Rhysida veröffentlicht Berliner Daten nach Ablauf des Bitcoin-Lösegeld-Deadlines

Eine Bitcoin-Auktion ohne Käufer

Die Rhysida-Berlin-Ransomware-Saga hat ihr Ende erreicht, und es ist kein glückliches für die Stadt. Nach Wochen der Erpressung, Drohungen und eines gescheiterten Versuchs, gestohlene Regierungsdateien für Bitcoin zu versteigern, hat die Ransomware-Gruppe Rhysida die Daten öffentlich im Darknet veröffentlicht. Was als kriminelle Verhandlung begann, ist nun zu einem dauerhaften, durchsuchbaren Leck geworden, das die Landessystems der Berliner Regierung betrifft.

Dieses Ergebnis war nicht gerade eine Überraschung. Rhysida hatte bereits die Verantwortung für die Exfiltration von mehr als 5 TB Daten von der Berliner Landesregierung übernommen, als der Vorfall erstmals bekannt wurde, und Stadtbeamte machten von Anfang an klar, dass sie nicht die Absicht hatten, zu zahlen. Diese Weigerung bereitete die Bühne für genau das Szenario, das sich gerade abgespielt hat: Eine Ransomware-Bande, die ihren Lohn nicht einstreichen konnte, beschloss, ein Exempel an der Stadt zu statuieren.

Wie sich der Rhysida-Berlin-Ransomware-Fall entwickelte

Der Zeitplan ist hier wichtig, denn er zeigt, wie solche Erpressungskampagnen typischerweise eskalieren, wenn ein Opfer standhaft bleibt. Rhysida forderte zunächst 30 Bitcoin als Gegenleistung dafür, die gestohlenen Dateien nicht zu veröffentlichen, und bewertete die Daten auf etwa 5,79 Terabyte, die aus dem Berliner Regierungsnetzwerk entwendet wurden. Das ist eine beträchtliche Summe, und sie spiegelt wider, wie Ransomware-Banden zunehmend Opfer aus dem öffentlichen Sektor wie Unternehmen behandeln, komplett mit Verhandlungsdeadlines und Drohungen eskalierender Konsequenzen.

Als Berlin sich weigerte zu zahlen, wechselte Rhysida zur nächsten Drucktaktik: einem Teilleck, das beweisen sollte, dass die Daten echt sind, und die Stadt in die Knie zwingen sollte. Dieses Leck kam in Form von rund 1,4 Millionen Dateien, die nach der Lösegeldverweigerung veröffentlicht wurden, einer Mischung aus internen Aufzeichnungen und Berichten zufolge persönlichen Informationen im Zusammenhang mit städtischen Abläufen. Selbst nach diesem Leck hielt die Berliner Regierung an ihrer Position fest, eine Haltung, die die Stadt sogar noch bekräftigte, als die Gesamtzahl der betroffenen Dateien auf über 1,44 Millionen stieg.

Da keine Zahlung einging und kein Käufer auftauchte, um die Daten privat zu erwerben, war Rhysidas letzter Schritt, alles im Darknet zu veröffentlichen. Dies ist ein bekanntes Endspiel in Ransomware-Fällen: Die Angreifer versuchen, gestohlene Daten an den Höchstbietenden zu versteigern, und wenn diese Auktion keine ernsthaften Angebote anzieht, werden die Dateien vollständig veröffentlicht, um das Opfer zu bestrafen und zukünftige Ziele zu warnen, dass Weigerung Konsequenzen hat.

Warum sich ein Datendump einer Regierung unterscheidet

Ransomware-Angriffe auf private Unternehmen sind schon besorgniserregend genug, aber ein Vorfall mit einer Stadtregierung birgt besondere Risiken. Kommunale Systeme enthalten oft eine Vielzahl sensibler Aufzeichnungen: Mitarbeiterdaten, Einwohnerinformationen, Anmeldeinformationen und Verwaltungsdokumente, die nie dafür gedacht waren, öffentlich offengelegt zu werden. Sobald diese Daten im Darknet veröffentlicht werden, werden sie praktisch dauerhaft. Anders als bei einer privaten Verhandlung, die mit einer Löschung enden könnte (ein Versprechen, das Angreifer ohnehin selten einhalten), bedeutet ein öffentlicher Dump, dass die Information kopiert, indexiert und von jedem, der sie herunterlädt, weiterverbreitet wird.

Für Einwohner und Mitarbeiter, die mit den Berliner Regierungssystemen verbunden sind, bedeutet dies, dass die Offenlegung kein einmaliges Ereignis ist. Gestohlene Anmeldeinformationen und persönliche Details können Monate oder Jahre nach dem ursprünglichen Vorfall, der zur alten Nachricht wird, für Phishing-Versuche, Identitätsdiebstahl oder Folgeangriffe wiederverwendet werden.

Was das für Sie bedeutet

Wenn Sie in Berlin leben, für die Landesregierung arbeiten oder jemals mit kommunalen Diensten dort interagiert haben, sollten Sie dies als eine aktive Offenlegung behandeln und nicht als abgeschlossenen Fall. Regierungsvorfälle dieser Größenordnung bleiben selten auf ein einzelnes Leck beschränkt. Jetzt, da die Dateien öffentlich sind, können sie von anderen kriminellen Gruppen abgegriffen und neu verpackt werden, was bedeutet, dass das Risikofenster unbegrenzt offen bleibt.

Praktisch bedeutet das, auf verdächtige E-Mails zu achten, die sich auf Regierungsdienste beziehen, vorsichtig mit unerwarteten Anrufen oder Nachrichten zu sein, die angeblich von Stadtbehörden stammen, und Finanz- und Identitätskonten auf ungewöhnliche Aktivitäten zu überwachen. Wenn Sie direkten Kontakt mit den Berliner Landessystemen hatten, ist es ein sinnvoller Schritt, zu prüfen, ob Ihre spezifischen Daten Teil des Lecks waren, wo möglich, bevor Sie davon ausgehen, dass Sie nicht betroffen sind.

Wichtige Erkenntnisse

Der Rhysida-Berlin-Ransomware-Fall ist eine deutliche Demonstration, wie sich diese Angriffe abspielen, wenn ein Opfer sich weigert zu zahlen: eskalierende Lecks, gescheiterte Auktionen und schließlich ein vollständiger öffentlicher Dump. Ein paar Dinge sind es wert, für die Zukunft in Erinnerung zu bleiben. Die Zahlung eines Lösegelds garantiert niemals die Löschung der Daten, daher macht die Weigerung, wenn auch kurzfristig schmerzhaft, das Ergebnis nicht unbedingt schlechter. Systeme des öffentlichen Sektors sind zunehmend attraktive Ziele, gerade weil sie große Mengen sensibler persönlicher Daten enthalten. Und sobald Dateien öffentlich veröffentlicht werden, endet die Offenlegung nicht – sie wird nur schwerer zu verfolgen. Jeder, der mit den betroffenen Systemen verbunden ist, sollte wachsam gegenüber Folge-Betrugsmaschen bleiben und jeden unerwarteten Kontakt, der sich auf Berliner Regierungsdienste bezieht, mit Skepsis behandeln.