Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat bestätigt, dass die Cyberkriminalitätsgruppe Rhysida unter Verwendung eines spezifischen technischen Exploits namens TerminalFix in die Bau- und Verkehrsverwaltungen des Berliner Senats eingedrungen ist. Diese Bestätigung erfolgt Tage nach der ersten Meldung des Vorfalls und liefert die offizielle Zuschreibung für einen Angriff, der sensible Regierungsnetzwerke kompromittierte und zu einer erheblichen Lösegeldforderung führte.

Beamte erklärten, dass der Einbruch zur Exfiltration großer Datenmengen führte, einschließlich kritischer Informationen zur Infrastruktur des Landes. Die Angreifer forderten anschließend 2 Millionen Euro in Bitcoin, um den Zugriff wiederherzustellen und die Veröffentlichung der gestohlenen Dateien zu verhindern. Die Bestätigung schließt eine Lücke im öffentlichen Wissen bezüglich des spezifischen Vektors, der genutzt wurde, um die Sicherheitsvorkehrungen des Landes zu durchbrechen.

Wie TerminalFix Standard-Sicherheitsvorkehrungen umgeht

Die TerminalFix-Methode verlässt sich auf Social Engineering statt auf eine Software-Schwachstelle im traditionellen Sinn. Nutzern, die eine kompromittierte Website besuchen, wird eine gefälschte Cloudflare-Captcha-Seite angezeigt, die behauptet, ihr Browser müsse verifiziert werden. Anstatt auf einen Button zu klicken, wird der Nutzer angewiesen, die Windows-Taste in Kombination mit X und anschließend die Taste I zu drücken. Diese Sequenz öffnet das Windows-Terminal mit Administratorrechten.

Sobald das Terminalfenster geöffnet ist, wird der Nutzer angeleitet, einen Befehl einzufügen, der harmlos erscheint, aber ein PowerShell-Skript ausführt. Dieses Skript lädt im Hintergrund die anfängliche Malware-Nutzlast von den Servern der Angreifer herunter. Während die manipulierte Webseite im Vordergrund weiterhin das gefälschte Captcha anzeigt, um den Nutzer beschäftigt zu halten, richtet die Malware einen SOCKS-Proxy ein. Dies schafft einen Tunnel, der den Kriminellen direkten Zugriff auf das interne Netzwerk der Organisation gibt.

Sicherheitsversagen im Senat

Das technische Ausnutzen von Schwachstellen war nur ein Teil des Problems. Die BSI-Analyse zeigte, dass Rhysida das Netzwerk relativ leicht durchdringen konnte, weil Passwortlisten im Klartext in den Systemen der Berliner Behörden gespeichert waren. Dieses grundlegende Versagen bei der IT-Hygiene ermöglichte es den Angreifern, sich lateral im Netzwerk zu bewegen, sobald der anfängliche Zugang über TerminalFix hergestellt war.

Das Speichern von Zugangsdaten ohne Verschlüsselung verstößt gegen grundlegende Sicherheitsprotokolle, die von öffentlichen Verwaltungen erwartet werden. Es legt nahe, dass die interne IT-Governance nicht ausreichte, um sensible Landesdaten selbst gegen mäßig hochentwickelte Akteure zu schützen. Das Vorhandensein von Klartext-Passwörtern machte viele der peripheren Sicherheitsvorkehrungen praktisch zunichte, die den Einbruch sonst möglicherweise verlangsamt oder den Umfang der Datenexfiltration begrenzt hätten.

Die Ökonomie der Rhysida-Operationen

Rhysida hat sich einen Ruf erarbeitet, öffentliche Einrichtungen und Bildungsorganisationen in Europa und Nordamerika ins Visier zu nehmen. Die Gruppe operiert nach einem Ransomware-as-a-Service-Modell, bei dem Affiliates Angriffe im Austausch für eine Gewinnbeteiligung durchführen. Eine Forderung von 2 Millionen Euro entspricht ihren früheren Kampagnen und ist so kalkuliert, dass sie hoch genug ist, um Einnahmen zu generieren, aber niedrig genug, dass einige Opfer eine Zahlung als machbar erachten könnten.

Für die Angreifer ist der Aufwand für den Einsatz von TerminalFix im Vergleich zum potenziellen Ertrag minimal. Die Methode umgeht viele E-Mail-Filter, da sie auf der Nutzerinteraktion mit einer Website statt auf einem bösartigen Anhang beruht. Dieser taktische Wandel spiegelt einen breiteren Trend wider, bei dem Kriminelle menschliche Fehler ausnutzen, statt nach Zero-Day-Software-Schwachstellen zu suchen.

Europäischer Regulierungsdruck nimmt zu

Vorfälle wie dieser ereignen sich, während die Europäische Union die Cybersicherheitsanforderungen für öffentliche Einrichtungen verschärft. Die NIS2-Richtlinie, die Mitgliedstaaten in nationales Recht umsetzen, schreibt strengere Meldepflichten und Sicherheitsmaßnahmen für wesentliche Einrichtungen vor. Öffentliche Verwaltungen fallen eindeutig in den Anwendungsbereich dieser Vorschriften, was bedeutet, dass künftige Sicherheitsverletzungen über lokale politische Peinlichkeiten hinaus erhebliche regulatorische Prüfungen auslösen könnten.

Die Europäische Kommission hat betont, dass Cybersicherheit ein Kernbestandteil der Strategie für das digitale Jahrzehnt ist, mit dem Ziel, die kritische Infrastruktur im gesamten Block abzusichern. Die digitalpolitischen Prioritäten der EU erwarten nun von den Mitgliedstaaten, dass sie Resilienz gegen genau diese Art von koordinierten Ransomware-Kampagnen nachweisen. Die Nichteinhaltung dieser Standards kann für nationale Regierungen schließlich finanzielle Sanktionen nach sich ziehen.

Organisationen

German Federal Office for Information Security · Microsoft · Berlin Senate