Dieser Vortrag eines IT-Sicherheitsanalysten und Sachverständigen der Arbeitsgemeinschaft Kritische Infrastrukturen (AG Kritis) untersucht den schwerwiegenden Cyberangriff der Ransomware-Gruppe „Residia“ auf das Landesnetz Berlin im Jahr 2026.
Der Vorfall führte zur vollständigen Isolation zweier Senatsverwaltungen vom Landesnetz, um unkontrollierten Datenabfluss einzudämmen. Trotz behördlicher Beschwichtigungsversuche veranschaulicht die Analyse der geleakten 130-Megabyte-Dateiliste (Umfang: nominell bis zu 5,79 TB Daten, davon ca. 2,9 TB mit 1,2 Millionen Dateien im Darknet realisiert) einen eklatanten Kontrollverlust. Betroffen sind sensible personenbezogene Personaldaten, disziplinarische Akten sowie als „Verschlusssache – Nur für den Dienstgebrauch“ (VS-NFD) klassifizierte Dokumente, darunter Katastrophenschutzpläne, Gefahrenanalysen der Berliner Wasserbetriebe (BWB), Castor-Transportdaten und Energieversorgungsdetails des Bundesnachrichtendienstes (BND).
Als primäre Ursachen werden gravierende strukturelle Versäumnisse der IT-Governance identifiziert. Trotz deutlicher Expertenwarnungen in den Jahren 2023 und 2025 kürzte der Berliner Senat im Haushalt 2025 die Mittel für den zentralen IT-Dienstleister ITDZ um 44 % und strich gezielt Budget für die Eindringungserkennung (Intrusion Detection). Zudem blockierten veraltete Altsysteme („archäologische Fachverfahren“) grundlegende Sicherheitsmaßnahmen wie erzwungene Passwortwechsel und Netzsegmentierung. Die nachträgliche, als „alternativlos“ deklarierte Installation der Endpoint-Detection-Software CrowdStrike Falcon auf allen Systemen stieß aufgrund von Softwarekonflikten und datenschutzrechtlichen Bedenken auf erheblichen Widerstand in den Bezirken. Der Vorfall unterstreicht die Notwendigkeit, den Sektor „Staat und Verwaltung“ gesetzlich zur Einhaltung von KRITIS-Standards zu verpflichten, externe Audits zu etablieren und eine persönliche Haftung für Amtsträger bei Datenschutz- und Geheimschutzverstößen einzuführen.
Wichtigste Punkte & Zeitstempel
0:12 Kritis-Sachverständiger: Vorstellung des Referenten („Name ist Hase“), Krypto-Ingenieur und Sachverständiger der AG Kritis, der 2023 und 2025 im Innenausschuss des Berliner Senats zur Cybersicherheit aussagte.
2:53 Offizielle Schadensmeldung: Am 17.08.2026 meldete das Land Berlin forensische Untersuchungen wegen einer Kompromittierung des Landesnetzes. Die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt wurden isoliert.
4:40 Defizitäre Krisenkommunikation: Kritik an der mangelhaften Informationspolitik des Landes. Trotz der laufenden Veröffentlichung sensibler Daten demonstrierten der Regierende Bürgermeister und die Innensenatorin durch den Besuch eines Basketballspiels mangelnde Priorisierung des Vorfalls.
10:35 Schadensausmaß & Erpressung: Die kriminelle Gruppe Residia forderte ein Lösegeld von 30 Bitcoin (ca. 2 Millionen Euro). Nach verweigertem Lösegeld wurden 1,2 Millionen Dateien (Gesamtvolumen von ca. 2,9 TB) im Darknet veröffentlicht, obwohl die Angreifer den Abzug von 5,79 TB behaupteten.
16:11 Geheimschutz-Verletzungen: Entgegen offiziellen Berichten, die nationale Sicherheit sei unbeeinträchtigt, wurden kritische Dokumente und Klartext-Passwortlisten (z. B. „Sonnenschein13“) unverschlüsselt in Benutzerverzeichnissen gespeichert, was die Nichteinhaltung von IT-Sicherheitsrichtlinien belegt.
20:40 Chronologie der Ignoranz: Trotz einer expliziten Warnung des Sachverständigen im Dezember 2023 vor dem „gruseligen und desolaten“ Zustand der Berliner IT, kürzte der Senat im Haushalt 2025 das Budget für das ITDZ Berlin um 44 % und strich 2 Millionen Euro für die Eindringungserkennung (Intrusion Detection).
26:55 Legacy-IT & Sicherheitsmängel: Offenlegung gravierender technologischer Schulden in der Berliner IT-Architektur. Altsysteme (Fachverfahren) sind teilweise so veraltet, dass technische Mindeststandards wie netzweite Passwortänderungen oder Netzsegmentierungen nicht umgesetzt werden können.
29:10 Implementierung von CrowdStrike: Die Senatskanzlei ordnete den flächendeckenden Einsatz der US-Software CrowdStrike Falcon als alternativlos an, was wegen funktionaler Systemkonflikte bei Altsystemen, datenschutzrechtlicher Überwachungsrisiken und des weitreichenden Systemzugriffs (100 %) des Anbieters auf Widerstand in den Bezirken stieß.
