Das Zertifikat war gültig

Am Freitag, dem 4. September, lief gegen 15.35 Uhr ein Ultimatum ab. Etwa eine Stunde später, so heise online, begannen die Downloads. Seitdem liegen Dateien aus der Berliner Verwaltung im Darknet, für jeden, der sie haben will. Die Täter sprechen von rund 1,44 Millionen.

Die Gruppe heißt Rhysida. Sie hatte 30 Bitcoin verlangt, damals rund zwei Millionen Euro. Der Senat hat nicht gezahlt. „Das Land Berlin lässt sich nicht erpressen“, sagte der Regierende Bürgermeister Kai Wegner. Das war richtig. Es war auch das Ende der Möglichkeiten.

Ich habe den Fall aus Mitteilungen von Senat, Datenschutzbeauftragter und BSI, aus Drucksachen und aus der Berichterstattung von rbb, Tagesspiegel, heise und taz rekonstruiert. Wo nur die Täter etwas behaupten, steht das dabei. Eine Frage zieht sich durch: Wie passt ein solcher Abfluss zu einer der am dichtesten regulierten IT-Landschaften des Landes?

Zehn Tage ohne Netz

Wie die Angreifer hineinkamen, hat das BSI Anfang September eingeordnet. Nach Bericht von heise bestätigte das Amt, dass Rhysida eine Masche nutzte, die es „TerminalFix“ nennt. Eine gefälschte Sicherheitsabfrage im Browser bittet darum, einen Befehl in die Windows-Konsole einzufügen. Die Seite hat ihn schon in die Zwischenablage gelegt. Laut Tagesspiegel fiel ein Mitarbeiter der Verkehrsverwaltung darauf herein. Das ist keine Schuldfrage. Die Masche ist dafür gebaut, im Arbeitsalltag zu funktionieren.

Was danach geschah, soweit Behörden es bestätigt haben:

Zehn Tage ohne Netz, sagt die Chronik. In den Häusern hieß das: keine Mails nach außen, kein Homeoffice (eGovernment/dpa). Während das Ultimatum lief, durchsuchten Beschäftigte Dokumente von Hand, um zu verstehen, was fehlt. So steht es über der Rekonstruktion des Tagesspiegel.

Was im Paket liegt

Was genau in den Dateien steckt, hat der Senat bis heute nicht vollständig gesagt. Nach Angaben der Senatskanzlei handelt es sich überwiegend um unstrukturierte Daten aus gemeinsamen und persönlichen Laufwerken, nicht aus Fachverfahren. Ob jemand persönlich betroffen ist, könne „aktuell weder ausgeschlossen noch abschließend bestätigt werden“, schreibt die Datenschutzbeauftragte (Stand 11. September).

Was Redaktionen gesichtet haben und was die Täter versprechen:

• Ausweiskopien und persönliche Unterlagen von Beschäftigten. Darunter, nach rbb-Recherche, die Ausweiskopie der amtierenden Verkehrssenatorin und die E-Mails ihrer beiden Vorgängerinnen.
• Nach Angaben der Erpresser, die dpa wiedergab: mehr als 5 000 Personalakten, Bußgeldverfahren, Gehaltsunterlagen und vertrauliche Unterlagen aus Bundesratsausschüssen (heise/dpa).
• Notfall- und Schutzkonzepte zur zivilen Verteidigung, Pläne kritischer Anlagen von Wasser- und Heizwerken bis zu Umspannwerken (heise). Der Tagesspiegel nennt Listen von Objekten und Einrichtungen, die im Verteidigungsfall besonders zu schützen sind.
• Dateien zur Trinkwassernotversorgung. Der CCC-Sprecher Jochim Selzer fand Namen wie „Notbrunnen“ und „Tiefspiegelbrunnen“ und Mängelberichte zum Zustand von Entnahmestellen (ZfK). Die Berliner Wasserbetriebe sagen, sie hätten „Vorkehrungen getroffen, um unsere Resilienz zu erhöhen“.
• Zugangsdaten. Rhysida hatte Listen mit Passwörtern im Klartext angekündigt. Der Tagesspiegel nennt eine Datei namens „Passwort.docx“.

