Der Staat zwingt Bürger, ihm persönliche Daten anzuvertrauen. Dann darf er beim Schutz dieser Daten nicht schlechter arbeiten als jedes Unternehmen, das er selbst streng kontrolliert.
Der Cyberangriff auf das Berliner Landesnetz ist deshalb mehr als eine technische Panne. Er ist ein massiver Bruch des Vertrauens zwischen Bürger und Staat.
Rund 1,44 Millionen Dateien mit einem Umfang von etwa 5,8 Terabyte wurden aus Teilen der Berliner Verwaltung kopiert. Betroffen waren die Senatsverwaltungen für Bauen und für Verkehr. Die Daten liegen inzwischen im Darknet. Darunter befinden sich personenbezogene Unterlagen von Beschäftigten. Auch Daten von Bürgern und Unternehmen können betroffen sein.
Gesundheitsdaten, Adressen oder Geburtsurkunden lassen sich nicht zurückholen wie ein gestohlener Dienstlaptop. Sie bleiben im schlimmsten Fall über Jahre für Identitätsdiebstahl, Betrug und Erpressung nutzbar.
Berlin braucht jetzt keine Beschwichtigung und keine neue Cyberbehörde mit großem Organigramm. Berlin braucht Aufklärung, persönliche Verantwortung, weniger Datensammelei und eine Verwaltung, die ihre Kernaufgaben endlich beherrscht.
Das Ausmaß ist gewaltig
Zwischen dem 7. und 12. August verschafften sich Angreifer unbemerkt Zugang zu Teilen des Landesnetzes. Am 14. August bemerkte die Verwaltung den Angriff, drei Tage später informierte sie die Öffentlichkeit. Nach Ablauf eines Ultimatums veröffentlichte die Gruppe Rhysida die erbeuteten Daten. Der Senat hatte sich zu Recht geweigert, die verlangten 30 Bitcoin Lösegeld zu zahlen. Tagesschau, 5. September 2026
Die Berliner Datenschutzbeauftragte bestätigt, dass Daten aus den Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Klimaschutz und Umwelt kopiert und veröffentlicht wurden. Betroffen sind personenbezogene Daten von Beschäftigten und möglicherweise auch von Bürgern. Der vollständige Inhalt war zuletzt noch nicht gesichtet. Berliner Beauftragte für Datenschutz und Informationsfreiheit, Stand 11. September 2026
Nach Recherchen des Tagesspiegels gehören zu dem Material Personalunterlagen, Adressen, Ausweisdokumente und Reha Pläne. Auch sicherheitsrelevante Informationen sollen sich in dem Datenbestand befinden. Der berichtete Ausgangspunkt war eine Phishing Mail, deren Link ein Mitarbeiter öffnete. Tagesspiegel, 6. September 2026
Das erklärt möglicherweise den ersten Zugang. Es entschuldigt aber nicht das Ausmaß.
Ein modernes Sicherheitskonzept muss damit rechnen, dass ein Mensch irgendwann einen falschen Link öffnet. Die entscheidende Frage lautet deshalb: Warum konnte ein einzelner erfolgreicher Angriff offenbar zu einem Datenabfluss dieser Größenordnung führen?
Wer die Verantwortung auf einen Mitarbeiter abschiebt, hat IT Sicherheit nicht verstanden.
Bürger konnten der Datenspeicherung nicht ausweichen
Bei einem privaten Dienst kann ich häufig entscheiden, ob ich ein Konto eröffne, eine App benutze oder persönliche Angaben mache. Bei einer Behörde besteht diese Freiheit oft nicht.
Wer Wohngeld beantragt, eine Baugenehmigung braucht, an einem Vergabeverfahren teilnimmt oder beim Land beschäftigt ist, muss Daten offenlegen. Der Staat erhebt sie aufgrund gesetzlicher Pflichten und Verwaltungsverfahren. Er verlangt Vertrauen, ohne dass Bürger sich einen sichereren Anbieter aussuchen können.
Gerade daraus entsteht eine besondere Verantwortung.
Datenschutz ist kein lästiger Zusatz zur Digitalisierung. Er ist ein Bürgerrecht. Der Staat darf nur Daten erheben, die er wirklich benötigt. Er darf sie nur so lange speichern, wie ein nachvollziehbarer Zweck besteht. Und er muss sie nach dem Stand der Technik schützen.
Das Berliner Datenleck zeigt, wie gefährlich die politische Gewohnheit ist, immer mehr Informationen zu sammeln, Systeme zu vernetzen und neue digitale Eingriffe zu verlangen, bevor die vorhandene Infrastruktur sicher funktioniert.
