Cyberangriff auf Berliner Landesnetz: Senat räumt Datenabfluss ein

Die schnelle Antwort: Nach dem Cyberangriff auf das Berliner Landesnetz hat der Senat seine Darstellung am 26. August 2026 korrigiert. Ein Abfluss personenbezogener Daten ist nun nicht mehr auszuschließen, betroffen ist die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Wer dort ein Verfahren, einen Antrag oder einen Vertrag laufen hatte, sollte sich vorerst als möglicherweise betroffen behandeln.

Was am 26. August korrigiert wurde

Die Chronologie dieses Vorfalls ist ungewöhnlich, und sie erklärt, warum viele Berlinerinnen und Berliner den Fall bis vor wenigen Tagen für erledigt hielten. Entdeckt wurde der Angriff auf das Landesnetz am Freitag, dem 14. August 2026. Beide betroffenen Senatsverwaltungen wurden umgehend vom Netz getrennt, um eine weitere Ausbreitung zu verhindern. In der amtlichen Mitteilung vom 19. August, nachzulesen in der offiziellen Meldung des Landes Berlin zum Hackerangriff, wurde der Regierende Bürgermeister Kai Wegner mit der Einschätzung zitiert, nach damaligem Kenntnisstand seien keine sensiblen Daten abgeflossen. In der Folge war zusätzlich von frei verfügbaren Geodaten die Rede, also von Kartenmaterial ohne Personenbezug.

Diese Darstellung hat die Senatskanzlei am 26. August 2026 kassiert. Nun heißt es, es könne nicht ausgeschlossen werden, dass auch personenbezogene oder andere nicht öffentliche Daten betroffen seien. Der Digitalisierungs-Staatssekretär Florian Hauer kündigte an, die zuständigen parlamentarischen Gremien und Behörden zu informieren, sobald belastbare Erkenntnisse zu Umfang und Inhalt der Daten vorlägen. Konkretisiert wurde die Korrektur auf die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Nach aktuellem Ermittlungsstand sollen die Daten zwischen dem 7. und 12. August abgeflossen sein, die Angreifer waren also bereits eine gute Woche im Netz, bevor jemand etwas bemerkte. Die forensische Untersuchung des Landesnetzes läuft weiter, nach Informationen des Tagesspiegels unter Beteiligung eines externen Sicherheitsdienstleisters.

Bin ich betroffen? Die Eingrenzung ohne offizielle Liste

Eine Betroffenenliste existiert nicht, und sie wird auch in den nächsten Tagen nicht erscheinen, weil die Auswertung der abgeflossenen Datenmengen läuft. Sie können die Frage aber deutlich schärfer eingrenzen, als es die Berichterstattung tut. Entscheidend ist nicht Ihr Wohnort, sondern der Aktenkontakt: Es geht um Vorgänge bei zwei konkreten Häusern der Berliner Verwaltung. Arbeiten Sie die folgenden Punkte der Reihe nach ab.

• Punkt 1, die richtigen Häuser identifizieren: Im Fokus stehen die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt sowie die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen. Der eingeräumte Datenabfluss betrifft nach Angaben des Senats bislang das erstgenannte Haus. Bezirksämter, Bürgerämter, Finanzämter und die Polizei sind nach derzeitigem Stand nicht Teil dieses Vorfalls.
• Punkt 2, den eigenen Aktenkontakt rekonstruieren: Denken Sie an schriftliche Vorgänge der letzten Jahre: Anhörungen und Bescheide in Ordnungswidrigkeitsverfahren, Anträge und Genehmigungen im Bau- und Wohnungsbereich, Stellungnahmen in Planungs- und Umweltverfahren, Förder- und Zuwendungsanträge, Verträge und Vergabeunterlagen, Widersprüche, Petitionen und Eingaben. Jeder dieser Vorgänge hinterlässt eine Akte mit Ihrem Namen, Ihrer Anschrift und einem Aktenzeichen.
• Punkt 3, das Postfach als Gedächtnisstütze nutzen: Durchsuchen Sie Ihre E-Mails nach den Endungen der Berliner Verwaltung und nach Begriffen wie "Aktenzeichen", "Anhörung" oder "Bescheid". Viele Menschen unterschätzen, wie oft sie in den letzten Jahren mit einer Senatsverwaltung geschrieben haben. Ein Treffer bedeutet keine Betroffenheit, aber er zeigt, dass ein Datensatz zu Ihnen existiert.
• Punkt 4, das Ergebnis nüchtern lesen: Aus diesen drei Schritten entsteht eine Wahrscheinlichkeit, keine Antwort. Kein Aktenkontakt heißt: nach heutigem Stand sehr wahrscheinlich nicht betroffen. Aktenkontakt heißt: möglicherweise betroffen, ohne dass Sie es von außen prüfen können. Diese zweite Gruppe ist in Berlin groß, und sie erfährt Genaueres frühestens, wenn die Forensik abgeschlossen ist.

