Zunächst hatte Staatssekretär Florian Hauer, Berlins „Chief Digital Officer“, der Öffentlichkeit mitgeteilt, „nach derzeitigem Stand“ seien lediglich frei verfügbare Geodaten abgeflossen. Doch der Hackerangriff hat weitaus verheerendere Ausmaße als zunächst angenommen. Es wird wohl noch Wochen dauern, bis der Senat konkret betroffene Bürger warnen kann.

Zwischen 7. und 12. August hatte sich die international operierende Hackergruppe Rhysida Zugriff auf das Berliner Landesnetz verschafft und große Datenmengen abgeschöpft. Betroffen sind die Senatsverwaltungen für Bauen und für Verkehr. Die Verwaltung bemerkte den Angriff erst am 14. August und machte ihn drei Tage später öffentlich.

Am 28. August stellten die Täter dann eine Art Inhaltsverzeichnis der gestohlenen Dateien ins Netz – und ein Ultimatum: Sie verlangten 30 Bitcoin, umgerechnet rund zwei Millionen Euro, andernfalls würden sie die Daten veröffentlichen. Bis vorletzte Woche sei man in Berlin von etwa 8700 betroffenen Dateien ausgegangen, sagte Hauer am Montag im Innenausschuss des Berliner Abgeordnetenhauses.

Seit Freitagnachmittag, als die Täter die Daten veröffentlichten, stieg die Zahl jedoch auf 100.000, dann auf 215.000, dann auf 755.000. „In der Nacht auf Sonntag wurden weitere 550.000 bis 560.000 Dateien sichtbar gemacht, sodass wir jetzt von etwas mehr als 1,2 Millionen Dateien sprechen“, erklärte Hauer.

Datenpakete sollen mit KI analysiert werden

Das Bundeskriminalamt, das Bundesamt für Sicherheit in der Informationstechnik und das Berliner Landeskriminalamt ermitteln derzeit das Ausmaß des Angriffs. Das kann dauern: Nach Angaben Hauers wird allein das Herunterladen der Daten – 5,8 Terabyte – wegen der niedrigen Übertragungsgeschwindigkeit etwa eine Woche in Anspruch nehmen. „Wir haben nach wie vor nicht die Möglichkeit, in dem gesamten Datenpaket eine systematische Analyse vorzunehmen, weil wir diese Daten noch nicht heruntergeladen haben.“

Der Anspruch sei es, die Datenpakete KI-basiert zu analysieren, so Hauer. Mithilfe Künstlicher Intelligenz solle eine Priorisierung vorgenommen werden, um Dateien zu identifizieren, die besonders risikobehaftet und relevant erscheinen. „Wir müssen die Dateien öffnen und händisch überprüfen, mit den einzelnen Referenten und Sachbearbeitern einzeln durchsehen, ob eine potenzielle Gefährdung für jemanden besteht“, sagte Hauer. Anschließend müsse mit den jeweiligen Sachbearbeitern eine einzelfallbezogene Gefährdungsbewertung erstellt werden – etwa über Maßnahmen beim Objektschutz oder die Anpassung von Notfallplänen.

Wie brisant das gestohlene Material ist, lässt sich noch nicht sagen. Das Datenpaket enthält offenbar wahllos abgesaugte Dateien – von einer Excel-Tabelle mit 40 gefahrenträchtigen Unternehmen samt Handynummern bis zu einem Entwurf für einen „Leitfaden Zivile Verteidigung im Land Berlin“, eingestuft als „VS – Nur für den Dienstgebrauch“, der niedrigsten von vier Geheimhaltungsstufen.

Sensibel klingende Dateinamen – aber wenig Inhalt

Bislang gab es nur erste Prüfungen des Materials. Einige Dateinamen klangen auf den ersten Blick äußerst sensibel, etwa eine Datei mit dem Kürzel MAD (Militärischer Abschirmdienst). Bei der Sichtung stellte sich jedoch heraus, dass es darin lediglich um Parkgenehmigungen für Mitarbeiter des Dienstes ging; Daten zu Fahrzeugen und Personen enthielt sie nicht.

Polizeipräsidentin Barbara Slowik Meisel nannte ein ähnliches Beispiel: Eine Datei des Landeskriminalamtes sei mit „PMK-Fall“ überschrieben – politisch motivierte Kriminalität. Darin gehe es aber nicht um einen speziellen Fall, sondern lediglich um eine Verfügung, wie bei Dienstvergehen zu verfahren sei. „Bisher ist nicht bekannt, dass Privatadressen der Polizei oder Vorgänge des Staatsschutzes abgeflossen sind“, sagte die Polizeichefin.

Hauer legt gleichwohl Wert auf die Formulierung „nach jetzigem Erkenntnisstand“. Es liege in der Natur dieses Phänomens, dass die Erkenntnislage sehr dynamisch sei – anders als bei einem Brand an einem Stromkabel, der klar einzugrenzen ist. Den Schaden könne man nicht mit eigenem Auge sehen wie bei einem physischen Angriff; es brauche eine forensische Tiefenanalyse in „unvorstellbar großen“ Datenmengen.

Bürger sollten auf Identitätsdiebstahl achten

Die 5,8 Terabyte gestohlener Daten sollen mehr als 5000 Personalakten enthalten, außerdem Gehaltsabrechnungen und private Kontoinformationen von Angestellten. Darunter sind wohl auch zahlreiche Bußgeldvorgänge sowie Kopien von Personalausweisen und Pässen von Bürgern, die mit den Behörden in Kontakt standen. Medienberichten zufolge finden sich darin auch Passwörter im Klartext, die Zugang zu internen Datenbanken der Verwaltung eröffnen.

Bleibt also die Frage, die sich derzeit viele Menschen stellen: Wie kann man sich als möglicher Betroffener schützen? „Wir können noch keine Betroffenen identifizieren“, sagte Hauer. „Deshalb können wir für den Moment nur abstrakte Ratschläge geben.“ Man solle achtsam sein mit Blick auf mögliche Identitätsdiebstähle.