// COMPUTERBASE — CYBERSECURITY
Berliner Datengau: 1,4 Millionen Dateien landen im Darknet
Die Erpressergruppe Rhysida hat rund 5,8 TByte an Daten aus zwei Berliner Senatsverwaltungen veröffentlicht. Darunter befinden sich Personalunterlagen und Informationen zu kritischer Infrastruktur. Der Fall wirft die Frage auf, warum ein einzelner Einbruch einen derart großen Datenabfluss erlaubte.
Mitte August war ein Cyberangriff auf Teile des Berliner Landesnetzes bekannt geworden. Betroffen waren die Senatsverwaltungen für Mobilität, Verkehr, Klimaschutz und Umwelt sowie für Stadtentwicklung, Bauen und Wohnen. Nachdem Berlin eine Lösegeldforderung über 30 Bitcoin – umgerechnet rund zwei Millionen Euro – nicht erfüllte, stellte die Gruppe Rhysida die erbeuteten Daten im Darknet bereit.
Nach einer ersten Auswertung durch den RBB umfasst der Leak rund 1,4 Millionen Dateien mit insgesamt etwa 5,8 TByte. Darunter befinden sich Teile von Personalakten, eingescannte Ausweise, Gehaltsabrechnungen, Arbeitszeugnisse, Vertragsunterlagen und Dokumente aus Bewerbungsverfahren. Hinzu kommen offenbar Notfallpläne sowie Unterlagen zu Bauprojekten und kritischer Infrastruktur.
Ob die veröffentlichten Dateien dem vollständigen Datensatz entsprechen und wie sicherheitsrelevant einzelne Dokumente tatsächlich sind, wird noch untersucht. Das Land Berlin lässt die Daten durch Sicherheitsbehörden und IT-Forensiker prüfen. Hinweise darauf, dass das Landesnetz weiterhin infiltriert ist, liegen laut einer Mitteilung der Senatskanzlei nicht vor.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt nicht nur vor Identitätsdiebstahl und gezielten Phishing-Angriffen. Durch die zeitliche Nähe zur Wahl des Berliner Abgeordnetenhauses am 20. September bestehe auch die Gefahr einer „Hack & Leak“-Operation. Dabei werden echte gestohlene Unterlagen gezielt veröffentlicht, ausgewählt oder mit manipulierten Inhalten vermischt, um öffentliche Debatten zu beeinflussen. Das BSI geht bislang allerdings von einem finanziell und nicht politisch motivierten Angriff aus.
Joachim Selzer vom Chaos Computer Club erklärte gegenüber der dpa, nach seiner Sichtung sei der komplette Datensatz für alle zugänglich. Neben Personalangelegenheiten und Arbeitszeugnissen seien viele vermeintliche Kleinigkeiten enthalten, die sich für Identitätsdiebstahl missbrauchen ließen.
Deutlich schärfer urteilt Manuel Atug, Gründer der AG KRITIS. Gegenüber der Tagesschau warf er dem Land Berlin grobe Fahrlässigkeit und die vorsätzliche Missachtung von Geheimschutzvorgaben vor. Bereits 2023 und 2025 habe er im Innenausschuss vor eklatanten Sicherheitslücken gewarnt.
Der Umfang des Leaks provoziert eine naheliegende Frage: Warum waren derart sensible Unterlagen aus einer kompromittierten Umgebung überhaupt erreichbar? Ein vollständig vom übrigen Netz getrenntes Inselnetz, oft auch als „Air Gap“ bezeichnet, wäre allerdings nicht für jede Personalakte oder interne Verwaltungsdatei praktikabel. Auch ein Inselnetz ist nicht automatisch sicher, weil Daten, Updates und Wartungszugänge weiterhin hinein- und herausgelangen müssen.
Entscheidend ist daher weniger eine vollständige physische Trennung als die Begrenzung des möglichen Schadens. Besonders schützenswerte Daten sollten in getrennten Sicherheitszonen liegen, verschlüsselt gespeichert und nur für einen eng begrenzten Personenkreis erreichbar sein. Hinzu kommen Mehrfaktor-Authentifizierung, minimale Zugriffsrechte, eine Protokollierung ungewöhnlich großer Datenabfragen und Übergänge, die nicht durch ein einziges kompromittiertes Konto überwunden werden können.
„Sensibel“ ist dabei nicht automatisch gleichbedeutend mit „Verschlusssache“. Sollten sich in dem Leak jedoch tatsächlich entsprechend eingestufte Unterlagen befinden, gelten deutlich strengere Vorgaben für ihre elektronische Verarbeitung. Dann stellt sich nicht nur die Frage, wie die Angreifer in das Netz gelangten, sondern auch, weshalb sie von dort aus auf diese Dokumente zugreifen konnten.