Berliner Datenleck: Ein Account genügt – ein Kommentar zur trügerischen Sicherheit

Ein Kommentar von Christian Zöpfchen, Geschäftsführer der etis GmbH.

Zwischen dem 7. und 12. August 2026 haben Angreifer Daten aus zwei Berliner Senatsverwaltungen abgezogen – der für Stadtentwicklung, Bauen und Wohnen und der für Mobilität, Verkehr, Klimaschutz und Umwelt. Bemerkt wurde der Vorfall am 14. August, die beiden Häuser wurden vom Landesnetz getrennt. Die Ransomware-Gruppe Rhysida forderte 30 Bitcoin, rund zwei Millionen Euro. Berlin zahlte nicht. Am 4. September stellten die Täter das Material ins Darknet: etwa 1,44 Millionen Dateien, nach eigenen Angaben 5,7 Terabyte. Das Land hat inzwischen eine Steuerungseinheit mit BSI, BKA und Verfassungsschutz eingerichtet, die das Material sichtet und Betroffene nach und nach anschreiben will.

Ich halte das für ein kritisches Ereignis – nicht, weil es das erste seiner Art wäre, sondern weil das Ausmaß des Schadens auch Wochen nach dem Einbruch nicht absehbar ist. Und weil es eine Lücke sichtbar macht, die nicht nur in Berlin existiert.

Terabyte sind keine Maßeinheit für Schaden

In der Berichterstattung dominiert die Zahl: 5,7 Terabyte. Die Zahl ist eindrucksvoll und sagt fast nichts. Ein Terabyte Baupläne im PDF-Format ist ärgerlich. Ein einziges Tabellenblatt mit Namen, Privatadressen, Geburtsdaten und Personalnummern ist gefährlich. Entscheidend ist nicht, wie viel abgeflossen ist, sondern was.

Und hier wird es ernst. Nach den bisherigen Auswertungen enthält das Material Personalakten und Disziplinarverfahren, Kopien von Ausweisdokumenten, Verträge, Passwörter im Klartext sowie Pläne und Schutzkonzepte zu Infrastruktur, die man gemeinhin als kritisch bezeichnet. Die Berliner Datenschutzbeauftragte rät Betroffenen bereits, Passwörter zu ändern, Konten zu kontrollieren und bei Mails und Anrufen misstrauisch zu sein. Das BSI spricht von einer erhöhten Bedrohungslage.

Was macht ein Krimineller mit solchen Daten? Drei Dinge, und alle drei haben wir in unserer Praxis schon gesehen:

• Phishing wird persönlich. Wer die Personalnummer, den Namen der Vorgesetzten und den Wortlaut der letzten Beurteilung kennt, schreibt keine holprige Massenmail mehr. Er schreibt eine Mail, die aussieht wie aus dem eigenen Haus, und trifft mit der ersten Nachricht.
• Erpressung wird individuell. Ein Disziplinarverfahren, eine Abmahnung, eine Gehaltspfändung – das sind Informationen, für die Menschen zahlen, damit sie nicht ihr Umfeld erreichen. Die Täter müssen dafür nicht einmal mehr die Behörde erpressen. Sie können zu jedem einzelnen Beschäftigten gehen.
• Identitäten werden weiterverwendet. Ausweiskopien und Klartextpasswörter sind Rohstoff: für Kontoeröffnungen, für Bestellungen auf fremden Namen, für den nächsten Einbruch bei dem Dienstleister, dessen Zugangsdaten in einem Vertragsanhang stehen.

Diese Folgen treten nicht in der Woche nach der Veröffentlichung ein. Sie treten über Monate und Jahre ein, verstreut, oft ohne dass die Betroffenen den Zusammenhang erkennen. Genau deshalb ist der Schaden heute nicht bezifferbar.