Die Mengen gehen auseinander, und das gehört zum Befund. Rhysida spricht von 5,79 Terabyte. Der Tagesspiegel schrieb nach der Veröffentlichung von rund 5,3 der 5,8 Terabyte, Mitte Oktober von rund vier. Das Land hat keine dieser Zahlen bestätigt.

Die Schlagzeilen gehörten den Verteidigungsplänen. Die Wirkung traf zuerst die Miete. Mit der Trennung fiel das Fachverfahren für Wohngeld aus. Für mehr als 50 000 berechtigte Haushalte war die Zahlung in Gefahr, und auch Leistungen aus dem Bildungs- und Teilhabepaket drohten auszufallen, so der Bezirk Pankow. Am 21. August war die Auszahlung laut heise noch nicht möglich. Ob der Zahllauf Ende August pünktlich lief, haben die Behörden, soweit ich sehe, nicht öffentlich gesagt. netzpolitik.org schreibt, das Wohngeld sei nicht rechtzeitig gezahlt worden.

Und wer ist betroffen? Eine erste Auswertung des Tagesspiegel fand Daten zu mindestens 10 000 Menschen, vermutlich deutlich mehr. Mitte Oktober hatte die Benachrichtigung nach demselben Bericht gerade erst begonnen. Selbst die frühere Verkehrssenatorin Bettina Jarasch erfuhr laut rbb nur informell, dass sie betroffen ist.

Das Zertifikat galt woanders

Jetzt der Teil, um den es mir geht. Die naheliegende Lesart lautet: Hier wurde eine zertifizierte Umgebung geknackt. Das stimmt so nicht, und genau darin liegt der Punkt.

Erst die Regeln. Nach der Leitlinie zur Informationssicherheit muss im Land Berlin jede Behörde ein ISMS aufbauen, das den Standards des BSI entspricht. Seit 2017 verpflichtet eine landesweite Leitlinie die Behörden auch, genug Personal und Geld für den Schutz bereitzustellen, so der rbb. Dazu kommen Datenschutz-Grundverordnung, Verschlusssachenanweisung, Datenschutz- und Sicherheitsbeauftragte, Rechnungshof.

Dann das Zertifikat. Das IT-Dienstleistungszentrum Berlin ist seit Herbst 2015 vom BSI zertifiziert. Das geltende Zertifikat BSI-IGZ-0634-2024 stammt vom 1. August 2024 und gilt bis 31. Juli 2027, unter der Bedingung jährlicher Überwachungsaudits. Es umfasst das ISMS, die Rechenzentren und Dienstgebäude des ITDZ, dessen Arbeitsplatz-Clients, die Telefonie, „die Netze und die Netzwerktechnik zur verschlüsselten Kommunikation insbesondere über das Berliner Landesnetz“, die Anbindung an Fremdnetze und die private Cloud. Und es sagt über sich selbst: „Dieses Zertifikat gilt nur für den angegebenen Untersuchungsgegenstand.“

Und dann der Ort des Angriffs. Ist das ITDZ für die IT der betroffenen Häuser zuständig? „Kurz gesagt: Nein“, sagt Borelli. Nach dem Berliner E-Government-Gesetz von 2016 entscheiden Behörden für ihre verfahrensspezifische IT selbst, ob sie das ITDZ nutzen oder eigene Lösungen betreiben. Zur Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen, kurz Bauverwaltung, gehört technisch auch die Verkehrsverwaltung. „In den meisten Berliner Behörden, die ihre IT selbst betreiben, findet etwa kein zentrales Monitoring statt“, sagt Borelli. Das Sicherheitszentrum des ITDZ arbeitet rund um die Uhr, aber für die zentrale Infrastruktur.

