Rhysida veröffentlicht 5,79 TB Berliner Daten nach Zahlungsverweigerung

Der Berliner Senat hat bestätigt, dass Hacker, die mit der Ransomware-Gruppe Rhysida in Verbindung stehen, 5,79 Terabyte Daten aus den Netzwerken von Landesbehörden gestohlen und anschließend 30 Bitcoin gefordert haben, um die Veröffentlichung zu verhindern. Die Stadtverwaltung weigerte sich zu zahlen – eine Entscheidung, die nur wenige Wochen vor der Berliner Landtagswahl fiel. Die Daten wurden Berichten zufolge inzwischen auf Rhysidas Leak-Site zur Versteigerung angeboten, was neue Fragen darüber aufwirft, was mit den Daten der Bürgerinnen und Bürger geschieht, sobald eine Regierung Erpressung eine Absage erteilt.

Was beim Berliner Ransomware-Angriff geschah

Berichten zufolge haben mit Rhysida verbundene Angreifer mindestens zwei Berliner Landesbehörden kompromittiert und 5,79 TB Daten exfiltriert, bevor sie eine Zahlung forderten. Der Berliner Senat erklärte öffentlich, nicht mit den Hackern zu verhandeln – eine Haltung, die auch dann beibehalten wurde, als sich der Zeitverlauf von privater Drohung zur öffentlichen Auktionsliste verschob. Dies ist nicht das erste Mal, dass Berlin mit genau dieser Pattsituation konfrontiert ist. Die Stadtverwaltung hatte die Lösegeldforderung bereits abgelehnt, als die Erpressung bestätigt wurde, und die Weigerung der Regierung zu zahlen erfolgte Berichten zufolge bevor Rhysidas Auktion überhaupt eröffnet wurde – eine Abfolge, die sich von den meisten typischen Ransomware-Fällen unterscheidet, bei denen die öffentliche Bestätigung normalerweise der Veröffentlichung auf der Leak-Site folgt und nicht vorausgeht.

Der Zeitpunkt hat besondere Aufmerksamkeit erregt, da zwischen dem Einbruch und der Landtagswahl nur wenige Wochen lagen. Ransomware-Gruppen terminieren oder verstärken ihre Offenlegungen manchmal rund um politisch sensible Momente, da sie wissen, dass öffentliche Institutionen zusätzlichem Druck ausgesetzt sind, entweder still zu zahlen oder die Folgen in der Öffentlichkeit zu bewältigen. Berlins Entscheidung, standhaft zu bleiben – selbst unter diesem Druck – steht im Einklang mit der Position, die es eingenommen hat, als es das 30-Bitcoin-Lösegeld ablehnte, nachdem der Diebstahl erstmals offengelegt worden war.

Warum die Zahlungsverweigerung den Datenschutzschaden nicht rückgängig macht

Die Zahlung eines Lösegelds zu verweigern, ist aus politischer Sicht grundsätzlich die richtige Entscheidung. Die Zahlung an kriminelle Gruppen finanziert weitere Angriffe, bietet keine Garantie dafür, dass gestohlene Daten tatsächlich gelöscht werden, und kann eine Organisation als wiederholtes Ziel markieren. Doch die Entscheidung, nicht zu zahlen, macht das bereits Geschehene nicht rückgängig: Die Daten haben das Netzwerk verlassen, und sobald sie sich in Rhysidas Händen befinden, sind sie praktisch außerhalb der Kontrolle Berlins.