Verwundbar – aber bitte differenziert aufarbeiten

Der Fall zeigt, wie angreifbar öffentliche Infrastrukturen offensichtlich sind. Dieser Befund ist richtig und er ist unbequem. Was ich mir wünsche, ist trotzdem keine reflexhafte Schuldzuweisung, sondern eine differenzierte Aufarbeitung, die die eigentlich interessanten Fragen stellt:

1. Wie kamen die Angreifer hinein – und war der Weg vermeidbar?
2. Warum konnten über Tage hinweg Terabyte das Netz verlassen, ohne dass ein System Alarm schlug?
3. Warum lagen Passwörter im Klartext in Dateien, die in einer Verwaltung abgelegt sind?
4. Warum ist ein Netz so gebaut, dass zwei Häuser von einem Einbruch betroffen sind und die Beschäftigten wochenlang nicht aus dem Homeoffice arbeiten können?

Die ehrliche Antwort auf jede dieser Fragen wird lauten: Das ist bei vielen anderen Organisationen genauso. Und das ist der Punkt, an dem ich von Berlin zum Allgemeinen komme.

Das Problem sitzt nicht im Rechenzentrum

Datensicherheit und Cybersicherheit sind als Themen bekannt. Jeder Geschäftsführer, jede Amtsleiterin, jeder Sachbearbeiter hat die Berichte über Ransomware, Datenlecks und Erpressung wahrgenommen. Nur: Wahrgenommen ist nicht dasselbe wie angenommen. Psychologisch ist das Thema weder bei Entscheidern noch bei Anwendern wirklich angekommen. Die Berichte handeln von anderen. Man liest sie wie einen Verkehrsunfall auf der Gegenfahrbahn: bedauerlich, kurz erschreckend, dann fährt man weiter.

Die Sätze, die ich in Gesprächen am häufigsten höre, sind bezeichnend:

• „Bei uns gibt es doch nichts zu holen.“ Der Satz kommt vom Handwerksbetrieb mit 40 Mitarbeitern genauso wie vom Steuerberater mit 300 Mandanten. Beide haben Bankverbindungen, Personaldaten, Kundendaten und eine Liquidität, die man erpressen kann.
• „Wir sind zu klein, um interessant zu sein.“ Angreifer suchen sich ihre Opfer nicht nach Größe aus, sondern nach Erreichbarkeit. Ein ungepatchtes VPN-Portal ist für einen automatisierten Scanner interessant, egal, ob dahinter zehn oder zehntausend Menschen arbeiten.
• „Dafür haben wir doch die IT.“ Die IT kann Türen bauen. Ob jemand sie offen lässt, entscheidet sich am Arbeitsplatz.

Das ist keine Nachlässigkeit im moralischen Sinn. Es ist die normale menschliche Neigung, Risiken zu unterschätzen, die einen selbst noch nie getroffen haben. Die Awareness, sensibel mit Daten umzugehen und Gefahren zu erkennen, ist naturgemäß schwach ausgeprägt, solange man sich in Sicherheit wähnt. Trügerisch ist diese Sicherheit deshalb, weil sie nicht aus Schutzmaßnahmen entsteht, sondern aus der Abwesenheit eines Vorfalls – und die sagt über die Zukunft nichts aus.

Ein Account reicht

Was in dieser Diskussion regelmäßig unterschätzt wird: Es braucht keinen Einbruch ins Rechenzentrum. Es braucht einen einzigen kompromittierten Account. Der Rest ist Handwerk.

Ein paar Beispiele, die alle in dieser Form vorgekommen sind – bei Unternehmen, die sich für unauffällig hielten:

Das Buchhaltungspostfach. Eine Mitarbeiterin gibt ihr Microsoft-365-Passwort auf einer nachgebauten Anmeldeseite ein. Die Angreifer lesen wochenlang mit, lernen, welche Lieferanten wann Rechnungen schicken, und tauschen im richtigen Moment die Bankverbindung in einer echten Rechnung aus. Das Geld ist weg, bevor jemand merkt, dass überhaupt etwas passiert ist. Kein Schadcode, keine Verschlüsselung, nur ein Passwort.

