Cyberangriff auf das Landesnetz Berlin: sieben Tage unbemerkt, fünf Tage Datenabfluss

Diese Analyse ist am 18.08.2026 als Einordnung unter Vorbehalt erschienen, als über den Vorfall kaum etwas belegt war. Inzwischen liegen behördliche Angaben zum Ablauf vor, und die Lage hat sich mehrfach gedreht: erst beim Datenabfluss, dann durch eine Erpressung, zuletzt durch ein Verkaufsangebot der Täter. Diese Fassung vom 04.09.2026 ergänzt das Verkaufsangebot und die Frage, wer den Schaden trägt, wenn der Betrieb wieder läuft, und weist am Ende aus, welche unserer damaligen Annahmen getragen haben.

Der Autor ist Gründer und Geschäftsführer von KaitoSec.

Das Wichtigste in Kürze

• Angreifer hatten mindestens vom 7. bis zum 14. August 2026 Zugriff auf das Berliner Landesnetz. Bemerkt wurde das am 14. August, als beide betroffenen Senatsverwaltungen vom Netz getrennt wurden.
• Vom 7. bis zum 12. August flossen Daten aus dem Geschäftsbereich der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt ab. Der Senat schließt personenbezogene und andere nicht-öffentliche Daten inzwischen nicht mehr aus und hat damit seine frühere Darstellung korrigiert.
• Der Weg hinein führte über eine Phishing-Mail, die eine beschäftigte Person geöffnet hat.
• Seit dem 23. August sind beide Häuser wieder am Landesnetz, die Fachverfahren laufen grundsätzlich, und das Wohngeld für über 50.000 Haushalte konnte ausgezahlt werden.
• Am 28. August bestätigte das Land eine Erpressung und wies die Forderung zurück. Es geht um 30 Bitcoin, rund zwei Millionen Euro. Seither steht der Bestand auf der Leak-Seite der Täter zur Versteigerung.
• Der Betrieb läuft, die Lage nicht: Nach einem Datenabfluss wandert der Schaden zu Menschen ohne Anteil am Vorfall und kommt von dort als Auskunftspflicht und als Vorbereitung des nächsten Zugriffs zurück.

Was passiert ist

Nach Angaben der Senatskanzlei begann der Zugriff spätestens am Freitag, dem 7. August 2026. Von diesem Tag an kopierten die Angreifer Daten aus dem Geschäftsbereich der Verkehrs- und Umweltverwaltung, bis zum 12. August. Bemerkt wurde davon zunächst nichts. 6

Am 14. August stellte das Land im Rahmen forensischer Untersuchungen eine Kompromittierung des Landesnetzes fest. Noch am selben Tag wurden zwei Senatsverwaltungen aus Sicherheitsgründen vom Netz getrennt: Stadtentwicklung, Bauen und Wohnen sowie Mobilität, Verkehr, Klimaschutz und Umwelt. Am 17. August informierte die Senatskanzlei öffentlich und bestätigte die Einbindung von Landeskriminalamt, Staatsanwaltschaft und Bundesamt für Sicherheit in der Informationstechnik. Ein Krisenstab unter Leitung des Landesbevollmächtigten für Informationssicherheit koordinierte die Arbeiten. 1, 9

In den Tagen darauf wurde sichtbar, was die Trennung im Alltag bedeutet. Beschäftigte beschrieben sich gegenüber der Presse als praktisch arbeitsunfähig. Wohnberechtigungsscheine, Zweckentfremdungsprüfungen, Katasterauskünfte sowie Wohngeld- und BuT-Anträge wurden nicht bearbeitet. 2, 3

Am 23. August waren beide Häuser nach Angaben der Senatskanzlei wieder am Landesnetz, und die Auszahlung des Wohngelds an über 50.000 Haushalte war gesichert. Vom Erstzugriff bis dahin waren gut zwei Wochen vergangen, von der Entdeckung bis zur Wiederanbindung neun Tage. Für einen Vorfall, der zwei Verwaltungen vom Netz genommen hat, ist das schnell. 4

Dann drehte sich die Lage zweimal. Am 26. August korrigierte der Senat seine Aussage zum Datenabfluss: Zunächst hieß es, betroffen seien Geodaten, die über offene Verwaltungsdaten ohnehin frei zugänglich waren; nun ließen sich personenbezogene und andere nicht-öffentliche Daten nicht mehr ausschließen. 5 Am 28. August bestätigte das Land eine Erpressung. Der Regierende Bürgermeister Kai Wegner erklärte öffentlich, Berlin lasse sich nicht erpressen. Nach Medienberichten fordern die Täter 30 Bitcoin, rund zwei Millionen Euro. 6, 7

