Nach dem Ablauf eines Ultimatums hat die kriminelle Hackergruppe Rhysida am Freitagnachmittag die bei einem Cyberangriff auf die Berliner Verwaltung erbeuteten Daten im Darknet veröffentlicht. Auf der Leak-Site der Erpresser hieß es nach Ende einer angesetzten „Auktion“: „Alle Dateien wurden im öffentlich zugänglichen Bereich hochgeladen – viel Spaß beim Stöbern, Datenjäger!“

Die Gruppe hatte vom Berliner Senat ein Lösegeld von 30 Bitcoin gefordert, umgerechnet rund zwei Millionen Euro. Ein auf der Seite geschalteter Countdown lief gegen 15.35 Uhr ab. Der Senat hatte im Vorfeld erklärt, auf die Forderung nicht einzugehen und kein Lösegeld zu zahlen.

Personalakten und Unterschriftsproben im Datensatz

Joachim Selzer, Sprecher des Chaos Computer Clubs (CCC), sagte der Deutschen Presse-Agentur, die Angreifer hätten „den kompletten Datensatz für alle zur Einsicht live gestellt“. Für die Berliner Verwaltung sei das unangenehm, da es sich um „sehr viele interne Daten“ handele, die nicht für die Öffentlichkeit bestimmt seien. Zu sehen seien unter anderem Personalangelegenheiten und Arbeitszeugnisse.

Selzer warnte vor der Gefahr eines Identitätsdiebstahls: „Je mehr ich über eine Person weiß, desto genauer kann ich mich als diese Person ausgeben.“ Unter den veröffentlichten Dokumenten befinde sich beispielsweise ein Antrag auf ein neues Diensthandy samt der Unterschrift des zuständigen Verwaltungsmitarbeiters – für Kriminelle eine brauchbare Unterschriftenprobe. Der IT-Administrator geht davon aus, dass die Daten eher mittelfristig missbraucht würden: „Es ist schon ein großer Datenbestand, den muss erstmal jemand durchsehen.“

Gehaltsabrechnungen, ärztliche Atteste und Entwurf für Leitfaden der Zivilverteidigung erbeutet

Nach Darstellung der Erpresser umfasst das erbeutete Material mehr als 5000 Personalakten, Bußgeldvorgänge und Gehaltsabrechnungen. Darüber hinaus befinden sich vertrauliche Unterlagen aus Ausschüssen des Bundesrates sowie Schwachstellenanalysen zur Trinkwasserversorgung der Hauptstadt in dem Datenpaket. Es enthält zudem zahlreiche Handynummern von Personen, die in Einrichtungen der Kritischen Infrastruktur arbeiten oder auch einen 44-seitigen Entwurf für einen Leitfaden der Zivilen Verteidigung.

Zusätzlich behaupten die Angreifer, Zugangsdaten und Passwörter im Klartext erlangt zu haben. Betroffen sein sollen unter anderem Datenbanken der Verwaltung sowie Zugänge zu Zahlungsdienstleistern.

Die Unterlagen liegen nach aktuellem Stand im Darknet und können dort von jeder Person mit entsprechendem Zugang heruntergeladen und eingesehen werden.

Betroffen ist ein breites Spektrum sensibler Dokumente, insbesondere aus dem Gesundheitsbereich. Dazu zählen Reha-Unterlagen, der Scan eines Schwerbehindertenausweises, Unfallanzeigen, Arbeitsunfähigkeitsbescheinigungen sowie ärztliche Atteste.

Die bislang sichtbaren Ordnerbezeichnungen im Datenleck weisen zudem darauf hin, dass auch dienstliche E-Mail-Korrespondenz zu Krankmeldungen und Impfungen betroffen ist. Ebenfalls unter den abgeflossenen Dateien befinden sich Scans von PCR-Testergebnissen.

Mit der Aufklärung des Angriffs sind das Landeskriminalamt (LKA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) befasst. Ob die Angaben der Täter zum Umfang der erbeuteten Daten zutreffen, ist bislang nicht unabhängig verifiziert.

Betroffene Personen sollen informiert werden

Wie der Berliner Senat mitteilte, führen die Sicherheitsbehörden derzeit „eine intensive Datenprüfung durch“. Demnach untersuchen auch IT-Forensiker im Auftrag des Landes Berlin die veröffentlichten Daten.

„Sofern im Rahmen der Analyse einzelne betroffene Personen identifiziert werden, werden diese risikobasiert und entsprechend der gesetzlichen Vorgaben von den zuständigen Senatsverwaltungen informiert“, hieß es weiter. Bürger, die Hinweise darauf hätten, dass ihre Daten veröffentlicht wurden oder für Straftaten genutzt werden, sollten Strafanzeige erstatten.

Der GdP-Landesvize Thorsten Schleheider zeigt sich empört: „Dieser Cyberangriff reiht sich nahtlos in die Serie an derartigen Vorfällen rund um unsere Behörden ein. Er hat Berlins Politik einmal mehr deutlich vor Augen geführt, dass hier über Jahre gepennt wurde. Es ist richtig, sich nicht erpressen zu lassen. Aber es kann nicht sein, dass hier tagelang hochsensible Daten geraubt wurden und die einzige Reaktion scheinbar darin besteht, die Beschäftigten anzuweisen, ihre Passwörter zu ändern. Das zeugt schon von einer gewissen Hilflosigkeit. Unsere Kollegen sind nicht Schuld, dass die IT-Sicherheit im Land Berlin jahrzehntelang an die Wand gefahren wurde.“