Die Berliner Behörden haben sich geweigert, auf eine angebliche Lösegeldforderung von 30 Bitcoin nach einem Cyberangriff auf zwei Landesbehörden einzugehen, während die Beamten das Ausmaß der angeblich gestohlenen Daten noch nicht bestätigt haben.
Zusammenfassung
- Berichten zufolge forderten Hacker nach einem Cyberangriff auf zwei Berliner Landesbehörden 30 Bitcoin im Wert von rund 2 Millionen Euro.
- Die Angreifer drohten, gestohlene Informationen zu veröffentlichen, während die Berliner Behörden sich weigerten zu zahlen und die gemeldete Lösegeldsumme nicht bestätigten.
- Berlin erklärte zunächst, nur öffentliche Informationen seien kompromittiert worden, räumte später jedoch ein, dass auch nicht-öffentliche Daten betroffen waren.
- Berichten zufolge bekannte sich Rhysida zu dem Angriff und erklärte, sensible Dateien erlangt zu haben, doch die Berliner Behörden haben das volle Ausmaß des angeblichen Diebstahls nicht verifiziert.
Die Berliner Senatskanzlei erklärte, sie werde keine Details zu den Angreifern, deren Forderungen oder den möglicherweise aus Regierungssystemen entwendeten Informationen preisgeben, solange die Ermittlungen andauern. Ein Senatssprecher sagte der deutschen Nachrichtenagentur dpa, die Beamten könnten in diesem Stadium "aus ermittlungstaktischen Gründen" keine Angaben machen.
Diese Haltung lässt mehrere Details des Angriffs von der Landesregierung unbestätigt, darunter Berichte, dass die Ransomware-Gruppe Rhysida sensible Dateien erlangt und gedroht habe, sie zu veröffentlichen, falls Berlin nicht rund 2 Millionen Euro in Bitcoin zahle.
Berlin hat die gemeldete Forderung von 30 Bitcoin abgelehnt
Berlins Regierender Bürgermeister Kai Wegner bestätigte nach einer Sondersitzung des Senats am Freitag, dass das Land nach dem Cyberangriff mit einer Erpressung konfrontiert sei.
"Das Land Berlin lässt sich nicht erpressen", sagte Wegner.
Er nannte die Angreifer nicht öffentlich und machte auch keine Angaben zur geforderten Summe. Innensenatorin Iris Spranger schloss sich Wegner bei der Unterrichtung der Öffentlichkeit nach der Sitzung an, während die Behörden weiterhin untersuchten, welche Informationen die Regierungssysteme verlassen hatten.
Das deutsche Magazin Der Spiegel berichtete unter Berufung auf Informationen, die die Ransomware-Gruppe auf ihrer Leak-Site im Darknet veröffentlicht hatte, dass Rhysida hinter dem Angriff stecke. Sicherheitskreise, auf die sich die Publikation berief, hätten Rhysida als die für den Erpressungsversuch verantwortliche Gruppe identifiziert.
Die Angreifer forderten dem Bericht zufolge 30 BTC und drohten, die Informationen freizugeben, falls Berlin nicht zahle. Zum aktuellen Kurs entsprach die Forderung rund 2 Millionen Euro.
Rhysida behauptete Berichten zufolge, fast sechs Terabyte an Daten entwendet zu haben. Die angeblichen Dateien umfassen Informationen aus Zehntausenden von Ordnungswidrigkeitenverfahren, Verträge, Passwörter, Zugangsdaten, Notfallpläne und Dokumente im Zusammenhang mit kritischer Infrastruktur.
Die Berliner Behörden haben die von der Gruppe behauptete Datenmenge oder die vollständige Liste der kompromittierten Datensätze nicht unabhängig bestätigt.
Diese Unterscheidung ist für die offizielle Darstellung des Vorfalls wichtig geworden, da sich die Einschätzung der Regierung nach der Entdeckung des Angriffs änderte. Beamte erklärten zunächst, es seien nur öffentlich zugängliche Informationen entwendet worden, bevor die Senatskanzlei am vergangenen Mittwoch einräumte, dass auch nicht-öffentliche Daten betroffen waren.
Cyberangriff zwang zwei Berliner Behörden vom Landesnetz
Der Angriff wurde am 14. August bekannt und betraf die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt.
Beide Behörden wurden vorübergehend vom Berliner Landesnetz getrennt, während die Beamten daran arbeiteten, den Vorfall einzudämmen.
Die Trennung dauerte etwa eine Woche und beeinträchtigte einige Verwaltungsdienstleistungen. Deutschen Berichten zufolge konnten die Bürger vorübergehend keine Wohngeldanträge stellen oder erhalten, solange die betroffenen Systeme isoliert blieben.
Die Ermittler versuchen noch festzustellen, wann der Eindringversuch begann und wie viele Informationen das Netzwerk verließen. Berichte, die sich auf die Ermittlungen stützen, besagen, dass Daten möglicherweise zwischen dem 7. und 12. August extrahiert wurden, mehrere Tage bevor die Beamten den Angriff entdeckten.
