Hackerangriff auf Berliner Verwaltung - Wie unsicher macht uns der Datenklau?
Nach Hacker-Angriff auf Berlin: Macht der Datenklau unser Land unsicherer?
Ein Berg geheimer Informationen ist plötzlich öffentlich: Notfallpläne, Telefonnummern, Arbeitszeugnisse, Geburtsurkunden, Krankenakten, Kontodaten ● BILD beantwortet die drängendsten Fragen
Berlin – Rund 5,8 Terabyte sensible Daten, gestohlen aus den IT-Systemen des Berliner Senats: Nach einem massiven Hacker-Angriff auf Berlin ist nun ein Datenberg im Darknet hochgeladen worden, dessen teils hochsensibler Inhalt Millionen Menschen betreffen könnte. Weil sich Berlin nicht erpressen lassen wollte und das geforderte Lösegeld nicht zahlte, veröffentlichten die Cyberkriminellen ihre Beute. Von Behörden gibt es derzeit noch kaum Hilfe und Informationen: Wer ist wie betroffen? Wie gefährlich ist der Hacker-Gau für unser Land, für unsere Sicherheit? BILD-Reporter haben bei Behörden und Experten nachgefragt und geben Antworten auf die Fragen, die sich derzeit beantworten lassen. Klar ist: Das komplette Ausmaß des Schadens ist jetzt noch nicht zu überblicken, zu groß ist die Menge an geklauten Daten.
Wie viel sind 5,8 Terabyte tatsächlich?
Ein Terabyte entspricht grob einer Bibliothek mit etwa 300 bis 900 Millionen Buchseiten. Rund 5,8 TB wären so viele Dokumente, dass ein Mensch sie praktisch nicht vollständig lesen könnte.
Ist ein Datensatz erst im Darknet gelandet, gilt er praktisch als dauerhaft veröffentlicht: Kopien können weltweit gespeichert und immer wieder neu hochgeladen werden.
Tragisch: Erst am 14. August wurde der Angriff entdeckt, die betroffenen Systeme wurden für etwa eine Woche vom Berliner Landesnetz getrennt. Am 28. August tauchten die gestohlenen Daten im Darknet auf. Weil der Berliner Senat die Lösegeldzahlung verweigerte, veröffentlichten die Cyberkriminellen das komplette Datenpaket am 4. September um 15.35 Uhr.
Um welche Art von Daten geht es?
In großem Umfang geht es um geheime, vertrauliche Daten. Schon jetzt ist klar, dass Notfallpläne und eingestufte Verteidigungspapiere nun zugänglich sind. Es geht aber auch um dienstliche Kommunikation von Beamten, um dienstliche Dateien, Fotos, um ihre Arbeitszeugnisse, um ihre Geburtsurkunden und Telefonnummern. Und: Es geht um Millionen Bürgerdaten, eventuell auch Steuerdaten.
Aus Sicherheitskreisen hat BILD erfahren: Es gibt aktuell keine konkreten Informationen zu Daten von Politikern, Personen der Öffentlichkeit, Parteien oder Mandatsträgern.
BILD hakte bei der Bundesregierung nach. Ein Regierungssprecher sagte: „Die Bundesregierung verfolgt die Informationen und Ermittlungen zum Datenabfluss genau. Momentan werten die zuständigen Sicherheitsbehörden von Bund und Land die Informationen aus. Zwischen den beteiligten Behörden werden die Informationen kontinuierlich abgeglichen, auch über das Nationale Cyberabwehrzentrum. Nach der Analyse potentieller Sicherheitsrisiken werden entsprechende Maßnahmen zur Wahrung der Militärischen Sicherheit eingeleitet. Datensysteme des Bundes sind nach derzeitigem Kenntnisstand nicht betroffen.“
BILD-Reporter gingen auch der Frage nach, ob auch die Baupläne von sensiblen Gebäuden im Regierungsviertel gehackt wurden. Dazu sagte ein hoher Beamter zu BILD: „Es ist offensichtlich, dass Liegenschaften in Berlin auch in den Berliner Baubehörden dokumentiert sind. Aber noch gibt es keinen Beleg, dass dort Informationen auch tatsächlich abgeflossen sind.“
Gefährdet der Datenklau Deutschlands Sicherheit?
Das ist nicht auszuschließen. Berlin und wohl auch der Bund erleben mit diesem erfolgreichen Hacker-Angriff eine neue Datenschutz- und Cybersicherheitskrise. Die größten Risiken sind nun der Missbrauch persönlicher und dienstlicher Daten, gestohlene Zugangsdaten, mögliche Erkenntnisse über kritische Infrastruktur sowie Desinformationskampagnen.
