Rhysida: Die Gruppe hinter dem Berlin-Hack…

risikomonitor.com · Threat Intelligence Briefing · 10. September 2026 · M. Löw-Beer, risikomonitor.com Research

Am Freitag, 4. September 2026, lief das Ultimatum ab. Weil der Berliner Senat die geforderten 30 Bitcoin, rund zwei Millionen Euro, nicht zahlte, stellte die Ransomware-Gruppe Rhysida den erbeuteten Datensatz frei zugänglich ins Darknet: 5,26 Terabyte und 1.439.893 Dateien aus zwei Senatsverwaltungen, darunter nach Angaben der Täter Personalakten, Ordnungswidrigkeitsverfahren, Passwortdateien, Ausweiskopien und eine Schwachstellenanalyse der Berliner Wasserversorgung. Auch Schweizer Medien berichteten ausführlich. Doch wer ist diese Gruppe, wie geht sie vor, und welchen Einfluss hatte sie bisher auf die Schweiz? risikomonitor.com hat das vollständige Opferverzeichnis von Rhysida ausgewertet und alle Einträge mit Schweiz-Bezug einzeln überprüft.

Steckbrief Rhysida (Stand 10. September 2026)

Erstmals beobachtet: 17. Mai 2023 (Verhandlungsportal im Tor-Netz), erste Leak-Einträge im Juni 2023
Akteur dahinter: Vanilla Tempest, auch Vice Society oder Vice Spider genannt, aktiv seit Sommer 2021
Herkunft: russischsprachiges Cybercrime-Umfeld, keine Opfer in Russland und GUS-Staaten, kein Beleg für staatliche Steuerung
Modell: Ransomware-as-a-Service mit doppelter Erpressung und öffentlicher Datenauktion
Opfer: 285 Einträge in unserer Vollerfassung, 40 Länder
Schwerpunkte: USA und Kanada; Bildung, Gesundheitswesen, Verwaltung, Industrie, freie Berufe
Typische Forderung: durchschnittlich rund 1,1 Mio. US-Dollar, Spitzen bei 30 Bitcoin und mehr
Zeitmuster: Angriffe bevorzugt an Wochenenden und ausserhalb der Bürozeiten
Hauptvektor: gültige Zugangsdaten für VPN und Fernzugänge ohne Mehrfaktor-Authentifizierung, daneben Phishing und gefälschte Software-Installer
Schweiz: fünf Einträge mit Schweiz-Zuordnung, davon zwei nachweislich Schweizer Unternehmen

1. Der Fall Berlin

Der Angriff auf das Berliner Landesnetz ist der bisher grösste Schlag von Rhysida gegen eine europäische Verwaltung. Die Täter kopierten nach Erkenntnissen der Forensiker zwischen dem 7. und dem 12. August 2026 Daten aus den Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Klimaschutz und Umwelt. Beide wurden am 14. August vom Landesnetz getrennt und blieben rund neun Tage offline. Rund 50.000 Haushalte mussten auf Wohngeldzahlungen warten; nachdem Passwörter für interne Fachanwendungen im Netz aufgetaucht waren, sperrten mindestens zwei Verwaltungen den Heimarbeitszugang.

Chronologie des Angriffs

Fr, 7. bis Mi, 12. August: Datenabfluss aus zwei Senatsverwaltungen
Fr, 14. August: Trennung der beiden Verwaltungen vom Landesnetz
Fr, 21. August: anonymer Leak-Eintrag «Coming soon» mit 5,79 TB und exakt der später Berlin zugeordneten Kategorienaufschlüsselung
Do, 27. August: Eingang der Lösegeldforderung
Fr, 28. August: Eintrag «Berlin, Germany» auf der Leak-Seite, Mindestgebot 30 Bitcoin, Frist sieben Tage
Fr, 4. September: Fristablauf, Veröffentlichung von 5,26 TB und 1.439.893 Dateien in drei Paketen
Mo, 7. September: Senat teilt mit, die geleakten Verschlusssachen seien in der niedrigsten Einstufung klassifiziert gewesen

