Nach dem Hackerangriff auf das Datennetz zweier Senatsverwaltungen ist das Ultimatum der Gruppe an den Senat am Freitagnachmittag um 15.35 Uhr abgelaufen. Die Hacker stellten die Daten im Darknet zum Download bereit – 5,26 Terabyte mit 1.439.893 Dateien. „Alle Dateien wurden hochgeladen für den öffentlichen Zugang“, teilten die Hacker mit. „Datenjäger, viel Spaß!“, heißt es auf der Seite der Gruppe „Rhysida“.

Unter den abrufbaren Daten befinden sich auch Inhalte, die für die Sicherheit der Bundesrepublik und der Hauptstadt relevant sind. Darunter sind Daten zum Zivilschutz und Listen mit Objekten, Immobilien, Betrieben und Einrichtungen, die im Verteidigungsfall besonders geschützt werden müssen. Unter den Objekten mit „Bedeutung für die zivile Verteidigung“ sind Heizkraftwerke für Krankenhäuser, Tanklager, Notstromanlagen und Umspannwerke. Zu finden sind auch geheime Dokumente zu Rüstungsunternehmen, die besonders gefährdet sind.

Hinzu kommen dezidierte Daten zur sogenannten Kritischen Infrastruktur, insbesondere der Wasserversorgung. Auch Daten zu Katastrophenschutzbeauftragten verschiedener Behörden sind darunter – im Land Berlin, in anderen Bundesländern und auf Bundesebene. Katastrophenschutzbeauftragte sind qua Amt Geheimnisträger.

„Kein digitaler Geheimschutz möglich“

Zu finden ist auch ein Vermerk zu einem Gespräch zweier Beamter der Senatsbauverwaltung und der Senatsverkehrsverwaltung im Februar. Dabei ging es um den Schutz von als geheim eingestuften Unterlagen. Die mit Sicherheitsfragen befassten Beamten kommen zum Ergebnis: „Kein digitaler Geheimschutz (im strengen Sinne) in der Berliner öffentlichen Verwaltung möglich.“

Eine Übersicht zu allen Daten zeigt zahlreiche verschiedene Ordner für die Dateien, darunter „Controlling“, „Karten“, „Haushaltsdatenbank“, „Personaleinsparungen“ und „Personalverschiebungen“. Auch umfangreiche Personaldaten zu Mitarbeitern mit Klarnamen und Behinderungsgrad sind enthalten, sogar private Handynummern für den Notfall.

Die Hacker hatten nach eigenen Angaben vom 7. bis 12. August unbemerkt Zugriff auf die Netze der beiden Senatsverwaltungen für Bauen und Verkehr. Die Gruppe behauptet, Daten im Umfang von 5,7 Terabyte mit vielen personenbezogenen Inhalten erbeutet zu haben. Seit vergangenem Freitag hat die Gruppe die Daten im Darknet im Rahmen einer Versteigerung zum Kauf angeboten – mit Countdown.

Die Hacker fordern für den erbeuteten Datensatz 30 Bitcoin. Nach dem gegenwärtigen Kurs der Cyberwährung sind das etwas mehr als zwei Millionen Euro. Berlins Regierender Bürgermeister Kai Wegner (CDU) hat vor einer Woche erklärt, das Land Berlin lasse sich nicht erpressen. „Es muss davon ausgegangen werden, dass die Daten im Anschluss weiterveräußert oder ganz oder in Teilen veröffentlicht werden“, sagte die Senatssprecherin.

Senat warnt Mitarbeiter vor Kontaktaufnahme durch Hacker

Der Berliner Senat hatte gewarnt, dass auch Bürger und Unternehmen betroffen sein könnten. Es sei nicht auszuschließen, dass die Täter am Freitag die „gestohlenen Daten veröffentlichen“, teilte der Senat mit. „Darunter können nach jetzigem Kenntnisstand auch personenbezogene Daten von Beschäftigten des Landes Berlin, aber auch von Bürgerinnen und Bürgern sowie Unternehmen sein.“

Berlins oberster IT-Chef und Digitalstaatssekretär Florian Hauer hatte in einem internen Schreiben „an die Beschäftigten des Landes Berlin“ vor Kontaktversuchen und Täuschungsmanövern gewarnt. Das zweiseitige, auf vergangenen Freitag datierte Schreiben liegt dem Tagesspiegel vor, zuerst hat der „Spiegel“ darüber berichtet. Senatssprecherin Christine Richter bestätigte das Dokument. „Die Angreifer versuchen gezielt, Verunsicherung zu stiften – unter anderem durch direkte Kontaktaufnahmen oder täuschend echte, eventuell KI-generierte Anrufe“, warnt Hauer.

Nach Tagesspiegel-Informationen wollte das IT-Dienstleistungszentrum Berlin (ITDZ) die Daten nach der Veröffentlichung im Darknet auch selbst herunterladen.

Hauer: „Seien Sie in nächster Zeit extrem wachsam“

Nach dem Hackerangriff haben die Angreifer nach Tagesspiegel-Informationen selbst hochrangige Beamte kontaktiert. Um die Erpressung und Geldforderungen deutlich zu machen, haben die Hacker demnach zu einem Berliner Staatssekretär persönlich Kontakt aufgenommen, darunter über dessen Profil in den sozialen Medien.

