Von der AfD bis Block House: Hamburgs aktuelle Cyberfälle

Erst ein Datenleak bei der AfD, dann eine weltweite Software-Schwachstelle, die auch die Universität Hamburg zum Abschalten von Diensten zwang, und schließlich Schadsoftware auf einem Webserver der Block Gruppe: Hamburg hat binnen weniger Tage drei Cybervorfälle zu verarbeiten. Wie groß die Schäden sind, ist in mindestens einem Fall weiter offen – und ein gemeinsames Muster der Angriffe ist bislang nicht erkennbar.

Drei Vorfälle, drei verschiedene Angriffswege

Das Hamburger Abendblatt hat die drei Fälle am 27. Oktober zusammengeführt und danach gefragt, wie gefährlich Hacker für die Stadt sind ¹. Viel verbindet sie nicht – außer, dass sie innerhalb weniger Tage öffentlich wurden und sehr unterschiedliche Ziele trafen: eine Partei, eine Universität samt angeschlossenen Parteien-Websites und ein Gastronomieunternehmen.

Der erste Fall betrifft die AfD. Unbekannte stellten nach Angaben der Zeitung E-Mails, internes Material und sogar Kontodaten ins Internet ². Der Hamburger Landesverband soll von dem Datenabfluss nach derzeitigem Stand nicht betroffen sein; in dem veröffentlichten Konvolut soll der Name des früheren AfD-Vorsitzenden Alexander Gauland auftauchen ². Die Partei habe ihre Mitglieder nach eigener Darstellung bereits vor Wochen über den Vorfall informiert ².

Der zweite Fall ist keine gezielte Attacke auf Hamburg, sondern die massenhafte Ausnutzung einer Software-Schwachstelle. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte vor kritischen Sicherheitslücken in einer weit verbreiteten Programmiersprache; das Abendblatt ordnet sie als „PHP-Schwäche“ ein ¹. Die Universität Hamburg nahm mehrere Online-Dienste vom Netz, die Website der Hamburger SPD war zeitweise nicht erreichbar ³. Beides geschah vorsorglich beziehungsweise als Folge der allgemeinen Warnlage; Hinweise auf einen erfolgreichen Datenabfluss an der Universität enthalten die öffentlichen Berichte nicht ³.

Der dritte Fall trifft ein Unternehmen: Bei der Block Gruppe, zu der die Steakhouse-Kette Block House gehört, drangen Unbekannte Schadsoftware auf einem Webserver ein ⁴. Ob dabei Daten abgeflossen sind, ist öffentlich bislang nicht geklärt ⁴. Die Zeitung nennt in ihrer Zusammenschau eine „Besonderheit“ bei diesem Angriff, ohne dass sich Einzelheiten dazu bislang belegen lassen ¹.

Mailserver, Webserver, Software: Die technischen Hintergründe

Ein einheitliches Muster gibt es nicht – und ebenso wenig einen öffentlichen Beleg dafür, dass die drei Fälle zusammenhängen. In jedem Fall unterscheiden sich Einstiegspunkt und Ziel. Der Angriff auf die AfD war offenbar auf Datenzugriff und Veröffentlichung angelegt: Die verbreiteten Inhalte waren nicht nur intern, sondern auch geeignet, die Organisation politisch zu beschädigen ². Die Schwachstelle in der Programmiersprache wurde dagegen nicht gegen ein einzelnes Opfer genutzt, sondern gegen Software, die auf zahllosen Webservern läuft – wer nicht aktualisiert, ist mitbetroffen ¹ ³. Bei Block House ist bislang nur ein Webserver als betroffen bekannt ⁴.

Ein vierter Fall, den die Zeitung nicht zu den drei zählt, zeigt ein weiteres Einfallstor: Anfang Oktober traf es die Hamburger Grünen. Nach Parteiangaben gab es einen automatisierten Angriff auf den Mailserver; betroffen waren Landesverband, Kreisverbände und Bezirksfraktionen, nicht aber die Mitgliederdatenbank und der Server der Bürgerschaftsfraktion. Erkenntnisse über einen Datenabfluss lagen zunächst nicht vor, das System sollte neu aufgesetzt werden ⁵.

Was über Schäden und Datenabflüsse bekannt ist

Die Bilanz fällt je nach Fall sehr unterschiedlich aus. Beim AfD-Leak sind die erbeuteten Inhalte bereits öffentlich – E-Mails, Interna, Kontodaten ². Für die Betroffenen ist das unabhängig vom weiteren Verlauf heikel, weil veröffentlichte Kontoverbindungen und Adressen für weitere Betrugsversuche taugen; das Abendblatt hat dazu auch Datenschützer befragt ².

