Sieben Tage hatten die Angreifer Zugriff auf zwei Berliner Senatsverwaltungen, 5,79 Terabyte flossen ab, niemand schlug Alarm. Seit dem 4. September 2026 liegen Personalakten, Klartext-Passwörter und Notfallpläne für die kritische Infrastruktur der Hauptstadt im Darknet. Der Fall ist in seiner Dimension außergewöhnlich, in seinem Muster nicht: Dieselbe Konstellation finden wir in Industrieunternehmen, Kliniken und Stadtwerken.Deshalb beginnen wir nicht mit der Chronologie, sondern mit dem, was Sie für Ihre eigene Organisation mitnehmen können. Wer den Fall im Detail nachlesen möchte, findet Ablauf, Datenumfang und Täterprofil weiter unten zum Aufklappen. Sieben Lehren aus dem Berlin-Hack 01 Ein SOC schützt nur, was es sieht In Berlin: Das Land betreibt seit 2022 ein Security Operations Center (SOC) beim IT-Dienstleistungszentrum (ITDZ). Die beiden angegriffenen Verwaltungen waren jedoch nie in die zentrale Umgebung migriert, obwohl das Programm dafür seit 2018 läuft. Bemerkt wurde der Angriff erst am Übergang zum Landesnetz, also dort, wo das ITDZ hinsehen konnte.Für Sie: Inventarisieren Sie alle Netze und Systeme, auch Zukäufe, Fachabteilungs-IT und „vorübergehende“ Insellösungen, und binden Sie genau diese zuerst an Ihre Erkennung an. Eine gehärtete Zentralumgebung neben ungepflegter Restinfrastruktur ist der häufigste Weg hinein. 02 Gültige Zugangsdaten lösen keinen Alarm aus In Berlin: Rhysida steigt typischerweise mit gestohlenen Zugangsdaten über VPN ein, bevorzugt ohne Multi-Faktor-Authentifizierung (MFA). Im Netz fanden die Angreifer zusätzlich Klartext-Passwörter in Office-Dateien, darunter „Passwort.docx“ mit Einträgen wie „Sonnenschein13“. Am 31. August musste das Land die Homeoffice-Zugänge beider Verwaltungen kappen.Für Sie: MFA für jeden Fernzugang ohne Ausnahme, ein Passwortmanager statt Dateien (warum das so oft schiefgeht, zeigt unser Beitrag zu Passwörtern im Klartext), getrennte Administrationskonten und Privileged Access Management. Ein Login mit korrektem Passwort ist nur dann auffällig, wenn jemand Zeit, Ort und Gerät bewertet. 03 Angreifer arbeiten mit Ihren eigenen Werkzeugen In Berlin: Die US-Behörden CISA und FBI beschreiben für Rhysida ein festes Muster: Remote Desktop, PsExec und PowerShell für die Bewegung im Netz, ntdsutil zum Auslesen der Active-Directory-Datenbank, wevtutil zum Löschen der Ereignisprotokolle. Alles Bordmittel von Windows, auf die kein Virenscanner anschlägt.Für Sie: Eine Endpoint Detection and Response (EDR) mit Regeln für Verhalten statt Signaturen: Häufung von Domänenabfragen binnen Minuten, Zugriff auf die AD-Datenbank, gelöschte Protokolle, neue geplante Aufgaben. Jede dieser Aktionen ist für sich harmlos, die Abfolge ist es nicht. 04 Messen Sie, was Ihr Netz verlässt In Berlin: 5,79 Terabyte in fünf Tagen sind rechnerisch mehr als ein Terabyte pro Tag, die eine Behörde nach außen sendet. Ausgewertet hat das niemand. Im Haushalt 2025 hatte das Land zwei Millionen Euro für die Eindringungserkennung gestrichen.Für Sie: Eine Baseline des normalen ausgehenden Verkehrs und ein Alarm bei Abweichungen erkennen Exfiltration nach Stunden, nicht nach Tagen. Network Detection and Response liefert diese Sicht auch für Segmente, in denen kein Agent läuft: Altsysteme, OT, Insellösungen. 