Was ist passiert?
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat über Mastodon bestätigt, dass die Angriffskampagne „TerminalFix“ der Einstiegspunkt für den Cyberangriff auf Berliner Senatsverwaltungen war. Betroffen waren die Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz. Der Angriff wurde Mitte August 2026 bekannt und führte zu einem massiven Datenabfluss mit teils kritischen Informationen. Hinter der Attacke steckt nach Berichten des Spiegel die bekannte Ransomware-Bande Rhysida.
Die Details
Die Chronologie des Vorfalls zeigt das Ausmaß der Krise: Bereits vom 7. bis 12. August 2026 wurden Daten durch die Angreifer ausgeleitet, der eigentliche Angriff begann jedoch deutlich früher. Am 14. August wurden die betroffenen Senatsverwaltungen vom Landesnetz isoliert, drei Tage später informierte die Senatskanzlei öffentlich über einen „IKT-Vorfall im Landesnetz Berlin“ und richtete einen Notfallkrisenstab ein. BKA und LKA nahmen Ermittlungen auf.
Die Folgen waren auch für Bürger spürbar: Am 21. August kam es zu Problemen bei Transferleistungen, unter anderem konnte an 50.000 berechtigte Haushalte in Berlin kein Wohngeld ausgezahlt werden. Erst am 24. August waren alle Teile der Senatsverwaltung wieder am Netz. Am 28. August bestätigte sich, dass die Angreifer Daten erbeutet hatten und eine Lösegeldforderung stellten – Regierender Bürgermeister Kai Wegner erklärte, das Land Berlin lasse sich nicht erpressen. Auf der Darknet-Seite von Rhysida tauchte eine Forderung von 30 Bitcoin, umgerechnet rund 2 Millionen Euro, auf, begleitet von angeblichen Datenauszügen inklusive Passwortlisten im Klartext, Justizunterlagen und über 46.500 Verträgen des Landes.
Am 4. September veröffentlichten die Kriminellen schließlich rund 1,44 Millionen Dateien im Darknet, darunter Personalunterlagen, Angaben zu Disziplinarverfahren, Finanzunterlagen sowie Details zur Kritischen Infrastruktur Berlins. Das BSI warnte daraufhin am 5. September vor einer „erhöhten Bedrohungslage“ für die Gesellschaft.
Technischer Ablauf von TerminalFix
TerminalFix ist laut Microsoft eine Variante der bereits im Februar 2026 bekannten Malware-Kampagne „ClickFix“. Nutzer werden dazu gebracht, das Windows-Terminal zu öffnen – statt wie bei ClickFix über die Tastenkombination [Windows]+[R], nutzt TerminalFix den Weg über [Windows]+[X] und anschließend [I] für direkten Zugriff auf die PowerShell.
Über die PowerShell wird ein bösartiger Befehl ausgeführt, den der Nutzer selbst aus der Zwischenablage einfügen muss. Dorthin gelangt er, weil eine manipulierte Webseite ihn per JavaScript automatisch kopiert hat. Diese Seiten täuschen ein gefälschtes Cloudflare-Captcha vor – ein Stück Social Engineering, das ausnutzt, dass echte Captchas von Cloudflare ohnehin unterschiedliche Nutzeraktionen verlangen, sodass ungewöhnliche Tastatureingaben nicht sofort auffallen.
Der ausgeführte Befehl lädt im Hintergrund per Skript die erste Schadsoftware herunter, während die manipulierte Webseite den Nutzer mit dem Fake-Captcha ablenkt. Dabei wird unter anderem die signierte, eigentlich gutartige Windows-Datei „LockScreenContentServer.exe“ missbraucht, um per Sideloading die Datei „dui70.dll“ zu installieren. Diese lädt wiederum PNG-Bilddateien herunter, in denen per Steganografie weitere Schadprogramme versteckt sind.
