Ein Daten-Leak von gigantischem Ausmaß erschüttert Berlin: Rund 1,4 Millionen Dateien mit insgesamt mehr als fünf Terabyte Daten sind nach dem Cyberangriff ins Netz gelangt. Euronews beantwortet, nach aktuellem Wissensstand, die acht wichtigsten Fragen.
Warum konnte dieser Angriff überhaupt passieren?
Das ist bislang nicht abschließend geklärt. Die Berliner Verwaltung untersucht noch, wie die Angreifer in die IT-Systeme eindringen konnten und über welchen Weg sie die Daten abziehen konnten. Deshalb wäre es derzeit zu früh, eine konkrete Sicherheitslücke oder ein Versagen einzelner Verantwortlicher als Ursache zu benennen.
WERBUNG
WERBUNG
Klar ist aber: Die Cybercrime-Gruppe hatte offenbar über einen längeren Zeitraum Zugriff auf Systeme der Berliner Landesverwaltung. Die laufenden forensischen Untersuchungen sollen nun klären, wann genau der Angriff begann, welche Systeme kompromittiert wurden und inwiefern Sicherheitsvorkehrungen versagt haben.
Für die politische Aufarbeitung wird damit eine zentrale Frage sein: Wie waren die Systeme geschützt und wurden Warnsignale und Sicherheitslücken zu spät erkannt?
Sind Sicherheitsbehörden und kritische Infrastruktur betroffen?
Auch das ist noch nicht abschließend geklärt. Angeblich befinden sich in den veröffentlichten Daten sicherheitsrelevante Unterlagen, wie ein Ordner mit der Bezeichnung „AG CBRN-Rahmenplanung“. CBRN steht für chemische, biologische, radiologische und nukleare Gefahren.
Betroffen sein könnten Beschäftigte der Berliner Landesverwaltung, deren persönliche Daten wie Telefonnummern, Wohnadressen oder Geburtsurkunden in den veröffentlichten Dateien auftauchen, aber auch Bürger und andere Personen, deren Daten von Berliner Behörden verarbeitet wurden.
Ob darüber hinaus Polizei, Feuerwehr, Rettungsdienste oder Betreiber kritischer Infrastruktur unmittelbar betroffen sind, wird derzeit noch untersucht. Gerade wegen der enormen Datenmenge gibt es bislang keinen vollständigen Überblick.
Besonders brisant sind tatsächlich die sicherheitsrelevanten Unterlagen. Sollten beispielsweise Notfallpläne, Baupläne oder Informationen zu CBRN-Lagen tatsächlich vollständig öffentlich zugänglich sein, wie die Cybercrime-Gruppe behauptet, könnten daraus Risiken für Behörden, Einsatzkräfte und möglicherweise auch die kritische Infrastruktur entstehen.
Handelt es sich tatsächlich um rund 1,4 Millionen Dateien – und was steckt genau dahinter?
Die Größenordnung des Leaks steht fest: Es handelt sich um mehrere Terabyte Daten und vermutlich 1.439.893 Dateien. Die exakten Zahlen sowie der vollständige Inhalt des Datenpakets werden derzeit noch untersucht.
Die Cybercrime-Gruppe Rhysida behauptet, unter den Dateien befänden sich unter anderem mehr als 5.000 Personalakten, Gehaltsabrechnungen, Bußgeldvorgänge, vertrauliche Unterlagen sowie Zugangsdaten und Passwörter.
Welche dieser Angaben tatsächlich stimmen und wie viele sensible Daten betroffen sind, ist noch nicht abschließend geklärt.
Wer und was steckt hinter Rhysida?
Hinter Rhysida steckt eine professionell organisierte Cyberkriminellen-Gruppe, die seit 2023 aktiv ist und mit Ransomware arbeitet. Die Gruppe verschlüsselt bzw. stiehlt Daten und versucht anschließend, ihre Opfer mit der Veröffentlichung der erbeuteten Informationen zu erpressen.
Wer genau hinter den Personen steckt, die Rhysida betreiben, ist bislang nicht öffentlich geklärt. Seit ihrem Auftauchen im Juni 2023 hat Rhysida nach Angaben von Cybercrime-Trackern hunderte Angriffe für sich reklamiert – unter anderem auf Behörden, Krankenhäuser, Bildungseinrichtungen und Unternehmen. Zu den bekannten Opfern zählt unter anderem die British Library.
Die Hacker stahlen damals rund 600 Gigabyte Daten, veröffentlichten diese nach einer verweigerten Lösegeldzahlung im Darknet und legten gleichzeitig große Teile der IT-Infrastruktur lahm. Die Bibliothek kämpft bis heute mit den Folgen des Angriffs von 2023.
Für den Berlin-Angriff bedeutet das: Es gibt derzeit keinen Hinweis darauf, dass ein Staat hinter dem Angriff steckt. Nach bisherigem Kenntnisstand handelt es sich um eine kriminelle Ransomware-Gruppe, die mit gestohlenen Daten Geld verdienen will.
