Berlin-Erpressung: Was die 30-BTC-Lösegeldforderung für Krypto-Nutzer bedeutet

Was macht eine Landesregierung, wenn Kriminelle plötzlich 30 Bitcoin verlangen? Genau diese Frage muss die Berliner Verwaltung seit Ende August 2026 beantworten. Die Ransomware-Bande Rhysida hat sich Zugang zum IT-Netzwerk des Landes Berlin verschafft, größere Datenmengen kopiert und fordert laut Medienberichten 30 Bitcoin Lösegeld, andernfalls sollen die gestohlenen Daten im Darknet veröffentlicht oder verkauft werden.

Für Krypto-Nutzer wirft der Fall eine naheliegende Frage auf. Warum ist Bitcoin bei Erpressungsfällen so zuverlässig das Zahlungsmittel der Wahl, und was bedeutet das für die eigene Sicherheit? Dieser Artikel ordnet den Vorfall ein, erklärt den Mechanismus hinter Ransomware-Zahlungen in Bitcoin und zeigt, worauf es für dich als Krypto-Nutzer in Deutschland tatsächlich ankommt.

Was ist passiert

Zwischen dem 7. und 12. August 2026 verschafften sich Angreifer Zugang zum Landesnetz der Berliner Verwaltung und kopierten in diesem Zeitraum umfangreiche Datenbestände. Betroffen waren laut übereinstimmenden Medienberichten zwei Senatsverwaltungen: die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt sowie die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen. Am 14. August bemerkte die Verwaltung den Angriff, am 24. August konnten die betroffenen Systeme wieder ans Netz gebracht werden.

Berichten zufolge gelangten die Angreifer über eine Phishing-E-Mail ins Netzwerk, die ein Mitarbeiter öffnete. Erst am 28. August wurde die eigentliche Lösegeldforderung öffentlich: Die Bande Rhysida verlangt laut Spiegel-Recherchen 30 Bitcoin, umgerechnet rund 2 Millionen Euro, und setzt der Verwaltung eine Frist von rund einer Woche. Zahlt Berlin nicht, drohen die Angreifer, die gestohlenen Daten im Darknet zu veröffentlichen oder zu versteigern.

Rhysida ist keine unbekannte Größe in der Ransomware-Szene. Die Gruppe ist seit rund 2023 aktiv. Sicherheitsexperten nennen als frühere Ziele unter anderem die British Library und, laut CCC-Einschätzung gegenüber dem RBB, die Stadt Stuttgart.

Nach Darstellung der Täter auf ihrer Leak-Seite, über die heise.de und Spiegel berichteten, soll das erbeutete Material unter anderem rund 80.000 Bußgeldverfahren, mehr als 46.000 Verträge sowie knapp 6.000 Dateien mit Zugangsdaten umfassen. Berliner Behörden haben diese Angaben bislang nicht unabhängig bestätigt. Zusätzlich sollen Dokumente aus dem Bereich Notfallmanagement und kritische Infrastruktur sowie einzelne personenbezogene Daten betroffen sein. Die Gesamtmenge der kopierten Daten geben Medien mit rund 5,7 bis 5,8 Terabyte an, teils gerundet auf knapp sechs Terabyte.

Der Regierende Bürgermeister Kai Wegner (CDU) reagierte öffentlich und stellte klar: „Das Land Berlin wird sich nicht erpressen lassen." Mit den Ermittlungen sind die Berliner Staatsanwaltschaft, das Landeskriminalamt Berlin sowie Bundessicherheitsbehörden befasst.

Warum Ransomware-Banden Bitcoin fordern

Der Fall Berlin ist kein Einzelfall: Nahezu jede große Ransomware-Erpressung der vergangenen Jahre endete mit einer Lösegeldforderung in Bitcoin oder einer anderen Kryptowährung. Dafür gibt es nachvollziehbare technische Gründe, die wenig mit Bitcoin selbst und viel mit den Eigenschaften einer Blockchain-Transaktion zu tun haben.

