Krisenmanagement

Berlin, die Länder und der Bund nach Rhysida

Seit dem 4. September sind nach Angaben des Senats rund 1,3 Millionen Dateien aus dem Berliner Landesnetz frei im Internet verfügbar. Ein Teil davon sind Dokumente, die Berlin für andere aufbewahrt hat. Dazu gehören Kriseneinsatzpläne anderer Länder, Unterlagen der Bundeswehr zum Spannungs- und Verteidigungsfall, Notfallpläne von Versorgern sowie Baupläne von Sicherheitsbehörden. Diese Dokumente haben Herausgeber in der ganzen Republik. Wer Berlin je einen Plan geschickt hat, muss jetzt davon ausgehen, dass dieser offen liegt. Und wer selbst Pläne anderer aufbewahrt, muss sich fragen, ob er sie besser schützt als Berlin. Für die meisten Kommunen und Länder lautet die ehrliche Antwort wohl: nein.

Was offen liegt, nach Schutzgütern geordnet

Inzwischen sind die Eckdaten belastbar. Sie flossen zwischen dem 7. und 12. August aus den Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Klimaschutz und Umwelt ab und blieben bis zum 14. August unbemerkt. Laut den Tätern handelte es sich um 5,79 Terabyte in 1,44 Millionen Dateien. Da Berlin (berechtigterweise) nicht zahlte, erfolgte am 4. und 6. September die Veröffentlichung. Der Senat sichtete den Bestand zunächst manuell, setzt inzwischen jedoch eine KI-gestützte Kategorisierung ein, da rund drei Viertel des Bestands unsortiert sind. Bislang bekannte Informationen stammen fast vollständig aus Sichtungen durch Redaktionen, den Chaos Computer Club und Abgeordnete. Nach Schutzgütern geordnet ergibt sich folgendes Bild:

Versorgung. Nach Angaben der Täter, die von Medien und dem CCC bestätigt wurden, enthält das Material eine Schwachstellenanalyse der Berliner Wasserbetriebe. Darüber hinaus sollen sich darin Daten zu Heizkraftwerken, Tanklagern, Umspannwerken und Notstromanlagen sowie Notfallpläne für die Strom- und Wasserversorgung befinden. Aus Regierungskreisen ist von rund 8.000 Dateien mit KRITIS-Bezug die Rede. Die Herausgeber sind Betreiber, Landesbehörden und Aufsichtsbehörden. Neben Berlin sind die Netzbetreiber im Verbund und der Bund betroffen, der sein Lagebild auf diese Daten stützt.
Katastrophenschutz. Laut Medienberichten befinden sich Kriseneinsatzpläne anderer Bundesländer, Gefahrenschutzunterlagen der Feuerwehr, eine Evakuierungsplanung und ein Schutzraumkonzept unter den Dokumenten. Diese Dokumente wurden von anderen Bundesländern, Bezirken und Fachbehörden erstellt und Berlin zur Abstimmung überlassen.
Zivilschutz und Zivile Verteidigung. Ein Leitfaden Zivile Verteidigung im Land Berlin mit Stand 1. August 2025 beschreibt nach Sichtung der Berliner Zeitung die Arbeitsgruppe Zivile Verteidigung, die zivil-militärische Zusammenarbeit, die Koordinierungsstelle zu BMI und BMVg und die Umsetzung des Operationsplans Deutschland auf Landesebene. Hinzu kommen Unterlagen der Bundeswehr zum Spannungs- und Verteidigungsfall. Das Operative Führungskommando der Bundeswehr bestätigte den Abfluss der Unterlagen und kündigte nach einer Risikoanalyse Maßnahmen zur Wahrung der militärischen Sicherheit an. Herausgeber sind das BMVg, das Landeskommando, das BMI und das BBK.
Sicherheit und Ordnung. Laut Medienberichten enthält die Sammlung rund 550 Dateien zur Erweiterung des Bundeskanzleramts, darunter Stellungnahmen des LKA, Unterlagen zur Justizvollzugsanstalt Tegel, Baupläne von Polizeidienststellen, Kontaktlisten des LKA und Ausschussunterlagen des Bundesrats. Die Herausgeber sind Polizei, Justiz, Kanzleramt und Länderkammer.
Menschen und Zugänge. Enthalten sind Personalakten, Gesundheitsdaten, Ausweiskopien und nach Angaben der Täter personenbezogene Daten zu rund 12.000 Personen sowie knapp 6.000 Dateien mit Zugangsdaten. Der CCC stellte fest, dass Passwörter aus der Vorabveröffentlichung vom 28. August am 2. September noch gültig waren.