32:52 Analyse der geleakten KRITIS-Strukturen: Die kompromittierte Verzeichnisstruktur belegt den Abfluss hochsensibler Daten, darunter Gefahrenanalysen der Berliner Wasserbetriebe (BWB) zur Notwasserversorgung, Katastrophenschutzpläne für konventionelle Angriffe, Interna zu Castor-Transporten und Dokumente zur Energiezentrale des BND.
44:30 IFG-Paradoxon: Eine offizielle Anfrage der AG Kritis nach dem Informationsfreiheitsgesetz (IFG) zum Zustand der Berliner Notwasserbrunnen wurde aus Geheimhaltungsgründen abgelehnt. Im Leak wurde die Ablehnungsdatei („_geschwaerzt.pdf“) unzureichend geschwärzt veröffentlicht, wodurch die personenbezogenen Daten des Antragstellers ungeschützt im Darknet landeten.
46:37 Politische Lagebeurteilung: Der Regierende Bürgermeister fordert nach dem Vorfall eine rasche Härtung des Netzes und verweist auf eine „neue Bedrohungslage“ – eine Argumentation, die angesichts jahrelanger, präziser Expertenprognosen als zynisch eingestuft wird.
49:35 Strategische Handlungsempfehlungen: Die AG Kritis fordert die gesetzliche Verpflichtung des Sektors „Staat und Verwaltung“ unter dem Kritis-Dachgesetz, die Etablierung externer Sicherheitsprüfungen mit verbindlichen Mängelplänen sowie eine persönliche Haftung von Amtsträgern bei gravierenden Datenschutz- und Geheimschutzverstößen.
Glossar
AG Kritis: Arbeitsgemeinschaft Kritische Infrastrukturen; ein unabhängiges, interdisziplinäres Bündnis von Fachleuten, das sich für den Schutz und die Resilienz lebenswichtiger Versorgungssysteme der Bevölkerung einsetzt.
KRITIS (Kritische Infrastrukturen): Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden (z. B. Wasser, Strom, Gesundheit, Staat und Verwaltung).
Forensik (IT-Forensik): Die systematische Untersuchung von Cyber-Sicherheitsvorfällen zur Aufklärung von Kompromittierungen, Datenabflüssen, Schadsoftware-Aktivitäten und Täterspuren auf digitalen Systemen.
SINA (Sichere Interne Netzwerk-Architektur): Eine im Auftrag des Bundesamtes für Sicherheit in der Informationstechnik (BSI) entwickelte Produktfamilie zur sicheren Übertragung, Verarbeitung und Speicherung von hochsensiblen Daten und Verschlusssachen.
VS-NFD (Verschlusssache – Nur für den Dienstgebrauch): Die niedrigste gesetzliche Geheimhaltungsstufe für staatliche Dokumente in Deutschland. Sie kennzeichnet Informationen, deren Kenntnisnahme durch Unbefugte für die Interessen der Bundesrepublik oder eines ihrer Länder nachteilig sein kann.
ITDZ Berlin (IT-Dienstleistungszentrum Berlin): Der zentrale IT-Dienstleister für die Verwaltung des Landes Berlin, verantwortlich für den Betrieb des Landesnetzes und die Bereitstellung zentraler IT-Infrastrukturen.
Intrusion Detection System (IDS / Eindringungserkennung): Eine Sicherheitssoftware oder -hardware, die Netzwerke und Systeme kontinuierlich auf verdächtige Aktivitäten, Angriffe oder Richtlinienverstöße überwacht und entsprechende Warnungen ausgibt.
Active Directory (AD): Ein von Microsoft entwickelter Verzeichnisdienst zur zentralen Organisation, Verwaltung und Bereitstellung von Benutzerkonten, Zugriffsrechten und IT-Ressourcen in einem Windows-Netzwerk.
CrowdStrike Falcon / EDR (Endpoint Detection and Response): Eine cloudbasierte Sicherheitssoftware zur kontinuierlichen Überwachung und Absicherung von Endgeräten (Server, Computer) gegen Cyberbedrohungen. Das Tool erfordert weitreichende Systemrechte zur Echtzeitanalyse und Bedrohungsabwehr.
IFG (Informationsfreiheitsgesetz): Ein Gesetz, das jedem Bürger das Recht gewährt, Zugang zu amtlichen Informationen von Bundes- oder Landesbehörden zu verlangen, um staatliches Handeln transparenter zu machen (sofern dem keine Sicherheitsbelange entgegenstehen).
Fachverfahren: Spezifische Softwareanwendungen, die in öffentlichen Verwaltungen zur Erfüllung gesetzlicher und administrativer Aufgaben (z. B. Meldewesen, Kfz-Zulassung, Sozialhilfe) eingesetzt werden.
Darknet: Ein verschlüsselter, anonymisierter Teil des Internets, der nicht über Standard-Suchmaschinen auffindbar ist und spezielle Software (z. B. den Tor-Browser) erfordert. Er wird häufig von Kriminellen als Handelsplatz für geleakte Daten genutzt.