Cyberangriff auf Berlin: Lehren aus dem Rhysida-Hack

Stand: 31. August 2026

Kurzantwort: Die Ransomware-Gruppe Rhysida erpresst das Land Berlin mit 5,79 Terabyte gestohlener Daten – darunter Verträge, Gehaltslisten und Klartext-Passwörter. Der Angriff folgt exakt demselben Playbook, mit dem derzeit auch KMU angegriffen werden: unbemerkter Datenabfluss über Tage, dann Erpressung. Fünf Lehren daraus: Dwell Time minimieren, Passwörter zentral verwalten, Datenabfluss überwachen, einen Incident Response Plan bereithalten und sich die Haltung „wir zahlen nicht" vorher erarbeiten.

Cyberangriff auf Berlin: Was der Rhysida-Hack jeden Geschäftsführer lehrt

Rund 5,79 Terabyte Daten aus dem Berliner Landesnetz sollen gestohlen worden sein – darunter Verträge, Gehaltslisten, IBANs und sogar eine KRITIS-Analyse der Wasserversorgung. Die Forderung: 30 Bitcoin, umgerechnet etwa 2 Millionen Euro. Der Senat lehnt eine Zahlung ab (Born IT-Blog, 31.08.2026; heise online, 30.08.2026).

Man könnte den Fall als Behördenthema abhaken. Das wäre ein Fehler. Denn die Mechanik dieses Angriffs – unbemerkter Datenabfluss über Tage, Passwörter im Klartext in Office-Dokumenten, Erpressung mit Veröffentlichungsdrohung – ist exakt dieselbe, mit der Rhysida, Qilin oder Akira derzeit auch mittelständische Unternehmen, Kanzleien und Einrichtungen des Gesundheitswesens angreifen. Dieser Beitrag ordnet den Vorfall ein und zieht fünf konkrete Lehren für KMU.

Was beim Cyberangriff auf Berlin passiert ist

Die Chronologie des Angriffs

Nach aktuellem Kenntnisstand lief der Angriff so ab (Börse Express, 29.08.2026):

• 7.–12. August 2026: Datenabfluss aus dem Berliner Landesnetz – über mehrere Tage, unbemerkt.
• 14. August 2026: Der unbefugte Zugriff wird entdeckt; zwei Senatsverwaltungen (Stadtentwicklung, Bauen und Wohnen sowie Mobilität, Verkehr, Klimaschutz und Umwelt) werden vom Netz getrennt – für rund neun Tage.
• 28. August 2026: Der Senat bestätigt den Erpressungsversuch in einer Sondersitzung.

Der genaue Einstiegsvektor ist öffentlich bislang nicht abschließend bestätigt. Klar ist: Zwischen Beginn des Datenabflusses und der Entdeckung lagen etwa sieben Tage.

Was gestohlen wurde

Rhysida bietet die Beute auf seiner Leak-Seite zur Versteigerung an und nennt unter anderem 46.500 Verträge, rund 80.000 Ordnungswidrigkeitsverfahren, Zahlungsvorgänge, E-Mails, Gehaltslisten und IBANs. Besonders brisant: In dem Datensatz sollen sich Passwörter im Klartext befinden – abgelegt in einer Word-Datei (Born IT-Blog).

Warum der Fall auch KMU betrifft

Ein Ransomware-Angriff auf eine Behörde folgt demselben Playbook wie einer auf ein 80-Mitarbeiter-Unternehmen: Zugang verschaffen, Rechte ausweiten, Daten abziehen, dann erpressen – zunehmend ganz ohne Verschlüsselung. Für die Täter zählt nicht, wie bekannt das Opfer ist, sondern wie wertvoll und sensibel dessen Daten sind. Verträge, Personaldaten und Bankverbindungen gibt es in jeder Buchhaltung – auch in Ihrer.

Hinzu kommt: Der deutsche Mittelstand steht längst im Fokus. Allein im ersten Halbjahr 2026 zählte Bitdefender 176 bekannt gewordene Ransomware-Opfer in Deutschland – Platz 4 weltweit, mit klarer Verlagerung hin zu kleineren Unternehmen. Details dazu in unserer Analyse Ransomware Deutschland 2026: Warum KMU jetzt im Visier sind.