Ein Staat, der seine Datentresore nicht sichern kann, sollte nicht ständig nach neuen Schlüsseln zum Privatleben seiner Bürger verlangen.
Nichtzahlung war richtig, Selbstlob ist fehl am Platz
Der Senat hat sich nicht erpressen lassen. Das war richtig. Lösegeld finanziert das Geschäftsmodell der Täter und garantiert weder die Löschung noch die Nichtveröffentlichung der Daten.
Diese richtige Entscheidung darf jedoch nicht zum Ersatz für Selbstkritik werden.
Die Daten wurden nicht gestohlen, weil Berlin das Lösegeld verweigerte. Sie wurden veröffentlicht, weil sie zuvor aus den Systemen der Verwaltung abfließen konnten. Die politische Verantwortung beginnt daher lange vor dem Ultimatum der Täter.
Der Senat erklärte Anfang September, es gebe keine Hinweise auf eine fortbestehende Infiltration und man arbeite mit Landeskriminalamt, Staatsanwaltschaft und dem Bundesamt für Sicherheit in der Informationstechnik zusammen. Berlin.de, 3. September 2026
Das ist notwendig. Es genügt aber nicht.
Die Öffentlichkeit braucht eine lückenlose Zeitleiste: Welche Warnungen gab es vor dem Angriff? Welche Systeme waren unzureichend getrennt? Welche Sicherheitsvorgaben wurden nicht umgesetzt? Wer kannte die Risiken? Welche Entscheidungen wurden vertagt und aus welchem Grund?
Ohne diese Antworten bleibt „Wir arbeiten mit Hochdruck“ nur die Standardformel nach einem vermeidbaren Kontrollverlust.
Die Betroffenen haben Anspruch auf konkrete Antworten
Mehrere hundert Menschen haben sich bereits bei den eingerichteten Anlaufstellen gemeldet. Die Anliegen reichen von allgemeinen Fragen bis zur Sorge um eine persönliche Betroffenheit. Der Senat räumt ein, dass die Beantwortung wegen der laufenden Auswertung Zeit braucht. rbb24, 16. September 2026
Zeit ist hier allerdings nicht neutral. Je länger Betroffene nicht wissen, welche ihrer Daten im Umlauf sind, desto schlechter können sie sich schützen.
Eine allgemeine Internetseite und eine E Mail Adresse sind ein Anfang. Sie ersetzen keine individuelle Information.
Jeder identifizierbare Betroffene muss unverzüglich erfahren, welche Datenkategorien abgeflossen sind, wann die Daten gespeichert wurden und welches konkrete Risiko daraus entsteht. Wer nur einen allgemeinen Warnhinweis erhält, weiß nicht, ob er ein Passwort ändern, ein Konto sperren oder mit dem Missbrauch von Gesundheitsdaten rechnen muss.
Die Datenschutzbeauftragte rät unter anderem dazu, Passwörter zu ändern, Kontobewegungen zu kontrollieren, bei Phishing wachsam zu sein und verdächtige Vorfälle zu dokumentieren. Sie nennt außerdem direkte Kontaktstellen für Auskunftsbegehren und Beschwerden. Hinweise der Berliner Datenschutzbeauftragten
Das ist hilfreiche Selbsthilfe. Die Hauptlast darf trotzdem nicht bei den Opfern landen. Der Staat hat die Daten erhoben und gespeichert. Er muss deshalb die Aufklärung organisieren und nachweisbare Schäden ersetzen, wenn eigenes Versagen ursächlich war.
Mehr Geld allein löst keine Verantwortung
Nach einem solchen Angriff folgt zuverlässig die Forderung nach zusätzlichen Millionen. IT Sicherheit kostet Geld. Veraltete Systeme lassen sich nicht mit guten Absichten absichern.
Trotzdem ist „mehr Geld“ noch keine Strategie.
Auch ein großer Etat kann in Beraterverträgen, Parallelstrukturen und schlecht gesteuerten Projekten verschwinden. Entscheidend ist, ob Verantwortlichkeiten klar sind, Systeme regelmäßig geprüft werden und bekannte Schwachstellen tatsächlich geschlossen werden.
Berlin braucht keine neue Behörde neben den bestehenden Zuständigkeiten. Berlin braucht eine verbindliche Sicherheitsarchitektur für die vorhandene Verwaltung.
Dazu gehören eine konsequente Trennung von Netzen, minimale Zugriffsrechte, verpflichtende Mehrfaktor Anmeldung, aktuelle Sicherungskopien, schnelle Sicherheitsupdates und regelmäßige Angriffe durch unabhängige Prüfer. Nicht als gelegentliche Vorführung, sondern als dauerhafter Belastungstest.
