Cyberangriff auf das Landesnetz Berlin: was bisher belegt ist und was andere Verwaltungen daraus lernen können

Eine Einordnung unter Vorbehalt. Der Vorfall ist wenige Tage alt, die Forensik läuft, und der Weg des Angreifers ist bislang unbestätigt. Diese Analyse trennt deshalb strikt, was belegt ist, was berichtet wird und was wir rekonstruieren. Stand ist der 18.08.2026, die Belegstufe des Angriffspfads ist rekonstruiert, der Fall steht in Beobachtung mit Prüfung am 15.09.2026.

Das Wichtigste in Kürze

• Zwei Berliner Senatsverwaltungen sind seit dem 14. August 2026 aus Sicherheitsgründen vom gemeinsamen Landesnetz getrennt: Stadtentwicklung, Bauen und Wohnen sowie Mobilität, Verkehr, Klimaschutz und Umwelt.
• Beide Häuser arbeiten seitdem ohne Internet und ohne Mailverkehr nach außen. Homeoffice ist untersagt, erreichbar sind sie telefonisch.
• Zum Erstzugriff gibt es zwei Darstellungen, keine ist bestätigt: ein Schadsoftware-Anhang in einer E-Mail und eine Schwachstelle in selbst betriebener Fach-IT, die nie zum zentralen IT-Dienstleister des Landes migriert wurde.
• Beziffert ist der Schaden bisher nicht. Er steht im Kalender: Die Auszahlung von Wohngeld an über 50.000 Haushalte und die Leistungen für Bildung und Teilhabe sind terminkritisch.
• Die Lehre für andere gilt unabhängig davon, welcher Erstzugriff stimmt. Entscheidend ist, wie weit ein Angreifer vom ersten übernommenen System aus kommt.

Was passiert ist

Am Freitag, dem 14. August 2026, stellen forensische Untersuchungen eine Kompromittierung des Landesnetzes Berlin fest. Noch am selben Tag werden zwei Senatsverwaltungen aus Sicherheitsgründen vom Netz getrennt, um eine weitere Ausbreitung zu verhindern. (belegt)

Am 17. August informiert die Senatskanzlei öffentlich. Sie nennt die beiden betroffenen Häuser, bestätigt die Einbindung von Landeskriminalamt, Staatsanwaltschaft und Bundesamt für Sicherheit in der Informationstechnik und richtet einen IKT-Notfallkrisenstab unter Leitung des Landesbevollmächtigten für Informationssicherheit ein. Zu Angriffsweg, Umfang und möglichem Datenabfluss macht sie aus ermittlungstaktischen Gründen keine Angaben. (belegt)

In den Tagen darauf wird sichtbar, was die Trennung im Alltag bedeutet. Beschäftigte beschreiben sich gegenüber der Presse als praktisch arbeitsunfähig. Wohnberechtigungsscheine, Zweckentfremdungsprüfungen, Katasterauskünfte sowie Wohngeld- und BuT-Anträge werden nicht bearbeitet. (berichtet)

Wie der Angriff gelaufen ist

Der Pfad besteht nach unserer Rekonstruktion aus drei Stationen. Alle drei stehen auf der Belegstufe rekonstruiert, sind also aus dem Muster des jeweiligen Angriffswegs abgeleitet und im Fall selbst nicht bestätigt.

01 Zustellung. Eine Nachrichtenagentur berichtet aus Sicherheitskreisen, eine beschäftigte Person habe einen PDF-Anhang mit Schadsoftware geöffnet. Das ist unbestätigt. Ein Bericht des öffentlich-rechtlichen Rundfunks nennt stattdessen eine Schwachstelle in einer selbst betriebenen Fachanwendung als Ausgangspunkt. Beide Darstellungen können zutreffen und verschiedene Stationen desselben Verlaufs beschreiben. (rekonstruiert)

02 Seitwärtsbewegung. Vom ersten übernommenen System aus reichte der Zugriff weiter. Dass er das gemeinsame Landesnetz erreichte, ist die einzige Aussage zum Hergang, die aus einer behördlichen Quelle stammt: Die Senatskanzlei spricht von einer festgestellten Kompromittierung des Landesnetzes. Dazu passt, dass zwei Häuser isoliert wurden und nicht eines. (rekonstruiert)

03 Datenabfluss. Hier widersprechen sich die Quellen deutlich. Die Senatskanzlei erklärt, es habe sich um Daten gehandelt, die über Open Data ohnehin frei zugänglich waren. Ein Rundfunkbericht spricht von sehr sensiblen Daten. Behördenkreise nennen abgeflossene Geoinformationsdaten aus öffentlichen Datenbanken. Solange die Forensik läuft, ist keine dieser Darstellungen belastbar. (rekonstruiert)

Jede Station hat eine Maßnahme, die dort greift. Als Annahme gekennzeichnet, weil der Pfad selbst eine Annahme ist:

• 01 Zustellung, Phishing per E-Mail. Hätte gebrochen: Schadsoftwarefilterung im E-Mail-Eingang.
• 02 Einnisten, Seitwärtsbewegung im Netz. Hätte gebrochen: Netztrennung und Segmentierung.
• 03 Zielhandlung, Abfluss von Daten. Hätte gebrochen: Netzflussdaten erheben und auswerten.

