Rhysida: Die Gruppe hinter dem Berlin-Hack…

risikomonitor.com · Threat Intelligence Briefing · 10. September 2026 · M. Löw-Beer, risikomonitor.com Research

Am Freitag, 4. September 2026, lief das Ultimatum ab. Weil der Berliner Senat die geforderten 30 Bitcoin, rund zwei Millionen Euro, nicht zahlte, stellte die Ransomware-Gruppe Rhysida den erbeuteten Datensatz frei zugänglich ins Darknet: 5,26 Terabyte und 1.439.893 Dateien aus zwei Senatsverwaltungen, darunter nach Angaben der Täter Personalakten, Verwaltungsstrafverfahren, Passwortdateien, Ausweiskopien und eine Schwachstellenanalyse der Berliner Wasserversorgung. Für Österreich ist der Fall mehr als eine Meldung aus dem Ausland. Berlin ist wie Wien Stadt und Land zugleich, betreibt ein eigenes Landesnetz und bündelt Verwaltung, Wohnbau und Infrastruktur in einer IT-Landschaft. Am 1. Oktober 2026 tritt zudem das NISG 2026 in Kraft. risikomonitor.com hat das vollständige Opferverzeichnis von Rhysida ausgewertet und untersucht, welche Rolle die Gruppe bisher in Österreich gespielt hat und warum sie künftig eine größere spielen könnte.

Steckbrief Rhysida (Stand 10. September 2026)

Erstmals beobachtet: 17. Mai 2023 (Verhandlungsportal im Tor-Netz), erste Leak-Einträge im Juni 2023
Akteur dahinter: Vanilla Tempest, auch Vice Society oder Vice Spider genannt, aktiv seit Sommer 2021
Herkunft: russischsprachiges Cybercrime-Umfeld, keine Opfer in Russland und GUS-Staaten, kein Beleg für staatliche Steuerung
Modell: Ransomware-as-a-Service mit doppelter Erpressung und öffentlicher Datenauktion
Opfer: 285 Einträge in unserer Vollerfassung, 283 bei ransomware.live, 298 bei Breachsense; 40 Länder
Schwerpunkte: USA und Kanada; Bildung, Gesundheitswesen, Verwaltung, Industrie, freie Berufe
Typische Forderung: durchschnittlich rund 1,1 Mio. US-Dollar, Spitzen bei 30 Bitcoin und mehr
Zeitmuster: Angriffe bevorzugt an Wochenenden und außerhalb der Bürozeiten
Hauptvektor: gültige Zugangsdaten für VPN und Fernzugänge ohne Mehrfaktor-Authentifizierung, daneben Phishing und gefälschte Software-Installer
Österreich: ein Unternehmen mit zwei Einträgen (Juni 2023), vollständig veröffentlicht; seither kein weiteres österreichisches Opfer

1. Der Fall Berlin

Der Angriff auf das Berliner Landesnetz ist der bisher größte Schlag von Rhysida gegen eine europäische Verwaltung. Die Täter kopierten nach Erkenntnissen der Forensiker zwischen dem 7. und dem 12. August 2026 Daten aus den Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Klimaschutz und Umwelt. Beide wurden am 14. August vom Landesnetz getrennt und blieben rund neun Tage offline. Rund 50.000 Haushalte mussten auf Wohngeldzahlungen warten; nachdem Passwörter für interne Fachanwendungen im Netz aufgetaucht waren, sperrten mindestens zwei Verwaltungen den Zugang aus dem Homeoffice.

Chronologie des Angriffs

Fr, 7. bis Mi, 12. August: Datenabfluss aus zwei Senatsverwaltungen
Fr, 14. August: Trennung der beiden Verwaltungen vom Landesnetz
Fr, 21. August: anonymer Leak-Eintrag „Coming soon" mit 5,79 TB und exakt der später Berlin zugeordneten Kategorienaufschlüsselung
Do, 27. August: Eingang der Lösegeldforderung
Fr, 28. August: Eintrag „Berlin, Germany" auf der Leak-Seite, Mindestgebot 30 Bitcoin, Frist sieben Tage
Fr, 4. September: Fristablauf, Veröffentlichung von 5,26 TB und 1.439.893 Dateien in drei Paketen
Mo, 7. September: Senat teilt mit, die geleakten Verschlusssachen seien in der niedrigsten Einstufung klassifiziert gewesen

Datenabfluss, Vorankündigung, Auktion und Veröffentlichung fielen jeweils auf einen Freitag. Eine Woche vor dem Eingang der Forderung setzten die Täter einen anonymen Teaser auf ihre Seite, der das Opfer nicht nannte, dessen Datenbestand aber bereits exakt beschrieb. Berlin zahlte nicht; der Regierende Bürgermeister erklärte, das Land lasse sich nicht erpressen. Der Preis dafür ist ein öffentlicher Datensatz, den Forensiker, Journalisten und Kriminelle gleichermaßen durchsuchen können.

