Berlin unter Erpressungsdruck: Daten aus dem Landesnetz gestohlen, Regierung verweigert Lösegeldzahlung

Daten aus zwei Senatsverwaltungen gestohlen

Die Berliner Landesregierung hat bestätigt, dass ein Cyberangriff auf ihr Verwaltungsnetz zum Diebstahl von Daten geführt hat. Die Angreifer stellten zudem eine Lösegeldforderung, auf die die Stadt nicht eingehen will.

Diese Haltung bekräftigte der Regierende Bürgermeister Kai Wegner am Freitag: Berlin werde kein Lösegeld zahlen. Die Behörden versuchen weiterhin festzustellen, welche Informationen tatsächlich entwendet wurden und für welche Personen oder Organisationen daraus Konsequenzen entstehen könnten.

Der Vorfall betraf zwei staatliche Einrichtungen:

• die für Stadtentwicklung, Bauen und Wohnen zuständige Senatsverwaltung;
• die für Mobilität, Verkehr, Klimaschutz und Umwelt zuständige Senatsverwaltung.

Die beiden Senatsverwaltungen teilen Teile ihrer IT-Infrastruktur und verwalten ihre jeweiligen Bereiche des Landesnetzes eigenständig. Der öffentliche IT-Dienstleister ITDZ Berlin ist nach aktuellem Kenntnisstand nicht kompromittiert worden.

Nach derzeitigem Ermittlungsstand sollen die Daten zwischen dem 7. und 12. August exfiltriert worden sein. Der Eindringversuch wurde Mitte August entdeckt. Am 14. August trennte Berlin die betroffenen Systeme vom übrigen Landesnetz.

Diese Segmentierung begrenzte die Gefahr einer weiteren Ausbreitung des Angriffs, führte jedoch unmittelbar zu erheblichen Einschränkungen im laufenden Betrieb.

Rhysida behauptet, 5,79 Terabyte erbeutet zu haben – Zahlen nicht verifiziert

Im selben Zeitraum nahm die Ransomware-Gruppe Rhysida Berlin auf ihrer Darknet-Leak-Seite auf. Diese Veröffentlichung stellt jedoch keine offizielle Bestätigung der Täterschaft dar.

Die Berliner Behörden haben nicht bestätigt, dass Rhysida hinter dem Eindringen steckt. Ebenso wenig konnten sie bislang Umfang und Art der von der Gruppe beworbenen Dateien überprüfen.

Rhysida behauptet, 5,79 Terabyte an Informationen aus der Verwaltung gestohlen zu haben. In der Ankündigung werden unter anderem genannt:

• 46.500 Verträge;
• E-Mail-Nachrichten;
• Telefonnummern;
• Passwörter;
• als vertraulich oder geheim bezeichnete Dokumente beziehungsweise Informationen.

Das Material wurde mit einem Mindestgebot von 30 Bitcoin zur Auktion angeboten. Die Erpresser bezifferten dies mit umgerechnet rund 2,3 Millionen US-Dollar. Außerdem zeigte die Ankündigung einen Countdown von etwa sieben Tagen.

Diese Angaben sind mit Vorsicht zu bewerten. Ransomware-Gruppen haben ein unmittelbares Interesse daran, Umfang, Sensibilität und Wert der erbeuteten Daten größer darzustellen, um den Druck auf das Opfer zu erhöhen und potenzielle Käufer anzulocken.

Gesichert ist bislang nur ein begrenzterer Sachverhalt: Berlin bestätigt eine Datenexfiltration sowie den Eingang einer Geldforderung. Umfang des Diebstahls, das Vorhandensein klassifizierter Informationen und eine mögliche Offenlegung der von Rhysida genannten Passwörter müssen noch überprüft werden.

Eine Betroffenheit personenbezogener Daten oder anderer nicht öffentlicher Informationen kann nicht ausgeschlossen werden.

Die Isolation legte reguläre IT-Dienste lahm

Nach der Entdeckung des Eindringens wurden die Systeme der beiden Senatsverwaltungen vom größeren Landesnetz getrennt. Die Behörden konnten ihre Arbeit fortsetzen, hatten jedoch keinen normalen Zugriff mehr auf wichtige Dienste wie E-Mail und Internet.

Teile der Belegschaft mussten auf Telefon, SMS und Fax ausweichen. Der Vorfall zeigt, dass die Auswirkungen eines Sicherheitsereignisses nicht nur von einer möglichen Verschlüsselung von Rechnern abhängen, sondern auch von den Maßnahmen zur Eindämmung des Angriffs.

Unklar ist, ob Rhysida in diesem Fall Systeme oder Dateien verschlüsselt hat. Die Gruppe nutzt üblicherweise ein Modell der doppelten Erpressung, bei dem der Datendiebstahl mit der Verschlüsselung von IT-Umgebungen kombiniert wird. Für Berlin ist die Exfiltration bestätigt; es liegen jedoch nicht genügend Informationen vor, um festzustellen, ob zusätzlich eine Verschlüsselung stattgefunden hat.

Die Folgen reichten über die beiden Senatsverwaltungen hinaus. Einige Bezirksämter konnten Anträge auf Wohnleistungen sowie Leistungen für Bildung und Teilhabe vorübergehend nicht bearbeiten. Diese Verfahren hängen von Systemen ab, die von der Senatsverwaltung für Stadtentwicklung betrieben werden.

