Cyberangriff auf Berlin zeigt: Erfolgreiche Angriffe sind Realität. Cyberresilienz macht den Unterschied.

Der Cyberangriff auf zwei Berliner Senatsverwaltungen im August 2026 zeigt, warum moderne Cybersicherheit weit über den Schutz vor Phishing hinausgeht. Nach den bislang veröffentlichten Erkenntnissen genügte eine erfolgreiche Social-Engineering-Maßnahme, um einen weitreichenden Sicherheitsvorfall auszulösen. Die entscheidende Frage lautet daher nicht, ob ein Angriff erfolgreich sein kann. Entscheidend ist, ob eine Organisation darauf vorbereitet ist, die Folgen zu begrenzen.

Die wichtigste Erkenntnis:

Der Berliner Cyberangriff war kein Versagen einzelner Mitarbeiter. Er zeigt, dass moderne Cybersecurity nicht daran gemessen wird, ob ein Angriff gelingt. Sie wird daran gemessen, wie gut eine Organisation ihn erkennt, eindämmt und bewältigt.

Ein Angriff, der viele Unternehmen nachdenklich machen sollte

Unternehmen in Deutschland investieren aktuell erhebliche Ressourcen in Informationssicherheit und Cyberresilienz. Abhängig von Branche, Größe, Tätigkeit und regulatorischem Status können dabei Anforderungen aus NIS2, DORA oder weiteren Vorschriften relevant sein. Ergänzend nutzen viele Organisationen Standards wie ISO 27001 als Rahmen für ein systematisches Informationssicherheitsmanagement.

Gerade im Mittelstand wird dabei häufig die Frage gestellt:
Ist dieser Aufwand wirklich notwendig?

Der Angriff auf die Berliner Senatsverwaltungen liefert darauf eine bemerkenswert deutliche Antwort.

Denn nach den bislang veröffentlichten Informationen war für den initialen Zugriff offenbar weder eine spektakuläre Zero-Day-Schwachstelle noch ein komplexer technischer Exploit erforderlich. Vielmehr deutet die veröffentlichte Analyse darauf hin, dass Social Engineering der Ausgangspunkt des Angriffs war. Microsoft veröffentlichte dazu eine technische Analyse der als TerminalFix bezeichneten Kampagne, einer Variante der bereits zuvor beobachteten ClickFix-Methode. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erklärte, dass der von ihm untersuchte Tathergang mit den von Microsoft beschriebenen mehrstufigen Angriffen übereinstimmt.

Der Vorfall zeigt damit eine unbequeme Wahrheit:
Kein Unternehmen und keine Behörde kann garantieren, dass niemals ein Mitarbeiter auf eine professionelle Täuschung hereinfällt.

Genau deshalb fordert NIS2 nicht perfekte Menschen. NIS2 fordert resiliente Organisationen.

Was in Berlin passiert ist

Nach Angaben des Landes Berlin erfolgte der wesentliche Teil des Datenabflusses zwischen dem 7. und 12. August 2026. Am 14. August wurden die IT-Systeme zweier Berliner Senatsverwaltungen vorsorglich vom Landesnetz getrennt, um eine weitere Ausbreitung des Vorfalls zu verhindern. In der Folge kam es zu Einschränkungen verschiedener Verwaltungsleistungen, unter anderem bei der Wohngeldbearbeitung.

Öffentlich wurde der Vorfall Ende August mit der Ransomware-Gruppe Rhysida in Verbindung gebracht. Nach Medienberichten und Angaben der Angreifer wurde ein Lösegeld von 30 Bitcoin gefordert. Das Land Berlin bestätigte die Erpressung, erklärte jedoch, nicht gezahlt zu haben. Am 4. September 2026 wurden gestohlene Daten im Darknet veröffentlicht.

Wichtig dabei:
Ein Teil der öffentlich kursierenden Angaben zu Datenmengen, Dateizahlen und weiteren Details stammt von den Angreifern selbst und wurde nach den vorliegenden Informationen bislang nicht abschließend durch das Land Berlin bestätigt. Dazu gehören unter anderem Angaben über rund 1,44 Millionen Dateien und etwa 5,8 Terabyte Datenmaterial.
Bestätigt sind hingegen die Unterbrechungen des Verwaltungsbetriebs, die Einbindung von Ermittlungsbehörden und des BSI sowie die Veröffentlichung gestohlener Daten am 4. September 2026.

TerminalFix: Wenn der Benutzer den Angriff selbst ausführt

Besondere Aufmerksamkeit erhielt der Vorfall durch die verwendete Angriffsmethode.
Nach den vom BSI veröffentlichten Erkenntnissen stimmt der untersuchte Tathergang mit Beobachtungen der sogenannten TerminalFix-Kampagne überein. Microsoft stuft TerminalFix als Variante der ClickFix-Angriffsfamilie ein.

