Datenleck im Senat: Ausweis von Berlins Verkehrssenatorin im Darknet!

Der Personalausweis von Berlins Verkehrssenatorin Ute Bonde (CDU) ist im Darknet aufgetaucht, als Kopie und zusammen mit ihrer digitalen Unterschrift. Laut Recherchen des RBB stammen die Daten aus dem Hackerangriff auf zwei Berliner Senatsverwaltungen im August. Besonders brisant: Die Schutzsoftware lief nur auf jedem zwanzigsten Rechner.

Senatorinnen, Mitarbeiter, Bürger: Alle liegen offen

Bonde ist nicht die Einzige. Laut dem Bericht kursieren auch E-Mails ihrer Vorgängerinnen Manja Schreiner (CDU) und Bettina Jarasch (Grüne). Dazu kommen zahlreiche Ausweiskopien und persönliche Unterlagen von Beschäftigten der Verwaltung.

Und die Bürger? Auch sie dürften betroffen sein. Die Verkehrsverwaltung nennt Antragsteller aus Förderprogrammen wie dem Reparaturbonus, dem Schallschutzfensterprogramm und Heiztausch PLUS. Möglicherweise sind Kontodaten, Angaben zu Einkommen und Familie sowie Gesundheitsdaten abgeflossen. Wer sich auf bestimmte Stellen beworben hat, muss sogar damit rechnen, dass sein polizeiliches Führungszeugnis im Netz steht. Die Behörde warnt selbst vor Identitätsdiebstahl und Betrug.

Fünf Prozent Schutz – und ausgerechnet die Lücke wurde getroffen

Hier wird es peinlich. Erst 2026 hatte Berlin eine Software eingeführt, die Cyberangriffe erkennen soll. Installiert war sie nach RBB-Angaben aber nur auf fünf Prozent der Computer und Server, weil die Lizenzen nicht für mehr reichten. Mehr Geräte auszustatten sei „aus finanziellen Gründen“ nicht möglich gewesen, erklärte die Senatsverwaltung für Stadtentwicklung.

Ausgerechnet der Rechner, über den die Angreifer eindrangen, war nicht abgedeckt. Das galt auch für die Server, von denen später die Daten abgezogen wurden. Das ist, als würde man in einem Hochhaus mit 100 Türen genau fünf verriegeln – und sich dann über Einbrecher wundern.

Die Warnungen gab es seit Jahren

Überraschend kam das nicht. Schon seit 2017 schreibt eine landesweite Leitlinie den Berliner Behörden vor, genug Personal und Geld für ihre IT-Sicherheit bereitzustellen. Für 2023 waren laut einem unveröffentlichten Informationssicherheitsbericht, der dem RBB vorliegt, Systeme zur Früherkennung von Angriffen geplant. Und 2024 räumten die beiden Verwaltungen selbst ein, die nötigen Mittel hätten nur „teilweise im erforderlichen Maße zur Verfügung“ gestanden.

Der Landesrechnungshof hatte in anderen Behörden ebenfalls schwere Mängel festgestellt. In der Justizverwaltung fehlte demnach ein funktionierendes Notfallmanagement. Im Bezirksamt Marzahn-Hellersdorf waren Sicherheitskonzepte teils seit 20 Jahren nicht überarbeitet worden, ein IT-Notfallkonzept fehlte dort seit 2015.

Zwei Millionen Euro Lösegeld gefordert

Die Hackergruppe Rhysida zog zwischen dem 7. und 12. August große Datenmengen aus den Verwaltungen für Stadtentwicklung und Verkehr ab. Medienberichten zufolge waren es 5,79 Terabyte, der bisher größte Datendiebstahl in der Geschichte der Berliner Verwaltung. Danach forderten die Täter 30 Bitcoin, damals rund zwei Millionen Euro.

Der Senat zahlte nicht, und das war richtig: Wer Erpressern nachgibt, lädt sie zum nächsten Angriff ein. Am 4. September stellten die Hacker dann rund 1,4 Millionen Datensätze ins Darknet.

Gefahr gebannt? Für die Opfer fängt sie erst an

Am 16. Oktober erklärte die Senatskanzlei die akute Bedrohung für beendet. Seit dem 13. August habe man in den untersuchten Teilen des Landesnetzes keine weiteren Angriffe festgestellt. Die Daten werden aber noch ausgewertet. Wie viele Bürger und Mitarbeiter betroffen sind, weiß bis heute niemand.

Für die Betroffenen ist das ein schwacher Trost. Eine Ausweiskopie im Netz verschwindet nicht wieder, ob die akute Lage nun vorbei ist oder nicht. Bund und EU wollen die digitale Identität, die E-Akte und den gläsernen Datenverkehr vorantreiben. Gleichzeitig scheitert eine Hauptstadtverwaltung offenbar schon an ein paar Softwarelizenzen. Viele Bürger dürften sich fragen, wem sie ihre sensibelsten Daten künftig noch anvertrauen sollen.