Genau an dieser Stelle stößt jede Eigenrecherche an ihre Grenze. Ob Ihr Datensatz tatsächlich in dem abgeflossenen Bestand steckt, kann Ihnen derzeit niemand sagen, auch die Verwaltung selbst nicht. Ihre E-Mail-Adresse dauerhaft überwachen lassen ist der einzige Weg, der nicht davon abhängt, dass eine dritte Stelle rechtzeitig Bescheid gibt.

Warum Behördenakten anders wiegen als ein Shop-Datensatz

Bei einem gehackten Onlineshop denken die meisten Menschen zuerst an ihr Passwort. Bei einer Verwaltungsakte gibt es oft gar kein Passwort, und trotzdem ist der Schaden potenziell größer. Der Grund ist die Verknüpfungstiefe: Eine Behördenakte enthält typischerweise nicht nur Kontaktdaten, sondern auch einen Sachverhalt, also die Information, worum es in Ihrem Fall ging. Diese Kombination macht Betrugsversuche glaubwürdig, weil der Absender etwas weiß, das nur eine echte Behörde wissen kann. Die folgende Übersicht ordnet den in solchen Akten üblichen Datentypen ihr konkretes Missbrauchsrisiko zu.

Lesen Sie die rechte Spalte, dann sehen Sie den Kern des Problems. Bei einem Passwort-Leak sind Sie nach zehn Minuten wieder handlungsfähig. Bei einer Verwaltungsakte gibt es nichts zu tauschen: Ihre Anschrift, Ihr Geburtsdatum und der Umstand, dass Sie 2023 einen bestimmten Vorgang hatten, lassen sich nicht zurücksetzen. Solche Datensätze veralten kaum. Sie werden im Gegenteil wertvoller, je mehr weitere Quellen sich damit verknüpfen lassen.

Was Sie jetzt konkret tun sollten

Weil weder Zugangsdaten von Bürgerinnen und Bürgern noch eine konkrete Betroffenenliste im Raum stehen, sieht die Prioritätenliste hier anders aus als nach einem klassischen Konto-Hack. Sortieren Sie nach Wirkung, nicht nach Aufwand.

• Behördenpost ab sofort doppelt prüfen: Das ist bei diesem Vorfall die wichtigste Maßnahme. Rechnen Sie mit Schreiben und Mails, die ein echtes Aktenzeichen und einen echten Sachverhalt nennen und Sie zu einer Zahlung, einer Kontoänderung oder einer Datenbestätigung auffordern. Prüfen Sie nicht den Inhalt, sondern den Weg: Echte Bescheide der Berliner Verwaltung kommen nicht als Mail mit Zahlungslink. Das Phishing-Radar der Verbraucherzentrale dokumentiert laufend, welche Behörden gerade nachgeahmt werden.
• Am Telefon nichts bestätigen: Ein Anrufer, der Ihr Aktenzeichen kennt, hat damit nichts bewiesen. Beenden Sie das Gespräch und rufen Sie über eine selbst herausgesuchte Nummer der Behörde zurück, niemals über eine Nummer aus dem Anruf, der Mail oder dem Schreiben.
• Kontoauszüge auf Lastschriften prüfen, falls die Behörde Ihre IBAN hat: Wo Gebühren, Bußgelder oder Zuwendungen abgewickelt wurden, liegt eine Bankverbindung in der Akte. Kontrollieren Sie die nächsten Abrechnungen auf kleine, unerklärliche Beträge. Unberechtigte Lastschriften können Sie bei Ihrer Bank innerhalb von acht Wochen ohne Angabe von Gründen zurückgeben.
• Auskunft nach Art. 15 DSGVO stellen: Sie dürfen von der jeweiligen Senatsverwaltung schriftlich verlangen, welche Daten dort zu Ihnen gespeichert sind und ob Sie von dem Vorfall betroffen sind. Die Auskunft ist kostenlos, die Regelfrist beträgt einen Monat. Bei einem laufenden Vorfall dieser Größe sollten Sie mit Verzögerungen rechnen, der Antrag setzt die Behörde aber nachweisbar in Kenntnis.
• Was Sie sich sparen können: Ein flächendeckender Passwortwechsel ist wegen dieses Vorfalls nicht erforderlich, denn Bürgerkonten mit Zugangsdaten stehen bislang nicht im Raum. Sinnvoll bleibt der Wechsel überall dort, wo Sie dasselbe Passwort mehrfach verwenden, aber das gilt unabhängig von Berlin.

Diese Schritte begrenzen den Schaden aus diesem einen Vorfall. Sie ändern nichts daran, dass dieselbe Kombination aus Name, Anschrift und Geburtsdatum parallel auch völlig legal zirkuliert, nämlich in den Beständen kommerzieller Werbe- und Adressbroker. Je mehr solcher Quellen es gibt, desto leichter lässt sich ein geleakter Teildatensatz zu einem vollständigen Profil ergänzen. Löschanfragen nach Art. 17 DSGVO an über 100 Broker anstoßen setzt genau an dieser Anreicherung an.

Muss die Verwaltung Sie benachrichtigen?

