IT-Experte fassungslos: "Staatlichen Geheimschutz vor die Wand gefahren"

IT-Experte Manuel Atug spricht im Interview über die Folgen des Datenleaks in Berlin. Dass auch Verschlusssache-Material veröffentlicht wurde, bereitet dem Sprecher der AG KRITIS besonders große Sorgen.

Ein Interview

von Thomas Fritz

IT-Experte Manuel Atug hat den Berliner Senat seit Jahren auf die Schwachstellen in der Cybersicherheit hingewiesen. Dass sich nun auch vertrauliches Verschlusssache-Material unter dem von einer Hackergruppe abgezogenen XXL-Datenpaket befindet, macht den Sprecher der AG KRITIS fassungslos. Im Interview mit unserer Redaktion spricht der 50-Jährige über die möglichen Folgen des Datenleaks für die Betroffenen, das Ausmaß des Schadens für das Land Berlin und warum für ihn die Reaktion des Berliner Senats eine "Unverschämtheit" ist.

Was war Ihre erste Reaktion, als Sie jetzt von dem Datenleak in Berlin gehört haben?

Manuel Atug: Despektierlich würde ich sagen: Told you so (deutsch: Ich hab's euch gesagt – d. Red.). Aber es war eigentlich Ernüchterung: Scheiße, es ist mal wieder passiert und diesmal sogar noch schlimmer. Und zwar mit Ansage. Ich habe ja in beiden Anhörungen 2023 und 2025 als Sachverständiger im Ausschusses für Inneres, Sicherheit und Ordnung im Abgeordnetenhaus von Berlin vor dem desolaten Zustand der Cybersicherheit in Berlin gewarnt.

Was schockiert Sie besonders?

Als dann klar wurde, dass auch VS-Material (Verschlusssache-Material – d. Red.) drin ist, was man öffentlich herunterspielt und relativiert, da war ich dann wirklich sprachlos und fassungslos. Staatlichen Geheimschutz vor die Wand zu fahren, ist eine ganz andere Liga. Also das habe selbst ich nicht erwartet, obwohl ich weiß, wie schlecht Berlin geschützt ist. Ich bin gespannt, ob wirklich nur die unterste VS-Schutzebene betroffen war.

Sie sprechen von grober Fahrlässigkeit oder sogar von Vorsatz. Warum haben die Verantwortlichen die Sicherheitslücken nicht behoben?

Prävention ist nicht sexy, mit Cybersicherheit kriegt man keine Wiederwahl gewonnen. Politisch kennt einen niemand, wenn man sich das auf die Fahne schreibt. Es gibt keine persönlichen Strafen und keine persönliche Haftung. Das Thema interessiert also - mit Verlaub - keine Sau. Wenn sie sich aber mit den Mark Zuckerbergs dieser Welt ablichten lassen oder von glitzer-hype Themen wie KI fabulieren, dann ist das coolio und hip. Aber Cybersicherheit ist das, was wir wirklich brauchen.

Warum?

Die tägliche Arbeit von den Leuten, die sagen: Ich patche ein System, ich fixe eine Konfiguration, ich migriere rechtzeitig das System auf die neue gepflegte Fassung, wenn die alte abgekündigt ist und es keine Updates mehr gibt, ist unverzichtbar. Aber wenn Politiker mit diesen IT-Leuten im Keller ein Foto machen, sind das Selfies, mit denen sie keine Eigenwerbung machen können.

Gibt es weitere Erklärungen, warum die Berliner Behörden so fahrlässig agierten?

Ich möchte noch einmal auf das Thema fehlende persönliche Haftung eingehen. Das ist ein riesiges Problem. Die Verantwortlichen müssten nicht einfach sagen können: Security ist ein Thema von der IT im Keller. Es muss zum Behördenleitungsthema werden. Zudem wird ja immer behauptet, es sei zu wenig Geld für das Thema Sicherheit da. Aber das gilt nur für IT-Sicherheit, denn die Millionen für die Massenüberwachung sind dann auf einmal da, bei der Cybersecurity werden sie gestrichen.

Wie schwerwiegend ist dieses Datenleak im Vergleich zu anderen?

Von den über 250 Fällen Vorfällen in Kommunen, die es in Deutschland gab, ist es mit sechs Terrabyte das größte. Bei Konzernen oder großen Unternehmen wurden schon mehr als sechs Terabyte rausgetragen. Aber das ist gar nicht entscheidend.

Sondern?

Es kommt auf die Inhalte an. Und die sind in diesem Fall größtenteils sehr sensibel. Da können auch schon 200 MB ausreichen.

