30 Bitcoin oder Leak – Ransomware-Bande erpresst Berlin

Was geschehen ist – die Kernmeldung

Berlin sieht sich derzeit einer massiven Bedrohung im digitalen Raum gegenüber. Wie aus aktuellen Berichten hervorgeht, ist die Berliner Senatsverwaltung Ziel eines schwerwiegenden Cyberangriffs geworden, hinter dem die international agierende Ransomware-Gruppe „Rhysida“ vermutet wird. Die Kriminellen haben die Stadt offiziell erpresst und fordern die Zahlung von 30 Bitcoin, was nach aktuellem Stand einem Gegenwert von etwa zwei Millionen Euro entspricht. Sollte diese Forderung nicht erfüllt werden, drohen die Angreifer mit der Veröffentlichung eines umfangreichen Datensatzes, der nach eigenen Angaben ein Gesamtvolumen von 5,8 Terabyte umfasst. Der Regierende Bürgermeister von Berlin, Kai Wegner, hat auf diese Forderung bereits unmissverständlich reagiert und eine Zahlung kategorisch ausgeschlossen. Die Stadtverwaltung befindet sich in einer schwierigen Lage, da die Art der entwendeten Daten ein hohes Gefahrenpotenzial birgt. Der Vorfall, der Mitte August öffentlich wurde, hat inzwischen die Aufmerksamkeit verschiedener Sicherheitsbehörden auf sich gezogen, die nun mit Hochdruck an der Aufarbeitung des Angriffs arbeiten. Die Situation ist durch den drohenden Datenabfluss und die damit verbundene öffentliche Bloßstellung der Behördeninfrastruktur als äußerst kritisch einzustufen.

Die Einzelheiten des Vorfalls

Die Details zu dem Angriff zeichnen ein besorgniserregendes Bild der Sicherheitslage. Laut den vorliegenden Informationen haben die Täter von Rhysida im Darknet eine Leak-Seite eingerichtet, auf der sie nicht nur mit der Veröffentlichung drohen, sondern auch einen Countdown bis zum kommenden Freitag geschaltet haben. Die von den Erpressern behauptete Datenmenge von 5,8 Terabyte soll laut Berichten des Spiegels, der sich auf Sicherheitskreise stützt, hochsensible Informationen enthalten. Dazu zählen angeblich 46.500 Verträge der Stadt Berlin, 80.000 Akten zu Ordnungswidrigkeitsverfahren sowie etwa 6000 Dateien, die Login-Daten enthalten könnten. Besonders alarmierend ist die Behauptung der Bande, dass sich unter den erbeuteten Unterlagen auch Dokumente zur Kritischen Infrastruktur, Notfallpläne sowie vertrauliche Justizunterlagen befinden. Während der Senat den Angriff bereits Mitte August öffentlich machte, stellte sich später heraus, dass die eigentliche Ausleitung der Daten bereits im Zeitraum vom 7. bis zum 12. August stattgefunden hatte. Die Authentizität dieser Daten lässt sich derzeit noch nicht abschließend verifizieren, da bisher nur kleine Ausschnitte veröffentlicht wurden, die eine genaue Einschätzung der tatsächlichen Brisanz erschweren.

Hintergrund und bisheriger Verlauf

Der Angriff auf Berlin ist kein isoliertes Ereignis, sondern fügt sich in eine Serie von Attacken ein, für die die Gruppe Rhysida in der Vergangenheit bereits verantwortlich gemacht wurde. Die Bande ist seit Jahren in der Cyberkriminalität aktiv und erlangte im Jahr 2023 internationale Bekanntheit durch einen massiven Angriff auf die Britische Nationalbibliothek. Auch in Deutschland ist die Gruppe kein unbeschriebenes Blatt: Erst in diesem Jahr wurde die Stadt Stuttgart Ziel einer vergleichbaren Attacke. Das Vorgehen der Kriminellen folgt dabei einem festen, immer wiederkehrenden Schema: Zunächst verschaffen sich die Täter unbemerkt Zugang zu den IT-Systemen, leiten anschließend große Mengen an Daten aus und nutzen diese Informationen dann als Druckmittel für ihre Erpressungsversuche. Im Fall von Berlin wurde die Öffentlichkeit zunächst über die Kompromittierung der IT-Systeme informiert, woraufhin die betroffenen Systeme für über eine Woche vollständig vom Netz genommen wurden, um weiteren Schaden abzuwenden. Erst im Nachgang wurde durch interne Untersuchungen deutlich, dass der Angriff bereits deutlich früher begonnen hatte, als ursprünglich angenommen, was die Komplexität der forensischen Aufarbeitung unterstreicht.

