Rhysida veröffentlicht fast 6 TB gestohlener Berliner Daten

Berlins verweigerte Lösegeldzahlung führt zu einem massiven Datendump

Die Ransomware-Gruppe Rhysida hat ihre Drohung gegenüber der Berliner Verwaltung wahr gemacht und fast sechs Terabyte gestohlener Dateien im Darknet veröffentlicht. Der Leak markiert das neueste Kapitel in einem Fall, der sich über Wochen entwickelt hat, und er zeigt deutlich, wie Ransomware-Erpressungskampagnen typischerweise ablaufen, wenn ein Opfer sich weigert zu zahlen.

Berichten zufolge folgten die Angreifer einem vertrauten Muster: Netzwerk infiltrieren, große Datenmengen exfiltrieren, Veröffentlichung androhen, Zahlung fordern und einen Countdown setzen, um das Opfer unter Druck zu setzen. In diesem Fall verlangte Rhysida Berichten zufolge 30 Bitcoin. Wie vpn.social bereits berichtete, als Berlin die 2,3-Millionen-Dollar-Lösegeldforderung von Rhysida nach dem 5,79-TB-Diebstahl ablehnte erstmals bekannt wurde, lehnten Stadtbeamte Verhandlungen ab und bereiteten damit die Bühne für die letztendliche Veröffentlichung der Daten.

Von der Drohung zur Veröffentlichung

Die zeitliche Abfolge ist hier wichtig zu verstehen, da sie ein Muster widerspiegelt, das bei Ransomware-Gruppen, die auf „Double-Extortion"-Taktiken setzen, immer wieder auftritt: erst Daten stehlen, dann verschlüsseln oder mit einem Leak drohen, um separaten Druck aufzubauen. Als Rhysida den Diebstahl von 5 TB Berliner Daten erstmals für sich reklamierte, erklärte die Stadtregierung öffentlich, dass sie nicht zahlen werde. Diese Weigerung scheint den Countdown ausgelöst zu haben, der schließlich damit endete, dass die Gruppe die Dateien veröffentlichte.

Das Ausmaß des Leaks, beschrieben als fast sechs Terabyte, deutet darauf hin, dass das gestohlene Material weit über einen engen Datensatz hinausgeht. Behördendateien dieses Umfangs enthalten oft eine Mischung aus Verwaltungsdokumenten, interner Kommunikation und personenbezogenen Daten von Mitarbeitern oder Einwohnern. Sobald solches Material im Darknet veröffentlicht wird, ist es für jeden zugänglich, der danach sucht – einschließlich anderer krimineller Akteure, die es für Identitätsdiebstahl, Phishing-Kampagnen oder weitere gezielte Angriffe auf in den Dateien genannte Personen nutzen könnten.

Dies ist für Rhysida auch kein Einzelfall. Die Gruppe hat Angriffe auf Berlin neben anderen Zielen wie Alumax gemeldet, und Ransomware-Banden haben insgesamt ein stetiges Tempo bei Angriffen auf Regierungs- und Infrastrukturziele beibehalten. Ebenso bemerkenswert: Deutschland hat berichtet, dass ein wachsender Anteil seiner Cyberangriffe inzwischen auf staatlich verbundene Akteure zurückgeht statt auf rein finanziell motivierte Kriminelle – ein Trend, der dokumentiert wurde, als ausländische Spione für 37 % der Cyberangriffe in Deutschland verantwortlich gemacht wurden. Ob Rhysida nun eine staatliche Verbindung hat oder nicht, die breitere Bedrohungslandschaft für deutsche öffentliche Einrichtungen nimmt eindeutig zu.

Warum die Zahlungsverweigerung dennoch Konsequenzen hat

Berlins Entscheidung, das Lösegeld nicht zu zahlen, spiegelt die Standardempfehlungen von Cybersicherheitsbehörden und Strafverfolgungsbehörden wider, die generell von Lösegeldzahlungen abraten, weil diese weitere kriminelle Aktivitäten finanzieren und keine Garantie bieten, dass gestohlene Daten tatsächlich gelöscht werden. Doch diese Empfehlung hat einen harten Kompromiss zur Folge: Die Weigerung zu zahlen bedeutet oft, dass die Daten trotzdem veröffentlicht werden.

Genau das scheint hier passiert zu sein. Der Rhysida-Datenleck unterstreicht, dass das Opferunternehmen nach einer Exfiltration nahezu vollständig die Kontrolle über die Informationen verliert. Ob bezahlt wird oder nicht – die zugrunde liegende Offenlegung fand bereits in dem Moment statt, als die Angreifer die Dateien von Berlins Systemen kopierten. Der öffentliche Leak ist lediglich die letzte, sichtbarste Stufe eines Einbruchs, der viel früher begann.

Was das für Sie bedeutet

Wenn Sie Berliner Einwohner oder öffentlicher Mitarbeiter sind oder mit städtischen Diensten in den betroffenen Abteilungen interagieren, besteht eine realistische Chance, dass einige Ihrer personenbezogenen Daten in den gestohlenen Dateien enthalten waren. Die sicherste Annahme ist, dass alle Daten, die von einem betroffenen Regierungsbüro gehalten wurden, als potenziell offengelegt behandelt werden sollten.

Praktische Schritte umfassen: Überwachung Ihrer Finanzkonten und Kreditberichte auf ungewöhnliche Aktivitäten, Wachsamkeit gegenüber Phishing-E-Mails oder Anrufen, die auf persönliche Details verweisen, die aus einem geleakten Regierungsdatensatz stammen könnten, sowie das Ändern von Passwörtern für alle Konten, die mit Regierungsdiensten verbunden sind, falls Anmeldedaten Teil des offengelegten Materials waren. Die Multi-Faktor-Authentifizierung bleibt eine der effektivsten Verteidigungen gegen Kontoübernahmeversuche, die auf große Datenleaks wie diesen folgen.

Wichtigste Erkenntnisse

Der Rhysida-Ransomware-Leak gegen die Berliner Verwaltung ist eine Erinnerung daran, dass Ransomware-Erpressung nicht endet, wenn ein Lösegeld nicht gezahlt wird – sie verschiebt sich oft nur hin zur öffentlichen Offenlegung. Für Einwohner und Mitarbeiter, die mit den betroffenen Systemen verbunden sind, ist Wachsamkeit gegenüber Identitätsdiebstahl und Phishing die unmittelbarste Verteidigung. Für öffentliche Einrichtungen im weiteren Sinne liefert der Vorfall weitere Belege dafür, dass Regierungsnetzwerke weiterhin Ziele mit hohem Wert sind und dass Wiederherstellungspläne der Realität Rechnung tragen müssen, dass gestohlene Daten unabhängig von der Entscheidung über die Zahlung letztlich öffentlich werden können.