Seit dem 28. August steht der Bestand auf der Leak-Seite der Gruppe zur Versteigerung, mit Auszügen als Kostprobe. Die Täter beziffern ihn auf 5,79 Terabyte in rund 1,44 Millionen Dateien und nennen Angaben zu 12.076 Personen, 16.389 E-Mail-Adressen, 11.963 Telefonnummern und 148 IBANs, dazu über 5.000 Personalakten und 124.823 Karten- und Geodateien. Bestätigt hat diese Aufstellung keine Behörde. 11

Wie der Angriff gelaufen ist

Der Pfad besteht aus vier Stationen. Die ersten beiden sind berichtet und behördlich nicht bestätigt; die letzten beiden hat das Land selbst mitgeteilt, den Umfang der Daten allerdings nicht.

Am Anfang steht ein Postfach. Eine beschäftigte Person öffnete eine Phishing-Mail mit Schadsoftware, und die Ausführung gelang auf dem Arbeitsplatz. Das ist der Alltag jeder Organisation mit Mailverkehr und für sich genommen nicht das Bemerkenswerte an diesem Fall. 7

Vom übernommenen Arbeitsplatz aus reichte der Zugriff weiter, bis in das gemeinsame Landesnetz und in den Geschäftsbereich einer zweiten Senatsverwaltung: Behördlich bestätigt ist, dass der Datenabfluss den Geschäftsbereich Mobilität, Verkehr, Klimaschutz und Umwelt traf. Wo der Zugriff begann, benennt keine Behörde; ein Rundfunkbericht verortet den Ausgangspunkt in nicht migrierter Fach-IT der Bauverwaltung, bestätigt oder dementiert ist das nicht. Um diese Strecke geht es in diesem Fall. 6, 10

Über fünf Tage verließen dann Daten die Umgebung. Tagesspiegel bezifferte die Menge am 28. August auf 5,7 Terabyte; auf ihrer eigenen Leak-Seite geben die Täter seither 5,79 Terabyte in rund 1,44 Millionen Dateien an und führen darunter Verträge, Personalakten, Passwörter sowie Karten- und Geodateien auf. Diese Aufstellung ist die Werbung der Täter für die eigene Beute, und wir führen sie als deren Behauptung. Behördlich benannt ist der Zeitraum, nicht der Umfang. 7, 11

Am Ende steht die Forderung. Berichtet ist an keiner Stelle eine Verschlüsselung; erpresst wird ausschließlich mit dem Weiterverkauf und der Veröffentlichung der kopierten Daten. Für die Betroffenen verschiebt das den Vorfall von einem Ausfall, der vorbei ist, zu einer offenen Frage, die niemand in Berlin entscheidet. 6

Ob der Zugriff schon vor dem 7. August bestand, hat bisher niemand gesagt. Die sieben Tage sind deshalb eine Untergrenze.

Wo er zu brechen gewesen wäre

Was in den beiden Häusern an Schutz vorhanden war, weiß außerhalb der Forensik weiter niemand. Für einen Teil der Kette tragen die behördlichen Angaben inzwischen trotzdem eine Aussage, und sie betrifft die Zeit nach dem ersten Klick.

Der Vorfall wurde am 14. August erkannt, der Zugriff bestand seit dem 7. August, und dazwischen verließ nach der Aufstellung der Täter eine Datenmenge im Terabyte-Bereich die Umgebung. Eine Erkennung gab es also, gewirkt hat sie erst nach dem Abfluss. Dagegen wirken zwei Maßnahmen: eine zentrale Auswertung sicherheitsrelevanter Ereignisse, an die auch die dezentral betriebenen Systeme angebunden sind, und Netzflussdaten, an denen eine ungewöhnliche Ausleitung auffällt, während sie läuft.

Die Netztrennung greift bei der Ausbreitung. Eine Trennung war vorhanden, denn beide Häuser ließen sich binnen eines Tages vom Netz nehmen; bis dahin reichte der Zugriff aber über das Ausgangshaus hinaus. Sie ist die aufwendigste der hier genannten Maßnahmen und die einzige, die einen Vorfall auf ein Haus begrenzt.

