Datenleck bei Berliner Behörden: Was über den Hackerangriff bekannt ist

Welche sensiblen Daten sind betroffen?

Es handelt sich um Dokumente aus dem Verwaltungsbetrieb, also etwa Verträge, Protokolle, Passwörter. Weiter sind personenbezogene Daten wie Adressen und Telefonnummern oder vertrauliche Personalakten in dem Datensatz enthalten: Laut Tagesspiegel finden sich dort Reha-Unterlagen, Atteste oder Krankschreibungen. Die SZ hat außerdem Bewerbungsunterlagen gefunden, Mailverkehr und auch viele als „Vertraulich“ gekennzeichnete Arbeitspapiere. Auch sicherheitsrelevante Informationen wie Notfallpläne und geheime Kommunikationskanäle sollen geleakt worden sein. Doch klar ist auch: Der Datensatz ist riesig, und erst in den kommenden Tagen wird sich zeigen, welche Informationen noch in den veröffentlichten Dokumenten stecken.

Wie finde ich heraus, ob ich betroffen bin?

Wer einen Darknet-Zugang hat, kann die Dateien theoretisch durchsuchen, das ist allerdings sehr aufwendig und mit einem gewissen Risiko verbunden. Die Berliner Verwaltung will Personen, die in den abgeflossenen Daten auftauchen, je nach Risikoeinschätzung informieren. Für Bedienstete der Verwaltungen gibt es zudem eine Anlaufstelle. Betroffene seien aufgerufen, Strafanzeige bei der Polizei zu erstatten, heißt es. Die Berliner Datenschutzbeauftragte empfiehlt außerdem, Passwörter bei Verwaltungs- und Onlinediensten zu aktualisieren sowie Kontobewegungen zu beobachten.

Was ist mit den Daten passiert?

Zunächst hatten die Hacker versucht, umgerechnet etwa zwei Millionen Euro vom Land Berlin zu erpressen, das Land zahlte jedoch nicht. Am Freitagnachmittag war diese Frist abgelaufen. Nach Informationen der Süddeutschen Zeitung können die Daten seitdem auf der Darknet-Seite der Gruppe Rhysida heruntergeladen werden.

Wer steckt hinter dem Hack?

Die Hackergruppe Rhysida reklamierte den Angriff für sich. In der Vergangenheit hatte sie bereits verschiedene öffentliche und private Institutionen angegriffen, etwa die britische Nationalbibliothek oder das chilenische Militär. Das Bundesamt für Sicherheit geht davon aus, dass der Hack „ausschließlich finanziell motiviert“ gewesen sei.

Wie konnten die Hacker an die Daten kommen?

Die Untersuchungen in Berlin zum Vorfall dauern noch an. Fest steht, dass der Angriff am 7. August über die Senatsverwaltung für Mobilität, Verkehr und Umwelt sowie die Senatsverwaltung für Bauen und Wohnen erfolgte. Beide Behörden haben eine eigene IT und werden nicht unmittelbar vom landeseigenen IT-Dienstleistungszentrum verwaltet. Die mangelnde Konsolidierung der öffentlichen IT werten manche Kritiker als riskant. Zunächst hatte die Berliner Senatskanzlei erklärt, dass ausschließlich öffentlich zugängliche Daten bei dem Angriff abgeflossen seien. Das stellte sich später als falsch heraus. Auch der Zeitpunkt des Angriffs wurde erst spät erkannt.

In der Vergangenheit hatte Rhysida sich mit Phishing-Attacken Netzzugriff verschafft. Dabei ahmen die Angreifer etwa die Webseiten nach, oder geben sich in Mails als vertrauenswürdige Kollegen oder offizielle Administratoren aus, um so an Zugangsdaten zu gelangen. Über solche kompromittierten Daten können Hacker dann auf Systeme zugreifen und sie unbemerkt ausräumen. Ob in Berlin genau so vorgegangen wurde, müssen die Ermittlungen noch zeigen.

Besteht noch Gefahr für weitere Angriffe?

Laut dem Land Berlin gibt es aktuell keine Hinweise darauf, dass das Landesnetz weiterhin infiltriert ist. Das Netzwerk verbindet in Berlin rund 600 Standorte, etwa Verwaltungsgebäude, Feuerwachen oder wissenschaftliche Einrichtungen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erkennt eine grundsätzlich erhöhte Bedrohungslage. „Das BSI weist explizit darauf hin, dass sich aus der Veröffentlichung gestohlener Daten verschiedene Risiken für die Betroffenen und letztlich für die Gesellschaft ergeben können“, erklärte ein Sprecher. Für den politischen Raum bestehe insbesondere vor Wahlen die Gefahr sogenannter Hack & Leak Operationen. Dabei werden gestohlene Dokumente, E-Mails oder Ähnliches zu einem für den Angreifer günstigen Zeitpunkt veröffentlicht und dabei womöglich in einen falschen Zusammenhang gerückt.

Wie reagiert Berlin auf den Angriff?

In Berlin erklärte man, auf Erpressungsversuche nicht einzugehen. Dementsprechend ließ das Land die Frist am Freitagnachmittag verstreichen. IT-Sicherheitsexperten begrüßten diese Entscheidung. Da auch Passwörter und Zugangsdaten veröffentlicht worden waren, wurde außerdem der Zugriff zu den Systemen eingeschränkt, berichtet der Tagesspiegel. Mitarbeiter der betroffenen Verwaltungen konnten sich demnach nicht mehr per VPN aus dem Home-Office bei internen Programmen anmelden, sondern mussten dafür im Büro anwesend sein.

Bedroht der Angriff die Berliner Wahl am 20. September?