Rhysida gibt an, das gestohlene Material umfasse 46.500 Verträge sowie E-Mails, Telefonnummern, Passwörter und Verschlusssachen. Die Gruppe stellte den Datensatz zur Auktion mit einem Startpreis von 30 Bitcoin (2,3 Millionen US-Dollar) und einem Countdown von rund sieben Tagen.
Die Behörden untersuchen weiterhin Umfang und Inhalt der abgeflossenen Daten. Ausschließen könne man nicht, dass personenbezogene oder andere nicht öffentliche Informationen betroffen sind. Der Abfluss soll zwischen dem 7. und dem 12. August stattgefunden haben. Wegner hatte zuvor erklärt, es gebe keine Hinweise auf eine Kompromittierung sensibler Informationen.
Nach der Entdeckung des Einbruchs trennte Berlin die betroffenen Systeme am 14. August vom weiteren Landesnetz. Beide Senatsverwaltungen blieben arbeitsfähig, doch die Beschäftigten verloren den Zugang zu ihren gewohnten IT-Systemen einschließlich E-Mail und Internet. Ein Teil der Kommunikation lief daraufhin über Telefon, SMS und Fax.
Auch andere öffentliche Leistungen waren betroffen: Einige Bezirksämter konnten vorübergehend keine Anträge auf Wohngeld sowie auf Bildungs- und Teilhabeleistungen bearbeiten, weil sie auf Systeme der betroffenen Stadtentwicklungsverwaltung angewiesen sind.
Der landeseigene IT-Dienstleister ITDZ Berlin war nach eigenen Angaben nicht betroffen. Laut lokalen Medienberichten teilen die beiden Verwaltungen Teile ihrer IT-Infrastruktur und betreiben ihren Abschnitt des Landesnetzes unabhängig vom ITDZ.
Weniger als einen Monat vor der Wahl zum Abgeordnetenhaus am 20. September richtet sich die Aufmerksamkeit auch auf die Wahlinfrastruktur. Innensenatorin Iris Spranger erklärte am Freitag, die Wahlsysteme seien gegen einen Angriff wie den auf die Senatsverwaltungen geschützt. „Nach unserem derzeitigen Kenntnisstand sind von dort keine Daten abgeflossen", sagte Spranger. „Nach Aussage unserer Sicherheitsverantwortlichen ist die Wahlumgebung sicher."
Rhysida ist mindestens seit Mai 2023 aktiv und greift Regierungen, Krankenhäuser, Schulen, Hersteller und Technologieunternehmen an. Die finanziell motivierte Ransomware-Operation stiehlt typischerweise Daten ihrer Opfer und verschlüsselt anschließend deren Systeme, bevor sie Zahlungen in Kryptowährung fordert. Weltweit hat die Gruppe eine Reihe prominenter Einrichtungen aus dem öffentlichen Sektor und dem Gesundheitswesen getroffen. Sicherheitsforscher gehen bislang davon aus, dass die Betreiber wahrscheinlich russischsprachig sind oder aus der weiteren russischen Region operieren; Identitäten und genauer Standort bleiben unklar.