Der Berliner Senat hat die akute Gefahrenabwehr nach dem schwersten Cyberangriff in der Geschichte des Landes für beendet erklärt. Seit dem 13. August seien keine weiteren Angriffe auf die untersuchten Bereiche des Landesnetzes festgestellt worden, teilte die Senatskanzlei mit. Eine Entwarnung ist das ausdrücklich nicht: Die Bedrohungslage bleibt angespannt, die Aufarbeitung der gestohlenen Daten dauert an – und die politische Debatte über die Sicherheit der Verwaltungs-IT hat gerade erst begonnen.
Ein falscher Klick genügte
Mitte August wurde bekannt, dass sich Unbekannte Zugriff auf Teile des Datennetzes der Berliner Verwaltung verschafft hatten – offenbar schon Tage zuvor 2 5. Betroffen waren zwei Senatsverwaltungen: die für Stadtentwicklung, Bauen und Wohnen sowie die für Mobilität, Verkehr, Umwelt und Klimaschutz 2 5. Nach Einschätzung des rbb handelt es sich um den größten Cybervorfall, den das Land Berlin bislang erlebt hat 5.
Wie die Angreifer vordrangen, beschrieb das Bundesamt für Sicherheit in der Informationstechnik (BSI) Anfang September in einem Bericht. Demnach genügte ein einziger Klick: Ein Mitarbeiter der Senatsverkehrsverwaltung erkannte eine Phishing-Mail nicht und rief einen Link auf 4. Auf der manipulierten Seite erschien ein vermeintlicher Captcha-Test, der die Nutzer aufforderte, einen Befehl in die Windows-Kommandozeile zu kopieren und auszuführen. Während der Bildschirm einen erfolgreichen Test anzeigte, lud der Rechner im Hintergrund Schadsoftware nach 4.
Das BSI nennt die Methode "TerminalFix", eine Weiterentwicklung der bekannten Masche "ClickFix". Neu daran ist, dass sich damit nicht mehr nur einzelne Rechner, sondern ganze Behördennetzwerke angreifen lassen 4. Als Schadsoftware identifizierte die Behörde die Familie "LoremIpsumLoader", die der Gruppe "Rhysida" zugeordnet wird 4. Die Angreifer bauten anschließend einen Fernzugang auf, bereiteten Cloud-Speicher für die Beute vor und bewegten sich unerkannt im Netz 4.
Der weitere Verlauf
Die Täter erpressten das Land: 30 Bitcoin, rund zwei Millionen Euro, forderten sie für die Rückgabe der Daten 2 5. Der Regierende Bürgermeister Kai Wegner (CDU) machte die Haltung des Senats schnell deutlich: "Das Land Berlin lässt sich nicht erpressen" 1. Nach Ablauf des Ultimatums veröffentlichten die Kriminellen die Datens schließlich im Darknet – nach Angaben des Senats rund 1,4 Millionen Dateien mit einem Volumen von vier Terabyte 3 5.
In den Ordnern befanden sich nach Informationen des Senders rbb Teile von Personalakten, eingescannte Ausweise, Gehaltsabrechnungen, Arbeitszeugnisse und Vertragsunterlagen 5. Hinzu kamen Angaben zu Disziplinarverfahren, Finanzunterlagen sowie Details zur kritischen Infrastruktur des Landes 1. Nach einer Analyse des Tagesspiegel fanden sich Daten von mindestens 10.000 Personen – wahrscheinlich deutlich mehr 3.
Der Senat betonte zugleich die Grenzen des Schadens: Daten zur militärischen Verteidigung seien angeblich nicht betroffen, sie lägen den beiden Verwaltungen gar nicht vor, sagte IT-Staatssekretär Florian Hauer (CDU) 5. Es handele sich daher um Unterlagen der niedrigsten von vier möglichen Geheimhaltungsstufen. Ausschließen könne er allerdings auch nicht, dass Daten mit Bezug zur kritischen Infrastruktur darunter seien – etwa Notfallpläne 5.
Die Reaktion der Verwaltungen
Die Reaktion folgte einem klassischen Notfallmuster. Beide Verwaltungen wurden vom Landesnetz isoliert, zeitweise waren sie komplett vom Internet abgeschnitten, die Kommunikation lief per Telefon 5. Ein Notfallkrisenstab wurde eingerichtet, Landeskriminalamt, Bundeskriminalamt und Bundesamt für Verfassungsschutz schalteten sich ein 1 3. Für Bürgerinnen und Bürger hatte das spürbare Folgen: Mehrere Dienste waren eingeschränkt, zeitweise konnte an rund 50.000 berechtigte Haushalte kein Wohngeld ausgezahlt werden 1.