Empfohlener redaktioneller Inhalt

An dieser Stelle finden Sie einen von unseren Redakteuren ausgewählten, externen Inhalt, der den Artikel für Sie mit zusätzlichen Informationen anreichert. Sie können sich hier den externen Inhalt mit einem Klick anzeigen lassen oder wieder ausblenden.

Externen Inhalt anzeigen

Ich bin damit einverstanden, dass mir der externe Inhalt angezeigt wird. Damit können personenbezogene Daten an Drittplattformen übermittelt werden. Mehr Informationen dazu erhalten Sie in den Datenschutz-Einstellungen. Diese finden Sie ganz unten auf unserer Seite im Footer, sodass Sie Ihre Einstellungen jederzeit verwalten oder widerrufen können.

Hauer mahnte die Mitarbeiter, bei Kontaktversuchen Dritter sehr vorsichtig zu sein: „Seien Sie in nächster Zeit extrem wachsam.“ Es bestehe ein „hohes Risiko für raffinierte Täuschungsversuche“, heißt es in dem Schreiben. Als Beispiel nennt Hauer „angebliche Anfragen von Bürgerinnen und Bürgern, Partnerunternehmen oder -behörden, Dienstleistern oder Führungskräften, die in Wahrheit von den Tätern oder Dritten stammen“. Die Mitarbeiter sollten Absender „doppelt“ prüfen.

Hauer mahnt obendrein, Mitarbeiterinnen und Mitarbeiter sollten sich nicht einschüchtern lassen: „Sollte es zu Kontaktaufnahmen (etwa Lösegeldforderungen und Drohungen) durch angebliche oder mögliche Täter kommen, gehen Sie bitte unter keinen Umständen auf diesen Kontaktaufnahmeversuch ein.“ Derlei Versuche seien der Polizei und der Senatskanzlei zu melden.

Für die Bediensteten sei eine Ansprechstelle eingerichtet worden. Zudem sei ein externer Vertrauensanwalt als Ansprechpartner „in vertraulichen oder rechtlich relevanten Sachverhalten“ eingebunden worden.

Hacker fordern rund zwei Millionen Euro

Am Donnerstagabend hieß es, es lägen derzeit keine Erkenntnisse vor, dass das Landesnetz noch infiltriert sei. Die forensischen Untersuchungen dauerten aber an. Gegenstand der Untersuchungen sei auch, ob möglicherweise weitere Daten abgeflossen sind.

Es handelt sich um den größten Datendiebstahl in der Geschichte der Berliner Landesverwaltung. Der Tagesspiegel hatte am Montagmorgen eine umfangreiche Recherche zu dem geklauten Datensatz veröffentlicht. „Passwort.docx“ heißt eine von mehreren Dateien, in denen persönliche Zugangsdaten von Mitarbeitern unverschlüsselt niedergelegt worden sind. Manche der dort aufgelisteten Passwörter wie „Sonnenschein13“ oder „Ahabostsee123“ entsprechen nicht den Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Erbeutet worden sein sollen nach Angaben der Gruppe teils brisante, teils als Verschlusssache deklarierte Unterlagen. Darunter sollen Prozessakten, Verfahren zu Ordnungswidrigkeiten aber auch neben Passwörtern Notfallpläne für die kritische Infrastruktur, heikle Personalakten und Disziplinarverfahren bis hin zu Bankdaten aus der höchsten Führungsebene der beiden Senatsverwaltungen sein.

Beschäftigte sollen ihre Passwörter ändern

Laut Senat handelt es sich bei „Rhysida“ um eine hochprofessionelle Gruppierung, die mit diversen Cyberattacken auf Ziele in Nord- und Südeuropa, Deutschland und den USA in den vergangenen Jahren in Verbindung gebracht wird. „Erkenntnisse über Verbindungen nach Russland oder gar dem russischen Staat liegen nicht vor, können aber auch nicht ausgeschlossen werden“, sagte die Senatssprecherin.

Am Dienstag erging an alle Behörden und Beschäftigten die Anweisung, ihre Passwörter für ihren Systemzugang zu den Servern zu ändern. Wegen des IT-Sicherheitsvorfalls seien auch „eine Vielzahl von Passwörtern aus dem Bestand der betroffenen Behörden kompromittiert worden“, teilten die Behörden am Dienstag ihren Mitarbeitern mit.

Lesen Sie auch:Sogar Bankdaten des Spitzenpersonals Diesen Berliner Datenschatz bieten die Hacker im Darknet an Agieren die Erpresser aus Russland? Das ist über die Hackergruppe „Rhysida“ bekannt, die Berlins IT-Netz angegriffen hat Als Diplomaten getarnte Agenten? Russisches Konsulat in Bonn offenbar Schaltstelle für Geheimdienst-Aktivitäten

Bereits am Montag wurde für Mitarbeiter der beiden betroffenen Senatsverwaltungen – Bauen und Verkehr – der Zugang in die Systeme aus dem Homeoffice gekappt. In die internen Netze ihrer Ressorts können sie sich nicht mehr über sogenannte VPN-Tunnel einwählen. E-Mails können sie noch empfangen, aber Fachprogramme ihrer jeweiligen Häuser können sie aus dem Homeoffice nicht mehr nutzen, sondern nur aus dem Büro.

Grund für die „weiteren Sicherheitsmaßnahmen“ seien „bekannt gewordene Erkenntnisse“, dass durch den Hackerangriff „einzelne Passwörter für Fachverfahren veröffentlicht wurden“.