Am 5. September 2026 wurde bekannt, dass die Berliner Landesregierung sich gegen die Forderung von Hackern entschied, 30 Bitcoin als Lösegeld zu zahlen. Die Entscheidung erfolgte nach einer Vorfallanalyse, die zeigte, dass die Übernahme sensibler Daten nicht mit dem Sicherheitsprofil der Stadt vereinbar war. Die Berliner Behörde betonte, dass eine Zahlung einer Lösegeldsumme nicht zu einer sicheren Wiederherstellung der Systeme führen könne und unterstützte die Abwehrmaßnahme intern.
Die Daten, die von den Angreifern erbeutet wurden, umfassten persönliche Informationen von Bürgerinnen und Bürgern sowie interne Verwaltungsunterlagen. Nach Berichten der zuständigen IT-Abteilung wurden die kompromittierten Speicherorte in der Cloud identifiziert. Die Hacker übermittelten die gestohlenen Informationen an ein Darknet‑Forum, wo sie später zum Verkauf angeboten wurden. Die Inhalte wurden erst im Anschluss an die Forderung veröffentlicht.
Die Veröffentlichung der Daten erfolgte auf einem Online‑Marktplatz, der von der Hackergruppe betrieben wird. Dort konnten die Daten zu unsicherten Preisen gehandelt werden. Durch die Veröffentlichung wird die Gefahr erhöht, dass die Informationen von unautorisierten Dritten missbraucht werden. Die Berliner Regierung erklärte, dass die Veröffentlichung ein ernstes Risiko darstellt, insbesondere für Personen, deren Daten kompromittiert wurden.
Am 5. September 2026 wurde bekannt, dass die Berliner Landesregierung sich gegen die Forderung von Hackern entschied, 30 Bitcoin als Lösegeld zu zahlen. Die Entscheidung erfolgte nach einer Vorfallanalyse, die zeigte, dass die Übernahme sensibler Daten nicht mit dem Sicherheitsprofil der Stadt vereinbar war. Die Berliner Behörde betonte, dass eine Zahlung einer Lösegeldsumme nicht zu einer sicheren Wiederherstellung der Systeme führen könne und unterstützte die Abwehrmaßnahme intern.
Die Daten, die von den Angreifern erbeutet wurden, umfassten persönliche Informationen von Bürgerinnen und Bürgern sowie interne Verwaltungsunterlagen. Nach Berichten der zuständigen IT-Abteilung wurden die kompromittierten Speicherorte in der Cloud identifiziert. Die Hacker übermittelten die gestohlenen Informationen an ein Darknet‑Forum, wo sie später zum Verkauf angeboten wurden. Die Inhalte wurden erst im Anschluss an die Forderung veröffentlicht.
Die Veröffentlichung der Daten erfolgte auf einem Online‑Marktplatz, der von der Hackergruppe betrieben wird. Dort konnten die Daten zu unsicherten Preisen gehandelt werden. Durch die Veröffentlichung wird die Gefahr erhöht, dass die Informationen von unautorisierten Dritten missbraucht werden. Die Berliner Regierung erklärte, dass die Veröffentlichung ein ernstes Risiko darstellt, insbesondere für Personen, deren Daten kompromittiert wurden.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat im Anschluss an den Vorfall eine Warnung herausgegeben. Das BSI betonte, dass die Veröffentlichung von gestohlenen Daten die Angriffsfläche für weitere Cyberangriffe vergrößert. Die Warnung richtet sich an Behörden, Unternehmen und die breite Öffentlichkeit und empfiehlt, Systeme regelmäßig zu prüfen und die Sicherheitsrichtlinien zu aktualisieren.
Die Warnung des BSI enthält spezifische Empfehlungen, wie etwa die Nutzung von Multi‑Factor‑Authentication, die Durchführung von Penetrationstests und die Schulung von Mitarbeitenden. Außerdem wird darauf hingewiesen, dass die Weitergabe sensibler Daten an unsichere Plattformen das Risiko von Identitätsdiebstahl erhöht. Die Behörden sollten ihre Notfallpläne überprüfen und sicherstellen, dass kritische Systeme über ausreichende Backup‑Mechanismen verfügen.
Ransomware‑Angriffe sind seit Jahren ein wachsendes Problem für staatliche Einrichtungen. Die Angreifer nutzen komplexe Techniken, um Systeme zu verschlüsseln und fordern Lösegeld. In vielen Fällen wird das Lösegeld in Kryptowährungen gezahlt, weil die Transaktionen schwer nachverfolgbar sind. Die Entscheidung, kein Lösegeld zu zahlen, ist ein Schritt, der die Integrität der Stadt schützen soll, obwohl er kurzfristige Risiken birgt.
Die Auswirkungen dieses Vorfalls erstrecken sich über die IT‑Sicherheit hinaus. Öffentliche Dienste wie Meldebehörden, Sozialdienste und die öffentliche Sicherheit könnten betroffen sein. Die Berliner Verwaltung arbeitet daran, die betroffenen Systeme zu isolieren und die Wiederherstellung zu planen. Gleichzeitig werden die betroffenen Bürgerinnen und Bürger über mögliche Risiken informiert und erhalten Anweisungen zum Schutz ihrer Daten.
Rechtlich stellt die Forderung nach Lösegeld einen komplexen Fall dar. In Deutschland gibt es keine klare gesetzliche Regelung, die die Zahlung von Lösegeld erlaubt oder verbietet. Die Berliner Regierung hat daher die Entscheidung getroffen, die Zahlung abzulehnen, um keine Vorbildfunktion für zukünftige Angriffe zu schaffen. Gleichzeitig arbeitet das BSI an einer rechtlichen Bewertung der Risiken.
Maßnahmen zur Risikominimierung umfassen die Verschlüsselung sensibler Daten, die Implementierung von Intrusion‑Detection‑Systemen und die Sicherstellung von regelmäßigen Sicherheitsupdates. Die Berliner Behörden haben auch externe Experten hinzugezogen, um die Angriffsvektoren zu analysieren. Die Zusammenarbeit mit nationalen Sicherheitsstellen soll die Reaktionsfähigkeit erhöhen.
Andere Kommunen können aus dem Vorfall lernen, indem sie ihre Sicherheitsarchitektur überprüfen. Die Empfehlung lautet, regelmäßige Risikoanalysen durchzuführen, Notfallpläne zu testen und Mitarbeitende in Phishing‑Erkennung zu schulen. Durch ein robustes Sicherheitsprogramm kann die Wahrscheinlichkeit eines Angriffs reduziert werden.
International betrachtet sind ähnliche Vorfälle in anderen Ländern dokumentiert. Die Warnung des BSI spiegelt eine weltweite Tendenz wider, bei der Regierungen und Behörden ihr Vorgehen hinsichtlich Lösegeldforderungen überdenken. Einige Länder haben bereits Richtlinien eingeführt, die die Zahlung von Lösegeld einschränken, um die Gewalt im Cyberspace zu reduzieren.
Zusammenfassend hat Berlin die Entscheidung getroffen, kein Lösegeld zu zahlen und die Daten öffentlich zu machen. Das BSI hat die Gefahr erhöht und betont, dass Sicherheitsmaßnahmen dringend erforderlich sind. Der Vorfall unterstreicht die Bedeutung robuster IT‑Sicherheitsstrategien und die Notwendigkeit, die Angriffsflächen zu reduzieren, um die digitale Infrastruktur zu schützen.
