Rhysida beansprucht Berliner Datenleck mit 5,79 TB und fordert 30 BTC

Was Rhysida nach eigenen Angaben aus Berlin gestohlen hat

Die Ransomware-Gruppe Rhysida gibt an, 5,79 Terabyte Daten aus dem Berliner Regierungsnetzwerk exfiltriert zu haben, und fordert 30 Bitcoin, was in etwa dem Gegenwert eines mittelgroßen Unternehmens-Lösegelds entspricht, um deren Veröffentlichung zu verhindern. Nach eigenen Angaben der Gruppe umfasst die Beute Gerichtsakten, Zehntausende Verträge sowie als infrastrukturnahe bezeichnete Daten – alles aus einem einzigen Regierungsnetzwerk abgezogen.

Diese 30-BTC-Forderung ist gemessen an den größten Unternehmens-Erpressungsforderungen im Jahr 2026 bemerkenswert bescheiden. Doch der Umfang des angeblich Erbeuteten erzählt eine andere Geschichte. Gerichtsakten und Regierungsverträge sind nicht die Art von Daten, die ein einzelnes Unternehmen bei einem gewöhnlichen Einbruch verliert. Sie repräsentieren Jahrzehnte administrativer Tätigkeit, die Einwohner, Unternehmen, Gerichte und die Planung öffentlicher Infrastruktur betreffen – alles in einem einzigen Netzwerk, das eine kriminelle Gruppe nach eigenen Angaben bereits kopiert hat.

Wie zuvor berichtet, tauchte der Angriff unmittelbar vor einer geplanten Abstimmung in der Berliner Regierung auf, was die Bedeutung des Timings ebenso erhöhte wie die der Daten selbst. Rhysida war in diesem Zeitraum nicht die einzige aktive Gruppe; sowohl sie als auch Akira ergänzten in rascher Folge neue Opfer auf ihren Leak-Seiten – eine Erinnerung daran, dass solche Operationen oft mehrere Ziele parallel verfolgen, statt sich auf eine einzige prominente Stadtregierung zu konzentrieren.

Warum Regierungsnetzwerke Hauptziele für Ransomware sind

Regierungsbehörden sind für Ransomware-Betreiber aus einem einfachen Grund attraktiv: Sie halten Daten, die nicht leicht ersetzt oder ignoriert werden können. Ein privates Unternehmen kann einen Einbruch manchmal still verkraften und in eigenem Tempo verhandeln. Eine Stadtregierung kann das nicht – erst recht nicht, wenn Gerichtsakten und Verträge im Zusammenhang mit öffentlichen Dienstleistungen betroffen sind. Genau auf diesen Druck setzen Gruppen wie Rhysida, wenn sie eine Lösegeldfrist setzen.

Die IT-Umgebungen von Regierungen sind zudem oft weitläufig. Jahrzehntealte Altsysteme, mehrere Abteilungen mit eigenen Anbietern und infrastrukturnahe Verbindungen bedeuten, dass eine einzelne kompromittierte Anmeldedaten oder ein ungepatchter Server einen Zugang zu einer viel größeren Datenmenge eröffnen können, als Angreifer in einem stärker abgegrenzten Unternehmensnetzwerk vorfinden würden. Wenn Zehntausende Verträge und Gerichtsakten als Teil eines einzigen behaupteten Einbruchs beschrieben werden, deutet das auf ein Netzwerk hin, in dem Daten vieler verschiedener Ämter über einen gemeinsamen Einstiegspunkt zugänglich waren.

Der Berliner Fall passt zu einem breiteren Trend von 2026, bei dem Ransomware-Gruppen ihre Aufmerksamkeit gezielt auf den öffentlichen Sektor verlagern – gerade weil der Nutzen nicht nur finanzieller Natur ist. Die Hebelwirkung entsteht durch Unterbrechung, Peinlichkeit und das politische Timing eines Lecks – nicht nur durch die Höhe der Lösegeldforderung.

