Berlins 7-tägige Verzögerung ermöglichte Rhysida den Diebstahl von 5,79 TB Daten

Ein wochenlanger blinder Fleck wurde zur Datenkatastrophe

Ein Ransomware-Angriff in Berlin rückt eines der vermeidbarsten Versäumnisse in der Incident Response in den Fokus: die Lücke zwischen der Erkennung eines Einbruchs und der tatsächlichen Abschottung. Laut Berichten über den Vorfall hat die Ransomware-Gruppe Rhysida das Regierungsnetzwerk von Berlin kompromittiert und behauptet nun, 5,79 Terabyte an Daten gestohlen zu haben. Diese Beute soll Berichten zufolge Dateien zu Schwachstellen in der Wasserversorgung sowie Klartext-Zugangsdaten umfassen – die Art von Informationen, die in den falschen Händen weit mehr bedrohen könnten als nur Verwaltungsunterlagen.

Was diesen Fall besonders bemerkenswert macht, ist nicht nur die Datenmenge oder das Ziel. Es ist die Zeitleiste. Ermittler fanden heraus, dass zwischen der Erkennung des Eindringens und der tatsächlichen Isolierung des Berliner Netzwerks etwa sieben Tage vergingen. In der Ransomware-Antwort ist dieses Fenster der Zeitraum, in dem der eigentliche Schaden entsteht. Angreifer, die bereits einen Fuß in der Tür haben, nutzen jede zusätzliche Stunde, um sich seitlich zu bewegen, hochwertige Dateien zu lokalisieren und diese stillschweigend zu exfiltrieren, bevor Verteidiger die Türen abschließen können.

Der Regierende Bürgermeister von Berlin hat bestätigt, dass die Stadt das von den Angreifern geforderte Lösegeld von 30 Bitcoins nicht zahlen wird. Diese Entscheidung entspricht den seit langem bestehenden Empfehlungen von Cybersicherheitsbehörden, die von Lösegeldzahlungen generell abraten, da diese weitere kriminelle Aktivitäten finanzieren und keine Garantie bieten, dass gestohlene Daten nicht doch geleakt oder verkauft werden.

Warum die siebentägige Isolationslücke so entscheidend ist

Die Erkennung eines Ransomware-Eindringens ist nur die halbe Miete. Die andere Hälfte – und wohl die dringlichere – ist die Eindämmung. Eine Verzögerung von sieben Tagen zwischen Erkennung und Isolierung gibt einem Eindringling wie Rhysida genug Zeit, ein Netzwerk zu kartieren, sensible Repositorien zu identifizieren und groß angelegte Datentransfers zu inszenieren, bevor jemand den Stecker zieht.

Dies ist ein wiederkehrendes Thema bei großen Sicherheitsvorfällen: Die Schwachstelle, die Angreifern den Zugang ermöglichte, ist oft weniger schädlich als die langsame Reaktion, die ihnen erlaubte, zu bleiben. Es spiegelt ein breiteres Muster in der Sicherheitswelt wider, in dem ungepatchte oder schlecht überwachte Systeme Gelegenheitsfenster schaffen, die weit länger bestehen bleiben, als sie sollten. Auch außerhalb von Regierungsnetzwerken zeigt sich diese Dynamik regelmäßig. Als Microsoft in einem einzigen Update-Zyklus 570 Fehler patchte, darunter zwei ausgenutzte Zero-Days, war das eine Erinnerung daran, dass das schiere Ausmaß von Software-Schwachstellen schnelle Erkennung und noch schnellere Eindämmung für jede Organisation mit sensiblen Daten unverzichtbar – nicht optional – macht.

Für ein Regierungsnetzwerk, das für Dienstleistungen im Zusammenhang mit öffentlicher Infrastruktur verantwortlich ist, ist eine Woche Lücke nicht nur ein IT-Aussetzer. Es ist ein Zeitraum, in dem kritische Systeme, möglicherweise einschließlich solcher, die mit dem Betrieb der Wasserversorgung verbunden sind, ohne klares Bild darüber, was abgerufen oder entfernt wurde, exponiert waren.

