Rhysida-Angriff auf Berlin: Was KMU jetzt lernen müssen

Stand: 7. September 2026

Kurzantwort: Am 4. September 2026 hat die Ransomware-Gruppe Rhysida rund 5,79 Terabyte Daten aus der Berliner Landesverwaltung im Darknet veröffentlicht – etwa 1,44 Millionen Dateien, darunter Gehaltslisten, IBANs und Klartext-Passwörter. Berlin hatte die geforderten 30 Bitcoin nicht gezahlt. Der Fall ist mehr als eine Behördensache: Er zeigt in Echtzeit, wie moderne Double-Extortion-Angriffe ablaufen – und warum die Folgen auch KMU treffen, deren Daten in den geleakten Systemen lagen. Fünf Maßnahmen, die jetzt zählen.

Rhysida-Ransomware trifft Berlin: 5,79 Terabyte im Darknet – und was Ihr Unternehmen daraus lernen sollte

Am 4. September 2026 hat die Ransomware-Gruppe Rhysida rund 5,79 Terabyte Daten aus der Berliner Landesverwaltung im Darknet veröffentlicht – etwa 1,44 Millionen Dateien, darunter Gehaltslisten, IBANs, Passwörter in Klartextdateien und als Verschlusssache eingestufte Dokumente (Borncity, 06.09.2026). Berlin hatte sich geweigert, die geforderten 30 Bitcoin (rund 2 Millionen Euro) zu zahlen.

Der Fall ist mehr als eine Behördenpanne. Er zeigt in Echtzeit, wie moderne Ransomware-Angriffe ablaufen – und warum die Folgen eines Datenlecks alle treffen, deren Daten in den geleakten Systemen lagen: Beschäftigte, Bürger, Dienstleister, Geschäftspartner. Für Geschäftsführer und IT-Verantwortliche in kleinen und mittleren Unternehmen lohnt sich ein genauer Blick, denn die Angriffsmuster sind dieselben, mit denen auch der Mittelstand konfrontiert ist. Den Ablauf der Erpressungsphase hatten wir bereits in einer ersten Analyse aufbereitet – dieser Beitrag widmet sich dem, was nach der Veröffentlichung passiert.

Was beim Ransomware-Angriff auf Berlin passiert ist

Die Chronologie des Angriffs

Nach der Rekonstruktion des IT-Journalisten Günter Born verlief der Angriff in mehreren Phasen (Borncity, 06.09.2026):

• 7.–12. August 2026: Kompromittierung und Datenabfluss aus zwei Senatsverwaltungen (Stadtentwicklung, Bauen und Wohnen sowie Mobilität, Verkehr, Klimaschutz und Umwelt).
• 14. August: Der IT-Dienstleister ITDZ Berlin trennt die betroffenen Verwaltungen vom Landesnetz.
• 17. August: Erste offizielle Bestätigung durch die Senatskanzlei.
• 28. August: Rhysida macht die Erpressung öffentlich und fordert 30 Bitcoin.
• 4. September: Nach Fristablauf veröffentlicht die Gruppe 5,79 TB Daten im Darknet.

Auffällig: Zwischen dem ersten Eindringen und der Entdeckung vergingen mehrere Tage, in denen die Angreifer ungestört Daten abziehen konnten. Genau dieses Zeitfenster – die sogenannte Dwell Time – entscheidet in der Praxis darüber, ob ein Vorfall glimpflich ausgeht oder zum Totalschaden wird.

Double Extortion: Verschlüsseln war gestern

Rhysida arbeitet nach dem Muster der Double Extortion: Daten werden nicht nur verschlüsselt, sondern vorher gestohlen. Wer nicht zahlt, dessen Daten landen im Netz. Das hebelt die klassische Verteidigung „Wir haben ja Backups" aus – ein Backup stellt Systeme wieder her, macht aber ein Datenleck nicht ungeschehen. Im Berliner Fall waren laut Berichten unter anderem Schwachstellenanalysen der Wasserversorgung und eine CBRN-Rahmenplanung betroffen – Dokumente, deren Veröffentlichung selbst dann Schaden anrichtet, wenn kein einziges System verschlüsselt wurde.

Warum der Fall Berlin auch Ihr Unternehmen betrifft

Das BSI warnt vor Folge-Phishing

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt nach der Veröffentlichung ausdrücklich vor gezielten Folgeangriffen (Netz-Trends, 05.09.2026): Mit echten Namen, Telefonnummern und dienstlichen Vorgängen aus dem Leak lassen sich Phishing-Mails bauen, die nicht mehr wie Massenware wirken, sondern wie legitime Korrespondenz. Wer je mit den betroffenen Verwaltungen zu tun hatte – als Bauträger, Planungsbüro, Zulieferer oder Antragsteller –, sollte eingehende Nachrichten zu solchen Vorgängen in den kommenden Monaten besonders kritisch prüfen und Rückrufe nur über selbst recherchierte Nummern führen.

