Aktualisierung und Korrektur vom 10. September 2026: Wir haben diesen zuerst am 2. September veröffentlichten Faktencheck anhand neuer amtlicher Angaben aktualisiert. Die Fassung vom 2. September behandelte die Veröffentlichung noch als Drohung und die 30 Bitcoin als nicht amtlich genannte Summe. Seitdem wurden die Veröffentlichung und weitere Zugangsdaten bestätigt; die Senatskanzlei nannte am 3. September auch das Mindestgebot. Die betreffenden Urteile, Schutzinformationen und das Fazit sind angepasst. Nicht abschließend belegte Einzeldateien bleiben als solche gekennzeichnet.
Ein Angriff auf Teile der Berliner Landesverwaltung wurde Ende August zu einem Erpressungsfall. Das Originalvideo der tagesschau ab Minute 6:55 berichtet über eine geforderte Millionensumme, angeblich gestohlene Dokumente und eine Verkaufsdrohung im Darknet. Für einen sauberen Faktencheck ist die wichtigste Trennlinie: Was hat das Land Berlin selbst bestätigt, was zeigen Ermittlungen – und was behaupten die mutmaßlichen Täter?
Das Wichtigste in Kürze
Stand: 10. September 2026. Der Datenabfluss aus zwei Berliner Senatsverwaltungen und die Erpressung sind bestätigt. Inzwischen ist aus der Veröffentlichungsdrohung ein tatsächliches Datenleck geworden: Berlin bestätigte am 4. September die Veröffentlichung gestohlener Daten; am 6. September folgte ein weiteres Paket mit unter anderem Zugangsdaten. Das vollständige Ausmaß und die individuelle Betroffenheit werden noch untersucht. Die Senatskanzlei nannte am 3. September ausdrücklich ein Mindestgebot von 30 Bitcoin, damals ungefähr zwei Millionen Euro. Das ist eine Angabe über das Erpressungsangebot, kein Beleg für eine Zahlung.
1. Gab es einen Cyberangriff auf das Berliner Landesnetz?
Urteil: richtig. Der Vorfall ist keine bloße Hackerbehauptung. Offizielle Berliner Mitteilungen dokumentieren den Angriff, einen IKT-Notfallstab und die Trennung betroffener Verwaltungen vom Netz. Auch Bezirksämter meldeten zeitweise Einschränkungen bei Anträgen, die über die Infrastruktur der betroffenen Mobilitäts- und Umweltverwaltung liefen.
2. Waren die Angreifer etwa eine Woche unbemerkt im System?
Urteil: im zeitlichen Kern bestätigt. Nach dem offiziellen Stand soll der Datenabfluss zwischen dem 7. und 12. August erfolgt sein. Entdeckt wurde der Vorfall am 13. August; am 14. August trennte Berlin die betroffenen Verwaltungen vom Landesnetz. Daraus folgt ein möglicher mehrtägiger Zugriff. Die genaue technische Verweildauer, der erste Zugang und jede Handlung der Täter waren zum Berichtszeitpunkt jedoch noch Teil der forensischen Untersuchung.
3. Wurden tatsächlich Daten gestohlen?
Urteil: ja. Berlin bestätigte zunächst einen Abfluss aus der Bauverwaltung und später weitere Exfiltration aus der Mobilitäts- und Umweltverwaltung. Nicht ausgeschlossen wurden personenbezogene und andere nicht öffentliche Daten. Eine Bestätigung des Datenabflusses bedeutet aber nicht, dass jede im Darknet präsentierte Datei authentisch oder vollständig aus diesem Angriff stammt.
4. Forderten die Täter rund zwei Millionen Euro beziehungsweise 30 Bitcoin?
Urteil: inzwischen auch durch die Senatskanzlei belegt. Die amtliche Mitteilung vom 3. September nennt für das von den mutmaßlichen Tätern angebotene Datenpaket ein Mindestgebot von 30 Bitcoin, damals rund zwei Millionen Euro. Die ältere Fassung dieses Checks stützte sich auf die Mitteilung vom 28. August, in der die Summe noch nicht genannt wurde. Der Eurogegenwert bleibt zeitabhängig; weder das Mindestgebot noch die amtliche Wiedergabe belegen einen Verkauf oder eine Zahlung.
