Berlin-Leak: 1,4 Millionen Dateien im Darknet - was Unternehmen daraus lernen müssen

Ein Cyberangriff auf das Berliner Landesnetz entwickelt sich gerade zu einem der aufsehenerregendsten deutschen IT-Sicherheitsvorfälle des Jahres. Nach Ablauf eines Ultimatums hat die Ransomware-Gruppe Rhysida gestohlene Daten veröffentlicht - darunter offenbar auch personenbezogene und sensible Informationen. Der Fall zeigt eindrücklich, warum Cybersecurity längst kein reines Thema der IT-Abteilung mehr ist, und was er auch für die Hotellerie bedeutet.

Was ist in Berlin passiert?

Im August 2026 wurde das Berliner Landesnetz Ziel eines umfangreichen Cyberangriffs. Nach bisherigen Erkenntnissen konnten Angreifer zwischen dem 7. und 12. August Daten aus Systemen der Berliner Verwaltung abziehen. Bekannt wurde der Angriff am 14. August, später bekannte sich die Ransomware-Gruppe Rhysida dazu.

Die Gruppe behauptete, insgesamt rund 5,7 Terabyte Daten erbeutet zu haben, und versuchte anschließend, das Land Berlin zu erpressen: mindestens 30 Bitcoin, zum damaligen Zeitpunkt umgerechnet etwa zwei Millionen Euro. Berlin lehnte eine Zahlung ab. Am 4. September lief das von den Angreifern gesetzte Ultimatum aus - anschließend wurden gestohlene Daten zum Download veröffentlicht.

Rund 1,4 Millionen Dateien veröffentlicht

Nach aktuellen Berichten umfasst das veröffentlichte Material etwa 1,4 Millionen Dateien. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt inzwischen vor den möglichen Folgen des Datenlecks. Unter den veröffentlichten Informationen sollen sich unter anderem Daten aus Personalakten, Stundenzettel, Telefonnummern und weitere interne Unterlagen befinden.

Das besonders Problematische daran: Ein Cyberangriff endet nicht automatisch, wenn die Angreifer keinen Zugriff mehr auf das Netzwerk haben. Sind Daten einmal kopiert worden, können sie anschließend veröffentlicht, verkauft oder für weitere Angriffe genutzt werden. Genau diese zweite Phase eines Ransomware-Angriffs wird häufig unterschätzt.

Verschlüsseln reicht den Angreifern längst nicht mehr

Früher folgten viele Ransomware-Angriffe einem relativ einfachen Prinzip: Angreifer verschlüsselten Daten und verlangten Geld für den Schlüssel. Heute funktioniert das Geschäftsmodell häufig anders - bevor Systeme überhaupt verschlüsselt werden, versuchen Angreifer, möglichst große Datenmengen aus dem Netzwerk zu kopieren. Danach entsteht eine doppelte Erpressung: "Bezahlt - oder eure Daten werden veröffentlicht."

Selbst wenn funktionierende Backups vorhanden sind und ein Unternehmen seine Systeme ohne Zahlung wiederherstellen kann, bleibt damit ein erhebliches Problem bestehen: Die kopierten Daten befinden sich weiterhin bei den Angreifern. Der Berliner Vorfall macht dieses Risiko sehr deutlich.

Warum das auch für Hotels relevant ist

Was hat ein Angriff auf eine Landesverwaltung mit einem Hotel zu tun? Mehr, als man zunächst vermuten könnte. Hotels verarbeiten täglich große Mengen personenbezogener Daten, darunter:

Namen und Anschriften
Telefonnummern und E-Mail-Adressen
Reservierungsdaten
Rechnungs- und Unternehmensdaten
Informationen zu Aufenthaltszeiträumen
Mitarbeiter- und Bewerberdaten
Dienstpläne und Arbeitszeiten
teilweise Ausweis- oder Meldedaten
Zugangsdaten zu internen Systemen

Hinzu kommen zahlreiche miteinander verbundene Systeme: PMS, Channel Manager, Buchungsmaschine, Kassensystem, Gäste-WLAN, digitale Schließsysteme, Zeiterfassung, Cloudspeicher, E-Mail und Buchhaltung bilden heute eine umfangreiche digitale Infrastruktur - und genau damit wächst auch die Angriffsfläche, wie wir bereits in unserem Beitrag zu IT-Sicherheit im Hotel beschrieben haben.

