Die Berliner Behörden bewerten eine massive Sammlung von Regierungsdaten, nachdem die Rhysida-Ransomware-Gruppe etwa 1,44 Millionen gestohlene Dateien im Dark Web veröffentlicht hat.
Die Veröffentlichung folgte auf Berlins Weigerung, der Lösegeldforderung der Angreifer nachzukommen. Rhysida hatte versucht, etwa 5,8 Terabyte gestohlener Informationen zu einem Mindestpreis von 30 Bitcoin zu versteigern, im Wert von rund 2 Millionen Euro. Nach Ablauf der Frist am 4. September machte die Gruppe die Dateien über ihre Darknet-Leak-Seite öffentlich zugänglich.
Der Einbruch betraf die Berliner Senatsabteilungen, die für Stadtentwicklung und Wohnungsbau sowie Mobilität, Verkehr, Klimaschutz und Umwelt zuständig sind. Es wird angenommen, dass die Angreifer zwischen dem 7. und 12. August Zugang erhielten. Die Behörden entdeckten den Vorfall am 14. August.
Beamte prüfen das geleakte Material nun, um festzustellen, ob dessen Veröffentlichung Risiken für Einzelpersonen, Regierungsbehörden oder kritische Infrastruktur darstellt. Berlin hat zusätzliche Teams eingerichtet, um die Analyse zu koordinieren und zu reagieren, wenn besonders sensible Informationen identifiziert werden.
Erste Untersuchungen zeigen, dass die Sammlung weit über routinemäßige Verwaltungsdokumente hinausgeht. Berichte beschreiben Akten, die Regierungsangestellte, Personalangelegenheiten, Notfallpläne und andere interne Unterlagen betreffen.
Besorgniserregendes Material soll sich auf kritische Infrastruktur und sensible Einrichtungen beziehen. Dokumente zu Berlins Wasserversorgung, Stromanlagen, Umspannwerken, Tankstellen und Notstromsystemen wurden identifiziert. Auch Informationen über Gefängnisse, Verteidigungsunternehmen und andere sicherheitsrelevante Organisationen sind in dem Leck aufgetaucht.
Hunderte von Dokumenten bezüglich einer Erweiterung der deutschen Bundeskanzlei wurden unter dem gestohlenen Material gefunden, darunter Pläne, Einschätzungen und Aussagen der Behörden. Die volle Sensibilität dieser Unterlagen wird noch geprüft.
Persönliche Informationen stellen ein weiteres potenzielles Problem dar. Berlin warnte zuvor, dass das gestohlene Material Daten von Regierungsangestellten, Einwohnern und Unternehmen enthalten könnte. Die Behörden beabsichtigen, identifizierbare Personen aufgrund des durch die Exposition entstehenden Risikos zu kontaktieren.
Das deutsche Bundesamt für Informationssicherheit warnte ebenfalls, dass durch den Datenbruch erhaltene Informationen gezielte Phishing-Angriffe unterstützen könnten. Detaillierte interne Dokumente können irreführende Kommunikation potenziell überzeugender machen, indem sie Angreifern Wissen über Organisationen und Einzelpersonen geben.
Berlin sagt, es gebe derzeit keine Beweise dafür, dass sich Angreifer im staatlichen Netzwerk befinden, obwohl forensische Untersuchungen andauern. Die Behörden untersuchen außerdem, ob weitere Informationen entfernt worden sein könnten.
Der Vorfall ereignet sich kurz vor der Landtagswahl am 20. September in Berlin. Wahlbeamte haben erklärt, dass nach den derzeit verfügbaren Informationen die für die Vorbereitung und Durchführung der Wahl beteiligten Systeme nicht betroffen seien.
Rhysida gilt in erster Linie als finanziell motiviert, und die deutschen Behörden haben kein öffentliches politisches Motiv hinter dem Berliner Anschlag genannt. Die unmittelbare Priorität besteht nun darin, genau festzustellen, was in den fast sechs Terabyte veröffentlichter Daten enthalten ist und ob offengelegte Informationen zusätzliche Sicherheitsmaßnahmen erfordern.