An der Universität Hamburg deuten die öffentlichen Angaben auf einen vorsorglichen Schritt hin: Die Dienste wurden abgeschaltet, um einer Ausnutzung der Schwachstelle zuvorzukommen ³. Bei der Block Gruppe ist die zentrale Frage offen, ob Kundendaten abgegriffen wurden ⁴.

Dass solche Fragen oft erst Wochen später beantwortet werden, zeigt ein Fall aus dem Frühjahr. Bei einem externen Abrechnungsdienstleister für Privat- und Selbstzahlerleistungen wurden Daten von Klinikpatienten gestohlen – nicht von den Servern der Kliniken selbst. Am Universitätsklinikum Hamburg-Eppendorf (UKE) waren nach NDR-Angaben mehr als 5.000 Patientinnen und Patienten betroffen, in fast 1.500 Fällen wurden auch Inhalte aus Patientenakten abgegriffen, etwa Diagnosen. Das UKSH in Kiel meldete rund 9.000 Betroffene. Ein Insider beschrieb gegenüber dem NDR das Muster „Daten gegen Geld“; der Angriff hatte sich bereits Mitte April ereignet ⁶.

Berlin zeigt, welche Dimensionen drohen

Wie weit die Folgen reichen können, lässt sich am Angriff auf das Berliner Landesnetz ablesen. Dort veröffentlichten Hacker im Darknet rund 1,4 Millionen Datensätze, darunter Arbeitszeugnisse, Personalakten, Stundenzettel und Bewerbungsunterlagen. Die Gruppe Rhysida hatte 30 Bitcoin gefordert, umgerechnet rund zwei Millionen Euro; der Berliner Senat lehnte eine Zahlung ab. Das BSI warnte anschließend vor einer erhöhten Gefahr durch Phishing und verwies auf das Risiko sogenannter Hack-and-Leak-Operationen, bei denen gestohlene Dokumente zu einem politisch günstigen Zeitpunkt veröffentlicht werden – in Berlin kurz vor der Wahl des Abgeordnetenhauses am 20. September ⁷.

Lesen Sie auchRhysida-Leak: 1,44 Millionen Dateien. Ein Problem für Jahre.→

Nach den Vorfällen wächst der Handlungsdruck

Die Hansestadt hat in den vergangenen Jahren vor allem im Hochschulbereich nachgerüstet. Ende 2022 hatte ein Angriff auf die Hochschule für Angewandte Wissenschaften (HAW) zentrale Systeme lahmgelegt und den Betrieb massiv beeinträchtigt. Mitte Oktober stimmte die Bürgerschaft einem Senatsantrag zu, die IT-Sicherheit hochschulübergreifend mit 16,4 Millionen Euro auszubauen – für ein gemeinsames Security Operations Center, bessere Backups und eine gemeinsame Infrastruktur. Grüne, SPD, CDU und Linke trugen den Antrag mit; die Linke kritisierte allerdings die Abhängigkeit von Microsoft-Produkten in Verwaltung und Hochschulen, die AfD enthielt sich ⁸.

Wie stark die Fallzahlen insgesamt steigen, lässt sich aus öffentlichen Quellen nur begrenzt nachvollziehen. Mitte September berichtete das Abendblatt, die Zahl der IT-Sicherheitsvorfälle in Hamburg steige rasant; konkrete, fortgeschriebene Fallzahlen nennt die Berichterstattung nicht ⁹.

Offene Fragen bei Block House und beim Meldeverhalten

Damit bleiben zwei Punkte, an denen sich die Gefährdungslage konkret messen ließe. Erstens: ob bei Block House Zahlungs-, Kontakt- oder Bestelldaten abgeflossen sind und wie das Unternehmen den Vorfall aufarbeitet – öffentlich dokumentiert ist dazu bislang nichts ⁴. Kunden des Onlineshops sollten ihre Kreditkarten- und Bankumsätze der vergangenen Wochen prüfen und Misstrauen gegenüber Mails walten lassen, die im Namen des Unternehmens nach Bestätigung von Daten oder Zugangsdaten verlangen. Genau davor warnt das BSI auch mit Blick auf Berlin: Auf ein Datenleck folgt häufig eine zweite Welle mit täuschend echten Phishing-Mails ⁷.

Zweitens: wie viele Hamburger Unternehmen und Behörden ähnliche Vorfälle erleben, ohne dass sie öffentlich werden. Die drei bekannt gewordenen Fälle sind kein Beleg für eine koordinierte Kampagne gegen die Stadt – sie sind aber ein Beleg dafür, dass die schwächsten Glieder selten die Unternehmen selbst sind, sondern ihre Webserver, ihre Mailserver und ihre Dienstleister ⁴ ⁵ ⁶.