Die Datenschutz-Folgen für die Berliner Bevölkerung

Die Kategorien von Daten, die Rhysida nach eigenen Angaben entwendet hat, werfen ernsthafte Datenschutzbedenken auf. Klartext-Zugangsdaten, also Anmeldeinformationen, die nicht verschlüsselt oder gehasht waren, sind besonders gefährlich, da sie sofort wiederverwendet werden können, wenn sie zu Konten an anderer Stelle passen. Angesichts der Tatsache, dass Menschen Passwörter häufig über persönliche und berufliche Konten hinweg wiederholen, kann der Diebstahl von Klartext-Zugangsdaten aus einem Regierungssystem weitreichende Auswirkungen auf E-Mail-Konten, Bankzugänge und andere persönliche Dienste von Mitarbeitern oder Bürgern haben.

Dann gibt es noch die Daten zu Schwachstellen in der Wasserversorgung. Details über Schwächen in Infrastruktursystemen sind sensibel, nicht weil sie persönliche Informationen direkt offenlegen, sondern weil sie von anderen böswilligen Akteuren ausgenutzt werden könnten, die öffentliche Dienste stören wollen. Die Kombination von Infrastrukturdaten mit gestohlenen Zugangsdaten schafft ein Szenario, in dem derselbe Vorfall gleichzeitig persönliche Privatsphäre und öffentliche Sicherheitsbedenken berührt.

Dass Berliner Beamte sich weigern, das Lösegeld zu zahlen, ist aus politischer Sicht eine vernünftige Haltung, bedeutet aber auch, dass das Schicksal der gestohlenen Daten nun weitgehend außerhalb der Kontrolle der Stadt liegt. Rhysida hat, wie viele Ransomware-Gruppen, eine Erfolgsbilanz darin, zu drohen, Daten zu veröffentlichen oder zu versteigern, wenn Forderungen nicht erfüllt werden.

Was das für Sie bedeutet

Wenn Sie in Berlin leben oder mit den Regierungsdiensten der Stadt interagieren, ist dieser Vorfall eine Erinnerung daran, alle Passwörter zu ändern, die Sie möglicherweise auf städtischen Portalen verwendet haben, insbesondere wenn Sie dieses Passwort auch anderswo wiederverwendet haben. Achten Sie auf Phishing-Versuche, die sich auf den Vorfall beziehen oder vorgeben, von Stadtbeamten zu stammen, da Angreifer oft öffentliche Vorfallsmeldungen ausnutzen, um Opfer dazu zu bringen, auf schädliche Links zu klicken.

Allgemeiner gesagt ist dieser Vorfall eine nützliche Fallstudie für jede Organisation, ob öffentlich oder privat. Die Lektion dreht sich nicht nur um Ransomware. Es geht um Reaktionsgeschwindigkeit. Erkennung ohne schnelle Isolierung verschafft Angreifern Zeit, und genau diese Zeit ist es, die aus einem eingedämmten Vorfall einen massiven Datendiebstahl macht.

Wichtige Erkenntnisse

• Die Ransomware-Gruppe Rhysida behauptet, 5,79 TB Daten aus dem Berliner Regierungsnetzwerk exfiltriert zu haben, darunter Dateien zu Schwachstellen in der Wasserversorgung und Klartext-Zugangsdaten.
• Eine Lücke von sieben Tagen zwischen Erkennung und Netzwerk-Isolierung gab Angreifern verlängerte Zeit, sensible Dateien zu lokalisieren und zu stehlen.
• Der Regierende Bürgermeister von Berlin weigerte sich, das geforderte Lösegeld von 30 Bitcoins zu zahlen, gemäß den standardmäßigen Cybersicherheitsempfehlungen.
• Einwohner und Stadtangestellte sollten wiederverwendete Passwörter aktualisieren und wachsam gegenüber Phishing-Versuchen sein, die sich auf diesen Vorfall beziehen.
• Organisationen jeder Größe sollten die Geschwindigkeit von Erkennung bis Isolierung als kritische Sicherheitskennzahl behandeln, nicht als Nebensache.

Der Ransomware-Angriff auf Berlin unterstreicht eine harte Wahrheit in der Cybersicherheit: Eine Bedrohung zu erkennen ist nur nützlich, wenn man schnell genug handeln kann, um einen Unterschied zu machen. Während weitere Details zum Umfang der gestohlenen Daten ans Licht kommen, wird der Vorfall wahrscheinlich als Referenzpunkt dafür dienen, wie schnell kritische Infrastrukturnetzwerke reagieren müssen, sobald ein Eindringen erkannt wird.