Warum diese Dokumente schwerer wiegen als ihre Einstufung

In der Sitzung des Innenausschusses am 7. September hieß es, dass es sich nach bisheriger Kenntnis um Unterlagen der Stufe "VS - Nur für den Dienstgebrauch" handele. Diese Einstufung beschreibt den Schutzbedarf des einzelnen Dokuments aus Sicht seines Herausgebers zum Zeitpunkt der Erstellung. Vier Eigenschaften des Berliner Bestands liegen jedoch außerhalb dieser Betrachtung.

Erstens die Rotierbarkeit. Ein Passwort kann innerhalb von Stunden geändert werden, eine Schließanlage kann innerhalb von Wochen getauscht werden. Der Standort eines Umspannwerks, der Grundriss einer Justizvollzugsanstalt und die Abhängigkeit eines Krankenhauses von einer Einspeisung hingegen lassen sich nicht ändern. Eine Schwachstellenanalyse behält ihren Wert, bis jede darin beschriebene Schwachstelle baulich behoben ist, was Jahre dauern kann / wird.
Zweitens die Aggregation. Jedes Dokument für sich genommen mag VS-NfD sein. Die Summe aus Notstromkonzepten, Kriseneinsatzplänen, Kontaktlisten und Verteidigungsunterlagen ergibt jedoch ein Bild davon, wie der Staat auf den Ausfall seiner Versorgung reagiert. Ein solches Bild hat jedoch noch nie ein Herausgeber so eingestuft, da es noch nie ein Herausgeber so zusammengestellt hat.
Drittens die Rückfallebene. Notfallpläne beschreiben die zweite Verteidigungslinie: Wer übernimmt, wenn die erste ausfällt? Mit welchen Mitteln und an welchem Ort? Wer diese Pläne kennt, kann eine Zweitwirkung planen und die Rückfallebene gleich mit angreifen. Der Berliner Stromausfall im Januar 2026 hat gezeigt, was auf dem Spiel steht: Rund 100.000 Menschen waren bis zu fünf Tage ohne Strom. Notrufannahmestellen von Feuerwehr und THW waren überlastet, da der Notruf nicht mehr überall erreichbar war.
Viertens der Empfängerkreis. Die Daten liegen als Download bereit. Redaktionen, der CCC und viele weitere Dritte haben Kopien gezogen, eine Rückholung ist ausgeschlossen. Jeder Nachrichtendienst hat das Material kostenlos erhalten. Damit ist die Kontrolle darüber, wer den Plan kennt, dauerhaft verloren.

Wer die Daten nutzen wird und wofür

Die Gefährdung ergibt sich aus der Verbindung von Material und Akteur. Es sind vier Akteursgruppen zu unterscheiden.

