0 
Die Erpresser haben ihre Ankündigung wahr gemacht: Rund drei Wochen nach dem schweren Cyberangriff auf die Berliner Verwaltung sind große Datenmengen im Darknet veröffentlicht worden. Damit wächst die Sorge, dass sensible Informationen nun missbraucht werden könnten.
Was passiert ist
Zwischen dem 7. und 12. August verschafften sich Unbekannte unbemerkt Zugang zu Teilen des Berliner Landesnetzes und kopierten umfangreiche Datenbestände. Betroffen waren die Senatsverwaltungen für Bauen sowie für Verkehr. Entdeckt wurde der Angriff erst am 14. August, öffentlich gemacht wurde er drei Tage später.
Erst nach und nach wurde das volle Ausmaß deutlich: Nach bisherigen Angaben wurden 1,44 Millionen Dateien mit einem Gesamtvolumen von 5,8 Terabyte entwendet. Ein Terabyte entspricht etwa 1.000 Gigabyte.
Die Gruppe Rhyside forderte 30 Bitcoin Lösegeld, also umgerechnet rund zwei Millionen Euro. Berlin zahlte nicht. Nach Ablauf des Ultimatums stellten die Täter die Daten am Freitag ins Darknet. Gemeint ist damit ein nicht über übliche Suchmaschinen erreichbarer Teil des Internets, in dem Kommunikation verschlüsselt abläuft und Nutzer möglichst anonym bleiben wollen.
Welche Daten betroffen sein könnten
Ein vollständiger Überblick fehlt weiterhin, weil die veröffentlichten Datenmengen enorm sind. Nach Angaben des Chaos Computer Clubs befinden sich darunter offenbar auch personenbezogene Unterlagen von Verwaltungsbeschäftigten, darunter Personalangelegenheiten, Arbeitszeugnisse und Notfallpläne.
Berichten zufolge wurden außerdem Inhalte veröffentlicht, die für die Sicherheit des Bundes und der Hauptstadt relevant sein könnten. Genannt werden Daten zu besonders sensiblen Einrichtungen wie Heizkraftwerken, Tanklagern, Notstromanlagen und Umspannwerken. Auch geheime Unterlagen zu Gefängnissen, Wasserwerken, Rüstungsunternehmen, der Bundeswehr sowie der Berliner Innenverwaltung mit Bezug zur Verteidigung sollen darunter sein.
Jochim Selzer, Sprecher des Chaos Computer Clubs, erklärte, er habe in den veröffentlichten Unterlagen sensible Informationen zum Zustand der Berliner Wasserversorgung gefunden. Der IT-Experte Manuel Atug wollte die Daten nach eigenen Angaben aus ethischen Gründen nicht selbst im Darknet einsehen. Aus seriösen Quellen habe er jedoch Hinweise erhalten, dass zumindest Angaben zu Zivilschutz und Rüstungsunternehmen tatsächlich enthalten seien. Atug ist Gründer und Sprecher der unabhängigen Arbeitsgruppe AG Kritis.
Hinzu kommt ein weiterer Punkt: Nach einer eigenen Stichprobe berichtet der Spiegel, dass auch zahlreiche Bundesbelange betroffen seien. Demnach finden sich mehr als 550 Dateien zur Erweiterung des Kanzleramts in dem Leak, darunter Gutachten, Pläne und Stellungnahmen, unter anderem des Landeskriminalamts.
Reaktion der Behörden
Die Sicherheitsbehörden versuchen nun, sich einen Überblick über die veröffentlichten Daten zu verschaffen. Der Berliner Senat teilte mit, derzeit laufe eine intensive Datenprüfung. Auch IT-Forensiker im Auftrag des Landes werteten die Veröffentlichung mit Hochdruck aus. Welche konkreten Maßnahmen daraus folgen, blieb zunächst offen.
Berlin kündigte an, identifizierte Betroffene risikobasiert und entsprechend der gesetzlichen Vorgaben zu informieren.
Nach Angaben des Bundesinnenministeriums unterstützen auch Bundesbehörden die Analyse, darunter das Bundesamt für Sicherheit in der Informationstechnik, das Bundeskriminalamt und der Verfassungsschutz. Datensysteme des Bundes seien nach bisherigem Kenntnisstand nicht betroffen, erklärte ein Sprecher der Bundesregierung.
Auch die Bundeswehr verwies auf laufende Bewertungen möglicher Sicherheitsfolgen. Nach Analyse potenzieller Risiken würden bei Bedarf Maßnahmen zum Schutz militärischer Belange eingeleitet. Zwischen den beteiligten Stellen gebe es einen kontinuierlichen Informationsaustausch, auch über das Nationale Cyberabwehrzentrum.
Welche Risiken die Veröffentlichung birgt
Sollte sich bestätigen, dass sicherheitsrelevante Informationen abgeflossen sind, könnten diese theoretisch von fremden Staaten, Terroristen oder anderen Akteuren ausgenutzt werden. Nach Einschätzung des BSI kann die Veröffentlichung sensibler Daten zu kritischen Infrastrukturen, Unternehmen oder Organisationen die Bedrohungslage erhöhen.
Bei personenbezogenen Daten sehen Fachleute vor allem die Gefahr von Identitätsdiebstahl. Je mehr Informationen über eine Person bekannt sind, desto leichter lässt sie sich täuschend echt nachahmen oder in ihrem Namen missbrauchen.
Zudem warnt das BSI vor einer erhöhten Gefahr gezielter Phishing-Angriffe nach dem Datenabfluss. Besonders wachsam sollten demnach Menschen sein, die mit betroffenen Personen oder Einrichtungen in Kontakt standen.
Warum es Kritik gibt
Der IT-Sicherheitsexperte Manuel Atug wirft dem Land Berlin vor, grob fahrlässig gehandelt und Vorgaben zum Geheimschutz nicht eingehalten zu haben. Für die Speicherung und Verarbeitung geheimer Verschlusssachen gebe es strenge Regeln und mehrere Sicherheitsstufen. Diese seien offenbar nicht ausreichend angewandt worden.
Auch die Gewerkschaft der Polizei in Berlin reagierte scharf. GdP-Landesvize Thorsten Schleheider erklärte, der Vorfall führe erneut vor Augen, dass die IT-Sicherheit der Hauptstadt über Jahre vernachlässigt worden sei. Es könne nicht sein, dass über Tage hochsensible Daten entwendet würden und als sichtbare Reaktion vor allem Passwortänderungen im Raum stünden. Das wirke hilflos.
Folgen für die Berlin-Wahl?
Am 20. September wird das Berliner Abgeordnetenhaus neu gewählt. Landeswahlleiter Stephan Bröchler erklärte, nach derzeitigem Stand sei die Wahlumgebung weiterhin nicht betroffen. Das gelte für die Vorbereitung, den Wahltag selbst und den Ablauf bis zur Veröffentlichung des vorläufigen Ergebnisses.
Grundsätzlich weist das BSI jedoch darauf hin, dass vor Wahlen das Risiko sogenannter Hack-and-Leak-Operationen steigt. Dabei werden gestohlene Dokumente oder E-Mails gezielt zu einem politisch günstigen Zeitpunkt veröffentlicht und teils aus dem Zusammenhang gerissen.
Im aktuellen Fall gehen die Behörden bislang aber nicht von einem politischen Motiv aus. Nach Einschätzung des BSI spricht derzeit alles dafür, dass der Angriff ausschließlich finanziell motiviert war.
Quelle: dpa/bearbeitet durch Julian Weber
