Cyberangriff auf Berlin: 5,8 TB im Darknet – BSI warnt vor Phishing

Nach dem Cyberangriff auf das Berliner Landesnetz hat Rhysida gestohlene Daten veröffentlicht. Das BSI warnt nun vor gezieltem Phishing und möglichen Hack-and-Leak-Effekten kurz vor der Abgeordnetenhauswahl.

Cyberangriff auf Berlin – was bisher bekannt ist

Der Cyberangriff auf das Berliner Landesnetz entwickelt sich zunehmend zu einem Datenleck mit Folgen über den eigentlichen IT-Vorfall hinaus.

Die Hackergruppe Rhysida hat sich zu dem Angriff bekannt und behauptete zunächst, rund 5,7 Terabyte Daten aus der Berliner Verwaltung erbeutet zu haben. Anschließend versuchte die Gruppe, das Land Berlin zu erpressen.

Gefordert wurden 30 Bitcoin, zum damaligen Zeitpunkt rund zwei Millionen Euro. Der Berliner Senat erklärte, kein Lösegeld zahlen zu wollen.

Nach Ablauf des Ultimatums wurden die gestohlenen Daten veröffentlicht. Golem berichtet von einem rund 5,8 Terabyte großen Datenpaket im Darknet.

Damit verschiebt sich das Problem. Es geht nicht mehr nur darum, wie Angreifer in ein Behördennetz eindringen konnten. Entscheidend ist jetzt auch, was mit den veröffentlichten Informationen passiert.

5,7 oder 5,8 TB – warum unterschiedliche Zahlen genannt werden

Bei der Größe des Datenlecks kursieren derzeit zwei leicht unterschiedliche Angaben.

Das Land Berlin teilte vor der Veröffentlichung mit, Rhysida behaupte, 5,7 Terabyte Daten gestohlen zu haben. Nach Ablauf des Ultimatums berichtete Golem dagegen von einem veröffentlichten Paket mit rund 5,8 Terabyte.

Die Abweichung lässt sich aus den bislang öffentlich verfügbaren Informationen nicht eindeutig erklären. Möglich sind unterschiedliche Berechnungsweisen oder Unterschiede zwischen der ursprünglich behaupteten Datenmenge und dem später veröffentlichten Paket.

Wichtiger als die Nachkommastelle ist ohnehin der Inhalt. Sicherheitsbehörden und IT-Forensiker prüfen derzeit, welche Daten tatsächlich veröffentlicht wurden und welche Personen, Unternehmen oder Behörden davon betroffen sind.

BSI warnt nach dem Berlin-Datenleck vor Phishing

Das Bundesamt für Sicherheit in der Informationstechnik warnt nach der Veröffentlichung ausdrücklich vor einer erhöhten Bedrohungslage.

Ein besonders naheliegendes Risiko sind gezielte Phishing-Angriffe.

Klassisches Phishing arbeitet häufig mit relativ allgemeinen Nachrichten. Nach einem umfangreichen Datenleck können Angreifer dagegen auf echte Informationen zurückgreifen. Namen, interne Zuständigkeiten, Kontakte oder Kommunikationszusammenhänge können dabei helfen, betrügerische Nachrichten glaubwürdiger erscheinen zu lassen.

Eine gefälschte Nachricht muss dann nicht mehr wie offensichtlicher Spam aussehen. Sie kann sich auf tatsächliche Personen, Projekte oder Behördenkontakte beziehen.

Das BSI weist generell darauf hin, dass Informationen aus Datenlecks genutzt werden können, um Phishing-Nachrichten stärker zu personalisieren. Gerade deshalb ist nach einem großen Datenabfluss nicht nur die unmittelbare Veröffentlichung selbst relevant.

Für Privacy und IT-Sicherheit beginnt ein wichtiger Teil des Vorfalls erst danach.

Hack-and-Leak kurz vor der Berlin-Wahl

Zusätzlich verweist das BSI auf sogenannte Hack-and-Leak-Operationen.

Dabei werden zunächst interne Daten gestohlen. Anschließend werden Dokumente, E-Mails oder andere Informationen öffentlich gemacht. Besonders problematisch wird das, wenn authentische Inhalte selektiv veröffentlicht, aus ihrem Kontext gelöst oder mit manipuliertem Material vermischt werden.

Der Zeitpunkt ist in Berlin sensibel. Am 20. September 2026 wird ein neues Abgeordnetenhaus gewählt.

Das bedeutet allerdings nicht, dass das BSI dem Angriff auf das Berliner Landesnetz derzeit ein politisches Motiv zuschreibt. Nach Angaben der Behörde wird die konkrete Attacke aktuell als finanziell motiviert eingeschätzt.

Diese Unterscheidung ist wichtig.

Ein finanziell motivierter Ransomware-Angriff kann trotzdem Material hervorbringen, das später von anderen Akteuren politisch genutzt wird. Die Motivation des ursprünglichen Angreifers und die spätere Verwendung der veröffentlichten Daten müssen nicht identisch sein.