Bemerkt wurde der Abfluss also dort, wo das Zertifikat galt: am Übergang des Landesnetzes ins Internet. Nach einer Woche. Drinnen, in den Häusern, sah es anders aus. Die Bauverwaltung hatte 2026 ein System zur Angriffserkennung eingeführt, teilte sie dem rbb mit. Die Lizenzen reichten für 5 Prozent der Rechner und Server, mehr sei „aus finanziellen Gründen“ nicht möglich gewesen. Weder das Gerät, über das die Angreifer hineinkamen, noch die Server, von denen Daten abflossen, gehörten dazu.

Das Zertifikat hat nicht gelogen. Es sagt genau, was ein Zertifikat sagen kann: dass zu einem Datum, in einem beschriebenen Geltungsbereich, ein Verfahren beschreibbar und vorführbar war. Der Angreifer prüft etwas anderes.

Das ist kein Vorwurf an das ITDZ. Über die Dateiablage einer Fachverwaltung sagt sein Zertifikat nichts, und es behauptet das auch nicht. Das Problem ist, wie wir es lesen. Wir benutzen ein Instrument, das präzise etwas Schmales aussagt, als Antwort auf die eine Frage, die alle stellen: Sind wir sicher?

Der Prüfer kündigt sich an

Ein Audit ist eine Stichprobe mit Termin. Es hat einen Geltungsbereich, eine Vorbereitung, eine Liste von Nachweisen und am Ende einen Menschen, der über Dokumente urteilt, nicht über einen laufenden Angriff. Alle wissen, wann es losgeht. Das ist kein Betrug. Das ist die Bauart.

Der Angreifer hat keinen Termin und keinen Geltungsbereich. Er sucht nicht das durchschnittliche Sicherheitsniveau, sondern die schlechteste Stelle, und er muss sie ein einziges Mal finden. Die Verteidigung muss überall richtig liegen, jeden Tag, auch im August, auch in dem Haus, das nicht im Scope steht.

Das ist bekannt und trotzdem nicht eingepreist. Denn das Zertifikat verdeckt die Asymmetrie. Es beendet eine Frage. Es hat ein Ausstellungsdatum, eine Urkunde, einen Ordner und jemanden, der es vorzeigen kann. Es fühlt sich an wie ein Zustand. Angriffsfläche ist aber kein Zustand. Sie ändert sich mit jeder Schnittstelle, jedem Dienstleister, jedem Personalwechsel.

Ein Zertifikat sagt: Zum Stichtag war das Verfahren beschreibbar. Ein Angriff fragt: Hat es am Dienstag um drei gehalten? Beides kann stimmen. Nur eins davon hängt im Flur.

Die Pflicht erzeugt die Beute

Das ist der Punkt, der mir am wenigsten gefällt, weil er sich durch mehr Anstrengung nicht auflöst.

Wer nachweisen will, dass er sicher ist, muss aufschreiben, wie. Netzpläne, Rollenkonzepte, Risikoanalysen, Notfall- und Wiederanlaufpläne, Verzeichnisse von Verarbeitungstätigkeiten, Dienstleisterverträge mit Zugangsregeln. Jedes dieser Dokumente ist sinnvoll. Jedes ist auch eine Landkarte.

Die Notbrunnen sind ein gutes Beispiel. Sie gehören zur Trinkwasservorsorge für den Krisenfall, geregelt im Wassersicherstellungsgesetz des Bundes. Wer sie unterhält, prüft ihren Zustand und schreibt Mängel auf, weil es eine Regel verlangt, und die Regel ist vernünftig. Danach liegt der Bericht als Datei in einer Verwaltung, im selben Netz wie die Wohngeldanträge, geschützt wie ein Sitzungsprotokoll. Selzer sieht keine akute Gefahr für die Wasserversorgung, aber ein mittelfristiges Risiko: Die Daten „lassen sich nicht wieder einsammeln“.