Gegen die Zustellung hilft die Schadsoftwarefilterung im Mail-Eingang, weil sie den Anhang abfängt, bevor jemand ihn öffnen kann. Dahinter steht ein Endpunktschutz, der die Ausführung bemerkt. Daneben zählt die Sensibilisierung der Beschäftigten, vor allem über den Meldeweg: Wer nach einem Klick binnen Minuten Bescheid gibt, verkürzt die sieben Tage, um die es hier geht.

Beim Ausfall der Fachverfahren entscheidet die Planung der Verwaltung. Während der Trennung waren Beantragung und Auszahlung von Wohngeld nicht möglich, und die Auszahlung wurde nach eigener Darstellung unter Hochdruck gesichert. Ein vorbereitetes Ausweichverfahren für terminkritische Leistungen, also ein geplanter und geübter Weg, die Leistung ohne die gewohnte Technik zu erbringen, hält den Angriff nicht auf. Er hält die Folgen von Menschen fern, die mit alldem nichts zu tun haben. 2, 3

Auf dem Weg nach draußen wirkt eine Maßnahme, über die selten gesprochen wird: die Beschränkung des ausgehenden Verkehrs auf freigegebene Ziele. Fünf Tage Abfluss brauchen einen Weg nach außen, und der führt in aller Regel nicht über eine Adresse, mit der die Verwaltung sonst Daten austauscht. Die Regel dafür ist schnell gesetzt; die Arbeit steckt in der Liste der erlaubten Ziele.

Alles bisher Genannte betrifft die Zeit, in der sich noch etwas verhindern lässt. In der Lage, in der Berlin seit dem 28. August steht, ist das vorbei: Die Daten sind außer Haus, und es läuft eine Frist. Was jetzt noch wirkt, begrenzt die Folgen.

Am meisten zählt dann eine Festlegung, die vor dem Ernstfall getroffen sein muss: Wer entscheidet über eine Zahlung, nach welchen Kriterien, wer prüft die rechtliche Zulässigkeit, und wer spricht nach außen. Berlin hat die Forderung am Tag nach ihrem Eingang öffentlich zurückgewiesen. Das klingt selbstverständlich und ist es nicht. Ohne vorbereitete Linie fällt diese Entscheidung unter sichtbarem Countdown, von Menschen, die in dieser Nacht zum ersten Mal darüber nachdenken, und häufig ohne die rechtliche Prüfung, die dazugehört: Eine Zahlung kann sanktionsrechtlich unzulässig sein, und eine Zusage der Täter, die Daten dann zu löschen, ist durch nichts gedeckt.

Daneben zählen die Melde- und Kommunikationswege. In diesem Fall waren Landeskriminalamt, Staatsanwaltschaft und Bundesamt für Sicherheit in der Informationstechnik von Beginn an eingebunden, die Datenschutzaufsicht wird nach Angaben der Senatskanzlei fortlaufend informiert, und die Öffentlichkeit erfuhr von der Erpressung durch die Betroffenen selbst. Wer diese Wege erst im Vorfall sucht, verliert Tage, die die Meldefristen nicht hergeben. 1, 6

Und es zählt, was nach einer Veröffentlichung zu tun ist. Nach der Aufstellung der Täter sind Dateien mit Zugangsdaten unter der Beute. Ob das stimmt, weiß derzeit niemand; wer davon ausgeht, dass es stimmt, tauscht betroffene Zugangsdaten aus, bevor sie öffentlich werden, und bereitet die Benachrichtigung der Betroffenen nach Art. 34 DSGVO vor, statt sie am Tag der Veröffentlichung zu beginnen. 7

Was der Ausfall kostet

Beziffert hat den Schaden niemand, und seriös schätzen lässt er sich derzeit auch nicht. Messbar sind die Zeiten und die Folgen.

