Knapp zwei Wochen nach dem Cyberangriff auf das Berliner Landesnetz korrigiert der Senat seine Einschätzung: Im Geschäftsbereich der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt kann ein Abfluss sensibler Daten nicht mehr ausgeschlossen werden. Zuvor hatte die Landesregierung nur von frei verfügbaren Geodaten gesprochen.
Bei der Cyberattacke auf das Berliner Landesnetz sind womöglich doch sensible Daten abgeflossen. Die Senatskanzlei teilte mit, dass im Geschäftsbereich der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt nicht ausgeschlossen werden könne, dass auch personenbezogene oder sonstige nicht-öffentliche Daten betroffen seien [1]. Inhalt und Umfang der betroffenen Daten würden derzeit noch geprüft.
Noch in der vergangenen Woche hatte der Senat erklärt, nach ersten Erkenntnissen seien keine sensiblen Daten abgeflossen; bislang war nur von Geodaten die Rede, die ohnehin im Netz frei verfügbar seien [1]. Die neue Einschätzung markiert damit eine deutliche Korrektur des bisherigen Erkenntnisstands.
Der neue Erkenntnisstand
Die Senatskanzlei erhielt nach Angaben einer Sprecherin am 25. August entsprechende Hinweise; am 26. August wurde der Datenabfluss durch die betroffene Senatsverwaltung bestätigt [2]. Der Zeitpunkt des Datenabflusses lag den Angaben zufolge vor dem 14. August, also bevor die beiden betroffenen Senatsverwaltungen vom Landesnetz abgetrennt wurden [1].
Der Hackerangriff war am 14. August entdeckt worden. An diesem Freitag wurden die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt aus Sicherheitsgründen vom Landesnetz isoliert, um weiteren Schaden abzuwenden [3]. Nach Informationen des Tagesspiegels hatte die Senatsverkehrsverwaltung bereits am 7. August erstmals einen Datenabfluss gemeldet – die Angreifer waren demnach rund sieben Tage unbemerkt im Berliner IT-Netz, bevor die Behörden getrennt wurden [2].
Lesen Sie auchCyberangriff auf Berliner Landesnetz: Zwei Senatsverwaltungen isoliert→
Warum der Senat zunächst nur von Geodaten sprach
Die anfängliche Einschätzung des Senats, es seien lediglich frei verfügbare Geodaten abgeflossen, beruhte auf den ersten Ergebnissen der forensischen Untersuchungen. Diese Annahme gilt nun als überholt. Der Tagesspiegel berichtete zuvor, dass die Angreifer offenbar gezielt auf Berliner Geodaten abzielten, die öffentlich zugänglich sind [2]. Die laufenden Untersuchungen hätten jedoch weitere Datenabflüsse zutage gefördert, hieß es aus der Senatskanzlei [2].
Staatssekretär Florian Hauer, Chief Digital Officer des Landes Berlin, räumte indirekt ein, dass der Senat weiterhin im Unklaren über das Ausmaß des Angriffs ist: „Sobald wir belastbare Erkenntnisse zum Umfang und Inhalt der Daten haben, werden wir die zuständigen parlamentarischen Gremien und Stellen informieren“, erklärte er [1]. Derzeit gehe er davon aus, dass der Angriff eingedämmt werden konnte [1].
Forensik und Notfallstab laufen weiter
Die Aufarbeitung des Vorfalls dauert an. „Die forensischen Untersuchungen und das Scanning des Landesnetzes Berlin dauern jedoch bis auf Weiteres an. Auch der IKT-Notfallstab bleibt bis auf Weiteres aktiv“, sagte Hauer [1]. Nach Tagesspiegel-Informationen sind zahlreiche Mitarbeiter des US-Unternehmens CrowdStrike mit der Untersuchung des Angriffs befasst; da sämtliche Senatsverwaltungen und Landesbehörden von dem Scan umfasst sind, dürfte die Kontrolle noch Tage anhalten [2].
Eingeschaltet sind zudem das Landeskriminalamt Berlin, die Staatsanwaltschaft Berlin und das Bundesamt für Sicherheit in der Informationstechnik (BSI) [3]. Die Staatsanwaltschaft hat ein Ermittlungsverfahren eingeleitet [3]. Der IKT-Notfallstab steht unter Leitung des Landesbevollmächtigten für Informationssicherheit [3].
Folgen für die Verwaltung
Die beiden betroffenen Senatsverwaltungen waren am vergangenen Sonntag wieder ans Landesnetz genommen worden und gelten seither als „grundsätzlich arbeitsfähig“ [2]. Nach Tagesspiegel-Informationen stimmt das nur zum Teil: Während einzelne Mitarbeiter wieder störungsfrei arbeiten können, berichten andere von massiven Einschränkungen und nutzen teils private Internetzugänge für das berufliche Surfen – was neue Risiken für die IT-Sicherheit schafft [2].
Der Angriff hatte auch praktische Folgen für die Berlinerinnen und Berliner: So waren digitale Angebote des Landes zeitweise eingeschränkt, darunter die Online-Beantragung von Briefwahlunterlagen [4]. Zudem geriet die Auszahlung von Wohngeld an mehr als 50.000 Haushalte in Gefahr [5]. Das Berliner Landesnetz (BeLa) verbindet rund 600 behördliche und öffentliche Standorte über ein unterirdisches Glasfasernetz und wird vom landeseigenen IT-Dienstleister ITDZ betrieben [3].
Einordnung
Der Fall zeigt, wie schwierig es für öffentliche Verwaltungen ist, nach einem Angriff schnell belastbare Aussagen über das Ausmaß eines Datenabflusses zu treffen. Die Korrektur des Senats – erst „nur Geodaten“, nun die Möglichkeit sensibler Daten – ist dabei nicht ungewöhnlich, sondern Folge der laufenden forensischen Arbeit. Die Grünen-Fraktion im Abgeordnetenhaus will den Vorfall im Digitalausschuss besprechen und fordert unter anderem Auskunft darüber, welche Sicherheitslücke es gab und welche Daten abgeflossen sind [3].
Solange die Untersuchungen andauern, bleibt offen, ob weitere Datenverluste erkannt werden. Der Senat hat zugesagt, die parlamentarischen Gremien zu informieren, sobald belastbare Erkenntnisse vorliegen [1]. Bis dahin gilt: Eine vollständige Entwarnung ist nicht in Sicht.