Gerade an dieser Stelle treffen technische IT-Sicherheit, Politik und öffentliche Kommunikation aufeinander.

Wie sensibel sind die veröffentlichten Daten?

Eine vollständige behördliche Auswertung des veröffentlichten Datenbestands liegt bislang nicht vor.

Das Land Berlin erklärte am 4. September, Sicherheitsbehörden und beauftragte IT-Forensiker würden den Datensatz intensiv untersuchen. Wenn einzelne betroffene Personen identifiziert werden, sollen diese entsprechend dem jeweiligen Risiko informiert werden.

Der Journalist Lars Winkelsdorf, der nach eigenen Angaben Einblick in die veröffentlichten Daten hatte, warnte laut Golem zudem vor Unterlagen mit sicherheitsrelevantem Inhalt. Darunter sollen sich auch Dokumente befinden, die den Verteidigungsfall betreffen.

Wie diese Dokumente einzuordnen sind und welche praktische Relevanz sie besitzen, lässt sich ohne vollständige Analyse des Datensatzes noch nicht seriös beurteilen.

Genau das ist bei großen Leaks wichtig: Die Existenz eines Dokuments sagt noch wenig über Aktualität, Kontext oder tatsächliche Sensibilität aus.

Was Betroffene jetzt beachten sollten

Das Land Berlin hat inzwischen konkrete Hinweise für mögliche Betroffene veröffentlicht.

Wer erfährt oder konkrete Hinweise darauf hat, dass eigene Daten veröffentlicht oder bereits für Betrug beziehungsweise Identitätsmissbrauch verwendet wurden, soll Strafanzeige erstatten. Das ist über die Internetwache der Polizei Berlin oder eine örtliche Polizeidienststelle möglich.

Betroffene können sich außerdem an die Berliner Landesdatenschutzbeauftragte wenden.

Unabhängig davon sind einige grundlegende Vorsichtsmaßnahmen sinnvoll:

• Unerwartete E-Mails, Nachrichten und Anrufe kritischer prüfen, wenn sie einen Bezug zu Berliner Behörden oder bekannten Kontakten herstellen.
• Links und Anhänge aus ungewöhnlichen Nachrichten nicht allein deshalb öffnen, weil persönliche Informationen darin korrekt sind.
• Aufforderungen zur Eingabe von Passwörtern oder anderen Zugangsdaten über einen zweiten, bekannten Kommunikationsweg überprüfen.
• Potenziell betroffene Zugangsdaten ändern und Passwörter nicht bei mehreren Diensten wiederverwenden.
• Wo möglich Multi-Faktor-Authentifizierung einsetzen.

Gerade korrekt wirkende persönliche Informationen sind nach einem Datenleck kein Beweis dafür, dass eine Nachricht tatsächlich vom angegebenen Absender stammt.

Rhysida – Ransomware als Geschäftsmodell

Rhysida ist keine völlig neue Gruppe.

Bereits 2023 veröffentlichten die US-Behörden CISA und FBI gemeinsam mit dem MS-ISAC eine Sicherheitsanalyse zu Rhysida. Die Gruppe beziehungsweise mit ihr verbundene Akteure wurden unter anderem bei Angriffen auf Behörden, Bildungseinrichtungen, Gesundheitsorganisationen und Unternehmen beobachtet.

Die Behörden beschrieben Rhysida als Ransomware-as-a-Service-Modell. Dabei werden Schadsoftware und Infrastruktur nicht zwingend nur von einer festen Gruppe eingesetzt. Affiliates können die Werkzeuge nutzen und Einnahmen aus erfolgreichen Erpressungen mit den Betreibern teilen.

Das erschwert auch einfache Aussagen darüber, wer bei einem konkreten Angriff technisch beteiligt war.

Die Veröffentlichung ist nicht das Ende des Cyberangriffs

Beim Cyberangriff auf Berlin ist die Veröffentlichung der Daten ein sichtbarer Einschnitt, aber kein Abschluss des Vorfalls.

Nun müssen Behörden herausfinden, welche Informationen tatsächlich abgeflossen sind, welche Personen betroffen sind und welche Folgeangriffe daraus entstehen können.

Für die Gesellschaft kommt eine weitere Ebene hinzu. Bei einem Leak aus staatlichen Systemen geht es nicht nur um einzelne Passwörter oder persönliche Daten. Auch das Vertrauen in Behörden, öffentliche Infrastruktur und politische Institutionen kann betroffen sein.

Deshalb ist die Warnung des BSI vor Phishing und Hack-and-Leak-Szenarien relevant. Ein Cyberangriff endet nicht zwangsläufig mit der technischen Bereinigung eines Systems.

Wenn mehrere Terabyte interne Daten öffentlich werden, kann die eigentliche Nachbereitung erst beginnen.