Neun Tage lang standen zwei Häuser im Ausnahmezustand: kein Internet, kein Mailverkehr nach außen, kein Homeoffice, Erreichbarkeit nur per Telefon, mehrere Fachverfahren vollständig ruhend. Dazu kommt die gebundene Kapazität, die in keiner Rechnung auftaucht und in langen Fällen der größte Posten ist: Krisenstab, Forensik über Wochen, Sicherheitsbehörden von Bund und Land. 2

Finanziell war die Wohngeldauszahlung an über 50.000 Haushalte gefährdet, weil sie üblicherweise zum Monatsende erfolgt. Gehalten wurde sie, weil die Wiederanbindung rechtzeitig gelang. 3, 4

Rechtlich läuft der Teil, der am längsten dauern wird. Die Frist für eine Meldung nach Art. 33 DSGVO beginnt mit der Kenntnis des Vorfalls, nicht mit der Klarheit über seinen Umfang. Wer auf das Forensikergebnis wartet, meldet zu spät. Die Senatskanzlei gibt an, die Landesdatenschutzbeauftragte fortlaufend zu informieren. 6

Den Ausnahmebetrieb trug die Verwaltung selbst. Den sichtbaren Teil trugen die Antragstellenden, solange die Fachverfahren standen. Mit der Veröffentlichungsdrohung kommt eine dritte Gruppe dazu: Menschen, deren Daten nach der Aufstellung der Täter in einem Ordnungswidrigkeitsverfahren oder einem Vertrag stehen und die davon erst erfahren, wenn veröffentlicht wird.

Wer den Schaden trägt, wenn der Betrieb wieder läuft

Der Wiederanlauf beendet die eine Hälfte der Lage. Ihre Kosten fallen dort an, wo der Vorfall passiert ist, und sie enden mit ihm: Ausnahmebetrieb, Forensik, gebundene Arbeitszeit.

Die zweite Hälfte verlässt das Haus. Was kopiert wurde, betrifft Menschen, die den Vorfall nicht verursacht, nicht bemerkt und nicht abgewehrt haben. Für sie gibt es keinen Wiederanlauf. Eine Sicherung stellt Verfügbarkeit wieder her; auf die Vertraulichkeit wirkt sie nicht. Diese Last endet erst, wenn die Information für Dritte wertlos ist, und dieser Zeitpunkt kommt selten.

Von dort kommt sie auf zwei Wegen zurück, für diesen Fall unbelegt und aus dem Muster vergleichbarer Fälle rekonstruiert. Der erste ist rechtlich. Jedes Auskunftsverlangen nach Art. 15 DSGVO, jede Benachrichtigung nach Art. 34 und jeder Anspruch nach Art. 82 ist eine Einzelfallprüfung gegen einen Bestand, den die betroffene Stelle nach einem Abfluss dieser Größe selbst kaum noch überblickt. Dazu kommt die parlamentarische Aufklärung, die keine Rechtspflicht ist und dieselben Leute bindet, die eben den Wiederanlauf gestemmt haben.

Der zweite Rückweg wiegt schwerer. Wer die Vorgänge einer Verwaltung kennt und die Menschen dahinter, braucht für den nächsten Zugriff keine Schwachstelle. Eine Ansprache, die Vorgang und Sachstand korrekt nennt, wirkt besser als ein technisches Werkzeug. Der ausgelagerte Schaden wird damit zur Vorbereitung des nächsten Vorfalls, und der trifft wieder das Haus.

Ein Teil dieser Last fällt bei alldem durch das Raster. Manche Unterlagen einer Verwaltung schützen kein Individuum. Sie beschreiben ein Verfahren: wie im Ereignisfall gewarnt und geräumt wird, wer wen alarmiert, wo eine Zuständigkeit übergeht. Art. 34 greift dafür nicht, weil er ein Risiko für natürliche Personen voraussetzt. Wer nach einem Abfluss ausschließlich den Datenschutzpfad abarbeitet, bewertet diesen Teil an keiner Stelle. Er gehört in einen eigenen Strang, mit den Sicherheitsbehörden und den betroffenen Dritten.

Was andere Organisationen jetzt prüfen können

Der Fall ist übertragbar auf jede Organisation mit einem gemeinsamen Netz und dezentral betriebener Fach-IT: Landes- und Kommunalverwaltungen, Konzerne mit gewachsenen Tochtergesellschaften, jedes Haus mit einer laufenden, noch nicht abgeschlossenen Zentralisierung. Und er gilt für jede Organisation, die große personenbezogene Bestände führt, deren Veröffentlichung teurer wäre als ihr Ausfall.

