Berlin hat den größten Datendiebstahl seiner Verwaltungsgeschichte am Hals – und die politische Bilanz ist vernichtend. Rund 1,44 Millionen Dateien aus dem Innersten der Hauptstadtverwaltung stehen inzwischen im Darknet, darunter Klartext-Passwörter, Personalakten, KRITIS-Unterlagen und geheime Planungen für den Verteidigungsfall. Jahrelange bürokratische Schlampereien haben einen Zustand produziert, bei dem Cyberkriminelle offenbar tagelang Daten absaugen konnten und nun selbst Informationen über kritische Infrastrukturen frei kursieren.
Rhysida hat nach Ablauf des Lösegeld-Ultimatums 5,26 Terabyte mit 1.439.893 Dateien veröffentlicht. Die Sichtung des Materials zeigt, wie katastrophal der Einbruch tatsächlich war: Unter den Dokumenten befinden sich Unterlagen zum Zivilschutz und Listen von Heizkraftwerken, Tanklagern, Notstromanlagen, Umspannwerken und weiteren Einrichtungen, die im Verteidigungsfall geschützt werden sollen. Teilweise enthalten die Dokumente Angaben zu den Folgen eines Ausfalls. Hinzu kommen Informationen über gefährdete Rüstungsunternehmen, Unterlagen zum „Operationsplan Deutschland“ sowie ein Entwurf des als geheim behandelten Leitfadens „Zivile Verteidigung im Land Berlin“. Bei der Wasserversorgung wird es noch heikler: Eine Präsentation aus dem Jahr 2025 soll aufzeigen, an welchen Wasserwerken bestimmte Schadstoffe wegen fehlender Filtermöglichkeiten großen Schaden anrichten könnten. Das ist Material, das eine verantwortungsvoll geführte Stadt hütet wie ihren Augapfel. Berlin hat es wegen solcher verantwortungsloser Schlampereien verloren.
Rhysida selbst listete zuvor 11.777 Dateien als „Confidential“, 8.110 als „Infrastructure“ und 5.941 als „Passwords“ auf. Dazu kommen nach Angaben der Täter 16.389 E-Mail-Adressen, 11.963 Telefonnummern, Daten zu 12.076 Personen und 148 IBANs. Screenshots aus dem Bestand zeigen Dateien mit Namen wie „Zugangsdaten.txt“ und „Passwort.docx“, in denen Kennungen und Passwörter offen nebeneinander abgelegt wurden. Dazu Personalakten, Gesundheitsdaten, Ausweisdokumente, Gehaltsabrechnungen und private Finanzinformationen. Eine Verwaltung, die 2026 Passwörter in Word- und Textdateien hortet, braucht keine ausgefeilte Cyberstrategie. Sie braucht zuerst einmal eine Schulung in einem verantwortungsvollen Umgang mit sensiblen Daten.
Passwort.docx trifft auf Berliner Cybersicherheitsstrategie
Ausgerechnet Berlin veröffentlichte 2025 eine 24-seitige „Cybersicherheitsstrategie für den Sektor Öffentliche Verwaltung“. Darin erklärt die Hauptstadt, wegen ihrer politischen und wirtschaftlichen Bedeutung brauche sie einen „erhöhten Sicherheitsstandard“. Informationssicherheit müsse „höchste Priorität“ haben, Berlin solle durch eine „robuste und dynamische Cybersicherheitsstrategie“ geschützt werden. Zuständig für die Digitalisierung der Landesverwaltung und ihre Koordination ist laut demselben Papier der Geschäftsbereich des Chief Digital Officer. Die Strategie beschreibt Echtzeitüberwachung, Security Operations Center, Berlin-CERT, Informationssicherheitsmanagement und ein ganzes Geflecht aus Sitzungen, Berichten und Zuständigkeiten. Weniger als ein Jahr später liegt die Datei „Passwort.docx“ neben Verteidigungs- und KRITIS-Unterlagen im Darknet. Für den Unterschied zwischen Berliner Strategiepapier und Berliner Realität braucht es keine weitere Evaluation.
Der politische Treppenwitz wird noch größer. Am 23. Juni stimmte der Senat auf Vorlage des Regierenden Bürgermeisters Kai Wegner einer engeren Kooperation mit dem Bundesamt für Sicherheit in der Informationstechnik zu. Berlin und das BSI wollten gemeinsam Cyberangriffe bekämpfen, sich bei Vorfällen unterstützen und ausgerechnet beim materiellen Geheimschutz enger zusammenarbeiten. Die Vereinbarung sollte am 8. Juli unterzeichnet werden. Einen Monat später flossen die Daten an die Hacker. Zwischen dem 7. und 12. August verließen sie nach Angaben des Senats die Systeme; erst am 14. August trennte Berlin die betroffenen Senatsverwaltungen vom Landesnetz. Mehr Symbolik bekommt politisches Versagen selten serviert: Im Juli wird der Geheimschutz feierlich gestärkt, im August saugen Hacker Geheimunterlagen ab, ohne auch nur irgendwie auf nennenswerten Widerstand zu stoßen.
Noch vernichtender wirkt ein interner Vermerk aus der Berliner Verwaltung. Darin hielten Beamte fest, dass ein digitaler Geheimschutz „im strengen Sinne“ in der Berliner öffentlichen Verwaltung gar nicht möglich sei. Das Problem war also bekannt. Man wusste, dass sensible Unterlagen digital nur unzureichend geschützt werden konnten, während dieselbe politische Verwaltung gleichzeitig von Resilienz, Sicherheitsarchitektur und digitaler Souveränität schwadronierte. Nun stehen Verschlusssachen und Unmengen an persönlichen Daten im Darknet.
