Cyberangriff auf Berliner Verwaltung: Erpressung mit 5,7 TB Daten und Forderung von rund zwei Millionen Euro

Der Countdown läuft: Professionelle Cyberkriminelle erpressen das Land Berlin nach ihrer erfolgreichen Hackerattacke auf das Datennetz der Verwaltung um rund zwei Millionen Euro und verlangen die Zahlung des Lösegelds bis Freitag. Das sagte Senatssprecherin Christine Richter der Deutschen Presse-Agentur. «Es ist richtig, dass eine Gruppe mit dem Namen Rhysida sich zu der Tat bekannt hat und behauptet, im Besitz von gestohlenen Daten im Umfang von 5,7 Terabyte zu sein.»

Die Gruppe habe die gestohlenen Daten seit vergangenen Freitag im Darknet im Rahmen einer Auktion zum Kauf angeboten. «Das Mindestgebot liegt bei 30 Bitcoins, also rund zwei Millionen Euro. Die Versteigerung läuft bis Freitag», sagte Richter. «Es muss davon ausgegangen werden, dass die Daten im Anschluss weiterveräußert oder ganz oder in Teilen veröffentlicht werden.» Der Regierende Bürgermeister Kai Wegner (CDU) hat am Freitag erklärt, das Land Berlin lasse sich nicht erpressen. 

Nach Wissen des Senats handele es sich bei Rhysida um eine hochprofessionelle Gruppierung, die mit diversen Cyberattacken auf Ziele in Europa und den USA in den vergangenen Jahren in Verbindung gebracht werde, sagte Richter. «Erkenntnisse über Verbindungen nach Russland oder gar dem russischen Staat liegen nicht vor, können aber auch nicht ausgeschlossen werden.» 

Hacker hatten tagelang Zugriff auf das Datennetz

Der Cyberangriff war am 14. August bekanntgeworden. Nach bisherigen Erkenntnissen wurden vom 7. bis zum 12. August Daten in großem Umfang abgegriffen. Die Untersuchungen dazu gehen noch auf unbestimmte Zeit weiter, wie Richter im Anschluss an die jüngste Senatssitzung sagte. 

«Alle Systeme im Land Berlin müssen gescannt werden, um auszuschließen, dass noch weitere Daten abgeflossen sind.» Wie lange das dauern werde, lasse sich nicht sagen. Fest stehe, dass eine Menge an Daten gestohlen worden sei. Zu den Hintergründen der Hackerattacke ermitteln das Landeskriminalamt und die Staatsanwaltschaft. 

Von dem Datendiebstahl seien nach jetzigem Kenntnisstand weiterhin nur die beiden Senatsverwaltungen für Verkehr und für Bauen betroffen, sagte Richter. «Dort sind nicht öffentliche Daten abgeflossen, die jetzt auch untersucht werden, damit Klarheit herrscht, um was für Daten es sich handelt» - und welche Konsequenzen dann gezogen werden müssten. Das gelte beispielsweise mit Blick auf Passwörter, die offensichtlich abgeflossen seien und mit Blick auf persönliche Daten: «All das wird jetzt untersucht.» 

Nachdem der Diebstahl von Passwörtern bekannt wurde, haben beide Verwaltungen Richter zufolge am Montag entschieden, weitere Sicherheitsmaßnahmen zu ergreifen. «Das wiederum führt dazu, dass es einige Einschränkungen gibt, aber beide Verwaltungen sind nach wie vor per Mail erreichbar», sagte die Senatssprecherin. Mitarbeiter in beiden Verwaltungen könnten sich derzeit nicht vom Homeoffice aus in das Datennetz einwählen.  

Joachim Selzer, ein Sprecher des Chaos Computer Clubs (CCC), bestätigte auf dpa-Anfrage, dass die Auktion im Darknet genannten Teil des Internets weiterlaufe. Nach seiner Einschätzung können unterschiedlichste Kriminelle Interesse an den gestohlenen Daten haben.

Kriminelle nutzen gestohlene Daten für Betrug  

Das gilt nach Einschätzung des IT-Administrators etwa im Fall der Passwörter, aber auch für andere Daten wie aus Bußgeldbescheiden oder Justizakten, die Kriminelle für einen Identitätsdiebstahl nutzen könnten. Dabei gehe es zum Beispiel um gezielten Betrug im Internet. 

Was genau am Freitag passiert, wenn das Ultimatum an das Land Berlin abläuft, ist schwer einzuschätzen. Die Cyberkriminellen aus der Rhysida-Gruppe sind jedenfalls keine Anfänger. Bei Cyberattacken haben die Täter in der Vergangenheit verschiedene Erpressungsszenarien genutzt. 

Bei Ransomware-Angriffen verschlüsseln Kriminelle oftmals die Daten auf Servern und Computern ihrer Opfer mit hochkomplexer Schadsoftware. Eine Entschlüsselung wird nur gegen Zahlung eines Lösegelds (englisch: ransom) in Aussicht gestellt. 

Häufig wird auch damit gedroht, abgefischte Daten auf sogenannten Leak-Sites im Darknet publik zu machen oder sie an andere kriminelle Gruppen zu verkaufen, wenn kein Lösegeld gezahlt wird. 

Der Senat plant dennoch nicht nachzugeben: «Das Land Berlin wird sich nicht erpressen lassen», sagte die Senatssprecherin dazu. «Das ist auch heute nochmal in der Senatssitzung bekräftigt worden.»