Hackerangriff auf Berliner Landesnetz: Sensible Verteidigungsdaten im Darknet geleakt

Was ist passiert?

Vor zwei Wochen war bekannt geworden, dass es einen IT-Vorfall beim Berliner Landesnetz gegeben hat. Die Hackergruppe Rhyside verschaffte sich Zugriff zu gewaltigen Datenmengen und forderte ein Lösegeld von 30 Bitcoin – umgerechnet rund zwei Millionen Euro. Dem gab der Senat nicht nach. Nach Ablauf ihres Ultimatums veröffentlichten die Hacker am Freitag dann die Daten im Darknet, nach eigenen Angaben 1,44 Millionen Dateien im Umfang von rund 5,7 Terabyte. Nach Informationen der Süddeutschen Zeitung können die Daten seitdem auf der Darknet-Seite der Gruppe Rhysida heruntergeladen werden. „Die Gruppierung „Rhysida“ ist den Sicherheitsbehörden bekannt und seit Mitte 2021 aktiv. Sie gilt grundsätzlich als kriminell und finanziell motiviert“, betont das Bundesinnenministerium. In der Vergangenheit hatte sie bereits verschiedene öffentliche und private Institutionen angegriffen, etwa die britische Nationalbibliothek oder das chilenische Militär – um Geld mit den Daten zu erpressen.

Welche sensiblen Daten sind betroffen?

Es handelt sich um Dokumente aus dem Verwaltungsbetrieb, also etwa Verträge, Protokolle, Passwörter. Weiter sind personenbezogene Daten wie Adressen und Telefonnummern oder vertrauliche Personalakten in dem Datensatz enthalten, aber auch viele Steuerunterlagen. Die SZ hat auch Bewerbungsunterlagen gefunden, Mailverkehr und auch viele als „Vertraulich“ gekennzeichnete Arbeitspapiere. Auch sicherheitsrelevante Informationen wie Notfallpläne und geheime Kommunikationskanäle sollen geleakt worden sein.

Was löst besondere Besorgnis aus?

Es finden sich nach SZ-Informationen dutzende sensible Dokumente zu Verteidigungsplänen im Ernstfall, etwa der Schutz gegen Angriffe mit chemischen Mitteln, die Pläne zur zivilen Verteidigung Berlins, zu Kasernen und Daten zu Einrichtungen kritischer Infrastruktur, wie der Wasserwerke, Heizkraftwerke, Tanklager, Notstromanlagen und Umspannwerke. Auch geheime Daten, etwa Baupläne von Gefängnissen und Informationen über Rüstungsunternehmen sind nun einsehbar im Darknet. Der CDU-Außen- und Verteidigungspolitiker Roderich Kiesewetter sagte der Süddeutschen Zeitung zur Dimension des Vorfalls: „Dieser Datenabfluss ist von gravierendem Ausmaß und gefährdet unsere nationale Sicherheit“.

Was ist besonders problematisch?

Dass hochsensible Pläne zur Gesamtverteidigung, zum Schutz kritischer Infrastrukturen und Notfallkonzepte für den Krisen- und Verteidigungsfall nun im Darknet kursieren „und gegnerischen Nachrichtendiensten sowie Terrornetzwerken offenliegen, wiegt extrem schwer“, sagt Kiesewetter. Bund und Länder müssen unverzüglich forensisch aufarbeiten, welche Dokumente exakt abgeflossen sind, „und kompromittierte Schutz- sowie Einsatzpläne ohne jeden Zeitverzug grundlegend überarbeiten und anpassen.“ Zudem räche es sich bitter, dass Cybersicherheitsstandards und Verschlusssachen-Vorgaben im föderalen Gefüge und auf Länderebene nach wie vor uneinheitlich und nachlässig gehandhabt werden. „Wer unsere Gesamtverteidigung resilient aufstellen will, muss die digitale Abwehr und den Geheimschutz an allen föderalen Schnittstellen zwingend auf dasselbe Hochsicherheitsniveau heben.“

Warum geht der Fall weit über Berlin hinaus?

Weil eben auch geheime Daten zu Bundeswehr und Bundesregierung betroffen sind. „Die Bundesregierung hat Kenntnis über den Datenabfluss. Die detaillierte Auswertung findet aktuell durch die zuständigen Sicherheitsbehörden von Bund und Land statt“, sagte eine Sprecherin des Operativen Führungskommandos der Bundeswehr auf Anfrage der Süddeutschen Zeitung. „Nach Analyse potenzieller Sicherheitsrisiken werden entsprechende Maßnahmen zur Wahrung der militärischen Sicherheit eingeleitet.“ Auch das Nationale Cyberabwehrzentrum sei eingeschaltet. Experten sprechen bereits von einem Desaster, gerade in einer hochfragilen Phase. Dabei pocht die Bundeswehr seit Monaten auf viel mehr Geheimhaltung und Datensicherheit – so seien lange Zeit auch Informationen zu Stromnetzen viel zu transparent gehandhabt worden. Berlin erlebte nach einem Anschlag zu Jahresbeginn den schlimmsten Blackout seit dem Zweiten Weltkrieg. „Da waren wir naiv und haben geglaubt, dass es vernünftig ist, dass wir es offenlegen. Diese Naivität sollten wir jetzt dringend aufgeben, sonst laden wir die Saboteure erst recht ein“, sagte dazu auch der Vizebefehlshaber des Operativen Führungskommandos, General André Bodemann in einem Interview mit der SZ.

