Nachrichten
Berlin. Es ist ein geheimnisvoller Name: Rhysida. Rhysida bezeichnet eine biologische Gattung von giftigen Hundertfüßern (umgangssprachlich oft auch als Tausendfüßler bezeichnet), die hauptsächlich in den Tropen und Subtropen vorkommt. Ein Biss der extrem flinken Tiere ist für den Menschen schmerzhaft und toxisch, verläuft in der Regel jedoch nicht tödlich. Nun ist der Name einer breiten Öffentlichkeit in einem ganz anderen Zusammenhang bekannt geworden. Eine kriminelle Gruppe mit dem Namen „Rhysida“ hat im August die Berliner Senatsverwaltung angegriffen und große Datenmengen abgeschöpft. Die dabei verwendete Schadsoftware – eine zur Erpressung genutzte Software (Ransomware) – ist den Sicherheitsbehörden bekannt und seit Mitte 2021 aktiv. Auch diese Ransomware trägt den Namen „Rhysida“. Die Cyber-Attacke hat auch gravierende Konsequenzen für die Bundeswehr und damit für die Landes- und Bündnisverteidigung.
Der massive Hackerangriff auf die Senatsverwaltungen der Bundeshauptstadt hat sich mittlerweile nach Ermittlung des ungefähren Schadens zu einem der schwersten IT-Sicherheitsfälle in der Geschichte der Bundesrepublik Deutschland ausgeweitet. Nach einer gescheiterten Lösegelderpressung stellten die kriminellen „Rhysida“-Hacker rund 1,44 Millionen sensible Dateien (etwa 5,8 Terabyte/5800 Gigabyte) ins Darknet. Betroffen von dem digitalen Raubzug sind vor allem die beiden Berliner Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die für Mobilität, Verkehr, Klimaschutz und Umwelt.
Was zunächst wie ein lokaler Ransomware-Angriff auf eine Landesbehörde wirkte, beschäftigt inzwischen auch das in Berlin und Schwielowsee beheimatete Operative Führungskommando der Bundeswehr und die obersten Sicherheitsbehörden des Bundes, da der gigantische Datenverlust die nationale Sicherheit tangieren könnte
Erpressung fehlgeschlagen, Daten danach im Netz veröffentlicht
Ein kurzer Rückblick: Die Angreifer hatten sich im August unbemerkt Zugriff auf das Berliner Landesnetz, vermutlich initiiert durch eine Phishing-E-Mail, verschafft. Im Zeitraum 7. bis 12. August schöpften sie die Daten ab.
Die Verwaltung bemerkte den Cyber-Angriff erstaunlicherweise erst am 14. August. Öffentlich machte sie den Vorfall dann einige Tage später, am 17. August. An diesem Montag teilte die Senatskanzlei mit, dass „bei forensischen Untersuchungen eine Inkriminierung des Landesnetzes festgestellt“ worden sei. Die beiden betroffenen Senatsverwaltungen seien aus Sicherheitsgründen bereits vor dem Wochenende, am Freitag, „vom Landesnetz abgetrennt [worden], um weiteren Schaden abzuwenden“.
Die Hackergruppe „Rhysida“ hatte zu diesem Zeitpunkt ein Lösegeld von 30 Bitcoin (rund zwei Millionen Euro) gefordert. Da der Berliner Senat die Zahlung gemäß der staatlichen Linie strikt verweigerte, machten die Kriminellen nach Ablauf ihres Ultimatums ernst und veröffentlichten das gesamte Datenpaket am 4. September im Darknet zum Download (Anm.: Das Darknet ist ein verborgener Teil des Internets, der nicht über normale Suchmaschinen wie Google gefunden werden kann und nur mit spezieller Software wie dem Tor-Browser zugänglich ist).
