Was geschah, als Berlin sich weigerte zu zahlen

Eine Ransomware-Gruppe, die Berlins Verwaltungssysteme angegriffen hat, hat ihre Drohung wahr gemacht und gestohlene Daten verkauft, nachdem sich die Behörden weigerten zu zahlen. Laut Rundfunk Berlin-Brandenburg (RBB) erhielt die deutsche Hauptstadt nach einem Cyberangriff Lösegeldforderungen in ungenannter Höhe. Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger antworteten mit einer gemeinsamen Erklärung, die die Position der Stadt klar machte: „Das Land Berlin wird sich nicht erpressen lassen.“

Diese entschlossene Haltung kam, bevor die Angreifer ihren nächsten Schritt machten. Kurz nach der öffentlichen Weigerung behauptete die Ransomware-Gruppe, sie habe die gestohlenen Daten zur Versteigerung angeboten – eine Taktik, die darauf abzielt, Druck auf die Opfer auszuüben, indem sie damit droht, sensible Informationen an den Meistbietenden zu verkaufen, falls diese nicht direkt zahlen.

Dies ist das Modell der doppelten Erpressung, das unter Ransomware-Betreibern zum Standard geworden ist. Anstatt Dateien einfach zu sperren und eine Zahlung für einen Entschlüsselungsschlüssel zu verlangen, stehlen Angreifer jetzt zuerst Kopien der Daten. Wenn das Lösegeld nicht gezahlt wird, drohen sie damit, diese Daten trotzdem zu veröffentlichen oder zu verkaufen – das gibt den Opfern zwei getrennte Gründe zu zahlen: um ihre Systeme zu entsperren und um ihre Informationen privat zu halten.

Was gestohlene Regierungsdaten typischerweise umfassen und wie sie verkauft werden

Wenn Ransomware-Gruppen in Regierungsnetzwerke eindringen, umfassen die Daten, die sie abziehen, oft weit mehr als interne Memos. Kommunale und staatliche Systeme enthalten häufig Mitarbeiterunterlagen, persönliche Daten von Einwohnern, Finanzdokumente und manchmal auch Dateien aus Strafverfolgung oder Gesundheitswesen, je nachdem, welche Abteilungen betroffen waren.

Sobald Angreifer beschließen, gestohlene Daten zu versteigern, läuft der Prozess in der Regel auf Dark-Web-Foren oder Leak-Seiten ab, die die Gruppe kontrolliert. Bieter – die andere kriminelle Gruppen, Datenhändler oder Gelegenheitskäufer sein können – konkurrieren um den Schatz, oft mit einem von den Angreifern festgelegten Mindestpreis. Dies ist keine neue Taktik, die nur auf Berlins Fall beschränkt ist. Der Ansatz ähnelt dem, was bei der Versteigerung gestohlener Daten durch die CMD-Bande geschah, wo die Gruppe 1,9 Millionen Dollar forderte und zu einem öffentlichen Bieterverfahren überging, als das Opfer nicht sofort nachgab. Dieser Vorfall zeigte, wie Ransomware-Gruppen gestohlene Daten zunehmend als Handelsgut mit Wiederverkaufswert behandeln – nicht nur als Druckmittel für eine einmalige Zahlung.

Das Auktionsmodell erhöht auch den Einsatz für die Opfer. Ein traditioneller Leak veröffentlicht Daten öffentlich, was schädlich ist, aber zumindest begrenzt, wer davon profitiert. Eine Auktion lädt aktiv neue Käufer ins Spiel und kann sensible Aufzeichnungen potenziell in die Hände mehrerer böser Akteure bringen statt nur eines einzigen.

Warum „Kein Lösegeld“-Politiken zur Norm werden

Die Weigerung Berlins zu verhandeln spiegelt einen breiteren Wandel bei Regierungsbehörden wider. Die Zahlung von Lösegeld wird zunehmend kritisiert, weil sie nicht garantiert, dass Daten gelöscht werden, nicht verhindert, dass Angreifer Kopien trotzdem verkaufen, und direkt zukünftige kriminelle Operationen finanziert. Insbesondere öffentliche Einrichtungen stehen unter Druck, keinen Präzedenzfall zu schaffen, dass Steuergelder an Erpresser fließen.

