Von Tobias Kramer·29. August 2026·6 Min. LesezeitDie Ransomware-Gruppe Rhysida hat nach eigenen Angaben 5,79 Terabyte an Daten aus dem Berliner Landesnetz gestohlen und fordert 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Berlins Regierender Bürgermeister Kai Wegner erklärte am 28. August 2026, die Stadt werde nicht zahlen.
- Die Hackergruppe Rhysida hat 5,79 Terabyte Daten aus zwei Berliner Senatsverwaltungen erbeutet und droht mit Veröffentlichung.
- Die Lösegeldforderung beträgt 30 Bitcoin, was nach aktuellem Kurs rund zwei Millionen Euro entspricht.
- Berlin lehnt die Zahlung ab. Die Frist der Angreifer läuft sieben Tage nach der öffentlichen Bestätigung am 28. August 2026.
- Laut dem Bundeslagebild Cybercrime registrierten die Behörden allein zwischen Juli 2024 und Juni 2025 bundesweit 950 Ransomware-Anzeigen.
Was in Berlin passiert ist
Zwischen dem 7. und dem 12. August 2026 drangen Angreifer der Gruppe Rhysida in das Berliner Landesnetz BeLa ein und leiteten Daten aus zwei Senatsverwaltungen ab. Betroffen sind die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Das Berliner Landesnetz BeLa verbindet rund 600 Behörden- und öffentliche Standorte über eine gesicherte Glasfaserinfrastruktur.
Am 14. August 2026 isolierten die IT-Sicherheitsteams der Berliner Verwaltung die betroffenen Netzsegmente. Neun Tage später, am 23. August, meldete der Senat die vollständige Wiederherstellung der Systeme. Doch am 28. August eskalierte die Lage: Rhysida veröffentlichte die Erpressung und setzte eine Frist von sieben Tagen. Sollte Berlin nicht 30 Bitcoin zahlen, werde die Gruppe die erbeuteten Daten im Darknet veröffentlichen.
Die Dimension des Datendiebstahls
Rhysida gibt das Volumen der gestohlenen Daten mit 5,79 Terabyte an. Nach Berichten mehrerer Fachmedien sollen darunter Unterlagen aus rund 80.000 Verwaltungsverfahren sein (HalleON, Stand 28. August 2026). Der Berliner Senat hat diese Zahl bislang nicht offiziell bestätigt. Welche Dokumententypen genau betroffen sind, ob etwa Bauanträge, Genehmigungsverfahren oder Personaldaten darunter fallen, blieb zum Redaktionsschluss offen.
Die Lösegeldforderung von 30 Bitcoin entspricht bei einem Kurs von rund 66.000 Euro pro Bitcoin etwa zwei Millionen Euro. Im internationalen Vergleich liegt diese Summe im mittleren Bereich. Bei kommunalen Zielen in Deutschland lagen die Forderungen in früheren Fällen zwischen 200.000 und mehreren Millionen Euro.
| Kennzahl | Wert | Quelle, Stand |
|---|---|---|
| Gestohlene Datenmenge | 5,79 Terabyte | Rhysida-Angaben, August 2026 |
| Lösegeldforderung | 30 Bitcoin (rund 2 Mio. Euro) | heise online, August 2026 |
| Betroffene Verwaltungsverfahren | rund 80.000 (unbestätigt) | HalleON, August 2026 |
| Ransomware-Anzeigen bundesweit (12 Monate) | 950 | BSI Bundeslagebild, Juni 2025 |
| BeLa-Netzwerk: angeschlossene Standorte | rund 600 | Land Berlin, August 2026 |
| Anteil der Angriffe mit Datenleaks | 72 Prozent | BSI Bundeslagebild, Juni 2025 |
Wer hinter Rhysida steckt
Rhysida ist eine Ransomware-as-a-Service-Gruppe, die seit Mai 2023 aktiv ist. Die Gruppe vermietet ihre Schadsoftware an sogenannte Affiliates, die die eigentlichen Angriffe durchführen. Rhysida wurde international bekannt durch Attacken auf die British Library in London, die chilenische Armee und mehrere US-amerikanische Krankenhäuser. Die Gruppe nutzt typischerweise Phishing-Mails oder kompromittierte VPN-Zugänge als Einfallstor.
Im Ranking der aktivsten Ransomware-Gruppen weltweit lag Rhysida zuletzt nicht unter den drei größten Akteuren. Diese Positionen belegten laut Check Point Research im Januar 2026 die Gruppen Qilin mit 15 Prozent, LockBit mit 12 Prozent und Akira mit 9 Prozent Marktanteil. Rhysida setzt jedoch gezielt auf hochwertige Ziele im öffentlichen Sektor, was die Gruppe trotz geringerer Fallzahlen besonders gefährlich macht.
