Am Landesnetz endet Berlins Statistik der IT-Sicherheitsvorfälle

Die Angreifer, die im August das Netz der Berliner Verwaltung erreicht haben, haben ihre Forderung in einer Botschaft im Darknet hinterlegt: 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Das Land hat weder Betrag noch Drohung bestätigt; die Angaben stammen aus einem Bericht des Spiegel über diese Botschaft. Nach einer Sondersitzung des Senats erklärte der Regierende Bürgermeister, Berlin gehe darauf nicht ein. Zwei Senatsverwaltungen waren zu diesem Zeitpunkt seit dem 14. August rund eine Woche vom Landesnetz getrennt. So berichten es Maxim Nägele, dpa und AFP am 28. August 2026 in der ZEIT. Wie viele IT-Sicherheitsvorfälle die Berliner Verwaltung im Jahr davor gemeldet hat, steht in einer Antwort des Senats vom Januar, sieben Monate vor dem Angriff: acht.

Zuständig für die IT-Sicherheit der Landesverwaltungen sind nach Artikel 70 des Grundgesetzes die Länder. In Berlin steht die Meldepflicht in § 23 Absatz 2 des E-Government-Gesetzes; die Meldungen laufen beim Berlin-CERT des IT-Dienstleistungszentrums zusammen.

Einen IT-Sicherheitsvorfall meldet die betroffene Behörde selbst#

Wen diese Pflicht trifft, steht in der Antwort des Senats vom 3. Februar 2025 im Wortlaut: „Die an das Berliner Landesnetz angeschlossenen Behörden und Einrichtungen haben dem Berlin-CERT gemäß dem festgelegten Meldeprozess sicherheitsrelevante Vorfälle unverzüglich zu melden“ (Drucksache 19/21360 pardok.parlament-berlin.de ↗). Gezählt wird also, was Stellen am Landesnetz von sich aus melden. Wie viele Behörden und Einrichtungen daran hängen, ist öffentlich nicht aufzufinden; eine Quote lässt sich aus den acht Meldungen deshalb nicht bilden. Ein zweiter Meldeweg läuft daneben her: Auch die Berliner Beauftragte für Datenschutz und Informationsfreiheit bekommt IT-Sicherheitsvorfälle gemeldet, nach eigenen Kriterien. Zusammengeführt werden beide Bestände nicht. „Seitens des Senats erfolgt keine Erfassung der an die Berliner Beauftragte für Datenschutz und Informationsfreiheit gemeldeten IT-Sicherheitsvorfälle“, steht in den Antworten für 2023 und 2024; für 2025 heißt es, „eine gemeinsame Betrachtung liegt dem Senat nicht vor“.

Drei von 15 Meldungen kamen 2023 erst nach fremdem Hinweis#

Gefragt hat in allen drei Jahren derselbe Abgeordnete, jeweils im Januar: Stefan Ziller von den Grünen. Für 2023 nennt die Antwort des Senats vom 6. Februar 2024 „insgesamt 15 Meldungen“ aus Behörden und Institutionen, dazu zwei aus landeseigenen Betrieben (Drucksache 19/17898 pardok.parlament-berlin.de ↗). Drei dieser Meldungen kamen erst, nachdem eine andere Stelle den Vorfall bemerkt hatte: ein Alert der ITDZ-Sicherheitssysteme, eine Aufforderung des Landesbevollmächtigten für Informationssicherheit, Hinweise des Berlin-CERT. „Die nachträgliche Meldung hatte in allen Fällen keine Konsequenzen von Seiten des Berlin-CERT“, heißt es dazu. Dass eine Organisation von ihrem eigenen Vorfall durch Dritte erfährt, ist kein Berliner Sonderfall: Zwei von drei betroffenen Firmen erfuhren erst vom Angreifer, dass sie betroffen waren¹.

