Der Hackerangriff auf Berlin ist deutlich gravierender als zunächst angenommen. Am Freitag hatte Berlins Regierender Bürgermeister Kai Wegner (CDU) mitgeteilt: „Wir haben es mit einer schweren Straftat zu tun. Das Land Berlin wird von den Tätern erpresst.“ Berlin lasse sich jedoch nicht erpressen. Inzwischen wurde bekannt: Die Cyberkriminellen wollen offenbar zwei Millionen Euro Lösegeld.

Noch am Montag vergangener Woche hieß es im Innenausschuss des Abgeordnetenhauses, dass lediglich öffentlich verfügbare Geodaten gestohlen worden seien. Am Mittwoch musste Berlins Digitalstaatssekretär Florian Hauer einräumen, dass womöglich auch „personenbezogene oder sonstige nichtöffentliche Daten betroffen“ sind.

Abgeordnetenhauswahl

Applaus für Radfahrer, Eis für alle und Tanzeinlagen: Der Wahlkampf der drei linken Parteien in Berlin

Zu den Forderungen der Erpresser hält sich die Senatskanzlei bedeckt. „Aus ermittlungstaktischen Gründen äußern wir uns dazu zum jetzigen Zeitpunkt nicht“, sagte eine Senatssprecherin. Die Ermittlungen zu dem Cyberangriff dauerten weiter an.

Vertraulich eingestufte Daten erbeutet

Laut dem Nachrichtenmagazin Der Spiegel drohen die Erpresser mit der Veröffentlichung der bei der Cyberattacke erbeuteten Daten, falls das Land Berlin nicht auf ihre Forderung eingeht. Die Erpresser verlangen demnach 30 Bitcoin, was etwa zwei Millionen Euro entspricht. Offenbar gelangten die Täter an eine große Menge sensibler Daten, darunter vertraulich eingestufte Dokumente und Passwörter. Sie verfügen über Daten von knapp 80.000 Ordnungswidrigkeitsverfahren und mehr als 46.500 Verträgen sowie über Informationen zu Einrichtungen der kritischen Infrastruktur, sensible Justizunterlagen und knapp 6000 Dateien mit Login-Daten.

Als Beleg ihres erfolgreichen Datendiebstahls zeigten die Cyberkriminellen Ausrisse aus einzelnen Dokumenten mit Überschriften wie „Vertrauliche Personalsache“ und den Briefköpfen des Bundesrats oder der Berliner Verkehrsverwaltung. Die Polizei überprüft derzeit deren Authentizität.

Fast sechs Terabyte an Daten gestohlen

Zu dem Hackerangriff bekannte sich die Gruppierung Rhysida. Dabei handelt es sich um eine international agierende Ransomware-Bande, die sogenannte Ransomware-as-a-Service (RaaS) betreibt. Die Gruppierung, die im Mai 2023 das erste Mal auffiel, hat in der Vergangenheit weltweit kritische Sektoren wie das Gesundheits- und Bildungswesen, Regierungseinrichtungen und Unternehmen ins Visier genommen.

Nach eigenen Angaben hat Rhysida 5,79 Terabyte an Daten aus dem Berliner Landesnetz gestohlen und droht, diese auf einer Darknet-Auktion zu verkaufen, sollte in den nächsten Tagen kein Lösegeld gezahlt werden.

Laut Berichten mehrerer Fachmedien sind Rhysida-Operationen weniger von politischen als vielmehr von finanziellen Motiven getrieben. Ansonsten ist wenig über diese Gruppe bekannt. Sie scheint mit keinem Nationalstaat und keiner politischen Ideologie verbunden zu sein. Forscher vermuten ihren Sitz in Russland oder den benachbarten GUS-Staaten. Dies basiert auf Beobachtungen, wonach Russisch als Hauptsprache der Kommunikation dient. Zudem zielt die Gruppe auf Unternehmen in allen Ländern mit Ausnahme von Russland und den anderen GUS-Staaten – was darauf hindeutet, dass sie sich im Schutz der dortigen Strafverfolgungsbehörden befindet.

Berliner Senat entschloss sich zu „radikalem Schritt“

Die Cyberkriminellen hatten mehrere Tage Zeit, sich im Berliner Landesnetz umzuschauen. Nach bisherigen Erkenntnissen flossen bereits zwischen dem 7. und 12. August Daten ab. Wann die Täter erstmals in das Netz eindrangen, ist weiterhin offen. Nachdem der Angriff am 14. August festgestellt worden war, trennte der Senat die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Umwelt und Klimaschutz vom Landesnetz.

Dadurch kam es zu Einschränkungen, unter anderem bei der Beantragung und Auszahlung von Wohngeld sowie bei weiteren digitalen Behördendiensten wie dem digitalen Bauportal. Das Wohngeld für die rund 55.000 Empfänger in Berlin wird inzwischen wieder ausgezahlt. Auch das Portal für Sondernutzungsrechte und verkehrsrechtliche Anordnungen bei der Umwelt- und Verkehrsverwaltung war zeitweise nicht am Netz.

Wären diese beiden Verwaltungen nicht vom Landesnetz abgetrennt worden, hätten die Erpresser wohl noch viele weitere Daten aus dem gesamten Landesnetz erbeutet, wie der Senat bestätigte. Digitalstaatssekretär Florian Hauer sagte in der vergangenen Woche auf eine Frage der Berliner Zeitung: „Wenn wir nicht sehr besorgt gewesen wären, dass es zu massiven Schäden kommt, hätten wir nicht den radikalen Schritt unternommen, zwei Senatsverwaltungen vom Netz zu nehmen.“