Die Chronologie zeigt ein Muster, das sich durch die gesamte Arbeitsweise der Gruppe zieht. Datenabfluss, Vorankündigung, Auktion und Veröffentlichung fielen jeweils auf einen Freitag. Die Täter setzten zudem eine Woche vor dem Eingang der Forderung einen anonymen Teaser auf ihre Seite, der das Opfer nicht nannte, aber dessen Datenbestand bereits exakt beschrieb. Berlin blieb bei seiner Linie und zahlte nicht; der Regierende Bürgermeister erklärte, das Land lasse sich nicht erpressen. Die Bundesbehörden empfehlen genau das. Der Preis dafür ist ein öffentlicher Datensatz, den Forensiker, Journalisten und Kriminelle gleichermassen durchsuchen können.

2. Wer ist Rhysida?

Rhysida ist eine finanziell motivierte Ransomware-Gruppe. Das US-Gesundheitsministerium datiert ihr erstes Auftreten auf den 17. Mai 2023, als das Verhandlungsportal im Tor-Netz online ging. Der Name stammt von einer Gattung tropischer Riesenläufer, die auch das Logo der Leak-Seite ziert. Die Gruppe arbeitet nach dem Modell Ransomware-as-a-Service: Ein Kernteam entwickelt die Schadsoftware und betreibt Infrastruktur, Leak-Seite und Verhandlungsportal, Affiliates dringen in die Netzwerke ein und bringen die Verschlüsselung zur Ausführung. Das erpresste Geld wird geteilt.

Das Erpresserschreiben, eine PDF-Datei namens CriticalBreachDetected.pdf, gibt sich als Hinweis eines «cybersecurity team» aus. Dahinter steht ein hartes Geschäftsmodell: Daten kopieren, Systeme verschlüsseln, Daten versteigern. Die Startseite der Leak-Seite zeigte am 10. September 2026 fünf laufende Auktionen und einen Zähler von 266 Unternehmen. CISA, FBI und MS-ISAC widmeten Rhysida im November 2023 eine gemeinsame Warnung (AA23-319A), die im April 2025 aktualisiert wurde.

Seit wann gibt es die Gruppe? Als Marke seit Mai 2023, die Menschen dahinter sind länger aktiv. Microsoft ordnet die Kampagnen dem Akteur Vanilla Tempest zu, früher DEV-0832, den andere Hersteller Vice Society nennen und der seit Sommer 2021 beobachtet wird. Vice Society setzte fremde Verschlüsselungstrojaner wie HelloKitty, Zeppelin, BlackCat und Quantum Locker ein und fiel durch Angriffe auf Schulen und Hochschulen auf. 2023 verstummte die Leak-Seite von Vice Society genau zu dem Zeitpunkt, als Rhysida auftauchte; Check Point Research dokumentierte im August 2023 weitgehende Übereinstimmungen bei Werkzeugen und Vorgehen.

Eine staatliche Zuordnung gibt es nicht. Die Spuren führen in das russischsprachige Cybercrime-Milieu, Opfer aus Russland und den GUS-Staaten fehlen vollständig. Für eine chinesische oder nordkoreanische Steuerung gibt es keine Belege – Rhysida listete mit Energy China (November 2023), CNPC Peru (Februar 2024) und CNPC USA (Juni 2025) sogar mehrere Einheiten chinesischer Staatskonzerne.

3. Wen trifft Rhysida?

risikomonitor.com hat das Opferverzeichnis am 10. September 2026 vollständig erfasst: 285 Einträge vom 9. Juni 2023 bis zum 8. September 2026. Nach 19 Einträgen im Startmonat Juni 2023 pendelte sich die Gruppe bei sieben bis acht Veröffentlichungen pro Monat ein: 78 Einträge 2023, 86 im Jahr 2024, 94 im Jahr 2025 und 27 bis Anfang September 2026. Zwischen März und Juli 2026 wurde es auffallend ruhig, seit August 2026 ist Rhysida mit acht neuen Opfern zurück, darunter Berlin. Weniger Einträge bedeuten nicht weniger Angriffe, denn auf der Leak-Seite landen nur Organisationen, die nicht zahlen. Zudem wählte die Gruppe 2026 mit Stuttgart (Mai) und Berlin (August) deutlich grössere Ziele als zuvor.

