Berliner Datenleak, drei Wochen später: Warum sich manche Daten nicht zurückholen lassen

Der Berliner Datenleak zeigt gerade, wo die Grenzen von IT-Sicherheit liegen: Ein Passwort lässt sich zurücksetzen, ein Zertifikat neu ausstellen, ein Account sperren. Aber was macht man mit einer veröffentlichten Schwachstellenanalyse eines Wasserwerks? Seit unserem ersten Beitrag haben sich die Ereignisse überschlagen: Die erbeuteten Daten sind draußen, und was über ihren Inhalt berichtet wird, verschiebt die Bewertung grundlegend. Es geht längst nicht mehr nur um 12.000 Betroffene und Passwörter in Excel-Tabellen, sondern um KRITIS-Unterlagen und die Frage, was passiert, wenn eine Organisation nicht nur Dateien verliert, sondern das Wissen darüber, wie sie funktioniert und wo ihre Schwachstellen liegen.

Was seit dem ersten Beitrag dazugekommen ist

Nachdem Berlin die Zahlung von rund 2 Millionen Euro verweigert hatte, veröffentlichte die Angreifergruppe den Datenbestand: 5,79 Terabyte, 1,44 Millionen Dateien. Seither arbeiten sich Fachleute und Journalist:innen durch das Material, und die Berichte darüber zeichnen ein anderes Bild als die ersten Meldungen. Neben personenbezogenen und Zugangsdaten sollen auch Unterlagen zu kritischer Infrastruktur enthalten sein: Schwachstellenanalysen zur Berliner Trinkwasserversorgung, Notfallkonzepte, Eskalationswege sowie Dokumente zu Gesamtverteidigung, zivil-militärischer Zusammenarbeit und behördlicher Krisenkommunikation.

Wichtig dabei ist Redlichkeit: Wir wissen weder vollständig, welche Dokumente im Datenleak enthalten sind, wie aktuell sie sind, noch welche Schwachstellen längst behoben wurden. Eine veröffentlichte Schwachstellenanalyse bedeutet nicht, dass morgen jemand die Berliner Wasserversorgung abschalten kann. Aber genau deshalb gilt jetzt „Assume Compromise“, nicht nur für Konten und Systeme, sondern für Informationen.

Ein Geheimnis lässt sich rotieren. Eine Struktur nicht.

Die öffentliche Debatte dreht sich stark um Datenmenge, Passwörter und Meldepflichten. Das ist wichtig, aber es ist nicht das größte Problem. Denn technisch gesehen sind das alles Lösungen mit Aufwandsschild: Passwort zurücksetzen, Token widerrufen, Zertifikat neu ausstellen, Schlüssel rotieren, Konto deaktivieren. Unangenehm, teuer, arbeitsintensiv – aber machbar.

Ein Passwort ist ein Geheimnis, eine Infrastruktur ist eine Struktur, und Strukturen lassen sich nicht rotieren. Niemand kann sagen: „Wir tauschen am Montag unsere Trinkwasserversorgung aus.“ Eine Schwachstelle kann man patchen, eine historisch gewachsene Infrastruktur nicht. Bei einem Teil dieser Informationen bleibt am Ende nur eine Option: nicht die Datei ändern, sondern die Realität, die darin beschrieben wird. Genau dort wird es richtig teuer.

Dazu kommt: Nach einer Veröffentlichung dieser Größenordnung ist die Zahl der Kopien unbekannt, ein „Quelle gelöscht, Problem erledigt“ gibt es nicht mehr. Systeme lassen sich wiederherstellen, Vertraulichkeit nicht.

1,44 Millionen Dateien sind kein Aktenstapel, sondern ein Datensatz

Der zweite Denkfehler liegt in der Betrachtung als reiner Datenschutzvorfall. Ein Organigramm allein ist harmlos. Eine Telefonnummer auch. Aber setze Personen, Funktionen, Dienstleister, Verträge, Zugangsdaten, Notfallprozesse und Schwachstellenanalysen zusammen. Daraus entsteht etwas anderes: Intelligence.

