Es ist eine Bombe, die da explodiert ist, am Freitag. Metaphorisch in dem Sinne, dass eine Hackerorganisation Daten aus der Berliner Verwaltung abgegriffen hatte. Über Tage. Unentdeckt. Und Lösegeld gefordert hatte. Berlin zahlte richtigerweise nicht. Und die Erpresser stellten die Dateien ins Darknet.

Es ist der größte IT-Sicherheitsvorfall der Hauptstadt – und obwohl der Senat wusste, dass er die Forderungen der Erpresser natürlich nicht erfüllen darf, steht er nun ohne Plan da. Über so etwas kann und sollte Spitzenpersonal stürzen.

Andererseits, und weit entfernt von Metaphern, sind die Daten gefährlich. Ihre Veröffentlichung ist ein echter Anschlag auf die Sicherheit in der Hauptstadt. Der Tagesspiegel konnte bisher nur einen Bruchteil der über 1,4 Millionen Dateien auswerten. Doch nach allem, was wir einsehen konnten, sind darunter auch Daten, die zur Vorbereitung eines Anschlags genutzt werden könnten.

Da geht es um interne Vermerke, die Schwachstellen in der Berliner Infrastruktur offenlegen. Vertrauliche Pläne für den Verteidigungsfall. Private Handynummern und Adressen der Personen, die im Krisenfall eingreifen sollen.

Die Verantwortung für dieses Verbrechen liegt ganz klar bei den Erpressern. Die Verantwortung dafür, dass dieses Verbrechen geschehen konnte und wie der Senat damit umgeht, liegt allerdings woanders. Und das macht fassungslos.

Sieben Tage hatten die Hacker der Berliner Verwaltung Zeit gegeben, die Summe von etwa zwei Millionen Euro in Bitcoin zu zahlen, andernfalls würden sie die sensiblen Daten veröffentlichen.

Darunter, wie sich nun bestätigt: Geburtsurkunden der Kinder von Angestellten, Scans von Personalausweisen, Reha-Unterlagen, Personalakten, interne Mails, auch Führungszeugnisse. Potenziell sogar Akten aus Ordnungswidrigkeitsverfahren, sodass auch Bürger, die nicht in der Verwaltung arbeiten, vom Leak betroffen sein könnten.

Es mag für den Senat ungewohnt sein, dass jemand etwas ankündigt und dann genau das tut, was er angekündigt hat. Aber die Ratlosigkeit, mit der die Berliner Verwaltung nun in diese Krise geht, ist dennoch bemerkenswert.

Mit „Hochdruck“ würden jetzt die Daten analysiert, heißt es. Mitarbeiter, die von dem Datenleck direkt betroffen sind, will der Senat irgendwann warnen, er weiß nur noch nicht, wen und wann. Allen Bürgerinnen und Bürgern, die glauben, betroffen zu sein, rät er, Strafanzeige bei der Polizei zu stellen.

Da möchte man den Berlinerinnen und Berlinern – nur halb im Scherz – doch lieber zur Sammelklage gegen den Senat raten. Im Juristendeutsch heißt das „Musterfeststellungsklage“.

Das Muster: Wider besseres Wissen sind noch heute zwei Drittel aller Berliner Senatsverwaltungen und Landesbehörden selbst für die IT-Sicherheit zuständig. Nicht das eigentlich dafür qualifizierte IT-Dienstleistungszentrum (ITDZ). Statt aus vergangenen Hackerangriffen klug zu werden, kürzte die Koalition im Doppelhaushalt 2026/2027 munter weiter 50 Millionen Euro bei der Digitalisierung. Die Bezirke sind gänzlich auf sich allein gestellt.

An Warnungen und Mahnungen hat es nicht gemangelt. Es finden sich sogar etliche in jenen Daten, die nun geleakt wurden. In einem internen Vermerk, den der Tagesspiegel aus den Daten einsehen konnte, heißt es noch im Februar dieses Jahres in einer sogenannten „Schutzbedarfsfestellung“, es sei „kein digitaler Geheimschutz (im strengen Sinne) in der Berliner öffentlichen Verwaltung möglich“. Gefolgt von einer langen Liste an Lösungsvorschlägen.

Dokumente aus anderen Abteilungen belegen die Bitte aus der Verwaltung selbst, die IT‑Systeme doch zumindest auf den Stand der gesetzlichen Vorschriften zu bringen.

Mindestens eine sensible Datei ist sogar verschlüsselt. Offenbar genau für den Fall, der nun eingetreten ist. Allerdings wurde das zugehörige Passwort ebenfalls geleakt, weil eine Mitarbeiterin es per Mail herumgeschickt hatte, die wiederum abgefischt wurde.

Es mangelt also nicht nur an Technik und Geld, sondern auch noch an einer Kultur, die die Gefahr von Cyberkriminalität ernst nimmt. Nicht (nur) bei den Mitarbeitern in der Verwaltung. Dass auch Daten zur kritischen Infrastruktur gehören, nicht nur Hochspannungskabel, scheint sich in den Führungsebenen noch nicht herumgesprochen zu haben.

Dass die Berliner Innensenatorin Iris Spranger zusammen mit dem Regierenden Bürgermeister Kai Wegner am Abend dieses Anschlags auf die Hauptstadt dem Ballsport frönt – und sei es dieses Mal auch nur als Zuschauer bei der Basketball-WM –, ist da fast eine Randnotiz.

Aber sie passt eben leider sehr gut ins Muster.