Scheibchenweise ErkenntnisseWie schlimm ist der Datenklau in Berlin wirklich?
Von Solveig Bach
ntv bei Google bevorzugenDie Berliner Senatsverwaltung muss seit Tagen mit einem massiven Datendiebstahl klarkommen. Eine Hackergruppe hatte sich Zugang zu großen Datenmengen der öffentlichen Verwaltung verschafft und diese nach einem misslungenen Erpressungsversuch öffentlich gemacht. Noch immer ist unklar, wie groß der Schaden ist.
Wie gelangte die Hackergruppe an die Daten?
Dem "Tagesspiegel" zufolge hatte ein Mitarbeiter der Senatsverkehrsverwaltung eine Phishing-E-Mail nicht erkannt und arglos einen in der Mail enthaltenen Link angeklickt. Angekommen auf der Webseite taucht ein vermeintlicher Sicherheitstest auf, ein sogenanntes Captcha. Um diesen Test zu "bestehen", sollte ein Befehl in ein Windows-Programm eingegeben werden, in dem man Kommandos an den Computer schicken kann, berichtet Heise.de.
Daraufhin wurde im Hintergrund die von den Hackern vorbereitete Schadsoftware heruntergeladen. Diese lädt dann unter anderem Bilddateien herunter, in denen weitere Programme und Malware versteckt sind. Danach hatten die Angreifer dauerhaft durch einen Tunnel Zugriff auf das System.
In welchem Zeitraum war das der Fall?
Heise.de zufolge wurden zwischen dem 7. und dem 12. August Daten bei den beiden Senatsverwaltungen für Stadtentwicklung, Bauen und Wohnen sowie für Mobilität, Verkehr, Umwelt und Klimaschutz "ausgeleitet". Der Angriff habe aber sehr viel früher begonnen. Erst am 14. August wurden die beiden Senatsverwaltungen vom Landesnetz isoliert.
Was weiß man über die Hackergruppe?
Rhysida ist keine Hackergruppe mit bekannten Mitgliedern, sondern die Bezeichnung für ein kriminelles Ransomware-Ökosystem. Seit mindestens Mai 2023 wird die mutmaßlich russischsprachige Gruppe international mit Angriffen auf Behörden, Bildungs- und Gesundheitseinrichtungen, Industrieunternehmen und IT-Dienstleistern in Verbindung gebracht.
Bekannt wurde Rhysida durch eine Attacke auf die British Library 2023. Ihr Ziel ist nach Einschätzung von US-Sicherheitsbehörden vor allem finanzielle Erpressung. Der Name bezieht sich offenbar auf eine Gattung von Tausendfüßern und wird mit der Struktur der Gruppe in Verbindung gebracht.
Wie geht die Gruppe vor?
Rhysida arbeitet nach dem Modell Ransomware-as-a-Service (RaaS). Hinterleute stellen Schadsoftware, Infrastruktur und die Erpressungsplattform bereit. Angeschlossene Täter oder "Affiliates" führen dann die digitalen Einbrüche bei Opfern aus. Lösegeldzahlungen werden typischerweise zwischen Betreibergruppe und Affiliates geteilt.
Um welche Summen geht es?
Im Berliner Fall verlangte die Gruppe 30 Bitcoin, was ungefähr 2 Millionen Euro entspricht, anderenfalls würden 5,7 Terabyte an erbeuteten Daten veröffentlicht. Den Sicherheitsbehörden zufolge setzt Rhysida auf Gewinnmaximierung. Die Gruppe verlangt Lösegeld für die Entschlüsselung abgezogener Daten oder für das Unterlassen der Veröffentlichung. Wird das Lösegeld nicht gezahlt, werden die Daten auf einer sogenannten Leak-Seite oder im Darknet veröffentlicht oder auch an den Meistbietenden versteigert.
Hat Berlin Lösegeld gezahlt?
