Rhysida leakt Senatsakten: Berlin zahlt 30 Bitcoin nicht

Am 4. September 2026, gegen 15.35 Uhr, lief der Countdown auf der Leak-Site ab. Rhysida veröffentlichte Daten aus zwei Berliner Senatsverwaltungen. Der Senat zahlte nicht; eine amtliche Inventur der Dateien fehlt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor gezielten Mails mit echten Aktenzeichen.

Verwandt: Sechs Behörden warnen vor Gunra über Fortinet-Lücken  ·  Cyber-Haftung in der Verwaltung: drei Ebenen, kein Plan

Die Frist lief am Freitag ab

Die Senatskanzlei hatte am 3. September 2026 öffentlich gemacht, worauf die Erpresser hinauswollten. Eine Gruppe namens Rhysida bot gestohlene Daten zur Versteigerung an, Mindestgebot 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Eine Veröffentlichung am 4. September sei nicht auszuschließen, schrieb die Senatskanzlei. Der Senat zahlte nicht.

Kurz nach Ablauf des Countdowns lag das Paket auf der Leak-Site. Eine amtliche Inventur der veröffentlichten Dateien gibt es nicht.

Betroffen sind die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt sowie die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen. Am 3. September lagen der Senatskanzlei keine Hinweise vor, dass das Landesnetz noch infiltriert sei. Die forensischen Untersuchungen dauerten an.

Das BSI warnt vor der zweiten Welle

Nach der Veröffentlichung warnt das Bundesamt für Sicherheit in der Informationstechnik vor gezieltem Phishing und Identitätsmissbrauch. Tagesschau und FAZ geben die Warnung am 5. September 2026 wieder. Die Behörde spricht von Risiken für Betroffene und für die Gesellschaft, weil die Dateien echte Namen, Zuständigkeiten und Vorgänge enthalten.

Kriminelle können glaubwürdige E-Mails, SMS oder Anrufe fälschen, die ein laufendes Bauvorhaben, eine Bewerbung, ein Bußgeldverfahren oder einen Vertrag aufgreifen. Wer den Vorgang kennt, hält die Nachricht für dienstlich.

Das BSI stuft die Motive als ausschließlich finanziell ein. Die Nähe zur Wahl des Abgeordnetenhauses am 20. September nennt die Behörde als Randbedingung, nicht als Beleg für eine politische Kampagne. Ein Sprecher des Bundesinnenministeriums sagte der dpa, BSI, BKA und Verfassungsschutz seien beteiligt. Die Auswertung liege bei den Berliner Behörden. Erkenntnisse liefen im Gemeinsamen Cyberabwehrzentrum zusammen. Die Gruppe sei bekannt, seit Mitte 2021 aktiv und gelte als kriminell und finanziell motiviert.

Das BSI führt Vice Spider, auch Vanilla Tempest oder Vice Society, in der Gruppenübersicht vom 13. April 2026 als die Gruppe, der Rhysida zugeordnet wird. Die Zuordnung klärt die Täterfamilie. Den Einstieg ins Landesnetz benennt keine öffentliche Quelle.

Zwei Verwaltungen, eine Woche isoliert

Die SZ schreibt, Rhysida habe vom 7. bis 12. August 2026 unbemerkt Zugriff gehabt. Der Angriff wurde am 14. August bekannt. Beide Häuser waren laut Zeit rund eine Woche vom Landesnetz isoliert. Wohngeld konnte zeitweise weder beantragt noch ausgezahlt werden.

Medien nennen unter den veröffentlichten Dateien Personalakten und Bewerbungsverfahren, der Spiegel zusätzlich Ausweisscans und mehr als 500 Dateien zur Kanzleramts-Erweiterung. Genau solche Vorgänge machen die zweite Welle gefährlich, weil eine Phishing-Mail mit echtem Aktenzeichen dienstlich wirkt. Stückzahlen, die Rhysida selbst auf der Leak-Site nannte, bleiben Behauptungen der Täter.

Die Senatskanzlei verweist Betroffene an die Polizei

Die Senatskanzlei fordert identifizierte Betroffene auf, Strafanzeige zu erstatten, über die Internetwache der Polizei Berlin oder jede örtliche Dienststelle. Beschäftigte der betroffenen Häuser haben eine Ansprechstelle und einen Vertrauensanwalt. Einzelne identifizierte Personen sollen risikobasiert nach DSGVO und Berliner Datenschutzgesetz informiert werden.

Das BSI begründet seine Warnung damit, dass eine Mail mit echtem Aktenzeichen nicht beweist, dass der Absender die Behörde ist.

Unternehmen mit laufenden Verfahren bei den zwei Senatsverwaltungen zählt die Senatskanzlei ebenso zu den Betroffenen wie Beschäftigte und Bürger; Vertragsdaten, Ansprechpartner und Schriftverkehr können im Paket liegen.

Was unbewiesen bleibt

Der Einstiegsweg ist nicht öffentlich benannt. Offen bleibt, ob weitere Daten abgeflossen sind. Die Senatskanzlei nannte das am 3. September ausdrücklich als Gegenstand der Forensik.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Betrifft der Leak nur Beschäftigte der zwei Senatsverwaltungen?

Nein. Die Senatskanzlei nannte am 3. September Beschäftigte, Bürgerinnen und Bürger sowie Unternehmen. Welche Datensätze tatsächlich veröffentlicht wurden, ist Gegenstand der Auswertung.

Ist der Angriff politisch, weil die Wahl bevorsteht?

Das BSI stuft die Motive als ausschließlich finanziell ein. Die Wahl am 20. September nennt die Behörde als zeitliche Nähe, nicht als Beleg für eine politische Kampagne. BMI/dpa: Rhysida gilt als kriminell und finanziell motiviert.

Welche Zahlen sind amtlich?

Amtlich ist die Senatskanzlei vom 3. September: 30 Bitcoin, rund zwei Millionen Euro, 5,7 Terabyte als Täterangabe, zwei betroffene Häuser. Die rund 1,4 Millionen Dateien stammen aus der Tagesschau-Berichterstattung nach dem Leak. Stücklisten der Tätergruppe sind keine Inventur.

Lesetipps der Redaktion

LesetippEverest bei Stadler: Ransomware trifft die Zulieferer-ExchangeLesetippAI-Phishing: Mail-Filter werden blindLesetippTop-Level-Phishing: So schützen CISOs ihre Kanäle

Mehr aus dem MBF Media Netzwerk

cloudmagazinAWS SSM-Agent lässt Angreifer heimlich Root werdenMyBusinessFutureE-Evidence: Zehn Tage, dann liegen Mails beim StaatDigital ChiefsSmart City in Einzelteilen: Jedes Amt hütet seine Daten

Bildquelle: KI-generiert (September 2026)