Ein professioneller Angriff beginnt nicht mit dem Angriff, sondern mit Aufklärung: Wie sieht das Ziel aus, welche Systeme hängen zusammen, wer hat privilegiertes Wissen? Diese Informationen muss ein Angreifer sonst mühsam über OSINT, Scanning, Phishing und interne Reconnaissance zusammentragen, das kostet Zeit und hinterlässt Spuren. Eine interne Schwachstellenanalyse hat diese Arbeit bereits erledigt, für die Verteidigung und jetzt möglicherweise auch für die Gegenseite.

Besonders deutlich wird das beim Social Engineering: Die klassische Phishing-Mail erkennt man, eine Mail mit echten Namen, echter Fachterminologie und realem organisatorischem Zusammenhang spielt in einer anderen Liga. Dieser Effekt endet nicht in Berlin, er trifft jedes Unternehmen, das mit den betroffenen Stellen zusammenarbeitet.

KRITIS im Fokus: Die sicherheitspolitische Dimension des Datenleaks

Bestätigen sich die Berichte über Unterlagen zu Gesamtverteidigung, zivil-militärischer Zusammenarbeit, KRITIS-Schutz und Krisenkommunikation, ist der Adressatenkreis eines solchen Leaks nicht auf Kriminelle beschränkt. Sicherheitsfachleute weisen darauf hin, dass solches Material für staatliche Akteure hohen Wert hat: als Grundlage für Sabotage, hybride Aktionen, gezielte Erpressung und Beeinflussungsoperationen. Angesichts der Zunahme hybrider Aktivitäten in Europa ist die Annahme, ein solcher Datenbestand bleibe ungenutzt, keine belastbare Planungsgrundlage.

Man muss davon ausgehen, dass relevante Dokumente kopiert, gespeichert und mit anderen Quellen korreliert werden, und dass sie noch in Jahren ausgewertet werden können. Das Internet vergisst einen solchen Dump nicht.

Was Unternehmen daraus mitnehmen können

Die meisten Unternehmen betreiben keine Wasserwerke. Aber fast jedes Unternehmen hält Dokumente vor, die dieselbe Eigenschaft haben: Sie beschreiben Strukturen, nicht Geheimnisse. Netzpläne, Notfallhandbücher, Lieferantenabhängigkeiten, Eskalationsketten, Audit-Berichte, Penetrationstest-Ergebnisse. Diese Dateien sind der eigentliche Kronjuwelenbestand und liegen oft in denselben Ablagen wie Urlaubsanträge.

Klassifizierung vor dem Schutz. Ohne Data Classification und Asset Management lässt sich im Ernstfall nicht feststellen, was abfloss. Das Prinzip zeigt sich bereits in unserer Prüfung einer Kita-Vergabesoftware: erst die Bestandsaufnahme, dann die Bewertung. Sicherheitsrelevante Dokumentation darf niemals denselben Blast Radius haben wie gewöhnliche Verwaltungsdaten.
Need-to-know technisch erzwingen. Es reicht nicht, dass es in einer Richtlinie steht, Segmentierung muss technisch existieren.
Ausgang überwachen, nicht nur den Eingang. In Berlin flossen fünf Tage lang Daten ab, ohne dass ein Alarm auffiel. Egress Monitoring, DLP und ausgewertete Logs entscheiden, ob ein Vorfall intern bleibt oder öffentlich wird.
Den eigenen Datenbestand wie ein Angreifer lesen. Veröffentlichtes Material lässt sich als Threat-Intelligence-Quelle gegen das eigene Unternehmen nutzen: Was weiß ein Angreifer jetzt darüber, welche Vertrauensbeziehungen und Notfallverfahren müssen sich ändern?
Sicherheitskultur statt Pflichtvideo. Nicht nur IT-Security ist Teil der Verteidigung, sondern jede Person mit Postfach oder Telefon. Technik kann menschliches Fehlverhalten begrenzen, nicht ersetzen.
Mit der zweiten Welle in der Kommunikation rechnen. Der kommunikative Ernstfall beginnt oft erst, wenn die Daten veröffentlicht werden, und dann melden sich Betroffene, Kunden, Partner und Medien gleichzeitig. Eine Darksite ist deshalb kein Werkzeug für Tag eins, sondern für Wochen.