Kriminelle Dritte nutzen Kontaktlisten, Vorgangsnummern und Zugangsdaten für Phishing, Credential Stuffing und Rechnungsbetrug gegenüber Lieferanten. Das BSI warnt alle Personen und Institutionen, die mit den Betroffenen in Kontakt standen, ausdrücklich. Dies ist die kurzfristig wahrscheinlichste Nutzung. Betroffen sind Landesbehörden anderer Länder, Nachbarkreise, Stadtwerke, Kliniken und jede Kommune, die je mit Berlin korrespondiert hat. Ein Anruf mit korrektem Namen, korrekter Vorgangsnummer und korrekter Rufnummer besteht jede Plausibilitätsprüfung.
Staatliche Akteure werten das Material aus, davon ist auszugehen. Für Sabotagevorbereitung ist es unmittelbar verwertbar. Bundesinnenminister Dobrindt und der nordrhein-westfälische Innenminister Reul haben eine Serie von Sabotageversuchen an Umspannwerken in mehreren Ländern bestätigt. Berlin selbst hat laut Medienberichten binnen zwölf Monaten zwei Brandanschläge auf seine Stromversorgung erlebt. In dieser Lage liegen nun die Standort-, Notstrom- und Schwachstellendaten der Berliner Versorgung offen. Dies ist die kritischste Einzelkonstellation dieses Vorfalls.
Einflussakteure erhalten so Rohstoff für selektive Veröffentlichungen. Am 20. September findet die Abgeordnetenhauswahl statt. Das BSI geht von einer rein finanziellen Motivation der Täter aus und warnt zugleich vor Hack-and-Leak-Effekten. Die Urheberschaft ist von der Tätergruppe entkoppelt, sodass jeder mit einer Kopie der Daten veröffentlichen kann.
Erpresser nutzen Disziplinar-, Gesundheits- und Personalakten gegen Beschäftigte mit Systemzugang und Entscheidungsbefugnis. Dieses Insider-Risiko betrifft jede Behörde, die mit denselben Menschen zusammenarbeitet – in Berlin und darüber hinaus.

Was Kommunen, Länder und Bund jetzt erkennen müssen

Für alle Ebenen sind drei Erkenntnisse dieselben.

Betroffen ist, wessen Dokumente offen liegen, unabhängig davon, in welchem Netz sie sich befanden. Die Bundesregierung hat erklärt, dass ihre eigenen Datensysteme nicht betroffen sind. Das ist technisch zwar richtig, für die Schutzwirkung jedoch ohne Bedeutung, da Bundesdaten in einem Landesnetz lagen und von dort abgeflossen sind. Dasselbe gilt für jedes Land, dessen Kriseneinsatzplan in Berlin lag, sowie für jede Kommune, deren Beschäftigte in einer Berliner Kontaktliste stehen. Die Logik der Verschlusssachenanweisung ist hier eindeutig: Über die Folgen eines Verlusts urteilt die Stelle, die die Informationen herausgegeben hat, weil nur sie den Kontext kennt. Die Aussage des Senats zur Einstufung ist deshalb Berlins Sicht auf das Einzeldokument. Die Bewertung des Schadens steht jedem Herausgeber noch bevor.
Die Bewertung muss nach Dokumentklassen erfolgen. Drei Klassen reichen als Raster. Änderbar sind Passwörter, Rufnummern, Schließungen, Meldeketten und Codewörter. Umplanbar sind Sammelräume, Ausweichstandorte, Verlegewege, Notstromprioritäten und Zugangsregelungen. Nicht änderbar sind die Standorte, Grundrisse, Abhängigkeiten und baulichen Schwachstellen. Für jede Klasse ergeben sich andere Maßnahmen und andere Zeithorizonte. Hinzu kommt die Aggregationsbewertung: Was ergibt sich aus der Summe der eigenen Dokumente im Leak, zusammen mit denen der anderen?

Die eigene Lage ist die Berliner Lage. Ein internes Berliner Protokoll vom Februar 2026 liegt inzwischen ebenfalls im Leak vor. Es hält fest, dass digitaler Geheimschutz im strengen Sinne in der Landesverwaltung nicht möglich ist, da die SINA-Infrastruktur nicht umgesetzt wurde. Der Angriffsweg über ein gefälschtes Captcha funktioniert in jeder Verwaltung, in der Beschäftigte E-Mails öffnen. Was in Berlin abgeflossen ist, liegt anderswo genauso bereit.

