uploaded to public access, data hunters, enjoy.“ Die Auktion, die zwei Wochen lang mit einem Mindestgebot von 30 Bitcoin lief, endete ohne Käufer. Damit ist der Datensatz nicht an eine Hand verkauft, sondern für jeden offen, der die Adresse kennt.

Vorab: Woher diese Angaben stammen (und woher nicht)

Ich habe den Datensatz nicht heruntergeladen und die Screenshots der Täter nicht selbst geöffnet. Das ist keine Zimperlichkeit, sondern Vorsatz. Wer geleakte Daten aus einer Straftat beschafft oder sich verschafft, bewegt sich in Deutschland im Umfeld von § 202d StGB (Datenhehlerei) – unabhängig von der Absicht. Und bei einer Schwachstellenanalyse zur Trinkwasserversorgung ist der Download nicht nur rechtlich heikel, sondern potenziell gefährlich. Ich brauche das Leak nicht anzufassen, um darüber zu schreiben.

Alle folgenden Angaben stammen aus zweiter Hand: aus der journalistischen Auswertung der von Rhysida selbst veröffentlichten Verzeichnis- und Datei-Screenshots durch den Tagesspiegel (dessen Redakteure Ingo Salmen und Alexander Fröhlich den Katalog gesichtet haben), aus der Dokumentation auf dem Portal ransomlook.io, aus der Auswertung des Bloggers Christopher Helm sowie aus den offiziellen Mitteilungen der Berliner Senatskanzlei.

Und der wichtigste Vorbehalt zuerst: Die Mengenangaben und Kategorien stammen aus der Selbstdarstellung der Täter. Das Land Berlin hat bis heute weder die Gesamtmenge noch eine einzige der Kategorien bestätigt. Rhysida hat ein Geschäftsinteresse daran, den Schatz größer und brisanter aussehen zu lassen, als er ist. Die IT-Sicherheitsexpertin Bianca Kastl vom Chaos Computer Club stufte die gezeigten Screenshots gegenüber dem rbb allerdings als plausibel ein, und der Tagesspiegel hat einzelne Dateien verifiziert. Man sollte die Zahlen also nicht für bare Münze nehmen, aber auch nicht für Bluff halten.

Der Katalog: 1,44 Millionen Dateien, nach Kategorien sortiert

Rhysida nennt auf der Leak-Seite rund 1,44 Millionen Dateien und einen Umfang von 5,79 Terabyte (der veröffentlichte Datenkatalog selbst wird mit 5,26 TB und exakt 1.439.893 Dateien angegeben). Die Gruppe hat den Bestand nach Themen aufgeschlüsselt – das ist der eigentlich verstörende Teil, weil es zeigt, wie sortiert die Angreifer vorgegangen sind. Nach den Angaben, die der Tagesspiegel aus dem Katalog auf ransomlook.io ausgelesen hat, verteilen sich die Dateien unter anderem so:

Kategorie	Dateien (laut Täterangabe)
Kartenmaterial / Geodaten	124.823
Ordnungswidrigkeiten, Klagen, Rechtsgutachten	77.939
Haushaltsunterlagen, Rechnungen, Forderungen	55.553
Verträge	46.522
Personalakten und Gehaltsabrechnungen	27.299
als vertraulich/geheim gekennzeichnete Ordner	11.777
Risikoanalysen, Notfallpläne (Kritische Infrastruktur)	8.110
Dateien mit Zugangsdaten	5.941

Dazu kommen personenbezogene Einzelangaben: personenbezogene Daten zu 12.076 Personen, 16.389 E-Mail-Adressen, 11.963 Telefonnummern und 148 IBANs.

An dieser Tabelle ist zweierlei bemerkenswert. Erstens der Zeitraum: Die vorgezeigten Beispieldateien reichen mindestens von 2014 bis 2026. In einem Fall wird – mit Briefkopf des Bundesrats – die frühere Umweltministerin Barbara Hendricks im Zusammenhang mit einer Atomgesetz-Novelle angeschrieben; Hendricks ist seit 2018 im Ruhestand. Hier liegen also über ein Jahrzehnt Verwaltungsablage. Zweitens die Sortierung: Wer 11.777 Ordner findet, die jemand selbst als „vertraulich“ oder „geheim“ gekennzeichnet hat, muss nicht mehr suchen. Die Verwaltung hat die Beute für die Angreifer vorbeschriftet.

Die vier Bereiche, die wirklich wehtun

Von den Kategorien oben sind vier aus IT-Sicherheitssicht die relevanten. Nicht, weil die anderen harmlos wären, sondern weil diese vier direkt ausnutzbar sind.

1. Zugangsdaten im Klartext

Das ist der Teil, der mich als Admin am meisten aufregt, weil er am vermeidbarsten war. „Passwort.docx“ ist eine von mehreren Office-Dateien, in denen Zugangsdaten von Mitarbeitern unverschlüsselt abgelegt waren. Der Tagesspiegel nennt als Beispiele „Sonnenschein13″ und „Ahabostsee123″ – Passwörter, die nicht einmal den BSI-Mindestempfehlungen genügen.