Warum Berlin auch Wien betrifft. Die Parallelen sind offensichtlich: Stadt und Land in einer Verwaltung, ein eigenes Landesnetz, Zuständigkeiten für Wohnbau, Verkehr, Umwelt und Wasserversorgung unter einem Dach. Dasselbe gilt in kleinerem Maßstab für die Landesverwaltungen und die großen Städte. Österreich hat mit dem Angriff auf die Kärntner Landesverwaltung im Mai 2022 bereits erlebt, wie ein Ransomware-Angriff eine Landesverwaltung tagelang lahmlegt: Die Gruppe BlackCat forderte damals fünf Millionen US-Dollar, der Einstieg erfolgte über eine Phishing-Mail, rund 250 Gigabyte Daten gerieten in die Hände der Täter. Das Land zahlte nicht. Rhysida hat 2026 mit Stuttgart und Berlin gezeigt, dass sie genau diesen Typ Ziel im deutschsprachigen Raum sucht.

2. Wer ist Rhysida?

Rhysida ist eine finanziell motivierte Ransomware-Gruppe. Das US-Gesundheitsministerium datiert ihr erstes Auftreten auf den 17. Mai 2023, als das Verhandlungsportal im Tor-Netz online ging. Der Name stammt von einer Gattung tropischer Riesenläufer, die auch das Logo der Leak-Seite ziert. Die Gruppe arbeitet nach dem Modell Ransomware-as-a-Service: Ein Kernteam entwickelt die Schadsoftware und betreibt Infrastruktur, Leak-Seite und Verhandlungsportal, Affiliates dringen in die Netzwerke der Opfer ein und bringen die Verschlüsselung zur Ausführung. Das erpresste Geld wird geteilt.

Das Erpresserschreiben, eine PDF-Datei namens CriticalBreachDetected.pdf, gibt sich als Hinweis eines „cybersecurity team" aus, das dem Opfer helfen möchte, eine Sicherheitslücke zu schließen. Dahinter steht ein hartes Geschäftsmodell: Daten kopieren, Systeme verschlüsseln, Daten versteigern. Die Startseite der Leak-Seite zeigte am 10. September 2026 fünf laufende Auktionen und einen Zähler von 266 Unternehmen. CISA, FBI und MS-ISAC widmeten Rhysida im November 2023 eine gemeinsame Warnung (AA23-319A), die im April 2025 aktualisiert wurde.

Seit wann gibt es die Gruppe? Als Marke existiert Rhysida seit gut drei Jahren, die Menschen dahinter sind länger aktiv. Microsoft ordnet die Kampagnen dem Akteur Vanilla Tempest zu, früher DEV-0832, den andere Hersteller Vice Society oder Vice Spider nennen; die ersten Aktivitäten datieren auf den Sommer 2021. Vice Society fiel vor allem durch Angriffe auf Schulen auf, setzte fremde Verschlüsselungstrojaner wie HelloKitty, Zeppelin, BlackCat und Quantum Locker ein und verstummte 2023 genau zu dem Zeitpunkt, als Rhysida auftauchte. Check Point Research und die CISA verweisen auf weitgehende Übereinstimmungen bei Werkzeugen und Vorgehen.

Russland, China oder Nordkorea? Eine staatliche Zuordnung gibt es nicht. Die Spuren führen in das russischsprachige Cybercrime-Milieu: russischsprachige Elemente in Kommunikation und Infrastruktur und das typische Muster, Organisationen aus Russland und anderen GUS-Staaten zu verschonen. Unter den 285 Einträgen findet sich kein einziges Opfer aus diesem Raum, wohl aber Ziele in Iran, Israel, Kuwait, Katar und China. Für eine chinesische oder nordkoreanische Steuerung gibt es keine öffentlichen Belege; gegen eine Nähe zu Peking spricht sogar, dass Rhysida mehrere Einheiten chinesischer Staatskonzerne listete, darunter Energy China und CNPC.

3. Wen trifft Rhysida?

risikomonitor.com hat das Opferverzeichnis am 10. September 2026 vollständig erfasst: 285 Einträge vom 9. Juni 2023 bis zum 8. September 2026. Nach 19 Einträgen im Startmonat Juni 2023, darunter das österreichische Opfer, pendelte sich die Gruppe bei sieben bis acht Veröffentlichungen pro Monat ein: 78 Einträge 2023, 86 im Jahr 2024, 94 im Jahr 2025 und 27 bis Anfang September 2026. Zwischen März und Juli 2026 wurde es auffallend ruhig, seit August 2026 ist Rhysida mit acht neuen Opfern zurück. Weniger Einträge bedeuten nicht weniger Angriffe, denn auf der Leak-Seite landen nur Organisationen, die nicht zahlen.

