// HEISE ONLINE — CYBERSECURITY
Daten-GAU in Berlin: Forensiker über den Rhysida-Leak
Nach ihrer Attacke gegen die Berliner Verwaltung stellte die Hackergruppe Rhysida mehrere Terabyte Daten ins Netz. Doch wie analysiert man solche Dateimassen?
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Über 5 Terabyte an Daten und Dokumenten aus der Berliner Senatsverwaltung stehen seit dem 4. September im Darknet für jeden zum Download zur Verfügung. An diesem Tag ging das Ultimatum zu Ende, mit dem die Hackergruppe Rhysida den Senat erpressen wollte: Entweder es werden 30 Bitcoin gezahlt (damals rund zwei Millionen Euro) oder Rhysida macht öffentlich, was sie bei ihrem Hack im August an Daten aus der Verwaltung abgreifen konnte. Doch Berlins Regierender Bürgermeister Kai Wegner und die Innensenatorin Iris Spranger stellten klar: „Das Land Berlin lässt sich nicht erpressen.“
Nach bisherigen Erkenntnissen hatte Rhysida vom 7. bis zum 12. August Zugriff auf die Netze der Senatsverwaltung und leitete in dieser Zeit fleißig Daten aus. Die Untersuchung der Störung eines Domain-Controllers am 13. August führte dann am nächsten Tag zur Gewissheit, gehackt worden zu sein. Am 14. August wurden dann zwei Bereiche der Senatsverwaltung vom Landesnetz getrennt.
Eintrittskarte für Rhysida war laut BSI eine Angriffsmethode namens TerminalFix, mit der die Senatsverwaltungen für Bauen und Verkehr attackiert wurden. Gefälschte Captcha-Seiten verleiten dabei trickreich dazu, eine PowerShell zu öffnen und dort Befehle reinzukopieren und auszuführen, die Malware nachladen.
Laut Rhysida enthält der Leak Klartextpasswörter, Justiz- und Vertragsunterlagen, Finanzdokumente, Personalakten, Ordnungswidrigkeitenakten sowie Material zu kritischer Infrastruktur. Die Senatskanzlei bestätigte, dass Daten aus den Senatsverwaltungen für Mobilität, Verkehr, Klimaschutz und Umwelt sowie für Stadtentwicklung, Bauen und Wohnen abgeflossen sind. iX sprach dazu mit Sascha Herzog von der Securityfirma NSIDE ATTACK LOGIC, die den riesigen Leak für ihre Kunden analysiert.
iX: Was für ein Auftrag steht hinter Ihrer Analyse des Leaks?
Sascha Herzog: Unser Kundenstamm kommt aus verschiedenen Bereichen, gerade auch aus dem KRITIS-Sektor. Da dieser Leak so umfänglich ist, sind diverse Kunden von uns indirekt betroffen. Mit den Senatsverwaltungen ausgetauschte sensible Daten sind jetzt ja quasi öffentlich und für jedermann, der einen Tor-Browser verwenden kann, potenziell downloadbar. Da machen sich unsere Kunden natürlich Sorgen und haben gefragt, ob wir ihnen helfen können, Licht ins Dunkel zu bringen. Dabei beachten wir natürlich immer den notwendigen rechtlichen Rahmen.
Nicht nur Sie sitzen an der Sichtung und Bewertung der Daten. BKA, Verfassungsschutz, BSI und Landesbehörden arbeiten daran, eine Koordinierungsstelle soll Betroffene benachrichtigen. Welchen Mehrwert liefert Ihr Unternehmen da?
Ich weiß nicht, ob die offiziellen Stellen kapazitär alle Betroffenen unterstützen können, und kenne auch ihre Analysetools nicht. Wir bieten jedenfalls eine gewisse Geschwindigkeit. Wir haben eigene Analysetools entwickelt, die die Dateien und E-Mails in diesen Leaks anhand kundenspezifischer Regeln und Suchmuster filtern. Wir stellen relevante Treffer zusammen und nehmen eine Vorbewertung vor – zum Beispiel ob Begriffe wie KRITIS oder „Verschluss-Sache – Nur für den Dienstgebrauch“ in den mit den Senatsverwaltungen ausgetauschten E-Mails der Kunden vorkommen. Was ein Fund für das Unternehmen konkret bedeutet und welches Risiko er birgt, das muss der Kunde selbst beurteilen.