IT-Sicherheitsvorfälle in Berlin 2025

Wie in den letzten Jahren habe ich den Senat gefragt, wie viele IT-Sicherheitsvorfälle 2025 durch Behörden und Institutionen der Berliner Verwaltung gemeldet wurden (Drucksache 19/24686). Aus der Antwort geht hervor, dass im Zeitraum vom 01.01.2025 bis 31.12.2025 insgesamt acht Meldungen an das Berlin-CERT gegeben wurden. Genauso viele IT-Sicherheitsvorfälle wie 2024, wo ebenfalls 8 gemeldet wurden. Bei den landeseigenen Betrieben wurden zwei IT-Sicherheitsvorfälle gemeldet. Über Details der jeweiligen Vorfälle berichtet der Senat nicht, „Um keine zusätzlichen Bedrohungsvektoren zu geben […]“.

Im Gegensatz zu den Vorjahren berichtet der Senat nicht über Meldungen, die durch das Berlin-CERT veröffentlicht wurden. Das Computer Emergency Response Team kurz Berlin-CERT des ITDZ informiert die Verwaltung über bekannte Sicherheitslücken und Meldungen zur IT-Sicherheit im verwaltungsinternen Netzwerk (Intranet). Das CERT unterstützt aber auch bei Vorfällen, sichert Spuren und unterstützt bei der Schließung der Sicherheitslücke. Im Jahr 2024 informierte der Senat noch über die vom Berlin-CERT veröffentlichten Meldungen und Warnungen. In diesem Jahr wird nun auf das „BSI Grundschutzkompendium DER 2.1 ‚Behandlung von Sicherheitsvorfällen‘ in Verbindung mit BSI. DER 2.3 ‚Bereinigung weitreichender Sicherheitsvorfälle‘“ verwiesen.

Ob weniger Transparenz der richtige Weg ist, um das Vertrauen der Berliner*innen in die Berliner IT-Sicherheit zu erhalten, glaube ich nicht. Auch interessant: Der Senat erfasst nicht mehr, wie viele Meldungen an die Berliner Beauftragte für Datenschutz und Informationsfreiheit gegeben werden.

1. Wie viele IT-Sicherheitsvorfälle wurden 2025 durch Behörden und Institutionen der Berliner Verwaltung gem. § 23 II EGovGBln oder ggf. anderer Rechtsgrundlagen gemeldet?

Gemäß dem etablierten Meldeweg für IT-Sicherheitsvorfälle wurden im Jahr 2025 insgesamt acht Sicherheitsvorfälle durch Behörden und Institutionen der Berliner Verwaltung gemeldet.

2. Wie viele IT-Sicherheitsvorfälle wurden 2025 durch landeseigene Betriebe gem. § 23 II EGovGBln oder ggf. anderer Rechtsgrundlagen gemeldet?

Im Zeitraum vom 01.01.2025 bis zum 31.12.2025 wurden dem Berlin-CERT zwei IT- Sicherheitsvorfälle durch landeseigene Betriebe gem. § 23 Abs. 2 EGovG Bln. gemeldet. Darüber hinaus erfolgte keine Meldung von IT-Sicherheitsvorfällen nach anderen Rechts-
grundlagen.

3. Wie viele der gemeldeten IT-Sicherheitsvorfälle wurden auch an die Berliner Beauftragte für Datenschutz und Informationsfreiheit nach § 51 BlnDSG oder ggf. anderer Rechtsgrundlagen gemeldet?

Für die Bewertung eines IT-Sicherheitsvorfalls werden andere Kriterien herangezogen, als bei der Bewertung eines Datenschutzvorkommnisses. Betroffene Behörden und Einrichtungen melden in eigener Zuständigkeit ihre Datenschutzvorkommnisse an die Berliner Beauftragte für Datenschutz und Informationsfreiheit. Nicht jedes Datenschutzvorkommnis ist ein IT-Sicherheitsvorfall und umgekehrt. Eine gemeinsame Betrachtung liegt dem Senat nicht vor, da die Berliner Beauftragte für Datenschutz und Informationsfreiheit und der Landesbevollmächtigte für Informationssicherheit in jeweils eigener Zuständigkeit die ihnen gemäß maßgeblichen Kriterien gemeldeten Vorkommnisse bearbeiten.

