Anfänglich hieß es noch, es seien von dem am 14. August bekannt gewordenen Hack ins Berliner Datennetz keine sensiblen Daten betroffen. Eine Woche lang wurden große Teile der Berliner Verwaltung offline genommen und das Wohngeld wurde nicht ausgezahlt. Dann wurde bekannt, dass es sich um eine Cybererpressung handelte – die Daten wurden von einer Gruppe namens Rhysida gezogen, die zwei Millionen Euro in Form von 30 Bitcoin wollte, andernfalls werde sie das gesamte Paket im Internet veröffentlichen. Berlin ließ sich nicht erpressen.

Und nun ist das Datenpaket öffentlich, wenn auch im Darknet, und es kursieren Aufnahmen und Angaben, was sich alles in diesem Paket mit einer Größe von 5,26 Terabyte befindet. Rhysida selbst hat eine Zusammenfassung geliefert: 77.939 juristische Vorgänge, 55.553 finanzielle, 46.522 Verträge, 27.299 Dateien über Personal. Hinzu kommen 11.777 vertrauliche Dateien, 5.921 Passwörter und 16.389 E-Mail-Adressen. Bundesratsprotokolle sind ebenso Teil des Pakets wie Passdaten und eine Risikoanalyse der Berliner Wasserversorgung.

Seit Freitagnachmittag ist all das im Netz, und selbst die Screenshots, die unterwegs sind, enthüllen Details, die die Berliner Verwaltung mit Sicherheit gern verborgen gelassen hätte:

Aber neben den offiziell eigentlich geheimzuhaltenden Daten gibt es dann auch noch Peinliches – schließlich erleben die Berliner ständig, wie an ihnen gespart wird:

Der Berliner Senat spielt die Angelegenheit noch immer herunter. „Sofern im Rahmen der Analyse einzelne betroffene Personen identifiziert werden, werden diese risikobasiert und entsprechend der gesetzlichen Vorgaben von den zuständigen Senatsverwaltungen informiert“. Eine Aussage, die bei Kennern der Berliner Verwaltung keinen Enthusiasmus auslösen dürfte. Der Berliner Noch-Bürgermeister Kai Wegner hat sich zur Veröffentlichung noch nicht geäußert.

Die Computerzeitschrift Chip erteilt Ratschläge, wie Bürger herausfinden können, ob ihre Daten womöglich von diesem Hack betroffen sind – falls ja, sollten sie Anzeige bei der Internetwache der Berliner Polizei erstatten. Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass in nächster Zeit ein erhöhtes Risiko für Phishing-Angriffe besteht.

Das größte Risiko besteht allerdings für die Berliner Regierung. Gleich auf zwei Ebenen: Zum einen ist das Berliner Verhalten in der ganzen Geschichte selbst skandalös – die ersten Informationen über einen unkontrollierten Zugriff auf Daten soll es nach Medienberichten bereits am 7. August gegeben haben. Dennoch dauerte es noch eine Woche, bis tatsächlich durch eine Unterbrechung des Netzes reagiert wurde. Im Verlauf der Affäre kam heraus, dass unter anderem über Jahre Tausende Passwörter unverschlüsselt gespeichert worden waren, in simplen Word-Dateien. Es gab also ein gerüttelt Maß an Schlamperei im Umgang mit Datensicherheit, das die Voraussetzungen für diesen Hack schuf.

Gleichzeitig könnten sich in den Daten selbst natürlich Informationen verbergen, die noch weit schmerzhafter sind als die oben erwähnte Information über ein Luxusessen auf Senatskosten – Vergaben, die nun durch die Konkurrenz überprüft werden können, beispielsweise. Oder sensible Informationen in den zehntausenden Verträgen, deren Veröffentlichung Schadensersatzklagen der Vertragspartner auslösen könnte, die deutlich teurer werden könnten als zwei Millionen Euro. Wer haftet am Ende? Wird es eine strafrechtliche Verantwortung geben?

Rhysida, die Gruppe, die das Berliner Netz gehackt hat, ist seit 2023 aktiv, wobei sie als Geschäftsmodell nicht nur das Absaugen von Daten, sondern auch Ransomware nutzt, also die komplette Verschlüsselung fremder Rechner mit der Drohung, die Daten zu zerstören, wenn nicht gezahlt wird. Es hätte für Berlin also noch weitaus schlimmer kommen können. Opfer waren auch schon die chilenische Armee, die Stadt Ohio oder die British Library. Die Betroffenen verteilen sich über inzwischen 39 Länder, im Schnitt sieben Angriffe pro Monat. Schwerpunkt der kriminellen Aktivität von Rhysida sind die Vereinigten Staaten.

Im Mai gab es einen Vorfall, der die Stadt Stuttgart betraf; die Forderung belief sich auf fünf Bitcoin, etwa 330.000 Euro. Öffentlich erklärte die Stadt, sie sei nicht Opfer eines Datenverlusts gewesen. Es ist natürlich denkbar, dass sie gezahlt hat.

Der Sitz derartiger Organisationen wird meist in „Osteuropa“ vermutet; der Schwerpunkt der globalen Cyberkriminalität ist aber durchaus genauer bekannt: die Ukraine.

Mehr zum Thema — Berlins Lügen-Wegner: Am Sitz kleben bringt ihm eine Viertelmillion