Rhysida veröffentlicht 5,26 TB Daten des Berliner Staates im Darknet

Was ist passiert: Rhysidas 5,26-TB-Leak

Die Ransomware-Gruppe Rhysida hat 5,26 Terabyte an Daten, die von der Berliner Landesregierung gestohlen wurden, im Darknet veröffentlicht. Der Datenleak folgt einem bekannten Muster der Gruppe: in ein Netzwerk eindringen, große Mengen sensibler Dateien exfiltrieren, Zahlung fordern und alles öffentlich freigeben, wenn das Ziel sich weigert zu zahlen. Diese jüngste Veröffentlichung ist Teil einer fortlaufenden Geschichte, die vpn.social genau verfolgt hat, einschließlich Rhysidas früherer Veröffentlichung von fast sechs Terabyte gestohlener Berliner Daten und der Entscheidung der Gruppe, Berliner Daten zu veröffentlichen, nachdem die Stadt eine Lösegeldforderung von 2 Millionen Euro abgelehnt hatte.

Datenleaks von Regierungen in dieser Größenordnung sind selten einmalige Ereignisse. Sie entfalten sich in der Regel in Phasen, mit ersten Drohungen, Fristen, teilweisen Veröffentlichungen und schließlich der vollständigen Publikation, sobald die Verhandlungen scheitern. Der Fall Berlin scheint genau dieser Entwicklung zu folgen und gipfelt in dieser Veröffentlichung von 5,26 TB.

Wer ist Rhysida und warum zielt die Gruppe auf öffentliche Einrichtungen ab

Rhysida ist seit 2023 aktiv und hat sich einen Ruf dafür aufgebaut, insbesondere auf zwei Sektoren abzuzielen: Gesundheitseinrichtungen und öffentliche Verwaltungen. Zu den bekannten Opfern gehören das Centro Hospitalar Universitário de Lisboa, ein großes Krankenhausnetzwerk in Portugal, und sogar der Vatikan. Dieses Muster ist kein Zufall. Krankenhäuser, Stadtverwaltungen und religiöse Einrichtungen arbeiten häufig mit veralteten IT-Systemen, verfügen über knappe Budgets für Cybersicherheit und halten enorme Mengen sensibler persönlicher und administrativer Daten, genau die Kombination, die sie zu attraktiven Zielen für eine Gruppe macht, die nach hochwertigen Daten mit vergleichsweise schwächeren Abwehrmechanismen sucht.

Opfer aus dem öffentlichen Sektor stehen zudem vor einem einzigartigen Dilemma, wenn sie von Ransomware getroffen werden. Die Zahlung eines Lösegelds an eine kriminelle Gruppe wirft rechtliche und ethische Fragen auf, und es gibt keine Garantie, dass eine Zahlung verhindert, dass die Daten trotzdem veröffentlicht oder weiterverkauft werden. Die Zahlung zu verweigern bedeutet andererseits, dass die Daten öffentlich werden, was Bürger, Beschäftigte und Regierungsabläufe potenziell dauerhaft schädigen kann. Die Berliner Regierung soll zuvor eine in Bitcoin gestellte Lösegeldforderung vor einer gesetzten Frist abgelehnt haben, eine Entscheidung, die letztlich dazu führte, dass die Daten veröffentlicht statt verkauft oder unterdrückt wurden.

Das Playbook der doppelten Erpressung

Rhysida operiert mit einer Taktik, die als doppelte Erpressung bekannt ist. Anstatt einfach Dateien zu verschlüsseln und eine Zahlung für einen Entschlüsselungsschlüssel zu verlangen, stiehlt die Gruppe zunächst eine Kopie der Daten, bevor sie Systeme sperrt. Dadurch erhält sie zwei Formen von Druckmitteln: Opfer werden unter Druck gesetzt zu zahlen, sowohl um wieder Zugriff auf ihre eigenen Systeme zu erhalten als auch um zu verhindern, dass die gestohlenen Daten veröffentlicht oder verkauft werden. Wenn kein Lösegeld gezahlt wird, setzt die Gruppe ihre Drohung um und veröffentlicht die Daten, wie es im Fall Berlin wiederholt geschehen ist, unter anderem in einer früheren Veröffentlichung, die als Berliner Regierungsdaten nach einer Lösegeldverweigerung geleakt beschrieben wurde.

Doppelte Erpressung ist unter Ransomware-Gruppen zunehmend verbreitet, gerade weil sie funktioniert. Selbst Organisationen mit soliden Backup-Systemen, die verschlüsselte Dateien ohne Zahlung wiederherstellen können, sind noch der Bedrohung durch öffentliche Datenexponierung ausgesetzt, was den Druck aufrechterhält, unabhängig davon, wie gut der Notfallwiederherstellungsplan eines Opfers standhält.

Was das für Sie bedeutet

Wenn Sie in Berlin leben, für die Stadtverwaltung arbeiten oder in irgendeiner Weise mit den betroffenen Regierungssystemen interagieren, ist dieser Leak Aufmerksamkeit wert. Datenleaks aus der öffentlichen Verwaltung wie dieser enthalten oft personenbezogene Datensätze von Beschäftigten und Einwohnern, nicht nur interne bürokratische Dateien. Selbst wenn Sie nicht direkt benachrichtigt wurden, ist es vernünftig anzunehmen, dass sensible Informationen im Zusammenhang mit öffentlichen Diensten nach einem Datenleck dieses Ausmaßes im Darknet kursieren könnten.

Allgemeiner betrachtet ist dieser Vorfall eine Erinnerung daran, dass Ransomware-Gruppen öffentliche Einrichtungen, nicht nur Unternehmen, zunehmend als Hauptziele betrachten. Gesundheitssysteme und Regierungsstellen halten Daten, die schwer zu ersetzen und unmöglich zu „ent-leaken“ sind, sobald sie einmal draußen sind. Diese Realität setzt öffentliche Stellen unter Druck, in stärkere Cybersicherheitsabwehr zu investieren, bedeutet aber auch, dass Einzelpersonen wachsam auf Anzeichen dafür achten sollten, dass ihre eigenen Daten ohne ihr Verschulden exponiert wurden.

Maßnahmen nach einem Regierungs-Datenleck

Wenn Sie glauben, dass Ihre Informationen Teil dieses oder eines ähnlichen Datenlecks gewesen sein könnten, gibt es praktische Schritte, die es wert sind, unternommen zu werden. Überwachen Sie Ihre Konten und alle von der Regierung ausgestellten Identifikationsnummern auf Anzeichen von Missbrauch. Seien Sie vorsichtig bei Phishing-Versuchen, die auf Ihre persönlichen Daten verweisen, da geleakte Daten oft für Folgebetrug wiederverwendet werden. Erwägen Sie die Nutzung von Identitätsüberwachungsdiensten, falls diese für Sie verfügbar sind, und bleiben Sie durch offizielle Regierungsmitteilungen über den Umfang des Datenlecks und etwaige Unterstützung für betroffene Einwohner informiert.

Die Rhysida-Ransomware-Saga in Berlin veranschaulicht, wie eine einzige Lösegeldverweigerung zu einem massiven, mehrstufigen Datenexponierungsereignis eskalieren kann. Während sich diese Vorfälle weiter entfalten, bleibt es eine der effektivsten Möglichkeiten, sich nach einem solchen Vorfall zu schützen, informiert darüber zu bleiben, wie Ihre Daten betroffen sein könnten.