Fünf Lehren aus dem Rhysida-Angriff

1. Dwell Time ist der entscheidende Faktor

Sieben Tage Datenabfluss, bevor jemand reagiert – das ist keine Berliner Besonderheit, sondern der Normalfall in Netzwerken ohne kontinuierliche Überwachung. Wer Angreifer erst bemerkt, wenn die Erpressernachricht eintrifft, hat verloren. Ein 24/7-Security-Monitoring mit aktiver Reaktion verkürzt genau dieses Zeitfenster von Tagen auf Minuten. Genau das leistet Managed Detection & Response von Valyros.

2. Passwörter gehören in einen Passwort-Manager – nirgendwo sonst

Klartext-Passwörter in Word-Dateien und Excel-Listen sind in Audits einer der häufigsten Funde – in Verwaltungen wie in Unternehmen. Für Angreifer sind solche Dateien ein Generalschlüssel: Einmal gefunden, öffnen sie den Weg in weitere Systeme. Ein zentral verwalteter Passwort-Manager plus Multi-Faktor-Authentifizierung entzieht diesem Angriffsweg die Grundlage.

3. Datenabfluss erkennen, nicht nur Verschlüsselung

Moderne Erpressung braucht keine Verschlüsselung mehr – die Drohung mit Veröffentlichung reicht. Backups schützen davor nicht. Wer nur auf „Ransomware-Schutz" im Sinne von Verschlüsselungs-Erkennung setzt, übersieht den eigentlichen Schaden: den unbemerkten Abfluss von Terabytes über normale Netzwerkkanäle. Erkennung ungewöhnlicher Datenbewegungen muss Teil der Überwachung sein.

4. Ein Incident Response Plan entscheidet über neun Tage oder neun Wochen

Berlin konnte betroffene Netze isolieren und blieb handlungsfähig – auch, weil Zuständigkeiten und Eskalationswege existierten. Viele KMU haben dagegen keinen erprobten Notfallplan: Wer entscheidet über eine Netztrennung? Wer informiert Datenschutzbehörde (72-Stunden-Frist nach DSGVO), Kunden, Versicherer? Ein vorbereiteter und geübter Incident Response Plan ist der Unterschied zwischen kontrolliertem Vorfall und wochenlangem Stillstand. Bei der Erstellung und Übung unterstützt unser externer Informationssicherheitsbeauftragter.

5. „Wir zahlen nicht" muss man sich leisten können

Der Berliner Senat lehnt die Zahlung ab – die richtige Entscheidung, die Ermittlungsbehörden und BSI seit Jahren empfehlen. Aber sie setzt voraus, dass man den Angriff auch ohne Zahlung übersteht: saubere, offline gesicherte Backups, dokumentierte Wiederanlaufpläne und Klarheit darüber, welche Daten überhaupt abgeflossen sein können. Diese Position erarbeitet man sich vor dem Angriff, nicht währenddessen. Regelmäßige Penetrationstests zeigen, wo Angreifer heute durchkämen.

Was Sie diese Woche konkret tun können

Drei Maßnahmen mit hoher Wirkung und überschaubarem Aufwand: Erstens, lassen Sie in Ihren Dateiablagen nach Klartext-Passwörtern suchen (Dateinamen wie „Passwörter.docx" finden Angreifer auch). Zweitens, klären Sie, wer bei Ihnen nachts um zwei einen verdächtigen Datenabfluss bemerken würde – wenn die Antwort „niemand" lautet, ist das Ihre wichtigste offene Flanke. Drittens, prüfen Sie, ob Ihr Notfallplan die 72-Stunden-Meldefrist der DSGVO und – für NIS2-regulierte Unternehmen – die 24-Stunden-Erstmeldung ans BSI abbildet.

Fazit

Der Berliner Fall zeigt: Entscheidend ist nicht, ob ein Angriffsversuch kommt, sondern wie schnell er auffällt. Wenn Sie unsicher sind, wie es um Ihre Erkennungs- und Reaktionsfähigkeit steht, sprechen Sie mit uns – in einem unverbindlichen Erstgespräch ordnen wir gemeinsam ein, wo Ihr Unternehmen heute steht.

Quellen: Born IT-Blog (31.08.2026), heise online (30.08.2026), Börse Express (29.08.2026), Netzpalaver (11.08.2026).