Berlin a lancé un examen coordonné de près de six téraoctets de données rendues publiques vendredi par le groupe Rhysida afin d'évaluer si ces informations pourraient présenter un risque pour la sécurité. Un groupe de pirates informatiques a diffusé les données après une tentative de rançon infructueuse. La vente aux enchères s'est terminée vendredi avec une mise à prix de 30 bitcoins, mais Berlin n'a pas payé. Selon la chaîne de télévision publique allemande Tagesschau, la base de données contient environ 1,44 million de fichiers pour un poids total de 5,8 téraoctets. Le gouvernement a déclaré samedi que « les documents sont analysés avec la plus grande urgence ». Berlin a mis en place une cellule de crise supplémentaire pour évaluer la fuite de données et apporter son soutien aux deux départements du Sénat concernés. Dans un communiqué de presse, le service de presse et d'information du Land de Berlin a indiqué que si une inspection révèle qu'une fuite pourrait mettre en danger une installation critique ou un organisme gouvernemental sensible, l'organisation concernée en sera immédiatement informée. Alors que les autorités s'efforcent de déterminer l'ampleur de la fuite, de nombreux chercheurs et auteurs en ont déjà analysé des fragments. Selon le Chaos Computer Club, les données comprennent des informations confidentielles relatives à l'état du réseau d'approvisionnement en eau de Berlin, ainsi que des données personnelles du personnel administratif, notamment des références professionnelles et des plans d'urgence.

Le Tagesspiegel aurait découvert des données pertinentes pour la sécurité allemande, telles que des informations provenant de centrales électriques, de dépôts de carburant, de systèmes d'alimentation de secours, de sous-stations électriques, de prisons, de réseaux de distribution d'eau, d'entreprises d'armement, de la Bundeswehr et de l'administration intérieure de Berlin. Une enquête du Spiegel a révélé plus de 550 documents relatifs à l'expansion de la Chancellerie fédérale, dont des avis d'experts, des plans et des déclarations d'organismes gouvernementaux. « Cette cyberattaque est un crime extrêmement grave et une attaque contre Berlin. Dans l'intérêt de la sécurité de Berlin, il est important de vérifier attentivement les informations qui circulent sur les réseaux sociaux, par exemple, et de ne pas diffuser davantage de rumeurs qui ne peuvent être vérifiées à l'heure actuelle », indique le communiqué de presse du gouvernement. Le groupe Rhysida a revendiqué l'attaque la semaine dernière, affirmant avoir volé 5,79 téraoctets de données, dont 46 500 contrats, des courriels, des numéros de téléphone, des mots de passe et des informations classifiées.

Berlin a reçu une demande de rançon, mais a refusé de payer. Le maire de Berlin, Kai Wegner, et la sénatrice de l'Intérieur de Berlin, Iris Spranger, ont déclaré : « L'État de Berlin ne se laissera pas faire chanter. » L'attaque a eu lieu juste avant les élections berlinoises du 20 septembre. Cependant, l'infrastructure électorale n'a pas été endommagée. Suite à la cyberattaque, Berlin a fait appel à la société américaine CrowdStrike pour examiner ses systèmes informatiques à l'aide de l'outil Falcon et déterminer si Rhysida avait effectivement quitté la ville et si elle avait laissé des traces. Cependant, l'enquête ne satisfait pas tout le monde. Elle impliquera plusieurs administrations de district, dont Lichtenberg, qui a refusé à CrowdStrike l'accès à ses serveurs. Selon une lettre interne obtenue par Rundfunk Berlin-Brandenburg, le district affirme que le logiciel aura un « accès pratiquement illimité » à toutes les données, y compris les informations personnelles, et qu'il sera probablement « impossible à supprimer ». Lichtenberg craint également que Falcon n'obtienne l'accès aux appareils de l'entreprise et ne puisse surveiller à la fois ce qui se passe sur les ordinateurs des employés et qui les utilise.

« D’après les retours d’autres districts, cela entraîne parfois des perturbations importantes dans le fonctionnement des procédures, services et programmes spécialisés, et représente un risque important pour la capacité opérationnelle. » Lichtenberg affirme utiliser déjà un produit de sécurité concurrent et n'avoir trouvé aucune preuve de piratage de ses systèmes. L'entreprise a également déclaré qu'elle n'accordera l'accès à CrowdStrike que si le Sénat « assume l'entière responsabilité », y compris tous les coûts. Le bureau du Sénat a informé le district samedi que ce logiciel était sa « seule option » et a déclaré qu'il prendrait en charge les coûts et accepterait la responsabilité de tout dommage résultant de son utilisation, selon des sources.