Das größte Risiko ist nicht immer das PMS

Bei IT-Sicherheit denken viele Hotels zuerst an ihr Property-Management-System. Dabei beginnt ein Angriff möglicherweise an einer ganz anderen Stelle: eine manipulierte E-Mail reicht unter Umständen aus. Oder ein Mitarbeiter verwendet dasselbe Passwort bei mehreren Diensten. Vielleicht existiert noch ein Benutzerkonto eines ausgeschiedenen Mitarbeiters, ein alter Rechner erhält keine Sicherheitsupdates mehr, oder ein Fernwartungszugang ist schlecht abgesichert. Auch wichtige Dokumente in einem gemeinsam genutzten Cloud-Ordner, auf den deutlich mehr Personen Zugriff haben als notwendig, gehören dazu.

Cybersecurity besteht deshalb nicht aus einem einzelnen Sicherheitsprodukt. Sie ist ein Prozess.

Was Unternehmen aus Berlin lernen sollten

Der Berliner Angriff sollte Anlass sein, die eigene Infrastruktur kritisch zu überprüfen.

Zugriffsrechte überprüfen. Nicht jeder Mitarbeiter benötigt Zugriff auf sämtliche Daten. Das Prinzip sollte lauten: so viele Rechte wie notwendig, so wenige wie möglich. Verlässt ein Mitarbeiter das Unternehmen, müssen sämtliche Zugänge konsequent deaktiviert werden.
Mehrfaktor-Authentifizierung einsetzen. Wo immer möglich, sollten wichtige Systeme zusätzlich zum Passwort über einen zweiten Faktor geschützt werden - besonders wichtig bei E-Mail-Konten, Cloudspeichern, PMS und Verwaltungssoftware, Fernwartungszugängen und Administratorkonten. Ein gestohlenes Passwort allein reicht dann nicht unmittelbar für einen erfolgreichen Login.
Backups allein sind nicht genug. Backups bleiben unverzichtbar, schützen aber nicht vor der Veröffentlichung bereits gestohlener Daten. Unternehmen müssen deshalb zwei Fragen getrennt betrachten: Können wir unsere Systeme nach einem Angriff wiederherstellen - und wie verhindern wir, dass Angreifer unsere Daten überhaupt kopieren können? Beides gehört zu einer vernünftigen Sicherheitsstrategie.
Systeme voneinander trennen. Ein kompromittiertes Gerät sollte einem Angreifer nicht automatisch Zugang zum gesamten Unternehmensnetz verschaffen. Gerade Hotels sollten deshalb prüfen, ob beispielsweise Gäste-WLAN, interne Arbeitsplätze, Gebäudetechnik und andere Systeme ausreichend voneinander getrennt sind. Netzwerksegmentierung ist kein Luxus für große Konzerne.
Updates ernst nehmen. Nicht mehr unterstützte Betriebssysteme, Router, Netzwerkgeräte oder Softwareprodukte gehören zu den vermeidbaren Risiken. Für sicherheitsrelevante Updates braucht es klare Verantwortlichkeiten statt des Prinzips "wenn irgendwann Zeit ist".
Den Ernstfall vorher planen. Wer entscheidet bei einem Cyberangriff? Wer ruft den IT-Dienstleister an? Welche Systeme werden vom Netz genommen? Wo befinden sich die Backups? Welche Passwörter müssen geändert werden? Wer informiert Mitarbeiter, Gäste oder Geschäftspartner, und wann müssen Datenschutzbehörden eingeschaltet werden? Diese Fragen sollte ein Unternehmen beantworten, bevor morgens an der Rezeption plötzlich kein System mehr funktioniert.

