Rhysida veröffentlicht 1,4 Millionen Berliner Dateien nach Lösegeldverweigerung

Die Ransomware-Gruppe Rhysida hat ihre Drohung wahrgemacht und rund 1,4 Millionen Dateien veröffentlicht, die aus dem Berliner Regierungsnetzwerk gestohlen wurden, nachdem Stadtvertreter sich geweigert hatten, ein Lösegeld von 30 Bitcoin zu zahlen. Der Leak umfasst Personalakten und Verträge, und die Dateien sind nun online zugänglich, was das neueste Kapitel einer Erpressungskampagne darstellt, die sich in den letzten Wochen öffentlich abgespielt hat.

Dieses Ergebnis war nicht unerwartet. Berlin hatte bereits bestätigt, dass es Rhysidas Lösegeldforderung von 30 Bitcoin abgelehnt hatte, eine Entscheidung, die mit den Standardempfehlungen von Strafverfolgungs- und Cybersicherheitsbehörden übereinstimmt, die generell von Lösegeldzahlungen abraten, da eine Zahlung keine Datenlöschung garantiert und tendenziell zukünftige Angriffe fördert. Rhysida hatte zuvor behauptet, 5,79 Terabyte Daten aus dem städtischen Netzwerk exfiltriert zu haben, eine Zahl, die die Gruppe als Druckmittel in ihrer Forderung nach 30 BTC nutzte. Da das Lösegeld nicht gezahlt wurde, hat die Gruppe nun das Material veröffentlicht, das sie angeblich gestohlen hat, und Sicherheitsteams sowie Staatsanwälte untersuchen den Vorfall.

Wie sich der Vorfall entwickelte

Der Angriff auf die Berliner Regierungssysteme kam zu einem politisch sensiblen Zeitpunkt ans Licht, da er kurz vor einer geplanten Abstimmung in der Stadt auftauchte. Ransomware-Gruppen timen ihre Enthüllungen oder Eindringlinge oft so, dass sie maximalen Druck auf die Opfer ausüben, und ein bevorstehendes politisches Ereignis kann Beamte zögern lassen, öffentlich zu verhandeln, oder motivieren, die Situation leise zu lösen. Berlins Entscheidung, die Zahlung trotz dieses Drucks zu verweigern, spiegelt einen breiteren Trend unter Regierungsstellen wider, die Lösegeldzahlungen zunehmend als verlorenes Geschäft betrachten – sowohl finanziell als auch strategisch.

Rhysida ist mit diesem Vorgehen nicht neu. Die Gruppe hat sich einen Ruf dafür aufgebaut, Organisationen des öffentlichen Sektors anzugreifen und dann gestohlene Daten zu veröffentlichen, wenn Forderungen nicht erfüllt werden, wobei sie Leak-Seiten nutzt, um reputationsbedingten Druck auszuüben. Berlins Fall ist Teil eines Musters, bei dem die Gruppe zuerst einen Angriff behauptet, dann mit einer konkreten Lösegeldsumme eskaliert und schließlich die Offenlegung umsetzt, sobald Gespräche ins Stocken geraten. Neben Berlin wurde Rhysida in jüngster Aktivität auch mit anderen Opfern in Verbindung gebracht, einschließlich eines separaten Anspruchs in Verbindung mit einem Unternehmen namens Alumax, was zeigt, dass dies eine von mehreren Kampagnen ist, die die Gruppe gleichzeitig durchführt.

Was offengelegt wurde und warum es wichtig ist

Der geleakte Datensatz umfasst Berichten zufolge Personalakten und Verträge, was bedeutet, dass Personen, die mit der Berliner Regierung verbunden sind – sei es als Angestellte oder Vertragspartner – persönliche oder berufliche Informationen haben, die nun öffentlich kursieren. Daten dieser Art umfassen typischerweise Namen, Rollen, Kontaktdaten und möglicherweise finanzielle oder Beschäftigungsbedingungen, die allesamt für Identitätsdiebstahl, gezieltes Phishing oder Social-Engineering-Angriffe gegen sowohl die genannten Personen als auch die Institutionen, für die sie arbeiten, zweckentfremdet werden können.

Regierungsleaks weisen ein deutlich anderes Risikoprofil auf als typische Unternehmensvorfälle. Personalakten des öffentlichen Sektors überschneiden sich oft mit Sicherheitsfreigaben, Beschaffungsbeziehungen und internen betrieblichen Details, die, wenn sie offengelegt werden, weit über einfachen Finanzbetrug hinaus ausgenutzt werden können. Dies ist eine Dynamik, die auch bei anderen groß angelegten Leaks zu beobachten ist; so zeigte beispielsweise der jüngste Fall mit McKesson und der Erpressungsgruppe ShinyHunters ähnlich, wie gestohlene Datensätze lange nach dem ursprünglichen Vorfall als Druckmittel genutzt werden können, unabhängig von der Branche.

Was das für Sie bedeutet

Wenn Sie ein Berliner Regierungsangestellter, Auftragnehmer oder Einwohner sind, der mit städtischen Diensten interagiert hat, ist dieser Leak eine Erinnerung daran, wachsam zu bleiben, anstatt in Panik zu geraten. Nicht jeder im Datensatz wird direktem Schaden ausgesetzt sein, aber die Offenlegung von Personalakten und Verträgen erhöht das Risiko gezielter Phishing-E-Mails, betrügerischer Anrufe, die Beamte imitieren, oder Versuchen, geleakte Details für weiteres Social Engineering zu nutzen. Jeder, der mit den Berliner Regierungssystemen verbunden ist, sollte auf unerwartete Kommunikation achten, die persönliche Details referenziert, die nur durch interne Aufzeichnungen bekannt sein könnten, und sollte ungewöhnliche Anfragen über offizielle Kanäle verifizieren, anstatt direkt zu antworten.

Allgemeiner unterstreicht dieser Vorfall, warum Lösegeldzahlungsentscheidungen für die Öffentlichkeit von Bedeutung sind. Berlins Weigerung, die mit Expertenempfehlungen übereinstimmt, vermied es, ein kriminelles Unternehmen zu finanzieren, führte jedoch zu einer realen Datenoffenlegung. Dieser Kompromiss ist unvermeidbar, sobald ein Vorfall eingetreten ist, und er unterstreicht die Bedeutung von Prävention statt Krisenreaktion.

Umsetzbare Erkenntnisse

Wenn Sie glauben, dass Ihre Informationen Teil dieses Leaks sein könnten, überwachen Sie Ihre Konten und Postfächer auf Phishing-Versuche, die spezifische persönliche oder beschäftigungsbezogene Details referenzieren. Aktivieren Sie, wo immer möglich, die Multi-Faktor-Authentifizierung, und seien Sie vorsichtig bei unaufgeforderten Nachrichten, die angeblich von Berliner Stadtbeamten oder angeschlossenen Auftragnehmern stammen. Organisationen, die mit städtischen Regierungsverträgen verbunden sind, sollten ebenfalls ihre eigenen Sicherheitsmaßnahmen überprüfen, da Angreifer häufig von einem Vorfall zu angrenzenden Zielen wechseln. Während die Ermittlungen von Sicherheitsteams und Staatsanwälten fortgesetzt werden, sind weitere Details zum Umfang des Rhysida-Vorfalls und zu zusätzlichen Schutzmaßnahmen, die Berliner Beamte für Betroffene empfehlen, zu erwarten.