Der Angreifer muss ein System nicht analysieren. Er muss die Datei finden, in der es analysiert wurde. Diese Datei gibt es, weil eine Vorschrift sie verlangt hat.

Dasselbe gilt für die Passwörter in Office-Dateien. Sie entstehen nicht nur aus Nachlässigkeit. Sie entstehen aus Übergaben, aus Vertretungen, aus Dienstleisterwechseln, aus dem berechtigten Wunsch, dass die Arbeit weitergeht, wenn jemand krank ist. Wie verbreitet das ist, zeigt ein Dringlichkeitsantrag von Grünen und Linken vom 9. September. Er fordert eine Taskforce, die sämtliche Fileserver nach Dateien wie „passwort.docx“, „passwörter.xlsx“ oder „logins.txt“ durchsucht.

Ein Prozess, der Nachvollziehbarkeit verlangt, erzeugt Dokumente. Dokumente lassen sich kopieren. Je gründlicher die Compliance, desto ergiebiger die Beute. Der Reflex nach einem solchen Vorfall, mehr Dokumentationspflichten, ist deshalb zum Teil ein Beitrag zum nächsten.

Warum niemand aussteigt

Weil sich alle rational verhalten. Das ist der unangenehme Teil.

Der Auditor wird für das Testat bezahlt, der Berater für das Konzept. Die Abteilungsleitung braucht ein Papier für Rechnungshof, Datenschutz und Ausschuss. Die Hausspitze braucht einen Satz für die Pressekonferenz. Alle tun ihren Job, und alle Ergebnisse haben eine Rechnungsnummer, ein Datum und einen Adressaten.

Der Angriff, der nicht stattfindet, hat nichts davon. Kein Dokument, keinen Termin, keinen Beleg. Organisationen bezahlen, was sie sehen können. Sichtbar ist die Compliance. Wirksam wäre die Härtung. Wer nur die Tinte zählt, bekommt Tinte.

Berlin hat das in Zahlen vorgeführt. Für IT-Sicherheit waren 2024 nach dem Jahresbericht zur Informationssicherheit, den der rbb einsehen konnte, Mittel nur „teilweise im erforderlichen Maße“ vorhanden. Ende 2024 kürzte die Koalition laut taz das Budget des ITDZ von 32 auf 18 Millionen Euro und strich 2 Millionen bei der Angriffserkennung. Gleichzeitig lief die Pflicht zum ISMS weiter. Gespart wurde nicht am Papier. Gespart wurde am Blick ins Netz.

Ein Gegenüber ohne Adresse

Rhysida ist kein Staat. Die US-Behörde CISA beschreibt die Gruppe, aktiv seit 2023, als „Ransomware as a Service“: ein Geschäftsmodell mit Partnern, die einen Anteil bekommen. Diese Struktur hat einem Bundesland eine Frist gesetzt, in einer Währung, die keine Zentralbank ausgibt, und die Strafe pünktlich vollstreckt. Ein externer Dienstleister, auf den sich das BSI laut heise beruft, zählt: In 92 Prozent der Fälle, in denen solche Gruppen mit Veröffentlichung drohen, veröffentlichen sie auch.

Berlin konnte darauf mit genau zwei Dingen antworten: zahlen oder nicht. Der Rechtsstaat hat viele Instrumente. Fast alle setzen voraus, dass das Gegenüber eine Adresse hat, ein Konto, einen Gerichtsstand oder einen Ruf zu verlieren. Nichts davon trifft hier zu.

Der Staat ist zuständig geblieben für etwas, das er technisch nur noch teilweise kontrolliert. Regulierung ist das Instrument, das ihm sicher gehört. Genau deshalb wird es überdehnt.

Die Einwände

Bis hierher klingt das wie eine Abrechnung mit Regeln. An dieser Stelle würde ich dem Text misstrauen. Also die Einwände.

