Zurückschlagen statt besser schützen?

Symbolbild/Montage–keine Aufnahme des Berliner Vorfalls; dargestellte Dateinamen und Behördenkulisse dienen der Illustration.

“Wir werden zurückschlagen, auch im Ausland. Wir werden Angreifer stören und ihre Infrastruktur zerstören.” So kündigte Bundesinnenminister Alexander Dobrindt gegenüber der Süddeutschen Zeitung seinen Kurs gegen Cyberangriffe an, berichtet der SPIEGEL.¹ Das klingt nach digitaler Großmacht. Nach Entschlossenheit. Nach einem Staat, der weiß, was er tut.

Dann ist da Berlin. Aus zwei Senatsverwaltungen wurden millionen hochsensible Daten gestohlen. Als Einstiegsweg beschreibt heise.de eine gefälschte Sicherheitsprüfung: Menschen werden dazu gebracht, eine Anwendung zu öffnen und einen Befehl selbst auszuführen.² Während die Politik vom Zurückschlagen spricht, sollten wir also eher darüber reden, warum solche Angriffe bei staatlichen Stellen überhaupt so weit kommen können.

Denn, unsere Daten liegen beim Staat. Wir können uns diese Verwaltung nicht wie jeden x-beliebigen Onlineshop aussuchen.

Umso dreister ist es, zusätzliche Macht als Antwort zu dieser Sicherheitslücke genügen zu lassen, während die Fragen zum eigenen Versagen offenbleiben. Bürger schulden der Politik keinen Vertrauensvorschuss. Die Politik schuldet ihnen Schutz und Rechenschaft.

Die Sicherheitsprüfung, die den Rechner angreift

Der Trick ist perfide: Eine Webseite behauptet, der Besucher müsse eine Sicherheitsprüfung bestehen. Dafür soll er einen Befehl auf seinem Rechner ausführen. Wer gehorcht, startet keine Prüfung, sondern öffnet der Schadsoftware die Tür. Sicherheit wird vorgetäuscht, um Sicherheit auszuhebeln.²

Heise beschreibt diese Masche als Einstiegsweg in die Berliner Verwaltung. Auch das Bundesamt für Sicherheit in der Informationstechnik bringt seine Arbeit am Berliner Fall mit einer Warnung vor dieser Methode in Verbindung. Der vollständige Ablauf ist öffentlich noch nicht aufgeklärt.²

Über getäuschte Mitarbeiter zu lachen, ist einfach. Es erklärt nur nicht, wie sich ein solcher Einstieg zu einem umfangreichen Datenabfluss ausweiten konnte. Welche Zugriffe waren möglich? Welche Warnungen gab es? Welche Schutzmaßnahmen sollten die Ausführung fremder Befehle verhindern? Und wo hätte sich der Angriff noch begrenzen lassen?

Wenn das Sicherheitskonzept voraussetzt, dass niemals jemand auf einen Trick hereinfällt, ist es kein belastbares Sicherheitskonzept. Menschen machen Fehler. Eine Verwaltung muss dafür sorgen, dass nicht gleich die Vertraulichkeit ganzer Aktenbestände daran hängt. Dafür tragen nicht nur die Beschäftigten am Bildschirm Verantwortung, sondern auch diejenigen, die Schutzmaßnahmen organisieren und finanzieren.

Mehr Befugnisse sind keine Fehlerbehebung

Die Bundesregierung will dem Bundeskriminalamt mehr Möglichkeiten geben, gegen Cyberangriffe vorzugehen. Ihr Gesetzentwurf erlaubt unter bestimmten Voraussetzungen, Datenverbindungen zu blockieren oder umzuleiten und mit dem Angriff verbundene Daten auszulesen, zu löschen oder zu verändern. Teilweise sollen Betroffene davon nichts wissen. Bestimmte Maßnahmen sollen auch dann zulässig sein, wenn Unbeteiligte unvermeidbar mitbetroffen sind.³

Für bestimmte Eingriffe in private Rechner gelten höhere Hürden und ein Richtervorbehalt. Bei Gefahr im Verzug darf zunächst ohne Gericht gehandelt werden; die Entscheidung muss unverzüglich nachgeholt werden. Ohne gerichtliche Bestätigung binnen drei Tagen erlischt diese Anordnung.³ Das sind wichtige Grenzen. Sie machen die Eingriffe aber nicht automatisch harmlos.

“Wir schlagen zurück” passt auf ein Wahlplakat. Wer beim Zurückschlagen womöglich mitgetroffen wird, braucht eine längere Erklärung. Genau die schuldet uns die Regierung. Welche Schäden drohen Unbeteiligten? Wer verhindert Fehlentscheidungen? Und wer übernimmt Verantwortung, wenn der staatliche Eingriff selbst Schaden anrichtet, wenn Unschuldige zu Schuldigen werden?

