Eine Serie von Cyberangriffen der Hackergruppe Rhysida hat nach Medienberichten erhebliche Schwachstellen in den IT-Netzen des Berliner Staatssektors offengelegt. Dabei sollen vertrauliche Daten aus örtlichen Behörden und Einrichtungen der kritischen Infrastruktur abgeflossen sein. Deutsche Stellen vermuten Verbindungen der Angreifer nach Russland.
Über die Angriffe wurde am 9. September 2026 berichtet. Der Fall betrifft nach den vorliegenden Angaben mehrere Bereiche der Berliner Verwaltung. Im Mittelpunkt steht das Senatsressort für Umwelt, über das der wesentliche Eingriff in die Systeme erfolgt sein soll. Als möglicher Ausgangspunkt gelten E-Mail-Konten der Bezirksverwaltungen von Mitte und Neukölln.
Die Darstellung der Angriffe auf die Berliner Senatsverwaltung verweist auf eine veraltete und stark fragmentierte IT-Infrastruktur. Die Sicherheitslage sei dadurch in mehreren Bereichen erschwert worden. Welche Daten im Einzelnen betroffen waren und in welchem Umfang sie abgeflossen sein könnten, geht aus den vorliegenden Angaben nicht hervor.
Verdacht auf weitere Netzwerkverbindungen
Der Cybersecurity-Experte Max Kilger warnte vor möglichen „signifikanten Netzwerkverbindungen“ zwischen den kompromittierten Systemen der deutschen Hauptstadt und weiteren IT-Systemen der deutschen Bundesregierung. Damit ist zunächst ein mögliches technisches Verbindungsrisiko beschrieben. Eine bestätigte Ausweitung des Angriffs auf Systeme des Bundes wird in den vorliegenden Informationen nicht genannt.
Nach Einschätzung von Fachleuten wurde der Zugang durch die Struktur der bestehenden IT-Landschaft begünstigt. Als mögliche Eintrittspunkte werden die Mailkonten der Bezirksämter von Mitte und Neukölln genannt. Der Hauptzugriff soll anschließend über die Senatsverwaltung für Umwelt erfolgt sein. Die Angaben beschreiben damit mehrere Stationen innerhalb der betroffenen Behörden, enthalten aber keine abschließende technische Rekonstruktion des Angriffs.
Schwachstellen in der Verwaltungsinfrastruktur
In mehreren Behörden sollen Aufgaben der Cybersicherheit nicht von spezialisierten IT-Fachleuten, sondern von anderen Beschäftigten wahrgenommen werden. Zudem befänden sich Server in nicht ausreichend geschützten Räumen. Einen weiteren Schwachpunkt bildet demnach der interne Datenverkehr: Ein erheblicher Teil der Kommunikation soll aus unverschlüsselten Word-Dokumenten bestehen.
Diese Bedingungen werden im Zusammenhang mit der Serie von Cyberangriffen als sicherheitsrelevant beschrieben. Sie betreffen sowohl die technische Ausstattung als auch die organisatorische Zuständigkeit für den Schutz der Systeme. Die vorliegenden Angaben legen jedoch nicht offen, welche einzelne Schwachstelle konkret für den Erstzugang genutzt wurde.
Russlandbezug wird vermutet
Deutsche Quellen vermuten einen Zusammenhang der Angreifer mit Russland. Die Hackergruppe Rhysida wird in der Berichterstattung als russlandnah bezeichnet. Eine konkrete Zuordnung zu staatlichen russischen Stellen wird in den vorliegenden Informationen nicht bestätigt.
In der politischen Bewertung des Falls werden Cyberoperationen russischer Dienste und ihnen zugerechneter Gruppen als Teil hybrider Einflussinstrumente eingeordnet. Dabei wird auf die Möglichkeit verwiesen, dass Schwachstellen in digitalen Netzen europäischer Staaten für das Eindringen in Systeme, das Sammeln sensibler Informationen oder die Vorbereitung weiterer Angriffe genutzt werden könnten. Ob dies im konkreten Fall über den bereits berichteten Datenabfluss hinaus geschehen ist, bleibt offen.
Die Angriffe auf Berliner Behörden werden zugleich als Hinweis auf den Schutzbedarf staatlicher IT-Systeme und kritischer Infrastruktur in Deutschland bewertet. Gefordert werden die Beseitigung technischer Schwachstellen sowie verbesserte Verfahren und Mechanismen zur Absicherung der Netze. Die vorliegenden Informationen enthalten keine Angaben zu konkreten neuen Maßnahmen oder Entscheidungen der deutschen Behörden.
Deutschland wird in der vorgelegten Bewertung wegen seiner Unterstützung der Ukraine und seiner Sanktionspolitik gegenüber Russland als besonders relevantes Ziel russischer Cyberoperationen bezeichnet. Diese politische Einordnung wird mit der Forderung verbunden, die Widerstandsfähigkeit der digitalen Infrastruktur als Bestandteil der nationalen Sicherheit zu behandeln.
Der Fall in Berlin wird nach den bisher verfügbaren Angaben weiter anhand der betroffenen Systeme, der möglichen Datenabflüsse und der Netzwerkverbindungen untersucht.
