Cyberangriff auf Teile der Berliner Landesverwaltung - mögliche Betroffenheit und Schutz von Bundesdaten sowie Handeln der Bundesbehörden

Wann erhielten das Bundeskanzleramt, das Bundesministerium des Innern, das Bundesministerium für Digitales und Staatsmodernisierung, das Bundesamt für Sicherheit in der Informationstechnik, das Bundeskriminalamt, das Bundesamt für Verfassungsschutz, das Bundesministerium der Verteidigung und das Bundesamt für den Militärischen Abschirmdienst jeweils erstmals Kenntnis von dem Cyberangriff, einem tatsächlichen Datenabfluss, einer möglichen Betroffenheit von Daten oder Sicherheitsinteressen des Bundes sowie der angekündigten beziehungsweise erfolgten Veröffentlichung der Daten im Darknet (bitte für jede der genannten Stellen die jeweiligen Kenntniszeitpunkte, die informierende Stelle und die unmittelbar daraufhin veranlasste Maßnahme darstellen)?

Welche Erkenntnisse liegen der Bundesregierung zum Zeitraum des erstmaligen Eindringens der Angreifer, zum Beginn und Ende des Datenabflusses, zum Zeitpunkt der Angriffserkennung und zum Zeitpunkt der technischen Unterbindung des Angriffs vor?

Welche Bundesministerien, Bundesbehörden, bundesunmittelbaren Einrichtungen, Unternehmen im Eigentum des Bundes und Vorhaben des Bundes sind nach bisherigem Kenntnisstand gegebenenfalls durch den abgeflossenen oder veröffentlichten Datenbestand betroffen (bitte gegebenenfalls nach betroffener Stelle bzw. betroffenem Vorhaben, Zahl der bislang zugeordneten Dateien, Datenkategorie und, soweit einschlägig, Schutz- oder Geheimhaltungsgrad aufschlüsseln)?

Hat die Bundesregierung aufgrund der Veröffentlichung von Unterlagen zur Erweiterung des Bundeskanzleramtes geprüft, ob darin enthaltene Informationen zu baulichen, technischen oder organisatorischen Sicherheitsmaßnahmen noch aktuell und sicherheitsrelevant sind, und wurden aufgrund des Datenabflusses Änderungen an Sicherheitskonzepten, Planungen oder bereits vorgesehenen Maßnahmen erforderlich bzw. veranlasst; wenn ja, welche zusätzlichen Kosten oder zeitlichen Verzögerungen entstehen hierdurch voraussichtlich (vgl. Vorbemerkung, Angaben zu konkreten Sicherheitsmaßnahmen werden nicht erbeten)?

Welche Daten mit Bezug zur Bundeswehr wurden nach Kenntnis der Bundesregierung bislang gegebenenfalls im abgeflossenen oder veröffentlichten Datenbestand identifiziert (bitte nach Anzahl, Datenkategorie, betroffener Dienststelle, Herkunft aus der Zusammenarbeit mit Behörden des Landes Berlin und Schutz- oder Geheimhaltungsgrad aufschlüsseln)?

Welche Maßnahmen der militärischen Sicherheit hat das Bundesministerium der Verteidigung aufgrund der festgestellten oder möglichen Betroffenheit von Bundeswehrdaten gegebenenfalls angeordnet, und zu welchen Zeitpunkten wurden diese möglichen Maßnahmen jeweils veranlasst?

Sind nach Kenntnis der Bundesregierung Zugangsdaten zu informationstechnischen Systemen des Bundes oder zu gemeinsam von Bund und Ländern genutzten Systemen abgeflossen oder veröffentlicht worden, und haben die gegebenenfalls daraufhin vorgenommenen Prüfungen Hinweise auf eine missbräuchliche Nutzung solcher Zugangsdaten oder einen hierdurch ermöglichten unbefugten Zugriff auf Systeme des Bundes ergeben?

Sind nach bisherigem Kenntnisstand gegebenenfalls auf den kompromittierten Berliner Systemen oder im veröffentlichten Datenbestand identifiziert (bitte gegebenenfalls die Anzahl der Verschlusssachen des Bundes nach den Geheimhaltungsgraden „VS-NUR FÜR DEN DIENSTGEBRAUCH“, „VS-VERTRAULICH“, „GEHEIM“ und „STRENG GEHEIM“ aufschlüsseln sowie angeben, ob sich darunter Verschlusssachen oder sonstige schutzbedürftige Informationen ausländischer Staaten, der NATO, der Europäischen Union oder anderer internationaler Organisationen befanden, die Dienststellen des Bundes übermittelt worden waren und gegebenenfalls deren Herkunft, Schutz- oder Geheimhaltungsgrad sowie den Zeitpunkt der Unterrichtung des jeweiligen Herausgebers angeben)?

Auf welcher rechtlichen, vertraglichen oder administrativen Grundlage und zu welchem dienstlichen Zweck wurden die bislang gegebenenfalls identifizierten sensiblen Daten oder Verschlusssachen des Bundes an Behörden des Landes Berlin übermittelt und nach Kenntnis der Bundesregierung dort gespeichert oder verarbeitet?