Diese Pläne gab es schon vor dem Berliner Vorfall. Der Angriff hat sie nicht ausgelöst. Aber er macht die Frage dringlich, die hinter der martialischen Rhetorik leicht verschwindet: Warum sollten wir uns von neuen Befugnissen beeindrucken lassen, solange die Verantwortung für vorhandene Schutzmängel ungeklärt ist?

Russland in der Überschrift, offene Fragen im Text

Die Morgenpost fragt zum Berliner Angriff: “Steckt Russland dahinter?” Im Artikel erklärt Senatssprecherin Christine Richter: “Erkenntnisse über Verbindungen nach Russland oder gar zum russischen Staat liegen nicht vor, können aber auch nicht ausgeschlossen werden.”⁴

Für die große Russland-Frage reicht es also zur Überschrift. Für Erkenntnisse über entsprechende Verbindungen reicht es laut dieser Auskunft nicht. “Nicht ausgeschlossen” ist eine ziemlich niedrige Eintrittskarte in die Schlagzeile.

Natürlich muss eine mögliche Verbindung untersucht werden. Aber selbst wenn sie sich bestätigt: Ein russischer Täter wäre kein Freispruch für mangelhaften Schutz in Berlin. Die Herkunft des Einbrechers ist unerheblich und erklärt nicht, wer für die Sicherung des Hauses verantwortlich ist.

Auch die Reparatur braucht Kontrolle

Selbst bei der Aufklärung gibt es Streit. Eine Software des US-Unternehmens CrowdStrike soll die betroffenen Systeme untersuchen. Lichtenberg ließ zunächst nur eine begrenzte Prüfung zu und verlangte weitere Antworten. Steglitz-Zehlendorf entfernte das Programm wegen technischer Probleme wieder. Dazu kommen laut Tagesspiegel Bedenken, ob bei der Untersuchung sensible Daten an das Unternehmen gelangen könnten.⁵

Damit ist keine solche Übertragung bewiesen. Aber nach einem Datenleck genau wissen zu wollen, wer nun auf welche Daten zugreift, ist keine lästige Erbsenzählerei. Es ist das Mindeste. “Vertrauen Sie uns, es geht um Ihre Sicherheit” sollte gerade dann nicht genügen.

Ja, Angreifer müssen gestoppt werden. Gezielte Eingriffe können dabei helfen. Nur ist ein Gegenschlag kein Ersatz für eine Verwaltung, die ihre Hausaufgaben nicht macht.

Die Verantwortlichen müssen erklären, wer oder was versagt hat und welche Lücken sie schließen–ohne neue Angriffsanleitungen zu veröffentlichen. Für zusätzliche Befugnisse müssen sie einen nachvollziehbaren Nutzen belegen. Dazu gehören enge Grenzen, unabhängige Kontrolle und klare Verantwortung für Schäden.

Wie lange wollen wir uns noch mit der Pose der Entschlossenheit zufriedengeben? Unsere Daten sind kein Übungsmaterial. Unsere Rechte sind kein Vorschuss auf politische Sicherheitsversprechen. Wer mehr Macht verlangt, soll nicht nur erklären, gegen wen er sie einsetzen will. Sondern warum wir glauben sollen, dass er damit verantwortungsvoller umgeht als mit dem Schutz, den er uns längst schuldet.

Quellen

Footnotes

1. SPIEGEL: Dobrindt kündigt Gegenschläge bei Cyberangriffen an, 24.01.2026; Wiedergabe seiner Aussage gegenüber der Süddeutschen Zeitung. ↩

2. heise online: BSI erklärt ersten Angriffsvektor auf Berliner Behörden; BSI: Beitrag zur Vorfallbearbeitung im Land Berlin und zur TerminalFix-Kampagne, abgerufen am 08.09.2026. ↩ ↩² ↩³

3. Bundesregierung: Entwurf eines Gesetzes zur Stärkung der Cybersicherheit, Bundesratsdrucksache 323/26, insbesondere vorgeschlagene §§ 68c–68e BKAG. Beschrieben wird dieser Entwurf, nicht eine festgestellte geltende Rechtslage. ↩ ↩²

4. Berliner Morgenpost: Untersuchungen zu Cyberangriff laufen weiter: Steckt Russland dahinter?, abgerufen am 08.09.2026. ↩

5. Tagesspiegel: Nach Hackerangriff auf Verwaltung: Forensik-Software läuft weiter nicht in allen Berliner Bezirken, abgerufen am 08.09.2026. ↩