Die Folgen des Hackerangriffs auf zwei Berliner Senatsverwaltungen werden die IT-Techniker des Landes noch länger beschäftigen. Digitalstaatssekretär Florian Hauer (CDU) sagte am Montagnachmittag im Digitalausschuss des Abgeordnetenhauses, das Land Berlin sei noch immer damit beschäftigt, alle IT-Systeme von Land und Bezirken forensisch zu untersuchen. So werde überprüft, ob die Hacker sich noch im Landesnetz verstecken und zu weiteren Angriffen fähig seien. Diese Untersuchung werde „noch einige Tage dauern“.
Die Landesverwaltung ermittelt außerdem, wie groß der Schaden ist, den die Hacker verursacht haben. Sie haben mehr als 1,2 Millionen Dateien mit einem Volumen von 5,7 Terrabyte erbeutet. Ihre Beute hatten sie am Freitag im Darknet veröffentlicht. Am Montagnachmittag waren die IT-Techniker noch immer damit beschäftigt, alles herunterzuladen.
F.A.Z.-Artikel häufiger in Ihren Suchergebnissen sehen
F.A.Z. bei Google bevorzugen
Warum dauert der Download so lange?
Dass dies mehrere Tage dauert, liegt an der geringen Datenbandbreite, die dafür zur Verfügung steht. Die Präsidentin des Bundesamtes für Sicherheit in der Informationstechnik, Claudia Plattner, sagte im Ausschuss, dies sei nicht ungewöhnlich: Die Hacker bewahrten die Daten auf illegalen Servern auf, die klein und „gut versteckt“ seien. Sie ließen nur einen langsamen Datenabfluss zu.
Haben die Fachleute die Dateien heruntergeladen, sollen sie mittels Künstlicher Intelligenz nach ihrer potentiellen Brisanz vorsortiert werden. Anschließend müssen Verwaltungsmitarbeiter die Inhalte sichten und alle Opfer des Datendiebstahls identifizieren. Plattner sagte, diese Schadensanalyse werde „einige Wochen“ dauern.
Durch Recherchen von Journalisten im Darknet war in den vergangenen Tagen bekannt geworden, dass neben persönlichen Daten von Mitarbeitern auch Notfallpläne zum Schutz der kritischen Infrastruktur erbeutet wurden. Staatssekretär Hauer sagte im Ausschuss, Dateien, die der „kollektiven Sicherheit“ dienten, würden prioritär gesichtet. Derzeit gehe er nicht davon aus, dass die „nationale Verteidigungsfähigkeit“ durch den Klau bedroht sei.
Bezug zu Russland wahrscheinlich
Hinter dem Hackerangriff soll das Hacker-Kollektiv Rhysida stehen. Es tauchte im Mai 2023 erstmals auf. Wer dahintersteckt, ist bislang nicht klar. Aufgrund der ausgefeilten Angriffsmuster gehen Branchenbeobachter davon aus, dass russische Hacker involviert sind. Auch sind bislang keine russischen oder russlandnahen Einrichtungen angegriffen worden. Die Hälfte ihrer bisherigen Opfer sitzt in den USA, rund ein Viertel der Opfer in Europa.
Rhysida bietet eine Hacker-Software samt Service an, die auch Ransomware-as-a-Service (RaaS) genannt wird. RaaS kann von Cyberkriminellen gemietet werden. Es enthält ein Verschlüsselungsprogramm, mit dem Daten typischerweise in digitale Geiselhaft genommen werden: Die Hacker verschlüsseln die Daten so, dass die Eigentümer nicht mehr darauf zugreifen können. Die Freigabe der Daten erfolgt nur gegen Lösegeld.
Berlin hatte „Glück im Unglück“
Sowohl Hauer als auch Plattner werteten es im Digitalausschuss des Abgeordnetenhauses als „Glück im Unglück“, dass der Angriff in Berlin entdeckt wurde, bevor die Hacker mit dem Verschlüsseln begonnen hatten. Sie konnten die Daten lediglich kopieren. In den Senatsverwaltungen sind sie also weiter verfügbar.
Die Hacker versuchten trotzdem, Lösegeld zu erpressen: Sie forderten dreißig Bitcoin, umgerechnet etwa zwei Millionen Euro. Mitte August setzten sie dem Senat die Frist, innerhalb einer Woche zu zahlen. Andernfalls werde alles im Darknet veröffentlicht. Der schwarz-rote Senat ging darauf mit Zustimmung der Opposition nicht ein. So landeten die Daten am Freitag im Netz.
Rhysida ist mit seiner Erpresser-Methode bereits mehrfach in Erscheinung getreten: im Mai 2023 auf den Servern der Hochschule Kaiserslautern und kurz darauf bei der amerikanischen Gesundheitsbehörde, im Herbst 2023 bei der British Library und das King Edward VII's Hospital in London. Im Frühjahr 2026 war die Stuttgarter Verwaltung betroffen. Insgesamt sind weltweit bislang rund 300 Institutionen registriert, die von Rhysida-Angriffen betroffen waren.
In der Ausschusssitzung zeigten sich die Digitalpolitiker aller Fraktionen mit der Vorgehensweise des Senats grundsätzlich einverstanden. Vertreter von Grünen, Linken und AfD forderten allerdings, umfassender über den Schadensumfang informiert zu werden.
Der Linken-Fraktionsvorsitzende Tobias Schulze regte an, die Großschadenslage auszurufen – sie gibt dem Land Berlin mehr Befugnisse gegenüber den Bezirken. Staatssekretär Hauer sagte, das sei nicht notwendig. Die Kooperationsbereitschaft der Bezirke sei allerdings unterschiedlich ausgeprägt.
