Een reeks cyberaanvallen van de hackersgroep Rhysida heeft ernstige kwetsbaarheden blootgelegd in de digitale netwerken van de overheid in Berlijn. Bij de aanvallen zouden vertrouwelijke gegevens zijn buitgemaakt bij lokale overheidsdiensten en onderdelen van de kritieke infrastructuur. Duitse bronnen vermoeden dat de daders banden hebben met Rusland.
De aanvallen kwamen volgens Duitse media aan het licht op 9 september 2026. De omvang van de blootgelegde zwakke plekken gaat mogelijk verder dan de getroffen Berlijnse instellingen. Cybersecuritydeskundige Max Kilger waarschuwde voor de mogelijke aanwezigheid van “belangrijke netwerkverbindingen” tussen de gehackte systemen in de Duitse hoofdstad en andere netwerken van de federale overheid.
Daarmee draait de zaak niet alleen om de diefstal van gegevens bij enkele Berlijnse diensten. Als de gehackte systemen inderdaad verbindingen hebben met netwerken van de federale overheid, kan de aanval inzicht hebben gegeven in een bredere digitale infrastructuur. Het is op dit moment niet vastgesteld dat aanvallers toegang hebben gekregen tot die andere systemen.
Verouderde infrastructuur
Specialisten schrijven de kwetsbaarheid toe aan een verouderde en versnipperde IT-infrastructuur. De eerste toegang zou zijn verkregen via e-mailaccounts van de districtskantoren in Mitte en Neukölln. De belangrijkste inbraak zou vervolgens hebben plaatsgevonden via de Senaatsdienst voor Milieu van de deelstaat Berlijn.
De beschreven werkwijze laat zien hoe zwakke plekken in afzonderlijke overheidsdiensten kunnen worden gebruikt om verder door een netwerk te bewegen. De precieze omvang van de toegang en de volledige hoeveelheid buitgemaakte informatie zijn niet bekendgemaakt. Wel is duidelijk dat de aanvallen niet beperkt bleven tot een enkel losstaand apparaat of één gebruikersaccount.
De beveiligingsproblemen zitten volgens de berichtgeving ook in de manier waarop verschillende overheidsdiensten hun digitale omgeving beheren. In sommige instanties wordt de cyberbeveiliging niet uitgevoerd door gespecialiseerde IT-medewerkers, maar door andere werknemers. Servers zouden bovendien in onvoldoende beveiligde ruimtes staan.
Een ander risico is het interne gegevensverkeer. Een aanzienlijk deel daarvan zou bestaan uit niet-versleutelde Word-documenten. Daardoor kunnen documenten die binnen overheidsnetwerken worden verstuurd gemakkelijker worden ingezien of onderschept wanneer aanvallers eenmaal toegang tot die netwerken hebben verkregen.
Vermoedelijke Russische banden
Duitse bronnen vermoeden een verband tussen de aanvallers en Rusland. Dat verband is niet als definitief vastgesteld gepresenteerd, maar past volgens de veiligheidsduiding bij de zorgen over Russische cyberoperaties tegen Europese landen. Hackergroepen die aan Russische veiligheidsdiensten worden gelieerd, zoeken systematisch naar zwakke plekken in digitale netwerken en kunnen die gebruiken voor het verzamelen van gevoelige informatie of het voorbereiden van nieuwe aanvallen.
De aanval op de Berlijnse overheidsnetwerken maakt daarmee een bredere kwetsbaarheid zichtbaar. Overheidsinstellingen en organisaties die deel uitmaken van de kritieke infrastructuur zijn niet alleen afhankelijk van de beveiliging van afzonderlijke systemen, maar ook van de verbindingen tussen lokale, regionale en federale netwerken. Een zwakke schakel bij een districtskantoor kan daardoor gevolgen hebben die verder reiken dan de eigen organisatie.
Voor Duitsland krijgt die kwetsbaarheid extra gewicht door de politieke positie van het land. De steun aan Oekraïne en de harde sanctiekoers tegen Rusland maken Duitsland tot een belangrijk doelwit voor Russische cyberoperaties, zo luidt de veiligheidsduiding. Cyberaanvallen kunnen daarbij worden ingezet als onderdeel van hybride beïnvloeding, naast pogingen om informatie te verzamelen en digitale verstoringen voor te bereiden.
Druk op Duitse overheden
De Berlijnse zaak vergroot de druk op Duitse overheden om verouderde systemen sneller te vervangen en de beveiliging van staatsinstellingen en kritieke infrastructuur te verbeteren. Daarbij gaat het niet alleen om technische maatregelen, maar ook om duidelijke verantwoordelijkheden, deskundig personeel en beter beveiligde serverruimtes.
Ook versleuteling van intern gegevensverkeer is een voor de hand liggende beveiligingsmaatregel in een omgeving waar vertrouwelijke overheidsdocumenten circuleren. Zolang diensten met versnipperde systemen, onvoldoende gespecialiseerde medewerkers en onbeschermde gegevensstromen blijven werken, kunnen aanvallers na een eerste inbraak mogelijk verder doordringen.
Meer details over de aanval en de kwetsbaarheden in de Berlijnse infrastructuur publiceerde United24 Media. De mogelijke verbindingen met federale overheidsnetwerken en de volledige omvang van het datalek blijven nog onderwerp van onderzoek.
