Das Land Berlin ist das Ziel eines großangelegten Erpressungsversuchs im digitalen Raum geworden. Wie der Regierende Bürgermeister Kai Wegner am 28. August 2026 nach einer Sondersitzung des Senats im Roten Rathaus mitteilte, folgte auf das unbefugte Eindringen in das landeseigene IT-Netz eine Geldforderung von Cyberkriminellen. Wegner stellte vor der Presse unmissverständlich klar: „Berlin ist Opfer einer schweren Straftat geworden“ und betonte: „Das Land Berlin wird erpresst.“ Zugleich kündigte der Regierungschef an, dass der Berliner Senat den finanziellen Forderungen der Angreifer unter keinen Umständen nachkommen werde.
Lösegeldforderung in Kryptowährung
Nach Recherchen des Magazins Der Spiegel sowie weiteren Medienberichten verlangen die unbekannten Täter die Zahlung von 30 Bitcoin. Bei den aktuellen Wechselkursen entspricht diese Summe einem Gegenwert von rund zwei Millionen Euro. Durch die Ablehnung von Lösegeldzahlungen folgt die Berliner Landesregierung den etablierten Empfehlungen von Sicherheitsbehörden und IT-Experten, um kriminelle Geschäftsmodelle nicht finanziell zu unterstützen.
Hinter der Attacke steht nach Auswertungen von Einträgen im Darknet und Informationen aus Sicherheitskreisen die Ransomware-Gruppierung Rhysida. Die Gruppierung behauptet, im Rahmen ihres Angriffs ein Datenvolumen von 5,79 Terabyte aus der Berliner Verwaltung entwendet zu haben. Rhysida droht damit, die erbeuteten Datensätze zu versteigern oder öffentlich zugänglich zu machen, falls das geforderte Lösegeld nicht innerhalb einer gesetzten Frist von sieben Tagen überwiesen wird.
Wochenlanger Datenabfluss in der Senatsverwaltung
Die bisherigen forensischen Untersuchungen brachten konkrete Erkenntnisse über den zeitlichen Ablauf des Angriffs ans Licht. Demnach gelang es den Hackern, zwischen dem 7. und dem 12. August 2026 Daten aus internen Bereichen des Landesdatennetzes abzuschöpfen. Betroffen war nach aktuellem Ermittlungsstand unter anderem die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt.
Um eine weitere Ausbreitung der Schadsoftware im Landesnetz zu unterbinden und zusätzliche Datenabflüsse zu stoppen, wurden am 14. August 2026 tiefgreifende Schutzmaßnahmen eingeleitet. IT-Verantwortliche trennten die betroffenen Bereiche und Server vorsorglich vollständig von der restlichen zentralen Infrastruktur des Landesdatennetzes. Seitdem arbeiten IT-Forensiker daran, das gesamte Ausmaß des Vorfalls zu rekonstruieren und die genauen Einfallstore der Gruppierung zu identifizieren.
Sicherheit der anstehenden Abgeordnetenhauswahl
Mit Blick auf die bevorstehende Abgeordnetenhauswahl am 20. September 2026 äußerte sich Berlins Innensenatorin Iris Spranger zur Sicherheitslage der Wahlprozesse. Spranger versicherte, dass die Vorbereitungen für denUrnengang technisch gesichert seien. Die für die Durchführung der Wahl relevanten IT-Systeme und Verzeichnisse seien strikt abgeschirmt, und es wurden nachweislich keine wahlbezogenen Daten kompromittiert.
Trotz der Entwarnung im Hinblick auf den Wahlbetrieb bedeutet der Vorfall eine erhebliche Belastungsprobe für die digitale Infrastruktur der Bundeshauptstadt. Die schiere Datenmenge von knapp sechs Terabyte stellt die Behörden vor die Herausforderung, in kurzer Zeit festzustellen, welche vertraulichen Dokumente, Verwaltungsunterlagen oder personenbezogenen Daten sich in den Händen der Rhysida-Gruppe befinden könnten. Der Berliner Senat kündigte an, eng mit den zuständigen Ermittlungs- und Sicherheitsbehörden zu kooperieren, um die strafrechtliche Verfolgung der Täter voranzutreiben und die Resilienz der Landes-IT weiter zu stärken.