Hackergruppe Rhysida veröffentlicht 5,7 Terabyte Berliner Verwaltungsdaten
Die Hackergruppe Rhysida hat nach gescheiterter Lösegeldforderung 1,44 Millionen Dateien aus Berliner Behörden ins Darknet gestellt. Darunter Personalakten, Notfallpläne und geheime Kommunikationskanäle.
Berliner Verwaltung nach Hackerangriff: Geheime Dokumente öffentlich einsehbar
Die Hackergruppe Rhysida hat rund 1,44 Millionen Dateien mit einem Umfang von etwa 5,7 Terabyte aus dem Berliner Landesnetz im Darknet veröffentlicht. Das berichtet die Süddeutsche Zeitung. Nachdem das Land Berlin eine Lösegeldforderung von umgerechnet etwa zwei Millionen Euro abgelehnt hatte, ließ die Senatsverwaltung die Frist am Freitagabend verstreichen — woraufhin die Gruppe die erbeuteten Daten freigab.
Was geleakt wurde
Unter den veröffentlichten Daten befinden sich laut SZ Verwaltungsdokumente wie Verträge, Protokolle und Passwörter sowie personenbezogene Informationen — darunter Adressen, Telefonnummern und vertrauliche Personalakten. Der Tagesspiegel berichtet zudem von Reha-Unterlagen, Attesten und Krankschreibungen. Darüber hinaus fanden sich Bewerbungsunterlagen, interner Mailverkehr sowie als „Vertraulich" gekennzeichnete Arbeitspapiere. Auch sicherheitsrelevante Informationen wie Notfallpläne und geheime Kommunikationskanäle sollen zu den geleakten Dokumenten gehören.
Der Datensatz ist nach Einschätzung der Behörden enorm groß. Welche weiteren Informationen sich darin verbergen, werde sich erst in den kommenden Tagen zeigen.
Wer hinter dem Angriff steckt
Die Hackergruppe Rhysida hat den Angriff für sich reklamiert. Die Gruppe war in der Vergangenheit bereits bei verschiedenen öffentlichen und privaten Institutionen aktiv — darunter die britische Nationalbibliothek und das chilenische Militär. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) geht davon aus, dass der Hack „ausschließlich finanziell motiviert" gewesen sei.
Rhysida verschafft sich laut bisherigen Erkenntnissen häufig über sogenannte Phishing-Attacken Netzzugang: Dabei ahmen die Angreifer vertrauenswürdige Websites nach oder geben sich per E-Mail als Kollegen oder Administratoren aus, um so an Zugangsdaten zu gelangen. Ob dieses Vorgehen auch beim Berliner Angriff angewandt wurde, müssen die laufenden Ermittlungen noch klären.
Wie der Angriff verlief
Der Angriff erfolgte am 7. August über die Senatsverwaltung für Mobilität, Verkehr und Umwelt sowie die Senatsverwaltung für Bauen und Wohnen. Beide Behörden betreiben eine eigene IT und sind nicht direkt an das landeseigene IT-Dienstleistungszentrum angebunden. Kritiker werten diese mangelnde Konsolidierung der öffentlichen IT als sicherheitsrelevantes Risiko.
Zunächst hatte die Berliner Senatskanzlei erklärt, es seien ausschließlich öffentlich zugängliche Daten abgeflossen. Diese Einschätzung erwies sich später als falsch. Auch der Zeitpunkt des Angriffs wurde erst spät erkannt.
Laut dem Land Berlin gibt es derzeit keine Hinweise darauf, dass das Landesnetz weiterhin infiltriert ist. Das Netz verbindet in Berlin rund 600 Standorte, darunter Verwaltungsgebäude, Feuerwachen und wissenschaftliche Einrichtungen.
Was Betroffene tun können
Die Berliner Verwaltung will Personen, deren Daten abgeflossen sind, je nach Risikoeinschätzung direkt informieren. Für Bedienstete der betroffenen Verwaltungen wurde eine gesonderte Anlaufstelle eingerichtet. Betroffene sind aufgerufen, Strafanzeige bei der Polizei zu erstatten.
Die Berliner Datenschutzbeauftragte empfiehlt, Passwörter bei Verwaltungs- und Onlinediensten zu aktualisieren und Kontobewegungen aufmerksam zu beobachten. Da auch Zugangsdaten veröffentlicht wurden, wurde der Fernzugriff auf interne Systeme eingeschränkt, berichtet der Tagesspiegel. Mitarbeiter der betroffenen Verwaltungen konnten sich demnach nicht mehr per VPN aus dem Homeoffice einloggen, sondern mussten dafür im Büro erscheinen.
Reaktion von Bund und Bundeswehr
Das BSI weist auf eine grundsätzlich erhöhte Bedrohungslage hin. „Das BSI weist explizit darauf hin, dass sich aus der Veröffentlichung gestohlener Daten verschiedene Risiken für die Betroffenen und letztlich für die Gesellschaft ergeben können", erklärte ein Sprecher. Besonders im politischen Bereich bestehe vor Wahlen die Gefahr sogenannter Hack-&-Leak-Operationen, bei denen gestohlene Dokumente zu einem strategisch günstigen Zeitpunkt veröffentlicht und möglicherweise in einen falschen Zusammenhang gerückt werden.
Auch die Bundeswehr beschäftigt sich mit dem Vorfall. Eine Sprecherin des Operativen Führungskommandos erklärte gegenüber der Süddeutschen Zeitung: „Die Bundesregierung hat Kenntnis über den Datenabfluss. Die detaillierte Auswertung findet aktuell durch die zuständigen Sicherheitsbehörden von Bund und Land statt." Nach Analyse potenzieller Sicherheitsrisiken würden entsprechende Maßnahmen zur Wahrung der militärischen Sicherheit eingeleitet. Der Informationsaustausch zwischen den beteiligten Behörden erfolge kontinuierlich, auch über das Nationale Cyberabwehrzentrum.
IT-Sicherheitsexperten begrüßten die Entscheidung des Landes Berlin, der Erpressungsforderung nicht nachzugeben. Wer über einen Darknet-Zugang verfügt, kann die geleakten Dateien theoretisch durchsuchen — dies ist jedoch aufwendig und mit eigenem Risiko verbunden.
Source: Süddeutsche Zeitung