Diese Fragen sind ohne Projekt zu beantworten:

• Wie lange wäre bei uns ein Zugriff unbemerkt geblieben, und wer kann diese Zahl aus Daten zeigen statt sie zu schätzen?
• Welche Datenmenge kann unsere Umgebung verlassen, ohne dass eine Regel anschlägt, und wer sieht diese Regel?
• Ab welcher Ausfalldauer wird eine unserer Leistungen teuer oder rechtlich heikel, und wie wird sie dann erbracht?
• Wen müssten wir benachrichtigen, wenn unsere Ablagen morgen offenstehen, und woher hätten wir die Adressen? Für die eigene Belegschaft ist das gelöst. Für abgelehnte Bewerbungen, abgeschlossene Verfahren und Dienstleister zweiter Ordnung selten.

Aus den Antworten folgt eine kurze Maßnahmenliste, geordnet nach der frühesten Station des Angriffswegs. Sie verteilt sich über mehrere Zuständigkeiten, und keine davon schließt die Kette allein.

1. Alle betriebenen Systeme in ein Inventar aufnehmen, auch die, die nie zum zentralen Betrieb migriert wurden; das ist Sache des IT-Betriebs gemeinsam mit den Fachbereichen. Es ist die billigste Maßnahme der Liste und die Voraussetzung für alle folgenden, denn was in keinem Inventar steht, wird nicht überwacht. Sichtbar an der Abdeckung des Inventars.
2. Die dezentral betriebenen Systeme an die zentrale Auswertung sicherheitsrelevanter Ereignisse anbinden, durch die Sicherheitsüberwachung. Der Aufwand steckt in der Anbindung, nicht in der Plattform; messbar an der Logabdeckung der kritischen Systeme und an der Zeit bis zur Erkennung.
3. Die Fachverfahren vom gemeinsamen Netz trennen, im Netzbetrieb gemeinsam mit der Fachverwaltung. Das braucht Jahre. Wer es angeht, legt vorher fest, was als getrennt gilt, und führt den Anteil der Verfahren, die dieses Kriterium erfüllen; sonst versandet das Vorhaben zwischen zwei Haushaltsjahren.
4. Netzflussdaten erheben und auswerten, im Netzbetrieb gemeinsam mit der Sicherheitsüberwachung. Ein Abfluss über Tage soll eine Regel auslösen, während er läuft; sichtbar an den aktiven Erkennungsregeln.
5. Den ausgehenden Verkehr auf freigegebene Ziele beschränken, im Netzbetrieb. Eine etablierte Kennzahl gibt es dafür nicht, die Zahl lässt sich aber selbst führen: Anteil der Netzbereiche mit durchgesetzter Freigabeliste, und jede Ausnahme dokumentiert und befristet.
6. Den Notbetrieb für terminkritische Leistungen planen und üben, in der Fachverwaltung gemeinsam mit dem Notfallmanagement. Sichtbar daran, wie viele kritische Abläufe einen erprobten Ersatzweg haben und wann zuletzt geübt wurde.
7. Den Umgang mit Erpressungsforderungen vorab entscheiden, in der Leitung gemeinsam mit der Rechtsabteilung. Das ist die billigste Maßnahme dieser Liste und die einzige, die erst nach dem Angriff wirkt: Sie kostet eine Sitzung, und sie entscheidet, ob die Antwort auf eine Forderung Stunden oder Tage braucht. Erprobt wird sie in der Krisenübung, und daran ist sie auch messbar.
8. Die Melde- und Kommunikationswege festlegen und hinterlegen, im Notfallmanagement gemeinsam mit dem Datenschutz. Wer die Aufsicht erst im Vorfall sucht, verliert Zeit, die die Meldefristen nicht hergeben; messbar an der Fristtreue der Meldungen.

Die Maßnahmen greifen ineinander: Was das Inventar sichtbar macht, muss die zentrale Auswertung sehen und die Flussdaten melden; was trotzdem abfließt, muss die Ausleitungsgrenze bremsen und die Netztrennung begrenzen, und was dann noch übrig ist, trifft auf eine Organisation, die weiß, wer entscheidet und wen sie anruft. Wer die Liste auf getrennte Abteilungen verteilt und getrennt abarbeiten lässt, bekommt acht grüne Haken und behält dieselbe Lücke.

Ein Vergleichsfall aus demselben Sommer verschiebt die Frage nach außen. Beim Cyberangriff auf ein kleines Kraftwerk in Großbritannien blieb der Vorfall vier Wochen lang öffentlich unbekannt, weil die Anlage unterhalb der britischen Meldeschwelle lag. In Berlin dauerte die Erkennung zu lange, dort die Sichtbarkeit nach außen.