Ohne Grundschutz wäre es schlimmer. Vermutlich stimmt das. Der Grundschutz hat den Boden angehoben. Und bemerkt wurde der Abfluss am Ende genau dort, wo zertifiziert und rund um die Uhr überwacht wurde. Meine These ist schmaler: Der Boden wird als Decke verkauft. Ein bestandenes Audit belegt, dass Mindestanforderungen zum Stichtag erfüllt waren. Es belegt nicht, dass ein Angreifer scheitert, und es soll das auch nicht.

Das ist Rückschau. Berechtigt. Nach einem Vorfall sieht alles fahrlässig aus, und ich kenne die Lage vor Ort nur aus Mitteilungen und Berichten. Deshalb muss der Maßstab einer sein, den man vorher nennen kann. Dazu gleich.

Mehr Überwachung ist nicht gratis. Auch das stimmt. Der Bezirk Lichtenberg weigert sich nach heise, die Software des US-Anbieters Crowdstrike auf seinen Servern zu installieren, die das Land nun als Übergangslösung einsetzt. Begründung: fast unbegrenzter Datenzugriff, mögliche Störungen der Fachverfahren, Überwachungsrisiken für die Beschäftigten. Angriffserkennung ist selbst ein Zugang.

Was hätte denn geholfen? Keine Moral, eine Liste. Weniger aufbewahren, weil gelöschte Daten nicht abfließen. Keine Zugangsdaten in Dokumenten, technisch erzwungen statt per Richtlinie verboten. Netze trennen, damit ein Zugang nicht zwei Häuser öffnet. Compliance-Dokumente behandeln wie das, was sie sind: die beste Zusammenfassung des Angriffsziels. Und den Ausfall üben, mit Stoppuhr, inklusive der Frage, wie Wohngeld ohne Fachverfahren ausgezahlt wird. Nichts davon erzeugt eine Urkunde.

Und NIS2? Die EU-Richtlinie bringt zwei Dinge, die beißen: Verantwortung der Leitung und Fristen. Artikel 23 verlangt eine Frühwarnung binnen 24 Stunden nach Kenntnis eines erheblichen Vorfalls. Fristen messen zum ersten Mal keine Beschreibung, sondern eine Geschwindigkeit. Für die eigene Landesverwaltung muss Berlin die Richtlinie selbst umsetzen. Der Antrag von Grünen und Linken fordert das ausdrücklich. Ich würde NIS2 nicht abschaffen. Ich würde nur aufhören, ihre Erfüllung mit Sicherheit zu verwechseln.

Drei Uhren statt einer Urkunde

Der Begriff, den wir benutzen, stammt aus einer Welt mit Mauern. Sicher war ein Zustand, den man erreicht, prüft und dann hat. Deshalb passt eine Urkunde so gut dazu.

Berlin zeigt einen anderen Begriff. Nicht Zustand, sondern Geschwindigkeit. Die Fragen, die etwas ausgesagt hätten, lauten auf Zeit und Reichweite. Wie lange kopiert jemand Daten, bevor es auffällt? Hier mindestens sieben Tage, vom ersten belegten Abfluss bis zur Entdeckung. Wie weit reicht ein Zugang? Hier über zwei Häuser, und 95 Prozent der Geräte in der Bauverwaltung waren ohne Angriffserkennung. Wie lange dauert es, bis die Leistung wieder fließt? Zehn Tage bis zum Netz, 62 Tage bis zum Ende des Notfalls, und die Benachrichtigung der Betroffenen läuft noch.

Diese drei Zahlen kann jede Organisation vorher messen, ohne Vorfall, ohne Prüfer, ohne Urkunde. Sie sind unangenehm, weil sie nichts beenden. Sie bleiben schlecht, solange sie schlecht sind.

