Rhysida veröffentlicht Berliner Regierungsdaten nach Ransom-Verweigerung

Rhysida setzt ihre Drohung in die Tat um

Die Cyber-Erpressungsgruppe Rhysida hat Terabytes an Daten veröffentlicht, die aus der Verwaltung des deutschen Bundeslandes Berlin gestohlen wurden, von denen ein Großteil als sensibel beschrieben wird. Der Leak markiert den Höhepunkt einer Auseinandersetzung, die Wochen zuvor begann, als die Gruppe in die Regierungssysteme Berlins eindrang und eine Zahlung forderte, um die gestohlenen Dateien privat zu halten.

Berliner Beamte hatten bereits signalisiert, dass sie der Forderung nicht nachgeben würden. Wie in unserem früheren Bericht über die Weigerung Berlins, ein Lösegeld von rund 30 Bitcoin zu zahlen thematisiert, machte die Stadtregierung deutlich, dass sie nicht beabsichtigte, mit den Angreifern zu verhandeln – eine Haltung, die mit den Empfehlungen von Cybersicherheitsbehörden übereinstimmt, dass die Zahlung von Lösegeldern oft wenig dazu beiträgt, zu garantieren, dass Daten nicht dennoch geleakt oder verkauft werden.

Diese Weigerung bereitete die Bühne dafür, dass Rhysida ihre Drohung wahr machte. Laut unserer Berichterstattung über den Moment, als Berlins Daten nach der Weigerung, ein Lösegeld von 2 Millionen Euro zu zahlen, veröffentlicht wurden, hielt die Gruppe ihr Versprechen, sobald klar war, dass keine Zahlung kommen würde. Die neuesten Berichte bestätigen, dass der geleakte Datenbestand erheblich ist und Terabytes an Dateien umfasst, die aus Berlins Verwaltungssystemen stammen.

Berlins Krisenreaktion

Nach dem Leak hat die Berliner Landesregierung eine Überprüfung des exponierten Materials eingeleitet – eine Anstrengung, die Beamte angesichts des Umfangs und der Sensibilität des Gestohlenen als dringend beschreiben. Das Ausmaß eines solchen Einbruchs macht die Verifizierung zu einem langsamen Prozess: Verwaltungen müssen in der Regel enorme Datenmengen durchforsten, um festzustellen, welche Kategorien von Informationen genau offengelegt wurden – ob dazu personenbezogene Aufzeichnungen, Zugangsdaten, Finanzdetails oder interne Kommunikation gehören –, bevor sie die betroffenen Menschen sinnvoll warnen können.

Dieses Muster ist für Berlin nicht neu. Die Stadt hatte bereits zuvor eine öffentliche Auseinandersetzung mit den Angreifern durchgemacht, wie in unserem Artikel darüber beschrieben, wie Berlin das Lösegeld verweigerte und Hacker dazu übergingen, die gestohlenen Daten zu versteigern. Diese Episode zeigte, wie die Erpressungsgruppe ihre Taktiken Schritt für Schritt eskalierte: zuerst eine Lösegeldforderung, dann Drohungen, die Daten zu verkaufen, und nun ein vollständiger öffentlicher Leak. Ransomware- und Erpressungsgruppen folgen häufig diesem Drehbuch und nutzen jede Stufe als zusätzlichen Druck, um eine Zahlung zu erzwingen, selbst wenn das Ziel bereits erklärt hat, nicht zu zahlen.

Warum dies über Berlin hinaus relevant ist

Angriffe auf Stadt- und Landesregierungen haben ein anderes Gewicht als Einbrüche bei privaten Unternehmen. Regierungsverwaltungen halten Aufzeichnungen im Zusammenhang mit Wohnsitz, Leistungen, Lizenzen und anderen Diensten, denen sich Bürger nicht einfach entziehen können. Wenn diese Daten auf Erpressungsseiten veröffentlicht werden, tragen nicht nur die Regierungen die Konsequenzen. Einwohner, deren Informationen in diesen Systemen gespeichert waren, könnten sich dem Risiko von Identitätsdiebstahl, Phishing-Versuchen oder Betrug ausgesetzt sehen, der mit Details aus dem Leak durchgeführt wird.

Die Beteiligung einer Gruppe wie Rhysida, die in der Vergangenheit eine Reihe von Opfern aus dem öffentlichen und privaten Sektor ins Visier genommen hat, unterstreicht auch einen breiteren Trend: Erpressungsgruppen sind zunehmend bereit, gestohlene Daten vollständig zu veröffentlichen, anstatt nur damit zu drohen – insbesondere wenn das Ziel sich weigert zu zahlen. Diese Verschiebung verändert die Kalkulation für Regierungen und Organisationen, die abwägen, wie sie auf einen Einbruch reagieren sollen, da Standhaftigkeit bei einem Lösegeld nicht länger garantiert, dass die Daten unter Verschluss bleiben.

Was das für Sie bedeutet

Wenn Sie in Berlin leben, arbeiten oder mit der Berliner Landesverwaltung interagiert haben, ist dieser Berliner Datenleak auch außerhalb Deutschlands ein Grund, aufmerksam zu sein. Groß angelegte Regierungseinbrüche wie dieser legen tendenziell eine breite Mischung personenbezogener Informationen offen, und es kann Zeit in Anspruch nehmen, bis die Behörden bestätigen, wessen Daten genau enthalten waren. In der Zwischenzeit ist es vernünftig anzunehmen, dass jeder, der einer von einem Einbruch betroffenen Regierungsstelle persönliche Aufzeichnungen übermittelt hat, betroffen sein könnte – und entsprechend zu handeln.

Das bedeutet, auf ungewöhnliche Kontoaktivitäten zu achten, vorsichtig mit unerwarteten E-Mails oder Anrufen zu sein, die sich auf Regierungsdienste beziehen, und jede Kommunikation, die nach persönlichen oder finanziellen Details fragt, mit Skepsis zu behandeln, bis sie über offizielle Kanäle verifiziert werden kann.

Umsetzbare Empfehlungen

• Beobachten Sie offizielle Berliner Regierungskommunikationen auf Updates darüber, welche spezifischen Aufzeichnungen oder personenbezogenen Datenkategorien im Leak offengelegt wurden.
• Seien Sie wachsam gegenüber Phishing-Versuchen, die auf diesen Einbruch verweisen oder in den Wochen nach dem Leak die Berliner Verwaltung imitieren.
• Erwägen Sie, Betrugswarnungen einzurichten oder Ihre Kreditwürdigkeit und Identität zu überwachen, wenn Sie direkte Verbindungen zu Berlins Regierungssystemen haben.
• Verwenden Sie einzigartige, starke Passwörter für alle Konten, die mit Regierungsdiensten verbunden sind, und aktivieren Sie die Zwei-Faktor-Authentifizierung, wo sie angeboten wird.

Diese Geschichte entwickelt sich noch weiter, während Berlins Regierung den Umfang dessen aufarbeitet, was Rhysida veröffentlicht hat. Wie bei früheren Erpressungsvorfällen kann es Wochen dauern, bis sich das vollständige Bild davon, wer betroffen ist und wie, herauskristallisiert – daher bleibt es der beste Schutz für alle mit Verbindungen zu den betroffenen Systemen, sich über verifizierte Updates auf dem Laufenden zu halten.