Freitag und Samstag veröffentlichte eine Hackergruppe 5,8 Terabyte an Daten, welche sie von der Berliner Verwaltung gestohlen hatte. Zuvor forderten sie Bitcoin im Wert von zwei Millionen Euro als Erpressungsgeld. Seitdem häuft sich Kritik an den Sicherheitsstandards der Behörden in Berlin.

Am 14. August klickte ein Mitarbeiter der Berliner Senatsverkehrsverwaltung auf einen Link aus einer Phishing-Mail. Phishing-Mails beschreiben Angriffe von Hacker:innen, die mittels gefälschter E-Mail-Adressen oder Websites an private Passwörter und Ähnliches gelangen wollen. Nach dem gelungenen Täuschungsversuch waren zwei Senatsverwaltungen für zwei Wochen lang nur eingeschränkt nutzbar. Unter anderem konnte man dort fünf Tage lang weder Wohngeld beantragen noch ausgezahlt bekommen.

Verantwortlich für diesen Angriff ist die Hackergruppe Rhysida. Die Gruppe forderte 30 Bitcoin, was in etwa einem Wert von zwei Millionen Euro entspricht. Der Berliner Senat lehnte ab – unter anderem aus dem Grund, dass man nicht wisse, ob die Daten nicht ohnehin schon woanders landeten. Bisher wird ein politisches Motiv nicht ausgeschlossen, naheliegend ist aber eine rein finanzielle Motivation der Hackergruppe.

Letzten Freitag, rund zwei Wochen vor der Wahl eines neuen Abgeordnetenhauses in der Hauptstadt, lief die gesetzte Erpressungsfrist aus. Daraufhin machte die Hackergruppe am Freitag unter dem Aufruf „Viel Spaß beim Stöbern, Datenjäger!“ etwa 755.000 Dateien im Darknet öffentlich. In der Nacht von Samstag auf Sonntag folgte eine weitere Veröffentlichung von etwa 550.000 bis 560.000 Dateien. Insgesamt sind das rund 1,44 Millionen Dateien in einer Größe von 5,8 Terabyte. Damit verzeichnet dieser Angriff den größten Daten-Leak der Geschichte des Landes Berlin.

Unter den geleakten Daten der Berliner Verwaltung befinden sich Beurteilungen und Personalakten von Beschäftigten, Stundenzettel, Telefonnummern, Arbeitszeugnisse, Betriebsunterlagen oder Dokumente zum Bewerbungsverfahren.

Die „Berliner Dokumentenflut“ – teils sensible Daten veröffentlicht

Der Spiegel berichtet von einem „Wust aus Dateien unterschiedlicher Formate und Größen“. So zeigt sich in der „Berliner Dokumentenflut“ in der Mehrheit übliches Verwaltungshandeln. Der Spiegel berichtet von teilweise „unterhaltsamen“ Überraschungen wie dem Mailverkehr eines Abteilungsleiters der Senatsverwaltung. Dieser soll während der Corona-Pandemie „esoterisch angehauchte Motivationsbilder“ an Kolleg:innen verschickt haben.

Allerdings seien unter den Dateien auch Dokumente einer Antidiskriminierungsstelle ins Darknet geraten. Darunter befinde sich mindestens ein E-Mail-Verkehr, in welchem ein Fall von sexueller Belästigung geschildert wird und Maßnahmen, die zur Prävention ergriffen werden könnten.

Nach Sabotageversuchen an Umspannwerken: Brandenburgs Innenminister plant „360-Grad-Sicherheitszentrum“

Der Spiegel kommt nach ersten Zählungen auf 340.000 PDF-Dateien, auf mehr als 156.000 E-Mails und über 123.000 Bilder. Trotz der Veröffentlichung lässt sich der Schaden für Berlin noch nicht vollständig bewerten. Nach Florian Hauer (Berliner Digital-Staatssekretär und Chief Digital Officer) habe das Land Berlin aktuell nicht einmal alle Daten aus dem Darknet herunterladen können, allein technisch würde dieser Vorgang wohl eine Woche dauern.