Die Kennzahlen zum Fall stehen entsprechend dünn da. Die Verweildauer ist unbekannt. Der Wiederanlauf ist offen, die Isolierung dauert am 18.08.2026 an. Als Betriebsausfall sichtbar ist das Wohngeld für über 50.000 Haushalte, terminkritisch.

Ein geöffneter Anhang ist ein Vorfall in einem Haus; erst ein Netz, das dort nicht endet, macht daraus einen Vorfall des ganzen Landes.

Zwei Angaben fehlen bis heute, und beide wären für die Bewertung entscheidend. Niemand hat gesagt, ob der 14. August der Tag des Angriffs oder nur der Tag der Entdeckung war. Und niemand hat gesagt, wann die Häuser wieder am Netz sind.

Wo er zu brechen gewesen wäre

An dieser Stelle steht in unseren Analysen normalerweise, welche Maßnahme gefehlt hat. Das ist hier nicht zulässig. Was in den beiden Häusern vorhanden war, weiß außerhalb der Forensik derzeit niemand, und Vermutungen darüber wären Behauptungen über Menschen, die gerade im Wiederanlauf stecken.

Sagen lässt sich, welche Maßnahmen an diesen Stationen wirken.

An der Zustellung wirkt die Schadsoftwarefilterung im Mail-Eingang, weil sie den Anhang abfängt, bevor jemand ihn öffnen kann. Dahinter wirkt ein Endpunktschutz mit Verhaltenserkennung, der die Ausführung bemerkt, wenn der Filter sie durchgelassen hat.

An der Seitwärtsbewegung wirkt die Netztrennung. Sie ist die teuerste Maßnahme in dieser Liste und die einzige, die entscheidet, ob ein Vorfall in einem Haus ein Vorfall in einem Haus bleibt. Daneben wirkt eine vollständige Bestandsführung: Ein System, das in keinem zentralen Inventar steht, wird nicht gepatcht, nicht überwacht und im Ernstfall nicht als Erstes gesucht. Und es wirkt eine zentrale Auswertung sicherheitsrelevanter Ereignisse, weil eine Bewegung durch mehrere Netzbereiche Spuren hinterlässt, die jemand sehen muss.

Am Datenabfluss wirken Netzflussdaten, die eine ungewöhnliche Ausleitung sichtbar machen. Dazu kommt eine Verwaltungsentscheidung: ein geplantes Ausweichverfahren für terminkritische Leistungen. Es verhindert den Angriff nicht, aber es entscheidet darüber, ob Bürgerinnen und Bürger ihn merken.

Was der Ausfall kostet

Der finanzielle Schaden ist nicht beziffert, und seriös lässt er sich derzeit auch nicht schätzen. Sichtbar ist etwas anderes.

Operativ stehen zwei Häuser im Ausnahmebetrieb. Kein Internet, kein Mailverkehr nach außen, kein Homeoffice, Erreichbarkeit nur per Telefon. Mehrere Fachverfahren ruhen vollständig.

Finanziell ist die Wohngeldauszahlung an über 50.000 Haushalte terminkritisch, weil sie üblicherweise zum Monatsende erfolgt. Dasselbe gilt für Leistungen aus Bildung und Teilhabe.

Rechtlich laufen Ermittlungen, und ein Krisenstab koordiniert. Die 72 Stunden aus Art. 33 DSGVO beginnen, sobald im Haus jemand von dem Vorfall weiß. Wer wartet, bis der Umfang feststeht, meldet zu spät. Beim ersten Mal passiert genau das regelmäßig.

Für eine Behörde endet diese Kette anders als für ein Unternehmen. Die Meldung geht an die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Geldbußen gegen öffentliche Stellen des Landes sind ausgeschlossen (§ 28 BlnDSG). Es bleiben Beanstandung und Anordnung der Aufsicht, der Bericht ans Abgeordnetenhaus und Schadenersatzansprüche Betroffener nach Art. 82 DSGVO. (belegt)

Eine bundesrechtliche Cybersicherheitspflicht trifft die Landesverwaltung ohnehin nicht. Das NIS2-Umsetzungsgesetz erfasst die Bundesverwaltung. Die kritischen Teile ihrer Landesverwaltungen setzen die Länder in eigener Zuständigkeit um, und die kommunale Ebene ist nach einem Beschluss des IT-Planungsrats von 2023 ausgenommen. Was in Berlin gilt, entscheidet also Berlin. (belegt)

Reputativ richtet sich die Kritik weniger gegen den Vorfall als gegen die Struktur dahinter, nämlich eine dezentral betriebene IT neben einem zentralen Dienstleister.

