Mutmaßlich russische Hacker haben der Stadt Berlin 5,7 Terabyte geheime Daten gestohlen und wollten so 2 Millionen Euro erpressen. Nach Ablauf eines Ultimatums wurden nun sämtliche mehr als 1,4 Millionen Dateien mit teils hochsensiblen Inhalten online gestellt.
Sie haben es wirklich getan. Jene Cyberkriminellen, die der deutschen Hauptstadt mehr als 1,4 Millionen teils geheime Dateien gestohlen hatten und damit 2 Millionen Euro an "Lösegeld" erpressen wollten, haben ihre Drohung wahr gemacht und sämtliche Daten nach Ablauf eines Ultimatums nun online gestellt.
Laut Bild Zeitung und dem Schweizer Online-Medium Watson steckt eine Ransomware-Gruppe namens Rhysida hinter dem perfiden Plan. Sie hatte die gestohlenen Daten anschließend im Darknet zum Kauf angeboten. Darunter sollen sich auch zahlreiche hochsensible Dokumente wie Notfallpläne, Kontodaten und Telefonnummern befinden.
Zuvor hatte der Spiegel von einem Schreiben des Berliner IT-Staatssekretärs Florian Hauer berichtet, das offenbar an alle Angestellten der Stadt Berlin ging und in dem die Mitarbeiter vor Droh- und Erpressungsanrufen durch die mutmaßlichen Hacker gewarnt worden waren. Nun gingen die Täter offenbar einen anderen Weg und machten ihre Drohung wahr
Seit wann die deutsche Hauptstadt von den Cyberkriminellen bedroht worden ist, welche Daten nun online gestellt wurden und was das jetzt für die Zukunft bedeutet – das ist über den Fall bisher bekannt:
Worum geht es hier genau?
Hacker haben die Berliner Stadtverwaltung angegriffen und dabei massenhaft Daten gestohlen. Nach bisherigen Erkenntnissen flossen zwischen dem 7. und 12. August Daten in großem Umfang ab. Der Angriff wurde am 14. August öffentlich bekannt. Lokale Behörden waren teilweise lahmgelegt. Die Angreifer forderten mindestens 30 Bitcoin – umgerechnet rund zwei Millionen Euro – für die Rückgabe der gestohlenen Daten.
Was wurde gestohlen?
Die Hacker behaupteten, rund 1,44 Millionen Dateien in einem Gesamtumfang von 5,7 Terabyte erbeutet zu haben. Darunter befinden sich auch als Verschlusssache klassifizierte Dokumente und vertrauliche Personendaten. Besonders brisant: Laut dem Darknet-Posting soll den Angreifern auch eine Schwachstellenanalyse zur Berliner Wasserversorgung in die Hände gefallen sein. Diese stammt von KRITIS, der deutschen Behörde für Kritische Infrastrukturen.
Weshalb hat die Stadt die Summe nicht einfach bezahlt?
Das Ultimatum der Hacker lief am Freitag ab. Der Regierende Bürgermeister Kai Wegner hatte zuvor bereits klargestellt, dass sich die Stadt nicht erpressen lasse. Aber selbst wenn Berlin die zwei Millionen Euro still und heimlich gezahlt hätte, wäre damit keine Garantie verbunden gewesen, dass die Daten nicht doch veröffentlicht oder weiter Geld gefordert worden wäre.
Wer ist die Ransomsoftware-Gruppe Rhysida?
Rhysida ist der Name einer kriminellen Vereinigung, die für diverse Cyberattacken auf Ziele in Europa und den USA verantwortlich gemacht wird. Der Name stammt aus der Biologie und bezeichnet eine Gattung von tropischen Hundertfüßern. Die Gruppe trat erstmals im Juni 2023 in Erscheinung und ist seither für hochprofessionelle Angriffe bekannt.
Steckt Russland dahinter?
IT-Sicherheitsexperten gehen davon aus, dass die Akteure aus Russland oder der Gemeinschaft Unabhängiger Staaten, also dem Zusammenschluss ehemaliger Sowjetrepubliken, stammen. Im Schadcode von Rhysida wurden russische Sprachschnipsel und Kommentare nachgewiesen. Auch Formulierungen in Erpresserschreiben deuten auf russische Muttersprachler hin. Offizielle personelle Verbindungen zum russischen Staat liegen nicht vor, können aber auch nicht ausgeschlossen werden.
