Am Freitagnachmittag wurden 1,4 Millionen Dateien aus dem Berliner IT-Netz veröffentlicht. Die Ransomware-Gruppe Rhysida hat um 15.35 Uhr ihr Ultimatum an den Berliner Senat auslaufen lassen und die erbeuteten Daten aus zwei Senatsverwaltungen im Darknet zum freien Download bereitgestellt. Der Senat hatte sich geweigert, das geforderte Lösegeld von rund zwei Millionen Euro in Form von 30 Bitcoin zu zahlen. Auf der Leak-Seite der Gruppe steht nun der zynische Hinweis „Datenjäger, viel Spaß!“.

Der Vorfall ist der größte Datendiebstahl in der Geschichte der Berliner Landesverwaltung. Für Beschäftigte, Bürgerinnen und Bürger sowie Unternehmen beginnt damit aber nicht das Ende, sondern eine gefährliche zweite Phase. Wer jetzt persönliche Daten im Umlauf hat, muss in den kommenden Wochen mit gezielten Täuschungsversuchen rechnen.

Was passiert ist

Rhysida hatte nach eigenen Angaben vom 7. bis 12. August unbemerkt Zugriff auf die Netze der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Erst am 14. August wurden die betroffenen Systeme vom Landesnetz getrennt. Die Angreifer hatten also mehrere Tage Zeit, sich im Netz zu bewegen und Daten abzuziehen.

Zum Download stehen laut Tagesspiegel 5,26 Terabyte mit 1.439.893 Dateien. Die Gruppe selbst spricht von einem erbeuteten Datensatz im Umfang von 5,7 Terabyte. Der Inhalt ist brisant. Neben Verwaltungsunterlagen wie „Controlling“, „Haushaltsdatenbank“ und „Karten“ finden sich umfangreiche Personaldaten mit Klarnamen, Angaben zum Behinderungsgrad und sogar privaten Handynummern für den Notfall. Dazu kommen Notfallpläne für kritische Infrastruktur, Prozessakten, Disziplinarverfahren und Bankdaten aus der obersten Führungsebene.

Besonders unangenehm: In einer Datei mit dem Namen Passwort.docx lagen Zugangsdaten von Mitarbeitern unverschlüsselt im Klartext. Manche der dort notierten Passwörter wie Sonnenschein13 oder Ahabostsee123 entsprechen nicht einmal den Mindestempfehlungen des BSI.

Warum das Datenleck erst der Anfang ist

Ein Datensatz dieser Qualität ist für Kriminelle bares Geld, weil er personalisierte Angriffe ermöglicht. Wer den vollen Namen, die Behörde, die Funktion, die private Handynummer und interne Vorgänge einer Person kennt, kann Phishing-Mails und Anrufe so glaubwürdig gestalten, dass klassische Warnsignale wie schlechtes Deutsch oder unpersönliche Anrede komplett wegfallen. Genau das ist der Unterschied zwischen breit gestreutem Spam und gezieltem Spear-Phishing.

Der Berliner IT-Chef und Digitalstaatssekretär Florian Hauer hat seine Beschäftigten in einem internen Schreiben deshalb eindringlich gewarnt: „Seien Sie in nächster Zeit extrem wachsam.“ Es bestehe ein „hohes Risiko für raffinierte Täuschungsversuche“. Als Beispiel nennt er angebliche Anfragen von Bürgern, Partnerunternehmen, Behörden, Dienstleistern oder Führungskräften, die in Wahrheit von den Tätern stammen.

Dass es nicht bei einer abstrakten Warnung bleibt, zeigt ein Detail aus dem Vorfall. Die Angreifer haben nach Tagesspiegel-Informationen bereits selbst hochrangige Beamte kontaktiert, einen Staatssekretär sogar persönlich über sein Profil in den sozialen Medien. Die Erpresser suchen also aktiv den direkten Draht zu einzelnen Personen. Hauer warnt zudem ausdrücklich vor „täuschend echten, eventuell KI-generierten Anrufen“. Die Kombination aus geleakten Echtdaten und synthetischen Stimmen macht Vishing, also Betrug per Telefon, zu einer realen Bedrohung.

Welche Angriffsmuster jetzt zu erwarten sind

Die geleakten Informationen lassen sich für mehrere Betrugsformen missbrauchen, die in den nächsten Wochen zunehmen dürften:

• Spear-Phishing per E-Mail, das echte Vorgangsnummern, Namen von Kollegen oder laufende Verfahren aufgreift, um Vertrauen zu erzeugen
• Vishing mit gefälschten oder KI-generierten Stimmen, gestützt auf die erbeuteten privaten Telefonnummern
• Täuschende Kontaktversuche über soziale Netzwerke, wie sie bei einem Staatssekretär bereits vorgekommen sind
• Folgeerpressung einzelner Betroffener, etwa mit Drohungen auf Basis der veröffentlichten Personalakten oder Bankdaten

Betroffen sind ausdrücklich nicht nur Landesbeschäftigte. Der Senat hat gewarnt, dass auch personenbezogene Daten von Bürgerinnen und Bürgern sowie von Unternehmen im Datensatz stecken können. Wer in den vergangenen Jahren mit den beiden Verwaltungen zu tun hatte, sollte sich ebenfalls angesprochen fühlen.