Berliner Daten-Leak: Ein einziger Phishing-Klick öffnete Hackern das Netz

Ein einziger falscher Klick auf einen Link in einer Phishing-Mail hat den größten Daten-Leak der Berliner Landesgeschichte ausgelöst. Das geht aus einem Sicherheitsbericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) hervor, der am 4. September 2026 als Schreiben veröffentlicht wurde und die Angriffsmethode „TerminalFix“ beschreibt.

Der Bericht nennt Berlin nicht beim Namen, sondern spricht nur von der „Kompromittierung des Netzwerks einer staatlichen Institution“. Über einen Mastodon-Beitrag stellte das BSI den Bezug her: Die Behörde sei intensiv in die Aufarbeitung des Vorfalls in Berlin eingebunden.

Wie eine Analyse von heise online zum BSI-Bericht festhält, steht damit fest, dass die Senatsverwaltungen für Bauen und Verkehr per TerminalFix attackiert wurden. Der Angriff war bereits im August bekannt geworden, als der Hackerangriff zwei Berliner Senatsverwaltungen lahmlegte.

Ein gefälschtes Captcha als Einfallstor

TerminalFix ist laut BSI eine Weiterentwicklung der Betrugsmasche „ClickFix“, vor der Microsoft Anfang 2026 gewarnt hatte. Neu ist, dass Angreifer damit nicht mehr nur einzelne Computer, sondern ganze Behördennetzwerke ins Visier nehmen können. Im Berliner Fall erkannte ein Mitarbeiter der Senatsverwaltung für Verkehr eine Phishing-Mail nicht und klickte auf den Link.

Auf der manipulierten Webseite erschien ein vermeintlicher Sicherheitstest – ein gefälschtes Cloudflare-Captcha. Um den Test zu bestehen, sollten die Betroffenen einen Befehl in einem Windows-Programm ausführen, mit dem sich Kommandos an den Computer schicken lassen. Der schädliche Befehl war zuvor per JavaScript unbemerkt in die Zwischenablage kopiert worden; die Nutzer mussten ihn nur einfügen und ausführen.

Während auf dem Bildschirm ein angeblich erfolgreicher Captcha-Test angezeigt wird, lädt der Computer im Hintergrund Schadsoftware herunter. Das Skript ruft unter anderem die signierte und eigentlich harmlose Windows-Datei „LockScreenContentServer.exe“ auf. Über sie wird per Sideloading ein Teil der Malware als „dui70.dll“ installiert. Der darin enthaltene Code lädt PNG-Bilddateien von den Angreifern, in denen per Steganografie weitere Programme und DLLs versteckt sind.

Die Schadsoftware versteckt sich und ruft stündlich nach Hause

Die Schadsoftware richtet sich anschließend dauerhaft auf dem Computer ein, versteckt eigene Dateien und Verzeichnisse vor der Anzeige im Windows-Explorer und meldet sich laut BSI in regelmäßigen Abständen bei den Angreifern. Heise nennt einen Rhythmus von 60 Minuten. Die Täter richten zudem einen SOCKS-Proxy ein und erhalten so über einen Tunnel Zugriff auf das Netz der attackierten Organisation.

Danach können sich die Täter im Netzwerk umschauen und herausfinden, wie wertvoll das gekaperte System ist. Teils bereiten sie schon vorab Speicherplatz in der Cloud vor, um später gestohlene Daten zu kopieren; außerdem bauen sie einen Fernzugang auf, über den sie von außen weiter Befehle schicken können.

Da bei den Berliner Behörden auch Passwortlisten im Klartext geführt wurden, hatte Rhysida relativ leichtes Spiel, tiefer ins System einzudringen. Wie die Kriminellen letztlich Zugriff auf offenbar die gesamten Daten der beiden Senatsverwaltungen erlangten, ist noch ungeklärt. Als eingesetzte Schadsoftware nennt das BSI die Familie „LoremIpsumLoader“, auch „AxolotLoader“ genannt, die der Hackergruppe Rhysida zugeordnet wird.

30 Bitcoin Lösegeld – und ein öffentlicher Mega-Leak

Der Angriff selbst wurde am 14. August 2026 bemerkt; die Daten waren nach Ermittlungen zwischen dem 7. und 12. August ausgeleitet worden. Die Angreifer forderten ein Lösegeld von 30 Bitcoin – umgerechnet rund zwei Millionen Euro. Das Land Berlin zahlte nicht.

Nach Ablauf eines Ultimatums veröffentlichten die Täter die erbeuteten Daten im Darknet. Am 4. September 2026 – demselben Tag, an dem das BSI-Schreiben datiert – wurden rund 1,44 Millionen Dateien mit einem Gesamtvolumen von etwa 5,8 Terabyte zugänglich gemacht. Am 5. und 6. September folgten weitere Datenpakete; Florian Hauer sprach von „noch einmal 550.000 bis 560.000 Dateien“.

Unter den geleakten Dateien befinden sich nach rbb-Informationen Teile von Personalakten, eingescannte Ausweise, Gehaltsabrechnungen, Arbeitszeugnisse und Vertragsunterlagen, außerdem Daten zur Erweiterung des Bundeskanzleramts. Der rbb berichtet zu den veröffentlichten Daten auch von Unterlagen zum Verteidigungsfall und zur Bundeswehr; der Bundesnachrichtendienst sei geheimschutztechnisch kompromittiert worden. Aus Sicht der nationalen Sicherheit seien die Daten laut Senat dennoch nicht hochsensibel.

So eskalierte der Angriff

Die Zeitleiste zeigt, wie schnell aus einem einzelnen Klick eine landesweite Krise wurde.

BSI warnt und rät Nutzern zur Vorsicht

Das BSI stuft die Bedrohung durch TerminalFix auf der zweiten von vier Warnstufen ein und mahnt: „Maßnahmen müssen zeitnah ergriffen werden. Temporäre Beeinträchtigungen des Regelbetriebs möglich“. Auf Mastodon erklärte die Behörde, sie sei intensiv an der Aufarbeitung des Berliner Vorfalls beteiligt gewesen und habe die Erkenntnisse genutzt, um Bund, Länder und kritische Infrastruktur zu sensibilisieren.

Zusätzlich warnt das BSI im Zusammenhang mit den Ereignissen vor einer deutlich erhöhten Gefahr für Phishing-Angriffe und Identitätsdiebstahl. Als Lehre für Nutzer gilt: Fordert ein Captcha ungewöhnliche Interaktionen wie das Ausführen von Tastenkombinationen im Windows-Terminal oder der PowerShell, handelt es sich um eine manipulierte Webseite – den Vorgang sofort abbrechen und den Browser schließen.

Offen bleibt, wie die Täter von dem zunächst gekaperten Rechner aus auf offenbar die gesamten Datenbestände beider Senatsverwaltungen zugreifen konnten. Die Ermittlungen von BKA und LKA dauern an.