Nachtrag vom 10. September 2026: Wie kamen die Angreifer hinein?
Inzwischen gibt es neue Hinweise darauf, wie der Angriff auf die Berliner Verwaltung begonnen haben könnte. Und wenn sich diese Angriffskette für den Berliner Fall vollständig bestätigt, ist sie bemerkenswert – denn die Täter mussten offenbar nicht zuerst irgendeine spektakuläre Sicherheitslücke in einer Firewall knacken.
Sie brachten wahrscheinlich einen Menschen dazu, ihnen die Tür von innen zu öffnen.
Das BSI hat Anfang September vor einer Angriffsmethode namens TerminalFix gewarnt und dabei Erkenntnisse aus dem Berliner Cyberangriff einbezogen.
Kann man bei Microsoft nachlesen: https://www.microsoft.com/en-us/security/blog/2026/08/28/terminalfix-campaign-deploys-reverse-tunnel-through-multistage-intrusion/
Und das BSI schreibt auch was dazu: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-287419-1032.html
Ich versuche hier mal, das für normale Menschen (mich eingeschlossen) zu erklären: Die Methode arbeitet mit Social Engineering und einem gefälschten CAPTCHA – also ausgerechnet mit etwas, das wir alle aus dem Internet kennen und das wir mal mehr und mal weniger mögen.
„Beweisen Sie, dass Sie ein Mensch sind“
Das Opfer landet auf einer manipulierten oder entsprechend präparierten Webseite. Dort erscheint eine vermeintliche Sicherheitsprüfung: ein CAPTCHA.
Nur funktioniert diese Prüfung etwas ungewöhnlich.
Der Benutzer soll bestimmte Tastenkombinationen ausführen. Dabei wird das Windows-Terminal beziehungsweise die PowerShell geöffnet. Ein von den Angreifern vorbereiteter Befehl befindet sich bereits in der Zwischenablage. Der Benutzer fügt ihn ein und führt ihn aus.
Vereinfacht sieht das so aus:
Webseite → gefälschtes CAPTCHA → Windows-Terminal öffnen → vorbereiteten Befehl einfügen → Enter drücken
Der Benutzer glaubt, eine Sicherheitsprüfung zu absolvieren.
Tatsächlich führt er gerade selbst einen Befehl der Angreifer auf seinem Rechner aus.
Das ist perfide, weil der Angriff damit zunächst wie eine vom angemeldeten Benutzer bewusst ausgeführte Aktion aussehen kann.
Damit haben die Angreifer aber erst einen Fuß in der Tür
Der erfolgreiche Angriff auf einen einzelnen Arbeitsplatz erklärt noch lange nicht, wie anschließend mehr als eine Million Dateien und mehrere Terabyte Daten aus einer Verwaltung verschwinden können.
Nach dem ersten Zugriff beginnt deshalb die eigentlich interessante Phase.
Die bei TerminalFix beobachtete Schadsoftware kann das interne Netzwerk erkunden. Dazu gehören Informationen aus dem Active Directory – vereinfacht gesagt dem zentralen Benutzer-, Computer- und Rechteverzeichnis eines Windows-Unternehmensnetzes.
Für einen Angreifer sind beispielsweise Antworten auf diese Fragen interessant:
Welche Computer und Server gibt es? Welche Benutzerkonten existieren? Wer besitzt Administratorrechte? Welche Bereiche des Netzes sind miteinander verbunden? Welche Vertrauensstellungen gibt es?
Aus einem kompromittierten Arbeitsplatz kann so möglicherweise ein Sprungbrett in das interne Netzwerk werden.
Der infizierte Rechner ruft die Angreifer sogar selbst an
Besonders interessant ist ein weiterer Bestandteil der analysierten Angriffstechnik.
Die Schadsoftware kann vom kompromittierten Rechner aus eine verschlüsselte Verbindung nach draußen aufbauen. Der Angreifer muss also nicht unbedingt von außen durch die Firewall auf den Rechner zugreifen.
Bildlich gesprochen sitzt der Einbrecher nicht vor dem verschlossenen Verwaltungsgebäude und versucht hineinzukommen.
Jemand im Gebäude stellt ihm ein Telefon hin und ruft ihn an.
Das ist für klassische Firewall-Konzepte problematisch. Verbindungen von außen nach innen werden normalerweise streng kontrolliert. Verbindungen von Arbeitsplätzen ins Internet sind zwangsläufig wesentlich häufiger erlaubt.
Hinzu kommt: Solche Kommunikation kann über Port 443 laufen – denselben Port, über den auch gewöhnlicher verschlüsselter HTTPS-Webverkehr stattfindet.
Und dann kommt die entscheidende Frage
An dieser Stelle muss man zwischen dem unterscheiden, was über die Angriffstechnik bekannt ist, und dem, was für Berlin tatsächlich forensisch bestätigt wurde.
Dass TerminalFix solche Möglichkeiten bietet, bedeutet noch nicht automatisch, dass die Täter beim Berliner Angriff jede davon genauso genutzt haben.
Öffentlich weiterhin nicht vollständig geklärt ist insbesondere:
Wie gelangten die Täter an weitergehende Berechtigungen?
Konnten sie Administratorrechte erlangen?
Von welchen Rechnern gelangten sie auf welche weiteren Systeme?
Welche Rolle spielte die Netzwerksegmentierung?
Welche Server und Netzlaufwerke waren erreichbar?
Und vor allem:
Wie konnten schließlich mehrere Terabyte Daten das Verwaltungsnetz verlassen?
Genau deshalb wäre es zu einfach, die Geschichte irgendwann auf den Satz zu reduzieren:
„Ein Mitarbeiter hat auf etwas Falsches geklickt.“
Menschen machen Fehler. Bei Tausenden Beschäftigten muss eine professionelle IT-Sicherheitsarchitektur damit rechnen, dass irgendwann jemand auf eine überzeugend gemachte Falle hereinfällt.
Die viel wichtigere Frage lautet deshalb:
Warum konnte aus der möglichen Kompromittierung eines einzelnen Arbeitsplatzes ein Sicherheitsvorfall dieser Größenordnung entstehen?
Hier geht es um Netzwerksegmentierung, minimale Benutzerrechte, Mehrfaktor-Authentifizierung, Schutz von Zugangsdaten, Erkennung ungewöhnlichen Verhaltens und die Überwachung großer ausgehender Datenströme.
Das Puzzle wird vollständiger – fertig ist es noch lange nicht
Mit TerminalFix haben wir möglicherweise erstmals eine recht konkrete Erklärung dafür, wie die Angreifer den ersten Fuß in die Tür bekommen haben.
Was danach geschah, ist die wesentlich größere Geschichte.
Denn zwischen einem kompromittierten Arbeitsplatz und einem veröffentlichten Datenbestand von mehreren Terabyte liegen viele weitere Schritte.
Welche davon in Berlin möglich waren, welche Schutzmechanismen versagt haben und wie der enorme Datenabfluss technisch stattfinden konnte, müssen die laufenden forensischen Untersuchungen zeigen.
Genau auf diesen technischen Bericht darf man gespannt sein.
Denn die wichtigste Lehre aus dem Berliner Angriff sollte am Ende nicht lauten:
Mitarbeiter dürfen nicht auf falsche CAPTCHAs hereinfallen.
Sondern:
Ein einzelner Fehler eines Menschen darf nicht dazu führen, dass Angreifer anschließend eine komplette Verwaltung ausräumen können.