Rhysida-Leak in Berlin: Was KMU jetzt lernen müssen

Am 4. September 2026 hat die Ransomware-Gruppe Rhysida nach eigenen Angaben rund 5,79 Terabyte Daten aus dem Berliner Landesnetz im Darknet veröffentlicht – etwa 1,44 Millionen Dateien, darunter Verträge, Personalakten, Passwörter und Kartenmaterial. Berlin hatte sich geweigert, die geforderten 30 Bitcoin (rund zwei Millionen Euro) zu zahlen. Seitdem warnt das BSI ausdrücklich vor der zweiten Welle: gezieltem Phishing mit den erbeuteten Daten.

Der Fall betrifft eine Landesverwaltung – die Mechanik dahinter betrifft jedes Unternehmen. Double Extortion ist seit Jahren das Standardmodell von Ransomware-Gruppen, und die Zielauswahl folgt nicht der Unternehmensgröße, sondern der Gelegenheit. Für Geschäftsführer von KMU, Praxisinhaber und Kanzleien lohnt sich deshalb ein genauer Blick: Was ist passiert, warum ist die Zeit nach der Veröffentlichung so gefährlich, und wie bereitet man die eigene Organisation vor?

Der Fall Berlin: Chronologie eines Double-Extortion-Angriffs

Der Angriff auf das Berliner Landesnetz begann nach Medienberichten am 7. August 2026. Eine Woche später, am 14. August, wurden zwei Senatsverwaltungen vorsorglich vom Netz getrennt. Die Angreifer forderten 30 Bitcoin und boten die Daten parallel im Auktionsformat an – ein typisches Druckmittel der Gruppe Rhysida, die auch unter dem Namen Vice Spider geführt wird. Nachdem Berlin die Zahlung verweigerte, folgte am 4. September die Veröffentlichung des Datensatzes im Darknet.

Das BSI attestiert den Tätern ausschließlich finanzielle Motive – und genau darin liegt die Lehre: Es ging nie um Berlin als politisches Ziel, sondern um ein Opfer mit wertvollen Daten und verwundbarer Infrastruktur. Dieselbe Logik macht Arztpraxen (Patientendaten), Kanzleien (Mandantendaten) und mittelständische Betriebe (Konstruktionsdaten, Verträge, Gehaltslisten) zu bevorzugten Zielen.

Was Double Extortion bedeutet – und warum Backups allein nicht mehr reichen

Erpressung in zwei Akten

Bei klassischer Ransomware werden Daten verschlüsselt; wer saubere Backups hat, kann wiederherstellen und die Lösegeldforderung ignorieren. Double Extortion ergänzt einen zweiten Hebel: Vor der Verschlüsselung werden die Daten exfiltriert. Gezahlt werden soll dann nicht (nur) für die Entschlüsselung, sondern für die Nicht-Veröffentlichung.

Damit verliert das beste Backup-Konzept seine Rolle als alleinige Versicherung. Sobald Daten das Haus verlassen haben, gibt es keinen technischen Weg zurück – die einzige wirksame Strategie ist, die Exfiltration zu verhindern oder so früh zu erkennen, dass sie gestoppt werden kann.

Die unterschätzte zweite Welle: Phishing mit echten Daten

Das BSI warnt im Berliner Fall vor einem Effekt, der für alle Unternehmen relevant ist: Mit geleakten echten Dokumenten lassen sich Phishing-Nachrichten bauen, die nicht nach Massenmail aussehen, sondern nach einem Vorgang, den die angeschriebene Person tatsächlich kennt – ein realer Vertrag, eine echte Rechnungsnummer, ein laufendes Verfahren. Zusätzlich warnt die Behörde vor „Hack and Leak": Echte Dokumente werden aus dem Zusammenhang gerissen und für Desinformation genutzt.

Für KMU heißt das: Auch wer selbst nicht gehackt wurde, kann zum Ziel werden – etwa wenn Daten eines Geschäftspartners, einer Behörde oder eines Dienstleisters geleakt wurden, mit dem man korrespondiert. Nach jedem größeren Leak in der eigenen Lieferkette sollte die Belegschaft für täuschend echte Bezugnahmen sensibilisiert werden.

Fünf Konsequenzen für KMU, Praxen und Kanzleien

1. Exfiltration erkennen, nicht nur Verschlüsselung. Zwischen Erstzugriff und Verschlüsselung vergehen oft Tage bis Wochen – im Berliner Fall lagen zwischen Angriffsbeginn und Datenveröffentlichung rund vier Wochen. In diesem Zeitfenster sind Angreifer sichtbar: ungewöhnliche Datenmengen Richtung Internet, Zugriffe zu untypischen Zeiten, neue Admin-Konten. Eine Managed-Detection-&-Response-Lösung mit 24/7-Monitoring ist genau für dieses Zeitfenster gebaut.
2. Einen Incident-Response-Plan haben, bevor es brennt. Wer erst im Ernstfall klärt, wer entscheidet, wer kommuniziert und wer forensisch untersucht, verliert die entscheidenden ersten Stunden. Ein getesteter Notfallplan mit klaren Meldewegen – inklusive der 72-Stunden-Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO und, für NIS2-regulierte Unternehmen, der 24-Stunden-Erstmeldung an das BSI – gehört heute zur Grundausstattung. Unsere Incident-Response-Experten unterstützen sowohl bei der Vorbereitung als auch im Akutfall.
3. Zahlungsentscheidung vorab durchdenken. Berlin hat nicht gezahlt – eine Entscheidung, die Sicherheitsbehörden generell empfehlen, denn eine Zahlung garantiert weder Löschung noch Schweigen der Täter. Diese Abwägung sollte die Geschäftsführung nicht erstmals unter Druck treffen, sondern vorab als Leitlinie festlegen.
4. Datensparsamkeit und Segmentierung. 1,44 Millionen Dateien in einem Zugriff zeigen, was flache Netzwerke und historisch gewachsene Dateiablagen anrichten. Wer sensible Daten segmentiert, Berechtigungen minimiert und Altdaten konsequent löscht, begrenzt den Schaden jedes einzelnen Vorfalls.
5. Die eigenen Schwachstellen kennen. Einstiegspunkte wie ungepatchte Systeme, schwache Passwörter oder fehlende Mehrfaktor-Authentifizierung lassen sich systematisch finden – bevor es Angreifer tun. Ein Penetrationstest liefert dafür ein realistisches Bild der eigenen Angriffsfläche.