Welche bundesrechtlichen und verwaltungsinternen Geheimschutzvorgaben waren auf die mögliche Weitergabe der jeweils betroffenen Bundesverschlusssachen an Behörden des Landes Berlin und deren dortige Speicherung oder Verarbeitung anwendbar, und aufgrund welcher Regelungen oder Verpflichtungen des Landes Berlin gingen die jeweils übermittelnden Dienststellen des Bundes davon aus, dass die Voraussetzungen des § 26 Absatz 2 der Verschlusssachenanweisung des Bundes (VSA) erfüllt waren?

Welche Dienststellen des Bundes haben vor dem Cyberangriff gegebenenfalls geprüft, ob die informationstechnischen Systeme des Landes Berlin, auf denen gegebenenfalls Bundesdaten oder Bundesverschlusssachen gespeichert oder verarbeitet wurden, die hierfür geltenden Sicherheits- und Geheimschutzanforderungen erfüllten (bitte nach prüfender Stelle, Zeitpunkt, Prüfgegenstand und Ergebnis aufschlüsseln), und waren den gegebenenfalls prüfenden Dienststellen des Bundes die in den öffentlichen Anhörungen des Ausschusses für Inneres, Sicherheit und Ordnung des Abgeordnetenhauses von Berlin vom 11. Dezember 2023 und 3. November 2025 dokumentierten Hinweise auf IT-Sicherheitsdefizite bekannt (Wortprotokoll über die 27. Sitzung des Ausschusses für Inneres, Sicherheit und Ordnung des Abgeordnetenhauses Berlin vom 11. Dezember 2023, abrufbar unter: www.parlament-berlin.de/ados/19/InnSichO/protokoll/iso19-027-wp.pdf)?

Welche Vorgaben bestanden zum Zeitpunkt des Cyberangriffs für die mögliche Aufbewahrung und Löschung der auf den betroffenen informationstechnischen Systemen des Landes Berlin gespeicherten Bundesdaten und welche Kontrollen führten die jeweils datenübermittelnden Dienststellen des Bundes gegebenenfalls durch, um die Einhaltung dieser Vorgaben zu überprüfen?

Befanden sich nach Kenntnis der Bundesregierung Bundesdaten oder Bundesverschlusssachen auch in Sicherungskopien, Snapshots, Archiven, E-Mail-Archiven oder sonstigen redundanten Datenbeständen, obwohl ihre Speicherung im produktiven System bereits beendet oder ihre Löschung bereits veranlasst worden war (bitte gegebenenfalls nach Datenkategorie, Speicherform und, soweit feststellbar, Alter der Dateien aufschlüsseln)?

Welche Beratungen, Sicherheitsanalysen, Warnungen oder konkreten Empfehlungen hat das Bundesamt für Sicherheit in der Informationstechnik seit dem 1. Januar 2020 gegenüber dem Land Berlin oder den vom Angriff betroffenen Senatsverwaltungen zu Ransomware, Phishing, Mehrfaktor-Authentisierung, Passwortmanagement oder dem Schutz vor unbemerktem Datenabfluss gegebenenfalls abgegeben, und welche Erkenntnisse lagen dem Bundesamt vor dem Angriff über die Umsetzung dieser möglichen Empfehlungen vor?

Seit welchem Zeitpunkt unterstützt das Bundesamt für Sicherheit in der Informationstechnik das Land Berlin bei der Bewältigung des Cyberangriffs, und welche konkreten Leistungen hat es seitdem bei der forensischen Analyse, bei der Bewertung kompromittierter Daten, bei der Absicherung betroffener Systeme und bei der Warnung möglicherweise betroffener Bundesbehörden und sonstiger Einrichtungen des Bundes erbracht (vgl. Vorbemerkung der Fragesteller)?

Zu welchem Zeitpunkt und aufgrund welcher gesetzlichen Zuständigkeit wurden das Bundeskriminalamt, das Bundesamt für Verfassungsschutz und das Bundesamt für den Militärischen Abschirmdienst jeweils in die Aufarbeitung des Cyberangriffs einbezogen, und welchen konkreten Gegenstand hat die Tätigkeit der jeweiligen Behörde (vgl. Vorbemerkung der Fragesteller)?

Wann wurde der Cyberangriff erstmals im Nationalen Cyber-Abwehrzentrum behandelt, welche Bundesbehörden waren an der dortigen fallbezogenen Bearbeitung beteiligt und welche konkreten Lagebewertungen, Warnungen oder abgestimmten Folgemaßnahmen mit Bezug auf Bundesdaten oder sonstige Sicherheitsinteressen des Bundes gingen aus dieser Befassung hervor (vgl. Vorbemerkung, bitte nach Datum, beteiligter Stelle, Gegenstand und veranlasster Maßnahme aufschlüsseln)?