Wie wir zu dieser Einschätzung kommen

Wir arbeiten jeden Fall nach demselben Verfahren auf: Quellenlage, Angriffspfad, die Stellen, an denen er zu brechen gewesen wäre, Ursachen, Folgen für das Geschäft, Maßnahmen, Übertragbarkeit, Grenzen. Jede Aussage trägt eine Belegstufe. Belegt heißt, eine Behörde, ein Gericht oder die betroffene Organisation selbst hat es veröffentlicht. Berichtet heißt, mehrere unabhängige Medien oder ein Forensikdienstleister. Rekonstruiert heißt, aus dem Muster abgeleitet und im Fall nicht bestätigt.

Die erste Fassung dieses Artikels arbeitete im Fernmodus, weil der Vorfall wenige Tage alt war. Vier offengelegte Annahmen trugen sie, jede mit Grundlage, Gegenannahme und der Beobachtung, die sie umstoßen würde. Hier ist ihre Bilanz.

Der Erstzugriff über einen Mailanhang hat sich bestätigt. Dass der Zugriff nicht auf ein Haus beschränkt blieb, hat sich bestätigt. Dass Daten abgeflossen sind, hat sich bestätigt, und die abgeflossenen Daten sind schutzbedürftiger, als es zuerst hieß. Offen geblieben ist die vierte: ob auf dem Weg ein Bereich stand, der nie zum zentralen Betrieb migriert wurde. Ein Bericht des öffentlich-rechtlichen Rundfunks hat das genannt, bestätigt oder dementiert hat es niemand. 10 Umstoßen würde sie eine Darstellung der Forensik, die den Weg ausschließlich über zentral betriebene Systeme führt. Drei von vier Annahmen haben also getragen, und die offene ist genau die, für die es nie eine behördliche Quelle gab.

Was wir damals falsch gewichtet haben, ist die Kernaussage selbst. Sie lautete, ein geöffneter Anhang werde erst durch ein Netz, das dort nicht endet, zum Vorfall des ganzen Landes. Das stimmt weiter, trifft aber nicht den teuersten Teil. Der liegt in den sieben Tagen dazwischen.

Grenzen und offene Fragen

Der Erstzugriff über eine Phishing-Mail stammt aus einem Behördenbriefing und ist über Medien berichtet, nicht aus einem veröffentlichten Forensikergebnis. Umfang und Art der kopierten Daten stammen in ihren Zahlen von den Tätern selbst; behördlich benannt ist der Zeitraum. Ob der Zugriff vor dem 7. August begann, ist unbekannt, und damit ist die Verweildauer eine Untergrenze. Ob und wann nach Art. 33 DSGVO gemeldet wurde, ist öffentlich nicht bekannt.

Die forensischen Untersuchungen dauern an. 6 Spätere Veröffentlichungen können einzelne Aussagen dieses Artikels verschieben; wir tragen sie dann hier nach.

Zur Täterfrage halten wir uns zurück. Es gibt eine Forderung mit Frist und eine Veröffentlichungsdrohung, also ein Erlösinteresse, und die beteiligten Behörden nennen nach der Berichtslage keine Anzeichen für staatliche Akteure. Eine Gruppe hat den Angriff für sich reklamiert; eine Zuordnung durch eine zuständige Stelle liegt nicht vor. An den Maßnahmen ändert die Täterfrage ohnehin nichts.

Quellen

1. Senatskanzlei Berlin, Pressemitteilung zum IKT-Vorfall im Landesnetz Berlin, 17.08.2026. berlin.de
2. Tagesspiegel, Berichte zu Arbeitsfähigkeit und gefährdeter Wohngeldauszahlung, 18.08.2026. tagesspiegel.de
3. Berliner Zeitung, Folgen für Wohngeld sowie Bildung und Teilhabe, 18.08.2026. berliner-zeitung.de
4. Tagesspiegel, Wiederanbindung beider Senatsverwaltungen und gesicherte Wohngeldauszahlung, 23.08.2026. tagesspiegel.de
5. Berliner Zeitung, Senat räumt möglichen Abfluss personenbezogener Daten ein, 26.08.2026. berliner-zeitung.de
6. Senatskanzlei Berlin, Pressemitteilung zur Erpressung mit Angaben zum Abflusszeitraum vom 7. bis 12. August, 28.08.2026. berlin.de
7. Tagesspiegel, Zeitachse des unbemerkten Zugriffs, Erstzugriff über eine Phishing-Mail und Höhe der Forderung, 28.08.2026. tagesspiegel.de
8. WirtschaftsWoche mit einer Reuters-Meldung aus Sicherheitskreisen zum Erstzugriff über einen Schadsoftware-Anhang, 18.08.2026. wiwo.de
9. heise online, Ermittlungen und Isolierung vom Landesnetz, 17.08.2026. heise.de
10. Bericht des öffentlich-rechtlichen Rundfunks (rbb) zum Ausgangspunkt in nicht migrierter Fach-IT der betroffenen Verwaltung, in Folgeberichten referiert; ein auffindbarer Einzelartikel liegt uns nicht vor, daher ohne Deep-Link. rbb24.de
11. Tagesspiegel und Fachpresse zum Versteigerungsangebot auf der Leak-Seite mit den Angaben der Täter zu Umfang und Inhalt, 31.08.2026. tagesspiegel.de

