Mitte August wurde bekannt, dass Angreifer tief im Berliner Landesnetz saßen. Die Ransomware-Gruppe Rhysida stellte Ende August einen Eintrag auf ihre Leak-Seite: rund 5,8 Terabyte Daten aus der Berliner Verwaltung, etwa 1,44 Millionen Dateien. Gefordert werden 30 Bitcoin – zum damaligen Kurs rund zwei Millionen Euro. Zahlt Berlin nicht, wird veröffentlicht. Der Regierende Bürgermeister Kai Wegner erklärte: „Das Land Berlin wird sich nicht erpressen lassen."
In den Schlagzeilen stand danach vor allem eine Zahl: 30 Bitcoin. Und damit lenkt die Berichterstattung den Blick genau auf den Teil der Geschichte, der am wenigsten erklärt.
Bitcoin ist hier das Zahlungsmittel, nicht die Ursache#
Erpressung funktioniert seit jeher: mit Bargeld in Papiertüten, mit Western-Union-Transfers, mit Prepaid-Karten, mit Gutscheincodes. Kein einziger dieser Fälle hat je dazu geführt, dass jemand den Euro für das Problem hielt. Das Lösegeld ist die letzte Etappe eines Angriffs – nicht seine Voraussetzung.
Die Voraussetzung war eine ganz andere: Es lagen 5,8 Terabyte hochsensible Daten so erreichbar herum, dass eine kriminelle Gruppe sie über mehrere Tage hinweg ausleiten konnte, ohne dass es jemand bemerkte. Laut den Angreifern befinden sich darunter:
- 46.500 Verträge – Vertragswerke des Landes Berlin – inklusive Konditionen, Ansprechpartnern und Vertragspartnern.
- 80.000 Ordnungswidrigkeitsverfahren – Verfahren gegen namentlich benannte Bürger, mitsamt der zugehörigen persönlichen Daten.
- Rund 6.000 Dateien mit Zugangsdaten – Der eigentliche Sprengstoff: Zugangsdaten sind kein Schaden, sondern ein Werkzeug für den nächsten Angriff.
- Kritische Infrastruktur und Notfallpläne – Unterlagen, die beschreiben, wie eine Stadt im Ernstfall funktioniert – und wo sie es nicht tut.
Dazu Justizunterlagen und personenbezogene Daten von über 12.000 Menschen. Wie belastbar die Angaben der Täter im Detail sind, lässt sich von außen schwer prüfen – die Größenordnung bestreitet aber niemand.
„Wir lassen uns nicht erpressen" ändert für die Betroffenen nichts#
Die Ansage klingt entschlossen, und sie ist als Verhandlungslinie auch richtig: Wer zahlt, finanziert das Geschäftsmodell und hat trotzdem keine Garantie, dass die Kopien gelöscht werden.
Nur: Sie schützt den Haushalt, nicht die Menschen in den Akten. Die Daten sind bereits abgeflossen. Ob sie veröffentlicht, im Untergrund verkauft oder für zielgerichtete Angriffe ausgewertet werden, entscheidet allein die Gegenseite. Und die Menschen, deren Ordnungswidrigkeitsverfahren, Verträge und Personendaten dort liegen, wurden nie gefragt, ob ihre Daten überhaupt in diese Datenbank sollen. Bei einem Onlineshop kann man sich gegen die Registrierung entscheiden. Gegenüber einer Behörde gibt es kein Opt-out.
Genau das ist die Asymmetrie, die man aus der Informationssicherheit kennt: Wer die Daten sammelt, trägt nicht das Risiko. Ein Unternehmen, das massenhaft Kundendaten verliert, verliert Kunden, Verträge und im Zweifel seine Existenz. In einer Verwaltung folgt auf ein Datenleck eine Pressekonferenz, ein Untersuchungsbericht und ein Budget für Beratung. Niemand kann kündigen, niemand haftet persönlich, niemand kann die Daten zurückziehen. Wo Kosten und Entscheidungen dauerhaft bei verschiedenen Leuten liegen, wird die Datensammlung immer größer und nie besser geschützt.
Und jetzt kommt die interessanteste Datenbank überhaupt#
Seit dem 1. Januar 2026 gilt in der EU DAC8. Jeder Krypto-Dienstleister mit EU-Kunden muss Identität, Wohnanschrift, Geburtsdatum, Steuer-ID und Steueransässigkeit erfassen – dazu Transaktionsarten, Werte, Jahressummen und Transfers an externe Wallet-Adressen. Erster Meldezeitraum ist das Kalenderjahr 2026, der erste automatische Austausch zwischen den 27 Mitgliedstaaten ist für September 2027 vorgesehen. Was das steuerlich bedeutet, haben wir in DAC8: Ab 2026 meldet deine Börse alles ans Finanzamt im Detail beschrieben.
