Angriff auf das Berliner Landesnetz: Was der Mittelstand daraus lernt

Am Freitag, dem 14. August 2026, wurden zwei Berliner Senatsverwaltungen vom Landesnetz getrennt. Betroffen waren die Verwaltung für Stadtentwicklung, Bauen und Wohnen sowie die für Mobilität, Verkehr, Klimaschutz und Umwelt. Erreichbar blieben sie nur noch telefonisch. Bei der forensischen Untersuchung fanden sich Hinweise auf eine Kompromittierung des Landesnetzes selbst.

Landeskriminalamt, Staatsanwaltschaft und das BSI sind eingebunden. Zu Umfang und Hintergrund gibt es aus Ermittlungsgründen bislang keine Aussagen. Wir spekulieren hier nicht über Täter oder Einfallstor. Interessant ist ohnehin etwas anderes, nämlich das, was in den ersten Stunden passiert ist.

Die Trennung war die gute Nachricht

In der Berichterstattung klang das Abtrennen wie eine Niederlage. Aus Sicht der Verteidigung war es das Gegenteil. Jemand konnte einen Teil des Netzes vom Rest isolieren, kontrolliert und schnell. Wer schon einmal einen Vorfall begleitet hat, weiß, wie selten diese Fähigkeit vorhanden ist.

In vielen gewachsenen Unternehmensnetzen gibt es diese Möglichkeit schlicht nicht. Man kann alles ausschalten oder nichts. Das ist ungefähr so, als hätte ein Gebäude nur einen einzigen Hauptschalter für Strom, Wasser und Türen. Solange nichts passiert, fällt das nicht auf. Am Tag des Brandes entscheidet es alles.

Drei Fragen, die jedes Unternehmen beantworten sollte

Der Vorfall lässt sich in drei sehr praktische Fragen übersetzen. Sie kosten nichts außer einer halben Stunde und einem ehrlichen Gespräch.

Warum Segmentierung so oft fehlt

Netze wachsen selten nach Plan. Sie wachsen nach Bedarf. Ein neuer Standort wird angebunden, weil ein Kunde wartet. Eine Produktionsanlage bekommt einen Netzwerkanschluss, weil der Hersteller Fernwartung anbietet. Ein Dienstleister bekommt einen Zugang, weil das schneller geht als eine saubere Schnittstelle. Jede einzelne dieser Entscheidungen ist nachvollziehbar. Ihre Summe ist ein flaches Netz, in dem sich ein Angreifer bewegen kann wie in einem Großraumbüro ohne Türen.

Besonders häufig sehen wir das an der Grenze zwischen Büro-IT und Produktion. Dort treffen zwei Welten mit unterschiedlichen Lebenszyklen aufeinander. Ein Notebook wird nach vier Jahren ersetzt, eine Anlage nach zwanzig. Wenn beide im selben Netzsegment hängen, bestimmt die Anlage das Sicherheitsniveau des gesamten Unternehmens.

Was Fernwartungszugänge damit zu tun haben

Fast jeder Maschinenbauer bietet heute Fernwartung an, und fast jeder Betreiber nutzt sie. Der Nutzen ist unbestreitbar. Ein Techniker sieht in zehn Minuten, wofür er sonst zweihundert Kilometer fahren müsste. Das Problem ist nicht die Fernwartung, sondern ihre Bauart. Ein dauerhaft offener Zugang mit Vollzugriff, eingerichtet vor sechs Jahren, dessen Zugangsdaten drei Personen kennen, von denen eine das Unternehmen verlassen hat.

Solche Zugänge lassen sich sauber bauen. Zeitlich begrenzt, auf ein Segment beschränkt, protokolliert und nur auf Anforderung geöffnet. Der Aufwand dafür ist überschaubar. Er wird nur selten betrieben, weil niemand zuständig ist. Der Maschinenbauer sagt, das sei Sache der IT. Die IT sagt, das sei Sache der Produktion. Die Produktion sagt, es funktioniere doch.

Was in der ersten Stunde zählt

Wer einen Vorfall zum ersten Mal erlebt, macht fast immer denselben Fehler. Er versucht zuerst zu verstehen, was passiert ist. Das ist menschlich und in der Reihenfolge falsch. Solange ein Angreifer aktiv ist, arbeitet die Zeit gegen den Verteidiger. Erst eindämmen, dann verstehen.

Der zweite verbreitete Fehler ist das voreilige Aufräumen. Ein befallener Rechner wird neu aufgesetzt, weil er ja wieder laufen soll. Damit sind die Spuren weg, die man später für die Frage braucht, wie der Angreifer hereingekommen ist. Wer das nicht beantworten kann, schließt die Tür nicht, sondern räumt nur das Zimmer auf.

In Berlin hat man beides richtig gemacht. Erst die Trennung, dann die Forensik. Dass dabei Hinweise auf eine tiefergehende Kompromittierung gefunden wurden, spricht für die Untersuchung und nicht gegen sie. Was man nicht sucht, findet man auch nicht.

Der Notfallplan, den niemand liest

Die meisten Unternehmen, die wir kennen, haben einen Notfallplan. Er liegt oft an einer Stelle, die im Notfall nicht erreichbar ist, weil sie im selben Netz liegt, das gerade ausgefallen ist. Ein ausgedrucktes Exemplar im Ordner ist kein Zeichen von Rückständigkeit, sondern von Erfahrung.

Dasselbe gilt für Kontaktdaten. Wenn die Telefonanlage über die IT läuft und das Adressbuch im Verzeichnisdienst liegt, sind bei einem Ausfall beide weg. Eine Liste mit fünfzehn Nummern auf Papier ist unelegant und hat schon Wochenenden gerettet.

Aus Vorfällen bei anderen lernt man günstiger als aus eigenen. Das ist der einzige Vorteil, den öffentlich gewordene Angriffe haben.