Broadcast Defense 7: ClickFix-Angriff

Angriff des Monats: Cyberangriff auf die Berliner Senatsverwaltung

Was zunächst wie ein lokaler IT-Ausfall aussah, entwickelte sich innerhalb weniger Wochen zu einem der schwerwiegendsten Cybervorfälle in einer deutschen Verwaltung der vergangenen Jahre. Betroffen waren nicht nur interne Systeme, sondern auch zahlreiche öffentliche Dienstleistungen und die personenbezogenen Daten von Bürgerinnen und Bürgern.

Auch der Berliner Senat war Ziel einer Attacke.

Mitte August 2026 wurde die Berliner Senatsverwaltung Ziel eines Cyberangriffs. Am 14. August wurden mehrere Systeme vorsorglich vom zentralen Landesnetz getrennt, nachdem verdächtige Aktivitäten festgestellt worden waren. Besonders betroffen waren die Ressorts für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz. Die Häuser waren zeitweise nur eingeschränkt erreichbar, viele Arbeitsabläufe konnten nicht mehr digital durchgeführt werden. Die Auswirkungen zeigten sich schnell auch für die Öffentlichkeit: Digitale Bürgerdienste standen nur eingeschränkt zur Verfügung, die Online-Beantragung von Briefwahlunterlagen war betroffen und die Auszahlung von Wohngeld an mehr als 50.000 Haushalte geriet ins Stocken. Landeskriminalamt, Staatsanwaltschaft und BSI wurden in die Ermittlungen eingebunden, während ein IKT-Notfallkrisenstab die Koordination der Gegenmaßnahmen übernahm.

Verlauf und Eskalation

Zu Beginn gingen die Verantwortlichen davon aus, dass keine sensiblen Daten abgeflossen seien. Spätere Untersuchungen zeigten, dass die Angreifer bereits zwischen dem 7. und 12. August Daten aus den Systemen exfiltriert hatten, also noch vor der öffentlichen Bekanntmachung des Vorfalls. Ende August wurde bestätigt, dass personenbezogene Daten aus dem Bereich Mobilität, Verkehr, Umwelt und Klimaschutz betroffen waren. Kurz darauf bekannte sich die Ransomware-Gruppe Rhysida zu dem Angriff und forderte ein Lösegeld von rund zwei Millionen Euro in Form von 30 Bitcoin. Die Zahlung wurde von den Verantwortlichen abgelehnt.

Die Ransomware-Gruppe Rhysida bekannte sich zu dem Angriff und forderte ein Lösegeld.

Daraufhin erhöhte die Gruppe den Druck und drohte mit der Veröffentlichung der erbeuteten Informationen. Nach eigenen Angaben verfügten die Angreifer über rund 5,79 Terabyte an Daten. Dazu gehörten Kontaktdaten, Bankverbindungen, Vertragsunterlagen, Dokumente aus Personal-, Finanz- und Rechtsabteilungen, Zugangsdaten sowie vertrauliche Unterlagen aus kritischen Bereichen der Berliner Verwaltung.

Anfang September wurde die Datenmenge schließlich veröffentlicht. Sicherheitsexperten warnten anschließend vor möglichen Folgen, wie Identitätsdiebstahl und Betrugsversuchen. Medienberichten zufolge sollen rund 1,4 Millionen Datensätze betroffen gewesen sein. Als wahrscheinliches Einfallstor wurde später ein einzelnes Bezirksamt identifiziert, über das sich die Angreifer offenbar schrittweise Zugang zu weiteren Teilen der IT-Infrastruktur verschafft hatten.

Die eigentliche Ursache wurde erst Wochen später bekannt

Besonders bemerkenswert ist, dass die entscheidende Ursache des Vorfalls erst rund einen Monat nach Bekanntwerden identifiziert wurde: Auslöser war offenbar ein sogenannter ClickFix-Angriff. Ein Mitarbeitender führte einen über eine gefälschte Sicherheitsmeldung bereitgestellten Befehl eigenhändig aus und schuf damit unwissentlich den ersten Zugangspunkt für die Angreifer.

Der Fall zeigt eindrucksvoll, warum moderne Cyberangriffe längst nicht mehr ausschließlich auf technische Schwachstellen abzielen. Statt komplexe Sicherheitsmechanismen zu überwinden, genügt häufig die erfolgreiche Manipulation eines einzelnen Mitarbeitenden. Zudem verdeutlicht der Fall, welche Folgen ein scheinbar harmloser Social-Engineering-Angriff haben kann. Zwischen der ersten Kompromittierung Anfang August und der öffentlichen Bekanntmachung des Vorfalls lagen mehr als zehn Tage. Die eigentliche Ursache wurde sogar erst Wochen später erkannt. Genau diese Zeitspanne ist für Angreifer besonders wertvoll: Sie ermöglicht die Ausweitung von Zugriffsrechten, die Bewegung innerhalb des Netzwerks und den unbemerkten Abfluss großer Datenmengen.

Seite 1: Basis-Wissen: Was ist ein Incident Response Plan?
Seite 2: Angriffstyp des Monats: ClickFix
Seite 3: Angriff des Monats: Cyberangriff auf die Berliner Senatsverwaltung