Rhysida forderte von Berlin 30 Bitcoin – rund zwei Millionen Euro – und drohte mit der Veröffentlichung der gestohlenen Daten. Der Senat lehnte die Zahlung ab. Nach Ablauf des Ultimatums veröffentlichten die Täter das Datenpaket tatsächlich im Darknet.
Von wo aus Rhysida genau agiert, ist unbekannt. Experten vermuten die Hintermänner im osteuropäischen Raum.
Ist mit weiteren Veröffentlichungen durch Rhysida zu rechnen?
Ja, das kann derzeit nicht ausgeschlossen werden. Rhysida hat zwar bereits einen großen Teil der erbeuteten Daten veröffentlicht, doch es ist weiterhin unklar, ob damit tatsächlich sämtliche gestohlenen Daten öffentlich gemacht wurden. Die Berliner Verwaltung untersucht noch, ob über das bislang bekannte Datenpaket hinaus weitere Informationen abgeflossen sind.
Zudem besteht die Gefahr, dass die bereits veröffentlichten Daten weiterverbreitet, kopiert oder von anderen Kriminellen ausgewertet werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt ausdrücklich vor möglichen Folgeangriffen, etwa gezieltem Phishing und Betrugsversuchen.
Der ursprüngliche Leak ist öffentlich, damit ist die Gefahr aber nicht vorbei. Entscheidend ist jetzt auch, ob Rhysida noch weitere Daten besitzt und ob bereits veröffentlichte Informationen weiterverbreitet oder für neue Angriffe missbraucht werden.
Wie hätte der Angriff verhindert werden können?
Das lässt sich erst nach Abschluss der forensischen Untersuchung seriös beantworten. Der genaue Einfallweg der Hacker ist bislang nicht öffentlich bekannt. Fest steht aber: Der Angriff wurde am 14. August entdeckt, nachdem die Angreifer zwischen dem 7. und 12. August Daten abgezogen hatten. Die betroffenen Verwaltungen wurden anschließend vom Landesnetz isoliert.
Grundsätzlich hätten mehrere Schutzmaßnahmen das Risiko eines solchen Angriffs reduzieren können: konsequentes Patchen und Aktualisieren von IT-Systemen, starke Zugriffskontrollen und Mehrfaktor-Authentifizierung, eine stärkere Trennung einzelner Netzbereiche sowie eine lückenlose Überwachung ungewöhnlicher Datenabflüsse.
Besonders interessant ist in dem Zusammenhang ein Befund des Berliner Rechnungshofs: Bereits 2024 kritisierte er bei einer Senatsverwaltung unter anderem eine selbst entwickelte Firewall, deren Aufgaben und Konfigurationsänderungen nicht ausreichend dokumentiert waren. Zudem seien vorhandene professionelle Firewalls nicht entsprechend eingesetzt bzw. regelmäßig aktualisiert worden.
Ob genau diese oder andere Schwachstellen den aktuellen Rhysida-Angriff ermöglicht haben, ist aber nicht belegt.
Kann der Leak noch gestoppt bzw. die Daten aus dem Netz entfernt werden?
Der einmal veröffentlichte Datenbestand lässt sich praktisch nicht mehr vollständig zurückholen. Selbst wenn die ursprüngliche Leak-Seite abgeschaltet wird, können Hacker, andere Kriminelle oder Dritte die Dateien bereits heruntergeladen, kopiert und an anderer Stelle weiterverbreitet haben.
Die Berliner Behörden können allerdings versuchen, einzelne Veröffentlichungen löschen zu lassen und die weitere Verbreitung einzudämmen. Gleichzeitig geht es darum, kompromittierte Zugänge zu sperren, Passwörter und Zugangsdaten zurückzusetzen und besonders sensible Informationen zu schützen.
Die entscheidende Realität bei einem solchen Angriff lautet daher: Was einmal im Netz ist, kann kaum wieder vollständig verschwinden. Der Fokus liegt jetzt darauf, die weitere Verbreitung und mögliche Folgeschäden so weit wie möglich zu begrenzen.
Wer informiert die Betroffenen – und wann?
Das Land Berlin hat ausdrücklich bestätigt, dass neben Beschäftigten der Verwaltung auch persönliche Daten von Bürgern und Unternehmen betroffen sein können.
Für viele Berliner ist deshalb derzeit die entscheidende Frage: Sind ihre persönlichen Daten im Darknet gelandet – und wer sagt es ihnen? Die Verwaltung muss zunächst auswerten, welche Daten tatsächlich abgeflossen sind und wem sie zugeordnet werden können.
Bis dahin bleibt für viele die Frage offen: Bin ich betroffen, und wenn ja, welche meiner Daten sind im Netz?
WICHTIG: Wenn persönliche Daten von Ihnen tatsächlich durch den Leak veröffentlicht wurden, kommt grundsätzlich ein Schadensersatzanspruch in Betracht. Grundlage ist Artikel 82 der Datenschutz-Grundverordnung (DSGVO). Ob ein Anspruch tatsächlich besteht und wie hoch eine mögliche Entschädigung ausfallen könnte, hängt jedoch von den Umständen des Einzelfalls ab.
In eigener Sache: Sehen Sie auch die aktuelle Euronews Exklusiv-Reportage