Länder. Rhysida ist vor allem ein nordamerikanisches Problem: Auf die USA entfallen 126 von 283 erfassten Opfern, zusammen mit Kanada mehr als die Hälfte. In Europa führen Deutschland und Italien, dazu Grossbritannien, Frankreich, Spanien, Polen, Slowenien und Ungarn. Ein zweiter Schwerpunkt liegt in Lateinamerika.

Branchen. Bildung (56 bis 58 Opfer) und Gesundheitswesen (41 bis 49) dominieren, dahinter Industrie (rund 30), Verwaltung und Verteidigung, Finanzdienstleistungen und Rechtsberatung. Das Profil ist eindeutig: Organisationen, bei denen grosse Datenbestände, knappe IT-Budgets und hohe Öffentlichkeit zusammenkommen.

Forderungen. Comparitech bezifferte die durchschnittliche Lösegeldforderung im September 2025 auf rund 1,1 Millionen US-Dollar. Die höchsten bekannten Forderungen richteten sich an den Hafen Seattle (rund 5,8 Mio. USD), das Kinderspital Lurie in Chicago und die Verkehrsbehörde von Maryland (je rund 3,4 Mio. USD) sowie an das Land Berlin (30 Bitcoin). Die Stadt Stuttgart sollte laut Berichten rund 330.000 Euro zahlen.

4. Wann schlägt Rhysida zu?

Wo Zeitpunkte bekannt sind, zeigt sich ein klares Muster: British Library am Samstag, 28. Oktober 2023; Hafen Seattle am frühen Samstagmorgen, 24. August 2024; Verkehrsbehörde Maryland am Sonntag, 24. August 2025; Berlin ab Freitag, 7. August 2026. Sophos analysierte für den Active Adversary Report 2026 insgesamt 661 Fälle: 88 Prozent der Ransomware-Payloads kamen ausserhalb der Bürozeiten zur Ausführung, 79 Prozent der Datenabflüsse ebenfalls.

Die Veröffentlichungen verteilen sich über alle Wochentage, mit einer leichten Häufung am Dienstag (18,6 Prozent) und Freitag (16,5 Prozent), Sonntag ist mit 9,5 Prozent der seltenste Tag. Zwischen Angriff und Veröffentlichung vergehen im Mittel rund fünf Wochen – im Fall Berlin waren es 16 Tage nach Ende des Datenabflusses.

5. Angriffsvektoren und Vorgehen

Erstzugang: gültige Zugangsdaten für VPN und Fernzugänge ohne Mehrfaktor-Authentifizierung, Phishing, Ausnutzung von Zerologon (CVE-2020-1472); Zugangsdaten aus Infostealer-Logs und früheren Datenlecks
Erstzugang seit 2025: Malvertising und manipulierte Suchergebnisse mit gefälschtem MSTeamsSetup.exe samt Oyster-Backdoor
Festsetzen und Erkunden: Cobalt Strike, SystemBC, PowerView, Advanced IP Scanner, AnyDesk
Rechteausweitung: Auslesen der Active-Directory-Datenbank mit ntdsutil (NTDS.dit), Impacket
Tarnung: Löschen von Protokollen mit wevtutil, Beenden von Schutzsoftware
Datenabfluss: grosse Datenmengen vor der Verschlüsselung, unter anderem über WinSCP
Verschlüsselung: Verteilung per PsExec, ChaCha20 mit RSA-4096, Endung .rhysida

Wie wichtig gestohlene Zugangsdaten sind, zeigt die Statistik: Bei 33,2 Prozent der Opfer mit identifizierbarer Domain fanden sich Zugangsdaten von Mitarbeitenden in Datenlecks der zwölf Monate vor der Veröffentlichung, für rund die Hälfte werden Funde in Infostealer-Daten ausgewiesen. Ab September 2025 waren die gefälschten Installer mit missbräuchlich erlangten Code-Signing-Zertifikaten signiert; Anfang Oktober 2025 widerrief Microsoft über 200 davon.