Das Desaster wurde jahrelang herangezüchtet
Wegner kann das Berliner IT-Chaos nicht allein für sich reklamieren. SPD-geführte Senate haben den Flickenteppich aus Insellösungen, alten Fachverfahren und verschleppten Migrationen über viele Jahre aufgebaut. Seit 2023 führt allerdings Wegners CDU den Senat, und mehr als drei Jahre später funktioniert die beliebteste Berliner Ausrede – der Vorgänger war es – nicht mehr. Seine Regierung kannte die Altlasten. Sie kannte die Sicherheitsprobleme. Sie kannte die verfehlten Fristen. Sie schrieb sogar eine neue Cybersicherheitsstrategie. Geändert hat sich offenbar viel zu wenig.
Report24 hatte bereits nach dem ersten Bekanntwerden des Angriffs auf den Zustand dieser IT hingewiesen. Berlin wollte seine verfahrensunabhängige Verwaltungstechnik eigentlich bis Ende 2024 zum zentralen IT-Dienstleister ITDZ überführen. Das Ziel wurde krachend verfehlt. Im September 2025 liefen allein in der nun betroffenen Bauverwaltung noch 4.313 Arbeitsplatzrechner mit Windows 10, lediglich 1.064 arbeiteten bereits mit Windows 11. Von 415 bekannten Fachverfahren galten nur 259 als Windows-11-fähig; bei 133 Verfahren lag trotz Nachfragen nicht einmal eine belastbare Rückmeldung zum Umstellungsstand vor. Der Senat führte diese Verfahren selbst als Risiko. IT-Sicherheitsexperte Manuel Atug hatte die Lage schon 2023 im Abgeordnetenhaus als „gruselig und desolat“ bezeichnet. Berlin bekam die Warnungen schriftlich, mündlich und jahrelang. Die Politik ließ die Dauerbaustelle trotzdem weiterlaufen.
Hier liegt der Kern des Skandals. Ransomware-Banden greifen Behörden und Unternehmen ständig an. Die politische Führung entscheidet, ob ein erfolgreicher Einbruch auf sauber getrennte, überwachte und gehärtete Systeme trifft oder auf einen historisch gewachsenen digitalen Gerümpelkeller. In Berlin fanden die Angreifer offenbar Zugangsdaten im Klartext, tausende sensible Personaldokumente und Unterlagen aus Bereichen, deren Schutz zur elementaren Staatsaufgabe gehört. Der Senat kann dieses Ergebnis nicht als unabwendbare Naturkatastrophe verkaufen. Rhysida trägt die Verantwortung für die Straftat. Wegner, sein CDO Florian Hauer und die zuständigen Senatsverwaltungen tragen die politische Verantwortung für eine Behörden-IT, deren Zustand diesen Schaden überhaupt erst möglich machte.
Auch die Krisenkommunikation verdient keine Schonung. Am 26. August erklärte die Senatskanzlei, es könne „nicht ausgeschlossen werden“, dass personenbezogene oder sonstige nicht öffentliche Daten betroffen seien. Zwei Tage später traten Wegner und Innensenatorin Iris Spranger mit dem markigen Satz vor die Öffentlichkeit: „Das Land Berlin lässt sich nicht erpressen.“ Die Entscheidung, keine Millionen an Cyberkriminelle zu zahlen, war richtig. Der Satz lenkte trotzdem bequem auf die Täter. Zu diesem Zeitpunkt hatte die eigene Verwaltung längst festgestellt, dass zwischen dem 7. und 12. August Daten abgeflossen waren. Heute wissen wir, dass darunter Verteidigungsunterlagen, KRITIS-Informationen, Personalakten und Klartext-Zugangsdaten waren. Der Senat arbeitete sich scheibchenweise an das tatsächliche Ausmaß seines Desasters heran.
Seit der Veröffentlichung untersucht Berlin den Bestand nun „mit Hochdruck“. Betroffene sollen informiert werden, sobald die Behörden sie im Material identifiziert haben. Berlin betreibt inzwischen nur noch Schadensbegrenzung nach einem Kontrollverlust, der sich nicht mehr rückgängig machen lässt. Passwörter lassen sich austauschen. Eine veröffentlichte Gesundheitsakte, ein kopierter Personalausweis, eine Analyse verwundbarer Wasserwerke oder eine Planung für den Verteidigungsfall lässt sich nicht zurückholen. Der Senat verwaltet jetzt den Schaden, den seine eigene Sicherheitsarchitektur nicht verhindert hat.
Berlin hat jahrelang über Digitalisierung geredet, Strategien beschlossen, Zuständigkeiten geschaffen und Sicherheitsstandards angekündigt. Am Ende lagen Passwörter in Office-Dateien, bekannte IT-Altlasten blieben liegen, der digitale Schutz von Geheimdokumenten funktionierte nach interner Einschätzung kaum – und Cyberkriminelle veröffentlichten einen Datenschatz, der für Verbrecher und gegnerische Nationen geradezu eine Goldgrube darstellt. Für einen solchen Vorgang reichen neue Arbeitsgruppen, Untersuchungsberichte und ein paar Passwortwechsel nicht aus. Falls selbst der Verlust von geheimen Verteidigungsunterlagen und KRITIS-Daten keine personellen Konsequenzen nach sich zieht, bedeutet „politische Verantwortung“ in Berlin endgültig nur noch, vor der Kamera zu erklären, dass andere schuld sind.