Und wenn Daten bereits gestohlen wurden?

Dann beginnt ein weiterer Teil des Krisenmanagements. Das Land Berlin lässt die veröffentlichten Daten derzeit von Sicherheitsbehörden und IT-Forensikern untersuchen. Werden betroffene Personen identifiziert, sollen sie entsprechend der gesetzlichen Vorgaben informiert werden. Berlin weist außerdem darauf hin, dass Personen, die feststellen, dass ihre Daten veröffentlicht oder etwa für Betrug oder Identitätsmissbrauch verwendet wurden, Strafanzeige erstatten sollten.

Für Unternehmen bedeutet das: Ein Incident-Response-Plan darf nicht bei der Wiederherstellung der Server enden. Datenschutz, Kommunikation, rechtliche Bewertung und die Information Betroffener gehören ebenfalls dazu.

Die entscheidende Frage lautet nicht: "Sind wir interessant genug?"

Gerade kleinere Unternehmen gehen häufig davon aus, für professionelle Cyberkriminelle kein interessantes Ziel zu sein. Das ist eine gefährliche Annahme. Viele Angriffe beginnen nicht damit, dass sich ein Angreifer gezielt ein bestimmtes Hotel oder Unternehmen aussucht - automatisierte Systeme suchen permanent nach erreichbaren Servern, bekannten Sicherheitslücken und kompromittierbaren Benutzerkonten. Wer eine Schwachstelle bietet, kann zum Ziel werden. Dabei spielt es zunächst kaum eine Rolle, ob hinter der IP-Adresse eine Landesverwaltung, ein mittelständischer Betrieb oder ein Hotel mit 50 Zimmern steckt.

Fazit

Der Angriff auf das Berliner Landesnetz zeigt eindrucksvoll, wie sich Cyberkriminalität verändert hat: Es geht nicht mehr nur darum, Systeme lahmzulegen - Daten selbst sind zum Druckmittel geworden. Und genau deshalb reicht die Frage "Haben wir ein Backup?" im Jahr 2026 nicht mehr aus. Unternehmen sollten sich stattdessen fragen: Welche Daten besitzen wir? Wer kann darauf zugreifen? Wie gut sind unsere Zugänge geschützt? Und was tun wir, wenn morgen tatsächlich jemand in unserem Netzwerk ist?

Gerade in der Hotellerie, in der zahlreiche Systeme miteinander kommunizieren und täglich sensible Gast- und Mitarbeiterdaten verarbeitet werden, gehört IT-Sicherheit inzwischen zur betrieblichen Grundversorgung.

3J Software meint

Der Berliner Cyberangriff ist nicht nur eine Nachricht aus der öffentlichen Verwaltung. Er ist eine Fallstudie darüber, was passieren kann, wenn Angreifer an die Daten gelangen, auf denen ein moderner Betrieb basiert - und ein guter Anlass, die eigene Infrastruktur einmal ehrlich zu prüfen: Zugriffsrechte, Zwei-Faktor-Authentifizierung, Netzwerktrennung und ein durchdachter Notfallplan sind dabei oft wirksamer als das nächste einzelne Sicherheitsprodukt.

Wenn Sie wissen wollen, wo Ihr Betrieb aktuell steht, oder Unterstützung bei Zugriffsrechten, Netzwerktrennung oder der laufenden IT-Betreuung suchen: Kontakt aufnehmen für eine unverbindliche Einschätzung.

Quelle: Presse- und Informationsamt des Landes Berlin, Tagesschau/rbb sowie aktuelle Informationen des BSI. Stand: 5. September 2026 - die forensische Untersuchung des Vorfalls und der veröffentlichten Daten dauert an.