Rhysida-Angriff auf Berlin: Lehren für den Mittelstand
Was ist passiert: Der Angriff auf die Berliner Landes-IT
Nach aktuellen Berichten steht die Ransomware-Gruppe Rhysida offenbar hinter dem Cyberangriff auf die Berliner Landes-IT. Auffällig dabei: Die Angreifer geben inzwischen an, deutlich mehr Daten erbeutet zu haben, als bislang öffentlich eingeräumt wurde. Das ist ein Muster, das bei Ransomware-Fällen immer wieder auftaucht. Zunächst wird der Umfang eines Vorfalls klein gehalten, oft aus verständlichen Gründen wie laufenden Ermittlungen oder Unsicherheit über das tatsächliche Ausmaß. Dann meldet sich die Tätergruppe selbst zu Wort und erhöht mit neuen Behauptungen den Druck. Für Betroffene bedeutet das: Man verliert die Kontrolle über die eigene Kommunikation, weil die Angreifer die Deutungshoheit über Umfang und Schwere des Vorfalls an sich reißen.
Für eine Landesverwaltung ist ein solcher Vorfall bereits gravierend, weil dort sensible Bürgerdaten, Verwaltungsvorgänge und kritische Prozesse betroffen sein können. Für ein mittelständisches Unternehmen wären die Folgen eines vergleichbaren Angriffs allerdings oft noch existenzbedrohender, denn anders als eine Behörde hat ein Betrieb selten die Reserven, um wochenlangen Stillstand einfach auszusitzen.
Wer hinter solchen Gruppen steckt und wie sie typischerweise vorgehen
Rhysida gehört zu den Ransomware-Gruppen, die in den vergangenen Jahren wiederholt öffentlich in Erscheinung getreten sind, meist im Zusammenhang mit Angriffen auf Behörden, Bildungseinrichtungen und größere Organisationen. Wie bei den meisten aktiven Ransomware-Akteuren gilt allgemein: Diese Gruppen arbeiten arbeitsteilig, professionell und mit klarem wirtschaftlichem Kalkül. Es geht ihnen nicht um Ideologie, sondern um Geld, und sie kalkulieren genau, welcher Erpressungsbetrag von welchem Opfer realistisch zu erwarten ist.
Wichtig für die Einordnung: Solche Gruppen suchen sich ihre Ziele selten wegen einer politischen Botschaft aus. Sie nutzen automatisierte Scans, um verwundbare Systeme im gesamten Internet zu finden, unabhängig davon, ob dahinter eine Landesbehörde, ein mittelständischer Zulieferer oder ein kleiner Онline-Shop steht. Wer glaubt, für Kriminelle „uninteressant" zu sein, unterschätzt genau diesen Mechanismus. Nicht die Größe oder Bekanntheit eines Ziels entscheidet, sondern ob eine Lücke gefunden wird, die sich ausnutzen lässt.
Warum das kein reines Behörden-Problem ist
Die öffentliche Wahrnehmung solcher Vorfälle konzentriert sich naturgemäß auf große, prominente Ziele wie Landesverwaltungen, weil darüber berichtet wird und die Auswirkungen auf Bürgerdienste sichtbar sind. Die überwiegende Mehrheit der Ransomware-Angriffe in Deutschland trifft aber kleine und mittlere Unternehmen, die in der öffentlichen Berichterstattung praktisch nie auftauchen, weil sie keine Pressestelle haben und ein solcher Vorfall im Zweifel schnell und leise bereinigt oder eben nicht bereinigt wird.
Der entscheidende Unterschied zur Landesverwaltung liegt in der Verhandlungsposition und in den Ressourcen. Eine Behörde kann im Zweifel auf externe Krisenteams, forensische Dienstleister und politische Rückendeckung zurückgreifen. Ein mittelständisches Unternehmen mit 20, 50 oder 150 Mitarbeitenden hat diese Strukturen in der Regel nicht. Wenn dort die Warenwirtschaft, das E-Mail-System oder die Produktionssteuerung verschlüsselt wird, steht häufig innerhalb weniger Tage die Frage im Raum, ob überhaupt noch Rechnungen geschrieben, Löhne überwiesen oder Aufträge bearbeitet werden können.
Hinzu kommt: Wer als Unternehmen Kundendaten, Verträge oder Geschäftsgeheimnisse verliert, haftet unter Umständen selbst gegenüber Dritten. Ein Datenabfluss ist damit nicht nur ein technisches, sondern auch ein rechtliches und finanzielles Risiko, das über die reinen Kosten für Wiederherstellung weit hinausgeht.