Das Landeskriminalamt Berlin und die Staatsanwaltschaft untersuchen den Vorfall. Wegner sagte, Landes- und Bundessicherheitsbehörden arbeiteten daran, die Täter zu identifizieren, während die Beamten weiterhin prüften, welche Dateien abgerufen oder entfernt worden waren.
Spranger sagte, der Angriff habe die Vorbereitungen für die Berliner Landtagswahl am 20. September nicht beeinträchtigt, und bezeichnete die Wahlinfrastruktur als vollständig gesichert.
Der Ransomware-Fall folgt auf einen weiteren Cyberangriff auf die Regierung, bei dem eine Bitcoin-Forderung gemeldet wurde, wie crypto.news im Juli berichtete. Hacker übernahmen die offizielle Website des kenianischen Präsidenten William Ruto und forderten 5 BTC, während sie damit drohten, nicht näher bezeichnete Informationen preiszugeben.
Die kenianischen Behörden schränkten den Zugriff auf die Website vorübergehend ein und leiteten eine Untersuchung ein. Die ICT-Behörde des Landes erklärte damals, dass die Ermittler keine Hinweise darauf gefunden hätten, dass auf sensible Informationen zugegriffen, gestohlen oder verloren worden sei.
Rhysida ist seit 2023 als Ransomware-Gruppe aktiv
Rhysida tauchte 2023 auf und wird mit Angriffen auf Regierungsstellen, Gesundheitsorganisationen und andere Einrichtungen in mehreren Ländern in Verbindung gebracht.
Die Gruppe hat zuvor Organisationen wie die British Library und das chilenische Heer ins Visier genommen. Ihre Vorgehensweise kombiniert in der Regel Netzwerkeinbrüche mit Zahlungsforderungen, wobei die Androhung, gestohlene Informationen zu veröffentlichen, genutzt werden kann, um Druck auf die Opfer auszuüben.
Bitcoin und andere Kryptowährungen sind in Ransomware-Fällen immer wieder aufgetaucht, da Angreifer Zahlungen an Blockchain-Adressen lenken können, ohne herkömmliche Bankkonten zu verwenden.
Öffentliche Blockchain-Transaktionen können dennoch verfolgt werden. Ein crypto.news-Bericht über Blockchain-Forensik erläuterte, wie Ermittler Kryptowährungsbewegungen zwischen Adressen verfolgen und Transaktionsmuster sowie andere Informationen nutzen können, um Gelder mit Diensten oder Personen zu verbinden.
Strafverfolgungsbehörden haben in früheren Fällen Kryptowährungen aus Ransomware-Operationen zurückgeholt. Im August 2025 beschlagnahmten US-Behörden 1,09 Millionen Dollar in Kryptowährung, die mit der Ransomware-Gruppe BlackSuit in Verbindung standen, sowie vier Server und neun Domains.
BlackSuit wurde seit 2022 mit mehr als 450 bekannten US-Opfern und Lösegeldforderungen von über 370 Millionen Dollar in Verbindung gebracht. Ein Opfer zahlte 2023 nach einem Angriff 49,3 BTC, wobei Ermittler später einen Teil der Zahlung zurückholten, so das Justizministerium.
Ein separater US-Fall im Juli betraf ein mutmaßliches Mitglied der Hackergruppe Scattered Spider. Bundesanwälte klagten den 19-jährigen Peter Stokes wegen eines mutmaßlichen Unternehmenseinbruchs und einer erfolglosen Lösegeldforderung über 8 Millionen Dollar in Kryptowährung an.
Berlin hat Rhysidas Datenbehauptungen nicht bestätigt
Berlins Untersuchung konzentriert sich weiterhin darauf, das Ausmaß des Verstoßes festzustellen, während die Regierung Details zurückhält, von denen Beamte sagen, sie könnten die Ermittlungen beeinträchtigen.
Rhysidas Behauptungen über das gestohlene Material stammen aus der Dark-Web-Kommunikation der Gruppe und wurden von der Berliner Regierung nicht vollständig verifiziert. Beamte haben bestätigt, dass nicht-öffentliche Informationen betroffen waren, was die ursprüngliche Einschätzung widerlegt, dass das kompromittierte Material auf öffentlich zugängliche Daten beschränkt war.
Die Senatskanzlei hat nicht offengelegt, ob die Ermittler die gemeldete Forderung von 30 BTC, die angeblich entwendeten fast sechs Terabyte oder die einzelnen Informationskategorien, die Rhysida zu besitzen behauptet, verifiziert haben.
Wegner sagte, die Behörden auf Landes- und Bundesebene arbeiteten daran, die verantwortliche Gruppe zu identifizieren, während das Landeskriminalamt Berlin und die Staatsanwaltschaft ihre Ermittlungen zu dem Angriff fortsetzten.