Was können die Kriminellen mit den abgezogenen Daten machen?

Mit den durch Berlin veröffentlichten Konto- und Kreditkarteninformationen, privaten Adressen und Telefonnummern, Gesundheitsdaten und Infos über Disziplinarverfahren sowie weiteren sensiblen Daten können Menschen exponiert oder diffamiert werden. Dadurch kann Identitätsdiebstahl begangen, auf deren Rechnung eingekauft, sogar deren Passwörter geändert oder diese Menschen einfach bedroht und terrorisiert werden. Es wurde aber auch zum Beispiel der Bauplan einer JVA und Informationen über Schwachstellen des Schließsystems der JVA öffentlich.

Was könnte das für Folgen haben?

Das können organisierte kriminelle Banden nutzen, um ihre eigenen Leute gewaltsam rauszuholen. Es gibt auch eine Liste von Kraftwerken, Umspannwerken und Krankenhäusern, die Berlin selber im Verteidigungsfall für wichtig erachtet. Für Geheimdienste oder andere staatliche Akteure wie Terroristen sind das wichtige Informationen. Das kann noch jahrzehntelang ein bestehendes Kenntnisrisiko sein. Das hat möglicherweise sehr schwerwiegende Konsequenzen.

Sind weitere Bereiche betroffen?

Ja. Es gab ja auch Rüstungsunternehmen, die als besonders relevant gelistet wurden und spätestens ab diesem Moment sollten diejenigen, die in der Geschäftsleitung einer solchen Rüstungsindustrie tätig sind, sich konkreter Gedanken über notwendigen Personenschutz machen. Es gab ja schon diverse Morddrohungen und Attentate auf die Führung von Rüstungskonzernen. Ich will es noch einmal betonen: Datenschutz ist Menschenschutz. Da kann man nicht sagen, die Liste ist egal.

Was können Sie zu den Tätern sagen?

Man weiß ja, dass es die kriminelle Tätergruppe Rhysida ist. Die tauchen seit 2021 unter verschiedenen Namen auf. Die sind sehr professionell, aber auch nur aufs Geld aus, soweit ich das weiß.

Wie bewerten Sie die Reaktion der Berliner Verwaltung auf das Datenleak?

Berlin hat den Datenschutz ihrer Bevölkerung und den Arbeitnehmerschutz absolut nicht wahrgenommen. Sie haben ihre Mitarbeitenden nicht angemessen geschützt. Es sind darüber hinaus auch geheimschutzrelevante Informationen öffentlich geworden. Wenn das jetzt öffentlich heruntergespielt wird nach dem Motto "Ist ja nicht so schlimm", halte ich das für eine Unverschämtheit. Dann gab es als Informationen anfangs nur eine dünne Pressemitteilung. Man hat Freitags mitgeteilt: Seit einigen Tagen wurden wir erfolgreich angegriffen. Montag setzt sich der Krisenstab zusammen. Ich dachte mir: Entspannt ins Wochenende gehen? Kann man machen, ist dann aber auch ein klares Zeichen.

Was hätte der Senat stattdessen tun sollen?

Für die Krisenkommunikation setzt man eigentlich eine Webseite mit Fragen und Antworten auf, die ständig aktualisiert wird. So behält man auch die Deutungshoheit. Stattdessen machen sie ihre regelmäßigen Selbstbeweihräucherungs-Pressekonferenzen, wo Kai Wegner (Berlins Regierender Bürgermeister – d. Red.) zum Beispiel sagt: Wir haben eine Million Angriffe abgewehrt. Das ist die falsche Kommunikation.

Müsste es politisch auch Konsequenzen geben?

Empfehlungen der Redaktion

Klingbeil kritisiert CDU-Angriff auf Bas: "Was soll das?"

Neue Kritik an Merz – SPD verärgert über Angriffe auf Bas

Linke will Social-Media-Regeln nur auf EU-Ebene

Müsste es, ja. Geben wird es sie mit sehr hoher Wahrscheinlichkeit nicht. Für mich oder uns als AG KRITIS ist nicht relevant, wer die Schuldigen waren. Uns wäre viel wichtiger, dass man daraus bitte endlich mal die richtigen Lehren zieht und den Geheimschutz, die Cybersicherheit und den Datenschutz, der Menschschutz ist, lebt und permanent aktiv umsetzt. Oder will man weiter so rumeiern wie es jetzt jahrelang der Fall war? Was wir im Moment sehen, ist ein leichtes Aufbäumen. Aber so grundsätzlich scheint es nichts an den Strukturen zu verändern. Das ist viel zu wenig.