Nach dem Cyberangriff auf die Berliner Verwaltung warnt das BSI vor gezielten Phishing-Angriffen und sogenannten Hack-and-Leak-Operationen. Der Fall zeigt exemplarisch, wie ein Sicherheitsvorfall Wochen später neue, sehr konkrete Gefahren erzeugt – und warum ein Notfallplan über den ersten Tag hinaus wirken muss.
Was ist passiert
Anfang September 2026 wurde bekannt, dass die IT-Infrastruktur der Berliner Verwaltung Ziel eines schwerwiegenden Ransomware-Angriffs geworden war. Nachdem die geforderte Lösegeldzahlung ausblieb, veröffentlichten die Angreifer ein umfangreiches Datenpaket im Darknet. Das Bundesamt für Sicherheit in der Informationstechnik reagierte kurz darauf mit einer eindringlichen Warnung: Es bestehe eine erhöhte Gefahr durch gezielte Phishing-Angriffe sowie durch sogenannte Hack-and-Leak-Operationen, bei denen echte, aus dem Datenabfluss stammende Dokumente in irreführendem Zusammenhang präsentiert werden, um Vertrauen zu erschleichen oder gezielt zu täuschen.
Was das für Sie bedeutet
Für unsere Mandantinnen und Mandanten aus Kommunen, Mittelstand und Gesundheitswesen ist dieser Fall lehrreich, unabhängig davon, ob die eigene Organisation jemals selbst betroffen ist. Er zeigt zunächst, dass ein Sicherheitsvorfall nicht mit der Entdeckung endet, sondern häufig erst danach seine volle Wirkung entfaltet: Wochen oder Monate nach dem eigentlichen Angriff entstehen aus den erbeuteten Daten neue, sehr konkrete Angriffe auf Mitarbeitende, Bürgerinnen und Bürger oder Patientinnen und Patienten. Wer personenbezogene Daten verarbeitet, muss deshalb nicht nur den ursprünglichen Vorfall nach Art. 33 und 34 DSGVO bewerten, sondern auch nachgelagerte Risiken im Blick behalten und betroffene Personen bei Bedarf erneut informieren.
Der Fall macht außerdem deutlich, warum klassische Erkennungsmerkmale von Phishing zunehmend versagen. Kommunizieren Angreifer auf Basis echter, geleakter Organisationsdaten, wirken ihre Nachrichten glaubwürdig, weil Namen, interne Bezeichnungen oder tatsächliche Vorgänge korrekt genannt werden. Für Mitarbeitende in Kommunen und Krankenhäusern, die täglich mit sensiblen Bürger- beziehungsweise Patientendaten arbeiten, bedeutet das: Awareness-Schulungen müssen dieses Muster explizit adressieren, statt sich allein auf klassische Warnsignale wie schlechte Sprache oder unbekannte Absender zu verlassen.
Besonders praxisrelevant ist die Warnung vor Hack-and-Leak-Operationen, bei denen echte Dokumente gezielt aus dem Kontext gerissen oder mit falschen Behauptungen verknüpft werden, um Verunsicherung oder Reputationsschäden herbeizuführen. Für öffentliche Einrichtungen, aber auch für Unternehmen mit sensiblen Geschäftsdaten, empfiehlt sich deshalb eine klare interne Kommunikationslinie für den Ernstfall: Wer verifiziert die Echtheit veröffentlichter Dokumente, wer informiert intern und extern, und über welchen Kanal erfolgt die offizielle Stellungnahme.
Der Berliner Fall zeigt schließlich, wie eng IT-Sicherheit und Datenschutz mittlerweile ineinandergreifen. Ein technischer Sicherheitsvorfall löst nahezu automatisch datenschutzrechtliche Pflichten aus, während umgekehrt eine funktionierende Datenschutzorganisation – etwa durch aktuelle Verzeichnisse von Verarbeitungstätigkeiten und klare Meldewege – die Reaktionsfähigkeit im Sicherheitsfall erheblich verbessert.
Fazit und Handlungsempfehlung
Organisationen sollten den aktuellen Fall zum Anlass nehmen, zwei Dinge zu prüfen: erstens, ob der eigene Notfallplan auch die Phase nach einem möglichen Vorfall abdeckt, also die Kommunikation bei nachgelagerten Phishing-Wellen und die Verifizierung geleakter Dokumente. Zweitens, ob die Mitarbeitendenschulung aktuelle Angriffsmuster wie kontextbasiertes Phishing mit echten Daten berücksichtigt. Eine kurze, gezielte Auffrischung ist meist wirkungsvoller als eine allgemeine jährliche Pflichtschulung.
Gerne unterstützen wir Sie dabei, Ihren Notfallplan und Ihre Meldewege auf den aktuellen Stand zu bringen oder eine kurze, praxisnahe Awareness-Schulung für Ihr Team zu konzipieren. Sprechen Sie uns einfach an – gemeinsam finden wir heraus, wo bei Ihnen der größte Hebel liegt.