Aktuelles

Berlin-Leak, Worst-Case, Datengau - und niemand war's

"Viel Spaß beim Stöbern, Datenjäger" - mit diesem Satz hat eine Ransomware-Bande am Freitag knapp sechs Terabyte Berliner Verwaltungsdaten ins Darknet gekippt. Verteidigungsfall-Listen, LKA-Akten, Zivilschutzpläne. Und die Politik? Zeigt sich überrascht, unwissend und vor allem unschuldig.

Wir hatten es hier vor ein paar Tagen schon angekündigt, mehr als Vermutung, weniger als Gewissheit: Die Ransomware-Gruppe Rhysida hatte Berlin ein Ultimatum gestellt, 30 Bitcoin oder die Daten kommen raus, sprich: Geld oder Leben. Berlin hat, völlig zurecht, nicht gezahlt und einen "Abfluss sensibler Daten" erst einmal öffentlichkeitswirksam abgewiegelt - wahrscheinlich wider besseres Wissen. Am Freitagnachmittag, den 4. September, lief der Countdown auf der Leak-Seite der Gruppe ab, und wenig später war es so weit: das komplette Datenpaket, öffentlich einsehbar, mit dem oben stehenden Satz, der zynischer nicht hätte formuliert sein können. Und in deutlich besserer Laune kommuniziert, als das der Berliner Senat in den letzten drei Wochen getan hat.

Und jetzt die schlechte Nachricht

Zur Erinnerung, worüber wir hier reden: Rhysida behauptet, 5,79 Terabyte Daten erbeutet zu haben, verteilt über etwa 1,44 Millionen Dateien. Das ist jetzt keine steile Behauptung mehr, sondern, laut Chaos Computer Club, ziemlich genau das, was tatsächlich zum Download bereitsteht. CCC-Sprecher Joachim Selzer hat es gegenüber der Deutschen Presse-Agentur so beschrieben: Die Angreifer hätten den kompletten Datensatz für jeden einsehbar live gestellt, und darunter befänden sich sehr viele interne Daten, die schlicht nicht für die Öffentlichkeit gedacht waren - Personalvorgänge, Arbeitszeugnisse, das volle Programm.

Und dann wird es interessant, im schlechtesten Sinne des Wortes. Unter den Dateien, die mittlerweile jeder mit ein bisschen technischem Grundwissen herunterladen kann, sollen sich laut Berichten von Tagesspiegel, n-tv und Euronews auch Unterlagen finden, die tatsächlich sicherheitsrelevant sind: ein Ordner mit dem schönen Titel "AG CBRN-Rahmenplanung" - also Planungsdokumente rund um chemische, biologische, radiologische und nukleare Gefahrenlagen -, dazu Zivilschutzdaten sowie Listen von Gebäuden, Immobilien, Betrieben und Einrichtungen, die im Verteidigungsfall besonders geschützt werden müssen. Der Investigativjournalist Lars Winkelsdorf sprach in diesem Zusammenhang auf X von einem staatsgefährdenden Ausmaß des Vorfalls und verwies zusätzlich auf LKA-Ermittlungsunterlagen, die sich ebenfalls im Datensatz befinden sollen.

Man kann jetzt lange darüber streiten, wie viel davon am Ende wirklich brisant ist und wie viel nur brisant klingt, weil "Verteidigungsfall" ein Wort ist, das in jeder Schlagzeile funktioniert. Fakt ist trotzdem: Wenn eine Landeshauptstadt Dokumente zu kritischer Infrastruktur, Notfallplanungen und polizeilichen Ermittlungen so verwahrt, dass sie am Ende zusammen mit Gehaltsabrechnungen und einer Passwortliste in einem einzigen Datenpaket landen, hat man ein Ordnungsproblem, das weit über schlechte IT-Hygiene hinausgeht.

Die Sache mit den Passwörtern - jetzt noch unangenehmer

Wir hatten es beim letzten Mal schon erwähnt: eine Word-Datei mit Passwörtern im Klartext, Teil des Datenpakets. Was seitdem dazugekommen ist: Berlin hat offenbar als Reaktion auf abgeflossene VPN-Zugangsdaten das Homeoffice für Verwaltungsmitarbeitende ausgesetzt, weil parallel weitere Angriffsversuche liefen. Man muss diesen Satz zweimal lesen, damit er richtig sitzt. Eine europäische Hauptstadt musste die Arbeit im Homeoffice für Tausende Beschäftigte kappen, weil die Zugangsdaten fürs Firmennetz im Darknet zirkulierten. Das ist keine Fußnote, das ist der eigentliche Skandal in Kurzform.