Doch laut Spiegel findet man unter dem Suchbegriff „KRITIS“ – also kritische Infrastruktur – über 3000 Dateien, einige davon sind dabei wohl bemerkenswert. So heißt beispielsweise ein Word-Dokument „Gefährdungsanalyse und Sonderplan Wasser“. Aber unter den Daten seien auch Informationen über die Bundeswehr und zum Erweiterungsbau des Kanzleramts; dem Senat zufolge wären hingegen keine Militärdaten Bestandteil des Daten-Leaks. Trotzdem betonte Hauer, dass man über Daten spreche, die maximal der niedrigsten Geheimhaltungsstufe unterlägen, also „Verschlusssache – nur für den Dienstgebrauch“.

Die Methode „TerminalFix“: Ein falscher Klick war der 5,8 Terabyte schwere Schlüssel

Laut einem Bericht des BSI nutzte die Gruppe die Angriffsmethode „TerminalFix“. Durch Phishing-Mails werden Betroffene über einen Link auf eine manipulierte Webseite gelockt, auf welcher ein vermeintlicher CAPTCHA-Test erscheint. Dieser dient in der Regel zur Überprüfung, ob die Person, die die Webseite besucht, ein tatsächlicher Mensch ist. Um diesen falschen CAPTCHA-Test zu absolvieren, wird man aufgefordert, einen Befehl in die Windows-Eingabeaufforderung einzugeben. Der Computer lädt dann unbemerkt im Hintergrund Schadsoftware herunter, während der Test augenscheinlich als erfolgreich angezeigt wird.

Vor allem ist dabei bemerkenswert, dass die Hackergruppe dadurch nicht nur Zugriff auf einzelne Computer erlangen konnte, wie es beispielsweise bei der bekannten Betrugsmasche „ClickFix“ der Fall sei. Die Gruppe Rhysida verschaffte sich hingegen Zugang zu ganzen Behördennetzwerken. Ab dem Moment konnten die Hacker:innen wohl Daten abfangen und alles verfolgen, was im Netzwerk passiert.

IT-Experte: „Das Land Berlin hat grob fahrlässig gehandelt“

Dass eine ganze Landesverwaltung so leicht zu hacken sei, sorgt für Kritik. IT-Experte Manuel Atug ist Gründer der AG KRITIS, einer unabhängigen Arbeitsgruppe, die aus 23 Fachleuten verschiedener Bereiche besteht und sich vor allem mit Optionen für den besseren Schutz der kritischen Infrastruktur in Deutschland auseinandersetzt. Atug wurde bereits 2023 und 2025 als Sachverständiger vom Berliner Innenausschuss eingeladen. Schon damals habe er vor „eklatanten Sicherheitslücken“ gewarnt. Er bezeichnet den Daten-Leak als Konsequenz der „desolaten Cybersicherheit“

Überwachung, Sabotage, Datenhandel: Kabinett beschließt Reform der Geheimdienste

Atug sagte der Deutschen Presse-Agentur: „Das Land Berlin hat grob fahrlässig gehandelt und vorsätzlich die Geheimschutz-Vorgaben nicht eingehalten“. Besonders sind kommunale Verwaltungen beliebte Ziele solcher Angriffe. Denn diese betreuen häufig veraltete Systeme und verfügen darüber hinaus oft nicht über das notwendig qualifizierte Personal. Die Stellenangebote in der Verwaltung stehen dabei in Konkurrenz zu vergleichbaren Berufen in der privaten Wirtschaft, welche in Sachen Bezahlung und Karrieremöglichkeiten deutlich attraktiver erscheinen dürften.

Der Beitrag 5,8 Terabyte geleakte Daten aus Berlin – Folgen nicht absehbar erschien zuerst auf Perspektive.