Der Berlin-Hack: Was Rhysida gestohlen hat und warum die Stadt noch Jahre bluten wird
Berlin ist nicht mehr nur gehackt worden, Berlin ist ausgeweidet worden. Was am 14. August als Störung in zwei Senatsverwaltungen bekannt wurde, entpuppt sich jetzt als einer der größten Datendiebstähle aus einer deutschen Landesverwaltung überhaupt. Und die Hacker haben Wort gehalten.
Der Zeitstrahl ist erdrückend präzise. Vom 7. bis zum 12. August hatten die Angreifer unbemerkt Zugriff auf das Berliner Landesnetz, erst am 14. August bemerkte man den Einbruch und trennte die Senatsverwaltungen für Mobilität, Verkehr, Klimaschutz und Umwelt sowie für Stadtentwicklung, Bauen und Wohnen vom Netz. Eine Woche lang konnten Mitarbeiter nur über Festnetz telefonieren, E-Mails gingen nicht, digitale Dienste lagen brach, kein Wohngeld konnte beantragt oder ausgezahlt werden, keine Wohnberechtigungsscheine ausgestellt, keine Baugenehmigungen bearbeitet werden. Am 28. August bestätigte der Regierende Bürgermeister Kai Wegner öffentlich, dass die Stadt erpresst wird, und seit vergangenem Freitag lief im Darknet eine Auktion, Mindestgebot 30 Bitcoin, rund zwei Millionen Euro. Berlin zahlte nicht. Am Freitag lief das Ultimatum ab und Rhysida veröffentlichte alles.
Was alles weg ist, liest sich wie das Inventar eines Staates. Die Gruppe selbst behauptet, 1,44 Millionen Dateien mit 5,7 Terabyte erbeutet zu haben. Nach der Veröffentlichung sprachen RBB und Ermittler von 5,26 Terabyte und etwa 1,5 Millionen Dateien. Darunter sind nach derzeitigem Stand mehr als 5.000 Personalakten, Gehaltsabrechnungen, Zeugnisse, eingescannte Personalausweise, vertrauliche Unterlagen zu Disziplinarverfahren, die sogar mit dem Vermerk „Vertrauliche Personalsache“ überschrieben waren, dazu knapp 80.000 Ordnungswidrigkeitsverfahren, also Bußgeldvorgänge gegen Bürger, mehr als 46.500 Verträge des Landes, sensible Justizunterlagen aus E-Mail-Verkehr im Rahmen von Gerichtsverfahren, Unterlagen aus Bundesratsausschüssen, Notfallpläne, Schwachstellenanalysen zur Berliner Trinkwasserversorgung, also zur kritischen Infrastruktur, und knapp 6.000 Dateien mit Login-Daten, Zugangsdaten und Passwörtern im Klartext für Datenbanken der Verwaltung und Zahlungsdienstleister. Außerdem Verträge, Dokumente zu politischer Arbeit und internen Verwaltungsvorgängen, Adressen und Telefonnummern von Bürgern und Mitarbeitern – alles liegt jetzt im Darknet und wird seit Freitagnachmittag als Download-Pakete verteilt.
Der langfristige Schaden ist deshalb so gravierend, weil es hier nicht um eine verschlüsselte Festplatte geht, die man wiederherstellt. Es ist ein klassischer Double-Extortion-Fall. Die Daten sind draußen und sie kommen nie wieder zurück. Für die betroffenen Bürger bedeutet das die reale Gefahr von Identitätsdiebstahl, Betrug und Phishing, denn wer Name, Adresse, Bußgeldakte und eine Kopie des Personalausweises hat, kann Konten eröffnen und Anträge fälschen. Für die Beschäftigten des Landes bedeutet es, dass ihre kompletten Personalhistorien inklusive Disziplinarverfahren öffentlich sind. Für das Land Berlin bedeutet es, dass Angreifer jetzt die Baupläne für kritische Infrastruktur kennen, die Schwachstellen des Trinkwassersystems, interne Passwörter und Notfallpläne, Wissen das man nicht einfach mit einem neuen Passwort ungültig machen kann, wenn die ganze Architektur dahinter geleakt ist. Die Senatsverwaltung fordert bereits, dass Bürger, die merken, dass ihre Daten für Straftaten genutzt werden, sofort Anzeige erstatten sollen, während IT-Forensiker im Auftrag des Landes mit Hochdruck versuchen, die veröffentlichten Daten zu prüfen.
Wer steckt dahinter? Rhysida ist keine Teenager-Gruppe. Sie ist eine hochprofessionelle Ransomware-as-a-Service Gruppe, aktiv seit mindestens Mai 2023. Der Name stammt von einer Familie großer Hundertfüßer aus Afrika und Südamerika. Die Gruppe tritt selbst gern als Cybersecurity-Team auf, das Opfern helfen will, Schwachstellen zu finden. In Wahrheit vermietet sie ihre Schadsoftware an Affiliates und kassiert einen Anteil am Lösegeld. Sie steht laut US-Behörde CISA in Verbindung mit der berüchtigten Vice Society, die vor allem Bildungseinrichtungen angreift und hat weltweit bereits Krankenhäuser, Universitäten, Regierungen und Unternehmen attackiert. Ihr bisher größter Coup war 2023 die British Library in London, wo sie 600 Gigabyte stahlen und veröffentlichten. Auch die chilenische Armee, der Spieleentwickler Insomniac Games und die Stadt Columbus in Ohio waren Opfer. Die Arbeitsweise ist immer gleich Zuerst stehlen, dann verschlüsseln, dann doppelt erpressen. Zahlung für die Entschlüsselung und Zahlung dafür, dass nichts veröffentlicht wird.
Über ihren Standort gibt es keine offizielle Bestätigung. Die Berliner Senatssprecherin sagte, Erkenntnisse über Verbindungen nach Russland lägen nicht vor, könnten aber auch nicht ausgeschlossen werden. Sicherheitsforscher und das US-Heimatschutzministerium gehen jedoch davon aus, dass die Kerngruppe aus russischsprachigen Akteuren besteht, die aus Russland und Osteuropa heraus operieren, wo sie de facto Straffreiheit genießen, solange sie keine russischen Ziele angreifen und ihre Beute im Zweifel mit den dortigen Behörden teilen. Ein Experte beschrieb das Modell gegenüber US-Medien als stillschweigende Duldung. Die Regierung sage, wenn ihr uns und unsere Verbündeten nicht angreift, könnt ihr in der restlichen Welt frei operieren und werdet nicht verhaftet.
Berlin hat richtig gehandelt, kein Lösegeld zu zahlen, denn wer zahlt, finanziert den nächsten Angriff. Doch der Preis dafür ist, dass 5,7 Terabyte Berliner Verwaltung jetzt für immer im Netz sind.