Die Erpressungslogik verstehen: Warum Zahlen selten die Lösung ist
Bei modernen Ransomware-Angriffen geht es typischerweise um zwei Druckmittel gleichzeitig. Zum einen werden Systeme und Daten verschlüsselt, sodass der Betrieb nicht mehr arbeiten kann. Zum anderen werden vor der Verschlüsselung Daten kopiert und abgezogen, um zusätzlich mit deren Veröffentlichung zu drohen, falls kein Lösegeld gezahlt wird. Genau dieses zweite Druckmittel scheint auch im aktuellen Fall eine Rolle zu spielen, wenn die Angreifer behaupten, über mehr Daten zu verfügen als zunächst angenommen.
Diese doppelte Erpressung macht die Lage für Betroffene besonders unangenehm, denn selbst wer über funktionierende Backups verfügt und die eigenen Systeme wiederherstellen kann, ist vor der Drohung mit einer Datenveröffentlichung nicht automatisch geschützt. Genau deshalb raten Sicherheitsbehörden und IT-Experten unisono davon ab, auf Lösegeldforderungen einzugehen. Es gibt keine Garantie, dass Kriminelle nach Zahlung tatsächlich einen funktionierenden Entschlüsselungsschlüssel liefern oder Daten wirklich löschen, statt sie doch weiterzuverkaufen oder erneut Druck aufzubauen. Zahlungen finanzieren zudem die nächste Angriffswelle mit und machen das eigene Unternehmen im schlimmsten Fall zu einem wiederkehrenden Ziel, weil bekannt wird, dass hier gezahlt wird.
Was das für den Mittelstand bedeutet
Die eigentliche Lehre aus einem Vorfall wie diesem liegt nicht in den Details des konkreten Angriffs, sondern in der Erkenntnis, dass Vorbereitung der einzige wirksame Hebel ist. Wer erst im Moment der Verschlüsselung über Backups, Zuständigkeiten und Kommunikation nachdenkt, hat bereits verloren. Konkret sollten mittelständische Unternehmen jetzt folgende Punkte prüfen:
Erstens: Backups, die wirklich helfen. Eine Datensicherung, die im selben Netzwerk liegt wie die produktiven Systeme, wird bei einem Ransomware-Angriff in aller Regel mitverschlüsselt oder gelöscht. Notwendig ist eine Sicherung nach dem bewährten Prinzip mehrerer Kopien auf unterschiedlichen Medien, davon mindestens eine räumlich getrennt und offline oder unveränderlich gespeichert. Wer hier unsicher ist, ob die eigene Sicherung im Ernstfall tatsächlich funktioniert, sollte das regelmäßig testen lassen, nicht nur einrichten und vergessen. Eine professionelle Datenrettung im Vorfeld zu kennen und zu wissen, an wen man sich im Ernstfall wenden kann, gehört ebenfalls zur Vorbereitung.
Zweitens: Zugänge und Rechte konsequent begrenzen. Viele Angriffe verbreiten sich deshalb so schnell im internen Netzwerk, weil ein einzelnes kompromittiertes Konto Zugriff auf viel zu viele Systeme hat. Eine saubere Trennung von Nutzerrechten, Multi-Faktor-Authentifizierung für alle wichtigen Zugänge und die konsequente Trennung von administrativen und normalen Benutzerkonten reduzieren den möglichen Schaden erheblich, selbst wenn ein Angreifer bereits einen Fuß in der Tür hat.
Drittens: Die eigene Angriffsfläche kennen. Viele Unternehmen wissen schlicht nicht, welche Systeme von außen erreichbar sind, welche Software veraltet ist oder wo offene Schwachstellen bestehen. Eine regelmäßige externe Prüfung, etwa über ein strukturiertes Website-Audit oder eine umfassendere Sicherheitsbewertung im Rahmen von IT-Sicherheit, schafft hier Klarheit, bevor Kriminelle diese Lücken finden.
Viertens: Einen Notfallplan besitzen, der nicht nur auf dem Papier existiert. Wer weiß im Ernstfall, wer informiert wird, welche Systeme zuerst abgeschaltet werden müssen, wie die Kommunikation mit Kunden läuft und wann eine Meldung an Behörden erforderlich ist? Diese Fragen sollten beantwortet sein, bevor der Ernstfall eintritt, nicht währenddessen.
Fünftens: Regulatorische Pflichten im Blick behalten. Für viele mittelständische Unternehmen sind die Anforderungen aus der europäischen NIS2-Richtlinie relevant geworden oder werden es in absehbarer Zeit. Wer noch nicht geprüft hat, ob der eigene Betrieb betroffen ist und welche Mindestanforderungen an IT-Sicherheit damit verbunden sind, sollte das nachholen. Eine gute Orientierung dazu bietet unsere Übersicht zu NIS2 & IT-Sicherheit.