6. Das Geschäftsmodell: Auktion statt Verhandlung

Wer nicht zahlt, landet mit Beschreibung, Beispieldokumenten und Countdown auf der Leak-Seite. Die Frist beträgt meist sieben Tage, das Mindestgebot wird in Bitcoin angegeben. Nach Ablauf zeigt ein Fortschrittsbalken den Stand; der Vermerk «All data was sold» markiert angeblich verkaufte Bestände, bei anderen Einträgen veröffentlicht die Gruppe den nicht verkauften Teil mit dem Zusatz «data hunters, enjoy», so auch bei Berlin.

Die Vorankündigung im Fall Berlin ist eine neue Eskalationsstufe. Sie verlängert das Druckfenster und signalisiert dem Opfer schon vor der eigentlichen Forderung, dass die Gruppe öffentlich eskalieren wird. Bereits im Dezember 2025 hatte Rhysida auf dieselbe Weise einen Hersteller von Laborgeräten mit geschwärztem Namen angekündigt, der im Januar 2026 namentlich folgte.

7. Welchen Einfluss hatte Rhysida bisher auf die Schweiz?

Direkte Opfer: fünf Einträge, zwei Schweizer Unternehmen. Tracker ordnen der Schweiz vier Rhysida-Einträge zu, in unserer Vollerfassung kommt ein fünfter hinzu. risikomonitor.com hat alle fünf anhand von Handelsregister, Unternehmensangaben und Presseberichten überprüft:

Amstutz Produkte AG (Juni 2023) – Schweizer Unternehmen. Hersteller chemisch-technischer Reinigungsmittel mit Hauptsitz und Produktion in Eschenbach LU, Vertriebsgesellschaften in München und Feldkirch. Laut Leak-Seite vollständig veröffentlicht.
Kälin Hobeltechnik (Mai 2025) – Schweizer Unternehmen. Handel und Eigenkonstruktion von Holzbearbeitungsmaschinen, Sitz laut Handelsregister in Reinach BL.
Jet-Care International (Januar 2026) – Schweizer Standort. Laboranalytik für Luftfahrt, Industrie und Schifffahrt mit Hauptsitz in Grossbritannien und einem Labor bei Basel; welche Einheit betroffen ist, geht aus dem Eintrag nicht hervor.
Swiss Capitals Group (April 2025) – kein Schweizer Sitz. Peruanisch-schweizerische Holding mit Sitz und Geschäft in Lima, 1,2 TB und 897.947 Dateien auf der Leak-Seite.
Rohner (Februar 2026) – kein Schweizer Unternehmen. Hersteller von Lackierkabinen mit Sitz in Vancouver im US-Bundesstaat Washington.

Die Fehlzuordnungen haben einfache Ursachen: Automatisierte Tracker lesen Länder aus Firmennamen, Logos, Domains oder Beschreibungen ab. Ein Schweizer Kreuz im Logo, ein Familienname wie Rohner oder die Rechtsform «AG» genügen. Umgekehrt klingen Einträge schweizerisch, ohne es zu sein: Die CETOS Services AG ist ein IT-Dienstleister aus Berlin, ESKA Erich Schweizer beschreibt sich selbst als deutscher Hersteller von Sicherungen.

Indirekte Betroffenheit. Schweizer Organisationen können auch dann betroffen sein, wenn das angegriffene Unternehmen im Ausland sitzt. Der Fall Jet-Care zeigt, dass Schweizer Standorte internationaler Gruppen in Mitleidenschaft gezogen werden, ohne dass die Statistik sie der Schweiz zuordnet. Bei der amerikanischen Patentkanzlei Woodard, Emhardt, Henry, Reeves & Wagner wirbt die Gruppe nach eigenen Angaben mit Dokumenten zu Verfahren von Mandanten wie F. Hoffmann-La Roche. Und Datensätze wie jener aus Berlin mit nach Täterangaben 46.522 Verträgen enthalten typischerweise auch Lieferanten, Dienstleister und Partner aus dem Ausland.

Einordnung im Schweizer Lagebild. Rhysida spielt bisher eine Nebenrolle. Dominierend ist Akira: Laut Bundesanwaltschaft, fedpol und BACS wurden bis Oktober 2025 rund 200 Schweizer Unternehmen Opfer von Akira, zeitweise vier bis fünf Fälle pro Woche. Im zweiten Halbjahr 2025 erfasste das BACS 79 freiwillig gemeldete Ransomware-Vorfälle, 26 davon durch Akira. Rhysida kommt in über drei Jahren auf zwei nachweislich Schweizer Opfer, beide KMU aus der Industrie.

