Berlin unter Erpressung: Daten aus dem staatlichen Netzwerk gestohlen, Regierung verweigert Lösegeld

Daten aus zwei Landesministerien gestohlen

Die Berliner Landesregierung hat bestätigt, dass ein Cyberangriff auf ihr Verwaltungsnetzwerk zum Diebstahl von Daten geführt hat. Die Angreifer stellten außerdem eine Lösegeldforderung, auf die die Stadt nicht eingehen will.

Diese Position bekräftigte der Regierende Bürgermeister Kai Wegner am Freitag: Berlin werde kein Lösegeld zahlen. Die Behörden versuchen weiterhin festzustellen, welche Informationen tatsächlich exfiltriert wurden und welche Personen oder Organisationen davon betroffen sein könnten.

Der Vorfall betraf zwei Regierungsbehörden:

• die für Stadtentwicklung, Bauen und Wohnen zuständige Senatsverwaltung;
• die für Mobilität, Verkehr, Klimaschutz und Umwelt zuständige Senatsverwaltung.

Die beiden Senatsverwaltungen teilen Teile ihrer IT-Infrastruktur und verwalten ihren jeweiligen Bereich des Landesnetzwerks eigenständig. Der öffentliche IT-Dienstleister ITDZ Berlin ist dagegen offenbar nicht kompromittiert worden.

Nach der derzeit verfügbaren Rekonstruktion sollen die Daten zwischen dem 7. und 12. August abgegriffen worden sein. Der unbefugte Zugriff wurde Mitte August entdeckt. Am 14. August trennte Berlin die betroffenen Systeme vom übrigen Landesnetzwerk.

Diese Segmentierung begrenzte die Gefahr einer weiteren Ausbreitung des Angriffs, führte jedoch unmittelbar zu betrieblichen Einschränkungen.

Rhysida behauptet, 5,79 Terabyte erbeutet zu haben – Angaben nicht verifiziert

Im selben Zeitraum nahm die Ransomware-Gruppe Rhysida Berlin in ihre Dark-Web-Datenleak-Seite auf. Die Veröffentlichung stellt jedoch keine offizielle Zuordnung des Angriffs dar.

Die Berliner Behörden haben nicht bestätigt, dass Rhysida für den Eindringversuch verantwortlich ist. Ebenso wenig haben sie Umfang und Art der von der Gruppe angebotenen Dateien überprüft.

Rhysida behauptet, 5,79 Terabyte an Regierungsdaten gestohlen zu haben. In der Ankündigung ist die Rede von:

• 46.500 Verträgen;
• E-Mail-Nachrichten;
• Telefonnummern;
• Passwörtern;
• als geheim eingestuften Dokumenten oder Informationen.

Das Material wurde mit einem Mindestgebot von 30 Bitcoin zur Versteigerung angeboten, was die Erpresser mit etwa 2,3 Millionen US-Dollar gleichsetzten. Die Ankündigung enthielt außerdem einen Countdown von rund sieben Tagen.

Diese Angaben sind mit Vorsicht zu bewerten. Ransomware-Gruppen haben ein unmittelbares Interesse daran, Umfang, Sensibilität und Wert der gestohlenen Daten zu übertreiben, um den Druck auf das Opfer zu erhöhen und potenzielle Käufer anzulocken.

Gesichert ist lediglich ein enger gefasster Sachverhalt: Berlin räumt ein, dass Daten exfiltriert wurden und eine Geldforderung eingegangen ist. Umfang des Diebstahls, das Vorhandensein klassifizierter Informationen und die tatsächliche Offenlegung der von Rhysida genannten Passwörter müssen noch überprüft werden.

Eine Beteiligung personenbezogener Daten oder anderer nicht öffentlicher Informationen konnte bislang nicht ausgeschlossen werden.

Die Isolation legte reguläre IT-Dienste lahm

Nach der Entdeckung des Eindringens wurden die Systeme der beiden Senatsverwaltungen vom übergeordneten Landesnetzwerk getrennt. Die Behörden arbeiteten weiter, konnten jedoch wichtige Dienste wie E-Mail und den Internetzugang nicht mehr normal nutzen.

Ein Teil der Beschäftigten musste auf Telefon, SMS und Fax ausweichen. Die Maßnahme zeigt, dass die Folgen eines Sicherheitsvorfalls auch von den Eindämmungsmaßnahmen abhängen – nicht nur von einer möglichen Verschlüsselung der Computer.

Unklar ist außerdem, ob Rhysida in diesem Fall Systeme oder Dateien verschlüsselt hat. Die Gruppe nutzt üblicherweise ein Modell der doppelten Erpressung, bei dem der Datendiebstahl mit der Verschlüsselung von IT-Umgebungen kombiniert wird. Für Berlin ist die Exfiltration bestätigt; es wurden jedoch nicht genügend Informationen veröffentlicht, um festzustellen, ob zusätzlich eine Verschlüsselung stattfand.

Die Auswirkungen gingen über die beiden Senatsverwaltungen hinaus. Einige Bezirksämter konnten Anträge auf Wohngeld sowie Leistungen für Bildung und Teilhabe vorübergehend nicht bearbeiten. Diese Verfahren hängen von Systemen ab, die von der Senatsverwaltung für Stadtentwicklung betrieben werden.