Persönliche, vertrauliche, sicherheitsempfindliche und geheime Daten
Neben personenbezogenen Daten von Verwaltungsmitarbeitern wie Personalakten inklusive Arbeitszeugnissen und Passwörtern im Klartext wurden auch Finanzdokumente und sicherheitsrelevante Dokumente entwendet. Dies berichtete unter anderem der Chaos Computer Club (CCC), die – so eine Selbstdarstellung – „größte Hackervereinigung Europas und seit über vierzig Jahren Vermittler im Spannungsfeld technischer und sozialer Entwicklungen“. Der CCC hatte sich eigenen Angaben zufolge einige nun zugängliche Unterlagen angeschaut und sensible Informationen über den Zustand der Wasserversorgung in Berlin gefunden.
Der Tagesspiegel berichtet, dass die Hacker auch Inhalte veröffentlicht hätten, die für die Sicherheit der Bundesrepublik und der Hauptstadt relevant seien, beispielsweise Daten besonders schützenswerter Einrichtungen wie Heizkraftwerke, Tanklager, Notstromanlagen und Umspannwerke. Auch geheime Daten über Gefängnisse, Wasserwerke und Rüstungsunternehmen sowie Daten der Berliner Innenverwaltung, die die Verteidigung betreffen, sollen geleakt worden sein.
Der SPIEGEL behauptete mit Verweis auf eigene Recherchen, dass zahlreiche Bundesbelange betroffen seien. So befänden sich unter den Daten beispielsweise mehr als 550 Dateien zur Erweiterung des Kanzleramtes, darunter Gutachten, Pläne und Stellungnahmen wie die des Landeskriminalamtes.
Die besonderen Folgen für die deutschen Streitkräfte und die Verteidigung
Wenn auch die zentralen IT-Systeme des Bundes nach derzeitigem Erkenntnisstand nicht direkt infiltriert wurden, treffen die geleakten Daten (wie Baudaten und Infrastrukturpläne) die Bundeswehr sowie die nationale Sicherheitsarchitektur doch an empfindlichen Stellen.
Offenlegung militärischer Objekte und Kasernen: Da die betroffenen Senatsverwaltungen für die Berliner Bau- und Stadtplanung zuständig sind, enthalten die Dokumente detaillierte Bau- und Schließpläne. Betroffen sind sensible militärische Liegenschaften, Kasernengelände im Raum Berlin-Brandenburg sowie sensible Regierungsbauten. Fremde Geheimdienste oder Saboteure erhalten damit quasi die „Blaupausen“ kritischer Militärobjekte.
Zivile Verteidigungs- und Notfallpläne: Im Datensatz befinden sich Dokumente zur zivilen Verteidigung der Bundeshauptstadt im Ernstfall. Dazu zählen unter anderem Konzepte zum Schutz gegen chemische Kampfstoffe (C-Schutz) sowie behördliche Kriseneinsatzpläne. Dass solche Pläne nun offen im Darknet angeboten werden, schwächt die Resilienz im Spannungs- oder Verteidigungsfall massiv.
Verwundbarkeit der Kritischen Infrastruktur (KRITIS): Für das operative Agieren der Bundeswehr im Inland ist eine funktionierende zivile Infrastruktur zwingend notwendig. Der Leak beinhaltet sensible Schwachstellenanalysen und Notstrompläne für die Trinkwasserversorgung (Wasserwerke), Heizkraftwerke, Umspannwerke und Tanklager. Angreifer könnten diese Informationen nutzen, um koordinierte Sabotageakte vorzubereiten, die im Ernstfall auch die Logistik und Einsatzbereitschaft der Streitkräfte lähmen würden.
Gefahr für Rüstungsunternehmen und Sabotage: Auch Dokumente und Ausschreibungen, die im Zusammenhang mit in Berlin ansässigen Rüstungsunternehmen und Wehrtechnikfirmen stehen, sind Teil des Datenabflusses. Dies erleichtert Wirtschaftsspionage und gezielte Angriffe auf die Zulieferketten der Bundeswehr.