Was Bürger und öffentliche Angestellte tun können, wenn ihre Daten offengelegt wurden

Wenn Sie mit der Berliner Regierung interagieren – ob als Einwohner, Auftragnehmer oder öffentlicher Angestellter – ist dieser Vorfall ernst zu nehmen, auch wenn der Einbruch nicht in vollem Umfang unabhängig bestätigt wurde. Einige praktische Schritte gelten unabhängig davon, wie sich die Lage entwickelt:

• Achten Sie auf offizielle Mitteilungen der Stadtbehörden zum Einbruch, statt sich auf Behauptungen der Angreifer selbst zu verlassen.
• Wenn Sie kürzlich persönliche Daten über Regierungsverträge, Gerichtseinreichungen oder kommunale Dienste übermittelt haben, überwachen Sie Ihre Konten und Kreditaktivitäten auf ungewöhnliches Verhalten.
• Aktualisieren Sie Passwörter, die mit von Ihnen genutzten Regierungsportalen verknüpft sind, und aktivieren Sie die Zwei-Faktor-Authentifizierung, wo sie angeboten wird.
• Seien Sie vorsichtig bei Phishing-Versuchen, die sich speziell auf diesen Einbruch beziehen, da geleakte oder behauptete Daten oft genutzt werden, um Folge-Betrugsmaschen glaubwürdiger erscheinen zu lassen.
• Erwägen Sie die Nutzung eines VPN und überprüfen Sie Ihre allgemeine Datenschutz-Hygiene – nicht weil ein Produkt einen Einbruch rückgängig macht, sondern weil die Reduzierung Ihrer Exposition an anderer Stelle den Schaden begrenzt, falls persönliche Daten tatsächlich auftauchen.

Das größere Muster: Datenschutzverletzungen im öffentlichen Sektor 2026

Der Berliner Fall ist ein Eintrag in einer wachsenden Liste von Vorfällen im Jahr 2026, bei denen Netzwerke des öffentlichen Sektors – nicht private Unternehmen – Ziel von Ransomware-Erpressung sind. Was diese Fälle von Unternehmenseinbrüchen unterscheidet, ist die Art der betroffenen Daten. Gerichtsakten und Regierungsverträge enthalten nicht nur Finanzinformationen – sie können rechtliche Verfahren, Lieferantenbeziehungen und Infrastrukturplanung betreffen, die ganze Städte beeinflussen, nicht nur die erpresste Institution.

Was das für Sie bedeutet

Selbst mit einer bescheidenen 30-BTC-Forderung liegt die eigentliche Geschichte dieses Berliner Regierungs-Ransomware-Einbruchs im Umfang, nicht im Preis. Ein einziges kompromittiertes Netzwerk gab Angreifern offenbar Zugang zu Jahren gerichtlicher und vertraglicher Aufzeichnungen – die Art von Daten, die noch lange nach Ablauf der Lösegeldfrist Auswirkungen auf Einwohner, Unternehmen und öffentliche Angestellte haben können. Ob Rhysidas vollständige Behauptungen verifiziert werden oder nicht: Das Expositionsrisiko für jeden, der mit diesem Netzwerk verbunden ist, ist real genug, um jetzt zu handeln.

Fazit

Bleiben Sie wachsam für offizielle Updates der Berliner Behörden statt für Angreifer-Behauptungen, überprüfen Sie Ihre eigenen Konten, die mit Regierungsdiensten verknüpft sind, und behandeln Sie diesen Vorfall als Erinnerung daran, dass Datenschutzverletzungen im öffentlichen Sektor normale Bürger ebenso direkt betreffen können wie Unternehmensfälle. Ihre persönlichen Sicherheitsgewohnheiten noch heute zu verschärfen, ist eine vernünftige Reaktion, egal wie dieser spezielle Fall letztlich gelöst wird.