Länder. Rhysida ist vor allem ein nordamerikanisches Problem: Auf die USA entfallen 126 der 283 bei ransomware.live erfassten Opfer, zusammen mit Kanada mehr als die Hälfte. In Europa führen Deutschland (neun bis zehn Opfer) und Italien; zu den deutschen Fällen zählen neben Berlin und Stuttgart die Welthungerhilfe, die Hochschule Kaiserslautern und Travian Games.

Branchen. Bildung (58 Opfer) und Gesundheitswesen (49) dominieren, dahinter freie Berufe und Dienstleistungen (37), Verwaltung und Verteidigung (32) sowie Industrie (30). Rund ein Drittel der Opfer sind öffentliche Einrichtungen; bei den Unternehmen dominieren KMU und Mittelständler. Die durchschnittliche Lösegeldforderung lag laut Comparitech im September 2025 bei rund 1,1 Millionen US-Dollar.

4. Wann schlägt Rhysida zu?

Wo Zeitpunkte bekannt sind, zeigt sich ein klares Muster: British Library am Samstag, 28. Oktober 2023; Hafen Seattle am frühen Samstagmorgen, 24. August 2024; Verkehrsbehörde Maryland am Sonntag, 24. August 2025; Berlin ab Freitag, 7. August 2026. Sophos fand im Active Adversary Report 2026 über 661 Fälle hinweg, dass 88 Prozent der Ransomware-Payloads außerhalb der Bürozeiten zur Ausführung kamen, ebenso 79 Prozent der Datenabflüsse.

Für Österreich heißt das: Die kritischen Zeitfenster sind Wochenenden, Nächte und vor allem verlängerte Wochenenden. Der Nationalfeiertag fällt 2026 auf einen Montag, der 8. Dezember auf einen Dienstag mit Fenstertag davor, Weihnachten und Silvester auf Donnerstage. In genau diesen Tagen sind IT- und Sicherheitsteams am dünnsten besetzt.

Die Veröffentlichungen verteilen sich über alle Wochentage, mit einer leichten Häufung am Dienstag (18,6 Prozent) und Freitag (16,5 Prozent), Sonntag ist mit 9,5 Prozent der seltenste Tag. Zwischen Angriff und Veröffentlichung vergehen im Mittel rund fünf Wochen.

5. Angriffsvektoren und Vorgehen

Erstzugang: gültige Zugangsdaten für VPN und Fernzugänge ohne Mehrfaktor-Authentifizierung, Phishing, Ausnutzung von Zerologon (CVE-2020-1472); Zugangsdaten aus Infostealer-Logs und früheren Datenlecks
Erstzugang seit 2025: Malvertising und manipulierte Suchergebnisse mit gefälschtem MSTeamsSetup.exe samt Oyster-Backdoor
Festsetzen und Erkunden: Cobalt Strike, SystemBC, PowerView, Advanced IP Scanner, AnyDesk
Rechteausweitung: Auslesen der Active-Directory-Datenbank mit ntdsutil (NTDS.dit), Impacket
Tarnung: Löschen von Protokollen mit wevtutil, Beenden von Schutzsoftware
Datenabfluss: große Datenmengen vor der Verschlüsselung, unter anderem über WinSCP
Verschlüsselung: Verteilung per PsExec, ChaCha20 mit RSA-4096, nur teilweise Verschlüsselung, Endung .rhysida

Wie wichtig gestohlene Zugangsdaten sind, zeigt die Statistik: Breachsense fand bei 33,2 Prozent der Opfer mit identifizierbarer Domain Zugangsdaten von Beschäftigten in Datenlecks der zwölf Monate vor der Veröffentlichung, ransomware.live weist für 50,2 Prozent Funde in Infostealer-Daten aus. Österreichische Organisationen sind davon nicht ausgenommen: Eine Darknet-Studie von risikomonitor.com fand allein in Leaks von 59 Dating- und Erwachsenenplattformen 93.308 österreichische Geschäfts-E-Mail-Adressen. Jede dieser Adressen ist ein möglicher Ansatzpunkt für Passwort-Wiederverwendung, gezieltes Phishing oder Erpressung.

Ab September 2025 waren die gefälschten Installer mit missbräuchlich erlangten Code-Signing-Zertifikaten signiert; Anfang Oktober 2025 widerrief Microsoft über 200 davon.