Wie finden Privatbürger heraus, ob sie betroffen sind?

Wer einen Darknet-Zugang hat, kann die Dateien theoretisch durchsuchen, das ist allerdings sehr aufwendig und mit einem gewissen Risiko verbunden. Die Berliner Verwaltung will Personen, die in den abgeflossenen Daten auftauchen, je nach Risikoeinschätzung informieren. Für Bedienstete der Verwaltungen gibt es zudem eine Anlaufstelle. Betroffene seien aufgerufen, Strafanzeige bei der Polizei zu erstatten, heißt es. Die Berliner Datenschutzbeauftragte empfiehlt außerdem, Passwörter bei Verwaltungs- und Onlinediensten zu aktualisieren sowie Kontobewegungen zu beobachten.

Wie konnten die Hacker an die Daten kommen?

Fest steht, dass der Angriff am 7. August über die Senatsverwaltung für Mobilität, Verkehr und Umwelt sowie die Senatsverwaltung für Bauen und Wohnen erfolgte. Beide Behörden haben eine eigene IT und werden nicht unmittelbar vom landeseigenen IT-Dienstleistungszentrum verwaltet. Die mangelnde Konsolidierung der öffentlichen IT werten manche Kritiker als riskant. Zunächst hatte die Berliner Senatskanzlei erklärt, dass nur öffentlich zugängliche Daten bei dem Angriff abgeflossen seien. Das stellte sich als falsch heraus. Auch der Zeitpunkt des Angriffs wurde erst spät erkannt. In der Vergangenheit hatte Rhysida sich mit Phishing-Attacken Netzzugriff verschafft. Dabei ahmen die Angreifer etwa die Webseiten nach, oder geben sich in Mails als vertrauenswürdige Kollegen oder offizielle Administratoren aus, um so an Zugangsdaten zu gelangen. Über solche kompromittierten Daten können Hacker dann auf Systeme zugreifen und sie unbemerkt ausräumen.

Besteht noch Gefahr für weitere Angriffe?

Laut dem Land Berlin gibt es aktuell keine Hinweise darauf, dass das Landesnetz weiterhin infiltriert ist. Das Netzwerk verbindet in Berlin rund 600 Standorte, etwa Verwaltungsgebäude, Feuerwachen oder wissenschaftliche Einrichtungen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erkennt eine grundsätzlich erhöhte Bedrohungslage. „Das BSI weist explizit darauf hin, dass sich aus der Veröffentlichung gestohlener Daten verschiedene Risiken für die Betroffenen und letztlich für die Gesellschaft ergeben können“, erklärte ein Sprecher. Für den politischen Raum bestehe insbesondere vor Wahlen die Gefahr sogenannter Hack & Leak Operationen. Dabei werden gestohlene Dokumente, E-Mails oder Ähnliches zu einem für den Angreifer günstigen Zeitpunkt veröffentlicht und dabei womöglich in einen falschen Zusammenhang gerückt.

Wie reagiert Berlin auf den Angriff?

In Berlin erklärte man, auf Erpressungsversuche nicht einzugehen. Dementsprechend ließ das Land die Frist am Freitagnachmittag verstreichen. Da auch Passwörter und Zugangsdaten veröffentlicht worden waren, wurde außerdem der Zugriff zu den Systemen eingeschränkt, berichtet der Tagesspiegel. Mitarbeiter der betroffenen Verwaltungen konnten sich demnach nicht mehr per VPN aus dem Home-Office bei internen Programmen anmelden, sondern mussten dafür im Büro anwesend sein. Innensenatorin Iris Spranger (SPD) zufolge ist die Wahl zum Abgeordnetenhaus am 20. September in Berlin technisch gegen Hackerangriffe abgesichert. Eine vorübergehende Störung der Website des Landeswahlleiters erkläre sich dadurch, dass das Landesnetz durch die Systemanalysen stark belastet gewesen sei. „Nach jetzigem Stand sind dort keinerlei Daten abgeflossen“, sagte sie dem Hauptstadtportal berlin.de. Die Wahl sei sicher nach Angaben der Sicherheitsbeauftragten.

Aber die sehr zögerlichen und spärlichen Reaktionen zeigen auch: Die Dimension hat viele überrascht und manche schwierige Nachricht, was alles abgeflossen ist, dürfte erst noch kommen. Und deshalb ist der Fall längst auch einer für die Bundesregierung. Ein Sprecher von Innenminister Alexander Dobrindt (CSU) betont, das Bundesamt für Sicherheit in der Informationstechnik (BSI), das Bundeskriminalamt und das Bundesamt für Verfassungsschutz (BfV) unterstützten bereits die Behörden in Berlin bei den Ermittlungen.