Sicherheitstechnisch ist die Sache schnell erzählt. Aus einzeln harmlosen Feldern entsteht durch Verknüpfung etwas, das es vorher nicht gab:
Was DAC8 faktisch erzeugt:
Eine durchsuchbare Liste von Menschen, bei denen Klarname, Wohnadresse und eine Größenordnung des Vermögens in einem Datensatz stehen – und zwar für ein Vermögen, das sich unter Zwang binnen Minuten unwiderruflich übertragen lässt. Eine Immobilie kann man niemandem am Küchentisch überschreiben. Ein Seed schon.
Diese Liste liegt am Ende nicht an einer Stelle, sondern bei jedem meldepflichtigen Dienstleister, beim Bundeszentralamt für Steuern, in den Finanzverwaltungen von 27 Mitgliedstaaten und in den Systemen der jeweils beauftragten IT-Dienstleister. Die Angriffsfläche ist die Summe aller Beteiligten, nicht der Durchschnitt. Es genügt der schwächste.
Wie schwach das sein kann, muss man nicht theoretisch diskutieren – es gibt Präzedenzfälle, alle aus den letzten Monaten:
- Liechtenstein, 30. Juli 2026: Angreifer kopierten rund 31.000 Datensätze aus dem Verzeichnis wirtschaftlich berechtigter Personen – ausgerechnet aus dem Register, das zur Geldwäschebekämpfung eingeführt wurde. Erbeutet wurden Namen, Geburtsdaten, Staatsangehörigkeit und Wohnsitzland der wirtschaftlich Berechtigten.
- Frankreich, 2026: Eine 32-jährige Mitarbeiterin der Finanzverwaltung soll über die Behördensoftware „Mira" gezielt Daten von Krypto-Investoren abgefragt und für rund 800 Euro pro Datensatz an kriminelle Netzwerke verkauft haben. Frankreich zählt inzwischen statistisch etwa alle 2,5 Tage einen körperlichen Angriff auf Krypto-Halter oder deren Angehörige.
- Berlin, August 2026: siehe oben.
Kein einziger dieser Fälle setzt einen bösartigen Staat voraus. Es genügen ein ungepatchter Server, ein Dienstleister mit schwacher Segmentierung und ein Mensch mit Zugriff und Geldsorgen. Wer eine solche Datenbank anlegt, muss davon ausgehen, dass sie irgendwann kopiert wird – das ist die realistische Erwartung, nicht das Worst-Case-Szenario. Genau mit diesem Argument klagt Bull Bitcoin in Frankreich gegen die Umsetzung der Richtlinie; wir haben die Klage gegen DAC8 hier eingeordnet.
Der Denkfehler in der Debatte#
Die übliche Erzählung lautet: Bitcoin ermöglicht Kriminalität, deshalb braucht es Transparenz. Der Berliner Fall dreht die Kausalität um.
Die Täter brauchten kein Bitcoin, um an die Daten zu kommen. Sie brauchten eine Verwaltung, die mehr Daten hält, als sie absichern kann. Und die Transparenzmaßnahme, die als Antwort verkauft wird, produziert genau die Ware, die solche Gruppen anschließend erbeuten wollen. Eine Meldepflicht, die Vermögen mit Wohnadressen verknüpft, macht Bitcoin-Halter nicht sicherer – sie macht sie auffindbar. Das ist kein moralisches Argument, sondern ein technisches: Datensparsamkeit ist die einzige Sicherheitsmaßnahme, die auch dann noch wirkt, wenn alle anderen versagt haben. Was nicht erhoben wurde, kann nicht geleakt werden.
Was du daraus konkret mitnimmst#
Auf DAC8 hast du keinen Einfluss, auf deine eigene Angriffsfläche schon. Die Reihenfolge ist wichtig – von oben nach unten mit abnehmender Wirkung:
1. Bitcoin selbst verwahren
Was nicht bei einem meldepflichtigen Dienstleister liegt, taucht in keinem Bericht auf. Selbstverwahrung ist keine Grauzone, sondern der Normalfall – siehe Wie erstelle ich eine Bitcoin-Wallet.
2. KYC- und Non-KYC-Bestände trennen
Wer beides in dieselbe Wallet wirft, verknüpft freiwillig, was sonst getrennt geblieben wäre. Zwei Wallets, keine gemeinsamen Transaktionen. Hintergrund: Was ist KYC?
3. Kaufwege kennen, die keine Meldung erzeugen
Peer-to-Peer, Stammtisch, Automat: Es gibt legale Wege, Bitcoin privat zu kaufen, die gar nicht erst Daten entstehen lassen.