6. Das Geschäftsmodell: Auktion statt Verhandlung

Wer nicht zahlt, landet mit Beschreibung, Beispieldokumenten und Countdown auf der Leak-Seite. Die Frist beträgt meist sieben Tage, das Mindestgebot wird in Bitcoin angegeben, und die Texte richten sich unverhohlen an Käufer. Der Vermerk „All data was sold" markiert angeblich verkaufte Bestände; bei anderen Einträgen veröffentlicht die Gruppe den nicht verkauften Teil mit dem Zusatz „data hunters, enjoy", so auch bei Berlin. Die Vorankündigung im Fall Berlin ist eine neue Eskalationsstufe: Sie verlängert das Druckfenster und signalisiert dem Opfer schon vor der Forderung, dass die Gruppe öffentlich eskalieren wird.

7. Was bedeutet Rhysida für Österreich?

Bisher ein österreichisches Opfer. In der Vollerfassung findet sich genau ein österreichisches Unternehmen: die oberösterreichische Eder-Gruppe mit Sitz in Peuerbach, ein Familienunternehmen mit zwei Ziegelwerken, Systembau mit Fertigteiltreppen und Betonfertigteilen sowie vier Transportbetonwerken im Hausruck- und Innviertel. Rhysida listete die Gruppe am 18. Juni 2023, einen Tag davor bereits das Ziegelwerk der Familie im sächsischen Freital. Beide Einträge tragen den Vermerk, alle Dateien seien öffentlich hochgeladen worden. Öffentliche Stellungnahmen oder Medienberichte zu dem Vorfall sind uns nicht bekannt.

Einträge mit Österreich-Bezug

EDER (Firmengruppe), 18. Juni 2023 – österreichisches Unternehmen. Ziegel, Beton und Fertigteile, Sitz in Peuerbach (Oberösterreich). Laut Leak-Seite vollständig veröffentlicht.
Ziegelwerk Eder, 17. Juni 2023 – deutscher Standort eines österreichischen Unternehmens. Ziegelwerk der Familie Eder in Freital bei Dresden. Laut Leak-Seite vollständig veröffentlicht.
Amstutz Produkte AG, 9. Juni 2023 – österreichische Tochter eines Schweizer Opfers. Schweizer Hersteller von Reinigungsmitteln mit Vertriebsgesellschaft in Feldkirch. Ob die österreichische Einheit betroffen war, ist nicht bekannt.

Seit Juni 2023 ist in über drei Jahren kein weiteres österreichisches Opfer auf der Leak-Seite erschienen. Zum Vergleich: Die Tracker führen für Deutschland neun bis zehn Opfer, für die Schweiz zwei nachweislich Schweizer Unternehmen. Österreich ist im direkten Opferbild von Rhysida damit eine Randerscheinung.

Einordnung im österreichischen Lagebild. Laut Cybercrime-Report 2025 des Bundeskriminalamts wurden 2025 in Österreich 111 Ransomware-Fälle angezeigt, nach 109 im Jahr davor. Unter den etablierten Gruppen nennt das Bundeskriminalamt INC mit zwölf, Akira mit elf und RansomHub mit fünf Fällen, daneben LockBit 4.0 und Qilin mit je rund vier Prozent. Bei rund 40 Prozent der Anzeigen war keine eindeutige Zuordnung möglich; insgesamt wurden 29 unterschiedliche Tätergruppen identifiziert. Rhysida taucht unter den namentlich genannten Gruppen nicht auf. Die angezeigten Fälle bilden allerdings nur einen Ausschnitt ab: Viele Unternehmen erstatten keine Anzeige, und Systeme werden oft neu aufgesetzt, bevor Spuren gesichert sind. Branchenauswertungen zählen für das erste Halbjahr 2026 insgesamt 29 öffentlich auf Leak-Seiten beanspruchte österreichische Opfer über alle Gruppen hinweg.

Warum Rhysida für Österreich trotzdem relevant ist. Erstens passt das Zielprofil: Rhysida greift gezielt Verwaltungen, Spitäler, Schulen und Hochschulen an. In Österreich sind das Länder, Städte und Gemeinden, Landeskliniken und Krankenanstaltenverbünde, Universitäten und Fachhochschulen, dazu Wasserversorger und Stadtwerke – viele davon mit gewachsenen IT-Landschaften, Fernzugängen für Dienstleister und ohne durchgehende Überwachung am Wochenende. Zweitens rückt die Gruppe näher: Stuttgart im Mai und Berlin im August 2026, zwei deutschsprachige Verwaltungen innerhalb weniger Monate. Drittens ist die Methode generisch: Einloggen mit gestohlenen Zugangsdaten, Erkundung über Tage, Verschlüsselung am Wochenende funktioniert in Linz, Graz oder St. Pölten so gut wie in Berlin. Viertens sind Österreicher auch bei ausländischen Opfern betroffen: Datensätze wie jener aus Berlin mit nach Angaben der Täter 46.522 Verträgen enthalten typischerweise auch Lieferanten, Dienstleister und Partner aus dem Ausland.

