Nach bisherigen Erkenntnissen begann der Angriff vermutlich mit einer gefälschten Prüfseite und einem Befehl, den ein Beschäftigter selbst ausführte. Was belegt ist, was wahrscheinlich ist und was Sie in dieser Woche in Ihrer Umgebung prüfen können.
Am 14. August 2026 trennte das Land Berlin zwei Senatsverwaltungen vom Landesnetz, darunter die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Nach Angaben des Senats flossen zwischen dem 7. und dem 12. August Daten ab. Dass personenbezogene oder andere nicht öffentliche Daten betroffen sind, konnte der Senat nicht ausschließen.
Am 28. August machte der Senat eine Erpressung öffentlich und erklärte, das Land Berlin lasse sich nicht erpressen. Anfang September wurden gestohlene Daten veröffentlicht. Der Senat richtete daraufhin eine zentrale Steuerungseinheit in der Senatskanzlei ein, die gemeinsam mit LKA, Datenschutzbehörde und BSI die Daten risikobasiert auswertet und sicherheitskritische Stellen unmittelbar informiert.
Medien ordnen den Angriff der Gruppe Rhysida zu und berichten von mehreren Terabyte veröffentlichter Daten. Eine offizielle Bestätigung von Täterschaft und Einfallstor durch den Senat lag bei Redaktionsschluss nicht vor; einzelne Ermittlungsergebnisse will der Senat aus ermittlungstaktischen Gründen vorerst nicht veröffentlichen.
Am 4. September warnte das BSI, dass im August das Netz einer deutschen staatlichen Einrichtung nach dem Muster „TerminalFix“ kompromittiert worden sei. Die Angreifer hätten versucht, Ransomware zu installieren und Daten für eine doppelte Erpressung abzuziehen. Tagesspiegel und heise bringen diese Warnung mit dem Berliner Vorfall in Verbindung. Wir behandeln den Zusammenhang deshalb als wahrscheinlich, aber nicht als bewiesen.
Die Technik selbst hat Microsoft am 28. August ausführlich beschrieben. Lehrreich ist die Kette, weil keiner ihrer Schritte eine Softwareschwachstelle im klassischen Sinn braucht:
Ob der Berliner Angriff genau so ablief, ist öffentlich nicht belegt. Das Muster erklärt aber, warum ein einziger eingefügter Befehl reichen kann: Danach braucht der Angreifer nur noch einen Weg vom Arbeitsplatz zu den Daten.
Ein Assumed-Breach-Test beginnt an genau diesem Punkt, auf einem Standardarbeitsplatz mit einem normalen Benutzerkonto. Er beantwortet die Fragen, die nach einem solchen Vorfall zählen, bevor es einen gibt:
Die folgenden Punkte kann Ihr Team ohne externe Hilfe abarbeiten. Sie decken die Schritte der beschriebenen Kette ab und kosten jeweils eher Stunden als Tage.
Fälle wie der Berliner zeigen aus unserer Sicht, dass die entscheidende Frage nicht lautet, ob jemand einen Befehl einfügt, sondern wie weit ein Angreifer vom ersten Arbeitsplatz aus kommt und wie schnell es jemand bemerkt. Beides lässt sich messen, bevor es ernst wird.
Pentester bei ProSec Networks. Schreibt über das, was im Projekt auffällt.
Im Assumed-Breach-Szenario prüfen wir, wie weit ein Angreifer von einem Standardclient aus kommt und wann Ihr Team ihn sieht.
Wie viele Schritte trennen ein Standardkonto vom Domänen-Admin? Sie sehen die realen Angriffspfade in Ihrem Active Directory und wie Sie sie unterbrechen.
Die Ransomware-Simulation zeigt kontrolliert und ohne echte Verschlüsselung, wo Ihre Abwehr einen Erpressungsangriff stoppt und ob Backups nutzbar bleiben.
Präparierte Anhänge gegen E-Mail-Gateway, Sandbox und EDR: Sie sehen je Testfall, welche Schicht erkennt, blockiert oder durchlässt.
Im Workshop analysieren wir mit Ihrem Team die Berechtigungsketten Ihres Active Directory in BloodHound und schließen die kritischsten Pfade gemeinsam.
Schildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping.
Für das Beratungsgespräch müssen Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
