Ransomware-Angriff auf Berlin: Was Unternehmen aus dem größten Verwaltungs-Hack lernen sollten

Passwörter im Klartext in Excel-Tabellen. Fast sechs Terabyte Daten abgesaugt, bevor es jemand bemerkt. Und am Ende eine Erpressung über 2 Millionen Euro, während 50.000 Berliner Haushalte kein Wohngeld bekommen. Was Mitte August 2026 im Berliner Landesnetz passiert ist, klingt nach dem Drehbuch eines mittelmäßigen Thrillers. Es ist bittere Realität – und ein Lehrstück dafür, was passiert, wenn IT-Sicherheit und Krisenkommunikation stiefmütterlich behandelt werden. Wir haben uns den Fall genauer angeschaut und zeigen, was Unternehmen daraus für den eigenen Ernstfall mitnehmen können.

Was in Berlin passiert ist

Zwischen dem 7. und 12. August 2026 drangen Angreifer der Ransomware-Gruppe Rhysida in das Berliner Landesnetz BeLa ein – das Rückgrat, das rund 600 Behördenstandorte verbindet. Fünf Tage lang kopierten sie unbemerkt Daten aus zwei Senatsverwaltungen, bevor der Angriff am 14. August überhaupt erkannt wurde. Die Bilanz: 5,79 Terabyte erbeutete Daten, 1,44 Millionen Dateien, personenbezogene Daten von über 12.000 Menschen, Passwörter im Klartext, Notfallpläne für kritische Infrastruktur und vertrauliche Justizunterlagen. Rhysida forderte 30 Bitcoin, rund zwei Millionen Euro Lösegeld – Berlin weigerte sich zu zahlen. Die Folgen bekamen vor allem die Bürgerinnen und Bürger zu spüren: 50.000 Haushalte konnten über eine Woche lang kein Wohngeld beantragen, beide Verwaltungen waren nur noch telefonisch erreichbar, und Regierender Bürgermeister Kai Wegner musste eine voreilige Entwarnung Tage später zurücknehmen.

Wenn das dem Landesnetz einer deutschen Hauptstadt passiert, das vom BSI mitüberwacht wird und bei dem LKA und BKA sofort ermitteln, stellt sich die unbequeme Frage: Was passiert dann erst bei einem mittelständischen Unternehmen mit 200 Mitarbeitenden und einer dreiköpfigen IT-Abteilung? Im Zweifel dasselbe – nur merkt es niemand, weil es keine Schlagzeilen macht. Rhysida ist seit 2023 aktiv, hat unter anderem die British Library angegriffen und trifft regelmäßig auch Unternehmen und Krankenhäuser. Wir kennen diese Gemengelage aus erster Hand: team neusta und NetFed beraten Unternehmen und Verwaltungen genau an dieser Schnittstelle – von der IT-Sicherheitsarchitektur und Penetrationstests über die Darksite-Konzeption bis zum getesteten Krisenkommunikationsplan.

Drei technische Versäumnisse, die sich vermeiden lassen

Kein System ist zu 100 Prozent sicher, den Angriff selbst hätte wohl auch eine bessere Aufstellung nicht garantiert verhindert. Aber das Ausmaß und die Folgen hätten sich deutlich begrenzen lassen. Die Versäumnisse, die im Berliner Fall sichtbar werden, sind erschreckend typisch – auch außerhalb der öffentlichen Verwaltung.

Passwörter im Klartext in Office-Dateien. Wer Zugangsdaten in einer Excel-Tabelle speichert, hat kein technisches Problem, sondern ein Awareness-Problem. Passwort-Manager, Zwei-Faktor-Authentifizierung und regelmäßige Schulungen sind keine Kür, sondern Pflicht.
Keine Erkennung über fünf Tage. Fünf Tage lang wurden Daten im Terabyte-Umfang abgesaugt, ohne dass ein Alarm ausgelöst wurde. Das deutet auf eine fehlende oder unzureichende Anomalie-Erkennung hin. Systeme wie SIEM (Security Information and Event Management) und NDR (Network Detection and Response) erkennen ungewöhnliche Datenflüsse in Echtzeit.
Fehlende Netzwerksegmentierung. Dass von zwei Senatsverwaltungen aus offenbar auf breite Datenbestände zugegriffen werden konnte, deutet auf eine unzureichende Segmentierung hin. In einer sauber aufgebauten Architektur hätte ein Eindringling in einer Verwaltung keinen Zugriff auf Justizunterlagen oder Notfallpläne kritischer Infrastruktur gehabt.

Krisenkommunikation: Drei Fehler, die Vertrauen kosten

Fast ebenso lehrreich wie die technischen Versäumnisse ist die Krisenkommunikation. Berlin hat dabei nahezu jede Regel gebrochen, die Kommunikationsprofis kennen.

Zu spät und zu vage. Die erste Pressemitteilung kam am 18. August, vier Tage nach der Netztrennung. Und sie sagte fast nichts: „Inkriminierung des Landesnetzes“, „ermittlungstaktische Gründe“ für die Zurückhaltung. Das erzeugt keine Sicherheit, sondern Unsicherheit.
Falsche Entwarnung. Kai Wegner erklärte zunächst, es seien keine sensiblen Daten gestohlen worden. Diese Aussage musste er Tage später korrigieren. Nichts beschädigt Vertrauen schneller als eine voreilige Entwarnung, die sich als falsch herausstellt.
Kein zentraler Informationskanal. Es gab keine dedizierte Seite, auf der Bürgerinnen, Bürger oder Medien den aktuellen Stand hätten nachvollziehen können. Informationen tröpfelten über Pressemitteilungen und Medienanfragen – unkoordiniert und lückenhaft.