Rechtlicher Rahmen. Am 1. Oktober 2026 tritt das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) in Kraft, mit dem Österreich die NIS-2-Richtlinie umsetzt. Es erfasst rund 4.000 wesentliche und wichtige Einrichtungen in 18 Sektoren, darunter Gesundheit, Energie, Trinkwasser und öffentliche Verwaltung, und verpflichtet sie auch zur Absicherung ihrer Lieferkette. Ab diesem Tag gelten die Meldepflichten: Erhebliche Vorfälle sind binnen 24 Stunden als Frühwarnung und binnen 72 Stunden ausführlich an das zuständige CSIRT zu melden, ein Abschlussbericht folgt binnen eines Monats. Bis 31. Dezember 2026 müssen sich betroffene Einrichtungen beim Bundesamt für Cybersicherheit registrieren. Unabhängig davon verlangt Art. 33 DSGVO die Meldung an die Datenschutzbehörde binnen 72 Stunden, bei hohem Risiko nach Art. 34 auch die Benachrichtigung der Betroffenen. Das Bundeskriminalamt rät dazu, jeden Ransomware-Angriff anzuzeigen; von Lösegeldzahlungen raten die Behörden ab.

8. Was österreichische Organisationen jetzt tun sollten

1. Mehrfaktor-Authentifizierung ohne Ausnahme für jeden Zugang von außen: VPN, Webmail, Fernwartung, Cloud-Konsole. Das ist die wirksamste Einzelmaßnahme gegen Rhysida und zugleich Kernanforderung des NISG 2026. 2. Geleakte Zugangsdaten kennen, bevor die Täter sie nutzen – laufendes Monitoring der eigenen Domains in Infostealer-Logs und Leak-Daten. 3. Wochenenden und Fenstertage absichern – Überwachung rund um die Uhr und klare Eskalationswege für Freitagabend, Feiertage und Fenstertage. Nationalfeiertag, 8. Dezember und Weihnachten 2026 sind die nächsten Belastungsproben. 4. Erkennen, bevor verschlüsselt wird – NTDS-Auslesen, gelöschte Ereignisprotokolle und ungewöhnliche Datenabflüsse mit EDR und zentraler Protokollierung sichtbar machen. 5. Dienstleister und Lieferkette einbeziehen – das NISG 2026 verlangt vertragliche Sicherheitsauflagen, protokollierte Zugänge und sofortige Meldepflichten für Partner. 6. Den Ernstfall üben, inklusive Meldungen und Kommunikation – Frühwarnung an das CSIRT binnen 24 Stunden, Meldung an die Datenschutzbehörde, Anzeige, Information Betroffener und Medienarbeit gehören in den Vorfallplan.

Methodik und Grenzen

Grundlage ist eine Vollerfassung des Opferverzeichnisses der Rhysida-Leak-Seite vom 10. September 2026 (285 Einträge, 9. Juni 2023 bis 8. September 2026). Die Wochentagsanalyse bezieht sich auf die Veröffentlichung, nicht auf den Angriff. Aussagen zu Angriffszeitpunkten stützen sich auf öffentlich dokumentierte Einzelfälle und den Sophos Active Adversary Report. Länder- und Branchenverteilungen stammen von ransomware.live und Breachsense, die österreichischen Fallzahlen aus dem Cybercrime-Report 2025 des Bundeskriminalamts. Die Einträge mit Österreich-Bezug wurden anhand von Firmenbuch- und Unternehmensangaben geprüft. Mengen- und Inhaltsangaben sind Behauptungen der Täter. Organisationen, die bezahlt oder sich geeinigt haben, erscheinen nicht; die Zahlen bilden daher eine Untergrenze.

Sie wollen wissen, ob Zugangsdaten Ihres Unternehmens bereits im Darknet zirkulieren, bevor eine Gruppe wie Rhysida sie nutzt? risikomonitor.com überwacht Leak-Seiten, Infostealer-Logs und Untergrundforen laufend und meldet Treffer zu Ihren Domains und Lieferanten – rechtzeitig vor dem NISG 2026. [Jetzt Kontakt aufnehmen](/kontakt)