Eine Verweigerung, die vor Eröffnung der Auktion erfolgte
Die meisten Ransomware-Geschichten folgen einem vertrauten Muster: Angreifer stehlen Daten, sie kündigen einen Eintrag auf einer Leak-Site an, und erst dann reagiert die betroffene Organisation öffentlich. Die Berliner Landesregierung brach mit diesem Muster. Wie aus der Berichterstattung über den Vorfall hervorgeht, gaben der Regierende Bürgermeister Kai Wegner und Iris Spranger, Berlins Senatorin für Inneres und Sport, um 15:39 Uhr Berliner Zeit eine gemeinsame Erklärung ab, in der sie die Zahlung eines Lösegelds verweigerten – bevor die Erpresser ihre Forderung überhaupt öffentlich gemacht hatten. Am selben Nachmittag stellte die verantwortliche Ransomware-Gruppe die von ihr als 5,79 Terabyte bezeichneten Daten Berliner Landesbehörden zur Versteigerung.
Die Reihenfolge ist von Bedeutung. Berlins Verantwortliche warteten nicht ab, wie sich der Erpressungsversuch entwickeln würde oder ob öffentlicher Druck entstehen könnte. Sie legten ihre Position präventiv fest und entzogen den Angreifern damit wirksam jede Hebelwirkung, die diese durch die Androhung einer öffentlichen Offenlegung zu gewinnen gehofft hatten. Es ist ein kleines, aber aufschlussreiches Detail in einem Fall, der bereits Aufmerksamkeit erregt hat wegen Berlins Entscheidung, die Ransomware-Forderung rundheraus abzulehnen.
Wer Rhysida ist und was entwendet wurde
Die Gruppe hinter dem Angriff ist Rhysida, eine Ransomware-Operation, die bereits Regierungs- und öffentliche Sektornetzwerke ins Visier genommen hat. Im Fall Berlins wurde der Eindring in die staatlichen Verwaltungssysteme der Stadt nicht sofort erkannt und eingedämmt. Die Berichterstattung über den zeitlichen Ablauf des Vorfalls deutet darauf hin, dass eine Lücke von etwa sieben Tagen zwischen Erkennung und Eindämmung Rhysida genug Zeit gab, die gesamten 5,79 Terabyte Daten zu exfiltrieren, bevor die Verbindung schließlich gekappt wurde. Dieses Zeitfenster – zwischen dem Erkennen verdächtiger Aktivitäten und dem tatsächlichen Abschalten – ist oft der Punkt, an dem Ransomware-Vorfälle von eingedämmt zu katastrophal werden.
Sobald Berlin klarstellte, dass es nicht zahlen werde, setzte Rhysida seine Drohung in die Tat um. Die Gruppe stellte die gestohlenen Daten zur Versteigerung – eine Taktik, die bei Ransomware-Betreibern immer häufiger wird, die sich nicht mehr allein auf die Verschlüsselung von Systemen verlassen. Stattdessen stehlen sie zuerst sensible Daten und drohen damit, sie zu verkaufen oder zu veröffentlichen, falls das Opfer sich weigert zu zahlen – ein Modell, das oft als doppelte Erpressung bezeichnet wird. Die Versteigerung gestohlener Daten fügt eine weitere Wendung hinzu: Sie öffnet die Tür für jeden Käufer, nicht nur für das ursprüngliche Opfer, und könnte die Informationen so in mehr Hände bringen als ein einfacher Leak.
Warum Regierungen zunehmend Nein sagen
Berlins Weigerung fügt sich in einen breiteren Trend bei öffentlichen Einrichtungen ein. Die Zahlung von Lösegeldern bietet keine Garantie dafür, dass gestohlene Daten tatsächlich gelöscht werden oder dass Angreifer nicht für eine zweite Zahlung zurückkehren. Sie birgt auch das Risiko, anderen kriminellen Gruppen zu signalisieren, dass eine bestimmte Stadt oder Behörde verhandlungsbereit ist, was künftige Angriffe einladen könnte. Für eine Landesregierung kommen weitere Überlegungen hinzu: Öffentliche Gelder, die zur Zahlung an kriminelle Vereinigungen verwendet werden, ziehen Kritik auf sich, und dies kann gegen nationale oder regionale Leitlinien verstoßen, die von Lösegeldzahlungen insgesamt abraten.
Der Zeitpunkt der Berliner Weigerung – noch vor Veröffentlichung des Auktionsangebots – deutet darauf hin, dass die Verantwortlichen ihre Position bereits festgelegt hatten, lange bevor der Erpressungsversuch öffentlich wurde. Diese Art von Vorbereitung – einen Reaktionsplan bereit zu haben, bevor ein Vorfall eskaliert – ist etwas, das Sicherheitsexperten Organisationen aller Größen seit langem empfehlen.
Was das für Sie bedeutet
Die meisten Leser werden niemals ein Regierungsnetzwerk verwalten, aber der Fall Berlin bietet dennoch praktische Lehren. Wenn ein Dienst, den Sie nutzen – sei es eine städtische Behörde, ein Gesundheitsdienstleister oder ein Unternehmen – einen Ransomware-Angriff erlebt, spiegelt die Reaktion der Organisation oft wider, was hier geschah: eine Zahlungsverweigerung, gefolgt von gestohlenen Daten, die zum Verkauf oder zur Versteigerung auftauchen. Das bedeutet, dass Benachrichtigungsschreiben, Kreditüberwachungsangebote oder Meldungen über Datenschutzverletzungen möglicherweise erst lange nach dem tatsächlichen Diebstahl eintreffen – manchmal Tage oder Wochen später, je nachdem, wie schnell die Eindämmung erfolgte.
Wenn Sie mit Regierungs- oder institutionellen Systemen interagieren, die von einem ähnlichen Vorfall betroffen sein könnten, lohnt es sich, regelmäßig zu prüfen, ob Ihre Informationen in bekannten Datenlecks aufgetaucht sind, und unerwartete Benachrichtigungs-E-Mails oder -Anrufe mit Vorsicht zu behandeln, bis Sie sie über offizielle Kanäle verifiziert haben.
Wichtigste Erkenntnisse
Berlins Entscheidung, Rhysidas Lösegeldforderung abzulehnen, bevor die Gruppe ihre Auktion überhaupt eröffnete, unterstreicht einen Wandel darin, wie öffentliche Institutionen mit Erpressungsversuchen umgehen: früh entscheiden, klar kommunizieren und nicht auf den nächsten Schritt des Angreifers warten. Für normale Leser ist der Fall eine Erinnerung daran, dass die Folgen von Ransomware oft in Phasen ablaufen – Erkennung, Eindämmungsverzögerungen, Weigerung und dann ein Datenverkauf – und dass es nach wie vor eine der einfachsten Möglichkeiten ist, sich zu schützen, wachsam gegenüber Benachrichtigungen über Datenschutzverletzungen bei Organisationen zu bleiben, mit denen man zu tun hat. Behalten Sie offizielle Updates der Berliner Landesbehörden im Auge, wenn Sie eine Verbindung zu den betroffenen Systemen haben, und erwägen Sie, Ihre persönlichen Daten proaktiv zu überwachen, wann immer ein Ransomware-Vorfall eine Organisation betrifft, auf die Sie sich verlassen.