Aus hohen Bundeswehrkreisen ist gegenüber BILD von einem „datentechnischen Supergau“ die Rede. Feindlichen Akteuren im In- und Ausland sei der Baukasten zu Angriffen auf die kritische Infrastruktur auf dem Silbertablett serviert worden. Experten der Bundeswehr werten derzeit die Daten aus und suchen nach Schwachstellen.
Der hochgeheime „Operationsplan Deutschland“ zur Landesverteidigung ist nach BILD-Informationen nicht gefährdet. Allerdings muss auch die Bundeswehr sensible Daten mit Landesbehörden teilen – etwa zum Zivilschutz im Verteidigungsfall. In den geleakten Daten sind Dutzende Dokumente zum Thema Verteidigung. Darunter „Leitfaden zivile Verteidigung“ und Präsentationen zur „Gesamtverteidigung“. Offiziell heißt es aus dem BMVg zu BILD, es erfolge „ein kontinuierlicher Infoabgleich im nationalen Cyberabwehrzentrum“.
CDU-Sicherheitsexperte Roderich Kiesewetter (62) zeigt sich gegenüber BILD besorgt: Es sei zwar gut, dass sich der Berliner Senat nicht erpressen ließ, aber: „So etwas hätte nie passieren dürfen.“ Kiesewetter weiter: „Es wäre gravierend, wenn unsere Kommunikationswege und Krisenpläne offen lägen.“
Berlin steht kurz vor einer Wahl: Betrifft der Hacker-Angriff auch ihre Abwicklung?
Berlins unabhängiger Landeswahlleiter Stephan Bröchler (63) sagte auf diese Frage zu BILD: „Nach derzeitigem Stand ist die Wahlumgebung weiterhin nicht betroffen. Also weder die Vorbereitung, noch der eigentliche Wahltag, noch der Ablauf bis zur Veröffentlichung des vorläufigen Ergebnisses. Dieser Check hatte für uns höchste Priorität. Völlig unabhängig vom Hacker-Angriff hatten wir im August Probleme mit der Online-Beantragung von Briefwahlunterlagen – Datenbanken hatten sich im Verlauf des Prüfverfahrens gegenseitig beeinflusst. Ich beobachte die Entwicklung sehr aufmerksam, lasse mich regelmäßig informieren.“
Wer steckt hinter der Hackergruppe „Rhysida“?
Nicht ganz klar. Es gibt allerdings Hinweise auf eine russische Herkunft von „Rhysida“: Die Gruppe kommuniziert überwiegend auf Russisch und greift seit 2023 Unternehmen, Behörden und Organisationen weltweit an – jedoch nicht in Russland oder den GUS‑Staaten. Ihr Geschäftsmodell: Daten stehlen, Systeme verschlüsseln und Lösegeld erpressen.
Erik Heyland, Management Board AV-TEST Institut, zu BILD: „Rhysida ist eine der aktivsten und aggressivsten Ransomware-Gruppen weltweit. Seit 2023 hat die Bande fast 300 Opfer attackiert.“ Laut Heyland liegen die Lösegeldforderungen im sechs- bis siebenstelligen Bereich. „Aus unserer Sicht ist Rhysida ein Paradebeispiel dafür, wie professionell und zielgerichtet Cyberkriminelle heute vorgehen – und warum gerade Behörden und kritische Infrastrukturen ihre IT-Sicherheit dringend nachrüsten müssen“, so Heyland.
Wie sind die Hacker an die Daten gekommen?
Der Angriff fand offenbar zwischen dem 7. und 12. August statt. Die Hacker verschafften sich unbemerkt Zugang zu den IT-Systemen der Berliner Senatsverwaltungen und kopierten dabei rund 5,8 Terabyte an Daten. Die Angreifer konnten tagelang Daten abziehen. Wie genau sie sich Zugang verschafften, ist bislang ungeklärt. Als mögliche Wege gelten Sicherheitslücken, gestohlene Zugangsdaten, Phishing oder Dienstleister.
„Ich vermute, dass eine zentrale Dateiablage der Verwaltung gehackt wurde“, sagte Jochim Selzer, Sprecher des Chaos Computer Clubs (CCC), der „Berliner Morgenpost“. „Es sieht auch nach sehr hohen Zugriffsrechten aus.“ Unter den veröffentlichten Daten befinden sich wohl auch personenbezogene Mitarbeiterdaten, etwa Arbeitszeugnisse und Unterlagen aus dem Bereich „Personelles“. Diese Dokumente sind normalerweise nicht öffentlich zugänglich.
Wäre es besser gewesen, Berlin hätte die geforderte Geldsumme gezahlt?
In Politik und Verwaltung gilt stets der Grundsatz: Wir lassen uns nicht erpressen. Und auch die meisten Experten lehnen Lösegeldzahlungen ab, weil sie keine Garantie bieten und weitere Angriffe fördern würden. Zudem war wohl ein großer Schaden bereits entstanden, bevor der Angriff bekannt wurde: Denn die Angreifer konnten wohl tagelang Daten abziehen, ohne entdeckt zu werden.