5. Drohten die Angreifer mit Verkauf oder Veröffentlichung?
Urteil: Veröffentlichung inzwischen amtlich bestätigt. Was im ursprünglichen Beitrag eine Drohung war, ist mittlerweile teilweise eingetreten. Die Mitteilung vom 4. September behandelt bereits veröffentlichte gestohlene Daten. Am 6. September bestätigte das Land ein weiteres veröffentlichtes Paket. Daraus folgt nicht, dass sämtliche Täterangaben über Menge und Inhalt stimmen oder dass jemand die Daten gekauft hat. Eine Veröffentlichung und ein nachgewiesener Verkauf sind unterschiedliche Sachverhalte.
6. Sind Verträge, Passwörter, E-Mails und IBANs betroffen?
Urteil: Zugangsdaten und personenbezogene Daten bestätigt; vollständiger Inhalt weiter offen. Die Senatskanzlei nennt am 6. September ausdrücklich Zugangsdaten. Die Berliner Datenschutzbeauftragte, Informationsstand 7. September, bestätigt veröffentlichte personenbezogene Daten von Verwaltungsbeschäftigten; Daten von Bürgerinnen und Bürgern könnten ebenfalls betroffen sein. Welche einzelnen Dokumente, Bankverbindungen oder Konten zu wem gehören, lässt sich daraus nicht vollständig ableiten. Eine frühere Verbindung zu einer betroffenen Verwaltung ist noch kein individueller Nachweis eines Datenlecks.
7. Wurde eine Schwachstellenanalyse der Berliner Wasserversorgung gestohlen?
Urteil: dieses konkrete Dokument weiterhin nicht abschließend belegt. Die Behauptung im Ausgangsbeitrag ging auf die von Tätern präsentierte Dateiliste zurück. In den hier geprüften amtlichen Mitteilungen wird genau diese Analyse nicht bestätigt. Für die breitere Sicherheitsbewertung ist die spätere Einordnung relevant: Laut einem dpa-Bericht auf Berlin.de, aktualisiert am 9. September, erklärte Digitalstaatssekretär Florian Hauer im Innenausschuss, unter den entwendeten Verschlusssachen sei nur die niedrigste Stufe „VS – Nur für den Dienstgebrauch“ betroffen; höher eingestufte, für die nationale Sicherheit relevante Daten seien nach diesem Kenntnisstand nicht entwendet worden. Die Prüfung laufe weiter. Das ist eine zugeschriebene Behördeneinschätzung, keine abgeschlossene unabhängige Forensik und keine pauschale Entwarnung für sämtliche personenbezogenen oder infrastrukturellen Daten.
8. Hat Berlin die Zahlung verweigert?
Urteil: richtig. Regierender Bürgermeister Kai Wegner und Innensenatorin Iris Spranger erklärten: Berlin lasse sich nicht erpressen. Das entspricht der allgemeinen BSI-Empfehlung, auf Lösegeldzahlungen zu verzichten. Zahlungen finanzieren kriminelle Strukturen und garantieren weder Entschlüsselung noch Nichtveröffentlichung.
9. Sind die Systeme wieder vollständig normal?
Urteil: eine pauschale Entwarnung ist nicht gerechtfertigt. Am 3. September teilte Berlin mit, es gebe derzeit keine Erkenntnisse über eine fortdauernde Infiltration. Das Land erklärte zugleich, die forensische Untersuchung dauere an. Nach dem weiteren Datenpaket wurden am 6. September Schutzmaßnahmen nachgeschärft; dadurch konnten Fachverfahren der Bauverwaltung kurzfristig eingeschränkt sein. Ein erreichbarer Dienst, ein gesichertes Netz und die Aufarbeitung bereits veröffentlichter Daten sind drei verschiedene Aufgaben.
