Berlin zeigt, warum nicht Bitcoin, sondern DAC8 das eigentliche Problem ist

Nach bisherigen Erkenntnissen steckt die Ransomware-Gruppe Rhysida hinter dem Angriff auf die Berliner Senatsverwaltung. 

Die Täter behaupten, 5,8 Terabyte Daten erbeutet zu haben, darunter 46.500 Verträge, 80.000 Ordnungswidrigkeitsverfahren, Tausende Login-Dateien sowie Unterlagen zu kritischer Infrastruktur, Notfallplänen und Justizangelegenheiten. Berlin bestätigt, dass es einen Datenabfluss gegeben habe.

Die Bande fordert 30 Bitcoin, umgerechnet rund zwei Millionen Euro, und droht andernfalls mit der Veröffentlichung der Daten.

Berlins Regierender Bürgermeister Kai Wegner erklärte: „Das Land Berlin wird sich nicht erpressen lassen.“

Viele Schlagzeilen rücken die Bitcoin-Forderung in den Vordergrund. Das beantwortet jedoch nicht die entscheidende Frage: Wie konnten mutmaßlich derart sensible Informationen aus staatlichen Systemen abfließen?

Berlin ist kein Einzelfall. Erst Ende Juli verschafften sich Unbekannte Zugang zum liechtensteinischen „Verzeichnis wirtschaftlich berechtigter Personen“. Laut der Regierung Liechtensteins wurden Datenkopien zu rund 31.000 Rechtsträgern abgegriffen. Das Register verknüpft natürliche Personen mit Gesellschaften, Stiftungen und Treuhänderschaften – Informationen, die für Phishing, Identitätsdiebstahl, Erpressung und die Auswahl wohlhabender Opfer wertvoll sein können.

Noch deutlicher wird die Gefahr beim Missbrauch durch Insider. In Frankreich sitzt eine Mitarbeiterin der Steuerverwaltung seit Juni 2025 in Untersuchungshaft. Ermittler werfen ihr vor, das interne System „Mira“ genutzt und persönliche Daten von Krypto-Investoren direkt an Kriminelle weitergegeben beziehungsweise verkauft zu haben. Nach Medienberichten fand die Polizei verdächtige Bargeldeinzahlungen und Western-Union-Transfers. Die Beschuldigte räumte die Weitergabe von Informationen ein, bestreitet jedoch, von den Gewaltabsichten des Auftraggebers gewusst zu haben.

Das Problem: Je mehr Mitarbeiter, Dienstleister und Behörden Zugriff erhalten, desto mehr mögliche, auch menschliche, Schwachstellen entstehen.

Genau deshalb ist DAC8 so problematisch. Seit 2026 müssen Krypto-Dienstleister umfangreiche Informationen erheben, die ab 2027 an das Bundeszentralamt für Steuern gemeldet werden.

Die EU-Richtlinie verlangt unter anderem Angaben zu Anschrift, Steueransässigkeit, Steuer-ID und Geburtsdatum. Hinzu kommen nach Kryptowährung aufgeschlüsselte Jahressummen und Stückzahlen zu Käufen, Verkäufen, Tauschgeschäften und Transfers. Die Steuerbehörden tauschen diese Informationen dann grenzüberschreitend aus.

Für Kriminelle wäre eine Kombination aus Identität, Wohnort und Krypto-Aktivität eine fertige Zielliste. Dabei müssen die Daten nicht einmal aktuell sein: Wer seine Bitcoin längst verkauft hat oder nie selbst welche besaß, kann aufgrund alter Datensätze oder familiärer Verbindungen trotzdem bedroht werden.

Bull Bitcoin hat deshalb im Februar 2026 vor dem französischen Conseil d’État gegen die nationale DAC8-Umsetzung geklagt. Das Unternehmen warnt vor einem internationalen „financial-data honeypot“, der Identitäten, Wohnadressen und Krypto-Aktivitäten verknüpft.

Steuerbehörden können bei einem konkreten Verdacht gezielt Informationen anfordern. Eine anlasslose, grenzüberschreitende Datensammlung über Millionen Menschen ist dagegen ein dauerhaftes Sicherheitsrisiko. Mit jedem zusätzlichen Datensatz steigt nicht nur der Informationsgewinn des Staates, sondern auch der mögliche Schaden durch Hacker, korrupte Mitarbeiter oder kompromittierte Dienstleister.