Die Politik bewegt sich in diese Richtung, zumindest auf Papier. „Es gibt strukturelle Defizite in der IT“, sagte Digital-Staatssekretär Florian Hauer schon im August. Seit Mitte Oktober soll ein Dienst der Telekom, mit Crowdstrike als Unterauftragnehmer, Anomalien in der Verwaltung erkennen. Bei der Wahl am 20. September wurde die Linke stärkste Kraft. Im Sondierungspapier von Linken, Grünen und SPD steht eine „verpflichtende Angriffserkennung für alle Dienststellen“. Ein paar Seiten davor steht, dass Dokumentationspflichten grundsätzlich entfallen sollen, wo es rechtlich geht. Gemeint ist Bürokratieabbau. Es wäre auch weniger Beute.

Das Beruhigende an der alten Vorstellung war, dass Sicherheit etwas ist, das man abschließen kann. Diese Vorstellung ist der eigentliche Verlust, und sie kommt nicht zurück. Was zurückkommen kann, ist Ehrlichkeit über die Größenordnung. Eine Gruppe ohne Adresse hat zwei Häuser einer Landesregierung für zehn Tage vom Netz gezwungen, und die entscheidenden Zahlen standen in keinem Prüfbericht.

Das Zertifikat war gültig. Die Daten sind weg. Beides stimmt gleichzeitig, und genau darin liegt das Problem.

Quellen und Methode

Die Chronik stützt sich auf Behördenangaben: Pressemitteilungen der Senatskanzlei vom 26. August, 5. und 6. September 2026, die Hinweise der Berliner Datenschutzbeauftragten (Stand 11. September), Aussagen des Senats, wie dpa, heise, eGovernment und Tagesspiegel sie wiedergeben, und das Interview mit ITDZ-Vorständin Maria Borelli bei Vitako (20. Oktober). Den Angriffsweg TerminalFix hat das BSI bestätigt, so heise am 7. September.

Die Dauern sind Kalendertage zwischen belegten Daten: Abfluss 7. bis 12. August, also sechs Tage. Vom 7. August bis zur Entdeckung am 14. August sieben Tage, als Untergrenze, weil der erste Zugriff nicht veröffentlicht ist. Vom 14. bis 24. August zehn Tage ohne Netz. Vom 14. August bis zur Veröffentlichung am 4. September 21 Tage, bis zum Ende der akuten Gefahrenabwehr am 15. Oktober 62 Tage.

Was im Paket liegt, beruht auf Sichtungen durch Redaktionen (rbb, Tagesspiegel, ZfK mit CCC) und auf Angaben der Täter, beides gekennzeichnet. Keine Datenmenge ist amtlich. Die 50 000 Haushalte beim Wohngeld nennen Tagesspiegel und dpa.

Geltungsbereich und Laufzeit des Zertifikats stehen im Zertifikat BSI-IGZ-0634-2024 selbst. Die Betriebsverantwortung nach E-Government-Gesetz und das fehlende Monitoring beschreibt Borelli. Die 5 Prozent Abdeckung, die Begründung „aus finanziellen Gründen“ und die Angabe, dass Einstiegsgerät und Server nicht erfasst waren, stammen von der Senatsverwaltung für Stadtentwicklung gegenüber dem rbb (21. Oktober). Die Kürzung von 32 auf 18 Millionen Euro berichtet die taz, die Haushaltsunterlagen selbst habe ich nicht eingesehen.

Nicht gefunden habe ich, ob die beiden Senatsverwaltungen ein eigenes Zertifikat oder ein vollständig umgesetztes ISMS hatten. Eine Anfrage über FragDenStaat zu Verantwortlichkeiten und Sicherheitsprüfungen ist gestellt, die Frist der Senatskanzlei läuft bis 30. Oktober. Die Ermittlungen von LKA und Staatsanwaltschaft laufen.

Text und Recherche: Jonas Höttler. Stand Oktober 2026. Das Titelbild und die Kapitelbilder sind Konzeptbilder, KI-generiert mit Bria.