Nach dem Cyberangriff auf Teile der Berliner Verwaltung gehen die Untersuchungen zu gestohlenen Daten noch auf unbestimmte Zeit weiter. Das teilte Senatssprecherin Christine Richter am Dienstag nach der Sitzung des Senats mit. „Alle Systeme im Land Berlin müssen gescannt werden, um auszuschließen, dass noch weitere Daten abgeflossen sind.“ Wie lange das dauern werde, lasse sich nicht sagen. Fest stehe, dass eine Menge an Daten abgeflossen sei. 

Montag bis Samstag

Morgenpost der Chefredaktion

Die ersten News des Tages – direkt von der Chefredaktion. Montag bis Samstag um 6:30 Uhr.

Mit meiner Anmeldung zum Newsletter stimme ich der Werbevereinbarung zu.

Gegenüber der Berliner Morgenpost bestätigte Richter zudem, dass sich die Ransomware-Gruppierung Rhysida zu der Tat bekannt hat. Die Gruppierung behaupte, im Besitz von gestohlenen Daten im Umfang von 5,7 Terabyte zu sein, so Richter. Rhysida habe die Daten im Darknet zum Kauf angeboten. „Die Versteigerung läuft bis Freitag“, sagte die Sprecherin. „Es muss davon ausgegangen werden, dass Daten im Anschluss weiterveräußert oder ganz oder in Teilen veröffentlicht werden.“

Rhysida in der Vergangenheit für zahlreiche Angriffe verantwortlich

Rhysida ist eine hochprofessionelle Gruppe, die in der Vergangenheit mit zahlreichen Cyberattacken in Nord- und Südamerika, Deutschland und den USA in Verbindung gebracht wurde. Die Kriminellen erpressen mit ihren Angriffen regelmäßig Geld von Unternehmen und Organisationen. „Erkenntnisse über Verbindungen nach Russland oder gar zum russischen Staat liegen nicht vor, können aber auch nicht ausgeschlossen werden“, so Richter.

Auch interessant

Cybergruppen meist auf eigene Faust unterwegs

Das sieht auch die Cyber-Expertin Bianca Kastl so. „Bisher spricht das Angriffsmuster eher für einen klassisch orchestrierten Angriff einer Cybercrime-Gruppe“, sagt Kastl auf Anfrage dieser Redaktion. „Sicherheitslücken werden gefunden, dann gibt es eine länger andauernde Bewegung in einem fremden Netzwerk, Daten werden abgezogen und dann folgt eine Erpressung.“ So ähnlich sei das nicht nur in Berlin passiert, sondern auch in vielen anderen Ländern und Branchen.

Lesen Sie auch

Einige Staaten tolerieren Cyberkriminelle

Häufig seien solche Gruppen dabei nicht direkt staatlich beauftragt unterwegs. Sie würden aber oftmals staatlich toleriert, sofern ihr Handeln in die geopolitische Agenda des Staates oder der Staaten passt, aus denen diese Gruppen agieren. „Allerdings gibt es hier keine hundertprozentige Trennschärfe, manchmal vermischt sich die wirtschaftlich motivierte Cyberkriminalität mit staatlichen Interessen“, so Kastl. Diese schwierige Zuordenbarkeit sei von den beteiligten Akteuren durchaus auch erwünscht.

Berlins Regierender Bürgermeister Kai Wegner (CDU) hatte am Freitag bekannt gegeben, dass Berlin nach dem Hackerangriff von den Tätern erpresst werde. Er hatte abgelehnt, deren Forderungen nachzugeben. Die Senatssprecherin bekräftigte auch am Dienstag: „Das Land Berlin wird sich nicht erpressen lassen.“

Auch interessant

Untersuchungen zu Hackerangriff dauern weiter an

Bei der Sitzung des Senats informierte der Staatssekretär für Digitalisierung, Florian Hauer, über den aktuellen Stand der Erkenntnisse zu der Cyberattacke. Zu den genauen Hintergründen ermitteln das Landeskriminalamt und die Staatsanwaltschaft. 

Erkenntnisse über Verbindungen nach Russland oder gar zum russischen Staat liegen nicht vor, können aber auch nicht ausgeschlossen werden.

Christine Richter,, Sprecherin des Berliner Senats

Nach jetzigem Kenntnisstand seien weiterhin nur die beiden Senatsverwaltungen für Verkehr und für Bauen betroffen, so Richter weiter. „Dort sind nicht öffentliche Daten abgeflossen, die jetzt auch untersucht werden, damit Klarheit herrscht, um was für Daten es sich handelt und welche Konsequenzen dann getroffen werden müssen.“ Das gelte beispielsweise mit Blick auf Passwörter und auf persönliche Daten. „All das wird jetzt untersucht.“

Mindestgebot für Daten lautet zwei Millionen Euro

Beide Verwaltungen haben Richter zufolge am Montag entschieden, weitere Sicherheitsmaßnahmen zu ergreifen, nachdem Passwörter für einige sogenannte Fachverfahren bekannt geworden seien. „Das wiederum führt dazu, dass es einige Einschränkungen gibt, aber beide Verwaltungen sind nach wie vor per Mail erreichbar“, sagte die Senatssprecherin. Mitarbeiter in beiden Verwaltungen könnten sich derzeit nicht vom Homeoffice aus in das Datennetz einwählen. 

Auch interessant

Der Cyberangriff war am 14. August bekannt geworden. Nach bisherigen Erkenntnissen flossen vom 7. bis zum 12. August Daten in großem Umfang ab. Wie zuerst der „Spiegel“ berichtete, verlangen die Hacker ein Lösegeld von 30 Bitcoin, wenn ihrer Forderung bis zum nächsten Freitag nicht entsprochen wird. Aktuell entsprechen 30 Bitcoin etwa zwei Millionen Euro.

Berlin will Bürger über abgeflossene Daten informieren

Unter den abgeflossenen Daten befinden sich nach aktuellem Kenntnisstand wohl auch personenbezogene Daten von Bürgern, etwa aus Ordnungswidrigkeitsverfahren. „Es wird daran gearbeitet, wenn am Freitag tatsächlich Daten veröffentlicht werden sollten, wie wir Bürgerinnen und Bürger, aber auch Mitarbeiterinnen und Mitarbeiter transparent darüber informieren“, so Richter. Auch an Hilfsangeboten werde derzeit gearbeitet.“ mit dpa