Berlins Verantwortung und die indirekt Betroffenen im OPLAN DE

Laut Auskunft der Bundesregierung ist der Operationsplan Deutschland ein rein militärischer Plan. Der Schutz kritischer Infrastrukturen obliegt hingegen der zivilen Seite. Die Innenministerkonferenz hat jedoch im Juni 2026 festgestellt, dass eine spiegelbildliche zivile Gesamtkonzeption fehlt. Gerade auf dieser zivilen Seite sind in Berlin Dokumente verloren gegangen: der Leitfaden mit den Landesstrukturen zur Umsetzung des Operationsplans, die Koordinierungsstelle zu BMI und BMVg, die zivil-militärische Zusammenarbeit und die Kommunikationswege. Berlin ist Hauptstadt, Sitz der Bundesregierung und Verkehrsdrehscheibe. Verlegung, Host Nation Support und Versorgung im Spannungsfall laufen über die Verkehrsinfrastruktur, für die eine der beiden angegriffenen Senatsverwaltungen zuständig ist.

Daraus ergeben sich für Berlin fünf Pflichten.

Erstens muss ein vollständiges Inventar aller Dokumente fremder Herausgeber im abgeflossenen Bestand erstellt werden.
Zweitens muss jeder Herausgeber mit einer Dokumentenliste aktiv und schriftlich unterrichtet werden. Eine Pressekonferenz ersetzt diese Unterrichtung nicht.
Drittens muss gegenüber Bund und Ländern Transparenz über die Verarbeitungsbedingungen geschaffen werden, unter denen ihre Unterlagen in Berlin lagen, einschließlich des Protokolls vom Februar.
Viertens muss Berlin seine eigenen Planungen in allen änderbaren und umplanbaren Teilen korrigieren, bevor der nächste Winter beginnt.
Fünftens ist der Nachweis der VS-Verarbeitungsfähigkeit zu erbringen, bevor Berlin neue Planungsstände erhält. Wer eingestufte Unterlagen nicht regelkonform verarbeiten kann, darf sie in der Fortschreibung nur noch physisch oder über freigegebene VS-IT erhalten.

Indirekt betroffen sind alle, die mit Berlin geplant, beliefert oder abgestimmt haben. Das Operative Führungskommando der Bundeswehr hat mit seiner Risikoanalyse begonnen. Das Landeskommando Berlin und die Bezirksverbindungskommandos sind in den Kontaktlisten verzeichnet. Das BMI und das BBK haben über die Koordinierungsstelle ihre Planungsstände ausgetauscht. Andere Länder haben Kriseneinsatzpläne für Amtshilfe und länderübergreifende Lagen übermittelt. Von Betreibern wie den Wasserbetrieben, dem Stromnetz Berlin und den Wärmeversorgern liegen Schwachstellen-, Anlagen- und Notstromdaten vor. Für die Erweiterung des Bundeskanzleramts liegen Gutachten, Pläne und Stellungnahmen des LKA vor. Jede dieser Stellen muss ihre eigene Betroffenheit ermitteln und bewerten. Berlin liefert die Liste, die Bewertung liefert der Herausgeber.

Für den Bund ergibt sich daraus eine doppelte Rolle. Einerseits ist er Geschädigter, weil seine Planungsannahmen für die Hauptstadt kompromittiert sind. Gleichzeitig ist er Herausgeber, der eingestufte Planungen an einen Empfänger weitergegeben hat, dessen Verarbeitungsfähigkeit er nicht geprüft hat. Die zweite Fortschreibung des Operationsplans ist noch für 2026 angekündigt. Sie muss den Berliner Verlust als Planungsannahme aufnehmen. Der Gegner kennt den bisherigen Stand der zivilen Umsetzung in der Hauptstadt.

Was jetzt zu tun ist

Die Maßnahmen ordnen sich nach Zeithorizont und Handlungsfeld. Jede ist mit der Gefährdung begründet, die sie beantwortet.

