Berliner Datenleck: Es gab Vorgaben gegen diesen Angriff. Sie wurden jedoch nicht umgesetzt.

TerminalFix, 1,44 Millionen Dateien und fünf Tage unbemerkter Datenabfluss. Warum das kein Regelungs-, sondern ein Vollzugsdefizit ist.

Seit dem 4. September 2026 stehen rund 1,44 Millionen Dateien aus der Berliner Landesverwaltung im Darknet. Darunter befinden sich Zivilschutzunterlagen sowie Listen von Heizkraftwerken, Tanklagern, Notstromanlagen und Umspannwerken – also genau jene Objekte, die im Krisen- und Verteidigungsfall geschützt werden sollen. Dazu kommen Personalakten, Zugangsdaten und Passwörter.

Die politische Reaktion folgt einem bekannten Muster. Es wird vor den Folgen gewarnt, einheitliche Standards werden gefordert und über föderale Zuständigkeiten gesprochen. Dabei geht der wichtigste Befund unter: Es hat hier nichts gefehlt, was man erst noch hätte erfinden müssen.

Der Angriffsvektor war bekannt und trivial.

Das BSI hat inzwischen den ersten Angriffsvektor benannt. Es handelt sich um eine Kampagne namens „TerminalFix”, eine Variante der Methode „ClickFix”, vor der Microsoft bereits im Februar 2026 gewarnt hatte.

Das Prinzip ist unspektakulär. Ein gefälschtes Captcha fordert den Nutzer auf, zur Verifizierung einen Befehl in das Windows-Terminal oder den Ausführen-Dialog einzufügen. Der Nutzer tut es. Anschließend lädt das Skript nach und arbeitet mit signierten, legitimen Windows-Programmen weiter, im Berliner Fall unter anderem mit LockScreenContentServer.exe.

Das ist kein Exploit. Es gibt keine Zero-Day-Lücke, keine unbekannte Schwachstelle, nichts, wofür ein Patch gefehlt hätte. Es gibt nur eine Handlung, die in einer Verwaltung niemand braucht und die man deshalb technisch unterbinden kann.

Was dagegen hilft und wo es geschrieben steht

Gegen diese Angriffsklasse existiert ein etabliertes Maßnahmenbündel. Keine dieser Maßnahmen ist exotisch oder teuer im Vergleich zu dem Schaden, der jetzt entstanden ist.

Ausführung verhindern: Den Ausführen-Dialog (Win+R) und die Ausführung aus der Adressleiste des Explorers per Gruppenrichtlinie deaktivieren. – PowerShell für Standardnutzer im Constrained Language Mode betreiben. Die Anwendungssteuerung sollte über AppLocker oder Windows Defender Application Control erfolgen, damit Skripthosts und nachgeladene Programme aus temporären Verzeichnissen gar nicht erst starten können. – Keine lokalen Administratorrechte für Sachbearbeitung.

Nachladen verhindern: Filterung auf DNS-Ebene oder über einen Proxy, Sperrung nicht kategorisierter und frisch registrierter Domains, Regeln zur Angriffsflächenreduzierung gegen Skripte, die heruntergeladene Programme starten.

Erkennen: Protokollierung von Prozessstarts und PowerShell-Befehlen in einer zentralen Auswertung. Bei dieser Angriffsart landet der eingefügte Befehl im Klartext in der Registry – das ist ein nahezu perfekter Indikator. Auffällig ist die Prozesskette vom Browser über das Terminal zu einer ausgehenden Verbindung.

Ausbreitung und Abfluss müssen begrenzt werden: Netzsegmentierung, Rechtebeschränkung auf Fachverfahren und Dateiablagen sowie Überwachung ausgehender Datenvolumen sind erforderlich.

Und hier der entscheidende Punkt: All dies ist im Grundschutzkompendium des BSI abgebildet, das für die Berliner Verwaltung verbindlich ist. Dazu gehören Härtung und Rechtebeschränkung auf Clients, Schutz vor Schadprogrammen, Protokollierung, Detektion sicherheitsrelevanter Ereignisse, Behandlung von Sicherheitsvorfällen, Netzarchitektur, Berechtigungsmanagement, Sensibilisierung und Schulung. Das sind keine Empfehlungen aus einem Fachartikel. Das sind geltende Vorgaben.

Der Klick war nicht das Versagen.

Der übliche Einwand lautet, der Mensch sei nun einmal die größte Schwachstelle. Das stimmt sogar teilweise. Namen, E-Mail-Adressen und Organisationsstrukturen von Behörden sind öffentlich, Social Engineering ist entsprechend günstig und der Angreifer braucht nur einen von zwanzig Versuchen zum Erfolg. Ein einzelner Klick ist ein realistisches Restrisiko in jeder Organisation.

Nur erklärt ein Klick keine 1,44 Millionen Dateien.