Nein, Berlins Regierender Bürgermeister Kai Wegner sagte nach der daraufhin erfolgten Veröffentlichung von gestohlenen Daten, eine Zahlung des Lösegelds sei für ihn nie in Frage gekommen: "Ich bin der felsenfesten Überzeugung, dass sich ein Staat nicht erpressen lassen darf."
Was waren die unmittelbaren Folgen in Berlin?
Tagelang konnte wegen der Cyberattacke in Berlin unter anderem kein Wohngeld beantragt oder ausgezahlt werden. Erst am 24. August sind alle Teile der Senatsverwaltung wieder am Netz und "grundsätzlich arbeitsfähig". Das ist jedoch nur ein Bruchteil des zu erwartenden Schadens.
Warum?
Zunächst hatte es von den Berliner Behörden geheißen, es seien keine sensiblen Daten erbeutet worden. Später räumte man ein, dass auch personenbezogene oder sonstige nicht-öffentliche Daten betroffen sein könnten. Parallel behauptete Rhysida, man habe nicht nur die Daten von knapp 80.000 Ordnungswidrigkeitsverfahren und mehr als 46.500 Verträgen, sondern auch Informationen über Einrichtungen der kritischen Infrastruktur, sensible Justizunterlagen, Notfallpläne, Passwörter und knapp 6000 Dateien mit Login-Daten abgegriffen. Inzwischen sind Experten sicher, dass es Wochen dauern wird, um sich einen Überblick über die abgeflossenen Daten zu verschaffen.
Wieso dauert das so lange?
Es geht um große Datenmengen. Rhysida veröffentlichte im Darknet bisher ein rund 5,7 Terabyte großes Datenpaket mit rund 1,44 Millionen Dateien. "Wir stehen vor der Aufgabe, dass wir feststellen müssen, was diese Dateien an Informationen enthalten", erklärte Berlins Chief Digital Officer (CDO) Florian Hauer. Bei mehr als einer Million Dateien, die mehrere Dokumente enthalten könnten, sei es sehr aufwendig, jede Datei einzeln durchzugehen. Um das zu beschleunigen, sollen die Daten mit Hilfe von KI-Tools kategorisiert werden, sagte Hauer. So soll es möglich sein, eine Abstufung nach Risikopotenzial angezeigt zu bekommen und die Dateien, die dann als am meisten risikobehaftet erachtet werden, als Erstes zu prüfen.
Hauer bestritt im Innenausschuss des Abgeordnetenhauses, dass Daten gestohlen oder veröffentlicht wurden, die für die nationale Sicherheit wichtig sind. Heise.de berichtet jedoch, das Leck umfasse auch Notfall- und Schutzkonzepte zur zivilen Verteidigung, Dokumente zu Kasernen sowie Detailpläne zu kritischen Infrastrukturen wie Wasser- und Heizkraftwerken, Umspannwerken, Notstromanlagen und Rüstungsbetrieben. Sogar Baupläne von Justizvollzugsanstalten seien öffentlich einsehbar.
Die Bundesregierung schaltete sich am Wochenende ein und führt einem Sprecher zufolge eine "intensive Prüfung der eigenen Datensysteme durch". Zwischen den beteiligten Sicherheitsbehörden von Bund und Land würden die Informationen kontinuierlich abgeglichen, auch über das Nationale Cyberabwehrzentrum. "Nach der Analyse potenzieller Sicherheitsrisiken werden entsprechende Maßnahmen zur Wahrung der Militärischen Sicherheit eingeleitet."
Welche Folgen könnte der Datendiebstahl langfristig haben?
Viele der veröffentlichten Informationen lassen sich von Kriminellen für einen Identitätsdiebstahl ausnutzen, warnte der Sprecher des Chaos Computer Clubs, Joachim Selzer. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wies zudem auf die Gefahr möglicher Einflussversuche im laufenden Berliner Wahlkampf hin. Es ist außerdem zu erwarten, dass die veröffentlichten Daten weiter ausgewertet werden. Dem "Spiegel" zufolge müsse man auch davon ausgehen, "dass internationale Geheimdienste sich das Material sichern werden".