Dazu kommt ein zweites Risiko, das das BSI benennt: Hack-and-Leak-Kampagnen, bei denen echte Dokumente aus dem Leak in falsche Zusammenhänge gestellt werden. Für Unternehmen heißt das: Auch die eigene Kommunikationsfähigkeit im Krisenfall gehört zur Vorbereitung. Wie Sie Phishing-Mails zuverlässig erkennen, zeigen wir in unserer Phishing-Checkliste.

Die Lehren für den Mittelstand

Die Berliner Verwaltung hat einen zentralen IT-Dienstleister, ein eigenes Landesnetz und deutlich mehr Ressourcen als ein typisches mittelständisches Unternehmen – und wurde trotzdem über Tage unbemerkt ausgeleitet. Daraus folgen fünf konkrete Punkte:

1. Erkennung schlägt Prävention allein. Kein Perimeter hält jeden Angreifer auf. Entscheidend ist, wie schnell ungewöhnliche Aktivitäten – etwa massenhafter Datenabfluss – auffallen. Ein 24/7-Monitoring mit Managed Detection & Response (MDR) verkürzt die Dwell Time von Tagen auf Minuten. Managed Detection & Response von Valyros.
2. Passwörter gehören nicht in Textdateien. Dass im Leak Klartext-Passwortdateien gefunden wurden, ist kein Berliner Sonderfall, sondern Alltag in vielen Organisationen. Passwortmanager, Multi-Faktor-Authentifizierung und regelmäßige Prüfungen sind Pflicht.
3. Backups lösen kein Leak-Problem. Wer sensible Daten hält – Mandantenakten, Patientendaten, Konstruktionsdaten –, braucht neben Wiederherstellungsfähigkeit auch Exfiltrationserkennung und Verschlüsselung ruhender Daten.
4. Der Ernstfall braucht einen Plan. Netztrennung, Forensik, Meldepflichten nach DSGVO (72 Stunden!), Kommunikation mit Betroffenen: Wer das erst im Angriff organisiert, verliert wertvolle Zeit. Ein vorbereiteter Incident-Response-Prozess mit klaren Rollen ist der Unterschied zwischen Störung und Katastrophe.
5. Nicht zahlen ist richtig – aber nur mit Vorbereitung durchhaltbar. Berlin konnte die Zahlung verweigern. Diese Position kann sich nur leisten, wer Wiederanlauf und Krisenkommunikation im Griff hat.

So bereiten Sie Ihr Unternehmen vor

Sofortmaßnahmen für diese Woche

Prüfen Sie, ob Ihr Unternehmen von den Berliner Daten indirekt betroffen sein könnte (Geschäftsbeziehungen zu den betroffenen Senatsverwaltungen), sensibilisieren Sie Ihr Team für gezieltes Phishing mit echten Vorgangsdaten und lassen Sie Passwörter zurücksetzen, die beruflich in mehreren Systemen verwendet wurden – das entspricht den aktuellen BSI-Empfehlungen.

Mittelfristig: Erkennungs- und Reaktionsfähigkeit aufbauen

Für die meisten KMU ist ein eigenes Security Operations Center unrealistisch – ein ausgelagertes 24/7-Monitoring dagegen nicht. Managed Detection & Response von Valyros übernimmt genau die Aufgabe, an der es in Berlin haperte: Angriffe erkennen, bevor Terabytes das Haus verlassen. Ergänzend deckt ein Penetrationstest die Schwachstellen auf, über die Gruppen wie Rhysida typischerweise eindringen, und ein vorbereiteter Incident-Response-Prozess sorgt dafür, dass im Ernstfall jeder Handgriff sitzt. Unternehmen, die unter NIS2 fallen oder besonders sensible Daten verarbeiten, profitieren zusätzlich von einem externen Informationssicherheitsbeauftragten (ISB), der Meldewege und Risikomanagement dauerhaft im Blick behält.

Fazit

Der Rhysida-Angriff auf Berlin zeigt: Entscheidend ist nicht, ob ein Angreifer irgendwann hineinkommt, sondern wie schnell er auffällt und wie vorbereitet die Reaktion ist. Wenn Sie wissen möchten, wie schnell ein Angriff in Ihrer Umgebung heute entdeckt würde, sprechen Sie mit uns – in einem unverbindlichen Erstgespräch ordnen wir Ihre aktuelle Erkennungs- und Reaktionsfähigkeit ein. Jetzt Erstgespräch vereinbaren.

Quellen: Borncity – Rhysida-Datenleck ist der GAU für Berlin und Betroffene (06.09.2026); Borncity – Rhysida hat sensible Daten aus Hack in Berlin offen gelegt (04.09.2026); Netz-Trends – Berlin-Datenleck: BSI warnt vor Phishing nach Rhysida-Angriff (05.09.2026); Börse Express – Berliner Landesverwaltung: Ransomware-Angriff mit 5,79 TB Datenraub.