Sie hat ihre Drohung wahrgemacht: Rund eine Stunde nach Ablauf des Ultimatums veröffentlichte Rhysida am Freitagnachmittag ein rund 5,8 Terabyte großes Datenpaket aus dem Berliner Landesnetz im Darknet. Der Senat hatte die geforderte Lösegeldzahlung von 30 Bitcoins verweigert – eine Entscheidung, die IT-Experten überwiegend stützen, die aber Tausende Beschäftigte und Bürger vor erhebliche Risiken stellt.
Der Berliner Senat bleibt hart und zahlt kein Lösegeld. IT-Experten loben die Entscheidung. Doch die Hackergruppe macht ihre Drohung wahr: Nach dem Verstreichen der Frist wurde auf der Leak-Site der Erpresser im Darknet die „Auktion“ beendet. „Alle Dateien wurden im öffentlich zugänglichen Bereich hochgeladen – viel Spaß beim Stöbern, Datenjäger!“, hieß es dort [1]. Ein Link führte zunächst zu einer Fehlermeldung, eine Stunde später war der Download der Daten möglich [1].
Was genau veröffentlicht wurde
Nach Informationen des rbb wurden rund 1,4 Millionen Dateien in mehreren Paketen zugänglich gemacht. Ob damit der gesamte angekündigte Datenbestand von 5,8 Terabyte veröffentlicht wurde, ließ sich zunächst nicht feststellen [1]. Die von den Angreifern zuvor veröffentlichten Auflistungen und Screenshots deuten auf einen gravierenden Abfluss hochsensibler Daten hin: Neben mehr als 5.000 Personalakten, Bußgeldvorgängen und Gehaltsabrechnungen sollen sich auch vertrauliche Unterlagen aus Bundesratsausschüssen sowie Schwachstellenanalysen zur Berliner Trinkwasserversorgung darunter befinden [1] [3].
Erschwerend kommen offenbar Daten hinzu, die für die Sicherheit Deutschlands und Berlins relevant sein können. Der „Tagesspiegel“ berichtet von „Daten zum Zivilschutz und Listen mit Objekten, Immobilien, Betrieben und Einrichtungen, die im Verteidigungsfall besonders geschützt werden müssen“ [1]. Unter den Objekten mit „Bedeutung für die zivile Verteidigung“ seien Heizkraftwerke für Krankenhäuser, Tanklager, Notstromanlagen und Umspannwerke. Auch geheime Dokumente zu besonders gefährdeten Rüstungsunternehmen befänden sich unter den veröffentlichten Daten [1] [2].
Lesen Sie auchRhysida erpresst Berlin: 30 Bitcoin oder Veröffentlichung sensibler Daten→
Der „Spiegel“ berichtet mit Verweis auf eigene Recherchen, dass zahlreiche Bundesbelange betroffen sind – darunter mehr als 550 Dateien zur Erweiterung des Kanzleramts mit Gutachten, Plänen und Stellungnahmen [2]. Zudem brüsteten sich die Erpresser damit, Zugangsdaten und Passwörter im Klartext erlangt zu haben, unter anderem für Datenbanken der Verwaltung und Zahlungsdienstleister [1] [3].
Warum der Senat nicht zahlte
Die Erpresser hatten auf ihrer Leak-Site einen Countdown geschaltet, der am Freitag gegen 15.35 Uhr ablief. Als Mindestgebot verlangten sie 30 Bitcoins, umgerechnet rund zwei Millionen Euro [1]. Der Berliner Senat hatte vorab bekräftigt, auf derartige Erpressungen grundsätzlich nicht einzugehen und kein Lösegeld zu zahlen [1].
Diese Weigerung stieß in der Fachwelt auf Zustimmung. Bianca Kastl vom Chaos Computer Club sagte im rbb Inforadio, die Entscheidung des Senats sei richtig: „Würde man diese Gruppen weiter unterstützen mit Geld oder anderen Dingen, dann würden die natürlich immer weitermachen. Man muss sie finanziell austrocknen“ [1] [3].
Der IT-Sicherheitsexperte Christof Fischer verwies darauf, dass der Staat per Gesetz keine Zahlungen bei Erpressungen vornehmen dürfe. Die Situation sei aber sehr schwierig: „Die Daten sind in den Händen von Kriminellen, und eine Veröffentlichung hat in vielen Fällen sehr schädliche Auswirkungen. Bislang ist mir kein Fall bekanntgeworden, bei dem gezahlt wurde und trotzdem eine Veröffentlichung erfolgte“ [1] [3]. Allerdings sei anzunehmen, dass die Täter, die meist in osteuropäischen Ländern lebten, die Daten den dortigen Behörden zugänglich machten, um sich Schutz vor Ermittlungen zu erkaufen [1].
