Seit vergangenem Freitagnachmittag steht der Datensatz aus dem Berliner Landesnetz frei verfügbar im Darknet. Die Erpressergruppe Rhysida hatte 30 Bitcoin gefordert, umgerechnet rund zwei Millionen Euro: Insgesamt sollen etwa 1,2 Millionen Dateien zugänglich gemacht worden sein. Die Angreifer selbst sprechen von 5,8 Terabyte.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit schreibt in ihren Hinweisen zum Angriff, es lasse sich noch nicht abschließend sagen, wessen Daten abgeflossen und im Darknet veröffentlicht worden sind; die Sichtung dauere an.

Bislang bekannt ist, welche Behörden betroffen sind: die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Aufmerksam sein sollten daher Personen, die Kontakt mit Dienststellen in diesen Bereichen hatten: etwa wegen eines Bauantrags, einer Wohnungsbauförderung, eines Bußgeldverfahrens oder einer Stellungnahme im Planungsverfahren.

Welche Daten genau veröffentlicht wurden, hat das Land bislang nicht mitgeteilt. Laut Senatskanzlei werden Personen informiert, sofern sie bei der Auswertung identifiziert werden. Somit auch jene, die nur erwähnt werden, etwa als Nachbar in einem Bauverfahren oder als Zeuge in einem Vorgang. Außerdem sollen sich ehemalige Bedienstete des Landes an ihre frühere Dienstbehörde wenden.

Die wichtigsten Schritte

Der erste Schritt betrifft alle Zugänge, die Berliner gegenüber den Landesbehörden genutzt haben. Ebenso alle Dienste, bei denen dasselbe Passwort ein zweites Mal verwendet wurde. Die Datenschutzbeauftragte rät ausdrücklich dazu, für jeden Dienst ein eigenes starkes Passwort zu vergeben. Ein Passwortmanager hilft dabei, den Überblick zu behalten.

Wichtiger noch als das Passwort selbst ist die zweite Sicherheitsstufe: Wo eine Zwei-Faktor-Anmeldung angeboten wird, sollte sie aktiv sein, vor allem beim E-Mail-Konto, beim Onlinebanking und bei Verwaltungsportalen. Sie schützt den Zugang auch dann, wenn ein Passwort bereits in fremden Händen ist.

Kontobewegungen über Wochen im Blick behalten

Wer in einem Antrag oder einem Bescheid seine Kontoverbindung angegeben hat, sollte Kontoauszüge und Kreditkartenabrechnungen regelmäßig durchsehen, und zwar über einen längeren Zeitraum. Kriminelle verwerten geleakte Daten oft erst Monate später, wenn die öffentliche Aufmerksamkeit abgeebbt ist. Auffällige Kleinstbeträge sind ein typisches Warnsignal: Mit ihnen wird getestet, ob eine Lastschrift durchgeht. Bei Hinweisen auf Missbrauch von Karten, Ausweisfunktionen oder Mobilfunknummern führt der Weg zum bundesweiten Sperr-Notruf 116 116.

Gefahr droht nicht nur durch eine möglicherweise abgebuchte Summe, sondern auch durch täuschend echte Post. Wer Aktenzeichen, Namen von Sachbearbeitern und Details einzelner Vorgänge aus dem Leak besitzt, kann Anschreiben verfassen, die kaum von einem echten Bescheid zu unterscheiden sind. Gleichgültig ob per Mail versandt, per SMS, Telefonanruf oder als Brief. Wie die Berliner Zeitung bereits berichtete, deuten Ordnerbezeichnungen im Leak darauf hin, dass auch eingescannte Dokumente und dienstlicher Schriftverkehr darunter sind.

Wenn die Täter sich melden: Nicht antworten, anzeigen

Die Senatskanzlei kontaktiert Betroffene nach eigenen Angaben üblicherweise in einem Brief oder einer Mail. Deshalb ist zu beachten, dass ein echtes Schreiben des Landes lediglich informiert und nichts von den Adressaten verlangt. Nach Angaben der Datenschutzbeauftragten fordert die Verwaltung „niemals per formloser E-Mail, SMS oder Telefon zur Zahlung von Geld“ auf, ebenso wenig zur Herausgabe von Passwörtern oder dazu, Links anzuklicken. Wer sich auf das Datenleck beruft und dabei zu einem Login drängt oder Zahlungen verlangt, schreibt nicht im Auftrag des Senats.

Im Zweifel sollte die fragliche Behörde über eine Nummer angerufen werden, die man selbst herausgesucht hat, nicht über die im Schreiben angegebene. Einer Zahlungsaufforderung, die sich nicht zuordnen lässt, sollte nicht Folge geleistet werden. Umgekehrt gilt aber auch: Echte Post zum Datenleck sollte nicht ungelesen im Spamordner landen.

Nehmen Erpresser direkt Kontakt auf, gilt: nicht reagieren, kein Geld überweisen, die Nachricht per Screenshot sichern und Absender notieren. Zuständig ist die Polizei Berlin, Anzeigen nimmt auch die Internetwache online entgegen. Die Senatskanzlei hat Betroffene, deren Daten veröffentlicht wurden, ausdrücklich gebeten, Strafanzeige zu erstatten.

Rechte gegenüber dem Land

Berliner müssen nicht warten, bis sich eine Behörde meldet. Nach Artikel 15 der Datenschutz-Grundverordnung können sie formlos bei der Senatsverwaltung, mit der sie zu tun hatten, Auskunft verlangen, ob und welche Daten zu ihrer Person verarbeitet wurden. Die Stelle muss grundsätzlich innerhalb eines Monats antworten; bei einer hohen Zahl von Anfragen darf sie die Frist verlängern.

Unabhängig davon ist das Land verpflichtet, Betroffene bei hohem Risiko selbst zu informieren. Bleibt eine Auskunft aus, können sich Betroffene über das Onlineformular bei der Berliner Datenschutzbeauftragten beschweren.

Ob die eigene Mailadresse in bekannten Leaks auftaucht, lässt sich kostenlos beim Identity Leak Checker des Hasso-Plattner-Instituts prüfen. Die Berliner Daten dürften dort erst nach und nach erfasst werden; eine erneute Abfrage in einigen Wochen ist deshalb sinnvoll.

Und ein letzter Punkt, den die Datenschutzbeauftragte eigens erwähnt: Die Schutzmaßnahmen gelten auch für Angehörige. Ältere Verwandte, die einen Antrag bei der Bau- oder Verkehrsverwaltung gestellt haben, brauchen beim Ändern von Passwörtern und beim Erkennen gefälschter Schreiben oft Unterstützung. Ein Anruf kostet weniger Zeit als der Schaden, den ein einziger geglückter Betrugsversuch anrichtet.