BERLIN – Es ist ein Alptraum für jeden Berliner, der Wert auf seine Privatsphäre legt. Im „Darknet“, in den dunklen Weiten des Internets, hat eine kriminelle Hackergruppe namens „Rhysida“ 1,44 Millionen hochsensible behördliche und private Dokumente für jedermann frei einsehbar veröffentlicht.

Zuvor hatten die Kriminellen dem Senat ein Ultimatum gestellt und erfolglos ein Lösegeld von 30 Bitcoin – etwa zwei Millionen Euro – gefordert.

Der größte Datendiebstahl in der Geschichte der Berliner Landesverwaltung ein absoluter IT-Super-GAU für die Hauptstadt.

Die Cyberattacke, die am 14. August entdeckt wurde, sprengt die Vorstellungskraft der IT-Experten. Tagelang infiltrierten die Hacker unbemerkt die Computersysteme der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie der Verwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Dann legten sie diese Behörden lahm.

Um eine Ausbreitung auf das gesamte Berliner Hochgeschwindigkeits-Landesnetz zu verhindern, wurden die betroffenen Ressorts tagelang komplett vom Netz genommen und isoliert. Berliner Bürger konnten in dieser Zeit weder Wohngeld beantragen, noch dringliche Auszahlungen vorgenommen werden. Auch das Onlineportal für die anstehende Briefwahl zur Abgeordnetenhauswahl wurde zeitweise  kompromittiert.

Wer hat welchen Schaden erlitten?

Der entstandene Schaden lässt sich in drei Kategorien unterteilen: den immensen Vertrauens- und Sicherheitsverlust für den Staat, die akute Bedrohung der kritischen Infrastruktur und die massiven Risiken für Tausende Privatpersonen.

Experten des Chaos Computer Clubs (CCC) bestätigten nach einer ersten Sichtung des Datenleaks, dass die Täter einen brutalen wohl einen Rundumschlag gelandet hatten.

Unter den 1,44 Millionen Dateien befinden sich über 27.000 Personalakten, Gehaltsabrechnungen, sensible Dokumente zu Disziplinarverfahren, Arbeitszeugnisse und eingescannte Personalausweise.

Betroffen sind schätzungsweise 12.076 Menschen persönlich.

Kriminelle verfügen nun über Unterschriftenproben, Klarnamen, private Telefonnummern und exakte Kontoverbindungen (IBANs) von Angestellten bis hin zur höchsten Führungsebene der Berliner Behörden.

Für die Betroffenen bedeutet dies ein unkalkulierbares, jahrelanges Risiko für Identitätsdiebstahl, gezielte Phishing-Kampagnen und finanziellen Betrug.

Noch gravierender ist allerdings die nationale Sicherheitskomponente

Im Darknet finden sich nun Schwachstellenanalysen zur Berliner Trinkwasserversorgung, Notfallpläne für großflächige Stromausfälle, sensible Unterlagen aus Bundesratsausschüssen sowie detaillierte Geodaten und Kartenmaterial von schutzbedürftigen Objekten. Auch Verträge, interne Passwörter für behördliche Datenbanken im Klartext und Risikoanalysen sind jetzt frei im Netz einsehbar.

Wer sind die Täter?

Hinter dem digitalen Raubzug steckt eine sogenannte Ransomware-Gang namens „Rhysida“.

Die Gruppe, benannt nach einer Gattung giftiger Tausendfüßler, ist den globalen Sicherheitsbehörden seit Mitte 2021 bekannt und agiert hochprofessionell. Sie hat in der Vergangenheit bereits mehrfach Ziele in Nord- und Südeuropa sowie den USA attackiert, darunter auch die Stadt Stuttgart.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Bundesinnenministerium gehen davon aus, dass die Gruppe im aktuellen Fall keine geopolitischen oder staatlich gelenkten Sabotageziele verfolgt.

Es handelt sich um eine rein finanziell motivierte, kriminelle Vereinigung, die mit der Verschlüsselung von Systemen und dem anschließenden Diebstahl sensibler Daten Geld erpressen will. Zwar werden Verbindungen der Hintermänner nach Russland oder in osteuropäische Staaten vermutet, direkte Beweise für eine staatliche Steuerung liegen den Ermittlern jedoch nicht vor.

Was unternimmt der Senat?

Die politische Führung Berlins zeigt sich entschlossen, aber zwei Wochen vor den Abgeordnetenhauswahlen sichtlich angeschlagen. Der (Noch-)Regierende Bürgermeister Kai Wegner (CDU) und Chief Digital Officer Florian Hauer stellten immerhin glaubhaft klar: Berlin lässt sich von Cyberkriminellen nicht erpressen.

Unmittelbar nach der Veröffentlichung trat der IKT-Notfallstab des Landes Berlin zusammen. Zusammen mit einem Großaufgebot an IT-Forensikern, dem Landeskriminalamt (LKA) Berlin und dem BSI werden die abgeflossenen Datenpakete derzeit mit Hochdruck analysiert. Der Senat hat angekündigt, jede identifizierte betroffene Person – egal ob Mitarbeiter oder Bürger – schrittweise und risikobasiert direkt gemäß den Vorgaben der Datenschutzgrundverordnung (DSGVO) zu kontaktieren und zu warnen. Zudem fordern die Behörden alle Betroffenen auf, bei dem kleinsten Verdacht auf Identitätsmissbrauch umgehend Strafanzeige über die Internetwache der Berliner Polizei zu erstatten.

Wie wird verhindert, dass so etwas nochmal passiert?

Der Vorfall deckte eklatante Sicherheitsmängel in der IT-Infrastruktur auf. Die Entdeckung, dass sensible Zugangsdaten in unverschlüsselten Textdateien wie „Passwort.docx“ mit trivialen Kombinationen auf Behördenrechnern schlummerten, sorgt für fassungsloses Kopfschütteln in der Fachwelt.

Um zukünftige Angriffe im Keim zu ersticken, hat der Senat die Sicherheitsarchitektur spürbar hochgefahren. Als Sofortmaßnahme wurde der Homeoffice-Zugang über VPN-Tunnel komplett gekappt. Mitarbeiter können Fachanwendungen vorerst ausschließlich physisch an ihrem Büroarbeitsplatz nutzen, um externe Einfallstore zu schließen.

Das Land Berlin plant zudem eine flächendeckende Umstellung auf modernste Zwei-Faktor-Authentifizierungen (2FA) mittels physischer Schlüssel-Tokens, um Passwörter im Klartext nutzlos zu machen. Parallel dazu laufen intensive Schulungen der Belegschaft, um das Bewusstsein für Phishing-Mails und Social-Engineering-Tricks zu schärfen. Das Landesnetz wird zudem einer kompletten Revision unterzogen, um administrative Systeme strikter von sensiblen Datenbereichen zu trennen.