Der Berliner Senat rechnet damit, dass die Täter des Cyberangriffs auf die Landesverwaltung die gestohlenen sensiblen Daten weiterverkaufen oder im Darknet veröffentlichen. Betroffen sind die Senatsverwaltungen für Verkehr und Bauen. Berlin lehnt die Lösegeldforderung von 30 Bitcoin – umgerechnet rund zwei Millionen Euro – ab.
Nach dem Cyberangriff auf Teile der Berliner Verwaltung gehen die Untersuchungen auf unbestimmte Zeit weiter. Der Senat geht davon aus, dass die Täter die erbeuteten sensiblen Daten weiterverkaufen oder im Darknet veröffentlichen werden. „Alle Systeme im Land Berlin müssen gescannt werden, um auszuschließen, dass noch weitere Daten abgeflossen sind“, sagte Senatssprecherin Christine Richter. Wie lange das dauern werde, lasse sich nicht sagen. Fest stehe, dass eine Menge an Daten abgeflossen sei [1].
Zwei Senatsverwaltungen betroffen
Nach jetzigem Kenntnisstand seien weiterhin nur die beiden Senatsverwaltungen für Verkehr und für Bauen betroffen, sagte Richter. „Dort sind nicht öffentliche Daten abgeflossen, die jetzt auch untersucht werden, damit Klarheit herrscht, um was für Daten es sich handelt und welche Konsequenzen dann getroffen werden müssen“ [1]. Das gelte etwa mit Blick auf Passwörter, die offensichtlich abgeflossen seien, sowie auf persönliche Daten.
Beide Verwaltungen haben am Montag entschieden, weitere Sicherheitsmaßnahmen zu ergreifen, nachdem Passwörter für einige sogenannte Fachverfahren bekannt geworden waren. Das führt zu Einschränkungen: Mitarbeiter in beiden Verwaltungen können sich derzeit nicht vom Homeoffice aus in das Datennetz einwählen, per E-Mail bleiben sie aber erreichbar [1]. Nach Angaben von heise online werden rund 12.000 Systeme gescannt [2].
Der größte Datendiebstahl in der Geschichte der Berliner Verwaltung
Der Cyberangriff war am 14. August bekannt geworden. Nach bisherigen Erkenntnissen flossen vom 7. bis zum 12. August Daten in großem Umfang ab [1]. Nach Darstellung des Tagesspiegels handelt es sich um den größten Datendiebstahl in der Geschichte der Berliner Verwaltung: Die Hackergruppe „Rhysida“ habe 5,79 Terabyte aus dem Netz gezogen [3]. Der rbb berichtet von rund 1,4 Millionen Dateien [4].
Laut heise, das sich auf die Leak-Seite der Gruppe im Darknet bezieht, sollen darunter unter anderem 46.500 Verträge der Stadt, 80.000 Verfahren zu Ordnungswidrigkeiten und 6.000 Dateien mit „Login-Daten“ sein. Mutmaßlich besonders problematisch sind nach Darstellung der Erpresser vorliegende Unterlagen zu Kritischer Infrastruktur, Notfallpläne und Justizangelegenheiten [2]. Der Tagesspiegel berichtet zudem, dass die Hacker sogar Bankdaten des Spitzenpersonals anbieten [3]. Anhand der bereits veröffentlichten kleinen Auszüge lasse sich deren Brisanz und Authentizität allerdings nicht unmittelbar abschätzen [2].
Lösegeldforderung von 30 Bitcoin
Wie zuerst der „Spiegel“ berichtete, verlangen die Hacker ein Lösegeld von 30 Bitcoin, wenn ihrer Forderung bis zum nächsten Freitag nicht entsprochen wird, und drohen damit, die Daten im Darknet zugänglich zu machen. Aktuell entsprechen 30 Bitcoin etwa zwei Millionen Euro [1]. Auf ihrer Leak-Seite läuft derzeit ein Countdown bis zum Freitag der kommenden Woche [2].
Berlins Regierender Bürgermeister Kai Wegner (CDU) hatte am Freitag bekanntgegeben, dass Berlin nach dem Hackerangriff erpresst werde, und die Forderungen abgelehnt. „Das Land Berlin wird sich nicht erpressen lassen. Das ist auch heute nochmal in der Senatssitzung bekräftigt worden“, sagte Senatssprecherin Richter [1]. Wegner bezeichnete die Stadt als „Opfer einer schweren Straftat“ [2].
Ermittlungen und offene Fragen
Bei der Senatssitzung informierte der Staatssekretär für Digitalisierung, Florian Hauer, über den aktuellen Stand der Erkenntnisse. Zu den Hintergründen ermitteln das Landeskriminalamt und die Staatsanwaltschaft [1]. Nach Angaben von heise sind auch Sicherheitsbehörden des Bundes eingebunden [2].
Hinter dem Angriff steckt offenbar die bekannte Ransomware-Gruppe „Rhysida“, wie Sicherheitskreise dem „Spiegel“ bestätigt haben sollen [2]. Die Gruppe ist seit Jahren aktiv und erlangte 2023 Aufmerksamkeit, als sie die Britische Nationalbibliothek angriff; in diesem Jahr attackierte sie nach heise-Angaben auch die Stadt Stuttgart [2]. Das Schema ist stets dasselbe: Daten werden ausgeleitet, darauf folgt der Erpressungsversuch.
Der Senat warnt seine Beschäftigten nach SPIEGEL-Informationen zudem davor, dass die Täter versuchen könnten, direkt mit ihnen Kontakt aufzunehmen [5]. Offen ist bislang, ob Verbindungen nach Russland bestehen – mehrere Medien berichten über entsprechende Spekulationen, ohne dass dafür bislang belastbare Belege vorliegen [6].
Einordnung
Der Fall zeigt erneut, wie verwundbar öffentliche Verwaltungen gegenüber professionell agierenden Erpresserbanden sind. Dass Berlin die Zahlung verweigert, entspricht der Linie von Bund und Ländern, die Lösegeldzahlungen grundsätzlich ablehnen – auch wenn dies das Risiko erhöht, dass die Daten tatsächlich veröffentlicht werden. Für die betroffenen Bürgerinnen und Bürger bleibt die zentrale Frage, welche persönlichen Daten in die Hände der Täter gelangt sind und welche Konsequenzen daraus folgen. Die Untersuchungen des Datennetzes werden darüber in den kommenden Wochen Aufschluss geben müssen.