Die Störung macht eine kritische Abhängigkeit sichtbar: Auch wenn eine nachgeordnete Behörde nicht direkt angegriffen wird, kann sie wichtige Funktionen verlieren, wenn der öffentliche IT-Dienstleister oder die für zentrale Anwendungen zuständige Senatsverwaltung isoliert werden muss.

Das Risiko für Bürger, Beschäftigte und Vertragspartner

Der mögliche Diebstahl von E-Mails, Kontaktdaten, Verträgen und Zugangsdaten eröffnet unterschiedliche Risikoszenarien. Wie schwerwiegend die Folgen sind, hängt davon ab, welche Inhalte die forensischen Analysen bestätigen.

Sollten die Archive noch gültige Passwörter enthalten, könnten die Angreifer versuchen, sich anschließend Zugang zu weiteren Diensten zu verschaffen. E-Mail-Adressen und Telefonnummern könnten für gezielte Phishing-Kampagnen missbraucht werden, bei denen Nachrichten echte Namen, Vorgänge und Verwaltungsbeziehungen aufgreifen.

Die von Rhysida behaupteten 46.500 Verträge könnten Daten zu Lieferanten, Beratungsunternehmen, Bauprojekten oder Geschäftsbeziehungen enthalten. Die Behörden haben ihr Vorhandensein in den gestohlenen Daten jedoch nicht bestätigt.

Auch die Bezeichnung „klassifizierte Informationen“ stammt aus der Mitteilung der Erpresser. Derzeit lässt sich nicht feststellen, ob es sich tatsächlich um eingestufte Dokumente, interne Dateien oder um eine Formulierung handelt, mit der der Auktionswert erhöht werden soll.

Berlin hatte zunächst erklärt, es gebe keine Hinweise auf eine Kompromittierung sensibler Informationen. Spätere Untersuchungen bestätigten den Datendiebstahl und machten eine eingehendere Bewertung erforderlich.

Technische Indicators of Compromise wie IP-Adressen, Domains, Dateihashes oder die Namen eingesetzter Tools wurden nicht veröffentlicht. Auch der ursprüngliche Zugangsweg und die möglicherweise ausgenutzte Schwachstelle sind nicht bekannt.

Für Beschäftigte, Dienstleister und Bürger gibt es daher keine Liste technischer Indikatoren, die sie eigenständig überprüfen könnten. Es ist dennoch ratsam, besonders aufmerksam auf E-Mails, Anrufe oder SMS zu reagieren, die sich auf echte Verwaltungsvorgänge beziehen und zur Eingabe von Zugangsdaten, zu Zahlungen oder zum Öffnen von Anhängen auffordern.

Wahlsysteme sind getrennt und geschützt

Der Angriff ereignet sich weniger als einen Monat vor der Wahl zum Berliner Abgeordnetenhaus am 20. September. Die zeitliche Nähe hat Fragen zur Sicherheit der Wahlinfrastruktur aufgeworfen.

Innensenatorin Iris Spranger erklärte am Freitag, die entsprechenden Systeme seien gegen einen vergleichbaren Angriff geschützt. Nach den derzeit vorliegenden Informationen wurden keine Wahldaten exfiltriert.

Die Sicherheitsverantwortlichen stufen die für die Wahl eingesetzte Umgebung als sicher ein. Es gibt keine Hinweise darauf, dass die Kompromittierung der beiden Senatsverwaltungen mit einem Versuch verbunden war, die Abstimmung zu manipulieren oder auf die Wahlsysteme zuzugreifen.

Diese Unterscheidung ist entscheidend: Ein Angriff auf staatliche Einrichtungen kurz vor einer Wahl kann zwar Besorgnis und Desinformation auslösen, stellt für sich genommen jedoch keinen Beleg für eine Einflussnahme auf den Wahlablauf dar.

Forensische Untersuchungen laufen, keine endgültige Zuordnung

Rhysida ist mindestens seit Mai 2023 aktiv und hat Behörden, Krankenhäuser, Schulen, produzierende Unternehmen und Technologieunternehmen in mehreren Ländern angegriffen. Das Vorgehen der Gruppe umfasst typischerweise den Diebstahl von Dateien, deren Verschlüsselung und Lösegeldforderungen in Kryptowährung.

Forschende gehen davon aus, dass die Betreiber russischsprachig sein oder aus dem weiteren russischen Umfeld agieren könnten. Öffentlich gesicherte Erkenntnisse zu ihrer Identität, ihrem Standort oder ihrer Organisationsstruktur gibt es jedoch nicht.

Im Fall Berlin bleibt die Veröffentlichung daher zunächst eine Behauptung der Gruppe. Eine belastbare Zuordnung erfordert technische Belege aus den kompromittierten Systemen, der Zugriffshistorie und den möglicherweise von den Angreifern hinterlassenen Werkzeugen.

Bestätigt sind bislang die Isolation der betroffenen Umgebungen, die forensischen Untersuchungen und der separate Schutz der Wahlinfrastruktur. Berlin hat außerdem eine Lösegeldzahlung ausgeschlossen.

Entscheidend ist nun, welche Daten tatsächlich das Netzwerk verlassen haben. Erst nach der Erstellung eines Inventars der gestohlenen Dateien können mögliche Betroffene informiert, offengelegte Zugangsdaten zurückgesetzt und die Risiken einer möglichen Veröffentlichung bewertet werden.