05 Segmentierung entscheidet über die Schadenshöhe In Berlin: Ein Einstieg reichte, um an Personalakten, rund 46.500 Verträge, eine KRITIS-Analyse der Trinkwasserversorgung, das CBRN-Rahmenkonzept und Unterlagen aus Bundesratsausschüssen zu gelangen. Alles lag auf erreichbaren Dateiservern.Für Sie: Zonen, Berechtigungen nach Minimalprinzip und die Trennung von Verwaltungs- und Fachnetzen nach Zero-Trust-Prinzipien begrenzen, wie weit ein Klick auf eine Phishing-Mail trägt. Dazu gehört Datenklassifizierung: Als Verschlusssache eingestufte Notfallpläne gehören nicht auf denselben Share wie Bußgeldbescheide. 06 Erkennen ist nicht Reagieren In Berlin: Nach Berichten des Tagesspiegels meldete die Verkehrsverwaltung bereits am 7. August einen ersten Datenabfluss, die Trennung vom Landesnetz erfolgte am 14. August. Der Senat datiert die Entdeckung auf den 14. August. Am 19. August hieß es, es seien keine sensiblen Daten abgeflossen; neun Tage später bestätigte der Senat die Erpressung. Der zuständige Staatssekretär trägt die Gesamtverantwortung, hat aber keine Weisungsbefugnis über die dezentral betriebene IT der Fachverwaltungen.Für Sie: Legen Sie vorab fest, wer auch nachts über eine Netztrennung entscheidet, welche Meldefristen gelten (NIS2: Erstmeldung binnen 24 Stunden) und was Sie am ersten Tag öffentlich sagen. Ein geübter Incident-Response-Prozess verkürzt die Zeit zwischen Verdacht und Trennung von Tagen auf Stunden. 07 Sparen an der Erkennung ist eine Risikoentscheidung der Leitung In Berlin: Der Etat für die Landes-IT sank 2025 von 32,2 auf 18,2 Millionen Euro. Ein weiterer Posten fiel komplett weg: zwei Millionen Euro für die Eindringungserkennung, also genau die Angriffserkennung, die den Datenabfluss hätte sichtbar machen können. Sachverständige hatten 2023 und 2025 im Innenausschuss vor den Folgen gewarnt. Diesen gestrichenen zwei Millionen Euro steht jetzt ein Schaden gegenüber, der sich nicht beziffern lässt: Die veröffentlichten Notfallpläne lassen sich nicht zurückholen.Für Sie: Nach § 38 BSIG müssen Geschäftsleitungen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Wer das versäumt, haftet. Ein gekürztes Security-Budget ist deshalb keine Sparmaßnahme, sondern eine dokumentationspflichtige Risikoentscheidung. Warum der Angriff sieben Tage unbemerkt blieb Die fünf Ursachen liegen offen: keine MFA am Fernzugang, Klartext-Passwörter, Angriffswerkzeuge, die wie Administration aussehen, eine zentrale Erkennung ohne Sicht auf die betroffenen Netze und niemand, der den ausgehenden Verkehr misst. Entscheidend ist, wie sie zusammenwirken.Ein Angreifer mit gültigen Zugangsdaten erzeugt keinen Exploit-Lärm. Er meldet sich an wie ein Mitarbeitender im Homeoffice und arbeitet danach mit Werkzeugen, die in jedem Windows-Netz laufen. Klassische Schutzsysteme, die auf Signaturen und bekannte Schadsoftware achten, haben in dieser Phase nichts zu melden. Sichtbar wird der Angriff nur über Verhalten: ungewöhnliche Anmeldezeiten, eine Häufung von Domänenabfragen, ein Zugriff auf die AD-Datenbank, gelöschte Ereignisprotokolle, ein Datenstrom nach außen, der den Normalwert um ein Vielfaches übersteigt.Genau diese Verhaltenserkennung braucht drei Dinge: Telemetrie aus allen Netzen, Regeln für die Muster und Menschen, die Alarme bewerten. In Berlin fehlte das erste, weil die betroffenen Verwaltungen außerhalb der zentralen ITDZ-Umgebung liefen, und das zweite war 2025 dem Haushalt zum Opfer gefallen. Dass der Angriff überhaupt auffiel, verdankt das Land einer Anomalie am Übergang zum Landesnetz. Der Tagesspiegel spricht von einer Entdeckung durch Zufall.Die sieben Tage sind kein Berliner Sonderfall. Ohne Angriffserkennung