Für 2024 nannte der Senat zwei erfolgreiche Phishing-Angriffe#

Dieselbe Anfrage ein Jahr später: acht Meldungen „von Senatsverwaltungen, Landesämtern oder Bezirksämtern an das Berlin-CERT“, wieder dazu zwei aus landeseigenen Betrieben. Was dahintersteckte, führte die Drucksache 19/21360 einzeln auf: „Erfolgreicher Phishing-Angriff (2x)“, „Interaktion mit maliziöser Mail (2x)“. Auf die Frage nach Vorfällen, die nicht gemeldet wurden, steht dort ein Wort: „Keine.“ Ob 2023 und 2024 dasselbe zählen, sagen die Antworten nicht; eine Definition des meldepflichtigen Vorfalls enthält keine von ihnen.

Die Drucksache 19/24686 nennt acht gemeldete IT-Sicherheitsvorfälle für 2025#

Für 2025 fällt die Auskunft kürzer aus: „insgesamt acht Sicherheitsvorfälle durch Behörden und Institutionen der Berliner Verwaltung“, dazu wieder zwei aus landeseigenen Betrieben (Drucksache 19/24686 pardok.parlament-berlin.de ↗ vom 19. Januar 2026). Die Bearbeitung und Behebung „variierten zwischen 14 Tagen und 8 Monaten, je nach Umfang und notwendigen Maßnahmen“. Die Aufstellung der einzelnen Angriffe fehlt; zweimal wortgleich steht in der Antwort: „Um keine zusätzlichen Bedrohungsvektoren zu geben, wird zur Risikominimierung hier auf eine detaillierte Aufstellung der einzelnen Angriffe verzichtet.“ Auf dieselbe Frage, gezeichnet von derselben Staatssekretärin, antwortete das Haus elf Monate zuvor auf neun Seiten, diesmal auf dreien. Zu Vorfällen außerhalb der acht heißt es: „Es sind keine weiteren IT-Sicherheitsvorfälle bekannt.“

Der siebte Umsetzungsbericht des Senats, im März 2026 vorgelegt, führte das IKT-Notfallmanagement auf Rot, weil die Rollen dafür zu großen Teilen nicht besetzt waren. Der Rechnungshof von Berlin stellte am 27. November 2025 fest, ein Bezirksamt verfüge über „kein ordnungsgemäßes IT-Notfallkonzept“², und das bereits seit 2015. Ob acht Meldungen eher die Zahl der Angriffe abbilden oder die Zahl der Stellen, die einen Angriff bemerken und melden können, sagt keine der drei Antworten. Widerlegen ließe sich die zweite Lesart durch eine Aufstellung, wie viele Stellen am Landesnetz hängen und wie viele von ihnen je gemeldet haben; öffentlich ist sie nicht zu finden.

Über den laufenden Angriff liegen bislang nur Zahlen aus einer einzigen Quelle vor, und das ist die Botschaft der Angreifer: knapp sechs Terabyte Daten, Zehntausende Ordnungswidrigkeitsverfahren, rund 6.000 Log-in-Datensätze. Die Reihe, die das Land selbst führt, reicht bis zum Jahr 2025 und nennt acht Meldungen.

Anlass war die Meldung „Erpressung: Land Berlin wird nach Hackerangriff erpresst“ von Maxim Nägele, dpa und AFP für DIE ZEIT vom 28. August 2026. Von dort stammen die Angaben aus der Erpresserbotschaft (Forderung, Datenmenge, Log-in-Datensätze, Ordnungswidrigkeitsverfahren), die Isolierung der beiden Senatsverwaltungen ab dem 14. August und die Äußerung des Regierenden Bürgermeisters. Die Zahlen zu den gemeldeten IT-Sicherheitsvorfällen stammen aus den Antworten des Senats auf die Schriftlichen Anfragen 19/17898 (6. Februar 2024), 19/21360 (3. Februar 2025) und 19/24686 (19. Januar 2026), abrufbar im Dokumentensystem des Abgeordnetenhauses unter pardok.parlament-berlin.de; der Status des IKT-Notfallmanagements aus dem siebten Umsetzungsbericht zum E-Government-Gesetz Berlin (Berichtsstand 31. Dezember 2025), der Befund zum Bezirksamt aus der Pressemitteilung des Rechnungshofs von Berlin vom 27. November 2025.