Welche Risiken für Betroffene drohen
Sollte sich bestätigen, dass unter den Daten sicherheitsrelevante Informationen sind, könnten diese theoretisch von fremden Mächten oder Terroristen ausgenutzt werden. Informationen zu kritischen Infrastrukturen, Unternehmen und Organisationen könnten eine Erhöhung der Bedrohungslage bewirken, warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI) [2].
Mit Blick auf personenbezogene Daten weist Jochim Selzer vom Chaos Computer Club auf die Gefahr von Identitätsdiebstahl hin: „Je mehr ich über eine Person weiß, desto genauer kann ich mich als diese Person ausgeben, desto genauer kann ich auch einschätzen, was ich von dieser Person wissen muss, zum Beispiel, um in ihrem Auftrag etwas bestellen zu können“ [2]. Unter den einsehbaren Daten ist etwa der Antrag auf ein neues Handy samt Unterschrift eines Verwaltungsmitarbeiters – „das heißt, ich habe schon mal eine Unterschriftenprobe, das ist für manche Kriminelle ja ganz praktisch“, so Selzer [3].
Das BSI weist zudem auf eine erhöhte Bedrohung durch gezielte Phishing-Angriffe nach dem Datenabfluss hin. Vor allem Menschen, die in Kontakt mit betroffenen Personen oder Institutionen standen, sollten aufpassen [2]. Das Bundesamt warnte auch vor der Gefahr sogenannter Hack-&-Leak-Operationen für den politischen Raum, vor allem vor Wahlen – am 20. September wird das Berliner Abgeordnetenhaus neu gewählt [2].
Kritik an der Verwaltung
Neben dem Lob für die Verweigerung der Lösegeldzahlung gibt es scharfe Kritik an der Berliner Verwaltung. Der IT-Experte Manuel Atug von der Arbeitsgruppe Kritis wirft dem Land vor, „grob fahrlässig“ gehandelt und Geheimschutzvorgaben nicht eingehalten zu haben [2]. Die Gewerkschaft der Polizei zeigte sich konsterniert: „Es kann nicht sein, dass hier tagelang hochsensible Daten geraubt wurden und die einzige Reaktion scheinbar darin besteht, die Beschäftigten anzuweisen, ihre Passwörter zu ändern“, sagte GdP-Landesvize Thorsten Schleheider [2].
Die Berliner Verwaltung hatte den am 14. August bekannt gewordenen Cyberangriff bestätigt. Vom 7. bis zum 12. August hatten sich die Hacker zunächst unbemerkt Zugriff auf Teile des Landesnetzes verschafft; betroffen waren die Senatsverwaltungen für Bauen und für Verkehr [2]. Ermittler des Landeskriminalamts sowie das BSI sind in die Analyse eingebunden. Nach Einschätzung des Senats handelt es sich bei Rhysida um eine hochprofessionell arbeitende Gruppe, die in den vergangenen Jahren mit Cyberangriffen in mehreren europäischen Ländern und den USA in Verbindung gebracht wurde. Erkenntnisse über Verbindungen nach Russland liegen dem Senat bislang nicht vor, ausschließen könne er solche Kontakte aber nicht [1].
Einordnung
Die Veröffentlichung markiert den vorläufigen Endpunkt eines Erpressungsfalls, der die Verwaltung einer Hauptstadt über Wochen beschäftigt hat. Die Entscheidung, nicht zu zahlen, folgt der Linie, die Behörden in vergleichbaren Fällen verfolgen – sie verhindert aber nicht, dass die Daten nun frei verfügbar sind. Bei vergleichbaren Angriffen vergehen erfahrungsgemäß oft mehrere Stunden oder Tage, bis gestohlene Datensätze tatsächlich über Archivdateien oder Peer-to-Peer-Netzwerke zum Download bereitgestellt werden [1] [3]. IT-Sicherheitsexperten und die Berliner Ermittlungsbehörden beobachten die einschlägigen Foren und Leak-Seiten fortlaufend. Ob die Ordner tatsächlich die angegebenen Dokumente enthalten und ob diese authentisch sind, ließ sich zunächst nicht unabhängig überprüfen [1].