Auf welcher Tatsachen- und Erkenntnisgrundlage beruht die von der Bundesregierung am 7. September 2026 vertretene Einschätzung (www.bundesregierung.de/breg-de/aktuelles/regierungspressekonferenz-vom-7-september-2026-2451640), die Gruppierung Rhysida sei grundsätzlich als kriminell und finanziell motiviert einzuschätzen, und liegen der Bundesregierung Erkenntnisse vor, die auf eine staatliche Steuerung oder Unterstützung des Angriffs hindeuten?

Liegen der Bundesregierung Erkenntnisse darüber vor, ob ausländische Nachrichtendienste, staatliche Stellen, terroristische oder extremistische Organisationen den veröffentlichten Datenbestand heruntergeladen, ausgewertet, weiterverbreitet oder für Ausspähungs-, Cyber-, Sabotage- oder sonstige sicherheitsgefährdende Zwecke genutzt haben?

Welche Kategorien von Anlagen oder Einrichtungen der kritischen Infrastruktur sind nach Kenntnis der Bundesregierung durch den veröffentlichten Datenbestand berührt, und welche Betreiber wurden deshalb durch das Bundesamt für Sicherheit in der Informationstechnik, das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe oder weiteren Dienststellen des Bundes gewarnt (vgl. Vorbemerkung der Fragesteller, bitte nach Sektor und Zahl der betroffenen Betreiber aufschlüsseln, ohne sicherheitsgefährdende Einzelheiten zu einzelnen Anlagen offenzulegen)?

Sind bei Dienststellen des Bundes, deren Verschlusssachen von dem Datenabfluss betroffen sein könnten, nach Bekanntwerden des Cyberangriffs Sachverhaltsfeststellungen oder Maßnahmen nach § 64 der Verschlusssachenanweisung des Bundes eingeleitet worden, und wenn ja, welche Maßnahmen wurden eigeleitet und welche Verletzungen von Geheimschutzvorschriften oder unzureichenden Sicherheitsvorkehrungen wurden hierbei bislang festgestellt, und wenn nein, aus welchen Gründen wurden keine entsprechenden Maßnahmen eingeleitet?

Sind aufgrund der im Zusammenhang mit dem Datenabfluss gewonnenen Erkenntnisse Anhaltspunkte für strafrechtlich relevante Verletzungen von Geheimhaltungs- oder sonstigen Dienstpflichten festgestellt und deshalb durch Bundesbehörden oder sonstige Dienststellen des Bundes Strafverfolgungsbehörden unterrichtet oder Strafanzeigen erstattet worden (bitte gegebenenfalls nach Dienststellen des Bundes, Zahl der Vorgänge und in Betracht gezogener Strafvorschrift aufschlüsseln, soweit dies ohne Beeinträchtigung laufender Ermittlungen möglich ist)?

Welche finanziellen Schäden oder zusätzlichen Aufwendungen sind dem Bund gegebenenfalls infolge eines Datenabflusses und der Veröffentlichung von Daten mit Bundesbezug bislang entstanden oder nach gegenwärtigem Kenntnisstand zu erwarten (bitte nach betroffener Bundesbehörde bzw. sonstiger Einrichtung des Bundes und Schadensbeziehungsweise Aufwandskategorie aufschlüsseln)?

Hat die Bundesregierung geprüft, ob dem Bund infolge des Datenabflusses oder der Veröffentlichung von Daten mit Bundesbezug Ersatz-, Regress- oder sonstigen Ausgleichsansprüche gegen das Land Berlin oder Dritte zustehen könnten, und wenn ja, mit welchem Ergebnis, welche Ansprüche wurden gegebenenfalls bereits geltend gemacht und welchen Verfahrensstand haben diese, und wenn nein, aus welchen Gründen ist eine solche Prüfung bislang nicht erfolgt?

Stand für die Übermittlung, Speicherung oder gemeinsame Bearbeitung der von dem Datenabfluss betroffenen Bundesverschlusssachen zum jeweiligen Zeitpunkt eine im Rahmen der Bundesmaßnahme „Ressortübergreifende VS-Kommunikation“ (R-VSK) bereitgestellte oder eine andere vom Bundesamt für Sicherheit in der Informationstechnik zugelassene VS-IT-Lösung zur Verfügung, und wenn ja, bei welchen der betroffenen Vorgänge wurde eine solche Lösung genutzt bzw. aus welchen Gründen wurde sie gegebenenfalls nicht genutzt?

Welche gesetzlichen, vertraglichen, geheimschutzrechtlichen oder administrativen Pflichten bestanden gegebenenfalls für Behörden des Landes Berlin, die jeweils datenübermittelnden Dienststellen des Bundes über Sicherheitsvorfälle, eine mögliche Kompromittierung der Systeme oder einen Datenabfluss zu unterrichten, wann wurden diese Pflichten im vorliegenden Fall jeweils ausgelöst und erfüllt, und wurden hierbei nach Kenntnis der Bundesregierung vorgeschriebene oder vereinbarte Meldeoder Unterrichtungsfristen überschritten?