Die Beteiligten und Entscheidungsträger

In die Aufarbeitung des Vorfalls sind zahlreiche Akteure eingebunden. Auf politischer Ebene ist der Regierende Bürgermeister Kai Wegner die zentrale Figur, der das klare Signal aussendete, dass sich Berlin nicht erpressen lassen werde. Er betonte, dass die Stadt Opfer einer schweren Straftat geworden sei. Auf institutioneller Seite ist die Berliner Senatsverwaltung direkt betroffen, deren IT-Infrastruktur das Ziel der Attacke war. Die strafrechtliche Verfolgung der Täter liegt in den Händen der Staatsanwaltschaft Berlin sowie des Landeskriminalamtes (LKA) Berlin. Zudem sind verschiedene Sicherheitsbehörden des Bundes in die Ermittlungen involviert, um das Ausmaß des Schadens zu begrenzen und die Hintergründe der Tat zu erhellen. Die Ransomware-Gruppe Rhysida agiert dabei aus dem Verborgenen und nutzt ihre digitalen Plattformen zur Kommunikation ihrer Forderungen. Die Zusammenarbeit zwischen den Berliner Behörden und den Bundesstellen ist essenziell, um die forensischen Spuren zu sichern und die IT-Sicherheit der betroffenen Systeme langfristig wiederherzustellen.

Einordnung der Gesamtsituation

Einzuordnen ist dieser Vorfall als eine Zäsur für die digitale Verwaltungssicherheit in Deutschland. Den Berichten zufolge handelt es sich bei der Drohung, Daten zur Kritischen Infrastruktur zu veröffentlichen, um eine neue Qualität der Bedrohung. Experten werten das Vorgehen von Rhysida als hochgradig professionell und auf maximale psychologische Wirkung ausgelegt. Dass die Stadt Berlin eine Zahlung verweigert, entspricht der gängigen Empfehlung von Sicherheitsbehörden, da Lösegeldzahlungen keine Garantie für die Löschung der Daten bieten und zudem künftige Angriffe finanzieren könnten. Die Ungewissheit über die tatsächliche Sensibilität der Daten stellt die Verwaltung vor eine enorme Herausforderung. Da es sich um personenbezogene Daten handeln könnte, müssen die Behörden zudem datenschutzrechtliche Pflichten erfüllen und Betroffene gegebenenfalls informieren. Die Situation verdeutlicht, dass selbst gut gesicherte Behördennetzwerke gegen gezielte Angriffe organisierter Banden anfällig sind, was eine kontinuierliche Anpassung der Cybersicherheitsstrategien erforderlich macht.

Offene Fragen und Lücken im Sachverhalt

Trotz der vorliegenden Informationen bleiben zahlreiche Fragen unbeantwortet. Es ist derzeit unklar, wie genau die Angreifer den initialen Zugang zu den Systemen der Senatsverwaltung erlangen konnten – ob durch eine Sicherheitslücke in der Software, durch Phishing oder durch andere Einfallstore. Ebenso lässt sich die tatsächliche Authentizität und Vollständigkeit der von Rhysida behaupteten 5,8 Terabyte Daten noch nicht verifizieren. Die Frage, welche konkreten Sicherheitsvorkehrungen in den betroffenen Bereichen vor dem Angriff bestanden und warum diese nicht ausreichten, bleibt ebenfalls offen. Des Weiteren ist unklar, ob neben den genannten Dokumenten weitere, bisher nicht erwähnte Datenbereiche betroffen sind. Auch über die genaue Identität der Hintermänner hinter dem Label „Rhysida“ gibt es keine gesicherten Erkenntnisse, da die Gruppe ihre Identität hinter der kriminellen Marke verbirgt. Die Lücke zwischen der ersten Bekanntmachung des Angriffs und der späteren Erkenntnis über den tatsächlichen Zeitraum der Datenabflüsse wirft zudem Fragen zur Geschwindigkeit der internen IT-Forensik auf.

Wie es weitergeht

Die kommenden Tage werden entscheidend für den weiteren Verlauf der Krise sein. Der von den Erpressern gesetzte Countdown auf ihrer Leak-Seite läuft bis zum Freitag der kommenden Woche ab. Bis zu diesem Zeitpunkt müssen die Berliner Behörden und die beteiligten Sicherheitsorgane entscheiden, wie sie mit der drohenden Veröffentlichung umgehen. Die Ermittlungen von LKA und Staatsanwaltschaft laufen auf Hochtouren, um die Täter zu identifizieren und die Infrastruktur der Erpresser zu stören. Parallel dazu arbeitet die Senatsverwaltung an der Wiederherstellung der betroffenen IT-Systeme und der Prüfung der abflossenen Daten, um das Ausmaß der Gefährdung für Bürger und Institutionen präzise zu bestimmen. Es ist davon auszugehen, dass nach Ablauf des Countdowns weitere Informationen über das tatsächliche Vorgehen der Täter und die Auswirkungen auf die Berliner Verwaltung bekannt werden. Die Stadt Berlin steht nun unter dem Druck, die IT-Sicherheit dauerhaft zu erhöhen, um ähnliche Vorfälle in der Zukunft zu verhindern und das Vertrauen in die digitale Integrität der Behörden wiederherzustellen.