Kam diese Erpressergruppe einfach aus dem Nichts?
Nein, es wird davon ausgegangen, dass sie eine Weiterentwicklung der sogenannten Vice Society ist. Sicherheitsforscher stellten signifikante technische Überschneidungen zwischen Rhysida und der früheren Gruppe Vice Society fest. Vice Society war unter anderem für einen verheerenden Cyberangriff auf eine Schweizer Gemeinde verantwortlich. Die Gruppe verschwand im Juni 2023 – fast zeitgleich mit dem ersten Auftreten von Rhysida. Viele Experten halten Rhysida daher für einen Nachfolger von Vice Society.
Was ist das Geschäftsmodell von Rhysida?
Rhysida operiert als Ransomware-as-a-Service. Das bedeutet: Die Hintermänner der Gruppe vermieten ihre Schadsoftware und Infrastruktur an andere Kriminelle. Diese führen dann die eigentlichen Angriffe durch. Das Geschäftsmodell basiert auf doppelter Erpressung: Einerseits werden Systeme lahmgelegt, andererseits wird mit der Veröffentlichung gestohlener Daten gedroht.
Warum werden solche Banden nicht gestoppt?
Für Banden, die aus dem russischen oder asiatischen Raum operieren, sind hochprofessionelle, arbeitsteilige Strukturen typisch. In diesen Ländern werden Cyberkriminelle oft toleriert, solange sie keine Ziele im Inland angreifen. Die internationale Strafverfolgung ist schwierig, weil die Täter in Staaten agieren, die nicht kooperieren.
Was wurde jetzt alles online gestellt?
Laut Bild Zeitung wurde tatsächlich eine Datenmenge von 5,26 Terabyte in 1.439.893 Dateien online zugänglich gemacht. Aufgrund der großen Menge an Daten gäbe es noch keinen präzisen Überblick über den Schaden. Auch hat sich die Berliner Verwaltung bzw. Politik noch nicht dazu zu Wort gemeldet.
Welcher geheimen Dokumente wurden nun veröffentlicht?
Es sollen u. a. Ordner mit dem Namen "AG CBRN-Rahmenplanung" online aufgetaucht sein. CBRN steht für chemische, biologische, radiologische und nukleare Gefahren. Diese sensiblen Daten sind nun öffentlich zugänglich – auch für Terroristen oder ausländische Geheimdienste. Außerdem online: private Daten von Landesbeamten: Geburtsurkunden, Telefonnummern, Wohnadressen. Überdies Baupläne, Notfall-Leitlinien, Unterlagen des Landeskriminalamtes, Pläne für den Verteidigungsfall und vieles mehr.
Gibt es noch gar keine Stellungnahme von öffentlicher Seite?
Doch, wie der Spiegel berichtet, geht das Bundesamt für Sicherheit in der Informationstechnik (BSI) nun von einer erhöhten Bedrohungslage aus. Es weist darauf hin, dass sich "aus der Veröffentlichung gestohlener Daten verschiedene Risiken für die Betroffenen und letztlich für die Gesellschaft ergeben können". So bestehe primär die Gefahr sogenannter Hack-and-Leak-Operationen. Dabei werden gestohlene Dokumente zu einem für den Angreifer günstigen Zeitpunkt veröffentlicht und dabei womöglich in einen falschen Zusammenhang gerückt, etwa vor Wahlen. In Berlin wird am 20. September ein neues Abgeordnetenhaus gewählt.
Könnte so etwas auch in Österreich passieren?
Grundsätzlich ja. Ransomware-Angriffe treffen Behörden und Unternehmen weltweit. Auch österreichische Gemeinden und öffentliche Einrichtungen waren in der Vergangenheit bereits Ziel von Cyberattacken. Der Fall Berlin zeigt, dass selbst große Verwaltungen mit umfangreichen IT-Ressourcen nicht immun gegen derartige Angriffe sind.