Der wichtigste Punkt zuerst, weil er häufig missverstanden wird: Bitcoin ist nicht anonym, sondern pseudonym. Jede Transaktion ist auf der Blockchain dauerhaft und öffentlich einsehbar, nur die Verknüpfung zwischen einer Wallet-Adresse und einer realen Identität fehlt zunächst. Ermittlungsbehörden können Transaktionsketten deshalb grundsätzlich nachverfolgen, anders als bei Bargeld, das keine solche öffentliche Spur hinterlässt. Für Erpresser bedeutet das kein vollständiges Verschwinden, aber immerhin einen ersten Schritt weg von der eigenen Identität.

Zwei weitere Eigenschaften machen Bitcoin für Erpresser praktikabel: Transaktionen laufen grenzüberschreitend, schnell und unumkehrbar ab, ganz ohne eine Bank, die eine verdächtige Überweisung stoppen könnte. Anschließend nutzen Täter häufig sogenannte Mixer-Dienste oder Cross-Chain-Swaps, um die Spur der Gelder zu verschleiern. Das war in der Vergangenheit deutlich einfacher als eine große Bargeldübergabe oder eine klassische Banküberweisung, bei der Kontoinhaber, Bank und oft auch Behörden frühzeitig eingebunden sind.

Was das für Krypto-Nutzer in Deutschland bedeutet

Zunächst die wichtigste Einordnung: Der Angriff auf Berlin richtete sich gegen die IT-Infrastruktur einer Landesverwaltung, nicht gegen eine Krypto-Börse, eine Wallet oder ein einzelnes Nutzerkonto. Kein Krypto-Halter in Deutschland ist durch diesen konkreten Vorfall persönlich betroffen oder muss um eigene Bestände fürchten.

Der genaue Einfallsweg der Angreifer ist für den Berliner Fall bisher nicht öffentlich bestätigt. Unabhängig vom konkreten Fall gilt: Phishing zählt zu den häufigsten Einstiegspunkten für Cyberangriffe, ob bei einer Landesverwaltung, einem Unternehmen oder einem privaten Krypto-Konto.

Für deine eigene Sicherheit als Krypto-Nutzer heißt das konkret: Prüfe Absenderadressen und Links, bevor du auf Anhänge klickst oder Zugangsdaten eingibst, gerade wenn eine E-Mail Dringlichkeit suggeriert. Verwende für Börsen- und Wallet-Zugänge unterschiedliche, starke Passwörter sowie Zwei-Faktor-Authentifizierung, und vermeide es, sensible Zugangsdaten oder API-Keys zentral an einem einzigen, schlecht gesicherten Ort zu speichern. Genau diese Bündelung sensibler Daten an einem Punkt macht einen erfolgreichen Angriff für Kriminelle erst richtig lohnend, wie der Umfang der Berliner Daten zeigt.

CoinTracking und deine eigene Krypto-Dokumentation

Der Berliner Fall zeigt vor allem eins: Wenn sensible Daten an einem einzigen Ort gebündelt sind, wird ein erfolgreicher Angriff auf genau diesen Ort besonders schwerwiegend. Für deine eigenen Krypto-Bestände gilt ein ähnliches Prinzip in kleinerem Maßstab: Wer seine Coins über mehrere Börsen und Wallets verteilt hält, verlässt sich damit auch auf mehrere unterschiedliche Sicherheitsniveaus.

Genau hier hilft eine unabhängige, eigene Dokumentation. CoinTracking führt deine Transaktionen von über 400 Börsen, Wallets und Blockchains automatisch zusammen und gibt dir eine eigene, plattformunabhängige Übersicht über deine gesamten Bestände. Fällt eine einzelne Plattform aus, wird gehackt oder schränkt den Zugriff ein, bleibt deine eigene Aufzeichnung davon unberührt.

Fazit

Ransomware ist kein Nischenrisiko mehr, sondern trifft Unternehmen und mittlerweile auch Landesverwaltungen mit voller Wucht. Bitcoin bleibt dabei die bevorzugte Zahlungsmethode der Angreifer. Für deine eigenen Krypto-Bestände ändert dieser konkrete Vorfall nichts, er unterstreicht aber, wie wichtig grundlegende Sicherheitsmaßnahmen sind, unabhängig davon, wie viel Krypto du hältst.