Der von Microsoft beschriebene und vom BSI aufgegriffene grundlegende Ablauf war bemerkenswert einfach:
Ein Benutzer gelangte auf eine manipulierte Webseite. Dort wurde ein täuschend echt wirkendes Cloudflare-Captcha dargestellt. Anders als bei einem gewöhnlichen Captcha sollte der Benutzer jedoch nicht lediglich einen Haken setzen.
Stattdessen wurde er schrittweise dazu bewegt, eine Reihe von Aktionen auszuführen. Im Hintergrund wurde dabei ein präparierter Befehl in die Zwischenablage kopiert. Anschließend wurde der Benutzer dazu aufgefordert, das Windows-Terminal beziehungsweise PowerShell zu öffnen und den Befehl einzufügen.

Entscheidend ist:
Der Benutzer führte die Handlung selbst aus. Für diesen initialen Zugriff war nach den veröffentlichten Erkenntnissen kein klassischer Software-Exploit erforderlich. Die Vertrauenswürdigkeit der Benutzerführung wurde selbst zum Angriffswerkzeug.

Nach der Ausführung konnten weitere Schadkomponenten nachgeladen und dauerhafte Zugänge eingerichtet werden. Microsoft veröffentlichte dazu technische Details unter anderem zu DLL-Sideloading, Persistenz und zusätzlichen Tarnmechanismen innerhalb der Kampagne. Das BSI griff diese Angriffskette in seiner Warnung auf und ergänzte sie um eigene Erkenntnisse.

Warum dieser Angriff besonders relevant ist

Viele Unternehmen betrachten Phishing noch immer primär als Awareness-Thema.
Das greift zu kurz.

Natürlich spielt Security Awareness eine zentrale Rolle. Hätte die Täuschung frühzeitig erkannt werden können, wäre der Angriff möglicherweise bereits in einer sehr frühen Phase gescheitert.

Gleichzeitig zeigt der Berliner Vorfall aber auch eine weitere Erkenntnis:
Security Awareness allein kann niemals die einzige Verteidigungslinie sein.
Selbst hervorragend geschulte Mitarbeiter bleiben Menschen. Moderne Social-Engineering-Kampagnen werden immer professioneller, glaubwürdiger und zielgerichteter.

Deshalb basiert moderne Cybersicherheit auf dem Prinzip der mehrschichtigen Verteidigung.

Wenn ein Benutzer eine Fehlentscheidung trifft, müssen weitere Sicherheitsmechanismen greifen:

• Zugriffsbeschränkungen
• Netzwerksegmentierung
• Überwachung verdächtiger Aktivitäten
• Einschränkung privilegierter Berechtigungen
• Incident-Response-Prozesse
• Notfallmaßnahmen

Die eigentliche Frage lautet also nicht: Kann jemand auf Phishing hereinfallen?
Sondern: Was passiert danach?

Welche Daten betroffen sein könnten

Nach Medienberichten und Angaben der Angreifer sollen die veröffentlichten Datensätze unter anderem folgende Informationen umfasst haben:

• Zugangsdaten und Passwörter
• Dienstliche E-Mails und interne Kommunikation
• Personalunterlagen
• Gesundheitsbezogene Daten
• Vertragsunterlagen
• Finanzinformationen
• Geodaten
• Dokumente mit Bezug zur kritischen Infrastruktur sowie zur Gefahrenabwehr.

Auch hier gilt:
Ein Teil dieser Angaben stammt aus Veröffentlichungen der Angreifer oder darauf beruhender Berichterstattung und ist nach den derzeit verfügbaren Informationen noch nicht abschließend durch das Land Berlin verifiziert. Das Land bestätigt bislang vor allem unstrukturierte Daten aus gemeinsam genutzten und persönlichen Verzeichnissen sowie eine mögliche Betroffenheit personenbezogener Daten von Beschäftigten, Bürgern und Unternehmen.

Unabhängig von den konkreten Zahlen verdeutlicht der Vorfall jedoch die potenzielle Tragweite moderner Datendiebstähle.

Die Folgen enden nicht mit der Veröffentlichung

Viele Organisationen betrachten die Veröffentlichung gestohlener Daten als Endpunkt eines Vorfalls. In Wirklichkeit beginnt damit häufig eine neue Phase.

Kompromittierte Zugangsdaten können für weitere Angriffe genutzt werden. Personenbezogene Informationen können Social-Engineering- und Spear-Phishing-Kampagnen erleichtern. Finanz- und Vertragsdaten können Betrugsversuche begünstigen. Darüber hinaus können sensible Informationen über kritische Infrastrukturen langfristige Risiken erzeugen.

Wichtig ist dabei:
Dies sind potenzielle Risiken, die sich aus veröffentlichten Daten ergeben können. Sie sind nicht automatisch eingetretene Folgeereignisse.
Genau deshalb endet Incident Response nicht mit der technischen Wiederherstellung eines Systems. Ebenso wichtig sind Risikoanalysen, Nachbereitung, Monitoring und die Bewertung möglicher Langzeitfolgen.

Was Unternehmen daraus lernen sollten

Der Berliner Vorfall liefert mehrere wichtige Handlungsempfehlungen.