Genau hier hätte ein Instrument geholfen, das in der Krisenvorbereitung oft unterschätzt wird: eine Darksite – eine vorbereitete, aber noch nicht öffentlich geschaltete Website, die im Krisenfall innerhalb von Minuten live gehen kann, mit vorformulierten Textbausteinen, Kontaktinformationen und FAQ-Strukturen. Berlin hatte keine. Damit eine solche Seite im Ernstfall wirklich hilft, muss sie aber vor allem eines sein: sofort verständlich. Wie entscheidend klare, eigenständig verständliche Sprache gerade für Verwaltungen ist, haben wir bereits im Zusammenhang mit digitaler Barrierefreiheit in Kommunen beschrieben: Informationen nutzen erst dann etwas, wenn Menschen sie schnell erfassen können – das gilt in der Krise noch mehr als im Alltag.

Für Unternehmen gilt das in noch stärkerem Maße als für Behörden. Wer nach einem Cyberangriff tagelang schweigt, verliert Kundschaft, Partner und Vertrauen. Wer sofort über eine vorbereitete Darksite kommuniziert, zeigt: Wir haben vorgesorgt, wir haben die Lage im Griff, wir sind transparent.

Der Krisenplan, der wirklich funktioniert: Fünf Bausteine

Aus dem Berliner Fall lassen sich fünf Bausteine ableiten, die du in deinem Unternehmen ab sofort umsetzen kannst.

1. Incident-Response-Plan. Ein dokumentierter, geübter Ablaufplan, der regelt, wer wann informiert wird, wer über die Netztrennung entscheidet und wer nach außen kommuniziert. Berlin brauchte Tage, um einen Krisenstab einzurichten. Ein guter Plan macht das in Minuten.
2. Darksite und Krisenkommunikationsvorlagen. Vorbereitete Kommunikationsmittel für Szenarien wie Datenverlust, Ransomware oder Systemausfall, juristisch geprüft und freigegeben, bevor die Krise eintritt. Im Ernstfall fehlt die Zeit für Abstimmungsschleifen.
3. Regelmäßige Sicherheitsaudits. Nicht einmal im Jahr pro forma, sondern quartalsweise mit echten Penetrationstests – genau dieses Format bietet team neusta sowohl für Unternehmen als auch für Verwaltungen an, um Schwachstellen zu finden, bevor es eine Angreifergruppe tut. Wie wertvoll eine unabhängige, strukturierte Prüfung generell sein kann, zeigt sich auch außerhalb der IT-Sicherheit: In unserem Projekt zur Prüfung einer Kita-Vergabesoftware deckte eine systematische IST-Analyse Schwachstellen auf, bevor sie zum teuren Problem wurden.
4. Backup-Strategie nach der 3-2-1-Regel. Drei Kopien jeder kritischen Datei, auf zwei verschiedenen Medien, davon eine offline. Ransomware verschlüsselt, was sie erreichen kann. Was sie nicht erreichen kann, bleibt sicher.
5. Mitarbeitende schulen – immer wieder. Der Mensch bleibt das größte Einfallstor. Phishing-Simulationen, Awareness-Trainings und eine Kultur, in der niemand fürs Melden eines Verdachts bestraft wird. In Berlin lagen Passwörter in Excel-Tabellen. Das ist kein Technik-Problem.

Berlin wird nicht zahlen. Die Daten werden mit hoher Wahrscheinlichkeit im Darknet landen, 12.000 Betroffene müssen damit rechnen, dass ihre Informationen öffentlich werden, und die forensische Untersuchung wird Monate dauern und ein Vielfaches dessen kosten, was Prävention gekostet hätte. Wenn du dich als Unternehmen fragst, ob deine IT einem Rhysida-Angriff standhalten würde und ob deine Kommunikationsabteilung in den ersten 60 Minuten wüsste, was zu tun ist, hast du bereits den wichtigsten Schritt getan: die richtige Frage zu stellen. Wir beraten Unternehmen genau an dieser Schnittstelle – von der IT-Sicherheitsarchitektur bis zum getesteten Krisenkommunikationsplan.

Unser Ansatz

Wir bei team neusta und unser Partner NetFed begleiten Unternehmen und Verwaltungen bei der Vorbereitung auf IT-Sicherheitsvorfälle – von der IT-Sicherheitsarchitektur und Penetrationstests über die Darksite-Konzeption bis zum getesteten Krisenkommunikationsplan. Ziel ist eine Organisation, die technisch abgesichert und im Ernstfall sofort kommunikationsfähig ist – statt tagelang zu improvisieren.

Du willst mehr erfahren?

IT-Sicherheit für Unternehmen – Penetrationstests und Sicherheitsberatung: IT-Security | team neusta

IT-Sicherheit speziell für Verwaltungen: eGovernment IT-Sicherheit | team neusta

Andre Conin (team neusta) freut sich über deine Nachricht: a.conin@neusta.de

Tascha Schnitzler (team neusta) freut sich über deine Nachricht: t.schnitzler@neusta.de

Krisenkommunikation und Darksites: Beratung & Strategie | NetFed

Thorsten Greiten (NetFed) freut sich über deine Nachricht: thorsten.greiten@net-federation.de