1,8 Milliarden Euro: Was Berlins Nein bedeutet hätte

1,8 Milliarden Euro. So viel hätte ein Nein zu den Erpressern theoretisch kosten können, wenn Berlin ein Unternehmen wäre.

Vom 7. bis 12. August 2026 flossen Daten aus dem Berliner Landesnetz ab, der zentralen Netzinfrastruktur, die rund 600 Verwaltungs-, Polizei-, Feuerwehr- und Spitalstandorte verbindet. Entdeckt wurde der Abfluss erst am 14. August, als zwei Senatsverwaltungen vorsorglich vom Netz getrennt wurden. Die Ransomware-Gruppe Rhysida bekannte sich zu dem Angriff und forderte 30 Bitcoin, umgerechnet rund 2 Millionen Euro. Berlin lehnte ab. Am 4. September, kurz nach Ablauf der gesetzten Frist, veröffentlichte Rhysida nach eigenen Angaben rund 5,79 Terabyte Daten im Darknet, darunter Personalakten und Lohnabrechnungen. Die genaue Zusammensetzung der veröffentlichten Daten liess sich zum Zeitpunkt dieses Beitrags nicht unabhängig verifizieren.

Berlin wurde für das Nein gelobt. Zu Recht, aber aus einem Grund, den die meisten übersehen.

Warum Berlin nichts zu verlieren hatte

Berlin ist eine Behörde. Für Behörden gibt es in Deutschland keine Busse nach der Datenschutz-Grundverordnung, kurz DSGVO, der EU-Verordnung zum Schutz personenbezogener Daten. Es gibt kein Aufsichtsverfahren wie unter DORA, dem Digital Operational Resilience Act für den Finanzsektor. Es gibt keinen Verwaltungsrat, der für die Entscheidung persönlich haftet. Das Nein kostet Berlin Reputation und Aufräumarbeit. Sonst nichts.

Das ist der Unterschied, der die öffentliche Bewertung des Falls verzerrt. Eine Haltung, die für eine Behörde praktisch folgenlos bleibt, ist für ein Unternehmen eine Rechnung mit echtem Ergebnis.

Das Gedankenexperiment

Nehmen wir ein Unternehmen mit dem Umsatz des Berliner Landeshaushalts, rund 45 Milliarden Euro. Der Bussgeldrahmen der DSGVO reicht bis zu 4 Prozent des weltweiten Jahresumsatzes für die schwersten Verstösse, etwa gegen die Grundsätze der Datenverarbeitung nach Artikel 5. Das wären 1,8 Milliarden Euro. Für Verstösse gegen andere Pflichten liegt die Obergrenze bei 2 Prozent, also rund 900 Millionen. Dazu kämen, je nach Branche, ein aufsichtsrechtliches Verfahren, etwa nach DORA für regulierte Finanzunternehmen oder nach NIS2 für Betreiber kritischer und wichtiger Einrichtungen, Zivilklagen der Betroffenen und die Frage der persönlichen Organhaftung des Verwaltungsrats.

Und dann sitzt eine Geschäftsleitung um zwei Uhr nachts vor der Wahl: 2 Millionen an die Täter zahlen, oder das Risiko eines Bussgeldverfahrens tragen.

Zahlen ändert an der Busse nichts

Das soll kein Plädoyer fürs Zahlen sein. Die Aufsichtsbehörden bewerten in einem Bussgeldverfahren nicht, ob ein Unternehmen gezahlt hat, sondern was es vor dem Vorfall getan hat, um ihn zu verhindern. Wer zahlt, hat damit noch keine Grundlage für die Bewertung geschaffen. Der Punkt ist ein anderer: Berlin hat eine Haltungsfrage beantwortet. Ein Unternehmen beantwortet eine Rechenaufgabe. Und eine Rechenaufgabe unter Druck, nachts, ohne Vorbereitung, geht selten gut aus.

Was Sie jetzt tun sollten

Die Antwort gehört nicht in die Nacht des Vorfalls. Sie gehört in einen Beschluss, den der Verwaltungsrat vorher gefasst hat, mit messbaren Kriterien: welche Datenkategorien im Ernstfall betroffen wären, welche Meldepflichten greifen, welche maximale Ausfallzeit das Unternehmen verkraftet. Mit einem Mandat, das auch nachts trägt, ohne dass jemand die Geschäftsleitung erst aus dem Bett holen muss.

Nicht zahlen ist keine Haltung. Nicht zahlen ist eine Entscheidung, die sich ein Unternehmen vorher leisten können muss. Hat Ihr Verwaltungsrat diese Entscheidung schon getroffen, bevor jemand sie ihm abverlangt?

Quellen

• Tech Insider: Berlin Ransomware, 7-Day Isolation Gap Aided Rhysida
• Tech Insider Deutschland: Rhysida erpresst Berlin, 5,79 TB gestohlen, 30 BTC
• Born’s IT- und Windows-Blog: Rhysida hat sensible Daten aus Hack in Berlin offen gelegt