Kurzfristig, in Tagen und Wochen

Aus organisatorischer Sicht muss jede Behörde, jeder Betreiber und jede Kommune eine Betroffenheitsanalyse durchführen. Dabei wird geprüft, welche Informationen man Berlin je übermittelt hat, welche Informationen man von Berlin erhalten hat und wer in Berliner Verteilern steht. Das Ergebnis geht an die Behördenleitung, da nur sie über Umplanung und Mittel entscheiden kann. Bund und Länder fordern Berlin als Herausgeber schriftlich zur Erstellung einer Dokumentenliste auf und beginnen anschließend die eigene Bewertung nach den drei Klassen. Grund: Eine Bewertung durch den Herausgeber ist ohne Inventar unmöglich und die Zeit drängt, da einige Teile noch geändert werden können.

Technisch: Zurücksetzen aller Zugangsdaten, die je mit Berliner Systemen oder Personen geteilt wurden; Erzwingen von Mehrfaktor-Authentisierung; Überwachung auf Anmeldeversuche mit Berliner Kontextdaten; Inventar aller Fernzugänge. Grund: Fünf Tage nach der Vorabveröffentlichung waren die Passwörter noch gültig. Credential Stuffing gegen andere öffentliche Stellen ist die wahrscheinlichste Zweitwelle.

Kommunikativ: Warnung an alle Beschäftigten mit konkreten Mustern, Rückrufregel über bekannte Nummern, Vier-Augen-Prinzip bei jeder Änderung von Bankverbindungen und Zahlungsfreigaben. Grund: Die BSI-Warnung an alle, die in Kontakt standen, meint genau diese Welle.

Personell: Fürsorge für Beschäftigte, deren Akten offen liegen, mit einer Vertrauensperson außerhalb der Linie und ein offenes Wort zum Erpressungsrisiko. Grund: Wer erpressbar ist und schweigt, ist die gefährlichste Lücke im System.

Physisch für Betreiber und Sicherheitsbehörden: Kontrolle der Anlagen und Liegenschaften, die in den Plänen beschrieben sind, angepasste Streifen, Zutrittskontrolle und Alarmierung. Grund: Sabotageserie an Umspannwerken und Brandanschläge in Berlin.

Mittelfristig, in Monaten

Aus organisatorischer Sicht ist ein Informationsinventar nach BSI-Standard 200-2 für die zehn schadensträchtigsten Dokumentklassen erforderlich. Dieses Inventar sollte Angaben zu Herausgeber, Einstufung, Speicherort und Zugriffskreis enthalten. Eine Verteilerkontrolle für eingestufte Planungen auf beiden Seiten, damit jeder Herausgeber jederzeit weiß, wo seine Dokumente liegen. Zudem ist eine Stabsrahmenübung mit der Lage „Der Gegner kennt unseren Plan“ gemeinsam mit Stadtwerk, Klinikum, Leitstelle und Kreisverbindungskommando geplant. In den meisten Landkreisen haben sich diese Menschen noch nie persönlich getroffen.

Technisch: Eine gesonderte Zone für eingestufte Unterlagen nach Verschlusssachenanweisung und VS-NfD-Merkblatt mit eigener Rechteverwaltung, Protokollierung und Verschlüsselung. Das Merkblatt verlangt Kenntnis nur bei Bedarf, Verarbeitung nur mit freigegebener VS-IT und eine verschlüsselte Übertragung. Dies gilt bereits heute für jede Kommune, die VS-NfD erhält. Dazu gehören eine Segmentierung zwischen Fachverfahren und Planungsunterlagen, offline gehaltene Sicherungen sowie eine Papier- oder Offline-Kopie der Notfallpläne.

Planerisch werden alle Notfall- und Kriseneinsatzpläne, die im Leak liegen, in ihren änderbaren und umplanbaren Teilen neu gefasst. Meldeketten, Sammelräume, Ausweichstandorte, Notstromprioritäten und Zugangsregelungen. Die nicht änderbaren Teile werden physisch gehärtet.