Da Berichten zufolge 5,79 TB von Landesbehörden gestohlen wurden, umfasst der Umfang dessen, was offengelegt wurde, wahrscheinlich interne Regierungsunterlagen und – je nachdem, welche Behörden betroffen waren – möglicherweise personenbezogene Daten von Einwohnerinnen und Einwohnern, die mit diesen Landessystemen interagieren. Ransomware-Gruppen, die Leak-Site-Auktionen betreiben, nutzen die Drohung der Offenlegung oft zuerst als Druckmittel und setzen dann Teil- oder Vollveröffentlichungen um, wenn Forderungen nicht erfüllt werden. Für alle, deren Daten möglicherweise durch die Netzwerke der Berliner Landesbehörden gelaufen sind, liegt das praktische Risiko nicht in der Lösegeldverhandlung selbst, sondern in dem, was infolgedessen veröffentlicht oder verkauft wird.

Das übergreifende Muster bei Ransomware-Vorfällen in der Regierung

Berlins Fall fügt sich in ein Muster ein, das bei Datenschutzverletzungen im öffentlichen Sektor inzwischen vertraut ist: Angreifer stehlen Daten, drohen mit Veröffentlichung, und Regierungen entscheiden sich zunehmend für öffentliche Ablehnung statt stiller Einigung. Diese Verschiebung spiegelt sowohl strengere No-Negotiation-Richtlinien bei öffentlichen Institutionen wider als auch die Erkenntnis, dass Zahlungen die zugrunde liegende Offenlegung selten lösen. Dennoch unterstreicht jeder neue Vorfall eine anhaltende Kluft zwischen dem, was Regierungen versprechen können (institutionelle Integrität, keine Finanzierung krimineller Gruppen), und dem, was sie betroffenen Einwohnerinnen und Einwohnern tatsächlich garantieren können (dass gestohlene personenbezogene Daten nicht in Umlauf geraten).

Was das für Sie bedeutet

Wenn Sie in Berlin leben oder mit den betroffenen Landesbehörden interagiert haben, behandeln Sie dies als Grund zur erhöhten Vorsicht und nicht zur Panik. Ransomware-Leaks mit Regierungsdaten können identifizierende Informationen wie Namen, Adressen oder Aufzeichnungen im Zusammenhang mit öffentlichen Dienstleistungen enthalten, selbst wenn das Hauptziel interne Verwaltungssysteme und keine bürgernahe Datenbank war.

Praktische Schritte, die sich lohnen:

• Beobachten Sie die offiziellen Mitteilungen des Berliner Senats zur Bestätigung, welche Datenkategorien genau betroffen waren, statt sich auf Zusammenfassungen aus zweiter Hand zu verlassen.
• Seien Sie wachsam gegenüber Phishing-Versuchen, die sich auf den Vorfall beziehen, da geleakte Regierungsdaten manchmal genutzt werden, um Folge-Betrugsmaschen glaubwürdiger erscheinen zu lassen.
• Erwägen Sie, auf ungewöhnliche Kontoaktivitäten zu achten, wenn Sie Dienste der genannten Behörden genutzt haben, insbesondere in den Wochen nach einer Leak-Site-Auktion.
• Gehen Sie nicht davon aus, dass eine Zahlungsverweigerung bedeutet, dass die Situation gelöst ist. Das Risiko der Datenoffenlegung besteht unabhängig von der Lösegeldentscheidung fort.

Das Fazit

Berlins Weigerung, Rhysidas 30-Bitcoin-Forderung zu zahlen, ist eine vertretbare institutionelle Haltung, ändert aber nichts an der Tatsache, dass 5,79 TB Landesdaten gestohlen wurden und möglicherweise nun öffentlich kursieren. Für die Einwohnerinnen und Einwohner ist die eigentliche Erkenntnis nicht die Lösegeldverhandlung selbst. Es geht darum, wachsam zu bleiben, wie geleakte Regierungsdaten in Betrugsmaschen oder Identitätsdiebstahl-Versuchen wieder auftauchen können, lange nachdem die Schlagzeilen verblasst sind. Während sich dieser Berliner Ransomware-Angriff weiterentwickelt, bleibt die Verfolgung offizieller Updates der zuverlässigste Weg, um zu erfahren, ob Ihre eigenen Informationen Teil dessen waren, was Rhysida erbeutet hat.