Der Ernstfall: Wie eine belastbare Vorbereitung aussieht
Es lohnt sich, den Berliner Fall auch als Denkanstoß für die eigene Kommunikationsstrategie zu nutzen. Auffällig ist, dass die Angreifer nachträglich behaupten, mehr Daten zu besitzen als ursprünglich bekannt. Das zeigt, wie wichtig eine ehrliche und vollständige Bestandsaufnahme direkt nach einem Vorfall ist, denn jede spätere Korrektur nach oben untergräbt das Vertrauen von Kunden, Partnern und Mitarbeitenden zusätzlich. Wer im Ernstfall schnell und transparent kommuniziert, was bekannt ist und was noch geprüft wird, steht am Ende besser da als jemand, der versucht, das Ausmaß kleinzureden.
Technisch bedeutet ein durchdachter Notfallplan auch, dass Systeme so aufgebaut sind, dass ein Ausfall einzelner Komponenten nicht gleich den gesamten Betrieb lahmlegt. Wer seine Infrastruktur bei einem verlässlichen Partner betreibt, der auf aktuelle Sicherheitsstandards, regelmäßige Updates und überwachte Backups setzt, reduziert das Risiko eines Totalausfalls erheblich. Genau darum geht es bei einem professionell betreuten Betrieb der eigenen Server- und Hosting-Umgebung, wie er im Rahmen von Managed Hosting üblich ist.
Zuletzt gehört zur Vorbereitung auch die Frage, wer im Krisenfall schnell technische Unterstützung leisten kann, ohne dass erst tagelang ein neuer Dienstleister gesucht werden muss. Ein bestehendes Vertrauensverhältnis zu einem IT-Partner, der die eigene Infrastruktur bereits kennt, spart im Ernstfall wertvolle Stunden, in denen jede Verzögerung den Schaden vergrößert.
Häufige Fragen
Sollten Unternehmen im Ernstfall das geforderte Lösegeld zahlen?
Sicherheitsbehörden raten generell davon ab, weil es keine Garantie für die Herausgabe eines funktionierenden Schlüssels oder die tatsächliche Löschung gestohlener Daten gibt. Zusätzlich finanziert jede Zahlung weitere kriminelle Aktivitäten und kann dazu führen, dass ein Unternehmen erneut ins Visier gerät. Die bessere Strategie ist eine Vorbereitung, die eine Zahlung überflüssig macht, etwa durch funktionierende, getestete Backups.
Warum sind auch kleine Unternehmen ein Ziel für Ransomware-Gruppen?
Solche Gruppen suchen mit automatisierten Methoden gezielt nach verwundbaren Systemen, unabhängig von der Größe oder Bekanntheit des Betriebs. Entscheidend ist nicht, wie interessant ein Unternehmen erscheint, sondern ob eine ausnutzbare Sicherheitslücke gefunden wird. Kleinere Betriebe haben zudem oft weniger Schutzmaßnahmen, was sie aus Angreifersicht sogar attraktiver macht.
Was ist der Unterschied zwischen einer normalen Datensicherung und einem echten Schutz vor Ransomware?
Eine normale Sicherung, die dauerhaft im selben Netzwerk erreichbar ist, wird bei einem Angriff häufig ebenfalls verschlüsselt oder gelöscht. Ein echter Schutz erfordert mindestens eine Kopie, die räumlich getrennt, offline oder unveränderlich gespeichert ist, sowie regelmäßige Tests, ob eine Wiederherstellung tatsächlich funktioniert.
Betrifft die NIS2-Richtlinie auch kleinere Mittelständler?
Ob ein Unternehmen unter die NIS2-Anforderungen fällt, hängt von Branche, Größe und der Einstufung als wichtige oder wesentliche Einrichtung ab. Viele mittelständische Betriebe sind mittlerweile direkt oder indirekt betroffen, etwa als Zulieferer größerer Unternehmen. Eine frühzeitige Prüfung lohnt sich, um spätere Nachrüstungen unter Zeitdruck zu vermeiden.
Wie schnell sollte man nach einem Verdacht auf einen Angriff reagieren?
Im Idealfall existiert bereits ein Notfallplan, der sofort greift: betroffene Systeme isolieren, Zuständigkeiten klären, externe Unterstützung einbinden und je nach Fall Meldepflichten prüfen. Jede Stunde ohne klaren Ablauf vergrößert im Zweifel den Schaden, weil sich Angreifer währenddessen weiter im Netzwerk bewegen können.