Eine Cyberkriminellengruppe hat 1,4 Millionen gestohlene Dateien der Berliner Stadtregierung im Darknet veröffentlicht, nachdem der Senat eine Lösegeldforderung von 30 Bitcoins abgelehnt hatte, die zum aktuellen Kurs etwa 2 Millionen Euro wert sind. Der Vorfall, der während der Landtagswahl in Sachsen-Anhalt am 6. September weitgehend unbemerkt blieb, legt persönliche Daten von Mitarbeitern und Bürgern sowie technische Details kritischer Infrastrukturen offen, die den vier Millionen Einwohnern der Hauptstadt dienen.

Wie die Angreifer eindringen konnten

Rhysida, eine Ransomware-Gruppierung, die vermutlich aus Osteuropa stammt, verschaffte sich zwischen dem 7. und 14. August Zugang, als ein Mitarbeiter der Berliner Verkehrsbetriebe einen bösartigen Anhang in einer Phishing-E-Mail öffnete. Dieser einzige Klick verschaffte der Gruppe Zugang zum sicheren Glasfasernetz der Landesregierung, das etwa 600 Standorte von Bezirksämtern bis hin zu Senatsverwaltungen verbindet. Das Eindringen blieb wochenlang unentdeckt.

Seit ihrem Auftreten im Jahr 2023 hat Rhysida weltweit fast 280 Angriffe für sich beansprucht, die sich überwiegend gegen öffentliche Einrichtungen in den Vereinigten Staaten richteten. Der Angriff auf Berlin ist einer ihrer bisher bekanntesten Einbrüche in Europa. Die Vorgehensweise der Gruppe ist stets dieselbe: anfänglicher Zugang durch Phishing oder anfällige Fernzugangsdienste, laterale Bewegung, Datenexfiltration und dann eine Lösegeldforderung mit der Drohung der Veröffentlichung.

Was die Daten enthalten

Der geleakte Datensatz umfasst zwei große Abteilungen, Bauwesen und Verkehr, und enthält Mitarbeiterakten, offizielle Korrespondenz, Gehaltsabrechnungen und gescannte Ausweisdokumente. Noch alarmierender ist, dass er auch technische Spezifikationen für Blockheizkraftwerke, Kraftstofflager, Notstromsysteme, Gefängnisse und Kläranlagen umfasst. Jochim Selzer vom Chaos Computer Club sagte der Frankfurter Allgemeinen, dass solche detaillierten persönlichen und infrastrukturellen Daten selbst im schwer zugänglichen Darknet überzeugenden Identitätsdiebstahl und gezielten Betrug ermöglichen.

Politische Folgen und institutionelle Reaktion

Regierender Bürgermeister Kai Wegner kündigte am 5. September an, dass Berlin nicht verhandeln werde. "Das Land Berlin wird sich nicht erpressen lassen", sagte er. Kurz darauf erschienen die Daten online. Der Senat hat seitdem alle Mitarbeiter angewiesen, ihre Passwörter zu ändern, eine behördenübergreifende Koordinierungsstelle eingerichtet und das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Bonn eingeschaltet.

Die Anweisung zum Zurücksetzen der Passwörter löste scharfe Kritik von Thorsten Schleheider, dem stellvertretenden Vorsitzenden der Berliner Polizeigewerkschaft, aus. Er argumentierte, dass der Vorfall jahrelange systematische Unterinvestitionen in Cyberabwehr aufdeckt und dass viele Mitarbeiter nie eine angemessene Schulung zum Sicherheitsbewusstsein erhalten haben. "Es ist undenkbar, dass hochsensible Daten tagelang kompromittiert waren und die einzige Maßnahme offenbar darin besteht, Mitarbeiter anzuweisen, ihre Passwörter zu ändern", sagte er.

Wahlsicherheit gewährleistet, doch weitere Fragen bleiben offen

Landeswahlleiter Stephan Bröchler eilte, um die Wähler zu beruhigen. Er sagte der Boulevardzeitung Bild, dass alle Systeme und Prozesse für die Wahl zum Berliner Abgeordnetenhaus am 20. September unbeeinflusst bleiben, einschließlich der Vorbereitungen, der Abläufe am Wahltag und der Veröffentlichung der vorläufigen Ergebnisse. Die Isolierung der Wahlinfrastruktur vom kompromittierten Verwaltungsnetzwerk scheint funktioniert zu haben.

Die gestohlenen Dateien enthalten auch Details der umstrittenen Erweiterung des Bundeskanzleramts im Zentrum Berlins, was indirekt das Büro von Bundeskanzler Friedrich Merz betrifft. Obwohl das Kanzleramt selbst nicht gehackt wurde, unterstreicht das Vorhandensein von Bundesprojektdaten in einem Netz der Stadtregierung die Verflechtung der Verwaltungssysteme über die verschiedenen Regierungsebenen hinweg.

Wie es weitergeht

Die Koordinierungsstelle muss nun jede Person identifizieren, deren Daten im Leak auftauchen, diese im Rahmen der DSGVO-Pflichten informieren und die Gefährdung der Infrastruktur bewerten. Das BSI wird eine forensische Überprüfung des Zeitraums des Eindringens und der lateralen Bewegung durchführen. Inzwischen nimmt die Veröffentlichung der Daten durch Rhysida jeglichen Hebel für künftige Verhandlungen, schafft jedoch eine dauerhafte Ressource für Betrüger. Der nächste Haushaltszyklus des Senats wird der eigentliche Beweis dafür sein, ob Schleheiders Kritik zu nachhaltigen Investitionen in Segmentierung, Überwachung und obligatorische Mitarbeiterschulungen führt oder ob das Zurücksetzen von Passwörtern die einzige sichtbare Reaktion bleibt.

Erwähnte Personen

  • Kai Wegner

    Governing Mayor of Berlin, Berlin Senate

  • Thorsten Schleheider

    Vice-chairman of Berlin's police union, GdP Berlin

  • Jochim Selzer

    Spokesperson, Chaos Computer Club

  • Stephan Bröchler

    State Election Commissioner, Berlin State Election Office

  • Friedrich Merz

    Chancellor of Germany, Federal Chancellery

Organisationen

Berlin Senate · Rhysida · Federal Office for Information Security · Chaos Computer Club · Berlin Police Union · Berlin Transportation Authority