Ein Cyberangriff auf das Berliner Landesnetz führte im August zur Freilegung großer Mengen sensibler Verwaltungsdaten. Nach Angaben von IT-Forensikerinnen und -forensikern sowie Ermittlern wurden fast 6 Terabyte an Daten ins Darknet gestellt. Für den Leak wird die Hackergruppe Rhysida verantwortlich gemacht, die nach Einschätzung des Bundesinnenministeriums primär finanziell motiviert handelt.
Was bekannt ist
Die Angreifer verschafften sich laut den verfügbaren Informationen Zugriff auf Systeme der Senatsverwaltungen für Bauen und Verkehr. Nach einem verstrichenen Ultimatum, in dem eine Lösegeldforderung in Höhe von 30 Bitcoin gestellt worden sein soll (ungefähr 2 Millionen Euro), wurden die Daten veröffentlicht. Aus den gestellten Daten gingen unter anderem Personalakten und Gehaltsabrechnungen hervor. Zudem wurden nach bisherigen Erkenntnissen Dokumente mit sicherheitsrelevanten Inhalten geleakt, darunter Pläne zum Zivilschutz und Informationen zu Einrichtungen wie Gefängnissen und Rüstungsunternehmen.
Bewertung der Lage
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet die allgemeine IT-Sicherheitslage weiterhin als angespannt. Mit der fortschreitenden Digitalisierung wachse die Angriffsfläche in Staat und Verwaltung. Die Veröffentlichung von Informationen, die sicherheitsrelevant sind, könne die Bedrohungslage zusätzlich erhöhen, warnt das BSI. IT-Forensikerinnen und -forensiker sind weiterhin damit beschäftigt, das Ausmaß des Datenabflusses zu klären und mögliche Schwachstellen zu identifizieren.
Reaktionen und Maßnahmen
Die Bundesregierung hat in den vergangenen Wochen das Programm „CyberGovSecure“ beschlossen. Ziel ist es, die Bundesverwaltung einheitlich zu schützen und künftig höhere Sicherheitsstandards umzusetzen. Konkrete Maßnahmen und Prioritäten des Programms in Reaktion auf den Berliner Vorfall werden derzeit geprüft.
- Angriff auf Landesnetz: Zugriff auf Systeme der Senatsverwaltungen für Bauen und Verkehr.
- Vermutete Täter: Hackergruppe Rhysida, seit 2021 aktiv, laut BMI finanziell motiviert.
- Veröffentlichte Daten: nahezu 6 TB, darunter Personalakten, Gehaltsabrechnungen und sicherheitsrelevante Pläne.
- Erpresserforderung: angeblich 30 Bitcoin (~2 Mio. €).
Konkrete Risiken und offene Fragen
Die Veröffentlichung einschlägiger Dokumente kann unmittelbare Risiken für Betroffene bedeuten. Personalakten und Gehaltsdaten bergen Risiken für Identitätsdiebstahl und gezielte Angriffe auf Beschäftigte. Informationen zu Zivilschutzplänen und Einrichtungen, die besonderen Schutz benötigen, können zudem sicherheitspolitische Folgen nach sich ziehen.
Offen ist weiterhin, wie tief die Angreifer in die Verwaltungsnetze eingedrungen sind und ob weitere Behörden oder private Unternehmen betroffen sind. Ermittlungen laufen, dabei prüfen IT-Forensikerinnen und -forensiker sowie Sicherheitsbehörden, welche Schwachstellen ausgenützt wurden und wie breit die Kompromittierung ist.
| Fakt | Angabe |
|---|---|
| Veröffentlichte Datenmenge | ~6 Terabyte |
| Erpresserforderung | 30 Bitcoin (~2 Mio. €) |
| Mutmaßliche Täter | Gruppe Rhysida (seit 2021 aktiv) |
Die Lage zeigt erneut, wie verwundbar moderne Verwaltungen im digitalen Raum sind. Neben technischen Abwehrmaßnahmen ist auch ein systematisches Krisenmanagement erforderlich, das Kommunikationsstrategien, Schutz für Betroffene und rechtliche Schritte umfasst. Die Bundesregierung hat mit CyberGovSecure ein Instrument geschaffen, dessen praktische Wirkung sich nun bewähren muss.
Ermittlungen und Analysen werden noch Zeit in Anspruch nehmen. Bislang liegen keine Hinweise vor, dass Forderungen erfüllt wurden. Zugleich ist zu erwarten, dass der Vorfall Debatten über Prioritäten bei IT-Sicherheit, Personalschutz in der Verwaltung und die ressourcenmäßige Ausstattung von Sicherheitsbehörden neu entfachen wird.
