Die Berliner Behörden sehen sich einem Erpressungsversuch gegenüber, nachdem die Cyberkriminalitätsgruppe Rhysida die Verantwortung für einen Angriff im August auf die IT-Infrastruktur der deutschen Hauptstadt übernommen hat.
Rhysida gibt an, 5,79 Terabyte an Informationen aus Berlins Systemen erhalten zu haben. Die Gruppe behauptet, dass das gestohlene Material etwa 46.500 Verträge sowie E-Mails, Telefonnummern, Passwörter und geheime Informationen umfasst. Diese Behauptungen wurden nicht unabhängig bestätigt.
Die Angreifer drohen, die gestohlenen Daten zu versteigern, falls ihre Forderungen nicht erfüllt werden. Rhysida soll auf seiner Leak-Seite einen siebentägigen Countdown gestartet und den Startpreis für die Informationen auf 30 Bitcoin festgelegt haben.
Berlin hat bereits eine Lösegeldforderung erhalten, obwohl die Behörden nicht bekannt gegeben haben, wie viel Geld die Angreifer gefordert haben. Beamte haben deutlich gemacht, dass die Regierung nicht beabsichtigt zu zahlen.
“Der Bundesstaat Berlin wird nicht erpresst werden”, sagten der amtierende Bürgermeister Kai Wegner und die Innensenatorin Iris Spranger in einer gemeinsamen Erklärung. Sie fügten hinzu, dass das Berliner Staatskriminalpolizeibüro und die Staatsanwaltschaft mit den Bundessicherheitsbehörden zusammenarbeiten, um den Angriff zu untersuchen und die Verantwortlichen zu identifizieren.
Der Vorfall betraf im August das Berliner Senatsverwaltungsnetzwerk und wurde von den Behörden zunächst als “IKT-Vorfall” bezeichnet. Einige Systeme wurden getrennt, während die Behörden den Einbruch untersuchten und dessen Auswirkungen bewerteten.
Alle Senatsabteilungen waren bis zum 23. August wieder mit dem Netzwerk verbunden, obwohl die Untersuchung des Angriffs und möglichen Datendiebstahls weiterhin andauert.
Der Zeitpunkt ist besonders bemerkenswert, da Berlin seine Landtagswahl am 20. September abhalten soll. Spranger sagte, die Systeme, die die Wahl unterstützen, seien durch den Cyberangriff nicht kompromittiert worden.
Rhysida ist eine Ransomware- und Erpressungsgruppe, die zuvor große Organisationen und regierungsnahe Einrichtungen ins Visier genommen hat. Zu ihren früheren Opfern gehörten die British Library und der Videospielentwickler Insomniac Games.
Die Gruppe übernahm außerdem die Verantwortung für einen Angriff auf den US-Hersteller Gemini Group im Jahr 2025 und veröffentlichte anschließend fast zwei Terabyte an Informationen, die Berichten zufolge Mitarbeiter- und Kundendaten enthielten. Anfang desselben Jahres listete Rhysida einen Bezirk in Montreal auf seiner Leak-Seite und veröffentlichte Proben von Dokumenten, die sie angeblich aus Regierungsnetzwerken bezogen hatten.
Die Berliner Behörden haben das gesamte Volumen oder die Kategorien der Informationen, die Rhysida angeblich besitzt, nicht bestätigt. Die Behauptungen der Gruppe über die 5,79 Terabyte gestohlenen Daten, Tausende von Verträgen, Passwörtern und klassifizierten Materialien bleiben daher weiterhin Angreiferbehauptungen, während die offizielle Untersuchung andauert.
Da Rhysida damit droht, die Informationen innerhalb weniger Tage zu verkaufen, setzen die deutschen Behörden ihre Ermittlungen fort und behaupten, Berlin werde den Erpressungsforderungen der Gruppe nicht nachkommen.