Wie gelang Rhysida in das Berliner Landesnetz?

Diese Frage ist bislang nicht abschließend geklärt. Forensische Untersuchungen und Ermittlungen laufen weiterhin. Spekulationen über den konkreten Einstiegspunkt sind daher mit Vorsicht zu betrachten.

Bekannte Rhysida-Angriffe zeigen jedoch, dass die Täter unterschiedliche Wege für den initialen Zugriff nutzen. Dazu gehören kompromittierte Zugangsdaten, Phishing und andere Social-Engineering-Techniken. Nach erfolgreichem Zugriff versuchen die Angreifer typischerweise, ihre Berechtigungen auszuweiten, sich innerhalb des Netzes zu bewegen und Daten zu exfiltrieren, bevor Systeme verschlüsselt werden.

Eine Analyse des veröffentlichten Berliner Datenbestands deutet darauf hin, dass Dateien von mehreren Dateiservern abgeflossen sein könnten. Darunter befinden sich typische Windows-Dateien wie desktop.ini, Inhalte aus dem Papierkorb sowie temporär gespeicherte Word- und Excel-Dateien. Daraus lässt sich jedoch nicht ableiten, auf welchem Weg die Angreifer ursprünglich in das Landesnetz gelangten.

Warum drohen jetzt weitere Phishing-Angriffe?

Mit der Veröffentlichung ist der Cyberangriff keineswegs beendet. Für weitere Kriminelle kann der Datensatz vielmehr zum Ausgangspunkt neuer Attacken werden.

Besonders relevant ist "Spear-Phishing". Statt allgemeiner Nachrichten können Angreifer nun möglicherweise reale Namen, Telefonnummern, Zuständigkeiten, Unterschriften oder interne Zusammenhänge verwenden. Eine gefälschte E-Mail kann dadurch wesentlich glaubwürdiger erscheinen.

Enthält eine Nachricht beispielsweise den richtigen Namen eines Mitarbeiters, dessen Abteilung und einen tatsächlichen internen Vorgang, steigt die Wahrscheinlichkeit, dass der Empfänger dem Absender vertraut. Auch Anrufe oder andere Social-Engineering-Angriffe lassen sich mit solchen Informationen vorbereiten.

Das macht den Vorfall auch für Administratoren relevant: Die technische Bereinigung der ursprünglich kompromittierten Systeme beseitigt nicht die Risiken, die aus bereits abgeflossenen Informationen entstehen.

Welche Rolle spielt die bevorstehende Berlin-Wahl?

Zusätzliche Brisanz erhält die Veröffentlichung durch die zeitliche Nähe zur Berliner Abgeordnetenhauswahl am 20. September 2026.

Bei sogenannten "Hack-and-Leak-Operationen" werden gestohlene Informationen gezielt veröffentlicht, um öffentliche Debatten oder politische Prozesse zu beeinflussen. Dabei müssen Angreifer Dokumente nicht einmal vollständig fälschen. Bereits eine selektive Auswahl authentischer Informationen oder deren Darstellung ohne den ursprünglichen Kontext kann ein verzerrtes Bild erzeugen.

Bislang gibt es jedoch keinen Beleg dafür, dass der Angriff auf das Berliner Landesnetz politisch motiviert war. Die Attacke wird derzeit als finanziell motivierter Ransomware-Angriff eingeordnet. Trotzdem können ursprünglich aus finanziellen Motiven gestohlene Informationen später von anderen Akteuren für politische oder kriminelle Zwecke verwendet werden.

Was sollten Betroffene jetzt tun?

Das Land Berlin rät Personen, die konkrete Hinweise auf eine Veröffentlichung oder einen Missbrauch ihrer Daten haben, Strafanzeige zu erstatten. Dies ist über die Internetwache der Polizei Berlin oder bei einer örtlichen Polizeidienststelle möglich. Zusätzlich können sich Betroffene an die Berliner Beauftragte für Datenschutz und Informationsfreiheit wenden.

Unabhängig davon sollten möglicherweise Betroffene in den kommenden Wochen besonders aufmerksam mit E-Mails, Nachrichten und Anrufen umgehen. Dass ein Absender persönliche Informationen oder Details eines realen Vorgangs kennt, ist nach einem solchen Datenleck kein Beleg mehr für dessen Identität.

Insbesondere sollten Nutzer unerwartete Aufforderungen zur Eingabe von Zugangsdaten über einen zweiten Kommunikationsweg überprüfen, verdächtige Links und Anhänge meiden und möglicherweise kompromittierte Passwörter ändern. Wo verfügbar, reduziert eine Multi-Faktor-Authentifizierung zusätzlich das Risiko einer Kontoübernahme.

Was bedeutet das Datenleck für Administratoren?

Der Vorfall zeigt exemplarisch, dass sich die Folgen eines Ransomware-Angriffs längst nicht mehr auf verschlüsselte Systeme beschränken. Bei der heute üblichen "Double Extortion" kopieren Angreifer Daten vor der Verschlüsselung und drohen anschließend zusätzlich mit deren Veröffentlichung.

Damit reicht eine funktionierende Backup-Strategie allein nicht aus. Selbst wenn sich sämtliche Systeme aus sauberen Sicherungen wiederherstellen lassen, können einmal exfiltrierte Daten nicht zurückgeholt werden.

Für Administratoren bedeutet das, neben Backup und Wiederherstellung insbesondere die Möglichkeiten zur lateralen Bewegung und Datenexfiltration zu begrenzen. Netzwerksegmentierung, Least-Privilege-Konzepte, Multi-Faktor-Authentifizierung für privilegierte und externe Zugänge sowie eine konsequente Überwachung ungewöhnlicher Datenbewegungen gewinnen dadurch weiter an Bedeutung. FBI, CISA und MS-ISAC empfehlen im Zusammenhang mit Rhysida unter anderem Maßnahmen gegen kompromittierte Zugangsdaten sowie eine stärkere Absicherung von Remote-Zugängen.

Ebenso wichtig ist die Vorbereitung auf die Zeit nach einem erfolgreichen Angriff. Unternehmen und Behörden benötigen Verfahren, um kompromittierte Zugangsdaten schnell zu identifizieren, Betroffene zu informieren und gezielte Folgeangriffe erkennen zu können.

Im Fall Berlin steht deshalb nach der Veröffentlichung der mehreren Terabyte Daten möglicherweise der langwierigste Teil der Incident Response erst bevor: herauszufinden, welche Informationen tatsächlich abgeflossen sind, wen sie betreffen und welche Risiken daraus in den kommenden Monaten entstehen.