vergehen zwischen erstem Zugriff und Reaktion regelmäßig Wochen. Mit einem SOC, das alle Netze sieht und auf Verhalten reagiert, sind es Stunden. Dieser Unterschied entscheidet, ob ein Vorfall ein Ticket bleibt oder zur Schlagzeile wird. Der Fall Berlin im Detail Chronologie, Datenumfang, Täterprofil und Reaktion des Senats zum Aufklappen Wie lief der Angriff ab? Der Ablauf lässt sich aus Senatsangaben und Medienberichten inzwischen gut rekonstruieren. Betroffen sind die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt.DatumEreignis07.08.2026Erster Zugriff auf die Netze der beiden Senatsverwaltungen. Der Datenabfluss beginnt.12.08.2026Ende der Exfiltration nach Angaben des Senats.14.08.2026Das ITDZ Berlin bemerkt ungewöhnliche Netzwerkaktivitäten. Beide Verwaltungen werden am Abend vom Landesnetz getrennt. Nur Telefon, Fax und interne Mail funktionieren noch.17.08.2026Die Senatskanzlei macht den Vorfall öffentlich. Landeskriminalamt, Staatsanwaltschaft und BSI sind eingebunden, ein IKT-Notfallstab tagt täglich.19.08.2026Pressekonferenz: Nach damaligem Kenntnisstand seien keine Daten abgeflossen, „die nicht ohnehin offen zugänglich gewesen wären“.24.08.2026Beide Verwaltungen sind unter verschärften Sicherheitsauflagen wieder am Landesnetz.28.08.2026Rhysida bekennt sich auf ihrer Leak-Seite: 5,79 Terabyte, Forderung 30 Bitcoin (rund 2 Millionen Euro), Frist eine Woche. Der Senat lehnt ab.31.08.2026Die VPN-Zugänge für das Homeoffice beider Verwaltungen werden gekappt, weil Passwörter kompromittiert sind. 12.000 Systeme des Landes werden gescannt.02.09.2026Die Senatskanzlei ordnet für alle Berliner Behörden neue Passwortregeln an: mindestens 16 Zeichen.04.09.2026Das Ultimatum läuft ab. Rhysida veröffentlicht rund 1,44 Millionen Dateien im Darknet.05.09.2026Das BSI warnt vor Folgeangriffen und Hack-and-Leak-Operationen vor der Abgeordnetenhauswahl am 20. September. Der Senat richtet eine Koordinierungsstelle für Betroffene ein. Welche Daten sind abgeflossen? Rhysida hat nach eigenen Angaben rund 1,44 Millionen Dateien kopiert. Der Chaos Computer Club hat nach Sichtung bestätigt, dass der komplette Datensatz öffentlich zugänglich ist. Darunter befinden sich nach Medienberichten:mehr als 5.000 Personalakten, Gehaltslisten, IBANs, Arbeitszeugnisse und eingescannte Ausweisdokumente von Beschäftigtenrund 46.500 Verträge und etwa 80.000 Ordnungswidrigkeitsverfahren mit personenbezogenen Daten von Bürgerinnen und Bürgernetwa 6.000 Dateien mit Zugangsdaten, darunter eine Datei „Passwort.docx“ mit Klartext-Passwörtern wie „Sonnenschein13“eine KRITIS-Analyse der Berliner Trinkwasserversorgung, das CBRN-Rahmenkonzept, den Leitfaden Zivile Verteidigung sowie Schutzraum- und Evakuierungsplanungenvertrauliche Unterlagen aus Bundesratsausschüssen und Ermittlungsunterlagen des LandeskriminalamtsDie Brisanz liegt weniger in der Menge als in der Kombination. Wer Namen, Zuständigkeiten, Telefonnummern, Unterschriften und interne Vorgänge kennt, schreibt glaubwürdige Phishing-Mails. Wer Klartext-Passwörter besitzt, braucht keine Schwachstelle mehr. Und wer Notfallpläne für Umspannwerke und Heizkraftwerke liest, kennt die Schwachpunkte einer Stadt. Manuel Atug von der AG KRITIS weist darauf hin, dass sich dieser Schaden bei physischen Anlagen kaum mehr rückgängig machen lässt. Wer ist Rhysida und wie geht die Gruppe vor? Rhysida ist seit 2023 aktiv und arbeitet als Ransomware-as-a-Service: Die Kerngruppe stellt Schadsoftware und