Rechtlich sind Meldungen und Benachrichtigungen nach Art. 33 und 34 DSGVO für alle erforderlich, deren Daten offen liegen. Zudem sind Verträge und Geheimhaltungsvereinbarungen zu prüfen und Amtshilfe- und Kooperationsvereinbarungen um Anforderungen an die Verarbeitung eingestufter Unterlagen zu ergänzen.

Finanziell haben die Kommunen für diese Aufgaben kein Programm. Der Pakt für den Bevölkerungsschutz sieht bis 2029 rund zehn Milliarden Euro vor, doch ein Kommunalprogramm fehlt. Der Städtetag fordert es. Die Länder müssen VS-Arbeitsplätze auf Kreisebene finanzieren, da die Kommunen dies aus ihren laufenden Haushalten nicht leisten können.

Auf Bundesebene besteht eine Prüfpflicht des Herausgebers für die VS-Verarbeitungsfähigkeit jedes Empfängers vor der Weitergabe eingestufter Planungen. Es gibt einen Ersatz für das Krypto-Fax, das schrittweise abgelöst wird, ohne dass ein flächendeckender VS-tauglicher Ersatz existiert. Der Berliner Verlust wird in die zweite Fortschreibung des Operationsplans eingearbeitet.

Langfristig, in Jahren

Rechtlich gesehen ist es ein verbindlicher Mindeststandard für Landes- und Kommunalverwaltungen. Das im Dezember 2025 beschlossene NIS-2-Umsetzungsgesetz erfasst rund 29.500 Einrichtungen, lässt jedoch die Landes- und Kommunalverwaltungen aus. Dazu braucht es eine bundeseinheitliche Regel für den Geheimschutz an föderalen Schnittstellen.

Organisatorisch braucht die zivile Gesamtkonzeption, die die Innenministerkonferenz fordert, ein eigenes Kapitel zum Schutz der Planungsdokumente selbst. Wer plant, muss wissen, wo der Plan liegt, wer ihn liest und wie er ersetzt wird, wenn er offenliegt.

Technisch ist eine flächendeckende VS-taugliche Kommunikation bis zur Kreisebene erforderlich. Die 414 Kreisverbindungskommandos benötigen jeweils einen VS-Arbeitsplatz, an dem Reservisten, der Krisenstab und die Betreiber eingestufte Planungen gemeinsam bearbeiten können.

Planerisch müssen Pläne so entworfen werden, dass ihre Offenlegung sie nicht wertlos macht. Das „Was” kann breit verteilt werden, das „Wie” und „Wo” bleibt höher eingestuft und physisch. Es sollten Module statt Gesamtwerke verwendet werden, damit der Verlust bei einem Empfänger nicht das Ganze offenlegt. Regelmäßige Neuplanung ist eine feste Annahme, da jeder Plan irgendwann bekannt wird.

Finanziell sieht der Haushalt 2027 139,6 Milliarden Euro für Verteidigung vor, das BBK erhält 703 Millionen. Mit dem vom BDEW vorgeschlagenen und vom VKU unterstützten Resilienzfonds für Betreiber und einem Kommunalprogramm im Pakt für den Bevölkerungsschutz kann die zivile Seite aufholen.

Zu guter Letzt

Der Berliner Vorfall beendet die Annahme, dass Pläne geheim bleiben, weil sie eingestuft sind. Die Planung für die nächsten Jahre muss davon ausgehen, dass der Gegner den aktuellen Stand gelesen hat. Berlin schuldet jedem Herausgeber eine Liste. Jeder Herausgeber schuldet sich selbst eine Bewertung. Und jede Verwaltung, die Pläne anderer aufbewahrt, schuldet ihnen einen Ort, der besser gesichert ist als es bisher oftmals der Fall ist. Das erste Gespräch dazu, zwischen Krisenstabsleitung, Informationssicherheitsbeauftragtem und Kreisverbindungskommando, kostet nichts und sollte zeitnah geführt werden.