Rhysida bekennt sich zu 5,79 Terabyte Daten aus der Berliner Verwaltung: Lösegeld abgelehnt, Ermittlungen laufen

Wie der Angriff auf das Verwaltungsnetz bekannt wurde

Die Berliner Landesregierung bearbeitet einen Fall von Cyber-Erpressung nach einem Angriff auf das Verwaltungsnetz des Stadtstaats. Die Kompromittierung wurde am 17. August öffentlich bekannt gegeben, als die Behörden die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt sowie eine weitere Senatsverwaltung vom Netz trennten. Forensische Untersuchungen datieren die tatsächliche Datenexfiltration auf den Zeitraum vom 7. bis 12. August. Die betroffene Verwaltung hatte bereits am 7. August intern auf einen ersten ungewöhnlichen Datenfluss hingewiesen, zehn Tage vor der offiziellen Bekanntgabe. Alle Senatsverwaltungen wurden am 23. August wieder an das Netz angeschlossen, die forensischen Prüfungen dauern jedoch an.

Die Ransomware-Gruppe Rhysida bekannte sich am 28. August auf ihrer Leak-Site mit einem Eintrag unter dem Titel „Berlin, Germany“ zu dem Angriff. Die Gruppe gibt an, 5,79 Terabyte an Daten in rund 1,44 Millionen Dateien erbeutet zu haben, darunter personenbezogene Informationen von 12.076 Personen. Die Berliner Behörden haben die Lösegeldforderung bereits abgelehnt. Der Sender RBB hatte zuerst über die Erpressungsforderung berichtet.

Was die Erpressung umfasst: von Personalakten bis zu Klartext-Zugangsdaten

Die von Rhysida genannten Zahlen und Inhalte sind nicht unabhängig verifiziert. Die Gruppe behauptet, personenbezogene Daten von 12.076 Personen zu besitzen: 16.389 E-Mail-Adressen, 11.963 Telefonnummern und 148 IBAN. Mehr als 5.000 Personalakten und ebenso viele Bußgeldakten sollen die Beute ergänzen, zusammen mit Gehaltsdaten und Führungsinformationen.

Das Bekennerschreiben nennt zudem Klartext-Passwörter und Zugangsdaten für das GebäudAtlas-System, die ePayment-Datenbank PAYONE und Z_ADMIN-Konten. Rhysida behauptet, Regierungs- und Rechtsmaterial erbeutet zu haben: Disziplinarverfahren, Gerichtsverfahren, Aufsichtsunterlagen, Geheimhaltungsvereinbarungen und Protokolle von Bundesratsausschüssen. Auch Daten zum Umgang mit Verschlusssachen und Dokumente, die Staatsgeheimnisse enthalten sollen, tauchen auf: Schwachstellenanalysen des Berliner Wassernetzes, Reisepässe und Personalausweise aus Personalakten, Verträge, Finanzdokumente, Gesundheitsdaten, Passwortarchive sowie SQL- und PST-Archive.

Nach Ansicht von Rhysida könnte das Material Verstöße gegen die DSGVO, die deutschen Geheimschutzvorschriften, das Strafrecht sowie die Anforderungen für kritische Infrastrukturen nach KRITIS/BSIG darstellen.

Wer ist Rhysida und wie dringt die Gruppe in Netzwerke ein

Von Reuters zitierte Tracking-Dienste ordnen Rhysida seit ihrem Auftauchen im Jahr 2023 rund 280 Opfer zu. Neun davon befinden sich in Deutschland; zu den prominenteren Zielen zählen die British Library und die chilenische Armee. Etwa die Hälfte der Opfer liegt in den USA, gefolgt von Großbritannien, Kanada und Italien – eine Verteilung, die eher auf opportunistische Auswahl als auf geografische Schwerpunkte hindeutet.

Eine gemeinsame Warnung von CISA, FBI und MS-ISAC vom November 2023 nennt die typischen Zugangsvektoren der Gruppe: kompromittierte VPN-Zugangsdaten in Organisationen ohne Multi-Faktor-Authentifizierung, Ausnutzung der 2020 von Microsoft gepatchten Zerologon-Schwachstelle und herkömmliches Phishing. Welcher dieser Vektoren beim Angriff auf Berlin verwendet wurde, ist nicht bekannt. Die forensischen Untersuchungen dauern an, und die wieder angeschlossenen Systeme werden weiter überprüft.

Folgen für betroffene Personen und das Wahlrisiko

Zum Zeitpunkt der Veröffentlichung haben weder die Berliner Datenschutzbeauftragte noch die Senatskanzlei konkrete Hinweise für die rund 12.000 Personen bereitgestellt, deren Daten Rhysida gestohlen haben will. Die Landesdatenschutzbehörde und das Bundesamt für Sicherheit in der Informationstechnik (BSI) begleiten die Ermittlungen. Noch ist nicht abschließend geklärt, worauf genau zugegriffen und was abgezogen wurde: Das Fehlen offizieller Mitteilungen bedeutet keine Sicherheit.

Die Nähe zur Wahl macht den Fall besonders heikel. Am 20. September wählt Berlin das Abgeordnetenhaus. Innensenatorin Iris Spranger erklärte, die Wahl bleibe sicher und die Angreifer hätten bislang keine mit der Wahl verbundenen Daten erbeutet. Die Sicherheitsbehörden teilen diese Einschätzung.

In einer gemeinsamen Erklärung, die vor dem Bekennerschreiben auf der Leak-Site veröffentlicht wurde, betonten der Regierende Bürgermeister Kai Wegner und Senatorin Spranger, dass das Land Berlin nicht auf die Erpressung eingehen werde. Diese Haltung deckt sich mit der Warnung der US-Bundesbehörden, wonach eine Zahlung weder die Wiederherstellung der Daten garantiert noch weitere Angriffe verhindert, sondern diese sogar fördern kann.

Was noch offen ist und was Organisationen tun können

Der Zeitraum zwischen der ersten internen Erkennung am 7. August und der am 17. August gemeldeten Netztrennung dürfte genau untersucht werden. Die exakten Versionen der betroffenen Systeme sind nicht bekannt, ebenso wenig, ob der ursprüngliche Zugriff über VPN, Zerologon oder Phishing erfolgte.

Für Organisationen, die ähnliche Infrastrukturen betreiben, bleiben drei Gegenmaßnahmen im Einklang mit den bekannten Angriffsvektoren von Rhysida: Multi-Faktor-Authentifizierung für VPNs und exponierte Systeme einführen, den Microsoft-Patch für Zerologon aus dem Jahr 2020 einspielen und die Anti-Phishing-Abwehr stärken. Die Berliner Behörden haben die Lösegeldzahlung bereits abgelehnt. Die forensischen Ermittlungen dauern an, und die wieder angebundenen Systeme werden weiter überprüft.