Rhysida: Ransomware-Gruppe will 2 Millionen in Bitcoin von Berliner Landes-IT

Ein schwerwiegender Cyberangriff erschüttert Berlin

Die digitale Sicherheit der Berliner Landesverwaltung ist massiv gefährdet. Wie aktuelle Berichte bestätigen, steht die bekannte Ransomware-Gruppierung Rhysida hinter dem weitreichenden Cyberangriff auf die IT-Infrastruktur des Landes Berlin. Die Kriminellen haben auf ihrer im Darknet betriebenen Leak-Seite eine offizielle Erpresserbotschaft veröffentlicht, die das Ausmaß des Vorfalls verdeutlicht. Die Angreifer behaupten, Zugriff auf ein Datenvolumen von insgesamt knapp sechs Terabyte erlangt zu haben. Um die Veröffentlichung dieser sensiblen Informationen zu verhindern, fordern die Erpresser eine Zahlung in Höhe von 30 Bitcoin. Nach aktuellem Kurs entspricht dies einer Summe von etwa zwei Millionen Euro. Die Situation ist hochgradig kritisch, da die Täter eine Countdown-Anzeige geschaltet haben. Demnach verbleibt dem Land Berlin eine Frist von einer Woche, beginnend ab dem 28. August 2026, um auf die Forderungen einzugehen. Sollte diese Frist ungenutzt verstreichen, drohen die Hacker damit, die erbeuteten Datensätze öffentlich zugänglich zu machen. Dieser Vorfall stellt eine der größten digitalen Bedrohungen dar, mit denen sich die Berliner Behörden in der jüngeren Vergangenheit konfrontiert sahen.

Details zu den entwendeten Datenmengen und Inhalten

Das Ausmaß der entwendeten Informationen ist nach Angaben der Hacker deutlich größer, als es die offiziellen Stellen des Landes Berlin in den ersten Tagen nach Bekanntwerden des Angriffs kommuniziert hatten. Die von Rhysida veröffentlichten Informationen zeichnen ein beunruhigendes Bild. Zu den erbeuteten Daten gehören demnach rund 80.000 Ordnungswidrigkeitsverfahren sowie mehr als 46.500 Verträge. Besonders kritisch ist die Tatsache, dass sich unter den Daten auch Informationen zu Einrichtungen der kritischen Infrastruktur befinden. Darüber hinaus sollen sensible Justizunterlagen, Notfallpläne und eine Vielzahl an Passwörtern abgeflossen sein. Die Hacker behaupten zudem, über knapp 6.000 Dateien zu verfügen, die explizite Login-Daten enthalten. Um ihre Behauptungen zu untermauern, haben die Täter Ausschnitte aus verschiedenen Dokumenten als Beleg im Internet veröffentlicht. Diese tragen Überschriften wie "vertrauliche Personalsachen" und zeigen zudem offizielle Briefköpfe des Bundesrats sowie der Senatsverwaltung für Mobilität. Zwar konnten die Authentizität der gezeigten Dokumente und die Richtigkeit der Angaben der Hacker zum jetzigen Zeitpunkt noch nicht unabhängig verifiziert werden, doch die Art der präsentierten Beweise deutet auf einen tiefgreifenden Zugriff in die Verwaltungsstrukturen hin.

Hintergrund und bisherige Aktivitäten der Tätergruppe

Die Gruppierung Rhysida ist in der internationalen Cybercrime-Szene kein unbeschriebenes Blatt. Die Organisation ist seit Mai 2023 aktiv und operiert nach dem sogenannten Ransomware-as-a-Service-Modell (RaaS). Bei diesem Geschäftsmodell stellen die Entwickler der Schadsoftware ihre Werkzeuge anderen Kriminellen zur Verfügung, um Angriffe durchzuführen, und beteiligen sich im Gegenzug an der Beute. Die Historie von Rhysida zeigt, dass es sich um eine hochprofessionelle und gefährliche Gruppierung handelt, deren Angriffe weltweit für Schlagzeilen gesorgt haben. Ein prominentes Beispiel ist der Angriff auf das Sony-Entwicklerstudio, bei dem die Gruppe über 1,3 Terabyte an Daten stahl, darunter unveröffentlichte Spieldaten sowie hochsensible Personalunterlagen und Verträge zu bekannten Projekten wie Marvel Wolverine. Auch öffentliche Institutionen waren in der Vergangenheit bereits Ziel der Gruppe. So legte ein Angriff auf die British Library im Herbst 2023 die digitale Infrastruktur und den Onlinekatalog der britischen Nationalbibliothek über mehrere Monate hinweg vollständig lahm. Die Täter verfolgen dabei keine moralischen oder sozialen Ziele, sondern agieren rein profitorientiert und rücksichtslos gegenüber ihren Opfern.

