Rhysida-Leak Berlin: Ist Weiterverbreitung strafbar?

Die Ransomware-Gruppe Rhysida hat am 4. September 2026 Daten aus zwei Berliner Senatsverwaltungen im Darknet veröffentlicht, nachdem der Senat eine Lösegeldforderung von 30 Bitcoin (rund 2 Mio. Euro) abgelehnt hatte. Wer diese Daten weiterverbreitet, macht sich nach § 202d StGB und ggf. § 42 BDSG grundsätzlich strafbar. Reines Ansehen bleibt dagegen eine rechtliche Grauzone.

Was ist bislang bekannt?

Zwischen dem 7. und 12. August 2026 flossen Daten aus zwei Berliner Senatsverwaltungen ab, am 4. September wurden rund 5,8 Terabyte im Darknet veröffentlicht. Der Senat lehnte die Lösegeldforderung von 30 Bitcoin ab. Die genauen Inhalte und die Zahl konkret identifizierbarer Betroffener sind noch nicht offiziell bestätigt.

Betroffen waren die Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Klimaschutz und Umwelt. Am 14. August wurde der Angriff entdeckt und die Systeme vom Landesnetz getrennt (heise online). Am 28. August bekannte sich Rhysida zum Angriff und setzte eine Frist bis zum 4. September (Berliner Zeitung).

CDO Florian Hauer erklärte: „Das Land Berlin lässt sich nicht erpressen. Die Sicherheit der Beschäftigten im Land Berlin und der Berlinerinnen und Berliner steht für uns im Vordergrund." (t-online) Als das Ultimatum ablief, veröffentlichte Rhysida rund eine Stunde später das Datenpaket im Darknet (Handelsblatt). Nach Angaben der Angreifer sollen Personalakten und Bußgeldverfahren von Landesbeschäftigten, Bürgerinnen und Bürgern sowie Unternehmen betroffen sein. Eine unabhängige Bestätigung fehlt bislang.

Für die NIS2Compass-Zielgruppe stellt sich dabei vor allem eine Frage: Ob und wie strafbar die Weiterverbreitung dieser Daten ist, klärt der folgende Abschnitt.

Ist die Weiterverbreitung der Berlin-Daten strafbar?

Wer Daten aus dem Rhysida-Leak weitergibt, sich verschafft oder zugänglich macht, um sich oder andere zu bereichern oder zu schädigen, macht sich nach § 202d StGB (Datenhehlerei) strafbar, bis zu drei Jahre Freiheitsstrafe. Bei personenbezogenen Daten kommt zusätzlich § 42 BDSG in Betracht. Dies ist eine allgemeine rechtliche Einordnung, keine Rechtsberatung im Einzelfall.

Dieser Abschnitt ersetzt keine anwaltliche Beratung. Er ordnet die geltende Rechtslage journalistisch-redaktionell ein. Bei konkreter Betroffenheit sollten Sie anwaltlichen Rat einholen.

Nach § 202d StGB macht sich strafbar, wer nicht öffentlich zugängliche Daten, die ein anderer durch eine rechtswidrige Tat erlangt hat, sich verschafft, einem anderen überlässt, verbreitet oder sonst zugänglich macht, sofern dies der Bereicherung oder Schädigung dient. Die Strafe darf dabei die für die Vortat angedrohte nicht übersteigen. Eine Ausnahme gilt für rechtmäßige dienstliche oder berufliche Pflichten, etwa journalistische Aufarbeitung. Für Privatpersonen ist das kein Freibrief.

Bei personenbezogenen Daten greift zusätzlich § 42 BDSG: Absatz 1 erfasst die gewerbsmäßige Übermittlung nicht allgemein zugänglicher Daten einer großen Zahl von Personen ohne Berechtigung, mit bis zu drei Jahren Freiheitsstrafe. Absatz 2 erfasst die Verarbeitung oder das Erschleichen solcher Daten gegen Entgelt oder in Bereicherungs- beziehungsweise Schädigungsabsicht, mit bis zu zwei Jahren.