3. Wie viele der gemeldeten IT-Sicherheitsvorfälle wurden auch an die Berliner Beauftragte für Datenschutz und Informationsfreiheit nach § 51 BlnDSG oder ggf. anderer Rechtsgrundlagen gemeldet?

Für die Bewertung eines IT-Sicherheitsvorfalls werden andere Kriterien herangezogen, als bei der Bewertung eines Datenschutzvorkommnisses. Betroffene Behörden und Einrichtungen melden in eigener Zuständigkeit ihre Datenschutzvorkommnisse an die Berliner Beauftragte für Datenschutz und Informationsfreiheit. Nicht jedes Datenschutzvorkommnis ist ein IT-Sicherheitsvorfall und umgekehrt. Eine gemeinsame Betrachtung liegt dem Senat nicht vor, da die Berliner Beauftragte für Datenschutz und Informationsfreiheit und der Landesbevollmächtigte für Informationssicherheit in jeweils eigener Zuständigkeit die ihnen gemäß maßgeblichen Kriterien gemeldeten Vorkommnisse bearbeiten.

4. Wie viele IT-Sicherheitsvorfälle wurden 2025 bekannt, die nicht durch die betroffenen Institutionen oder Unternehmen gemeldet wurden? Welche Konsequenzen hatte ein Ausbleiben von Meldungen?

Es sind keine weiteren IT-Sicherheitsvorfälle bekannt.

5. Welche Empfehlungen hat das CERT des ITDZ in 2025 an betroffene Behörden, Institutionen und Unternehmen ausgesprochen? Wie viele der Empfehlungen wurden umgesetzt und in welchem Zeitraum? (Antwort bitte tabellarisch darstellen)

Das Berlin-CERT hat jeweils die Koordinierung der Bearbeitung und Beseitigung der Sicherheitsvorfälle übernommen. Dabei wurden individuell, je nach Vorfall, die Sachlagen analysiert, und die ermittelten Bedrohungen durch geeignete Gegenmaßnahmen adressiert. Der Prozess der IT-Sicherheitsvorfallbearbeitung erfolgt dabei immer gemäß BSI Grundschutzkompendium DER 2.1 „Behandlung von Sicherheitsvorfällen“ in Verbindung mit BSI DER 2.3 „Bereinigung weitreichender Sicherheitsvorfälle“. Der Prozess beinhaltet unter anderem: Aufbau der Organisationsstruktur zur Behandlung von Sicherheitsvorfällen, Festlegung von Meldewegen, Eindämmung der Auswirkung, Einstufung von Sicherheitsvorfällen, Entscheidung und Umsetzung einer geeigneten Bereinigungsstrategie und Festlegung der Schnittstellen der Sicherheitsvorfallbehandlung zur Behebung. Der IT-Sicherheitsvorfall ist erst dann beendet, wenn ein ausreichender Bericht (inklusive Lessons Learned), erstellt wurde. Die Bearbeitung und Behebung der Sicherheitsvorfälle variierten zwischen 14 Tagen und 8 Monaten, je nach Umfang und notwendigen Maßnahmen. Um keine zusätzlichen Bedrohungsvektoren zu geben, wird zur Risikominimierung hier auf eine detaillierte Aufstellung der einzelnen Angriffe verzichtet.

6. Welche erfolgreichen Angriffe gab es in 2025 auf die Behörden, Institutionen der Berliner Verwaltung und landeseigenen Betriebe und welche Konsequenzen wurden daraus gezogen? (Antwort bitte tabellarisch darstellen)

Je nach Art und Schwere des IT-Sicherheitsvorfalls mussten unterschiedliche Maßnahmen (als Konsequenz) zu seiner erfolgreichen Beseitigung ergriffen werden. Dazu gehörten unter anderem:

• Systemhärtung,
• Aufbau sicherer Kommunikationskanäle,
• Eindämmung betroffener Systeme / Isolierung betroffener Netzabschnitte,
• Hard- und Softwaretausch,
• Schließen des initialen Einfallsvektor,
• Sperrung und Änderung von Zugangsdaten und kryptografischen Algorithmen,
• Neukonzeptionierung und Aufbau der Systeminfrastruktur,
• Bewertung und Neugestaltung von Prozessen und
• Migration der betroffenen Behörden in die Umgebung des gesicherten Berliner Landesnetzes.

Um keine zusätzlichen Bedrohungsvektoren zu geben, wird zur Risikominimierung hier auf eine detaillierte Aufstellung der einzelnen Angriffe verzichtet.