Betroffene Institutionen und das Gefahrenpotenzial

Die Liste der bisherigen Opfer von Rhysida unterstreicht die Bandbreite der Angriffsziele. Neben der British Library und dem Sony-Studio wurden auch die deutsche Welthungerhilfe sowie die Stadtverwaltung Stuttgart zum Ziel der Ransomware-Gang. Ein besonders schwerwiegender Vorfall ereignete sich im Jahr 2023 in den USA, als die Gruppe Prospect Medical Holdings angriff. Dies führte zum Ausfall von Notfallaufnahmen und kritischen IT-Systemen in zahlreichen Krankenhäusern über mehrere US-Bundesstaaten hinweg, was die unmittelbare Gefahr für die öffentliche Sicherheit und das menschliche Leben verdeutlichte. Im aktuellen Fall der Berliner Landes-IT sind neben den bereits genannten Justizunterlagen und Personaldaten vor allem die Informationen zur kritischen Infrastruktur von höchster Relevanz. Die Einordnung durch Sicherheitskreise, die gegenüber dem Spiegel bestätigten, dass es sich tatsächlich um Rhysida handelt, verleiht der Bedrohung ein erhebliches Gewicht. Es ist davon auszugehen, dass die Berliner Behörden nun vor der schwierigen Entscheidung stehen, wie auf die Erpressung zu reagieren ist, während die IT-Experten fieberhaft versuchen, den Schaden zu begrenzen und die betroffenen Systeme abzusichern.

Einordnung der aktuellen Sicherheitslage

Einzuordnen ist die aktuelle Situation als ein massiver Vertrauensbruch in die digitale Sicherheit der Berliner Verwaltung. Den Berichten zufolge ist das Ausmaß der Datenabflüsse weitaus gravierender, als es die ersten offiziellen Verlautbarungen vermuten ließen. Die Tatsache, dass sensible Personaldaten und Informationen über die kritische Infrastruktur in die Hände von Kriminellen gelangt sind, stellt die Landesregierung vor eine enorme Herausforderung. Die Veröffentlichung von Belegdokumenten durch die Hacker dient dabei nicht nur als Beweis für den Erfolg des Angriffs, sondern auch als psychologisches Druckmittel, um die Zahlungsbereitschaft zu erhöhen. Die bisherigen Taten der Gruppe, insbesondere der Angriff auf Krankenhäuser in den USA, zeigen, dass Rhysida keine Skrupel kennt, wenn es darum geht, den Druck auf die Opfer zu maximieren. Die Einordnung durch Experten legt nahe, dass man es hier mit einem Akteur zu tun hat, der die Schwachstellen in IT-Systemen gezielt ausnutzt, um maximalen Schaden anzurichten. Die Berliner Behörden befinden sich in einer prekären Lage, in der jede Entscheidung – ob Zahlung oder Verweigerung – weitreichende Konsequenzen für die Sicherheit der Bürger und das Ansehen der Verwaltung haben könnte.

Offene Fragen und ungeklärte Aspekte

Trotz der vorliegenden Informationen bleiben zahlreiche Fragen offen, die der Quelltext derzeit nicht beantworten kann. Zunächst ist die Unabhängigkeit der Verifizierung der Hacker-Behauptungen ein kritischer Punkt. Es ist unklar, ob die von den Angreifern gezeigten Dokumente tatsächlich repräsentativ für den gesamten Datensatz sind oder ob es sich um eine gezielte Auswahl handelt, um die Erpressungssumme zu rechtfertigen. Ebenso bleibt unklar, über welche konkreten Einfallstore die Täter in die Systeme der Berliner Landes-IT gelangen konnten. Der Quelltext gibt keinen Aufschluss darüber, ob es sich um eine Sicherheitslücke in der Software, menschliches Versagen oder eine gezielte Phishing-Attacke handelte. Auch die Frage, welche konkreten Maßnahmen die Berliner IT-Sicherheitsexperten bereits ergriffen haben, um die weitere Ausbreitung der Ransomware zu stoppen, wird nicht detailliert beantwortet. Zudem ist nicht bekannt, ob das Land Berlin bereits Kontakt zu den Erpressern aufgenommen hat oder ob eine offizielle Strategie für den Umgang mit solchen Lösegeldforderungen existiert. Die Lücke zwischen den offiziellen ersten Einschätzungen und den Behauptungen der Hacker lässt zudem Raum für Spekulationen über die interne Kommunikation der Behörden.

Ausblick auf die kommenden Tage

Die unmittelbare Zukunft wird durch den von den Hackern gesetzten Countdown bestimmt. Da die Frist am 28. August 2026 begann und auf eine Woche ausgelegt ist, steht das Land Berlin unter einem enormen Zeitdruck. In den kommenden Tagen wird sich entscheiden, ob eine Lösung gefunden werden kann, die eine Veröffentlichung der sensiblen Daten verhindert. Es ist zu erwarten, dass die Sicherheitsbehörden und die IT-Verantwortlichen des Landes Berlin in dieser Zeit rund um die Uhr daran arbeiten, die Systeme zu bereinigen und die Auswirkungen des Datenabflusses zu minimieren. Die Öffentlichkeit wird vermutlich auf weitere offizielle Stellungnahmen warten müssen, um zu erfahren, wie mit der Lösegeldforderung umgegangen wird. Da die Gruppe Rhysida in der Vergangenheit bereits bewiesen hat, dass sie ihre Drohungen wahr macht, wenn keine Zahlung erfolgt, ist die Anspannung bei den betroffenen Senatsverwaltungen und den beteiligten Sicherheitskreisen in Berlin derzeit auf einem Höchststand. Alle Augen richten sich nun auf den Ablauf der Frist und die Reaktion der Berliner Landesregierung auf diese beispiellose Erpressung.