Informationskontrolle ist nicht Informationssicherheit

Bleibt der unbequeme Teil: Nach solchen Vorfällen richtet sich der Reflex schnell auf die Sichtbarkeit der Daten, Löschaufforderungen, Delisting-Anfragen, Appelle, das Material nicht zu verbreiten. Nichts davon stellt Vertraulichkeit wieder her. Wie schon unser CR Benchmark 2026 zeigt: Sichtbarkeit ersetzt keine Substanz. Eine Suchmaschine dazu zu bringen, einen Link nicht anzuzeigen, macht einen veröffentlichten Datensatz nicht wieder geheim, wer ernsthaft sucht, fragt niemanden um Erlaubnis.

Die entscheidende Sicherheitsbarriere hätte vor der Exfiltration stehen müssen, nicht hinterher vor der Suchmaschine. Das gilt für Behörden wie für Unternehmen: Wer digitale Souveränität will, muss zuerst die eigene Infrastruktur, die eigenen Daten und die eigenen Mitarbeitenden verteidigungsfähig machen. Cybersecurity interessiert sich nicht für Programme und Zuständigkeiten: Ein ungepatchtes System bleibt ungepatcht, eine schlechte Segmentierung bleibt schlecht.

Der eigentliche Schaden reicht dabei über den reinen Datenverlust hinaus: Entsteht der Eindruck, dass Informationen zurückgehalten, Risiken heruntergespielt oder die Öffentlichkeit nicht transparent informiert wurde, wiegt der daraus entstehende Vertrauensverlust bei Bürgerinnen und Bürgern langfristig oft schwerer als der Datenverlust selbst. Genau deshalb geht es am Ende nicht nur um Cyber Security, sondern um Cyber Resilience: die Fähigkeit, einen Vorfall technisch und kommunikativ so zu bewältigen, dass Vertrauen erhalten bleibt.

Die größte Lehre aus Berlin lautet deshalb nicht: „Wir müssen verhindern, dass Menschen die veröffentlichten Daten finden.“ Sie lautet: Wir müssen verhindern, dass der nächste Datenbestand überhaupt das Netz verlässt. Wer sich fragt, welche Dokumente im eigenen Unternehmen zu dieser Kategorie gehören, sollte diese Frage jetzt beantworten. Nicht danach.

Den ersten Teil unserer Analyse zum Angriff und zur Krisenkommunikation des Berliner Senats gibt es hier: Ransomware-Angriff auf Berlin: Was Unternehmen daraus lernen sollten.

Unser Ansatz

Wir bei team neusta und unser Partner NetFed begleiten Unternehmen und Verwaltungen bei der Vorbereitung auf IT-Sicherheitsvorfälle, von der IT-Sicherheitsarchitektur und Penetrationstests über Datenklassifizierung und Segmentierung bis zur Darksite-Konzeption und zum getesteten Krisenkommunikationsplan. Ziel ist eine Organisation, die technisch abgesichert und im Ernstfall sofort kommunikationsfähig ist, statt tagelang zu improvisieren.

Du willst mehr erfahren?

IT-Sicherheit für Unternehmen, Penetrationstests und Sicherheitsberatung: IT-Security | team neusta

IT-Sicherheit speziell für Verwaltungen: eGovernment IT-Sicherheit | team neusta

Krisenkommunikation und Darksites: Beratung & Strategie | NetFed

Thorsten Greiten (NetFed) freut sich über deine Nachricht: thorsten.greiten@net-federation.de