Die mit Russland in Verbindung gebrachte Hackergruppe Rhysida ist nach Medienberichten in digitale Systeme der Berliner Stadtverwaltung eingedrungen, hat Daten entwendet und Lösegeld gefordert. Berlins Regierender Bürgermeister Kai Wegner erklärte, die Stadt werde nicht zahlen. Polizei, Strafverfolgungsbehörden und Nachrichtendienste arbeiten an der Untersuchung des Angriffs, über den am 28. August 2026 berichtet wurde.
Die Angreifer verlangen den Angaben zufolge rund 30 Bitcoin. Das entspricht etwa zwei Millionen Euro. Rhysida drohte, sieben Tage nach der Forderung mit einer Versteigerung der gestohlenen Daten zu beginnen. Das betroffene Datenvolumen soll bei 5,79 Terabyte liegen. Darunter könnten sich Verträge, Personalakten und sensible personenbezogene Informationen befinden.
Netze mehrerer Bereiche vorübergehend abgeschaltet
Als Reaktion auf den Angriff wurden die Netzwerke einzelner Berliner Verwaltungsbereiche vorübergehend vom Betrieb getrennt. Betroffen war unter anderem ein Bereich, der für Wohnungsleistungen zuständig ist. Zusätzlich wurden Datenabflüsse in der Verkehrsverwaltung und in der Umweltverwaltung festgestellt.
Die Stadtverwaltung steht damit vor zwei getrennten Aufgaben: Sie muss den Umfang des unbefugten Zugriffs klären und zugleich die betroffenen digitalen Dienste absichern. Welche konkreten Dateien entwendet wurden und ob die angekündigte Veröffentlichung tatsächlich begonnen hat, geht aus den vorliegenden Angaben nicht hervor.
Die Berliner Behörden haben nach den Berichten zugesichert, dass die Infrastruktur für die bevorstehenden Kommunalwahlen nicht kompromittiert worden sei. Angaben zu einem Eingriff in Wahldaten oder in die Systeme für die Durchführung der Wahlen liegen damit nicht vor.
Forderung nach Lösegeld und Veröffentlichung der Daten
Das Vorgehen folgt dem Muster eines Erpressungsangriffs: Die Täter verbinden den behaupteten Diebstahl großer Datenmengen mit einer Geldforderung und setzen für den Fall einer Nichtzahlung die Veröffentlichung der Dateien in Aussicht. Die Forderung von rund 30 Bitcoin wurde in den Berichten mit etwa zwei Millionen Euro bewertet. Der tatsächliche Euro-Wert einer solchen Forderung kann sich mit dem Bitcoin-Kurs verändern; die genannte Summe beschreibt daher die Einordnung zum Zeitpunkt der Berichterstattung.
Für die Stadtverwaltung ist besonders die angekündigte Versteigerung relevant. Nach Darstellung der Hacker soll sie sieben Tage nach der Forderung beginnen. Die Drohung bezieht sich auf die behaupteten 5,79 Terabyte an Daten. Ob darunter tatsächlich Verträge, Personalunterlagen oder sensible personenbezogene Informationen enthalten sind, muss die laufende Untersuchung klären.
Die Berichte über den Angriff und die Forderungen der Gruppe sind in der Berichterstattung zur Cyberattacke auf Berlin zusammengefasst. Die Zuordnung von Rhysida zu einem russischen Umfeld wird dabei als Verbindung der Gruppe zu Russland beschrieben. Eine darüber hinausgehende staatliche Verantwortlichkeit ist in den vorliegenden Angaben nicht belegt.
Behörden untersuchen den Vorfall
Wegner machte zugleich klar, dass die Berliner Verwaltung der Lösegeldforderung nicht nachkommen werde. Die zuständigen Behörden und Sicherheitsdienste sollen nun den Angriff untersuchen, die betroffenen Systeme prüfen und den Umfang möglicher Datenabflüsse feststellen. Konkrete Angaben zu den Tätern, zum technischen Ablauf des Eindringens oder zu einer möglichen Wiederherstellung aller betroffenen Netze wurden nicht veröffentlicht.
Der Vorfall betrifft nicht nur eine einzelne digitale Anwendung. Nach den vorliegenden Informationen waren Netzwerke mehrerer Verwaltungsbereiche betroffen, darunter die Zuständigkeit für Wohnungsleistungen sowie Verkehrs- und Umweltverwaltung. Gleichzeitig blieb die Wahlinfrastruktur nach Angaben der Behörden unangetastet.
In der politischen Einordnung wird der Angriff als Teil einer gegen Deutschland und Europa gerichteten hybriden Einfluss- und Störungsstrategie Russlands bezeichnet. Als weitere Elemente werden neben Cyberangriffen auch Sabotage, Informationsoperationen und andere Maßnahmen genannt, die auf Destabilisierung und wirtschaftlichen Schaden abzielen sollen. Für den Berliner Fall sind bislang der Datendiebstahl, die Lösegeldforderung, die angekündigte Veröffentlichung und die vorübergehende Abschaltung einzelner Netze bestätigt.
Die Attacke hat damit eine kommunale Verwaltung getroffen, während die Berliner Behörden den Schutz der Wahlsysteme ausdrücklich ausschließen. Die Ermittlungen zu den gestohlenen Daten, den betroffenen Bereichen und der weiteren Drohung der Hackergruppe dauern an.