Bemerkenswert ist, wer den Schaden trägt. Die Organisation trägt den Ausnahmebetrieb und die gebundene Arbeitszeit. Den sichtbaren Teil tragen die Antragstellenden. Wer auf Wohngeld wartet, hat mit der IT-Struktur eines Bundeslandes nichts zu tun und bekommt die Folgen trotzdem zuerst zu spüren. In einer Verwaltung tritt diese Zeile an die Stelle des entgangenen Umsatzes.

Was andere Organisationen jetzt prüfen können

Der Fall ist übertragbar auf jede Organisation mit einem gemeinsamen Netz und dezentral betriebener Fach-IT: Landes- und Kommunalverwaltungen, Konzerne mit gewachsenen Tochtergesellschaften, jedes Haus mit einer laufenden, noch nicht abgeschlossenen Zentralisierung.

Drei Fragen lassen sich heute beantworten, ohne dass jemand ein Projekt aufsetzt:

1. Welche Systeme mit Außenanbindung werden bei euch nicht vom zentralen IT-Betrieb betrieben und wisst ihr überhaupt, welche das sind? Das sollte keine jährliche Inventur sein, sondern eine laufende Abfrage: Was ist von außen erreichbar, wer betreibt es und ist es im Inventar erfasst?
2. Wenn eines dieser Systeme übernommen wird: Wo endet der Zugriff? Und kann jemand diese Grenze zeigen, statt sie zu behaupten?
3. Welche eurer Leistungen vertragen einen Ausfall nur kurz, und ab wann wird es teuer oder rechtlich heikel? Und wie werden diese Leistungen erbracht, wenn das Netz eine Woche lang weg ist?

Die dritte Frage ist die Ausgangsfrage des Notfallmanagements. Sie lautet, wie lange eine Leistung ausfallen darf, bevor der Schaden nicht mehr tragbar ist. Für die drei wichtigsten Leistungen lässt sie sich beantworten, ohne eine vollständige Business-Impact-Analyse aufzusetzen.

Aus den Antworten folgt eine kurze Maßnahmenliste. Zuerst die Bestandsführung über alle betriebenen Systeme, weil sie sofort verfügbar ist und ihre Wirkung an der Inventarabdeckung sichtbar wird. Dann die Anbindung der dezentral betriebenen Systeme an die zentrale Auswertung, messbar an der Logabdeckung kritischer Systeme. Dann die Netztrennung. Sie braucht Jahre, und ihr Fortschritt lässt sich als einziger in dieser Liste nicht an einer etablierten Kennzahl ablesen: Abdeckung ist messbar, Trennungsgüte nicht. Wer sie angeht, legt das Erfolgskriterium vorher fest, sonst versandet das Vorhaben zwischen zwei Haushaltsjahren. Und schließlich das Ausweichverfahren für die zeitkritischen Leistungen. Seine Wirkung zeigt sich daran, wie viele kritische Prozesse einen erprobten Notbetrieb haben.

Wie wir zu dieser Einschätzung kommen

Wir arbeiten jeden Fall nach demselben Verfahren auf: Quellenlage, Angriffspfad, Bruchstellen, Ursachen, Business-Impact, Maßnahmen, Übertragbarkeit, Grenzen. Jede Aussage trägt eine Belegstufe. Belegt heißt, eine Behörde, ein Gericht oder die betroffene Organisation selbst hat es veröffentlicht. Berichtet heißt, mehrere unabhängige Medien oder ein Forensikdienstleister. Rekonstruiert heißt, aus dem Muster abgeleitet und im Fall nicht bestätigt.

Weil dieser Vorfall wenige Tage alt ist, arbeiten wir im Fernmodus. Dort gelten zusätzliche Regeln. Jede Annahme bekommt ein eigenes Feld mit Grundlage, Gegenannahme und der Beobachtung, die sie umstoßen würde. Aussagen darüber, was die Getroffenen versäumt haben, sind gesperrt. Maßnahmen richten sich an Dritte.

Annahme 1. Der Erstzugriff lief über einen Schadsoftware-Anhang in einer E-Mail. Fällt, wenn eine parlamentarische Antwort oder ein Forensikergebnis einen anderen Weg benennt. Dann fallen zwei Maßnahmen dieser Analyse, die Aussage über die Ausbreitung bleibt.