Externe Fachleute und private Sicherheitsunternehmen können dabei helfen. Sie sollten im Wettbewerb nach nachweisbarer Kompetenz ausgewählt werden. Der Staat muss nicht jedes Werkzeug selbst entwickeln. Er muss aber Ziele, Haftung und Kontrolle klar definieren.
Datensparsamkeit ist die erste Sicherheitsmaßnahme
Die beste geschützte Datei ist die, die gar nicht gespeichert werden musste.
Jede Berliner Behörde muss deshalb ihre Datenbestände prüfen. Welche personenbezogenen Informationen sind für eine laufende Aufgabe erforderlich? Welche liegen nur noch aus Gewohnheit auf einem Laufwerk? Welche Kopien existieren mehrfach? Welche Aufbewahrungsfrist ist abgelaufen?
Was keinen rechtlichen oder sachlichen Zweck mehr erfüllt, muss gelöscht werden.
Das ist keine Nebensache für Datenschutzbeauftragte. Es ist praktische Gefahrenabwehr. Weniger Daten bedeuten weniger Angriffsfläche, weniger Folgeschäden und geringere Kosten für Schutz und Wiederherstellung.
Auch neue Digitalprojekte müssen diesem Grundsatz folgen. Eine digitale Verwaltung ist nicht automatisch eine gute Verwaltung. Wenn ein Papierformular nur durch eine unsichere Datenbank ersetzt wird, ist nichts gewonnen.
Digitalisierung muss Verfahren vereinfachen, Datenerhebung reduzieren und Bürgern Kontrolle geben. Sie darf nicht zum Vorwand für einen immer umfassenderen Informationszugriff des Staates werden.
Sieben Konsequenzen aus dem Angriff
Erstens braucht Berlin einen unabhängigen technischen Untersuchungsbericht. Sicherheitsrelevante Details können geschützt werden. Ursachen, Verantwortlichkeiten und versäumte Maßnahmen gehören jedoch veröffentlicht.
Zweitens müssen Betroffene individuell und verständlich informiert werden. Nicht irgendwann nach Abschluss aller Untersuchungen, sondern fortlaufend nach gesichertem Erkenntnisstand.
Drittens braucht jede Behörde ein verbindliches Datenverzeichnis mit Löschfristen. Unnötige Altbestände und Schattenkopien müssen verschwinden.
Viertens müssen besonders sensible Netze und Datenbestände technisch voneinander getrennt werden. Ein erfolgreicher Angriff auf einen Arbeitsplatz darf nicht zum Generalschlüssel für ganze Verwaltungsbereiche werden.
Fünftens gehören regelmäßige externe Sicherheitstests, klare Fristen zur Beseitigung von Mängeln und eine nachvollziehbare Kontrolle durch das Abgeordnetenhaus zum Standard.
Sechstens muss politische Verantwortung einen Namen haben. Wenn Warnungen ignoriert, Mittel falsch priorisiert oder notwendige Maßnahmen verschleppt wurden, darf das nicht im Begriff „Verwaltungsversagen“ verschwinden.
Siebtens gilt bis zur nachweisbaren Absicherung: keine neue Datensammlung und keine Ausweitung digitaler Überwachung nur deshalb, weil sie technisch möglich ist. Wer mehr Daten will, muss zuerst beweisen, dass er die vorhandenen schützen kann.
Ein starker Staat schützt, statt nur zu sammeln
Liberale Politik will keinen schwachen Rechtsstaat. Sie will einen begrenzten Staat, der seine unverzichtbaren Aufgaben zuverlässig erfüllt.
Der Schutz personenbezogener Daten gehört dazu. Ebenso die Sicherheit kritischer Infrastruktur, die Verfolgung der Täter und die ehrliche Information der Betroffenen.
Der Berliner Cyberangriff zeigt das Gegenteil eines starken Staates: viel Datenerhebung, komplexe Strukturen und zu wenig Kontrolle über die eigenen Systeme.
Die nächste Landesregierung muss diesen Vorfall vollständig aufklären. Nicht mit einer Kommission, deren Bericht Jahre später ungelesen abgelegt wird. Sondern mit überprüfbaren Fristen, benannten Verantwortlichen und öffentlich nachvollziehbaren Verbesserungen.
Bürger müssen dem Staat Daten geben. Deshalb darf der Staat ihren Schutz nicht als freiwillige Serviceleistung behandeln.
Wer Daten verlangt, muss sie schützen. Wer das nicht kann, muss weniger davon sammeln.