// HEISE ONLINE — FINANZA
30 Bitcoin oder Leak – Ransomware-Bande erpresst Berlin
Die Gruppe „Rhysida“ will 30 Bitcoin von Berlin, oder vertrauliche Daten veröffentlichen. Die Stadt will nicht zahlen, sagte Kai Wegner.
Hinter dem Mitte August bekannt gewordenen Cyberangriff auf die Berliner Senatsverwaltung steckt offenbar die bekannte Ransomware-Gruppe „Rhysida“. Sie verlangt von Berlin 30 Bitcoin, derzeit umgerechnet gut zwei Millionen Euro. Wenn das Bundesland nicht zahlt, sollen die umfangreichen Datensätze von 5,8 Terabyte Umfang veröffentlicht werden.
Wie der Spiegel am Freitagabend berichtete, hätten Sicherheitskreise dem Medium bestätigt, dass es sich bei den Erpressern um Rhysida handelt. Die Kriminellen sind seit Jahren aktiv und gewannen 2023 große Aufmerksamkeit, als sie die Britische Nationalbibliothek angriffen. In diesem Jahr attackierte die Bande die Stadt Stuttgart. Das Schema ist immer gleich: Daten werden ausgeleitet, darauf folgt der Erpressungsversuch.
Berlin will jedoch nicht zahlen. Bereits vor der Veröffentlichung des Spiegel-Berichts fand am Freitag eine Sondersitzung des Berliner Senats statt, nach welcher der Regierende Bürgermeister Kai Wegner der Deutschen Presse Agentur (dpa) sagte: „Das Land Berlin wird sich nicht erpressen lassen.“ Die Stadt sei „Opfer einer schweren Straftat“ geworden, so der CDU-Politiker weiter. Womit Berlin erpresst wird, wollte Wegner nicht näher ausführen. Es könne sich aber auch um personenbezogene Daten handeln, so der Regierende.
Der Spiegel wurde daraufhin mit Bezug auf die Leak-Seite von Rhysida im Darknet deutlicher. Es soll sich nach Darstellung der Bande unter anderem um 46.500 Verträge der Stadt, 80.000 Verfahren zu Ordnungswidrigkeiten, 6000 Dateien mit nicht näher beschriebenen „Login-Daten“ und anderes Material handeln. Mutmaßlich besonders problematisch sind die nach Darstellung der Erpresser ihnen vorliegenden Unterlagen zu Kritischer Infrastruktur, Notfallpläne und Justizangelegenheiten. Anhand der schon jetzt veröffentlichten kleinen Auszüge der Daten lässt sich deren Brisanz und Authentizität nicht unmittelbar abschätzen.
Die Kriminellen waren offenbar auf die Veröffentlichung ihrer Aktion vorbereitet. Auf ihrer Leak-Seite läuft derzeit ein Countdown bis zum Freitag der kommenden Woche. Dass es sich um einen Erpressungsversuch handelt, und tatsächlich Daten in nennenswertem Umfang abgeflossen sind, ist laut der dpa in Berlin seit dem vergangenen Donnerstag bekannt.
Dass die IT der Senatsverwaltung angegriffen wurde, machte diese selbst Mitte August öffentlich. Über eine Woche wurden danach die kompromittierten Systeme vom Netz genommen. Wiederum eine Woche später wurde bekannt, dass die Angriffe wohl schon viel länger stattgefunden hatten. Vom 7. bis zum 12. August, so der Senat, seien Daten aus den Systemen ausgeleitet worden. Gegen die Cybergangster ermitteln inzwischen die Staatsanwaltschaft und das LKA Berlin sowie auch Sicherheitsbehörden des Bundes.
Keine News verpassen! Jeden Morgen der frische Nachrichtenüberblick von heise online
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.