Ein Angriff auf Teile der Berliner Landesverwaltung wurde Ende August zu einem Erpressungsfall. Das Originalvideo der tagesschau ab Minute 6:55 berichtet über eine geforderte Millionensumme, angeblich gestohlene Dokumente und eine Verkaufsdrohung im Darknet. Für einen sauberen Faktencheck ist die wichtigste Trennlinie: Was hat das Land Berlin selbst bestätigt, was zeigen Ermittlungen – und was behaupten die mutmaßlichen Täter?
Das Wichtigste in Kürze
Die Senatskanzlei bestätigte am 28. August einen Erpressungsversuch nach dem IKT-Vorfall. Zuvor waren Daten aus der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie aus der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt abgeflossen. Umfang und Inhalt waren weiter Gegenstand forensischer Prüfungen. Das Land erklärte ausdrücklich, sich nicht erpressen zu lassen.
1. Gab es einen Cyberangriff auf das Berliner Landesnetz?
Urteil: richtig. Der Vorfall ist keine bloße Hackerbehauptung. Offizielle Berliner Mitteilungen dokumentieren den Angriff, einen IKT-Notfallstab und die Trennung betroffener Verwaltungen vom Netz. Auch Bezirksämter meldeten zeitweise Einschränkungen bei Anträgen, die über die Infrastruktur der betroffenen Mobilitäts- und Umweltverwaltung liefen.
2. Waren die Angreifer etwa eine Woche unbemerkt im System?
Urteil: im zeitlichen Kern bestätigt. Nach dem offiziellen Stand soll der Datenabfluss zwischen dem 7. und 12. August erfolgt sein. Entdeckt wurde der Vorfall am 13. August; am 14. August trennte Berlin die betroffenen Verwaltungen vom Landesnetz. Daraus folgt ein möglicher mehrtägiger Zugriff. Die genaue technische Verweildauer, der erste Zugang und jede Handlung der Täter waren zum Berichtszeitpunkt jedoch noch Teil der forensischen Untersuchung.
3. Wurden tatsächlich Daten gestohlen?
Urteil: ja. Berlin bestätigte zunächst einen Abfluss aus der Bauverwaltung und später weitere Exfiltration aus der Mobilitäts- und Umweltverwaltung. Nicht ausgeschlossen wurden personenbezogene und andere nicht öffentliche Daten. Eine Bestätigung des Datenabflusses bedeutet aber nicht, dass jede im Darknet präsentierte Datei authentisch oder vollständig aus diesem Angriff stammt.
4. Forderten die Täter rund zwei Millionen Euro beziehungsweise 30 Bitcoin?
Urteil: Erpressung bestätigt, konkrete Summe nicht unabhängig amtlich belegt. Die offizielle Mitteilung nennt einen Erpressungsversuch, veröffentlicht aber weder 30 Bitcoin noch einen exakten Eurobetrag. Diese Zahl stammt aus dem von der tagesschau ausgewerteten Täterauftritt. Der Bitcoin-Gegenwert schwankt zudem. Seriös ist daher: Es gab eine Forderung; die konkrete Höhe ist eine berichtete Täterangabe.
5. Drohten die Angreifer mit Verkauf oder Veröffentlichung?
Urteil: plausibel und als Täterdrohung berichtet. Solche Doppel-Erpressung ist ein bekanntes Muster. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt, dass Täter Daten verschlüsseln oder abziehen und Geld in Kryptowährung verlangen. Das BSI betont zugleich, dass eine Zahlung keinerlei Garantie für Löschung, Geheimhaltung oder Wiederherstellung bietet. Der angekündigte Verkauf ist daher eine ernstzunehmende Drohung, aber kein Beweis dafür, dass er tatsächlich stattfinden wird.
6. Sind Verträge, Passwörter, E-Mails und IBANs betroffen?
Urteil: teilweise bestätigt, im Detail offen. Berlin schloss personenbezogene und nicht öffentliche Daten nicht aus. Der Bericht nennt Screenshots und Täterlisten mit verschiedenen Dokumenttypen. Ohne abgeschlossene Zuordnung kann jedoch nicht jedes gezeigte Element als authentisch bestätigt werden. Besonders Passwörter könnten zudem Hashwerte, alte Zugangsdaten oder andersartige Dateien sein; ein Screenshot liefert dafür keinen vollständigen Kontext.
7. Wurde eine Schwachstellenanalyse der Berliner Wasserversorgung gestohlen?
Urteil: nicht abschließend belegt. Diese besonders sensible Behauptung beruht auf der von den Tätern präsentierten Dateiliste. Die offizielle Senatskommunikation bestätigte zum geprüften Zeitpunkt weder Herkunft noch Echtheit genau dieses Dokuments. Das heißt nicht, dass es harmlos ist. Es heißt nur, dass Tätermarketing und gesicherter Ermittlungsstand getrennt bleiben müssen.