Selzer wies außerdem auf ein konkretes Beispiel hin, das die Dimension besser greifbar macht als jede TB-Angabe: In den geleakten Unterlagen findet sich ein Antrag auf ein neues Diensthandy, inklusive Unterschrift des zuständigen Mitarbeiters. Eine Unterschriftenprobe, kostenlos und live im Darknet, für jeden, der mal ausprobieren möchte, wie einfach Identitätsdiebstahl eigentlich ist, wenn man genug Ausgangsmaterial hat. Je mehr man über eine Person weiß, desto überzeugender kann man sich als diese Person ausgeben - das ist keine Verschwörungstheorie, das ist die nüchterne Einschätzung eines IT-Sicherheitsexperten.

"Das Land Berlin lässt sich nicht erpressen" - stimmt, es lässt sich einfach nur bloßstellen

Politisch war die Entscheidung, nicht zu zahlen, richtig, das muss man ohne Ironie sagen. Sicherheitsbehörden empfehlen genau das seit Jahren, weil jede Zahlung das Geschäftsmodell der nächsten Bande finanziert. Nur hat diese eine richtige Entscheidung leider die Angewohnheit, als PR-Ersatz für alles andere herhalten zu müssen, was in diesem Fall schiefgelaufen ist. Der Senat hat sich mit "wir lassen uns nicht erpressen" öffentlich als Fels in der Brandung inszeniert, während im Hintergrund Notfallstab, Landeskriminalamt, Staatsanwaltschaft und Bundessicherheitsbehörden mit einem Datenabfluss beschäftigt waren, der sich am Ende als einer der größten seiner Art gegen eine deutsche Verwaltung entpuppt hat.

Was in der ganzen Kommunikation bislang komplett fehlt, ist eine ehrliche Antwort auf die naheliegendste Frage: Wie kommt eine Hauptstadtverwaltung überhaupt dahin, dass ein einzelner, offenbar über Tage laufender Datenabfluss unbemerkt bleibt, bis ein IT-Dienstleister, der eigentlich nicht direkt zuständig ist, zufällig ungewöhnliche Aktivität im Netzwerk registriert? Die Antwort kennt in Berlin vermutlich jeder, der beruflich mit der IT-Infrastruktur der Verwaltung zu tun hat, und sie hat, wenig überraschend, mit Jahren unzureichender Finanzierung des zentralen IT-Dienstleisters ITDZ zu tun. Diese Finanzierungslücke ist kein Geheimnis, das jetzt erst ans Licht kommt. Sie stand, in unterschiedlicher Deutlichkeit, seit Langem im Raum. Nur hat sie eben niemanden dazu gebracht, tatsächlich zu handeln, bevor der Ernstfall eintrat.

Gewarnt wurde. Reagiert nicht.

Das eigentlich Frustrierende an diesem Fall ist nicht mal die Tatsache, dass es passiert ist - Ransomware-Banden treffen inzwischen praktisch jede Organisation, die groß genug und schlecht genug abgesichert ist, das ist mittlerweile trauriger Alltag. Frustrierend ist, dass so ziemlich jedes Element dieses Vorfalls seit Jahren auf Warnlisten von IT-Sicherheitsexperten steht: unzureichend segmentierte Netzwerke, Klartext-Passwörter in Textdateien statt in Passwort-Managern, kritische Dokumente ohne besondere Schutzstufe im normalen Verwaltungsnetz, ein IT-Dienstleister, der chronisch unterfinanziert arbeitet. Keines dieser Probleme ist neu, exotisch oder überraschend. Sie stehen, in der einen oder anderen Formulierung, in praktisch jedem Prüfbericht, jeder Anhörung und jedem Mahnschreiben, das in den letzten Jahren zum Thema kommunale IT-Sicherheit in Deutschland verfasst wurde.

Und trotzdem klingt die politische Reaktion auf den Vorfall seltsam überrascht, fast so, als hätte niemand kommen sehen, dass eine Verwaltung mit dieser Ausstattung irgendwann Ziel eines ernsthaften Angriffs werden würde. Konsequenzen für die politisch Verantwortlichen? Bislang keine erkennbaren. Konsequenzen für die Menschen, deren Gehaltsabrechnungen, Unterschriften und persönliche Daten jetzt im Darknet liegen? Absehbar erheblich, und absehbar schwer einzuklagen. Das ist die eigentliche Schieflage dieser Geschichte: Die Verwaltung, die den Fehler gemacht hat, trägt am wenigsten von den Folgen. Die Menschen, die den Fehler nicht gemacht haben, tragen am meisten.

