KICyberangriff auf Berlin — warum wir bei Hornetsecurity und Sophos keine Kompromisse machen
Ein aktueller Fall zeigt, wie schnell aus einer einzelnen E-Mail eine Erpressung mit gestohlenen Daten wird.
Zwischen dem 7. und 12. August 2026 wurden Netzwerke der Berliner Verwaltung angegriffen. Die Erpressergruppe Rhysida kopierte dabei eine erhebliche Menge an Daten und veröffentlichte sie anschließend teilweise — verbunden mit einer Lösegeldforderung von rund 30 Bitcoin, umgerechnet etwa zwei Millionen Euro. BILD hat zusammengefasst, was Betroffene jetzt konkret tun sollten: Passwörter ändern, die eigene E-Mail-Adresse auf bekannten Leak-Listen prüfen, und bei der zuständigen Senatsverwaltung nachfragen, welche eigenen Daten betroffen sind.
Diese Ratschläge sind richtig — sie helfen aber nur denen, die bereits betroffen sind. Für uns als IT-Dienstleister ist der eigentlich interessante Punkt ein anderer: Wie kommt eine Erpressergruppe überhaupt so weit, dass sie tagelang unbemerkt Daten aus einem Verwaltungsnetz kopieren kann?
Das kann nicht nur Behörden treffen
Es ist verlockend, so einen Fall als Problem einer Großstadt-Verwaltung abzutun — mit eigener IT-Abteilung, eigenem Budget, eigenen Zuständigkeiten. Tatsächlich unterscheiden sich die Angriffswege kaum von denen, die auch mittelständische Unternehmen und Kommunen jeden Tag treffen. Ransomware-Gruppen wie Rhysida wählen ihre Ziele selten wegen einer politischen Botschaft aus — sie folgen dem Weg des geringsten Widerstands. Eine ungeschützte Mailbox oder eine veraltete Firewall-Regel reichen dafür oft schon aus.
Der Einfallsvektor: fast immer die E-Mail
Der weitaus größte Teil erfolgreicher Ransomware-Angriffe beginnt mit einer Phishing-Mail, einem infizierten Anhang oder einem manipulierten Link — nicht mit einem hochkomplexen technischen Exploit. Genau deshalb bestehen wir bei unseren Kunden auf Hornetsecurity: Anhänge werden in einer isolierten Umgebung ausgeführt und geprüft, bevor sie den Posteingang erreichen, Phishing-Versuche werden zuverlässig erkannt, und regelmäßige Security-Awareness-Trainings sensibilisieren die Mitarbeiter für genau die Tricks, mit denen Angreifer sich Zugang verschaffen. Der beste Schutz ist der, der den Angriff gar nicht erst ins Postfach lässt.
Falls doch etwas durchkommt: Ausbreitung stoppen
Kein Schutz ist hundertprozentig — deshalb reicht E-Mail-Security allein nicht aus. Genauso wichtig ist, was passiert, wenn ein Angreifer trotzdem einen einzelnen Rechner kompromittiert. Hier setzt Sophos an: Die Firewall XGS und der Endpoint-Schutz Intercept X erkennen verdächtiges Verhalten — etwa das massenhafte Verschlüsseln von Dateien oder ungewöhnliche Verbindungen ins Netzwerk — und isolieren betroffene Geräte automatisch, bevor sich ein Angriff auf weitere Systeme ausbreiten kann. Genau diese Ausbreitung im Netzwerk ist es, die aus einem einzelnen infizierten Rechner tagelanges, unbemerktes Kopieren ganzer Datenbestände macht.
Zwei Bausteine, keine Verhandlungssache
Genau deshalb bestehen wir bei Kundenprojekten konsequent auf beide Bausteine gemeinsam: Hornetsecurity, damit möglichst wenig überhaupt erst ankommt, und Sophos, damit sich ein einzelner Zwischenfall nicht zu einem Fall wie in Berlin auswächst. Das ist keine Verkaufsstrategie, sondern schlicht die Konsequenz aus Fällen wie diesem.
Quellen & weiterführende Links
- BILDCyberangriff auf Berlin: Was Betroffene jetzt tun sollten
- HeiseCyberattacke auf Berlin könnte größere Folgen haben als bisher gedacht
- Berliner Beauftragte für Datenschutz und InformationsfreiheitHinweise zum Hackerangriff auf Berlin
Recherche-Stand: 7. September 2026