Berlin. Das Ultimatum der kriminellen Hackergruppe Rhysida nach ihrem Cyberangriff auf die Berliner Verwaltung und ihrer Lösegeldforderung an den Senat ist abgelaufen. Nach dem Verstreichen der Frist am Nachmittag wurde auf der Webseite der Erpresser im Darknet die „Auktion“ beendet. „Alle Dateien wurden im öffentlich zugänglichen Bereich hochgeladen - viel Spaß beim Stöbern, Datenjäger!“, hieß es dort.
„Nach dem, was ich jetzt hier sehen kann, haben sie den kompletten Datensatz für alle zur Einsicht live gestellt“, sagte der Sprecher des Chaos Computer Clubs, Joachim Selzer, der Deutschen Presse-Agentur. „Das ist für die Berliner Verwaltung schon unangenehm. Das sind natürlich sehr viele interne Daten, die nicht für die Öffentlichkeit bestimmt sind. Ich sehe hier zum Beispiel Personalangelegenheiten, auch Arbeitszeugnisse. Mit solchen Daten können Kriminelle immer irgendetwas anfangen.“
In den Daten fänden sich unter anderem Bauangelegenheiten, Notfallpläne, Dokumente zu Bewerbungsverfahren, Stundenzettel, Wiedereingliederungsmaßnahmen von Mitarbeitern oder Betriebsratsunterlagen, sagte Selzer. Aber auch „jede Menge behördlicher Kleinkram“. Dies seien häufig „lauter Kleinigkeiten, die für Identitätsdiebstahl interessant sein könnten“.
Die Erpresser hatten auf ihrer Leak-Site einen Countdown geschaltet, der am Freitag gegen 15.35 Uhr ablief. Gefordert wurde ein Lösegeld von 30 Bitcoin - umgerechnet rund zwei Millionen Euro. Der Berliner Senat hatte vorab bekräftigt, auf derartige Erpressungen nicht einzugehen und kein Lösegeld zu zahlen. Damit drohte die Veröffentlichung der Daten aus dem Hackerangriff auf die Berliner Verwaltung.
„Das sind schon Daten, die, die entsprechende kriminelle Energie vorausgesetzt, interessant sein können“, sagte IT-Administrator Joachim Selzer. „Je mehr ich über eine Person weiß, desto genauer kann ich mich als diese Person ausgeben, desto genauer kann ich auch einschätzen, was ich von dieser Person wissen muss, zum Beispiel, um in ihrem Auftrag etwas bestellen zu können.“
Unter den Daten, die einsehbar sind, ist zum Beispiel der Antrag auf ein neues Handy - samt der Unterschrift des Verwaltungsmitarbeiters. „Das heißt, ich habe schon mal Unterschriftenproben, das ist für manche Kriminelle ja ganz praktisch“, sagte Selz. Der Experte geht davon aus, dass die Daten aber eher mittelfristig für kriminelle Zwecke missbraucht werden. „Es ist schon ein großer Datenbestand, den muss erstmal jemand durchsehen.“
Die Weigerung des Senats, auf Erpressungsversuche der kriminellen Hacker einzugehen, stieß in der Fachwelt auf Zustimmung. Der renommierte IT-Sicherheitsexperte Christof Fischer verwies darauf, dass der Staat per Gesetz keine Zahlungen bei Erpressungen vornehmen dürfe.
Die Situation bei Vorfällen wie in Berlin sei aber sehr schwierig: „Die Daten sind in den Händen von Kriminellen, und eine Veröffentlichung hat in vielen Fällen sehr schädliche Auswirkungen. Bislang ist mir kein Fall bekanntgeworden, bei dem gezahlt wurde und trotzdem eine Veröffentlichung erfolgte.“
Allerdings sei anzunehmen, dass die Täter, die meist in osteuropäischen Ländern lebten, diese Daten den dortigen Behörden zugänglich machten, um sich Schutz vor Ermittlungen gegen sie selbst zu erkaufen, sagte Fischer der dpa.
Der Vorsitzende der Linke-Fraktion im Landesparlament, Tobias Schulze, kommentierte den Vorgang so: Die Erpresser hätten den gewünschten Preis nicht erhalten und die Daten im Darknet veröffentlicht. „Das ist die denkbar ungünstige Konstellation, da jetzt jedermann mit einigen wenigen technischen Kenntnissen auf diese Daten zugreifen kann.“
Allerdings habe nun der Senat die Möglichkeit abzugleichen, ob die bisherigen Vermutungen über die abgeflossenen Daten zutreffen oder nicht. „Dies sollte er schnellstmöglich tun und alle von der Veröffentlichung betroffenen Personen und Unternehmen benachrichtigen und die bestmögliche Hilfe anbieten.“
Die Senatskanzlei teilte am Abend mit, dass die Daten derzeit von IT-Experten geprüft würden. Betroffenen sollten kontaktiert werden. „Sofern im Rahmen der Analyse einzelne betroffene Personen identifiziert werden, werden diese risikobasiert und entsprechend der gesetzlichen Vorgaben von den zuständigen Senatsverwaltungen informiert“, hieß es in dem Schreiben der Senatskanzlei.
Grünen-Spitzenkandidat Werner Graf, erklärte, es sei richtig, dass Berlin sich nicht habe erpressen lassen. „Wir müssen davon ausgehen, dass die erbeuteten Daten missbraucht werden. Passwörter, Kontodaten und persönliche Informationen von Zehntausenden Berlinerinnen und Berlinern sowie Landesbeschäftigten könnten für Identitätsdiebstahl und gezielte Phishing-Angriffe genutzt werden“, warnte er allerdings.
Graf forderte, der Senat müsse die Betroffenen konkret unterstützen - auch mit einem einfachen Verfahren, mit dem sie prüfen können, ob ihre Daten betroffen sind. Nötig sei außerdem eine gemeinsame Informationskampagne von Senat, Datenschutzbehörde, Verbraucherzentrale und Sicherheitsbehörden.
Die Gewerkschaft der Polizei in Berlin zeigte sich mit Blick auf die Vorgänge konsterniert. „Er hat Berlins Politik einmal mehr deutlich vor Augen geführt, dass hier über Jahre gepennt wurde“, sagte GdP-Landesvize, Thorsten Schleheider. „Es kann nicht sein, dass hier tagelang hochsensible Daten geraubt wurden und die einzige Reaktion scheinbar darin besteht, die Beschäftigten anzuweisen, ihre Passwörter zu ändern.“ Das zeuge schon von einer gewissen Hilflosigkeit, betonte Schleheider. Es brauche ein umfassendes inhaltliches Konzept.
Die von den Angreifern bereits zuvor veröffentlichten Auflistungen und Screenshots deuten auf einen gravierenden Abfluss hochsensibler Daten hin. Danach behauptete die Gruppierung, rund 1,44 Millionen Dateien erbeutet zu haben. Darunter sollen sich neben mehr als 5.000 Personalakten, Bußgeldvorgängen und Gehaltsabrechnungen auch vertrauliche Unterlagen aus Bundesratsausschüssen sowie Schwachstellenanalysen zur Berliner Trinkwasserversorgung befinden.
Die Berliner Verwaltung hatte den am 14. August bekanntgewordenen Cyberangriff bestätigt. Ermittler des Landeskriminalamts (LKA) sowie das Bundesamt für Sicherheit in der Informationstechnik (BSI) sind in die Analyse und Bewältigung des Vorfalls eingebunden. Sollte das Datenpaket vollständig publik werden, drohen den betroffenen Behörden und Tausenden Bürgern sowie Beschäftigten erheblichen Datenschutz- und Sicherheitsrisiken.