Ja, unter einer Bedingung. Die DSGVO nimmt Behörden nicht aus. Die verantwortliche Stelle muss eine Datenpanne nach Art. 33 DSGVO binnen 72 Stunden der Aufsichtsbehörde melden, in diesem Fall der Berliner Beauftragten für Datenschutz und Informationsfreiheit. Nach Art. 34 DSGVO muss sie zusätzlich die betroffenen Personen selbst benachrichtigen, sobald ein hohes Risiko für deren Rechte und Freiheiten anzunehmen ist. Welche Fristen dabei genau laufen, was in einer solchen Benachrichtigung stehen muss und welche Rechte Sie als betroffene Person daraus ableiten, haben wir im Leitfaden zur Datenpanne mit Meldefristen und Betroffenenrechten aufgeschlüsselt.

In der Praxis hängt diese Pflicht an einer Voraussetzung, die hier noch nicht erfüllt ist: Die Behörde muss wissen, wessen Daten konkret abgeflossen sind. Genau das ist Gegenstand der laufenden forensischen Auswertung, und bei sechs Terabyte behaupteter Beute ist das keine Frage von Tagen. Der Staatssekretär hat die Information der zuständigen Gremien ausdrücklich an belastbare Erkenntnisse geknüpft. Für Sie folgt daraus eine unbequeme, aber wichtige Regel: Solange keine Nachricht kommt, ist das keine Aussage über Ihre Betroffenheit, sondern nur eine Aussage über den Stand der Auswertung.

Was gesichert ist und was nur behauptet wird

Bei diesem Vorfall lohnt es sich besonders, zwei Ebenen sauber zu trennen, weil beide durch dieselben Meldungen laufen. Amtlich bestätigt sind der Angriff selbst, die Trennung der beiden Senatsverwaltungen vom Landesnetz, der mehrtägige Ausfall der Wohngeldbearbeitung, der Zeitraum des Datenabflusses zwischen dem 7. und 12. August sowie die Aussage der Senatskanzlei, ein Abfluss personenbezogener oder anderer nicht öffentlicher Daten sei nicht auszuschließen. Beteiligt an den Ermittlungen sind das Landeskriminalamt, die Staatsanwaltschaft und das Bundesamt für Sicherheit in der Informationstechnik.

Auf der zweiten Ebene stehen die Angaben der Erpresser. Nach Berichten des Spiegel soll die Ransomware-Gruppe Rhysida hinter dem Angriff stehen, die zuvor unter anderem mit Angriffen auf die British Library und die Stadtverwaltung Stuttgart in Verbindung gebracht wurde. In ihrem Erpressungsschreiben behauptet die Gruppe, rund sechs Terabyte erbeutet zu haben, und fordert 30 Bitcoin. Genannt werden Daten aus etwa 80.000 Ordnungswidrigkeitsverfahren, mehr als 46.500 Verträge, Angaben zu Einrichtungen der kritischen Infrastruktur, Gerichtsdokumente, Notfallpläne und mehrere Tausend Dateien mit Zugangsdaten. Diese Aufstellung stammt allein von den Tätern. Wir behandeln Selbstauskünfte von Angreifern grundsätzlich als unbestätigt, weil Erpresser ein handfestes Interesse daran haben, ihre Beute größer wirken zu lassen, als sie ist. Ganz aus der Luft gegriffen sind solche Listen allerdings selten.

Was heißt das für Sie? Der bestätigte Umfang dieses Vorfalls kann in den kommenden Wochen noch erheblich wachsen, und eine vollständige Betroffenenliste wird es womöglich nie geben. Eine Frühwarnung einrichten, statt Pressemeldungen hinterherzulesen ist die pragmatische Antwort auf eine Lage, in der Ihnen die Aufklärung strukturell hinterherhinkt.

Häufige Fragen zum Cyberangriff auf die Berliner Verwaltung

Warum die Ruhe der nächsten Wochen trügen kann

Erpresste Datensätze nehmen fast immer den stillen Weg. Zunächst wird intern verhandelt, dann folgt der Verkauf im kleinen Kreis oder der gezielte Einsatz für einzelne Betrugswellen, und erst Wochen oder Monate später erscheint das Material breit gehandelt oder als Dump im Darknet. Wer heute einmalig prüft und nichts findet, kann also sehr wohl betroffen sein, ohne es zu ahnen. Unser Darknet-Radar überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sofort, sobald sie infolge eines Hacks oder einer Datenpanne im Darknet auftaucht oder gehandelt wird. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie von einem solchen Vorfall betroffen, weisen wir Sie aktiv auf passende Sammel- oder Musterklagen und mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber der verantwortlichen Stelle wahrnehmen können. Das ist ein Hinweis auf laufende Verfahren, keine eigene Rechtsberatung. Unter welchen Voraussetzungen Betroffene überhaupt etwas verlangen können und welche Nachweise dafür nötig sind, erklärt unser Überblick zu Entschädigungsansprüchen nach einem Datenleck. Der Unterschied zum kostenlosen Check bleibt dabei entscheidend: Dieser zeigt Ihnen nur bereits bekannte, veröffentlichte Lecks. Das dauerhafte Monitoring ist das, was Sie erreicht, wenn dieser Bestand irgendwann tatsächlich auftaucht.