Hinzu kommt die DSGVO-Dimension: Jede Weitergabe ohne Rechtsgrundlage ist eine rechtswidrige Verarbeitung, mit möglichem Bußgeld nach Art. 83 DSGVO und Schadensersatzansprüchen nach Art. 82 DSGVO. Reines Ansehen ohne Bereicherungs- oder Schädigungsabsicht bewegt sich rechtlich in einer Grauzone, da § 202d eine entsprechende Absicht voraussetzt. Praktisch bleiben aber Datenschutz- und Malware-Risiken bestehen.

Was bedeutet der Fall für NIS2-pflichtige Unternehmen?

Der Rhysida-Angriff auf die Berliner Senatsverwaltungen zeigt, dass Ransomware mit Datenexfiltration auch große, gut ausgestattete Organisationen trifft. Bei einem NIS2-pflichtigen Unternehmen hätte derselbe Vorfall die dreistufige Meldepflicht nach § 32 BSIG ausgelöst. Laut BSI-Lagebericht 2025 hatten 72 Prozent der gemeldeten Ransomware-Fälle einen zusätzlichen Datenabfluss.

Die Berliner Landesverwaltung selbst fällt nicht automatisch unter das bundesweite NIS2UmsuCG.

Öffentliche Verwaltung zählt laut EU-Richtlinie zwar zu den Sektoren hoher Kritikalität, doch Länder und Kommunen setzen die Vorgaben in eigener Zuständigkeit um. Wer wissen will, was für wen konkret gilt, findet die Einordnung im Beitrag KRITIS-Dachgesetz und NIS2: Was gilt für wen?

Ransomware bleibt laut BSI der häufigste Angriffsvektor: 950 gemeldete Vorfälle im Berichtszeitraum, rund 80 Prozent trafen kleine und mittlere Unternehmen (BSI-Lagebericht 2025). Wäre ein NIS2-pflichtiges Unternehmen betroffen, griffe die 24h/72h/1-Monats-Kaskade aus NIS2-Meldepflichten: Wann, was und an wen melden?, und je nach Einzelfall wären Bußgelder nach § 65 BSIG und/oder Art. 83 DSGVO möglich (Details im Beitrag zu NIS2-Bußgeldern, Schätzung per NIS2-Bußgeldrechner).

Berlins Entscheidung gegen eine Lösegeldzahlung folgt der BSI-Linie: Zahlung garantiert keine Datenlöschung und finanziert das kriminelle Geschäftsmodell weiter. Ein ähnliches Muster (Datenexfiltration vor Verschlüsselung, spätere Erpressung) trifft regelmäßig auch mittelständische IT-Dienstleister mit NIS2-Pflicht.

Was können Sie jetzt tun?

NIS2-pflichtige Unternehmen sollten prüfen, ob ihre Meldepflichten-Prozesse einen Vorfall wie den Rhysida-Angriff auf Berlin in 24 Stunden abbilden könnten, Backups regelmäßig testen und die eigene Betroffenheit strukturiert einordnen. Der NIS2Compass Vor-Check zeigt Lücken in unter 15 Minuten. Es geht um Vorbereitung, nicht um Panik.

Konkret heißt das: Ist klar, wer im Ernstfall innerhalb von 24 Stunden an das BSI meldet? Der Beitrag NIS2-Meldepflichten: Wann, was und an wen melden? beschreibt die Kaskade im Detail.

Getestete, getrennt aufbewahrte Backups, Netzwerksegmentierung und minimierte Zugriffsrechte gelten laut BSI-Lagebericht 2025 als zentrale Basismaßnahmen gegen Ransomware. Der NIS2Compass Vor-Check zeigt in unter 15 Minuten, welche der 124 Umsetzungsschritte bereits erfüllt sind.

Quellen:

• t-online, 04.09.2026: Hacker drohen mit Daten-Veröffentlichung am Freitag – das rät der Berliner Senat
• Handelsblatt, 04.09.2026: IT-Sicherheit: Berliner Hacker-Ultimatum abgelaufen – Kein Lösegeld
• Berliner Zeitung, 03.09.2026: Hacker drohen Berlin: Daten von Bürgern könnten am Freitag im Netz landen
• heise online, 01.09.2026: Berlin: Passwords exfiltrated, 12,000 systems scanned
• § 202d StGB (Datenhehlerei), gesetze-im-internet.de
• § 42 BDSG (Strafvorschriften), gesetze-im-internet.de
• BSI: Die Lage der IT-Sicherheit in Deutschland 2025 (Kurzfassung)