Olaf Pursche (55), Leiter Kompetenzgruppe Sicherheit, eco Verband der Internet Industrie/Inhaber Pursche Tactical Consulting zu BILD: „Die Veröffentlichung von fast sechs Terabyte hochsensibler Daten im Darknet ist ein digitaler Super-GAU für das Land Berlin und ein bitterer Weckruf für die gesamte öffentliche Verwaltung in Deutschland.“ Und weiter: Trotz des immensen Schadens war die Entscheidung des Berliner Senats, kein Lösegeld zu zahlen, konsequent und richtig. Wir dürfen das hochgradig kriminelle Geschäftsmodell dieser Cyber-Mafia unter keinen Umständen mit Steuergeldern finanzieren und dadurch weitere Angriffe anreizen.“
Der Vorfall zeigt, dass Behörden-IT weiterhin ein leichtes Ziel für Cyberkriminelle ist, so Pursche. Werden sensible Daten offengelegt, leidet das Vertrauen in die digitale Verwaltung. Staatliche Stellen sollten daher dieselben hohen Sicherheitsstandards erfüllen wie die Privatwirtschaft.
Wie erfahre ich, ob ich von dem Daten-Diebstahl betroffen bin? Werde ich benachrichtigt?
Nach Datenschutzrecht müssen Betroffene informiert werden, wenn für sie ein hohes Risiko besteht. Berlin hat auf dem Hauptstadtportal angekündigt, Betroffene zu kontaktieren. Ob und wann Benachrichtigungen verschickt werden, hängt davon ab, welche Daten tatsächlich betroffen sind und ob die Behörden die Betroffenen identifizieren können.
Am ehesten betroffen könnten Personen sein, die mit den betroffenen Behörden – Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt (SenMVKU) und Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen (SenStadt) – zu tun hatten. Etwa durch Wohngeldanträge, Verkehrs- oder Umweltverfahren, Verträge mit der Berliner Verwaltung oder Beschäftigungsverhältnisse. Wer betroffen ist, lässt sich derzeit noch nicht sicher sagen. Es sollen aber vor allem sensible Daten von Beamten betroffen sein.
Was kann ich als mögliches Opfer des Datenraubs tun?
Unabhängig von einer offiziellen Benachrichtigung sollten Sie in den kommenden Wochen aufmerksam sein bei ungewöhnlichen E-Mails oder SMS, bei Anrufen, bei denen persönliche Daten abgefragt werden, bei Aufforderungen zum Passwortwechsel über zugesandte Links sowie bei verdächtigen Login-Benachrichtigungen für Online-Konten. Denn gestohlene Kontaktdaten werden häufig für Phishing, Betrugsversuche und Identitätsdiebstahl genutzt. Wer Anzeichen dafür bemerkt, sollte umgehend Anzeige erstatten.
Kann ich Schadensersatz verlangen?
Wenn Ihre Daten tatsächlich im Leak enthalten sind, ist ein Schadensersatzanspruch nicht ausgeschlossen und rechtlich durchaus denkbar. Die rechtliche Grundlage ist Art. 82 DSGVO. Ob der Anspruch erfolgreich durchgesetzt werden kann und in welcher Höhe, hängt vom Einzelfall ab.
Ist es verboten, sich die nun öffentlichen Daten anzuschauen?
Das reine Lesen öffentlich zugänglicher Informationen ist meist nicht strafbar. Problematisch wird es erst, wenn man gestohlene Daten herunterlädt, speichert, weiterverbreitet, Zugangssperren umgeht oder die Daten für Betrug, Phishing oder Identitätsmissbrauch nutzt. Bei dem Berliner Datenklau sind viele personenbezogene und sensible Informationen betroffen. Auch wenn diese öffentlich auftauchen, können Datenschutz-, Persönlichkeits- und strafrechtliche Vorschriften greifen.
Schützen sich Berlin und Behörden bundesweit nun besser gegen solche Angriffe?
Der Berliner Cyberangriff zeigt, dass Behörden Angriffe nicht nur abwehren, sondern vor allem schneller erkennen und eindämmen müssen. Künftig werden eine bessere Überwachung von Datenabflüssen, stärkere Netztrennung, Mehrfaktor-Authentifizierung und strengere Zugriffsrechte noch wichtiger. Zudem warnt das BSI vor Folgegefahren wie Phishing, Identitätsdiebstahl und Desinformation nach einem Datenklau.
Ob die Berliner Behörden inzwischen besser gegen einen Hacker-Angriff geschützt sind als noch Mitte August, ist unklar.
Haben Sie Fehler entdeckt? Möchten Sie etwas kritisieren? Dann schreiben Sie uns gerne!