Am Freitag, dem 4. September, ist eingetreten, was seit drei Wochen drohte. Die Erpressergruppe Rhysida hat 5,79 Terabyte Daten veröffentlicht, die sie zwischen dem 7. und 12. August aus dem Berliner Landesnetz abgezogen hatte. Rund 1,44 Millionen Dateien aus zwei Senatsverwaltungen liegen seither im Darknet.
Die Forderung hatte bei 30 Bitcoin gelegen, umgerechnet etwa zwei Millionen Euro. Berlin hat abgelehnt — auf Empfehlung der Sicherheitsbehörden und in Übereinstimmung mit allem, was Fachleute in dieser Lage raten. Wer zahlt, finanziert die nächste Kampagne und hat trotzdem nur ein Versprechen in der Hand.
Die Entscheidung war richtig. Und die Daten sind jetzt öffentlich.
Eine Erpressung, zwei Hälften
Das klingt nach einem Widerspruch, ist aber nur die Folge davon, wie diese Angriffe heute ablaufen. Vor einigen Jahren bestand Ransomware darin, Dateien zu verschlüsseln und für den Schlüssel Geld zu verlangen. Dagegen hilft eine Sicherung, und deshalb hat sich die Methode geändert.
Heute wird zuerst kopiert, dann verschlüsselt. Damit hat der Täter zwei Hebel statt einem: Er kann den Betrieb lahmlegen — und er kann veröffentlichen.
Gegen den ersten Hebel hilft eine geprüfte Sicherung. Wir haben beschrieben, warum die meisten Betriebe ihre Wiederherstellung überschätzen, und daran ändert dieser Fall nichts: Berlin bekommt seine Systeme zurück.
Gegen den zweiten Hebel hilft keine Sicherung. Eine Kopie holt keine Datei aus dem Darknet zurück. Sobald die Daten das Haus verlassen haben, ist dieser Teil des Schadens unumkehrbar — unabhängig davon, wie gut die Notfallplanung war und ob gezahlt wird oder nicht.
Was in den 5,79 Terabyte lag
Die Täter listen ihre Beute selbst auf, und die Aufstellung ist bemerkenswert konkret: 46 522 Verträge, 77 939 Rechts- und Beschwerdeverfahren, über 5000 Personalakten, 148 IBAN, Ausweiskopien, Gesundheitsdaten, Gehaltslisten.
Und 5941 Dateien mit Passwörtern. Darunter eine Word-Datei, in der Kennwörter im Klartext standen. Nicht verschlüsselt, nicht in einem Passwortmanager, nicht einmal mit einem Dokumentenkennwort versehen.
Warum diese eine Zahl die wichtigste ist
Alle anderen Kategorien beschreiben einen Schaden, der bereits eingetreten ist. Verträge, Personalakten, Gesundheitsdaten — die sind draussen, das ist bitter für jeden Betroffenen, und es ist abgeschlossen.
Die Passwortdateien sind anders. Sie beschreiben einen Schaden, der erst beginnt.
Zugangsdaten öffnen Systeme, die der Angriff nie berührt hat. Ein Kennwort für ein Fachverfahren, für ein Portal eines Dienstleisters, für ein Wartungskonto bei einem Partner — nichts davon lag im angegriffenen Netz, und alles davon ist jetzt kompromittiert. Wer diese Liste auswertet, hat den Einstieg für den nächsten Angriff, und zwar bei jemand anderem.
Genau deshalb wirkt so ein Vorfall über Monate weiter, lange nachdem er offiziell als bewältigt gilt.
«Das ist eine Behörde, wir sind zu zehnt»
Der Einwand kommt zuverlässig, und er geht am Kern vorbei. Berlin unterscheidet sich in der Grössenordnung, nicht in der Ursache.
Die Datei mit den Zugangsdaten gibt es in fast jedem Betrieb. Sie heisst «Zugänge.docx», «Passwörter.xlsx» oder «IT Übersicht», sie liegt auf dem Laufwerk, das alle Mitarbeitenden sehen, und sie ist entstanden, weil jemand vor Jahren pragmatisch war. Meist steht darin mehr, als der Verfasser heute vermuten würde: das Kennwort des Routers, der Zugang zum Onlineshop, die Anmeldung beim Treuhänder.
Für die Schweiz sind für das erste Halbjahr 2026 fünfunddreissig Ransomware-Fälle ausgewiesen. Wir haben erklärt, warum diese Zahl deutlich zu klein ist: Gezählt wird nur, womit die Täter geprahlt haben. Berlin taucht in solchen Statistiken auf — weil Rhysida es öffentlich gemacht hat. Die Fälle, in denen still gezahlt wurde, fehlen.
Drei Dinge, die sich heute erledigen lassen
Die Passwortdatei suchen. Durchsuchen Sie Dateiserver, Cloudordner und Mailpostfächer nach Dokumenten, deren Name «Passwort», «Zugang», «Zugangsdaten», «Login» oder «credentials» enthält. Suchen Sie auch im Postausgang — Zugangsdaten werden häufiger gemailt als abgelegt.
Nicht löschen, sondern überführen. Eine gelöschte Liste heisst nur, dass die Kennwörter niemand mehr findet, wenn sie gebraucht werden — und dann entsteht die nächste. Der Inhalt gehört in einen Passwortmanager, aus dem sich gezielt einzelne Zugänge freigeben lassen. Der Aufwand liegt bei einem halben Tag, einmalig.
Wissen, welche Daten Sie überhaupt halten. Kommt es zum Vorfall, entscheidet genau das über die Meldepflicht. In der Schweiz gelten dabei andere Regeln als die vielzitierten 72 Stunden, und ohne Übersicht lässt sich die Frage nicht einmal beantworten.
Keiner dieser drei Punkte verhindert einen Angriff. Sie bestimmen, wie weit er reicht, wenn er kommt — und dieser Teil liegt tatsächlich in Ihrer Hand.
Wenn Sie nicht sicher sind, wo bei Ihnen Zugangsdaten liegen und wer sie sehen kann: Wir gehen das mit Ihnen durch.