Die Malware verankert sich anschließend dauerhaft über Registry-Keys, prüft stündlich ihren eigenen Status und wartet auf neue Befehle der Angreifer. Zudem wird ein SOCKS-Proxy eingerichtet, der den Angreifern einen Tunnel ins Netz der betroffenen Organisation verschafft. Dateien und Verzeichnisse werden dabei im Windows-Explorer versteckt, um Entdeckung zu erschweren.
Einordnung
Besonders brisant: Bei den Berliner Behörden wurden Passwörter offenbar im Klartext geführt, was Rhysida laut Bericht relativ leichtes Spiel verschaffte. Wie die Angreifer letztlich Zugriff auf nahezu die gesamten Daten beider Senatsverwaltungen erhielten, ist weiterhin ungeklärt.
Öffentliche Verwaltungen gelten als besonders anfällige Ziele, da Namen, Mailadressen und Personalstrukturen oft teilweise öffentlich einsehbar sind – ein idealer Nährboden für Social Engineering. Solche Angriffe werden auch „Water-Holing“ genannt, da die manipulierten Webseiten dort platziert werden, wo sich die Opfer regelmäßig aufhalten, etwa über Phishing-Mails, Social-Media-Links oder Forenbeiträge. Selbst wenn ein Versuch erst nach vielen Anläufen erfolgreich ist, lohnt sich der Aufwand angesichts der Lösegeldforderung von rund 2 Millionen Euro.
Das BSI verweist zudem auf einen nicht näher genannten externen Dienstleister, demzufolge Rhysida in 92 Prozent der Fälle, in denen mit Veröffentlichung gedroht wird, diese Drohung auch tatsächlich umsetzt. Die Gruppe konzentriert sich vor allem auf den Gesundheits- und Bildungssektor, öffentliche Verwaltungen zählen aber ebenfalls zu den fünf meistgenannten Zieltypen.
Warnung vor Folgeschäden
CCC-Sprecher Joachim Selzer warnte bereits am 30. August vor möglichem Identitätsdiebstahl und weiteren Betrugsversuchen. Bürger, deren persönliche Daten im veröffentlichten Datensatz enthalten sein könnten, seien zudem leicht Opfer von Erpressungsversuchen.
Praxis-Tipps
- Mitarbeitende sollten geschult werden, verdächtige Aufforderungen zur Nutzung von Terminal, PowerShell oder Ausführen-Dialog kritisch zu hinterfragen – besonders wenn diese im Kontext eines Captchas oder einer Verifizierung auftauchen.
- Passwörter dürfen keinesfalls im Klartext gespeichert werden; der Einsatz von Passwortmanagern mit Verschlüsselung ist Pflicht.
- Regelmäßige Überprüfung von Registry-Einträgen und ungewöhnlichem Netzwerkverkehr (etwa SOCKS-Proxy-Verbindungen) kann helfen, persistente Malware frühzeitig zu erkennen.
- Da signierte, legitime Windows-Dateien für Sideloading missbraucht werden können, sind Endpoint-Detection-Lösungen sinnvoll, die auch das Verhalten signierter Software überwachen.
- Behörden und Organisationen sollten ihre Systeme, wie im Fall Berlin geschehen, im Ernstfall konsequent isolieren und extern wie intern transparent kommunizieren.
Ausblick
Das Land Berlin hat mittlerweile eine „Steuerungseinheit“ eingerichtet, über die vom Leak Betroffene per E-Mail und Brief kontaktiert werden sollen. Gleichzeitig läuft laut Senatsverwaltung eine Überprüfung sämtlicher rund 12.000 Systeme des Landes „rund um die Uhr“. Wie genau es den Angreifern gelang, auf praktisch alle Daten der beiden Verwaltungen zuzugreifen, ist weiterhin Gegenstand der Ermittlungen von BKA und LKA. Die Aufklärung dieses Punktes dürfte entscheidend dafür sein, wie ähnliche Angriffe auf andere Behörden künftig verhindert werden können. Angesichts der vom BSI ausgerufenen „erhöhten Bedrohungslage“ ist davon auszugehen, dass weitere Details zum Vorfall sowie zu den Aktivitäten von Rhysida folgen werden.