Infrastruktur, Partner führen die Angriffe aus und teilen die Erlöse. Nach Zählung der Fachzeitschrift <kes> listete die Leak-Seite der Gruppe Ende August 2026 rund 280 Opfer, darunter neun in Deutschland. Im Mai 2026 traf es die Stadtverwaltung Stuttgart, 2025 die Welthungerhilfe.Das Vorgehen ist gut dokumentiert. Die US-Behörden CISA und FBI beschreiben in ihrem Advisory AA23-319A ein wiederkehrendes Muster: Der Einstieg erfolgt über externe Zugänge wie VPN mit gültigen, zuvor gestohlenen Zugangsdaten, bevorzugt dort, wo keine Multi-Faktor-Authentifizierung (MFA) aktiv ist, oder über Phishing. Im Netz bewegt sich die Gruppe mit Bordmitteln von Windows: Remote Desktop, PsExec, PowerShell. Sie liest die Active-Directory-Datenbank mit ntdsutil aus, löscht Ereignisprotokolle mit wevtutil und kopiert Daten, bevor sie überhaupt verschlüsselt. Diese doppelte Erpressung macht Backups nicht überflüssig, aber gegen die Veröffentlichung helfen sie nicht.Für Berlin ist der Einstiegsweg offiziell noch nicht bestätigt. Der Tagesspiegel berichtet von einer Phishing-Mail. Sicher ist: Im Netz fanden die Angreifer Klartext-Passwörter in Office-Dateien und damit weitere gültige Zugänge. Wie hat Berlin reagiert? Der Senat lehnte die Forderung von 30 Bitcoin (rund zwei Millionen Euro) ab. Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger erklärten am 28. August: „Das Land Berlin lässt sich nicht erpressen.“ Landeskriminalamt, Staatsanwaltschaft und das Bundesamt für Sicherheit in der Informationstechnik (BSI) ermitteln, ein IKT-Notfallstab tagt täglich.Technisch reagierte das Land in mehreren Schritten: Trennung beider Verwaltungen vom Landesnetz am 14. August, Wiederanbindung unter verschärften Auflagen ab dem 24. August, Kappen der VPN-Zugänge für das Homeoffice am 31. August, Prüfung von 12.000 Systemen des Landes, neue Passwortregeln mit mindestens 16 Zeichen für alle Berliner Behörden ab dem 2. September.Nach der Veröffentlichung richtete die Senatskanzlei eine Koordinierungsstelle unter Staatssekretär Florian Hauer ein, die die Daten sichtet und Betroffene per Brief oder Mail informiert. Das BSI warnt vor gezielten Phishing-Angriffen mit den geleakten Informationen und vor Hack-and-Leak-Operationen vor der Abgeordnetenhauswahl am 20. September. Die Berliner Datenschutzbeauftragte empfiehlt Betroffenen, Passwörter zu ändern, Kontobewegungen zu prüfen und Zwei-Faktor-Authentisierung zu aktivieren. Welche Maßnahmen das Risiko wirksam senken Angriffserkennung rund um die Uhr Unser Managed SOC überwacht Endpoints, Netzwerk, Identitäten und Cloud durchgehend, bewertet Alarme und reagiert, bevor Daten das Netz verlassen. Für Organisationen ohne eigenes Team als Managed Detection and Response. Netzwerk-Sichtbarkeit und Exfiltrations-Erkennung Network Detection and Response erkennt Bewegungen im Netz und ungewöhnlichen ausgehenden Verkehr, auch in Segmenten, die kein Agent abdeckt: Altsysteme, OT, Insellösungen. Identitäten und Zugänge härten MFA für alle Fernzugänge, Privileged Access Management, Passwortmanager und ein sauberes Active Directory ohne Klartext-Zugangsdaten in Dateien. Segmentierung nach Zero-Trust-Prinzipien Wir planen und setzen Netzsegmentierung um, die laterale Bewegung stoppt: Zonen, Mikrosegmentierung und Zugriff nach Minimalprinzip. Incident Response Readiness Playbooks, klare Entscheidungswege, Krisenkommunikation und Übungen. Im Ernstfall übernimmt unser Incident-Response-Team Eindämmung und Forensik. Blinde Flecken