Berlin-Hack legt 1,44 million Dateien frei und vermischt persönliche Unterlagen mit möglichen Infrastrukturdaten
Rund 1,44 million Dateien mit einem Gesamtvolumen von 5,8 TB wurden nach einem Einbruch in die Berliner Verwaltung im Darknet veröffentlicht. Der Dump enthält gescannte Reisepässe, Arbeitsverträge und laut Medienberichten Daten zur Wasserversorgung sowie zu anderen kritischen Infrastrukturanlagen.
Etwa 1,44 million Dateien, etwa 5,8 Terabyte Daten, wurden nach der öffentlichen Bekanntmachung des Einbruchs in die Berliner Verwaltung am 17 August 2026 im Darknet hochgeladen. Der Dump vermischt persönliche Dokumente wie gescannte Reisepässe und Arbeitsverträge mit Material, das Medienanalysten zufolge Details zur Wasserversorgung der Stadt, zu Heizkraftwerken und zu anderen kritischen Infrastrukturanlagen enthalten könnte.
Umfang des Lecks
Die deutsche Wirtschaftszeitung Handelsblatt bestätigte, dass „seit Freitag sind rund 1,44 Millionen Dateien mit einem Umfang von 5,8 Terabyte im Darknet veröffentlicht" (seit Freitag, Anfang August 2026, etwa 1,44 million Dateien mit einem Volumen von 5,8 TB wurden im Darknet veröffentlicht). Die gleiche Quelle bezeichnete den Vorfall als „Daten‑Super‑GAU", eine Daten‑Superkatastrophe von „gravierendem Ausmaß".
| Kennzahl | Wert | Zeitraum | Quelle |
|---|---|---|---|
| Files leaked | 1.44 million files | seit Anfang August 2026 | Handelsblatt |
| Data volume | 5.8 TB | seit Anfang August 2026 | Handelsblatt |
| Ransom demand | 30 Bitcoin (~2 million €) | August 2026 | Handelsblatt |
Inhalt des Dumps
Laut demselben Handelsblatt-Bericht scheint die erste Welle der Dateien von persönlichen Daten dominiert zu sein: gescannte Reisepässe, Arbeitsverträge, Bewerbungen und ärztliche Bescheinigungen. Diese Dokumente lassen sich eindeutig einzelnen Bürgern und Beschäftigten des öffentlichen Sektors zuordnen.
Weitere deutsche Medien, insbesondere der Tagesspiegel, ergänzten, dass der Dump „sollten sich darunter zudem Daten zu Heizkraftwerken, Tanklagern, Notstromanlagen, Umspannwerken, Gefängnissen, Wasserwerken sowie Rüstungsunternehmen und der Bundeswehr befinden" (die Dateien enthalten demnach Daten zu Heizkraftwerken, Tanklagern, Notstromanlagen, Umspannwerken, Gefängnissen, Wasserwerken sowie zu Rüstungsunternehmen und der Bundeswehr). Während das genaue Ausmaß dieser Punkte aus den öffentlich zugänglichen Dateien nicht verifiziert werden kann, wird die Behauptung von der Zeitung berichtet und kann ihr somit zugeschrieben werden.
Sicherheitsexperten, die im Handelsblatt-Artikel zitiert werden, warnen, dass der Dump möglicherweise „hoch‑sensible Daten" enthält, die mit zivilen Schutz‑ und verteidigungsbezogenen Einrichtungen verknüpft sind. Die Experten nennen keine konkreten Infrastruktur‑Kategorien, weisen jedoch auf das Potenzial für weiterreichende Auswirkungen über die persönliche Privatsphäre hinaus hin.
Zeitplan und Reaktion
Der Einbruch erstreckte sich über einen Zeitraum von zehn Tagen. Die Hackergruppe mit dem Namen Rhysida griff zwischen dem 7 August und dem 12 August 2026 unbemerkt auf Teile des Netzwerks des Berliner Senats zu. Das IT‑Sicherheitsteam Berlins entdeckte die Intrusion am 14 August, und die Verwaltung kündigte den Vorfall drei Tage später, am 17 August, an, als die gestohlenen Dateien im Darknet auftauchten.
Bundesbehörden, darunter das BSI, gaben sofortige Warnungen an öffentliche Stellen und private Unternehmen wegen der Offenlegung persönlicher Daten heraus. Der Zeitpunkt des Lecks ist bemerkenswert, da die Landtagswahl in Berlin für zwei Wochen später angesetzt ist, was Bedenken hinsichtlich politischer Folgen weckt.
Lösegeldforderung und Attribution
Rhysida forderte ein Lösegeld von 30 Bitcoin, das der Handelsblatt-Artikel mit etwa zwei million € zum Zeitpunkt des Angriffs beziffert. Die Gruppe hat nicht angegeben, ob das Lösegeld bezahlt wurde, und Berliner Behörden haben keine Verhandlungsdetails offengelegt.
Während die Lösegeldforderung eine konkrete Zahl ist, bleiben die Motive hinter dem Leak unklar. Die Angreifer haben öffentlich keine politische Agenda behauptet, und die Veröffentlichung der Daten scheint ein Druckmittel zu sein, um eine Zahlung zu erzwingen.
Offene Fragen und nächste Schritte
- Wie viele der angeblich infrastrukturrelevanten Dateien sind authentisch und für böswillige Akteure nutzbar?
- Welche Gegenmaßnahmen wird die Berliner Verwaltung ergreifen, um die betroffenen Systeme zu sichern und weiteren Datenverlust zu verhindern?
- Wird die Bundesbehörde rechtliche Schritte gegen die Rhysida-Gruppe einleiten und welche Ressourcen werden zur Verfolgung der Bitcoin‑Zahlungen bereitgestellt?
Derzeit hat die Berliner Verwaltung weder die Gesamtzahl der betroffenen Personen, deren persönliche Dokumente offengelegt wurden, noch die genauen Kategorien der angeblichen kritischen Infrastrukturdaten veröffentlicht. Analysten werden das Darknet weiterhin beobachten, um zusätzliche Uploads zu identifizieren, die das Ausmaß des Einbruchs verdeutlichen könnten.
Derzeit ist das Leak eines der größten öffentlich bestätigten Daten-Dumps einer deutschen Kommunalbehörde und verdeutlicht die Verwundbarkeit öffentlicher Netzwerke gegenüber ausgeklügelten Ransomware‑ähnlichen Angriffen.