Update 22:50 Uhr - Das Ultimatum der Hackergruppe Rhysida ist abgelaufen und zahlreiche gestohlene Dateien aus der Berliner Verwaltung stehen inzwischen im Darknet zum Herunterladen bereit. Der Senat verweigerte die geforderten 30 Bitcoin, obwohl die Erpresser mit der Veröffentlichung sensibler Unterlagen gedroht hatten.

Datenpakete sind jetzt erreichbar

Am Freitagnachmittag beendete Rhysida die zuvor gestartete Auktion. Die Gruppe erklärte auf ihrer Seite im Darknet, sämtliche Dateien in einem öffentlich zugänglichen Bereich bereitgestellt zu haben.

Zunächst führte der angebotene Download lediglich zu einer Fehlermeldung. Inzwischen sind nach Informationen des Rundfunks Berlin-Brandenburg jedoch zahlreiche Ordner und mehrere Datenpakete sichtbar. Rund 1,4 Millionen Dateien könnten zugänglich gemacht worden sein.

Die Täter hatten zuvor behauptet, insgesamt 5,79 Terabyte aus dem Berliner Landesnetz gestohlen zu haben. Ob die nun veröffentlichten Pakete tatsächlich die gesamte genannte Datenmenge enthalten, ist noch nicht abschließend geklärt. Auch die Echtheit und Aktualität sämtlicher Dokumente müssen weiter geprüft werden.

Personalakten und Notfallpläne sichtbar

Eine erste Sichtung zeigt, wie weitreichend der Angriff sein könnte. In den veröffentlichten Ordnern sollen sich unter anderem Arbeitszeugnisse, Ausschreibungen, Beurteilungen von Beschäftigten und Personalakten befinden.

Darüber hinaus wurden Dokumente zu Bauangelegenheiten, Bewerbungsverfahren, Stundenzetteln, Wiedereingliederungsmaßnahmen und Betriebsratsangelegenheiten entdeckt. Auch Notfallpläne sollen Bestandteil der veröffentlichten Daten sein.

Der Sprecher des Chaos Computer Clubs, Joachim Selzer, erklärte nach einer ersten Prüfung, dass offenbar der vollständige Datensatz zugänglich gemacht worden sei. Dabei handle es sich um viele interne Unterlagen, die nicht für die Öffentlichkeit bestimmt seien. Eine amtliche Bestätigung, dass wirklich alle von den Tätern behaupteten Dateien veröffentlicht wurden, liegt bislang nicht vor.

Besonders gefährlich können Dokumente mit Namen, Anschriften, Kontaktdaten, Kontoverbindungen oder Unterschriften werden. Kriminelle könnten solche Angaben für Identitätsdiebstahl, maßgeschneiderte Betrugsversuche oder täuschend echt wirkende Nachrichten verwenden.

Senat will Betroffene informieren

Die Berliner Sicherheitsbehörden führen nach Angaben der Senatskanzlei eine intensive Datenprüfung durch. Zusätzlich untersuchen IT-Forensiker im Auftrag des Landes das veröffentlichte Material.

Werden dabei konkret betroffene Personen identifiziert, sollen die zuständigen Senatsverwaltungen sie abhängig vom jeweiligen Risiko und nach den gesetzlichen Vorgaben informieren. Wegen des Umfangs der Daten dürfte die Auswertung allerdings längere Zeit dauern.

Bürger, die Hinweise auf eine Veröffentlichung oder missbräuchliche Nutzung ihrer persönlichen Daten erhalten, sollen Strafanzeige erstatten. Besondere Vorsicht ist bei unerwarteten E-Mails, Anrufen, Zahlungsaufforderungen und Aufforderungen zur Änderung von Passwörtern geboten.

Auch Landesbeschäftigte müssen damit rechnen, dass Kriminelle die erbeuteten Informationen für gezielte Angriffe verwenden. Kennt ein Täter interne Zuständigkeiten, frühere Vorgänge oder persönliche Daten, wirken gefälschte Nachrichten deutlich glaubwürdiger.

Berlin verweigert zwei Millionen Euro

Die Hacker hatten für die Daten 30 Bitcoin verlangt. Das entsprach zum Zeitpunkt der Forderung etwa zwei Millionen Euro. Der Berliner Senat erklärte mehrfach, sich nicht erpressen zu lassen und kein Lösegeld zu zahlen.

Diese Entscheidung entspricht den Empfehlungen von Sicherheitsbehörden. Selbst nach einer Zahlung hätte es keine Garantie gegeben, dass die Täter die Daten löschen. Kopien könnten weiterhin verkauft oder später veröffentlicht werden. Lösegeldzahlungen finanzieren zudem die Infrastruktur der Täter und schaffen Anreize für weitere Angriffe.

Mit dem Ende des Ultimatums ist der Erpressungsfall deshalb nicht abgeschlossen. Einmal veröffentlichte Daten können beliebig kopiert, ausgewertet und mit Informationen aus anderen Quellen verknüpft werden. Ein zuverlässiges Zurückholen aus dem Internet ist nicht mehr möglich.

Politische Aufarbeitung beginnt erst

Von dem Angriff waren zunächst die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt betroffen. Beide Verwaltungen wurden nach Bekanntwerden des Angriffs vom Landesnetz getrennt.

Das Berliner Landesnetz verbindet rund 600 behördliche und öffentliche Standorte. Daraus folgt jedoch nicht, dass alle angeschlossenen Einrichtungen angegriffen wurden oder Daten aus sämtlichen Behörden abgeflossen sind.

Nun muss geklärt werden, wie die Angreifer über mehrere Tage unbemerkt große Datenmengen kopieren konnten. Ebenso offen ist, ob die ausgenutzte Schwachstelle auch in anderen Teilen der Berliner Verwaltung besteht und warum der Abfluss nicht früher erkannt wurde.

Der Vorfall berührt damit ein seit Jahren bekanntes Problem: Die Berliner Verwaltungs-IT ist nicht vollständig zentralisiert. Verschiedene Behörden betreiben Teile ihrer technischen Infrastruktur in eigener Verantwortung. Unterschiedliche Systeme und Zuständigkeiten erschweren einheitliche Sicherheitsstandards.

Nach Kenntnis des Senats handelt es sich bei Rhysida um eine hochprofessionelle Gruppe, die mit Angriffen in Europa und den USA in Verbindung gebracht wird. Belege für Kontakte nach Russland oder zum russischen Staat liegen nicht vor. Eine politische Zuordnung der Tat ist deshalb derzeit nicht möglich.

Das abgelaufene Ultimatum markiert nicht das Ende, sondern den Beginn der eigentlichen Schadensbewertung. Entscheidend wird sein, wie viele Bürger und Beschäftigte betroffen sind, welche sicherheitskritischen Unterlagen veröffentlicht wurden und welche Konsequenzen der Senat aus dem Angriff zieht.

Quelle: Senatskanzlei Berlin; Landeskriminalamt Berlin; Bundesamt für Sicherheit in der Informationstechnik; Rundfunk Berlin-Brandenburg; Deutsche Presse-Agentur; Chaos Computer Club