8. Hat Berlin die Zahlung verweigert?
Urteil: richtig. Regierender Bürgermeister Kai Wegner und Innensenatorin Iris Spranger erklärten: Berlin lasse sich nicht erpressen. Das entspricht der allgemeinen BSI-Empfehlung, auf Lösegeldzahlungen zu verzichten. Zahlungen finanzieren kriminelle Strukturen und garantieren weder Entschlüsselung noch Nichtveröffentlichung.
9. Sind die Systeme wieder vollständig normal?
Urteil: zum Segmentzeitpunkt nur eingeschränkt formulierbar. Der Fernsehbeitrag spricht von wieder erreichbaren Systemen und keinen aktuellen Einschränkungen. Offizielle Mitteilungen zeigen aber, dass die forensische Aufarbeitung und Überprüfung des Landesnetzes weiterliefen. Ein wieder verfügbarer Dienst ist nicht gleichbedeutend mit abgeschlossenem Sicherheitsvorfall. Monitoring, Passwortwechsel, Benachrichtigungen Betroffener und technische Bereinigung können deutlich länger dauern.
10. Welche Folgen drohen Betroffenen?
Wenn personenbezogene Daten, E-Mail-Adressen, IBANs oder Zugangsdaten tatsächlich abgeflossen sind, können Phishing, Identitätsmissbrauch und weitere Erpressungsversuche folgen. Das ist eine Risikoprognose, keine Feststellung, dass jeder Betroffene geschädigt wird. Sinnvoll sind erhöhte Aufmerksamkeit bei Nachrichten, keine Freigabe von Zugangsdaten, individuelle Passwortwechsel nach behördlichen Hinweisen und Kontrolle verdächtiger Kontobewegungen.
11. Wer ermittelt?
Nach Angaben Berlins arbeiten das Landeskriminalamt, die Staatsanwaltschaft, der Verfassungsschutz und Bundes-Sicherheitsbehörden an der Aufklärung. Der Berliner Datenschutzbeauftragte und das BSI wurden informiert. Solange diese Untersuchungen laufen, sind Zuschreibungen zu einer bestimmten Gruppe oder einem Staat nicht gesichert. Auch ein von Kriminellen verwendeter Gruppenname beweist keine verlässliche Identität.
Einordnung
Ransomware-Fälle verbinden heute oft Betriebsstörung und Datenleak. Der BSI-Leitfaden zu Ransomware beschreibt die Veröffentlichung erbeuteter Daten als Druckmittel. Genau deshalb müssen Behörden früh abschotten, Beweise sichern, Datenschutzfolgen prüfen und transparent, aber ohne operative Details kommunizieren. Berlin hat die Trennung vorgenommen; ob sie rechtzeitig genug war, lässt sich erst nach der Forensik bewerten.
Wie prüft man Belege aus einem Täterforum?
Screenshots aus dem Darknet sind zunächst Behauptungsmaterial einer interessierten Partei. Angreifer haben einen wirtschaftlichen Anreiz, Umfang und Sensibilität ihrer Beute möglichst groß erscheinen zu lassen. Für eine Verifikation wären originale Dateien, belastbare Metadaten, nachvollziehbare Herkunft und ein Abgleich mit den betroffenen Behörden nötig. Einzelne echte Dokumente würden zudem nicht beweisen, dass die gesamte angebotene Datenmenge authentisch oder aktuell ist. Umgekehrt kann eine fehlende öffentliche Bestätigung auch dem Schutz laufender Ermittlungen dienen.
Deshalb verwendet dieser Faktencheck abgestufte Urteile. „Bestätigt“ gilt für Angaben der zuständigen Berliner Stellen, etwa Datenabfluss, Zeitraum, Netztrennung und Erpressungsversuch. „Berichtet“ gilt für Inhalte, die die tagesschau im Täterauftritt gesehen hat. „Nicht abschließend belegt“ gilt für konkrete Dateinamen, Summen und Sicherheitsanalysen, solange die Forensik sie nicht zuordnet. Diese Trennung ist keine Verharmlosung: Gerade bei potenziell kritischen Daten verhindert sie, dass kriminelles Erpressungsmarketing ungeprüft als amtlicher Sachstand verbreitet wird.
Fazit
Bestätigt sind Angriff, Datenabfluss, Erpressungsversuch, mehrtägiger mutmaßlicher Abflusszeitraum und Berlins Zahlungsverweigerung. Nicht abschließend bestätigt sind die genaue Forderung von 30 Bitcoin, jede aufgelistete Datei, die behauptete Wasser-Schwachstellenanalyse und die Echtheit sämtlicher Darknet-Screenshots. Der Beitrag berichtet über diese Vorwürfe nachvollziehbar, doch die sprachliche Kennzeichnung als Täterangaben ist entscheidend. Die weitere Bewertung hängt von der laufenden Forensik und offiziellen Benachrichtigungen ab.