Die Drohung der Hackergruppe Rhysida ist Realität geworden. Nach dem schweren Cyberangriff auf das Berliner Landesnetz haben die Kriminellen große Mengen der erbeuteten Daten veröffentlicht. Zuvor hatte die Gruppe den Berliner Senat zur Zahlung von 30 Bitcoin, umgerechnet rund zwei Millionen Euro, aufgefordert. Berlin lehnte eine Zahlung ab. Nach Angaben des Senats laufen nun umfangreiche forensische Untersuchungen. Dabei soll geklärt werden, welche Daten tatsächlich veröffentlicht wurden und wer davon betroffen ist. Die Behörden sprechen von einer „äußerst schweren Straftat“.
Rund 5,8 Terabyte Daten erbeutet
Das Ausmaß des Datendiebstahls ist erheblich. Die Angreifer behaupten, rund 5,7 bis 5,8 Terabyte Daten aus dem Berliner Landesnetz kopiert zu haben. Medien berichten von etwa 1,4 Millionen Dateien. Darunter sollen sich neben internen Verwaltungsunterlagen auch Verträge, Zeugnisse, Personalunterlagen und weitere sensible Dokumente befinden. Auch personenbezogene Informationen von Beschäftigten, Bürgern und Unternehmen können betroffen sein. Damit geht es längst nicht mehr nur um einen Angriff auf die IT-Infrastruktur der Hauptstadt. Im schlimmsten Fall könnten die veröffentlichten Informationen für Betrug, Identitätsmissbrauch oder gezielte Phishing-Angriffe genutzt werden.
Berlin zahlte nicht
Die Hacker hatten dem Senat ein Ultimatum gestellt und mit der Veröffentlichung der Daten gedroht. Berlin blieb bei seiner Linie und wollte sich nicht erpressen lassen. Das geforderte Lösegeld von 30 Bitcoin entsprach zuletzt ungefähr zwei Millionen Euro. Nach Ablauf der Frist stellten die Täter die Daten tatsächlich ins Netz. Die Entscheidung gegen eine Zahlung bedeutet allerdings nicht, dass der Angriff für Berlin folgenlos bleibt. Neben den Kosten für die Wiederherstellung und Absicherung der IT-Systeme dürfte insbesondere die Aufarbeitung des Datenabflusses erhebliche Ressourcen binden.
Welche Daten betroffen sind, wird noch untersucht
Der Senat kann derzeit noch keine vollständige Übersicht darüber geben, welche Informationen abgeflossen und veröffentlicht worden sind. IT-Forensiker untersuchen deshalb die bereitgestellten Daten. Sollten einzelne Personen eindeutig als Betroffene identifiziert werden, sollen sie nach Angaben des Landes risikobasiert und entsprechend den datenschutzrechtlichen Vorgaben informiert werden. Für Bürger bedeutet das: Nicht jeder Berliner ist automatisch betroffen. Gleichzeitig kann derzeit nicht ausgeschlossen werden, dass personenbezogene Informationen aus unterschiedlichen Verwaltungsbereichen in die Hände der Täter gelangt sind.
Besonders gefährlich: persönliche Daten
Die Veröffentlichung persönlicher Informationen kann für Betroffene weitreichende Konsequenzen haben. Namen, Kontaktdaten oder weitere Verwaltungsinformationen können Kriminellen als Grundlage für besonders glaubwürdige Betrugsversuche dienen. Phishing-Mails oder betrügerische Anrufe könnten sich beispielsweise auf tatsächliche Verwaltungsangelegenheiten beziehen und dadurch wesentlich überzeugender wirken. Das Bundesamt für Sicherheit in der Informationstechnik warnt deshalb vor einer erhöhten Cyber-Bedrohungslage. Besonders problematisch sind sogenannte Hack-and-Leak-Operationen, bei denen gestohlene Dokumente veröffentlicht, manipuliert oder aus dem Zusammenhang gerissen werden.
Auch kritische Infrastruktur könnte betroffen sein
Noch brisanter wäre es, wenn unter den gestohlenen Informationen sicherheitsrelevante Unterlagen zu kritischer Infrastruktur liegen. Bereits vor der Veröffentlichung hatte der Berliner Senat eingeräumt, dass ein Abfluss solcher Informationen nicht ausgeschlossen werden könne. Welche konkreten Daten davon betroffen sind, ist bislang nicht abschließend bekannt. Gerade deshalb beschränkt sich die Aufarbeitung nicht auf Datenschutzfragen. Auch Sicherheitsbehörden müssen prüfen, ob die Veröffentlichung Informationen enthält, die für weitere Angriffe genutzt werden könnten.
Angriff begann bereits im August
Der Cyberangriff war im August bekannt geworden. Nach den bisherigen Erkenntnissen verschafften sich die Täter über mehrere Tage Zugang zum Berliner Landesnetz. Zwei Senatsverwaltungen wurden daraufhin vorsorglich vom Netz getrennt. Als Tätergruppe trat Rhysida auf. Die Gruppe ist aus früheren Ransomware-Angriffen bekannt. Ob hinter dem Berliner Angriff ausschließlich finanzielle Motive stehen oder weitere Hintergründe eine Rolle spielen, ist Gegenstand der Ermittlungen.
Jetzt beginnt die eigentliche Arbeit
Mit der Veröffentlichung endet der Angriff keineswegs. Für Berlin beginnt vielmehr eine neue Phase: Die Daten müssen gesichtet, Betroffene identifiziert und mögliche Sicherheitsrisiken bewertet werden. Gleichzeitig müssen die betroffenen Systeme dauerhaft abgesichert werden. Denn selbst wenn der ursprüngliche Zugriff geschlossen wurde, bleibt die Frage bestehen, ob die Angreifer an anderer Stelle Zugangsdaten oder weitere Informationen erbeuten konnten. Das Land erklärte zuletzt, es gebe keine Erkenntnisse darüber, dass das Landesnetz weiterhin infiltriert sei. Die forensischen Untersuchungen dauern jedoch an.
Ein Weckruf für die öffentliche Verwaltung
Der Fall Berlin zeigt eindrucksvoll, wie verwundbar digitale Verwaltungsstrukturen sind. Ein erfolgreicher Angriff kann nicht nur Computer lahmlegen. Er kann sensible Informationen von Millionen Menschen aus einer staatlichen Infrastruktur herauslösen und anschließend weltweit verfügbar machen. Der Schaden lässt sich deshalb nicht allein in Euro messen. Der eigentliche Albtraum beginnt möglicherweise erst jetzt: Die Daten sind gestohlen – und niemand weiß bislang vollständig, wer sie besitzt, wer sie weiterverbreitet und was damit noch geschehen wird.
