Die Ransomware-Gruppe Rhysida erpresst das Land Berlin: Sie fordert 30 Bitcoin (rund zwei Millionen Euro) und droht mit der Veröffentlichung von fast sechs Terabyte sensibler Daten. Regierender Bürgermeister Kai Wegner lehnt eine Zahlung ab – der Fall gilt als größter Cybervorfall in der Geschichte des Landes.
Der Cyberangriff auf das Berliner Landesnetz hat eine neue Eskalationsstufe erreicht. Die Ransomware-Gruppe Rhysida verlangt nach eigenen Angaben 30 Bitcoin – nach aktuellem Kurs umgerechnet rund zwei Millionen Euro – und droht, knapp sechs Terabyte erbeuteter Daten zu veröffentlichen, sollte das Land nicht zahlen [1] [2]. Berlins Regierender Bürgermeister Kai Wegner (CDU) wies die Forderung am Freitag nach einer Sondersitzung des Senats zurück: „Das Land Berlin wird sich nicht erpressen lassen“ [3].
Die Forderung der Erpresser
Die Lösegeldforderung ging nach Angaben des Senats am frühen Donnerstagabend gegen 17:30 Uhr ein [3]. Auf ihrer Leak-Seite im Darknet veröffentlichte die Gruppe einen Countdown bis zum Freitag der kommenden Woche [2]. Nach Darstellung der Erpresser umfasst das entwendete Material unter anderem rund 46.500 Verträge, 80.000 Verfahren zu Ordnungswidrigkeiten sowie etwa 6.000 Dateien mit „Login-Daten“ [2]. Der rbb berichtet zudem von mehr als 11.000 als vertraulich eingestuften Dokumenten, rund 16.000 E-Mails und 148 IBAN-Kontonummern [4].
Besonders brisant sind nach Angaben der Gruppe Unterlagen zu kritischer Infrastruktur, Notfallpläne und Justizangelegenheiten sowie Analysen zur „Verletzlichkeit von Berlins Wasserversorgung“ [2] [4]. Ob die Angaben der Erpresser authentisch sind, ließ sich bislang nicht unabhängig verifizieren. Die Senatsverwaltung äußerte sich auf Anfrage der dpa „aus ermittlungstaktischen Gründen“ nicht zu Identität der Täter, Forderungen oder Inhalt der abgeflossenen Daten [2].
Der zeitliche Ablauf
Der Datenabfluss begann nach Erkenntnissen des Senats bereits am 7. August und dauerte bis zum 12. August an [2]. Entdeckt wurde der unbefugte Zugriff jedoch erst am 14. August – die Angreifer konnten sich damit mindestens eine Woche unbemerkt im Netz bewegen [3] [4]. Als unmittelbare Reaktion wurden die Senatsverwaltungen für Verkehr sowie für Stadtentwicklung aus Sicherheitsgründen vom restlichen Landesnetz abgekoppelt [3] [4].
Nach rbb-Informationen handelt es sich um den größten Cybervorfall, den das Land Berlin bisher erlebt hat [4]. Der Angriff führte zu Einschränkungen bei vielen Bürgerdiensten. Eine US-Spezialfirma scannt das Landesnetz, die Untersuchungen sollen nach Angaben des Senats noch mehrere Monate dauern [3].
Die Reaktion des Senats
Wegner bezeichnete das Land als „Opfer einer schweren Straftat“ [3]. Eine Zahlung des Lösegelds kommt für den Senat nicht in Betracht. Innensenatorin Iris Spranger (SPD) sagte: „Egal, in welcher Höhe und wie die Erpressung stattfindet: Wir werden nicht zulassen, dass diese Erpressung in der Bundeshauptstadt und in Berlin erfolgt“ [4].
Die IT-Sicherheitsexpertin Bianca Kastl, Mitglied im Chaos Computer Club, hält die Weigerung für richtig: „Weil durch das Geschäftsmodell erst ermöglicht wird, dass es immer wieder Geldzufluss für diese Banden gibt. Wenn keiner mehr zahlt, ist das Geschäft irgendwann ausgetrocknet“ [4]. Sie wies jedoch darauf hin, dass andere kriminelle Gruppen die gestohlenen Daten kaufen und für ihre Machenschaften nutzen könnten [4].
Lesen Sie auchBerliner Landesnetz: Senat kann Abfluss sensibler Daten nicht mehr ausschließen→
Ermittlungen und Wahlkontext
Gegen die mutmaßlichen Täter ermitteln das Landeskriminalamt und die Berliner Staatsanwaltschaft in enger Zusammenarbeit mit den Sicherheitsbehörden des Bundes [3] [4]. Das exakte Ausmaß des Schadens und die spezifischen Ziele der Täter sind weiterhin Gegenstand der laufenden Untersuchungen.
Für die bevorstehende Abgeordnetenhauswahl am 20. September betonte Spranger, der wahlrelevante Teil des Landesnetzes sei „zu 100 Prozent“ abgesichert: „Nach jetzigem Stand sind dort keinerlei Daten abgeflossen und die Wahlumgebung ist sicher nach Angaben unserer Sicherheitsbeauftragten“ [3]. Wegner räumte zugleich ein, dass nicht ausgeschlossen werden könne, dass auch personenbezogene Daten betroffen seien [3].
Einordnung
Rhysida ist keine unbekannte Gruppe. Sie erlangte 2023 Aufmerksamkeit durch den Angriff auf die Britische Nationalbibliothek und attackierte in diesem Jahr bereits die Stadt Stuttgart [2] [4]. Das Muster ist stets dasselbe: Daten werden ausgeleitet, anschließend folgt der Erpressungsversuch. Der Fall Berlin zeigt, dass auch staatliche IT-Infrastrukturen zunehmend im Visier professionell agierender Gruppen stehen – und dass die Identifizierung von Angriffszielen sowie die Schadensfeststellung oft erhebliche Zeit in Anspruch nehmen. Ob die Erpresser ihre Drohung wahr machen, dürfte sich in den kommenden Tagen entscheiden.