Der Kompromiss – wie Berlins Situation zeigt – ist, dass die Weigerung zu zahlen die Bedrohung nicht verschwinden lässt. Sie verschiebt die Konsequenz von einer finanziellen Zahlung hin zu einer öffentlichen Datenoffenlegung. Für Einwohner und Mitarbeiter, deren Daten in den Vorfall verwickelt waren, bleibt das praktische Ergebnis – dass persönliche Daten möglicherweise verkauft oder geleakt werden – unabhängig von der Entscheidung der Regierung gleich.

Wie betroffene Einwohner sich jetzt schützen können

Wenn Sie in Berlin leben oder für die Stadtverwaltung arbeiten, gibt es konkrete Schritte, die sich lohnen, während die Behörden den Vorfall weiter untersuchen.

Erstens: Achten Sie auf offizielle Mitteilungen der Stadtbehörden darüber, ob Ihre spezifischen Daten in den gestohlenen Dateien enthalten waren. Regierungsangriffe betreffen oft bestimmte Abteilungen und nicht jeden Einwohner – daher ist es wichtig, die Betroffenheit zu bestätigen, bevor man überreagiert.

Zweitens: Überwachen Sie Finanzkonten und seien Sie wachsam gegenüber Phishing-Versuchen. Gestohlene Regierungsdaten werden häufig verwendet, um überzeugende Spam-E-Mails oder Anrufe zu erstellen, die auf echte Details wie Ihre Adresse oder Fallnummern verweisen, um legitim zu wirken.

Drittens: Erwägen Sie eine Betrugswarnung oder eine Kreditsperre, wenn Finanz- oder Identifikationsinformationen Teil des Verstoßes waren. Dies ist eine Standardvorsichtsmaßnahme, die nach den meisten großflächigen Datenlecks empfohlen wird, unabhängig davon, ob ein Lösegeld gezahlt wurde.

Viertens: Ändern Sie Passwörter für alle Regierungsportale oder Dienste, die mit Ihrer Identität verbunden sind, insbesondere wenn Sie Zugangsdaten auf mehreren Websites wiederverwenden.

Was das für Sie bedeutet

Der Berliner Fall erinnert daran, dass bei einem Ransomware-Datenauktions-Vorfall in einer Regierung das Ergebnis für normale Einwohner selten davon abhängt, ob die Behörden das Lösegeld zahlen. Angreifer, die erfolgreich Daten stehlen, haben ihre Hebelwirkung bereits erreicht; die Auktion ist nur die Art, wie sie sie weiter monetarisieren. Beschäftigte des öffentlichen Sektors und Einwohner können nicht kontrollieren, ob das Netzwerk einer Behörde kompromittiert wird, aber sie können kontrollieren, wie schnell sie reagieren, sobald sie davon erfahren.

Wichtige Erkenntnisse

  • Berlin weigerte sich, Ransomware-Angreifern Lösegeld zu zahlen, und die Gruppe reagierte mit der Versteigerung gestohlener Daten – ein Muster, das auch in anderen Fällen wie der Datenauktion der CMD-Bande zu sehen ist.
  • Taktiken der doppelten Erpressung bedeuten, dass die Weigerung, Lösegeld zu zahlen, Datenoffenlegung nicht verhindert; sie verschiebt die Konsequenz zu einem öffentlichen Verkauf oder Leak.
  • Einwohner und Mitarbeiter, die von Regierungsangriffen betroffen sind, sollten Konten überwachen, auf Phishing achten und Kreditsperren erwägen.
  • „Kein Lösegeld“-Politiken werden für öffentliche Einrichtungen zum Standard, aber Einzelpersonen tragen weiterhin das praktische Risiko offengelegter persönlicher Daten.

Informiert zu bleiben, wie sich solche Vorfälle entwickeln, und grundlegende Schutzmaßnahmen konsequent umzusetzen, bleibt der zuverlässigste Weg, den Schaden zu begrenzen, wenn Institutionen zu Zielen werden.