10. Welche Folgen drohen Betroffenen?
Veröffentlichte persönliche Daten können gezielte Täuschungsversuche und Identitätsmissbrauch erleichtern. Das ist ein Risiko, kein Nachweis eines Schadens bei jeder Person. Die Berliner Datenschutzbeauftragte rät zu sicheren individuellen Passwörtern, zusätzlicher Zwei-Faktor-Absicherung, Aufmerksamkeit bei ungewöhnlichen Nachrichten und der Kontrolle von Kontobewegungen. Verdächtige Zahlungs- oder Datenforderungen sollten über selbst aufgerufene offizielle Kontaktwege geprüft werden. Bei Drohungen, Erpressung oder konkretem Datenmissbrauch ist die Polizei zuständig. Eine bisher ausgebliebene persönliche Benachrichtigung beweist nicht, dass man sicher unbetroffen ist; die Zuordnung dauert noch an.
11. Wer ermittelt?
Landeskriminalamt, Staatsanwaltschaft, Bundesamt für Sicherheit in der Informationstechnik und weitere Sicherheitsstellen arbeiten an dem Vorfall. Seit dem 5. September koordiniert eine zentrale Steuerungseinheit in der Senatskanzlei unter Florian Hauer zusätzlich die Sichtung, Risikobewertung und Benachrichtigung Betroffener. Die beteiligten Verwaltungen und die Datenschutzbehörde sind eingebunden. Identifizierte Betroffene sollen abhängig vom Risiko und entsprechend den gesetzlichen Vorgaben informiert werden. Die rbb-Abendschau berichtete am 8. September außerdem über eine angekündigte zentrale Kontaktmöglichkeit; aus dieser Ankündigung folgt noch keine bereits freigeschaltete neue Adresse. Der von Tätern verwendete Gruppenname belegt für sich genommen weder die individuelle Identität noch eine staatliche Steuerung.
Einordnung
Ransomware-Fälle verbinden heute oft Betriebsstörung und Datenleak. Der BSI-Leitfaden zu Ransomware beschreibt die Veröffentlichung erbeuteter Daten als Druckmittel. Genau deshalb müssen Behörden früh abschotten, Beweise sichern, Datenschutzfolgen prüfen und transparent, aber ohne operative Details kommunizieren. Berlin hat die Trennung vorgenommen; ob sie rechtzeitig genug war, lässt sich erst nach der Forensik bewerten.
Wie prüft man Belege aus einem Täterforum?
Screenshots und Listen aus einem Täterforum müssen von forensischen Feststellungen unterschieden werden. Einzelne echte Dokumente beweisen nicht die Echtheit, Vollständigkeit und Aktualität eines gesamten Datenpakets. Umgekehrt macht eine fehlende öffentliche Bestätigung einen Vorgang nicht automatisch harmlos. Dieser Check übernimmt deshalb weder behauptete Gesamtmengen noch einzelne sensible Dateiinhalte ungeprüft. Er zeigt keine geleakten persönlichen Informationen und verweist auf die zuständigen Stellen.
Mit den neuen Erkenntnissen ändert sich jedoch die Bewertung: Veröffentlichung, Zugangsdaten und das Mindestgebot von 30 Bitcoin sind inzwischen Gegenstand ausdrücklicher amtlicher Mitteilungen. Sie weiter lediglich als ungeprüfte Täterdrohung oder nicht amtlich genannte Summe darzustellen, wäre überholt. Offen bleiben die vollständige Zuordnung der Dateien, die individuelle Betroffenheit und die technische Gesamtaufklärung.
Fazit
Der Angriff und der Datenabfluss waren bereits bestätigt. Inzwischen sind auch die Veröffentlichung gestohlener Daten, ein weiteres Paket mit Zugangsdaten und das Mindestgebot von 30 Bitcoin amtlich dokumentiert. Diese Aktualisierung ersetzt die frühere Einordnung als bloße Veröffentlichungsdrohung beziehungsweise nicht amtlich genannte Summe. Weiter offen sind das gesamte Ausmaß, jede einzelne Datei und die konkrete Wasser-Schwachstellenanalyse. Betroffene brauchen überprüfbare Informationen und verlässliche Kontaktwege; weder Täterbehauptungen noch eine vorzeitige pauschale Entwarnung helfen dabei.