Das Ultimatum der kriminellen Hackergruppe Rhysida nach ihrem Cyberangriff auf die Berliner Verwaltung ist abgelaufen, der Senat hat kein Lösegeld gezahlt – und die sensiblen Daten sind nun im Darknet veröffentlicht worden. Nach dem Verstreichen der Frist am Freitagnachmittag wurde auf der Leak-Seite der Erpresser die „Auktion“ beendet, und die Täter stellten die erbeuteten Dateien zum öffentlichen Download bereit. Damit ist der Worst-Case eingetreten: Tausende interne Dokumente, darunter Personalakten, Gehaltsabrechnungen und vertrauliche Unterlagen, sind für jedermann mit entsprechenden technischen Kenntnissen zugänglich.
Rhysida veröffentlicht Daten nach abgelaufenem Ultimatum
Die Hackergruppe Rhysida hatte ein Lösegeld von 30 Bitcoin – umgerechnet rund zwei Millionen Euro – gefordert und ein Countdown auf ihrer Webseite im Darknet geschaltet. Der Berliner Senat bekräftigte vorab, auf derartige Erpressungen nicht einzugehen. Als die Frist am Freitag gegen 15:35 Uhr ablief, wurde der Countdown gestoppt und die Daten hochgeladen. Zunächst führte ein Link zu einer Fehlermeldung, doch etwa eine Stunde später war der Download möglich. Der Sprecher des Chaos Computer Clubs, Joachim Selzer, bestätigte der Deutschen Presse-Agentur: „Nach dem, was ich jetzt hier sehen kann, haben sie den kompletten Datensatz für alle zur Einsicht live gestellt.“
Selzer zeigte sich alarmiert über den Umfang der veröffentlichten Informationen. „Das ist für die Berliner Verwaltung schon unangenehm. Das sind natürlich sehr viele interne Daten, die nicht für die Öffentlichkeit bestimmt sind. Ich sehe hier zum Beispiel Personalangelegenheiten, auch Arbeitszeugnisse. Mit solchen Daten können Kriminelle immer irgendetwas anfangen.“ Besonders brisant: Die Daten eigneten sich für Identitätsdiebstahl. „Je mehr ich über eine Person weiß, desto genauer kann ich mich als diese Person ausgeben, desto genauer kann ich auch einschätzen, was ich von dieser Person wissen muss, zum Beispiel, um in ihrem Auftrag etwas bestellen zu können.“
Lösegeldzahlung verweigert – Experten begrüßen die Entscheidung
Die Weigerung des Senats, auf die Erpressung einzugehen, stieß in der Fachwelt auf breite Zustimmung. Bianca Kastl vom Chaos Computer Club bezeichnete die Entscheidung im RBB Inforadio als richtig. „Würde man diese Gruppen weiter unterstützen mit Geld oder anderen Dingen, dann würden die natürlich immer weitermachen. Man muss sie finanziell austrocknen.“ Der renommierte IT-Sicherheitsexperte Christof Fischer ergänzte, dass der Staat per Gesetz keine Zahlungen bei Erpressungen vornehmen dürfe. Die Situation sei dennoch äußerst schwierig: „Die Daten sind in den Händen von Kriminellen, und eine Veröffentlichung hat in vielen Fällen sehr schädliche Auswirkungen. Bislang ist mir kein Fall bekanntgeworden, bei dem gezahlt wurde und trotzdem eine Veröffentlichung erfolgte.“ Allerdings sei anzunehmen, dass die Täter, die meist in osteuropäischen Ländern lebten, diese Daten den dortigen Behörden zugänglich machten, um sich Schutz vor Ermittlungen zu erkaufen.
Bei vergleichbaren Angriffen vergehen erfahrungsgemäß oft mehrere Stunden oder Tage, bis die gestohlenen Datensätze tatsächlich über Archivdateien oder Peer-to-Peer-Netzwerke zum Download bereitgestellt werden. IT-Sicherheitsexperten und die Berliner Ermittlungsbehörden beobachten die einschlägigen Foren und Leak-Seiten fortlaufend.
Politische Reaktionen und Forderungen nach Unterstützung
Der Vorsitzende der Linke-Fraktion im Landesparlament, Tobias Schulze, kommentierte den Vorgang mit deutlichen Worten: Die Erpresser hätten den gewünschten Preis nicht erhalten und die Daten im Darknet veröffentlicht. „Das ist die denkbar ungünstige Konstellation, da jetzt jedermann mit einigen wenigen technischen Kenntnissen auf diese Daten zugreifen kann.“ Schulze forderte, der Senat müsse nun schnellstmöglich abgleichen, ob die bisherigen Vermutungen über die abgeflossenen Daten zutreffen, und alle betroffenen Personen und Unternehmen benachrichtigen. „Die bestmögliche Hilfe muss angeboten werden.“
Grünen-Spitzenkandidat Werner Graf erklärte, es sei richtig, dass Berlin sich nicht habe erpressen lassen. „Wir müssen davon ausgehen, dass die erbeuteten Daten missbraucht werden. Passwörter, Kontodaten und persönliche Informationen von Zehntausenden Berlinerinnen und Berlinern sowie Landesbeschäftigten könnten für Identitätsdiebstahl und gezielte Phishing-Angriffe genutzt werden.“ Graf forderte konkrete Unterstützung für die Betroffenen, unter anderem ein einfaches Prüfverfahren, um festzustellen, ob die eigenen Daten betroffen sind. Außerdem sei eine gemeinsame Informationskampagne von Senat, Datenschutzbehörde, Verbraucherzentrale und Sicherheitsbehörden nötig.
Brisante Details: Personalakten, Passwörter und Trinkwasserversorgung
Die von den Angreifern zuvor veröffentlichten Auflistungen und Screenshots deuten auf einen gravierenden Abfluss hochsensibler Daten hin. Die Gruppierung behauptet, rund 1,44 Millionen Dateien erbeutet zu haben. Darunter sollen sich neben mehr als 5.000 Personalakten, Bußgeldvorgängen und Gehaltsabrechnungen auch vertrauliche Unterlagen aus Bundesratsausschüssen sowie Schwachstellenanalysen zur Berliner Trinkwasserversorgung befinden. Zudem brüsten sich die Erpresser damit, Zugangsdaten und Passwörter im Klartext erlangt zu haben – unter anderem für Datenbanken der Verwaltung und Zahlungsdienstleister.
Die Berliner Verwaltung hatte den am 14. August bekanntgewordenen Cyberangriff bestätigt. Ermittler des Landeskriminalamts sowie das Bundesamt für Sicherheit in der Informationstechnik sind in die Analyse und Bewältigung des Vorfalls eingebunden. Sollte das Datenpaket vollständig publik werden, drohen den betroffenen Behörden und Tausenden Bürgern sowie Beschäftigten erhebliche Datenschutz- und Sicherheitsrisiken. Die kommenden Tage werden zeigen, wie umfassend die Daten tatsächlich genutzt werden und welche konkreten Konsequenzen für die Berliner Verwaltung und die betroffenen Bürger entstehen. Die Weigerung, Lösegeld zu zahlen, mag langfristig die richtige Strategie sein, doch die unmittelbaren Folgen dieses Datenlecks sind für die Betroffenen bereits jetzt spürbar.