Sonderfall Gesundheitswesen und Kanzleien: Wenn Vertraulichkeit das Geschäftsmodell ist

Rhysida ist international wiederholt durch Angriffe auf Gesundheitseinrichtungen aufgefallen. Für Arztpraxen, MVZ und Kliniken sind geleakte Patientendaten nicht nur ein DSGVO-Problem, sondern ein direkter Vertrauensbruch gegenüber Patienten – Gleiches gilt für Kanzleien und das Mandatsgeheimnis nach § 43a BRAO. Berufsgeheimnisträger sollten daher besonders kritisch prüfen, ob ihre Erkennungs- und Reaktionsfähigkeiten dem Wert ihrer Daten entsprechen. Ein externer Informationssicherheitsbeauftragter hilft, Schutzniveau, Meldepflichten und Dokumentation dauerhaft im Griff zu behalten – ohne eigene Vollzeitstelle.

Fazit

Der Rhysida-Leak in Berlin ist kein Behörden-Sonderfall, sondern ein Lehrstück über das Standardvorgehen moderner Ransomware-Gruppen: rein finanziell motiviert, mehrstufig, mit der Datenveröffentlichung als kalkuliertem Druckmittel und Phishing als zweiter Welle. Unternehmen, die Exfiltration früh erkennen, einen geübten Notfallplan besitzen und ihre Angriffsfläche kennen, nehmen diesem Modell den Schrecken.

Wenn Sie einschätzen möchten, wie gut Ihre Organisation auf ein solches Szenario vorbereitet ist, sprechen Sie mit uns – wir beantworten Ihre Fragen gern unverbindlich. Kontakt aufnehmen

Häufige Fragen

Was ist Double Extortion?

Double Extortion (doppelte Erpressung) bezeichnet Ransomware-Angriffe, bei denen Daten vor der Verschlüsselung gestohlen werden. Die Täter fordern Lösegeld sowohl für die Entschlüsselung als auch für den Verzicht auf die Veröffentlichung der gestohlenen Daten. Backups schützen dabei nur vor dem ersten, nicht vor dem zweiten Druckmittel.

Sollten Unternehmen Lösegeld zahlen?

Sicherheitsbehörden wie das BSI raten davon ab: Eine Zahlung garantiert weder die Löschung der Daten noch verhindert sie Folgeangriffe – sie finanziert das kriminelle Geschäftsmodell. Wichtiger ist, die Entscheidung samt rechtlicher Bewertung vor einem Vorfall als Unternehmensleitlinie festzulegen.

Welche Meldepflichten gelten nach einem Datenleck?

Bei Risiken für personenbezogene Daten muss die Datenschutzaufsicht binnen 72 Stunden informiert werden (Art. 33 DSGVO), Betroffene bei hohem Risiko ebenfalls. NIS2-regulierte Unternehmen müssen erhebliche Sicherheitsvorfälle zusätzlich binnen 24 Stunden ans BSI erstmelden. Berufsgeheimnisträger haben darüber hinaus standesrechtliche Pflichten.

Mein Geschäftspartner wurde gehackt – was bedeutet das für mich?

Erhöhte Wachsamkeit: Mit geleakten Dokumenten lassen sich täuschend echte Phishing-Mails bauen, die auf reale Vorgänge Bezug nehmen. Verifizieren Sie Zahlungs- und Datenanfragen über einen zweiten Kanal und informieren Sie Ihre Mitarbeiter aktiv über das Leak.

Quellen

• netz-trends.de: „Berlin-Datenleck: BSI warnt vor Phishing nach Rhysida-Angriff" (05.09.2026): https://www.netz-trends.de/berlin-landesnetz-datenveroeffentlichung-bsi-warnung-30-bitcoin-phishing-5-september-2026/
• heise online: „Gefahr für die nationale Sicherheit: Berliner Datenleck schlägt hohe Wellen": https://www.heise.de/news/Gefahr-fuer-die-nationale-Sicherheit-Berliner-Datenleck-schlaegt-hohe-Wellen-11444301.html
• ZDFheute: „Berlin hat ‚grob fahrlässig gehandelt', sagt ein IT-Experte": https://www.zdfheute.de/politik/deutschland/hacker-berlin-cybersicherheit-atug-100.html
• BSI-Cybersicherheitswarnung zur TerminalFix-Kampagne (Kontext Angriffsvektor): https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-287419-1032_bits.html