Die Ransomware-Gruppe Rhysida hat in der Nacht auf Samstag rund 5,8 Terabyte Daten aus dem Berliner Landesnetz ins Darknet gestellt. Nach Zählung der Angreifer umfasst das Paket 1,44 Millionen Dateien aus zwei Senatsverwaltungen, wie mehrere Fachmedien und die ZDFheute-Redaktion am Wochenende berichteten. Die Veröffentlichung erfolgte, nachdem der Senat die Zahlung von 30 Bitcoin - rund zwei Millionen Euro - ausgeschlagen hatte. Regierender Bürgermeister Kai Wegner (CDU) und Innensenatorin Iris Spranger (SPD) hatten vergangene Woche erklärt: „Das Land Berlin lässt sich nicht erpressen.“
Der Angriff selbst liegt Wochen zurück. Zwischen dem 7. und 12. August drangen die Täter in die Netze der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt ein. Am 14. August isolierte die IT die betroffenen Häuser vom Landesnetz, am 17. August machte der Senat den „IKT-Vorfall“ öffentlich. Am 28. August meldete sich Rhysida mit der Lösegeldforderung. Die Frist verstrich am Freitagnachmittag ohne Zahlung, kurz darauf gingen die ersten Datenpakete online, wie das IT-Fachmedium Heise dokumentiert.
In dem Paket stecken laut übereinstimmenden Berichten Personalakten, Lohnabrechnungen, gescannte Ausweise, medizinische Unterlagen und Passwörter im Klartext. Dazu Bundesratsvorlagen, Ermittlungsakten des Landeskriminalamts und Verwundbarkeitsanalysen zur Trinkwasserversorgung, zu Umspannwerken, Notstromanlagen und Rüstungsbetrieben. Recherchen des Journalisten Lars Winkelsdorf zufolge, den Euronews zitiert, findet sich in den Dateien auch ein Ordner mit dem Titel „AG CBRN-Rahmenplanung“ - CBRN steht für chemische, biologische, radiologische und nukleare Gefahrenlagen. Winkelsdorf sprach von „staatsgefährdender Dimension“.
Man hat grob fahrlässig gehandelt und teilweise sogar mit Vorsatz, also wissentlich grob fahrlässig gehandelt.
Aus der Bundespolitik kam scharfe Kritik. Der Grünen-Innenpolitiker Konstantin von Notz sprach von einem „Daten-Super-GAU“ und stellte gegenüber Heise „personelle Konsequenzen“ in Aussicht, falls sich bestätige, dass Schutzmechanismen wissentlich ignoriert worden seien. CDU-Verteidigungsexperte Roderich Kiesewetter erklärte, das Leck „gefährdet unsere nationale Sicherheit“. IT-Sicherheitsexperte Manuel Atug von der AG KRITIS warnte im ZDF, Führungskräfte betroffener Rüstungsunternehmen bräuchten „spätestens jetzt Personenschutz“. Manche Folgen des Lecks seien „gar nicht mehr revidierbar“.
Was Betroffene jetzt erwartet
Der Senat hat am Samstag eine Steuerungseinheit eingerichtet, die Beschäftigte und Bürgerinnen und Bürger, deren Daten im Paket auftauchen, per Brief und E-Mail informieren soll. An den Ermittlungen beteiligen sich das Bundesamt für Sicherheit in der Informationstechnik, das Bundeskriminalamt und das Bundesamt für Verfassungsschutz. Das BSI hat parallel vor gezielten Phishing-Wellen gewarnt, die mit den geleakten Klartext-Passwörtern und Personendaten arbeiten dürften. In den beiden betroffenen Häusern lagen Wohngeldanträge und Auszahlungen tagelang still, weil die Fachverfahren abgeschaltet worden waren.
Rhysida operiert seit 2023 als „Ransomware-as-a-Service“-Anbieter und ist unter anderem für Angriffe auf die British Library und die chilenische Armee verantwortlich. Das FBI hatte die Gruppe bereits Ende 2023 zu den international aktivsten Erpresser-Kollektiven gezählt. Berlin ist damit die bislang größte deutsche Landesverwaltung, die von der Gruppe getroffen wurde. Wie viele der 1,44 Millionen Dateien am Ende tatsächlich sicherheitsrelevantes Material enthalten, ist offen - die Sichtung dürfte Wochen dauern. Für die Betroffenen sind die Daten aber schon jetzt aus der Welt.