Und dann ist da noch der Unterschied der Verantwortlichkeiten und der möglichen Konsequenzen zur Privatwirtschaft. Wenn dort Daten abgegriffen werden, der Vorfall nicht rechtzeitig und vollständig gemeldet wird und personenbezogene Daten im Spiel sind, dann drohen Bloßstellung, drakonische Strafen und empfindliche Geldbußen, teilweise in Millionenhöhe, je nach Umfang und Schaden der Kompromittierung. Das eklatante Versagen in der Politik und das Fehlverhalten in der öffentlichen Verwaltung bleibt hingegen folgenlos, im besten Fall schickt man die Mitarbeiter zu einer vom Steuerzahler finanzierten Sicherheitsschulung.

Ein Wort noch zum Begriff "Hackerangriff"

Fast jede Schlagzeile zu diesem Fall spricht von einem "Hackerangriff", einem "massiven Cyberangriff", einer "hochprofessionellen Attacke". Das klingt nach Firewalls, die unter Beschuss stehen, nach Zero-Day-Lücken, nach jemandem, der sich mit erheblichem technischem Aufwand durch mehrere Verteidigungslinien gekämpft hat. Und nach Typen, die nächtens mit Guy-Fawkes-Maske und Kapuzenpullover vor einem Matrix-Bildschirm sitzen. Das Bild, das dabei entsteht oder vielleicht sogar entstehen soll, ist: Man konnte nichts machen, die Angreifer waren einfach zu gut. Nach ersten Analysen, über die unter anderem borncity berichtet, erfolgte der Zugang zu den Berliner Behördennetzen jedoch über eine Phishing-Mail. Es musste also, ganz konkret, irgendjemand irgendwo auf einen Anhang (z.B. bigboobs.jpg.zip) oder einen Link klicken, den er besser nicht angeklickt hätte. Das ist keine Cyberkriegsführung auf Nationalstaaten-Niveau, das ist der mit Abstand älteste Trick, seit es E-Mail-Postfächer gibt.

Damit soll nicht der einzelne Mensch am anderen Ende der Maus an den Pranger gestellt werden - Phishing-Mails werden inzwischen so gut gemacht, dass selbst geschulte Profis darauf hereinfallen, und "der Mensch als Schwachstelle" ist am Ende immer auch ein Eingeständnis, dass technische und organisatorische Schutzmaßnahmen gefehlt haben, die genau diesen einen Klick hätten auffangen müssen. Aber die Sprachregelung vom "Hackerangriff" verschleiert genau das: Sie verlegt die Verantwortung in Richtung einer anonymen, übermächtigen Bedrohung von außen und weg von der Frage, warum ein einziger Fehlklick ausreichte, um am Ende beim Zivilschutz, bei der Wasserversorgung und bei Ermittlungsakten des LKA zu landen. Ein Netzwerk, das nach einer Phishing-Mail derart offen daliegt, hat kein Pech gehabt, sondern strukturelle Probleme in der Netzsegmentierung, in der Rechtevergabe und in der Sensibilisierung der Mitarbeitenden. Dass daraus vermutlich weder für die verantwortlichen Stellen noch für die politische Ebene irgendeine Konsequenz erwächst, passt leider ins Bild, das dieser ganze Fall inzwischen zeichnet.

Was jetzt kommt

Die forensischen Untersuchungen laufen weiter, das Ausmaß der tatsächlich betroffenen Personen ist noch nicht final beziffert, und die veröffentlichten Daten werden in den kommenden Wochen und Monaten vermutlich noch für einige unangenehme Überraschungen sorgen - für Betroffene ebenso wie für die Verwaltung selbst. IT-Sicherheitsexperten rechnen eher mit mittelfristigem als mit sofortigem Missbrauch der Daten, allein schon, weil ein Datenberg dieser Größe erst mal gesichtet werden muss. Trost ist das für niemanden, höchstens ein bisschen Zeitpuffer.

Was bleibt, ist ein Lehrstück in zwei Teilen. Teil eins: Öffentliche Verwaltungen in Deutschland werden ihre IT-Sicherheit nicht deshalb ernst nehmen, weil es vernünftig wäre, sondern frühestens dann, wenn der Schaden schon eingetreten ist - und selbst dann dauert es erfahrungsgemäß eine Weile. Teil zwei: Wer glaubt, "wir lassen uns nicht erpressen" sei bereits eine Antwort auf die Frage, wie es überhaupt so weit kommen konnte, hat die eigentliche Frage entweder nicht verstanden oder ganz bewusst nicht beantwortet. Beides ist, mit Verlaub, keine gute Nachricht für eine Stadt mit fast vier Millionen Einwohnern.

05.09.2026