Zwischen dem Klick und dem Darknet liegen Rechteausweitung, seitliche Bewegung in Fachverfahren und fünf Tage unbemerkter Datenabfluss vom 7. bis 12. August. Der Vorgang wurde erst am 14. August entdeckt, und zwar offenbar zufällig, da dem zentralen IT-Dienstleister ITDZ ungewöhnliche Netzwerkaktivität auffiel, obwohl er für die betroffenen Häuser gar nicht zuständig war.

Genau diese Schicht ist für Detektion, Segmentierung und Notfallorganisation zuständig. Sie hat nicht versagt, weil jemand geklickt hat. Sie hat versagt, weil es sie nicht gab.

Es war alles dokumentiert.

Der Berliner Rechnungshof hat wiederholt festgestellt, dass geltende Vorgaben zur Informationssicherheit nicht konsequent umgesetzt wurden, dass Sicherheitskonzepte fehlten und dass Informationssicherheitsbeauftragte nicht besetzt oder nicht eingebunden waren. Ende 2025 derselbe Befund in einem Bezirksamt, in dem es seit 2015 kein IT-Notfallkonzept mehr gab.

Ein Sachverständiger hat eigenen Aussagen zufolge 2023 und 2025 im Innenausschuss ausdrücklich vor den Lücken gewarnt.

In seinem eigenen Umsetzungsbericht hat der Senat festgehalten, dass die im Rollenkonzept benannten Rollen für das Notfallmanagement 2025 zu großen Teilen nicht besetzt waren. Das war knapp fünf Monate vor dem Angriff.

Im selben Jahr gab der Senat die gesamtstädtische Steuerung der IT-Standardisierung aus der Hand und überließ die Verantwortung den Einzelverwaltungen. Das geschah neun Jahre nach dem Berliner E-Government-Gesetz, dessen jährliche verpflichtende Schulung für alle Mitarbeitenden der Senat übrigens nicht prüft, sondern annimmt.

Auf Bundesebene ist das Bild nicht besser. Laut dem Bundesrechnungshof erfüllen weniger als zehn Prozent der rund hundert Rechenzentren des Bundes die Mindeststandards des BSI und es fehlt ein ressortübergreifendes Sicherheitscontrolling.

Die Asymmetrie steht im Gesetz.

Seit dem 6. Dezember 2025 gilt das deutsche Umsetzungsgesetz zur NIS2-Richtlinie ohne Übergangsfrist. Für Unternehmen bedeutet das: Registrierung beim BSI, Nachweispflichten, Meldung binnen 24 Stunden, Stichprobenprüfungen, Bußgelder bis zu zehn Millionen Euro oder zwei Prozent des Umsatzes sowie die persönliche Haftung der Geschäftsleitung.

Für die öffentliche Verwaltung gilt das nicht. Die Leitungshaftung gilt dort ausdrücklich nicht. Außerdem fallen Landesverwaltungen überhaupt nicht unter das BSI-Gesetz, da die Gesetzgebungskompetenz bei den Ländern liegt. Das BSI stellt selbst klar, dass seine Regelungen für Landesverwaltungen keine unmittelbare normative Wirkung entfalten, sondern nur als Orientierung dienen.

Damit ist der Kreis geschlossen. Die Verwaltung gibt sich ihre Sicherheitsvorgaben selbst, prüft sich selbst und sanktioniert sich nicht selbst, und niemand haftet persönlich. Ein Rechnungshofbericht ist schließlich kein Bußgeldbescheid. Genau deshalb ließ sich derselbe Befund über Jahre wiederholen, ohne dass etwas geschah.

Was jetzt hilft und was nicht

Ein weiteres Gesetz wird nicht helfen. Die Vorgaben existieren, sie wurden nur nicht angewandt, und eine zusätzliche Norm ändert an einer fehlenden Konsequenz nichts.

Helfen würden vier Dinge, die alle unbequem sind:

1. Eine externe, prüfende Aufsicht für Landesverwaltungen mit verbindlichen Nachweispflichten statt Selbstauskünften.

2. Persönliche Verantwortlichkeit auf Leitungsebene, wie sie in der Wirtschaft längst üblich ist.

3. Besetzte Rollen statt Rollenkonzepte. Ein unbesetzter Informationssicherheitsbeauftragter ist kein Personalthema, sondern ein Sicherheitsvorfall mit Ansage.

4. Zentrale Betriebsverantwortung statt Ressortautonomie bei der IT. Wer Sicherheit dezentral organisiert, organisiert sie nicht.

Als Hersteller im regulierten Umfeld kenne ich die andere Seite gut. Für Ampareq Gen3 führen wir Nachweise über Sicherheitsprozesse, Schwachstellenbehandlung und Lieferkette, weil Gesetzgeber und Netzbetreiber das zu Recht verlangen. Ein am Netz befindlicher Wechselrichter ist Teil einer kritischen Infrastruktur und wird entsprechend geprüft.

Die Behörde jedoch, die die Liste der zu schützenden Umspannwerke führt, unterliegt keiner vergleichbaren Prüfung. Solange das so bleibt, ist jede Debatte über Gesamtverteidigung und Resilienz eine Debatte über Papier.