Hacker waren nach Einschätzung der Experten wohl nur scharf auf Lösegeld
Aufgrund der Tragweite koordinieren inzwischen das Bundesamt für Sicherheit in der Informationstechnik (BSI), das Bundeskriminalamt (BKA) und der Verfassungsschutz gemeinsam mit den Berliner Behörden die Schadensbegrenzung. Mittlerweile sind auch einige Einschätzungen hinsichtlich der Motivlage der Hackergruppe öffentlich geworden. Das Bundesinnenministerium bewertet die Beweggründe der Kriminellen „grundsätzlich als finanziell motiviert“. Das BSI vermutet ebenfalls keine politische, sondern eine rein finanzielle Absicht.
Die Bundeswehr-Führung prüft derzeit intensiv, welche konkreten Sicherheitsrisiken für die Streitkräfte entstanden sind, um unverzüglich militärische Gegenmaßnahmen zur Absicherung von Objekten einzuleiten.
Massive Vorwürfe gegen das Land Berlin und seine Geheimschutzvorgaben
Unterdessen wächst der politische Druck. Auch IT-Experten erheben schwere Vorwürfe gegen das Land Berlin: Es wird bemängelt, dass streng geheime Unterlagen und Verschlusssachen offensichtlich unter Missachtung der gesetzlichen Geheimschutzvorgaben unverschlüsselt auf unzureichend gesicherten Servern der Kommunalverwaltung gelagert wurden. Da der Vorfall zudem unmittelbar in die heiße Phase vor der Wahl zum Berliner Abgeordnetenhaus fällt, steht auch der Verdacht im Raum, dass die Veröffentlichung gezielt zur politischen Destabilisierung beitragen soll.
Manuel Atug, der regelmäßig für die Bundesregierung und die Bundesländer als Sachverständiger in Fragen der Cyber-Sicherheit und dem Katastrophenschutz kontaktiert und berufen wird, wirft dem Land Berlin vor, „grob fahrlässig“ gehandelt und Geheimschutzvorgaben nicht eingehalten zu haben. Für die Speicherung und Verarbeitung geheimer Verschlusssache-Unterlagen gebe es sehr strenge und genaue Vorschriften sowie mehrere Sicherheitsstufen. Offenbar seien diese nicht ausreichend angewandt worden. Atug ist seit 2023 auch als Sachverständiger für die European Research Executive Agency (EU REA) tätig und bewertet Forschungsvorhaben zu Kritischen Infrastrukturen und Bevölkerungsschutz auf EU-Ebene.
Die Gewerkschaft der Polizei (GdP) in Berlin zeigt sich ebenfalls konsterniert: „Der Vorfall hat Berlins Politik einmal mehr deutlich vor Augen geführt, dass hier über Jahre gepennt wurde“, ärgert sich GdP-Landesvize Thorsten Schleheider. „Es kann nicht sein, dass hier tagelang hochsensible Daten geraubt werden und die einzige Reaktion scheinbar darin besteht, die Beschäftigten anzuweisen, ihre Passwörter zu ändern.“ Dies zeuge von einer gewissen Hilflosigkeit.