Eine Entwarnung wäre dennoch falsch. Erstens passt das Zielprofil: Verwaltungen, Spitäler, Schulen und Hochschulen. Zweitens rückt die Gruppe näher: Stuttgart im Mai, Berlin im August 2026 – zwei deutschsprachige Verwaltungen innerhalb weniger Monate. Drittens ist die Methode generisch: Einloggen mit gestohlenen Zugangsdaten, Erkundung über Tage, Verschlüsselung am Wochenende funktioniert in Luzern so gut wie in Berlin. Viertens ist die Dunkelziffer hoch: Wer still bezahlt, erscheint nie auf der Leak-Seite.

Rechtlicher Rahmen. Für Betreiberinnen kritischer Infrastrukturen gilt seit dem 1. April 2025 eine Meldepflicht nach dem Informationssicherheitsgesetz: Meldung an das BACS innert 24 Stunden nach Entdeckung, fehlende Angaben innert 14 Tagen. Meldepflichtig sind Angriffe unter anderem bei Informationsabfluss oder Erpressung, was bei Rhysida praktisch immer zutrifft. Seit dem 1. Oktober 2025 kann eine unterlassene Meldung mit bis zu 100.000 Franken gebüsst werden; zum Kreis der Meldepflichtigen gehören auch Kantons- und Gemeindeverwaltungen. Unabhängig davon verlangt Art. 24 DSG eine Meldung an den EDÖB bei hohem Risiko für die betroffenen Personen. Die Bundesbehörden raten ausdrücklich davon ab, Lösegeld zu zahlen.

8. Was Schweizer Organisationen jetzt tun sollten

1. Mehrfaktor-Authentifizierung ohne Ausnahme für jeden Zugang von aussen: VPN, Webmail, Fernwartung, Cloud-Konsole. 2. Geleakte Zugangsdaten kennen, bevor die Täter sie nutzen – laufendes Darknet- und Infostealer-Monitoring der eigenen Domains. 3. Wochenenden und Nächte absichern – Überwachung rund um die Uhr und klare Eskalationswege für Freitagabend und Feiertage. 4. Erkennen, bevor verschlüsselt wird – NTDS-Auslesen, gelöschte Ereignisprotokolle und ungewöhnliche Datenabflüsse mit EDR und zentraler Protokollierung sichtbar machen. Berlin zeigt, was es kostet, wenn zwischen Datenabfluss und Isolation eine Woche vergeht. 5. Software nur aus kontrollierten Quellen, Grenzgeräte wie VPN-Gateways und Firewalls zuerst patchen. 6. Den Ernstfall üben, inklusive Kommunikation – Meldungen an BACS und EDÖB, Strafanzeige, Information Betroffener und Medienarbeit gehören in den Vorfallplan.

Methodik und Grenzen

Grundlage ist eine Vollerfassung des Opferverzeichnisses der Rhysida-Leak-Seite vom 10. September 2026 (285 Einträge, 9. Juni 2023 bis 8. September 2026). Die Wochentagsanalyse bezieht sich auf die Veröffentlichung, nicht auf den Angriff. Aussagen zu Angriffszeitpunkten stützen sich auf öffentlich dokumentierte Einzelfälle und den Sophos Active Adversary Report. Die Schweizer Einträge wurden einzeln anhand von Handelsregisterdaten, Unternehmensangaben und Presseberichten verifiziert. Mengen- und Inhaltsangaben sind Behauptungen der Täter. Organisationen, die bezahlt oder sich geeinigt haben, erscheinen nicht; die Zahlen bilden daher eine Untergrenze.

Sie wollen wissen, ob Zugangsdaten Ihres Unternehmens bereits im Darknet zirkulieren, bevor eine Gruppe wie Rhysida sie nutzt? risikomonitor.com überwacht Leak-Seiten, Infostealer-Logs und Untergrundforen laufend und meldet Treffer zu Ihren Domains und Lieferanten. [Jetzt Kontakt aufnehmen](/kontakt)