finden, bevor Angreifer es tun Penetrationstests und Red Teaming zeigen, wie weit ein Angreifer mit einer Phishing-Mail in Ihrer Umgebung kommt und ob Ihre Erkennung anschlägt. Blinde Flecken finden, bevor Angreifer es tun Penetrationstests und Red Teaming zeigen, wie weit ein Angreifer mit einer Phishing-Mail in Ihrer Umgebung kommt und ob Ihre Erkennung anschlägt. Unsere Einschätzung Der Berliner Fall wird noch Monate nachwirken: Passwörter müssen landesweit gewechselt, 12.000 Systeme geprüft, Betroffene informiert werden. Die veröffentlichten Notfallpläne lassen sich nicht zurückholen. Aus unserer Erfahrung im Incident Response ist der entscheidende Faktor selten die Schwachstelle selbst, sondern die Zeit zwischen erstem Zugriff und Reaktion. Ohne Angriffserkennung sind das Wochen. Mit einem SOC, das alle Netze sieht, reden wir über Stunden. Dieser Unterschied entscheidet, ob ein Vorfall ein Ticket bleibt oder zur Schlagzeile wird.Wenn Sie nicht sicher sind, ob Ihre Erkennung die Muster aus diesem Artikel abdecken würde, oder welche Systeme in Ihrer Umgebung heute niemand überwacht: Genau dafür sind wir da. Wissen Sie, was in Ihrem Netz gerade passiert? Sprechen Sie mit unserem Cyber-Security-Team. Wir prüfen gemeinsam mit Ihnen, welche Systeme heute außerhalb Ihrer Angriffserkennung liegen und wie Sie die Zeit bis zur Reaktion auf Stunden verkürzen. Jetzt Gespräch vereinbaren. Quellen Berliner Beauftragte für Datenschutz und Informationsfreiheit: Hinweise zum „Hackerangriff auf Berlin“ (Stand 4. September 2026)Tagesspiegel: Mehr Daten abgeflossen als bekannt: Hacker waren sieben Tage unbemerkt im Berliner IT-Netzheise online: Berlin: Passwords exfiltrated, 12,000 systems scanned (1. September 2026)ZDFheute: Berlin hat „grob fahrlässig gehandelt“, sagt ein IT-Experte (5. September 2026)netzpolitik.org: Berliner Haushalt 2025: IT-Sicherheit und Verwaltungsdigitalisierung unterm Messer (24. November 2024)CISA, FBI, MS-ISAC: Cybersecurity Advisory AA23-319A, #StopRansomware: Rhysida Ransomware < Zurück zur Übersicht IT Security KRITIS SOC Incident Response
01 Ein SOC schützt nur, was es sieht In Berlin: Das Land betreibt seit 2022 ein Security Operations Center (SOC) beim IT-Dienstleistungszentrum (ITDZ). Die beiden angegriffenen Verwaltungen waren jedoch nie in die zentrale Umgebung migriert, obwohl das Programm dafür seit 2018 läuft. Bemerkt wurde der Angriff erst am Übergang zum Landesnetz, also dort, wo das ITDZ hinsehen konnte.Für Sie: Inventarisieren Sie alle Netze und Systeme, auch Zukäufe, Fachabteilungs-IT und „vorübergehende“ Insellösungen, und binden Sie genau diese zuerst an Ihre Erkennung an. Eine gehärtete Zentralumgebung neben ungepflegter Restinfrastruktur ist der häufigste Weg hinein.
02 Gültige Zugangsdaten lösen keinen Alarm aus In Berlin: Rhysida steigt typischerweise mit gestohlenen Zugangsdaten über VPN ein, bevorzugt ohne Multi-Faktor-Authentifizierung (MFA). Im Netz fanden die Angreifer zusätzlich Klartext-Passwörter in Office-Dateien, darunter „Passwort.docx“ mit Einträgen wie „Sonnenschein13“. Am 31. August musste das Land die Homeoffice-Zugänge beider Verwaltungen kappen.Für Sie: MFA für jeden Fernzugang ohne Ausnahme, ein Passwortmanager statt Dateien (warum das so oft schiefgeht, zeigt unser Beitrag zu Passwörtern im Klartext), getrennte Administrationskonten und Privileged Access Management. Ein Login mit korrektem Passwort ist nur dann auffällig, wenn jemand Zeit, Ort und Gerät bewertet.
