Eine Ransomware-Bande hat 5,7 Terabyte sensibler Daten veröffentlicht, die aus dem Netz der Berliner Landesverwaltung gestohlen wurden, darunter kritische Infrastrukturpläne und persönliche Mitarbeiterdaten. Der Leak erschien diese Woche im Darknet, nachdem die Angreifer, identifiziert als die russischsprachige Gruppe Rhysida, ihre Lösegeldfrist verstreichen ließen, ohne dass gezahlt wurde. Der Vorfall stellt einen der schwerwiegendsten Kompromittierungen von deutschen Landesdaten der letzten Jahre dar und löste eine bundesweite Sicherheitsreaktion aus.
Das gestohlene Paket umfasst rund 1,44 Millionen Dateien. Während erste Berichte sich auf Verwaltungsdaten konzentrierten, offenbart eine tiefere Analyse detaillierte Sicherheitskonzepte für Zivilschutz und Militäreinrichtungen. Die Exposition reicht weit über bürokratische Unannehmlichkeiten hinaus in den Bereich der physischen Sicherheit: Baupläne für Gefängnisse und Umspannwerke sind nun für feindliche Akteure öffentlich zugänglich.
Kritische Infrastruktur in Gefahr
Der schädlichste Teil des Leaks betrifft Notfall- und Schutzkonzepte für essenzielle Dienste. Dokumente decken Wasser- und Heizkraftwerke, elektrische Umspannwerke und Notstromsysteme ab. In einer modernen Stadt sind diese Systeme voneinander abhängig. Ein Ausfall im Heiznetz kann in Stromengpässe kaskadieren, und umgekehrt. Dass die Verteidigungspläne für diese Knotenpunkte öffentlich sind, ermöglicht Gegnern die Identifikation einzelner Ausfallpunkte.
Rüstungsanlagen und Militärkasernen sind ebenfalls im Datensatz enthalten. Dies verschiebt die Schwelle von lokaler Kriminalität zu nationaler Sicherheitsbedrohung. Die Bundeswehr, Deutschlands Streitkräfte, ermittelt gemeinsam mit dem Nationalen Cyber-Abwehrzentrum und dem Bundesamt für Sicherheit in der Informationstechnik (BSI). Ihre Beteiligung signalisiert, dass Berlin dies nicht mehr als kommunalen IT-Ausfall behandelt, sondern als potenziellen Akt hybrider Kriegsführung.
Bundesbehörden greifen ein
Im deutschen Föderalsystem liegt die innere Sicherheit primär in Länderhand. Wenn jedoch klassifizierte Verteidigungsdokumente kompromittiert werden, behält der Bund die Zuständigkeit. Das Vorhandensein vertraulicher Bundeswehr-Dokumente in einem Landesnetz deutet auf einen Datenaustausch oder eine Datenspeicherung hin, die nun auf den Prüfstand gestellt werden muss. Es wirft die Frage auf, wie militärische Geheimnisse auf einem netzwerk gespeichert waren, das für Ransomware verwundbar ist.
Bundesbehörden führen nun eine gemeinsame Untersuchung durch. Diese Zentralisierung der Reaktion ist für einen stadtweiten Vorfall ungewöhnlich, angesichts des Umfangs aber notwendig. Das BSI prüft, ob die Schwachstelle technischer oder prozeduraler Natur war. Falls letztere, erfordert die Behebung die Änderung von Arbeitsabläufen über mehrere Behörden hinweg, ein Prozess, der oft auf Widerstand von Beamten stößt, die an Altsysteme gewöhnt sind.
Die CrowdStrike-Kontroverse
Zur Untersuchung des Bruchs beauftragte die Berliner Senatskanzlei CrowdStrike, ein US-amerikanisches Cybersicherheitsunternehmen. Diese Entscheidung löste eine Debatte über digitale Souveränität aus. Der Einsatz US-amerikanischer Forensik-Tools zur Analyse eines möglicherweise mit russischen Akteuren verbundenen Vorfalls führt einen Dritten in einen sensiblen nationalen Sicherheitsfall ein. Kritiker argumentieren, europäische Staaten sollten für solche hochbrisante Forensik eigene Fähigkeiten entwickeln.
CrowdStrike ist Marktführer, doch seine Dominanz schafft Abhängigkeit. Werden die Forensik-Daten auf US-Servern verarbeitet, könnten sie theoretisch US-Geheimdienstgesetzen unterliegen. Für einen Vorfall, der deutsche Verteidigungspläne betrifft, entsteht ein Paradoxon: Das Stopfen der Sicherheitslücke könnte eine neue schaffen. Die Debatte spiegelt breitere europäische Bedenken wider, bei kritischen Staatsfunktionen auf Nicht-EU-Technologieanbieter angewiesen zu sein.
Regulatorische Implikationen
Der Vorfall testet den Europäischen Unions Cybersicherheitsrahmen. Die NIS2-Richtlinie, die Mitgliedstaaten derzeit in nationales Recht umsetzen, schreibt strengere Melde- und Sicherheitsanforderungen für wesentliche Einrichtungen vor. Berlins Verwaltung fällt eindeutig in diese Kategorie. Regulatoren werden prüfen, ob das Land die erforderlichen Sorgfaltspflichten vor dem Angriff erfüllte. Dokumente der europäischen Cybersicherheitsstrategie betonen Resilienz, doch die Umsetzung bleibt in den Mitgliedstaaten uneinheitlich.
Meike Kamp, Berlins Datenschutzbeauftragte, riet betroffenen Mitarbeitern und Bürgern zur Wachsamkeit. Persönliche Dateien, Verträge und Passwörter gehörten zu den geleakten Materialien. Dies schafft unmittelbare Risiken für Identitätsdiebstahl und Phishing-Angriffe auf Staatsbedienstete. Der menschliche Schaden des Leaks wird die technische Sanierung vermutlich überdauern, da geleakte Passwörter jahrelang genutzt werden können.
Nächste Schritte für Berlin
Die unmittelbare Priorität ist Eindämmung. Berlin muss davon ausgehen, dass alle geleakten Zugangsdaten kompromittiert sind, und flächendeckend Passwort-Resets in der Verwaltung erzwingen. Die langfristige Herausforderung ist jedoch architektonisch. Das Landesnetz braucht Segmentierung, damit ein Einbruch in die Verwaltungs-E-Mail keine Verteidigungspläne offenlegt. Das erfordert Investitionen, die in einer klammen Stadt mit anderen Haushaltsforderungen konkurrieren.
Politische Verantwortung wird folgen. Oppositionsparteien werden vermutlich Erklärungen fordern, wie ein solches Datenvolumen unbemerkt exfiltriert werden konnte. Der Einsatz US-amerikanischer Forensik-Tools wird ebenfalls parlamentarisch geprüft. Für jetzt liegt der Fokus auf Schadensbegrenzung, doch die hier offengelegten strukturellen Schwächen sind nicht auf Berlin beschränkt.
Erwähnte Personen
-
Meike Kamp
Organisationen
CrowdStrike · Bundeswehr · National Cyber Defence Centre · Federal Office for Information Security