Am 24. August waren die Verwaltungen wieder am Netz und laut Wegner "grundsätzlich arbeitsfähig" 1. Weil auch Passwörter abgeflossen waren, durften Beschäftigte der betroffenen Behörden zeitweise nicht aus dem Homeoffice arbeiten; alle rund 12.000 Systeme des Landes wurden rund um die Uhr überprüft 1. Der Senat richtete eine Steuerungseinheit ein, um Betroffene per E-Mail und Brief zu informieren 1. Bis Ende September meldeten sich mehr als 750 Menschen, die fürchten, betroffen zu sein – 477 bei der Verkehrsverwaltung, 280 bei der Stadtentwicklungsverwaltung 6.
Der neue Schutz und die verbleibenden Defizite
Am 15. Oktober erklärte Digitalisierungs-Staatssekretär Hauer die Phase der akuten Gefahrenabwehr für beendet. Seit dem 13. August habe es keine Angriffe mehr auf die untersuchten Bereiche des Landesnetzes gegeben, dem Angreifer sei es nicht gelungen, das Netz nachhaltig zu infiltrieren 1 2. Hauer stellte aber klar: "Das ist keine Entwarnung" 3. Die Bedrohungslage bleibe angespannt, weitere Angriffe könnten jederzeit erfolgen.
Für die Übergangslösung beauftragte das Land die Telekom und als deren Auftragnehmer, das US-Unternehmen CrowdStrike, das mit seiner Software "Falcon Agent" forensisch untersuchte 3. Nun soll ein Managed-Detection-and-Response-System Anomalien früh erkennen und infizierte Teile isolieren. Hauer verglich das mit Einbruchschutz: "Wenn dieser noch unzureichend ist, braucht man eine gute Alarmanlage. Die ist jetzt installiert" 3.
Hauer räumte zugleich "systematische Defizite" bei der Sicherheit der Informations- und Kommunikationstechnik ein 3. Nötig seien Härtungsmaßnahmen und eine gesamtstädtisch koordinierte Cybersicherheitsarchitektur. Kritik kam auch von außen: Der Chaos Computer Club sprach von "Sorglosigkeit", teils seien einfache Passwörter verwendet und im Klartext gespeichert worden 5. Die Opposition im Abgeordnetenhaus warf dem Senat zögerliches Handeln vor 5.
Was nun für die öffentliche Verwaltung folgt
Die Kosten sind bislang kaum bezifferbar. Für den ersten CrowdStrike-Auftrag fällt nach Tagesspiegel-Informationen bereits eine sechsstellige Summe im oberen Bereich an, in ähnlicher Höhe dürfte der Folgeauftrag liegen 3. Hinzu kommen mögliche Schadenersatzforderungen Betroffener; eine konservative Schätzung des Tagesspiegel kommt auf mindestens vier Millionen Euro 3.
Der Fall Berlin ist kein Einzelfall, sondern ein Muster. Er zeigt, wie verwundbar die IT öffentlicher Verwaltungen ist, wenn Angreifer auf unzureichend geschulte Beschäftigte, gewachsene Strukturen und schwache Passwortpraktiken treffen. Das BSI stufte die Bedrohung durch TerminalFix auf der zweiten von vier Warnstufen ein: "Maßnahmen müssen zeitnah ergriffen werden" 4. Die Behörde erklärte, sie habe die Erkenntnisse aus Berlin genutzt, um den Schutz von Bund, Ländern und kritischer Infrastruktur zu verbessern 4.
Für den neuen Senat und die künftige Regierungskoalition steht damit eine unangenehme Aufgabe an: Die Sicherheit der Verwaltungs-IT muss dauerhaft finanziert und zentral koordiniert werden – nicht erst, wenn der nächste Notfall ausgerufen wird. Die gestohlenen Daten werden unterdessen weiter ausgewertet; der Senat rechnet damit, dass die Analyse noch Wochen dauern kann 5. Ob aus dem Vorfall strukturelle Konsequenzen folgen, entscheidet sich nicht im Krisenstab, sondern im Haushalt.