Konkret betroffen sein sollen laut Tagesspiegel Zugangsdaten zum System für elektronische Bauanträge sowie zur Datenbank des Zahlungsdienstleisters Payone, über den das Land Berlin Zahlungen abwickelt. Wichtig zur Einordnung: Ob mit diesen Daten heute noch ein tatsächlicher Zugriff möglich wäre, ist unklar – als konkretes Beispiel einer Zahlungsabwicklung ist ausgerechnet die Datenbank zur Beantragung von Online-Angelkarten aufgeführt, also nichts Dramatisches. Aber das Prinzip bleibt: Klartext-Zugangsdaten für Fachverfahren lagen in Word-Dateien auf abgeflossenen Systemen. Joachim Selzer vom CCC bringt es auf den Punkt: Wer ein Klartextpasswort hat, kann es sofort ausprobieren.

2. Die KRITIS-Analyse der Wasserversorgung

Rhysida hebt in der Vermarktung eine „Verwundbarkeitsanalyse der Berliner Wasserversorgung“ besonders hervor. Das ist die Kategorie, bei der es aufhört, peinlich zu sein, und anfängt, ein Sicherheitsproblem für die Stadt zu werden.

Hier ist Kontext entscheidend, den der Tagesspiegel liefert: Bereits im Sommer 2020 hatte das Beratungsunternehmen Alpha Strike Labs im Auftrag der Berliner Wasserbetriebe über 30 Schwachstellen festgestellt und den IT-Sicherheitszustand als „mangelhaft“ eingestuft. Die Wasserbetriebe legten daraufhin ein Sofortpaket auf. Ob Rhysida nur diese alte Analyse von 2020 besitzt oder eine aktuellere Mängelliste, lässt sich aus den Täterangaben nicht abschätzen. Sollte es die alte sein, sind viele Befunde hoffentlich längst behoben. Sollte es eine neuere sein, liegt jetzt eine aktuelle Angriffslandkarte für die Abwasser- und Wasserinfrastruktur einer Millionenstadt frei im Netz. Das ist der Unterschied zwischen „ärgerlich“ und „meldepflichtig an alle, die diese Infrastruktur betreiben“.

3. Ordnungswidrigkeiten- und Justizakten als Betrugsvorlage

Mehr als 5.000 Ordnungswidrigkeitenakten klingen abstrakt. Christopher Helm hat den entscheidenden Punkt herausgearbeitet, warum sie es nicht sind: In einer Berliner Bußgeldakte steht alles, was ein täuschend echter zweiter Bescheid braucht – Aktenzeichen, Name, Anschrift, der konkrete Tatvorwurf, der Betrag, der Verfahrensstand und die Behördensprache, in der Berlin bisher mit dem Betroffenen korrespondiert hat.

Warum das gefährlich ist, zeigt der Kontrast zu bereits laufenden Betrugsserien: Im Juli 2026 klemmten Betrüger in Villingen-Schwenningen gefälschte Verwarnungen mit QR-Code hinter Scheibenwischer. Denen fehlte fast alles – sie hatten nur das Kennzeichen vom Auto abgelesen. Ein Betrüger mit einer echten Berliner Bußgeldakte hat dagegen den kompletten Vorgang. Ein Brief, der ein echtes Aktenzeichen trägt, den echten früheren Vorwurf zitiert und nur eine neue IBAN für die „Restforderung“ nennt, besteht jede Prüfung, die die Verbraucherzentrale gegen Fake-Bescheide empfiehlt. Dazu kommen die Postbuch-Datenbanken der Jahre 2020 bis 2026, aus denen hervorgeht, welcher Brief wann mit welchem Betreff an welche Adresse ging. Das ist eine Betriebsanleitung für Behörden-Phishing.

Der CCC verweist zusätzlich auf die Erpressungsdimension: Jedes intime Wissen über eine Person – ein Bußgeldverfahren, ein Justizvorgang – lässt sich nutzen, um sich als diese Person auszugeben oder um sie unter Druck zu setzen.

4. Personalakten inklusive Disziplinarverfahren

Von den mehr als 5.000 gezeigten Personalakten-Dokumenten sind einige verwaltungsintern brisant. Rhysida zeigt im „Schaufenster“ Auszüge aus Disziplinarverfahren. Der Tagesspiegel nennt konkret eine „vertrauliche Personalsache“ gegen einen Senatsrat aus der Umweltverwaltung und eine Geldbuße von 3.200 Euro gegen einen Mitarbeiter der Berliner Forsten wegen eines „Dienstvergehens“. Dazu sollen Bankdaten aus der höchsten Führungsebene gehören – die Täter werben unter anderem mit „Behrendt’s bank card“, wobei unklar ist, welche Person dieses Namens gemeint ist.