Der VPN-Zugang ohne zweiten Faktor. Zugangsdaten aus einem alten Leak, ausprobiert gegen das Firmen-VPN. Der Account gehört einem Kollegen, der seit drei Jahren dasselbe Passwort für alles nutzt. Von dort aus ist der Angreifer im internen Netz, findet einen Server mit lokalen Adminrechten, holt sich daraus die Zugangsdaten eines Domänenadministrators – und hat innerhalb weniger Stunden alles. Genau dieser Ablauf steht hinter den meisten Ransomware-Fällen, die wir an anderer Stelle beschrieben haben.

Der Dienstleister-Zugang. Der Fernwartungszugang eines externen Betreuers – für die Telefonanlage, die Klimatechnik, das Zeiterfassungssystem – ist mit Standardpasswort eingerichtet und nie wieder angefasst worden. Der Zugang ist nicht auf das System beschränkt, das er betreut, sondern im flachen Netz ist alles erreichbar. Der Einbruch passiert nicht beim Kunden, sondern beim Dienstleister, und landet trotzdem beim Kunden.

Der ausgeschiedene Mitarbeiter. Der Account ist nach dem Austritt nicht gesperrt worden. Niemand merkt es, bis sich jemand von außen damit anmeldet.

In jedem dieser Fälle war das Netz technisch nicht schlechter als das vieler Nachbarn. Der Unterschied lag darin, dass ein Konto mehr durfte, als es musste, dass niemand hinschaute, und dass die Person am Rechner nicht damit rechnete, Ziel zu sein.

Was daraus folgt

Der Berliner Fall ist keine Berliner Besonderheit. Er ist der sichtbare Fall, weil die Täter die Daten veröffentlicht haben. Die unsichtbaren Fälle laufen gerade in Unternehmen, die sich noch für unbetroffen halten. Wer daraus Konsequenzen ziehen will, braucht kein Großprojekt, sondern eine Handvoll Entscheidungen, die man wirklich durchhält:

• Zweiter Faktor überall, ohne Ausnahme. Nicht für „die wichtigen Konten“, sondern für jedes. Die Ausnahme ist genau der Account, über den es passiert.
• Rechte nach Bedarf, nicht nach Bequemlichkeit. Ein Konto, das nur die Zeiterfassung bedient, darf keinen Fileserver sehen. Ein Fernwartungszugang endet an dem System, das er betreut.
• Abfluss erkennen, nicht nur Einbruch. Wenn ein einzelner Rechner nachts hunderte Gigabyte nach außen schickt, muss jemand davon erfahren – bevor die Täter es tun.
• Passwörter gehören in einen Passwortmanager, nicht in Dateien. Dass in Berlin Klartextpasswörter in den geleakten Dokumenten stehen, ist kein Technikproblem. Es ist ein Gewohnheitsproblem.
• Awareness ist keine Jahresschulung. Sie entsteht, wenn Menschen erleben, wie eine echte Phishing-Mail aussieht, die auf sie zugeschnitten ist – und wenn sie einen Fehler melden dürfen, ohne dafür bestraft zu werden. Wer aus Angst schweigt, gibt dem Angreifer Zeit.
• Auf Leitungsebene verankern. Das ist nicht nur meine Meinung, sondern inzwischen gesetzlicher Auftrag: Wer entscheidet, trägt die Verantwortung dafür, dass diese Punkte umgesetzt sind – und kann sie nicht mehr vollständig delegieren.

Den Betroffenen in Berlin – Beschäftigten wie Bürgern – ist mit alledem zunächst nicht geholfen. Für sie gilt, was die Datenschutzbeauftragte rät: Passwörter ändern, Konten im Blick behalten, bei jeder Mail und jedem Anruf, der sich auf Behördenvorgänge bezieht, misstrauisch sein. Die Daten sind draußen und kommen nicht zurück.

Für alle anderen ist der Fall eine Gelegenheit, die eigene Sicherheit einmal nicht am Ausbleiben eines Vorfalls zu messen, sondern an der Frage: Was passiert bei uns, wenn morgen ein einziges Konto in den falschen Händen ist? Wer diese Frage nicht in zwei Sätzen beantworten kann, wähnt sich in Sicherheit. Mehr nicht.

Dieser Beitrag gibt die persönliche Einschätzung des Autors wieder und ersetzt keine Rechtsberatung im Einzelfall.