Charming Kitten: Iran hackt Justizsenatorin Badenberg

Wer hat Berlins Justizsenatorin Felor Badenberg in den vergangenen Jahren getroffen? Auf diese Frage hat der iranische Geheimdienst jetzt eine Antwort. Die Hackergruppe Charming Kitten, die nach westlichen Geheimdiensterkenntnissen für die iranischen Revolutionsgarden arbeitet, stahl Badenbergs digitalen Terminkalender durch einen präzisen Phishing-Angriff. Der Köder: eine E-Mail, die vorgab, vom Zentralrat der Juden in Deutschland zu stammen.

Was ist Charming Kitten?

Charming Kitten ist kein unbekannter Akteur. Die Hackergruppe, die in Geheimdienstkreisen auch als APT35 oder „Phosphorus” geführt wird, arbeitet nach Erkenntnissen westlicher Geheimdienste im Auftrag der Revolutionsgarden des Iran. Sie ist seit mindestens 2014 aktiv und spezialisiert sich auf hochrangige Persönlichkeiten aus Diplomatie, Wissenschaft und Regierung. Microsoft, das die Gruppe intensiv verfolgt, hat mehrfach öffentlich vor ihr gewarnt.

Seit Ausbruch des Irankriegs im Februar 2026 hat Charming Kitten seine Aktivitäten gegen europäische Ziele ausgeweitet. Die Forschungsplattform GNET dokumentierte im März 2026, dass al-Qaida-nahe Hackergruppen sich in das iranische Hacktivist-Ökosystem eingehängt haben, um von Irans Angriffskapazitäten zu profitieren. Badenberg ist damit kein Einzelfall, sondern Teil einer systematischen Ausweitung iranischer Cyberoperationen nach Europa.

Warum jetzt, warum Badenberg?

Im Fall Badenberg nutzten die Angreifer den Namen des Zentralrats der Juden in Deutschland als Tarnidentität. Das ist kein zufälliger Griff ins Adressbuch: Der Zentralrat ist ein legitimer und hochrangiger Gesprächspartner für Berlins Justizsenatorin, die als Hüterin der Verfassung und der demokratischen Grundrechte gilt. Eine E-Mail scheinbar von dort erregt kaum Verdacht. Erst nachträglich stellte die Senatsverwaltung fest, dass die Absenderadresse gefälscht war. Das Landeskriminalamt Berlin, das IT-Dienstleistungszentrum Berlin (ITDZ), das Cyber Defence Center (CDC) und ein Computer Emergency Response Team (CERT) wurden eingeschaltet; der betroffene Computer wurde sofort vom Netz getrennt.

Badenberg ist für Teheran kein zufälliges Ziel. Die gebürtige Iranerin, die als Kind nach Deutschland kam, war von 2022 bis 2023 Vizepräsidentin des Bundesamts für Verfassungsschutz (BfV) und wechselte im April 2023 als Justizsenatorin in den Berliner Senat. Sie verfügt über nachrichtendienstliche Kenntnisse und ein weitreichendes Kontaktnetz in Sicherheitsbehörden. Genau das macht ihren Kalender für den iranischen Geheimdienst interessant.

Was die Hacker konkret erbeuteten

Gestohlen wurden Badenbergs digitaler Terminkalender sowie persönliche Daten. Der Kalender enthält nach Senatsangaben Termine und Gesprächspartner bis zurück in das Jahr 2023. Das klingt banal, ist es aber nicht. Wer weiß, mit wem eine Justizsenatorin und frühere Verfassungsschutz-Vize in welchem Zeitraum gesprochen hat, kann daraus nachrichtendienstlich verwertbare Muster ableiten: vertrauliche Kontakte, interne Abstimmungen, das Netz informeller Gesprächskanäle zwischen Behörden.

Badenberg kommentierte den Angriff öffentlich: „Der gezielte, offenkundig professionell vorbereitete und mutmaßlich von einem ausländischen Geheimdienst initiierte Angriff zeigt die Mittel, die eingesetzt werden, um kritische Stimmen einzuschüchtern.” Die Formulierung ist präzise gewählt. Badenberg kennt die Funktionslogik nachrichtendienstlicher Operationen aus eigener Erfahrung.

Was das für Berlins Behörden bedeutet

Der Angriff auf Badenberg ist nicht der erste dieser Art in der Hauptstadt und er dürfte nicht der letzte sein. Im Juli 2026 legte ein IT-Ausfall tausende Mitarbeiter der Berliner Justiz- und Innenverwaltung für Stunden lahm. Sicherheitsexperten, die den aktuellen Fall dem Tagesspiegel schilderten, bezeichneten Berlins Behörden als „leichtes Spiel für Hacker” und warfen einzelnen Senatsabteilungen vor, „grob fahrlässig” mit IT-Sicherheit umgegangen zu sein.

Die Schwachstellen sind strukturell: veraltete Softwareumgebungen, fehlende Mehrfaktor-Authentifizierung bei wichtigen Konten, unzureichende Schulungen für Mitarbeitende im Umgang mit Phishing. Dass ein einziger Klick auf einen gefälschten Link den Rechner einer Justizsenatorin kompromittieren konnte, ist weniger ein Einzelversagen als ein Systemversagen. SPD-Abgeordnete forderten nach Bekanntwerden des Angriffs besseren Schutz und eine Überprüfung der IT-Sicherheitsstandards in allen Berliner Behörden.

Ein weiterer Angriff betrifft laut news.de-Berichten das Berliner Landesnetz: Mehrere Senatsabteilungen wurden als Vorsichtsmaßnahme vom Netz getrennt, um weitere Schäden zu verhindern. Das Ausmaß dieses separaten Vorfalls ist noch unklar.

Forensik und Konsequenzen bis September

Die Berliner Senatsverwaltung für Justiz hat angekündigt, Ermittlungen zu Art, Ausmaß und Hintergrund des Angriffs einzuleiten. Ein Sicherheits-Audit aller möglicherweise betroffenen Systeme ist geplant. Experten empfehlen in solchen Fällen eine forensische Vollanalyse innerhalb von 30 bis 60 Tagen. Besonders relevant ist das bei Charming Kitten: Die Gruppe ist bekannt dafür, monatelang unentdeckt in kompromittierten Systemen zu verweilen, bevor sie auffliegt.

Für Badenberg selbst ist der Schaden schwer zu beziffern. Wer weiß, mit wem sie wann gesprochen hat, kann versuchen, ihre Kontakte unter Druck zu setzen, Verhandlungsstrategien vorherzusagen oder den Zeitpunkt sensibler Gespräche zu kennen. In einem aktiven Krieg zwischen Iran und den USA hat das Gewicht, das über Berlin weit hinausgeht.