„Schwacher Cyber-Schutz, kaum Resilienz, wenig Sensibilisierung“
Deutliche Worte der Kritik kommen auch von Roderich Kiesewetter. Der CDU-Bundestagsabgeordnete, von November 2020 bis März 2022 Vorsitzender des Parlamentarischen Kontrollgremiums, äußerte sich auf der Social-Media-Plattform X (vormals Twitter). Er erklärt dort: „Der Hack & Leak-Angriff durch die Gruppe ,Rhysida‘ ist absolut gravierend und gefährdet unsere nationale Sicherheit! Wie so etwas passieren konnte, muss aufgeklärt werden. In Deutschland gibt es jedoch im Bereich des Cyber-Schutzes insgesamt erhebliche Schwächen. Schwacher Cyber-Schutz, kaum Resilienz, wenig Sensibilisierung, schwaches Risikobewusstsein und teilweise auch grobe Fahrlässigkeit. Für unsere Sicherheit muss es jetzt um Schadensbegrenzung gehen.“
Konkret fordert Kiesewetter, der Obmann der CDU/CSU-Bundestagsfraktion im Auswärtigen Ausschuss des Bundestages ist: „Erstens müssen kompromittierte Schutz- sowie Einsatzpläne sofort grundlegend überarbeitet und angepasst werden. Zweitens muss eine Ausweitung des Angriffs verhindert werden, indem Mitarbeiter und Bürger über mögliche Phishing-Wellen informiert und explizit sensibilisiert werden. Wir sollten uns auch klar sein, dass gerade vor den anstehenden Wahlen in Berlin, auch Russland diesen Leak zur Desinformation und Einflussoperationen nutzen wird. Drittens müssen wir unsere Anstrengungen für mehr Cyber-Schutz, Resilienz und eine Sicherheitskultur und Cyber-Abschreckung (!) beschleunigen und intensivieren. Cyber-Schutz ist ein stetiger Wettbewerb um neue Angriffsvektoren und Technologie – es muss stetig verbessert und in Schutzmaßnahmen investiert werden. Das kostet, ist aber erheblich günstiger, als die Folgen unserer Schwächen auf Dauer auszuhalten.“
Später ergänzt der Unionspolitiker auf X: „Der Cyber-Angriff [in Berlin] ist eine Katastrophe noch nicht absehbaren Ausmaßes. Die geleakten hochsensiblen Daten unter anderem zu Gesamtverteidigung, zivil-militärischer Kooperation, zum OPLAN, Schutz KRITIS und Krisenkommunikation können von Staaten wie Russland, China oder von Terroristen nun gezielt für Terroranschläge, Sabotage oder gezielte Erpressung und Beeinflussung genutzt werden. Angesichts der Vorgehensweise Russlands und der Zunahme an staatsterroristischen Anschlägen auch bei uns, muss man nahezu sicher damit rechnen, dass Russland diesen Hack & Leak nutzen wird.“
„Baukasten zu Angriffen auf die kritische Infrastruktur auf dem Silbertablett“
Es gibt im Netz weitere ähnlich besorgte Simmen. So schreibt Moritz J. Müller, der für BILD schwerpunktmäßig den Themenkomplex „Bundeswehr und Sicherheits- und Verteidigungspolitik“ betreut: „Aus hohen Bundeswehr-Kreisen ist von einem ,datentechnischen Super-GAU‘ die Rede. Feindlichen Akteuren im In- und Ausland sei der Baukasten zu Angriffen auf die kritische Infrastruktur auf dem Silbertablett serviert worden. Experten der Bundeswehr werten aktuell aus. Der hochgeheime ,Operationsplan Deutschland‘ – kurz OPLAN – zur Landesverteidigung sei nicht gefährdet. Allerdings muss auch die Bundeswehr sensible Daten mit Landesbehörden teilen.“
Zitieren wir noch – im Zusammenhang mit dem OPLAN-Begriff – abschließend Georg Löfflmann, der an der Queen Mary University of London amerikanische Außenpolitik lehrt und Autor etlicher sicherheitspolitischer Publikationen ist. Mit einem Augenzwinkern kommentiert Löfflmann den Berliner Daten-Gau so: „Wollte eigentlich nur im Bürgeramt Berlin-Mitte online einen Termin vereinbaren, aber die haben mir jetzt stattdessen den OPLAN DEU gemailt – bin jetzt unsicher, was ich antworten soll.“
Redaktioneller NACHBRENNER I
Wie einem Beitrag von n-tv vom heutigen Montag (7. September) zu entnehmen ist, sind bei dem Hackerangriff auf Teile der Berliner Stadtverwaltung nach Senatsangaben keine Daten gestohlen oder veröffentlicht worden, die für die nationale Sicherheit wichtig sind. Es seien nur Daten entwendet worden, die die niedrigste von vier Geheimhaltungsstufen gehabt hätten, sagte Berlins Digital-Staatssekretär Florian Hauer jetzt im Innenausschuss des Landesparlaments. Lediglich Daten mit der Einstufung „VS – Nur für den Dienstgebrauch“ (VS-NfD) seien betroffen.
