Nach dem Cyberangriff auf die Berliner Landesverwaltung warnt der Senat seine Beschäftigten vor direkten Kontaktversuchen der Täter. Die Hacker versuchen offenbar, per Telefon und über soziale Medien Druck auf einzelne Mitarbeiter aufzubauen. Eine Verbindung nach Russland ist bislang weder belegt noch ausgeschlossen.
Der Berliner Senat hat seine Beschäftigten nach dem Cyberangriff auf die Landesverwaltung vor Anrufen und Kontaktversuchen der Täter gewarnt. Nach Informationen des SPIEGEL versuchen die Angreifer, direkt telefonisch mit einzelnen Mitarbeitern in Verbindung zu treten [1]. Auch führende Senatsmitarbeiter sollen per Telefon und über soziale Medien kontaktiert worden sein [2].
Lesen Sie auchRhysida erpresst Berlin: 30 Bitcoin oder Veröffentlichung sensibler Daten→
Rundschreiben an alle Beschäftigten
Grundlage der Warnung ist ein Rundschreiben des Berliner IT-Staatssekretärs Florian Hauer an die Beschäftigten des Landes, aus dem die Berliner Morgenpost zitiert. Darin warnt Hauer vor Einschüchterungsversuchen der Angreifer, die gezielt Verunsicherung stiften wollten. Wörtlich heißt es in dem Schreiben: „Sollte es zu Kontaktaufnahmen (etwa Lösegeldforderungen und Drohungen) durch angebliche oder mögliche Täter kommen, gehen Sie bitte unter keinen Umständen auf diesen Kontaktaufnahmeversuch ein“ [2].
Die Beschäftigten wurden zugleich aufgerufen, wachsam zu sein und Absenderadressen doppelt zu prüfen [2]. Warum die Täter den direkten Draht zu einzelnen Mitarbeitern suchen, ist bislang unklar. Naheliegend ist nach Einschätzung der Behörden, dass die Gruppierung den Druck im Zusammenhang mit ihrer Lösegeldforderung erhöhen will [2].
Der Fall im Überblick
Hinter dem Angriff steckt nach Angaben des Senats die Ransomware-Gruppierung Rhysida. Sie hat sich zu der Tat bekannt und behauptet, im Besitz gestohlener Daten im Umfang von 5,7 Terabyte zu sein [3]. Die Daten werden seit vergangenem Freitag im Darknet im Rahmen einer Auktion zum Kauf angeboten. „Das Mindestgebot liegt bei 30 Bitcoins, also rund zwei Millionen Euro. Die Versteigerung läuft bis Freitag“, sagte Senatssprecherin Christine Richter [3].
Der Cyberangriff war am 14. August bekanntgeworden. Nach bisherigen Erkenntnissen wurden vom 7. bis zum 12. August Daten in großem Umfang abgegriffen [3]. Betroffen sind nach jetzigem Stand die Senatsverwaltungen für Verkehr und für Bauen, wo nicht öffentliche Daten abflossen – darunter Passwörter und möglicherweise persönliche Angaben [4]. Nachdem der Diebstahl von Passwörtern bekannt wurde, haben beide Verwaltungen zusätzliche Sicherheitsmaßnahmen ergriffen; Mitarbeiter können sich derzeit nicht vom Homeoffice aus in das Datennetz einwählen [3].
Führt die Spur nach Russland?
Die Frage nach einer Verbindung der Täter nach Russland lässt der Senat ausdrücklich offen. „Erkenntnisse über Verbindungen nach Russland oder gar dem russischen Staat liegen nicht vor, können aber auch nicht ausgeschlossen werden“, sagte Senatssprecherin Richter [3] [4]. Nach Senatsangaben handelt es sich bei Rhysida um eine hochprofessionelle Gruppierung, die mit zahlreichen Cyberattacken auf Ziele in Nord- und Südeuropa, Deutschland und den USA in Verbindung gebracht wird [4].
Das Land Berlin will den Forderungen nicht nachkommen. Regierender Bürgermeister Kai Wegner (CDU) hatte erklärt, das Land lasse sich nicht erpressen; der Senat bekräftigte dies in seiner jüngsten Sitzung [3]. Zugleich bereitet sich die Verwaltung darauf vor, dass die Daten nach Ablauf der Versteigerung am Freitag weiterveräußert oder ganz oder in Teilen veröffentlicht werden [3]. Zu den Hintergründen der Attacke ermitteln das Landeskriminalamt und die Staatsanwaltschaft [3].
Einordnung
Der direkte telefonische Kontaktversuch zu einzelnen Beschäftigten ist eine ungewöhnliche Eskalation. Üblicherweise kommunizieren Erpresserbanden über ihre Leak-Sites im Darknet oder per E-Mail mit den betroffenen Organisationen. Der persönliche Anruf bei Mitarbeitern zielt darauf ab, die menschliche Schwachstelle zu nutzen – etwa um Zugangsdaten zu erfragen oder einzelne Beschäftigte unter Druck zu setzen. Dass der Senat mit einem Rundschreiben reagiert und zur Wachsamkeit aufruft, zeigt, wie ernst die Lage eingeschätzt wird. Ob die Täter mit den Anrufen tatsächlich Erfolg hatten, ist bislang nicht bekannt.