Die Störung verdeutlicht eine kritische Abhängigkeit: Auch wenn eine nachgeordnete Behörde nicht direkt angegriffen wird, kann sie wesentliche Funktionen verlieren, wenn der öffentliche IT-Dienstleister oder die für zentrale Anwendungen zuständige Senatsverwaltung isoliert werden muss.

Risiken für Bürger, Beschäftigte und Vertragspartner

Der mögliche Diebstahl von E-Mails, Kontaktdaten, Verträgen und Zugangsdaten eröffnet verschiedene Szenarien. Wie schwerwiegend die Folgen sind, hängt von den Inhalten ab, die die forensischen Untersuchungen bestätigen können.

Sollten die Archive noch gültige Passwörter enthalten, könnten die Angreifer versuchen, anschließend auf andere Dienste zuzugreifen. E-Mail-Postfächer und Telefonnummern könnten dagegen für gezielte Phishing-Kampagnen genutzt werden, bei denen Nachrichten echte Namen, Vorgänge und Verwaltungsbeziehungen aufgreifen.

Die von Rhysida behaupteten 46.500 Verträge könnten Daten zu Lieferanten, Beratungsunternehmen, Bauprojekten oder Geschäftsbeziehungen enthalten. Ihre Präsenz in den gestohlenen Daten wurde von den Behörden jedoch nicht bestätigt.

Auch die Bezeichnung „klassifizierte Informationen“ stammt aus der Mitteilung der Erpresser. Derzeit lässt sich nicht feststellen, ob es sich tatsächlich um eingestufte Dokumente, interne Dateien oder lediglich um eine Beschreibung handelt, die den Wert der Auktion steigern soll.

Berlin hatte zunächst erklärt, es gebe keine Hinweise auf eine Kompromittierung sensibler Informationen. Spätere Untersuchungen bestätigten den Datendiebstahl und machten eine eingehendere Bewertung erforderlich.

Technische Indicators of Compromise wie IP-Adressen, Domains, Datei-Hashes oder Namen der eingesetzten Werkzeuge wurden nicht veröffentlicht. Ebenso wenig sind die Methode des initialen Zugriffs oder eine möglicherweise ausgenutzte Schwachstelle bekannt.

Für Beschäftigte, Dienstleister und Bürger steht daher keine Liste von Indikatoren zur Verfügung, die sie eigenständig prüfen könnten. Vorsicht ist insbesondere bei E-Mails, Anrufen oder SMS angebracht, die echte Verwaltungsvorgänge erwähnen und zur Eingabe von Zugangsdaten, zu Zahlungen oder zum Öffnen von Anhängen auffordern.

Wahlsysteme sind getrennt und geschützt

Der Angriff ereignet sich weniger als einen Monat vor der Wahl zum Berliner Abgeordnetenhaus, die am 20. September stattfinden soll. Die zeitliche Nähe hat Fragen zur Sicherheit der Wahlinfrastruktur aufgeworfen.

Innensenatorin Iris Spranger erklärte am Freitag, diese Systeme seien gegen einen vergleichbaren Angriff geschützt. Nach den verfügbaren Informationen wurden keine Wahldaten exfiltriert.

Die Sicherheitsverantwortlichen halten die für die Wahl eingesetzte Umgebung für sicher. Es gibt keine Hinweise auf einen Zusammenhang zwischen der Kompromittierung der beiden Senatsverwaltungen und einem Versuch, die Abstimmung zu manipulieren oder auf die entsprechenden Systeme zuzugreifen.

Diese Unterscheidung ist entscheidend: Ein Angriff auf staatliche Einrichtungen kurz vor einer Wahl kann Besorgnis und Desinformation auslösen, beweist allein jedoch keine Einflussnahme auf die Wahlverfahren.

Forensische Untersuchungen laufen, keine endgültige Zuordnung

Rhysida ist mindestens seit Mai 2023 aktiv und hat öffentliche Verwaltungen, Krankenhäuser, Schulen, produzierende Unternehmen und Technologieunternehmen in mehreren Ländern angegriffen. Das Vorgehen der Gruppe umfasst in der Regel den Diebstahl von Dateien, deren Verschlüsselung und Lösegeldforderungen in Kryptowährung.

Forschende gehen davon aus, dass die Betreiber russischsprachig sein könnten oder im weiteren russischen Raum agieren. Es gibt jedoch keine öffentlich bestätigten Erkenntnisse zu ihrer Identität, ihrem Aufenthaltsort oder ihrer organisatorischen Struktur.

Im Fall Berlin bleibt die Veröffentlichung daher zunächst eine Behauptung der Gruppe. Eine Zuordnung wird technische Belege aus den kompromittierten Systemen, der Zugriffshistorie und möglicherweise von den Angreifern hinterlassenen Werkzeugen erfordern.

Zu den bestätigten Maßnahmen gehören die Isolation der betroffenen Umgebungen, forensische Untersuchungen und der separate Schutz der Wahlinfrastruktur. Berlin hat außerdem eine Zahlung ausgeschlossen.

Nun muss geklärt werden, welche Daten tatsächlich das Netzwerk verlassen haben. Erst nach der Erfassung der gestohlenen Dateien können potenziell Betroffene benachrichtigt, offengelegte Zugangsdaten widerrufen und die Risiken einer möglichen Veröffentlichung der Daten bewertet werden.