Mit Blick auf Einrichtungen des Bundes, der Bundeswehr und die nationale Sicherheit bedeute dies, dass keine Daten mit erhöhter Sensibilität und Sicherheitsrelevanz gehackt worden seien, versicherte der Staatssekretär. Er betonte aber zugleich, die Prüfungen und Untersuchungen der Dateien liefen noch. Einige Dateien hätten zwar auf ersten Blick sensibel ausgesehen, es habe sich aber dann herausgestellt, dass keine Gefährdung vorliege. So sei es bei Dateien mit Bezug zum Militärischen Abschirmdienst nur um Parkgenehmigungen gegangen (man muss hoffen, dass hier keine Namen abgeflossen sind).
Zugleich wies Hauer darauf hin, dass bei weiteren Sicherheitsüberprüfungen des IT-Netzes der Berliner Verwaltungen „höchstwahrscheinlich strukturelle Defizite“ festgestellt werden würden. Sie seien schon vor Jahren entstanden und müssten nun so schnell wie möglich abgestellt werden. Dafür müsse im Landeshaushalt Geld bereitgestellt werden. Derzeit würden parallel bereits strukturelle Maßnahmen geplant, „die auch nicht wenig Geld kosten werden, um das System kurzfristig auch zu erhärten“.
Redaktioneller Hinweis: Bei der Recherche und Erstellung dieses Artikels kam Künstliche Intelligenz (KI) zum Einsatz. Der finale Text wurde von der Redaktion vollständig geprüft, ergänzt und freigegeben.
Hintergrund
„Rhysida“ ist eine seit den frühen 2020er-Jahren bekannte Ransomware und die Bezeichnung für eine damit verbundene Cyber-Crime-Gruppe, die mit verschiedenen Angriffen unter anderem in Europa und in den USA in Verbindung gebracht wird. Zu den Zielen der Gruppe gehören Unternehmen, Behörden und andere Organisationen. Seit ihrem Auftreten im Juni 2023 hat „Rhysida“ nach Angaben einer schweizerischen Forschungsplattform weltweit fast 280 Angriffe für sich reklamiert.
Im Oktober 2023 wurde die British Library, die Nationalbibliothek des Vereinigten Königreichs in London, Opfer einer Cyber-Attacke. Der Angriff führte zu erheblichen Ausfällen der IT-Infrastruktur und digitaler Dienstleistungen. „Rhysida“ bekannte sich zu dem Angriff und bot nach eigenen Angaben erbeutete Daten im Darknet zur Versteigerung an. Die British Library musste wesentliche Teile ihrer technischen Infrastruktur neu aufbauen und ihre digitalen Dienste schrittweise wiederherstellen.
Anfang Juni 2023 wurde die Hochschule Kaiserslautern Opfer eines Angriffs von „Rhysida“. Die Hacker konnten hochschulinterne Daten erbeuten, die anschließend im Darknet zunächst höchstbietend versteigert und anschließend teilweise veröffentlicht wurden.
Im Mai 2025 wurde die Deutsche Welthungerhilfe Opfer eines Ransomware-Angriffs. Nach Angaben der Organisation erlangten die Angreifer Zugriff auf Teile ihrer Server, verschlüsselten dort gespeicherte Daten und stahlen teilweise Daten.
Im Mai 2026 behauptete die „Rhysida“-Gruppe, bei der Stadt Stuttgart umfangreiche Dokumente aus den IT-Systemen erbeutet zu haben. Die Gruppe forderte dafür Lösegeld. Ob und in welchem Umfang tatsächlich Daten entwendet wurden, wurde offiziell nicht bekannt.
