Hackerangriff auf Berliner Senatsverwaltungen: 5,7 Terabyte im Darknet, Analyse dauert Wochen
Hacker des Kollektivs Rhysida erbeuteten 1,2 Millionen Dateien aus zwei Berliner Senatsverwaltungen. Die Schadensanalyse wird laut BSI-Präsidentin mehrere Wochen dauern.
Berliner Senatsverwaltungen nach Hackerangriff: Forensische Untersuchung noch nicht abgeschlossen
Wie die Frankfurter Allgemeine Zeitung berichtet, haben Hacker aus zwei Berliner Senatsverwaltungen mehr als 1,2 Millionen Dateien mit einem Gesamtvolumen von 5,7 Terabyte gestohlen. Seit Freitag sind die Daten im Darknet abrufbar. Die vollständige Aufarbeitung des Vorfalls wird nach Einschätzung von Behördenvertretern noch erhebliche Zeit in Anspruch nehmen.
Digitalstaatssekretär Florian Hauer (CDU) erklärte am Montagnachmittag im Digitalausschuss des Abgeordnetenhauses, das Land Berlin untersuche weiterhin sämtliche IT-Systeme von Land und Bezirken forensisch. Dabei werde überprüft, ob die Angreifer noch im Landesnetz aktiv seien und weitere Attacken vorbereiten könnten. Diese Untersuchung werde „noch einige Tage dauern".
Die Schadensermittlung gestaltet sich aufwendig: Am Montagnachmittag luden IT-Techniker die im Darknet veröffentlichten Dateien noch herunter. Die geringe Datenbandbreite der illegalen Server verlangsamt den Prozess erheblich. Claudia Plattner, Präsidentin des Bundesamtes für Sicherheit in der Informationstechnik (BSI), erläuterte im Ausschuss, dies sei nicht ungewöhnlich — die Hacker nutzten kleine, „gut versteckte" Server, die nur einen langsamen Datenabfluss ermöglichten.
Nach dem Herunterladen sollen die Dateien mittels Künstlicher Intelligenz nach ihrer potentiellen Brisanz vorsortiert werden. Anschließend müssen Verwaltungsmitarbeiter die Inhalte manuell sichten und alle Betroffenen des Datendiebstahls identifizieren. Plattner bezifferte den Zeitrahmen für diese Schadensanalyse auf „einige Wochen".
Recherchen von Journalisten im Darknet hatten in den vergangenen Tagen ergeben, dass neben persönlichen Daten von Mitarbeitern auch Notfallpläne zum Schutz kritischer Infrastruktur entwendet wurden. Hauer sagte, Dateien, die der „kollektiven Sicherheit" dienten, würden vorrangig gesichtet. Eine Bedrohung der „nationalen Verteidigungsfähigkeit" schloss er derzeit aus.
Hinter dem Angriff soll das Hacker-Kollektiv Rhysida stehen, das erstmals im Mai 2023 in Erscheinung trat. Wer konkret dahintersteckt, ist bislang ungeklärt. Branchenbeobachter vermuten aufgrund ausgefeilter Angriffsmuster eine russische Beteiligung — bislang wurden keine russischen oder russlandnahen Einrichtungen angegriffen. Rund die Hälfte der bisher bekannten Opfer sitzt in den USA, etwa ein Viertel in Europa. Insgesamt sind weltweit rund 300 Institutionen von Rhysida-Angriffen betroffen.
Das Kollektiv vertreibt sogenannte Ransomware-as-a-Service (RaaS): eine Hacker-Software inklusive Dienstleistung, die Cyberkriminelle mieten können. Sie verschlüsselt Daten so, dass die Eigentümer keinen Zugriff mehr haben — die Freigabe erfolgt typischerweise nur gegen Lösegeld.
Im Fall Berlin hatten die Angreifer eine Zahlung von dreißig Bitcoin gefordert, umgerechnet rund zwei Millionen Euro. Mitte August setzten sie dem Senat eine Wochenfrist; bei Nichtzahlung drohten sie mit der Veröffentlichung aller Daten im Darknet. Der schwarz-rote Senat lehnte die Forderung mit Zustimmung der Opposition ab — woraufhin die Daten am Freitag tatsächlich online gestellt wurden.
Sowohl Hauer als auch Plattner bewerteten es im Ausschuss als „Glück im Unglück", dass der Angriff entdeckt worden war, bevor die Hacker mit der Verschlüsselung begonnen hatten. Die Daten wurden lediglich kopiert und sind in den betroffenen Senatsverwaltungen weiterhin verfügbar.
Rhysida war zuvor bereits mehrfach mit ähnlichen Methoden aufgefallen: im Mai 2023 bei der Hochschule Kaiserslautern, kurz darauf bei einer amerikanischen Gesundheitsbehörde, im Herbst 2023 bei der British Library und dem King Edward VII's Hospital in London sowie im Frühjahr 2026 bei der Stuttgarter Verwaltung.
Im Digitalausschuss zeigten sich Vertreter aller Fraktionen grundsätzlich einverstanden mit dem Vorgehen des Senats. Grüne, Linke und AfD forderten jedoch umfassendere Informationen über das Schadensausmaß. Der Linken-Fraktionsvorsitzende Tobias Schulze regte an, eine Großschadenslage auszurufen, die dem Land Berlin erweiterte Befugnisse gegenüber den Bezirken einräumen würde. Staatssekretär Hauer hielt dies für nicht notwendig, räumte jedoch ein, dass die Kooperationsbereitschaft der Bezirke „unterschiedlich ausgeprägt" sei.
Source: Frankfurter Allgemeine Zeitung