Stand und Aktualisierungen

Stand: 04.09.2026 · Status: in Beobachtung, nächste Prüfung am 15.09.2026.

18.08.2026: Erstveröffentlichung als Einordnung unter Vorbehalt. Alle Stationen des Pfades waren rekonstruiert.

24.08.2026: Zwei interne Verweise ergänzt, die Anrede in den Prüffragen auf die neutrale Form umgestellt, Quellenverweise im Text ergänzt und den Text gegen das Regelwerk für Außentexte redigiert. Inhaltlich unverändert.

29.08.2026: Vollständig überarbeitet nach neuer Sachlage. Neu belegt sind die Zeitachse des Zugriffs vom 7. bis 14. August, der Datenabfluss vom 7. bis 12. August samt Korrektur des Senats zum Schutzbedarf, die Wiederanbindung am 23. August und die am 28. August bestätigte Erpressung. Der Angriffspfad hat eine vierte Station erhalten. Die Kernaussage wurde gewechselt: Die Verweildauer wiegt schwerer als die Ausbreitung. Die vier Annahmen der Erstfassung sind aufgelöst und im Abschnitt zur Methode bilanziert. Ergänzt wurde außerdem, was in der Erpressungslage selbst wirkt: die vorab getroffene Entscheidung über den Umgang mit Forderungen, die Melde- und Kommunikationswege und die Beschränkung des ausgehenden Verkehrs.

31.08.2026: Angaben zum Verkaufsangebot ergänzt. Der Bestand steht seit dem 28. August auf der Leak-Seite zur Versteigerung; die Täter beziffern ihn auf 5,79 Terabyte in rund 1,44 Millionen Dateien und nennen Angaben zu 12.076 Personen. Diese Aufstellung ist unbestätigt und als Angabe der Täter gekennzeichnet.

04.09.2026: Um die Folgen nach dem Wiederanlauf ergänzt. Neu ist der Abschnitt dazu, wer den Schaden trägt, wenn der Betrieb wieder läuft, mit einer vierten Prüffrage zur Benachrichtigung. Der Ablauf des Angriffs bleibt unverändert.

05.09.2026: Ein interner Verweis ergänzt: Die Passage zur vorab zu treffenden Festlegung (wer entscheidet, nach welchen Kriterien) verlinkt jetzt auf unsere vertiefende Analyse zu dieser Entscheidung. Inhaltlich sonst unverändert.

Zum nächsten Prüftermin sehen wir uns drei Punkte an: den Ausgang der Erpressungsfrist samt möglicher Veröffentlichung, eine Antwort auf eine parlamentarische Anfrage mit Angaben zu Erstzugriff und Erkennung, und einen Hinweis auf eine Meldung nach Art. 33 DSGVO oder eine Benachrichtigung der Betroffenen. Wir aktualisieren diesen Artikel auch dann, wenn sich unsere Einschätzung als falsch erweist.

Diese Analyse ist auch als Beitrag auf LinkedIn erschienen, dort mit der Zusammenfassungsgrafik zum Fall.

Wie wir arbeiten. KaitoSec analysiert Cyberangriffe nach einem festen Verfahren und leitet daraus Maßnahmen mit Wirkungsnachweis ab, für Organisationen mit gewachsener IT und regulatorischem Druck. Das Verfahren ist offengelegt, die Fallanalysen sind es auch. Gespräch dazu.

Fachliche Einschätzung, kein Rechtsrat.