Zwar meinen Experten, die „Rhysida“-Operation sei „eindeutig von finanziellen Motiven“ getrieben. Einige Forscher glauben jedoch, dass sich die Gruppe möglicherweise in Russland befindet und nicht nur monetäre Interessen verfolgt. Diese Einschätzung basiert auf mehreren Beobachtungen, wie der Hauptsprache der internen Kommunikation (Russisch) und dem Vorhandensein russischer Wörter und Sätze auf der „Rhysida“-Leckseite. Die Gruppe hat bisher – soweit bekannt – weder Ziele in Russland noch anderen GUS-Staaten angegriffen (Anm.: GUS = Gemeinschaft Unabhängiger Staaten; Gruppe von Nationalstaaten, die früher Teil der Sowjetunion waren). Dies könne darauf hindeuten, dass sich die „Rhysida“-Akteure in Reichweite der russischen oder GUS-Strafverfolgungsbehörden befinden.
Ransomware ist eine Schadsoftware, die Computer, Systeme oder Daten verschlüsselt oder blockiert, um von den Opfern ein Lösegeld für die Freigabe zu erpressen. Die Software dringt in Systeme ein (oft über infizierte E-Mails, unsichere Links oder offene Schnittstellen) und sperrt den Zugriff auf Dateien. Die Angreifer fordern meist die Zahlung in Krypto-Währungen wie Bitcoin und drohen bei Nichtzahlung mit Veröffentlichung des erbeuteten – oftmals sensiblen – Materials.
Zu unserem Bildangebot:
1. Behördenschild der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen in Berlin. Sie und die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt waren Ziele des Cyber-Angriffs auf die Stadtverwaltung der Bundeshauptstadt.
(Bild: nr; Bearbeitung: mediakompakt)
2. Bildschirmfoto zum „Rhysida“-Fall in Berlin, August 2026 – der mehrfach sichtbare Begriff „Verteidigung“ lässt erahnen, welch empfindliche Daten ebenfalls abgeschöpft worden sind.
(Bild: nr/privat; Bearbeitung mediakompakt)
3. Der CDU-Bundestagsabgeordnete Roderich Kiesewetter ist – auch und gerade als Oberst a.D. – ein ausgewiesener Fachmann bei sicherheitsrelevanten Fragen. Er war außerdem von November 2020 bis März 2022 Vorsitzender des Parlamentarischen Kontrollgremiums des Bundestages. Das Gremium ist vor allem für die Überwachung der drei deutschen Geheimdienste auf Bundesebene – Bundesnachrichtendienst/BND, Bundesamt für Verfassungsschutz/BfV und Militärischer Abschirmdienst/MAD – zuständig. Kiesewetter stellte sich nach Bekanntwerden der „Hack & Leak“-Aktion der Presse. Auch äußerte er seine Besorgnis direkt in den Sozialen Medien.
(Bild: Quelle Nachrichtensender newstime von ProSieben; Bildbearbeitung: mediakompakt)
4. Informationen der Cybersecurity and Infrastructure Security Agency (CISA) zur Erpresser-Software „Rhysida“ und zur gleichnamigen Hackergruppe. Die CISA ist eine US-Bundesbehörde im Bereich des Heimatschutzministeriums (United States Department of Homeland Security, kurz DHS). Sie schützt kritische Infrastrukturen vor Cyber-Angriffen und physischen Bedrohungen. Sie koordiniert zudem die nationale Abwehr von Sicherheitsvorfällen im digitalen Raum und gibt Warnungen heraus. Über „Rhysida“ schreibt die CISA in ihrem Online-Auftritt: [Die Schadsoftware] … „wird seit Mai 2023 vorwiegend in den Bereichen Bildung, Gesundheitswesen, Fertigung, Informationstechnologie und öffentliche Verwaltung eingesetzt.“
(Bildschirmfoto: Quelle CISA; Bildbearbeitung: mediakompakt)
Kleines Beitragsbild: Eingangsbereich der Berliner Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen.
(Foto: nr)
Anzeige
Weitere Informationen: https://www.thalesgroup.com/de/solutions-catalogue/defense/air/samp/t-ng-luftverteidigungssystem.
Besuchen Sie uns auf https://twitter.com/bw_journal
