Ein Cyberangriff muss nicht zwangsläufig sensible Daten stehlen, um erheblichen Schaden anzurichten. Der Angriff auf das Berliner Landesnetz zeigt: Schon die notwendige Isolation einzelner Systeme kann weitreichende Folgen haben. Zwei Senatsverwaltungen waren zeitweise vom Landesnetz und Internet getrennt, E-Mail-Kommunikation und Homeoffice fielen aus, wichtige Verwaltungsleistungen waren beeinträchtigt.

Damit wird deutlich: Cybersecurity endet nicht beim Schutz von Daten. Entscheidend ist auch, ob eine Organisation trotz eines Sicherheitsvorfalls handlungsfähig bleibt. Der Fall Berlin ist ein anschauliches Beispiel für Cyber Resilience und professionelles Krisenmanagement.

Was ist passiert? Der Sicherheitsvorfall im Überblick

Der Angriff auf Teile der Berliner Verwaltung wurde am 14. August 2026 entdeckt. Betroffen waren die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Umwelt und Klimaschutz (Senatskanzlei Berlin – Pressemitteilung zum Cyberangriff).

Als Reaktion wurden beide Verwaltungen aus Sicherheitsgründen vom Landesnetz isoliert – ohne Internetzugang, ohne externen E-Mail-Versand, ohne Homeoffice. Parallel liefen forensische Untersuchungen: Landeskriminalamt, Staatsanwaltschaft Berlin und BSI wurden eingeschaltet, ein Krisenstab koordinierte die Maßnahmen.

Wenn ein Cyberangriff Verwaltungsleistungen lahmlegt

Die Folgen reichten über die betroffenen Verwaltungen hinaus: Die Auszahlung von Wohngeld an mehr als 50.000 Haushalte war zeitweise gefährdet, ebenso Leistungen aus dem Bildungs- und Teilhabepaket und weitere digitale Verwaltungsprozesse.

Das zeigt ein Problem, das auch Unternehmen betrifft: Die Auswirkungen eines Cyberangriffs beschränken sich nie nur auf das kompromittierte System. Ein einzelnes System kann zahlreiche Geschäftsprozesse mit sich reißen – etwa wenn:

• Kunden nicht mehr auf Online-Portale zugreifen können
• Aufträge nicht verarbeitet werden
• Rechnungen nicht erstellt oder bezahlt werden können
• Mitarbeitende von zentralen Systemen abgeschnitten sind
• E-Mail und Kollaborationstools ausfallen
• Lieferketten und externe Dienstleister nicht mehr koordiniert werden können

Cyber Resilience bedeutet deshalb vor allem: auch während und nach einem Angriff handlungsfähig bleiben.

Isolation statt vorschneller Wiederinbetriebnahme

Die Isolation der betroffenen Verwaltungen war eine der wichtigsten Sofortmaßnahmen. Besteht der Verdacht auf eine Kompromittierung, kann eine kontrollierte Netztrennung notwendig sein, um eine weitere Ausbreitung zu verhindern.

Das erzeugt einen klassischen Zielkonflikt: Je stärker Systeme isoliert werden, desto größer die Auswirkungen auf den laufenden Betrieb. Deshalb sollten Unternehmen schon vor einem Vorfall klären:

1. Welche Systeme müssen im Ernstfall sofort isoliert werden?
2. Welche Geschäftsprozesse hängen von ihnen ab?
3. Welche Prozesse müssen auch ohne IT weiterlaufen?
4. Wie wird ohne E-Mail kommuniziert?
5. Welche Ansprechpartner müssen im Krisenfall erreichbar sein?
6. Wer entscheidet über Abschaltung und Wiederanbindung?

Wer diese Fragen erst während des Angriffs beantwortet, verliert wertvolle Zeit.

Wieder online“ heißt nicht „sicher“

Am 23. August 2026 wurden die betroffenen Senatsverwaltungen wieder ans Landesnetz angeschlossen und waren grundsätzlich wieder arbeitsfähig. Gleichzeitig liefen die forensischen Untersuchungen weiter – es bestanden weiterhin Verdachtsmomente, das Berliner IT-System wurde großflächig gescannt.

Das verdeutlicht einen wichtigen Grundsatz: Die Wiederherstellung des Betriebs ist nicht dasselbe wie die vollständige Behebung eines Vorfalls. Unternehmen sollten fünf Phasen unterscheiden:

1. Erkennen – Anomalien frühzeitig identifizieren
2. Eindämmen – betroffene Systeme isolieren
3. Untersuchen – forensisch klären, wie und wo der Angreifer eingedrungen ist und ob Daten abgeflossen sind
4. Wiederherstellen – Systeme kontrolliert und priorisiert reaktivieren
5. Nachbereiten – Ursachen analysieren, Sicherheitsmaßnahmen anpassen

Gerade der letzte Schritt wird in der Praxis oft unterschätzt.

