Nach dem Cyberangriff auf Berliner Behörden vom 14. August 2026 ist die deutsche Hauptstadt mit einer Cyber-Erpressung konfrontiert. Unbekannte fordern 30 Bitcoin, umgerechnet rund zwei Millionen Euro, und drohen mit der Veröffentlichung von sechs Terabyte erbeuteter Daten. Der Regierende Bürgermeister Kai Wegner lehnte die Forderungen ab.
Erpressungsschreiben im Darknet und Millionenforderung an den Senat
Zwei Wochen nach Bekanntwerden des schwerwiegenden Cybervorfalls in der Berliner Verwaltung hat der Fall eine neue Dimension erreicht. Nach Angaben aus Sicherheitskreisen verlangen die Erpresser eine Zahlung von 30 Bitcoin, was einem Gegenwert von rund zwei Millionen Euro entspricht. Das geht aus einem Bekennerschreiben hervor, das auf der Leak-Seite der Ransomware-Gruppierung Rhysida im Darknet veröffentlicht wurde, wie der Spiegel und andere Medien berichten.
In der Erpresserbotschaft behaupten die Täter, sie hätten bei ihrem Eindringen insgesamt knapp sechs Terabyte an Daten erbeutet. Neben einer Frist von einer Woche drohen sie mit der Veröffentlichung der sensiblen Informationen.
„Das Land Berlin ist Opfer einer schweren Straftat geworden.“
Kai Wegner, Regierender Bürgermeister von Berlin
Wegner betonte zudem unmissverständlich: Das Land Berlin wird sich nicht erpressen lassen.
Auf welche Summe die Täter genau pochen und womit sie im Detail drohen, ließ der Regierende Bürgermeister in seiner öffentlichen Erklärung zunächst offen, während weitere Details über die geforderten Bitcoin-Summen aus Sicherheitskreisen durchsickerten.
Welche Behörden und Daten von der Attacke betroffen sind
Die Dimension des Angriffs wirft Fragen zur Sicherheit der IT-Infrastruktur auf. Unmittelbar nach Bekanntwerden des Vorfalls am 14. August waren die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Umwelt und Klimaschutz für etwa eine Woche vom zentralen Landesnetz getrennt worden. Zeitweise konnten Bürgerinnen und Bürger in der Hauptstadt deswegen kein Wohngeld beantragen oder ausgezahlt bekommen, wie die Zeit berichtete.
Während es zunächst geheißen hatte, es seien lediglich öffentlich zugängliche Informationen abgeflossen, mussten die Behörden später einräumen, dass auch sensible und personenbezogene Akten betroffen sein könnten. Die Angreifer selbst veröffentlichten in ihrem Darknet-Eintrag Ausrisse einzelner Dokumente, darunter Briefköpfe des Bundesrats, Dokumente der Senatsverwaltung für Mobilität sowie Papiere mit dem Stempel Vertrauliche Personalsache
.
- Knapp 80.000 Ordnungswidrigkeitsverfahren
- Mehr als 46.500 Verträge
- Informationen über Einrichtungen der kritischen Infrastruktur
- Sensible Justizunterlagen und Notfallpläne
- Passwörter und rund 6.000 Dateien mit Login-Daten
Die Authentizität der im Internet gezeigten Dokumente und die tatsächliche Identität der Täter sind bisher von offizieller Seite jedoch nicht unabhängig verifiziert. Ermittlungen des Berliner Landeskriminalamtes und der Staatsanwaltschaft laufen auf Hochtouren.
Früherer Angriffszeitpunkt und Sicherheitslage vor den Wahlen
Neue Erkenntnisse zeigen zudem, dass der unerlaubte Zugriff deutlich früher stattfand als zunächst angenommen. Laut Angaben des Senats auf eine Anfrage der Deutschen Presse-Agentur flossen Daten bereits im Zeitraum vom 7. bis zum 12. August ab — mindestens eine Woche vor der offiziellen Entdeckung des Cybervorfalls. Das genaue Startdatum der Attacke bleibt weiterhin unklar.
Mit Blick auf den anstehenden Urnengang am 20. September versuchte Innensenatorin Iris Spranger (SPD) jegliche Sorgen zu zerstreuen. <a href="https://www.sueddeutsche.de/politik/berlin-hackerangriff-erpressung-li.
„Die Wahl ist zu 100 Prozent abgesichert.“
Iris Spranger, Innensenatorin von Berlin
Nach aktuellem Stand seien in der unmittelbaren Wahlumgebung keinerlei Daten abgeflossen, erklärten die zuständigen Sicherheitsbeauftragten.
Reaktionen aus dem Abgeordnetenhaus und internationale Bezüge der Tätergruppe
Im Berliner Parlament stieß der Vorfall auf scharfe Kritik und Forderungen nach lückenloser Aufklärung. Grünen-Fraktionschef Werner Graf erklärte, es seien noch sehr, sehr viele Fragen offen
, auch wenn er den harten Kurs des Senats unterstütze, sich auf keine Erpressungen einzulassen. Die AfD-Fraktionsvorsitzende Kristin Brinker kritisierte die Informationspolitik des Senats scharf als Salamitaktik
und forderte, sämtliche Erkenntnisse über den tatsächlichen Umfang des Angriffs umgehend offenzulegen.
Die verdächtigte Gruppierung Rhysida ist international kein unbeschriebenes Blatt. Die Ransomware-Organisation erlangte im Herbst 2023 durch einen verheerenden Angriff auf die British Library Bekanntheit, bei dem ebenfalls große Datenmengen verschlüsselt wurden. Zu den weiteren dokumentierten Opfern der Gruppe zählen im deutschsprachigen Raum unter anderem die Welthungerhilfe und die Stadtverwaltung Stuttgart.