Annahme 2. Zwischen Erstzugriff und Landesnetz stand mindestens ein Bereich außerhalb der zentralen Betriebs- und Patchprozesse. Fällt, wenn eine Darstellung der Forensik den Weg ausschließlich über zentral betriebene Systeme führt.

Annahme 3. Es sind Daten abgeflossen; über ihren Schutzbedarf gehen die Darstellungen auseinander. Fällt, wenn die Forensik, eine Benachrichtigung der Betroffenen nach Art. 34 DSGVO oder eine parlamentarische Antwort den Umfang benennt. Die Meldung nach Art. 33 geht an die Aufsicht und wird nicht veröffentlicht, sie taugt deshalb nicht als Fallbedingung.

Wir bauen die Kette so, damit nach dem Kippen einer Annahme ablesbar bleibt, welcher Teil der Analyse mitkippt und welcher stehen bleibt.

Grenzen und offene Fragen

Der Erstzugriff ist nicht bestätigt, und die beiden vorliegenden Darstellungen widersprechen sich möglicherweise nur scheinbar. Zum Datenabfluss stehen drei Aussagen nebeneinander, die sich nicht zusammenbringen lassen. Der Zeitpunkt des Erstzugriffs ist unbekannt, damit auch die Verweildauer, also die Zeit zwischen Eindringen und Entdeckung. Und die Dauer der Isolierung ist offen.

Ob der Vorfall in ein größeres Muster gehört, lässt sich aus den öffentlichen Quellen nicht beurteilen. Wir haben danach gesucht und nichts Belegbares gefunden. Das ist keine Entwarnung, sondern eine Aussage über die Quellenlage.

Quellen

1. Senatskanzlei Berlin, Pressemitteilung zum IKT-Vorfall im Landesnetz Berlin, 17.08.2026. berlin.de
2. Tagesspiegel, Berichte zu Arbeitsfähigkeit und gefährdeter Wohngeldauszahlung, 18.08.2026. tagesspiegel.de
3. Berliner Zeitung, Folgen für Wohngeld sowie Bildung und Teilhabe, 18.08.2026. berliner-zeitung.de
4. WirtschaftsWoche mit einer Reuters-Meldung aus Sicherheitskreisen zum Erstzugriff, 18.08.2026. wiwo.de
5. heise online, Ermittlungen und Isolierung vom Landesnetz, 18.08.2026. heise.de
6. Berliner Datenschutzgesetz, § 28 BlnDSG zu Geldbußen. Wortlaut abgerufen am 19.08.2026. dsgvo-gesetz.de
7. BSI, FAQ NIS-2 für Land und Kommune, zur Zuständigkeit der Länder und zum Beschluss 2023/39 des IT-Planungsrats. Abgerufen am 19.08.2026. bsi.bund.de

Stand und Aktualisierungen

Stand 18.08.2026, Status: in Beobachtung, Prüfung am 15.09.2026. Am 19.08.2026 Erstveröffentlichung als Fernanalyse, alle Stationen auf Belegstufe rekonstruiert.

19.08.2026, Rechtsrahmen präzisiert. Ergänzt sind der Bußgeldausschluss für öffentliche Stellen und die Zuständigkeit für NIS-2 auf Landesebene, dazu zwei Quellen. Pfad und Kennzahlen unverändert.

Solange ein Fall in Beobachtung steht, sehen wir zum Prüfdatum nach, ob einer der offenen Punkte eingetreten ist. Hier sind das drei: eine Antwort auf eine parlamentarische Anfrage mit Angaben zum Erstzugriff, eine Benachrichtigung Betroffener nach Art. 34 DSGVO und ein möglicher Eintrag der betroffenen Stellen auf einer Leak-Seite. Tritt keiner davon ein, wird der Fall abgeschlossen und bleibt so stehen. Tritt einer ein, ändern wir den Artikel und schreiben in dieses Protokoll, was sich geändert hat. Das gilt auch dann, wenn sich unsere Einschätzung als falsch erweist.

Diese Analyse beschreibt den Stand vom 18.08.2026. Sie bleibt online, auch wenn sie älter wird. Wir aktualisieren sie, wenn ein neuer Beleg die Aussage ändert.

Wie wir arbeiten. KaitoSec analysiert Cyberangriffe nach einem festen Verfahren und leitet daraus Maßnahmen mit Wirkungsnachweis ab, für Organisationen mit gewachsener IT und regulatorischem Druck. Das Verfahren ist offengelegt, die Fallanalysen sind es auch.

Fachliche Einschätzung, kein Rechtsrat.