---
title: "Berlijns lek wordt jouw phishingmail"
date: 2026-09-06
author: "Redactie Phishingchecker"
featured_image: "https://phishingchecker.nl/wp-content/uploads/2026/09/rhysida-berlijn-darknet-phishinggolf.png"
categories:
  - name: "Uncategorized"
    url: "/category/uncategorized.md"
---

# Berlijns lek wordt jouw phishingmail

Vrijdagmiddag om 15.35 uur liep in Berlijn een klok af. Op een pagina in het darknet stond een teller, en daaronder een bedrag: 30 bitcoin. De Berlijnse senaat had al gezegd niet te betalen. Toen de teller op nul stond, veranderde de tekst op die pagina in een uitnodiging: alle bestanden staan nu in het openbare deel, veel plezier met zoeken.

Wat daar sinds vrijdag staat, is de buit van de cyberaanval op de Berlijnse deelstaatoverheid. De hackgroep Rhysida had om ongeveer twee miljoen euro gevraagd en kreeg niets. [Heise beschrijft op basis van dpa](https://www.heise.de/news/Berliner-Senat-zahlt-nicht-sensible-Daten-jetzt-im-Darknet-11442286.html) hoe de veiling werd afgebroken en de download een uur later alsnog werkte.

## Volgens de daders: 1,44 miljoen bestanden, ruim vijfduizend personeelsdossiers

Over de omvang lopen de opgaven uiteen, en dat is het eerste wat opvalt. Heise houdt het op meerdere terabytes. [De Telegraaf noemt bijna zes terabyte](https://www.telegraaf.nl/buitenland/paniek-in-duitsland-om-megahack-waarbij-extreem-gevoelige-gegevens-zijn-buitgemaakt/161020374.html) en meldt dat er noodplannen voor chemische, biologische, radiologische en nucleaire incidenten tussen zitten.

De preciezere getallen komen van de afpersers zelf, en Heise citeert ze: rond 1,44 miljoen bestanden, waaronder naar eigen zeggen meer dan vijfduizend personeelsdossiers, boetedossiers en salarisafrekeningen, vertrouwelijke stukken uit Bondsraadscommissies en kwetsbaarheidsanalyses van de Berlijnse drinkwatervoorziening. De groep pocht bovendien toegangsgegevens en wachtwoorden in platte tekst te hebben, onder meer voor databases van de administratie en van betaaldienstverleners.

Let op wie hier telt. Dat zijn de daders, in een advertentie voor hun eigen buit, en zij hebben er belang bij dat het indrukwekkend klinkt. Geen toezichthouder heeft die aantallen bevestigd. Wat ze wél laten zien, is om wat voor soort bestanden het gaat.

Joachim Selzer, woordvoerder van de Chaos Computer Club, zei tegen dpa dat hij de complete dataset live zag staan en er personeelsdossiers en arbeidsgetuigschriften in aantrof. “Met zulke gegevens kunnen criminelen altijd wel iets”, is zijn formulering. Dat is de nuchtere versie van wat elders paniek heet, en het is precies de zin waar het voor onze lezers om draait.

## Personeelsdossiers zijn geen bijvangst, ze zijn het gereedschap

In de berichtgeving gaat het vooral over de geheime noodplannen. Begrijpelijk, want dat klinkt naar terrorisme en landsverdediging. Maar voor het soort aanval waar de meeste mensen daadwerkelijk mee te maken krijgen, zijn die noodplannen waardeloos en de personeelsdossiers goud.

Een phishingmail wordt namelijk niet geloofwaardig door goede spelling. Hij wordt geloofwaardig door één kloppend detail dat de ontvanger herkent en dat een buitenstaander niet kan weten. De naam van je leidinggevende. Het kenmerk op je laatste beoordelingsgesprek. Het rekeningnummer waarop je salaris binnenkomt. De cyberveiligheidsdienst van de deelstaat gaat volgens De Telegraaf uit van een puur financieel motief achter de hack en waarschuwt voor een verhoogde kans op phishingaanvallen. Wachtwoorden in platte tekst bij betaaldienstverleners, zoals de daders claimen, zijn voor een gewone lezer een groter probleem dan welk noodplan dan ook.

Dat patroon hebben we hier eerder beschreven. Na het CEVA-lek waren de nepberichten over pakketjes ineens [inhoudelijk correct](https://phishingchecker.nl/ceva-datalek-phishing-golf/), en bij het lek rond Britse luchthavens ging het om [8,7 miljoen mailadressen](https://phishingchecker.nl/datalek-britse-luchthavens-parkeren-wifi/). Een lek is zelden het einde van een incident. Het is de grondstof voor het volgende.

## Niet betalen was de juiste keuze, ook nu het slecht afloopt

De Berlijnse senaat heeft goed gehandeld en dat moet gezegd worden op de dag dat het er slecht uitziet. Losgeld betalen koopt geen zekerheid: je krijgt hooguit een belofte van mensen die net hebben bewezen dat afspraken niets voor ze betekenen. Rhysida stond volgens De Telegraaf eerder achter de aanvallen op de Britse nationale bibliotheek en de luchthaven van Seattle. Dat is een groep die van afpersing haar verdienmodel heeft gemaakt, en elk betaald bedrag is de begroting voor de volgende aanval.

Toch klopt de kritiek van de Berlijnse Groenen op dit punt. Wie principieel niet betaalt, verplaatst de rekening naar de ambtenaar wiens dossier nu open ligt en die daar zelf niets over te zeggen had. Van hem wordt het risico gevraagd en aan hem wordt daarna niets aangeboden. Een overheid die weigert te betalen, hoort in dezelfde ademtocht te regelen wat er voor die mensen wél gebeurt: monitoring, een meldpunt, en een telefoonnummer dat wordt opgenomen. Dat deel bleef in Berlijn tot nu toe vaag, en dat is een zwakte in ons eigen standpunt, niet in dat van de tegenpartij.

## Een nummer dat je zelf hebt opgezocht is de enige verdediging die altijd werkt

De aanval die na een lek volgt, komt zelden per mail alleen. Hij komt als telefoontje, met een naam en een detail dat klopt. Daar is één verdediging tegen die altijd werkt: een nummer dat je zelf hebt opgezocht.

Pak vanavond de organisatie waar je het meest te verliezen hebt, meestal je bank, en zoek het officiële telefoonnummer op de achterkant van je pas of op de site die je zelf intypt. Sla dat op in je contacten onder een naam die je herkent. Vanaf dat moment is elk gesprek dat “van de bank” komt te controleren met één handeling: ophangen, en zelf terugbellen naar het nummer dat je al had staan. Wat een beller je ook over jouw dossier weet te vertellen.

## Het teken dat de tweede golf begonnen is

Reken niet op volgende week. Selzer verwacht dat het misbruik eerder op de middellange termijn komt: “Het is nou eenmaal een grote hoeveelheid data, die moet eerst iemand doornemen.” Dat is de onaangename kant van dit soort lekken. De stilte na de publicatie voelt als meevallen, en is in werkelijkheid de tijd die iemand nodig heeft om te sorteren.

Het moment dat er echt toe doet, ligt dus niet in Berlijn maar over een paar maanden in de mailboxen van de mensen in die bestanden. Duiken er dan berichten op die naar interne kenmerken verwijzen, dan is de dataset niet alleen gedownload maar ook doorzocht en verkocht. Dat is het punt waarop een lek bij een overheid verandert in een golf die iedereen raakt die ooit een brief van die overheid kreeg.