Cyberangriff auf Berliner Verwaltung: Digitale Verantwortungslosigkeit
W ie naiv die Berliner Verwaltung mit IT-Sicherheit umgeht, offenbaren einige der zahllosen Dokumente, die jetzt in die Hände von Hackern geraten sind. „Passwort.docx“ heißt etwa eine unverschlüsselte Datei mit allen möglichen Zugangsdaten, darunter das Kennwort „Sonnenschein13“. Und aus einer anderen Liste geht hervor, dass ein Sachbearbeiter überall das gleiche, schwache Passwort verwendet hat: „Ahabostsee123“.
Aber es sind nicht allein die erbeuteten Logins, die den Cyberangriff auf Berlin zum Fiasko machen. Hinzu kommen eine schlechte Krisenkommunikation, eine erstaunliche Unwissenheit über die eigene IT-Infrastruktur – und eine gehörige Portion Verantwortungslosigkeit gegenüber den Einwohner*innen der Stadt.
Fast zehn Tage lang hat Berlins schwarz-rote Landesregierung kleingeredet, was sich inzwischen als der größte Cybervorfall in der Geschichte der Stadt herausstellt: Bereits am 7. August waren Hacker in das Landesnetz eingedrungen – und wurden erst eine Woche später erwischt. Selbst dann dauerte es nochmal drei Tage, bis die Öffentlichkeit informiert wurde – und das viel zu spärlich und erstaunlich gutgläubig.
Denn inzwischen ist klar: Hinter dem Angriff steckt die bekannte Ransomware-Gruppe „Rhysida“, die jetzt den Berliner Senat erpresst. Das ist möglich, weil die Hacker anders als zunächst dargestellt sensible und brisante Daten gestohlen haben.
Identitätsdiebstahl, Betrug und Erpressung
Noch bis Freitag gibt es nun laut der Gang die „Gelegenheit, auf exklusive, einzigartige und beeindruckende Daten zu bieten“, wie es in einer süffisanten Mitteilung im Darknet heißt. „Öffnen Sie Ihren Geldbeutel“. Mindestens 30 Bitcoin – das sind rund 2 Millionen Euro – verlangen die Hacker. Und drohen, ansonsten die Daten zu veröffentlichen.
Und die haben es in sich, wenn die Darstellung der Gruppe stimmt. Demnach gehören dazu 80.000 Ordnungswidrigkeitsverfahren und 46.500 Verträge, 11.000 vertrauliche Dokumente, 12.000 Telefonnummern, 16.000 E-Mails und 150 IBAN-Kontonummern. Mehr als 12.000 Menschen sollen persönlich betroffen sein – auch das Spitzenpersonal der Verwaltung. Hinzu kommen rund 6.000 Dateien mit Logins – wie eben „Passwort.docx“.
Was für ein Desaster. Denn es ist zwar richtig, dass das Land wie angekündigt das Lösegeld nicht zahlt. Aber „Rhysida“ wird seine Drohung danach sehr wahrscheinlich wahr machen und die Daten veröffentlichen – allein, um in Zukunft noch ernst genommen zu werden – und dann dürfte die Katastrophe erst so richtig ihren Lauf nehmen.
Dann trifft es die Privatpersonen, die das Pech haben, in irgendeiner Weise in dem Datensatz aufzutauchen. Alle möglichen Cyberkriminelle und Trittbrettfahrer können mit den Informationen viel Übles anstellen: Identitätsdiebstahl, Betrug und Erpressung.
Das unterirdische Krisenmanagement der Berliner Landesregierung verschärft die Misere weiter. Noch vor einer Woche hieß es, es seien lediglich öffentliche Geodaten kopiert worden. Berlins Landesbevollmächtigter für Informationssicherheit sagte sogar selbstsicher: „Vielleicht haben wir den Einbruch für den Täter einfach zu schnell gesehen – und die richtigen Maßnahmen getroffen“.
Ein fahrlässiger Zustand
Welch Irrtum. Ohnehin ist Berlins digitale Infrastruktur extrem schlecht geschützt – und das ist seit Langem bekannt. Deshalb wäre es auch falsch, jetzt von einem Weckruf zu sprechen. Bereits vor sieben Jahren hatten Unbekannte das Kammergericht infiltriert. Berlins höchstes Gericht war danach monatelang offline. Und erst im vergangenen Jahr gelang es einer iranischen Hacker-Gruppe, sich Zugriff auf Privatadressen und digitale Terminkalender von Berlins Justizsenatorin zu verschaffen.
Die Ursache für die Misere ist eine beispiellose Kleinstaaterei in der digitalen Infrastruktur Berlins. Viele Behörden, Ämter und Stadtbezirke setzen auf eigene IT-Lösungen. Die Folge: ein Flickenteppich an Software mit teils gravierenden Sicherheitslücken. Versuche zur Zentralisierung scheitern bislang am Widerstand der jeweiligen Verwaltungen.
Darüber staunt sogar Berlins Staatssekretär für Digitalisierung Florian Hauer, der den hochtrabenden Titel „Chief Digital Officer“ trägt. „Wir sind überrascht, wie groß das IT-System des Landes ist“, musste Hauer, der das ja eigentlich wissen sollte, vor Kurzem gestehen.