• Security Awareness kontinuierlich stärken
  Mitarbeiter müssen moderne Social-Engineering-Techniken erkennen können. Dazu gehören insbesondere neue Angriffsmuster wie ClickFix- und TerminalFix-Varianten.
• Ungewöhnliche Benutzeraufforderungen hinterfragen
  Wenn Anwender aufgefordert werden, Terminalbefehle auszuführen oder ungewöhnliche Abläufe zu durchlaufen, sollte dies grundsätzlich Aufmerksamkeit erzeugen.
• PowerShell und ähnliche Werkzeuge absichern
  Administrative Werkzeuge sollten überwacht, kontrolliert und dort eingeschränkt werden, wo sie nicht benötigt werden. Das BSI nennt PowerShell-Härtung ausdrücklich als relevante Schutzmaßnahme.
• Multi-Faktor-Authentifizierung konsequent einsetzen
  Besonders privilegierte und externe Zugänge sollten zusätzlich geschützt werden. MFA gehört zu den wichtigsten Schutzmechanismen moderner IT-Umgebungen.
• Netzwerksegmentierung etablieren
  Nicht jeder erfolgreiche Angriff darf automatisch Zugriff auf weitere Systeme ermöglichen. Segmentierung begrenzt potenzielle Schäden und erschwert laterale Bewegungen.
• Least-Privilege-Prinzip umsetzen
  Benutzer und Systeme sollten ausschließlich die Berechtigungen erhalten, die tatsächlich erforderlich sind.
• Monitoring und Incident Response stärken
  Angriffe lassen sich nicht immer verhindern. Umso wichtiger ist es, ungewöhnliche Aktivitäten möglichst frühzeitig zu erkennen und schnell reagieren zu können.
• Notfallpläne regelmäßig testen
  Ein Plan ist nur dann hilfreich, wenn er im Ernstfall tatsächlich funktioniert. Übungen und Tests sollten deshalb fester Bestandteil jeder Sicherheitsstrategie sein.

Informationssicherheit muss als System funktionieren

Die wichtigsten Lehren aus dem Berliner Vorfall lauten möglicherweise:

• Informationssicherheit ist kein Produkt. Sie ist kein Audit. Und sie ist kein einzelnes Sicherheitsprojekt.
• Ein wirksames Informationssicherheits-Managementsystem verbindet Menschen, Prozesse und Technologie miteinander.
• Security Awareness reduziert Risiken.
• Technische Kontrollen begrenzen Schäden.
• Monitoring erhöht die Wahrscheinlichkeit einer frühzeitigen Erkennung.
• Incident Response schafft Handlungsfähigkeit.

Klare Verantwortlichkeiten sorgen dafür, dass Entscheidungen schnell getroffen werden können. Erst das Zusammenspiel dieser Elemente schafft die Widerstandsfähigkeit, die moderne Organisationen benötigen.

Genau deshalb fördern Standards wie ISO 27001 und regulatorische Vorgaben wie NIS2 nicht nur einzelne technische Maßnahmen, sondern einen systematischen und risikobasierten Umgang mit Informationssicherheit.

Wie gut wären Sie vorbereitet, wenn es passiert?

Der Berliner Vorfall zeigt eindrucksvoll, dass selbst professionell betriebene Organisationen Opfer moderner Social-Engineering-Angriffe werden können. Absolute Sicherheit existiert nicht.
Resiliente Organisationen zeichnen sich deshalb nicht dadurch aus, dass kein Mitarbeiter jemals einen Fehler macht. Sie zeichnen sich dadurch aus, dass einzelne Fehler nicht automatisch zu einer Krise werden.

• Erkennen Mitarbeiter neue Social-Engineering-Techniken wie ClickFix oder TerminalFix?
• Können Sicherheitsverantwortliche ungewöhnliche PowerShell-Nutzung erkennen?
• Ist der Zugriff auf kritische Systeme ausreichend segmentiert?
• Werden auffällige Aktivitäten durch ein SOC oder andere Monitoring-Prozesse überwacht?
• Wurden Incident-Response-Abläufe bereits realistisch getestet?

Unternehmen, die diese Fragen nicht eindeutig beantworten können, sollten ihre Sicherheitsstrategie kritisch überprüfen. Cyber Samurai unterstützt dabei mit ihren Cyber Defense Services.

Cyberangriffe lassen sich nicht vollständig ausschließen. Die Frage ist, wie gut eine Organisation darauf vorbereitet ist.

Quellen:

• BSI-Sicherheitsmitteilung (BITS), 04.09.2026
• BSI-Sicherheitsmitteilung 09.09.2026
• BSI-Mastodon-Veröffentlichungen
• Microsoft-Analyse zu ClickFix/TerminalFix
• heise online: „BSI erklärt ersten Angriffsvektor auf Berliner Behörden“ (07.09.2026)
• heise online: „Berlin will IT-Sicherheit nach Cyberangriff verstärken“ (09.09.2026)
• Senatskanzlei Berlin: Lagemitteilungen 03./05.09.2026
• Berliner Datenschutzbeauftragte: Hinweise zum Hackerangriff auf Berlin