Das eigentliche Problem beginnt nach dem Angriff

Digitalstaatssekretär Florian Hauer sprach im Zusammenhang mit dem Vorfall von „strukturellen Defiziten“ in der IT. Zugleich zeigte sich, wie komplex die Berliner IT-Landschaft ist: Das Landesnetz verbindet rund 600 behördliche und öffentliche Standorte.

Ein Problem, das viele große Organisationen kennen: Je größer und komplexer die IT-Infrastruktur, desto schwieriger lassen sich Abhängigkeiten, Schwachstellen und Angriffspfade vollständig überblicken. Cyber Resilience lässt sich deshalb nicht allein durch Firewalls oder Endpoint-Security erreichen – notwendig ist ein ganzheitlicher Blick auf IT-Infrastruktur, Geschäftsprozesse, Abhängigkeiten, externe Dienstleister, Kommunikationswege, Notfallorganisation, Verantwortlichkeiten, Backup-/Recovery-Prozesse und Krisenkommunikation.

Fünf Handlungsempfehlungen für Unternehmen im Fall eines Cyberangriffs

1. Kritische Geschäftsprozesse identifizieren Welche Prozesse müssen auch bei einem weitreichenden IT-Ausfall weiterlaufen? Abhängigkeiten von IT-Systemen sollten dokumentiert sein.
2. Notfallkommunikation vorbereiten Was passiert, wenn Outlook, Teams, Slack oder das Telefonsystem ausfallen? Ein Notfallplan braucht alternative Kommunikationswege und klare Eskalationsstrukturen.
3. Isolation und Wiederanlauf planen Entscheidend ist nicht nur, wie Systeme wiederhergestellt werden, sondern in welcher Reihenfolge – eine priorisierte Recovery-Strategie verkürzt die tatsächliche Ausfallzeit.
4. Krisen regelmäßig simulieren Ein Notfallhandbuch allein macht noch keine resiliente Organisation. Tabletop Exercises sollten neben der IT auch Management, Kommunikation, Datenschutz, Recht, Fachabteilungen und externe Dienstleister einbeziehen.
5. Nach dem Vorfall nicht einfach zum Tagesgeschäft zurückkehren Die entscheidende Frage lautet nicht nur „Wie kommen die Systeme wieder online?“, sondern: „Warum konnte der Angriff stattfinden – und was muss sich strukturell ändern?“

Fazit: Cybersecurity bedeutet auch Krisenfähigkeit

Der Cyberangriff auf das Berliner Landesnetz zeigt, wie eng Cybersecurity und Business Continuity heute verknüpft sind. Auch wenn nach aktuellem Stand keine sensiblen Daten abgeflossen sind und die Verwaltungen wieder angebunden wurden, hatte der Vorfall konkrete Auswirkungen auf die Handlungsfähigkeit der Verwaltung – die forensischen Untersuchungen laufen weiter.

Die Lehre für Unternehmen: Ein Cyberangriff lässt sich nicht immer verhindern. Entscheidend ist, wie gut eine Organisation vorbereitet ist, ihn zu erkennen, einzudämmen, den Betrieb aufrechtzuerhalten und anschließend sicher wiederherzustellen.

Genau hier setzt das isits-AG-Seminar „Cyber Incident – First Response“ an: Es vermittelt, wie Unternehmen bei Manipulationsverdacht systematisch vorgehen, welche Sofortmaßnahmen nötig sind und wie Beweise gesichert werden – inklusive Einbindung ins Krisenmanagement, Angriffsanalyse und Dokumentation.

Mehr zum Seminar: Cyber Incident – First Response

Jetzt Fachwissen aufbauen: Weiterbildung mit der isits AG 

Die Sicherheit von KI-Systemen erfordert heute fundiertes Fachwissen und konkretes Handeln. Die nächste CYBICS als Event für IT-Sicherheit findet zwar erst im kommenden Jahr wieder statt, doch bis dahin müssen Sie beim Thema KI-Sicherheit keineswegs auf der Stelle treten. 

Wenn Sie Ihre Organisation bereits jetzt effektiv vor neuartigen Bedrohungen schützen möchten, bietet die isits AG International School of IT Security die ideale Qualifizierung: 

Zertifikatskurs: AI Security Professional TÜV 

Das dreitägige Intensivseminar vermittelt Ihnen praxisnah, wie Sie KI-Anwendungen im Unternehmensumfeld gezielt absichern, Angriffsvektoren erkennen und Abwehrmechanismen nach aktuellen Standards implementieren. 

• Abschluss: TÜV zertifizierter Personennachweis 

• Schwerpunkte: KI bedingte Gefahren, Angriffssimulationen, Risikobewertung und Governance 

• Format: Online und Präsenztermine verfügbar 

Mehr Infos unter: AI Security Professional

FAQ: Cyberangriffe und Cyber-Resilience