4. Davon ausgehen, dass die Daten irgendwann draußen sind
Wenn dein Name mit „Krypto" in einer Behördendatenbank steht, ist die relevante Frage nicht mehr digitale, sondern physische Sicherheit: nicht über Bestände reden, keine Beträge in sozialen Netzwerken, Lieferadressen für Hardware-Wallets bedenken, Notfallzugriff für Angehörige regeln.
Der letzte Punkt wird gern belächelt, ist aber der, der in Frankreich gerade Menschen betrifft, die selbst nie einen Satoshi besessen haben – über die Hälfte der 2026 angegriffenen Personen waren Angehörige von Haltern.
Fazit#
Der Berliner Vorfall ist keine Bitcoin-Geschichte. Er ist ein Lehrstück darüber, was passiert, wenn eine Verwaltung Daten in einem Umfang hortet, für dessen Absicherung sie weder die Mittel noch den Anreiz hat. Das Lösegeld in Bitcoin ist die Fußnote; die 5,8 Terabyte sind der Punkt.
DAC8 ändert an dieser Struktur nichts – es fügt ihr eine Datenbank hinzu, die für Kriminelle wertvoller ist als alles, was in Berlin abgeflossen ist. Nicht weil sie geheimer wäre, sondern weil sie die Frage beantwortet, die eine Erpresserbande am meisten interessiert: Wer besitzt etwas Übertragbares, und wo wohnt er?
Man kann darauf warten, dass Gerichte das korrigieren. Verlassen sollte man sich darauf nicht. Selbstverwahrung, saubere Trennung von KYC- und Non-KYC-Beständen und ein bisschen Zurückhaltung beim Reden über Bestände wirken unabhängig davon, wie irgendein Urteil ausfällt.
Häufige Fragen#
Ist Bitcoin schuld an Ransomware-Angriffen?#
Nein. Bitcoin ist das Zahlungsmittel in der letzten Phase eines Angriffs, nicht seine Ursache. Erpressung gab es lange vor Bitcoin – mit Bargeld, Prepaid-Karten und Auslandsüberweisungen. Voraussetzung für den Berliner Fall war nicht die Existenz von Bitcoin, sondern eine über Tage unbemerkt abfließende Datenmenge von 5,8 Terabyte.
Was wurde in Berlin genau gestohlen?#
Nach Angaben der Gruppe Rhysida rund 5,8 Terabyte beziehungsweise etwa 1,44 Millionen Dateien: circa 46.500 Verträge, 80.000 Ordnungswidrigkeitsverfahren, rund 6.000 Dateien mit Zugangsdaten, Justizunterlagen sowie Dokumente zu kritischer Infrastruktur. Personenbezogene Daten von über 12.000 Menschen sollen enthalten sein. Die Angaben stammen von den Tätern und lassen sich von außen nur eingeschränkt prüfen.
Was hat DAC8 mit dem Berliner Hack zu tun?#
Direkt nichts – strukturell alles. Beides sind staatlich veranlasste Datensammlungen, aus denen Betroffene sich nicht ausklinken können. DAC8 verpflichtet Krypto-Dienstleister ab 2026 dazu, Identität, Wohnanschrift und Vermögensdaten zu erheben und ab 2027 EU-weit auszutauschen. Der Berliner Fall zeigt, was mit solchen Beständen passieren kann.
Bin ich von DAC8 betroffen, wenn ich meine Bitcoin selbst verwahre?#
Gemeldet wird, was bei einem Dienstleister liegt oder über ihn läuft. Wer heute Bitcoin auf einer KYC-Börse kauft, erzeugt dort einen meldepflichtigen Vorgang – auch dann, wenn er anschließend auf die eigene Hardware-Wallet auszahlt (Transfers an externe Adressen werden aggregiert mitgemeldet). Bestände, die nie über einen meldepflichtigen Anbieter gelaufen sind, tauchen in keinem Bericht auf.
Sollte Berlin das Lösegeld zahlen?#
Aus Verhandlungssicht spricht wenig dafür: Eine Zahlung finanziert das Geschäftsmodell und garantiert nicht, dass die Kopien gelöscht werden. Für die Betroffenen ändert die Entscheidung ohnehin wenig – die Daten sind bereits abgeflossen. Das eigentliche Versäumnis liegt vor dem Angriff, nicht in der Reaktion darauf.
Weiterlesen: DAC8: Ab 2026 meldet deine Börse alles ans Finanzamt · DAC8 vor Gericht: Bull Bitcoin klagt · Die DSGVO-Lüge · Die EU Digital ID
Dieser Artikel erschien zuerst auf bitcoinlighthouse.de – dort findest du auch unsere Bitcoin-Workshops in München.
Comments0
No comments yet. Start the conversation.