03 Angreifer arbeiten mit Ihren eigenen Werkzeugen In Berlin: Die US-Behörden CISA und FBI beschreiben für Rhysida ein festes Muster: Remote Desktop, PsExec und PowerShell für die Bewegung im Netz, ntdsutil zum Auslesen der Active-Directory-Datenbank, wevtutil zum Löschen der Ereignisprotokolle. Alles Bordmittel von Windows, auf die kein Virenscanner anschlägt.Für Sie: Eine Endpoint Detection and Response (EDR) mit Regeln für Verhalten statt Signaturen: Häufung von Domänenabfragen binnen Minuten, Zugriff auf die AD-Datenbank, gelöschte Protokolle, neue geplante Aufgaben. Jede dieser Aktionen ist für sich harmlos, die Abfolge ist es nicht.
04 Messen Sie, was Ihr Netz verlässt In Berlin: 5,79 Terabyte in fünf Tagen sind rechnerisch mehr als ein Terabyte pro Tag, die eine Behörde nach außen sendet. Ausgewertet hat das niemand. Im Haushalt 2025 hatte das Land zwei Millionen Euro für die Eindringungserkennung gestrichen.Für Sie: Eine Baseline des normalen ausgehenden Verkehrs und ein Alarm bei Abweichungen erkennen Exfiltration nach Stunden, nicht nach Tagen. Network Detection and Response liefert diese Sicht auch für Segmente, in denen kein Agent läuft: Altsysteme, OT, Insellösungen.
05 Segmentierung entscheidet über die Schadenshöhe In Berlin: Ein Einstieg reichte, um an Personalakten, rund 46.500 Verträge, eine KRITIS-Analyse der Trinkwasserversorgung, das CBRN-Rahmenkonzept und Unterlagen aus Bundesratsausschüssen zu gelangen. Alles lag auf erreichbaren Dateiservern.Für Sie: Zonen, Berechtigungen nach Minimalprinzip und die Trennung von Verwaltungs- und Fachnetzen nach Zero-Trust-Prinzipien begrenzen, wie weit ein Klick auf eine Phishing-Mail trägt. Dazu gehört Datenklassifizierung: Als Verschlusssache eingestufte Notfallpläne gehören nicht auf denselben Share wie Bußgeldbescheide.
06 Erkennen ist nicht Reagieren In Berlin: Nach Berichten des Tagesspiegels meldete die Verkehrsverwaltung bereits am 7. August einen ersten Datenabfluss, die Trennung vom Landesnetz erfolgte am 14. August. Der Senat datiert die Entdeckung auf den 14. August. Am 19. August hieß es, es seien keine sensiblen Daten abgeflossen; neun Tage später bestätigte der Senat die Erpressung. Der zuständige Staatssekretär trägt die Gesamtverantwortung, hat aber keine Weisungsbefugnis über die dezentral betriebene IT der Fachverwaltungen.Für Sie: Legen Sie vorab fest, wer auch nachts über eine Netztrennung entscheidet, welche Meldefristen gelten (NIS2: Erstmeldung binnen 24 Stunden) und was Sie am ersten Tag öffentlich sagen. Ein geübter Incident-Response-Prozess verkürzt die Zeit zwischen Verdacht und Trennung von Tagen auf Stunden.
07 Sparen an der Erkennung ist eine Risikoentscheidung der Leitung In Berlin: Der Etat für die Landes-IT sank 2025 von 32,2 auf 18,2 Millionen Euro. Ein weiterer Posten fiel komplett weg: zwei Millionen Euro für die Eindringungserkennung, also genau die Angriffserkennung, die den Datenabfluss hätte sichtbar machen können. Sachverständige hatten 2023 und 2025 im Innenausschuss vor den Folgen gewarnt. Diesen gestrichenen zwei Millionen Euro steht jetzt ein Schaden gegenüber, der sich nicht beziffern lässt: Die veröffentlichten Notfallpläne lassen sich nicht zurückholen.Für Sie: Nach § 38 BSIG müssen Geschäftsleitungen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen. Wer das versäumt, haftet. Ein gekürztes Security-Budget ist deshalb keine Sparmaßnahme, sondern eine dokumentationspflichtige Risikoentscheidung.