Ransomware-Bedrohung für deutsche Behörden
Der Berliner Fall reiht sich in eine wachsende Serie von Cyberangriffen auf deutsche Kommunen und Behörden ein. Das Bundeslagebild Cybercrime verzeichnete zwischen Juli 2024 und Juni 2025 insgesamt 950 Ransomware-Anzeigen bundesweit. Bei 72 Prozent dieser Fälle wurden Daten nicht nur verschlüsselt, sondern auch abgezogen und als zusätzliches Druckmittel eingesetzt.
Laut der Bitkom-Wirtschaftsschutzstudie 2025 erlitten 34 Prozent der befragten Unternehmen innerhalb von zwölf Monaten Ransomware-Schäden. 15 Prozent der betroffenen Unternehmen zahlten Lösegeld an die Erpresser. Der Sophos Active Adversary Report 2026 zeigt zudem ein taktisches Muster: 88 Prozent der Ransomware-Angriffe wurden außerhalb der regulären Geschäftszeiten ausgelöst, wenn weniger Sicherheitspersonal im Einsatz ist. Die mediane Zeit vom ersten Eindringen bis zum Zugriff auf das Active Directory lag bei nur 3,4 Stunden.
Wie es weitergeht
Die Sieben-Tage-Frist von Rhysida läuft voraussichtlich am 4. September 2026 ab. Kai Wegner hat eine Zahlung ausgeschlossen. Sollte Rhysida die Daten tatsächlich veröffentlichen, stünde Berlin vor einem doppelten Problem: der politischen Aufarbeitung des Sicherheitsvorfalls und dem möglichen Missbrauch sensibler Verwaltungsdaten durch Dritte.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Betroffenen grundsätzlich, kein Lösegeld zu zahlen. Eine Zahlung finanziere das kriminelle Geschäftsmodell und biete keine Garantie, dass die Daten tatsächlich gelöscht würden. Die Berliner Datenschutzbeauftragte dürfte prüfen, ob meldepflichtige Datenschutzverletzungen nach Artikel 33 der Datenschutz-Grundverordnung (DSGVO) vorliegen.
Der Angriff auf Berlin markiert eine neue Eskalationsstufe bei Ransomware-Angriffen auf deutsche Verwaltungen. Während bisherige Fälle überwiegend kleinere Kommunen trafen, ist Berlin die erste Landeshauptstadt, bei der eine Ransomware-Gruppe ein Erpressungsszenario dieser Größenordnung öffentlich macht. Die Entscheidung, nicht zu zahlen, entspricht der BSI-Empfehlung, setzt den Senat aber dem Risiko einer Veröffentlichung sensibler Bürgerdaten aus. Der Fall zeigt, dass auch Behörden mit professioneller IT-Infrastruktur verwundbar bleiben, wenn Angreifer gezielt einzelne Segmente ins Visier nehmen. Die kommenden Tage werden zeigen, ob Rhysida die Drohung wahr macht und welche konkreten Datensätze betroffen sind.
Häufige Fragen
Was ist Rhysida und wie operiert die Gruppe?
Rhysida ist eine seit Mai 2023 aktive Ransomware-as-a-Service-Gruppe. Die Betreiber stellen die Schadsoftware bereit, während sogenannte Affiliates die Angriffe durchführen. Rhysida hat sich auf hochwertige Ziele im öffentlichen Sektor spezialisiert, darunter die British Library und die chilenische Armee. Die Gruppe nutzt typischerweise Phishing oder kompromittierte VPN-Zugänge als Einfallstor.
Sind persönliche Daten von Berliner Bürgerinnen und Bürgern betroffen?
Der Berliner Senat hat bislang keine detaillierte Aufschlüsselung der gestohlenen Daten veröffentlicht. Berichten zufolge sollen Unterlagen aus rund 80.000 Verwaltungsverfahren betroffen sein. Da die Senatsverwaltungen für Stadtentwicklung und Mobilität betroffen sind, könnten Bauanträge, Genehmigungsverfahren oder Verkehrsdaten darunter fallen. Eine offizielle Bestätigung steht aus.
Warum zahlt Berlin das Lösegeld nicht?
Berlins Regierender Bürgermeister Kai Wegner hat eine Zahlung öffentlich ausgeschlossen. Das entspricht der Empfehlung des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Eine Zahlung garantiert nicht, dass die Angreifer die Daten löschen, und finanziert weitere kriminelle Aktivitäten. Zudem fehlt bei Ransomware-Gruppen jede vertragliche Grundlage, die eine Datenlöschung nach Zahlung sicherstellen würde.
Quellen:
heise online,
Tech Insider Deutschland
Tobias Kramer schreibt über Technologie, Digitalisierung und künstliche Intelligenz. Nach einem Informatikstudium wechselte er in den Fachjournalismus und beobachtet seit zehn Jahren die Tech-Branche. Bei Meldungen.net betreut er die Ressorts Technologie und Karriere.