Was davon bestätigt ist – und was nicht

Für den Blog ist die Trennlinie wichtig, deshalb hier ausdrücklich:

Offiziell bestätigt vom Senat ist bislang nur das Grundgerüst: dass ein Angriff stattfand, dass rund 5,7 TB betroffen sind, dass Rhysida hinter der Erpressung steckt, dass personenbezogene Daten von Beschäftigten, Bürgern und Unternehmen betroffen sein können und dass eine Veröffentlichung drohte. Die Senatskanzlei teilte am 3. September mit, es lägen keine Erkenntnisse vor, dass das Landesnetz noch infiltriert sei, die Forensik dauere aber an – auch die Frage, ob weitere Daten abgeflossen sind, sei noch offen.

Nicht bestätigt, sondern Täterangabe bzw. journalistische Sichtung, ist praktisch alles Konkrete: die 1,44 Millionen Dateien, sämtliche Kategoriezahlen der Tabelle oben, die Payone- und Bauantrags-Zugangsdaten, die Personalvorgänge und die Brisanz der Wasser-Analyse. Das entwertet die Angaben nicht – sie sind plausibel und teils verifiziert –, aber es gehört sauber gekennzeichnet.

Die Reaktion: an Beschäftigte eine Warnung, an Bürger die Internetwache

Wie geht Berlin mit den Betroffenen um? Zweigeteilt.

Die eigenen Beschäftigten bekamen früh und konkret Post. Digitalstaatssekretär Florian Hauer warnte sie bereits am 28. August auf zwei Seiten vor „raffinierten Täuschungsversuchen“, auch vor „täuschend echten, eventuell KI-generierten Anrufen“, getarnt als Anfragen von Bürgern, Partnerbehörden oder Vorgesetzten. Am 31. August wurde der VPN-Zugang aus dem Homeoffice für beide Häuser gekappt, am 1. September folgte die Anweisung an alle Behörden, Passwörter zu ändern. Das ist – spät, aber richtig – genau die Reaktion, die zu erwarten war.

Den Bürgern dagegen teilte die Senatskanzlei im Kern mit: Wer betroffen ist, solle Strafanzeige über die Internetwache erstatten. Betroffene würden „risikobasiert“ nach DSGVO informiert, sobald sie in der laufenden Analyse identifiziert seien. Was fehlt, ist der konkrete Selbstschutz: Die Mitteilung erklärt nicht, wie ein echter Berliner Bescheid aussieht, woran man einen gefälschten erkennt oder welche Bankverbindungen das Land tatsächlich führt. Genau diese Information wäre die wirksamste Abwehr gegen die Betrugswelle, die aus den Bußgeldakten entstehen kann.

Der Vergleich, den Christopher Helm zieht, ist bitter: Der Rhein-Pfalz-Kreis, 2022 von der Gruppe Vice Society getroffen, sichtete die Veröffentlichung selbst, Datei für Datei, und verschickte binnen drei Wochen 2.549 individuelle Briefe an Betroffene – mit konkreten Handlungsanweisungen. Berlin, mit ungleich mehr Ressourcen, kennt seinen eigenen Datensatz besser als jeder Abrufer: Es weiß, welche Verfahren offen sind, welche Beträge ausstehen, an welche Adressen die Bescheide gingen. Der erste Brief, der bei den Betroffenen ankommt, sollte deshalb vom Land kommen – nicht vom Betrüger.

Einordnung für die eigene Kommune

Für alle, die – wie ich – kleinere Verwaltungen betreuen, sind aus diesem Leak drei Lehren mitzunehmen, die nichts kosten außer Konsequenz:

Erstens: Grep nach „Passwort“. Wenn in Berlin Klartext-Zugangsdaten in Word-Dateien auf Fachverfahrens-Servern lagen, liegen sie anderswo auch. Eine Dateiserver-Suche nach pass*.docx, pass*.xlsx, zugangsdaten* und login* ist an einem Nachmittag erledigt und findet erfahrungsgemäß etwas.

Zweitens: KRITIS-Dokumente gehören nicht auf den allgemeinen Fileshare. Schwachstellenanalysen, Netzpläne und Notfallkonzepte sind die Kronjuwelen für einen Angreifer. Sie brauchen eine eigene, streng segmentierte Ablage mit dediziertem Zugriffskonzept – nicht denselben Ordner wie die Urlaubsliste.

Drittens: Ein Incident-Response-Plan endet nicht bei der Wiederherstellung, sondern bei der Bürgerkommunikation. Wer heute nicht weiß, wie er im Ernstfall binnen Tagen Betroffene warnt und wie eine echte Behördenmail von einer gefälschten zu unterscheiden ist, sollte das Muster jetzt schreiben – nicht am Tag nach dem Leak.

Was heute Abend als Nächstes kommt, ist offen: Ob und wie schnell die Daten breit weiterverteilt werden, ob einzelne Betrugsfälle auftauchen, ob der Senat doch noch die Kategorien bestätigt. Der Schaden aber ist mit dem Upload am 4. September eingetreten und irreversibel. Man kann ein Passwort ändern. Ein einmal veröffentlichtes Disziplinarverfahren nicht.