Wenn ein ganzer Staatsapparat scheitert

Was wirklich passiert ist

Die Hackergruppe Rhysida hat bei ihrem Angriff auf Berlins Verwaltungssysteme nicht einfach nur Daten abgegriffen. Sie haben potentiell die gesamte Sicherheitsinfrastruktur eines Stadtstaates kompromittiert. Knapp 1,4 Millionen Dateien wurden erbeutet. Nachdem die geforderten 30 Bitcoin nicht gezahlt wurden, veröffentlichte die Gruppe kurzerhand alles im Darknet. Sensitive Informationen im Wert von etwa zwei Millionen Euro schwirren nun frei im Netz herum.

Warum das keine normale Datenschutzpanne ist

Die wirkliche Brisanz liegt nicht in der schieren Menge. Es geht um Inhalte, die unter normalen Umständen niemals öffentlich werden sollten: CBRN-Schutzpläne (chemische, biologische, radiologische und nukleare Bedrohungen), Kommunikationskanäle für den Krisenfall zwischen Bund und Ländern, Informationen über Rüstungsfirmen und laufende polizeiliche Ermittlungen.

Die Möglichkeiten für Missbrauch sind enorm. Von Erpressung einzelner Beamter bis hin zu ausgereifter Spionage auf staatlicher Ebene – alles ist denkbar.

Was das für uns bedeutet

Für alle, die irgendetwas Digitales betreiben – sei es eine App, ein Startup oder ein kleiner Online-Shop –, sollte dieser Vorfall ein Weckruf sein. Wenn ein staatlicher Apparat mit eigenen Cybersecurity-Abteilungen so massiv versagen kann, wie steht es dann um kleine und mittlere Unternehmen?

Die unbequeme Wahrheit: Viele behandeln Sicherheit als lästige Pflichtübung. Erst wenn das Produkt funktioniert, wenn der MVP live ist, wenn die Finanzierung steht – dann denkt man über Security nach. Die Berliner Affäre zeigt eindrucksvoll: Prävention kostet immer weniger als eine Datenpanne.

Klar, es gibt Bußgelder. GDPR kann bis zu 4% des globalen Jahresumsatzes fordern. Aber das ist nur die Spitze des Eisbergs. Reputationsschäden können dauerhaft Kundenvertrauen zerstören. Betriebsunterbrechungen kosten pro Stunde mehr als die meisten Security-Budgets. Und durchgesickerte Geschäftsgeheimnisse können ein ganzes Geschäftsmodell aushebeln.

Konkrete Schritte

Fangen wir mit dem Grundlegenden an, das viele unterschätzen:

• Zwei-Faktor-Authentifizierung überall aktivieren, wo es geht
• Updates installieren – ja, auch die lästigen Patch-Notizen haben einen Sinn
• Verschlüsselung für Daten im Ruhezustand und bei der Übertragung
• Offline-Backups pflegen, die Ransomware nicht verschlüsseln kann

Cloud-Dienste nutzt ihr ohnehin alle. Also versteht eure Shared-Responsibility-Modelle. Der Anbieter sichert die Infrastruktur – ihr sichert eure Anwendungen und Daten.

Für alle, die gerade im Startup-Modus sind

Ihr kennt das vielleicht: Man coded im Flow, die Features kommen, Security ist später dran. Betrachtet diesen Vorfall als euren persönlichen Weckruf. Integriert Security von Tag eins. Nutzt sichere Programmierpraktiken. Scannt regelmäßig auf Schwachstellen. Und speichert bitte keine sensiblen Kundendaten in einer ungeschützten Datenbank auf einem öffentlich erreichbaren Server. Es ist 2026 – wir sollten es eigentlich besser wissen.

Das Fazit

Die Berliner Verwaltung hat bislang keine zufriedenstellende Reaktion auf diese Krise geliefert. Seid nicht der nächste Eintrag in den Nachrichten.

Die Frage ist nicht, ob ihr angegriffen werdet. Die Frage ist, ob ihr vorbereitet seid, wenn es passiert.